Virus

JaCk_Herer · #1 (**permalink**) 19/03/2010, 01:10

Perdon por no poner mas informacion en el titulo pero no se me ocurrio nada mas q poner
bueno primero q nada saludarlos y gracias x esto q hacen
les cuento mi problema
Tenia el Avira Antivirus y encontraba virus y no hacia nada mas y me salian pop-ups a cada rato asique decidi borrarlo y bajar el nod32
bueno la cosa es que tengo un virus de msn de los tipicos q mandan mensajes a tus amigos, nunca abri ninguna de las paginas q me mandan asiq nose de donde me lo pude haber pegado, y ademas de esto tengo una especie de virus que me bloquea las paginas de antimalwares como por ejemplo forospyware.como infospyware.com, es por eso que acudi aqui, es muy raro, puedo abrir internet y la mayoria de las paginas me funcionan muy bien pero cuando trato de abrir paginas con antivirus simplemente me redirecciona a google y dice que no tengo permisos para acceder a la pagina, al igual que kaspersky.
Bueno pase el nod32 y encontro algunas cosas pero el problema aun persiste, tambien me baje el ASC y estos son los "consejos" que me dio

Logfile of Advanced SystemCare 3 Security Analyzer
Scan saved at 0:17:43, on 19/03/2010
Platform: Windows XP (WinNT 5.1)
MSIE: Internet Explorer v7.0 (7.0.5730.11)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Archivos de programa\Avira\AntiVir Desktop\sched.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\igfxtray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\Archivos de programa\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe
C:\Archivos de programa\Avira\AntiVir Desktop\avgnt.exe
C:\Archivos de programa\Winamp\winampa.exe
C:\WINDOWS\system32\igfxsrvc.exe
C:\Archivos de programa\HP\HP Software Update\HPWuSchd2.exe
C:\Archivos de programa\Archivos comunes\Nokia\MPlatform\NokiaMServer.exe
C:\documents and settings\administrador\configuración local\temp\pb2\spoolvsf.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\updated7.exe
C:\Archivos de programa\Avira\AntiVir Desktop\avguard.exe
C:\Archivos de programa\Archivos comunes\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Archivos de programa\Cisco Systems\VPN Client\cvpnd.exe
C:\WINDOWS\system32\svchost.exe
C:\Archivos de programa\Hewlett-Packard\Shared\hpqwmiex.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Archivos de programa\Internet Explorer\iexplore.exe
C:\WINDOWS\services.exe
C:\WINDOWS\services.exe
C:\WINDOWS\services.exe
C:\WINDOWS\services.exe
C:\WINDOWS\services.exe
C:\WINDOWS\services.exe
C:\WINDOWS\services.exe
C:\WINDOWS\services.exe
C:\WINDOWS\services.exe
C:\WINDOWS\services.exe
C:\WINDOWS\services.exe
C:\WINDOWS\services.exe
C:\WINDOWS\services.exe
C:\WINDOWS\services.exe
C:\WINDOWS\services.exe
C:\WINDOWS\services.exe
C:\WINDOWS\services.exe
C:\WINDOWS\services.exe
C:\Archivos de programa\Windows Live\Messenger\msnmsgr.exe
C:\Archivos de programa\Windows Live\Contacts\wlcomm.exe
C:\WINDOWS\services.exe
C:\WINDOWS\services.exe
C:\WINDOWS\services.exe
C:\WINDOWS\system32\msiexec.exe
C:\Archivos de programa\IObit\Advanced SystemCare 3\Awc.exe
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - (no file)
O2 - BHO: ShoppingReport - {100EB1FD-D03E-47FD-81F3-EE91287F9465} - ShoppingReport
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: (no name) - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.6.0_02\bin\ssv.dll
O2 - BHO: (no name) - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Archivos de programa\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [Advanced SystemCare 3] "C:\Archivos de programa\IObit\Advanced SystemCare 3\AWC.exe" /startup
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [avgnt] "C:\Archivos de programa\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [WinampAgent] "C:\Archivos de programa\Winamp\winampa.exe"
O4 - HKLM\..\Run: [HP Software Update] C:\Archivos de programa\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [NokiaMusic FastStart] "C:\Archivos de programa\Nokia\Ovi Player\NokiaOviPlayer.exe" /command:faststart
O4 - HKLM\..\Run: [Microsoft Driver Setup] C:\WINDOWS\updated7.exe
O4 - HKLM\..\Run: [services] C:\WINDOWS\services.exe
O4 - HKLM\..\Run: [kayhs] C:\WINDOWS\scvshost.exe
O4 - HKLM\..\Run: [scvhosts] C:\WINDOWS\system32\scvhostt.exe
O4 - HKLM\..\Run: [scvsshost] C:\WINDOWS\system32\scvhost.exe
O4 - HKLM\..\Run: [msngers] c:\documents and settings\administrador\configuración local\temp\pb2\spoolvsf.exe
O4 - HKLM\..\Run: [ctfmon.exe] ctfmon.exe
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~1\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} -
O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ShopperReports - Compare product prices - {C5428486-50A0-4a02-9D20-520B59A9F9B2} -
O9 - Extra button: ShopperReports - Compare travel rates - {C5428486-50A0-4a02-9D20-520B59A9F9B3} -
O9 - Extra button: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/MessengerGamesContent/GameContent/es/uno1/GAME_UNO1.cab
O16 - DPF: {8100D56A-5661-482C-BEE8-AFECE305D968} (Facebook Photo Uploader 5 Control) - http://upload.facebook.com/controls/2009.07.28_v5.5.8.1/FacebookPhotoUploader55.cab
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Plug-in 1.6.0_02) - http://java.sun.com/update/1.6.0/jinstall-1_6_0_02-windows-i586.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O16 - DPF: {CAFEEFAC-0016-0000-0002-ABCDEFFEDCBA} (Java Plug-in 1.6.0_02) - http://java.sun.com/update/1.6.0/jinstall-1_6_0_02-windows-i586.cab
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} (Java Plug-in 1.6.0_02) - http://java.sun.com/update/1.6.0/jinstall-1_6_0_02-windows-i586.cab
O16 - DPF: {E77F23EB-E7AB-4502-8F37-247DBAF1A147} (Windows Live Hotmail Photo Upload Tool) - http://gfx1.hotmail.com/mail/w4/pr01/photouploadcontrol/MSNPUpld.cab
O23 - Service: Adobe LM Service - Adobe Systems - C:\Archivos de programa\Archivos comunes\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Avira AntiVir Scheduler (AntiVirSchedulerService) - Avira GmbH - C:\Archivos de programa\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Archivos de programa\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Archivos de programa\Archivos comunes\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Archivos de programa\Cisco Systems\VPN Client\cvpnd.exe
O23 - Service: hpqwmiex - Hewlett-Packard Development Company, L.P. - C:\Archivos de programa\Hewlett-Packard\Shared\hpqwmiex.exe
O23 - Service: Servicio del iPod (iPod Service) - Apple Inc. - C:\Archivos de programa\iPod\bin\iPodService.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: ServiceLayer - Nokia - C:\Archivos de programa\Nokia\PC Connectivity Solution\ServiceLayer.exe

espero puedan ayudarme
Gracias de antemano

EDITO: creo que tiene que ver con un proceso llamado services.exe y cuando bloquearlo con el taskmanager me sale: "Este es un proceso de sistema critioc. El administrador de tareas no puede finalizar este proceso"

update2020 · #2 (**permalink**) 19/03/2010, 12:40

Primeramente, es la primera vez que veo que algo así le sucede al Avira.

En todo caso elimina lo siguiente:

C:\WINDOWS\updated7.exe ← sólo éste archivo (updated7.exe)

Fix en lo siguiente:

O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - (no file)
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)

Luego haz lo siguiente:

Restaurar archivo HOSTS

1. Utilizando el Explorador de Windows, busque el archivo HOSTS (sin extensión), en alguna de las siguientes carpetas (según el sistema operativo utilizado):

c:\windows\
c:\windows\system32\drivers\etc\ ← para windows Xp
c:\winnt\system32\drivers\etc\

2. Si aparece, haga doble clic sobre dicho archivo (HOSTS). Seleccione "Seleccionar el programa de una lista", "Aceptar", y luego seleccione NOTEPAD (Bloc de notas). NO MARQUE "Utilizar siempre el programa seleccionado para abrir este tipo de archivos".

3. Borre todas las líneas que comiencen con un número, salvo las siguientes:

127.0.0.1 localhost

4. Acepte guardar los cambios al salir del bloc de notas.

5. Si utiliza algún programa anti-spyware o anti-adware que modifique el archivo HOSTS para protegerlo de ciertos parásitos, vuelva a ejecutar ese programa para actualizar el archivo HOSTS con dicha información.

Elimina los temporales de internet y windows, utilizando el Ccleaner, desactiva restaurar sistema y analiza con cualquier servicio online de antivirus.

Por ejemplo:

http://www.f-secure.com/en_EMEA/security/tools/online-scanner/

Saludos.

JaCk_Herer · #3 (**permalink**) 20/03/2010, 13:20

Hola denuevo
aver te cuento
el updated7.exe no estaba, probablemente lo borro el nod32
le puse fix a lo q me dijiste
encontre el archivo HOSTS y lo abri con el block de notas pero me salen infinitos codigos y letras q no entiendo
y como dije antes el virus no me deja abrir paginas de internet qntegan q ver con antimalwares

EDITO: abri el archivo HOSTS.MSN y ahi me salio el 127.0.0.1 localhost pero nada mas asiq no borre nada
y otra cosa, cuando inicio windows se me abre algo asi como mIRC q nose q es.

update2020 · #4 (**permalink**) 20/03/2010, 14:56

Tienes que abrirt el que diga Hosts no el Hosts.MSN.
cuando lo abras con el Block de notas (de vez asegurarte de quitar el check de utilizar siempre éste programa) te debe salir así:

-------------------------------------------------------------------

# Copyright (c) 1993-1999 Microsoft Corp.
#
# Éste es un ejemplo de archivo HOSTS usado por Microsoft TCP/IP para Windows.
# Este archivo contiene las asignaciones de las direcciones IP a los nombres de
# host. Cada entrada debe permanecer en una línea individual. La dirección IP
# debe ponerse en la primera columna, seguida del nombre de host correspondiente.
# La dirección IP y el nombre de host deben separarse con al menos un espacio.
#
# También pueden insertarse comentarios (como éste) en líneas individuales
# o a continuación del nombre de equipo indicándolos con el símbolo "#"
#
# Por ejemplo:
#
# 102.54.94.97 rhino.acme.com # servidor origen
# 38.25.63.10 x.acme.com # host cliente x

127.0.0.1 localhost
127.0.0.1 mpa.one.microsoft.com

---------------------------------------

Todo lo demás eliminalo, por ejemplo si te sale algo así

# Copyright (c) 1993-1999 Microsoft Corp.
#
# Éste es un ejemplo de archivo HOSTS usado por Microsoft TCP/IP para Windows.
# Este archivo contiene las asignaciones de las direcciones IP a los nombres de
# host. Cada entrada debe permanecer en una línea individual. La dirección IP
# debe ponerse en la primera columna, seguida del nombre de host correspondiente.
# La dirección IP y el nombre de host deben separarse con al menos un espacio.
#
# También pueden insertarse comentarios (como éste) en líneas individuales
# o a continuación del nombre de equipo indicándolos con el símbolo "#"
#
# Por ejemplo:
#
# 102.54.94.97 rhino.acme.com # servidor origen
# 38.25.63.10 x.acme.com # host cliente x

127.0.0.1 localhost
127.0.0.1 mpa.one.microsoft.com
127.0.0.1 gromozon.com
127.0.0.1 xearl.com
127.0.0.1 td8eau9td.com
127.0.0.1 mioctad.com
127.0.0.1 mufxggfi.com
127.0.0.1 uv97vqm3.com
127.0.0.1 coeds.com*
127.0.0.1 lah3bum9.com*
127.0.0.1 cvoesdjd.com*

Tienes que eliminarlo o borrarlo (lo que ésta en negrita), lo guardas y reinicias-

Si cuando reinicias aparece un programa desconocido entonces anda a ejecutar
y escribe msconfig, luego vas a la pestaña Inicio y quita el check al programa o programas que no sean necesarios, por ahí debe estar el mIRC, acepta y reinicias.
Por ahí veo partes del Avira si lo has desinstalado correctamente tienes que eliminarlo o hacer fix en donde aparezca, podrías tener problemas si lo eliminas manualmente.

éste es una clave de registro haz fix.

O4 - HKLM\..\Run: [Microsoft Driver Setup] C:\WINDOWS\updated7.exe