Siempre detecta pero no elimina ntkernell32.exe(SOLUCIONADO)

chipeador · Mensaje por **chipeador** » 01 Nov 2005, 08:43

Hola compis como digo el macafee me detecta siempre esto:

"c:\windows\system32\ntkernell32.exe" pero lo he puesto en cuarentena y luego eliminado y al pasarlo de nuevo lo encuentra otra vez, lo cierto es que quito restaurar y arranco en modo a prueba fallos y entonces el macafee no me lo detecta. Tambien me dice que ha eliminado el "W32/Sdbot.worm.gen.g" varias veces pero me tiene preocupado.

Os pongo el log hijachis para que me digais que borro...

Logfile of HijackThis v1.99.1

Scan saved at 23:06:44, on 31/10/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\ARCHIV~1\mcafee.com\agent\mcagent.exe

C:\ARCHIV~1\mcafee.com\vso\mcvsshld.exe

C:\Archivos de programa\Symantec\Norton Ghost\Agent\GhostTray.exe

C:\WINDOWS\system32\ntkernell32.exe

c:\archiv~1\mcafee.com\vso\mcvsescn.exe

C:\WINDOWS\System32\GEARSec.exe

c:\ARCHIV~1\mcafee.com\vso\mcvsrte.exe

C:\Archivos de programa\Symantec\Norton Ghost\Agent\PQV2iSvc.exe

C:\WINDOWS\System32\svchost.exe

c:\ARCHIV~1\mcafee.com\vso\mcshield.exe

C:\Archivos de programa\Internet Explorer\iexplore.exe

C:\WINDOWS\msagent\AgentSvr.exe

C:\HijackThis.exe

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar2.dll

O3 - Toolbar: McAfee VirusScan - {BA52B914-B692-46c4-B683-905236F6F655} - c:\archiv~1\mcafee.com\vso\mcvsshl.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar2.dll

O4 - HKLM\..\Run: [MCUpdateExe] C:\ARCHIV~1\mcafee.com\agent\McUpdate.exe

O4 - HKLM\..\Run: [MCAgentExe] c:\ARCHIV~1\mcafee.com\agent\mcagent.exe

O4 - HKLM\..\Run: [VSOCheckTask] "c:\ARCHIV~1\mcafee.com\vso\mcmnhdlr.exe" /checktask

O4 - HKLM\..\Run: [VirusScan Online] "c:\ARCHIV~1\mcafee.com\vso\mcvsshld.exe"

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [Norton Ghost 9.0] C:\Archivos de programa\Symantec\Norton Ghost\Agent\GhostTray.exe

O4 - HKLM\..\Run: [systlog] systlog.exe

O4 - HKLM\..\Run: [AdobeReaderPro] ntkernell32.exe

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKLM\..\RunServices: [AdobeReaderPro] ntkernell32.exe

O4 - HKCU\..\Run: [NBJ] "C:\Archivos de programa\Ahead\Nero BackItUp\nbj.exe"

O8 - Extra context menu item: &Google Search - res://c:\archivos de programa\google\GoogleToolbar2.dll/cmsearch.html

O8 - Extra context menu item: &Translate English Word - res://c:\archivos de programa\google\GoogleToolbar2.dll/cmwordtrans.html

O8 - Extra context menu item: Backward Links - res://c:\archivos de programa\google\GoogleToolbar2.dll/cmbacklinks.html

O8 - Extra context menu item: Cached Snapshot of Page - res://c:\archivos de programa\google\GoogleToolbar2.dll/cmcache.html

O8 - Extra context menu item: Similar Pages - res://c:\archivos de programa\google\GoogleToolbar2.dll/cmsimilar.html

O8 - Extra context menu item: Translate Page into English - res://c:\archivos de programa\google\GoogleToolbar2.dll/cmtrans.html

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/WebsiteAccess/ie/bridge-c18.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1123857874187

O17 - HKLM\System\CCS\Services\Tcpip\..\{47A40F38-1145-4F05-AC4D-F8D33B1B8FEC}: NameServer = 80.58.61.250,80.58.61.254

O23 - Service: GEARSecurity - GEAR Software - C:\WINDOWS\System32\GEARSec.exe

O23 - Service: McAfee.com McShield (McShield) - Unknown owner - c:\ARCHIV~1\mcafee.com\vso\mcshield.exe

O23 - Service: McAfee SecurityCenter Update Manager (mcupdmgr.exe) - McAfee, Inc - C:\ARCHIV~1\McAfee.com\Agent\mcupdmgr.exe

O23 - Service: McAfee.com VirusScan Online Realtime Engine (MCVSRte) - Networks Associates Technology, Inc - c:\ARCHIV~1\mcafee.com\vso\mcvsrte.exe

O23 - Service: Norton Ghost - Symantec Corporation - C:\Archivos de programa\Symantec\Norton Ghost\Agent\PQV2iSvc.exe

Saludos...........

Mensaje por **maura63** » 01 Nov 2005, 11:10

Elimina en C esta ejecucion

C:\WINDOWS\system32\ntkernell32.exe -

Despues con hijackthismarcas estas entradas y pulsa en FIX

O4 - HKLM\..\Run: [systlog] systlog.exe -

O4 - HKLM\..\Run: [AdobeReaderPro] ntkernell32.exe -

O4 - HKLM\..\RunServices: [AdobeReaderPro] ntkernell32.exe -

O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/WebsiteAccess/ie/bridge-c18.cab - Nasty

Saludos

maura63

chipeador · Mensaje por **chipeador** » 01 Nov 2005, 19:03

Gracias por la ayuda tan valiosa que prestais aquí a todos y concretamente en estos temas, lo he solucionado.

SOLUCIONADO.

MIL GRACIAS...............

Mensaje por **msc hotline sat** » 01 Nov 2005, 19:13

Pues lo celebramos, y solucionado el problema procedemos a cerrar el Tema

Pero si puedes, como colaboracion, envianos este fichero, ya que no he encontrado descripcion de él, parapoder controlarlo con nuestras utilidades:

C:\WINDOWS\system32\ntkernell32.exe

La ll del nombre ya demustra ser bicho, pero no sabemos cual...ni lo que hace ademñas de cargarse en la clave que hemos eliminado, por lo que lo analizaremos si nos lo envias a zonavirus@satinfo.es con la referencia REF ntkernell32

Y aunque este Tema esté cerrado, comunicaremos cuando lo haya,os implementado, para que lances la utilidad y asi limpies otras claves que pudiera haber modificado y asi queden restauradas.

y TAMBIEN ADJUNTANOS ESTE systlog.exe EN EL MISMO MAIL ...

saludos

ms, 1-11-2005