Hola a todos, tengo un problema muy similar al que se reporta unos hilos más abajo ( http://www.forospyware.com/t95986.html ) solo que la solución dada en este caso no me ha funcionado. Sea lo que sea lo que se me ha metido, me causa estos cuatro problemas:


1. Me aparece un icono el la barra al lado del reloj que es triangulo rojo con un símbolo de advertencia. De este icono surge de vez en cuando un globo que dice algo así como "system alert, etc." dándote a entender que mi ordenador ha sido infectado y me recomienda que tome medidas al respecto.

2. Cada cierto tiempo aparece una ventana emergente en la que me informa que mi sistema ha sido infectado por el Adware.32.ExpDwnldr, y me invita amablemente a que compre un software para desinfectarlo.

3. También me instala tres accesos directos a tres programas que evidentemente yo no he instalado y que se llaman "error cleaner", "privacy protector" y "Spyware and protection". Aunque los mande a la papelera de reciclaje vuelven a aparecer cada vez que inicio windows.

4. Por último, me cambia el fondo de escritorio por una pantalla roja amenazante en la que dice "your privacy si in Tánger". Si pulso en cualquier parte del escritorio que no sea un acceso directo, carpeta, etc. me abre el explorador y me direcciona a una web determinada.


Para solucionarlo he pasado los siguientes programas, siempre en "a prueba de fallos" y con las restauraciones automáticas desactivada: DelPSGuard, SUPERAntiSpyware, Spybot, Ad-aware y Kapersky 6.0. No consigo nada, me detectan cosas, las borran pero el problema sigue igual. El único que ayuda un poco es el DelPSGuerd, ya que elimina el problema nº4, pero solo temporalmente porque al rato de estar conectado me vuelve a aparecer.

En fin, estoy muy desesperado…….. os envio el informe HijackThis para ver si me podeis echar una manita. Muchas gracias

Logfile of HijackThis v1.99.1
Scan saved at 18:46:58, on 21/06/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\SYSTEM32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\SYSTEM32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Archivos de programa\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe
C:\Archivos de programa\Raxco\PerfectDisk\PDAgent.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Archivos de programa\ANI\ANIWZCS2 Service\WZCSLDR2.exe
C:\Archivos de programa\Saitek\Software\Profiler.exe
C:\Archivos de programa\Saitek\Software\SaiSmart.exe
C:\Archivos de programa\Saitek\Software\SaiMfd.exe
C:\Archivos de programa\Conceptronic\Conceptronic 54Mbps Wireless Utility\WLANmon.exe
C:\WINDOWS\system32\Tablet.exe
C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe
C:\Archivos de programa\ATI Technologies\ATI.ACE\CLI.EXE
C:\Archivos de programa\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
C:\WINDOWS\system32\WTablet\TabUserW.exe
C:\Archivos de programa\Raxco\PerfectDisk\PDEngine.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\Archivos de programa\ATI Technologies\ATI.ACE\cli.exe
C:\Archivos de programa\ATI Technologies\ATI.ACE\cli.exe
E:\SPYbot\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://gomyron.com/NjU2NA==/2/3560/homepage/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 5.0\Acrobat\ActiveX\AcroIEHelper.ocx
O2 - BHO: Console Flash CF.v5 - {0DF2A545-CAB5-47E8-9A8A-E92C93C23962} - C:\WINDOWS\system32\cflcfv5.dll
O2 - BHO: Console Flash v.4.1 - {BCC8A4AB-C055-461E-B4B5-1B0EA8647897} - C:\WINDOWS\system32\confl.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [ANIWZCS2Service] C:\Archivos de programa\ANI\ANIWZCS2 Service\WZCSLDR2.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [LanzarL2007] "C:\DOCUME~1\PIZCO\CONFIG~1\Temp\{CAD742D7-0EA6-4D8A-98D9-70EA9939E61A}\{D1DA2BA7-2592-4036-9BB2-DCCABDE8DC1A}\..\..\L2007tmp\Setup.exe" /SETUP:"/l0x000a"
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Archivos de programa\D-Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [Profiler] C:\Archivos de programa\Saitek\Software\Profiler.exe
O4 - HKLM\..\Run: [SaiSmart] C:\Archivos de programa\Saitek\Software\SaiSmart.exe
O4 - HKLM\..\Run: [ATIPTA] "C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe"
O4 - HKLM\..\Run: [ATICCC] "C:\Archivos de programa\ATI Technologies\ATI.ACE\CLIStart.exe"
O4 - HKLM\..\Run: [SaiMfd] C:\Archivos de programa\Saitek\Software\SaiMfd.exe
O4 - HKLM\..\Run: [Conceptronic Conceptronic 54Mbps Wireless Utility] C:\Archivos de programa\Conceptronic\Conceptronic 54Mbps Wireless Utility\WLANmon.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [AVP] "C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe"
O4 - HKCU\..\Run: [Yahoo! Pager] "C:\ARCHIV~1\Yahoo!\MESSEN~1\YAHOOM~1.EXE" -quiet
O4 - HKCU\..\Run: [SUPERAntiSpyware] C:\Archivos de programa\SUPERAntiSpyware\SUPERAntiSpyware.exe
O4 - Global Startup: Acrobat Assistant.lnk = C:\Archivos de programa\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: TabUserW.exe.lnk = C:\WINDOWS\system32\WTablet\TabUserW.exe
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Web Anti-Virus statistics - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus 6.0\scieplugin.dll
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\Archivos de programa\Yahoo!\Messenger\YahooMessenger.exe
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\Archivos de programa\Yahoo!\Messenger\YahooMessenger.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O12 - Plugin for .spop: C:\Archivos de programa\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Archivos de programa\Yahoo!\Common\yinsthelper.dll
O16 - DPF: {FD0B6769-6490-4A91-AA0A-B5AE0DC75AC9} (Performance Viewer Activex Control) - https://amd64:2000/activex/RACtrl.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{73A71476-D084-4DCB-9373-338855B2EE98}: NameServer = 62.151.8.100,62.151.2.8
O17 - HKLM\System\CCS\Services\Tcpip\..\{7B889BA2-C3F6-46E3-9EF0-3E54E722C09F}: NameServer = 62.151.8.100
O20 - Winlogon Notify: !SASWinLogon - C:\Archivos de programa\SUPERAntiSpyware\SASWINLO.dll
O20 - Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll
O21 - SSODL: vpssup - {62C5AD4F-598A-4230-A8F8-6D49ED33263B} - C:\WINDOWS\vpssup.dll
O21 - SSODL: expro - {B5C09667-DECC-43FB-992A-F4E772FCC103} - C:\WINDOWS\expro.dll
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - C:\Archivos de programa\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Kaspersky Anti-Virus 6.0 (AVP) - Unknown owner - C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe" -r (file missing)
O23 - Service: PDAgent - Raxco Software, Inc. - C:\Archivos de programa\Raxco\PerfectDisk\PDAgent.exe
O23 - Service: PDEngine - Raxco Software, Inc. - C:\Archivos de programa\Raxco\PerfectDisk\PDEngine.exe
O23 - Service: TabletService - Wacom Technology, Corp. - C:\WINDOWS\system32\Tablet.exe

Hola ,Bienvenido a Infospyware.



Comprueba en el Centro de descarga si tienes todos los parches instalados.


Descarga la herramienta DelPSGuard (La última versión) y descomprímela en el escritorio de Windows pero no la ejecutes aún.

Realiza todos los pasos sin saltarte ninguno,por favor.

Apaga tu ruter/moden y desconecta el cable de tf. de la torre.

Ver archivos ocultos en todos los Windows

Apagar Restaurar Sistema (Systema Restore)

Reinicia el PC en Modo a prueba de fallos


Ves al Panel de Control/ Agregar o Quitar Programas y desinstalas estos programas si existen:


Ultima Actualización: - 12 de Abril del 2007 - 69 aplicaciones:

• Brain Codec
• DirectVideo
• DVDAccess
• Dvd Codec
• EliteCodec
• Emcodec
• eMedia Codec
• FreeVideo
• Gold Codec
• HifiCodec
• HQ Codec
• iCodecPack
• Image ActiveX Object
• iMediaCodec
• IMCodec
• IntCodec
• iVideoCodec
• JPEG Encoder
• LightCodec
• KeyCodec
• Media-Codec
• MediaCodec
• MediaCodec2006
• MedCodec
• MMediaCodec
• Movie Codec
• MovieBox
• MPCODEC
• MovieCommander
• NewMediaCodec
• Newvidscodec
• nvidcodec
• PCODEC
• Perfect Codec
• PlayerCodec
• PowerCodec
• PornPass Manager
• PornMag Pass
• PrivateVideo
• QualityCodec
• SiteEntry
• Silver Codec
• SiteTicket
• SoftCodec
• strCodec
• Super Codec
• svideocodec
• TrueCodec
• TVCodec
• VaxObject
• v-codec
• VCodec2007
• Vccodec
• VidCodecs
• VideosAccess
• Video ActiveX Object
• Video Access ActiveX Object
• VideoCompressionCodec
• VideoBox
• VideoKeyCodec
• Videoscash
• VideosCodec,
• vidscodec
• WinMediaCodec
• WMcodec
• X Password Generator
• X Password Manager
• ZipCodec
• Zcodec

Ejecuta el hijackthis y con todos lo programas cerrados marca las siguientes entradas y pulsa en FIX Checked:



O2 - BHO: Console Flash CF.v5 - {0DF2A545-CAB5-47E8-9A8A-E92C93C23962} - C:\WINDOWS\system32\cflcfv5.dll
O2 - BHO: Console Flash v.4.1 - {BCC8A4AB-C055-461E-B4B5-1B0EA8647897} - C:\WINDOWS\system32\confl.dll
O4 - HKLM\..\Run: [LanzarL2007] "C:\DOCUME~1\PIZCO\CONFIG~1\Temp\{CAD742D7-0EA6-4D8A-98D9-70EA9939E61A}\{D1DA2BA 7-2592-4036-9BB2-DCCABDE8DC1A}\..\..\L2007tmp\Setup.exe" /SETUP:"/l0x000a"

O21 - SSODL: vpssup - {62C5AD4F-598A-4230-A8F8-6D49ED33263B} - C:\WINDOWS\vpssup.dll
O21 - SSODL: expro - {B5C09667-DECC-43FB-992A-F4E772FCC103} - C:\WINDOWS\expro.dll



Ejecuta ahora el DelPSGuard (La última versión) y sigue las instrucciones del programa.

Y pones el reporte que te genere el DelPSGuard,tanto si te eliminó todo o te quedó
algun archivo para su eliminación,antes de pasar el killbox (lo puedes copiar a un Bloc de notas para luego pegarlo aquí)



Sin reiniciar,busca y elimina estos archivos/carpetas.Utiliza el KillBox si no puedes eliminarlos.

Le vas poniendo que NO a reiniciar hasta que pongas el ultimo y ahi le pones que SI para que reinicie y elimine estos archivos infectados.

C:\WINDOWS\system32\cflcfv5.dll
C:\DOCUME~1\PIZCO\CONFIG~1\Temp\{CAD742D7-0EA6-4D8A-98D9-70EA9939E61A}\{D1DA2BA 7-2592-4036-9BB2-DCCABDE8DC1A}\..\..\L2007tmp\Setup.exe" /SETUP:"/l0x000a"
C:\WINDOWS\vpssup.dll

C:\WINDOWS\expro.dll





Elimina todas las cuarentenas que tengas y vacía la papelera.



Pasa estas herramientas:

Spybot S.D.Lo actualizas te inmunidizas y lo pasas.

Disk Cleaner para limpiar cookis y temporales

CCleaner y ejecútalo usando primero su opción de "Limpiador" para borrar cookies, temporales de Internet y todos los archivos que este te muestre como obsoletos, y luego usa su opción de "Registro" para limpiar todo el registro de Windows (haciendo copia de seguridad).Pásalo hasta que no te salga nada.


Instálate el SpywareBlaster 3.5+manual


Reactiva la opción de restaurar el sistema,reinicias y te conectas a la red.

Y le pasas 2 antivirus online, el AVG/ Ewido Anti Spyware y el Kaspersky,por este orden y si hay algo que no te eliminen lo pones aquí con su ruta completa.

Pones otro log para ver como esta todo y nos cuentas los resultados.

*Si tienes alguna duda,te puedes imprimir las instrucciones.