StartPage.FH, como eliminarlo?

julieta · #1 (**permalink**) 05/07/2004, 05:20

Hola a tod@s,
me ha entrado un virus (o un Spy) q se llama StartPage.FH. No hace nada malisimo (creo), solo me pone una pag de inicio de Internet q el elige y no me deja cambiarla. He seguido el tutorial q indicais de Anti Spy y le he pasado el Ad Aware y el Spy Boot pero aun asi, cuando inicio Internet, la pag sigue siendo la misma...
Se os ocurre alguna idea??

Muchas gracias de antemano, un saludo

JULIA

elpiedra · #2 (**permalink**) 06/07/2004, 13:43

En esta edición les paso los datos para la eliminación manual y automática del Troyano StartPage en su variante FH (StartPage.FH)

MANUAL

1- Apagar el Restaurar Sistema de las propiedades de MiPC.

2- En algunos casos es aconsejable iniciar el pc pulsando la tecla F8 y empezar en modo a prueba de fallos.

3- Matar los processos de inicio del virus: trojan.win32.startpage.fh.exe
4- Iniciar el REGEDIT y buscar y elimianar estos procesos.

Para ver el resto de los pasos a seguir y descargar los pareches y la herramienta para eliminacion automatica pueden hacerlo de este lugar.

Herramienta para eliminar StartPage y paches

Salu2
El Piedra

julieta · #3 (**permalink**) 07/07/2004, 03:32

Hola el Piedra,

a ver, he tratado de "curar" la maquina q tengo infectada cambiando los valores del registro a mano, he desconectado el ordenador de internet, lo he reiniciado pero vuelve a salir la misma página al iniciar el IE!

He tratado de pasarle el Panda OnLine pero no me encuentra la pagina y el Norton que es el q tenemos instalado no lo detecta (!!!), crees q el problema sera q el virus sigue ahí y por tanto sigue cambiando el registro el solo??

De todas formas muchas gracias por tu ayuda.

Un saludo

JULIA

Marvin98 · #4 (**permalink**) 07/08/2004, 13:09

Hola a todos (as). Ocupo ayuda sobre:
Tambien tengo este problema del STARTPAGE.FH, no se si es un virus, spyware o troyano por que le he calado con varios antivirus y no lo detectan, el spy bot tampoco, el ad-aware detecta esto: FABRICANTE: Possible Browser Hijack Attempt, TIPO: RegFecha, CATEGORIA: Data MIner, OBJETO: HKEY_CURRENT_USER:Software\Microsoft\Internet Explorer\Main"Startpage" ("About:Blank") y HKEY_LOCAL_MACHINE:Software\Microsoft\Internet Explorer\Main"Startpage" ("About:Blank") y parece que los elimina, pero al momento de entrar al IE vuelve a aparecer la pagina de inicio search for..., Alguien me podria ayudar a darle solucion a mi problema o darme los pasos de como puedo eliminar este virus, spyware o troyano., gracias.

julieta · #5 (**permalink**) 09/08/2004, 00:37

Hola!

Te prometo q siguiendo los pasos del tutorial de "El piedra" y pasandole el Ad-Aware ACTUALIZADO, te desaparece este virus... La pagina de inicio comienza a hacerte caso...

Un saludo y suerte...

soares · #6 (**permalink**) 12/08/2004, 16:17

Este Virus no lo elimina completamente ningun antivirus, ni programa alguno.
Panda - lo detecta pero elimina únicamente un archivo html llamado SP que se encuentra en C:windows/temp.
HijackThis - detecta y elimina algunas entradas del registro del explorer relacionadas con el virus, expecificamente las del "explorer/main"
CWShredder - Elimina algunas entradas del registro
Ad-ware - Lo mismo

Este virus o spyware modifica el registro de windows en varias formas y en varios sitios y crea un archivo html llamado SP en windows/temp que es la pagina de inicio que aparece en el explorer. No se que pasa con esta gente que creaa antivirus y antispyware que no consiguen limpiar completamente el registro de windows de este fastidioso trojan.
Pues para windows 98 es muy facil.
1-Borra el historial, cookies y achivos temporales de internet.
2-Elimina o renombra el archivo html SP en windows/temp
3-Pasa los programas HijackThis y CWShredder para eliminar algunas entradas de este virus, borra todo lo que te indiquen, si quieres pasa el Ad-aware también. (estos programas los consigues en el tutorial de este site).
4-El más importante y definitivo
Entra al registro de Windows (inicio/ejecutar/regedit) y manda a buscar: Coolweb
te conseguiras con una carpeta llamada: Doc Find Spec.mru
bingo, conseguiste el trojanstarpge.fh. elimin el trojan, los coolweb y los .dll y reinicia tu computadora. Si lo quieres hacer manual estos son los parametros:
HKEY_CURRENT_USER
SOFTWARE
MICROSOFT
WINDOWS
CURRENT VERSION
EXPLORER
DOC FIND SPEC.MRU

Muy importante y para que no te vuela a suceder, vete a windows update y bajate el parche para iternet explorer.

elpiedra · #7 (**permalink**) 16/08/2004, 10:36

Nueva herramienta de SaTinfo para eliminar el StartPage.FH

Herramienta para eliminar StartPage y paches

Detecta y elimina el troyano StarPage y todas sus variantes (StartPage-DC - StartPage-DLL - etc..) los cuales llegan a nuestro sistema por visitar ciertos sitios de la red y son los culpables de cambiar la pagina de inicio del Internet Explorer

Salu2

Damar · #8 (**permalink**) 16/08/2004, 15:34

Hola
a mi lo que me falla es el segundo paso
2-Elimina o renombra el archivo html SP en windows/temp
voy a esa carpeta, pero no me aparece ningun archivo llamado "SP"
que hago? donde lo busco?
tambien preguntar que con el Hijackthis como se sabe las entradas de virus que hay que borrar
muchas gracias, espero respuesta, pues lo he intentando varias veces y este virus del inicio de pagina parece imposible de borrar

elpiedra · #9 (**permalink**) 16/08/2004, 16:04

Damar proba con el EliStarA.exe y despues nos conatas como te fue.

Marvin98 · #10 (**permalink**) 18/08/2004, 17:21

Hola: El Piedra.

Ya probe el EliStarA.Exe y no detecta ningun Startpage.fh, o acaso tendre otro virus?,
pero al entrar al IE me manda las mismas caracteristicas de este troyano startpage.fh.
Saludos.

Hola: Julieta.

Me podrias decir los pasos de como lograste deshacerte de este molestisimo virus, te lo agradeceria mucho.

Saludos y gracias por su ayuda.

elpiedra · #11 (**permalink**) 18/08/2004, 17:26

Cita:

Iniciado por julieta

Hola!

Te prometo q siguiendo los pasos del tutorial de "El piedra" y pasandole el Ad-Aware ACTUALIZADO, te desaparece este virus... La pagina de inicio comienza a hacerte caso...

Un saludo y suerte...

Mira en el tutorial y proba con el Ad-Aware

Herramienta para eliminar StartPage y paches

Salu2

McCoy · #12 (**permalink**) 20/08/2004, 17:01

Hola, este es el primer post que escribo en este foro y he estado mirando a ver donde podía presentarme y no he encontrado ningún lugar asi que lo hago aqui. Hola a todos!!

El caso es que yo también he tenido problemas con el starpage.hx este y lo he traido arrastrando un mes hasta hoy (creo). Al principio mire a ver como lo podía quitar y eso y mire en el google y me salio este foro

y vi el tutorial de El Piedra sobre Spywares y descubri los spywares y ahora tengo el ad-aware, el spyboot , el spywareblaster y el zone Alarm y me van muy bien, pero no me quitaban el starpage. Ad-aware lo quitaba durante un tiempo pero volvía a salir. Con el panda online me lo quitaba pero volvía a salir y al final me iva a poner a quitarlo a mano porque estaba harto. Estaba dispuesto a todo ya aunque fuera me cargo medio oredenador jejeje y he usado el elistarA.exe recomendado por El Piedra y a mi si que me lo ha detectado y de momento me va bien IE. Y he vuelto a pasar el ad-aware y de detectarme 12 objetos referidos a starpage ahora solo detecta 1 conque genial. Muchas gracias!

Además como estaba harto ya me baje un programa antitroyanos que se llama The Cleaner 4.1 y se puso a pitar una sirena y todo pero bueno. Como no se como funciona creo que lo voy a desinstalar y cuando vea algo raro pues lo volvere a instalar. De todas formas si alguien me puede decir si es interesante tenerlo instalado teniendo el cortafuegos pues muchas gracias de antemano.

Este foro es muy bueno y espero que no me vuelba a salir el maldito starpage!

salu2

elpiedra · #13 (**permalink**) 21/08/2004, 10:18

Antes que nada Bienvenido a FDW

Me alegro de que pudieras eliminar el StarPage, pero me quedo una duda respecto a esto:

Cita:

Iniciado por McCoy

Y he vuelto a pasar el ad-aware y de detectarme 12 objetos referidos a starpage ahora solo detecta 1 conque genial. Muchas gracias!

Si esta bien borrado no tendría que encontrarte ningún objeto referido al StarPage

Revisa los pasos para eliminarlo y hacelos con tu PC iniciada con F8 en modo a prueba de fallos.

Salu2

PS// MIREN EL MENSAJE NUMERO 2 QUE FUE EDITADO RECIENTEMENTE CON LOS PASOS PARA UNA ELIMINACION MANUAL Y AUTOMATICA.

Marvin98 · #14 (**permalink**) 02/09/2004, 19:07

Hola El Piedra:

Este es el Log que me manda el HijackThis, me podrias orientar que es lo que tengo que hacer, ya que no he logrado quitar este molesto troyano STARTPAGE.FH, te lo agradeceria mucho, chao.

Logfile of HijackThis v1.98.2
Scan saved at 02:01:47 p.m., on 27/08/04
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\SYSTEM32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe
C:\WINDOWS\Explorer.EXE
C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe
C:\Archivos de programa\Microsoft Encarta\Biblioteca de Consulta Encarta 2004\EDICT.EXE
C:\WINDOWS\system32\crypserv.exe
C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7Debug\mdm.exe
C:\Archivos de programa\Norton AntiVirus\navapsvc.exe
C:\Archivos de programa\Norton AntiVirus\SAVScan.exe
C:\WINDOWS\system32\fxssvc.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Archivos de programa\MSN Messenger\msnmsgr.exe
C:\Archivos de programa\Microsoft Office\Office10\EXCEL.EXE
C:\Archivos de programa\Netscape\Netscape 6\netscp6.exe
C:\Documents and Settings\CONTADOR\Mis documentos\Mis archivos recibidos\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\System32\ehajgd.dll/sp.html (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\System32\ehajgd.dll/sp.html (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\System32\ehajgd.dll/sp.html (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\System32\ehajgd.dll/sp.html (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\System32\ehajgd.dll/sp.html (obfuscated)
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\System32\ehajgd.dll/sp.html (obfuscated)
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Zero Popup - {2EF37A01-884F-11d5-AC99-B112050ECB4F} - C:\ARCHIV~1\ZEROPO~1\ZERO-P~1.DLL (file missing)
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Archivos de programa\Norton AntiVirus\NavShExt.dll
O2 - BHO: Unknown BHO - {FD2236C6-6B23-4BE0-B7F3-65C756BBD9A8} - C:\WINDOWS\System32\ehajgd.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Archivos de programa\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [ccApp] "C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)
O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)
O9 - Extra button: Net2Phone - {4B30061A-5B39-11D3-80F8-0090276F843F} - C:\Program Files\Net2Phone\Net2fone.exe
O9 - Extra 'Tools' menuitem: Net2Phone - {4B30061A-5B39-11D3-80F8-0090276F843F} - C:\Program Files\Net2Phone\Net2fone.exe
O9 - Extra button: Investigador - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Encarta Researcher\EROPROJ.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE (file missing)
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE (file missing)
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab
O16 - DPF: {2B323CD9-50E3-11D3-9466-00A0C9700498} (Yahoo! Audio Conferencing) - http://us.chat1.yimg.com/us.yimg.com...45/yacscom.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary...tatsClient.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 - DPF: {F58E1CEF-A068-4C15-BA5E-587CAF3EE8C6} (MSN Chat Control 4.5) - http://fdl.msn.com/public/chat/msnchat45.cab
O18 - Filter: text/html - {6B021A10-24DB-47F0-A630-E747D18AA6A6} - C:\WINDOWS\System32\ehajgd.dll
O18 - Filter: text/plain - {6B021A10-24DB-47F0-A630-E747D18AA6A6} - C:\WINDOWS\System32\ehajgd.dll

elpiedra · #15 (**permalink**) 02/09/2004, 20:46

Bueno "Marvin98"

1- Desconecta el Restaurar Sistema de las propiedades de MiPC.

2- Entra inicia pulsando F8 y en modo a prueba de fallos.

3- Marca y dale FiX Cheked a las siguientes casillas:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\System32\ehajgd.dll/sp.html (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\System32\ehajgd.dll/sp.html (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\System32\ehajgd.dll/sp.html (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\System32\ehajgd.dll/sp.html (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\System32\ehajgd.dll/sp.html (obfuscated)
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\System32\ehajgd.dll/sp.html (obfuscated)
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
O2 - BHO: Unknown BHO - {FD2236C6-6B23-4BE0-B7F3-65C756BBD9A8} - C:\WINDOWS\System32\ehajgd.dll
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)
O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)
O18 - Filter: text/html - {6B021A10-24DB-47F0-A630-E747D18AA6A6} - C:\WINDOWS\System32\ehajgd.dll
O18 - Filter: text/plain - {6B021A10-24DB-47F0-A630-E747D18AA6A6} - C:\WINDOWS\System32\ehajgd.dll

Recorda de hacer una copia de seguriadad antes y despus que borres todos esto pasarle el Ad-Aware, SpyBot, y Elistra.

Salu2
El Piedra

jmacrosmx · #16 (**permalink**) 03/09/2004, 16:13

Lo que tienes es anda menos que un spyware, talvez sea el ya conocido secuestrador de internet cool search, he tenido varios casos parecios al tuyo, donde trabaja bien msn, kazaa, emule, pero el iexplorer no funciona para nada, saliendo siempre un anuncio que dice OPERACION ANULADA IEXPLORER NO PUEDE ABRIR LA PAGINA WEB, NO HAY CONEXION, LA PAGINA NO ESTA DISPONIBLE EN ESTE MOMENTO, lo mas importante es que eleves tu rango de suguridad en tu pc, ya que estos spyware entra facil sin pedir permiso, te recomendaria que le pasaras el spyaware 6.0 con su ultima actualizacion, panda on line, spy destroyer, actualizado todo, y veras como funciona tu pc sin contratiempo, tambien te recomiendo que verifiques tu disco duro C. y veas si tienes algun tipo de archivo llamado cp, pp sp, este es un secuestrador que aniquila y bloquea tu ixplorer, despues de eso baja todos los parches de iexplorer principalmente los que hablen de seguridad de iexplorer y que le heches una buena leida al los tutoriales que pone elpiedra, ya que son de los mejor. saludos desde mexico. si tienes alguna duda este es mi correo. [email protected], solo te pido cuando me escribas pongas foros del web, jejejeje, ya que tengo muchos agregados y no se quienes son.

Old Cactus · #17 (**permalink**) 04/09/2004, 15:04

Muy buenas al foro, es la primera ves que participo pero ya he estado siguiendo sus consejos, tengo el mismo problema con el internet explorer y no hay forma de solucionarlo, segui los consejos de este foro y al pie de la letra el tutorial de Elpiedra, pero no puedo sacarlo, me bajé todos los programas y por ej. el Elistar lo encuentra (troyano Start Page o CWS) y lo elimina pero ni bien utilizo el i.e aparece otra ves, lo mismo con el ad-aware, el Spybot ni lo huele y ya me tiene las bolas llenas.
Voy a copiar a Marvin98 y te mando el Log del Hijack this para que por favor me des una mano, lo compare con el de Marvin98 pero no son iguales por eso no seguí las indicaciones que le diste, aparte del hecho de que soy bastante duro y no queria embarrarla, desde ya gracias totales!!!!

Logfile of HijackThis v1.98.2
Scan saved at 17:33:55, on 04/09/2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\Explorer.EXE
C:\Archivos de programa\Creative\ShareDLL\CtNotify.exe
C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe
C:\Archivos de programa\Messenger\msmsgs.exe
C:\Archivos de programa\Creative\ShareDLL\MediaDet.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\CTSVCCDA.EXE
C:\Archivos de programa\Norton AntiVirus\navapsvc.exe
C:\Archivos de programa\Norton AntiVirus\AdvTools\NPROTECT.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\system32\slserv.exe
C:\Archivos de programa\Outlook Express\msimn.exe
C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE
C:\WINDOWS\System32\wuauclt.exe
C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE
C:\WINDOWS\System32\wuauclt.exe
C:\Documents and Settings\Marcelo Diaz\Escritorio\CHELO\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = file://C:\DOCUME~1\MARCEL~1\CONFIG~1\Temp\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = file://C:\DOCUME~1\MARCEL~1\CONFIG~1\Temp\sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = file://C:\DOCUME~1\MARCEL~1\CONFIG~1\Temp\sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = file://C:\DOCUME~1\MARCEL~1\CONFIG~1\Temp\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = file://C:\DOCUME~1\MARCEL~1\CONFIG~1\Temp\sp.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = file://C:\DOCUME~1\MARCEL~1\CONFIG~1\Temp\sp.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
R3 - Default URLSearchHook is missing
O2 - BHO: (no name) - SOFTWARE - (no file)
O2 - BHO: (no name) - {021BB032-80A8-4FB6-B3D5-CF27B1553B95} - C:\WINDOWS\mslagent\4b_1,0,1,0_mslagent.dll (file missing)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Archivos de programa\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: IE_PopupBlocker Class - {656EC4B7-072B-4698-B504-2A414C1F0037} - C:\Archivos de programa\Tutopia Extremo\prpl_IePopupBlocker.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Archivos de programa\Norton AntiVirus\NavShExt.dll
O2 - BHO: (no name) - {EC441904-61CD-498C-B2BB-AD117C567874} - C:\WINDOWS\System32\fdnlnga.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Archivos de programa\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Disc Detector] C:\Archivos de programa\Creative\ShareDLL\CtNotify.exe
O4 - HKLM\..\Run: [ccApp] C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe
O4 - HKLM\..\Run: [ccRegVfy] C:\Archivos de programa\Archivos comunes\Symantec Shared\ccRegVfy.exe
O4 - HKLM\..\Run: [Advanced Tools Check] C:\ARCHIV~1\NORTON~1\AdvTools\ADVCHK.EXE
O4 - HKLM\..\Run: [CTRegRun] C:\WINDOWS\CTRegRun.EXE
O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background
O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Descargas - {AF0828BC-CB46-4C8D-95B6-8A7C4988F9FF} - (no file)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE
O16 - DPF: {469C7080-8EC8-43A6-AD97-45848113743C} - http://akamai.downloadv3.com/binarie...hv32_ES_XP.cab
O16 - DPF: {5F426A93-0821-47D2-A126-5A48A874B289} (DialerWeb Class) - http://212.145.159.194/251065/dialer...ecomendada.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 - DPF: {D7B59209-0ED9-4986-BD4A-527BE836C6B2} - http://akamai.downloadv3.com/binarie...CE_1046_XP.cab
O16 - DPF: {EEECA057-AD0F-44A7-8BE5-8634CEDBDBD1} - http://akamai.downloadv3.com/binarie...pe32_ES_XP.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{D7DA8370-908D-4922-B537-65C123874ED7}: NameServer = 200.61.128.2 200.62.3.3
O18 - Filter: text/html - {DEC5BFFA-71F1-45DD-B369-CD3C50CC0168} - C:\WINDOWS\System32\fdnlnga.dll
O18 - Filter: text/plain - {DEC5BFFA-71F1-45DD-B369-CD3C50CC0168} - C:\WINDOWS\System32\fdnlnga.dll

elpiedra · #18 (**permalink**) 04/09/2004, 18:09

Bueno "Old Cactus"

1- Desconecta el Restaurar Sistema de las propiedades de MiPC.

2- Entra inicia pulsando F8 y en modo a prueba de fallos.

3- Marca y dale FiX Cheked a las siguientes casillas:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = file://C:\DOCUME~1\MARCEL~1\CONFIG~1\Temp\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = file://C:\DOCUME~1\MARCEL~1\CONFIG~1\Temp\sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = file://C:\DOCUME~1\MARCEL~1\CONFIG~1\Temp\sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = file://C:\DOCUME~1\MARCEL~1\CONFIG~1\Temp\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = file://C:\DOCUME~1\MARCEL~1\CONFIG~1\Temp\sp.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = file://C:\DOCUME~1\MARCEL~1\CONFIG~1\Temp\sp.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
O2 - BHO: (no name) - SOFTWARE - (no file)
O2 - BHO: (no name) - {021BB032-80A8-4FB6-B3D5-CF27B1553B95} - C:\WINDOWS\mslagent\4b_1,0,1,0_mslagent.dll (file missing)
O2 - BHO: (no name) - {EC441904-61CD-498C-B2BB-AD117C567874} - C:\WINDOWS\System32\fdnlnga.dll
O9 - Extra button: Descargas - {AF0828BC-CB46-4C8D-95B6-8A7C4988F9FF} - (no file)
O16 - DPF: {469C7080-8EC8-43A6-AD97-45848113743C} - http://akamai.downloadv3.com/binari...thv32_ES_XP.cab
O16 - DPF: {5F426A93-0821-47D2-A126-5A48A874B289} (DialerWeb Class) - http://212.145.159.194/251065/diale...Recomendada.cab
O16 - DPF: {D7B59209-0ED9-4986-BD4A-527BE836C6B2} - http://akamai.downloadv3.com/binari...ICE_1046_XP.cab
O16 - DPF: {EEECA057-AD0F-44A7-8BE5-8634CEDBDBD1} - http://akamai.downloadv3.com/binari...tpe32_ES_XP.cab
O18 - Filter: text/html - {DEC5BFFA-71F1-45DD-B369-CD3C50CC0168} - C:\WINDOWS\System32\fdnlnga.dll
O18 - Filter: text/plain - {DEC5BFFA-71F1-45DD-B369-CD3C50CC0168} - C:\WINDOWS\System32\fdnlnga.dll

Bajate las actualizaciones de windows SP1

Salu2
El Piedra

PS//Para todos los que quieran publicar su log del HijackThis les agradecería que lo hicieran en un post aparte para no hacer tan largo este y con gusto les ayudare en lo que pueda.

Old Cactus · #19 (**permalink**) 15/09/2004, 23:17

Elpiedra:
Acabo Hace Unos Minutos De Eliminar (parece) El Startpage Despues De Seguir Tus Instrucciones, Desde Ya Muchas Gracias Por La Ayuda Y Por La Buena Onda, Espero No Te Moleste Que Ante Alguna Duda Te Vuelva A Consultar.
A Los Que Tengan El Mismo Problema Les Aconsejo Seguir El Tutorial De Elpiedra Que Realmente Funciona.
Gracias.

tatu · #20 (**permalink**) 18/09/2004, 07:27

Hola, yo tengo el mismo problema con startpage.fh. he seguido el consejo de utilizar el hijackthis y aqui posteo el log para que me ayudeis si sois tan amables. muchas gracias.

Logfile of HijackThis v1.98.1
Scan saved at 15:11:02, on 18/09/2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Archivos de programa\Intel\NCS\PROSet\PRONoMgr.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2004\APVXDWIN.EXE
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC 2.EXE
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\System32\RUNDLL32.EXE
C:\Archivos de programa\MSN Messenger\MsnMsgr.Exe
C:\ARCHIV~1\Yahoo!\MESSEN~1\ymsgr_tray.exe
C:\Archivos de programa\Archivos comunes\EPSON\EBAPI\SAgent2.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\ODBCINST.INI:qzkrh
C:\Archivos de programa\Archivos comunes\Panda Software\PavShld\pavprsrv.exe
C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2004\Pavsrv51.exe
C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2004\PsImSvc.exe
C:\WINDOWS\System32\svchost.exe
C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2004\AVENGINE.EXE
C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2004\WebProxy.exe
C:\WINDOWS\system32\netmz.exe
C:\Documents and Settings\PILAR\Mis documentos\WinRar\WinRAR.exe
C:\DOCUME~1\PILAR\CONFIG~1\Temp\Rar$EX00.750\Hijac kThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\jwipb.dll/sp.html#28129
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\jwipb.dll/sp.html#28129
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\system32\jwipb.dll/sp.html#28129
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\jwipb.dll/sp.html#28129
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\jwipb.dll/sp.html#28129
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\jwipb.dll/sp.html#28129
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\jwipb.dll/sp.html#28129
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
R3 - Default URLSearchHook is missing
O2 - BHO: (no name) - {DBD7A92A-DF8C-2D8E-D6F7-B5116A70ADC5} - C:\WINDOWS\system32\atlxv.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [PRONoMgr.exe] C:\Archivos de programa\Intel\NCS\PROSet\PRONoMgr.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [APVXDWIN] "C:\Archivos de programa\Panda Software\Panda Titanium Antivirus 2004\APVXDWIN.EXE" /s
O4 - HKLM\..\Run: [EPSON Stylus C44 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC 2.EXE /P23 "EPSON Stylus C44 Series" /O6 "USB001" /M "Stylus C44"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [netmz.exe] C:\WINDOWS\system32\netmz.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit
O4 - HKCU\..\Run: [MsnMsgr] "C:\Archivos de programa\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [Yahoo! Pager] C:\ARCHIV~1\Yahoo!\MESSEN~1\ypager.exe -quiet
O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: Coches - {AF0828BC-CB46-4C8D-95B6-8A7C4988F9FF} - c:\exio-pillamusica2\entrar.html (file missing)
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\ARCHIV~1\Yahoo!\MESSEN~1\YPager.exe
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\ARCHIV~1\Yahoo!\MESSEN~1\YPager.exe
O15 - Trusted Zone: *.05p.com
O15 - Trusted Zone: *.scoobidoo.com
O15 - Trusted Zone: *.searchmiracle.com
O16 - DPF: {469C7080-8EC8-43A6-AD97-45848113743C} - http://akamai.downloadv3.com/binarie...hv32_ES_XP.cab
O16 - DPF: {5F426A93-0821-47D2-A126-5A48A874B289} (DialerWeb Class) - http://212.145.159.194/251065/dialer...ecomendada.cab
O16 - DPF: {7584C670-2274-4EFB-B00B-D6AABA6D3850} (Microsoft RDP Client Control (redist)) - http://ofdp.sytes.net/tsweb/msrdp.cab

tolired · #21 (**permalink**) 03/10/2004, 13:45

tengo windows 98 y tengo el maldito start page como le hago?

Old Cactus · #22 (**permalink**) 04/10/2004, 20:48

Cita:

Iniciado por tolired

tengo windows 98 y tengo el maldito start page como le hago?

TE ACONSEJO QUE SIGAS EL TUTORIAL QUE ESCRIBIO EL PIEDRA Y TE BAJES TODOS LOS PROGRAMAS QUE ALLI TE RECOMIENDAN (AD-AWARE 1.05 SE PERSONAL, SPYBOT SEARCH & DESTROY 1.3, ELISTARA.EXE) LOS ENLACES ESTAN EN EL TUTORIAL DE SPYWARES.
QUE TENGAS SUERTE.

carrie · #23 (**permalink**) 20/10/2004, 20:24

Estimado ElPiedra,

podrías decirme si para eliminar este virus(q llevo varios dias intentandolo) ¿es distinto para windows 98?
El primer paso, Restaurar Sistema de las propiedades de Mi PC, no puedo hacerlo en Windows98! ¿Cómo puedo hacer?
Estoy un poco desesperado, necesito tu ayuda.
Muchas Gracias por adelantado.

elpiedra · #24 (**permalink**) 20/10/2004, 20:42

En Win 98 no tenes la opcion de apagar el Restaurador de sistemas porque no lo tiene, esto funciona unicamente para Win Me y XP.

Proba con EliStarA.exe

Herramienta para eliminar StartPage y paches

Marvin98 · #25 (**permalink**) 12/11/2004, 12:12

Hola El Piedra: Realize lo que me indicaste y parece que todo vuelve a la normalidad, me permitio cambiar la pagina de inicio a la que yo le indicaba, pero despues de estar buen rato navegando en internet el Spybot me avisa que se quieren hacer cambios en el registro de windows, a lo cual le indico que me bloquee la entrada, y se vuelven a cargar en mi ordenador algunos cambios en el registro y uno de ellos es el archivo SP.HTML supongo que este es el que ocaciona estos problemas.

Despues de esto le paso el Ad_aware me detecta todos estos cambios y los elimina y todo vuelve a la normalidad, al siguiente dia me vuelve a detectar estos cambios el spybot y se vuelven a cargar estos cambios , le paso el ad-aware y los borra y asi todos los dias.

Hoy acabo de realizar los pasos para la eliminacion como esta en el tutorial y al paracer esta limpio mi ordenador, pero te mando el LOG del HijackThis para ver si me puedes ayudar a detectar que otra cosa maligna anda en mi ordenador y poder borrar.

Te agradezco tu ayuda y saludos.

Logfile of HijackThis v1.98.2
Scan saved at 09:02:25 a.m., on 12/11/04
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\SYSTEM32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe
C:\WINDOWS\Explorer.EXE
C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe
C:\Archivos de programa\Spybot - Search & Destroy\TeaTimer.exe
C:\WINDOWS\system32\crypserv.exe
C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7Debug\mdm.exe
C:\Archivos de programa\Norton AntiVirus\navapsvc.exe
C:\Archivos de programa\Norton AntiVirus\SAVScan.exe
C:\WINDOWS\system32\fxssvc.exe
C:\Documents and Settings\CONTADOR\Mis documentos\Descargas\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.yahoo.com/r/mx
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Zero Popup - {2EF37A01-884F-11d5-AC99-B112050ECB4F} - C:\ARCHIV~1\ZEROPO~1\ZERO-P~1.DLL (file missing)
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Archivos de programa\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Archivos de programa\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [ccApp] "C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Archivos de programa\Archivos comunes\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [Outpost Firewall] "C:\Archivos de programa\Agnitum\Outpost Firewall 1.0\outpost.exe" /waitservice
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Archivos de programa\Spybot - Search & Destroy\TeaTimer.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Troyan Explore Antivirus.LNK = C:\EXTROYAN\EXTROYAN.EXE
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Net2Phone - {4B30061A-5B39-11D3-80F8-0090276F843F} - C:\Program Files\Net2Phone\Net2fone.exe
O9 - Extra 'Tools' menuitem: Net2Phone - {4B30061A-5B39-11D3-80F8-0090276F843F} - C:\Program Files\Net2Phone\Net2fone.exe
O9 - Extra button: Investigador - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Encarta Researcher\EROPROJ.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE (file missing)
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE (file missing)
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab
O16 - DPF: {2B323CD9-50E3-11D3-9466-00A0C9700498} (Yahoo! Audio Conferencing) - http://us.chat1.yimg.com/us.yimg.com...45/yacscom.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary...tatsClient.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 - DPF: {F58E1CEF-A068-4C15-BA5E-587CAF3EE8C6} (MSN Chat Control 4.5) - http://fdl.msn.com/public/chat/msnchat45.cab

Aquiles2003 · #26 (**permalink**) 10/01/2005, 23:30

Algo tiene el elistar cuando carga en mi maquina me pide que copie lo de un cuadro que muestra pero no lo puedo visualizar bien que consejo me dan?

lupi · #27 (**permalink**) 15/01/2005, 04:44

No se necesita ningún antivirus para eliminar STARTPAGE.Esto lo he encontrado en un FORO y es la solución DEFINITIVA:

Después de intentar de todo, he encontrado la solución definitiva y por otro lado la más lógica.
Se trata de trazar al iexplore.exe durante la creación de "sp.html".
Pues bien: Bajad el programa FileMon (freeware en http://www.sysinternals.com)
En filtros, añadir sp.html en el campo Hightlight.

-Arrancar el Filemon con el explorer cerrado.
Desactivar el autoscroll que sino es un coñazo.
En filtros, añadir sp.html en el campo Hightlight. (esto nos mostrará en rojo las acciones con ese fichero)

-Arrancar ahora el explorer
-Bajar el scroll del filemon y aparece la puta librería justo encima de las acciones de sp.hml

-Apuntadla, ocupará unos 30kb.
-Abrir el Regedit y buscar su entrada. Ya sabeis lo que teneis que hacer con ella.
-Iniciar en modo a prueba de fallos y ordenar el directorio system32 por tamaño.
Vereis otras sospechosas con el mismo tamaño y parecida fecha de creación, que no tienen copyright (Ver propiedades). Para aseguraros abirlas con el Notepad, y vereis que son la misma.Borrarlas y no estaría de más si hay entradas en el registro con esos nombres de fichero.

Ahora solo queda restaurar el registro.
-Buscamos "sp.html" Y vostros mismo....
-Buscamos "about:blank" y lo mismo...

Ya está.

Molasar · #28 (**permalink**) 21/01/2005, 07:53

Quisiera saber que pasa si no logro borrar este maldito troyano.
Tengo windows 2000 sp4, y instale el Mozilla Firefox, por lo que el dejenerado
no molesto mas, pero sigue estando en el registro, y el norton me dice a cada rato
que detecto y borro el trojano startpage.fh.
He probado de todo y no hay forma de borrarlo, instale adware, el spyboot, el cwsherreder 2.1, trate de borrar como me indicaban en forma manual las entradas del registro, borre el trojan.win32.startpage.fh.exe, el tema es que estoy repodrido y sigue
apareciendo en el norton y cada vez que hago un escaneo con el adware, pero no se puede eliminar.
Entonces pregunto, que pasa si lo dejo ahi que se muera de viejo.
Me afecta la pc en alguna actividad ?
Desde ya muchisimas gracias.

Old Cactus · #29 (**permalink**) 21/01/2005, 22:10

Molasar probaste con el EliStarA.exe? por que yo después de luchar como un mes con el maldito bicho seguí el tutorial de "el piedra" y con este lo terminé de sacar. SUerte.

Molasar · #30 (**permalink**) 24/01/2005, 11:31

Si lo probe y no me detecta nada.
El adware me detecta 14 archivos, los borra, pero despues de encender la maquina, ahi estan de nuevo.
El Spybot (actualizado), no detecta nada.
El Norton 2005 actualizadp con el live update en forma regular, me detecta el virus a cada rato, lo borra pero sigue estando ahi.
Trate de borrar los archivos como indicaba El Piedra, pero no encuentro ninguno de los archivos en las carpetas que indica.
Conclusion, sigo teniendo esta porqueria en la maquina y no se que hacer.
Por favor !!! AYUDA !!!