Generic host process for win32... pesadez ... (SOLUCIONADO)

[bigotes]

Cuando me conecto a internet me sale el mensaje "Generic host process for win32 services ha detectado un problema y debe cerrarse". Este error se repite aproximadamente cada 30 segundos. He restaurado el sistema a otro punto de funcionamiento correcto y el problema parece que desaparece durante unos dias. luego vuelva a producirse. Cuando el mensaje se repite, mi acceso a las paginas en internet no parece bloquearse, pero es sumamente molesto el ver continuamente el texto de marras. Existe alguna medicina para este problema?... GRACIAS-

[Nuker]

Claro que si. Posteanos tu log de HJT en modo normal. Abrelo le das en scan and save log file, copias contenido de bloc de notas y lo pegas aqui.



HJT:



http://www.zonavirus.com/descargas/trendmicro-hijackthis.asp

[bigotes]

Logfile of HijackThis v1.99.1

Scan saved at 20:14:07, on 11/02/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Archivos de programa\Network Associates\Common Framework\FrameworkService.exe

C:\Archivos de programa\Network Associates\VirusScan\Mcshield.exe

C:\Archivos de programa\Network Associates\VirusScan\VsTskMgr.exe

C:\WINDOWS\System32\svchost.exe

C:\Archivos de programa\Network Associates\VirusScan\SHSTAT.EXE

C:\Archivos de programa\Network Associates\Common Framework\UpdaterUI.exe

C:\Archivos de programa\Archivos comunes\Network Associates\TalkBack\TBMon.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE

C:\Archivos de programa\WinRAR\WinRAR.exe

C:\DOCUME~1\jose\CONFIG~1\Temp\Rar$EX01.834\HijackThis.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\drwtsn32.exe



R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.telefonica.net/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O4 - HKLM\..\Run: [ShStatEXE] "C:\Archivos de programa\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE

O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Archivos de programa\Network Associates\Common Framework\UpdaterUI.exe" /StartedFromRunKey

O4 - HKLM\..\Run: [Network Associates Error Reporting Service] "C:\Archivos de programa\Archivos comunes\Network Associates\TalkBack\TBMon.exe"

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://vero-87.spaces.live.com//PhotoUpload/MsnPUpld.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{46430750-E34E-49B1-9998-FEA39CF9B6BA}: NameServer = 195.235.113.3 195.235.96.90

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARCHIV~1\MSNMES~1\MSGRAP~1.DLL

O20 - Winlogon Notify: rpcc - C:\WINDOWS\system32\rpcc.dll

O20 - Winlogon Notify: WLogon - srvc.dll (file missing)

O23 - Service: Servicio de registro de McAfee (McAfeeFramework) - Network Associates, Inc. - C:\Archivos de programa\Network Associates\Common Framework\FrameworkService.exe

O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Archivos de programa\Network Associates\VirusScan\Mcshield.exe

O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Archivos de programa\Network Associates\VirusScan\VsTskMgr.exe

O23 - Service: Windows NT Session Manager (SMSS) - Unknown owner - C:\WINDOWS\system\smss.exe (file missing)

[Nuker]

Problemas:



O20 - Winlogon Notify: rpcc - C:\WINDOWS\system32\rpcc.dll

O20 - Winlogon Notify: WLogon - srvc.dll (file missing)



Dlae fix checked a esta en modo seguro:



[color=red]O20 - Winlogon Notify: WLogon - srvc.dll (file missing) [/color]



Y tambien en modo seguro pasate ELISTARA, y complementala con ELINOTIF.DLL, descargas ELISTARA y ELINOTIF.DLL y las guardas en el escritorio, las ejecutas en modo seguro. Te generaran un log en Unidad C, con el nombre de infoSat.txt copia y pega contenido aqui.



ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp



ELINOTIF.DLL:

http://www.zonavirus.com/descargas/elinotif.asp



MODO SEGURO:

http://www.zonavirus.com/articulos/como-arrancar-en-modo-seguro-o-a-prueba-de-fallos.asp

[bigotes]

perdona ...no entiendo la frase Dlae fix checked a esta en modo seguro

[Nuker]

Perdona tuve un error de dedo, "Dale fix checked" te da una opcion (un boton con esta leyenda de fix checked) es para eliminar las claves. Hazlo en modo seguro.

[bigotes]

Sun Feb 11 23:11:59 2007

EliStartPage v13.30 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

[WinLogon\Notify\RPCC]

Acceso Denegado al fichero

C:\WINDOWS\SYSTEM32\RPCC.DLL

Por favor, envienos una muestra del fichero

que podra copiar arrancando en Consola de Recuperación.

C:\WINDOWS\SYSTEM32\RPCC.DLL --> Acceso Denegado.

No detectado Parche MS06-070 de Microsoft instalado. (SServidor)

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Sun Feb 11 23:12:29 2007

EliStartPage v13.30 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\WINDOWS\system32\Tools\COUNTER.EXE --> Eliminado, Restart

C:\WINDOWS\system32\Tools\RESTART.EXE --> Eliminado, Restart

Instalada Utilidad "ELINOTIF.DLL"



EliNotify v1.7.02.07 (c)2006 S.G.H. / Satinfo S.L.

---------------------------------------------------

Lista de Acciones:

Detectado Malware.RPCC

Elininada KEY "Winlogon\Notify\rpcc"

C:\WINDOWS\system32\rpcc.dll -> Eliminado.

Desinstalado EliNotif.dll

[Nuker]

:D Bien.



Ahora comentanos resultado y peganos un nuevo log de HJT para ver si queda algo...

[msc hotline sat]

DE BUENA TE HAS LIBRADO !:



Detectado Malware.RPCC

Elininada KEY "Winlogon\Notify\rpcc"

C:\WINDOWS\system32\rpcc.dll -> Eliminado.



Suerte del Elistara /Elinotif, pues de lo contrario te hubiera costado la tira.





Estuvimos todos un día para poder controlarlo y asi facilitar su eliminacion...



Pues ya nos dirás si persiste alguna otra anomalía o podemos dar por solucionado el Tema



saludos



ms, 12-02-2007

[bigotes]

llevo esta tarde conectado y no ha aparecido el mensaje

?será que se ha solucionado¿

tanto si si como si no -muchas gracias-

?ese tipo de virus no es detectado por Mcaffe?

[Nuker]

Pues felicidades, ha sido limpiado, de esta amenaza (RPCC)



Este virus en particular no se si sea detectado por dicho antivirus. Pero siempre metete a la pagina de McAfee y bajate la lista actualizada de virus. aparte de las actualizaciones.

[bigotes]

gracias por el consejo

Un saludote

[bigotes]

Dad el tema por cerrado

Hasta el firewall de windows me funciona de nuevo

Os reitero mil gracias

[msc hotline sat]

[url=http://forum.telecharger.01net.com][img]http://forum.telecharger.01net.com/data/units/microhebdo/smilies/65.gif[/img][/url]



Pues lo celebramos, y dando el Tema por solucionado, procedemos a cerrarlo.



Si nos necesita de nuevo, ya sabe donde estamos



saludos



ms, 17-02-2007