NO se ejecuta el ad aware!! desaparece el programa

Ramonyuc · #1 (**permalink**) 05/10/2004, 09:43

Tengo este problema pro si alguien es tan amable de ayudarme:

Mi Explorer continuamente ejecuta la pagina we search, y despliega que esto infectada de spy's me envia a una pagina para comprar una solucion.

he tratado de instalar adaware 1.05 de lavasoft , lo puedo bajar , pero no me deja instalarlo, aun en modo seguro y desactivando "restaurar sistema", ademas me elimina el programa del lugar donde lo bajo.

en otra computadora (de mi trabajo) si me funciono, instale segun vi reocmendacion de el piedra, spybot y spyblaster, pero en la de mi casa no me deja.

elpiedra · #2 (**permalink**) 05/10/2004, 11:17

Seguramente tenes algun proceso que se carga en memoria que te esta bloqueando el Ad-Adware.

Lo raro es que tampoco te deja en modo a prueba de fallos

Fijate si podes bajar el HijackThis y despues pega el log aca.

Este no necesita instalacion y con el podemos ver que puede ser que este bloqueando la instalacion del antispyware.

Salu2
El Piedra

Ramonyuc · #3 (**permalink**) 05/10/2004, 21:50

Cita:

Iniciado por elpiedra

Seguramente tenes algun proceso que se carga en memoria que te esta bloqueando el Ad-Adware.

Lo raro es que tampoco te deja en modo a prueba de fallos

Fijate si podes bajar el HijackThis y despues pega el log aca.

Este no necesita instalacion y con el podemos ver que puede ser que este bloqueando la instalacion del antispyware.

Salu2
El Piedra

gracias por responder, el log es el siguiente, fijate que el spybot lo puedo correr y detecta COOLWWWSEARCH SERA ESTE EL PROBLEMA, PERO AUN CORRIENDO LA OPCION DE ELIMINAR SIGUE EL PROBLEMA, TAMPOCO ME DEJA CORRER EL SPYBLASTER

Logfile of HijackThis v1.98.2
Scan saved at 09:45:30 p.m., on 05/10/2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\alg.exe
C:\Archivos de programa\Symantec_Client_Security\Symantec AntiVirus\DefWatch.exe
C:\WINDOWS\system32\drivers\KodakCCS.exe
C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\igfxtray.exe
C:\WINDOWS\System32\hkcmd.exe
C:\Archivos de programa\Elaborate Bytes\CloneCD\CloneCDTray.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC 1.EXE
C:\Archivos de programa\MUSICMATCH\MUSICMATCH Jukebox\mm_tray.exe
C:\WINDOWS\PL15Co2K.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Archivos de programa\MSN Messenger\MsnMsgr.Exe
C:\Archivos de programa\Kodak\Kodak EasyShare software\bin\EasyShare.exe
C:\Archivos de programa\Spybot - Search & Destroy\SpybotSD.exe
D:\adware\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://super-spider.com/sp.htm?id=9
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://super-spider.com/sp.htm?id=9
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://super-spider.com/sp.htm?id=9
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.windowws.cc/hp.htm?id=9
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://uurngw.outhost.info/
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://super-spider.com/sp.htm?id=9
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
R3 - Default URLSearchHook is missing
O2 - BHO: (no name) - {2E9CAFF6-30C7-4208-8807-E79D4EC6F806} - C:\WINDOWS\System32\esh9p3h.dll
O2 - BHO: (no name) - {467FAEB2-5F5B-4c81-BAE0-2A4752CA7F4E} - C:\WINDOWS\System32\xyn2czwtmihuzc.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [TkBellExe] C:\Archivos de programa\Archivos comunes\Real\Update_OB\evntsvc.exe -osboot
O4 - HKLM\..\Run: [CloneCDElbyCDFL] "C:\Archivos de programa\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [CloneCDTray] "C:\Archivos de programa\Elaborate Bytes\CloneCD\CloneCDTray.exe"
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [EPSON Stylus C42 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC 1.EXE /P23 "EPSON Stylus C42 Series" /O6 "USB001" /M "Stylus C42"
O4 - HKLM\..\Run: [Ink Monitor] C:\Archivos de programa\EPSON\Ink Monitor\InkMonitor.exe
O4 - HKLM\..\Run: [MMTray] C:\Archivos de programa\MUSICMATCH\MUSICMATCH Jukebox\mm_tray.exe
O4 - HKLM\..\Run: [WinampAgent] "C:\Archivos de programa\Winamp\Winampa.exe"
O4 - HKLM\..\Run: [HI-SPEED USB DEVICE Coinstaller] PL15Co2K.exe
O4 - HKLM\..\Run: [romahere] C:\WINDOWS\System32\matrixhere.exe
O4 - HKLM\..\Run: [pnpsvc_lock] C:\WINDOWS\System32\5312843.exe
O4 - HKLM\..\Run: [Network Service] C:\WINDOWS\svhost.exe -sr -0
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Archivos de programa\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [romahere] C:\WINDOWS\System32\matrixhere.exe
O4 - HKCU\..\Run: [uninstal] regsvr32 /u /s image.dll
O4 - HKCU\..\RunServices: [Image] rundll32 C:\WINDOWS\image.new,Install
O4 - Global Startup: KODAK Software Updater.lnk = C:\Archivos de programa\Kodak\KODAK Software Updater\7288971\6.1.4.37-7288971L\Program\runner.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Software Kodak EasyShare.lnk = C:\Archivos de programa\Kodak\Kodak EasyShare software\bin\EasyShare.exe
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)
O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)
O9 - Extra button: Investigador - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Encarta Researcher\EROPROJ.DLL
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE
O12 - Plugin for .mpeg: C:\Archivos de programa\Internet Explorer\PLUGINS\npqtplugin3.dll
O12 - Plugin for .spop: C:\Archivos de programa\Internet Explorer\Plugins\NPDocBox.dll
O12 - Plugin for ¸æ: C:\Archivos de programa\Internet Explorer\PLUGINS\npqtplugin4.dll
O16 - DPF: {10003000-1000-0000-1000-000000000000} - http://213.159.118.226/x.exe
O16 - DPF: {15AD4789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://public.windupdates.com/get_fi...3d9b8c6939a0c7
O17 - HKLM\System\CCS\Services\Tcpip\..\{336D74E9-3B9B-4714-88B4-9A3ECF881CDC}: NameServer = 200.33.146.249 200.33.146.241
O20 - AppInit_DLLs: gg8hg45sjr7.dll

elpiedra · #4 (**permalink**) 06/10/2004, 08:08

Bueno veamos si lo podemos sacar a mano.

1- Apaga el Restaurar Sistema de las propiedades de MiPC

2- Reinicia el Pc pulsando F8 y pone en modo a prueba de fallos (seguro)

3- Con todos los programas cerrados le tiras el HJT y marca y dale Fix a estas casillas.

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://super-spider.com/sp.htm?id=9
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://super-spider.com/sp.htm?id=9
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://super-spider.com/sp.htm?id=9
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.windowws.cc/hp.htm?id=9
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://uurngw.outhost.info/
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://super-spider.com/sp.htm?id=9
O2 - BHO: (no name) - {2E9CAFF6-30C7-4208-8807-E79D4EC6F806} - C:\WINDOWS\System32\esh9p3h.dll
O2 - BHO: (no name) - {467FAEB2-5F5B-4c81-BAE0-2A4752CA7F4E} - C:\WINDOWS\System32\xyn2czwtmihuzc.dll

Esto corresponde a un troyano Win32.Krepper.p en donde tenes dos entradas que eliminar iguales y al final te pongo las otras cosas que tenes que sacar del registro a mano.
O4 - HKLM\..\Run: [romahere] C:\WINDOWS\System32\matrixhere.exe
O4 - HKCU\..\Run: [romahere] C:\WINDOWS\System32\matrixhere.exe
--------------------------------------------------------------------
O4 - HKCU\..\Run: [uninstal] regsvr32 /u /s image.dll
O4 - HKCU\..\RunServices: [Image] rundll32 C:\WINDOWS\image.new,Install
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O16 - DPF: {10003000-1000-0000-1000-000000000000} - http://213.159.118.226/x.exe

-------------------------------------------------------------------------
Para el troyano Win32.Krepper.p tambien tenes que buscar y eliminar lo siguente.

1- Entra en el registro de windows con el REGEDIT y con F3 busca y elimina estas entradas:
HKEY_CURRENT_USER\software\microsoft\windows\curre ntversion\run\jopa
HKEY_CURRENT_USER\software\microsoft\windows\curre ntversion\run\romahere
HKEY_LOCAL_MACHINE\software\microsoft\windows\curr entversion\run\jopa
HKEY_LOCAL_MACHINE\software\microsoft\windows\curr entversion\run\romahere

2- Busca y elimina estos archivos
matrixhere.exe
sysstartup.exe
systemrmatrixhere.exe
sysstartup.exe
trojan.win32.krepper.p.dll
trojan.win32.krepper.p_(10).dll

3- Elimina cookies, historial y temporales de internet.

Reinicia el sistema en modo normal y repeti el proceso del HijackThis antes de conectar a internet para ver si no quedo nada y si lo hay eliminalo.

Reinicia nuevamente y despus nos contas los resultados.

Salu2
El Piedra

Ramonyuc · #5 (**permalink**) 11/10/2004, 12:06

OK INTENTARE ELIMINAR EL PROBLEMA COMO ME INDICAS
GRACIAS.

RAMONYUC