Recurro aqui como mi ultima opción antes de formatear

#1 (**permalink**) 28/01/2008, 19:37

Bueno, pues a pesar de haber ejecutado todas las opciones que me presentaron, sigo con el mismo problema. He tomado nota de todas mis observaciones con respecto a la ejecución de lo que yo considero es un virus, ojalá con estas nuevas observaciones se me pueda ayudar.

Debo señalar que he formateado 3 veces la pc y justo después de formatear aparece la situación que me hace sospechar de virus. Asumo que se dá porque en un segundo disco tengo toda mi información y no lo he desconectado, por lo tanto creo que ese segundo disco es el que tiene la infección.

carcaterísticas observadas:
1. En los documentos realizados con anterioridad en los cuales se haya editado algun texto (titulos o contenidoas) me cambia los acentos por símbolos extraños. Eso no sucede cuando los estoy escribiendo (salvo que tenga activadas opciones como autocorreción).

2. La ñ me la cambia por n en las mismas circunstancias anteriores.

3. Si instalo algún programa (cualquiera) y seleccion la opción para crear accesos directos en el escritorio, al finalizar la instalación no están ahí.

4. Al instalar los programas no se agrega a todos los programas del menú inicio (aun con los que siempre lo habían hecho).

5. En los directorios internos de "Documents and Settings" me ha duplicado "configuración local".

6. No puedo detectar ningún archivo de sistema u oculto fuera de los que comunmente están presentes.

7. En algunos casos, un poco raros diría yo, me impide ejecutar desinstalaciones y aplicaciones como el messenger o internet explorer. Inclusive he notado que ya estoy infectado (ademas de los acentos y las ñ) porque cuando intento apagar la pc en los primeros pasos posteriores a la reinstalación, me da un fallo del explorador y cierra el proceso y lo ejecuta de nuevo (sin apagar la pc ni salir de windows)

8. El diccionario de Microsoft Office se ha visto modificado pues ha sustituido los acentos y ñ de la misma forma.

Espero que con esta información me puedan ayudar, pues lo más molesto es que yo estoy escribiendo y se está autocorrigiendo, pero sobre todo acceder a documentos ya hechos con anterioridad y ver que están cambiados todos.

saludos de nueva cuenta

reduardowise · #2 (**permalink**) 30/01/2008, 03:00

si no me equivoco eso es un worm que provino de: messenger o de un pentdrive.

desabilita el restaurador reinicias presionando f8 e inicias en modo seguro, alli escanea la pc con el ad-aware y el spybot search and destroy y el ccleaner, luego escanea con el antivirus.
si usas xp pasale el regseeker.

saludos

reduardowise · #3 (**permalink**) 31/01/2008, 21:10

Cita:

Iniciado por lau2002

también si quieres puedes probar pasarle el antivirus y el antispy de gdata.
no es muy conocido en el medio todavía pero es muy efectivo.

besos, laura.

sin ofender ni nada, pero acaso tu eres representante de ventas de gdata (que de paso es archidesconocido)????? tu crees que escanear la pc infectada con gdata sin haberle desabilitado el restaurador de windows se pueda eliminar?....

antes de escanear una pc debes hacer pasos previos para garantizar su completa eliminacion, eso no es de escanear y listo......

por cierto todas tus respuestas son casi igualitas, pareciera mas bien como si fuese mas publicidad que ayuda

saludos

#4 (**permalink**) 04/02/2008, 20:45

Apliqué lo propuesto en sus respuestas y nada, sigo igual. Ya le di formato a mi maquina y luego al rescatar informacion se volvio a contaminar y empezo a hacer lo mismo. no me queda duda que es un virus, pero cual serà y cual será en su caso la solución.

#5 (**permalink**) 07/02/2008, 22:33

intenta descargando y ejecutando SUPERantispyware el cual lo podras encontrar para descargarlo en infospyware.com en la seccion de antispyware..

si el problema continua descargat el el Hijackthis lo ejecutas en la opcion "do a system scan and save a log file" y pegas aqui el log que te genere..

frins89 · #6 (**permalink**) 08/02/2008, 06:07

oye si te vuelve a hacer eso, procura fijarte desde cuando te pasa, tal vez es cuando instalas algo, mentes un USB o alguna cosa y esta infectada... no se,, yo llevo tiempo sin tener problemas con los virus porque apenas entro a windows, es la trankilidad k m proporciona linux...

#7 (**permalink**) 08/02/2008, 13:50

Cita:

Iniciado por frins89

oye si te vuelve a hacer eso, procura fijarte desde cuando te pasa, tal vez es cuando instalas algo, mentes un USB o alguna cosa y esta infectada... no se,, yo llevo tiempo sin tener problemas con los virus porque apenas entro a windows, es la trankilidad k m proporciona linux...

Creo que tu respuesta no ayudo mucho. Igual y si no enciendo la computadora corro menos riesgos todavía.

saludos

#8 (**permalink**) 08/02/2008, 13:54

no he pasado el SUPERAntiSpyware pero aqui esta el log que me arrojó el hijackthis (PARTE 1):

Logfile of Trend Micro HijackThis v2.0.0 (BETA)
Scan saved at 12:51:43 p.m., on 08/02/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\ARCHIV~1\FOLDER~1\FGKey.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
c:\archivos de programa\mcafee.com\agent\mcdetect.exe
c:\ARCHIV~1\mcafee.com\vso\mcshield.exe
c:\ARCHIV~1\mcafee.com\agent\mctskshd.exe
c:\ARCHIV~1\mcafee.com\vso\OasClnt.exe
C:\WINDOWS\system32\CAP3RSK.EXE
C:\ARCHIV~1\McAfee.com\PERSON~1\MPFSERVICE.exe
c:\archivos de programa\mcafee.com\vso\mcvsshld.exe
C:\ARCHIV~1\mcafee.com\vso\mcvsescn.exe
c:\archivos de programa\mcafee.com\agent\mcagent.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Archivos de programa\CyberLink\PowerDVD\PDVDServ.exe
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\system32\igfxtray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\ARCHIV~1\McAfee.com\PERSON~1\MpfTray.exe
C:\Archivos de programa\Elantech\ktp.exe
C:\Archivos de programa\Archivos comunes\InstallShield\UpdateService\issch.exe
C:\Archivos de programa\Microsoft Office\Office12\GrooveMonitor.exe
C:\WINDOWS\system32\ctfmon.exe
C:\ARCHIV~1\McAfee.com\PERSON~1\MpfAgent.exe
C:\Archivos de programa\Windows Live\Messenger\MsnMsgr.Exe
C:\Archivos de programa\802.11 Wireless LAN\802.11g Wireless USB 2.0 Adapter HW.14 V.1.00\WlanCU.exe
C:\WINDOWS\system32\spool\drivers\w32x86\3\CAP3LAK .EXE
C:\WINDOWS\SYSTEM32\SPOOL\DRIVERS\W32X86\3\CAP3SWK .EXE
c:\archiv~1\mcafee.com\vso\mcvsftsn.exe
C:\Archivos de programa\Messenger\msmsgs.exe
C:\Archivos de programa\Windows Live\Messenger\usnsvc.exe
C:\Archivos de programa\FlashGet\flashget.exe
C:\Archivos de programa\Bonjour\mDNSResponder.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\SYSTEM32\SPOOL\DRIVERS\W32X86\3\CAP3SWK .EXE
C:\Archivos de programa\Mozilla Firefox\firefox.exe
C:\Archivos de programa\Archivos comunes\Adobe\Updater5\AdobeUpdater.exe
C:\Documents and Settings\STCECyTEN\Escritorio\HiJackThis_v2.exe

#9 (**permalink**) 08/02/2008, 13:55

PARTE 2

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.lanix.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.lanix.com/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vinculos
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: IeCatch5 Class - {2F364306-AA45-47B5-9F9D-39A8B94E7EF7} - C:\ARCHIV~1\FlashGet\jccatch.dll
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\ARCHIV~1\MICROS~2\Office12\GRA8E1~1.DLL
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Aplicaciуn auxiliar de inicio de sesiуn - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O3 - Toolbar: McAfee VirusScan - {BA52B914-B692-46c4-B683-905236F6F655} - c:\archiv~1\mcafee.com\vso\mcvsshl.dll
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\ARCHIV~1\FlashGet\fgiebar.dll
O4 - HKLM\..\Run: [High Definition Audio Property Page Shortcut] HDAShCut.exe
O4 - HKLM\..\Run: [RemoteControl] "C:\Archivos de programa\CyberLink\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [VSOCheckTask] "C:\ARCHIV~1\McAfee.com\VSO\mcmnhdlr.exe" /checktask
O4 - HKLM\..\Run: [MCAgentExe] c:\ARCHIV~1\mcafee.com\agent\mcagent.exe
O4 - HKLM\..\Run: [MCUpdateExe] c:\ARCHIV~1\mcafee.com\agent\mcupdate.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [igfxtray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [igfxhkcmd] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [igfxpers] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [VirusScan Online] C:\Archivos de programa\McAfee.com\VSO\mcvsshld.exe
O4 - HKLM\..\Run: [MPFExe] C:\ARCHIV~1\McAfee.com\PERSON~1\MpfTray.exe
O4 - HKLM\..\Run: [KTPWare] C:\Archivos de programa\Elantech\ktp.exe
O4 - HKLM\..\Run: [ISUSPM Startup] "C:\Archivos de programa\Archivos comunes\InstallShield\UpdateService\isuspm.exe" -startup
O4 - HKLM\..\Run: [ISUSScheduler] "C:\Archivos de programa\Archivos comunes\InstallShield\UpdateService\issch.exe" -start
O4 - HKLM\..\Run: [GrooveMonitor] "C:\Archivos de programa\Microsoft Office\Office12\GrooveMonitor.exe"
O4 - HKLM\..\Run: [OASClnt] C:\Archivos de programa\McAfee.com\VSO\oasclnt.exe
O4 - HKLM\..\Run: [CAP3ON] C:\WINDOWS\system32\spool\drivers\w32x86\3\CAP3ONN .EXE
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [updateMgr] C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe AcRdB7_0_9
O4 - HKCU\..\Run: [MsnMsgr] "C:\Archivos de programa\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICIO LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Servicio de red')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: Descargar con Fl&ashGet - C:\Archivos de programa\FlashGet\jc_link.htm
O8 - Extra context menu item: Descargar todo con Flas&hGet - C:\Archivos de programa\FlashGet\jc_all.htm
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: Enviar a OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\ARCHIV~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: &Enviar a OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\ARCHIV~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\ARCHIV~1\FlashGet\flashget.exe
O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\ARCHIV~1\FlashGet\flashget.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.lanix.com
O16 - DPF: {4ED9DDF0-7479-4BBE-9335-5A1EDB1D8A21} (McAfee.com Operating System Class) - http://download.mcafee.com/molbin/sh...0/mcinsctl.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/wind...?1202322086218
O16 - DPF: {BCC0FF27-31D9-4614-A68E-C18E1ADA4389} (DwnldGroupMgr Class) - http://download.mcafee.com/molbin/sh...25/mcgdmgr.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/ge...sh/swflash.cab
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\ARCHIV~1\MICROS~2\Office12\GR99D3~1.DLL
O22 - SharedTaskScheduler: Precargador Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Demonio de cache de las categorias de componente - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762# # (Bonjour Service) - Apple Computer, Inc. - C:\Archivos de programa\Bonjour\mDNSResponder.exe
O23 - Service: Servicio del administrador de discos logicos (dmadmin) - Unknown owner - C:\WINDOWS\System32\dmadmin.exe
O23 - Service: Registro de sucesos (Eventlog) - Unknown owner - C:\WINDOWS\system32\services.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Archivos de programa\Archivos comunes\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: Servicio COM de grabacion de CD de IMAPI (ImapiService) - Unknown owner - C:\WINDOWS\system32\imapi.exe
O23 - Service: McAfee WSC Integration (McDetect.exe) - McAfee, Inc - c:\archivos de programa\mcafee.com\agent\mcdetect.exe
O23 - Service: McAfee.com McShield (McShield) - McAfee Inc. - c:\ARCHIV~1\mcafee.com\vso\mcshield.exe
O23 - Service: McAfee Task Scheduler (McTskshd.exe) - McAfee, Inc - c:\ARCHIV~1\mcafee.com\agent\mctskshd.exe
O23 - Service: McAfee SecurityCenter Update Manager (mcupdmgr.exe) - McAfee, Inc - C:\ARCHIV~1\McAfee.com\Agent\mcupdmgr.exe
O23 - Service: Escritorio remoto compartido de NetMeeting (mnmsrvc) - Unknown owner - C:\WINDOWS\system32\mnmsrvc.exe
O23 - Service: McAfee Personal Firewall Service (MpfService) - McAfee Corporation - C:\ARCHIV~1\McAfee.com\PERSON~1\MPFSERVICE.exe
O23 - Service: Plug and Play (PlugPlay) - Unknown owner - C:\WINDOWS\system32\services.exe
O23 - Service: Administrador de sesion de Ayuda de escritorio remoto (RDSessMgr) - Unknown owner - C:\WINDOWS\system32\sessmgr.exe
O23 - Service: Tarjeta inteligente (SCardSvr) - Unknown owner - C:\WINDOWS\System32\SCardSvr.exe
O23 - Service: Registros y alertas de rendimiento (SysmonLog) - Unknown owner - C:\WINDOWS\system32\smlogsvc.exe
O23 - Service: Instantaneas de volumen (VSS) - Unknown owner - C:\WINDOWS\System32\vssvc.exe
O23 - Service: Servicio de Windows Media Connect (WMConnectCDS) - Unknown owner - C:\Archivos de programa\Windows Media Connect 2\wmccds.exe
O23 - Service: Adaptador de rendimiento de WMI (WmiApSrv) - Unknown owner - C:\WINDOWS\system32\wbem\wmiapsrv.exe

--
End of file - 10592 bytes

#10 (**permalink**) 08/02/2008, 14:21

hola..

mira el reporte de HJT no muestra infeccion alguna solo que tienes activado en el inicio este ejecutable:
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

como puedes ver en el enlace en la descripcion de castlecops se indica que ese archivo no es de malware ya que se instala junto a los drivers de las tarjetas realtek pero ese ejecutable en especifico lo que hace es monitorear tu equipo y recoger info sobre ella.

del resto HJT no muestra infeccion alguna, si has realizado scan con varios antivirus y antispywares sin que te hayan encontrado nada, en lo personal descartaria que el problema se deba a infeccion, desde cuando estas teniendo ese problema? que programas o cambios realizaste en tu equipo antes de presentar el problema?

como bien te comento frins89 la solucion podria ser restaurar el equipo a un punto anterior al problema, lo unico seria que perderias cualquier software que hayas instalado desde ese momento hasta hoy pero no perderas ninguna informacion o documentos personales..

#11 (**permalink**) 11/02/2008, 10:08

Gracias por tu respuesta AxL456, mira, te comento que sospecho de virus en virtud de que este problema surgió en otro equipo que manejo en mi trabajo, en donde tengo tanto el nod como el avast instalados, además del zonealarm. Bueno llevo algunos archivos en mi usb a ese equipo en específico y a los días empieza a presentar ese problemita, cosa que ya estaba en mi pc del trabajo (por cierto yo atribuia hasta ese momento la falla a unos codecs que habia instalado).

luego despues, pues me vi en la necesidad de formatear los dos equipos para ver si se corregia, sin embargo tenia que respaldar informacion en unos dvds, cuando los pego en las pc's de nuevo, se vuelve inmediatamente a presentar el problema.

#12 (**permalink**) 22/02/2008, 10:26

He puesto nuevas observaciones, ojalá ahora si sus soluciones me pueda ayudar.

n101111 · #13 (**permalink**) 24/02/2008, 11:40

Hola:

por la descripción de tu problema, y tu duda con el segundo disco, haz probado instalar tu sistema operativo con este disco desconectado, y con otro cd de instalación...