Malware Removal Forums

LOG

19 min read

Sebasmobile

November 21, 2008, 2:08 PM UTC

Hi everybody, I put here the HijackThis log:
I have a fake AV, its opens when I'm using iexplore o Firefox and shows a pop up thats said about some infection ....

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 11:53:03, on 21/11/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Archivos de programa\cvsnt\cvsservice.exe
C:\Archivos de programa\cvsnt\cvslock.exe
C:\Archivos de programa\Trend Micro\OfficeScan Client\ntrtscan.exe
C:\Archivos de programa\Archivos comunes\Protexis\License Service\PsiService_2.exe
C:\WINDOWS\Explorer.EXE
C:\Archivos de programa\Trend Micro\OfficeScan Client\tmlisten.exe
C:\Archivos de programa\WireLessDeployer\WireLessDeployerAgent.exe
C:\Archivos de programa\WireLessDesigner\WS_Bin\WSServerSvc.exe
C:\Archivos de programa\WireLessDesigner\WS_Bin_V4\WSServerSvcV4.exe
C:\Archivos de programa\WireLessDesigner\WS_Bin\WSStarterSvc.exe
C:\Archivos de programa\WireLessDesigner\WS_Bin_V4\WSStarterSvcV4.exe
C:\Archivos de programa\Trend Micro\OfficeScan Client\pccntmon.exe
C:\WINDOWS\system32\pctspk.exe
C:\Archivos de programa\Archivos comunes\InstallShield\UpdateService\issch.exe
C:\Archivos de programa\ACT\Act for Windows\Act.Outlook.Service.exe
C:\WINDOWS\tsnp2std.exe
C:\Archivos de programa\Microsoft ActiveSync\Wcescomm.exe
C:\Archivos de programa\Windows Live\Messenger\MsnMsgr.Exe
C:\Documents and Settings\Sebastian\Configuración local\Datos de programa\Google\Update\GoogleUpdate.exe
C:\WINDOWS\system32\ctfmon.exe
C:\ARCHIV~1\MICROS~4\rapimgr.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\System32\svchost.exe
C:\Documents and Settings\Sebastian\Configuración local\Datos de programa\Google\Chrome\Application\chrome.exe
C:\Archivos de programa\Trend Micro\OfficeScan Client\pccntupd.exe
C:\Archivos de programa\Windows Live\Messenger\usnsvc.exe
C:\Archivos de programa\Trend Micro\OfficeScan Client\Pop3Trap.exe
C:\Archivos de programa\Microsoft Office\Office12\OUTLOOK.EXE
C:\wamp\wampmanager.exe
c:\wamp\bin\mysql\mysql5.0.51b\bin\mysqld-nt.exe
c:\wamp\bin\apache\apache2.2.8\bin\httpd.exe
C:\wamp\bin\apache\apache2.2.8\bin\httpd.exe
C:\Documents and Settings\Sebastian\Configuración local\Datos de programa\Google\Chrome\Application\chrome.exe
C:\Archivos de programa\Photoshop\Portable_PS_8.exe
C:\Archivos de programa\Photoshop\Photoshop\Photoshop.exe
C:\WINDOWS\system32\svchost.exe
C:\Documents and Settings\Sebastian\Configuración local\Datos de programa\Google\Chrome\Application\chrome.exe
C:\Archivos de programa\Winamp\winamp.exe
C:\WINDOWS\system32\notepad.exe
C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE
C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WLLoginProxy.exe
C:\Documents and Settings\Sebastian\Configuración local\Datos de programa\Google\Chrome\Application\chrome.exe
C:\Documents and Settings\Sebastian\Configuración local\Datos de programa\Google\Chrome\Application\chrome.exe
C:\Archivos de programa\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.busca7.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O4 - HKLM\..\Run: [OfficeScanNT Monitor] "C:\Archivos de programa\Trend Micro\OfficeScan Client\pccntmon.exe" -HideWindow
O4 - HKLM\..\Run: [PCTVOICE] pctspk.exe
O4 - HKLM\..\Run: [ISUSPM Startup] C:\ARCHIV~1\ARCHIV~1\INSTAL~1\UPDATE~1\ISUSPM.exe -startup
O4 - HKLM\..\Run: [ISUSScheduler] "C:\Archivos de programa\Archivos comunes\InstallShield\UpdateService\issch.exe" -start
O4 - HKLM\..\Run: [Act.Outlook.Service] "C:\Archivos de programa\ACT\Act for Windows\Act.Outlook.Service.exe"
O4 - HKLM\..\Run: [Act! Preloader] "C:\Archivos de programa\ACT\Act for Windows\ActSage.exe" -preload
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Archivos de programa\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [tsnp2std] C:\WINDOWS\tsnp2std.exe
O4 - HKCU\..\Run: [Skype] "C:\Archivos de programa\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Archivos de programa\Microsoft ActiveSync\Wcescomm.exe"
O4 - HKCU\..\Run: [MsnMsgr] "C:\Archivos de programa\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [Google Update] "C:\Documents and Settings\Sebastian\Configuración local\Datos de programa\Google\Update\GoogleUpdate.exe" /c
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICIO LOCAL')
O4 - HKUS\S-1-5-19\..\RunOnce: [nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'SERVICIO LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Servicio de red')
O4 - HKUS\S-1-5-20\..\RunOnce: [nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'Servicio de red')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'Default user')
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\ARCHIV~1\MICROS~1\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\ARCHIV~1\MICROS~4\INetRepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\ARCHIV~1\MICROS~4\INetRepl.dll
O9 - Extra 'Tools' menuitem: Create Mobile Favorite... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\ARCHIV~1\MICROS~4\INetRepl.dll
O9 - Extra button: Attach Web page to ACT! contact - {6F431AC3-364A-478b-BBDB-89C7CE1B18F6} - mscoree.dll (file missing)
O9 - Extra 'Tools' menuitem: Attach Web page to ACT! contact... - {6F431AC3-364A-478b-BBDB-89C7CE1B18F6} - mscoree.dll (file missing)
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~1\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\ARCHIV~1\ARCHIV~1\Skype\SKYPE4~1.DLL
O20 - AppInit_DLLs: cgzufb.dll
O23 - Service: ACT! Scheduler - Sage Software, Inc. - C:\Archivos de programa\ACT\Act for Windows\Act.Scheduler.exe
O23 - Service: Adobe LM Service - Unknown owner - C:\Archivos de programa\Archivos comunes\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: CVSNT (CVS) - GNU - C:\Archivos de programa\cvsnt\cvsservice.exe
O23 - Service: CVSNT Locking Service (CVSLock) - Unknown owner - C:\Archivos de programa\cvsnt\cvslock.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: OfficeScanNT RealTime Scan (ntrtscan) - Trend Micro Inc. - C:\Archivos de programa\Trend Micro\OfficeScan Client\ntrtscan.exe
O23 - Service: OfficeScanNT Personal Firewall (OfcPfwSvc) - Trend Micro Inc. - C:\Archivos de programa\Trend Micro\OfficeScan Client\OfcPfwSvc.exe
O23 - Service: Protexis Licensing V2 (PSI_SVC_2) - Protexis Inc. - C:\Archivos de programa\Archivos comunes\Protexis\License Service\PsiService_2.exe
O23 - Service: OfficeScanNT Listener (tmlisten) - Trend Micro Inc. - C:\Archivos de programa\Trend Micro\OfficeScan Client\tmlisten.exe
O23 - Service: wampapache - Apache Software Foundation - c:\wamp\bin\apache\apache2.2.8\bin\httpd.exe
O23 - Service: wampmysqld - Unknown owner - c:\wamp\bin\mysql\mysql5.0.51b\bin\mysqld-nt.exe
O23 - Service: WireLess Deployer Agent (WireLessDeployerAgent) - SofToGo S.A. - C:\Archivos de programa\WireLessDeployer\WireLessDeployerAgent.exe
O23 - Service: WireLess Studio Server Service NT (WSServerSvc) - SofToGo S.A. www.softogo.com - C:\Archivos de programa\WireLessDesigner\WS_Bin\WSServerSvc.exe
O23 - Service: WireLess Studio Server service V4 (WSServerSvcV4) - SofToGo S.A. www.softogo.com - C:\Archivos de programa\WireLessDesigner\WS_Bin_V4\WSServerSvcV4.exe
O23 - Service: WireLess Studio Starter Server Service NT (WSStarterSvc) - SofToGo / Raisonnance S.A. Lyon, France (33) 4 78 66 86 46 / http://www.raisonnance.fr www.softogo.com - C:\Archivos de programa\WireLessDesigner\WS_Bin\WSStarterSvc.exe
O23 - Service: WireLess Studio Starter Server Service V4 (WSStarterSvcV4) - SofToGo S.A. www.softogo.com - C:\Archivos de programa\WireLessDesigner\WS_Bin_V4\WSStarterSvcV4.exe

--
End of file - 9299 bytes

Shaba

November 28, 2008, 9:00 AM UTC

Hi Sebasmobile

Rename HijackThis.exe to Sebasmobile.exe and post back a fresh HijackThis log, please

Sebasmobile

November 28, 2008, 11:28 AM UTC

Ok, I did it. The fresh log is below.
Can you explan me why had I rename the exe ile?

Regards,
Seba

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 9:23:57, on 28/11/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Archivos de programa\cvsnt\cvsservice.exe
C:\Archivos de programa\cvsnt\cvslock.exe
C:\Archivos de programa\Java\jre6\bin\jqs.exe
C:\Archivos de programa\Trend Micro\OfficeScan Client\ntrtscan.exe
C:\Archivos de programa\Archivos comunes\Protexis\License Service\PsiService_2.exe
C:\Archivos de programa\Trend Micro\OfficeScan Client\tmlisten.exe
C:\Archivos de programa\WireLessDeployer\WireLessDeployerAgent.exe
C:\Archivos de programa\WireLessDesigner\WS_Bin\WSServerSvc.exe
C:\Archivos de programa\WireLessDesigner\WS_Bin_V4\WSServerSvcV4.exe
C:\Archivos de programa\WireLessDesigner\WS_Bin\WSStarterSvc.exe
C:\WINDOWS\Explorer.EXE
C:\Archivos de programa\WireLessDesigner\WS_Bin_V4\WSStarterSvcV4.exe
C:\Archivos de programa\Trend Micro\OfficeScan Client\pccntmon.exe
C:\Archivos de programa\Java\jre6\bin\jusched.exe
C:\Archivos de programa\Microsoft ActiveSync\Wcescomm.exe
C:\Archivos de programa\Windows Live\Messenger\MsnMsgr.Exe
C:\WINDOWS\system32\ctfmon.exe
C:\ARCHIV~1\MICROS~4\rapimgr.exe
C:\Archivos de programa\Microsoft Office\Office12\OUTLOOK.EXE
C:\Archivos de programa\Trend Micro\OfficeScan Client\Pop3Trap.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\WINDOWS\System32\svchost.exe
C:\Archivos de programa\Trend Micro\OfficeScan Client\pccntupd.exe
C:\ARCHIVOS DE PROGRAMA\TREND MICRO\OFFICESCAN CLIENT\0FCD0G.EXE
C:\Documents and Settings\Sebastian\Configuración local\Datos de programa\Google\Chrome\Application\chrome.exe
C:\Archivos de programa\Windows Live\Messenger\usnsvc.exe
C:\Documents and Settings\Sebastian\Configuración local\Datos de programa\Google\Chrome\Application\chrome.exe
C:\Documents and Settings\Sebastian\Configuración local\Datos de programa\Google\Chrome\Application\chrome.exe
C:\Archivos de programa\Trend Micro\HijackThis\Sebasmobile.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.busca7.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: {8d787242-cd1e-8f48-7234-c003ab69f092} - {290f96ba-300c-4327-84f8-e1dc242787d8} - C:\WINDOWS\system32\qnajuu.dll
O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre6\bin\ssv.dll
O2 - BHO: (no name) - {85DD4E0D-2B01-4D4D-9E66-3A165AB6EDA4} - C:\WINDOWS\system32\tuvVLdeb.dll
O2 - BHO: Windows Live Aplicación auxiliar de inicio de sesión - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Act.UI.InternetExplorer.Plugins.AttachFile.CAttachFile - {D5233FCD-D258-4903-89B8-FB1568E7413D} - mscoree.dll (file missing)
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Archivos de programa\Java\jre6\bin\jp2ssv.dll
O2 - BHO: (no name) - {DC380D91-E92A-40E0-91F7-E8B9C3D685CE} - C:\WINDOWS\system32\jkkKaaaa.dll
O4 - HKLM\..\Run: [OfficeScanNT Monitor] "C:\Archivos de programa\Trend Micro\OfficeScan Client\pccntmon.exe" -HideWindow
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Archivos de programa\Java\jre6\bin\jusched.exe"
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Archivos de programa\Microsoft ActiveSync\Wcescomm.exe"
O4 - HKCU\..\Run: [MsnMsgr] "C:\Archivos de programa\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICIO LOCAL')
O4 - HKUS\S-1-5-19\..\RunOnce: [nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'SERVICIO LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Servicio de red')
O4 - HKUS\S-1-5-20\..\RunOnce: [nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'Servicio de red')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'Default user')
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\ARCHIV~1\MICROS~1\Office12\EXCEL.EXE/3000
O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\ARCHIV~1\MICROS~4\INetRepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\ARCHIV~1\MICROS~4\INetRepl.dll
O9 - Extra 'Tools' menuitem: Create Mobile Favorite... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\ARCHIV~1\MICROS~4\INetRepl.dll
O9 - Extra button: Attach Web page to ACT! contact - {6F431AC3-364A-478b-BBDB-89C7CE1B18F6} - mscoree.dll (file missing)
O9 - Extra 'Tools' menuitem: Attach Web page to ACT! contact... - {6F431AC3-364A-478b-BBDB-89C7CE1B18F6} - mscoree.dll (file missing)
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~1\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\ARCHIV~1\ARCHIV~1\Skype\SKYPE4~1.DLL
O20 - AppInit_DLLs: qnajuu.dll
O20 - Winlogon Notify: tuvVLdeb - C:\WINDOWS\SYSTEM32\tuvVLdeb.dll
O23 - Service: ACT! Scheduler - Sage Software, Inc. - C:\Archivos de programa\ACT\Act for Windows\Act.Scheduler.exe
O23 - Service: Adobe LM Service - Unknown owner - C:\Archivos de programa\Archivos comunes\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: CVSNT (CVS) - GNU - C:\Archivos de programa\cvsnt\cvsservice.exe
O23 - Service: CVSNT Locking Service (CVSLock) - Unknown owner - C:\Archivos de programa\cvsnt\cvslock.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Archivos de programa\Java\jre6\bin\jqs.exe
O23 - Service: OfficeScanNT RealTime Scan (ntrtscan) - Trend Micro Inc. - C:\Archivos de programa\Trend Micro\OfficeScan Client\ntrtscan.exe
O23 - Service: OfficeScanNT Personal Firewall (OfcPfwSvc) - Trend Micro Inc. - C:\Archivos de programa\Trend Micro\OfficeScan Client\OfcPfwSvc.exe
O23 - Service: Protexis Licensing V2 (PSI_SVC_2) - Protexis Inc. - C:\Archivos de programa\Archivos comunes\Protexis\License Service\PsiService_2.exe
O23 - Service: OfficeScanNT Listener (tmlisten) - Trend Micro Inc. - C:\Archivos de programa\Trend Micro\OfficeScan Client\tmlisten.exe
O23 - Service: wampapache - Apache Software Foundation - c:\wamp\bin\apache\apache2.2.8\bin\httpd.exe
O23 - Service: wampmysqld - Unknown owner - c:\wamp\bin\mysql\mysql5.0.51b\bin\mysqld-nt.exe
O23 - Service: WireLess Deployer Agent (WireLessDeployerAgent) - SofToGo S.A. - C:\Archivos de programa\WireLessDeployer\WireLessDeployerAgent.exe
O23 - Service: WireLess Studio Server Service NT (WSServerSvc) - SofToGo S.A. www.softogo.com - C:\Archivos de programa\WireLessDesigner\WS_Bin\WSServerSvc.exe
O23 - Service: WireLess Studio Server service V4 (WSServerSvcV4) - SofToGo S.A. www.softogo.com - C:\Archivos de programa\WireLessDesigner\WS_Bin_V4\WSServerSvcV4.exe
O23 - Service: WireLess Studio Starter Server Service NT (WSStarterSvc) - SofToGo / Raisonnance S.A. Lyon, France (33) 4 78 66 86 46 / http://www.raisonnance.fr www.softogo.com - C:\Archivos de programa\WireLessDesigner\WS_Bin\WSStarterSvc.exe
O23 - Service: WireLess Studio Starter Server Service V4 (WSStarterSvcV4) - SofToGo S.A. www.softogo.com - C:\Archivos de programa\WireLessDesigner\WS_Bin_V4\WSStarterSvcV4.exe

--
End of file - 8454 bytes

Shaba

November 28, 2008, 11:30 AM UTC

Reason was infection you have

As you can see 02 and 020 entries are now visible. It hides them if process named HijackThis.exe is running.

We will begin with ComboFix.exe. Please visit this webpage for download links, and instructions for running the tool:

http://www.bleepingcomputer.com/combofix/how-to-use-combofix

* Ensure you have disabled all anti virus and anti malware programs so they do not interfere with the running of ComboFix.

When finished, it shall produce a log for you. Please include the C:\ComboFix.txt in your next reply along with a fresh HijackThis log.

Sebasmobile

December 1, 2008, 2:15 PM UTC

You will find the 2 logs below or attached in each file.

Regards,
Seba

---------------------------------------------------------------------------------------
ComboFix 08-11-30.02 - Sebastian 2008-12-01 11:57:36.1 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.2.1252.34.3082.18.590 [GMT 1:00]
Se ejecuta desde: c:\documents and settings\Sebastian\Mis documentos\Downloads\ComboFix.exe

ADVERTENCIA - ESTE EQUIPO NO TIENE INSTALADA LA CONSOLA DE RECUPERACION!
.

(((((((((((((((((((((((((((((((((((( Otras eliminaciones )))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\windows\system32\aaaaKkkj.ini
c:\windows\system32\aaaaKkkj.ini2
c:\windows\system32\bmryooog.ini
c:\windows\system32\bsoyepig.dll
c:\windows\system32\byXPJCRh.dll
c:\windows\system32\cgzufb.dll
c:\windows\system32\dprtxc.dll
c:\windows\system32\ejccehlu.dll
c:\windows\system32\essqocrx.dll
c:\windows\system32\fccaYssS.dll
c:\windows\system32\fdbqcvih.dll
c:\windows\system32\fejtbelt.ini
c:\windows\system32\fkgrhfim.ini
c:\windows\system32\fnwniryu.ini
c:\windows\system32\ftwtclsn.dll
c:\windows\system32\gbfvytrw.ini
c:\windows\system32\gipeyosb.ini
c:\windows\system32\habhmeil.dll
c:\windows\system32\hudwsqnx.dll
c:\windows\system32\ilpeqavn.dll
c:\windows\system32\jhkvjw.dll
c:\windows\system32\jkkKaaaa.dll
c:\windows\system32\jkkLCsQJ.dll
c:\windows\system32\jolbayyo.dll
c:\windows\system32\kpmhvq.dll
c:\windows\system32\kxryapac.ini
c:\windows\system32\lalrbibu.dll
c:\windows\system32\lkckmqhx.dll
c:\windows\system32\lzklct.dll
c:\windows\system32\mgcbfj.dll
c:\windows\system32\mifhrgkf.dll
c:\windows\system32\mpmpmnhx.ini
c:\windows\system32\nnnmmmKd.dll
c:\windows\system32\nnnpnpol.ini
c:\windows\system32\nslctwtf.ini
c:\windows\system32\nvaqepli.ini
c:\windows\system32\oaumlifi.dll
c:\windows\system32\ojijugbo.dll
c:\windows\system32\pkfyxi.dll
c:\windows\system32\pkuxlm.dll
c:\windows\system32\pxwwajxr.dll
c:\windows\system32\qaxevp.dll
c:\windows\system32\qfteyfxm.dll
c:\windows\system32\qjetcupr.dll
c:\windows\system32\qjzwbe.dll
c:\windows\system32\qnajuu.dll
c:\windows\system32\rpuctejq.ini
c:\windows\system32\shtsliuv.dll
c:\windows\system32\sltwffhl.dll
c:\windows\system32\tfgsiu.dll
c:\windows\system32\tlebtjef.dll
c:\windows\system32\tuvVLdeb.dll
c:\windows\system32\utebqwdg.dll
c:\windows\system32\vgvwrk.dll
c:\windows\system32\wfdtcasb.dll
c:\windows\system32\wodasl.dll
c:\windows\system32\wrxmhnhh.dll
c:\windows\system32\xhqmkckl.ini
c:\windows\system32\xnqswduh.ini
c:\windows\system32\xrvvqgfn.ini
c:\windows\system32\xxyyvVop.dll
c:\windows\system32\zuzmhf.dll

.
(((((((((((((((((( Archivos creados desde 2008-11-01 - 2008-12-01 )))))))))))))))))))))))))))))))))
.

2008-12-01 12:05 . 2008-12-01 12:05 <DIR> d-------- c:\windows\system32\xircom
2008-12-01 12:05 . 2008-12-01 12:05 <DIR> d-------- c:\windows\system32\oobe
2008-12-01 12:05 . 2008-12-01 12:05 <DIR> d-------- c:\windows\srchasst
2008-12-01 12:05 . 2008-12-01 12:05 <DIR> d-------- c:\windows\msagent
2008-12-01 12:05 . 2008-12-01 12:05 <DIR> d-------- c:\archivos de programa\microsoft frontpage
2008-11-28 22:15 . 2008-11-28 22:15 <DIR> d-------- c:\archivos de programa\WireLessStudio
2008-11-28 15:52 . 2008-11-28 15:52 <DIR> d-------- c:\windows\system32\QuickTime
2008-11-28 15:52 . 2008-11-28 15:52 <DIR> d-------- C:\Program Files
2008-11-28 15:52 . 2001-09-05 21:00 1,700,352 --a------ c:\windows\system32\gdiplus.dll
2008-11-28 15:52 . 2008-07-10 14:56 107,864 --a------ c:\windows\system32\tsccvid.dll
2008-11-28 10:50 . 2008-11-28 10:50 <DIR> d-------- c:\documents and settings\Sebastian\Datos de programa\Summitsoft
2008-11-27 12:15 . 2008-11-27 12:15 0 --a------ c:\windows\Progs_.ini
2008-11-27 10:35 . 2008-11-27 10:35 <DIR> d-------- c:\archivos de programa\DemoForge
2008-11-27 10:33 . 2008-11-27 10:33 <DIR> d--h----- c:\documents and settings\Sebastian\InstallAnywhere
2008-11-27 10:33 . 2008-11-27 10:33 <DIR> d--h----- c:\archivos de programa\Zero G Registry
2008-11-27 10:31 . 2008-11-27 10:31 <DIR> d-------- c:\documents and settings\Sebastian\Yugma
2008-11-27 10:30 . 2008-11-27 10:30 <DIR> d-------- c:\windows\Sun
2008-11-27 10:27 . 2008-11-27 10:27 410,976 --a------ c:\windows\system32\deploytk.dll
2008-11-25 23:30 . 2008-11-26 00:26 <DIR> d-------- c:\archivos de programa\Logic Print 2008 Evaluación
2008-11-25 13:46 . 2008-11-25 13:46 27,444 --a------ c:\windows\FontData.fdb
2008-11-24 10:41 . 2008-11-24 10:41 <DIR> d-------- c:\archivos de programa\GNU
2008-11-21 13:01 . 2000-10-02 00:00 119,568 --a------ c:\windows\system32\vb6fr.dll
2008-11-20 12:17 . 2008-11-20 12:17 <DIR> d-------- c:\archivos de programa\cvsnt
2008-11-17 16:28 . 2008-11-17 16:28 <DIR> d-------- c:\archivos de programa\MSECache
2008-11-14 18:20 . 2008-11-29 00:30 1,024 --a------ c:\windows\WirelessDesigner.ini
2008-11-14 18:20 . 2008-11-21 12:56 512 --a------ c:\windows\ODBC.INI
2008-11-14 18:19 . 2008-11-29 00:30 <DIR> d-------- c:\archivos de programa\WireLessDesigner
2008-11-14 18:00 . 2008-11-27 12:15 676 --a------ c:\windows\1way.ini
2008-11-14 17:26 . 2008-11-14 17:26 <DIR> dr-h----- c:\documents and settings\LocalService\Reciente
2008-11-14 17:23 . 2008-11-27 11:53 74 --a------ c:\windows\pdf995.ini
2008-11-14 17:12 . 2008-11-14 17:16 102,450 --a------ c:\windows\system32\pdfmona.dll
2008-11-14 17:12 . 2008-11-14 17:16 34,016 --a------ c:\windows\system32\pdfmon.dll
2008-11-13 17:57 . 2008-11-13 17:57 194 --a------ C:\calculadora.pkgproj
2008-11-13 16:30 . 2008-12-01 12:03 <DIR> d-------- c:\archivos de programa\WireLessDeployer
2008-11-13 15:07 . 2008-11-13 15:17 <DIR> d-------- c:\archivos de programa\vslick
2008-11-13 12:49 . 2007-07-29 14:46 16,384 --a------ c:\windows\system32\ipsink.ax
2008-11-13 12:49 . 2007-07-29 14:47 15,360 --a------ c:\windows\system32\drivers\StreamIP.sys
2008-11-13 12:49 . 2007-07-29 14:47 11,136 --a------ c:\windows\system32\drivers\SLIP.sys
2008-11-13 12:49 . 2007-07-29 14:47 10,880 --a------ c:\windows\system32\drivers\NdisIP.sys
2008-11-13 12:48 . 2007-07-29 14:47 85,376 --a------ c:\windows\system32\drivers\NABTSFEC.sys
2008-11-13 12:48 . 2007-07-29 14:47 19,328 --a------ c:\windows\system32\drivers\WSTCODEC.SYS
2008-11-13 12:48 . 2007-07-29 14:46 17,024 --a------ c:\windows\system32\drivers\CCDECODE.sys
2008-11-13 12:48 . 2007-07-29 14:47 5,504 --a------ c:\windows\system32\drivers\MSTEE.sys
2008-11-13 12:47 . 2007-07-29 14:46 91,136 --a------ c:\windows\system32\kswdmcap.ax
2008-11-13 12:47 . 2007-07-29 14:46 61,952 --a------ c:\windows\system32\kstvtune.ax
2008-11-13 12:47 . 2007-07-29 14:47 54,784 --a------ c:\windows\system32\vfwwdm32.dll
2008-11-13 12:47 . 2007-07-29 14:46 43,008 --a------ c:\windows\system32\ksxbar.ax
2008-11-13 12:47 . 2007-07-29 14:47 28,672 --a------ c:\windows\system32\vidcap.ax
2008-11-13 12:45 . 2008-11-13 12:46 <DIR> d-------- c:\archivos de programa\SetupDriver
2008-11-13 12:43 . 2008-11-13 12:43 <DIR> d-------- c:\archivos de programa\DD PlayCam
2008-11-13 12:41 . 2008-11-13 12:41 <DIR> d-------- c:\windows\Album
2008-11-13 12:41 . 2008-11-13 12:41 <DIR> d-------- c:\archivos de programa\KYE
2008-11-13 12:41 . 2005-01-26 15:45 349,472 --a------ c:\windows\WindowsXP-KB822603-x86.exe
2008-11-13 12:41 . 2006-01-06 13:57 344,064 --a------ c:\windows\vsnp2std.exe
2008-11-13 12:41 . 2006-01-16 14:06 114,688 --a------ c:\windows\tsnp2std.exe
2008-11-13 12:41 . 2004-08-09 17:43 94,208 --a------ c:\windows\amcap.exe
2008-11-13 12:41 . 2005-11-11 16:46 24,960 --a------ c:\windows\system32\drivers\sncamd.sys
2008-11-13 12:41 . 2004-12-09 17:23 15,497 --a------ c:\windows\snp2std.ini
2008-11-13 12:41 . 2004-12-09 17:23 13,022 --a------ c:\windows\snp2std.src
2008-11-13 12:40 . 2008-11-13 12:41 <DIR> d-------- c:\archivos de programa\Archivos comunes\snp2std
2008-11-13 12:40 . 2006-02-15 14:36 10,221,568 --a------ c:\windows\system32\drivers\snp2sxp.sys
2008-11-13 12:40 . 2005-12-21 14:06 147,456 --a------ c:\windows\rsnp2std.dll
2008-11-13 12:40 . 2006-01-03 19:04 61,440 --a------ c:\windows\vsnp2std.dll
2008-11-13 12:40 . 2005-11-23 13:55 53,248 --a------ c:\windows\system32\csnp2std.dll
2008-11-13 11:21 . 2008-11-13 16:39 <DIR> d-------- c:\documents and settings\Sebastian\Datos de programa\Winamp
2008-11-13 11:21 . 2008-11-13 11:23 <DIR> d-------- c:\archivos de programa\Winamp
2008-11-12 12:40 . 2008-11-19 09:53 <DIR> d-------- C:\_Lic
2008-11-12 10:34 . 2008-11-12 10:38 <DIR> d-------- C:\wamp
2008-11-12 09:26 . 2008-11-12 09:26 <DIR> d-------- c:\documents and settings\All Users\Datos de programa\Act
2008-11-12 09:22 . 2008-11-12 09:22 <DIR> d-------- c:\documents and settings\Sebastian\Datos de programa\IsolatedStorage
2008-11-12 09:22 . 2008-11-13 12:40 <DIR> d--h----- c:\archivos de programa\InstallShield Installation Information
2008-11-12 09:22 . 2008-11-26 09:19 952 --ahs---- c:\documents and settings\All Users\Datos de programa\KGyGaAvL.sys
2008-11-12 09:22 . 2008-11-12 09:22 88 -r-hs---- c:\documents and settings\All Users\Datos de programa\5899295F76.sys
2008-11-11 18:33 . 2004-03-22 12:09 733,267 --a------ C:\ADChronopher.dll
2008-11-11 18:33 . 2003-08-28 14:08 536,576 --a------ c:\windows\system32\msvcr70d.dll
2008-11-11 18:33 . 2008-07-31 20:23 344,064 --a------ c:\windows\system32\msvcr70.dll
2008-11-11 18:33 . 2003-08-28 14:06 94,208 --a------ c:\windows\system32\msvci70d.dll
2008-11-11 18:31 . 2008-11-11 18:31 <DIR> d-------- c:\archivos de programa\Archivos comunes\Protexis
2008-11-11 17:53 . 2008-11-11 17:53 <DIR> d-------- c:\documents and settings\Sebastian\Datos de programa\ACT
2008-11-11 17:53 . 2008-11-11 18:07 <DIR> d-------- c:\archivos de programa\Microsoft SQL Server
2008-11-11 17:53 . 2008-11-11 17:53 <DIR> d-------- c:\archivos de programa\ACT
2008-11-11 15:53 . 2008-11-11 15:54 <DIR> d-------- c:\archivos de programa\Launcher
2008-11-11 15:45 . 2008-11-11 15:45 <DIR> d-------- c:\archivos de programa\Softogo
2008-11-11 15:45 . 2008-11-11 15:45 <DIR> d-------- c:\archivos de programa\Archivos comunes\Business Objects
2008-11-11 09:32 . 2008-11-11 09:32 <DIR> d---s---- c:\documents and settings\Sebastian\UserData
2008-11-10 18:21 . 2008-11-10 18:21 <DIR> d----c--- c:\windows\system32\DRVSTORE
2008-11-10 18:21 . 2008-11-11 09:32 <DIR> d-------- c:\documents and settings\Sebastian\Contacts
2008-11-10 17:57 . 2008-11-10 18:20 <DIR> d-------- c:\archivos de programa\Windows Live
2008-11-10 17:57 . 2008-11-10 18:20 <DIR> d--hsc--- c:\archivos de programa\Archivos comunes\WindowsLiveInstaller
2008-11-10 17:56 . 2008-11-10 18:19 <DIR> d-------- c:\documents and settings\All Users\Datos de programa\WLInstaller
2008-11-10 14:03 . 2008-11-10 14:03 <DIR> d-------- c:\documents and settings\Sebastian\Datos de programa\Corel
2008-11-10 14:03 . 2008-11-25 10:22 1,890 --ahs---- c:\windows\system32\KGyGaAvL.sys
2008-11-10 14:03 . 2008-11-25 10:22 88 -r-hs---- c:\windows\system32\5899295F76.sys
2008-11-10 13:59 . 2008-11-10 13:59 <DIR> d-------- c:\documents and settings\All Users\Datos de programa\InstallShield
2008-11-10 13:58 . 2008-11-10 13:58 <DIR> d-------- c:\archivos de programa\Archivos comunes\Corel
2008-11-10 13:53 . 2008-11-10 14:02 <DIR> d-------- c:\archivos de programa\Corel
2008-11-10 12:45 . 2008-11-10 12:45 <DIR> d-------- c:\archivos de programa\Microsoft ActiveSync
2008-11-10 12:45 . 2005-10-21 02:47 30,592 --------- c:\windows\system32\drivers\rndismpx.sys
2008-11-10 12:45 . 2005-10-21 02:47 12,800 --------- c:\windows\system32\drivers\usb8023x.sys
2008-11-10 12:40 . 2008-11-10 12:40 <DIR> d-------- c:\archivos de programa\WireLessTelNet
2008-11-10 12:39 . 2008-11-27 12:19 <DIR> d-------- c:\archivos de programa\WireLessUtilities
2008-11-10 11:46 . 2008-11-10 11:47 <DIR> d-------- c:\archivos de programa\FileZilla
2008-11-10 09:40 . 2002-08-09 03:12 770,048 -ra------ c:\windows\system32\nbicdnt.dll
2008-11-10 09:40 . 2002-11-07 06:38 370,560 -ra------ c:\windows\system32\s3gnb.dll
2008-11-10 09:40 . 2002-11-04 23:02 335,872 -ra------ c:\windows\system32\S3Disply.dll
2008-11-10 09:40 . 2002-05-28 18:06 315,392 -ra------ c:\windows\system32\S3Ovrlay.dll
2008-11-10 09:40 . 2002-10-22 17:58 299,008 -ra------ c:\windows\system32\S3Gamma2.dll
2008-11-10 09:40 . 2002-09-30 22:08 188,416 -ra------ c:\windows\system32\S3Info2.dll
2008-11-10 09:40 . 2002-11-07 06:38 159,104 -ra------ c:\windows\system32\drivers\s3gnbm.sys
2008-11-10 09:40 . 2002-03-11 20:52 69,690 -ra------ c:\windows\system32\S3uninst.exe
2008-11-10 09:40 . 2002-11-04 23:02 63,477 -ra------ c:\windows\system32\S3Disply.cfg
2008-11-10 09:40 . 2002-10-22 17:58 51,660 -ra------ c:\windows\system32\S3Gamma2.cfg
2008-11-10 09:40 . 2002-05-28 18:06 49,347 -ra------ c:\windows\system32\S3Ovrlay.cfg
2008-11-10 09:40 . 2002-09-30 22:08 22,567 -ra------ c:\windows\system32\S3Info2.cfg
2008-11-10 09:39 . 2007-07-29 14:47 6,272 --a------ c:\windows\system32\drivers\splitter.sys
2008-11-07 21:56 . 2008-11-07 21:57 <DIR> d-------- c:\archivos de programa\Macromedia
2008-11-07 21:56 . 2008-11-07 18:59 <DIR> d-------- c:\archivos de programa\Archivos comunes\Macromedia
2008-11-07 21:55 . 2008-11-10 13:58 <DIR> d-------- c:\archivos de programa\Archivos comunes\InstallShield
2008-11-07 21:55 . 2008-11-07 21:55 56 --ah----- c:\windows\system32\ezsidmv.dat
2008-11-07 21:54 . 2008-11-07 21:54 <DIR> d-------- c:\windows\Downloaded Installations
2008-11-07 21:54 . 2008-11-07 21:54 <DIR> d-------- c:\documents and settings\Administrador\Datos de programa\skypePM
2008-11-07 21:54 . 2008-11-07 19:00 <DIR> d-------- c:\documents and settings\Administrador\Datos de programa\Skype
2008-11-07 21:54 . 2008-11-07 21:54 <DIR> d-------- c:\archivos de programa\Skype
2008-11-07 21:54 . 2008-11-07 21:54 <DIR> d-------- c:\archivos de programa\Archivos comunes\Skype
2008-11-07 21:53 . 2008-11-07 21:54 <DIR> d-------- c:\documents and settings\All Users\Datos de programa\Skype

.
(((((((((((((((((((((((((((((((((((((( Reporte Find3M )))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-11-07 15:41 685,816 ----a-w c:\windows\system32\drivers\sptd.sys
.

------- Sigcheck -------

2008-04-13 20:20 361344 93ea8d04ec73a85db02eb8805988f733 c:\windows\SoftwareDistribution\Download\46be4b19c0345884ca18b3368bb9bcb4\tcpip.sys
2007-07-30 00:08 360576 c79df4477c0d82bb045cbc50e2b677e9 c:\windows\system32\drivers\tcpip.sys
.
((((((((((((((((((((((((((((((((( Cargando Puntos Reg ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Nota* entradas vacías & entradas legítimas predeterminadas no son mostradas
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"H/PC Connection Agent"="c:\archivos de programa\Microsoft ActiveSync\Wcescomm.exe" [2006-11-13 1289000]
"MsnMsgr"="c:\archivos de programa\Windows Live\Messenger\MsnMsgr.Exe" [2007-10-18 5724184]
"ctfmon.exe"="c:\windows\system32\ctfmon.exe" [2004-08-19 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"OfficeScanNT Monitor"="c:\archivos de programa\Trend Micro\OfficeScan Client\pccntmon.exe" [2006-02-07 356352]
"SunJavaUpdateSched"="c:\archivos de programa\Java\jre6\bin\jusched.exe" [2008-11-27 136600]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-19 15360]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"nltide_3"="advpack.dll" [2004-08-19 c:\windows\system32\advpack.dll]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]
"ForceClassicControlPanel"= 1 (0x1)
"NoSMHelp"= 1 (0x1)
"NoSMConfigurePrograms"= 1 (0x1)
"NoSMMyPictures"= 1 (0x1)
"NoResolveTrack"= 1 (0x1)

[HKEY_USERS\.default\software\microsoft\windows\currentversion\policies\explorer]
"ForceClassicControlPanel"= 1 (0x1)
"NoSMHelp"= 1 (0x1)
"NoSMConfigurePrograms"= 1 (0x1)
"NoSMMyPictures"= 1 (0x1)
"NoResolveTrack"= 1 (0x1)

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]
"AppInit_DLLs"=pkfyxi.dll

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Act! Preloader]
--a------ 2008-07-31 21:05 393216 c:\archivos de programa\ACT\Act for Windows\ActSage.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Act.Outlook.Service]
--a------ 2008-07-31 21:04 28672 c:\archivos de programa\ACT\Act for Windows\Act.Outlook.Service.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Reader Speed Launcher]
--a------ 2008-10-15 01:04 39792 c:\archivos de programa\Adobe\Reader 8.0\Reader\reader_sl.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Google Update]
--a----t- 2008-11-17 14:31 133104 c:\documents and settings\Sebastian\Configuración local\Datos de programa\Google\Update\GoogleUpdate.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ISUSPM Startup]
--a------ 2004-06-16 06:03 221184 c:\archiv~1\ARCHIV~1\INSTAL~1\UPDATE~1\ISUSPM.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ISUSScheduler]
--a------ 2004-06-16 06:03 81920 c:\archivos de programa\Archivos comunes\InstallShield\UpdateService\issch.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Skype]
-ra------ 2008-09-23 14:17 21755688 c:\archivos de programa\Skype\Phone\Skype.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\tsnp2std]
--a------ 2006-01-16 14:06 114688 c:\windows\tsnp2std.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\PCTVOICE]
-ra------ 2003-09-24 02:56 180224 c:\windows\system32\pctspk.exe

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)
"DisableUnicastResponsesToMulticastBroadcast"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Archivos de programa\\Microsoft Office\\Office12\\OUTLOOK.EXE"=
"c:\archivos de programa\Microsoft ActiveSync\rapimgr.exe"= c:\archivos de programa\Microsoft ActiveSync\rapimgr.exe:169.254.2.0/255.255.255.0:Enabled:ActiveSync RAPI Manager
"c:\archivos de programa\Microsoft ActiveSync\wcescomm.exe"= c:\archivos de programa\Microsoft ActiveSync\wcescomm.exe:169.254.2.0/255.255.255.0:Enabled:ActiveSync Connection Manager
"c:\archivos de programa\Microsoft ActiveSync\WCESMgr.exe"= c:\archivos de programa\Microsoft ActiveSync\WCESMgr.exe:169.254.2.0/255.255.255.0:Enabled:ActiveSync Application
"c:\\Archivos de programa\\Windows Live\\Messenger\\msnmsgr.exe"=
"c:\\Archivos de programa\\Windows Live\\Messenger\\livecall.exe"=
"c:\\Archivos de programa\\Skype\\Phone\\Skype.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"26675:TCP"= 26675:TCP:169.254.2.0/255.255.255.0:Enabled:ActiveSync Service

R2 CVS;CVSNT;c:\archivos de programa\cvsnt\cvsservice.exe [2004-08-19 35328]
R2 PSI_SVC_2;Protexis Licensing V2;"c:\archivos de programa\Archivos comunes\Protexis\License Service\PsiService_2.exe" [2008-02-08 185632]
R2 WireLessDeployerAgent;WireLess Deployer Agent;"c:\archivos de programa\WireLessDeployer\WireLessDeployerAgent.exe" [2008-10-09 196608]
R2 WSServerSvc;WireLess Studio Server Service NT;"c:\archivos de programa\WireLessDesigner\WS_Bin\WSServerSvc.exe" [2006-03-23 86016]
R2 WSServerSvcV4;WireLess Studio Server service V4;"c:\archivos de programa\WireLessDesigner\WS_Bin_V4\WSServerSvcV4.exe" [2008-10-12 151552]
R2 WSStarterSvc;WireLess Studio Starter Server Service NT;"c:\archivos de programa\WireLessDesigner\WS_Bin\WSStarterSvc.exe" [2006-03-23 24576]
R2 WSStarterSvcV4;WireLess Studio Starter Server Service V4;"c:\archivos de programa\WireLessDesigner\WS_Bin_V4\WSStarterSvcV4.exe" [2008-01-17 40960]
R3 DDPlayCam;DDPlay Virtual Camera;c:\windows\system32\DRIVERS\DDPlayCam.sys [2006-03-02 150016]
R3 dfmirage;dfmirage;c:\windows\system32\DRIVERS\dfmirage.sys [2005-11-25 31896]
S3 ACT! Scheduler;ACT! Scheduler;"c:\archivos de programa\ACT\Act for Windows\Act.Scheduler.exe" [2008-07-31 81920]
S3 MSSQL$ACT7;SQL Server (ACT7);"c:\archivos de programa\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe" -sACT7 [2007-02-10 29178224]
S3 wampapache;wampapache;"c:\wamp\bin\apache\apache2.2.8\bin\httpd.exe" -k runservice [2008-11-12 24635]
S3 wampmysqld;wampmysqld;c:\wamp\bin\mysql\mysql5.0.51b\bin\mysqld-nt.exe wampmysqld []
.
Contenido de carpeta 'Tareas Programadas'

2008-11-28 c:\windows\Tasks\GoogleUpdateTaskUser.job
- c:\documents and settings\Sebastian\Configuraci []
.
- - - - HUÉRFANOS ELIMINADOS - - - -

BHO-{8ac661d0-4389-4961-ba7d-5f41a88e2cbc} - c:\windows\system32\pkfyxi.dll
BHO-{8F96DA68-CAEA-4DAA-A2B4-D1D33EA905C0} - c:\windows\system32\jkkKaaaa.dll

.
------- Análisis Suplementario -------
.
FireFox -: Profile - c:\documents and settings\Sebastian\Datos de programa\Mozilla\Firefox\Profiles\q0pif5j1.default\
FireFox -: prefs.js - SEARCH.DEFAULTURL - hxxp://www.google.com/search?lr=&ie=UTF-8&oe=UTF-8&q=
FireFox -: prefs.js - STARTUP.HOMEPAGE - hxxp://www.google.com/ig?hl=en&source=iglk
FF -: plugin - c:\archivos de programa\Java\jre6\bin\new_plugin\npdeploytk.dll
FF -: plugin - c:\archivos de programa\Java\jre6\bin\new_plugin\npjp2.dll
FF -: plugin - c:\archivos de programa\Mozilla Firefox\plugins\npdeploytk.dll
FF -: plugin - c:\documents and settings\Sebastian\ConfiguraciÃ³n local\Datos de programa\Google\Update\1.2.131.27\npGoogleOneClick6.dll
.

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-12-01 12:06:01
Windows 5.1.2600 Service Pack 2 NTFS

escaneando procesos ocultos ...

escaneando entradas ocultas de autostart ...

escaneando archivos ocultos ...

el escaneo se completo con exito
archivos ocultos: 0

**************************************************************************
.
------------------------ Otros procesos en ejecución ------------------------
.
c:\archivos de programa\cvsnt\cvslock.exe
c:\archivos de programa\Java\jre6\bin\jqs.exe
c:\archivos de programa\Trend Micro\OfficeScan Client\NTRtScan.exe
c:\archivos de programa\Trend Micro\OfficeScan Client\TmListen.exe
c:\archiv~1\MICROS~4\rapimgr.exe
c:\archivos de programa\Trend Micro\OfficeScan Client\Misc\xpupg.exe
c:\windows\system32\wbem\wmiapsrv.exe
c:\archivos de programa\Trend Micro\OfficeScan Client\PccNTUpd.exe
c:\archivos de programa\Trend Micro\OfficeScan Client\0FCD0G.EXE
.
**************************************************************************
.
Tiempo completado: 2008-12-01 12:09:39 - Reiniciando la máquina
ComboFix-quarantined-files.txt 2008-12-01 11:09:36

Pre-Run: 22.377.951.232 bytes libres
Post-Run: 22,540,201,984 bytes libres

330 --- E O F --- 2008-11-11 08:48:53

----------------------------------------------------------------------------------------

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 12:14:36, on 01/12/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Archivos de programa\cvsnt\cvsservice.exe
C:\Archivos de programa\cvsnt\cvslock.exe
C:\Archivos de programa\Java\jre6\bin\jqs.exe
C:\Archivos de programa\Trend Micro\OfficeScan Client\ntrtscan.exe
C:\Archivos de programa\Archivos comunes\Protexis\License Service\PsiService_2.exe
C:\Archivos de programa\Trend Micro\OfficeScan Client\tmlisten.exe
C:\Archivos de programa\WireLessDeployer\WireLessDeployerAgent.exe
C:\Archivos de programa\WireLessDesigner\WS_Bin\WSServerSvc.exe
C:\Archivos de programa\WireLessDesigner\WS_Bin_V4\WSServerSvcV4.exe
C:\Archivos de programa\WireLessDesigner\WS_Bin\WSStarterSvc.exe
C:\Archivos de programa\WireLessDesigner\WS_Bin_V4\WSStarterSvcV4.exe
C:\Archivos de programa\Java\jre6\bin\jusched.exe
C:\Archivos de programa\Microsoft ActiveSync\Wcescomm.exe
C:\WINDOWS\system32\ctfmon.exe
C:\ARCHIV~1\MICROS~4\rapimgr.exe
C:\Archivos de programa\Trend Micro\OfficeScan Client\Misc\xpupg.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\Archivos de programa\Trend Micro\OfficeScan Client\pccntupd.exe
C:\ARCHIVOS DE PROGRAMA\TREND MICRO\OFFICESCAN CLIENT\0FCD0G.EXE
C:\WINDOWS\explorer.exe
C:\Archivos de programa\Microsoft Office\Office12\OUTLOOK.EXE
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE
C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WLLoginProxy.exe
C:\Archivos de programa\Trend Micro\HijackThis\Sebasmobile.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.busca7.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre6\bin\ssv.dll
O2 - BHO: Windows Live Aplicación auxiliar de inicio de sesión - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Act.UI.InternetExplorer.Plugins.AttachFile.CAttachFile - {D5233FCD-D258-4903-89B8-FB1568E7413D} - mscoree.dll (file missing)
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Archivos de programa\Java\jre6\bin\jp2ssv.dll
O4 - HKLM\..\Run: [OfficeScanNT Monitor] "C:\Archivos de programa\Trend Micro\OfficeScan Client\pccntmon.exe" -HideWindow
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Archivos de programa\Java\jre6\bin\jusched.exe"
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Archivos de programa\Microsoft ActiveSync\Wcescomm.exe"
O4 - HKCU\..\Run: [MsnMsgr] "C:\Archivos de programa\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'Default user')
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\ARCHIV~1\MICROS~1\Office12\EXCEL.EXE/3000
O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\ARCHIV~1\MICROS~4\INetRepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\ARCHIV~1\MICROS~4\INetRepl.dll
O9 - Extra 'Tools' menuitem: Create Mobile Favorite... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\ARCHIV~1\MICROS~4\INetRepl.dll
O9 - Extra button: Attach Web page to ACT! contact - {6F431AC3-364A-478b-BBDB-89C7CE1B18F6} - mscoree.dll (file missing)
O9 - Extra 'Tools' menuitem: Attach Web page to ACT! contact... - {6F431AC3-364A-478b-BBDB-89C7CE1B18F6} - mscoree.dll (file missing)
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~1\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\ARCHIV~1\ARCHIV~1\Skype\SKYPE4~1.DLL
O20 - AppInit_DLLs: pkfyxi.dll
O23 - Service: ACT! Scheduler - Sage Software, Inc. - C:\Archivos de programa\ACT\Act for Windows\Act.Scheduler.exe
O23 - Service: Adobe LM Service - Unknown owner - C:\Archivos de programa\Archivos comunes\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: CVSNT (CVS) - GNU - C:\Archivos de programa\cvsnt\cvsservice.exe
O23 - Service: CVSNT Locking Service (CVSLock) - Unknown owner - C:\Archivos de programa\cvsnt\cvslock.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Archivos de programa\Java\jre6\bin\jqs.exe
O23 - Service: OfficeScanNT RealTime Scan (ntrtscan) - Trend Micro Inc. - C:\Archivos de programa\Trend Micro\OfficeScan Client\ntrtscan.exe
O23 - Service: OfficeScanNT Personal Firewall (OfcPfwSvc) - Trend Micro Inc. - C:\Archivos de programa\Trend Micro\OfficeScan Client\OfcPfwSvc.exe
O23 - Service: Protexis Licensing V2 (PSI_SVC_2) - Protexis Inc. - C:\Archivos de programa\Archivos comunes\Protexis\License Service\PsiService_2.exe
O23 - Service: OfficeScanNT Listener (tmlisten) - Trend Micro Inc. - C:\Archivos de programa\Trend Micro\OfficeScan Client\tmlisten.exe
O23 - Service: wampapache - Apache Software Foundation - c:\wamp\bin\apache\apache2.2.8\bin\httpd.exe
O23 - Service: wampmysqld - Unknown owner - c:\wamp\bin\mysql\mysql5.0.51b\bin\mysqld-nt.exe
O23 - Service: WireLess Deployer Agent (WireLessDeployerAgent) - SofToGo S.A. - C:\Archivos de programa\WireLessDeployer\WireLessDeployerAgent.exe
O23 - Service: WireLess Studio Server Service NT (WSServerSvc) - SofToGo S.A. www.softogo.com - C:\Archivos de programa\WireLessDesigner\WS_Bin\WSServerSvc.exe
O23 - Service: WireLess Studio Server service V4 (WSServerSvcV4) - SofToGo S.A. www.softogo.com - C:\Archivos de programa\WireLessDesigner\WS_Bin_V4\WSServerSvcV4.exe
O23 - Service: WireLess Studio Starter Server Service NT (WSStarterSvc) - SofToGo / Raisonnance S.A. Lyon, France (33) 4 78 66 86 46 / http://www.raisonnance.fr www.softogo.com - C:\Archivos de programa\WireLessDesigner\WS_Bin\WSStarterSvc.exe
O23 - Service: WireLess Studio Starter Server Service V4 (WSStarterSvcV4) - SofToGo S.A. www.softogo.com - C:\Archivos de programa\WireLessDesigner\WS_Bin_V4\WSStarterSvcV4.exe

--
End of file - 7632 bytes

Attachments: