Errores varios

[muntsa22]

Hola, tengo un Windows XP .Hace unos dias observo que mi ordenador tarda más de lo normal en arrancar. Hoy al intentar instalar un programa han empezado a salir errores. He seguido algunas instrucciones de desistalar y reinstalar programas como el microsoft framework y viendo que la cosa no solo no se solucionaba sino que empeoraba he hecho una restauracion de sistema para dejarlo como estaba ayer.

Al volver a encender me aparece el mensaje de fatal execution engine error

(0x7927f206)

y luego otro mensaje con la cabecera backupnotify.exe.



Os mando resumen con el HijackThis. Espero podáis ayudarme.

Gracias



Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 17:58:41, on 27/03/2010

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v8.00 (8.00.6001.18702)

Boot mode: Normal



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\Ono\Servicios de seguridad Centinela ONO\Fws.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\Ono\Servicios de seguridad Centinela ONO\rps.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Java\jre6\bin\jqs.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\Archivos de programa\Raxco\PerfectDisk2008\PD91Agent.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\Ono\Servicios de seguridad Centinela ONO\SafeConnect\Bin\SanaAgent.exe

C:\Archivos de programa\Ono\Servicios de seguridad Centinela ONO\RpsSecurityAwareR.exe

C:\Archivos de programa\Ono\Centro de Servicios\CSOComHandler.exe

C:\Archivos de programa\Archivos comunes\Java\Java Update\jusched.exe

C:\windows\system\hpsysdrv.exe

C:\WINDOWS\System32\hphmon05.exe

C:\HP\KBD\KBD.EXE

C:\Archivos de programa\InterVideo\Common\bin\WinCinemaMgr.exe

C:\Archivos de programa\Archivos comunes\InterVideo\SchSvr\SchSvr.exe

C:\Archivos de programa\Multimedia Card Reader\shwicon2k.exe

C:\WINDOWS\ALCXMNTR.EXE

C:\Archivos de programa\Ono\Centro de Servicios\CSO.exe

C:\WINDOWS\system32\rundll32.exe

C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe

C:\Archivos de programa\Spybot - Search & Destroy\TeaTimer.exe

C:\Archivos de programa\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Archivos de programa\Adobe\Acrobat 5.0\Distillr\AcroTray.exe

C:\Archivos de programa\HP\Digital Imaging\bin\hpqtra08.exe

C:\Documents and Settings\Propietario\Configuración local\Datos de programa\Google\Chrome\Application\chrome.exe

C:\Documents and Settings\Propietario\Configuración local\Datos de programa\Google\Chrome\Application\chrome.exe

C:\Archivos de programa\Trend Micro\HijackThis\HijackThis.exe



R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://es9.hpwis.com/

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://srch-es9.hpwis.com/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://srch-es9.hpwis.com/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: Pop-Up Blocker BHO - {3C060EA2-E6A9-4E49-A530-D4657B8C449A} - C:\Archivos de programa\Ono\Servicios de seguridad Centinela ONO\pkR.dll

O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Archivos de programa\Spybot - Search & Destroy\SDHelper.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Archivos de programa\Google\Google Toolbar\GoogleToolbar_32.dll

O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Archivos de programa\Google\GoogleToolbarNotifier\5.5.4723.1820\swg.dll

O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Archivos de programa\Java\jre6\bin\jp2ssv.dll

O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Archivos de programa\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll

O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Archivos de programa\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll

O3 - Toolbar: Vista de HP - {B2847E28-5D7D-4DEB-8B67-05D28BCF79F5} - c:\Archivos de programa\HP\Digital Imaging\bin\hpdtlk02.dll

O3 - Toolbar: Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Archivos de programa\Google\Google Toolbar\GoogleToolbar_32.dll

O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Archivos de programa\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Archivos de programa\Archivos comunes\Java\Java Update\jusched.exe"

O4 - HKLM\..\Run: [hpsysdrv] c:\windows\system\hpsysdrv.exe

O4 - HKLM\..\Run: [HPHUPD05] c:\Archivos de programa\HP\{45B6180B-DCAB-4093-8EE8-6164457517F0}\hphupd05.exe

O4 - HKLM\..\Run: [HPHmon05] C:\WINDOWS\System32\hphmon05.exe

O4 - HKLM\..\Run: [KBD] C:\HP\KBD\KBD.EXE

O4 - HKLM\..\Run: [WinCinemaMgr] "C:\Archivos de programa\InterVideo\Common\bin\WinCinemaMgr.exe"

O4 - HKLM\..\Run: [Home Theater SchSvr] "C:\Archivos de programa\Archivos comunes\InterVideo\SchSvr\SchSvr.exe"

O4 - HKLM\..\Run: [Recguard] C:\WINDOWS\SMINST\RECGUARD.EXE

O4 - HKLM\..\Run: [VTTimer] VTTimer.exe

O4 - HKLM\..\Run: [PS2] C:\WINDOWS\system32\ps2.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet /keeploaded /nodetect

O4 - HKLM\..\Run: [Sunkist2k] C:\Archivos de programa\Multimedia Card Reader\shwicon2k.exe

O4 - HKLM\..\Run: [AlcxMonitor] ALCXMNTR.EXE

O4 - HKLM\..\Run: [CSO.exe] "C:\Archivos de programa\Ono\Centro de Servicios\CSO.exe" /AUTORUN

O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\system32\PSDrvCheck.exe -CheckReg

O4 - HKLM\..\Run: [TkBellExe] "C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe" -osboot

O4 - HKCU\..\Run: [Acme.PCHButton] C:\ARCHIV~1\HPPAVI~1\Pavilion\XPHWWBP4\plugin\bin\PCHButton.exe

O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Archivos de programa\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKCU\..\Run: [BackupNotify] c:\Archivos de programa\HP\Digital Imaging\bin\backupnotify.exe

O4 - HKCU\..\Run: [swg] "C:\Archivos de programa\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe"

O4 - HKCU\..\Run: [Google Update] "C:\Documents and Settings\Propietario\Configuración local\Datos de programa\Google\Update\GoogleUpdate.exe" /c

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICIO LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Servicio de red')

O4 - S-1-5-18 Startup: AutoTBar.exe (User 'SYSTEM')

O4 - .DEFAULT Startup: AutoTBar.exe (User 'Default user')

O4 - .DEFAULT User Startup: AutoTBar.exe (User 'Default user')

O4 - Global Startup: Acrobat Assistant.lnk = C:\Archivos de programa\Adobe\Acrobat 5.0\Distillr\AcroTray.exe

O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Archivos de programa\HP\Digital Imaging\bin\hpqtra08.exe

O4 - Global Startup: Inicio rápido de Adobe Reader.lnk = C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O8 - Extra context menu item: Add to Google Photos Screensa&ver - res://C:\WINDOWS\system32\GPhotos.scr/200

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O8 - Extra context menu item: Google Sidewiki... - res://C:\Archivos de programa\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_96D6FF0C6D236BF8.dll/cmsidewiki.html

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Archivos de programa\Spybot - Search & Destroy\SDHelper.dll

O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Archivos de programa\Spybot - Search & Destroy\SDHelper.dll

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1264455849390

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - https://fpdownload.macromedia.com/pub/shockwave/cabs/flash/swflash.cab

O23 - Service: Servicio Google Update (gupdate) (gupdate) - Google Inc. - C:\Archivos de programa\Google\Update\GoogleUpdate.exe

O23 - Service: Google Software Updater (gusvc) - Google - C:\Archivos de programa\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Archivos de programa\Java\jre6\bin\jqs.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: PD91Agent - Raxco Software, Inc. - C:\Archivos de programa\Raxco\PerfectDisk2008\PD91Agent.exe

O23 - Service: PD91Engine - Raxco Software, Inc. - C:\Archivos de programa\Raxco\PerfectDisk2008\PD91Engine.exe

O23 - Service: Centinela ONO (Radialpoint Security Services) - ONO - C:\Archivos de programa\Ono\Servicios de seguridad Centinela ONO\RpsSecurityAwareR.exe

O23 - Service: Centinela ONO SafeConnectAgent (RadialpointSafeConnectAgent) - Sana Security - C:\Archivos de programa\Ono\Servicios de seguridad Centinela ONO\SafeConnect\Bin\SanaAgent.exe

O23 - Service: Centinela ONO Firewall (RP_FWS) - ONO - C:\Archivos de programa\Ono\Servicios de seguridad Centinela ONO\Fws.exe



--

End of file - 10243 bytes

[msc hotline sat]

Pues envianos este fichero para analizar:



C:\Archivos de programa\Ono\Centro de Servicios\CSO.exe



y este puede que sea un conocido espía de Realtek:



O4 - HKLM\..\Run: [AlcxMonitor] ALCXMNTR.EXE



En cualquier caso, aparte de enviarnos el fichero indicado, prueba el ELISTARA:


[quote="para DESCARGAR el ELISTARA, msc"] http://www.zonavirus.com/descargas/elistara.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso [/quote]



[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253



Tras recibirlos, los analizaremos e implementaremos su control y eliminacion, si procede, en nuestras utilidades, de lo cual informaremos



saludos



ms, 27-3-2010





NOTA : y recordar https://foros.zonavirus.com/viewtopic.php?f=13&t=29543

[muntsa22]

Ayer mandé la muestra. Ahora os mando el informe de ElistarA, parece ser que ha encontrado algun virus.



EliStartPage v20.62 (c)2010 S.G.H. / Satinfo S.L. (Actualizado el 26 de Marzo del 2010)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\ALCXMNTR.EXE --> Eliminado SpyRealtek

C:\Documents and Settings\Propietario\Datos de programa\AVDRN.DAT --> Eliminado (Fichero Complementario).

Entrada Eliminada [HKLM\...\Run] "AlcxMonitor"="ALCXMNTR.EXE"

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



(28-3-2010 12:06:27 (GMT))

EliStartPage v20.62 (c)2010 S.G.H. / Satinfo S.L. (Actualizado el 26 de Marzo del 2010)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"

C:\Documents and Settings\All Users\Datos de programa\{63E25A93-A319-4B7D-A338-6B410BF3C9B7}\OFFLINE\mFileBagIDE.dll\bag\MVBTERM.EXE --> Eliminado, Autoit

C:\hp\drivers\audio_realtek\ALCXMNTR.EXE --> Eliminado, SpyRealtek

C:\WINDOWS\system32\ReinstallBackups\0013\DriverFiles\ALCXMNTR.EXE --> Eliminado, SpyRealtek



Nº Total de Directorios: 11469

Nº Total de Ficheros: 148903

Nº de Ficheros Analizados: 39352

Nº de Ficheros Infectados: 3

Nº de Ficheros Limpiados: 3



Espero vuestras indicaciones.

Muchas gracias por todo.

[muntsa22]

Una vez reiniciado el ordenador y después de pasar el Spyboot i antivirus el problema persiste.

[lucl]

Si claro, aun falta analizar lo que enviaste que lo haran hoy y te diran algo sobre la muestra. Estate atento al foro.Saludos.

[msc hotline sat]

El fichero CSO.EXE recibido es un driver de ONO, en el que no se aprecian rutinas víricas



Como sugerencia puedes probar el SPROCES a ver si nos muestra algo mas que el HJT...



SPROCES (herramienta de investigación)

http://www.zonavirus.com/descargas/sproces.asp



Tras lanzarlo, pulsar en SALIR y con un copiar y pegar, nos posteas el contenido del C:\sproclog.txt en tu proximo post, como respuesta de este Tema



saludos



ms, 29-3-2010

[muntsa22]

Estaré fuera unos dias. Cuando vuelva, en una semana, lo hago y os comunico el resultado.

Gracias

[msc hotline sat]

Dejamos el Tema abierto para que sigas en él a la vuelta, y entonces nos posteas con un copiar y pegar el contenido del C:\sproclog.txt generado por el SPROCES, a ver si vemos algo mas que lo mostrado por el HJT.



Hasta entonces !



saludos



ms, 29-3-2010

[muntsa22]

Hola, finalmente he conseguido solucionar los errores que habian empezado con la desinslalación del programa Framework. He podido volver a instalar todo correctamente y los mensajes de error han desaparecido.



Lo único que persiste es el arranque excesivamente lento del ordenador que ya habia notado anteriormente a todo lo que acabo de explicar. Tarda unos 5 minutos en cargar todo y esto no es normal por lo que creo que debe ser cosa de algun virus.



Una vez arrancado no he notado ningun otro tipo de problema.

Debo descargar la herramineta que me indicaís o alguna otra más adecuada?

A la espera de vuestra respuesta.

Saludos

[msc hotline sat]

Pues si quieres, posteanos el informe del SPROCES y lo analizaremos



Sino, puedes probar una Desfragmentacion de la unidad con la que arrancas:



MIPC -> Boton derecho sobre la unidad (C:) -> Propiedades -> Herramientas -> Desfragmentar



y nos cuentas el resultado



saludos



ms, 8-4-2010