mensaje "se está apagando el sistema.(SOLUCUONADO)

GranJaco · Mensaje por **GranJaco** » 24 Ene 2006, 02:50

Al iniciar windows, al minuto me sale la famosa pantallita del sasser de que se va a apagar el sistema, lo cual lo evito ejecutando "shutdown -a". He pasado todo tipo de antivirus, antispy, herramientas de deteccion de sasser y demás, etc...

Además el explorer va lentísimo y se cuelga constantemente. Ya no se que más puedo hacer, a ver si podeis ayudarme por que empiezo a estar desesperado. Gracias.

Este es mi log:

Logfile of HijackThis v1.99.1

Scan saved at 2:48:35, on 24/01/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\VTTimer.exe

C:\WINDOWS\system32\VTtrayp.exe

C:\Archivos de programa\CyberLink\PowerDVD\PDVDServ.exe

C:\Archivos de programa\Java\jre1.5.0_06\bin\jusched.exe

C:\ARCHIV~1\Grisoft\AVG7\avgcc.exe

C:\Archivos de programa\Archivos comunes\Ahead\lib\NMBgMonitor.exe

C:\ARCHIV~1\Grisoft\AVG7\avgamsvr.exe

C:\ARCHIV~1\Grisoft\AVG7\avgupsvc.exe

C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE

C:\Archivos de programa\Mozilla Firefox\firefox.exe

C:\Archivos de programa\HJT\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.5.0_06\bin\ssv.dll

O2 - BHO: Complemento del Asistente para Internet de Encarta - {955BE0B8-BC85-4CAF-856E-8E0D8B610560} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Encarta Web Companion\ENCWCBAR.DLL

O3 - Toolbar: Asistente para Internet de Encarta - {147D6308-0614-4112-89B1-31402F9B82C4} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Encarta Web Companion\ENCWCBAR.DLL

O4 - HKLM\..\Run: [VTTimer] VTTimer.exe

O4 - HKLM\..\Run: [VTTrayp] VTtrayp.exe

O4 - HKLM\..\Run: [RemoteControl] "C:\Archivos de programa\CyberLink\PowerDVD\PDVDServ.exe"

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Archivos de programa\Java\jre1.5.0_06\bin\jusched.exe

O4 - HKLM\..\Run: [AVG7_CC] C:\ARCHIV~1\Grisoft\AVG7\avgcc.exe /STARTUP

O4 - HKLM\..\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u

O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Archivos de programa\Archivos comunes\Ahead\lib\NMBgMonitor.exe"

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1138066806531

O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVG7\avgamsvr.exe

O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVG7\avgupsvc.exe

Mensaje por **msc hotline sat** » 24 Ene 2006, 06:44

Tu log está limpio.

El shutdown es una defecnsa de windows, ante cualquier ERROR de proceso, bien sea por desbordamiento de buffer del LSASS en el caso de los derivados del Sasser, como por anomalia en cualquier aplicacion corrupta, sea de sistema o complementaria

Prueba el ELITRIIP, acepta en bloquear el intento de intrusion y tras llegar al final de la exploracion, dinos si asi te pasa y si dicha exploracion ha detectado algo...

ELITRIIP:

http://www.zonavirus.com/descargas/elitriip.asp

Otra prueba que puedes hacer es desconectar el cable de internet y decirnos si asi te sigue pasando o no, y si esta máquina está conectada en Red a otras, gracias

saludos

ms, 24-1-2006

GranJaco · Mensaje por **GranJaco** » 24 Ene 2006, 10:49

He pasado el Elitrip y no me detecta nada, simplemente me dice al principio si deseo bloquear el intento de intrusión por el TCP445.

Respecto a lo de internet, efectivamente, parece que solo me lo hace cuando me conecto. Mi ordenador no está en red con otros.

Otra cosa, en la pantalla que aparece avisando de que se va a apagar dice que "el proceso que ha finalizado es c:\windows\system32\services.exe"

Mensaje por **msc hotline sat** » 24 Ene 2006, 11:42

El services.exe de poco mas de 100 kb en XP y unos 92 en w2000 situado en la carpeta de sistema, son los normales del sistema operativo y algunos virus utilizan en dicha carpeta un gusano de nombre parecido: SERVICE.EXE, si la S final, o bien con todas las letras pero en otra carpeta, no en la de sistema (para XP c:\windows\system32 y para W2000 C:\winnt\system32 en instalaciones standar.)

Vea que no tenga otros SERVICE*.EXE en su disco duro que no reunan las caracteristicas de los originales de windows, y si encuentra añgun otro indiquenoslo con los datos de tamaño y ruta para indicarle como proceder.

Otra cosa es que el ERROR lo provocara otra máquina, y en tal caso no habría nada que buscar en su PC, sino en la máquina en cuestion. Mire de hacer pruebas aislando máquina a máquina para centrar el problema en la que le causa el ERROR.

Sobre lo que ofrece el ELITRIIP de Bloquear el TCP445, no lo hace por defecto, sino que lo frece y si el usuario lo acepta, se cierra dicho port, para que asi pueda conectarse a Internet y bajarse los parches, que en su caso no lo hemos sugerido al tener instalado ya el SP2.

De todas formas como que hay nuevos parches de este año, lance un windowsupdate que siempre va bien (si no tiene ninguno pendiente, no instalará nada)

Podría muy bien ser el intento de intrusion desde otra máquina, por lo que vea de hacer la prueba de aislamiento y cuando sepa cual es, lance en ella el ELITRIIP y vea que tenga todos los parches.

Y nos comenta el resultado, gracias

saludos

ms, 24-1-2006

GranJaco · Mensaje por **GranJaco** » 24 Ene 2006, 12:19

La función de busqueda tampoco me funciona, al igual que windows update que se queda colgado buscando la versión más reciente que tengo instalada, y al igual que cuando quiero cerrar windows que se queda media hora cerrando.

Mirando en la carpeta system32 encuentro repetido el archivo services.exe. De hecho tengo estos 3 archivos:

services.exe

services(2).exe

services.msc

Y no te entiendo cuando me dices: "otra cosa es que el ERROR lo provocara otra máquina, y en tal caso no habría nada que buscar en su PC, sino en la máquina en cuestion. Mire de hacer pruebas aislando máquina a máquina para centrar el problema en la que le causa el ERROR." No entiendo que quieres decir con aislando máquina a máquina. Gracias.

Mensaje por **msc hotline sat** » 24 Ene 2006, 12:23

De los dos exes del services, mira si el tamaño es el mismo o dinos el que tienen

Sobre la posible intrusion desde otra máquina que estuviera infectada , la cuestion es ir aislando máquinas hasta ver la que lo provoca, y en tal caso, analizar a fondo la causante.

saludos

ms, 24-1-2006

GranJaco · Mensaje por **GranJaco** » 24 Ene 2006, 12:25

tienen el mismo tamaño: 106 kb

Mensaje por **msc hotline sat** » 24 Ene 2006, 12:52

Entonces debe ser algun update o copia, pero no es virus

Perdon, alreleer el Tema veo que indica que no esta en red con otros. Lo habñia pasado por alto. Entonces parece que viene por Internet, pero el SP2 debería controlarlo. Bea si lanzando el ELITRIIP y aceptando en Bloquear el Intento de Intrusion vea si le sigue pasando, y si no, es que recibe intentos de intrusion de fuera, lo cual quiere decir que el parche SP2 está mal instalado o corrupto, pero ya llegaremoa a ello si es el caso !

pruebelo y nos informa.

saludos

ms, 24-1-2006

GranJaco · Mensaje por **GranJaco** » 24 Ene 2006, 15:09

Lanzo el Elitrip y bloqueo los intentos de intrusion pero el problema persiste.

Por cierto, el problema apareció despues de que eliminara un troyano tipo spyaxe (uno que me cambiaba la página de inicio a una de secure32), pero lo eliminé con delpsguard, disk cleaner, reg seeker y ad aware, usándolos en modo seguro. El problema despareció pero apareció este del services.exe. No se si está relacionado pero por si sirve de algo...

Gracias

Mensaje por **msc hotline sat** » 24 Ene 2006, 15:18

Pues siempre va bien saberlo, y especialmente que hayas tenido la presencia de este SPYAXE, es posible que tengas restos que solo el ELISTARA 11.01 te pueda detectar.

ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp

Pruebalo y nos cuentas el resultado, y si te pide miestras envianoslas, y lee el log que crea en C:\infosat.txt y nos lo comentas o posteas

saludos

ms, 24-1-2006

GranJaco · Mensaje por **GranJaco** » 24 Ene 2006, 15:31

Paso el elistara, no encuentra nada, este es el log:

Tue Jan 24 15:22:49 2006

EliStartPage v11.01 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Tue Jan 24 15:23:24 2006

EliStartPage v11.01 (c)2006 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

C:\Archivos de programa\Soulseek-Test\slsk157test8.exe --> AutoExtraible

C:\Archivos de programa\Soulseek-Test\uninstall.exe --> AutoExtraible

C:\Archivos de programa\Winamp\UninstWA.exe --> AutoExtraible

Mensaje por **msc hotline sat** » 24 Ene 2006, 15:43

Bien, no debía ser ninguna de las tres variantes que es esconden si estan en uso, pero valia la pena aegurarse!

Y dado lo que cuenta, al pasarle con el TCP445 cerrado, ya solo cabe que sea del ordenador, y en este caso es posible que los amigos que tuvo recientemente le hayan dañado dicho SERVICES.EXE

Arranque con el CD de instalacion, siga como si fuera a instalar y cuando detecte la particion instalada, selecciones REPARAR, no reinstalar.

Finalice lanzando un windowsupdate para actualizar los nuevos ficheros y tras reiniciar, nos cuenta el resultado.

saludos

ms, 24-1-2006

GranJaco · Mensaje por **GranJaco** » 25 Ene 2006, 00:38

Hice todo lo que me comentas, pero el problema persiste.

Mensaje por **msc hotline sat** » 25 Ene 2006, 07:35

Si tras REPARAR el sistema, arrancas en modo seguro y tienes problemas, el problema es de hardware

Posiblemente tengas la memoria degradada. i la CPU dañada... por cierto, no tendrás algun problema de refrigeracion y esté la CPU demasiado caliente ???

Dinos la temperatura de la misma, que la puedes ver con el EVEREST-AIDA32:

_________

AIDA32 (EVEREST)

http://www.zonavirus.com/datos/descargas/28/EVEREST_Home_Edition.asp

_________

selecciona "ORDENADOR" y en el "SENSOR"

y nos informas, gracias

saludos

ms, 25-1-2006

GranJaco · Mensaje por **GranJaco** » 25 Ene 2006, 14:38

si me conecto en modo seguro con funciones de red, al conectarme a internet no aparece el problema, es decir, no me aparece la maldita pantallitay el explorer va bien.

en cuanto a la temperatura es normal, 27º

Mensaje por **msc hotline sat** » 25 Ene 2006, 15:31

Bueno, pues ya es mucho que vaya bien en modo seguro, señal que no es de hardware, y si entras a internet con funciones de red y va bien señal de que el bicho lo tienes dentro pero no se carga arrancando así.

Bueno, ya se aclara la situacion ...

Como sea que esta mañana hemos tenido en el foro otro caso que no se veía con nada, ni con el HJT, pero sí con el Kaspersky, lanza dicho antivirus ONLINE, en modo seguto con funciones de red, a ver si es el caso, o igual da si es otro mientras nos lo detecte:

http://www.kaspersky.com/virusscanner/

y nos cuentas el resultado como respuesta de este Tema, gracias

saludos

ms, 25-1-2006

GranJaco · Mensaje por **GranJaco** » 25 Ene 2006, 16:41

paso el kaspersky no ha encontrado nada

Mensaje por **msc hotline sat** » 25 Ene 2006, 17:13

Y lo has pasado en modo seguro con fiunciones de red ???

pues bueno, solo sé que no sé qué tienes ...

Me lo pienso y si encuentro algo lógico de lo comento, y mientras a ver si alguien sabe algo...

saludos

ms, 25-1-2006

GranJaco · Mensaje por **GranJaco** » 25 Ene 2006, 17:17

sí, en modo seguro con función de red.

Oye, una cosa, si pruebo a restaurar sistema servirá de algo?

Mensaje por **msc hotline sat** » 25 Ene 2006, 17:52

No, mejor prueba con el ELIRESTR, pues lo que decias de que no ten´ñias la funcion de BUSCAR...puede venir de claves modificadas pendientes de restarar

Haz la prueba, reinicia y nos informas

ELIRESTR:

http://www.zonavirus.com/datos/descargas/92/ELIRESTR.asp

(y ni caso si el antivirus te detecta virus en esta aplicacion. Tiene mucas claves viricas para restaurarlas y algunos antivirus "pican")

esperamos tus noticias, gracias

saludos

saludos

ns, 25-1-2006

GranJaco · Mensaje por **GranJaco** » 25 Ene 2006, 18:08

oye no doy abierto ese archivo, como lo uso?

GranJaco · Mensaje por **GranJaco** » 25 Ene 2006, 18:11

por cierto la funcion de busqueda ya me funciona, debe ser q no va cuando estoy con el explorer y se bloquea todo.

Mensaje por **msc hotline sat** » 25 Ene 2006, 18:20

No te hará ningun daño, doble click sobre él y acepta.

y nos cuenta el resultado...

saludos

ms, 25-1-2006

neo64_00 · Mensaje por **neo64_00** » 25 Ene 2006, 23:44

tengo el archivo que les hace esto a los equipos, yo no encontre otra forma mas que formateando, si les sirve de algo les mando el archivo.

saludos.

Mensaje por **msc hotline sat** » 26 Ene 2006, 08:08

Por supuesto, envianoslo a zonavirus@satinfo.es anexado a un mail en cuyo texto indique la referencia REF NEO64 y lo analizaremos, implementando su control y eliominacion, si procediera, a nuestras utilidades, dfe lo cual informariamos como respuesta de este Tema

Incluso le interesa para que no le vuelva a suceder o evitar formatear en tal caso !

saludos

ms, 26-1-2006

GranJaco · Mensaje por **GranJaco** » 26 Ene 2006, 16:23

Bueno pues al final a mí no me quedó otra que formatear también, de todas maneras gracias por la ayuda y estaré atento a ver si al final encontrais la solución analizando ese archivo. Un saludo.

neo64_00 · Mensaje por **neo64_00** » 26 Ene 2006, 16:57

Listo, enviado el virus, gracias y esperamos respuesta de que es lo que hace.

Saludos!!

Mensaje por **msc hotline sat** » 26 Ene 2006, 17:10

Recibido el fichero muestra, un analisis superficial con VIRUS TOTAL indica la posible infeccion con un downloader segun log adjunto

[quote="VIRUS TOTAL"]
Este es el resultado de analizar el archivo "crack.exe" que VirusTotal ha procesado el dia 26/01/2006 a las 17:04:37 (CET).

AntiVir 6.33.0.77 26.01.2006 TR/Dldr.PassAlert.i

AVG 718 25.01.2006 Downloader.Generic.QNF

Avira 6.33.0.77 26.01.2006 TR/Dldr.PassAlert.i

BitDefender 7.2 26.01.2006 Trojan.Downloader.Small.HD

CAT-QuickHeal 8.00 25.01.2006 (Suspicious) - DNAScan

ClamAV devel-20051123 26.01.2006 Trojan.Downloader.Small-967

DrWeb 4.33 26.01.2006 Trojan.DownLoader.6084

Ewido 3.5 26.01.2006 Downloader.Small.cgl

Fortinet 2.54.0.0 26.01.2006 W32/Small.CDK!dldr

F-Prot 3.16c 25.01.2006 W32/Downloader.gen

Ikarus 0.2.59.0 26.01.2006 Backdoor.Win32.PcClient.GV

Kaspersky 4.0.2.24 26.01.2006 Trojan-Downloader.Win32.Small.cgl

NOD32v2 1.1380 25.01.2006 Win32/TrojanDownloader.Small.AOD

Norman 5.70.10 26.01.2006 DLoader.NXS

Panda 9.0.0.4 26.01.2006 Suspicious file

VBA32 3.10.5 26.01.2006 Trojan-Downloader.Win32.Small.cgl
[/quote]

implementaremos su deteccion y control en la proxima version del ELISTARA, y ya lo hemos enviado a McAfee para su inclusion en proximos DAT

gracias por su colaboraicon

y dando por sulicionado el Tema, procedemos a cerrarlo

saludos

ms, 26-1-2006

neo64_00 · Mensaje por **neo64_00** » 26 Ene 2006, 17:16

Gracias, estamos atentos a la herramienta ELISTARA, muchas gracias!

Mensaje por **msc hotline sat** » 26 Ene 2006, 17:37

Bien, mantenemos el Tema abierto para que nos puedas decir como te ha ido la version 11.04 que subiremos tan pronto como la hayamos terminado, de lo cual informaremos.

AUNQUE SI YA HA FORMATEADO...

saludos

ms, 26-1-2006

mensaje "se está apagando el sistema.(SOLUCUONADO)

mensaje "se está apagando el sistema.(SOLUCUONADO)

tengo el archivo para que lo prueben...

Enviado

Gracias!