Reinicio de PC, Sintomas son de Sasser pero nada lo quita

[datah]

Tengo un grave problema :twisted: tengo una PC marca dell, que tiene todos los sintomas del virus Sasser, pero he pasado todas las utilidades para quitar el Sasser pero ninguna lo ha detectado, he pasado infinidad de utilidades, antivirus, e instalado el parche de windows y nada a funcionado, :cry: Tengo el log de Elistara y de HJT, pero no lo puedo sacar de la maquina, ya que esta se reinicia en cada momento, no sin antes mandar un mensaje que dice que Windows NT\ Services a provocado un error y se reiniciara y comienza un reloj con un minuto en cuenta regresiva.

[koga]

HA probado iniciar en modo seguro? si no lo ha hecho intentelo para sacar el log de HJT y el de elistara, si tiene dudas sobre como iniciar en modo seguro vea:





http://www.zonavirus.com/articulos/como-arrancar-en-modo-seguro-o-a-prueba-de-fallos.asp















Saludos.

[Nuker]

Otro a titulo de koga, ha probado Elitriip ? Ya que es el que tiene controlado algunas variantes del Sasser, pruebelo en Modo Seguro, al terminar nos postea su log que se creara en Unidad C, con el nombre de infoSat.txt copia contenido y pega.





Elitriip:

http://www.zonavirus.com/descargas/elitriip.asp



Saludos.

[datah]

Estos fueron los resultados, el elistara ya lo habia pasado antes, dado que hace como 3 semanas empece con esta maquina y no he podido terminarla por diferentes razones, espero sea de ayuda



Tue Mar 20 18:16:10 2007

EliStartPage v13.57 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\XPUPDATE.EXE --> Eliminado DownLoader.AFH

C:\PROGRAM FILES\BRAVESENTRY\BRAVESENTRY.EXE --> Eliminado

C:\Documents and Settings\tarificador_telnor\Datos de programa\Install.dat --> Eliminado (Fichero Complementario).

Eliminada Class, "{B80A24C0-027B-D11D-A758-33379B12A9D1}" -> C:\WINDOWS\gvaju1.dll

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Tue Mar 20 18:18:04 2007

EliStartPage v13.57 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Archivos de programa\Archivos comunes\DriveCleaner 2006 Free\SDRMON.EXE --> Eliminado, DriveCleaner(dldr)

C:\Archivos de programa\DriveCleaner 2006 Free\UDCPCHK.DLL --> Eliminado, ErrorSafe

C:\I386\IDEREGAD.EXE --> Eliminado, DownLoader.Vixup

C:\System Volume Information\_restore{4041C5F1-AA57-4413-B120-ABECC37D69AF}\RP170\A0039189.DLL --> Eliminado, ErrorSafe

C:\System Volume Information\_restore{4041C5F1-AA57-4413-B120-ABECC37D69AF}\RP197\A0052379.EXE --> Eliminado, DownLoader.AFH

C:\System Volume Information\_restore{4041C5F1-AA57-4413-B120-ABECC37D69AF}\RP197\A0052382.EXE --> Eliminado, DriveCleaner(dldr)

C:\System Volume Information\_restore{4041C5F1-AA57-4413-B120-ABECC37D69AF}\RP197\A0052383.DLL --> Eliminado, ErrorSafe

C:\System Volume Information\_restore{4041C5F1-AA57-4413-B120-ABECC37D69AF}\RP197\A0052384.EXE --> Eliminado, DownLoader.Vixup

C:\WINDOWS\Temp\14.TMP --> Eliminado, DownLoader.AFH



Tue Mar 20 18:34:20 2007

EliStartPage v13.57 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

Exploración Detenida por el Usuario.



Fri Mar 23 10:10:08 2007

EliStartPage v13.57 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminada Carpeta "\Program Files\BraveSentry"



Fri Mar 23 10:10:15 2007

EliStartPage v13.57 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Documents and Settings\tarificador_telnor\Escritorio\SmitfraudFix\REBOOT.EXE --> Eliminado, DollarRevenue (dldr)

C:\System Volume Information\_restore{4041C5F1-AA57-4413-B120-ABECC37D69AF}\RP197\A0055940.EXE --> Eliminado, DollarRevenue (dldr)



Fri Mar 23 11:11:59 2007

EliStartPage v13.57 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Tue Mar 27 21:12:43 2007

EliStartPage v13.57 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Tue Mar 27 21:12:46 2007

EliStartPage v13.57 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Wed Mar 01 12:09:56 2006

EliStartPage v13.64 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Wed Mar 01 12:09:57 2006

EliStartPage v13.64 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Thu Mar 30 14:50:35 2006

EliStartPage v13.86 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

ALERTA. WindowsUpdate Incompleto.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Thu Mar 30 14:50:50 2006

EliStartPage v13.86 (c)2007 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Thu Mar 30 15:04:40 2006

EliTriIP v3.50 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

ALERTA. WindowsUpdate Incompleto.



Thu Mar 30 15:04:44 2006

EliTriIP v3.50 (c)2007 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Archivos de programa\Symantec\pcAnywhere\IntgStat.exe --> Eliminado, BackDoor.CMQ

C:\Documents and Settings\tarificador_telnor\Escritorio\mwav.exe --> Eliminado, Bifrose (dropper)

C:\INTERTEL\INTERTELRed\Autorun.inf --> Eliminado, BackDoor.CMQ (inf)

C:\System Volume Information\_restore{4041C5F1-AA57-4413-B120-ABECC37D69AF}\RP2\A0020311.exe --> Eliminado, BackDoor.CMQ

C:\System Volume Information\_restore{4041C5F1-AA57-4413-B120-ABECC37D69AF}\RP2\A0020312.exe --> Eliminado, Bifrose (dropper)

C:\System Volume Information\_restore{4041C5F1-AA57-4413-B120-ABECC37D69AF}\RP2\A0020313.inf --> Eliminado, BackDoor.CMQ (inf)









Log de HIjackThis



Logfile of HijackThis v1.99.1

Scan saved at 03:15:17 p.m., on 30/03/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\HJT\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.dell.com/

O4 - HKLM\..\Run: [Agrsmmsg] AGRSMMSG.exe

O4 - HKLM\..\Run: [nod32kui] "C:\Archivos de programa\Eset\nod32kui.exe" /WAITSERVICE

O4 - Global Startup: Receptor de Detallado.lnk = C:\INTERTEL\RECIBEW.EXE

O17 - HKLM\System\CCS\Services\Tcpip\..\{3F971ACE-D5E2-4103-846E-17848F3E2097}: NameServer = 172.18.2.6

O17 - HKLM\System\CS1\Services\Tcpip\..\{3F971ACE-D5E2-4103-846E-17848F3E2097}: NameServer = 172.18.2.6

O23 - Service: Servicio de host de pcAnywhere (awhost32) - Symantec Corporation - C:\Archivos de programa\Symantec\pcAnywhere\awhost32.exe

O23 - Service: Broadcom ASF IP monitoring service v6.0.4 (BAsfIpM) - Broadcom Corp. - C:\WINDOWS\System32\basfipm.exe

O23 - Service: McAfee Framework Service (McAfeeFramework) - Unknown owner - C:\Archivos de programa\Network Associates\Common Framework\FrameworkService.exe" /ServiceStart (file missing)

O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Archivos de programa\Network Associates\VirusScan\Mcshield.exe

O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Archivos de programa\Network Associates\VirusScan\VsTskMgr.exe

O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Archivos de programa\Eset\nod32krn.exe

[datah]

Los logs tienen fecha del año pasado pero no son asi, son recientes lo que pasa es ke en algun momento cambie la fecha pensando que eso podria ayudar a solucionar el problema

[msc hotline sat]

Pues empiece por desinstalar uno de los dos antivirus !



Tiene McAfee y NOD32 y no debe haber mas de uno para que no colisionen...



Aparte, porqué dice que le parece tener algo relacionado con Sasser ???



Y esto del RECIBEW no es nada usual, aunque sea: http://www.intertel.com.mx/soluciones/intertel_basico/procedimiento_instalacion.htm pero, lo utiliza actualmente ???



saludos



ms, 28-04-2007



nota: Y mejor actualice la fecha del ordenador para evitar confusiones !!!

[datah]

Primeramente, El Mcafee esta deshabilitado por lo que no colisiona con NOD32,



Segundo, digo que parece Sasser, ya que todo el proceso que hace es como dicho virus, aparece algo asi.



Apagar el sistema



Se está apagando el sistema. Guarde todo

trabajo en curso y cierre la sesión. Se perderá

cualquier cambio que no haya sido guardado.

El apagado ha sido iniciado por NT

AUTORITHY\SYSTEM



Tiempo restante

para el apagado: xx:xx:xx



Mensaje

El proceso del sistema

C:\WINNT\system32\lsass.exe terminó

de forma inesperada indicando código 0

Windows debe reiniciar ahora.



es por eso que digo que es Sasser,



Tercero, el programa que marcas, es un programa para hacer interface con el conmutador de la empresa, y si se utiliza actualmente, de hecho esta es la principal cuestion por lo que necesito arreglar esta compu, lo de las fechas ya esta arreglado.

[msc hotline sat]

Pues por ahí el ELISTARA LE DICE :



"ALERTA. WindowsUpdate Incompleto."



LANCE UN WINDOWSUPDATE Y ACTUALICE LOS PARCHES !!!



Y compruebe con el ELITRIIP las demas maquinas de la red, pues puede haber alguna de infectada por alguno de los gusanos que utilizan la vulnerabilidad del lsass, y que intente propagarse por la red, siendo el motivo del shutdown que lanza windows ante un eror de sistema de desbordamiento de buffer de dicha aplicacion.



saludos



ms, 3 de Mayo de 2007



nota: y aunque tenga desactivado el McAfee, se cargan servicios desde el registro en cada reinicio:



O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Archivos de programa\Network Associates\VirusScan\Mcshield.exe



Desinstalelo...

[datah]

Las actualizaciones no se pueden hacer ya que no me deja se reinicia muy rapido, pero lo intentare y mandare los resultados

[msc hotline sat]

El shutdown se puede detener de tres maneras para poder descargar los parches:



[img]http://www.inklineglobal.com/adsales/ads/arrow.gif[/img] Con Inicio -> Ejecutar Shutdown -a



[img]http://www.inklineglobal.com/adsales/ads/arrow.gif[/img] Atrasando un par de horas el reloj, tras la aparicion del shutdown



[img]http://www.inklineglobal.com/adsales/ads/arrow.gif[/img] Si es por intento de intrusion de un virus, lanzando antes el ELITRIIP y aceptando BLOQUEAR EL INTENTO DE INTRUSION (ello cierra en dicha sesion el port TCP 445), tras lo cual puede abrirse el I.E. sin que pueda llegar la intrusion y en Herramientas escoger Windowsupdate



saludos



ms, 4 de mayo de 2007

[datah]

El problema al hacer esto esta en que al hacer esto de



shutdown -a, se cierran todas las aplicaciones, como si parara el proceso de explorer.exe, ya que desaparece el escritorio, iconos, y barra de inicio y no puedo ejecutar nada, si intento con ctrl+alt+del, se congela la maquina

[msc hotline sat]

Pues atrasa el reloj ...



(Doble click a la hora y un par de clicks de la flecha abajo que aparece en la imagen grande, debajo del analogico y a la derecha del digital, y aceptar)



Te da tiempo, pues son total 5 segundos y tienes un minuto ...



asi que no te estreses... :lol:



saludos



ms, 4 de Mayo de 2007