Tema: PC infectado

10/11/2008, 15:55

Hola a todos,

Vereis, hace tiempo tube un problema parecido con algun que otro troyano, y un admin de este foro me ayudo con la ayuda de no se que programa que hacia el registro del pc

Pues hace algnos dias, me di cuenta de que mi explorador firefox, de repente, se cerraba, apareciendo el tipico error de No responde...

Queria, por favor, que me dijeseis cual es ese programa, y me ayudaseis a saber que cosas borrar despues de ver el registro. O bueno, si hay otra forma pues me da igoal, la cuestion es librarme del virus

Gracias

PD: Ya he pasado un par de veces el antivirus, y me voy a poner otro tambien, pero es para arreglarlo lo antes posible, por si el que me ponga tampoco funcionase

10/11/2008, 16:16

Bien el programa se llama hijackthis, tienes el enlace de la descarga aquí
http://www.trendsecure.com/portal/en-US ... nstall.exe

Una vez instalado lo ejecutas y das a do a system scan and save a logfile, me pegas el contenido completo del log que te genera.

10/11/2008, 16:19

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 16:16:48, on 10/11/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16735)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Archivos de programa\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\Archivos de programa\Network Associates\Common Framework\FrameworkService.exe
C:\Archivos de programa\Network Associates\VirusScan\Mcshield.exe
C:\Archivos de programa\Network Associates\VirusScan\VsTskMgr.exe
C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\PnkBstrA.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\WgaTray.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\RTHDCPL.EXE
C:\Archivos de programa\Network Associates\VirusScan\SHSTAT.EXE
C:\Archivos de programa\Network Associates\Common Framework\UpdaterUI.exe
C:\Archivos de programa\Archivos comunes\Network Associates\TalkBack\TBMon.exe
C:\Archivos de programa\Java\jre1.6.0_07\bin\jusched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Archivos de programa\Messenger\msmsgs.exe
C:\Archivos de programa\Telefonica\Kit ADSL USB\dslmon.exe
C:\WINDOWS\system32\rundll32.exe
C:\Archivos de programa\Teamspeak2_RC2\TeamSpeak.exe
C:\Archivos de programa\Steam\Steam.exe
C:\Archivos de programa\Windows Live\Messenger\msnmsgr.exe
C:\Archivos de programa\Windows Live\Messenger\usnsvc.exe
C:\Archivos de programa\Mozilla Firefox\firefox.exe
C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE
C:\Archivos de programa\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.daemonsearch.com/intl/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: Aplicación auxiliar de vínculos de Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Archivos comunes\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.6.0_07\bin\ssv.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Archivos de programa\Google\GoogleToolbarNotifier\4.1.805.4472 \swg.dll
O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - C:\ARCHIV~1\FlashFXP\IEFlash.dll
O2 - BHO: (no name) - {fd45490e-b436-4825-bbe1-5d61a35c0f81} - C:\WINDOWS\system32\lelutayo.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [ShStatEXE] "C:\Archivos de programa\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE
O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Archivos de programa\Network Associates\Common Framework\UpdaterUI.exe" /StartedFromRunKey
O4 - HKLM\..\Run: [Network Associates Error Reporting Service] "C:\Archivos de programa\Archivos comunes\Network Associates\TalkBack\TBMon.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Archivos de programa\Java\jre1.6.0_07\bin\jusched.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Archivos de programa\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [gepivitaba] Rundll32.exe "C:\WINDOWS\system32\vekokija.dll",s
O4 - HKLM\..\Run: [44373b9e] rundll32.exe "C:\WINDOWS\system32\fapawozi.dll",b
O4 - HKLM\..\Run: [CPM47040802] Rundll32.exe "c:\windows\system32\ziganave.dll",a
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background
O4 - HKUS\S-1-5-19\..\Run: [gepivitaba] Rundll32.exe "C:\WINDOWS\system32\vekokija.dll",s (User 'SERVICIO LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [gepivitaba] Rundll32.exe "C:\WINDOWS\system32\vekokija.dll",s (User 'Servicio de red')
O4 - Startup: Adobe Gamma.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Consola KIT ADSL.lnk = ?
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O16 - DPF: {20A60F0D-9AFA-4515-A0FD-83BD84642501} (Checkers Class) - http://messenger.zone.msn.com/binary/ms ... b56986.cab
O16 - DPF: {2D8ED06D-3C30-438B-96AE-4D110FDC1FB8} (ActiveScan 2.0 Installer Class) - http://acs.pandasoftware.com/activescan ... stubie.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://gfx1.hotmail.com/mail/w3/pr01/re ... NPUpld.cab
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/ES-ES/a-U ... E_UNO1.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windows ... 6095541015
O16 - DPF: {6B75345B-AA36-438A-BBE6-4078B4C6984D} (HpProductDetection Class) - http://h20270.www2.hp.com/ediags/gmn2/i ... ection.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Me ... b56907.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/s ... wflash.cab
O16 - DPF: {F5A7706B-B9C0-4C89-A715-7A0C6B05DD48} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/Mi ... b56986.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{727F6D98-2F75-4CCF-B928-3722506965AE}: NameServer = 80.58.61.250 80.58.61.254
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\ARCHIV~1\ARCHIV~1\Skype\SKYPE4~1.DLL
O20 - AppInit_DLLs: C:\WINDOWS\system32\gelapele.dll c:\windows\system32\ziganave.dll
O21 - SSODL: SSODL - {EC43E3FD-5C60-46a6-97D7-E0B85DBDD6C4} - c:\windows\system32\ziganave.dll
O22 - SharedTaskScheduler: STS - {EC43E3FD-5C60-46a6-97D7-E0B85DBDD6C4} - c:\windows\system32\ziganave.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Archivos de programa\Archivos comunes\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Ares Chatroom server (AresChatServer) - Ares Development Group - C:\Archivos de programa\Ares\chatServer.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Archivos de programa\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: Servicio de registro de McAfee (McAfeeFramework) - Network Associates, Inc. - C:\Archivos de programa\Network Associates\Common Framework\FrameworkService.exe
O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Archivos de programa\Network Associates\VirusScan\Mcshield.exe
O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Archivos de programa\Network Associates\VirusScan\VsTskMgr.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe
O23 - Service: TuneUp Drive Defrag Service (TuneUp.Defrag) - TuneUp Software GmbH - C:\WINDOWS\System32\TuneUpDefragService.exe

--
End of file - 9030 bytes

10/11/2008, 16:21

Weno, y casi se me olvida, gracias angelcaidox, que la otra vez tambien fuiste tu quien me ayudo ^^

Por cierto, aparte de los virus, evidentemente, puedes aconsejarme borrar demas mierda (Si, se que el msnplus no lo deberia tener, pero es que.. xd)

10/11/2008, 20:59

Primero sigue estos pasos:
http://www.hard-h2o.com/vertema/101476/ ... kthis.html

Si eso no te funciona, elimina las siguientes entradas, primero las que no tienen el asterisco detrás, y si persiste el problema las que tienen el asterisco(no se si ese "antivirus" lo has puesto tu o es spyware)

O2 - BHO: (no name) - {fd45490e-b436-4825-bbe1-5d61a35c0f81} - C:\WINDOWS\system32\lelutayo.dll
O4 - HKUS\S-1-5-19\..\Run: [gepivitaba] Rundll32.exe "C:\WINDOWS\system32\vekokija.dll",s (User 'SERVICIO LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [gepivitaba] Rundll32.exe "C:\WINDOWS\system32\vekokija.dll",s (User 'Servicio de red')
O4 - HKLM\..\Run: [gepivitaba] Rundll32.exe "C:\WINDOWS\system32\vekokija.dll",s
O4 - HKLM\..\Run: [44373b9e] rundll32.exe "C:\WINDOWS\system32\fapawozi.dll",b
O4 - HKLM\..\Run: [CPM47040802] Rundll32.exe "c:\windows\system32\ziganave.dll",a

//estas de momento no//
O4 - HKLM\..\Run: [ShStatEXE] "C:\Archivos de programa\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE*
O4 - HKLM\..\Run: [Network Associates Error Reporting Service] "C:\Archivos de programa\Archivos comunes\Network Associates\TalkBack\TBMon.exe"*
O4 - Startup: Adobe Gamma.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe
O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Archivos de programa\Network Associates\VirusScan\Mcshield.exe*
O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Archivos de programa\Network Associates\VirusScan\VsTskMgr.exe*
// //

10/11/2008, 23:19

Iniciado por wolf_

Primero sigue estos pasos:
http://www.hard-h2o.com/vertema/101476/ ... kthis.html

Si eso no te funciona, elimina las siguientes entradas, primero las que no tienen el asterisco detrás, y si persiste el problema las que tienen el asterisco(no se si ese "antivirus" lo has puesto tu o es spyware)

O2 - BHO: (no name) - {fd45490e-b436-4825-bbe1-5d61a35c0f81} - C:\WINDOWS\system32\lelutayo.dll
O4 - HKLM\..\Run: [ShStatEXE] "C:\Archivos de programa\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE*
O4 - HKLM\..\Run: [Network Associates Error Reporting Service] "C:\Archivos de programa\Archivos comunes\Network Associates\TalkBack\TBMon.exe"*
O4 - HKLM\..\Run: [gepivitaba] Rundll32.exe "C:\WINDOWS\system32\vekokija.dll",s
O4 - HKLM\..\Run: [44373b9e] rundll32.exe "C:\WINDOWS\system32\fapawozi.dll",b
O4 - HKLM\..\Run: [CPM47040802] Rundll32.exe "c:\windows\system32\ziganave.dll",a
O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background

O4 - HKUS\S-1-5-19\..\Run: [gepivitaba] Rundll32.exe "C:\WINDOWS\system32\vekokija.dll",s (User 'SERVICIO LOCAL')*
O4 - HKUS\S-1-5-20\..\Run: [gepivitaba] Rundll32.exe "C:\WINDOWS\system32\vekokija.dll",s (User 'Servicio de red')*
O4 - Startup: Adobe Gamma.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe*

O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Archivos de programa\Network Associates\VirusScan\Mcshield.exe*
O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Archivos de programa\Network Associates\VirusScan\VsTskMgr.exe*
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

Porque el messenger?
O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background

porque esta entrada?
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

Las otras entradas del * son originales del mcaffe seguramente sea su antivirus

10/11/2008, 23:32

las 2 primeras xq se me ha ido el mouse al seleccionar xD

Las del asterisco es lo que he dudado si era mcafee o no,ya que algunos directorios si aparece el nombre completo ["McAfeeUpdaterUI"] y en otros solo aparece [McShield] en lugar de [McAfeeShield] , solo he seguido ese razonamiento, por eso aquello de no estar seguro si si , o si no.

11/11/2008, 08:06

Gracoas ^^

Se supone que se borran dandole a Reparar? esque le doy y vuelvo a escanear, pero siguen ahi

11/11/2008, 08:26

Primero tendrías que desactivar el "restaurar el sistema", de hecho primero tendrías que seguir los pasos que te dije,haz clic en el link de mi firma.

Si no, tienes que decirle "Fix checked" a las entradas que te puse(por si acaso a las que tienen asterisco de momento no)

11/11/2008, 15:46

Vale gracias, acabo de hacerlo y os comento

Solo una ultima duda, hay un par que aunque las borre, vuelven a aparecer en el registro

O4 - HKLM\..\Run: [CPM47040802] Rundll32.exe "c:\windows\system32\ziganave.dll",a

O4 - HKLM\..\Run: [gepivitaba] Rundll32.exe "C:\WINDOWS\system32\vekokija.dll",s

O4 - HKUS\S-1-5-20\..\Run: [gepivitaba] Rundll32.exe "C:\WINDOWS\system32\vekokija.dll",s (User 'Servicio de red')*

O2 - BHO: (no name) - {fd45490e-b436-4825-bbe1-5d61a35c0f81} - C:\WINDOWS\system32\lelutayo.dll

En este ultimo dice que el archivo falta

Alguna idea?

Saludos, y gracias de nuevo

11/11/2008, 16:22

una vez borradas del hijackthis en el siguiente reinicio tienes que reinicar en modo a prueba de fallos y borrar esos ficheros a los que apuntan las entradas

C:\WINDOWS\system32\vekokija.dll
....

y el resto igual

11/11/2008, 17:24

mm veras, todo va bien hasta que llega la hora de borrarlos.. es que no estan en la carpeta windows/system32

E borrado las entradas desde el hijackthis usando el fix, y e reiniciado en modo a prueba de errores...

=( la ultima vez fue mas facil

11/11/2008, 17:34

estar están, solo que quizá tu no los ves, si ni activando el "mostrar archivos ocultos" las ves, lo tendrás que borrar desde el símbolo de sistema.

11/11/2008, 21:52

A que te refieres con el simbolo del sistema?

11/11/2008, 21:59

Iniciado por DerKaiser

A que te refieres con el simbolo del sistema?

ms-dos? xD yo la verdad nunca los e borrado desde ms-dos :=)

11/11/2008, 22:08

me da error 501, cuando intento explicarte por pasos como acceder desde la consola, joooorl, aver si lo consigo.

11/11/2008, 22:13

Si, te agradeceria que me explicases como hacerlo xd

Otra cosa, he logrado borrar un par de ellos (que al parecer estaban ocultador por ser archivos del sistema o algo) y ahora, al arrancar, me da error "no se pudo cargar xx.dll", que es uno de ellos. Aparte, (siento ser plasta xd) tengo un archivo llamado thumbs.db, no se si lo e arrastrado desde system32 sin querer o algo.. querria saber donde va

Saludos, gracias por vuestra paciencia =)

11/11/2008, 22:22

olvidate del thumbs db, ahora mismo tienes que borrar la dll que te decimos angel y yo.
el problema esta en que no puedo escribir ese codigo, por seguridad del foro, a ver si se pasa angelcaidox y te lo pone el.

24/11/2008, 20:34

Necesito eliminar de mi Pc el RunDll.exe y Thumbs.lnk, borro la raiz pero se reproducen. Que antivirus me recomiendan para eliminarlos y en que sitio puedo descargarlo gratis.
gracias de antemano!!!