Como muchos otros que ya he visto, al aceptar la publicidad por parte de Plus! para "colaborar", lo que han hecho ha sido meterme algunos programitas de ventanas emergentes con publicidad de CiD:
He leido los otros mensajes del foro para ver su hijackthis y buscar lo que tenían en común con el mío, y borrarlo según lo que les dijéseis, pero encuentro muy pocas cosas en común. Así que me veo obligado a pediros ayuda. Aunque si me dijéseis dónde o cómo buscar lo que se debe borrar para que no os tenga que molestar, no me importaría, aunque por otro lado quizás tardéis más en explicármelo que en decirme lo que tengo que borrar. Yo, aquí os lo dejo, a ver si alguien me echa una manilla. Muchas gracias:
Logfile of HijackThis v1.99.1
Scan saved at 1:35:34, on 12/06/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Registrado: Dec 30, 2004 Mensajes: 6142 Ubicación: Llodio(Alava)
Publicado: Martes 12 Junio 2007 11:13 AM
Kuashar luego me pongo con ello que ando un poco liado ahora.
gracias
AngelCaidox Security Engineer
Registrado: Dec 30, 2004 Mensajes: 6142 Ubicación: Llodio(Alava)
Publicado: Martes 12 Junio 2007 9:20 PM
- Usa siempre Firefox como navegador predeterminado.
- yo te recomendaria desistalar el NORTON e instalar otro antivirus como el AVG
- tienes un log muy extenso por lo que deduzco que el tiempo de carga de windows es algo elevada y el consumo de recursos algo elevado también, parte de culpa lo tiene el norton.
Marca y dale a "fixed cheked" a las siguientes entradas del hijackthis:
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O4 - HKLM\..\Run: [Bits first cdrom fast] C:\Documents and Settings\All Users\Application Data\Chin One Bits First\dash phone.exe
O4 - HKCU\..\Run: [Bore Date] C:\DOCUME~1\HP_ADM~1\APPLIC~1\LIVEBA~1\real build.exe
O4 - Global Startup: BlueSoleil.lnk = ?
Revisa estos DNS´s si no son los tuyos borra también esta entrada:
62.151.2.8
62.151.4.21
Luego REINICIA EN MODO A PRUEBA DE FALLOS localiza y borra los siguientes ficheros y carpetas:
Azul --> Carpetas a borrar con todo su contenido
Rojo --> Ficheros a borrar
C:\Documents and Settings\All Users\Application Data\Chin One Bits First\dash phone.exe
C:\DOCUME~1\HP_ADM~1\APPLIC~1\LIVEBA~1\real build.exe
C:\Documents and Settings\All Users\Application Data\Chin One Bits First\
Tienes un ejecutable cargado en memoria que nose que es, su ruta es esta:
C:\PROGRA~1\COMMON~1\PCSuite\Services\SERVIC~1.EXE si no lo conoces borralo también.
Reinicia en modo normal (verás que ya no salen las ventanas Cid, ahora no abandones la guia, concluyela) y pasa estos programas:
Antes de empezar, he visto que me has propuesto que le diese fixed checked a una línea que contenía algo de "blue soleil", al respecto he de decir que blue soleil es mi programa predeterminado para el blue tooth.
Pero quizás ya lo sepas, y aún así sea algún tipo de "mal archivo".
Por si a caso te lo digo antes de arrancar.
Voy a irme bajando los programitas necesarios.
Muchas gracias de nuevo
AngelCaidox Security Engineer
Registrado: Dec 30, 2004 Mensajes: 6142 Ubicación: Llodio(Alava)
Publicado: Miércoles 13 Junio 2007 4:47 PM
O4 - Global Startup: BlueSoleil.lnk = ?
esa entrada apunta a un ? por lo tanto no va a ningun siito no ejecuta nada al inicio de windows, es una linea que no sirve en el registro, eliminarla no provocara nada en tu pc, nada mas que tener el registro un poco mas limpio.
Espero el resto de informacion
Kuashar Invitado
Publicado: Jueves 14 Junio 2007 11:10 AM
Hola
En el Hijackthis he hecho lo que me dijiste. Pero en la parte que me mandas borrar en el modo a prueba de fallos ésto:
C:\Documents and Settings\All Users\Application Data\Chin One Bits First\dash phone.exe
C:\DOCUME~1\HP_ADM~1\APPLIC~1\LIVEBA~1\real build.exe
C:\Documents and Settings\All Users\Application Data\Chin One Bits First\
No lo he podido hacer por que ni he encontrado esas carpetas ni esos archivos. Primero buscando manualmente, y luego dandole al buscador. ¿?
Ahora estoy pasando el superantispyware, y han pasado unos minutos y me ha salido otra ventana cid ¿?
No sé si he hecho algo mal... pero?
Sigo con el procedimiento pasando los programitas? o paro y espero a hacer alguna otra cosa manualmente?
muchas gracias
AngelCaidox Security Engineer
Registrado: Dec 30, 2004 Mensajes: 6142 Ubicación: Llodio(Alava)
Publicado: Jueves 14 Junio 2007 11:28 AM
C:\Documents and Settings\All Users\Application Data\Chin One Bits First\dash phone.exe
ese fichero es que crea la publicidad CiD, tienes que tenerlo puesto que en el log del hijackthis la entrada 04 apunta al fichero que te comento
O4 - HKLM\..\Run: [Bits first cdrom fast] C:\Documents and Settings\All Users\Application Data\Chin One Bits First\dash phone.exe
Tiene que estar.... xD
Activa los archivos ocultos
Kuashar Invitado
Publicado: Jueves 14 Junio 2007 1:00 PM
Pues el de chin one bits first, junto con su ejecutable han sido eliminados. El problema estaba en que a mí los directorios en unos momentos salen en castellano y en otros en inglés.
Pero el otro archivo, el de real build, y siendo buscado en un directorio que era live bait bows, no aparece. He buscado con carpetas y archivos ocultos mostrados, y dándole a buscar marcando la opción de buscar en estos archivos y carpetas ocultas.
No puede ser que haya cambiado de nombre? la cosa es que en el hijack no hay ninguna línea que lleve a esa dirección (ya sé que es porque la he borrado, pero considero la opción de que mutase o algo así) o a alguna parecida.
He buscado directamente dándo incluso a buscar en todo C:, y nada, también específicamente en la carpeta de documents and settings.[/img]
AngelCaidox Security Engineer
Registrado: Dec 30, 2004 Mensajes: 6142 Ubicación: Llodio(Alava)
Publicado: Jueves 14 Junio 2007 2:03 PM
no borres el de "real build.exe", no te dara problemas, de todas formas creo que la publicidad Cid ya no te sale, o me equivoco?
Kuashar Invitado
Publicado: Jueves 14 Junio 2007 2:22 PM
Ok, entonces sigo con el procedimiento de pasar los programillas. y cuando acabe te envío lo que me decías.
Kuashar Invitado
Publicado: Jueves 14 Junio 2007 4:29 PM
Hola
En el anterior mensaje, te puse de asunto que estabas en lo cierto que ya no había CiD:, pero parecía que solo te respondía que iba a seguir con el procedimiento.
Bueno, ya he recorrido los pasos. Primero el log de hijackthis, y luego el de karpersky:
Logfile of HijackThis v1.99.1
Scan saved at 17:12:32, on 14/06/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Bueno, parece que va a tardar, lleva 10 minutos, solo en el primer apartado y no aún está en el 0% del proceso... así que te envío luego los logs, lo dejo pasando mientras
AngelCaidox Security Engineer
Registrado: Dec 30, 2004 Mensajes: 6142 Ubicación: Llodio(Alava)
Publicado: Jueves 14 Junio 2007 4:50 PM
todo en orden en el log del hijackthis perfecto, a la espera del log del kaskersky
Kuashar Invitado
Publicado: Jueves 14 Junio 2007 11:59 PM
Hola
Aquí están los dos logs de kaspersky:
-------------------------------------------------------------------------------
KASPERSKY ONLINE SCANNER INFORME
jueves, 14 de junio de 2007 20:58:24
Sistema operativo: Microsoft Windows XP Professional, Service Pack 2 (Build 2600)
Kaspersky Online Scanner versión: 5.0.84.0
Ultima actualización: 14/06/2007
Registros en la base antivirus: 325186
-------------------------------------------------------------------------------
Configuración del análisis:
Analizar usando las siguientes bases: standard
Analizar archivos: verdadero
Analizar bases de correo: verdadero
Objetivo a analizar - Áreas críticas:
C:\WINDOWS
C:\DOCUME~1\HP_ADM~1\LOCALS~1\Temp\
Estadísticas:
Número de objeros analizados: 37572
Virus encontrados: 0
Objetos infectados: 0 / 0
Objetos sospechosos: 0
Duración del análisis: 00:28:14
Bombre del objeto infectado / Nombre del virus / Última acción
C:\WINDOWS\Debug\PASSWD.LOG Object is locked saltado
C:\WINDOWS\Registration\{02D4B3F1-FD88-11D1-960D-00805FC79235}.{DA9A5B61-73C1-4C59-A4F2-AC065A7960E3}.crmlog Object is locked saltado
C:\WINDOWS\SchedLgU.Txt Object is locked saltado
C:\WINDOWS\SoftwareDistribution\EventCache\{CDCEA38A-E3FB-4D51-9FB6-D7B6DA3877F4}.bin Object is locked saltado
C:\WINDOWS\SoftwareDistribution\ReportingEvents.log Object is locked saltado
C:\WINDOWS\Sti_Trace.log Object is locked saltado
C:\WINDOWS\system32\CatRoot2\edb.log Object is locked saltado
C:\WINDOWS\system32\CatRoot2\tmp.edb Object is locked saltado
C:\WINDOWS\system32\config\AppEvent.Evt Object is locked saltado
C:\WINDOWS\system32\config\default Object is locked saltado
C:\WINDOWS\system32\config\default.LOG Object is locked saltado
C:\WINDOWS\system32\config\IntelDH.evt Object is locked saltado
C:\WINDOWS\system32\config\Media Ce.evt Object is locked saltado
C:\WINDOWS\system32\config\SAM Object is locked saltado
C:\WINDOWS\system32\config\SAM.LOG Object is locked saltado
C:\WINDOWS\system32\config\SecEvent.Evt Object is locked saltado
C:\WINDOWS\system32\config\SECURITY Object is locked saltado
C:\WINDOWS\system32\config\SECURITY.LOG Object is locked saltado
C:\WINDOWS\system32\config\software Object is locked saltado
C:\WINDOWS\system32\config\software.LOG Object is locked saltado
C:\WINDOWS\system32\config\SysEvent.Evt Object is locked saltado
C:\WINDOWS\system32\config\system Object is locked saltado
C:\WINDOWS\system32\config\system.LOG Object is locked saltado
C:\WINDOWS\system32\FxsTmp\fxs38CD.tmp Object is locked saltado
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Object is locked saltado
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Object is locked saltado
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Object is locked saltado
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP Object is locked saltado
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP Object is locked saltado
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA Object is locked saltado
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Object is locked saltado
C:\WINDOWS\wiadebug.log Object is locked saltado
C:\WINDOWS\wiaservc.log Object is locked saltado
C:\WINDOWS\WindowsUpdate.log Object is locked saltado
C:\DOCUME~1\HP_ADM~1\LOCALS~1\Temp\JET5C1E.tmp Object is locked saltado
C:\DOCUME~1\HP_ADM~1\LOCALS~1\Temp\JET5C2D.tmp Object is locked saltado
C:\DOCUME~1\HP_ADM~1\LOCALS~1\Temp\JET766.tmp Object is locked saltado
C:\DOCUME~1\HP_ADM~1\LOCALS~1\Temp\JET802.tmp Object is locked saltado
C:\DOCUME~1\HP_ADM~1\LOCALS~1\Temp\JET95A.tmp Object is locked saltado
C:\DOCUME~1\HP_ADM~1\LOCALS~1\Temp\JETDEE.tmp Object is locked saltado
C:\DOCUME~1\HP_ADM~1\LOCALS~1\Temp\Perflib_Perfdata_f8.dat Object is locked saltado
C:\DOCUME~1\HP_ADM~1\LOCALS~1\Temp\_hphtra07.log Object is locked saltado
C:\DOCUME~1\HP_ADM~1\LOCALS~1\Temp\~DF3103.tmp Object is locked saltado
C:\DOCUME~1\HP_ADM~1\LOCALS~1\Temp\~DF3125.tmp Object is locked saltado
C:\DOCUME~1\HP_ADM~1\LOCALS~1\Temp\~DF479D.tmp Object is locked saltado
C:\DOCUME~1\HP_ADM~1\LOCALS~1\Temp\~DF47B9.tmp Object is locked saltado
Análisis completado.
El segundo informe:
-------------------------------------------------------------------------------
KASPERSKY ONLINE SCANNER INFORME
viernes, 15 de junio de 2007 0:56:55
Sistema operativo: Microsoft Windows XP Professional, Service Pack 2 (Build 2600)
Kaspersky Online Scanner versión: 5.0.84.0
Ultima actualización: 14/06/2007
Registros en la base antivirus: 325186
-------------------------------------------------------------------------------
Configuración del análisis:
Analizar usando las siguientes bases: standard
Analizar archivos: verdadero
Analizar bases de correo: verdadero
Objetivo a analizar - Mi PC:
C:\
D:\
E:\
F:\
G:\
H:\
I:\
J:\
Estadísticas:
Número de objeros analizados: 180779
Virus encontrados: 4
Objetos infectados: 10 / 0
Objetos sospechosos: 0
Duración del análisis: 03:49:00
Bombre del objeto infectado / Nombre del virus / Última acción
C:\Documents and Settings\All Users\Application Data\Creative\CADI\Preset\PCI_BUS1102-5-221102-EE00.dat Object is locked saltado
C:\Documents and Settings\All Users\Application Data\Microsoft\eHome\logs\ehRecvr.log Object is locked saltado
C:\Documents and Settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr0.dat Object is locked saltado
C:\Documents and Settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr1.dat Object is locked saltado
C:\Documents and Settings\All Users\Application Data\Symantec\Common Client\Confid.log Object is locked saltado
C:\Documents and Settings\All Users\Application Data\Symantec\Common Client\Content.log Object is locked saltado
C:\Documents and Settings\All Users\Application Data\Symantec\Common Client\Privacy.log Object is locked saltado
C:\Documents and Settings\All Users\Application Data\Symantec\Common Client\Restrict.log Object is locked saltado
C:\Documents and Settings\All Users\Application Data\Symantec\Common Client\settings.dat Object is locked saltado
C:\Documents and Settings\All Users\Application Data\Symantec\Common Client\WebHist.log Object is locked saltado
C:\Documents and Settings\All Users\Application Data\Symantec\HPPAppActivity.log Object is locked saltado
C:\Documents and Settings\All Users\Application Data\Symantec\HPPHomePageActivity.log Object is locked saltado
C:\Documents and Settings\All Users\Application Data\Symantec\Norton AntiVirus\Quarantine\190924CF.exe Infectados: P2P-Worm.Win32.Kapucen.b saltado
C:\Documents and Settings\All Users\Application Data\Symantec\Norton AntiVirus\Quarantine\219E187D.tmp Infectados: P2P-Worm.Win32.Kapucen.b saltado
C:\Documents and Settings\All Users\Application Data\Symantec\Norton AntiVirus\Quarantine\795F061F.htm Infectados: Trojan-Downloader.HTML.Agent.ae saltado
C:\Documents and Settings\All Users\Documents\Recorded TV\TempRec\TempSBE\MSDVRMM_206739199_100466688_64254 Object is locked saltado
C:\Documents and Settings\All Users\Documents\Recorded TV\TempRec\TempSBE\MSDVRMM_206739199_6291456_62677 Object is locked saltado
C:\Documents and Settings\All Users\Documents\Recorded TV\TempRec\TempSBE\SBE1.tmp Object is locked saltado
C:\Documents and Settings\All Users\Documents\Recorded TV\TempRec\TempSBE\SBE2.tmp Object is locked saltado
C:\Documents and Settings\All Users\Documents\Recorded TV\TempRec\{02E07662-FFEC-48F0-B34B-96408A24784F}.TmpSBE Object is locked saltado
C:\Documents and Settings\All Users\Documents\Recorded TV\TempRec\{7EE9BECF-8EA3-47A8-866D-21F05579B607}.TmpSBE Object is locked saltado
C:\Documents and Settings\All Users\DRM\Cache\Indiv02.tmp Object is locked saltado
C:\Documents and Settings\All Users\DRM\drmstore.hds Object is locked saltado
C:\Documents and Settings\HP_Administrator\Application Data\SUPERAntiSpyware.com\SUPERAntiSpyware\SUPERANTISPYWARE.LOG Object is locked saltado
C:\Documents and Settings\HP_Administrator\Application Data\Symantec\PendingAlertsQueue.log Object is locked saltado
C:\Documents and Settings\HP_Administrator\Cookies\index.dat Object is locked saltado
C:\Documents and Settings\HP_Administrator\Local Settings\Application Data\Microsoft\Media Player\CurrentDatabase_360.wmdb Object is locked saltado
C:\Documents and Settings\HP_Administrator\Local Settings\Application Data\Microsoft\Messenger\kuashar82m@hotmail.com\SharingMetadata\Logs\Dfsr00005.log Object is locked saltado
C:\Documents and Settings\HP_Administrator\Local Settings\Application Data\Microsoft\Messenger\kuashar82m@hotmail.com\SharingMetadata\pending.dat Object is locked saltado
C:\Documents and Settings\HP_Administrator\Local Settings\Application Data\Microsoft\Messenger\kuashar82m@hotmail.com\SharingMetadata\Working\database_E20C_52C8_C52_96FF\dfsr.db Object is locked saltado
C:\Documents and Settings\HP_Administrator\Local Settings\Application Data\Microsoft\Messenger\kuashar82m@hotmail.com\SharingMetadata\Working\database_E20C_52C8_C52_96FF\fsr.log Object is locked saltado
C:\Documents and Settings\HP_Administrator\Local Settings\Application Data\Microsoft\Messenger\kuashar82m@hotmail.com\SharingMetadata\Working\database_E20C_52C8_C52_96FF\fsrtmp.log Object is locked saltado
C:\Documents and Settings\HP_Administrator\Local Settings\Application Data\Microsoft\Messenger\kuashar82m@hotmail.com\SharingMetadata\Working\database_E20C_52C8_C52_96FF\tmp.edb Object is locked saltado
C:\Documents and Settings\HP_Administrator\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat Object is locked saltado
C:\Documents and Settings\HP_Administrator\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado
C:\Documents and Settings\HP_Administrator\Local Settings\Application Data\Microsoft\Windows Live Contacts\kuashar82m@hotmail.com\real\members.stg Object is locked saltado
C:\Documents and Settings\HP_Administrator\Local Settings\Application Data\Microsoft\Windows Live Contacts\kuashar82m@hotmail.com\shadow\members.stg Object is locked saltado
C:\Documents and Settings\HP_Administrator\Local Settings\History\History.IE5\index.dat Object is locked saltado
C:\Documents and Settings\HP_Administrator\Local Settings\History\History.IE5\MSHist012007061420070615\index.dat Object is locked saltado
C:\Documents and Settings\HP_Administrator\Local Settings\Temp\Perflib_Perfdata_f8.dat Object is locked saltado
C:\Documents and Settings\HP_Administrator\Local Settings\Temp\_hphtra07.log Object is locked saltado
C:\Documents and Settings\HP_Administrator\Local Settings\Temp\~DF3103.tmp Object is locked saltado
C:\Documents and Settings\HP_Administrator\Local Settings\Temp\~DF3125.tmp Object is locked saltado
C:\Documents and Settings\HP_Administrator\Local Settings\Temp\~DF479D.tmp Object is locked saltado
C:\Documents and Settings\HP_Administrator\Local Settings\Temp\~DF47B9.tmp Object is locked saltado
C:\Documents and Settings\HP_Administrator\Local Settings\Temporary Internet Files\Content.IE5\45A7CTUB\ADSAdClient31[12].htm Object is locked saltado
C:\Documents and Settings\HP_Administrator\Local Settings\Temporary Internet Files\Content.IE5\5K0J9XGD\CAL48NPT.gif Object is locked saltado
C:\Documents and Settings\HP_Administrator\Local Settings\Temporary Internet Files\Content.IE5\index.dat Object is locked saltado
C:\Documents and Settings\HP_Administrator\My Documents\Descargas\Sacred Underworld(PC) Crack and Serial.exe Infectados: Trojan-Downloader.Win32.Agent.aii saltado
C:\Documents and Settings\HP_Administrator\My Documents\Instalables de los programillas\Instalable del emule\eMule0.47a\eMule0.47a\Temp\001.part Object is locked saltado
C:\Documents and Settings\HP_Administrator\My Documents\Instalables de los programillas\Instalable del emule\eMule0.47a\eMule0.47a\Temp\002.part Object is locked saltado
C:\Documents and Settings\HP_Administrator\My Documents\Instalables de los programillas\Instalable del emule\eMule0.47a\eMule0.47a\Temp\005.part Object is locked saltado
C:\Documents and Settings\HP_Administrator\My Documents\Instalables de los programillas\Instalable del emule\eMule0.47a\eMule0.47a\Temp\006.part Object is locked saltado
C:\Documents and Settings\HP_Administrator\My Documents\Instalables de los programillas\Instalable del emule\eMule0.47a\eMule0.47a\Temp\008.part Object is locked saltado
C:\Documents and Settings\HP_Administrator\My Documents\Instalables de los programillas\Instalable del emule\eMule0.47a\eMule0.47a\Temp\009.part Object is locked saltado
C:\Documents and Settings\HP_Administrator\My Documents\Instalables de los programillas\Instalable del emule\eMule0.47a\eMule0.47a\Temp\011.part Object is locked saltado
C:\Documents and Settings\HP_Administrator\My Documents\Instalables de los programillas\Instalable del emule\eMule0.47a\eMule0.47a\Temp
