Administrador de tareas deshabilitado CERRADO

[CAPRICORNIO]

Hola Amigos de este foro, tengo un problema, no puedo abrir el administrador de tareas dice una ventanita que a sido deshabilitado por un administrador, no puedo restaurar sistema y les pido ayuda para resolver este problema, aqui el log de Elistara, Elitrip y elibagla, ademas del el hijackthis:





Mon Jan 14 18:21:00 2008

EliStartPage v15.43 (c)2008 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

No detectado Parche MS04-011 de Microsoft instalado. (LSASS)

No detectado Parche MS04-012 de Microsoft instalado. (RPC)

No detectado Parche MS06-070 de Microsoft instalado. (SServidor)

ALERTA. WindowsUpdate Incompleto.

Eliminados Ficheros Temporales del IE



Mon Jan 14 18:21:56 2008

EliStartPage v15.43 (c)2008 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\WINDOWS\system32\Tools\COUNTER.EXE --> Eliminado, Restart

C:\WINDOWS\system32\Tools\RESTART.EXE --> Eliminado, Restart



Nº Total de Directorios: 4372

Nº Total de Ficheros: 53353

Nº de Ficheros Analizados: 10819

Nº de Ficheros Infectados: 2

Nº de Ficheros Limpiados: 2



Mon Jan 14 18:31:11 2008

EliTriIP v4.31 (c)2008 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Acción Directa):

No detectado Parche MS04-011 de Microsoft instalado. (LSASS)

No detectado Parche MS04-012 de Microsoft instalado. (RPC)

No detectado Parche MS06-070 de Microsoft instalado. (SServidor)

ALERTA. WindowsUpdate Incompleto.



Mon Jan 14 18:31:21 2008

EliTriIP v4.31 (c)2008 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Nº Total de Directorios: 4371

Nº Total de Ficheros: 53352

Nº de Ficheros Analizados: 9735

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



Mon Jan 14 18:37:20 2008

EliBagle v10.85 (c)2008 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Acción Directa):



Mon Jan 14 18:37:22 2008

EliBagle v10.85 (c)2008 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Nº Total de Directorios: 4371

Nº Total de Ficheros: 53353

Nº de Ficheros Analizados: 6840

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



Tue Jan 15 19:22:52 2008

EliStartPage v15.43 (c)2008 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

No detectado Parche MS04-011 de Microsoft instalado. (LSASS)

No detectado Parche MS04-012 de Microsoft instalado. (RPC)

No detectado Parche MS06-070 de Microsoft instalado. (SServidor)

ALERTA. WindowsUpdate Incompleto.

Eliminados Ficheros Temporales del IE



Tue Jan 15 19:23:07 2008

EliStartPage v15.43 (c)2008 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Nº Total de Directorios: 162

Nº Total de Ficheros: 2492

Nº de Ficheros Analizados: 1115

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

Exploración Detenida por el Usuario.



Tue Feb 05 16:44:04 2008

EliBagle v10.97 (c)2008 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Acción Directa):



Tue Feb 05 16:44:08 2008

EliBagle v10.97 (c)2008 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Nº Total de Directorios: 5311

Nº Total de Ficheros: 70066

Nº de Ficheros Analizados: 8201

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



Tue Feb 05 16:55:16 2008

EliStartPage v15.59 (c)2008 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Tue Feb 05 16:56:09 2008

EliStartPage v15.59 (c)2008 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Nº Total de Directorios: 5278

Nº Total de Ficheros: 64329

Nº de Ficheros Analizados: 12699

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0









El del Hijackthis:



Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 17:14:52, on 05/02/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16574)

Boot mode: Normal



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\ARCHIV~1\Grisoft\AVG7\avgamsvr.exe

C:\ARCHIV~1\Grisoft\AVG7\avgupsvc.exe

C:\ARCHIV~1\Grisoft\AVG7\avgemc.exe

C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\Archivos de programa\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\Explorer.EXE

C:\Archivos de programa\Analog Devices\SoundMAX\SMax4PNP.exe

C:\Archivos de programa\Analog Devices\SoundMAX\Smax4.exe

C:\Archivos de programa\Java\jre1.6.0_03\bin\jusched.exe

C:\ARCHIV~1\Grisoft\AVG7\avgcc.exe

C:\Archivos de programa\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe

C:\WINDOWS\AGRSMMSG.exe

C:\WINDOWS\system32\Win2x.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Archivos de programa\MSN Messenger\MsnMsgr.Exe

C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIBZL.EXE

C:\WINDOWS\system32\sistray.exe

C:\WINDOWS\system32\svchost.exe

C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE

C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE

C:\Archivos de programa\Trend Micro\HijackThis\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yahoo.es

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.6.0_03\bin\ssv.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [DVD43] "C:\Archivos de programa\DVD Region+CSS Free\DVDRegionFree.exe" /hidden

O4 - HKLM\..\Run: [SiSPower] Rundll32.exe SiSPower.dll,ModeAgent

O4 - HKLM\..\Run: [SoundMAXPnP] C:\Archivos de programa\Analog Devices\SoundMAX\SMax4PNP.exe

O4 - HKLM\..\Run: [SoundMAX] "C:\Archivos de programa\Analog Devices\SoundMAX\Smax4.exe" /tray

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Archivos de programa\Java\jre1.6.0_03\bin\jusched.exe"

O4 - HKLM\..\Run: [AVG7_CC] C:\ARCHIV~1\Grisoft\AVG7\avgcc.exe /STARTUP

O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Archivos de programa\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe"

O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe

O4 - HKLM\..\Run: [Win2x] C:\WINDOWS\system32\Win2x.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MsnMsgr] "C:\Archivos de programa\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [updateMgr] C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe AcRdB7_0_9

O4 - HKCU\..\Run: [\\SERVER\EPSON Stylus C92 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIBZL.EXE /FU "C:\DOCUME~1\Personal\CONFIG~1\Temp\E_S27.tmp" /EF "HKCU"

O4 - HKCU\..\Run: [Detectando automáticamente EPSON Stylus C92 Series en SERVER] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIBZL.EXE /FU "C:\WINDOWS\TEMP\E_S2B.tmp" /EF "HKCU"

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICIO LOCAL')

O4 - HKUS\S-1-5-19\..\Run: [AVG7_Run] C:\ARCHIV~1\Grisoft\AVG7\avgw.exe /RUNONCE (User 'SERVICIO LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Servicio de red')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Archivos de programa\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Utility Tray.lnk = C:\WINDOWS\system32\sistray.exe

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_03\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_03\bin\ssv.dll

O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Investigador - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Encarta Researcher\EROPROJ.DLL

O9 - Extra button: (no name) - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1200446974835

O16 - DPF: {8436FE12-31DB-48BF-83BF-FE682F9160B4} (NanoInstaller Class) - https://www.pandasecurity.com/spain/homeusers/solutions/online-antivirus//cabs/nanoinst.cab

O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab

O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVG7\avgamsvr.exe

O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVG7\avgupsvc.exe

O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\ARCHIV~1\Grisoft\AVG7\avgemc.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\1150\Intel 32\IDriverT.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Archivos de programa\Analog Devices\SoundMAX\SMAgent.exe

O23 - Service: Win2x - Unknown owner - C:\WINDOWS\system32\save.exe



--

End of file - 6976 bytes





Gracias por su atencion

[XPilo]

Hola no soy un experto pero viendo el log del Hijack reconocí dos archivos Win2x.exe y save.exe:


[quote]W32.blasterworm

Nombre: W32.EFECTO.A y W32.EFECTO.B



W32.EFECTO.A es un ejecutable de 122,880 bytes compilado con Microsoft Visual Basic 6.0.



Al ejecutarse, W32.EFECTO.A se copia en <System32>\Win2x.exe y <System32>\save.exe



Crea entradas en el registro para ejecutar Win2x.exe al inicio del sistema y save.exe durante la ejecución de cualquier tarea de impresión:



Inhabilita el acceso al Editor de Registro de Windows y al Administrador de Tareas. Impide la ejecución de cajas de diálogo MSDOS, inhabilita el acceso al comando CMD.



Oculta las carpetas de la raíz del disco C y cambia sus atributos a Readonly y Hidden.



Crea una gran cantidad de copias del troyano en la raíz del disco C con íconos de carpeta y nombres similares a los de las carpetas existentes para confundir al usuario y proporcionar la reinfección del sistema utilizando al propio usuario.



Intercepta el servicio de impresión tal que sustituye al mismo con el archivo del troyano[/quote]

Esto es lo que haria yo:





_______________________________





INTERVENCION DE ZONAVIRUS:





Gracias XPilo, pero no vuelvas a postear estas soluciones, sin duda extraidas de otro foro.



Aqui contamos con el patrocinio de SATINFO, donde analizan los ficheros sospechosos y desarollan utilidades para el control y eliminacion de las que resulten ser malwares.



De no hacer caso a esta observacion, seras desactivado del foro.







.

[msc hotline sat]

Vemos tres ficheros sospechosos que conviene nos envies para analizar:



C:\WINDOWS\system32\Win2x.exe



C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIBZL.EXE



C:\WINDOWS\system32\save.exe





->[b] Para ello recordar[/b]: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334





Tras su recepcion las analizaremos e implementaremos su control y eliminacion en nuestras utilidades, de lo cual informaremos



saludos



ms, 6-2-2008

[CAPRICORNIO]

Saludos desde Mexico Amigos, acabo de enviarles muestra de:





E_FATIBZL.EXE





Estos dos no los encuentro, ya busque en modo a prueba de errores y con la opcion de ver archivos ocultos y no los veo, espero sirva este que envio.



Estos son lo que no encuentro



Win2x.exe

save.exe





Gracias por su atencion

[msc hotline sat]

EL save.exe no lo vemos residente, solo la clave en el registro, pero el Win2x.exe sí que está entre los ficheros en uso, asi que ha de estar...


[quote]
...

C:\ARCHIV~1\Grisoft\AVG7\avgcc.exe

C:\Archivos de programa\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe

C:\WINDOWS\AGRSMMSG.exe

[b][i]C:\WINDOWS\system32\Win2x.exe [/i][/b]

C:\WINDOWS\system32\ctfmon.exe

C:\Archivos de programa\MSN Messenger\MsnMsgr.Exe

C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIBZL.EXE

...
[/quote]

En fin, quizas lo has eliminado posteriormente ...



Mañana (hoy ya son las 19 horas y ya está cerrado en SATINFO) se analizarán las muestras recibidas y se informará del resultado.



saludos



ms, 6-2-2008

[msc hotline sat]

Analizado el E_FATIBZL.EXE no resulta ser vírico.



Por tanto elimina esta clave del SAVE:EXE, que es descaradamente un malware y que si ya no lo tienes, solo incordia:



O23 - Service: Win2x - Unknown owner - C:\WINDOWS\system32\save.exe



y este otro C:\WINDOWS\system32\Win2x.exe si que lo has de encontrar, porque lo tienes en uso, y si lo envias lo analizaremos, y si es que lo has borrado desde que posteaste el HJT, elimina tambien esta otra clave:



O4 - HKLM\..\Run: [Win2x] C:\WINDOWS\system32\Win2x.exe





->[b] Para ello recordar[/b]: https://foros.zonavirus.com/viewtopic.php?f=2&t=45334



y nos cuentas el resultado, gracias



saludos



ms, 7-2-2008

[CAPRICORNIO]

Buenos dias, mira creo que me equivoque al afirmar que habia yo habilitado el ver los archivos ocultos, no es asi, disculpa, mira al tratar de habilitar el ver archivos ocultos para buscar los dos archivos me doy cuenta que no aparece la opcion de "opciones de carpeta" ni en panel de control, entonces seguramente estan ocultos esos dos; Win2x.exe y save.exe, ¿que opciones quedan?. Gracias por el tiempo que le dedicas a mi problema.



Lo intente tambien desde modo a prueba de errores. Y realmente me preocupa porque este equipo forma parte de una red pequeña de 6 ordenadores mas server y ya hace unas semanas habia sucedido lo mismo con uno primero y despues resulto otro ordenador infectado, en aquella ocacion tube que formatear los dos por razones de urgencia para utilizarlos.



A ya desconecte este ordenador que tengo infectado de la Red.

[msc hotline sat]

Si tienen atributo de sistema, tampoco los puedes ver, por esto en el Tema en cuestion:



https://foros.zonavirus.com/viewtopic.php?f=5&t=13245



te decimos, entre otras cosas, que DESACTIVES EL OCULTAR LOS FICHEROS DE SISTEMA



Y sino, abre una ventana al DOS, te vas a la carpeta en cuestion y ejecuta ATTRIB , veras todos los ficheros que contiene y sus atributos, y si tiene, S, H, R, los quitas con ATTRIB <NOMBRE.EXT> -S -H -R



y nos los envias para analizar y controlar



saludos



ms, 7-2-2008

[CAPRICORNIO]

Hola amigos, les gradezco toda la atencion y ayuda que me brindaron en mi problema, sucede que me enviaron de mi trabajo a otro estado, por un tiempo, y ahora que regreso ya habian formateado el disco duro, les agradezco el tiempo que usaron para ayudarme, tal vez pronto les estare pidiendo auxilio otra vez. Disculpen si deje mucho tiempo sin contestar.:D

[lucl]

Pues entonces cerramos el tema ya que nos cuentas eso, saludos y vuelve cuando quieras

[msc hotline sat]

Se comprende por lo indicado



Y en consecuencia se considera solucionado el Tema y se procede a cerrarlo



Si nos necesitas de nuevo, ya sabes donde estamos



saludos



ms, 29-2-2008