Ventana " ~ Warning " con publicidad

[nngg]

Se trata de una ventana de publicidad que refiere a antispyware o a casino online, y no he podido detectar nada con soft de escaneo (Norton para virus, Lavasoft para spyware, TojanHunter, Hijackthis). No aparece nada extraño en el log de HijackThis. No es el "Mensajero" de windows tampoco. La ventana se abre aleatoriamente al abrir el IE (a veces si, a veces no).

Una de las ventanas que aparecen la capture en formato de imagen y la subi para que la puedan ver aqui: http://www.hectorfontan.com.ar/spy.gif


Este es el log de Hijackthis:

Logfile of HijackThis v1.99.1
Scan saved at 12:24:31 p.m., on 16/08/2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE
C:\WINDOWS\System32\cisvc.exe
C:\WINDOWS\system32\crypserv.exe
C:\WINDOWS\System32\inetsrv\inetinfo.exe
C:\ARCHIV~1\McAfee.com\PERSON~1\MPFSERVICE.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\Explorer.EXE
C:\Archivos de programa\Analog Devices\SoundMAX\SMTray.exe
C:\WINDOWS\System32\RUNDLL32.EXE
C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe
C:\ARCHIV~1\McAfee.com\PERSON~1\MpfTray.exe
C:\ARCHIV~1\mcafee.com\agent\mcregwiz.exe
C:\ARCHIV~1\mcafee.com\agent\mcagent.exe
C:\WINDOWS\System32\snmp.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Archivos de programa\Analog Devices\SoundMAX\SMAgent.exe
C:\Archivos de programa\Messenger\msmsgs.exe
C:\WINDOWS\System32\svchost.exe
E:\Archivos de programa\SEC\MagicTune 2.5\GammaTray.exe
E:\Archivos de programa\SEC\Highlight III\HighlightAgent.exe
E:\Archivos de programa\SEC\Natural Color\NaturalColorLoad.exe
C:\ARCHIV~1\McAfee.com\PERSON~1\MpfAgent.exe
E:\Archivos de programa\SEC\Highlight III\Highlight.exe
C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE
C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE
C:\WINDOWS\system32\charmap.exe
C:\WINDOWS\System32\notepad.exe
C:\WINDOWS\System32\cidaemon.exe
C:\WINDOWS\System32\cidaemon.exe
C:\WINDOWS\system32\NOTEPAD.EXE
F:\HIJACK 1.99.1\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - E:\Archivos de programa\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - E:\Archivos de programa\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - E:\Archivos de programa\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [Smapp] C:\Archivos de programa\Analog Devices\SoundMAX\SMTray.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [ccApp] "C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Archivos de programa\Archivos comunes\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\ARCHIV~1\SYMNET~1\SNDMon.exe /Consumer
O4 - HKLM\..\Run: [MPFExe] C:\ARCHIV~1\McAfee.com\PERSON~1\MpfTray.exe
O4 - HKLM\..\Run: [McRegWiz] C:\ARCHIV~1\mcafee.com\agent\mcregwiz.exe /autorun
O4 - HKLM\..\Run: [MCAgentExe] c:\ARCHIV~1\mcafee.com\agent\mcagent.exe
O4 - HKLM\..\Run: [MCUpdateExe] C:\ARCHIV~1\mcafee.com\agent\mcupdate.exe
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Archivos de programa\Archivos comunes\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background
O4 - HKCU\..\RunServices: [FireFox Startup Drivers] wuaclt.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Color Calibration.lnk = ?
O4 - Global Startup: Highlight Agent.lnk = ?
O4 - Global Startup: NaturalColorLoad.lnk = ?
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://E:\ARCHIV~1\MICROS~1\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - E:\ARCHIV~1\MICROS~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE
O16 - DPF: {3D8C5C3D-35A0-43F7-8813-36902A92766D} (SoftLinkUpdate Class) - https://sol.softitler.com/downloads/SoftLink.exe
O16 - DPF: {A86FEA6F-95C0-4190-A622-C5C02739CBE3} (WebTransfer Control) - https://sol.softitler.com/Downloads/WebTranU.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/ms...downloader.cab
O23 - Service: Adobe LM Service - Unknown owner - C:\Archivos de programa\Archivos comunes\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: C-DillaSrv - C-Dilla Ltd - C:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation Service (ccPwdSvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccPwdSvc.exe
O23 - Service: Crypkey License - Kenonic Controls Ltd. - C:\WINDOWS\SYSTEM32\crypserv.exe
O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Archivos de programa\Archivos comunes\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: McAfee SecurityCenter Update Manager (mcupdmgr.exe) - Networks Associates Technology, Inc - C:\ARCHIV~1\McAfee.com\Agent\mcupdmgr.exe
O23 - Service: McAfee Personal Firewall Service (MpfService) - McAfee Corporation - C:\ARCHIV~1\McAfee.com\PERSON~1\MPFSERVICE.exe
O23 - Service: Norton AntiVirus Auto Protect Service (navapsvc) - Symantec Corporation - E:\Archivos de programa\Norton AntiVirus\navapsvc.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\ARCHIV~1\ARCHIV~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\SNDSrvc.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Archivos de programa\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\Security Center\SymWSC.exe


Si alguien sabe algo de esto, agradezco la colaboracion.

[nngg]

nada nada?

[Lucyan]

Alguna vez quité un bicho como ese de la lap top de mi hermano, sólo que a mi si me la detectó norton, estaba fácil porque era un .exe que se encontraba en C:
Has checado los programas instalados, te copiaré una forma forma de ver los programas que a veces se esconden en XP
Descubre programas ocultos:

Empieza por entrar en la carpeta C:\Windows\Inf y busca el fichero llamado SYSOC.INF ahora abrelo con el bloc de notas y veras unas cadenas de texto donde en algunas aparece la palabra HIDE que significa que esos programas estan escondidos, borra de esta manera todas las que encuentres:

Si esta escrito asi:
WBEM=ocgen.dll,OcEntry,wbemoc.inf,hide,7

Dejalo asi:
WBEM=ocgen.dll,OcEntry,wbemoc.inf,7

Por cierto, no cambies la linea esta:

netfx=netfxocm.dll,UrtOcmProc,netfxocm.inf,HIDE,7

Ahora entra en panel de control y selecciona Agregar o quitar programas, unavez dentro busca Agregar o Quitar componentes de Windows, si no es la primera vez que entras en esta opcion veras que hay nuevas herramientas para instalar o desinstalar, como por ejemplo el Internet Explorer, Actualizaciones automaticas y alguna que otra cosa mas. Si borraste la linea anteriormente dicha, no podras entrar a este apartado de seleccionar programas instalados.
Espero te sirva de algo

[nngg]

Por casualidad, y viendo otras lineas que NO tienen el "hide", ¿no deberia quedar una "coma" doble (,,) donde elimino el "hide"?
Por ejemplo, estas lineas que no tienen "hide" están así:

Fax=fxsocm.dll,FaxOcmSetupProc,fxsocm.inf,,7
NetOC=netoc.dll,NetOcSetupProc,netoc.inf,,7
iis=iis.dll,OcEntry,iis.inf,,7
com=comsetup.dll,OcEntry,comnt5.inf,,7

quedando entonces tu ejemplo:

WBEM=ocgen.dll,OcEntry,wbemoc.inf,,7

gracias de nuevo

[Lucyan]

No se exacto si deberían quedar dos comas ahí donde tu dices, supongo q no.
Tu solo borra la palabra hide, no vaya hacer que la reguemos, y me vayas a buscar para reclamarme, jajaja Es broma la verdad cuando yo lo hice no me fije en las comas solo borré hide, y si ahí apareció un programa fantasmita que daba mucha guerra.

[nngg]

Lo acabo de intentar: des-seleccioné 2 elementos que no ofrecían ninguna descripcion. Veré que pasa.
Muchas gracias.

[nngg]

Nada. No hubo cambios.
He seguido el vinculo que me ofrece tal publicidad y me lleva a Errornuker.com y me ofrece bajar un programa... que aparentemente sirve para estas cosas! no entiendo mas nada, si alguien me puede dar una mano, lo agradezco muchisimo

[Acron_0248]

Busca el Ms antispyware beta www.microsoft.com, Ad-aware www.lavasoft.com y Spybot S&D http://www.safer-networking.org/en/download/
Actualízalos, scanea tu disco y el registro.

Salu2

[yuki06]

pues bien me parece k eso es el messenger plus k trae muchos regslitos desinstalalo y pasale el microsoft antispyware y los otros tanbien dichos por el compañero acron 0248

[nngg]

Será por pura torpeza mía, pero he corrido ya 4 programas anti-spy y todos han detectado algo y lo han eliminado... pero este mensaje sigue apareciendo. Tampoco el norton antivirus lo ha datectado como tal. Es pues un programa "legalmente" instalado. Me queda ir desistalando y probando los últimos que haya instalado. O que a alguien le haya pasado algo similar y sepa de qué se trata.
gracias

[Lucyan]

Leyéndolos de pronto recordé que en otra ocasión tambien me salía una ventana fastidiosa de publicidad, que según yo no encontraba por ningún lado, sufrí y me enfadé dos días seguidos, jajaja aunque más me enfadé cuando descubrí donde estaba.
En mi ventana de inicio además de Programas me aparece programs en inglés, y ahí la encontré, jajaja solo fue borrar y ya. jajajaja

[nngg]

Increible, pero tampoco tengo otra carpeta de programas... gracias Lucyan.
Reitero por si a alguien le paso o pasó algo por ele stilo. Para swer más gráfico, aquí está la pantalla capturada que se abre aleatoriamente en tiempo y en aplicciones: http://www.hectorfontan.com.ar/spy.gif

[Lucyan]

Cuando escaneaste lo hiciste en Safe Mode? prueba así. No sé cómo pero hemos de quitar ese bicho, jajajaja
Nada de formatear por una simple ventanita fastidiosa, daremos con él a como de lugar.

Has revisado si notas algo extraño en C:?
Inicio-Buscar errornuker? a ver si encuentras algo parecido a eso.

[nngg]

si señorrrrrrrrrrrrr, apareció un txt con ese nombre y una cookie. Veremos ahora qué pasa luego de eliminarlas (lo hice suavemente, como disfrutando). Muy agradecido estoy de todos. Gracias Lucyan!!!

[Lucyan]

Bravooooooooooooooo, me encanta dar con los bichosssssssss, jaaaaaaaa
Mmmm me siento importante, jajaja porque ayudé un poquito.
Cuentame porfaaaaa, si se fue ya.
Saludos

[nngg]

Lo siento, pero fue fallido: ahora ya ni siquiera vuelve la publicidad de antiespías, sino que son de Casinos...
Seguiré buscando

[nngg]

Peeeeerooo..... acabo de ejecutar un cazaespías y detectó varios que responden a estas ventanas: voy a reiniciar a ver que sucede.

[Gpastor]

Eso parece ser el SpywareNuker que es un falso anti-spyware ve a Inicio-->Panel de Control doble clic a Agregar / Quitar programas y desinstalalo, luego sigue los 11 pasos fundamentales para una buena eliminacion, no te saltes ningun paso., luego pasa el Regseeker para Limpiar el Registro pasalo hasta q no quede nada para eliminar.
Reinicia la maquina y nos cuentas los resultados.
No te olvides que es muy importante visitar windowsupdate con regularidad para mantener actualizado el sistema.

Saludos

[Lucyan]

Epaaa y yo que pensé que ya nos habíamos librado del bicho.

Según yo, nngg no lo tiene instalado no le aparece en agregar y qitar prog.
pero bueno ya nomás es el de casino on line, pues si no pudiste aún de nuevo
nn a bsucarlo sólo q antes asegurate de borrar los temporales y las galletas
Saludos
Pd. Me cuentas

[nngg]

Por el momento pareciera que la eliminación del &#%$#$ Messenger 7 y la persecución a través del Registro resultó existosa.
No he encontrado, ni antes ni después, programas extraños instalados, por lo que este tipo de publicidad era de otra especie.
Muchas gracias a todos nuevamente.

[Lucyan]

Entonces ya no lo tienes?
Quitaste messenger? pues de dónde lo habías bajadoooooo, o quéee ,jajajaja

[nngg]

En este nuevo fracaso que sumo a mi prontuario, debo agregar que el antivirus Norton ya no se ejecuta en modo safe (sí en modo normal), por lo que en este momento estoy escaneando online la maquina con problemas (no esta sino otra). Es decir, todo el tiempo el SpyDoctor (o algo así) detecta los espías, los eliminé manualmente desde el Registro pero claro, el programa que los instala vuelve a ponerlos en su sitio. Por eso ahora vuelvo por si se trata de un virus. Por suerte el Panda online tambien trabaja sobre espías. Veremos. Seguiremos informando. Gracias.

[nngg]

¿Y con una aplicación con la que pueda rastrear qué programa se ejecuta, y así conocer el generador de estoas ventanas?

[Gpastor]

Iniciado por nngg

Es decir, todo el tiempo el SpyDoctor (o algo así) detecta los espías, los eliminé manualmente desde el Registro pero claro, el programa que los instala vuelve a ponerlos en su sitio. Por eso ahora vuelvo por si se trata de un virus. Por suerte el Panda online tambien trabaja sobre espías. Veremos. Seguiremos informando. Gracias.

El SpyDoctor tambien es un falso Anti-Spyware desinstalalo.

Iniciado por nngg

Por suerte el Panda online tambien trabaja sobre espías. Veremos. Seguiremos informando. Gracias.

El Panda no tiene bien implementada la parte de los spywares asi que no te recomiendo que te fies de el, saludos

[nngg]

Dado que la instalación del SP2 para XP, el Norton 2005 y una batería de anti-spywares + Hijackthis sugeridos por el foro no ha dado resultado (la ventana de publicidad Warning sigue apareciendo aleatoriamente, en especial a la primeras navegaciones con el IE), pregunto si existe algun programa con el que pueda identificar o hacer el seguimiento de dónde proviene el llamado que abre esa ventana. No estoy convencido de formatear y reinstalar todo, dado que los programas y archivos residen en sendas particiones diferentes de la que usa Windows: pero sería mi abatimiento al ver que luego de semejante tarea me aparezca nuevamente la publicidad ofreciendo, justamente, un anti-spyware. Ojalá alguien sepa indicarme si hay un programa que pueda hacer ese rastreo.
Muchas muchas muchas gracias

[Lucyan]

Oh Noooooooooo Neneeeeeeee De Nuevoooooooo.
No Desesperes, No Formatees Aun, Ya Veremos Mañana, Intuicion Amigo, Sirve De Mucho, Usala, Mañana Vemos Q Hacer.
Saludos

[Acron_0248]

Ahora que llego tarde al post, y leyendo lo que colocas sobre el msn, por casualidad no tenías instalado el Messenger Plus pack o algo así creo que se llama, o el pack deluxe para messenger, estos programas vienen plagados de Troyanos, spywares y adwares, tal vez esos eran los bichos que te andaban molestando, y si no los tenías instalados pues tampoco lo hagas por la razón que te acabo de decir.

Salu2

[nngg]

Acron: el único que tengo (y siempre apagado) es el Windows Messenger.

Lucyan: En verdad, no es que sea de nuevo, sino que nunca me abandonó, (como decía el poeta: " ¡ cómo que me fui, si siempre estoy llegando ! "). Sobre la intuición, a falta de razón, la intento y por eso pregunto si habiendo un programa o algo que registre desde dónde se activa la ventana -que no parece ser nada "ilegítimo" porque si no deberían detectarlo los antivirus etc-, podré identificar el origen de la misma.

Gracias de nuevo.

En la última detección que hace el Spyware Doctor, identifica lo que sigue, que aunque lo elimino desde el Registro y en cada buteo reaparece (subo la imagen de pantalla a esta url):
http://www.hectorfontan.com.ar/spywaredr.gif

[yuki06]

yo no le aria mucho caso a ese antispyware