Respuesta : Spyware inborrable

#21 Hupus [MX]

08/02/2005 - 02:13 | Informe spam

Perdón, es una barra de búsqueda la que debes de eliminar:
Usando el Editor de Registro de Windows (Inicio > Ejecutar: REGEDIT)
Vas a la clave HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
En el panel de la derecha busca el nombre "Search Bar", la seleccionas, das click derecho y la eliminas (solo este valor)

Para renombrar puedes hacerlo en "Modo seguro" o deteniendo la ejecución del programa:
Cierra todos los programas, despues abres el administrador de Tareas (Inicio > Ejecutar: TASKMGR) y busca ese nombre en el apartado de "Procesos" lo seleccionas y das click en el botón de detener proceso, una vez realizado esto puedes renombrar el exe.

Si tienes dudas o si necesitas mayor ayuda, ponme un mail y trataremos de hacerlo en "Asistencia Remota"
Saludos desde Acapulco, Gro., MX.
Hupus [MX]
hupus(ARROBA)messageries-instantanees.net
+ sobre el Messenger http://messageries-instantanees.net/
Configura Outlook Express para leer este foro: http://messageries-instantanees.net/Es00160.htm
MSN Group sobre Messenger: http://groups.msn.com/Delveaux

wrote in message news:029601c50d75$7ac87760$
Hola Hupus no se como se cambia la pagina que me dices
que esta secuestrada por la que me parece que me
adjuntas.Y donde me dices que cambie la extension
de "exe". a "bak" pues no me deja, me dice que es un tipo
de arxivo de aplicacion. Lo siento pero voy pegao.
Un saludo y gracias a todos.

Primero desinstala el MsgPlus y vuelves a ejecutar el

Hijackthis (Ya después volverás a instalar el Messenger
Plus, pero sin aceptar el sponsor si así lo deseas)

Dentro del Log veo lo siguiente:

1. Tienes un hijack o secuestro en la página de búsqueda:
HKCU\Software\Microsoft\Internet Explorer\Main,Search

Bar = http://www.wwxuuezkmobsxjlbdp (Cortado por
seguridad)

Cámbialo a
HKCU\Software\Microsoft\Internet Explorer\Main,Search

Bar = http://www.microsoft.com/isapi/redir.dll?
prd=ie&ar=iesearch

2.Borra el BHO:
O2 - BHO: (no name) - {774CC581-5EFD-211F-0A8C-

FF8022296F87} - C:\DOCUME~1\CARLES\DATOSD~1\ANTEFO~1\Test
find.exe (file missing)

3.- Este me suena a virus, pero no lo ubico
O4 - HKLM\..\Run: [pingscrdashmath] C:\Documents and

Settings\All Users\Datos de programa\List bolt ping
scr\Blue Camp.exe

Te sugiero que entres a C:\Documents and Settings\All

Users\Datos de programa\List bolt ping scr\ y le cambies
la extensión de "exe" a "bak" (de "Blue Camp.exe"
a "Blue Camp.bak"), si ves que no te hace falta entonces
eliminas la carpeta y esta entrada del registro de Windows

4.- estos son otros que no ubico, asi que entra a las

carpetas respectivas y dinos el nombre completo que tiene
asi como si reconoces al programa asociado (o puedes
realizar el procedimiento anterior)

O4 - HKLM\..\RunServices: [RegisterDropHandler]

C:\ARCHIV~1\TEXTBR~1.0\Bin\REGIST~1.EXE

O4 - HKCU\..\Run: [HelpVc] C:\DOCUME~1\CARLES\DATOSD~1

\PARTRE~1\1 Bias Thunk.exe

5. Borra directamente este:
O9 - Extra button: Descargas - {AF0828BC-CB46-4C8D-95B6-

8A7C4988F9FF} - c:\kazemule-com\local.htm (file missing)

Despues entra a C:\ y elimina la carpeta si existiera.

6. Estos están asociados al Messenger plus:
O9 - Extra button: Ibiza - {03FBB191-FB50-4154-91D7-

587D5E3C0000} - C:\Documents and Settings\CARLES\Datos de
programa\MATRIX\Ibiza\LanzarDll.exe (HKCU)

O9 - Extra 'Tools' menuitem: Ibiza - {03FBB191-FB50-4154-

91D7-587D5E3C0000} - C:\Documents and

Settings\CARLES\Datos de

programa\MATRIX\Ibiza\LanzarDll.exe (HKCU)

O9 - Extra button: MessengerPlus - {03FBB191-FB50-4154-

91D7-587D5E3C0001} - C:\Documents and

Settings\CARLES\Datos de

programa\MATRIX\MessengerPlus\LanzarDll.exe (HKCU)

O9 - Extra 'Tools' menuitem: MessengerPlus - {03FBB191-

FB50-4154-91D7-587D5E3C0001} - C:\Documents and
Settings\CARLES\Datos de
programa\MATRIX\MessengerPlus\LanzarDll.exe (HKCU)

Para desinstalarlos correctamente, debes de

desinstalar primero el MessengerPlus y volver a ejecutar
el Hijackthis, si te aparecen nuevamente los eliminas
(Pero solo una vez que hayas desinstalado el MsgPlus),
despues vas a Inicio > Ejecutar y tecleas (sin las
comillas) "%appdata%" y elimina la carpeta MATRIX

7. Este es un dialer
O16 - DPF: {03FBB191-FB50-4154-91D7-587D5E3C3C9A} -

http://acceso.masminutos.com/software.cab

8. Y este parece ser un visualizador que desconozco que

tan seguro sea

O16 - DPF: {0638A490-83D3-11D4-9A98-009027713462}

(DinaTierraCtl.DinaTierra) -
http://w3.mapya.es/dinatierra_v3/Re...rraCtl.CAB

9. Borra este:
O16 - DPF: {4B6015E7-3ABB-45DC-96B7-55A843751F28} -

http://www.juegos-flash.com/ruboskizo2.cab

10. Componentes de un dialer y sponsored links
O16 - DPF: {5C3A9EA6-4068-46B8-8B5A-692FB10607B1}

(IntDialerData Class) -
http://www.grupomarineda.net/auto/DialerData.cab

O16 - DPF: {5DF6FB84-749D-4AAE-AE37-708DE09B0588} -

http://213.229.160.209/dialers/dial.cab

O16 - DPF: {5F426A93-0821-47D2-A126-5A48A874B289} -

http://212.145.159.194/251065/dialercab/WebRecomendada.cab

O16 - DPF: {8E65B894-C2E9-11D5-BCD3-00E018987519} -

http://19.sharedsource.org/cabs/LIVE_CAMes.cab

O16 - DPF: {94118C19-B178-4E43-BBE8-0EFDBB391BDB}

(SysWebTelecom Class) -
http://www.sponsoradulto.com/SysWebTelecom.cab

11. Parece ser el runtime para el visualizador de

DinaTierra

O16 - DPF: {E8A4D743-13C0-4E03-A2D9-0C92FE038200}

(TragsatecRuntimeVB.TTecRuntimeVBCtl) -
http://w3.mapya.es/dinatierra_v3/Re...timeVB.CAB

12. Esta clave apunta hacia RIMA/Telefónica España ¿Es

tu proveedor de Internet?

O17 - HKLM\System\CCS\Services\Tcpip\..\{9D4F4F0E-E1C4-

49C8-8634-6984BB71087D}: NameServer =

80.58.0.33,80.58.32.97

13. Elimina esta:
O23 - Service: AutoComplete Service - Unknown -

C:\ARCHIV~1\INTERN~2\autocomp.exe (file missing)

Suerte!!
Saludos desde Acapulco, Gro., MX.
Hupus [MX]
hupus(ARROBA)messageries-instantanees.net
+ sobre el Messenger http://messageries-instantanees.net/
Configura Outlook Express para leer este foro:

http://messageries-instantanees.net/Es00160.htm

MSN Group sobre Messenger: http://groups.msn.com/Delveaux

.

Responder a este mensaje

#22 Carolus

10/02/2005 - 00:44 | Informe spam

Gracias y un saludo

Perdón, es una barra de búsqueda la que debes de

eliminar:

Usando el Editor de Registro de Windows (Inicio >

Ejecutar: REGEDIT)

Vas a la clave

HKEY_CURRENT_USER\Software\Microsoft\Internet
Explorer\Main

En el panel de la derecha busca el nombre "Search Bar",

la seleccionas, das click derecho y la eliminas (solo
este valor)

Para renombrar puedes hacerlo en "Modo seguro" o

deteniendo la ejecución del programa:

Cierra todos los programas, despues abres el

administrador de Tareas (Inicio > Ejecutar: TASKMGR) y
busca ese nombre en el apartado de "Procesos" lo
seleccionas y das click en el botón de detener proceso,
una vez realizado esto puedes renombrar el exe.

Si tienes dudas o si necesitas mayor ayuda, ponme un

mail y trataremos de hacerlo en "Asistencia Remota"

Saludos desde Acapulco, Gro., MX.
Hupus [MX]
hupus(ARROBA)messageries-instantanees.net
+ sobre el Messenger http://messageries-instantanees.net/
Configura Outlook Express para leer este foro:

http://messageries-instantanees.net/Es00160.htm

MSN Group sobre Messenger: http://groups.msn.com/Delveaux

wrote in message

news:029601c50d75$7ac87760$

Hola Hupus no se como se cambia la pagina que me dices
que esta secuestrada por la que me parece que me
adjuntas.Y donde me dices que cambie la extension
de "exe". a "bak" pues no me deja, me dice que es un

tipo

de arxivo de aplicacion. Lo siento pero voy pegao.
Un saludo y gracias a todos.

Primero desinstala el MsgPlus y vuelves a ejecutar el

Hijackthis (Ya después volverás a instalar el Messenger
Plus, pero sin aceptar el sponsor si así lo deseas)

Dentro del Log veo lo siguiente:

1. Tienes un hijack o secuestro en la página de

búsqueda:

HKCU\Software\Microsoft\Internet Explorer\Main,Search

Bar = http://www.wwxuuezkmobsxjlbdp (Cortado por
seguridad)

Cámbialo a
HKCU\Software\Microsoft\Internet Explorer\Main,Search

Bar = http://www.microsoft.com/isapi/redir.dll?
prd=ie&ar=iesearch

2.Borra el BHO:
O2 - BHO: (no name) - {774CC581-5EFD-211F-0A8C-

FF8022296F87} - C:\DOCUME~1\CARLES\DATOSD~1\ANTEFO~1

\Test

find.exe (file missing)

3.- Este me suena a virus, pero no lo ubico
O4 - HKLM\..\Run: [pingscrdashmath] C:\Documents and

Settings\All Users\Datos de programa\List bolt ping
scr\Blue Camp.exe

Te sugiero que entres a C:\Documents and Settings\All

Users\Datos de programa\List bolt ping scr\ y le cambies
la extensión de "exe" a "bak" (de "Blue Camp.exe"
a "Blue Camp.bak"), si ves que no te hace falta

entonces

eliminas la carpeta y esta entrada del registro de

Windows

4.- estos son otros que no ubico, asi que entra a las

carpetas respectivas y dinos el nombre completo que

tiene

asi como si reconoces al programa asociado (o puedes
realizar el procedimiento anterior)

O4 - HKLM\..\RunServices: [RegisterDropHandler]

C:\ARCHIV~1\TEXTBR~1.0\Bin\REGIST~1.EXE

O4 - HKCU\..\Run: [HelpVc] C:\DOCUME~1\CARLES\DATOSD~1

\PARTRE~1\1 Bias Thunk.exe

5. Borra directamente este:
O9 - Extra button: Descargas - {AF0828BC-CB46-4C8D-95B6-

8A7C4988F9FF} - c:\kazemule-com\local.htm (file missing)

Despues entra a C:\ y elimina la carpeta si existiera.

6. Estos están asociados al Messenger plus:
O9 - Extra button: Ibiza - {03FBB191-FB50-4154-91D7-

587D5E3C0000} - C:\Documents and Settings\CARLES\Datos

de

programa\MATRIX\Ibiza\LanzarDll.exe (HKCU)

O9 - Extra 'Tools' menuitem: Ibiza - {03FBB191-FB50-

4154-

91D7-587D5E3C0000} - C:\Documents and

Settings\CARLES\Datos de

programa\MATRIX\Ibiza\LanzarDll.exe (HKCU)

O9 - Extra button: MessengerPlus - {03FBB191-FB50-4154-

91D7-587D5E3C0001} - C:\Documents and

Settings\CARLES\Datos de

programa\MATRIX\MessengerPlus\LanzarDll.exe (HKCU)

O9 - Extra 'Tools' menuitem: MessengerPlus - {03FBB191-

FB50-4154-91D7-587D5E3C0001} - C:\Documents and
Settings\CARLES\Datos de
programa\MATRIX\MessengerPlus\LanzarDll.exe (HKCU)

Para desinstalarlos correctamente, debes de

desinstalar primero el MessengerPlus y volver a ejecutar
el Hijackthis, si te aparecen nuevamente los eliminas
(Pero solo una vez que hayas desinstalado el MsgPlus),
despues vas a Inicio > Ejecutar y tecleas (sin las
comillas) "%appdata%" y elimina la carpeta MATRIX

7. Este es un dialer
O16 - DPF: {03FBB191-FB50-4154-91D7-587D5E3C3C9A} -

http://acceso.masminutos.com/software.cab

8. Y este parece ser un visualizador que desconozco que

tan seguro sea

O16 - DPF: {0638A490-83D3-11D4-9A98-009027713462}

(DinaTierraCtl.DinaTierra) -
http://w3.mapya.es/dinatierra_v3/Re...rraCtl.CAB

9. Borra este:
O16 - DPF: {4B6015E7-3ABB-45DC-96B7-55A843751F28} -

http://www.juegos-flash.com/ruboskizo2.cab

10. Componentes de un dialer y sponsored links
O16 - DPF: {5C3A9EA6-4068-46B8-8B5A-692FB10607B1}

(IntDialerData Class) -
http://www.grupomarineda.net/auto/DialerData.cab

O16 - DPF: {5DF6FB84-749D-4AAE-AE37-708DE09B0588} -

http://213.229.160.209/dialers/dial.cab

O16 - DPF: {5F426A93-0821-47D2-A126-5A48A874B289} -

http://212.145.159.194/251065/dialercab/WebRecomendada.ca

b

O16 - DPF: {8E65B894-C2E9-11D5-BCD3-00E018987519} -

http://19.sharedsource.org/cabs/LIVE_CAMes.cab

O16 - DPF: {94118C19-B178-4E43-BBE8-0EFDBB391BDB}

(SysWebTelecom Class) -
http://www.sponsoradulto.com/SysWebTelecom.cab

11. Parece ser el runtime para el visualizador de

DinaTierra

O16 - DPF: {E8A4D743-13C0-4E03-A2D9-0C92FE038200}

(TragsatecRuntimeVB.TTecRuntimeVBCtl) -
http://w3.mapya.es/dinatierra_v3/Re...timeVB.CAB

12. Esta clave apunta hacia RIMA/Telefónica España ¿Es

tu proveedor de Internet?

O17 - HKLM\System\CCS\Services\Tcpip\..\{9D4F4F0E-E1C4-

49C8-8634-6984BB71087D}: NameServer =

80.58.0.33,80.58.32.97

13. Elimina esta:
O23 - Service: AutoComplete Service - Unknown -

C:\ARCHIV~1\INTERN~2\autocomp.exe (file missing)

Suerte!!
Saludos desde Acapulco, Gro., MX.
Hupus [MX]
hupus(ARROBA)messageries-instantanees.net
+ sobre el Messenger http://messageries-

instantanees.net/

Configura Outlook Express para leer este foro:

http://messageries-instantanees.net/Es00160.htm

MSN Group sobre Messenger:

http://groups.msn.com/Delveaux

.

.

Responder a este mensaje

#23 Hupus [MX]

10/02/2005 - 02:25 | Informe spam

Espero que se haya solucionado.
Saludos desde Acapulco, Gro., MX.
Hupus [MX]
hupus(ARROBA)messageries-instantanees.net
+ sobre el Messenger http://messageries-instantanees.net/
Configura Outlook Express para leer este foro: http://messageries-instantanees.net/Es00160.htm
MSN Group sobre Messenger: http://groups.msn.com/Delveaux

"Carolus" wrote in message news:0aac01c50f01$53ab5b10$
Gracias y un saludo

Perdón, es una barra de búsqueda la que debes de

eliminar:

Usando el Editor de Registro de Windows (Inicio >

Ejecutar: REGEDIT)

Vas a la clave

HKEY_CURRENT_USER\Software\Microsoft\Internet
Explorer\Main

En el panel de la derecha busca el nombre "Search Bar",

la seleccionas, das click derecho y la eliminas (solo
este valor)

Para renombrar puedes hacerlo en "Modo seguro" o

deteniendo la ejecución del programa:

Cierra todos los programas, despues abres el

administrador de Tareas (Inicio > Ejecutar: TASKMGR) y
busca ese nombre en el apartado de "Procesos" lo
seleccionas y das click en el botón de detener proceso,
una vez realizado esto puedes renombrar el exe.

Si tienes dudas o si necesitas mayor ayuda, ponme un

mail y trataremos de hacerlo en "Asistencia Remota"

Saludos desde Acapulco, Gro., MX.
Hupus [MX]
hupus(ARROBA)messageries-instantanees.net
+ sobre el Messenger http://messageries-instantanees.net/
Configura Outlook Express para leer este foro:

http://messageries-instantanees.net/Es00160.htm

MSN Group sobre Messenger: http://groups.msn.com/Delveaux

wrote in message

news:029601c50d75$7ac87760$

Hola Hupus no se como se cambia la pagina que me dices
que esta secuestrada por la que me parece que me
adjuntas.Y donde me dices que cambie la extension
de "exe". a "bak" pues no me deja, me dice que es un

tipo

de arxivo de aplicacion. Lo siento pero voy pegao.
Un saludo y gracias a todos.

Primero desinstala el MsgPlus y vuelves a ejecutar el

Hijackthis (Ya después volverás a instalar el Messenger
Plus, pero sin aceptar el sponsor si así lo deseas)

Dentro del Log veo lo siguiente:

1. Tienes un hijack o secuestro en la página de

búsqueda:

HKCU\Software\Microsoft\Internet Explorer\Main,Search

Bar = http://www.wwxuuezkmobsxjlbdp (Cortado por
seguridad)

Cámbialo a
HKCU\Software\Microsoft\Internet Explorer\Main,Search

Bar = http://www.microsoft.com/isapi/redir.dll?
prd=ie&ar=iesearch

2.Borra el BHO:
O2 - BHO: (no name) - {774CC581-5EFD-211F-0A8C-

FF8022296F87} - C:\DOCUME~1\CARLES\DATOSD~1\ANTEFO~1

\Test

find.exe (file missing)

3.- Este me suena a virus, pero no lo ubico
O4 - HKLM\..\Run: [pingscrdashmath] C:\Documents and

Settings\All Users\Datos de programa\List bolt ping
scr\Blue Camp.exe

Te sugiero que entres a C:\Documents and Settings\All

Users\Datos de programa\List bolt ping scr\ y le cambies
la extensión de "exe" a "bak" (de "Blue Camp.exe"
a "Blue Camp.bak"), si ves que no te hace falta

entonces

eliminas la carpeta y esta entrada del registro de

Windows

4.- estos son otros que no ubico, asi que entra a las

carpetas respectivas y dinos el nombre completo que

tiene

asi como si reconoces al programa asociado (o puedes
realizar el procedimiento anterior)

O4 - HKLM\..\RunServices: [RegisterDropHandler]

C:\ARCHIV~1\TEXTBR~1.0\Bin\REGIST~1.EXE

O4 - HKCU\..\Run: [HelpVc] C:\DOCUME~1\CARLES\DATOSD~1

\PARTRE~1\1 Bias Thunk.exe

5. Borra directamente este:
O9 - Extra button: Descargas - {AF0828BC-CB46-4C8D-95B6-

8A7C4988F9FF} - c:\kazemule-com\local.htm (file missing)

Despues entra a C:\ y elimina la carpeta si existiera.

6. Estos están asociados al Messenger plus:
O9 - Extra button: Ibiza - {03FBB191-FB50-4154-91D7-

587D5E3C0000} - C:\Documents and Settings\CARLES\Datos

de

programa\MATRIX\Ibiza\LanzarDll.exe (HKCU)

O9 - Extra 'Tools' menuitem: Ibiza - {03FBB191-FB50-

4154-

91D7-587D5E3C0000} - C:\Documents and

Settings\CARLES\Datos de

programa\MATRIX\Ibiza\LanzarDll.exe (HKCU)

O9 - Extra button: MessengerPlus - {03FBB191-FB50-4154-

91D7-587D5E3C0001} - C:\Documents and

Settings\CARLES\Datos de

programa\MATRIX\MessengerPlus\LanzarDll.exe (HKCU)

O9 - Extra 'Tools' menuitem: MessengerPlus - {03FBB191-

FB50-4154-91D7-587D5E3C0001} - C:\Documents and
Settings\CARLES\Datos de
programa\MATRIX\MessengerPlus\LanzarDll.exe (HKCU)

Para desinstalarlos correctamente, debes de

desinstalar primero el MessengerPlus y volver a ejecutar
el Hijackthis, si te aparecen nuevamente los eliminas
(Pero solo una vez que hayas desinstalado el MsgPlus),
despues vas a Inicio > Ejecutar y tecleas (sin las
comillas) "%appdata%" y elimina la carpeta MATRIX

7. Este es un dialer
O16 - DPF: {03FBB191-FB50-4154-91D7-587D5E3C3C9A} -

http://acceso.masminutos.com/software.cab

8. Y este parece ser un visualizador que desconozco que

tan seguro sea

O16 - DPF: {0638A490-83D3-11D4-9A98-009027713462}

(DinaTierraCtl.DinaTierra) -
http://w3.mapya.es/dinatierra_v3/Re...rraCtl.CAB

9. Borra este:
O16 - DPF: {4B6015E7-3ABB-45DC-96B7-55A843751F28} -

http://www.juegos-flash.com/ruboskizo2.cab

10. Componentes de un dialer y sponsored links
O16 - DPF: {5C3A9EA6-4068-46B8-8B5A-692FB10607B1}

(IntDialerData Class) -
http://www.grupomarineda.net/auto/DialerData.cab

O16 - DPF: {5DF6FB84-749D-4AAE-AE37-708DE09B0588} -

http://213.229.160.209/dialers/dial.cab

O16 - DPF: {5F426A93-0821-47D2-A126-5A48A874B289} -

http://212.145.159.194/251065/dialercab/WebRecomendada.ca

b

O16 - DPF: {8E65B894-C2E9-11D5-BCD3-00E018987519} -

http://19.sharedsource.org/cabs/LIVE_CAMes.cab

O16 - DPF: {94118C19-B178-4E43-BBE8-0EFDBB391BDB}

(SysWebTelecom Class) -
http://www.sponsoradulto.com/SysWebTelecom.cab

11. Parece ser el runtime para el visualizador de

DinaTierra

O16 - DPF: {E8A4D743-13C0-4E03-A2D9-0C92FE038200}

(TragsatecRuntimeVB.TTecRuntimeVBCtl) -
http://w3.mapya.es/dinatierra_v3/Re...timeVB.CAB

12. Esta clave apunta hacia RIMA/Telefónica España ¿Es

tu proveedor de Internet?

O17 - HKLM\System\CCS\Services\Tcpip\..\{9D4F4F0E-E1C4-

49C8-8634-6984BB71087D}: NameServer =

80.58.0.33,80.58.32.97

13. Elimina esta:
O23 - Service: AutoComplete Service - Unknown -

C:\ARCHIV~1\INTERN~2\autocomp.exe (file missing)

Suerte!!
Saludos desde Acapulco, Gro., MX.
Hupus [MX]
hupus(ARROBA)messageries-instantanees.net
+ sobre el Messenger http://messageries-