Kazaa lite, No baje este software y tengo un spyware

Wasin · #1 (**permalink**) 19/10/2006, 10:30

Tengo XOFTSPY y me detecta EL kazaa Lite, no he bajado este software, pero aparece en el sistema , me dijeron que en el host , ponga estas direcciones(van algunas, no todas)
127.0.0.1 desktop.kazaa.com
127.0.0.1 www.altnetp2p.com
127.0.0.1 alpha.kazaa.com
127.0.0.1 shop.kazaa.com
127.0.0.1 www.bonzi.com
127.0.0.1 www.brilliantdigital.com
127.0.0.1 www.b3d.com
127.0.0.1 media.altnet.com
127.0.0.1 www.altnet.com
127.0.0.1 dev.bde.com.au
127.0.0.1 update.kazaa.com
127.0.0.1 bravo.kazaa.com
127.0.0.1 puma.kazaa.com
# Websites involded in Kazaa Lite or other P2P related scams:
127.0.0.1 www.kazaagold.com
127.0.0.1 www.kazaa-gold.com
127.0.0.1 kazaagold.com
127.0.0.1 www.k-lite.com
127.0.0.1 www.kazaa-download.de
127.0.0.1 www.mp3downloadhq.com
127.0.0.1 www.easymusicdownload.com
127.0.0.1 easymusicdownload.com
127.0.0.1 www.mp3madeeasy.com
127.0.0.1 www.monstershare.com
127.0.0.1 monstershare.com
127.0.0.1 www.kazaa-plus.net
127.0.0.1 kazaa-plus.net
127.0.0.1 www.kazaa-plus.com

Esto desintala el spyware(Trojan) este?

Aquí les bajo el Hijachthis de la máquina

Gracias de antemano si me ayudan, porque la dirección de página de inicio se borra.

Logfile of HijackThis v1.99.1
Scan saved at 08:32:20 a.m., on 19/10/06
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\ARCHIV~1\Grisoft\AVGFRE~1\avgcc.exe
C:\Archivos de programa\Ahead\InCD\InCD.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Archivos de programa\Messenger\msmsgs.exe
C:\ARCHIV~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\ARCHIV~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\ARCHIV~1\Grisoft\AVGFRE~1\avgemc.exe
C:\Archivos de programa\Ahead\InCD\InCDsrv.exe
C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7Debug\mdm.exe
C:\Archivos de programa\Canon\MultiPASS4\MPSERVIC.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\explorer.exe
C:\Archivos de programa\Internet Explorer\iexplore.exe
C:\DOCUME~1\ADMINI~1\CONFIG~1\Temp\Directorio temporal 1 para hijackthis.zip\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://go.compaq.com/1Q00CDT/0C0A/bl8.asp
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://antivirus.cableonda.net/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://go.compaq.com/1Q00CDT/0C0A/bl8.asp
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Archivos de programa\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Archivos de programa\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [srmclean] C:\Cpqs\Scom\srmclean.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\\NeroCheck.exe
O4 - HKLM\..\Run: [AVG7_CC] C:\ARCHIV~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [InCD] C:\Archivos de programa\Ahead\InCD\InCD.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background
O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\j2re1.4.1_02\bin\npjpi141_02.dll
O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\j2re1.4.1_02\bin\npjpi141_02.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O12 - Plugin for .spop: C:\Archivos de programa\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/eng/par...an_unicode.cab
O16 - DPF: {193C772A-87BE-4B19-A7BB-445B226FE9A1} (ewidoOnlineScan Control) - http://download.ewido.net/ewidoOnlineScan.cab
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVGFRE~1\avgemc.exe
O23 - Service: InCD File System Service (InCDsrv) - Unknown owner - C:\Archivos de programa\Ahead\InCD\InCDsrv.exe
O23 - Service: MpService - Canon Inc. - C:\Archivos de programa\Canon\MultiPASS4\MPSERVIC.EXE
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Archivos de programa\TuneUp Utilities 2006\WinStylerThemeSvc.exe

Gpastor · #2 (**permalink**) 19/10/2006, 11:51

Hola Wasin, tu log de Hijackthis está limpio.

El Xoftspy es un falso antispywares y si este es el único que está encontrando la infección es muy probable que se trate de un falso positivo ¿en que ubicación exacta te encuentra la infección?

Cita:

me dijeron que en el host , ponga estas direcciones(van algunas, no todas)

Esto desintala el spyware(Trojan) este?

No, al editar el archivo hosts de esta manera evitarías entrar a esas páginas pero no desinstalas nada. Para mayor información sobre el archivo hosts puedes ver en este enlace.

Saludos

Wasin · #3 (**permalink**) 19/10/2006, 13:28

Este es reporte:

"C:\Archivos de programa\XoftSpy\XoftSpy.exe" MD5 = "a59c0fba2410a4f119046bb34ea84ebd"/>
<ScanningRegKeys>
</SW>
<SW NAME = "KaZaa Lite">
<REGKEYFOUND NAME = "software\microsoft\windows\currentversion\interne t settings\p3p\history\gator.com"/>
<REGKEY NAME = "KaZaa Lite software\microsoft\windows\currentversion\internet settings\p3p\history\gator.com"/>
</ScanningRegKeys>
<ScanningRegValues>
</ScanningRegValues>
<ScanningRegValuesChanged>
</ScanningRegValuesChanged>
</Scanning>

</Session>

Soldier Natura · #4 (**permalink**) 19/10/2006, 14:55

Gpastor tas seguro que el Xoftspy es un falso antispyware? , Porque si es asi para eliminarlo de mi compu... Pero que raro el XoftSpy me detecta de todo, al igual que cualquier otro programa antispyware como el ad-aware o ashampoo antispyware..

Gpastor · #5 (**permalink**) 19/10/2006, 16:36

Cita:

Iniciado por Soldier Natura

Gpastor tas seguro que el Xoftspy es un falso antispyware? , Porque si es asi para eliminarlo de mi compu... Pero que raro el XoftSpy me detecta de todo, al igual que cualquier otro programa antispyware como el ad-aware o ashampoo antispyware..

La versión actual, al parecer a solucionado el problema de los falsos positivos, aunque en la lista de antispywares sospechosos y no confiables aparece con una nota. Particularmente no confiaría en este antispy, mas aún siendo de pago.

Wasin, con el buscador del Regseeker busca y elimina todo lo relacionado a gator.com kuego verifica con otro antispyware como Ad-aware y/o Spybot Search & Destroy para verificar si estos encuentran algo.

También te recomiendo descargar, instalar y actualizar AVG Antispywares para que realices un escaneo en Modo Seguro.

Saludos

omegafunky · #6 (**permalink**) 19/10/2006, 16:38

hola amigo el kazaa mete mucho spyware, mejor usa area amigo jejej saludos

Wasin · #7 (**permalink**) 20/10/2006, 08:46

El problema es que nunca he instalado Kazaa y ahora se borra la página de inico, cuando la configuro en opciones de internet.
Spyboot , ad ware , panda spyware y trend micro , no detectan nada.

Pero la página de inico se me borra, de vez en cuando y de cuando en vez.

Alguna otra solución,

Gracias

Gpastor · #8 (**permalink**) 20/10/2006, 10:52

¿Se borra o se cambia la página de inicio? ¿qué aparece en lugar de la página que haz configurado?

Cuando esto suceda descarga y ejecuta la herramienta Inirem y luego cambia la página de inicio por la que desees.

Saludos

Wasin · #9 (**permalink**) 20/10/2006, 13:12

Se borra la página de inico, pero solamente queda así http//, lo demas de borra.

Le adjunto parte del reporte de XSOTSPY, de donde estan los ad ware???

<Information RootKey = "HKEY_CURRENT_USER" KeyPath = "Software\Microsoft\Internet Explorer\Main"/>
<Information Value = "NoUpdateCheck" Data = "(DWORD) 0x1 0 0 0"/>
<Information Value = "NoJITSetup" Data = "(DWORD) 0x1 0 0 0"/>
<Information Value = "Cache_Update_Frequency" Data = "Once_Per_Session"/>
<Information Value = "Do404Search" Data = ""/>
<Information Value = "Start Page" Data = "http://antivirus.cableonda.net/"/>
<Information Value = "Search Page" Data = ""/>
<Information Value = "Search Bar" Data = "http://go.compaq.com/1Q00CDT/0C0A/bl8.asp"/>
<Information Value = "Use Custom Search URL" Data = "(DWORD) 0x1 0 0 0"/>
<Information Value = "Window_Placement" Data = ""/>
<Information Value = "AddToFavoritesExpanded" Data = "(DWORD) 0 0 0 0"/>
<Information Value = "AutoSearch" Data = "(DWORD) 0x5 0 0 0"/>
<Information Value = "NscSingleExpand" Data = "(DWORD) 0x1 0 0 0"/>
<Information Value = "Force Offscreen Composition" Data = "(DWORD) 0 0 0 0"/>
<Information Value = "UseThemes" Data = "(DWORD) 0x1 0 0 0"/>
<Information Value = "NoWebJITSetup" Data = "(DWORD) 0 0 0 0"/>
<Information Value = "Page_Transitions" Data = "(DWORD) 0x1 0 0 0"/>
<Information Value = "AllowWindowReuse" Data = "(DWORD) 0x1 0 0 0"/>
<Information Value = "SmoothScroll" Data = "(DWORD) 0x1 0 0 0"/>
<Information Value = "Show image placeholders" Data = "(DWORD) 0 0 0 0"/>
<Information RootKey = "HKEY_LOCAL_MACHINE" KeyPath = "Software\Microsoft\Internet Explorer\Main"/>
<Information Value = "Default_Page_URL" Data = "http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome"/>
<Information Value = "Default_Search_URL" Data = "http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch"/>
<Information Value = "Search Page" Data = ""/>
<Information Value = "Cache_Percent_of_Disk" Data = ""/>
<Information Value = "Anchor_Visitation_Horizon" Data = ""/>
<Information Value = "Placeholder_Width" Data = ""/>
<Information Value = "Placeholder_Height" Data = ""/>
<Information Value = "Start Page" Data = ""/>
<Information Value = "CompanyName" Data = "Microsoft Corporation"/>
<Information Value = "Custom_Key" Data = "MICROSO"/>
<Information Value = "Wizard_Version" Data = "6.0.2600.0000"/>
<Information Value = "Search Bar" Data = "http://go.compaq.com/1Q00CDT/0C0A/bl8.asp"/>
<Information Value = "Use Custom Search URL" Data = "(DWORD) 0x1 0 0 0"/>
<Information RootKey = "HKEY_LOCAL_MACHINE" KeyPath = "Software\Microsoft\Internet Explorer\Search"/>
<Information Value = "SearchAssistant" Data = "http://ie.search.msn.com/{SUB_RFC1766}/srchasst/srchasst.htm"/>
<Information Value = "CustomizeSearch" Data = "http://ie.search.msn.com/{SUB_RFC1766}/srchasst/srchcust.htm"/>
<Information RootKey = "HKEY_CURRENT_USER" KeyPath = "Software\Microsoft\Internet Explorer\SearchURL"/>
<Information Value = "provider" Data = ""/>
<Information RootKey = "HKEY_CURRENT_USER" KeyPath = "Software\Microsoft\Internet Explorer\URLSearchHooks"/>
<Information Value = "{CFBFAE00-17A6-11D0-99CB-00C04FD64497}" Data = ""/>
<Information RootKey = "HKEY_LOCAL_MACHINE" KeyPath = "Software\Microsoft\Internet Explorer\Toolbar"/>
<Information Value = "{EF99BD32-C1FB-11D2-892F-0090271D4F88}" Data = ""/>
<Information RootKey = "HKEY_CURRENT_USER" KeyPath = "Software\Microsoft\Internet Explorer\Toolbar"/>
<Information Value = "LinksFolderName" Data = "Vínculos"/>
<Information Value = "Locked" Data = "(DWORD) 0x1 0 0 0"/>
<Information RootKey = "HKEY_LOCAL_MACHINE" KeyPath = "SOFTWARE\Classes\exefile\shell\open\command"/>
<Information Value = "" Data = "%1 %*"/>
<Information RootKey = "HKEY_LOCAL_MACHINE" KeyPath = "SOFTWARE\Classes\comfile\shell\open\command"/>
<Information Value = "" Data = "%1 %*"/>
<Information RootKey = "HKEY_LOCAL_MACHINE" KeyPath = "SOFTWARE\Classes\batfile\shell\open\command"/>
<Information Value = "" Data = "%1 %*"/>
<Information RootKey = "HKEY_LOCAL_MACHINE" KeyPath = "SOFTWARE\Classes\piffile\shell\open\command"/>
<Information Value = "" Data = "%1 %*"/>
<Information RootKey = "HKEY_LOCAL_MACHINE" KeyPath = "SOFTWARE\Classes\scrfile\shell\open\command"/>
<Information Value = "" Data = "%1 /S"/>
<Information RootKey = "HKEY_LOCAL_MACHINE" KeyPath = "SOFTWARE\Classes\htafile\shell\open\command"/>
<Information Value = "" Data = "C:\WINDOWS\System32\mshta.exe %1 %*" MD5 = "e51333359adece00d707e5462ca1d1ad" Path = ""/>
<Information RootKey = "HKEY_CURRENT_USER" KeyPath = "Software\Microsoft\Windows\CurrentVersion\Interne t Settings"/>
<Information Value = "ProxyEnable" Data = "(DWORD) 0 0 0 0"/>
<Information Directory = "C:\Documents and Settings\Administrador\Menú Inicio\Programas\Inicio\*" Program = "desktop.ini" MD5 = "d6a6856702e3f0953e7246a9b4a9fe35" />
<Information Directory = "C:\Documents and Settings\All Users\Menú Inicio\Programas\Inicio\*" Program = "desktop.ini" MD5 = "d6a6856702e3f0953e7246a9b4a9fe35" />
<Information Directory = "C:\Documents and Settings\All Users\Menú Inicio\Programas\Inicio\*" Program = "Microsoft Office.lnk" LinkFile = "C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE" MD5 = "5bc65464354a9fd3beaa28e18839734a"/>
<Scanning TIME = "20 Oct 06 13:48:46">
<PROCESS NAME = "C:\WINDOWS\system32\services.exe" MD5 = "f9852f505e0699bb83d5c6321917040b"/>
<PROCESS NAME = "C:\WINDOWS\system32\lsass.exe" MD5 = "2b0b88652c9f6714fd4886839b3b0442"/>
<PROCESS NAME = "C:\WINDOWS\system32\svchost.exe" MD5 = "fa03e1fc17f38fbdba81470d08b3e416"/>
<PROCESS NAME = "C:\WINDOWS\system32\svchost.exe" MD5 = "fa03e1fc17f38fbdba81470d08b3e416"/>
<PROCESS NAME = "C:\WINDOWS\System32\svchost.exe" MD5 = "fa03e1fc17f38fbdba81470d08b3e416"/>
<PROCESS NAME = "C:\WINDOWS\System32\svchost.exe" MD5 = "fa03e1fc17f38fbdba81470d08b3e416"/>
<PROCESS NAME = "C:\WINDOWS\System32\svchost.exe" MD5 = "fa03e1fc17f38fbdba81470d08b3e416"/>
<PROCESS NAME = "C:\WINDOWS\system32\spoolsv.exe" MD5 = "da81ec57acd4cdc3d4c51cf3d409af9f"/>
<PROCESS NAME = "C:\WINDOWS\Explorer.EXE" MD5 = "89c8dd146ceaf482d82822766437d93f"/>
<PROCESS NAME = "C:\ARCHIV~1\Grisoft\AVGFRE~1\avgcc.exe" MD5 = "5ff72bb3dd3d7a206fbab530de76521a"/>
<PROCESS NAME = "C:\Archivos de programa\Ahead\InCD\InCD.exe" MD5 = "4f8c6d35632fa9cc61d725eefcb74ae8"/>
<PROCESS NAME = "C:\ARCHIV~1\Grisoft\AVGFRE~1\avgamsvr.exe" MD5 = "9bf46d959f713d64c8ff3de2b2437863"/>
<PROCESS NAME = "C:\WINDOWS\system32\ctfmon.exe" MD5 = "25ecfa69af1563fde8dfd31f9954497a"/>
<PROCESS NAME = "C:\Archivos de programa\Messenger\msmsgs.exe" MD5 = "74e6e96c6f0e2eca4edbb7f7a468f259"/>
<PROCESS NAME = "C:\Archivos de programa\Spybot - Search & Destroy\TeaTimer.exe" MD5 = "70496eee0ddbe485f658693826f44d38"/>
<PROCESS NAME = "C:\ARCHIV~1\Grisoft\AVGFRE~1\avgupsvc.exe" MD5 = "66093610fa61142f6bcfd83afb7e8a29"/>
<PROCESS NAME = "C:\ARCHIV~1\Grisoft\AVGFRE~1\avgemc.exe" MD5 = "07c595396c6f4631e88f9792e1becd7e"/>
<PROCESS NAME = "C:\Archivos de programa\Ahead\InCD\InCDsrv.exe" MD5 = "a829f0e0133479eb1ec2fd483faaadd8"/>
<PROCESS NAME = "C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7Debug\mdm.exe" MD5 = "11f714f85530a2bd134074dc30e99fca"/>
<PROCESS NAME = "C:\Archivos de programa\Canon\MultiPASS4\MPSERVIC.EXE" MD5 = "3a3ecbb61df01e4e37b1cb51ae6221d8"/>
<PROCESS NAME = "C:\WINDOWS\System32\svchost.exe" MD5 = "fa03e1fc17f38fbdba81470d08b3e416"/>
<PROCESS NAME = "C:\WINDOWS\system32\wdfmgr.exe" MD5 = "c81b8635dee0d3ef5f64b3dd643023a5"/>
<PROCESS NAME = "C:\WINDOWS\System32\alg.exe" MD5 = "906d6932d533f1591caa84e846b9ba06"/>
<PROCESS NAME = "C:\Archivos de programa\XoftSpy\XoftSpy.exe" MD5 = "a59c0fba2410a4f119046bb34ea84ebd"/>
<ScanningRegKeys>
</ScanningRegKeys>
<ScanningRegValues>
</SW>
<SW NAME = "Media Motor">
<REGVALUE VALUE = "Media Motor software\microsoft\windows\currentversion\internet settings\zonemap\domains\media-motor.net\*"/>
<REGVALUEFOUND NAME = "software\microsoft\windows\currentversion\interne t settings\zonemap\domains\media-motor.net\*"/>
</SW>
<SW NAME = "Media Motor">
<REGVALUE VALUE = "Media Motor software\microsoft\windows\currentversion\internet settings\zonemap\domains\mmohsix.com\*"/>
<REGVALUEFOUND NAME = "software\microsoft\windows\currentversion\interne t settings\zonemap\domains\mmohsix.com\*"/>
</SW>
<SW NAME = "New Dial">
<REGVALUE VALUE = "New Dial software\microsoft\windows\currentversion\internet settings\zonemap\domains\linkautomatici.com\www\*"/>
<REGVALUEFOUND NAME = "software\microsoft\windows\currentversion\interne t settings\zonemap\domains\linkautomatici.com\www\*"/>
</ScanningRegValues>
<ScanningRegValuesChanged>
</ScanningRegValuesChanged>
<Information Message = "Scan Aborted by User"/>
</Scanning>

<Information Message = "Starting to Quarantine 3 Items"/>
<Quarantines>
<QTFILE PATH = "C:\Archivos de programa\XoftSpy\Quarantine\Quarantine20-10-2006-13-49-58.xpy" />
<INFO ACTION = "Added"/>
<INFO TIME = "20-10-2006-13-49-58"/>
<REGVALUE RES = "* = dword:00000004
">
<REGVALUE RES = "* = dword:00000004
">
<REGVALUE RES = "* = dword:00000004
">
</Quarantines>
<QInformation Message = "Quarantining File REG BACKUP - C:\DOCUME~1\ADMINI~1\CONFIG~1\Temp\regbackup.reg"/>
<Removal>
<SW NAME = "Media Motor">
<REGVALUE NAME = "software\microsoft\windows\currentversion\interne t settings\zonemap\domains\media-motor.net\*"/>
<REGVALUE RES = "Successfully Removed"/>
<REGVALUE NAME = "software\microsoft\windows\currentversion\interne t settings\zonemap\domains\mmohsix.com\*"/>
<REGVALUE RES = "Successfully Removed"/>
</SW>
<SW NAME = "New Dial">
<REGVALUE NAME = "software\microsoft\windows\currentversion\interne t settings\zonemap\domains\linkautomatici.com\www\*"/>
<REGVALUE RES = "Successfully Removed"/>
</SW>
</Removal>
</Session>

46xy · #10 (**permalink**) 21/10/2006, 13:35

el kazaa lite k++ es el que viene limpio, noten por favor el k++ al final, es el que uso sin ningun problema hace mas de 2 años

Gpastor · #11 (**permalink**) 24/10/2006, 09:33

Ante todo disculpa la demora, he estado muy ocupado estos días

Bien, por lo que veo en ese reporte de Xoftspy (que como te recomendé preferiría que lo desinstales) a encontrado un adware Media Motor en los sitios de confianza de Internet Explorer:

Cita:

Pero al parecer los ha eliminado:

Cita:

Para limpiar los sitios de confianza, que pueden haberse añadido sin propio consentimiento, puedes hacerlo desde las opciones de Internet Explorer o de manera automática descargando y ejecutando la herramienta TZ-Kill.zip.

Ya nos contarás como va todo.

Saludos

Wasin · #12 (**permalink**) 24/10/2006, 14:22

Sigo con el mismo problema e intentado todo hasta la última sugerecia de desbloqueo de la página de inico y nada.
Con el panda online no encuentra nada.

Este es el área donde dice que esta el Kazaa Lite, aparece en el history de la secuencia que esta abajo, pero luego que la quito y la página de inicio me la pone que nada mas dice http// y lo demás en blanco.

<PROCESS NAME = "C:\Archivos de programa\XoftSpy\XoftSpy.exe" MD5 = "a59c0fba2410a4f119046bb34ea84ebd"/>
<ScanningRegKeys>
</SW>
<SW NAME = "KaZaa Lite">
<REGKEYFOUND NAME = "software\microsoft\windows\currentversion\interne t settings\p3p\history\gator.com"/>
<REGKEY NAME = "KaZaa Lite software\microsoft\windows\currentversion\internet settings\p3p\history\gator.com"/>
</ScanningRegKeys>
<ScanningRegValues>
</ScanningRegValues>
<ScanningRegValuesChanged>
</ScanningRegValuesChanged>
</Scanning>

<Information Message = "Starting to Quarantine 1 Items"/>
<Quarantines>
<QTFILE PATH = "C:\Archivos de programa\XoftSpy\Quarantine\Quarantine24-10-2006-14-20-54.xpy" />
<INFO ACTION = "Added"/>
<INFO TIME = "24-10-2006-14-20-54"/>
<REGKEY RES = "Exporting - software\microsoft\windows\currentversion\internet settings\p3p\history\gator.com

AQUÍ ESTA MI NUEVO LOG, QUE MAS PUEDEN VER?????

Logfile of HijackThis v1.99.1
Scan saved at 03:15:00 p.m., on 24/10/06
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\ARCHIV~1\Grisoft\AVGFRE~1\avgcc.exe
C:\Archivos de programa\Ahead\InCD\InCD.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Archivos de programa\Messenger\msmsgs.exe
C:\Archivos de programa\Spybot - Search & Destroy\TeaTimer.exe
C:\ARCHIV~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\ARCHIV~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\ARCHIV~1\Grisoft\AVGFRE~1\avgemc.exe
C:\Archivos de programa\Ahead\InCD\InCDsrv.exe
C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7Debug\mdm.exe
C:\Archivos de programa\Canon\MultiPASS4\MPSERVIC.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ntvdm.exe
C:\Archivos de programa\Internet Explorer\iexplore.exe
C:\DOCUME~1\ADMINI~1\CONFIG~1\Temp\Directorio temporal 2 para hijackthis.zip\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://go.compaq.com/1Q00CDT/0C0A/bl8.asp
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://antivirus.cableonda.net/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://go.compaq.com/1Q00CDT/0C0A/bl8.asp
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.forospyware.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Archivos de programa\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Archivos de programa\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [srmclean] C:\Cpqs\Scom\srmclean.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\\NeroCheck.exe
O4 - HKLM\..\Run: [AVG7_CC] C:\ARCHIV~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [InCD] C:\Archivos de programa\Ahead\InCD\InCD.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Archivos de programa\Spybot - Search & Destroy\TeaTimer.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000
O12 - Plugin for .spop: C:\Archivos de programa\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/actives...ree/asinst.cab
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVGFRE~1\avgemc.exe
O23 - Service: InCD File System Service (InCDsrv) - Unknown owner - C:\Archivos de programa\Ahead\InCD\InCDsrv.exe
O23 - Service: MpService - Canon Inc. - C:\Archivos de programa\Canon\MultiPASS4\MPSERVIC.EXE
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Archivos de programa\TuneUp Utilities 2006\WinStylerThemeSvc.exe

Gpastor · #13 (**permalink**) 24/10/2006, 15:02

¿El problema también sucede con otro navegador, digamos Firefox u Opera?

¿Haz ingresado al registro y verificado estas claves?

¿Solamente el Xoftspy detecta esta "infección"?

El log de Hijackthis está limpio.

Saludos

nausicaa · #14 (**permalink**) 24/10/2006, 15:21

ay estoy mareada de tanto texto

borra el icono del internet explorer, reemplazalo por uno nuevo desde la carpeta del internet explorer y podras cambiar la pagina de inicio a voluntad. Es un virus o spyware que quizas ya haya sido eliminado pero en el registro a quedado y lo esta enviando continuamente. Tienes que buscar en el registro y eliminarlo. Una vez que lo hayas hecho te recomiendo que instales el tea timer en tiempo real para que no tengas el mismo problema
nausicaa

Wasin · #15 (**permalink**) 24/10/2006, 15:25

Siento mucho lo del mareo, pero este foro es para ayudar , me supongo, no debe importa la cantidad de texto , ahora voy al registro sin remover el spyware o virus y quito la claves esta y nuevamente aparecen.

Bueno no he utilizdo otros navegadores, en el spywareblaster, se desintala el que dice "gator" (se quita el gancho)y cuando hago esto es que aprece el kazaa lite (trojan),cuando paso el (XOFTSPY) y le quita la página de inico, le pase el panda y no encuentra nada.

Que otros programas me recomiendan para analizar.

Solamente detecta esta infección,pero anteriormente detectaba media-motor.net, pero esta la corrigio.

Ahora como verifico estas claves, al registro puedo entrar.

He desintalado el spywareblaster y lo instla de nuevo , a ver que sucede.
Saludos

nausicaa · #16 (**permalink**) 24/10/2006, 15:40

oye chico No tomes nada tan literal
que de haber bastante texto lo hay pero no era una queja
bueno es ovbio que el bicho al no detectarlo en el registro esta enviando reproducciones a la central

si hay un icono de un programa extraño en tu escritorio, dale click derecho, usas propiedades y luego ver ubicacion

fijate bien en el nombre del bicho y luego en el regedit utilizas el buscador y lo persigues y borras todo lo que tengan ese nombre (por si acaso hazte un back up del registro)

es posible (dentro de las muchas posibilidades) que aquello que buscas se trate de un ad aware (cookie publicitario o un bot publicitario) de poca peligrosidad por eso no lo ubican

tienes un firewell? posiblemente al momento de instalar "algo" le diste un permiso sin querer queriendo....fijate en la configuracion de programas y aquello que no pediste dile chau al programa y su registro

si tienes el tea timer fijate en su archivo donde guarda las acciones y alli puede estar algo que no solicitaste pero que el tea timer permitio y por lo tanto el registro se modifico. Si das con el nombre lo persigues....
saludos
Nausicaa

Wasin · #17 (**permalink**) 24/10/2006, 15:52

Disculpame ,Nausicaa por lo grocero que fui con estas palabras, es que me tiene un poco loco

este pequeño problema, en comparación a otros que he vistado en el foro.

Estos son los cambios que he hecho la pc.

Alguna otro sugerencia.
Saludos y Gracias a todos por molestarse en ayudarme.

20/10/06 11:28:28 a.m. Permitido value "Start Page" (new data: "http://antivirus.cableonda.net/") cambiado in Browser page!
20/10/06 11:33:59 a.m. Permitido value "Start Page" (new data: "") cambiado in Browser page!
20/10/06 11:37:43 a.m. Denegado value "Start Page" (new data: "http://www.google.com.pa/") cambiado in Browser page!
20/10/06 11:38:03 a.m. Permitido value "Start Page" (new data: "http://www.google.com.pa/") cambiado in Browser page!
20/10/06 11:40:13 a.m. Permitido value "Start Page" (new data: "http://antivirus.cableonda.net/") cambiado in Browser page!
20/10/06 11:55:45 a.m. Permitido value "THGuard" (new data: "C:\Archivos de programa\TrojanHunter 3.0\THGuard.exe") agregado in System Startup global entry!
20/10/06 12:00:12 p.m. Permitido value "THGuard" (new data: "") eliminado in System Startup global entry!
20/10/06 01:50:01 p.m. Permitido value "Start Page" (new data: "") cambiado in Browser page!
20/10/06 01:50:57 p.m. Permitido value "Start Page" (new data: "http://www.forospyware.com/") cambiado in Browser page!
20/10/06 01:51:08 p.m. Permitido value "Start Page" (new data: "http://www.forospyware.com/") cambiado in Browser page!
20/10/06 01:52:15 p.m. Permitido value "Start Page" (new data: "http://antivirus.cableonda.net/") cambiado in Browser page!
20/10/06 02:51:52 p.m. Permitido value "UPnPMonitor" (new data: "") eliminado in Shell services!
20/10/06 02:54:58 p.m. Permitido value "UPnPMonitor" (new data: "{e57ce738-33e8-4c51-8354-bb4de9d215d1}") agregado in Shell services!
24/10/06 01:54:35 p.m. Permitido value "MSConfig" (new data: "C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig .exe /auto") agregado in System Startup global entry!
24/10/06 02:09:30 p.m. Permitido value "RegistryDefrag Success Message" (new data: ""C:\Archivos de programa\TuneUp Utilities 2006\RegistryDefrag.exe" /sm") agregado in System Startup user entry!
24/10/06 02:09:43 p.m. Permitido value "RegistryDefrag Success Message" (new data: "") eliminado in System Startup user entry!
24/10/06 02:22:27 p.m. Permitido value "Start Page" (new data: "http://www.forospyware.com/") cambiado in Browser page!
24/10/06 02:22:30 p.m. Permitido value "Start Page" (new data: "http://www.forospyware.com/") cambiado in Browser page!
24/10/06 02:23:25 p.m. Permitido value "Start Page" (new data: "http://antivirus.cableonda.net/") cambiado in Browser page!
24/10/06 02:34:27 p.m. Permitido value "{0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75}" (new data: "") eliminado in ActiveX Distribution Unit!
24/10/06 02:49:20 p.m. Permitido value "{9A9307A0-7DA4-4DAF-B042-5009F29E09E1}" (new data: "") agregado in ActiveX Distribution Unit!

Wasin · #18 (**permalink**) 26/10/2006, 12:50

Log de la Herramienta Microworld anti virus& Utility Spyware Toolkit(Ver 8.6.1)

Objeto "istbar Spyware/Adware" encontrado en fichero de sistema. Acción tomada: Ninguna acción tomada.
Objeto "gain.gator Spyware/Adware" encontrado en fichero de sistema. Acción tomada: Ninguna acción tomada.

Objeto "gain.gator Spyware/Adware" encontrado en fichero de sistema. Acción tomada: Ninguna acción tomada.

Objeto "gain.gator Spyware/Adware" encontrado en fichero de sistema. Acción tomada: Ninguna acción tomada.

Objeto "spywarestrike Trojan" encontrado en fichero de sistema. Acción tomada: Ninguna acción tomada.

Objeto "winfixer/errorsafe Adware" encontrado en fichero de sistema. Acción tomada: Ninguna acción tomada
Objeto "winfixer/errorsafe Adware" encontrado en fichero de sistema. Acción tomada: Ninguna acción tomada
Entrada "HKLM\Software\Microsoft\Windows\CurrentVersion\Mo duleUsage" referida a un objeto inválido "C:\WINDOWS\Downloaded Program Files\asinst.dll". Acción tomada: Ninguna acción tomada.

Entrada "HKLM\Software\Microsoft\Windows\CurrentVersion\Mo duleUsage" referida a un objeto inválido "C:\WINDOWS\Downloaded Program Files\ewidoOnlineScan.dll". Acción tomada: Ninguna acción tomada.

Entrada "HKCU\Software\Microsoft\Windows\CurrentVersion\Ex plorer\FileExts" referida a un objeto inválido ".cfg". Acción tomada: Ninguna acción tomada.

Entrada "HKCU\Software\Microsoft\Windows\CurrentVersion\Ex plorer\FileExts" referida a un objeto inválido ".DAT_BAK_24261". Acción tomada: Ninguna acción tomada.

Entrada "HKCU\Software\Microsoft\Windows\CurrentVersion\Ex plorer\FileExts" referida a un objeto inválido ".pf". Acción tomada: Ninguna acción tomada.

Entrada "HKCU\Software\Microsoft\Windows\CurrentVersion\Ex plorer\FileExts" referida a un objeto inválido ".settings". Acción tomada: Ninguna acción tomada.

Wasin · #19 (**permalink**) 26/10/2006, 13:09

Thu Oct 26 13:35:24 2006 => ***** Analizando Registro y Ficheros de sistema para Adware/Spyware *****
Thu Oct 26 13:35:24 2006 => Loading Spyware Signatures from new External Database (Size: 172656).
Thu Oct 26 13:35:25 2006 => Indexed Spyware Databases Successfully Created...

Thu Oct 26 13:35:27 2006 => Offending Key found: HKLM\Software\microsoft\downloadmanager !!!
Thu Oct 26 13:35:29 2006 => Objeto "istbar Spyware/Adware" encontrado en fichero de sistema. Acción tomada: Ninguna acción tomada.

Thu Oct 26 13:35:29 2006 => Offending Key found: HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings\ZoneMap\Domains\gator.com !!!
Thu Oct 26 13:35:29 2006 => Objeto "gain.gator Spyware/Adware" encontrado en fichero de sistema. Acción tomada: Ninguna acción tomada.

Thu Oct 26 13:35:29 2006 => Offending Key found: HKLM\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings\p3p\history\gator.com !!!
Thu Oct 26 13:35:29 2006 => Objeto "gain.gator Spyware/Adware" encontrado en fichero de sistema. Acción tomada: Ninguna acción tomada.

Thu Oct 26 13:35:29 2006 => Offending Key found: HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings\p3p\history\gator.com !!!
Thu Oct 26 13:35:29 2006 => Objeto "gain.gator Spyware/Adware" encontrado en fichero de sistema. Acción tomada: Ninguna acción tomada.

Thu Oct 26 13:35:29 2006 => Offending value found in HKLM\Software\Licenses: {k7c0db872a3f777c0} !!!
Thu Oct 26 13:35:29 2006 => Objeto "spywarestrike Trojan" encontrado en fichero de sistema. Acción tomada: Ninguna acción tomada.

Thu Oct 26 13:35:32 2006 => Offending file found: C:\Documents and Settings\Administrador\Mis documentos\cotizaciones\regseeker\license.rtf
Thu Oct 26 13:35:32 2006 => System found infected with winfixer/errorsafe Adware (license.rtf)! Action taken: Ninguna acción tomada.

Thu Oct 26 13:35:33 2006 => Offending file found: C:\Documents and Settings\Administrador\Mis documentos\cotizaciones\regseeker\license.rtf
Thu Oct 26 13:35:33 2006 => System found infected with winfixer/errorsafe Adware (license.rtf)! Action taken: Ninguna acción tomada.

Thu Oct 26 13:35:37 2006 => Checking CLSID Reference Entries...
Thu Oct 26 13:35:40 2006 => Checking Module Usage Entries...
Thu Oct 26 13:35:40 2006 => Entrada "HKLM\Software\Microsoft\Windows\CurrentVersion\Mo duleUsage" referida a un objeto inválido "C:\WINDOWS\Downloaded Program Files\asinst.dll". Acción tomada: Ninguna acción tomada.

Thu Oct 26 13:35:40 2006 => Checking User Trusted External App Entries...
Thu Oct 26 13:35:40 2006 => Checking Shared DLL Entries...
Thu Oct 26 13:35:40 2006 => Checking Installer Entries...
Thu Oct 26 13:35:41 2006 => Checking Shared Tools Entries...
Thu Oct 26 13:35:41 2006 => Checking File Extension Entries...
Thu Oct 26 13:35:41 2006 => Checking Application Cache Entries..

Wasin · #20 (**permalink**) 27/10/2006, 13:34

Nadie me responde

Leioa · #21 (**permalink**) 30/10/2006, 15:27

Te estaban respondiendo bien, pero entró la "señora formateo" a contaminar el post, y la gente se espantó !!!
Quitar el icono de acceso directo!!! jajajaja, qué gracia.

Espero que hayas conseguido solucionar tu problema. De no ser asi, abre otro post, seguro que Gpastor u otros usuarios de este foro, te dan una solucion efectiva.
No te preocupes de la cantidad de letras, y dá todos los detalles necesarios para que la ayuda sea mejor.

Saludos.