Virus services...

[Jalyoy]

Desde ya hace un tiempo al rato e usar mi pc se laguea muchisimo hatsa el punto de tener que reiniciar la pc, asi que harto de sto me puse a buscar algun tipo de virus en mi pc pero como ninguno de mis antivirus/antispyware detectaba nada empeze a buscar yo. Entonces descubri un proceso llamado services.exe y hubicado en la carpeta windows pero que no era el tipico services que del sistema porq cuando lo cerrabas no se reiniciaba el ordenador y ademas como icono tiene una especie de bolsa marron. Tiene varios archivos ubicados por las carpetas de windows y ademas estan como archivos ocultos (como transparentes).



He probado de todo para quitarlo pero no puedo, si alguien me pudiera ayudar se lo agredeceria muchisimo =)



Saludos

[caito]

En XP o Me debes deshabilitar restaurar Sistema y luego limpiar la pc.

Esto encontré :

http://seguridad.internautas.org/article.php?sid=288

Salu2

Caito

[Jalyoy]

Me ha funcionado perfectamente, Caito muchas gracias y en genral a toda la comunidad de zona virus, sois los mejores. :wink:

[caito]

Me alegra que te haya sido útil :P

Salu2

Caito

[Jalyoy]

Ya solucione el problema pero... ahora cada ves que enciendo la pc cuando sale eso de "bienvenido" se escuhca un sonido de error y tarda bastante en cargarse el escritorio y aparece una ventana de error que dice que no se encuentra el archivo services etc ¿qu puedo hacer?



Y tambien se sigue lagueando la pc al rato de usarla, eso ya no se si sera birus o q -.-"



Saludos y gracias :wink:

[msc hotline sat]

Aparte de lo indicado por Caito, cabe indicar que de los virus que utilizan el nombre de SERVICES.EXE para su gusano, los mas frecuentes son algun Netsky y algun que otro MyDoom, y ambos lo copian en el directorio de windows, no en el de sistema que es donde existe el del sistema operativo.



Por ello si en la carpeta WINDOWS o WINNT m segun sistema operativo, existe un SERVICES.EXE, eliminelo, y si no lo permite windows pore estar en uso, muevalo a un disquete, y lo sacará de circulacion, pues eb el proximo reinicio ya no lo podrá cargar la clave de registro que lo quiera hacer.



Cuidado no elimine el fichero del mismo nombre que está en la carpeta de sistema, que es del sistema operativo XP o W2000



Si este fichero no se lo detecta el antivirus como infectado, envienoslo a zonavirus@satinfo.es anexado a un mail cuyo texto sea un copiar y pegar de este post, pues podría tratarse de una variante no controlada, y tras analiuzarlo le contestariamos como respuesta de este Tema



saludos



ms, 26-10-2004

[Jalyoy]

Ok, ya mande el archivo, haber si lo analizan y ya me dicen.



Aun se que sigue ralentizando la pc, como podria saber si esq tnego la memoria virtual a tope y tengo que formatear o esq es un virus ralentizador?



Saludos y gracias

[msc hotline sat]

Recibida la muestra, y lo que salta de entrada es la deteccion del NACKGOOR-AVW, con el antivirus de McAfee.



Simplemente es cuestion de actualizar su antivirus, o utilizar un antivirus ONLINE y arrancando en modo seguro con funciones de red, lanzarlo y eliminarlo:



https://www.virustotal.com/es/



Pero ya habrñas visto que el fichero no se llamaba SERVICES.EXE sino SSERVICE.EXE y la S delante o detrás lo cambia todo ! y en lugar de corresponder a los virus NetSky o MyDoom como habíamos avanzado, en este caso es un Backdoor que no tiene nada que ver con aquellos-



Una vez sabido lo que es, lo demás ya es fácil, así que o con su antivirus actualizado o con uno ONLINE, proceda a la eliminacion pero sobre todo en modo seguro.



Si tiene algun problema, expngalo como respuesta de este tema, gracias



saludos



ms, 26-10-2004

[Jalyoy]

Que raro, a mi me aparecian 3 archivos del virus:



Services.exe --> Carpeta Windows

Sservices.exe --> System

Fservices.exe --> System32



De todas formas ya lo pude eliminar con el metodo de Caito.



Ahora tengo otro problema, mi pc sigue yendo lento y lagueandose pero ya he pasado el Panda 2004, el AdAware, el

https://www.virustotal.com/es/ y algo mas, y me ha detectado algunos virus y los he borrado, renombrado etc pero yendo mal la maquina , que puedo hacer?

[maura63]

Prueba de pasar este otro que complementa al Ad_aware



Eliminacion de adwares y spywares

Pasos a seguir una ver descargados es instalarlos, actualizados (update) y escanear el sistema



· Spybot - Search & Destroy 1.3

SpyBot Search & Destroy es una herramienta que detecta y elimina casi un millar de formas distintas de spyware que, aunque en la mayoría de casos no se considere como un virus, puede ser más devastador.

Sitio 1 - Descargar Spybot - Search & Destroy 1.3

http://download.com.om/3000-2144-10122137.html?part=104443&subj=dlpage&tag=button

----------------------------------------------------------------

Sitio 2 - Descargar Spybot - Search & Destroy 1.3 desde zonavirus.com

http://www.zonavirus.com/descargas/spybot-sd.asp





Saludos

maura63

[caito]

Además de hacer lo recomendado arriba ve de eliminar :

Archivos Temporales de Internet , contenido de carpeta Temp,historial,cookies,vaciar papelera y verificar qué programas se lanzan al inicio

( dejar solo los necesarios ), defragmentar, etc.

Salu2

Caito

[msc hotline sat]

Para vuestra informacion, y gracias a la muestra recibida, hemos hecho una utilidad especifica de eliminacion que hemos llamado ELIBDAVW.EXE y que será subida a esta web en cuanto ADMIN nos solucione un problema de updates, y así podamos eliminarlo especificamente.



Cabe señalar que no es el services.exe creado por algunas variantes del NETSKY, y que ya eliminamos con nuestra utilidad ELINETSA, sino que se trata de otro gusano, el BACKDOOR AVW que crea otros ficheros Fservice y sservice, y consiguientemente otras claves que los llaman, aparte de las del NETSKY.



Al igual que el resto de nuestras utilidades, su ejecucion no solo detíene el proceso virico en memoria, sino que elimina las claves viricas al respecto y los ficheros gusano del virus.



Lo aclaro para que no se confunda el gusano en suestion y se utilice la herramienta apropiada en casa caso.



saludos



ms, 27-10-2004

[Jalyoy]

Muchas gracias, espero que este activo pronto y las personasd que lo tengan lo puedan solucionar.



Sabrias decirme que efectos producia ese virus en mi ordenador? porq creo que es un virus ralentizador ya que desde que tengo el virus no puedo usar mi usuario del pc que suelo usar ya que nada mas entrar se laguea y tengo que reiniciar y asi todo el rato, ¿habria solucion a esto?



Saludos

[msc hotline sat]

Esta es la primera descripcion que he encontrado, de su alias Prorat, luego te busco otra que recuerdo utilicé ayer



http://www.pestpatrol.com/pest_info/it/p/prorat.asp



hasta ahora

[msc hotline sat]

Esta es la descripcion de TREND de este BackDoor:



http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=BKDR_PRORAT.17



y la descripcion tecnica:



http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=BKDR_PRORAT.17&VSect=T



Por cierto, que cuando emplea el nombre de Fservice.exe y Sservice.exe no es en plural, a diferencia del Services.exe, lo cual discrepa de lo por Vd indicado, pero que entendí que era por error de escritura.



Y la utilidad en cuestion ya la tienen los asociados al servicio de asistencia tecnica de SATINFO, en http://www.satinfo.es y está a punto para subirla a esta web para que pueda probarse en el foro.



saludos



ms, 27-10-2004

[Jalyoy]

Gracias por la info me ha servido bastante :D



Lo del fservice y el sservice seguramente si que sera asi, me debi confundir porq cuando lo escribi ya lo habia desinfectadp y no podia saber bien cuales era.



Ahora ya solo me falta que no se me ralentize la pc porq no puedo hacer nada, haber si alguien me puede ayudar ToT

[maura63]

Probastes con pasar programas anty-spyware para limpiar de basura tu pc

Ad_aware, Spybot, CWS etc...



Por pasarlos no pierdes nada, al contrario liberas tu PC de intrusos.



Saludos

maura63

[msc hotline sat]

Por lo menos se lo recomendaste tu mismo, Maura63, en este mismo Tema, y se supone, pero...



Sugiero ver con el administrador de tareas, pinchando en CPU y bajando hasta abajp, cuanto PROCESO INACTIVO DEL SISTEMA tiene, y segun sea, vea que aplicacion se le come los recursos y nos lo dice.



saludos



ms, 28-10-2004

[Jalyoy]

Msc, es un poco raro lo que te digo, pero si inicio nirmalmente la sesion con mi usuario, en el administrador de tareas solo aparece la pestaña de aplicaciones, pero en csmbio en el modo a prube a de erroresm si aparece. en el modo a preueba de errores aprece que el procesi inactivo de systema usa sobre el 90 por cien.



Tambien un amigo mio me dijo que podria ser problema de los arechivos y que desfragmentara el disco , asi que fui al desfragmebtador de windows pero cuando le doy a desfragmentar o a analizar me doche algo sobre el chkdsk y me dijo que eso tenia algo que ver con un gusano. Tambien desde ayer si inicio la sesion normal no me deja escribir nada en internet, en todos los sitios de internet no me deja ni escribir ni seleccionar la letra. Y ademas se sigue lagueando.



Me podrian ayudar? T_T

[msc hotline sat]

Efectivamente algo raro tienes, pue con el administrador de tareas , en PROCESOS deberías ver la CPU utilizada en cada uno de ellos, y así ver si tienes inactivo el 90 o mas % o si ello lo coupa alguna aplicacion, que convendría analizar.



Pero lo que indicas del defrag, debes hacerlo tras un CORREGIR ERRORES, a lo cual accederás entrando en MIPC, luego boton derecho spobre la undad C, seleccionar abajo de todo PROPIEDADES y luego arriba HERRAMIENTAS , donde la primera opcion es CORREGOR ERRORES , que es el ScanDisk / CHKDSK, y tras ello, el segundo es el DESFRAGMENTADOR.



Utilicelos, si le han dicho que con ello se corrige el problema.



Puede haber algun fichero corrupto, o algun intruso. Lo primero cabe corregirlo REPARANDO el sistema operativo. Lo segundo es ver la aplicacion en cuestion, a base del consumo de CPU, si con ello se le ralentiza la máquina.



Le recuerdo que tanto el CORREGIR ERRORES como el DESFRAGMENTAR es conveniente pasarlos habiendo arrancado en modo seguro



saludos





ms, 28-10-2004

[Jalyoy]

Creo que el proceso que consume tanto es el lsass.exe, de vez en cuando se pone saobre 90%, tambien el uso del cpu cambia mucho, a veces etsa sobre 5% y otras 100%.



Voy a intentar lo del chkdsk.



Saludos

[msc hotline sat]

El LSASS no debería consumirle apenaa CPU, por lo que al sr objeto de desbordamiento de buffer por los intentos de intrusion del Sasser y derivados, podría ser que estuviera dañado el fichero LSASS.EXE, que está en el directorio de sistema y que el del XP original mide 11.776 bytes.



Sugiero que copie en un disquette el LSASS.EXE de igual sistema operativo pero de oytra máquina y sobrescriba el de este ordenador, y si no se deja, mueva el dudoso a otra carpeta y copie en la de sistema el bueno.



Tras ello reinicie y vea el resultado.



Otra posibilidad es la de REPARAR el sistema, para lo que se debe arrancar con el

CD de instalacion como si se fuera a instalar, y cuando detecte la particion existente, indicarle REPARAR. Tras ello se deben actualizar los parches de microsoft con el windowsu`date y reiniciar



A ver si entre una u otra cosa consigue solucionar el problema



saludos



ms, 28-10-2004

[Jalyoy]

Si, ya me imaginaba que seria algo del lsass, porq ultimamente se solia cerrar mucho me hacia reiniciar.



Tengo WIn XP, donde etsa eso de reparar? ._. no lo vepo por ninguna parte

[msc hotline sat]

Con el XP profesional se arranca con el CD de instalacion y se va a instalar y tras aceptar la licencia debe detectar la particion existente ofrece REPARAR, con lo que se sobreescriben todos los ficheros de sistema, pero no se pierden las aplicaciones instaladas, lo cual pasaría si se reinstalara .



Al final deben actualizarse los parches con el windowsupdate y reiniciar



saludos



ms, 28-10-2004

[Jalyoy]

No pude hacerlo con el CD de windows, pero dentro de un rato em traeran un diskete con el lsass, cuando lo pruebe pongo aqui el resultado.



Saludos y gracias por la paciencia y comprension -.-"

[Jalyoy]

Bueno ya tengo el lsass, pero ahora no me deja reemplazarlo ¿que devo hacer?



Y tambiern hace un tiempo que mi cuenta de usuaurio del pc que suelio usar se pusi como cuenta limitada y no tengo acceso a casi nada del pc,m asi que me puse en la cuenta de administrador pero no aparece mi cuenta en el panel de control, asi que no puedo cambiarla a nivel de adminsistrador, ¿Como podria hacerlo?



Saludos