¡ayuda urgente! MALWARE JODIENDO

narscorp · #1 (**permalink**) 25/12/2005, 16:36

Buenos dias.
HAce unos minutos entre a un sitio donde queria ver un video, y me decia que necesitaba descargar un archivo para el windows media (SvideoCodek algo asi se llamaba) el caso es que lo descargue (se descargo en un segundo) y se instalo rapidamente (2 segundos) luego me aparece una ventana que esta buscando el archivo de la enciclopedia encarta, y en los iconos de la barra (el del mundo con una ventana) me dice:

Cita:

YOUR COMPUTER IS INFECTED!!!!!
Dangerous malware infection was detected on your PC; the system will now download and install most efficient antimalware program to prevent data loss and your private information theft.
Click here to protect your computer from the biggest malware threasts

El caso es que se me pusieron unos iconos en el escritori de un tal spy axe (nunca antes instalado) y luego solo lo ejecuto y el programa me pide que lo compre; el caso es que no deja de estar jodiendo y creo que es un truco comercial de los fabricantes del programa, pero no se como quitarlo; ayudenme please!!!!!

narscorp · #2 (**permalink**) 25/12/2005, 16:54

Perdon por el doble post, pero este spyaxe si que jode, ya no lo soporto más; el icono ese no deja de parpadear; pienso hacer una demanda a los fabricantes de ''spy axe'' por tratar de hacernos comprar sus productos por media de alertas y spyware ¿no creen?

Gpastor · #3 (**permalink**) 25/12/2005, 16:55

El Spyaxe es un falso antispyware, por lo que debe ser desinstalado y para erradicarlo totalmente debes seguir estos pasos:

1.- Descarga la herramienta DelPSGuard.zip y descomprímela en el escritorio de Windows pero no la ejecutes aun.

2.- Apaga el "Restaurar Sistema"

3.- Activa la opción Ver Archivos Ocultos

4.- Reinicia en Modo a Prueba de Fallos

5.- Sin reiniciar, busca y elimina la carpeta que contiene al Spyaxe:

C:\Archivos de programa\SpyAxe\<-- Elimina la carpeta y todo su contenido

6.- Ejecuta el archivo DelPSGuard.exe y sigue las instrucciones del programa.

7.- Pasa el Disk Cleaner para limpiar cookies y temporales

8.- Pasa el Regseeker para Limpiar el Registro, pásalo hasta q no quede nada para eliminar.

9.- Pasa el Ad-Aware SE y Spybot Search & Destroy actualizados.

Ya nos contarás como te fue.

Saludos

narscorp · #4 (**permalink**) 25/12/2005, 18:25

he intentado ingresar a modo aprueba de fallos y no sale la pantalla negra;

Otra cosa más:
sin querer con el killbox borre el archivo:
C:\WINDOWS\ngukmmha.exe
¿me puede pasar algo?

POR ULTIMO:
con el DelPSGuard.exe los use sin modo aprueba de fallos, y quite la operación en la que borra las cookies; y cuando finalizo siguio jodiendo el anuncio ese de alerta, pero después de un rato se quito ¿a que se debe?

Gpastor · #5 (**permalink**) 25/12/2005, 18:49

Cita:

Otra cosa más:
sin querer con el killbox borre el archivo:
C:\WINDOWS\ngukmmha.exe
¿me puede pasar algo?

Debes tener cuidado con los archivos que eliminas, en este caso el archivo es un archivo desconocido que pudo haber sido creado por un malware.

Cita:

con el DelPSGuard.exe los use sin modo aprueba de fallos, y quite la operación en la que borra las cookies; y cuando finalizo siguio jodiendo el anuncio ese de alerta, pero después de un rato se quito ¿a que se debe?

El DelPSGuard como toda herramienta antispyware y/o antivirus, es recomendable ejecutarlo en Modo a Prueba de Fallos (Modo Seguro), por la sencilla razón que en este modo solo se ejecutan los archivos básicos del sistema y así impedimos que se ejecute el malware para que la herramienta no tenga problemas en eliminarlo.

Es preferible que sigas los pasos como te los indiqué para poder eliminar el parásito.

Ya nos contarás como te fue.

Saludos

narscorp · #6 (**permalink**) 25/12/2005, 18:57

Te explico lo que sucede:
1.- No se con que, pero ya no aparece la alerta en los iconos
2.- Por alguna extraña razon, en el teclado no quieren ponerse las funciones de los Fs; por lo cual no puedo acceder a prueba de fallos
3.- Frecuentemente me aparece un mensaje del windows installer
4.- cuando abro un link con un click me manda a una pagina del SpyAxe;

AYUDA!!!! estos tipos no dejan de jodeR!!!!!!!!!!

Gpastor · #7 (**permalink**) 25/12/2005, 20:10

Ya no te salen los iconos de alerta porque el programa DelPSGuard elimina los archivos causantes del mismo.

Lo que mencionas del teclado es muy raro, ¿intentaste con otro?

¿El mensaje te aparece al inicio del sistema o en cualquier momento? ¿te sucede utilizando algún programa en especial?

Pasa el Hijackthis y pega tu log en este mismo mensaje para su analisis.

Saludos

narscorp · #8 (**permalink**) 25/12/2005, 22:29

Pues lo del teclado es de hace tiempo; ya lo hice con otro teclado e hico TODOS Y TAL COMO ESTAN los pasos que me diste; pero sigue apareciendo el windows installer con la aplicacion de encarta premium; el problema sucede cuando abre IE en una ventana nueva; he abierto el nescape y no sucede, solo al abrir en una ventana nueva IE o alguna de las herramientas de microsoft office; aqui está mi LOG:
Logfile of HijackThis v1.99.1
Scan saved at 10:25:26 p.m., on 25/12/2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.exe
C:\Archivos de programa\Netropa\Multimedia Keyboard\nhksrv.exe
C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe
C:\WINDOWS\System32\CTsvcCDA.EXE
C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7Debug\mdm.exe
C:\Archivos de programa\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\Drivers\WTSRV.EXE
C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\phxpeqd.exe
C:\WINDOWS\system32\CTHELPER.EXE
C:\Archivos de programa\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
C:\Archivos de programa\Creative\ShareDLL\CtNotify.exe
C:\Program Files\Lwfe\Vwzmp.exe
C:\Program Files\Media Access\MediaAccK.exe
C:\Archivos de programa\Netropa\Multimedia Keyboard\MMKeybd.exe
C:\Program Files\Media Access\MediaAccess.exe
C:\WINDOWS\system32\WService.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\ARCHIV~1\HEWLET~1\HPSHAR~1\hpgs2wnf.exe
C:\Archivos de programa\Internet Explorer\iexplore.exe
C:\Archivos de programa\Creative\ShareDLL\MediaDet.Exe
C:\Archivos de programa\Netropa\Multimedia Keyboard\TrayMon.exe
C:\Archivos de programa\Netropa\Onscreen Display\OSD.exe
c:\archiv~1\intern~1\iexplore.exe
C:\WINDOWS\system32\msiexec.exe
C:\Archivos de programa\HJT\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.mcclvrkebrdkdrqsukuxjw.co...IKSP8XZvP.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.forospyware.com/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)
F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\Nail.exe
O1 - Hosts: 12.129.205.209 search.netscape.com12.129.205.209 sitefinder.verisign.com
O2 - BHO: HomepageBHO - {e0103cd4-d1ce-411a-b75b-4fec072867f4} - C:\WINDOWS\system32\hpFD65.tmp (file missing)
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Archivos de programa\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Archivos de programa\Yahoo!\Companion\Installs\cpn\ycomp5_3_19 _0.dll (file missing)
O3 - Toolbar: &SearchBar - {0494D0D9-F8E0-41ad-92A3-14154ECE70AC} - C:\Archivos de programa\MyWay\myBar\2.bin\MYBAR.DLL (file missing)
O3 - Toolbar: (no name) - {86227D9C-0EFE-4f8a-AA55-30386A3F5686} - (no file)
O3 - Toolbar: Asistente para Internet de Encarta - {147D6308-0614-4112-89B1-31402F9B82C4} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Encarta Web Companion\ENCWCBAR.DLL (file missing)
O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE
O4 - HKLM\..\Run: [Share-to-Web Namespace Daemon] C:\Archivos de programa\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
O4 - HKLM\..\Run: [Disc Detector] C:\Archivos de programa\Creative\ShareDLL\CtNotify.exe
O4 - HKLM\..\Run: [CTStartup] C:\Archivos de programa\Creative\SBAudigy\Program\CTEaxSpl.EXE /run
O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\SiSUSBrg.exe
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Build Two Bib Noun] C:\Documents and Settings\All Users\Datos de programa\MealPhoneBuildTwo\book store.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\ARCHIV~1\SYMNET~1\SNDMon.exe
O4 - HKLM\..\Run: [BO1HelperStartUp] C:\ARCHIV~1\BUTTER~1\BO1HEL~1.EXE /partner BO1
O4 - HKLM\..\Run: [Itkslo] C:\Program Files\Lwfe\Vwzmp.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Media Access] C:\Program Files\Media Access\MediaAccK.exe
O4 - HKLM\..\Run: [WService] WService.EXE
O4 - HKLM\..\Run: [VIEW PROC IDOL DOWNLOAD] C:\Documents and Settings\All Users\Datos de programa\AmenHopeViewProc\bin book.exe
O4 - HKLM\..\Run: [MULTIMEDIA KEYBOARD] C:\Archivos de programa\Netropa\Multimedia Keyboard\MMKeybd.exe
O4 - HKLM\..\Run: [yqjwpqe] C:\WINDOWS\system32\phxpeqd.exe r
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [NBJ] "C:\Archivos de programa\Ahead\Nero BackItUp\NBJ.exe"
O4 - HKCU\..\Run: [E06EDXRC_5152649] "C:\Archivos de programa\Microsoft Encarta\Encarta 2006 Biblioteca Premium\EDICT.EXE" -m
O4 - HKCU\..\Run: [Stupidchic] C:\DOCUME~1\NARSCO~2\DATOSD~1\CLOCKH~1\Chin book.exe
O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra button: SideFind - {10E42047-DEB9-4535-A118-B3F6EC39B807} - C:\Archivos de programa\SideFind\sidefind.dll (file missing)
O9 - Extra button: (no name) - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\ARCHIV~1\Yahoo!\MESSEN~1\YPager.exe
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\ARCHIV~1\Yahoo!\MESSEN~1\YPager.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O12 - Plugin for .spop: C:\Archivos de programa\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {0594AF7E-573B-40DF-8165-E47AB2EAEFE8} (EGEGAUTH Class) - http://akamai.downloadv3.com/binarie...1021_ES_XP.cab
O16 - DPF: {0A5FD7C5-A45C-49FC-ADB5-9952547D5715} (Creative Software AutoUpdate) - http://www.creative.com/su/ocx/12119/CTSUEng.cab
O16 - DPF: {15AD4789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/Cl...bridge-c14.cab
O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/CDT/ie/bridge-c18.cab
O16 - DPF: {469C7080-8EC8-43A6-AD97-45848113743C} - http://akamai.downloadv3.com/binarie...hv32_ES_XP.cab
O16 - DPF: {51641EF3-8A7A-4D84-8659-B0911E947CC8} (SetupHtml Class) - http://www.contenidospc.com/instalador.cab
O16 - DPF: {F6ACF75C-C32C-447B-9BEF-46B766368D29} (Creative Software AutoUpdate Support Package) - http://www.creative.com/su/ocx/12119/CTPID.cab
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\System32\CTsvcCDA.EXE
O23 - Service: Macromedia Licensing Service - Macromedia - C:\Archivos de programa\Archivos comunes\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: Servicio Auto-Protect de Norton AntiVirus (navapsvc) - Symantec Corporation - C:\Archivos de programa\Norton AntiVirus\navapsvc.exe
O23 - Service: Netropa NHK Server (nhksrv) - Unknown owner - C:\Archivos de programa\Netropa\Multimedia Keyboard\nhksrv.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Archivos de programa\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\ARCHIV~1\ARCHIV~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\SNDSrvc.exe
O23 - Service: System Startup Service (SvcProc) - Unknown owner - C:\WINDOWS\svcproc.exe
O23 - Service: WinTab Service (WinTabService) - Tablet Driver - C:\WINDOWS\System32\Drivers\WTSRV.EXE

Algunas veces me aparecen poup-ups sin tener ningun navegador abierto; y algunas cosas extrañas que comprueban la existencia de spywares; muchas gracias gpastor por tu ayuda; he visto tu sitio y te la pasas ayudando a la gente (ya hasta me he registrado) jejeje; GRACIAS!!!!

Gpastor · #9 (**permalink**) 26/12/2005, 09:54

Mi amigo, tienes de todo como en botica

- Desinstala desde el Panel de Control, si los encuentras estos programas:

Media Access

SideFind

MyWay

Este programa lo desconozco

C:\Program Files\Lwfe\Vwzmp.exe

¿tu mismo lo instalaste? ¿confías en el funcionamiento de este programa?

De preferencia sube estos archivos a la página de VirusTotal y pega el reporte para su análisis

C:\Program Files\Lwfe\Vwzmp.exe

C:\Documents and Settings\All Users\Datos de programa\AmenHopeViewProc\bin book.exe

C:\DOCUME~1\NARSCO~2\DATOSD~1\CLOCKH~1\Chin book.exe

Luego sigue estos pasos:

1.- Descarga la herramienta NailFix.zip y descomprímela en el escritorio de Windows pero no la ejecutes aun.

2.- Apaga el "Restaurar Sistema"

3.- Activa la opción Ver Archivos Ocultos

4.- Cierra todos los programas, ejecuta HijackThis y dale "Fix Cheked" a estas entradas:

R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)

F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\Nail.exe

O1 - Hosts: 12.129.205.209 search.netscape.com12.129.205.209 sitefinder.verisign.com<-- a menos que tu mismo lo hayas puesto ahí

O2 - BHO: HomepageBHO - {e0103cd4-d1ce-411a-b75b-4fec072867f4} - C:\WINDOWS\system32\hpFD65.tmp (file missing)

O3 - Toolbar: &SearchBar - {0494D0D9-F8E0-41ad-92A3-14154ECE70AC} - C:\Archivos de programa\MyWay\myBar\2.bin\MYBAR.DLL (file missing)

O3 - Toolbar: (no name) - {86227D9C-0EFE-4f8a-AA55-30386A3F5686} - (no file)

O4 - HKLM\..\Run: [Media Access] C:\Program Files\Media Access\MediaAccK.exe

O4 - HKLM\..\Run: [yqjwpqe] C:\WINDOWS\system32\phxpeqd.exe r

O9 - Extra button: SideFind - {10E42047-DEB9-4535-A118-B3F6EC39B807} - C:\Archivos de programa\SideFind\sidefind.dll (file missing)

O16 - DPF: {0594AF7E-573B-40DF-8165-E47AB2EAEFE8} (EGEGAUTH Class) - http://akamai.downloadv3.com/binarie...1021_ES_XP.cab

O16 - DPF: {15AD4789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/Cl...bridge-c14.cab

O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/CDT/ie/bridge-c18.cab

O16 - DPF: {469C7080-8EC8-43A6-AD97-45848113743C} - http://akamai.downloadv3.com/binarie...hv32_ES_XP.cab

O16 - DPF: {51641EF3-8A7A-4D84-8659-B0911E947CC8} (SetupHtml Class) - http://www.contenidospc.com/instalador.cab

O23 - Service: System Startup Service (SvcProc) - Unknown owner - C:\WINDOWS\svcproc.exe

5.- Sin reiniciar, busca y elimina estos archivos, si no se dejan eliminar descarga el programa "Killbox" y sigue las indicaciones del mensaje, copia y pega los archivos para que los elimine al reiniciar.

C:\WINDOWS\Nail.exe

C:\WINDOWS\system32\hpFD65.tmp

C:\Archivos de programa\MyWay\<-- Elimina la carpeta y todo su contenido

C:\Program Files\Media Access\<-- Elimina la carpeta y todo su contenido

C:\WINDOWS\system32\phxpeqd.exe

C:\Archivos de programa\SideFind\<-- Elimina la carpeta y todo su contenido

C:\WINDOWS\svcproc.exe

6.- Ejecuta el archivo DelPSGuard.exe y sigue las instrucciones del programa.

7.- Con todos los programas cerrados ejecutar el archivo NailFix.exe, este va a abrir una ventana azul con la informacion del programa donde tienes que apretar cualquier tecla para que este continué y elimine el parásito.

8.- Pasa el Disk Cleaner para limpiar cookies y temporales

9.- Pasa el Regseeker para Limpiar el Registro, pásalo hasta q no quede nada para eliminar.

10.- Pasa el Ad-Aware SE actualizado e instala SpywareBlaster

11.- Reinicia la maquina y pega otro log de Hijackthis aqui mismo, luego nos cuentas como te fue.

De preferencia imprime las indicaciones para que se te haga mas facil seguirlas.

Saludos

narscorp · #10 (**permalink**) 26/12/2005, 15:14

He hecho todos los pasos; pero no encontre algunos archivos como:
C:\WINDOWS\system32\hpFD65.tmp

C:\Archivos de programa\MyWay\

C:\Program Files\Media Access\

C:\WINDOWS\system32\phxpeqd.exe

C:\Archivos de programa\SideFind\

Ese tal ''Chin book'' se me instalo desde que puse el Spy Axe; y no se quiere eliminar; no se si usar el killbox.
El problema del windows intaller ya se me soluciono, muchas gracias,
pero es tal ''svcproc.exe'' se me volvio a instalar y el tal C:\WINDOWS\Nail.exe;
y algo muy extraño; cuando reinicio mi pc; se me pone de pagina de inicio tu pagina ForoSpyware O_o ¿que sucede?
aqui esta de nuevo mi registro:

C:\WINDOWS\system32\wuauclt.exe
C:\Archivos de programa\Netropa\Multimedia Keyboard\MMKeybd.exe
C:\Archivos de programa\Creative\ShareDLL\MediaDet.Exe
C:\Archivos de programa\Netropa\Multimedia Keyboard\TrayMon.exe
C:\Archivos de programa\Netropa\Onscreen Display\OSD.exe
C:\Archivos de programa\eDonkey2000\eDonkey2000.exe
C:\Archivos de programa\Internet Explorer\iexplore.exe
c:\archiv~1\intern~1\iexplore.exe
C:\Archivos de programa\WinZip\WZQKPICK.EXE
C:\Archivos de programa\HJT\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.tcjznaocwoxgvhxofau.uk/dE...IKSP8XZvP.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.forospyware.com/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\Nail.exe
O2 - BHO: HomepageBHO - {e0103cd4-d1ce-411a-b75b-4fec072867f4} - C:\WINDOWS\system32\hpFD65.tmp (file missing)
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Archivos de programa\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Archivos de programa\Yahoo!\Companion\Installs\cpn\ycomp5_3_19 _0.dll (file missing)
O3 - Toolbar: Asistente para Internet de Encarta - {147D6308-0614-4112-89B1-31402F9B82C4} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Encarta Web Companion\ENCWCBAR.DLL (file missing)
O4 - HKLM\..\Run: [Disc Detector] C:\Archivos de programa\Creative\ShareDLL\CtNotify.exe
O4 - HKLM\..\Run: [CTStartup] C:\Archivos de programa\Creative\SBAudigy\Program\CTEaxSpl.EXE /run
O4 - HKLM\..\Run: [MULTIMEDIA KEYBOARD] C:\Archivos de programa\Netropa\Multimedia Keyboard\MMKeybd.exe
O4 - HKLM\..\Run: [eDonkey2000] C:\Archivos de programa\eDonkey2000\eDonkey2000.exe -t
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKLM\..\Run: [VIEW PROC IDOL DOWNLOAD] C:\Documents and Settings\All Users\Datos de programa\AmenHopeViewProc\Regs coal.exe
O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Archivos de programa\WinZip\WZQKPICK.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra button: (no name) - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O12 - Plugin for .spop: C:\Archivos de programa\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {0A5FD7C5-A45C-49FC-ADB5-9952547D5715} (Creative Software AutoUpdate) - http://www.creative.com/su/ocx/12119/CTSUEng.cab
O16 - DPF: {F6ACF75C-C32C-447B-9BEF-46B766368D29} (Creative Software AutoUpdate Support Package) - http://www.creative.com/su/ocx/12119/CTPID.cab
O23 - Service: C-DillaSrv - C-Dilla Ltd - C:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\System32\CTsvcCDA.EXE
O23 - Service: Macromedia Licensing Service - Macromedia - C:\Archivos de programa\Archivos comunes\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: Servicio Auto-Protect de Norton AntiVirus (navapsvc) - Symantec Corporation - C:\Archivos de programa\Norton AntiVirus\navapsvc.exe
O23 - Service: Netropa NHK Server (nhksrv) - Unknown owner - C:\Archivos de programa\Netropa\Multimedia Keyboard\nhksrv.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Archivos de programa\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\ARCHIV~1\ARCHIV~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\SNDSrvc.exe
O23 - Service: System Startup Service (SvcProc) - Unknown owner - C:\WINDOWS\svcproc.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\Security Center\SymWSC.exe
O23 - Service: WinTab Service (WinTabService) - Tablet Driver - C:\WINDOWS\System32\Drivers\WTSRV.EXE

Gpastor · #11 (**permalink**) 26/12/2005, 16:59

El log está mal pegado, le falta la cabecera, mira tu anterior log y compáralo con el nuevo que pegaste.

La herramienta DelPSGuard te deja como página de inicio www.forospyware.com momentáneamente eso lo puedes cambiar cuando desees.

El log se ve mejor pero aún hay entradas por reparar, sigue estos pasos:

1.- Apaga el "Restaurar Sistema"

2.- Activa la opción Ver Archivos Ocultos

3.- Cierra todos los programas, ejecuta HijackThis y dale "Fix Cheked" a estas entradas:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.tcjznaocwoxgvhxofau.uk/dE...IKSP8XZvP.html

F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\Nail.exe

O2 - BHO: HomepageBHO - {e0103cd4-d1ce-411a-b75b-4fec072867f4} - C:\WINDOWS\system32\hpFD65.tmp (file missing)

O4 - HKLM\..\Run: [VIEW PROC IDOL DOWNLOAD] C:\Documents and Settings\All Users\Datos de programa\AmenHopeViewProc\Regs coal.exe

O23 - Service: System Startup Service (SvcProc) - Unknown owner - C:\WINDOWS\svcproc.exe

4.- Sin reiniciar, busca y elimina estos archivos, si no se dejan eliminar descarga el programa "Killbox" y sigue las indicaciones del mensaje, copia y pega los archivos para que los elimine al reiniciar.

C:\WINDOWS\Nail.exe

C:\WINDOWS\system32\hpFD65.tmp

C:\Documents and Settings\All Users\Datos de programa\AmenHopeViewProc\<-- Elimina la carpeta y todo su contenido

C:\WINDOWS\svcproc.exe

5.- Ejecuta las herramientas NailFix y DelPSGuard uno por uno.

6.- Pasa el Disk Cleaner para limpiar cookies y temporales

7.- Pasa el Regseeker para Limpiar el Registro, pásalo hasta q no quede nada para eliminar.

8.- Pasa el Ad-Aware SE y Spybot Search & Destroy actualizados

9.- Reinicia la maquina y pega otro log de Hijackthis aqui mismo, luego nos cuentas como te fue.

De preferencia imprime las indicaciones para que se te haga mas facil seguirlas.

Saludos

karencilla20 · #12 (**permalink**) 27/12/2005, 20:20

a mi me está pasando lo mismo del malware, me salió un letrero de

YOUR COMPUTER IS INFECTED!!!!!
Dangerous malware infection was detected on your PC; the system will now download and install most efficient antimalware program to prevent data loss and your private information theft.
Click here to protect your computer from the biggest malware threasts

y seguí las instrucciones que se indicaron acá, sin embargo me sigue saliendo... claro está que la verdad el paso 9 de "Pasa el Ad-Aware SE y Spybot Search & Destroy actualizados. " no lo hice en realidad, es que no entiendo bien ese paso, yo de computadores no se nada, pero ya estoy desesperada con ese letrero, por favor ayudenme como hago el ultimo paso haber si así se me quita el letrero

Les agradeceria mucho su ayuda

emediseno · #13 (**permalink**) 29/12/2005, 16:55

gpastor felicidades

es la primera vez que entro a esta parte del foro (normalmente entro a diseño grafico) y me sorprende la disposicion y paciencia que tienes para tratar de ayudar a la gente desinteresadamente

GRACIAS de antemano porque no se cuando voy a requerir de tus conocimientos

Suerte a Narscop con su problemilla

Saludos

alamarcheta · #14 (**permalink**) 10/01/2006, 09:42

gpastor eres una maquina. He seguido todos los pasos que has publicado y le he parado los pies al p... malware. Merci

martin perez · #15 (**permalink**) 20/01/2006, 12:49

Cita:

Iniciado por narscorp

Buenos dias.
HAce unos minutos entre a un sitio donde queria ver un video, y me decia que necesitaba descargar un archivo para el windows media (SvideoCodek algo asi se llamaba) el caso es que lo descargue (se descargo en un segundo) y se instalo rapidamente (2 segundos) luego me aparece una ventana que esta buscando el archivo de la enciclopedia encarta, y en los iconos de la barra (el del mundo con una ventana) me dice:

El caso es que se me pusieron unos iconos en el escritori de un tal spy axe (nunca antes instalado) y luego solo lo ejecuto y el programa me pide que lo compre; el caso es que no deja de estar jodiendo y creo que es un truco comercial de los fabricantes del programa, pero no se como quitarlo; ayudenme please!!!!!

Manu_Leon · #16 (**permalink**) 28/01/2006, 08:17

Primer principio de la informatica: Ante la duda, Formatea... xd

norbey · #17 (**permalink**) 10/03/2006, 08:41

hola ami me paso casi lo mismo una activex o una cosa asi para descargar un crack y yo ni siquiera le dije que instalara e instalo alli me sali ese mensaje en la barra de inicio que parpadeaba y segui lo mismo bueno hice esto mire en c: alli me aparecio una ventanita ejecutable que decia algo sobre eso y unos temp lo elimine y no me dejaba me decia que estaba siendo usado por alguien luego entre al administrador de tareas y finalice el proceso de ese .exe y luego lo elimine y listo dejo de salir ese maldito mensajesito.... trata de buscar lo que se te instalo y lo buscas haces esto y listo...... o me puedes contactar a travez del msn [email protected] para tratar de ayudar ok suerte

norbey · #18 (**permalink**) 10/03/2006, 08:46

Cita:

Iniciado por alamarcheta

gpastor eres una maquina. He seguido todos los pasos que has publicado y le he parado los pies al p... malware. Merci

Hola dime en puedo ayudarte y lograre que tus problemas se solucionen ok....

norbey · #19 (**permalink**) 10/03/2006, 08:52

Cita:

Iniciado por narscorp

Buenos dias.
HAce unos minutos entre a un sitio donde queria ver un video, y me decia que necesitaba descargar un archivo para el windows media (SvideoCodek algo asi se llamaba) el caso es que lo descargue (se descargo en un segundo) y se instalo rapidamente (2 segundos) luego me aparece una ventana que esta buscando el archivo de la enciclopedia encarta, y en los iconos de la barra (el del mundo con una ventana) me dice:

El caso es que se me pusieron unos iconos en el escritori de un tal spy axe (nunca antes instalado) y luego solo lo ejecuto y el programa me pide que lo compre; el caso es que no deja de estar jodiendo y creo que es un truco comercial de los fabricantes del programa, pero no se como quitarlo; ayudenme please!!!!!

Hola contactame por msn y te puedo ayudar ok [email protected]

werer · #20 (**permalink**) 07/05/2006, 08:56

yo he hecho eso varias veces y nada, me sigue saliendo el cartelito de los co.... , por favor que alguien me diga que tengo que hacer, porque estoy a un paso de formatear.

gracias de antemano

carlosmaggi · #21 (**permalink**) 30/05/2006, 12:11

Cita:

Iniciado por Manu_Leon

Primer principio de la informatica: Ante la duda, Formatea... xd

Hola!!por favor explicame que es formatear,tengo un trojano y n o se como sacarlo y lo peor es que creo que no se seguir instrucciones estuvo un tecnico aqui y no lo pudo sacar,si vos o alguien sabe como sacarlo .por favor que me diga como sacarlo que me tirne fastidioso,cansado,podrido,frustrado,etc.Gracias.c arlos