hijack log otro más

Estado
Cerrado para nuevas respuestas.

bulgaroh

Nuevo Miembro
Miembro
Logfile of HijackThis v1.99.0

Scan saved at 16:55:47, on 19/01/2005

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\System32\ctfmon.exe

C:\Archivos de programa\Messenger\msmsgs.exe

C:\Archivos de programa\Siber Systems\AI RoboForm\RoboTaskBarIcon.exe

C:\Archivos de programa\WinZip\WZQKPICK.EXE

C:\WINDOWS\System32\wuauclt.exe

C:\Archivos de programa\Browser Hijack Blaster\bhblaster.exe

C:\WINDOWS\System32\usrshutd.exe

C:\WINDOWS\System32\winmsdc.exe

C:\WINDOWS\System32\vwipxspnt.exe

C:\WINDOWS\system32\mstsc.exe

C:\Archivos de programa\Microsoft Office\Office\WINWORD.EXE

C:\HijackThis\HijackThiswww.trucoswindows.net]trucoswindows.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated)

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.trucoswindows.net/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated)

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated)

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated)

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated)

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {724d43a9-0d85-11d4-9908-00400523e39a} - C:\Archivos de programa\Siber Systems\AI RoboForm\RoboForm.dll

O2 - BHO: (no name) - {E9E228B7-14A0-47B9-9F0B-918BE51E63C4} - C:\WINDOWS\System32\msdre.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: &RoboForm - {724d43a0-0d85-11d4-9908-00400523e39a} - C:\Archivos de programa\Siber Systems\AI RoboForm\RoboForm.dll

O4 - HKLM\..\Run: [KAVPersonal50] C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe /minimize

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [RoboForm] "C:\Archivos de programa\Siber Systems\AI RoboForm\RoboTaskBarIcon.exe"

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE

O4 - Global Startup: WinZip Quick Pick.lnk = C:\Archivos de programa\WinZip\WZQKPICK.EXE

O8 - Extra context menu item: Guardar Formularios &^ - file://C:\Archivos de programa\Siber Systems\AI RoboForm\RoboFormComSavePass.html

O8 - Extra context menu item: Personalizar &Menú - file://C:\Archivos de programa\Siber Systems\AI RoboForm\RoboFormComCustomizeIEMenu.html

O8 - Extra context menu item: Rellenar Formularios &] - file://C:\Archivos de programa\Siber Systems\AI RoboForm\RoboFormComFillForms.html

O8 - Extra context menu item: RF Barra de Herramientas &2 - file://C:\Archivos de programa\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html

O9 - Extra button: Rellenar Formularios - {320AF880-6646-11D3-ABEE-C5DBF3571F46} - file://C:\Archivos de programa\Siber Systems\AI RoboForm\RoboFormComFillForms.html

O9 - Extra 'Tools' menuitem: Rellenar Formularios &] - {320AF880-6646-11D3-ABEE-C5DBF3571F46} - file://C:\Archivos de programa\Siber Systems\AI RoboForm\RoboFormComFillForms.html

O9 - Extra button: Guardar - {320AF880-6646-11D3-ABEE-C5DBF3571F49} - file://C:\Archivos de programa\Siber Systems\AI RoboForm\RoboFormComSavePass.html

O9 - Extra 'Tools' menuitem: Guardar Formularios &^ - {320AF880-6646-11D3-ABEE-C5DBF3571F49} - file://C:\Archivos de programa\Siber Systems\AI RoboForm\RoboFormComSavePass.html

O9 - Extra button: RoboForm - {724d43aa-0d85-11d4-9908-00400523e39a} - file://C:\Archivos de programa\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html

O9 - Extra 'Tools' menuitem: RF Barra de Herramientas &2 - {724d43aa-0d85-11d4-9908-00400523e39a} - file://C:\Archivos de programa\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html

O15 - Trusted Zone: http://*.63.219.181.7

O16 - DPF: {02C20140-76F8-4763-83D5-B660107B7A90} (Moniker32 Class) - http://63.219.181.7/cax.cab

O16 - DPF: {D41DA3D2-22F4-4C1A-BB7F-6BE0F18A1A0E} (PremiumRtbAdsl1 Class) - http://213.254.243.5/data/dialercab/dialer_dll1rtbadsl.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{0AF0D478-5E71-4047-A273-E4EEF81E0CD4}: NameServer = 69.50.188.180,195.225.176.31

O17 - HKLM\System\CCS\Services\Tcpip\..\{629EA522-082E-46F6-A5CD-6655BAD7B003}: NameServer = 69.50.188.180,195.225.176.31

O17 - HKLM\System\CS1\Services\Tcpip\..\{0AF0D478-5E71-4047-A273-E4EEF81E0CD4}: NameServer = 69.50.188.180,195.225.176.31

O17 - HKLM\System\CS2\Services\Tcpip\..\{0AF0D478-5E71-4047-A273-E4EEF81E0CD4}: NameServer = 69.50.188.180,195.225.176.31

O18 - Filter: text/html - {42A3E0F3-1E3F-4DFF-8398-67D9193FD546} - C:\WINDOWS\System32\mcicdb.dll

O18 - Filter: text/plain - {42A3E0F3-1E3F-4DFF-8398-67D9193FD546} - C:\WINDOWS\System32\mcicdb.dll

O23 - Service: Servicio del administrador de discos lógicos - Unknown - C:\WINDOWS\System32\dmadmin.exe

O23 - Service: Registro de sucesos - Unknown - C:\WINDOWS\system32\services.exe

O23 - Service: Servicio COM de grabación de CD de IMAPI - Unknown - C:\WINDOWS\System32\imapi.exe

O23 - Service: kavsvc - Kaspersky Lab - C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe

O23 - Service: Escritorio remoto compartido de NetMeeting - Unknown - C:\WINDOWS\System32\mnmsrvc.exe

O23 - Service: DDE de red - Unknown - C:\WINDOWS\system32\netdde.exe

O23 - Service: DSDM de DDE de red - Unknown - C:\WINDOWS\system32\netdde.exe

O23 - Service: Plug and Play - Unknown - C:\WINDOWS\system32\services.exe

O23 - Service: Administrador de sesión de Ayuda de escritorio remoto - Unknown - C:\WINDOWS\system32\sessmgr.exe

O23 - Service: Sistema de ayuda de tarjeta inteligente - Unknown - C:\WINDOWS\System32\SCardSvr.exe

O23 - Service: Tarjeta inteligente - Unknown - C:\WINDOWS\System32\SCardSvr.exe

O23 - Service: Registros y alertas de rendimiento - Unknown - C:\WINDOWS\system32\smlogsvc.exe

O23 - Service: Telnet - Unknown - C:\WINDOWS\System32\tlntsvr.exe

O23 - Service: Instantáneas de volumen - Unknown - C:\WINDOWS\System32\vssvc.exe

O23 - Service: Adaptador de rendimiento de WMI - Unknown - C:\WINDOWS\System32\wbem\wmiapsrv.exe

bye
 
A

Arwing

Guest
Hola, realiza las siguientes instrucciones.

Nota: Si desconoces algúno de los procedimientos que te pido (los remarcados en negritas), visita el siguiente enlace donde se explica acerca de esos procedimientos:Manual pasos a seguir para el uso HijackThis

Abre el Administrador de Procesos y cierra los siguientes procesos (pueden o no estar todos los que menciono):

C:\WINDOWS\System32\usrshutd.exe

C:\WINDOWS\System32\winmsdc.exe

C:\WINDOWS\System32\vwipxspnt.exe

Desactiva la Opción de Restaurar el Sistema. Una vez que tu sistema esté limpio puedes volver a activarlo.

Abre el HijackThis, cierra todos los navegadores que tengas abiertos, y selecciona las siguientes entradas (las que todavía estén presentes):

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated)

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated)

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated)

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated)

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\System32\mcicdb.dll/sp.html (obfuscated)

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank

O2 - BHO: (no name) - {E9E228B7-14A0-47B9-9F0B-918BE51E63C4} - C:\WINDOWS\System32\msdre.dll

O15 - Trusted Zone: http://*.63.219.181.7

O16 - DPF: {02C20140-76F8-4763-83D5-B660107B7A90} (Moniker32 Class) - http://63.219.181.7/cax.cab

O16 - DPF: {D41DA3D2-22F4-4C1A-BB7F-6BE0F18A1A0E} (PremiumRtbAdsl1 Class) - http://213.254.243.5/data/dialercab/dialer_dll1rtbadsl.cab

O18 - Filter: text/html - {42A3E0F3-1E3F-4DFF-8398-67D9193FD546} - C:\WINDOWS\System32\mcicdb.dll

O18 - Filter: text/plain - {42A3E0F3-1E3F-4DFF-8398-67D9193FD546} - C:\WINDOWS\System32\mcicdb.dll

Y da click en el botón "Fix Checked"

Descarga el programa Disk Cleaner y úsalo para borrar todos los archivos temporales de tu computadora.

Habilita a todas las carpetas para que Muestren Carpetas y Archivos Ocultos

Ahora busca los siguientes archivos y carpetas y bórralos:

C:\WINDOWS\System32\usrshutd.exe

C:\WINDOWS\System32\winmsdc.exe

C:\WINDOWS\System32\vwipxspnt.exe

C:\WINDOWS\System32\msdre.dll

C:\WINDOWS\System32\mcicdb.dll

Puedes optimizar un poco más tu sistema si desactivas algúnos programas no indispensables o no requeridos que se ejecutan al arrancar tu sistema (todos estos programas son legales, pero no tiene caso que arranquen si sólo gastan recursos y no los usamos).

Abre el msconfig (Inicio >> Ejecutar >> msconfig) y en la pesaña Inicio puedes desmarcar los siguientes:

MSN Messenger

RoboForm

O si no, con el mismo HijackThis puedes marcarlas, vendrían siendo estas:

O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [RoboForm] "C:\Archivos de programa\Siber Systems\AI RoboForm\RoboTaskBarIcon.exe"

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE

O4 - Global Startup: WinZip Quick Pick.lnk = C:\Archivos de programa\WinZip\WZQKPICK.EXE

Reinicia el sistema, pruébalo y dime si ha mejorado. Postea otro Log para ver si tu sistema ha quedado limpio de malware.

Saludos

Arwing
 

bulgaroh

Nuevo Miembro
Miembro
muchas gracias

muy amable

has solucionado el problema del pc de mi compañero

un saludo y gracais! xDD
 
Estado
Cerrado para nuevas respuestas.
Arriba Pie