Arwing:
Antes que nada muchas gracias por tu respuesta.
Hice lo indicado por ti.
Al respecto, te comento que el archivo hpws.exe lo eliminé pero al ejecutar de nuevo el hijackthis nuevamente aparece. Creo que se trata de un archivo asociado al controlador de la impresora que tengo como predeterminada , hp deskjet 670c (una reliquia).
hasta ahora, navego sin problemas, los mensajes de advertencia de virus han desaparecido.
Es de esperar que esto siga así.
De todos modos, creo que respaldaré y aplicaré formateo. Trabajo implementado ERP (FlexlineERP, Nodum ERP, MS Great Plains), por lo que con mi laptop estoy permanentemente conectado a distintas redes de clientes de mi cartera.
Creo que me contagié en el servidor del proveedor de ADSL. Antes estaba con otro , y desde el minuto que me conecté a este nuevo proveedor, empezaron los problemas.
Una vez más , gracias por tu apoyo.
Finalmente,detallo nuevo log.
Si ves algo raro, me lo indicas. Una vez más , muchas gracias.
Logfile of HijackThis v1.99.1
Scan saved at 20:07:03, on 02/08/2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe
C:\WINDOWS\System32\cisvc.exe
C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\ARCHIV~1\MI6841~1\MSSQL\binn\sqlservr.exe
C:\Archivos de programa\Microsoft Analysis Services\Bin\msmdsrv.exe
C:\Archivos de programa\Norton AntiVirus\navapsvc.exe
C:\Archivos de programa\Norton AntiVirus\SAVScan.exe
C:\WINDOWS\System32\svchost.exe
C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe
C:\ARCHIV~1\MI6841~1\MSSQL\binn\sqlagent.exe
C:\Archivos de programa\Archivos comunes\Symantec Shared\Security Center\SymWSC.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\s3hotkey.exe
C:\WINDOWS\system32\S3Tray2.exe
C:\Archivos de programa\Apoint2K\Apoint.exe
C:\WINDOWS\System32\00THotkey.exe
C:\Archivos de programa\TOSHIBA\TOSHIBA Controls\TFncKy.exe
C:\Archivos de programa\Apoint2K\Apntex.exe
C:\WINDOWS\system32\TFNF5.exe
C:\Archivos de programa\TOSHIBA\TouchED\TouchED.Exe
C:\WINDOWS\system32\TPWRTRAY.EXE
C:\toshiba\ivp\ism\pinger.exe
C:\toshiba\sysstability\tsyssmon.exe
C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe
C:\Archivos de programa\Tech\Wheel Mouse\5.0\MOUSE32A.EXE
C:\Archivos de programa\MUSICMATCH\MUSICMATCH Jukebox\mmtask.exe
C:\Archivos de programa\MSN Apps\Updater\01.02.3000.1001\es-la\msnappau.exe
C:\Archivos de programa\Java\jre1.5.0_01\bin\jusched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Archivos de programa\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe
C:\Archivos de programa\InterVideo\Common\Bin\WinCinemaMgr.exe
C:\HIJA\HijackThis_1.99.1.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
http://www.emol.cl/R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL =
http://www.toshiba.comR0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Archivos de programa\MSN Apps\ST\01.03.0000.1005\en-xu\stmain.dll
O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Archivos de programa\MSN Apps\MSN Toolbar\01.02.4000.1001\es-la\msntb.dll
O2 - BHO: CNavExtBho Class - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Archivos de programa\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Archivos de programa\MSN Apps\MSN Toolbar\01.02.4000.1001\es-la\msntb.dll
O4 - HKLM\..\Run: [S3Hotkey] s3hotkey.exe
O4 - HKLM\..\Run: [S3TRAY2] S3Tray2.exe
O4 - HKLM\..\Run: [Apoint] C:\Archivos de programa\Apoint2K\Apoint.exe
O4 - HKLM\..\Run: [00THotkey] C:\WINDOWS\System32\00THotkey.exe
O4 - HKLM\..\Run: [000StTHK] 000StTHK.exe
O4 - HKLM\..\Run: [TFncKy] TFncKy.exe /Type 20
O4 - HKLM\..\Run: [TFNF5] TFNF5.exe
O4 - HKLM\..\Run: [TouchED] C:\Archivos de programa\TOSHIBA\TouchED\TouchED.Exe
O4 - HKLM\..\Run: [Tpwrtray] TPWRTRAY.EXE
O4 - HKLM\..\Run: [Pinger] c:\toshiba\ivp\ism\pinger.exe /run
O4 - HKLM\..\Run: [TSysSMon] c:\toshiba\sysstability\tsyssmon.exe /detect
O4 - HKLM\..\Run: [ccApp] "C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [LWBMOUSE] C:\Archivos de programa\Tech\Wheel Mouse\5.0\MOUSE32A.EXE
O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [WinVNC] "C:\Archivos de programa\TightVNC\WinVNC.exe" -servicehelper
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\ARCHIV~1\SYMNET~1\SNDMon.exe /Consumer
O4 - HKLM\..\Run: [EasyMessage] "C:\Archivos de programa\Zango Messenger\em2.exe" -wait
O4 - HKLM\..\Run: [mmtask] C:\Archivos de programa\MUSICMATCH\MUSICMATCH Jukebox\mmtask.exe
O4 - HKLM\..\Run: [msnappau] "C:\Archivos de programa\MSN Apps\Updater\01.02.3000.1001\es-la\msnappau.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Archivos de programa\Java\jre1.5.0_01\bin\jusched.exe
O4 - HKLM\..\Run: [TrojanScanner] C:\Archivos de programa\Trojan Remover\Trjscan.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Win Drivers SSL] hpws.exe
O4 - HKCU\..\RunServices: [Win Drivers SSL] hpws.exe
O4 - Global Startup: Administrador de servicios.lnk = C:\Archivos de programa\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe
O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Archivos de programa\InterVideo\Common\Bin\WinCinemaMgr.exe
O4 - Global Startup: Monitor de conectividad del cliente del servidor de seguridad.LNK = C:\Archivos de programa\Microsoft Firewall Client\ISATRAY.EXE
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O14 - IERESET.INF: START_PAGE_URL=http://www.toshiba.com
O16 - DPF: {11260943-421B-11D0-8EAC-0000C07D88CF} (iPIX ActiveX Control) -
http://www.ipix.com/viewers/ipixx.cabO16 - DPF: {31E68DE2-5548-4B23-88F0-C51E6A0F695E} (Microsoft PID Sniffer) -
https://support.microsoft.com/OAS/ActiveX/odc.cabO16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) -
http://spaces.msn.com//PhotoUpload/MsnPUpld.cabO16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) -
http://update.microsoft.com/windowsupdate/...b?1120788525079O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) -
http://www.bitdefender-es.com/scan/Msie/bitdefender.cabO16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) -
http://www.pandasoftware.com/activescan/as5free/asinst.cabO16 - DPF: {AB86CE53-AC9F-449F-9399-D8ABCA09EC09} (Get_ActiveX Control) -
https://h17000.www1.hp.com/ewfrf-JAVA/Secur...loadManager.ocxO16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) -
http://messenger.msn.com/download/MsnMesse...pDownloader.cabO17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = flexline.cl
O17 - HKLM\Software\..\Telephony: DomainName = flexline.cl
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = flexline.cl
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = flexline.cl
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe
O23 - Service: FlexlineERP - - c:\flexlineservidor\flexlineerp\comunes\servicios flexlineerp\flexlineerp.exe
O23 - Service: MAPI Mail Client (MAPI) - Unknown owner - c:\WJNG.exe (file missing)
O23 - Service: Servicio Auto-Protect de Norton AntiVirus (navapsvc) - Symantec Corporation - C:\Archivos de programa\Norton AntiVirus\navapsvc.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Archivos de programa\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\ARCHIV~1\ARCHIV~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\SNDSrvc.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Archivos de programa\Archivos comunes\Symantec Shared\Security Center\SymWSC.exe
****************************************************************
QUOTE(Arwing @ Aug 2 2005, 06:16 AM)
Hola, dime, ¿conoces estos programas?
c:\flexlineservidor\flexlineerp\comunes\servicios flexlineerp\flexlineerp.exe
c:\WJNG.exe
Me parece que el primero sí debes conocerlo, pero del segundo tengo mis dudas.
Sería recomendable que tuvieras a mano estas instrucciones sin necesidad de estar en línea mientras las realizas, si lo prefieres imprime estas instrucciones (te recomiendo usar el botón Imprimir de este post).
Nota: Si desconoces alguno de los procedimientos que te pido (generalmente los remarcados en negritas), visita uno de los siguientes enlaces donde se explica más detalladamente esos procedimientos:
http://www.arwinianos.net/foro/index.php?topic=39http://www.trucoswindows.net/foro/showtopic-25181.htmlDescarga los siguientes programas en la misma carpeta que HijackThis:
Disk CleanerDesactiva la Opción de
Restaurar el Sistema. Una vez que tu sistema esté limpio puedes volver a activarlo.
Habilita a todas las carpetas para que
Muestren Carpetas y Archivos OcultosReinicia en
Modo Seguro.
Abre HijackThis, asegúrate que sea el único programa abierto en la Barra de Tareas y selecciona las siguientes entradas (las que estén presentes):
O4 - HKLM\..\Run: [Win Drivers SSL] hpws.exe
O4 - HKLM\..\Run: [MSN Message Background loader] msnmesgr.exe
O4 - HKLM\..\RunServices: [Win Drivers SSL] hpws.exe
O4 - HKLM\..\RunServices: [MSN Message Background loader] msnmesgr.exe
O9 - Extra button: Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\Archivos de programa\Yahoo!\Messenger\yhexbmese1.dll (file missing)
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\Archivos de programa\Yahoo!\Messenger\yhexbmese1.dll (file missing)
O23 - Service: DirectX Graphics (dxdmain) - Unknown owner - C:\WINDOWS\system32\dxdmain.exe (file missing)
O23 - Service: UDP Sub Packet Classifier (UDPSPC) - Unknown owner - C:\WINDOWS\msudpspc.exeY da click en el botón "Fix Checked"
Borra todos los archivos temporales con
Disk Cleaner.
Ahora dirígete a Inicio >> Ejecutar >> services.msc >> e identifica los siguientes servicios:
DirectX Graphics (dxdmain) - Unknown owner - C:\WINDOWS\system32\dxdmain.exe (file missing)
UDP Sub Packet Classifier (UDPSPC) - Unknown owner - C:\WINDOWS\msudpspc.exe
Da click derecho sobre ellos y selecciona Propiedades, si el servicio está Iniciado, entonces deténlo y cambia su tipo de inicio a Deshabilitado y acepta.
Ahora con HijackThis ve a Config >> Misc Tools >> Delete a NT Service y escribes el nombre del servicio:
dxdmain
UDPSPC
Y aceptas.
Ahora busca los siguientes archivos y/o carpetas y bórralos (puede que no existan algunos):
O4 - HKLM\..\Run: [Win Drivers SSL] hpws.exe
O4 - HKLM\..\Run: [MSN Message Background loader] msnmesgr.exe
O4 - HKLM\..\RunServices: [Win Drivers SSL] hpws.exe
O4 - HKLM\..\RunServices: [MSN Message Background loader] msnmesgr.exe
O9 - Extra button: Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\Archivos de programa\Yahoo!\Messenger\yhexbmese1.dll (file missing)
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\Archivos de programa\Yahoo!\Messenger\yhexbmese1.dll (file missing)
O23 - Service: DirectX Graphics (dxdmain) - Unknown owner - C:\WINDOWS\system32\dxdmain.exe (file missing)
O23 - Service: UDP Sub Packet Classifier (UDPSPC) - Unknown owner - C:\WINDOWS\msudpspc.exe
Reinicia el sistema y pruébalo, dime si ha mejorado. Postea otro Log para ver si tu sistema ha quedado limpio de malware.
Saludos
Arwing
trojan.cachecachekit, cómo lo elimino?????
Aug 2 2005, 05:50 AM
