problema con el service.exe y apagado del ordenador (SOLUCIO

nocturno_X · Mensaje por **nocturno_X** » 12 Jul 2007, 09:25

hola, hace algunos dias mi ordenador comenzo a mostrar la famosa pantallita de error con el services.exe, pase un antivirus online y me reconocio dos virus:

trojan-clicker.win32.small.kj

trojan-clicker.win32.agent.hz

asi que procedi a iniciar el ordenador en modo a prueba de errores, pase los antivirus, spywares y demas, eliminando los archivos etce etc

al reiniciar no habia problemas, al pasar de nuevo el antivirus online no encontraba virus.

Ahora, de nuevo Ha comenzado con el problema, la ventana de error del services.exe y la consecuente cuenta atras para el apagado del ordenador.

les envio lo mostrado por el hijack por si observan algo raro con el registro.

c

--

End of file - 9541 bytes

gracias por la ayuda

Mensaje por **msc hotline sat** » 12 Jul 2007, 09:55

Pues pruebe estas dos utilidades ELISTARA y ELITRIIP:

ELITRIIP:

http://www.zonavirus.com/descargas/elitriip.asp

ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp

Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso

saludos

ms, 12-07-2007

nocturno_X · Mensaje por **nocturno_X** » 12 Jul 2007, 10:45

aqui esta el infosat.exe generado, por cierto al intentar scanear la unidad d, los programas simplemente desaparecian de la pantalla, no se si esto es normal, pero nunca terminaron de analizar la unidad D, desaparecian en un punto especifico del escaneado.

Thu Jul 12 09:32:05 2007

EliStartPage v14.40 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\ALCMTR.EXE --> Eliminado SpyRealtek

Entrada Eliminada [HKLM\...\Run] "Alcmtr"="ALCMTR.EXE"

Eliminada Clave "HKLM\...\Image File Execution Options\Your Image File Name Here without a path"

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Thu Jul 12 09:36:00 2007

EliStartPage v14.40 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Archivos de programa\Archivos comunes\Real\Update_OB\UPGRDHLP.EXE --> Eliminado, CyDoor

C:\Archivos de programa\Nero\Nero 7\Nero Vision\NVDV.DLL --> Eliminado, Hotbar

C:\Archivos de programa\Realtek\InstallShield\ALCMTR.EXE --> Eliminado, SpyRealtek

C:\PNP\AUDIO\WDM\ALCMTR.EXE --> Eliminado, SpyRealtek

C:\System Volume Information\_restore{BA67144F-19FA-49BA-9708-71C2B7D8B069}\RP1\A0010104.EXE --> Eliminado, SpyRealtek

C:\System Volume Information\_restore{BA67144F-19FA-49BA-9708-71C2B7D8B069}\RP1\A0010105.EXE --> Eliminado, CyDoor

C:\System Volume Information\_restore{BA67144F-19FA-49BA-9708-71C2B7D8B069}\RP1\A0010106.DLL --> Eliminado, Hotbar

C:\System Volume Information\_restore{BA67144F-19FA-49BA-9708-71C2B7D8B069}\RP1\A0010107.EXE --> Eliminado, SpyRealtek

C:\System Volume Information\_restore{BA67144F-19FA-49BA-9708-71C2B7D8B069}\RP1\A0010108.EXE --> Eliminado, SpyRealtek

Thu Jul 12 09:39:46 2007

EliStartPage v14.40 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad D:\

D:\Documents and Settings\All Users\Documentos\antigua pc\varios jose\Macromedia Studio 8 Español - Flash 8 Pro - Dreamweaver 8 - Fireworks 8 - Spanish Completo Con Keygen {Joja}\Macromedia Studio 8 Español - Spanish Completo con KeyGen { joja }\KEYGEN.EXE --> Eliminado, KeyGen.ZWT

Thu Jul 12 09:41:15 2007

EliTriIP v3.75 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

Thu Jul 12 09:41:20 2007

EliTriIP v3.75 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Archivos de programa\Macromedia\Dreamweaver 8\Configuration\JSExtensions\SSITranslator.dll --> Eliminado, BackDoor.CMQ (dropper)

C:\System Volume Information\_restore{BA67144F-19FA-49BA-9708-71C2B7D8B069}\RP1\A0010110.dll --> Eliminado, BackDoor.CMQ (dropper)

Thu Jul 12 09:42:41 2007

EliTriIP v3.75 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad D:\

Thu Jul 12 09:43:22 2007

EliStartPage v14.40 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminados Ficheros Temporales del IE

Thu Jul 12 09:43:26 2007

EliStartPage v14.40 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

Thu Jul 12 09:44:15 2007

EliStartPage v14.40 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

Exploración Detenida por el Usuario.

Thu Jul 12 09:44:24 2007

EliStartPage v14.40 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad K:\

Thu Jul 12 09:44:25 2007

EliStartPage v14.40 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad K:\

Thu Jul 12 09:44:25 2007

EliStartPage v14.40 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad K:\

Thu Jul 12 09:44:30 2007

EliStartPage v14.40 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad D:\

Thu Jul 12 09:44:55 2007

EliTriIP v3.75 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

Thu Jul 12 09:44:59 2007

EliTriIP v3.75 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad D:\

Mensaje por **msc hotline sat** » 12 Jul 2007, 11:12

Dice

"por cierto al intentar scanear la unidad d, los programas simplemente desaparecian de la pantalla, no se si esto es normal, pero nunca terminaron de analizar la unidad D, "

No, no es normal, mire si arrancando en modo seguro y probando de nuevo el ELISTARA se lo sigue haciendo, no sea que en modo normal haya residente un RootKit que nos esconda ficheros y claves

y nos cuenta lo observado, gracias

saludos

ms, 12-07-2007

nocturno_X · Mensaje por **nocturno_X** » 12 Jul 2007, 19:34

Hola:

he corrido los dos programas en mode seguro, ambos han podido correr en la unidad d, solo no pudiendo analizar los archivos de la carpeta d:/recycler, ambos no han encontrado archivos contagiados ni otra incidencia.

Ya no me aparece la ventana con el error del archivo services.exe, pero ahora el antivirus kapersky 6.0 manda la siguiente alerta:

detectado: software de riesgo Mass-mailer software Proceso en ejecución: C:\WINDOWS\system32\services.exe

al analizarlo con antivirus, antyspywares y afines no me indican infeccion, aun en modo a prueba de fallos.

Anexo de nuevo el log

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 06:41:57 p.m., on 12/07/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16473)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\SYSTEM32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\RTHDCPL.EXE

C:\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\Archivos de programa\Archivos comunes\Ulead Systems\AutoDetector\monitor.exe

C:\Apps\Powercinema\PCMService.exe

C:\apps\ABoard\ABoard.exe

C:\apps\ABoard\AOSD.exe

C:\Archivos de programa\Java\jre1.6.0_01\bin\jusched.exe

C:\WINDOWS\system32\LVCOMSX.EXE

C:\Archivos de programa\Logitech\Video\LogiTray.exe

C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe

C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe

C:\Archivos de programa\Archivos comunes\Ahead\Lib\NMBgMonitor.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Archivos de programa\Skype\Phone\Skype.exe

C:\Archivos de programa\SUPERAntiSpyware\SUPERAntiSpyware.exe

C:\Archivos de programa\CyberLink\Shared Files\CLML_NTService\CLMLService.exe

C:\WINDOWS\system32\svchost.exe

C:\Archivos de programa\Logitech\Video\FxSvr2.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\Skype\Plugin Manager\skypePM.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE

C:\Archivos de programa\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Packard Bell

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O3 - Toolbar: (no name) - {0BF43445-2F28-4351-9252-17FE6E806AA0} - (no file)

O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC

O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName

O4 - HKLM\..\Run: [High Definition Audio Property Page Shortcut] HDAShCut.exe

O4 - HKLM\..\Run: [AzMixerSel] C:\Archivos de programa\Realtek\InstallShield\AzMixerSel.exe

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM\..\Run: [ATIPTA] "C:\ATI Technologies\ATI Control Panel\atiptaxx.exe"

O4 - HKLM\..\Run: [Ulead AutoDetector v2] C:\Archivos de programa\Archivos comunes\Ulead Systems\AutoDetector\monitor.exe

O4 - HKLM\..\Run: [PCMService] "c:\Apps\Powercinema\PCMService.exe"

O4 - HKLM\..\Run: [ACTIVBOARD] c:\apps\ABoard\ABoard.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Archivos de programa\Java\jre1.6.0_01\bin\jusched.exe"

O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE

O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Archivos de programa\Logitech\Video\ISStart.exe

O4 - HKLM\..\Run: [LogitechVideoTray] C:\Archivos de programa\Logitech\Video\LogiTray.exe

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKLM\..\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u

O4 - HKLM\..\Run: [AVP] "C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe"

O4 - HKCU\..\Run: [SmpcSys] C:\APPS\SMP\SmpSys.exe

O4 - HKCU\..\Run: [MsnMsgr] "C:\Archivos de programa\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Archivos de programa\Archivos comunes\Ahead\Lib\NMBgMonitor.exe"

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [updateMgr] "C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe" AcRdB7_0_8 -reboot 1

O4 - HKCU\..\Run: [Skype] "C:\Archivos de programa\Skype\Phone\Skype.exe" /nosplash /minimized

O4 - HKCU\..\Run: [SUPERAntiSpyware] C:\Archivos de programa\SUPERAntiSpyware\SUPERAntiSpyware.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICIO LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Servicio de red')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Global Startup: AutoCAD Startup Accelerator.lnk = C:\Archivos de programa\Archivos comunes\Autodesk Shared\acstart16.exe

O4 - Global Startup: Inicio rápido de Adobe Reader.lnk = C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_01\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_01\bin\ssv.dll

O9 - Extra button: Estadísticas del componente Web Anti-Virus - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus 6.0\scieplugin.dll

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O14 - IERESET.INF: START_PAGE_URL=file://C:\APPS\IE\offline\sp.htm

O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/spanish//kavwebscan_unicode.cab

O16 - DPF: {193C772A-87BE-4B19-A7BB-445B226FE9A1} (ewidoOnlineScan Control) - http://downloads.ewido.net/ewidoOnlineScan.cab

O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Archivos de programa\Yahoo!\Common\yinsthelper.dll

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://darkgothicmoon.spaces.msn.com//PhotoUpload/MsnPUpld.cab

O16 - DPF: {525019DF-8282-40DC-A0E0-13C076889F66} (InstallerSf Control) - http://www.softonic.com/sinespias/installer.cab

O16 - DPF: {8436FE12-31DB-48BF-83BF-FE682F9160B4} (NanoInstaller Class) - https://www.pandasecurity.com/spain/homeusers/solutions/online-antivirus//cabs/nanoinst.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab

O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab31267.cab

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\ARCHIV~1\ARCHIV~1\Skype\SKYPE4~1.DLL

O20 - Winlogon Notify: !SASWinLogon - C:\Archivos de programa\SUPERAntiSpyware\SASWINLO.DLL

O23 - Service: Ares Chatroom server (AresChatServer) - Ares Development Group - C:\Archivos de programa\Ares\chatServer.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: Autodesk Licensing Service - Autodesk, Inc. - C:\Archivos de programa\Archivos comunes\Autodesk Shared\Service\AdskScSrv.exe

O23 - Service: Kaspersky Anti-Virus 6.0 (AVP) - Kaspersky Lab - C:\Archivos de programa\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe

O23 - Service: CyberLink Background Capture Service (CBCS) (CLCapSvc) - Unknown owner - c:\APPS\Powercinema\Kernel\TV\CLCapSvc.exe

O23 - Service: CyberLink Task Scheduler (CTS) (CLSched) - Unknown owner - c:\APPS\Powercinema\Kernel\TV\CLSched.exe

O23 - Service: CyberLink Media Library Service - Cyberlink - C:\Archivos de programa\CyberLink\Shared Files\CLML_NTService\CLMLServer.exe

O23 - Service: Generic Service for HID Keyboard Input Collections (GenericHidService) - Unknown owner - c:\APPS\HIDSERVICE\HIDSERVICE.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe

O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Ulead Systems, Inc. - C:\Archivos de programa\Archivos comunes\Ulead Systems\DVD\ULCDRSvr.exe

O23 - Service: Windows Live Setup Service (WLSetupSvc) - Unknown owner - C:\Archivos de programa\Windows Live\installer\WLSetupSvc.exe

--

End of file - 9136 bytes

Mensaje por **msc hotline sat** » 13 Jul 2007, 15:13

Ya está todo muy limpio, pero...

Hay dos claves que pueden causar alguna incidencia, esta en la navegacion con el I,E,:

O14 - IERESET.INF: START_PAGE_URL=file://C:\APPS\IE\offline\sp.htm

y esta otra aplicacion es un servicio que puede colisionar y ralentizar mucho las operaciones:

C:\Archivos de programa\CyberLink\Shared Files\CLML_NTService\CLMLService.exe

Puedes probar renombrando a *.VIR estos ficheros, lo cual no arriegas nada pues si no sirve con renombrarlos de nuevo listos.

Y nos cuentas el resultado, gracias

saludos

ms, 13-07-2007

nocturno_X · Mensaje por **nocturno_X** » 14 Jul 2007, 12:03

he hecho lo que me dijiste y no se observa ninguna mejoria. He tenido que desinstalar el kapersky, al hacerlo no ha vuelto a aparecer la ventana de error del services.exe.

al instalar otro antivirus (nod32) he iniciar la rutina de escaneo, vuelve a aparecer la ventana de error con el subsecuente mensaje de apagado del ordenador,he escaneado con diferentes antivirus online sin resultados.

ademas al ejecutar regseeker en escaneo del sistema para poder seleccionar las entradas que seran eliminadas, el ordenador se reinicia, indicando que hubo un error fatal que ha sido solucionado.

agradezco la ayuda que me estas brindando y quedo en espera de tu respuesta.

saludos

Mensaje por **msc hotline sat** » 14 Jul 2007, 12:51

Que dices que has hecho ???

"ademas al ejecutar ~~[b]~~regseeker[/b] en escaneo del sistema "

No hemos dicho que hicieras nada de eso ...

Aclaralo para poder seguir, gracias

saludos

ms, 14-07-2007

nocturno_X · Mensaje por **nocturno_X** » 17 Jul 2007, 13:40

abri por mi cuenta el regseeker solo para observar que programas desinstalados continuaban en el registro, pero no modifique nada.

por lo demas, sigue apareciendo la ventana de error del services. exe y el apagado del ordenador.

Mensaje por **msc hotline sat** » 17 Jul 2007, 14:10

Es que todas las aplicaciones hacen las cosas a su manera, y algunas no a gusto nuestro...

Y concretamente el kaspersky es el antivirus mas conflictivo a nivel de colision con otros, y por lo que dices puede que tuvieras restos o partes de algun otro instalado, que colisionara con él.

Si desinstalandolo se soluciona el problema, hay muchos para elegir, pero si quieres este justamente, sugiero revises todo el registro buscando resto de alguno que sabes que tuviste instalado, o probaste ...

Por nuestra parte damos el Tema por solucionado y procedemos a cerrarlo

Si nos necesitas de nuevo, ya sabes donde estamos

saludos

ms, 17-07-2007