iniciando XP pasa directamente a cerrar sesión (reabierto)

[c_merino]

He estado buscando en la web y he visto alguna descripcion parecida del problema pero ninguna propuesta de solucion. Al entrar al Xp todo carga perfecto hasta la Pantalla de ¡Bienvenida!, pero al teclear mi contraseña e iniciar sesion, aparece el mensaje de siempre "iniciando Sesion", luego "cargando su configuracion", E imediatamente despliega "Cerrando sesion" y "Guardando Su Configuracion" y me regresa ala pantalla de Bienvenida. y no puedo iniciar sesion.

Ya probe reiniciando el sistema en todas sus modalidades "modo seguro" y nada. He conseguido con el CD de instalación entrar pero no corregir el problema.



Alguien sabe de qué virus se trata y como combatirlo? Parece que el Norton que empleo ni lo huele.



Gracias!!!!!!!

[msc hotline sat]

No es probable que sea por virus si tambien le pasa arrancando en modo seguro.



Arranque con su CD de instalacion y proceda como si fuera a instalar, acepte el contrato de microsoft, y cuando detecte la particion instalada, le ofrecerá REPARAR y reinstalar, escoja REPARAR para no perder las aplicaciones instaladas, y al finalizar lance el windowsupdate para actualizar los nuevos ficheros, y reinice.



Es de esperar que con ello se haya corregido el problema, compruebelo y nos informa en cualquier caso, como respuesta de este Tema, gracias



saludos



ms, 28-05-2005

[SergioXp]

Ya he puesto con anterioridad otro post donde explicaba lo mismo que mi amigo.



Yo ya he metido el Disco de Windows Xp pero dice q falla este archvo : \i386\ntkrnlmp.exe



la reparación vale 50€ y no es plan gastarlo



AYUDA!!

[msc hotline sat]

Utilice el disco de instalacion original de microsoft, y siga los pasos indicados.



Ni valen copias piratas ni en este foro contemplamos el pirateo.



saludos



ms, 29-05-2005

[c_merino]

gracias por vustra ayuda.



al final encontré la descripcion exacta al problema de este virus y una solucion en http://securityresponse.symantec.com/avcenter/venc/data/adware.affilred.b.html

[msc hotline sat]

Gracias por decirnoslo pero no es un virus sino un adware, pero muy peludo!!!

INCISO POSTERIOR DE MSC:

se cambia la primera intencion de cerrar el Tema por estar solucionado, a la vista de la informacion aportada por el forero, y su posible aprovechamiento para otros casos, ya que ha habido otra incidencia reciente y mas que podrán haber. ms.

*************************************
se cerró temporalmente y -REABIERTO POSTERIORMENTE, ms.-
*************************************

Recuerde eliminar las entradas maliciosas que genera en el fichero HOSTS, sino no podría navegar a las webs redirigidas a la URL 127.0.0.1

saludos

ms, 31-05-2005

[msc hotline sat]

Informacion Postcierre:



Analizada la informacion de symantec al respecto del adware en cuestion, vemos que sobreescribe la clave del winlogon, la cual además no lo hace en XP como indica Symantec:



"Userinit" = "%System%\userinit.exe, %Windir%\iProtect.exe"



y pierde el acceso al logado en proximos reinicios.



En vistas a esto, y a pesar de lo que indica symantec de no poder arreglarse si ya ha apagado el equipo tras haber sido afectado por dicho adware, si lo ha podido hacer Vd manualmente, trataremos de hacerlo automaticamente implementando su eliminacion al ELISTARA.EXE, y si hiciera falta utilizariamos el metodo que empleamos para el VUNDO.B, arrancar en consola de recuperacion, eliminar desde msdos los gusanos, y al arrancar windows ya no poder ponerlos en uso, tras lo cual terminar la limpieza con el ELISTARA.EXE



No vemos la relacion con lo de cerrar sesion automaticamente al iniciar, pero sí que puede no logarse, y quizas ello se emtiende como cerrar sesion, cuando si no la ha iniciado no se puede cerrar...



En cualquier caso, vamos a implementar en el ELISTARA el control de este adware, y si hubieran guardado copia de los ficheros troyanos en cuestion, rogamos nos los envien para comprobar su funcionamiento practico.



En el caso de que todavía los tenga u otro forero tuviera el mismo caso, indiquenlo como respuesta de este tema para darles intrucciones de envio y ofrecerles la utilidad cuando esté lista



A tal efecto se reabre este Tema, para que se pueda participar en él.



saludos



ms, 31-05-2005

[msc hotline sat]

A la espera de muestras para realizar las pruebas de eliminación, hemos desarrollado la versión 8.4 del ELISTARA que ya detecta y corrige las claves implementadas por dicho adware, si bien estamos pendientes de recibir muestras físicas para su comprobación practica.

http://www.zonavirus.com/descargas/elistara.asp


saludos

ms, 1-06-2005

[msc hotline sat]

Recibidas muestras al respecto, hemos podido verificar practicamente lo mal hecho que esta hecho el virus (a no ser que expresamente esté erróneo para fastidiar a la gente) , ya que implica tener que crear una carpeta con el nombre de la de W2k , copiar allí el fichero al que llama la clave modificada y así poder arrancar con el disco duro y poder lanzar la utilidad para eliminar el virus, y todo ello tener que hacerlo a mano, ya que el DOS de la consola de recuperacion no permite ni ejecucion de .BAT, ni de ficheros .REG, por tener muy pocas prestaciones, y a mano no hemos tenido ningum problema, indicando a continuacion el proceso a seguir:



PROCESO A SEGUIR PARA ORDENADORES XP AFECTADOS POR ADWARE AFFILRED.B QUE NO PERMITE INICIAR SESION (NO PERMITE LOGAR)

______________________________________



ARRANCAR CON CD DE INSTALACION Y PULSAR R



ENTRAR EN CONSOLA DE RECUPERACION Y EN MODO DOS ENTRAR:



C:

CD \

MD WINNT

CD WINNT

MD SYSTEM32

CD SYSTEM32



COPY C:\WINDOWS\SYSTEM32\USERINIT.EXE





Tras ello, sacar el CD de la unidad lectora y arrancar del disco duro, y tras ello, ejecutar la utilidad ELISTARA.EXE de version igual o superior a la 8.5 que hemos adecuado a los problemas de este adware AFFILRED.B



Gracias a los que han colaborado en la informacion sobre el adware que producía este problema y el envio de muestras que ha permitido entender el "fallo" de programacion del virus y poder deshacer el entuerto.



saludos



ms, 2-06-2005

[msc hotline sat]

Recibidas muestras al respecto, hemos podido verificar practicamente lo mal hecho que esta hecho el virus (a no ser que expresamente esté erróneo para fastidiar a la gente) , ya que implica tener que crear una carpeta con el nombre de la de W2k , copiar allí el fichero al que llama la clave modificada y así poder arrancar con el disco duro y poder lanzar la utilidad para eliminar el virus, y todo ello tener que hacerlo a mano, ya que el DOS de la consola de recuperacion no permite ni ejecucion de .BAT, ni de ficheros .REG, por tener muy pocas prestaciones, y a mano no hemos tenido ningum problema, indicando a continuacion el proceso a seguir:



PROCESO A SEGUIR PARA ORDENADORES XP AFECTADOS POR ADWARE AFFILRED.B QUE NO PERMITE INICIAR SESION (NO PERMITE LOGAR)

______________________________________



ARRANCAR CON CD DE INSTALACION Y PULSAR R



ENTRAR EN CONSOLA DE RECUPERACION Y EN MODO DOS ENTRAR:



C:

CD \

MD WINNT

CD WINNT

MD SYSTEM32

CD SYSTEM32



COPY C:\WINDOWS\SYSTEM32\USERINIT.EXE



Tras ello, sacar el CD de la unidad lectora y arrancar del disco duro, y ejecutar la utilidad ELISTARA.EXE de version igual o superior a la 8.5 que hemos adecuado a los problemas de este adware AFFILRED.B



Gracias a los que han colaborado en la informacion sobre el adware que producía este problema y el envio de muestras que ha permitido entender el "fallo" de programacion del virus y poder deshacer el entuerto.



saludos



ms, 2-06-2005