services.exe

[alonso19]

Hola otra vez:

Tengo en mi ordenador algo que se llama "services.exe", esta en "c:winnt\system32" y aparece siempre en la lista de procesos. Una vez me pidio la conexion a internet, se la denegue (con el zone alarm) y no me ha vuelto a dejar entrar a internet. Pense que podria llegar a ser algo de windows asi que le permiti entrar en internet, pero ke va, kreo ke es un virus y le denege rapidamente, porque era lo unico que mandaba y recibia datos de internet.

He buscado informacion y he encntrado que muchos troyanos se distribuyen con services.exe. ponia que acabando el proceso y pasando el antivirus se eliminaba, pero ke va, no me deja ni siquiera terminar el proceso, me pone ke "es un proceso critico del sistema".

El ad-aware, norton antivirus y el spybot no detectan nada, y no puedo pasar un antivirus online porque no puedo entrar en internet.

Espero que me podais ayudar porque la verdad es que cada vez me pasan cosas mas raras

[fircsix]

Pasa el norton en modo seguro deshabilitando restaurar sistema si tienes XP o ME y fijate si lo encuentras.



Saludos.

fircsix

[alonso19]

Ya lo he hecho, y no encuentra nada.

[maura63]

· Hijackthis version: 1.98.2



Sitio 1 - Descargar Hijackthis

http://www.spywareinfo.com/~merijn/files/hijackthis.zip

-------------------------------------------------------------

Sitio 2 - Descargar Hijackthis desde zonavirus.com

http://www.zonavirus.com/descargas/hijackthis.zip





Descarga y descomprimes, con todos los programas cerrados incluso el internet explorer, lo ejecutas, pulsa scan y luego en save, se abrira un fichero log txt con el resultado, haz un copiar y pegas el resultado como respuesta a este tema.



Saludos

maura63

[alonso19]

Aqui o slo pongo haber si me podeis echar una manita:



Logfile of HijackThis v1.98.2

Scan saved at 7:35:08, on 16/12/2004

Platform: Windows 2000 SP4 (WinNT 5.00.2195)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)



Running processes:

C:\WINNT\System32\smss.exe

C:\WINNT\system32\winlogon.exe

C:\WINNT\system32\services.exe

C:\WINNT\system32\lsass.exe

C:\WINNT\system32\svchost.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\SNDSrvc.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\SPBBC\SPBBCSvc.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe

C:\WINNT\system32\spoolsv.exe

C:\Archivos de programa\Netropa\Multimedia Keyboard\nhksrv.exe

C:\WINNT\System32\svchost.exe

C:\Archivos de programa\Norton AntiVirus\navapsvc.exe

C:\Archivos de programa\Ghost\ngserver.exe

C:\Archivos de programa\Norton AntiVirus\IWP\NPFMntor.exe

C:\WINNT\system32\regsvc.exe

C:\WINNT\system32\MSTask.exe

C:\WINNT\system32\stisvc.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\CCPD-LC\symlcsvc.exe

C:\WINNT\system32\ZoneLabs\vsmon.exe

C:\WINNT\System32\WBEM\WinMgmt.exe

C:\WINNT\system32\svchost.exe

C:\Archivos de programa\Ghost\bin\dbserv.exe

C:\Archivos de programa\Ghost\bin\rteng6.exe

C:\Archivos de programa\Norton AntiVirus\SAVScan.exe

C:\WINNT\Explorer.EXE

C:\WINNT\SOUNDMAN.EXE

C:\Archivos de programa\DC1300\DCMnt1_0\DC1300mi.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe

C:\Archivos de programa\Archivos comunes\Symantec Shared\Security Center\UsrPrmpt.exe

C:\Archivos de programa\Mouse Driver\2.1\MOUSE32A.EXE

C:\Archivos de programa\Netropa\Multimedia Keyboard\MMKeybd.exe

C:\Archivos de programa\Java\j2re1.4.2_06\bin\jusched.exe

C:\ARCHIV~1\ZONEAL~1\zlclient.exe

C:\Archivos de programa\MSN Messenger\msnmsgr.exe

C:\Archivos de programa\Netropa\Multimedia Keyboard\TrayMon.exe

C:\Archivos de programa\Netropa\Onscreen Display\OSD.exe

C:\Archivos de programa\Netropa\InetKb\Inetkb.exe

D:\nuevos programas\virus, troyanos\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll

O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Archivos de programa\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Archivos de programa\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx

O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [DC1300 Monitor] C:\Archivos de programa\DC1300\DCMnt1_0\DC1300mi.exe

O4 - HKLM\..\Run: [ccApp] "C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Archivos de programa\Archivos comunes\Symantec Shared\Security Center\UsrPrmpt.exe

O4 - HKLM\..\Run: [LWBMOUSE] C:\Archivos de programa\Mouse Driver\2.1\MOUSE32A.EXE

O4 - HKLM\..\Run: [MULTIMEDIA KEYBOARD] C:\Archivos de programa\Netropa\Multimedia Keyboard\MMKeybd.exe

O4 - HKLM\..\Run: [NGServer] C:\Archivos de programa\Ghost\ngserver.exe

O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\ARCHIV~1\SYMNET~1\SNDMon.exe

O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Archivos de programa\Java\j2re1.4.2_06\bin\jusched.exe

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINNT\system32\NeroCheck.exe

O4 - HKLM\..\Run: [Zone Labs Client] C:\ARCHIV~1\ZONEAL~1\zlclient.exe

O4 - HKCU\..\Run: [msnmsgr] "C:\Archivos de programa\MSN Messenger\msnmsgr.exe" /background

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\system32\msjava.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\system32\msjava.dll

O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab

O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - http://www3.ca.com/securityadvisor/virusinfo/webscan.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab



Decirme todas las cosas malas que veais, PORFAAAA

[maura63]

el archivo original de Windows se encuentra en:



c:/windows/system/services.exe o [color=blue]c:/winnt/system32/services.exe [/color]



Correccion:



el de XP debe ser WINDOWS\SYSTEM32 y el de los antigios W98 y Me era WINDOWS\SYSTEM



otros directorios, aunque existan, no son los de "sistema" de dichos sistemas





El tuyo es el segundo que es legitimo al usar W2k, si tu antivirus no detecta nada estas limpio.



Saludos

maura63

[msc hotline sat]

A la vista de que la nueva version 1.99.0 del HJT; ofrece mas informacion, sugiero lo descargues y nos copies el log en un proximo post:



http://www.spywareinfo.com/~merijn/files/hijackthis.zip



saludos



ms, 16-12-2004

[alonso19]

Gracias a los dos.



Esta tarde haber si puedo poner el log, si no mañana lo pongo sin falta.

¿es normal que el service.exe pida conectarse a internet?¿Le doy el acceso o se lo niego?