sservice.exe (TERMINADO)

mana · Mensaje por **mana** » 27 Jul 2005, 20:52

Hola, soy nuevo en el foro y me gustaría saber cómo puedo eliminar un mensaje que me sale cada vez que arranco el windows me, pone que "windows no encuentra c:\windows\system\sservice.exe".

Gracias de antemano.

Mensaje por **msc hotline sat** » 27 Jul 2005, 21:12

Diganos el sistema operativo que usa y le indicaremos como hacerlo

Con el W98 sería eliminar la llamada de dicho fichero con el MSCONFIG

Con el XP sería buscarlo y eliminarlo del registro, para lo que podría usarse el BUSCAREG.EXE

Indiquenos S.O. como respuesta de este Tema. gracias

saludos

ms, 27-07-2005

Mensaje por **msc hotline sat** » 27 Jul 2005, 21:14

Perdon, al releer el Tema veo que indica windows me

Pues ejecute MSCONFIG y vea donde llama a dicho fichero SSERVICE.EXE y lo elimina

saludos

ms, 27-07-2005

NOTA : SI SE TRATA DE UNA MALA LIMPIEZA DEL VIRUS BACKDOOR PRORAT, VEAN EL PROCESO DE ELIMINACION MANUAL DE LAS CLAVES DE REGISTRO MODIFICADAS POR ESTE VIRUS :

http://securityresponse.symantec.com/avcenter/venc/data/backdoor.prorat.html

http://www.trendmicro.com/vinfo/virusencyclo/default2.asp?m=q&virus=sservice%2Eexe&alt=sservice%2Eexe&Sect=SA

ms.

mana · Mensaje por **mana** » 27 Jul 2005, 22:04

Primero, gracias por contestar tan rápido.

Ejecutando MSCONFIG no veo ninguna línea que llame al fichero SSERVICE.EXE.

He seguido al pie de la letra las soluciones planteadas en las dos páginas facilitadas en su segundo mensaje, pero arranco el ordenador y me sigue apareciendo el dichoso fallo.

mana · Mensaje por **mana** » 27 Jul 2005, 23:07

Por si vale de algo dejo el log que he sacado con el Hijack:

Logfile of HijackThis v1.99.1

Scan saved at 23:04:58, on 27/07/2005

Platform: Windows ME (Win9x 4.90.3000)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\SYSTEM\KERNEL32.DLL

C:\WINDOWS\SYSTEM\MSGSRV32.EXE

C:\WINDOWS\SYSTEM\mmtask.tsk

C:\WINDOWS\SYSTEM\MPREXE.EXE

C:\WINDOWS\SYSTEM\MSTASK.EXE

C:\WINDOWS\SYSTEM\SSDPSRV.EXE

C:\WINDOWS\SYSTEM\KB891711\KB891711.EXE

C:\WINDOWS\EXPLORER.EXE

C:\WINDOWS\TASKMON.EXE

C:\WINDOWS\SYSTEM\SYSTRAY.EXE

C:\WINDOWS\SYSTEM\DESK98.EXE

C:\WINDOWS\SYSTEM\WMIEXE.EXE

C:\WINDOWS\SYSTEM\LEXBCES.EXE

C:\WINDOWS\SYSTEM\RPCSS.EXE

C:\WINDOWS\SYSTEM\RESTORE\STMGR.EXE

C:\WINDOWS\SYSTEM\LEXPPS.EXE

C:\WINDOWS\SYSTEM\DDHELP.EXE

C:\MIS DOCUMENTOS\PROGRAMAS\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\ARCHIVOS DE PROGRAMA\ADOBE\ACROBAT 6.0\READER\ACTIVEX\ACROIEHELPER.DLL

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX

O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun

O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe

O4 - HKLM\..\Run: [PCHealth] C:\WINDOWS\PCHealth\Support\PCHSchd.exe -s

O4 - HKLM\..\Run: [SystemTray] SysTray.Exe

O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme

O4 - HKLM\..\Run: [HydarVisionDesktopManager] desk98.exe

O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe

O4 - HKLM\..\Run: [LexStart] lexstart.exe

O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme

O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe

O4 - HKLM\..\RunServices: [SSDPSRV] C:\WINDOWS\SYSTEM\ssdpsrv.exe

O4 - HKLM\..\RunServices: [*StateMgr] C:\WINDOWS\System\Restore\StateMgr.exe

O4 - HKLM\..\RunServices: [KB891711] C:\WINDOWS\SYSTEM\KB891711\KB891711.EXE

O4 - Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\ARCHIV~1\MESSEN~1\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: MSN Messenger Service - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\ARCHIV~1\MESSEN~1\MSMSGS.EXE

O15 - ProtocolDefaults: '@ivt' protocol is in My Computer Zone, should be Intranet Zone (HKLM)

O15 - ProtocolDefaults: 'file' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O15 - ProtocolDefaults: 'ftp' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O15 - ProtocolDefaults: 'http' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O15 - ProtocolDefaults: 'https' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab

O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - http://www3.ca.com/securityadvisor/virusinfo/webscan.cab

Logfile of HijackThis v1.99.1

Scan saved at 23:04:58, on 27/07/2005

Platform: Windows ME (Win9x 4.90.3000)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\SYSTEM\KERNEL32.DLL

C:\WINDOWS\SYSTEM\MSGSRV32.EXE

C:\WINDOWS\SYSTEM\mmtask.tsk

C:\WINDOWS\SYSTEM\MPREXE.EXE

C:\WINDOWS\SYSTEM\MSTASK.EXE

C:\WINDOWS\SYSTEM\SSDPSRV.EXE

C:\WINDOWS\SYSTEM\KB891711\KB891711.EXE

C:\WINDOWS\EXPLORER.EXE

C:\WINDOWS\TASKMON.EXE

C:\WINDOWS\SYSTEM\SYSTRAY.EXE

C:\WINDOWS\SYSTEM\DESK98.EXE

C:\WINDOWS\SYSTEM\WMIEXE.EXE

C:\WINDOWS\SYSTEM\LEXBCES.EXE

C:\WINDOWS\SYSTEM\RPCSS.EXE

C:\WINDOWS\SYSTEM\RESTORE\STMGR.EXE

C:\WINDOWS\SYSTEM\LEXPPS.EXE

C:\WINDOWS\SYSTEM\DDHELP.EXE

C:\MIS DOCUMENTOS\PROGRAMAS\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\ARCHIVOS DE PROGRAMA\ADOBE\ACROBAT 6.0\READER\ACTIVEX\ACROIEHELPER.DLL

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX

O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun

O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe

O4 - HKLM\..\Run: [PCHealth] C:\WINDOWS\PCHealth\Support\PCHSchd.exe -s

O4 - HKLM\..\Run: [SystemTray] SysTray.Exe

O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme

O4 - HKLM\..\Run: [HydarVisionDesktopManager] desk98.exe

O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe

O4 - HKLM\..\Run: [LexStart] lexstart.exe

O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme

O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe

O4 - HKLM\..\RunServices: [SSDPSRV] C:\WINDOWS\SYSTEM\ssdpsrv.exe

O4 - HKLM\..\RunServices: [*StateMgr] C:\WINDOWS\System\Restore\StateMgr.exe

O4 - HKLM\..\RunServices: [KB891711] C:\WINDOWS\SYSTEM\KB891711\KB891711.EXE

O4 - Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\ARCHIV~1\MESSEN~1\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: MSN Messenger Service - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\ARCHIV~1\MESSEN~1\MSMSGS.EXE

O15 - ProtocolDefaults: '@ivt' protocol is in My Computer Zone, should be Intranet Zone (HKLM)

O15 - ProtocolDefaults: 'file' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O15 - ProtocolDefaults: 'ftp' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O15 - ProtocolDefaults: 'http' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O15 - ProtocolDefaults: 'https' protocol is in My Computer Zone, should be Internet Zone (HKLM)

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab

O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - http://www3.ca.com/securityadvisor/virusinfo/webscan.cab

Mensaje por **msc hotline sat** » 28 Jul 2005, 08:22

Tampoco en el HJT aparece ninguna carga del SSERVICE.exe, pero hay la carga de este fichero que no conocemos:

DESK98.EXE

Es una aplicacion que conoce ???

Eliminó algun virus recientemente que pudiera tener relacion al SSERVICE (aparte del indicado en las descripciones) ???

Con el BUSCAREG.EXE busqye SSERVICE.EXE y diganos si encuentra alguna clave al respecto

BUSCAREG.EXE

http://www.zonavirus.com/descargas/buscareg.asp

y aunque nos ha dicho que cpon el MSCONFIG no lo ha visto, revise en el CONFIG.SYS, AUTOEXEC.BAT, WIN.INI ...

saludos

ms, 28-07-2005

mana · Mensaje por **mana** » 28 Jul 2005, 20:48

Gracias nuevamente por responder, en cuanto a lo indicado en su e-mail:

He borrado el DESK98.EXE (No se que era)

Pase el Panda on-line porque al arrancar me daba error al leer archivo "fservice" (creo recordar), al reiniciar después, me empezo a salir el dichoso "sservice.exe".

Con el buscareg me sale:

"StoreServiceClassInfo"=dword:00000000

"000"="sservice"

Revisados Autoexec, config y win.ini, no me aparaece ninguna llamada a sservice.exe.

Creo que esto es todo, pero os agradezco vuestro interes por el tema.

Mensaje por **msc hotline sat** » 29 Jul 2005, 13:44

Esto debe ser parte de una clave. pulsando doble click sobre ñp detectado por BUSCAREG le mostrarña la cklave completa, y le ofrecerá eliminar. Hagalo, ya que si se becesirara restairar, el BUSCAREG hace uin log de lo que se elimina, indicandolo en fichero C:\BUSCAREG.TXT, y si hiciera falta, la restauraríamos con dicha informacion.

Si con ello no desaparece el dichoso mensaje, es que alguna aplicacion que cargas lo llama, y si es así puedes ver arrancando con F8 y del menú, seleccionando paso a paso (opcion 4), ir avanzando y ver cuando sale el dichoso mensaje de no encontrado el SSERVICE.EXE y ver la ultima aplicacion aceptada que es la que debe llamar a este fichero, y eludir su carga si se puede.

Si es una aplicacion necesaria, o bien piden el fichero soilicitado al fabricante, o una solucion que puede evitar todo esto es copiar un fichero de W98 que sea normal pero que sea inocuo y que no muestre nada en pantalla, copiarlo como SSERVICE.EXE para que lo ejecute y que se quede contento. Puede para ello editar un fichero bat vacio y renombrarlo al SSERVICE.EXE o incluso editar con el EDIT mismo un SSERVICE.EXE vacio, por ejemplo con solo un ENTER, para nada mas que contentar al programa que lo quiere ejecutar.

Lo copias en C:\windows para que lo encuentre cuando lo quiera ejecutar y pruebas de reiniciar.

Y nos comentas el resultado como respuesta de este tema, gracias

saludos

ms, 29-07-2005

NOTA: si el mensaje te sale en windows, puedes utilizar el IPCONFIG.EXE y copirlo a SSERVICE.EXE, pues abre u cierra muy rapida una ventana al DPS para mostrar resultados. Si es ciandp está iniciamdo todavía bajo DOS, mejor utoñoza lo del BAT vacio antes indicado

mana · Mensaje por **mana** » 29 Jul 2005, 20:19

Finalmente, me ha tocado formatear el ordenador, cada vez me salían más mensajitos...

De todas formas te agradezco mucho la paciencia que has tenido con este tema.

Gracias y hasta otra.

mana · Mensaje por **mana** » 29 Jul 2005, 20:27

Otra cosa que se me olvidaba, ¿qué antivirus me recomiendas que tenga instalado?.

Gracias otra vez.

Mensaje por **msc hotline sat** » 30 Jul 2005, 09:36

Mientras el antivirus que uses se actualice automaticamente y sea de los reconocidos mundialmente, entra ya el factor subjetivo y contra gistos no hay disputas.

Nosotros, moderadores y administradores usamos McAfee ENTERPRISE 8.0i, igual que esta web, por la fiabilidad de dicha empresa, con una estructura de casi 3000 empleados, muy superior a la de cualquiert otra empresa antivirus, y porque son los que mas experiencia tienen, ya que fueron los primeros que se dedicaron a ello, pero cada cual opina como quere, y al respecto verás y podrás participar en ello en un Tema que dejamos abierto al respecto:

https://foros.zonavirus.com/viewtopic.php?t=5051

Y si has decidido formatear, muerto el perro se acabó la rabia. Nosotros no hubieramos tirado la toalla pues como viste te sugería soluciones de engañar a la aplicacion que llamaba a este fichero, para que estuviera contenta y listos, pero en fin, es tu decision, y en consecuencia terminado el asunto, procedemos a cerrar el Tema

saludos

ms, 30-07-2005

Mensaje por **msc hotline sat** » 30 Jul 2005, 10:06

Off de record, pensando en qué bicho podría javerte dejado este incordio, he encontrado el Backsoor PRORAT, que utiliza este nombre para su gusano, y lo cargfa desde esta clave:

HKEY_LOCAL_MACHINE\Software\Microsoft\Active Setup\Installed Components\{5Y99AE78-58TT-11dW-BE53-Y67078979Y} "StubPath"

%Windir%\system\sservice.exe

Pero con el BUSCAREG la habriamos encontrado...

Y si la llamada hubiera estado en ficheros INIm SYS, BAT etc, con el MSCONFIG tambien...

Me quedo con las ganas de saber qué o quien lo llamaba... :mrgreen: :mrgreen: :mrgreen:

saludos y me voy ya!