services.exe hace que se reinicie (SOLUCIONADO)

palomo · Mensaje por **palomo** » 28 Jun 2007, 01:28

hola antes que nada un cordial saludo,

asimismo les comento que mi maquina se desconctaba o mejor dicho no me dejaba entrar a las pagina, por lo que me avoque a pasar antivirus y el elistara, asiq ue les comento lo que me paso:

en el antivirus me saco un archivo infectado "totour.exe" es un trojano generic a

en elistara me ayudo bastante aqui les mando el archivo resultante espero que me ayuden nuevamente.

Wed Jun 20 13:23:47 2007

EliStartPage v14.29 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SERVICEPACKFILES\SERVICES.EXE --> Eliminado CWS.Yexe (dldr)

Por favor, envienos una muestra del fichero

C:\Muestras\LINKPRD.EXE.Muestra EliStartPage v14.29

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\LINKPRD.EXE --> Eliminado

Eliminado Servicio, "runtime"

Se ha detectado que el Servidor DNS no es el de su ISP.

IPs: 85.255.116.94,85.255.112.88

No detectado Parche MS06-001 de Microsoft instalado. (WMF)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Detectado AUTORUN.INF en la Unidad (C)

shellexecute=Recycled\Recycled\ctfmon.exe

Si Desconoce la Aplicación, por favor envienosla

acompañada del AUTORUN.INF a "virus@satinfo.es". Gracias.

Wed Jun 20 13:24:34 2007

EliStartPage v14.29 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Archivos de programa\Asistente Prodigy\FPXXUDUD.EXE --> Eliminado, PWS-WoW

C:\Documents and Settings\USER\Configuración local\Archivos temporales de Internet\Content.IE5\DHW63JL9\CHIST1[1].EXE --> Eliminado, CWS.Yexe (dldr)

lo curioso es que me indica otra fecha.

asi mismo le pase cel dick cleanup y creo que todo va bien.

espero su respuesta despues de que reciban los archivos que como lo pide el programa se los envio

hasta pronto

palomo · Mensaje por **palomo** » 28 Jun 2007, 01:30

por cierto

en el archivo me dice algo de los DNS esto es:

Se ha detectado que el Servidor DNS no es el de su ISP.

IPs: 85.255.116.94,85.255.112.88

me pocrian comentar al respecto y que debo hacer

yo tengo conexion adsl a 1 mb.

gracias de antemano

Mensaje por **msc hotline sat** » 28 Jun 2007, 06:37

Tres cosas importantes:

Se le pide que envie esta muestra:

"Por favor, envienos una muestra del fichero

C:\Muestras\LINKPRD.EXE.Muestra EliStartPage v14.29 "

si no lo ha hecho aun... :

->~~[b]~~ Para ello recordar[/b]: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334

_____

Se indica que si no conoce este fichero nos lo envie:

"Detectado AUTORUN.INF en la Unidad (C)

shellexecute=Recycled\Recycled\ctfmon.exe

Si Desconoce la Aplicación, por favor envienosla

acompañada del AUTORUN.INF"

Huele a distancia a un virus de pendrive ...

envienos pues tambien estos dos ficheros , pero fijese que no es el del Office ! y seguro que sus pendrives estaran infectados, explorelos con la misma utilidad, seleccionando su unidad.

_____

Sí, estos sevidores de DNS son maliciosos:

85.255.116.94,85.255.112.88

No creo que voluntariamente haya configurado unos servidores de Ukraina... :

85.255.116.94 UA Ukraine 07 Kharkivs'ka Oblast' Kharkiv 50.0000 36.2500 Inhoster hosting company Inhoster hosting company

85.255.112.88 UA Ukraine 07 Kharkivs'ka Oblast' Kharkiv 50.0000 36.2500 Inhoster hosting company Inhoster hosting company

Tras informarse con su ISP de cuales le recomiendan, puede probar cambiarlos con CONFGDNS.EXE

CONFGDNS.EXE

http://www.zonavirus.com/descargas/confgdns.asp

Y tras probar el CONFGDFNS e instalar los que le indique su ISP, quedaran configuradas las nuevas direcciones IP, confirme volviendo a lanzar el HJT que ya no figuran las maliciosas

saludos

ms, 28-06-2007

palomo · Mensaje por **palomo** » 28 Jun 2007, 19:22

antes que nada gracias por tu valiosa respuesta, corri el programita de

confgDNS me indicaba que habia 3 interfases abiertas con las ip de ukrania, lo que hice fue configurar con el ip de mi maquina, y procedo a enviarte el HJT como indicaste..

Logfile of HijackThis v1.99.1

Scan saved at 11:23:49 a.m., on 28/06/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\ARCHIV~1\Grisoft\AVGFRE~1\avgcc.exe

C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIAAL.EXE

C:\Archivos de programa\Java\jre1.6.0_01\bin\jusched.exe

C:\Archivos de programa\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

C:\WINDOWS\system32\ctfmon.exe

C:\ARCHIV~1\Grisoft\AVGFRE~1\avgamsvr.exe

C:\ARCHIV~1\Grisoft\AVGFRE~1\avgupsvc.exe

C:\WINDOWS\system32\drivers\CDAC11BA.EXE

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7Debug\mdm.exe

C:\WINDOWS\system32\svchost.exe

C:\ARCHIV~1\Grisoft\AVGFRE~1\avgw.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE

C:\WINDOWS\explorer.exe

C:\Documents and Settings\USER\Mis documentos\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://login.live.com/login.srf?id=2&svc=mail&cbid=24325&msppjph=1&tw=900&fs=1&lc=2058&_lang=ES

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.6.0_01\bin\ssv.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar2.dll

O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Archivos de programa\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar2.dll

O4 - HKLM\..\Run: [AVG7_CC] C:\ARCHIV~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP

O4 - HKLM\..\Run: [CorelDRAW Graphics Suite 11b] C:\Archivos de programa\Corel\Corel Graphics 12\Languages\ES\Programs\Registration.exe /title="CorelDRAW Graphics Suite 12" /date=033107 serial=DR12CRS-1736730-YNQ lang=ES

O4 - HKLM\..\Run: [\\ESTACION2\EPSON Stylus C67 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIAAL.EXE /P35 "\\ESTACION2\EPSON Stylus C67 Series" /O6 "USB002" /M "Stylus C67"

O4 - HKLM\..\Run: [Detectando automáticamente EPSON Stylus C63 Series en ESTACION2] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S4I4C1.EXE /P63 "Detectando automáticamente EPSON Stylus C63 Series en ESTACION2" /O24 "\\ESTACION2\EPSON63color" /M "Stylus C63"

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Archivos de programa\Java\jre1.6.0_01\bin\jusched.exe"

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKCU\..\Run: [swg] C:\Archivos de programa\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_01\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_01\bin\ssv.dll

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Investigador - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Encarta Researcher\EROPROJ.DLL

O9 - Extra button: (no name) - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Archivos de programa\Yahoo!\Common\yinsthelper.dll

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O16 - DPF: {DF780F87-FF2B-4DF8-92D0-73DB16A1543A} (PopCapLoader Object) - http://www.popcap.com/games/popcaploader_v10_es.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{56CD280C-3FD9-4D68-9F54-7E54E3F6A916}: NameServer = 189.144.85.60

O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.116.94 85.255.112.88

O17 - HKLM\System\CS1\Services\Tcpip\..\{56CD280C-3FD9-4D68-9F54-7E54E3F6A916}: NameServer = 189.144.85.60

O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.116.94 85.255.112.88

O17 - HKLM\System\CS2\Services\Tcpip\..\{56CD280C-3FD9-4D68-9F54-7E54E3F6A916}: NameServer = 85.255.116.94,85.255.112.88

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.116.94 85.255.112.88

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\ARCHIV~1\MSNMES~1\msgrapp.dll" (file missing)

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\

O23 - Service: Adobe LM Service - Adobe Systems - C:\Archivos de programa\Archivos comunes\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVGFRE~1\avgamsvr.exe

O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVGFRE~1\avgupsvc.exe

O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\system32\drivers\CDAC11BA.EXE

O23 - Service: Google Updater Service (gusvc) - Google - C:\Archivos de programa\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: NBService - Nero AG - C:\Archivos de programa\Nero\Nero 7\Nero BackItUp\NBService.exe

O23 - Service: Remote Procedure Call System(RPCScvb) (RpcScfgb) - Unknown owner - C:\WINDOWS\system32\RpcScvb.exe (file missing)

por cierto borre las entradas con ls ip que m decias eran incorrectas, espero haber tomado accion correcta, espero tu respuesta antes de hacr algo.

gracias mil

Mensaje por **msc hotline sat** » 28 Jun 2007, 19:45

Hay esta clave que es maliciosa:

O23 - Service: Remote Procedure Call System(RPCScvb) (RpcScfgb) - Unknown owner - C:\WINDOWS\system32\RpcScvb.exe (file missing)

Posiblemente se trata de una variante no controlada de un troyano ya conocido : PWS-QQPass "RPCSCVB.EXE", por lo que necesitamos que nos envies el fichero en cuestion para analizar:

C:\WINDOWS\system32\RpcScvb.exe

Pero puede estar oculto o ya no estar... Mira si lo encuentras con un Inicio -> Buscar -> RpcScvb.exe

Si lo encuentras nos lo envias, y sino eliminas la clave indicada al principio:

->~~[b]~~ Para ello recordar[/b]: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334

Por otra parte, aun persisten algunas claves maliciosas de los servidores de DNS ukranianos. Mira si las puedes sustituir con CONFGDNS.EXE que ya conoces, sino, como que ya tienes dos de buenas, elimina las 4 claves de las direcciones maliciosas :

O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.116.94 85.255.112.88

O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.116.94 85.255.112.88

O17 - HKLM\System\CS2\Services\Tcpip\..\{56CD280C-3FD9-4D68-9F54-7E54E3F6A916}: NameServer = 85.255.116.94,85.255.112.88

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.116.94 85.255.112.88

saludos

ms, 28-06-2007

palomo · Mensaje por **palomo** » 03 Jul 2007, 07:54

pues bien, despues de tanto intento decidi formatear, les agradezco la ayuda, y nuevamente les debo una mas.

los sintomas finales es que entraba a internet despues de un rato me desconectaba, y mi antivirus borro las muestras que intentaba enviarles..

asi mil gracias y los molestare en otra ocasion ya que este mundo esta lleno de bichos.

Mensaje por **msc hotline sat** » 03 Jul 2007, 14:30

Pues ya tenia la solucion al alcance de la mano, pero bueno...

Damos por solucionado el problema y procedemos a cerrar el Tema

saludos

ms, 3-07-2007