SVCHOST.EXE (solucionado)

Charleesss · Mensaje por **Charleesss** » 12 Dic 2004, 20:56

Hola a todos!!

Tengo un problema con mi ordenador, espero q alguien pueda ayudarme. Os expongo la situación:

Tengo Windows XP protegido con antivirus Mcafee y cortafuegos Zone Alarm. Todo funcionaba d maravilla, hasta q hace 1semana, al programa de windows svchost (c:\windows\system\svchost.exe) le ha dado por intentar conectarse a internet. Por supuesto, mi cortafuegos m lo dice y yo le denego el acceso, xo entonces mis exploradores dejan d funcionar, no así la conexión a internet q algun otro programa sigue funcionando (ej: zona de juegos kalgan). Si le permito acceder a internet, los exploradores funcionan perfectamente. Por supuesto he escaneado mi ordenador con varios antivirus y no encuentran nada. He estado leyendo información x los foros y se q este programa es utilizado por virus, troyanos y hackers xa putear los ordenadores.Como todo esto m parece muy sospechoso, agradecería cualquier tipo d información.

1saludo y gracias!

fircsix · Mensaje por **fircsix** » 12 Dic 2004, 21:02

Pasale el antivirus en modo seguro desactivando restaurar sistema al tener Xp si no lo has hecho y tambien prueba a pasarle uno ONLINE si te fuciona con configuraciones de red.

ANTIVIRUS ONLINE

Saludos.

fircsix

Mensaje por **cañera** » 12 Dic 2004, 21:06

le tienes puesto todas las actualizaciones criticas a tu pc?

http://www.windowsupdate.com

como bien has dicho aprovechan los virus y trojanos cualquier vulnerabilidad para introducirse en los pc's.

tambien pasa tu antivirus actualizado en a modo prueba de errores desactivando restaurar sistema.

y te podrías seguir este tutorial:

https://foros.zonavirus.com/viewtopic.php?t=4795

cuentanos como te fue.

Charleesss · Mensaje por **Charleesss** » 13 Dic 2004, 15:43

Antes de nada, agradeceros a ambos haberos preocupado x mi problema.

Acabo de escanear mi ordenador con antivir 6.0 y Mcafee, habiendo deshabilitado restaurar sistema como ambos m habeis dicho y no m ha detectado nada, aunq m han aparecido 7 warnings, aqui os mando el registro:

tart of scan: lunes, 13 de diciembre de 2004 14:36

Memory test OK

Master boot record of hard disk HD0 OK

Boot record of drive C: OK

C:\

PAGEFILE.SYS

Access denied! Error during file opening!

This is a Windows swap file. This file is locked by Windows.

Error code: 0x000D

WARNING! Access error/file locked!

C:\WINDOWS\system32\config

system

Access denied! Error during file opening!

Error code: 0x000D

WARNING! Access error/file locked!

SECURITY

Access denied! Error during file opening!

Error code: 0x000D

WARNING! Access error/file locked!

SAM

Access denied! Error during file opening!

Error code: 0x000D

WARNING! Access error/file locked!

SOFTWARE

Access denied! Error during file opening!

Error code: 0x000D

WARNING! Access error/file locked!

DEFAULT

Access denied! Error during file opening!

Error code: 0x000D

WARNING! Access error/file locked!

C:\WINDOWS\system32\spool\drivers\w32x86

E_DWM0XS.EXE

ArchiveType: LZH (+.LHA) SFX (self extracting)

NOTE! No files to extract.

C:\WINDOWS\Temp

ZLT03c9e.TMP

Access denied! Error during file opening!

Error code: 0x000D

WARNING! Access error/file locked!

End of scan: lunes, 13 de diciembre de 2004 15:31

Time taken: 54:55 min

1546 directories were scanned

31334 files were scanned

7 warning messages were issued

0 files were deleted

0 files were repaired

0 detections

Ahora voy a probar con un antivirus on-line a ver si consigo algo.

Si q m he descargado todas las actualizaciones de windows XP, a excepción de los service pack q m dan problemas d instalación.

Espero q m podais seguir ayudando. Gracias de nuevo. 1saludo!

Mensaje por **msc hotline sat** » 13 Dic 2004, 16:02

Es posible que lo haya hecho deshabilitando la restauracion de sistema, pero no hayas arrancado en modo seguro, pùlsando repetidamente F8 al arrancar y escogiuendo dicha opcion.

Porque la denegacion de acceso a alguno de los ficheros indicados podría venir por esta causa.

Otros como el Pagefile.sys son de sistema (es el de paginacion) y es correcto que no puedan ser accedidos, por su naturaleza.

Asegurese de que arranca en la forma indicada y lance su antivirus y si antispyware en modo de eliminacion de bichos.

saludos

ms, 13-12-2004

Charleesss · Mensaje por **Charleesss** » 13 Dic 2004, 16:06

Ahora mismo m acabo de leer el tutorial y voy a proceder como allí se me indica y utilizando los programas anti-spyware.

Muchas gracias de nuevo. Luego les cuento como m ha ido

Mensaje por **msc hotline sat** » 13 Dic 2004, 16:53

Al releer entero este Tema, he visto lo que puede ser un error mecanografico, pero tambien podría ser un nuevo virus.

Nos dice que intenta ejecutar SVCHOST.EXE desde C:\windows\system y si es así puede tratarse de un nuevo virus no conocido todavía, ya que donde se encuentra el lanzador de tareas de windows en el caso del XP es en la carpeta de sistema, que es C:\windows\system32 , no system, donde puede copiarse un fichero gusano y ser ejecutado desde una clave de registro al respecto.

Si se confirma que la ejecucion es desde "system" y no desde "system32", envienos una copia de dicho fichero SVCHOST.EXE a zonavirus@satinfo.es anexada a un mail cuyo texto sea un copiar y pegar de este post, y tras analizar el fichero, le contestaríamos en este mismo Tema, y si fuera el caso procederíamos a desarrollar una utilidad de control y eliminacion al respecto, además de enviarlo al VirusList para su ingreso en la nase de datos de los antivirus, y a McAfee para su control con nuevos DAT.

Esperamos que, en todo caso, nos clarifique en un proximo post la unicacion de dicho fichero, para saber a qué atenernos.

saludos

ms, 13-12-2004

Charleesss · Mensaje por **Charleesss** » 13 Dic 2004, 17:28

Hola de nuevo. Estoy desesperandome...He hecho todo tal y como m habeis indicado (como indica el tutorial) y sigo teniendo el mismo problema.

Con los programas ad-ware y Spybot he borrado unos pocos registros y archivos q m han detectado como posible contenido espía, xo el problema no desaparece.

Por favor, algún consejo más?

Gracias a todos

Mensaje por **maura63** » 13 Dic 2004, 17:33

· Hijackthis version: 1.98.2

Sitio 1 - Descargar Hijackthis

http://www.spywareinfo.com/~merijn/files/hijackthis.zip

-------------------------------------------------------------

Sitio 2 - Descargar Hijackthis desde zonavirus.com

http://www.zonavirus.com/descargas/hijackthis.zip

Descarga y descomprimes, con todos los programas cerrados incluso el internet explorer, lo ejecutas, pulsa scan y luego en save, se abrira un fichero log txt con el resultado, haz un copiar y pegas el resultado como respuesta a este tema.

[color=red]Asi veremos tambien lo comentado por MSc en el log.[/color]

Saludos

maura63

Mensaje por **msc hotline sat** » 13 Dic 2004, 17:35

Ruego conteste la pregunta de mi post anterior al suyo, sobre ubicacion del fichero SVCHOST en cuestion, pues si como dice se ejecuta desde c:\windows\system, sería la madre del cordero.

[quote="Charleesss"]
Tengo Windows XP protegido con antivirus Mcafee y cortafuegos Zone Alarm. Todo funcionaba d maravilla, hasta q hace 1semana, al programa de windows svchost (c:\windows\system\svchost.exe) le ha dado por intentar conectarse a internet. [/quote]

saludos

ms, 13-12-2004

fircsix · Mensaje por **fircsix** » 13 Dic 2004, 18:04

Posiblemente sea MSBlaster.exe, ese virus suele dar ese error cuando se conecta a la red (me refiero a tu intento de instalar los service packs).

Para remediarlo visita http://www.symantec.com y bajate el parche "FixBlast.exe".

El problema es que el parche solo encuentra el virus cuando este se intenta conectar a la red o esta conectado, si esta en modo fuera de linea no se percata de su presencia.

Una vez ejecutado el parche baja el service pack de windows para cubrir la vulneralibilidad de las RPC.

Saludos.

fircsix

Charleesss · Mensaje por **Charleesss** » 13 Dic 2004, 23:01

Lo siento x llevarles a confusión, fue un error mecanográfico. Efectivamente la carpeta a la q me refería era system32.

Lo siento y gracias d nuevo

Charleesss · Mensaje por **Charleesss** » 13 Dic 2004, 23:05

El parche contra el Blaster me lo baje nada más instalar (tras formatear todo mi disco duro) windows XP, sin estar conectado a la red (modem desconectado), por lo q no creo q sea ese mi problema, ya q si hubiera intentado la conexión lo habría detectado automáticamente. Ad+ los síntomas no son los mismos.

Gracias de todas formas.

Charleesss · Mensaje por **Charleesss** » 13 Dic 2004, 23:19

Hola Maura! Aqui t mando el archivo .log q me ha salido:

Logfile of HijackThis v1.98.2

Scan saved at 23:17:47, on 13/12/2004

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\AVPersonal\AVGUARD.EXE

C:\Archivos de programa\AVPersonal\AVWUPSRV.EXE

c:\ARCHIV~1\mcafee.com\vso\mcvsrte.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\ZONELABS\vsmon.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\Ahead\InCD\InCD.exe

C:\ARCHIV~1\mcafee.com\vso\mcvsshld.exe

c:\archiv~1\mcafee.com\vso\mcvsescn.exe

C:\ARCHIV~1\mcafee.com\agent\mcagent.exe

C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\Archivos de programa\Java\jre1.5.0\bin\jusched.exe

C:\WINDOWS\System32\RunDll32.exe

C:\Archivos de programa\Zone Labs\ZoneAlarm\zlclient.exe

C:\Archivos de programa\AVPersonal\AVGNT.EXE

C:\WINDOWS\System32\ctfmon.exe

c:\ARCHIV~1\mcafee.com\vso\mcshield.exe

C:\Archivos de programa\WinZip\WZQKPICK.EXE

C:\Documents and Settings\Carlos\Configuración local\Temp\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Archivos de programa\Spybot - Search & Destroy\SDHelper.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: McAfee VirusScan - {BA52B914-B692-46c4-B683-905236F6F655} - c:\archiv~1\mcafee.com\vso\mcvsshl.dll

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [InCD] C:\Archivos de programa\Ahead\InCD\InCD.exe

O4 - HKLM\..\Run: [VSOCheckTask] "c:\ARCHIV~1\mcafee.com\vso\mcmnhdlr.exe" /checktask

O4 - HKLM\..\Run: [VirusScan Online] "c:\ARCHIV~1\mcafee.com\vso\mcvsshld.exe"

O4 - HKLM\..\Run: [MCAgentExe] c:\ARCHIV~1\mcafee.com\agent\mcagent.exe

O4 - HKLM\..\Run: [MCUpdateExe] C:\ARCHIV~1\mcafee.com\agent\mcupdate.exe

O4 - HKLM\..\Run: [ATIPTA] C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Archivos de programa\Java\jre1.5.0\bin\jusched.exe

O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd

O4 - HKLM\..\Run: [Zone Labs Client] "C:\Archivos de programa\Zone Labs\ZoneAlarm\zlclient.exe"

O4 - HKLM\..\Run: [AVGCtrl] "C:\Archivos de programa\AVPersonal\AVGNT.EXE" /min

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - Global Startup: WinZip Quick Pick.lnk = C:\Archivos de programa\WinZip\WZQKPICK.EXE

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0\bin\npjpi150.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0\bin\npjpi150.dll

O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1100783881530

O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab

Muchas gracias

Mensaje por **maura63** » 13 Dic 2004, 23:31

Actualiza tu sistema operativo, te faltan actualizaciones.

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Te falta el SP1 en XP e Internet Explorer, de lo contrario por mucho antivirus, anti-spyware etc.... no acabarias nunca de limpiar. Ademas de eso y tras actualizar te falta el SP2 de XP e I.E.

Saludos

maura63

Charleesss · Mensaje por **Charleesss** » 13 Dic 2004, 23:37

Hola de nuevo Maura!

Ya intente descargarme los service pack 1 y 2. Xo durante la instalación me da un error q viene a decir q a mi windows le falta algun certificado d autenticidad (o firma o ser el original o algo similar) y q no puede instalarlo.

Gracias d nuevo

fircsix · Mensaje por **fircsix** » 13 Dic 2004, 23:41

Parece que tienes una version pirata del XP. Si es asi te recomiendo que te compres la version original porque sino no vas a poder actualizar tu SO.

Saludos.

fircsix

Charleesss · Mensaje por **Charleesss** » 13 Dic 2004, 23:44

Por favor, necesito ayuda urgente, porq creo q este posible virus me esta consumiendo la memoria disponible d mi disco duro. M qdan poco más d 3 Gigas actualmente.

Gracias x vuestro tiempo y atención

Charleesss · Mensaje por **Charleesss** » 13 Dic 2004, 23:47

El windows XP me lo instale de una copia de 1cd original. El disco del q m lo grabe llevaba copyright. Esta claro q el original no es, xo aun así microsoft se da cuenta de que es una versión pirata? Perdonen mi ignorancia si estoy diciendo alguna burrada.

Charleesss · Mensaje por **Charleesss** » 14 Dic 2004, 00:13

Os añado la lista de procesos q ahora mismo se están ejecutando en mi ordenador, por si os puede servir d ayuda:

Microsoft Windows XP [Versión 5.1.2600]

(C) Copyright 1985-2001 Microsoft Corp.

C:\>cd windows

C:\WINDOWS>cd..

C:\>tasklist/svc

Nombre de imagen PID Servicios

========================= ====== =============================================

System Idle Process 0 N/D

System 4 N/D

SMSS.EXE 432 N/D

CSRSS.EXE 496 N/D

WINLOGON.EXE 520 N/D

SERVICES.EXE 564 Eventlog, PlugPlay

LSASS.EXE 576 PolicyAgent, ProtectedStorage, SamSs

ATI2EVXX.EXE 820 Ati HotKey Poller

SVCHOST.EXE 848 RpcSs

SVCHOST.EXE 904 AudioSrv, Browser, CryptSvc, Dhcp, dmserver,

ERSvc, EventSystem,

FastUserSwitchingCompatibility, helpsvc,

lanmanserver, lanmanworkstation, Messenger,

Netman, Nla, RasAuto, RasMan, Schedule,

seclogon, SENS, SharedAccess,

ShellHWDetection, TapiSrv, TermService,

Themes, TrkWks, uploadmgr, W32Time, winmgmt,

WmdmPmSp, wuauserv, WZCSVC

SVCHOST.EXE 1056 Dnscache

SVCHOST.EXE 1088 LmHosts, RemoteRegistry, SSDPSRV, WebClient

SPOOLSV.EXE 1212 Spooler

ALG.EXE 1332 ALG

AVGUARD.EXE 1344 AntiVirService

AVWUPSRV.EXE 1372 AVWUpSrv

MCVSRTE.EXE 1408 MCVSRte

SVCHOST.EXE 1580 stisvc

VSMON.EXE 1844 vsmon

ATI2EVXX.EXE 1984 N/D

EXPLORER.EXE 124 N/D

InCD.exe 892 N/D

MCVSSHLD.EXE 968 N/D

McVSEscn.exe 984 N/D

MCAGENT.EXE 944 N/D

ATIPTAXX.EXE 1008 N/D

JUSCHED.EXE 1076 N/D

RUNDLL32.EXE 1084 N/D

ZLCLIENT.EXE 1068 N/D

AVGNT.EXE 1160 N/D

CTFMON.EXE 1052 N/D

McShield.exe 1588 McShield

WZQKPICK.EXE 1616 N/D

FIREFOX.EXE 2492 N/D

FixBlast.exe 3708 N/D

cmd.exe 3964 N/D

TASKLIST.EXE 3980 N/D

wmiprvse.exe 4024 N/D

Gracias.

Charleesss · Mensaje por **Charleesss** » 14 Dic 2004, 00:53

Nueva información respecto a mi problema. En mi ordenador tengo 3 archivos llamados svchost. Creo q alguno d estos podria ser el virus. Aqui os mando su nombre concreto. Por favor, ayudarme:

c:\windows\system32\svchost.exe

c:\windows\prefetch\SVCHOST.EXE-3530F672.pf

c:\windows\SoftwareDistribution\Download\61e35f26e8c74dda4acd65221ddce07d

Gracias a todos!

fircsix · Mensaje por **fircsix** » 14 Dic 2004, 01:34

Prueba a utilizar esta utilidad ELIRPCA ya que parece ser un virus que aprovecha la vulnerabilidad RPC/DCOM.

https://foros.zonavirus.com/viewtopic.php?t=796

Cuentanos si esto soluciono tu problema.

Saludos.

fircsix

javier_almeria · Mensaje por **javier_almeria** » 14 Dic 2004, 13:09

Hola.

Una copia del XP original es una copia pirata. Cámbiale la clave y ponle una no pirata. Luego instala la SP2.

Si quieres saber cómo se hace, busca en otros foros. En este no se fomenta el pirateo.

Un saludo. JAVIER.

Charleesss · Mensaje por **Charleesss** » 15 Dic 2004, 09:13

Como m has dicho me he descargado Elirpca, pero no me ha solucionado nada, no me ha encontrado gusanos.

Gracias de todas formas. Alguna ayuda más?

Mensaje por **msc hotline sat** » 15 Dic 2004, 20:37

Tener en cienta la posibilidad de gusanos en:

wmiprvse.exe

http://www.sophos.com/virusinfo/analyses/w32sonebotb.html

y en ALG.EXE:

http://www.f-secure.com/v-descs/fagot.shtml

Ver si los indicados en su relacion son del sistema o los mencionados en las descripciones.

saludos

ms, 15-12-2004

Charleesss · Mensaje por **Charleesss** » 16 Dic 2004, 00:24

Gracias x tu interes.

He mirado si podía tener estos gusanos y no los tengo.

He hablado con amigos y me han dicho q a ellos también se les conecta svchost.exe y q es normal, q el problema viene si empiezan a ocurrir cosas raras (productos d virus,gusanos,etc). Así q d momento, le voy a seguir dando acceso a este programa y a esperar q todo siga funcionando bien.

Cualquier problema q me surja, no dudaré en consultaros. Muchas gracias a todos! 1saludo!

Mensaje por **msc hotline sat** » 16 Dic 2004, 12:04

Pues si es el caso, nos lo comenta en un nuevo Tema y le atenderemos.

En consecuencia damos por soluciounado este y lo cerramos

saludos

ms, 15-12-2004

SVCHOST.EXE (solucionado)

SVCHOST.EXE (solucionado)

Re: SVCHOST.EXE

Re: SVCHOST.EXE

Re: SVCHOST.EXE