Foros de Windows y Seguridad Informática: Infectado con PSGUARD written by ciemer

Hola!!


Es la primera vez que paso por este foro, pero bueno leí que lo primero es pasarse el hijack este asi k aki os dejo el log...

Logfile of HijackThis v1.99.1
Scan saved at 13:29:58, on 15/10/2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Archivos de programa\Cisco Systems\VPN Client\cvpnd.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Archivos de programa\WIDCOMM\Software Bluetooth\bin\btwdins.exe
C:\ARCHIV~1\SYMANT~1\SYMANT~1\DefWatch.exe
C:\WINDOWS\SYSTEM32\DNTUS26.EXE
C:\WINDOWS\SYSTEM32\DWRCS.EXE
C:\ARCHIV~1\Iomega\System32\AppServices.exe
C:\ARCHIV~1\SYMANT~1\SYMANT~1\Rtvscan.exe
C:\WINDOWS\Explorer.EXE
C:\SNA\system\DDMSERV.EXE
C:\Archivos de programa\Analog Devices\SoundMAX\SMAgent.exe
C:\Archivos de programa\Symantec_Client_Security\Symantec AntiVirus\vptray.exe
C:\WINDOWS\System32\igfxtray.exe
C:\WINDOWS\System32\hkcmd.exe
C:\WINDOWS\AGRSMMSG.exe
C:\Archivos de programa\Synaptics\SynTP\SynTPLpr.exe
C:\Archivos de programa\Synaptics\SynTP\SynTPEnh.exe
C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe
C:\Archivos de programa\CyberLink\PowerDVD\PDVDServ.exe
C:\Archivos de programa\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe
C:\Archivos de programa\QuickTime\qttask.exe
C:\Archivos de programa\Iomega HotBurn Pro\Autolaunch.exe
C:\Program Files\Media Gateway\MediaGateway.exe
C:\Archivos de programa\MessengerPlus! 3\MsgPlus.exe
C:\Archivos de programa\MSN Messenger\MsnMsgr.Exe
C:\Archivos de programa\WIDCOMM\Software Bluetooth\BTTray.exe
C:\Archivos de programa\Microsoft Office\Office\3082\OLFSNT40.EXE
C:\Archivos de programa\Archivos comunes\Sonic Shared\cinetray.exe
C:\Archivos de programa\WinZip\WZQKPICK.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\rundll32.exe
C:\DOCUME~1\Finanzas\CONFIG~1\Temp\dcld.exe
C:\DOCUME~1\Finanzas\CONFIG~1\Temp\3818620.exe
C:\WINDOWS\System32\sysvcs.exe
C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE
C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE
C:\DOCUME~1\Finanzas\CONFIG~1\Temp\Rar$EX00.606\HJT\HijackThis[www.trucoswindows.net].exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOCUME~1\Finanzas\CONFIG~1\Temp\se.dll/space.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.hp.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOCUME~1\Finanzas\CONFIG~1\Temp\se.dll/space.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = http://proxy.ib.geda...g:8080/seat.pac
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SABHO - {21B4ACC4-8874-4AEC-AEAC-F567A249B4D4} - c:\archivos de programa\zango\zangohook.dll (file missing)
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar2.dll
O2 - BHO: (no name) - {B08E630C-3353-4405-95AF-310B447931DC} - C:\WINDOWS\System32\ojoc.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar2.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [Cpqset] C:\Archivos de programa\HPQ\Default Settings\cpqset.exe
O4 - HKLM\..\Run: [PreloadApp] c:\hp\drivers\printers\photosmart\hphprld.exe c:\hp\drivers\printers\photosmart\setup.exe -d
O4 - HKLM\..\Run: [srmclean] C:\Cpqs\Scom\srmclean.exe
O4 - HKLM\..\Run: [vptray] C:\Archivos de programa\Symantec_Client_Security\Symantec AntiVirus\vptray.exe
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Archivos de programa\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Archivos de programa\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [Windows Update] C:\WINDOWS\System32\ysuyykz.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [RemoteControl] "C:\Archivos de programa\CyberLink\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [AdaptecDirectCD] "C:\Archivos de programa\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Drag'n'Drop_Autolaunch] "C:\Archivos de programa\Iomega HotBurn Pro\Autolaunch.exe"
O4 - HKLM\..\Run: [UpdateManager] "C:\Archivos de programa\Archivos comunes\Sonic\Update Manager\sgtray.exe" /r
O4 - HKLM\..\Run: [Media Gateway] C:\Program Files\Media Gateway\MediaGateway.exe
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Archivos de programa\MessengerPlus! 3\MsgPlus.exe"
O4 - HKLM\..\Run: [sp] rundll32 C:\DOCUME~1\Finanzas\CONFIG~1\Temp\se.dll,DllInstall
O4 - HKLM\..\Run: [P.S.Guard] C:\Archivos de programa\P.S.Guard\PSGuard.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Archivos de programa\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [aupd] C:\WINDOWS\System32\sysvcs.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: BTTray.lnk = ?
O4 - Global Startup: Cisco Systems VPN Client.lnk = C:\Archivos de programa\Cisco Systems\VPN Client\ipsecdialer.exe
O4 - Global Startup: Puerto Symantec Fax Starter Edition.lnk = C:\Archivos de programa\Microsoft Office\Office\3082\OLFSNT40.EXE
O4 - Global Startup: Sonic CinePlayer Quick Launch.lnk = ?
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Archivos de programa\WinZip\WZQKPICK.EXE
O8 - Extra context menu item: &Google Search - res://c:\archivos de programa\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: &Translate English Word - res://c:\archivos de programa\google\GoogleToolbar2.dll/cmwordtrans.html
O8 - Extra context menu item: Backward Links - res://c:\archivos de programa\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Cached Snapshot of Page - res://c:\archivos de programa\google\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: Similar Pages - res://c:\archivos de programa\google\GoogleToolbar2.dll/cmsimilar.html
O8 - Extra context menu item: Translate Page into English - res://c:\archivos de programa\google\GoogleToolbar2.dll/cmtrans.html
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O14 - IERESET.INF: START_PAGE_URL=http://www.hp.com
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://spaces.msn.co...ad/MsnPUpld.cab
O16 - DPF: {8FCDF9D9-A28B-480F-8C3D-581F119A8AB8} - http://static.zangoc.../bridge-c32.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn...pDownloader.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{04F1DFE0-6702-4F12-8D22-91830512C53F}: NameServer = 10.202.100.100,10.201.147.10
O17 - HKLM\System\CCS\Services\Tcpip\..\{BCEA1C31-3F1A-439A-9017-60916EE4BF64}: NameServer = 10.202.100.100,10.201.147.10
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: SearchList = seat.es,seat.vwg,es.gedas-grp
O17 - HKLM\System\CS1\Services\Tcpip\..\{04F1DFE0-6702-4F12-8D22-91830512C53F}: NameServer = 10.202.100.100,10.201.147.10
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: SearchList = seat.es,seat.vwg,es.gedas-grp
O17 - HKLM\System\CS2\Services\Tcpip\..\{04F1DFE0-6702-4F12-8D22-91830512C53F}: NameServer = 10.202.100.100,10.201.147.10
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: SearchList = seat.es,seat.vwg,es.gedas-grp
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\ARCHIV~1\MSNMES~1\msgrapp.dll" (file missing)
O18 - Filter: text/html - {B8BEE636-01C1-499C-ADAF-0ACC74F23F6B} - C:\WINDOWS\System32\ojoc.dll
O18 - Filter: text/plain - {B8BEE636-01C1-499C-ADAF-0ACC74F23F6B} - C:\WINDOWS\System32\ojoc.dll
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O20 - Winlogon Notify: NavLogon - C:\WINDOWS\System32\NavLogon.dll
O20 - Winlogon Notify: waxw2k - C:\WINDOWS\SYSTEM32\waxw2k.dll
O23 - Service: Bluetooth Service (btwdins) - Unknown owner - C:\Archivos de programa\WIDCOMM\Software Bluetooth\bin\btwdins.exe
O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Archivos de programa\Cisco Systems\VPN Client\cvpnd.exe
O23 - Service: DefWatch - Symantec Corporation - C:\ARCHIV~1\SYMANT~1\SYMANT~1\DefWatch.exe
O23 - Service: DameWare NT Utilities 2.6 (DNTUS26) - DameWare Development - C:\WINDOWS\SYSTEM32\DNTUS26.EXE
O23 - Service: DameWare Mini Remote Control (DWMRCS) - DameWare Development - C:\WINDOWS\SYSTEM32\DWRCS.EXE
O23 - Service: Iomega App Services - Iomega Corporation - C:\ARCHIV~1\Iomega\System32\AppServices.exe
O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Archivos de programa\Archivos comunes\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: Symantec AntiVirus Client (Norton AntiVirus Server) - Symantec Corporation - C:\ARCHIV~1\SYMANT~1\SYMANT~1\Rtvscan.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Archivos de programa\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: wampapache - Unknown owner - D:\wamp\apache\Apache.exe" --ntservice (file missing)
O23 - Service: wampmysqld - Unknown owner - D:\wamp\mysql\bin\mysqld-nt.exe





----------------
Bueno pues ahora el caso eske estoy infectado con el PSGUARD y me tiene ya cabreado xk el otro ordenador (tengo 2) tb esta infectado con lo mismo :S
pero bueno ya lo daba todo por perdido pero he leido que sabeis como quitarlo o.O

gracias de antemano

Pasar un buen antivirus on line, luego ejecuta el AdAware Se o el Microsoft Antispyware (actualizados).
Y el Disk Cleaner para borrar:
Archivos Temp. de Internet,Temp. de Sistema,cookies,historial , etc.
disk cleaner
http://www.trucoswin...aner_1.5.5.html

Limpiar el Registro:
http://www.hoverdesk...n/RegSeeker.zip

Antivirus on line:
http://housecall.trendmicro.com/
http://www.pandasoft...n_principal.htm
http://www.avast.com...wn_cleaner.html
http://www.kaspersky...oduct=161744315
http://www.bitdefender.com/scan8/
http://www.ravantivirus.com/scan/
http://www.windowsec...com/trojanscan/
Bajar AdAwareSe 1.06 :
http://www.trucoswin...rsonal_106.html
Actualizarlo al 12/10/05
Bajar ewido security suite:
http://www.ewido.net/en/download/
Actualizarlo acá :
http://www.ewido.net...wnload/updates/

configurarlo así:

• During the installation, under "Additional Options" uncheck "Install background guard" and "Install scan via context menu".
• Launch ewido, there should be a big E icon on your desktop, double-click it.
• The program will prompt you to update click the OK button
• The program will now go to the main screen
You will need to update ewido to the latest definition files.
• On the left hand side of the main screen click update
• Click on Start
The update will start and a progress bar will show the updates being installed.

Once the updates are installed do the following:
• Reboot into Safe Mode, you can do this by restarting your computer, then contiunally tapping F8 until a menu appears. Use your up arrow key to highlight Safe Mode, then hit enter. Then, run Ewido.
• Click on scanner
• Make sure the following boxes are checked before scanning:
o Binder
o Crypter
o Archives
• Click on Start Scan
• Let the program scan the machine
While the scan is in progress you will be prompted to clean files, click OK

Once the scan has completed, there will be a button located on the bottom of the screen named Save report
• Click Save report
• Save the report to your desktop

limpias con este programa, reinicias y pon el reporte de éste y un nuevo log del hijack
Salu2
Caito

cuando voy ha hacer un scan online me dice que mi configuracion actual no permite controles active X algo asi ..:S

Imprime o copia estas indicaciones!!!

Si no sabes cómo hacer algunos de los procedimientos mira esto:
http://www.trucoswin...opic-25181.html

Esto es muy importante : ( SI TE SALTEAS ESTE PASO TE RECOMIENDO QUE NO HAGAS NADA )

Antes que nada guarda el Hijack en su propia carpeta por ej: C>Limpiar>Hijack

Luego :

Baja este programa:
disk cleaner

http://www.trucoswin...aner_1.5.5.html

Y el AdAware Se 1.06 :

http://www.trucoswin...rsonal_106.html
Actualízalo al 12/10/05

Bajar ewido security suite:

http://www.ewido.net/en/download/

actualizarlo acá:
http://www.ewido.net...wnload/updates/

configurarlo así:

• During the installation, under "Additional Options" uncheck "Install background guard" and "Install scan via context menu".
• Launch ewido, there should be a big E icon on your desktop, double-click it.
• The program will prompt you to update click the OK button
• The program will now go to the main screen
You will need to update ewido to the latest definition files.
• On the left hand side of the main screen click update
• Click on Start
The update will start and a progress bar will show the updates being installed.

Once the updates are installed do the following:
• Reboot into Safe Mode, you can do this by restarting your computer, then contiunally tapping F8 until a menu appears. Use your up arrow key to highlight Safe Mode, then hit enter. Then, run Ewido.
• Click on scanner
• Make sure the following boxes are checked before scanning:
o Binder
o Crypter
o Archives
• Click on Start Scan
• Let the program scan the machine
While the scan is in progress you will be prompted to clean files, click OK

Once the scan has completed, there will be a button located on the bottom of the screen named Save report
• Click Save report
• Save the report to your desktop

Desconéctate físicamente de Internet (cables,ADSL, o Dial Up modem a tu PC )

Desactiva Restaurar Sistema (si tienes ME o XP )
Reinicia en Modo seguro o A prueba de Fallos
Haz que se vean todos los archivos.
Cierra todas las aplicaciones
Lanza el Hijack
Busca “Open the Misc Tools Section"
Selecciona "Open process manager"
Busca los siguientes procesos:

ysuyykz.exe
MediaGateway.exe
PSGuard.exe
sysvcs.exe

Y uno a uno termina estos procesos clickeando "Kill process" y “Yes”
Cuando terminas con todos clickea "Back"
Scan y luego Fix a estas:

C:\Program Files\Media Gateway\MediaGateway.exe
C:\WINDOWS\System32\sysvcs.exe
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOCUME~1\Finanzas\CONFIG~1\Temp\se.dll/space.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOCUME~1\Finanzas\CONFIG~1\Temp\se.dll/space.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
O2 - BHO: SABHO - {21B4ACC4-8874-4AEC-AEAC-F567A249B4D4} - c:\archivos de programa\zango\zangohook.dll (file missing)
O2 - BHO: (no name) - {B08E630C-3353-4405-95AF-310B447931DC} - C:\WINDOWS\System32\ojoc.dll
O4 - HKLM\..\Run: [Windows Update] C:\WINDOWS\System32\ysuyykz.exe
O4 - HKLM\..\Run: [Media Gateway] C:\Program Files\Media Gateway\MediaGateway.exe
O4 - HKLM\..\Run: [sp] rundll32 C:\DOCUME~1\Finanzas\CONFIG~1\Temp\se.dll,DllInstall
O4 - HKLM\..\Run: [P.S.Guard] C:\Archivos de programa\P.S.Guard\PSGuard.exe
O4 - HKCU\..\Run: [aupd] C:\WINDOWS\System32\sysvcs.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O16 - DPF: {8FCDF9D9-A28B-480F-8C3D-581F119A8AB8} - http://static.zangoc.../bridge-c32.cab
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\ARCHIV~1\MSNMES~1\msgrapp.dll" (file missing)
O18 - Filter: text/html - {B8BEE636-01C1-499C-ADAF-0ACC74F23F6B} - C:\WINDOWS\System32\ojoc.dll
O18 - Filter: text/plain - {B8BEE636-01C1-499C-ADAF-0ACC74F23F6B} - C:\WINDOWS\System32\ojoc.dll
O20 - Winlogon Notify: waxw2k - C:\WINDOWS\SYSTEM32\waxw2k.dll

Cierra el Hijack.
Busca estos archivos y los eliminas: (pueden no estar )

C:\Program Files\Media Gateway
C:\WINDOWS\System32\sysvcs.exe
C:\DOCUME~1\Finanzas\CONFIG~1\Temp\se.dll
C:\WINDOWS\System32\ojoc.dll
C:\WINDOWS\System32\ysuyykz.exe
C:\WINDOWS\SYSTEM32\waxw2k.dll

Busca estas carpetas y elimínalas:

C:\Archivos de programa\P.S.Guard

Borra con el Disk Cleaner :Archivos Temp. de Internet,Temp. de Sistema,cookies,historial , etc.
Vacía la Papelera
Lanza el AdAware Se 1.06 actualizado al 12/10/05 y el ewido

Reinicia normal, conecta Internet y pega el reporte del Ewido y un nuevo log del hijack.
Salu2
Caito
Pd: sabes a qué se refieren estos archivos ?y el Plus lo instalaste sin aceptar la publicidad ?

C:\DOCUME~1\Finanzas\CONFIG~1\Temp\dcld.exe
C:\DOCUME~1\Finanzas\CONFIG~1\Temp\3818620.exe

pd2: por lo de los Active X , mira esto:
http://img438.images.../activex7ya.jpg

bueno antes que nada, agradecer a caito por la ayuda que mes esta prestando con este maldito viruss..
ahora vamos a x el asunto...
mira yo al principio tenia estos síntomas de infección::

-Canvio del deskopt
-En la barra de windows (allado de la hora) me salia un icono que me podia descargar un antyspyware
-Ordenador Muy realentizado
-Internet no cargaba las páginas,
-Se me ponía como página de inicio -> about:blank

Situación ahora:
-El deskopt sigue canviado
-El ordenador ya va un poco más rápido
-Puedo conectarme a internet
-Ya he eliminado el icono ese (el k salía al lado de la hora)

Diría que más o menos esto, ahora -> voy a seguir tus pasos que me has puesto pero ya me quede en el primero..xDD eso de volverlo a su carpeta... :S da= si en el 1 punto simplemente elimino el hijack?


--
edited.

P.D. -> scaneando con un programa en busca de spyware me salio una .dll k se llamaba se.dll pero ponia k no lo podia eliminar, lo intenta manualmente y tmpk, y desde ese momento cuando abría ie me ponia -> error al cargar troyano se.dll (algo parecido no recuerdo bien...)
asi que lo que hice fue -> cmd, regsvr32 /u se.dll y ahora funciona bien ie

Eliminas el que bajaste antes y el nuevo lo guardas en su propia carpeta ?
OK.
Salu2
Caito