Problema con un Spyware

[YeKTa]

Buenas!!

Ya se que hay muchos post sobre este tema, he intentado solucionar mi problema leyendolos pero no lo consigo. Os cuento, tengo una pagina de inicio en el explorer (http:\\bestsearch.cc/3100/) la cual, cuando intento acceder a otra no me deja porque se me redirecciona a ella otra vez  pero de esta manera, por ejemplo, intento ir a google y queda como http:\\69.50.191.52.3100/www.google.com
Me he bajado el cwshredder, he hecho el escaneo, ha detectado archivos, los ha borrado pero sigue igual. Tambien me he bajado el hijackthis.zip en el cual me aparece la pagina y la borro pero vuelve a aparecer. Aqui os copio el log a ver si hay algo mas que debo de borrar y no lo hago. Gracias!!

Logfile of HijackThis v1.98.2
Scan saved at 17:06:47, on 08/09/04
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\ARCHIVOS DE PROGRAMA\MCAFEE.COM\VSO\MCVSRTE.EXE
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\ARCHIVOS DE PROGRAMA\SOPORTE TECNICO DE TERRA\BIN\MAD.EXE
C:\ARCHIVOS DE PROGRAMA\MOTIVE\ASSTCOMMON\MOTIVEDIRECTORY.EXE
C:\ARCHIVOS DE PROGRAMA\SOPORTE TECNICO DE TERRA\BIN\MOTIVEBROWSER.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\TASKMON.EXE
C:\ARCHIVOS DE PROGRAMA\TERRA ADSL PLUS\BIN\WIN9X\TIDSLMON.EXE
C:\SBPCI\CTMIX32.EXE
C:\ARCHIVOS DE PROGRAMA\MCAFEE.COM\PERSONAL FIREWALL\MPFTRAY.EXE
C:\ARCHIVOS DE PROGRAMA\MCAFEE.COM\AGENT\MCAGENT.EXE
C:\ARCHIVOS DE PROGRAMA\MCAFEE.COM\VSO\MCVSSHLD.EXE
C:\WINDOWS\LOADQM.EXE
C:\ARCHIVOS DE PROGRAMA\MCAFEE.COM\VSO\MCVSESCN.EXE
C:\ARCHIVOS DE PROGRAMA\PINNACLE\STUDIO PCTV\REMOTE\REMOTERM.EXE
C:\ARCHIVOS DE PROGRAMA\WINAMP\WINAMPA.EXE
C:\ARCHIVOS DE PROGRAMA\REAL\REALPLAYER\REALPLAY.EXE
C:\ARCHIVOS DE PROGRAMA\PINNACLE\STUDIO PCTV\EREGISTER\REMIND32.EXE
C:\ARCHIVOS DE PROGRAMA\WINZIP\WZQKPICK.EXE
C:\ARCHIVOS DE PROGRAMA\SOPORTE TECNICO DE TERRA\BIN\MPBTN.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\ARCHIVOS DE PROGRAMA\MCAFEE.COM\PERSONAL FIREWALL\MPFAGENT.EXE
C:\ARCHIVOS DE PROGRAMA\INTERNET EXPLORER\IEXPLORE.EXE
C:\WINDOWS\ESCRITORIO\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://69.50.191.52/3100/sp.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://69.50.191.52/3100/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://69.50.191.52/3100/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://69.50.191.52/3100/sp.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://69.50.191.52/3100/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://69.50.191.52/3100/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://69.50.191.52/3100/sp.php
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 127.0.0.1
O2 - BHO: DAPHelper Class - {0000CC75-ACF3-4cac-A0A9-DD3868E06852} - C:\ARCHIVOS DE PROGRAMA\DAP\DAPBHO.DLL
O3 - Toolbar: McAfee VirusScan - {BA52B914-B692-46c4-B683-905236F6F655} - C:\ARCHIVOS DE PROGRAMA\MCAFEE.COM\VSO\MCVSSHL.DLL
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [TIxDSL] C:\ARCHIV~1\TERRAA~1\BIN\WIN9X\tidslmon.exe
O4 - HKLM\..\Run: [CreativeMixer] C:\SBPCI\ctmix32.exe /T
O4 - HKLM\..\Run: [MPFExe] C:\ARCHIV~1\MCAFEE.COM\PERSON~1\MPFTRAY.EXE
O4 - HKLM\..\Run: [MCAgentExe] C:\ARCHIV~1\MCAFEE.COM\AGENT\mcagent.exe
O4 - HKLM\..\Run: [MCUpdateExe] C:\ARCHIV~1\MCAFEE.COM\AGENT\McUpdate.exe
O4 - HKLM\..\Run: [VSOCheckTask] "C:\ARCHIV~1\MCAFEE.COM\VSO\MCMNHDLR.EXE" /checktask
O4 - HKLM\..\Run: [VirusScan Online] "C:\ARCHIV~1\MCAFEE.COM\VSO\mcvsshld.exe"
O4 - HKLM\..\Run: [LoadQM] loadqm.exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [PCTVRemote] C:\ARCHIVOS DE PROGRAMA\PINNACLE\STUDIO PCTV\REMOTE\REMOTERM.EXE
O4 - HKLM\..\Run: [Initialize8x8] C:\WINDOWS\pinnacle\PCTV\8x8_init.exe
O4 - HKLM\..\Run: [svchost] C:\WINDOWS\svchost.exe
O4 - HKLM\..\Run: [WinampAgent] "C:\ARCHIVOS DE PROGRAMA\WINAMP\WINAMPa.exe"
O4 - HKLM\..\Run: [RealTray] C:\Archivos de programa\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYER
O4 - HKLM\..\RunServices: [McVsRte] C:\ARCHIV~1\MCAFEE.COM\VSO\mcvsrte.exe /embedding
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] C:\WINDOWS\SYSTEM\mstask.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Archivos de programa\MSN Messenger\MsnMsgr.Exe" /background
O4 - Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE
O4 - Startup: Soporte Tecnico de Terra.lnk = C:\Archivos de programa\Soporte Tecnico de Terra\bin\matcli.exe
O4 - Startup: WinZip Quick Pick.lnk = C:\Archivos de programa\WinZip\WZQKPICK.EXE
O4 - Startup: Pinnacle Systems - Studio Family.lnk = C:\Archivos de programa\Pinnacle\Studio PCTV\ERegister\Remind32.exe
O9 - Extra button: Run DAP - {669695BC-A811-4A9D-8CDF-BA8C795F261C} - C:\ARCHIV~1\DAP\DAP.EXE
O13 - DefaultPrefix: http://69.50.191.50/?
O13 - WWW Prefix: http://69.50.191.50/?
O16 - DPF: {EF791A6B-FC12-4C68-99EF-FB9E207A39E6} (McFreeScan Class) - http://download.mcafee.com/molbin/iss-loc/vso/en-us/tools/mcfscan/2,0,0,4389/mcfscan.cab
O16 - DPF: {4ED9DDF0-7479-4BBE-9335-5A1EDB1D8A21} (McAfee.com Operating System Class) - http://download.mcafee.com/molbin/shared/mcinsctl/es/4,0,0,83/mcinsctl.cab
O16 - DPF: {B785FA3C-1DE9-4D20-8396-613C486FE95E} (AeatCtl Class) - https://aeat.es/imagenes/comun/cactivex.cab
O17 - HKLM\System\CCS\Services\VxD\MSTCP: NameServer = 195.235.113.3,195.235.96.90

[kill3r97]

lo que yo haria seria usar ejeccutar (win+r) y cargar regedit
una vez ahi me pondria con mucha paciencia a leer todo los
registros y mirar entradas extrañas para ello deberas ya conocer
algo sobre registro de windows ahi decenas de manuales en todos los idiomas.

pero si queres una solucion sin duda alguna no conozco
nada que se les escape a estos dos.

cojiendo el spyware

SPY BOT SEARCH AND DESTRoy (excelente adware 20000 tipos)
AD-AWARE SE (coje lo que se le escapa al SPY BOT)
y por si alguna duda
SPY SWEEPER (termina el trabajo dejando bien limpio nuestro sistema)

limpiando el registro

REG CLEANER limpia entradas al registro obsoletas

chequeando nuestro inicio

-es bueno mirar el msconfig  en inicio y en servicios para ver que se carga en nuestra PC al arrancar

-tambien el spybot tiene uuna aplicacion que nos muestra muchos programas que se inician en nuestra pc que no se ven en el msconfig tambien puedes borrar estos inicios sin tener que desactivarlos en el msconfig

- chequeando programas en memoria

- PROCES XP te muestra en un ambiente grafico y facil de
   manejar los procesos que ahi en tu windows cargados permite matar todo el arbol ver el origen de la aplicacion y te  muchisimos datos sobre el programa cargado

- NETSTAT este comando te servira para ver a que direcciones IP te conecctas aunque si tenes uun firewall como el de panda podras verlos en entorno grafico

pd. si usas netstat te recomiendo no conecctarte a ningun daemon para que el netstat no te muestre una lista muy grande con la opcion -o ves la pid de los procesos asi podras ir matandolos.

bueno esto es lo que yo haria pero sin embargo una solucion
que se me acaba de ocurrir es cambiarte de IE a opera, mozilla,
o por que no conseguite el SP2  de xp que hace algunos dias saio

[pper]

este me parece que es el culpable
 O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
el programa que te ataca es  C:\WINDOWS\SYSTEM\MSDXM.OCX
la forma manual que lo desactivaria seria cambiar la extensión del programa que me ataca, el windows al no encontrarlo no lo ejecuta, pero no te dejara, si esta en memoria viendo lo que haces, entonces hazlo desde DOS
no windows ventana DOS

y estos son valores de registro que usa para ponerse al principio
 O13 - DefaultPrefix: http://69.50.191.50/?
 O13 - WWW Prefix: http://69.50.191.50/?
pensaria en matarlos o cambiarles el valos con el hacktis,
pero ten cuidado por que en esto no estoy muy seguro de este paso....

y desconfiaria de estos no lo conozco creo que uno es del msg
(por favor investiga)
O4 - HKLM\..\Run: [LoadQM] loadqm.exe
O4 - HKLM\..\Run: [svchost] C:\WINDOWS\svchost.exe

[Arwing]

pper, te equivocas con esta entrada:

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX

Es legal. Así que Anónima, no la borres. Lo que si concuerdo es lo del Loadqm.exe. En mi página encuentras una guía de desinstalación en la sección Biblioteca (www.arwinianos.net/biblioteca).

Nota importante: Si no conoces algún procedimiento que te recomiendo, por lo general estarán remarcados en negrita (deshabilitar la restauración del sistema, abrir el Regedit, etc.) visita el siguiente post de ayuda:

http://www.arwinianos.net/foro/index.php?topic=39

Abre el HijackThis y selecciona las siguientes entradas (las que todavía estén presentes):

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://69.50.191.52/3100/sp.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://69.50.191.52/3100/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://69.50.191.52/3100/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://69.50.191.52/3100/sp.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://69.50.191.52/3100/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://69.50.191.52/3100/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://69.50.191.52/3100/sp.php

O4 - HKLM\..\Run: [svchost] C:\WINDOWS\svchost.exe

O13 - DefaultPrefix: http://69.50.191.50/?
O13 - WWW Prefix: http://69.50.191.50/?

O17 - HKLM\System\CCS\Services\VxD\MSTCP: NameServer = 195.235.113.3,195.235.96.90        <-- Sólo si no reconoces estas IP

Y da click en el botón "Fix Checked"

Descarga el programa Disk Cleaner y úsalo para borrar todos los archivos temporales de tu computadora.

Habilita a todas las carpetas para que Muestren Carpetas y Archivos Ocultos

Ahora busca los siguientes archivos y bórralos:

C:\WINDOWS\svchost.exe

Reinicia el sistema y prueba que tal te va ahora.

Saludos
Arwing