Malware un mi PC

[calin]

Tengo una dows XP Service pack 2 y se me metio un virus que cambio la pagina de inicio, y me porneta a cada rato un mensaje que dice que mi maquina eta infectada. Le pase el Jihack this y me arrojo esto:


Logfile of HijackThis v1.99.1
Scan saved at 08:30:19 p.m., on 25/07/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
D:\WINDOWS1\System32\smss.exe
D:\WINDOWS1\system32\winlogon.exe
D:\WINDOWS1\system32\services.exe
D:\WINDOWS1\system32\lsass.exe
D:\Archivos de programa\HyperTechnologies\Deep Freeze\DfServEx.exe
D:\WINDOWS1\system32\svchost.exe
D:\WINDOWS1\System32\svchost.exe
D:\WINDOWS1\system32\spoolsv.exe
D:\Archivos de programa\Persystems\Perav\PERVAC.EXE
D:\WINDOWS1\Explorer.EXE
D:\Archivos de programa\HyperTechnologies\Deep Freeze\_$Df\FrzState.exe
D:\WINDOWS1\system32\wscntfy.exe
D:\WINDOWS1\System32\khooker.exe
D:\ARCHIV~1\PERSYS~1\Perav\PAV.EXE
D:\WINDOWS1\System32\spool\DRIVERS\W32X86\3\E_S4I4 T1.EXE
D:\Archivos de programa\MSN Messenger\msnmsgr.exe
D:\Archivos de programa\Persystems\Perav\PAVSS.EXE
D:\WINDOWS1\system32\WgaTray.exe
c:\dfndref_7.exe
c:\kybrdef_7.exe
D:\WINDOWS1\system32\ishost.exe
D:\WINDOWS1\system32\ismon.exe
c:\ac3_0010.exe
D:\WINDOWS1\system32\RUNDLL32.EXE
c:\nwnmef_7.exe
D:\WINDOWS1\system32\issearch.exe
D:\WINDOWS1\system32\isnotify.exe
D:\WINDOWS1\system32\rundll32.exe
D:\Archivos de programa\HJT\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://searchbar.findthewebsiteyouneed.com
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://searchbar.findthewebsiteyouneed.com
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://searchbar.findthewebsiteyouneed.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://google.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://searchbar.findthewebsiteyouneed.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://searchbar.findthewebsiteyouneed.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\ARCHIVOS DE PROGRAMA\ADOBE\ACROBAT 6.0\READER\ACTIVEX\ACROIEHELPER.DLL
O2 - BHO: (no name) - {873eb32d-ae1a-4183-89bd-45a77f761be4} - D:\WINDOWS1\system32\ixt0.dll
O2 - BHO: (no name) - {A5366673-E8CA-11D3-9CD9-0090271D075B} - (no file)
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - D:\ARCHIV~1\FLASHGET\fgiebar.dll
O4 - HKLM\..\Run: [SiS KHooker] D:\WINDOWS1\System32\khooker.exe
O4 - HKLM\..\Run: [PAV.EXE] D:\ARCHIV~1\PERSYS~1\Perav\PAV.EXE
O4 - HKLM\..\Run: [\\NUEVE\EPSON Stylus C45 Series] D:\WINDOWS1\System32\spool\DRIVERS\W32X86\3\E_S4I4 T1.EXE /P31 "\\NUEVE\EPSON Stylus C45 Series" /O6 "USB001" /M "Stylus C45"
O4 - HKLM\..\Run: [defender] c:\\dfndref_7.exe
O4 - HKLM\..\Run: [keyboard] c:\\kybrdef_7.exe
O4 - HKLM\..\Run: [kirf8d4f] RUNDLL32.EXE w01f5db5.dll,n 001f8d4e0000000a01f5db5
O4 - HKLM\..\Run: [newname] c:\\nwnmef_7.exe
O4 - HKCU\..\Run: [msnmsgr] "D:\Archivos de programa\MSN Messenger\msnmsgr.exe" /background
O8 - Extra context menu item: Descargar con Fl&ashGet - D:\Archivos de programa\FlashGet\jc_link.htm
O8 - Extra context menu item: Descargar todo con Flas&hGet - D:\Archivos de programa\FlashGet\jc_all.htm
O8 - Extra context menu item: E&xport to Microsoft Excel - res://D:\ARCHIV~1\MICROS~1\Office12\EXCEL.EXE/3000
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://D:\ARCHIV~1\MICROS~1\OFFICE10\EXCEL.EXE/3000
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\ARCHIV~1\MICROS~1\Office12\REFIEBAR.DLL
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - D:\ARCHIV~1\FLASHGET\flashget.exe
O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - D:\ARCHIV~1\FLASHGET\flashget.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Archivos de programa\Messenger\msmsgs.exe
O16 - DPF: Win32 Classes -
O17 - HKLM\System\CCS\Services\Tcpip\..\{20425023-7A4A-4A8E-84AD-A58ABFB10411}: Domain = adsl
O17 - HKLM\System\CCS\Services\Tcpip\..\{20425023-7A4A-4A8E-84AD-A58ABFB10411}: NameServer = 200.48.225.130,200.48.225.146
O17 - HKLM\System\CS1\Services\Tcpip\..\{20425023-7A4A-4A8E-84AD-A58ABFB10411}: Domain = adsl
O17 - HKLM\System\CS1\Services\Tcpip\..\{20425023-7A4A-4A8E-84AD-A58ABFB10411}: NameServer = 200.48.225.130,200.48.225.146
O17 - HKLM\System\CS2\Services\Tcpip\..\{20425023-7A4A-4A8E-84AD-A58ABFB10411}: Domain = adsl
O17 - HKLM\System\CS2\Services\Tcpip\..\{20425023-7A4A-4A8E-84AD-A58ABFB10411}: NameServer = 200.48.225.130,200.48.225.146
O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - D:\Archivos de programa\Archivos comunes\Microsoft Shared\Help\hxds.dll
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "D:\ARCHIV~1\MSNMES~1\msgrapp.dll" (file missing)
O18 - Filter hijack: text/xml - {807563E5-5146-11D5-A672-00B0D022E945} - D:\Archivos de programa\Archivos comunes\Microsoft Shared\OFFICE12\MSOXMLMF.DLL
O20 - AppInit_DLLs: D:\WINDOWS1\system32\winspool.dll
O20 - Winlogon Notify: DfLogon - D:\WINDOWS1\SYSTEM32\LogonDll.dll
O20 - Winlogon Notify: WgaLogon - D:\WINDOWS1\SYSTEM32\WgaLogon.dll
O20 - Winlogon Notify: winzxr32 - D:\WINDOWS1\SYSTEM32\winzxr32.dll
O21 - SSODL: cinnamomum - {93ac7c30-3878-4eaa-9420-7977285df5b1} - D:\WINDOWS1\system32\pmnqguh.dll
O23 - Service: DFServEx - Hyper Technologies Inc. - D:\Archivos de programa\HyperTechnologies\Deep Freeze\DfServEx.exe
O23 - Service: PER Antivirus Security Service (pav_security) - PER SYSTEMS S.A. - D:\Archivos de programa\Persystems\Perav\PAVSS.EXE
O23 - Service: PER Antivirus (pav_service) - PER Systems S.A. - D:\Archivos de programa\Persystems\Perav\PERVAC.EXE
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - D:\Archivos de programa\TuneUp Utilities 2006\WinStylerThemeSvc.exe



Ahora que hago por favor?

[Master_0546]

holasss, realiza estos pasos sin saltarte ni uno:

-descarga estas herrameintas pero no las ejecutes aun:
ad-aware
disk cleaner
regseeker+manual
killbox

-apaga restaurar el sistema

-ver archivos ocultos

-reinicia en modo apreuba de fallos

-ejecuta el hijack this y dale fix cheked a estas entradas:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://searchbar.findthewebsiteyouneed.com

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://searchbar.findthewebsiteyouneed.com

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://searchbar.findthewebsiteyouneed.com

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://searchbar.findthewebsiteyouneed.com

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://searchbar.findthewebsiteyouneed.com

O2 - BHO: (no name) - {873eb32d-ae1a-4183-89bd-45a77f761be4} - D:\WINDOWS1\system32\ixt0.dll

O2 - BHO: (no name) - {A5366673-E8CA-11D3-9CD9-0090271D075B} - (no file)

O4 - HKLM\..\Run: [defender] c:\\dfndref_7.exe

O4 - HKLM\..\Run: [keyboard] c:\\kybrdef_7.exe

O4 - HKLM\..\Run: [newname] c:\\nwnmef_7.exe

O20 - Winlogon Notify: DfLogon - D:\WINDOWS1\SYSTEM32\LogonDll.dll

O20 - Winlogon Notify: winzxr32 - D:\WINDOWS1\SYSTEM32\winzxr32.dll

O21 - SSODL: cinnamomum - {93ac7c30-3878-4eaa-9420-7977285df5b1} - D:\WINDOWS1\system32\pmnqguh.dll

-busca y elimina lo siguiente, si es que los encuentras:

D:\WINDOWS1\system32\ishost.exe
D:\WINDOWS1\system32\ismon.exe
D:\WINDOWS1\system32\issearch.exe
D:\WINDOWS1\system32\isnotify.exe
D:\WINDOWS1\system32\ixt0.dll
C:\WINDOWS\SYSTEM32\LogonDll.dll
C:\nwnmef_7.exe
C:\ac3_0010.exe
C:\dfndref_7.exe
C:\kybrdef_7.exe

si no se dejan utiliza killbox, dandole que no se reinicie hasta que termines con todos

-utiliza el ad-aware (actualizado)

-pasa el disk cleaner para limpiar cookies y temporales, asi como el regseeker para limpiar el registro

-reinicia tu pc en modo normal, y haz un escaneo con el ewido y el kaspersky, en ese orden, y comentanos si sigues con esos problemas...



salu2

[Gpastor]

Hola, el log está bien contestado, pero lo único que suprimiría es esta entrada:

O20 - Winlogon Notify: DfLogon - D:\WINDOWS1\SYSTEM32\LogonDll.dll

Esta entrada pertenece a Deep Freeze por lo que NO debe ser reparada y el archivo LogonDll.dll NO debe ser eliminado.

Además la infección que tienes pertenece a una variante de PSGuard por lo que te recomendaría además de los pasos que te ha indicado Master_0546 el uso de la herramienta DelPSGuard.zip por si algo se le ha escapado a Hijackthis.

Buen trabajo Master_0546

Saludos

[Bill Gates]

Bueno en referencia a este log, en dias pasados un companero jmacrosmx, tenia el mismo problema yo creo que primero que nada respaldes tu maquina, por si pasa algo extrano, despues utiliza estos programa siempre en modo a prueba de fallos, kill box no lo utilizaria con wido y hijacks tienes. suerte

[calin]

Ya hice todo y parece que se arreglo algo pero sin embrago de rato en rato me cargan unas ventanas con propaganda aun cuando no estoy navegando en internet, parece que no se fue del todo el virus. El jihacthis me arrojo esto ahora:


Logfile of HijackThis v1.99.1
Scan saved at 08:36:59 p.m., on 27/07/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
D:\WINDOWS1\System32\smss.exe
D:\WINDOWS1\system32\winlogon.exe
D:\WINDOWS1\system32\services.exe
D:\WINDOWS1\system32\lsass.exe
D:\Archivos de programa\HyperTechnologies\Deep Freeze\DfServEx.exe
D:\WINDOWS1\system32\svchost.exe
D:\WINDOWS1\System32\svchost.exe
D:\WINDOWS1\system32\spoolsv.exe
D:\WINDOWS1\Explorer.EXE
D:\Archivos de programa\HyperTechnologies\Deep Freeze\_$Df\FrzState.exe
D:\WINDOWS1\System32\khooker.exe
D:\ARCHIV~1\PERSYS~1\Perav\PAV.EXE
D:\WINDOWS1\System32\spool\DRIVERS\W32X86\3\E_S4I4 T1.EXE
D:\Archivos de programa\MSN Messenger\msnmsgr.exe
D:\Archivos de programa\Persystems\Perav\PERVAC.EXE
D:\Archivos de programa\Persystems\Perav\PAVSS.EXE
D:\Archivos de programa\Internet Explorer\iexplore.exe
D:\WINDOWS1\system32\rundll32.exe
D:\ARCHIVOS DE PROGRAMA\INTERNET EXPLORER\IEXPLORE.EXE
D:\Archivos de programa\HJT\HijackThis.exe
D:\ARCHIVOS DE PROGRAMA\INTERNET EXPLORER\IEXPLORE.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://google.com.pe/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - D:\ARCHIV~1\FLASHGET\fgiebar.dll
O4 - HKLM\..\Run: [SiS KHooker] D:\WINDOWS1\System32\khooker.exe
O4 - HKLM\..\Run: [PAV.EXE] D:\ARCHIV~1\PERSYS~1\Perav\PAV.EXE
O4 - HKLM\..\Run: [\\NUEVE\EPSON Stylus C45 Series] D:\WINDOWS1\System32\spool\DRIVERS\W32X86\3\E_S4I4 T1.EXE /P31 "\\NUEVE\EPSON Stylus C45 Series" /O6 "USB001" /M "Stylus C45"
O4 - HKLM\..\Run: [kirf8d4f] RUNDLL32.EXE w01f5db5.dll,n 001f8d4e0000000a01f5db5
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKCU\..\Run: [msnmsgr] "D:\Archivos de programa\MSN Messenger\msnmsgr.exe" /background
O8 - Extra context menu item: Descargar con Fl&ashGet - D:\Archivos de programa\FlashGet\jc_link.htm
O8 - Extra context menu item: Descargar todo con Flas&hGet - D:\Archivos de programa\FlashGet\jc_all.htm
O8 - Extra context menu item: E&xport to Microsoft Excel - res://D:\ARCHIV~1\MICROS~1\Office12\EXCEL.EXE/3000
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\ARCHIV~1\MICROS~1\Office12\REFIEBAR.DLL
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - D:\ARCHIV~1\FLASHGET\flashget.exe
O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - D:\ARCHIV~1\FLASHGET\flashget.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Archivos de programa\Messenger\msmsgs.exe
O16 - DPF: Win32 Classes -
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/eng/par...an_unicode.cab
O16 - DPF: {193C772A-87BE-4B19-A7BB-445B226FE9A1} (ewidoOnlineScan Control) - http://download.ewido.net/ewidoOnlineScan.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{20425023-7A4A-4A8E-84AD-A58ABFB10411}: Domain = adsl
O17 - HKLM\System\CCS\Services\Tcpip\..\{20425023-7A4A-4A8E-84AD-A58ABFB10411}: NameServer = 200.48.225.130,200.48.225.146
O17 - HKLM\System\CS1\Services\Tcpip\..\{20425023-7A4A-4A8E-84AD-A58ABFB10411}: Domain = adsl
O17 - HKLM\System\CS1\Services\Tcpip\..\{20425023-7A4A-4A8E-84AD-A58ABFB10411}: NameServer = 200.48.225.130,200.48.225.146
O17 - HKLM\System\CS2\Services\Tcpip\..\{20425023-7A4A-4A8E-84AD-A58ABFB10411}: Domain = adsl
O17 - HKLM\System\CS2\Services\Tcpip\..\{20425023-7A4A-4A8E-84AD-A58ABFB10411}: NameServer = 200.48.225.130,200.48.225.146
O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - D:\Archivos de programa\Archivos comunes\Microsoft Shared\Help\hxds.dll
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "D:\ARCHIV~1\MSNMES~1\msgrapp.dll" (file missing)
O18 - Filter hijack: text/xml - {807563E5-5146-11D5-A672-00B0D022E945} - D:\Archivos de programa\Archivos comunes\Microsoft Shared\OFFICE12\MSOXMLMF.DLL
O20 - AppInit_DLLs: D:\WINDOWS1\system32\winspool.dll
O20 - Winlogon Notify: Telephony - D:\WINDOWS1\system32\g040lahm1d4a.dll
O20 - Winlogon Notify: WgaLogon - D:\WINDOWS1\
O20 - Winlogon Notify: winzxr32 - winzxr32.dll (file missing)
O23 - Service: DFServEx - Hyper Technologies Inc. - D:\Archivos de programa\HyperTechnologies\Deep Freeze\DfServEx.exe
O23 - Service: PER Antivirus Security Service (pav_security) - PER SYSTEMS S.A. - D:\Archivos de programa\Persystems\Perav\PAVSS.EXE
O23 - Service: PER Antivirus (pav_service) - PER Systems S.A. - D:\Archivos de programa\Persystems\Perav\PERVAC.EXE
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - D:\Archivos de programa\TuneUp Utilities 2006\WinStylerThemeSvc.exe


que hago ahora?

[Master_0546]

holasss, realiza lo siguiente:

-apaga restaurar el sistema

-reinicia en modo a prueba de fallos

ejecuta el hijack y dale fix cheked a estas entradas:

O20 - Winlogon Notify: Telephony - D:\WINDOWS1\system32\g040lahm1d4a.dll

O20 - Winlogon Notify: winzxr32 - winzxr32.dll (file missing)

-pasa el ewido anti-spyware 4.0

-y como bien dijo GPastor, si no haz ejecutado la herramienta DelPSGuard.exe , hazlo

-comentanos como sigue tu pc y haz un escaneo con el kaspersky online y peganos el reporte que este te genere...



salu2 ;)

[Gpastor]

Tras los pasos de Master_0546, te recomiendo que uses la herramienta Look2meDestroyer ya que esta entrada pertenece a esa infección:

O20 - Winlogon Notify: Telephony - D:\WINDOWS1\system32\g040lahm1d4a.dll

Saludos

[Abada]

Iniciado por Gpastor

Hola, el log está bien contestado, pero lo único que suprimiría es esta entrada:

O20 - Winlogon Notify: DfLogon - D:\WINDOWS1\SYSTEM32\LogonDll.dll

Esta entrada pertenece a Deep Freeze por lo que NO debe ser reparada y el archivo LogonDll.dll NO debe ser eliminado.

Además la infección que tienes pertenece a una variante de PSGuard por lo que te recomendaría además de los pasos que te ha indicado Master_0546 el uso de la herramienta [URL="http://www.forospyware.com/t4239.html"]DelPSGuard.zip[/URL] por si algo se le ha escapado a Hijackthis.

Buen trabajo Master_0546

Saludos

hola solo me registrepara decirles lo siguiente: Mi pc estaba muy lenta a pesar de haberla formateado dos veces, y tambien aparecía ese registro cuando use el Hijackthis LogonDll.dll pero igual lo elimine y ahora ya esta mas rapida ke biennn :D