spyware?

[DnizZz]

Logfile of HijackThis v1.99.1
Scan saved at 0:32:18, on 11/10/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\mssenger.exe
C:\WINDOWS\SYSTEM32\RUNDLL.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\Archivos de programa\Persystems\Perav\PERVACNT.EXE
C:\Archivos de programa\CyberLink\Shared files\RichVideo.exe
C:\WINDOWS\Explorer.EXE
C:\Archivos de programa\Logitech\G-series Software\LGDCore.exe
C:\Archivos de programa\Logitech\G-series Software\LCDMon.exe
C:\WINDOWS\system32\rundll32.exe
C:\Archivos de programa\Logitech\G-series Software\Applets\LCDMedia.exe
C:\Archivos de programa\Logitech\G-series Software\Applets\LCDClock.exe
C:\Archivos de programa\Logitech\SetPoint\SetPoint.exe
C:\Archivos de programa\Archivos comunes\Logitech\khalshared\KHALMNPR.EXE
C:\WINDOWS\system32\rundll32.exe
C:\Archivos de programa\MSN Messenger\msnmsgr.exe
C:\Archivos de programa\Windows Media Player\wmplayer.exe
C:\WINDOWS\system32\svchost.exe
C:\Archivos de programa\Internet Explorer\iexplore.exe
C:\Archivos de programa\Kaspersky Lab\Kaspersky Internet Security 6.0\avp.exe
C:\Archivos de programa\Kaspersky Lab\Kaspersky Internet Security 6.0\avp.exe
C:\Documents and Settings\Denys\Escritorio\HijackThis.exe

R3 - URLSearchHook: IE Toolbar - {04C7B109-8162-A0D6-B186-DBE176064A3E} - (no file)
O2 - BHO: SafeMe Internet Explorer Helper - {3AE06CEE-58A6-4F5F-AF89-6C5350842F16} - C:\WINDOWS\system32\SafeHelper12.dll
O2 - BHO: raObject Class - {46F194EB-B7DB-4B7A-BD42-5FF39FD17664} - (no file)
O2 - BHO: Vision - {6671A431-5C3D-463d-A7CF-5587F9B7E191} - C:\ARCHIV~1\MMSASS~1\Mmsass~1.dll (file missing)
O2 - BHO: Subconscious Intruder - {EBBC6E6D-7B65-46be-B509-86CED2D17876} - C:\WINDOWS\system32\Inte32.dll
O3 - Toolbar: eqiso Toolbar - {B7D3E479-CC68-42B5-A338-938ECE35F419} - (no file)
O4 - HKLM\..\Run: [Launch LGDCore] "C:\Archivos de programa\Logitech\G-series Software\LGDCore.exe" /SHOWHIDE
O4 - HKLM\..\Run: [Launch LCDMon] "C:\Archivos de programa\Logitech\G-series Software\LCDMon.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [realtpsk] C:\WINDOWS\system\realsched.exe
O4 - HKLM\..\Run: [AVP] "C:\Archivos de programa\Kaspersky Lab\Kaspersky Internet Security 6.0\avp.exe"
O4 - HKLM\..\Run: [Logitech Hardware Abstraction Layer] "C:\Archivos de programa\Archivos comunes\Logitech\khalshared\KHALMNPR.EXE"
O4 - HKLM\..\Run: [Kernel and Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKCU\..\Run: [msnmsgr] "C:\Archivos de programa\MSN Messenger\msnmsgr.exe" /background
O4 - Global Startup: Logitech SetPoint.lnk = ?
O8 - Extra context menu item: Add to Anti-Banner - C:\Archivos de programa\Kaspersky Lab\Kaspersky Internet Security 6.0\ie_banner_deny.htm
O9 - Extra button: Web Anti-Virus - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Archivos de programa\Kaspersky Lab\Kaspersky Internet Security 6.0\scieplugin.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\windows\system32\ultra32.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\ultra32.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{C954F7A9-65F8-488C-A2F5-6813F952B4B2}: NameServer = 200.48.225.130,200.48.225.146
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\ARCHIV~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - AppInit_DLLs: "C:\ARCHIV~1\KASPER~1\KASPER~1.0\adialhk.dll"
O20 - Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\
O23 - Service: AVP - Unknown owner - C:\Archivos de programa\Kaspersky Lab\Kaspersky Internet Security 6.0\avp.exe" -r (file missing)
O23 - Service: Windows Management Multimedia (mssenger) - Unknown owner - C:\WINDOWS\SYSTEM32\mssenger.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PER Antivirus Security Service (pav_security) - PER SYSTEMS S.A. - C:\Archivos de programa\Persystems\Perav\PAVSS.EXE
O23 - Service: PER Antivirus (pav_service) - PER Systems S.A. - C:\Archivos de programa\Persystems\Perav\PERVACNT.EXE
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Archivos de programa\CyberLink\Shared files\RichVideo.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcap\rpcapd.exe" -d -f "%ProgramFiles%\WinPcap\rpcapd.ini (file missing)
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Archivos de programa\TuneUp Utilities 2006\WinStylerThemeSvc.exe

nuevamente me paso lo mismo, ya le pase el Kaspersky Internet Security 6.0 pero aun se abre el explorer solo haciendo publicidad :x me pueden decir quee borro o desactivo con el HijackThis :oops: :arrowu:

[Nic0TiN4]

le as pasado el spybot ? .. tmb pasale el adwarer.se

[GroG]

Te cuento que tu pc esta a punto de morir, ademas de que cada vez que nos pasas tu log del HijackThis hay algo nuevo, deja de estar instalando cosas !.

Lo peor de aca es que tienes un backdoor :

User Comments On RichVideo.exe
Rich Video is added to run on startup of Windows by Cyberlink Power Director 4 ( DvD video editing software )..It can effect online gaming by causing game stutters and pausing ...
Blue UK - Posted: 08/05/2005 08:25:31

BHO, Browser Helper Object (Ayudante de Objetivos del Navegador) [enlace]  
También denominado BHO.
Un BHO es un pequeño programa de ampliación del Internet Explorer de Microsoft.
Ejemplos del uso de BHO incluyen las barras de herramientas que se agregan a IE, pero también pueden ser funciones ocultas. El software publicitario y espía así como los modificadores del navegador con frecuencia usan los BHO para mostrar anuncios o seguir sus movimientos dentro de internet, ya que un BHO tiene acceso a cada URL que usted visita y pueden redirigirle o mostrarle otras páginas diferentes de la que usted solicitó (anuncios, por ejemplo).
Las BHOs con frecuencia usan programas de instalación de ActiveX.

Installation:

Upon execution of this adware it creates a folder by name "update" at the location of its execution. Then the adware connects to 222.73.0.196 and downloads a file called setup.exe in the newly created folder "update" and executes this file. 

Setup.exe creates a folder MMSAssist in C:\Program Files and drops a dll file called Mmsass~1.dll in this folder. Mmsass~1.dll is registered as a BHO. This also creates a button in the tools menu option in Internet Explorer.

After the BHO is installed, when the Internet Explorer is opened this connects to www.borlander.com.cn and www.borlander.cn sites.

The following registry keys are created. 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{6671A431-5C3D-463d-A7CF-5587F9B7E191} @="Vision"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{6A512BF7-EC78-4e8d-9841-6C02E8FA9838} @="stdup"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{6671A431-5C3D-463d-A7CF-5587F9B7E191} @="MMSAssist BHO"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{6671A431-5C3D-463d-A7CF-5587F9B7E191}\InprocServer32 @="C:\\PROGRA~1\\MMSASS~1\\Mmsass~1.dll"
"ThreadingModel"="Apartment"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{6A512BF7-EC78-4e8d-9841-6C02E8FA9838} @="stdup"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{6A512BF7-EC78-4e8d-9841-6C02E8FA9838}\InprocServer32 @="C:\\WINDOWS\\System32\\stdup.dll"
"ThreadingModel"="Apartment"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{74289A79-E652-4A57-A6B9-EE64AD532A8D} @="IMMSAssist"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{AB45CE36-C280-4525-BCF9-1BD01D3E4B57} @="IAxObj"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{077525AC-C681-4139-8C3E-B582BDD375C7}\1.0 @="MMSBho 1.0 Type Library"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{077525AC-C681-4139-8C3E-B582BDD375C7}\1.0\0\win32 @="C:\\PROGRA~1\\MMSASS~1\\Mmsass~1.dll"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{22F87D75-7DD1-4545-94B3-CA80C0F462C6}\1.0 @="Ad 1.0 Type Library"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{22F87D75-7DD1-4545-94B3-CA80C0F462C6}\1.0\0\win32 @="C:\\WINDOWS\\System32\\stdup.dll"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Ad.AxObj
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Ad.AxObj.1
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MMSBho.MMSAssist.1
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MMSBho.MMSAssistMenu

HKEY_LOCAL_MACHINE\SOFTWARE\MMSAssist
HKEY_LOCAL_MACHINE\SOFTWARE\Stdup

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt\>>²ÊÐÅ·¢ËÍ<<
@="res&#58;//C&#58;\\PROGRA~1\\MMSASS~1\\Mmsass~1.dll/mms.htm"

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Extensions\CmdMapping
"&#123;6671A433-5C3D-463d-A7CF-5587F9B7E191&#125;"=dword&#58;00002001

Adds the following service

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\StdService

Adds the following folders

&#91;execution location&#93;\Update
c&#58;\Program Files\MMSAssist
c&#58;\Program Files\MMSAssist\updmms
c&#58;\Program Files\MMSAssist\updmmsex

Adds the following files

&#91;execution location&#93;\Update\~up.ini
&#91;execution location&#93;\Update\setup.exe
&#91;execution location&#93;\Update\Update.ini

c&#58;\Program Files\MMSAssist\mms.ini
c&#58;\Program Files\MMSAssist\Mmsass~1.dll
c&#58;\Program Files\MMSAssist\NSIS.Library.RegTool.v2.0.exe
c&#58;\Program Files\MMSAssist\update.ini
c&#58;\Program Files\MMSAssist\updmms\mmsstate.ini
c&#58;\Program Files\MMSAssist\updmms\update.ini
c&#58;\Program Files\MMSAssist\updmmsex\extern.ini

W32/Gaobot.NRL. Se copia como "rundll.exe"  
  
VSantivirus No. 1546 Año 8, jueves 30 de setiembre de 2004

W32/Gaobot.NRL. Se copia como "rundll.exe"
http://www.vsantivirus.com/gaobot-nrl.htm

Nombre: W32/Gaobot.NRL
Nombre Nod32: Win32/Agobot.NRL
Tipo: Gusano de Internet y caballo de Troya
Alias: Gaobot.NRL, Agobot.NRL, Win32/Agobot.NRL, Worm/Agobot.29.W, Backdoor.Agobot.gen, Backdoor.Agobot.3.Gen, Win32.HLLW.Agobot, W32/Gaobot.worm.gen.q, Backdoor.Agobot.LK, W32.HLLW.Gaobot.gen, W32/Gaobot.gen.worm, Win32/HLLW.Gaobot, W32/Agobot-LK, Backdoor.Agobot.VY
Fecha: 29/set/04
Plataforma: Windows 32-bit
Puertos: TCP/135, TCP/445, TCP/80
Tamaño: variable

Es un gusano que se propaga a través de redes compartidas, con contraseñas débiles (por defecto, pocos caracteres, etc.), valiéndose de conocidas vulnerabilidades.

Un intruso pueda acceder en forma remota a la computadora infectada, a través del IRC.

Se ejecuta solo en Windows NT, 2000 y XP, e intenta robar contraseñas y claves de conocidos juegos de computadora.

Se copia en el sistema infectado con el siguiente nombre: 
c:\windows\system32\rundll.exe 

NOTA: "c:\windows\system32" puede variar de acuerdo al sistema operativo instalado (con ese nombre por defecto en Windows XP y Windows Server 2003, como "c:\winnt\system32" en Windows NT y 2000 y "c:\windows\system" en Windows 9x y ME).

Agrega las siguientes entradas en el registro: 

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
Windows32 = "rundll.exe"

HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
Windows32 = "rundll.exe" 

Modifica el archivo HOSTS para que los siguientes sitios no puedan ser accedidos desde una máquina infectada:

avp .com
ca .com
customer .symantec .com
dispatch .mcafee .com
download .mcafee .com
f-secure .com
kaspersky .com
liveupdate .symantec .com
liveupdate .symantecliveupdate .com
mast .mcafee .com
mcafee .com
my-etrust .com
nai .com
networkassociates .com
rads .mcafee .com
secure .nai .com
securityresponse .symantec .com
sophos .com
symantec .com
trendmicro .com
update .symantec .com
updates .symantec .com
us .mcafee .com
viruslist .com
www .avp .com
www .ca .com
www .f-secure .com
www .kaspersky .com
www .mcafee .com
www .my-etrust .com
www .nai .com
www .networkassociates .com
www .sophos .com
www .symantec .com
www .viruslist .com

El gusano roba del PC infectado, los posibles identificadores y llaves (CD keys) de conocidos video juegos.

Posee además un componente de acceso remoto por puerta trasera vía IRC, que permite a un atacante realizar numerosas acciones en el equipo infectado, incluidos ataques de denegación de servicio (DoS), a blancos específicos. Algunas acciones posibles:

- Ejecutar comandos en forma remota
- Eliminar procesos seleccionados
- Examinar el tráfico HTTP, FTP, e IRC (sniffer)
- Finalizar servicios de Windows
- Listar los procesos activos
- Obtener archivos a través de FTP y HTTP
- Obtener direcciones de correo de la computadora infectada
- Obtener información del registro
- Obtener un determinado URL
- Realizar ataques del tipo "floods" (HTTP, ICMP, SYN, y UDP)
- Reiniciar la computadora
- Robar contraseñas 


Reparación manual

IMPORTANTE:

Descargue y ejecute cada parche antes de proceder al resto de la limpieza, desde los siguientes enlaces:

MS03-039 Ejecución de código en servicio RPCSS (824146)
http://www.vsantivirus.com/vulms03-039.htm

MS04-011 Actualización crítica (LSASS) (835732)
http://www.vsantivirus.com/vulms04-011.htm


Métodos para detener el reinicio de Windows

La descarga del parche correspondiente, puede verse dificultada por el constante reinicio del equipo infectado (un efecto secundario del exploit que se vale de la vulnerabilidad RPC/DCOM). Para evitarlo, siga cualquiera de estos métodos:

1. Simplemente atrase el reloj del sistema una o dos horas (ajústelo nuevamente a la hora correcta luego de la instalación del parche).

2. Desde Inicio, Ejecutar, escriba CMD y pulse Enter. Luego ingrese el siguiente comando (más Enter): 

shutdown   -a 


Cortafuegos

Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema.

ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus).

Más información:

Cómo configurar Zone Alarm 3.x
http://www.vsantivirus.com/za.htm


Deshabilitar las carpetas compartidas

Es importante desconectar cada computadora de cualquier red antes de proceder a su limpieza.


Antivirus

Actualice sus antivirus con las últimas definiciones, luego siga estos pasos:

1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo:

Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm

2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.

3. Borre los archivos detectados como infectados.


Editar el registro

1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT, y pulse ENTER

2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: 

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run 

3. Pinche en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada: 

Windows32 

4. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama: 

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\RunServices 

5. Pinche en la carpeta "RunServices" y en el panel de la derecha, bajo la columna "Nombre", busque y borre la siguiente entrada: 

Windows32 

6. Use "Registro", "Salir" para salir del editor y confirmar los cambios. 


Borrado manual de los archivos creados por el gusano

Desde el Explorador de Windows, localice y borre los siguientes archivos: 

c:\windows\system32\rundll.exe 

Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".


Restaurar archivo HOSTS

1. Utilizando el Explorador de Windows, busque el archivo HOSTS (sin extensión), en alguna de las siguientes carpetas: 

c:\windows\system32\drivers\etc\
c:\winnt\system32\drivers\etc\ 

2. Si aparece, haga doble clic sobre dicho archivo (HOSTS). Seleccione "Seleccionar el programa de una lista", "Aceptar", y luego seleccione NOTEPAD (Bloc de notas). NO MARQUE "Utilizar siempre el programa seleccionado para abrir este tipo de archivos".

3. Borre todas las líneas que comiencen con un número, salvo las siguientes: 

127.0.0.1   localhost 

4. Acepte guardar los cambios al salir del bloc de notas.

5. Reinicie su computadora.


Información adicional

IMPORTANTE

Si usted utiliza su PC, o pertenece a una organización que por su naturaleza exige ser totalmente segura, se recomienda borrar todo el contenido del disco duro, reinstalar de cero el sistema operativo, y recuperar sus archivos importantes de copias de respaldo anteriores.

También instale los parches mencionados más adelante.

Luego cambie todas sus contraseñas, incluso la de otros usuarios a los que tenga acceso desde su computadora.

En el caso de una empresa con redes corporativas, contacte con su administrador para tomar las acciones necesarias a fin de cambiar todas las claves de acceso, así como reinstalar Windows en todas las computadoras.

Esta es la única manera segura de no comprometer su seguridad ante los posibles cambios realizados por el gusano.


Activar cortafuegos de Windows XP (Internet Conexión Firewall)

NOTA: Utilice solo un cortafuegos al mismo tiempo. Sugerimos ZoneAlarm, sin embargo, Windows XP trae su propio cortafuegos (que posee algunas limitaciones). Si instala ZA, no active ICF (Internet Conexión Firewall) o viceversa.

Para activar ICF en Windows XP, siga estos pasos:

1. Seleccione Inicio, Panel de Control, Conexiones de Red e Internet, Conexiones de Red.

2. Pinche con el botón derecho del mouse sobre "Conexión de Red de Area Local" y seleccione Propiedades.

3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet".

4. Seleccione Aceptar, etc.


Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com

C:\WINDOWS\system32\mssenger.exe
C:\WINDOWS\SYSTEM32\RUNDLL.EXE :arrowl: :arrowl: :arrowl:
C:\Archivos de programa\Persystems\Perav\PERVACNT.EXE
C:\Archivos de programa\Kaspersky Lab\Kaspersky Internet Security 6.0\avp.exe
C:\Archivos de programa\Kaspersky Lab\Kaspersky Internet Security 6.0\avp.exe

El archivo mssenger.exe aun no lo encunetro, tal vez sea alguna variante de virus.

Mi recomendacion : Formatear esa pc, ahorita , ya ! apurate !.
Mi segunda recomendacion : Antes de instalar lo que sea en tu PC, pregunta primero para que sirve y hazlo a alguien que sepa.
Tercera recomendacion :P : No hagas click en aceptar a ningun archivo que te manden via email.

P.D: Estas corriendo 2 ANTIVIRUS a la vez : Per y Kaspersky

[TSum]

bueno yo sinceramente tambien te recomiendo formatear tu PC.
y no instales cualquier programa.
no abras los mails que te mandan , hay algunos mails ( HI5 ) que ponen una tipa muy rica . y luego abres y bomb pc infectada , cuidado con eso tambien.

Formatea Tu PC now !

[Skorzeny]

Pues la verdad que se ve mal tu log, pero da un ultimo intento de salvarla...pero lo mas probable es q debas formatear

[DnizZz]

yo no Instalo nada lo q pasa esq mi primo viene los domingos (dias no paro) para hacer sus trabajos, pero no se q cha hace que cuando prendo la pc esta lenta y tiene un monton de cosas raras :-? ia me esta llendo al chompiras mi primo. ahora formateo y le pongo clave a mi cuenta de administrador

[Ramiroquai]

No queria abrir otro thread, asi que aprovecho este, y su coyuntura:

Alguien puede nombrarme un buen anti-spyware?, lei que devil recomendaba el EWIDO.
Alguna 2da opinion?, no se preocupen por los recursos que consuma.
Espero su ayuda. Un saludo
Abur!

EDITADO:

No espere segunda opinion, y me he confiado en lo que dice Devil, y en algunos reviews que he leido, asi que me he decidido por el AVG antispyware (antes EWIDO), y como firewall: el "Antihacker Kaspersky".
Creen que esta bien?, es mucha vaina?, o basta solo con el antivirus.
Me gusta mucho la seguridad con mi pc. A ver si alguien opina algo al respecto, y me indica si en vez de los 3, podria solo trabajr con 2 y cuales.
Un saludo
Abur!

[Nic0TiN4]

weno no te aconsejo ke te pongas un firewall suficiente con el firewall de windows porke los otros lagean la pc y otras cosas .. usa el karpesky tmb es muy bueno , yo tenia el ewido y la verda ke es medio monc no encontraba virus y le pase el karpesky y listo ..

[PeterWill]

weno no te aconsejo ke te pongas un firewall suficiente con el firewall de windows porke los otros lagean la pc y otras cosas .. usa el karpesky tmb es muy bueno , yo tenia el ewido y la verda ke es medio monc no encontraba virus y le pase el karpesky y listo ..

:arrowu: totalmente en contra :D.

Si tienes el firewall del kaspersky esta bien, el avg antispyware es muy bueno, usalo para scannear cada semana, si navegas en paginas peligrosas pues cada 2 dias.

como lo mencione antes una buena proteccion es:

-NOD 32
-AVG antispyware
-AdAware SE
-Sygate Firewall
-Mozilla Firefox
-Mucho cuidado al navegar y descargar archivos. no creas que con todo esto estas libre, hay que tener criterio al navegar.


saludos.

[Locutus]

Mi Kit de seguridad contiene estos programas :

Firewall : Zone Alarm o el Outpost Firewall, ambos son excelentes cortafuegos.

Antivirus : NOD32 V. 2.51 Original. Nada de crack u otro programita parecido.

Anti-Spyware : SpyBot Search & Destroy, antes utilizaba el Ad-Aware SE Personal , el primero es mucho mejor.

Navegador : Mozilla Firefox 2.0 (con NoScript)

Y sentido comun a la hora de navegar

[M4TRIX]

Te recomiendo que si es que te "PICA LA MANO" y no te puedes aguantar en probar algo sin antes consultar, mejor instala el DEEPFREEZE, esto despues de haber formateado tu HDD, pero crea 2 particiones, cosa que congelas el C y si quieres guardar algo , alguna trabajo tarea lo haces en D que no esta congelado. Esto ademas de usar tu antivirus que post mas arriba ya te recomendaron entre otros utilitarios y antispyware.

[Ramiroquai]

Paja!.
Gracias por la info, era necesaria... Un saludo!
Abur!

[Bless Corporation]

Necesita ayuda con este logfile del hijackthis.. gracias.

 
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\Archivos de programa\HyperTechnologies\Deep Freeze\DfServEx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Archivos de programa\HyperTechnologies\Deep Freeze\_$Df\FrzState.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\msdtc_32.exe
C:\Archivos de programa\Adobe\Acrobat 7.0\Distillr\Acrotray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\WINDOWS\sttray.exe
C:\ARCHIV~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Archivos de programa\MSN Messenger\MsnMsgr.Exe
C:\Archivos de programa\WinZip\WZQKPICK.EXE
C:\Archivos de programa\Alwil Software\Avast4\aswUpdSv.exe
C:\Archivos de programa\Alwil Software\Avast4\ashServ.exe
C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Archivos de programa\SigmaTel\C-Major Audio\WDM\STacSV.exe
C:\Archivos de programa\Alwil Software\Avast4\ashMaiSv.exe
C:\Archivos de programa\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\System32\svchost.exe
C:\Archivos de programa\Internet Explorer\iexplore.exe
C:\Documents and Settings\pc\Escritorio\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: (no name) - {00000026-8735-428D-B81F-DD098223B25F} - (no file)
O2 - BHO: (no name) - {00000250-0320-4dd4-be4f-7566d2314352} - (no file)
O2 - BHO: (no name) - {000006b1-19b5-414a-849f-2a3c64ae6939} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {06dfedaa-6196-11d5-bfc8-00508b4a487d} - (no file)
O2 - BHO: cdromdrv32.shell_plugin - {0D708714-CF29-488B-98BE-24D1B96230AA} - C:\WINDOWS\system32\cdromdrv32.dll
O2 - BHO: (no name) - {13197ace-6851-45c3-a7ff-c281324d5489} - (no file)
O2 - BHO: (no name) - {30000273-8230-4dd4-be4f-6889d1e74167} - (no file)
O2 - BHO: (no name) - {4e1075f4-eec4-4a86-add7-cd5f52858c31} - (no file)
O2 - BHO: (no name) - {4e7bd74f-2b8d-469e-92c6-ce7eb590a94d} - (no file)
O2 - BHO: (no name) - {53C330D6-A4AB-419B-B45D-FD4411C1FEF4} - (no file)
O2 - BHO: (no name) - {5929cd6e-2062-44a4-b2c5-2c7e78fbab38} - (no file)
O2 - BHO: (no name) - {5dafd089-24b1-4c5e-bd42-8ca72550717b} - (no file)
O2 - BHO: (no name) - {5fa6752a-c4a0-4222-88c2-928ae5ab4966} - (no file)
O2 - BHO: (no name) - {669695bc-a811-4a9d-8cdf-ba8c795f261e} - (no file)
O2 - BHO: (no name) - {8674aea0-9d3d-11d9-99dc-00600f9a01f1} - (no file)
O2 - BHO: (no name) - {965a592f-8efa-4250-8630-7960230792f1} - (no file)
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O2 - BHO: (no name) - {b8875bfe-b021-11d4-bfa8-00508b8e9bd3} - (no file)
O2 - BHO: (no name) - {bb936323-19fa-4521-ba29-eca6a121bc78} - (no file)
O2 - BHO: (no name) - {ca1d1b05-9c66-11d5-a009-000103c1e50b} - (no file)
O2 - BHO: (no name) - {cf021f40-3e14-23a5-cba2-717765728274} - (no file)
O2 - BHO: (no name) - {fc3a74e5-f281-4f10-ae1e-733078684f3c} - (no file)
O3 - Toolbar: PDF de Adobe - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [Acrobat Assistant 7.0] "C:\Archivos de programa\Adobe\Acrobat 7.0\Distillr\Acrotray.exe"
O4 - HKLM\..\Run: [igfxtray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [igfxhkcmd] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [igfxpers] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [SigmatelSysTrayApp] sttray.exe
O4 - HKLM\..\Run: [avast!] C:\ARCHIV~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Archivos de programa\MSN Messenger\MsnMsgr.Exe" /background
O4 - Startup: Adobe Gamma.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: EPSON Status Monitor 3 Environment Check.lnk = C:\WINDOWS\system32\spool\drivers\w32x86\3\E_SRCV03.EXE
O4 - Global Startup: Inicio rápido de Adobe Acrobat.lnk = ?
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Archivos de programa\WinZip\WZQKPICK.EXE
O8 - Extra context menu item: Convertir a PDF de Adobe - res://C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convertir a PDF existente - res://C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convertir destino de vínculo a PDF existente - res://C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convertir destino de vínculo en archivo PDF de Adobe - res://C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convertir selección a archivo PDF existente - res://C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convertir selección a PDF de Adobe - res://C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convertir vínculos seleccionados a PDF de Adobe - res://C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Convertir vínculos seleccionados a PDF existente - res://C:\Archivos de programa\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsu...?1170126833250
O17 - HKLM\System\CCS\Services\Tcpip\..\{131B37D2-6625-4B18-A9C7-BF061EA3F504}: NameServer = 192.168.1.1
O17 - HKLM\System\CS1\Services\Tcpip\..\{131B37D2-6625-4B18-A9C7-BF061EA3F504}: NameServer = 192.168.1.1
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\ARCHIV~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: DfLogon - C:\WINDOWS\SYSTEM32\LogonDll.dll
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxdev.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Archivos de programa\Archivos comunes\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Ares Chatroom server (AresChatServer) - Ares Development Group - C:\Archivos de programa\Ares\chatServer.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Archivos de programa\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Archivos de programa\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Archivos de programa\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Archivos de programa\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: DFServEx - Hyper Technologies Inc. - C:\Archivos de programa\HyperTechnologies\Deep Freeze\DfServEx.exe
O23 - Service: SigmaTel Audio Service (STacSV) - SigmaTel, Inc. - C:\Archivos de programa\SigmaTel\C-Major Audio\WDM\STacSV.exe

Cual elimino ya que es muy molestoso lo q pasa en la pc e intentado ya varios metodos y nada.

[Bless Corporation]

Nadie una ayuda?:arrowu:

[PeterWill]

PRIMERO:

dale fix checked a:

• O2 - BHO: (no name) - {5fa6752a-c4a0-4222-88c2-928ae5ab4966} - (no file)
• O2 - BHO: cdromdrv32.shell_plugin - {0D708714-CF29-488B-98BE-24D1B96230AA} - C:\WINDOWS\system32\cdromdrv32.dll
• O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\ARCHIV~1\MSNMES~1\msgrapp.dll" (file missing)

SEGUNDO:

Seria bueno que especificaras que problemas tienes en tu pc, antes de pedir analizar un log de Hijackthis.


TERCERO:

Pega siempre el log completo no lo recortes!

[Bless Corporation]

* problemas pues, sale una ventanas emergentes de descargas muy insistentes luego cuando trato de visualizar alguna pagina en foros de ayuda se vuelve todo blanco es decir no sale absolutamente nada tengo que poner refresh para poder visualizarlo, lo tipico de los malware 404search, 7faSSt, ADrotator, VX2..

* el log esta completo.

Gracias por posibles ayudas.

[PeterWill]

plop! ni idea que habias respondido, ya varios temas se me pasan ...

bueno si tienes todo eso, primero que hiciste para que salga eso?

intestaste restaurar el sistema?

Has pasado algun anti spyware?

se arreglo algo al fixear las entradas con el hijackthis?


Puede usar:

AVG anispyware

AD Aware

Spybot - Search & Destroy

todo esto ingresando en modo seguro a tu windows.

nos comentas...