hola amigos tengo un troyano , Backdor, y Alexa, resulta que el antivirus me lo detecta y supuestamente me lo borra (elimina) pero me sigue aperesiendo, el Spybot tambien me lo detecta como programa maligno consumidor de recurso etc, que en realidad es sierto ya que en momento el ordenador se me bloque etc, resulta que lo desactivo con el Spybob Search destroy, pero momento despues aparese nuevamente, trate de borrarlo atraves de msconfig,desmarcandolo, para que no se inicie , pero resulta que sigue ahi, me podrian indicar pasa a paso sobre como borrar un programa para que no se inicie con windows atraves de msconfig, por que a lo mejor no realizo los paso correcto y por eso siempre me aprese y se me inicia al iniciar el sistema, gracias, un saludo.

Descarga el programa HijackThis 1.99.1 y colócalo en una carpeta propia para el HijackThis (por ejemplo una carpeta C:\HijackThis\). Ejecútalo y presiona el botón "Do a system scan and save a logfile"; el programa realizará el escaneo e inmediatamente generará el Log, sólo te pedira el nombre del archivo y su ubicación, puedes simplemente guardarlo así como está. Se abrirá el Bloc de Notas, copia todo el contenido y pégalo como respuesta a este tema.
Una vez descargado, da doble click en el icono del HijackThis.exe.
Primero da click en el botón "Config", y aparecerán 7 opciones . Fíjate que no estén tildadas la primera ( “Mark everything found for fixing alter scan”) y la última (“Run Hijack This scan at startup and show it ítems are fond”).Luego presiona "Back"
Para empezar el escaneo de posibles hijackers, clickea en el botón "Scan". Se te presentará una lista con todos los elementos encontrados por el programa .
Baja el HijackThis de aquí:

http://www.spywareinfo.com/~merijn/files/hijackthis.zip
Comienza un nuevo post y pega el log acá:

http://www.trucoswindows.net/foro/index.php?act=SF&s=&f=31

Salu2
Caito

Logfile of HijackThis v1.99.1
Scan saved at 11:15:51, on 15/05/2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Archivos de programa\Ahead\InCD\InCDsrv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Archivos de programa\Netropa\Multimedia Keyboard\nhksrv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\cisvc.exe
C:\Archivos de programa\Archivos comunes\EPSON\EBAPI\SAgent2.exe
C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Archivos de programa\Laplink Everywhere\ServerProxyService.exe
C:\WINDOWS\System32\svchost.exe
C:\Archivos de programa\OmniCom\winShadow\shwSrvc.exe
C:\WINDOWS\system32\MsPMSPSv.exe
C:\Archivos de programa\Archivos comunes\Softwin\BitDefender Communicator\xcommsvr.exe
C:\Archivos de programa\Archivos comunes\Softwin\BitDefender Scan Server\bdss.exe
C:\Archivos de programa\CyberLink\PowerDVD\PDVDServ.exe
C:\POP Peeper\POPPeeper.exe
C:\Archivos de programa\Netropa\Multimedia Keyboard\MMKeybd.exe
C:\Archivos de programa\Ahead\InCD\InCD.exe
C:\WINDOWS\system32\pupxpman.exe
C:\WINDOWS\system32\taskswitch.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE
C:\ARCHIV~1\Softwin\BITDEF~2\bdmcon.exe
C:\Archivos de programa\ashampoo\Ashampoo UnInstaller Suite\UIWatcher.exe
C:\Archivos de programa\Skype\Phone\Skype.exe
C:\Archivos de programa\Siber Systems\AI RoboForm\RoboTaskBarIcon.exe
C:\Archivos de programa\Google\Google Desktop Search\GoogleDesktop.exe
C:\Archivos de programa\eMule\emule.exe
C:\Archivos de programa\Pinnacle\Shared Files\Programs\Scheduler\PCLEScheduler.exe
C:\Archivos de programa\Softwin\BitDefender Desktop\vsserv.exe
C:\Archivos de programa\WebRifle\TE.exe
C:\ARCHIV~1\Webshots\webshots.scr
C:\Archivos de programa\Netropa\Multimedia Keyboard\TrayMon.exe
C:\Archivos de programa\Netropa\Onscreen Display\OSD.exe
C:\Archivos de programa\Google\Google Desktop Search\GoogleDesktopIndex.exe
C:\Archivos de programa\Google\Google Desktop Search\GoogleDesktopDisplay.exe
C:\Archivos de programa\Google\Google Desktop Search\GoogleDesktopCrawl.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_DPPE03.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\cidaemon.exe
C:\WINDOWS\system32\cidaemon.exe
C:\Archivos de programa\Microsoft AntiSpyware\gcasDtServ.exe
C:\Archivos de programa\Microsoft AntiSpyware\gcasServ.exe
C:\Archivos de programa\MSN Messenger\msnmsgr.exe
C:\Archivos de programa\WinRAR\WinRAR.exe
C:\DOCUME~1\PEDROA~1\CONFIG~1\Temp\Rar$EX00.860\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://es.my.yahoo.com/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://es.my.yahoo.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Archivos de programa\Yahoo!\Companion\Installs\cpn\ycomp5_5_7_1.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {724d43a9-0d85-11d4-9908-00400523e39a} - C:\Archivos de programa\Siber Systems\AI RoboForm\RoboForm.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar1.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar1.dll
O3 - Toolbar: Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Archivos de programa\Yahoo!\Companion\Installs\cpn\ycomp5_5_7_1.dll
O3 - Toolbar: &RoboForm - {724d43a0-0d85-11d4-9908-00400523e39a} - C:\Archivos de programa\Siber Systems\AI RoboForm\RoboForm.dll
O4 - HKLM\..\Run: [RemoteControl] "C:\Archivos de programa\CyberLink\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [POP Peeper] C:\POP Peeper\POPPeeper.exe min
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [MULTIMEDIA KEYBOARD] C:\Archivos de programa\Netropa\Multimedia Keyboard\MMKeybd.exe
O4 - HKLM\..\Run: [InCD] C:\Archivos de programa\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [mspwr] C:\WINDOWS\system32\pupxpman.exe
O4 - HKLM\..\Run: [CoolSwitch] C:\WINDOWS\system32\taskswitch.exe
O4 - HKLM\..\Run: [EPSON Stylus C62 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE /P23 "EPSON Stylus C62 Series" /O6 "USB001" /M "Stylus C62"
O4 - HKLM\..\Run: [BDNewsAgent] C:\Archivos de programa\Softwin\BitDefender Desktop\bdnagent.exe
O4 - HKLM\..\Run: [BDMCon] C:\ARCHIV~1\Softwin\BITDEF~2\bdmcon.exe
O4 - HKLM\..\Run: [gcasServ] "C:\Archivos de programa\Microsoft AntiSpyware\gcasServ.exe"
O4 - HKCU\..\Run: [UIWatcher] C:\Archivos de programa\ashampoo\Ashampoo UnInstaller Suite\UIWatcher.exe
O4 - HKCU\..\Run: [Skype] "C:\Archivos de programa\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [RoboForm] "C:\Archivos de programa\Siber Systems\AI RoboForm\RoboTaskBarIcon.exe"
O4 - HKCU\..\Run: [NBJ] "C:\Archivos de programa\Ahead\Nero BackItUp\nbj.exe"
O4 - HKCU\..\Run: [Google Desktop Search] "C:\Archivos de programa\Google\Google Desktop Search\GoogleDesktop.exe" /startup
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [eMuleAutoStart] C:\Archivos de programa\eMule\emule.exe -AutoStart
O4 - Startup: Webshots.lnk = C:\Archivos de programa\Webshots\Launcher.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Inicio rápido de Adobe Reader.lnk = C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Inicio rápido de Microsoft Office OneNote 2003.lnk = C:\Archivos de programa\Microsoft Office\OFFICE11\ONENOTEM.EXE
O4 - Global Startup: Pinnacle Scheduler.lnk = ?
O4 - Global Startup: WebRifle.lnk = C:\Archivos de programa\WebRifle\TE.exe
O8 - Extra context menu item: &Google Search - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Guardar Formularios &^ - file://C:\Archivos de programa\Siber Systems\AI RoboForm\RoboFormComSavePass.html
O8 - Extra context menu item: Instantánea de caché de la página - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Personalizar &Menú - file://C:\Archivos de programa\Siber Systems\AI RoboForm\RoboFormComCustomizeIEMenu.html
O8 - Extra context menu item: Páginas similares - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmsimilar.html
O8 - Extra context menu item: Páginas vinculadas - res://C:\Archivos de programa\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Rellenar Formularios &] - file://C:\Archivos de programa\Siber Systems\AI RoboForm\RoboFormComFillForms.html
O8 - Extra context menu item: RF Barra de Herramientas &2 - file://C:\Archivos de programa\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html
O9 - Extra button: Rellenar Formularios - {320AF880-6646-11D3-ABEE-C5DBF3571F46} - file://C:\Archivos de programa\Siber Systems\AI RoboForm\RoboFormComFillForms.html
O9 - Extra 'Tools' menuitem: Rellenar Formularios &] - {320AF880-6646-11D3-ABEE-C5DBF3571F46} - file://C:\Archivos de programa\Siber Systems\AI RoboForm\RoboFormComFillForms.html
O9 - Extra button: Guardar - {320AF880-6646-11D3-ABEE-C5DBF3571F49} - file://C:\Archivos de programa\Siber Systems\AI RoboForm\RoboFormComSavePass.html
O9 - Extra 'Tools' menuitem: Guardar Formularios &^ - {320AF880-6646-11D3-ABEE-C5DBF3571F49} - file://C:\Archivos de programa\Siber Systems\AI RoboForm\RoboFormComSavePass.html
O9 - Extra button: RoboForm - {724d43aa-0d85-11d4-9908-00400523e39a} - file://C:\Archivos de programa\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html
O9 - Extra 'Tools' menuitem: RF Barra de Herramientas &2 - {724d43aa-0d85-11d4-9908-00400523e39a} - file://C:\Archivos de programa\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html
O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\ARCHIV~1\Yahoo!\MESSEN~1\YPager.exe
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\ARCHIV~1\Yahoo!\MESSEN~1\YPager.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineS...er.cab31267.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab31267.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmesse...pdownloader.cab
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Archivos de programa\Archivos comunes\Softwin\BitDefender Scan Server\bdss.exe
O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Archivos de programa\Archivos comunes\EPSON\EBAPI\SAgent2.exe
O23 - Service: InCD Helper (InCDsrv) - Ahead Software AG - C:\Archivos de programa\Ahead\InCD\InCDsrv.exe
O23 - Service: Netropa NHK Server (nhksrv) - Unknown owner - C:\Archivos de programa\Netropa\Multimedia Keyboard\nhksrv.exe
O23 - Service: ServerProxyService - Unknown owner - C:\Archivos de programa\Laplink Everywhere\ServerProxyService.exe
O23 - Service: BitDefender Virus Shield (VSSERV) - Unknown owner - C:\Archivos de programa\Softwin\BitDefender Desktop\vsserv.exe
O23 - Service: winShadow - OmniCom Technologies - C:\Archivos de programa\OmniCom\winShadow\shwSrvc.exe
O23 - Service: BitDefender Communicator (XCOMM) - Softwin - C:\Archivos de programa\Archivos comunes\Softwin\BitDefender Communicator\xcommsvr.exe

este es el log., haber si me puedes ayudar. gracias.

No veo nada malo , haz esto:
Bajar trial ewido security suite:
http://www.ewido.net/en/download/
actualizarlo acá:
http://www.ewido.net/en/download/updates/
Ejecútalo y ve que te limpie lo que encuentre, te dará un log postealo acá.
Salu2
Caito

---------------------------------------------------------Este es el reporte de lo encontrado en el analisis reaisado, siguiendo las instrucciones que me diste gracias por tu ayuda ahora que psao tengo que seguir. un saludo



ewido security suite - Scan report
---------------------------------------------------------

+ Created on: 15:10:12, 16/05/2005
+ Report-Checksum: BB5B04A8

+ Date of database: 16/05/2005
+ Version of scan engine: v3.0

+ Duration: 163 min
+ Scanned Files: 64239
+ Speed: 6.53 Files/Second
+ Infected files: 13
+ Removed files: 13
+ Files put in quarantine: 13
+ Files that could not be opened: 0
+ Files that could not be cleaned: 0

+ Binder: Yes
+ Crypter: Yes
+ Archives: Yes

+ Scanned items:
C:\

+ Scan result:
C:\Documents and Settings\Pedro Alejandro\Cookies\pedro alejandro@247realmedia[1].txt -> Spyware.Tracking-Cookie -> Cleaned with backup
C:\Documents and Settings\Pedro Alejandro\Cookies\pedro alejandro@abcsearch[1].txt -> Spyware.Tracking-Cookie -> Cleaned with backup
C:\Documents and Settings\Pedro Alejandro\Cookies\pedro alejandro@cgi-bin[1].txt -> Spyware.Tracking-Cookie -> Cleaned with backup
C:\Documents and Settings\Pedro Alejandro\Cookies\pedro alejandro@com[2].txt -> Spyware.Tracking-Cookie -> Cleaned with backup
C:\Documents and Settings\Pedro Alejandro\Cookies\pedro alejandro@prisacom[2].txt -> Spyware.Tracking-Cookie -> Cleaned with backup
C:\Documents and Settings\Pedro Alejandro\Cookies\pedro alejandro@realmedia[1].txt -> Spyware.Tracking-Cookie -> Cleaned with backup
C:\Documents and Settings\Pedro Alejandro\Cookies\pedro alejandro@real[1].txt -> Spyware.Tracking-Cookie -> Cleaned with backup
C:\Documents and Settings\Pedro Alejandro\Cookies\pedro alejandro@search.msn[1].txt -> Spyware.Tracking-Cookie -> Cleaned with backup
C:\Documents and Settings\Pedro Alejandro\Cookies\pedro alejandro@servedby.netshelter[2].txt -> Spyware.Tracking-Cookie -> Cleaned with backup
C:\Documents and Settings\Pedro Alejandro\Cookies\pedro alejandro@stat.onestat[2].txt -> Spyware.Tracking-Cookie -> Cleaned with backup
C:\Documents and Settings\Pedro Alejandro\Cookies\pedro alejandro@tribalfusion[1].txt -> Spyware.Tracking-Cookie -> Cleaned with backup
C:\Documents and Settings\Pedro Alejandro\Mis documentos\Mis archivos recibidos\MESIAS7\MESIAS7.EXE -> TrojanSpy.DakrOmen.13 -> Cleaned with backup
C:\Documents and Settings\Pedro Alejandro\Mis documentos\Mis archivos recibidos\MESIAS7.zip/MESIAS7.EXE -> TrojanSpy.DakrOmen.13 -> Cleaned with backup


::Report End

Al parecer ninguno de esos objetos que salen en el reporte te está provocando algun daño porque no parecen estar activos.

Las primeras son simples cookies y no suponen algun riesgo, elimina todas las cookies y con eso tienes. Aprovecha para eliminar tambien los archivos temporales, puedes hacerlo todo muy facilmente con el el Disk Cleaner

El troyano que te reporta está entre los archivos que has recibido con el messenger, simplemente elimina la carpeta:

C:\Documents and Settings\Pedro Alejandro\Mis documentos\Mis archivos recibidos\MESIAS7\

y el archivo:

C:\Documents and Settings\Pedro Alejandro\Mis documentos\Mis archivos recibidos\MESIAS7.zip

A no ser que el programa ya te los haya eliminado.

Tampoco es un troyano en realidad sino un keylogger, si has llegado a usar ese programa que te han enviado cambia inmediatamente todos tus passwords.

para mas informacion revisa esta pagina

gracias por la ayuda seguire las indicaciones, quiero saber si el siguiente problema que me a surgido es a consecuencias del mismo tema, resulta que e tratado de Instalar el Dr.Divx, y al tratar de instalarlo no me a parase en todos los programas ni en el panel de contros en todos los programas, y me da el error siguiente.La instruccion en 0x009d32 hace refencia a la memoria en 0x00000000.
La memoria no se puede Written, a que se debe esto y que debo hacer, gracias un saludo , no se si es a qui en este foro que tengo que solicitar ayuda o tengo que pedir ayuda otra foro de trucoswindows.

Hola, es improbable que este problema tenga algo a que ver con el keylogger, aqui tienes una posible solucion al problema.

http://www.icronticforums.com/archive/index.php/t-5387.html

en pocas palabras te dice que elimines el archivo: encodedivxext.dll