Una infección poco desagradable

Hola a todos,

Esperemos que alguien por ahí puede dar algunos consejos en este caso...

Mi sobrino se encuentra de visita, mientras que en su viaje alrededor del mundo, pero parece que ha recogido algunas criaturas poco desagradable en su portátil mientras en el proceso.

En primer lugar tiene un portátil MSI U115 corriendo a casa híbrido XP SP3

Yo no soy capaz de arrancar en modo seguro. Yo no soy capaz de entrar en el Gestor de tareas, regedit, Ctrl + Alt + DLT o símbolo del sistema que dice que "*. * Se ha deshabilitado por el administrador "a pesar de que estoy conectado como administrador.

No puedo acceder a la administración de equipos de herramientas de administración, dice que "el complemento, a continuación, se hace referencia en este documento ha sido restringido por la política"

He tratado de instalar el siguiente fue en vano, no dejan de bloqueo o el tiempo de espera...AVG, mailwarebytes, spybot, PCTools, adaware. cuando trato de ir a sitios web de AV que se apague diciendo Internet Explorer no puede mostrar esta página......

He utilizado la herramienta de recuperación de MSI para limpiar la unidad C y volver a instalar Windows con la esperanza de que esto es claro, pero no lo hizo?

He adjuntado registro HJT abajo en la esperanza de que alguien puede arrojar algo de lite en este caso para mí.

Gracias de antemano

Funster


Logfile de Trend Micro HijackThis v2.0. 4
Escanear guardado en 23:35:15, el 08/11/2010
Plataforma: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Modo de inicio: Normal

Los procesos en ejecución:
C: \ WINDOWS \ System32 \ smss.exe
C: \ WINDOWS \ system32 \ winlogon.exe
C: \ WINDOWS \ system32 \ services.exe
C: \ WINDOWS \ system32 \ lsass.exe
C: \ WINDOWS \ system32 \ svchost.exe
C: \ WINDOWS \ system32 \ svchost.exe
C: \ WINDOWS \ system32 \ spoolsv.exe
C: \ Archivos de programa \ Administrador de Sistema de Control \ MSIService. exe
C: \ Archivos de programa \ Pack Microsoft \ mejora de la búsqueda \ SeaPort \ SeaPort.exe
C: \ WINDOWS \ h2s.exe
C: \ WINDOWS \ system \ lsass.exe
C: \ WINDOWS \ nacl.exe
C: \ Archivos de programa \ Internet Explorer \ IEXPLORE.EXE
C: \ WINDOWS \ Explorer.EXE
C: \ WINDOWS \ system32 \ igfxtray.exe
C: \ WINDOWS \ system32 \ hkcmd.exe
C: \ WINDOWS \ system32 \ PersistenceThread.exe
C: \ WINDOWS \ rthdcpl.exe
C: \ WINDOWS \ system32 \ igfxsrvc.exe
C: \ Archivos de programa \ Administrador de Sistema de Control \ MGSysCtrl.exe
C: \ WINDOWS \ system32 \ ctfmon. exe
C: \ WINDOWS \ system32 \ svchost.exe
C: \ WINDOWS \ system32 \ unsecapp.exe
D: \ Archivos de programa \ PC Tools Security \ pctsAuxs.exe
D: \ Archivos de programa \ PC Tools Security \ pctsSvc.exe
D: \ Archivos de programa \ PC Tools Security \ pctsGui.exe
D: \ Archivos de programa \ Security PC Tools \ BDT \ BDTUpdateService.exe
D: \ Archivos de programa \ Security PC Tools \ BDT \ FGuard.exe
E: \ HijackThis. exe

R1 - HKCU \ Software \ Microsoft \ Internet Explorer \ Main Page, búsqueda = http://go.microsoftcom/fwlink/?LinkId=54896
R0 - HKCU \ Software \ Microsoft \ Internet Explorer \ Main, Start Page = http://www.msicom
R1 - HKLM \ Software \ Microsoft \ Internet Explorer \ Default_Page_URL principal, = http://go.microsoftcom/fwlink/?LinkId=69157
R1 - HKLM \ Software \ Microsoft \ Internet Explorer \ Default_Search_URL principal, = http://go.microsoftcom/fwlink/?LinkId=54896
R1 - HKLM \ Software \ Microsoft \ Internet Explorer \ Main Page, búsqueda = http://go.microsoftcom/fwlink/?LinkId=54896
R0 - HKLM \ Software \ Microsoft \ Internet Explorer \ Main, Start Page = http://go.microsoftcom/fwlink/?LinkId=69157
R3 - URLSearchHook: Guardia PC Herramientas de Navegación - {472734EA-242A-422b-ADF8-83D1E48CC825} - C: \ Archivos de programa \ Herramientas de Seguridad PC \ BDT \ PCTBrowserDefender.dll
F2 - REG: system.ini: Userinit = C: \ WINDOWS \ userinit.exe
BHO - O2: BHO Browser Defender - {2A0F3D1B-0909-4FF4-B272-609CCE6054E7} - C: \ Archivos de programa \ Herramientas de Seguridad PC \ BDT \ PCTBrowserDefender. dll
O2 - BHO: Windows Live OneCare Family Safety Browser Helper - {4f3ed5cd-0726-42a9-87f5-d13f3d2976ac} - C: \ Program Files \ Windows Live \ Protección infantil \ fssbho.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Ayudante de búsqueda - {6EBF7485-159F-4bff-A14F-B9E3AAC4465B} - C: \ Archivos de programa \ Microsoft \ Pack mejora de la búsqueda \ ayudante de búsqueda \ SearchHelper. dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C: \ Archivos de programa \ Archivos comunes \ Microsoft Shared \ Windows Live \ WindowsLiveLogin.dll
O2 - BHO: Windows Live Toolbar Helper - {E15A8DC0-8516-42A1-81EA-DC94EC1ACF10} - C: \ Program Files \ Windows Live \ Toolbar \ wltcore.dll
O3 - Toolbar: & Windows Live Toolbar - {21FA44EF-376D-4D53-9B0F-8A89D3229068} - C: \ Archivos de programa \ Windows Live \ Toolbar \ wltcore. dll
O3 - Toolbar: Guardia PC Herramientas de Navegación - {472734EA-242A-422B-ADF8-83D1E48CC825} - C: \ Archivos de programa \ Herramientas de Seguridad PC \ BDT \ PCTBrowserDefender.dll
O4 - HKLM \ .. \ Run: [Igfxtray] C: \ WINDOWS \ system32 \ igfxtray.exe
O4 - HKLM \ .. \ Run: [HotKeysCmds] C: \ WINDOWS \ system32 \ hkcmd.exe
O4 - HKLM \ .. \ Run: [PersistenceThread] C: \ WINDOWS \ system32 \ PersistenceThread.exe
O4 - HKLM \ .. \ Run: rthdcpl.exe [RTHDCPL]
O4 - HKLM \ .. \ Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM \ .. \ Run: [MGSysCtrl] C: \ Archivos de programa \ Control System \ MGSysCtrl.exe
O4 - HKLM \ .. \ Run: [ISTray] "D: \ Archivos de programa \ PC Tools Security \ pctsGui.exe" / hideGUI
O4 - HKLM \ .. \ Run: [PCTools FGuard] D: \ Archivos de programa \ Security PC Tools \ BDT \ FGuard.exe
O4 - HKCU \ .. \ Run: nacl.exe \ WINDOWS \: [pikachu] C
O4 - HKCU \ .. \ Run: [ctfmon.exe] C: \ WINDOWS \ system32 \ ctfmon.exe
O4 - HKCU \ .. \ Run: [SpySweeper] "D: \ Archivos de programa \ Webroot \ Spy Sweeper \ SpySweeper.exe" / 0
O4 - HKUS \ S-1-5-18 \ .. \ Run: [CTFMON.EXE] C: \ WINDOWS \ system32 \ CTFMON.EXE (User "SISTEMA")
O4 - HKUS \ DEFAULT \ .. \ Run: [CTFMON.EXE] C: \ WINDOWS \ system32 \ CTFMON.EXE (Usuario usuario por defecto).
O4 - Global Startup: Recycled.vbs
O7 - HKCU \ Software \ Microsoft \ Windows \ CurrentVersion \ Policies \ System, DisableRegedit = 1
O9 - Extra button: blog de esto - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C: \ Archivos de programa \ Windows Live \ Escrito por \ WriterBrowserExtension. dll (file missing)
O9 - Extra "Herramientas" menuitem: & Este blog en Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C: \ Archivos de programa \ Windows Live \ Escrito por \ WriterBrowserExtension.dll (file missing)
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C: \ WINDOWS \ Network Diagnostic \ xpnetdiag.exe
O9 - Extra "Herramientas" menuitem: @ xpsp3res.dll, -20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C: \ WINDOWS \ Network Diagnostic \ xpnetdiag. exe
O9 - Extra button: Messenger - {FB5F1910-F110-11D2-BB9E-00C04F795683} - C: \ Archivos de programa \ Messenger \ msmsgs.exe
O9 - Extra "Herramientas" menuitem: Windows Messenger - {FB5F1910-F110-11D2-BB9E-00C04F795683} - C: \ Archivos de programa \ Messenger \ msmsgs.exe
O14 - iereset.inf: START_PAGE_URL http://www.msicom =
O20 - Winlogon Notify: igdlogin - igdlogin.dll (file missing)
O22 - SharedTaskScheduler: preloader Browseui - {438755C2-A8BA-11D1-b96b-00A0C90312E1} - C: \ WINDOWS \ system32 \ browseui. dll
O22 - SharedTaskScheduler: Componente demonio de caché de las categorías - {8C7461EF-2B13-11D2-BE35-3078302C2030} - C: \ WINDOWS \ system32 \ browseui.dll
O23 - Service: Servicio de ASPNET Estado (aspnet_state) - Unknown owner - C: \ WINDOWS \ MicrosoftNET \ Framework \ v2.0.50727 \ aspnet_state.exe (file missing)
O23 - Service: Servicio de actualización de Browser Defender - Unknown owner - C: \ Archivos de programa \ PC Tools Security \ BDT \ BDTUpdateService.exe
Servicio - O23: SCM Micro Star - Co. Internacional de Micro-Star, Ltd. - C: \ Archivos de programa \ Administrador de Sistema de Control \ MSIService.exe
O23 - Service: PC Tools auxiliar de servicios (sdAuxService) - PC Tools - D: \ Archivos de programa \ PC Tools Security \ pctsAuxs.exe
O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - D: \ Archivos de programa \ PC Tools Security \ pctsSvc.exe
O23 - Service: Windows reciclado Servicios - Unknown owner - C: \ ARCHIV ~ 1 \ COMMON ~ 1 \ MICROS ~ 1 \ MSInfo \ Recycled.scr

-
End of file - 6289 bytes

Usted acaba de describir algo que acabo de limpiar en un ordenador portátil el pasado jueves. Suena exactamente lo mismo. Resultó ser un rootkit: win32/alureon.h

La única manera que pudo encontrar fue para ejecutar el software malintencionado de Microsoft herramienta de eliminación. Si tiene las actualizaciones de Windows actual se puede encontrar en c: \ WINDOWS \ system32 \ MRT. exe

Normalmente, se actualiza y se ejecuta una vez cada mes como parte de las actualizaciones críticas de Windows, pero puede funcionar como un stand-un solitario. (Cuando se ejecuta la eligen para ejecutar el análisis completo). Si no lo tiene en el equipo se puede descargar aquí . Sorprendentemente, hasta la fecha es la mejor herramienta que he encontrado para descubrir y eliminar rootkits.

Si se detecta y corrige cualquier rookits, debe ser capaz de eliminar cualquier malware persistentes con las herramientas normales que parecen estar ya familiarizado.

C: \ WINDOWS \ nacl.exe

F2 - REG: system.ini: Userinit = C: \ WINDOWS \ userinit.exe

O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)

O4 - HKLM \ .. \ Run: [PersistenceThread] C: \ WINDOWS \ system32 \ PersistenceThread.exe

O4 - Global Startup: Recycled.vbs

O7 - HKCU \ Software \ Microsoft \ Windows \ CurrentVersion \ Policies \ System, DisableRegedit = 1

Hola Atno,

Gracias por eso, va a darle un tiro y le permiten saber cómo voy.

Funster