What the Tech?! Free tech support Archive
This is a read-only archive. No new posts or registrations. Privacy Page
Spyware / Malware / Virus Removal

[Resolved] hijack this log

7 min read

This thread's last reply is from . Advice, software, and links below may be out of date — treat specific steps and download links with caution.

Looking for the outcome? Ask AI

Post #1
i'm DARK_MEGAS and my trouble is a msn virus that tries to send himself to my online contatcs saying messages in spanish and portuguese.

i been trying to delete the virus by myself but i can't and i also tough that the virus location was(sorry is in spanish) "C:/Documents and Settings/my user/configuracion local/Temp" because the .rar appears there but i tried to delete the .rar and when i reboot the pc the virus appears there again, also i scan the virus with avast and avast don't reconize it. I don't know what to do, please help me.



so here's my log


Logfile of HijackThis v1.99.1
Scan saved at 09:40:32 a.m., on 31/10/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Archivos de programa\Alwil Software\Avast4\aswUpdSv.exe
C:\Archivos de programa\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\Archivos de programa\Alwil Software\Avast4\ashMaiSv.exe
C:\Archivos de programa\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\ARCHIV~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\oaerfdqe.exe
C:\WINDOWS\system32\wfsvc.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Archivos de programa\Messenger\msmsgs.exe
C:\WINDOWS\BricoPacks\Vista Inspirat 2\RocketDock\RocketDock.exe
C:\Archivos de programa\MSN Messenger\usnsvc.exe
C:\Archivos de programa\uTorrent\uTorrent.exe
C:\Archivos de programa\MSN Messenger\msnmsgr.exe
C:\Archivos de programa\Mozilla Firefox\firefox.exe
C:\Documents and Settings\pavel perez\Escritorio\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {15FAC292-47E3-43DC-B097-C479F9D32DC3} - C:\WINDOWS\system32\awtusro.dll (file missing)
O2 - BHO: Megaupload Toolbar - {4E7BD74F-2B8D-469E-CCB0-B130EEDBE97C} - C:\ARCHIV~1\MEGAUP~1\MEGAUP~1.DLL
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O3 - Toolbar: Megaupload Toolbar - {4E7BD74F-2B8D-469E-CCB0-B130EEDBE97C} - C:\ARCHIV~1\MEGAUP~1\MEGAUP~1.DLL
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [igfxtray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [igfxhkcmd] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [igfxpers] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [avast!] C:\ARCHIV~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [Windows Firewall Service] wfsvc.exe
O4 - HKLM\..\Run: [oaerfdqe] C:\WINDOWS\system32\oaerfdqe.exe
O4 - HKLM\..\Run: [awt] C:\WINDOWS\system32\awt.exe
O4 - HKLM\..\Run: [ww] C:\WINDOWS\system32\ww.exe
O4 - HKLM\..\Run: [flwr] C:\WINDOWS\system32\flwr.exe
O4 - HKLM\..\Run: [aphhnbhqdgtf] C:\WINDOWS\system32\aphhnbhqdgtf.exe
O4 - HKLM\..\Run: [hjjw] C:\WINDOWS\system32\hjjw.exe
O4 - HKLM\..\Run: [fouylkayse] C:\WINDOWS\system32\fouylkayse.exe
O4 - HKLM\..\Run: [if] C:\WINDOWS\system32\if.exe
O4 - HKLM\..\Run: [oeyyd] C:\WINDOWS\system32\oeyyd.exe
O4 - HKLM\..\Run: [ltdcahlv] C:\WINDOWS\system32\ltdcahlv.exe
O4 - HKLM\..\Run: [riigdz] C:\WINDOWS\system32\riigdz.exe
O4 - HKLM\..\Run: [y] C:\WINDOWS\system32\y.exe
O4 - HKLM\..\Run: [qcbh] C:\WINDOWS\system32\qcbh.exe
O4 - HKLM\..\Run: [d] C:\WINDOWS\system32\d.exe
O4 - HKLM\..\Run: [mnamdfmuf] C:\WINDOWS\system32\mnamdfmuf.exe
O4 - HKLM\..\Run: [ivg] C:\WINDOWS\system32\ivg.exe
O4 - HKLM\..\Run: [culhopha] C:\WINDOWS\system32\culhopha.exe
O4 - HKLM\..\Run: [qltjrso] C:\WINDOWS\system32\qltjrso.exe
O4 - HKLM\..\Run: [kdsysdatu] C:\WINDOWS\system32\kdsysdatu.exe
O4 - HKLM\..\Run: [tor] C:\WINDOWS\system32\tor.exe
O4 - HKLM\..\Run: [cajwtc] C:\WINDOWS\system32\cajwtc.exe
O4 - HKLM\..\Run: [badyoidh] C:\WINDOWS\system32\badyoidh.exe
O4 - HKLM\..\Run: [aokodiupnz] C:\WINDOWS\system32\aokodiupnz.exe
O4 - HKLM\..\Run: [lt] C:\WINDOWS\system32\lt.exe
O4 - HKLM\..\Run: [jui] C:\WINDOWS\system32\jui.exe
O4 - HKLM\..\Run: [v] C:\WINDOWS\system32\v.exe
O4 - HKLM\..\Run: [xfvmc] C:\WINDOWS\system32\xfvmc.exe
O4 - HKLM\..\Run: [kqssjcfduh] C:\WINDOWS\system32\kqssjcfduh.exe
O4 - HKLM\..\Run: [srbdkogrw] C:\WINDOWS\system32\srbdkogrw.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Archivos de programa\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [BitTorrent] "C:\Archivos de programa\BitTorrent\bittorrent.exe" –force_start_minimized
O4 - HKCU\..\Run: [Global does] C:\DOCUME~1\PAVELP~1\DATOSD~1\thissize\Ooze Sign.exe
O4 - Startup: RocketDock.lnk = C:\WINDOWS\BricoPacks\Vista Inspirat 2\RocketDock\RocketDock.exe
O4 - Startup: TransBar.lnk = C:\WINDOWS\BricoPacks\Vista Inspirat 2\TransBar\TransBar.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O16 - DPF: {20A60F0D-9AFA-4515-A0FD-83BD84642501} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab56986.cab
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/EN-US/a-UNO1/GAME_UNO1.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe…nt.cab56907.cab
O16 - DPF: {F5A7706B-B9C0-4C89-A715-7A0C6B05DD48} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineS…er.cab56986.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: awtusro - awtusro.dll (file missing)
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxdev.dll
O21 - SSODL: rdihost - {254C0685-1D23-4015-8911-1E58A44197F8} - rdihost.dll (file missing)
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Ares Chatroom server (AresChatServer) - Ares Development Group - C:\Archivos de programa\Ares\chatServer.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Archivos de programa\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Archivos de programa\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Archivos de programa\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Archivos de programa\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: Print Spooler Service (oarieupfqhpb) - Unknown owner - C:\WINDOWS\system32\srbdkogrw.exe
Post #2
Hello and welcome to the forum. Sorry about the delay in responding :( If you still need help, Scan again with HijackThis, and copy/paste" a new log file into this thread. Also please describe how your computer behaves at the moment.
Post #4

i don't see the virus right now but if the virus or something weird appears again i'll post my log here

If you HJT logs looks anything like the one you posted, it's still badly infected.
Post #7
LDTate… here's the new log

Logfile of HijackThis v1.99.1
Scan saved at 12:52:37 a.m., on 04/11/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Archivos de programa\Alwil Software\Avast4\aswUpdSv.exe
C:\Archivos de programa\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\WINDOWS\Explorer.EXE
C:\Archivos de programa\Alwil Software\Avast4\ashMaiSv.exe
C:\Archivos de programa\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\ARCHIV~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\wfsvc.exe
C:\WINDOWS\system32\ww.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Archivos de programa\MSN Messenger\MsnMsgr.Exe
C:\Archivos de programa\Messenger\msmsgs.exe
C:\WINDOWS\BricoPacks\Vista Inspirat 2\RocketDock\RocketDock.exe
C:\Archivos de programa\uTorrent\uTorrent.exe
C:\WINDOWS\system32\igfxsrvc.exe
C:\Archivos de programa\MSN Messenger\usnsvc.exe
C:\Archivos de programa\Mozilla Firefox\firefox.exe
C:\Documents and Settings\pavel perez\Escritorio\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {15FAC292-47E3-43DC-B097-C479F9D32DC3} - C:\WINDOWS\system32\awtusro.dll (file missing)
O2 - BHO: Megaupload Toolbar - {4E7BD74F-2B8D-469E-CCB0-B130EEDBE97C} - C:\ARCHIV~1\MEGAUP~1\MEGAUP~1.DLL
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O3 - Toolbar: Megaupload Toolbar - {4E7BD74F-2B8D-469E-CCB0-B130EEDBE97C} - C:\ARCHIV~1\MEGAUP~1\MEGAUP~1.DLL
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [igfxtray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [igfxhkcmd] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [igfxpers] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [avast!] C:\ARCHIV~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [Windows Firewall Service] wfsvc.exe
O4 - HKLM\..\Run: [oaerfdqe] C:\WINDOWS\system32\oaerfdqe.exe
O4 - HKLM\..\Run: [awt] C:\WINDOWS\system32\awt.exe
O4 - HKLM\..\Run: [ww] C:\WINDOWS\system32\ww.exe
O4 - HKLM\..\Run: [flwr] C:\WINDOWS\system32\flwr.exe
O4 - HKLM\..\Run: [aphhnbhqdgtf] C:\WINDOWS\system32\aphhnbhqdgtf.exe
O4 - HKLM\..\Run: [hjjw] C:\WINDOWS\system32\hjjw.exe
O4 - HKLM\..\Run: [fouylkayse] C:\WINDOWS\system32\fouylkayse.exe
O4 - HKLM\..\Run: [if] C:\WINDOWS\system32\if.exe
O4 - HKLM\..\Run: [oeyyd] C:\WINDOWS\system32\oeyyd.exe
O4 - HKLM\..\Run: [ltdcahlv] C:\WINDOWS\system32\ltdcahlv.exe
O4 - HKLM\..\Run: [riigdz] C:\WINDOWS\system32\riigdz.exe
O4 - HKLM\..\Run: [y] C:\WINDOWS\system32\y.exe
O4 - HKLM\..\Run: [qcbh] C:\WINDOWS\system32\qcbh.exe
O4 - HKLM\..\Run: [d] C:\WINDOWS\system32\d.exe
O4 - HKLM\..\Run: [mnamdfmuf] C:\WINDOWS\system32\mnamdfmuf.exe
O4 - HKLM\..\Run: [ivg] C:\WINDOWS\system32\ivg.exe
O4 - HKLM\..\Run: [culhopha] C:\WINDOWS\system32\culhopha.exe
O4 - HKLM\..\Run: [qltjrso] C:\WINDOWS\system32\qltjrso.exe
O4 - HKLM\..\Run: [kdsysdatu] C:\WINDOWS\system32\kdsysdatu.exe
O4 - HKLM\..\Run: [tor] C:\WINDOWS\system32\tor.exe
O4 - HKLM\..\Run: [cajwtc] C:\WINDOWS\system32\cajwtc.exe
O4 - HKLM\..\Run: [badyoidh] C:\WINDOWS\system32\badyoidh.exe
O4 - HKLM\..\Run: [aokodiupnz] C:\WINDOWS\system32\aokodiupnz.exe
O4 - HKLM\..\Run: [lt] C:\WINDOWS\system32\lt.exe
O4 - HKLM\..\Run: [jui] C:\WINDOWS\system32\jui.exe
O4 - HKLM\..\Run: [v] C:\WINDOWS\system32\v.exe
O4 - HKLM\..\Run: [xfvmc] C:\WINDOWS\system32\xfvmc.exe
O4 - HKLM\..\Run: [kqssjcfduh] C:\WINDOWS\system32\kqssjcfduh.exe
O4 - HKLM\..\Run: [srbdkogrw] C:\WINDOWS\system32\srbdkogrw.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Archivos de programa\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [BitTorrent] "C:\Archivos de programa\BitTorrent\bittorrent.exe" –force_start_minimized
O4 - HKCU\..\Run: [Global does] C:\DOCUME~1\PAVELP~1\DATOSD~1\thissize\Ooze Sign.exe
O4 - Startup: RocketDock.lnk = C:\WINDOWS\BricoPacks\Vista Inspirat 2\RocketDock\RocketDock.exe
O4 - Startup: TransBar.lnk = C:\WINDOWS\BricoPacks\Vista Inspirat 2\TransBar\TransBar.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O16 - DPF: {20A60F0D-9AFA-4515-A0FD-83BD84642501} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab56986.cab
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/EN-US/a-UNO1/GAME_UNO1.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe…nt.cab56907.cab
O16 - DPF: {F5A7706B-B9C0-4C89-A715-7A0C6B05DD48} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineS…er.cab56986.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: awtusro - awtusro.dll (file missing)
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxdev.dll
O21 - SSODL: rdihost - {254C0685-1D23-4015-8911-1E58A44197F8} - rdihost.dll (file missing)
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Ares Chatroom server (AresChatServer) - Ares Development Group - C:\Archivos de programa\Ares\chatServer.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Archivos de programa\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Archivos de programa\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Archivos de programa\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Archivos de programa\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: Print Spooler Service (oarieupfqhpb) - Unknown owner - C:\WINDOWS\system32\srbdkogrw.exe
Post #8
Yes, you have a boat load of bad guys.

I suggest you do this:

Double-click My Computer.
Click the Tools menu, and then click Folder Options.
Click the View tab.
Clear "Hide file extensions for known file types."
Under the "Hidden files" folder, select "Show hidden files and folders."
Clear "Hide protected operating system files."
Click Apply, and then click OK.


Please do not delete anything unless instructed to.

Next:


Please download ATF Cleaner by Atribune.
Download - ATF Cleaner»

Double-click ATF-Cleaner.exe to run the program.
Under Main choose: Select All
Click the Empty Selected button.


(If you use FireFox or the Opera browser
To keep saved passwords, click No at the prompt.)

It's normal after running ATF cleaner that the PC will be slower to boot the first time.

Next:

Download ComboFix from Here to your Desktop.
  • Double click combofix.exe and follow the prompts.
  • When finished, it shall produce a log for you, combofix.txt. Post that log and a HiJackthis log in your next reply
Note: Do not mouseclick while its running. That may cause it to stall
Post #9
LDTate thanks for your help i appreciate it so much

this is the log of ComboFix


ComboFix 07-11-06.4 - pavel perez 2007-11-06 16:56:45.1 - NTFSx86
Se ejecuta desde: C:\Documents and Settings\pavel perez\Escritorio\ComboFix.exe
* Creado un nuevo punto de restauración
.

(((((((((((((((((((((((((((((((((((( Otras eliminaciones )))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\Documents and Settings\pavel perez\Datos de programa\macromedia\Flash Player\#SharedObjects\B6CJVHSG\www.broadcaster.com
C:\Documents and Settings\pavel perez\Datos de programa\macromedia\Flash Player\macromedia.com\support\flashplayer\sys\#www.broadcaster.com
C:\Documents and Settings\pavel perez\Datos de programa\macromedia\Flash Player\macromedia.com\support\flashplayer\sys\#www.broadcaster.com\settings.sol
C:\WINDOWS\system32\d.exe
C:\WINDOWS\system32\v.exe
C:\WINDOWS\system32\y.exe

.
(((((((((((((((((( Archivos creados desde 2007-10-06 - 2007-11-06 )))))))))))))))))))))))))))))))))
.

2007-11-06 16:52 51,200 –a—— C:\WINDOWS\NirCmd.exe
2007-10-20 06:55 224,714 –a—— C:\WINDOWS\system32\srbdkogrw.exe
2007-10-19 18:55 225,509 –a—— C:\WINDOWS\system32\kqssjcfduh.exe
2007-10-19 18:12 225,509 –a—— C:\WINDOWS\system32\xfvmc.exe
2007-10-19 07:21 225,509 –a—— C:\WINDOWS\system32\jui.exe
2007-10-18 23:59 225,509 –a—— C:\WINDOWS\system32\lt.exe
2007-10-18 19:16 225,509 –a—— C:\WINDOWS\system32\aokodiupnz.exe
2007-10-18 17:09 225,509 –a—— C:\WINDOWS\system32\badyoidh.exe
2007-10-18 14:48 225,509 –a—— C:\WINDOWS\system32\cajwtc.exe
2007-10-18 12:53 225,509 –a—— C:\WINDOWS\system32\tor.exe
2007-10-17 18:00 225,509 –a—— C:\WINDOWS\system32\kdsysdatu.exe
2007-10-17 07:33 225,509 –a—— C:\WINDOWS\system32\qltjrso.exe
2007-10-17 01:36 225,509 –a—— C:\WINDOWS\system32\culhopha.exe
2007-10-17 00:03 225,509 –a—— C:\WINDOWS\system32\gbszpn.exe
2007-10-16 16:09 225,509 –a—— C:\WINDOWS\system32\ivg.exe
2007-10-16 15:59 225,509 –a—— C:\WINDOWS\system32\mnamdfmuf.exe
2007-10-15 23:52 225,509 –a—— C:\WINDOWS\system32\qcbh.exe
2007-10-15 19:55 225,509 –a—— C:\WINDOWS\system32\riigdz.exe
2007-10-15 16:18 225,509 –a—— C:\WINDOWS\system32\ltdcahlv.exe
2007-10-15 09:22 225,509 –a—— C:\WINDOWS\system32\oeyyd.exe
2007-10-15 01:02 225,509 –a—— C:\WINDOWS\system32\if.exe
2007-10-14 21:59 225,509 –a—— C:\WINDOWS\system32\fouylkayse.exe
2007-10-14 18:59 225,509 –a—— C:\WINDOWS\system32\hjjw.exe
2007-10-13 05:25 224,655 –a—— C:\WINDOWS\system32\aphhnbhqdgtf.exe
2007-10-12 18:16 224,655 –a—— C:\WINDOWS\system32\flwr.exe
2007-10-12 03:22 224,655 –a—— C:\WINDOWS\system32\ww.exe
2007-10-11 22:38 224,655 –a—— C:\WINDOWS\system32\czllhjr.exe
2007-10-11 10:23 226,914 –a—— C:\WINDOWS\system32\awt.exe
2007-10-11 08:14 226,914 –a—— C:\WINDOWS\system32\oaerfdqe.exe
2007-10-10 06:58 584,192 —–c— C:\WINDOWS\system32\dllcache\rpcrt4.dll

.
(((((((((((((((((((((((((((((((((((((( Reporte Find3M )))))))))))))))))))))))))))))))))))))))))))))))))))
.
2007-11-06 20:23 ——— d—–w C:\Documents and Settings\pavel perez\Datos de programa\uTorrent
2007-11-02 02:14 ——— d—–w C:\Archivos de programa\EA GAMES
2007-10-23 22:41 ——— d—–w C:\Archivos de programa\MSN Messenger
2007-10-23 22:17 ——— d—a-w C:\Documents and Settings\All Users\Datos de programa\TEMP
2007-10-23 22:09 ——— d—–w C:\Archivos de programa\Steam
2007-10-21 12:45 ——— d—–w C:\Archivos de programa\Archivos comunes\Adobe
2007-10-16 21:09 ——— d—–w C:\Archivos de programa\Counter-Strike 1.6
2007-10-07 06:43 59,904 –sh–r C:\WINDOWS\system32\wfsvc.exe
2007-09-20 20:07 ——— d—–w C:\Archivos de programa\DAEMON Tools
2007-09-10 20:46 ——— d—–w C:\Documents and Settings\pavel perez\Datos de programa\thissize
2007-09-10 20:37 ——— d—–w C:\Archivos de programa\Adverts
2007-09-06 10:09 801,144 —-a-w C:\WINDOWS\system32\aswBoot.exe
2007-09-06 10:05 94,416 —-a-w C:\WINDOWS\system32\drivers\aswmon2.sys
2007-09-06 10:05 92,848 —-a-w C:\WINDOWS\system32\drivers\aswmon.sys
2007-09-06 10:03 23,152 —-a-w C:\WINDOWS\system32\drivers\aswRdr.sys
2007-09-06 10:02 42,912 —-a-w C:\WINDOWS\system32\drivers\aswTdi.sys
2007-09-06 10:00 95,608 —-a-w C:\WINDOWS\system32\AvastSS.scr
2007-09-06 10:00 26,624 —-a-w C:\WINDOWS\system32\drivers\aavmker4.sys
2007-08-21 06:17 683,520 —-a-w C:\WINDOWS\system32\inetcomm.dll
.

((((((((((((((((((((((((((((((((( Cargando Puntos Reg ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Nota* entradas vacías & entradas legítimas predeterminadas no son mostradas

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SoundMan"="SOUNDMAN.EXE" [2006-03-01 04:22 C:\WINDOWS\soundman.exe]
"igfxtray"="C:\WINDOWS\system32\igfxtray.exe" [2005-08-23 12:00]
"igfxhkcmd"="C:\WINDOWS\system32\hkcmd.exe" [2005-08-23 12:00]
"igfxpers"="C:\WINDOWS\system32\igfxpers.exe" [2005-08-23 12:00]
"avast!"="C:\ARCHIV~1\ALWILS~1\Avast4\ashDisp.exe" [2007-09-06 06:06]
"Windows Firewall Service"="wfsvc.exe" [2007-10-07 02:43 C:\WINDOWS\system32\wfsvc.exe]
"oaerfdqe"="C:\WINDOWS\system32\oaerfdqe.exe" [2007-10-11 08:14]
"awt"="C:\WINDOWS\system32\awt.exe" [2007-10-11 10:23]
"ww"="C:\WINDOWS\system32\ww.exe" [2007-10-12 03:22]
"flwr"="C:\WINDOWS\system32\flwr.exe" [2007-10-12 18:16]
"aphhnbhqdgtf"="C:\WINDOWS\system32\aphhnbhqdgtf.exe" [2007-10-13 05:25]
"hjjw"="C:\WINDOWS\system32\hjjw.exe" [2007-10-14 18:59]
"fouylkayse"="C:\WINDOWS\system32\fouylkayse.exe" [2007-10-14 21:59]
"if"="C:\WINDOWS\system32\if.exe" [2007-10-15 01:02]
"oeyyd"="C:\WINDOWS\system32\oeyyd.exe" [2007-10-15 09:22]
"ltdcahlv"="C:\WINDOWS\system32\ltdcahlv.exe" [2007-10-15 16:18]
"riigdz"="C:\WINDOWS\system32\riigdz.exe" [2007-10-15 19:55]
"qcbh"="C:\WINDOWS\system32\qcbh.exe" [2007-10-15 23:52]
"mnamdfmuf"="C:\WINDOWS\system32\mnamdfmuf.exe" [2007-10-16 15:59]
"ivg"="C:\WINDOWS\system32\ivg.exe" [2007-10-16 16:09]
"culhopha"="C:\WINDOWS\system32\culhopha.exe" [2007-10-17 01:36]
"qltjrso"="C:\WINDOWS\system32\qltjrso.exe" [2007-10-17 07:33]
"kdsysdatu"="C:\WINDOWS\system32\kdsysdatu.exe" [2007-10-17 18:00]
"tor"="C:\WINDOWS\system32\tor.exe" [2007-10-18 12:53]
"cajwtc"="C:\WINDOWS\system32\cajwtc.exe" [2007-10-18 14:48]
"badyoidh"="C:\WINDOWS\system32\badyoidh.exe" [2007-10-18 17:09]
"aokodiupnz"="C:\WINDOWS\system32\aokodiupnz.exe" [2007-10-18 19:16]
"lt"="C:\WINDOWS\system32\lt.exe" [2007-10-18 23:59]
"jui"="C:\WINDOWS\system32\jui.exe" [2007-10-19 07:21]
"xfvmc"="C:\WINDOWS\system32\xfvmc.exe" [2007-10-19 18:12]
"kqssjcfduh"="C:\WINDOWS\system32\kqssjcfduh.exe" [2007-10-19 18:55]
"srbdkogrw"="C:\WINDOWS\system32\srbdkogrw.exe" [2007-10-20 06:55]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-19 09:42]
"MsnMsgr"="C:\Archivos de programa\MSN Messenger\MsnMsgr.exe" [2007-01-19 12:55]
"MSMSGS"="C:\Archivos de programa\Messenger\msmsgs.exe" [2004-10-13 12:24]
"BitTorrent"="C:\Archivos de programa\BitTorrent\bittorrent.exe" []
"Global does"="C:\DOCUME~1\PAVELP~1\DATOSD~1\thissize\Ooze Sign.exe" []

C:\Documents and Settings\pavel perez\Men£ Inicio\Programas\Inicio\
RocketDock.lnk - C:\WINDOWS\BricoPacks\Vista Inspirat 2\RocketDock\RocketDock.exe [2007-03-18 18:05:02]
TransBar.lnk - C:\WINDOWS\BricoPacks\Vista Inspirat 2\TransBar\TransBar.exe [2005-06-01 15:41:18]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
"rdihost"= {254C0685-1D23-4015-8911-1E58A44197F8} - rdihost.dll [ ]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\awtusro]
awtusro.dll

S2 oarieupfqhpb;Print Spooler Service;C:\WINDOWS\system32\srbdkogrw.exe /service
S3 FXDrv32;FXDrv32;\??\D:\FXDrv32.sys

*Newly Created Service* - CATCHME
.
**************************************************************************

catchme 0.3.1250 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2007-11-06 16:59:06
Windows 5.1.2600 Service Pack 2 NTFS

escaneando procesos ocultos …

escaneando entradas ocultas de autostart …

escaneando archivos ocultos …

el escaneo se completo con exito
archivos ocultos: 0

**************************************************************************
.
Tiempo completado: 2007-11-06 16:59:46
.
— E O F —
Post #10
Do you know what this program is?
C:\DOCUME~1\PAVELP~1\DATOSD~1\thissize\Ooze Sign.exe


Open notepad and copy/paste the text in the quotebox below into it:

File::
C:\WINDOWS\system32\srbdkogrw.exe
C:\WINDOWS\system32\kqssjcfduh.exe
C:\WINDOWS\system32\xfvmc.exe
C:\WINDOWS\system32\jui.exe
C:\WINDOWS\system32\lt.exe
C:\WINDOWS\system32\aokodiupnz.exe
C:\WINDOWS\system32\badyoidh.exe
C:\WINDOWS\system32\cajwtc.exe
C:\WINDOWS\system32\tor.exe
C:\WINDOWS\system32\kdsysdatu.exe
C:\WINDOWS\system32\qltjrso.exe
C:\WINDOWS\system32\culhopha.exe
C:\WINDOWS\system32\gbszpn.exe
C:\WINDOWS\system32\ivg.exe
C:\WINDOWS\system32\mnamdfmuf.exe
C:\WINDOWS\system32\qcbh.exe
C:\WINDOWS\system32\riigdz.exe
C:\WINDOWS\system32\ltdcahlv.exe
C:\WINDOWS\system32\oeyyd.exe
C:\WINDOWS\system32\if.exe
C:\WINDOWS\system32\fouylkayse.exe
C:\WINDOWS\system32\hjjw.exe
C:\WINDOWS\system32\aphhnbhqdgtf.exe
C:\WINDOWS\system32\flwr.exe
C:\WINDOWS\system32\ww.exe
C:\WINDOWS\system32\czllhjr.exe
C:\WINDOWS\system32\awt.exe
C:\WINDOWS\system32\oaerfdqe.exe
C:\WINDOWS\system32\wfsvc.exe

Registry::
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Windows Firewall Service"=-
"oaerfdqe"=-
"awt"=-
"ww"=-
"flwr"=-
"aphhnbhqdgtf"=-
"hjjw"=-
"fouylkayse"=-
"if"=-
"oeyyd"=-
"ltdcahlv"=-
"riigdz"=-
"qcbh"=-
"mnamdfmuf"=-
"ivg"=-
"culhopha"=-
"qltjrso"=-
"kdsysdatu"=-
"tor"=-
"cajwtc"=-
"badyoidh"=-
"aokodiupnz"=-
"lt"=-
"jui"=-
"xfvmc"=-
"kqssjcfduh"=-
"srbdkogrw"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
"rdihost"=-
[-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\awtusro]


Save this as Save this as "CFScript"


[external image: Posted Image]

Refering to the picture above, drag CFScript.txt into ComboFix.exe

Then post the results log
Post #11
LDTate i don't know what that program is "C:\DOCUME~1\PAVELP~1\DATOSD~1\thissize\Ooze Sign.exe" and here's the log of combo fix

ComboFix 07-11-08.1 - pavel perez 2007-11-07 20:25:51.2 - NTFSx86
Se ejecuta desde: C:\Documents and Settings\pavel perez\Escritorio\ComboFix.exe
Command switches used :: C:\Documents and Settings\pavel perez\Escritorio\CFScript.txt
* Creado un nuevo punto de restauración

FILE
C:\WINDOWS\system32\aokodiupnz.exe
C:\WINDOWS\system32\aphhnbhqdgtf.exe
C:\WINDOWS\system32\awt.exe
C:\WINDOWS\system32\badyoidh.exe
C:\WINDOWS\system32\cajwtc.exe
C:\WINDOWS\system32\culhopha.exe
C:\WINDOWS\system32\czllhjr.exe
C:\WINDOWS\system32\flwr.exe
C:\WINDOWS\system32\fouylkayse.exe
C:\WINDOWS\system32\gbszpn.exe
C:\WINDOWS\system32\hjjw.exe
C:\WINDOWS\system32\if.exe
C:\WINDOWS\system32\ivg.exe
C:\WINDOWS\system32\jui.exe
C:\WINDOWS\system32\kdsysdatu.exe
C:\WINDOWS\system32\kqssjcfduh.exe
C:\WINDOWS\system32\lt.exe
C:\WINDOWS\system32\ltdcahlv.exe
C:\WINDOWS\system32\mnamdfmuf.exe
C:\WINDOWS\system32\oaerfdqe.exe
C:\WINDOWS\system32\oeyyd.exe
C:\WINDOWS\system32\qcbh.exe
C:\WINDOWS\system32\qltjrso.exe
C:\WINDOWS\system32\riigdz.exe
C:\WINDOWS\system32\srbdkogrw.exe
C:\WINDOWS\system32\tor.exe
C:\WINDOWS\system32\wfsvc.exe
C:\WINDOWS\system32\ww.exe
C:\WINDOWS\system32\xfvmc.exe
.

(((((((((((((((((((((((((((((((((((( Otras eliminaciones )))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\WINDOWS\system32\aokodiupnz.exe
C:\WINDOWS\system32\aphhnbhqdgtf.exe
C:\WINDOWS\system32\awt.exe
C:\WINDOWS\system32\badyoidh.exe
C:\WINDOWS\system32\cajwtc.exe
C:\WINDOWS\system32\culhopha.exe
C:\WINDOWS\system32\czllhjr.exe
C:\WINDOWS\system32\flwr.exe
C:\WINDOWS\system32\fouylkayse.exe
C:\WINDOWS\system32\gbszpn.exe
C:\WINDOWS\system32\hjjw.exe
C:\WINDOWS\system32\if.exe
C:\WINDOWS\system32\ivg.exe
C:\WINDOWS\system32\jui.exe
C:\WINDOWS\system32\kdsysdatu.exe
C:\WINDOWS\system32\kqssjcfduh.exe
C:\WINDOWS\system32\lt.exe
C:\WINDOWS\system32\ltdcahlv.exe
C:\WINDOWS\system32\mnamdfmuf.exe
C:\WINDOWS\system32\oaerfdqe.exe
C:\WINDOWS\system32\oeyyd.exe
C:\WINDOWS\system32\qcbh.exe
C:\WINDOWS\system32\qltjrso.exe
C:\WINDOWS\system32\riigdz.exe
C:\WINDOWS\system32\srbdkogrw.exe
C:\WINDOWS\system32\tor.exe
C:\WINDOWS\system32\wfsvc.exe
C:\WINDOWS\system32\ww.exe
C:\WINDOWS\system32\xfvmc.exe

.
(((((((((((((((((( Archivos creados desde 2007-10-08 - 2007-11-08 )))))))))))))))))))))))))))))))))
.

2007-11-06 17:23 d——– C:\Archivos de programa\Rockstar Games
2007-11-06 16:52 51,200 –a—— C:\WINDOWS\NirCmd.exe
2007-10-10 06:58 584,192 —–c— C:\WINDOWS\system32\dllcache\rpcrt4.dll

.
(((((((((((((((((((((((((((((((((((((( Reporte Find3M )))))))))))))))))))))))))))))))))))))))))))))))))))
.
2007-11-06 21:23 ——— d–h–w C:\Archivos de programa\InstallShield Installation Information
2007-11-06 20:23 ——— d—–w C:\Documents and Settings\pavel perez\Datos de programa\uTorrent
2007-11-02 02:14 ——— d—–w C:\Archivos de programa\EA GAMES
2007-10-23 22:41 ——— d—–w C:\Archivos de programa\MSN Messenger
2007-10-23 22:17 ——— d—a-w C:\Documents and Settings\All Users\Datos de programa\TEMP
2007-10-23 22:09 ——— d—–w C:\Archivos de programa\Steam
2007-10-21 12:45 ——— d—–w C:\Archivos de programa\Archivos comunes\Adobe
2007-10-16 21:09 ——— d—–w C:\Archivos de programa\Counter-Strike 1.6
2007-09-20 20:07 ——— d—–w C:\Archivos de programa\DAEMON Tools
2007-09-10 20:46 ——— d—–w C:\Documents and Settings\pavel perez\Datos de programa\thissize
2007-09-10 20:37 ——— d—–w C:\Archivos de programa\Adverts
2007-09-06 10:09 801,144 —-a-w C:\WINDOWS\system32\aswBoot.exe
2007-09-06 10:00 95,608 —-a-w C:\WINDOWS\system32\AvastSS.scr
2007-08-21 06:17 683,520 —-a-w C:\WINDOWS\system32\inetcomm.dll
.

((((((((((((((((((((((((((((((((( Cargando Puntos Reg ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Nota* entradas vacías & entradas legítimas predeterminadas no son mostradas

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SoundMan"="SOUNDMAN.EXE" [2006-03-01 04:22 C:\WINDOWS\soundman.exe]
"igfxtray"="C:\WINDOWS\system32\igfxtray.exe" [2005-08-23 12:00]
"igfxhkcmd"="C:\WINDOWS\system32\hkcmd.exe" [2005-08-23 12:00]
"igfxpers"="C:\WINDOWS\system32\igfxpers.exe" [2005-08-23 12:00]
"avast!"="C:\ARCHIV~1\ALWILS~1\Avast4\ashDisp.exe" [2007-09-06 06:06]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-19 09:42]
"MsnMsgr"="C:\Archivos de programa\MSN Messenger\MsnMsgr.exe" [2007-01-19 12:55]
"MSMSGS"="C:\Archivos de programa\Messenger\msmsgs.exe" [2004-10-13 12:24]
"BitTorrent"="C:\Archivos de programa\BitTorrent\bittorrent.exe" []
"Global does"="C:\DOCUME~1\PAVELP~1\DATOSD~1\thissize\Ooze Sign.exe" []

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\runservices]
"srbdkogrw"=C:\WINDOWS\system32\srbdkogrw.exe
"flwr"=C:\WINDOWS\system32\flwr.exe
"kqssjcfduh"=C:\WINDOWS\system32\kqssjcfduh.exe
"oaerfdqe"=C:\WINDOWS\system32\oaerfdqe.exe
"qltjrso"=C:\WINDOWS\system32\qltjrso.exe

C:\Documents and Settings\pavel perez\Men£ Inicio\Programas\Inicio\
RocketDock.lnk - C:\WINDOWS\BricoPacks\Vista Inspirat 2\RocketDock\RocketDock.exe [2007-03-18 18:05:02]
TransBar.lnk - C:\WINDOWS\BricoPacks\Vista Inspirat 2\TransBar\TransBar.exe [2005-06-01 15:41:18]

S2 oarieupfqhpb;Print Spooler Service;C:\WINDOWS\system32\oaerfdqe.exe /service
S3 FXDrv32;FXDrv32;\??\D:\FXDrv32.sys

.
**************************************************************************

catchme 0.3.1250 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2007-11-07 20:28:00
Windows 5.1.2600 Service Pack 2 NTFS

escaneando procesos ocultos …

escaneando entradas ocultas de autostart …

escaneando archivos ocultos …

el escaneo se completo con exito
archivos ocultos: 0

**************************************************************************
.
Tiempo completado: 2007-11-07 20:28:31
C:\ComboFix2.txt … 2007-11-06 16:59
.
— E O F —
Post #12
Open notepad and copy/paste the text in the quotebox below into it:

File::
C:\DOCUME~1\PAVELP~1\DATOSD~1\thissize\Ooze Sign.exe
C:\WINDOWS\system32\srbdkogrw.exe
C:\WINDOWS\system32\flwr.exe
C:\WINDOWS\system32\kqssjcfduh.exe
C:\WINDOWS\system32\oaerfdqe.exe
C:\WINDOWS\system32\qltjrso.exe

Folder::
C:\Documents and Settings\pavel perez\Datos de programa\thissize

Registry::
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\runservices]
"srbdkogrw"=-
"flwr"=-
"kqssjcfduh"=-
"oaerfdqe"=-
"qltjrso"=-


Save this as Save this as "CFScript"


[external image: Posted Image]

Refering to the picture above, drag CFScript.txt into ComboFix.exe

Then post the results log and a new HijackThis log.
Post #13
LDTate here's the log


ComboFix 07-11-08.1 - pavel perez 2007-11-08 17:27:53.3 - NTFSx86
Se ejecuta desde: C:\Documents and Settings\pavel perez\Escritorio\ComboFix.exe
Command switches used :: C:\Documents and Settings\pavel perez\Escritorio\CFScript.txt
* Creado un nuevo punto de restauración

FILE
C:\DOCUME~1\PAVELP~1\DATOSD~1\thissize\Ooze Sign.exe
C:\WINDOWS\system32\flwr.exe
C:\WINDOWS\system32\kqssjcfduh.exe
C:\WINDOWS\system32\oaerfdqe.exe
C:\WINDOWS\system32\qltjrso.exe
C:\WINDOWS\system32\srbdkogrw.exe
.

(((((((((((((((((((((((((((((((((((( Otras eliminaciones )))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\Documents and Settings\pavel perez\Datos de programa\thissize
C:\Documents and Settings\pavel perez\Datos de programa\thissize\69313694

.
(((((((((((((((((( Archivos creados desde 2007-10-08 - 2007-11-08 )))))))))))))))))))))))))))))))))
.

2007-11-06 17:23 d——– C:\Archivos de programa\Rockstar Games
2007-11-06 16:52 51,200 –a—— C:\WINDOWS\NirCmd.exe
2007-10-10 06:58 584,192 —–c— C:\WINDOWS\system32\dllcache\rpcrt4.dll

.
(((((((((((((((((((((((((((((((((((((( Reporte Find3M )))))))))))))))))))))))))))))))))))))))))))))))))))
.
2007-11-08 21:26 ——— d—–w C:\Documents and Settings\pavel perez\Datos de programa\uTorrent
2007-11-06 21:23 ——— d–h–w C:\Archivos de programa\InstallShield Installation Information
2007-11-02 02:14 ——— d—–w C:\Archivos de programa\EA GAMES
2007-10-23 22:41 ——— d—–w C:\Archivos de programa\MSN Messenger
2007-10-23 22:17 ——— d—a-w C:\Documents and Settings\All Users\Datos de programa\TEMP
2007-10-23 22:09 ——— d—–w C:\Archivos de programa\Steam
2007-10-21 12:45 ——— d—–w C:\Archivos de programa\Archivos comunes\Adobe
2007-10-16 21:09 ——— d—–w C:\Archivos de programa\Counter-Strike 1.6
2007-09-20 20:07 ——— d—–w C:\Archivos de programa\DAEMON Tools
2007-09-10 20:37 ——— d—–w C:\Archivos de programa\Adverts
2007-09-06 10:09 801,144 —-a-w C:\WINDOWS\system32\aswBoot.exe
2007-09-06 10:00 95,608 —-a-w C:\WINDOWS\system32\AvastSS.scr
2007-08-21 06:17 683,520 —-a-w C:\WINDOWS\system32\inetcomm.dll
.

((((((((((((((((((((((((((((( snapshot@2007-11-07_20.28.03.10 )))))))))))))))))))))))))))))))))))))))))
.
+ 2007-11-08 19:31:16 16,384 —-atw C:\WINDOWS\Temp\Perflib_Perfdata_5c4.dat
.
((((((((((((((((((((((((((((((((( Cargando Puntos Reg ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Nota* entradas vacías & entradas legítimas predeterminadas no son mostradas

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SoundMan"="SOUNDMAN.EXE" [2006-03-01 04:22 C:\WINDOWS\soundman.exe]
"igfxtray"="C:\WINDOWS\system32\igfxtray.exe" [2005-08-23 12:00]
"igfxhkcmd"="C:\WINDOWS\system32\hkcmd.exe" [2005-08-23 12:00]
"igfxpers"="C:\WINDOWS\system32\igfxpers.exe" [2005-08-23 12:00]
"avast!"="C:\ARCHIV~1\ALWILS~1\Avast4\ashDisp.exe" [2007-09-06 06:06]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-19 09:42]
"MsnMsgr"="C:\Archivos de programa\MSN Messenger\MsnMsgr.exe" [2007-01-19 12:55]
"MSMSGS"="C:\Archivos de programa\Messenger\msmsgs.exe" [2004-10-13 12:24]
"BitTorrent"="C:\Archivos de programa\BitTorrent\bittorrent.exe" []
"Global does"="C:\DOCUME~1\PAVELP~1\DATOSD~1\thissize\Ooze Sign.exe" []

C:\Documents and Settings\pavel perez\Men£ Inicio\Programas\Inicio\
RocketDock.lnk - C:\WINDOWS\BricoPacks\Vista Inspirat 2\RocketDock\RocketDock.exe [2007-03-18 18:05:02]
TransBar.lnk - C:\WINDOWS\BricoPacks\Vista Inspirat 2\TransBar\TransBar.exe [2005-06-01 15:41:18]

S2 oarieupfqhpb;Print Spooler Service;C:\WINDOWS\system32\oaerfdqe.exe /service
S3 FXDrv32;FXDrv32;\??\D:\FXDrv32.sys

.
**************************************************************************

catchme 0.3.1250 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2007-11-08 17:30:07
Windows 5.1.2600 Service Pack 2 NTFS

escaneando procesos ocultos …

escaneando entradas ocultas de autostart …

escaneando archivos ocultos …

el escaneo se completo con exito
archivos ocultos: 0

**************************************************************************
.
Tiempo completado: 2007-11-08 17:30:43
C:\ComboFix2.txt … 2007-11-07 20:28
C:\ComboFix3.txt … 2007-11-06 16:59
.
— E O F —
Post #15
I feel my computer a little bit faster and "clean", the msn virus disapears i don't see that virus anymore and here's the log


Logfile of HijackThis v1.99.1
Scan saved at 10:24:35 p.m., on 08/11/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Archivos de programa\Alwil Software\Avast4\aswUpdSv.exe
C:\Archivos de programa\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\Archivos de programa\Alwil Software\Avast4\ashMaiSv.exe
C:\Archivos de programa\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\ARCHIV~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Archivos de programa\Messenger\msmsgs.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\BricoPacks\Vista Inspirat 2\RocketDock\RocketDock.exe
C:\WINDOWS\system32\igfxsrvc.exe
C:\Archivos de programa\MSN Messenger\msnmsgr.exe
C:\Archivos de programa\MSN Messenger\usnsvc.exe
C:\Archivos de programa\uTorrent\uTorrent.exe
C:\ARCHIV~1\MOZILL~1\FIREFOX.EXE
C:\Documents and Settings\pavel perez\Escritorio\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Megaupload Toolbar - {4E7BD74F-2B8D-469E-CCB0-B130EEDBE97C} - C:\ARCHIV~1\MEGAUP~1\MEGAUP~1.DLL
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O3 - Toolbar: Megaupload Toolbar - {4E7BD74F-2B8D-469E-CCB0-B130EEDBE97C} - C:\ARCHIV~1\MEGAUP~1\MEGAUP~1.DLL
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [igfxtray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [igfxhkcmd] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [igfxpers] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [avast!] C:\ARCHIV~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Archivos de programa\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [BitTorrent] "C:\Archivos de programa\BitTorrent\bittorrent.exe" –force_start_minimized
O4 - HKCU\..\Run: [Global does] C:\DOCUME~1\PAVELP~1\DATOSD~1\thissize\Ooze Sign.exe
O4 - Startup: RocketDock.lnk = C:\WINDOWS\BricoPacks\Vista Inspirat 2\RocketDock\RocketDock.exe
O4 - Startup: TransBar.lnk = C:\WINDOWS\BricoPacks\Vista Inspirat 2\TransBar\TransBar.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O16 - DPF: {20A60F0D-9AFA-4515-A0FD-83BD84642501} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab56986.cab
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/EN-US/a-UNO1/GAME_UNO1.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe…nt.cab56907.cab
O16 - DPF: {F5A7706B-B9C0-4C89-A715-7A0C6B05DD48} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineS…er.cab56986.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxdev.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Ares Chatroom server (AresChatServer) - Ares Development Group - C:\Archivos de programa\Ares\chatServer.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Archivos de programa\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Archivos de programa\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Archivos de programa\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Archivos de programa\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: Print Spooler Service (oarieupfqhpb) - Unknown owner - C:\WINDOWS\system32\oaerfdqe.exe (file missing)

Ask AI

AI can make mistakes. Check the cited posts. Archived advice can be out-of-date

Don't include personal information. Questions and selected public posts go to OpenAI. About Ask AI