virus? error de windows? q pasa con explorer.exe? (CERRADO)

[comovaeso]

Bueno, he dado un vistazo a los hilos y aunque hay alguno en relacion con el explorer.exe...no es exactamente lo q me pasa a mi.



Os cuento...esta mañana, cd mi hermana estaba conectada al messenger se la reinicio el ordenador...cd volvio a iniciar su sesion se la volvio a reiniciar.



A la segunda logro entrar en su sesion...pero la sorpresa fue q no se ejecutaba el explorer.exe...el explorador de windows.



Como me habia pasado otras veces, ejecute el administrador de tareas para activa el explorer.exe desde alli...pero nada. segun aparecia en la lista de tareas volvia a desaparecer.lo mismo ocurre con el IEXPLORER.exe.



Por ello...el acceso a los programas y a internet (con mozilla) tengo q hacerlo ejecutandolos en el administrador, sin q no salga absolutamente nada en mi escritorio....



Q sera? Un virus? pq no he recibido ninguna alerta...ni nada semejante...o un simple error del sistema?



Gracias por exarme una mano... :wink:

[maura63]

Pasa este Antivirus On-line:



· Computer Associates

https://www.virustotal.com/es/





Dinos si detecta algo.



Saludos

maura63

[comovaeso]

Na...ese antivirus me dice q no de puede ejecutar en mozilla. solo en internet explorer.



Voy a pasar el panda y os cuento, ok?

[comovaeso]

No, no...no me deja.



Es mas...ahora me cuelga el firefox y me reinicia...a ver si al menos puedo mandar esta respuesta... :(

[maura63]

Si usas el firefox, creo que no te podremos ayudar.



Aqui usamos el internet explorer.



No obstante



Bajar :

http://www.zonavirus.com/descargas/trendmicro-hijackthis.asp



Descarga el programa HijackThis 1.99.1 y colócalo en una carpeta propia C:\HijackThis\. Ejecútalo y presiona el botón "Do a system scan and save a logfile"; el programa realizará el escaneo e inmediatamente generará el Log, sólo te pedira el nombre del archivo y su ubicación, puedes simplemente guardarlo así como está. Se abrirá el Bloc de Notas, copia todo el contenido y pégalo como respuesta a este tema.



Saludos

maura63

[comovaeso]

Os cuento:



No puedo pasar ningun antivirus on-line...ninguno.



He intentado con todos los q anunciais en la web pero nada.



Sin arrancar en modo seguro, se me cuelga el firefox (unico navegador q me funciona...ni el msn explorer ni el I explorer me van) y se me reinicia el ordenador el solo cada dos por tres.



Arranqe en modo seguro...con red. Intente pasar el antivirus, pero nada....no me localizan el I explorer y me dicen q firefox u otros clientes de netscape no son compatibles...o q no se puede analizar el pc porq no tengo espacio libre (cd lo tengo...) o razones similares y variadas. Pero nada...imposible pasar un antivirus.



Ahora si q no se lo q hacer...esto me esta preocupando muxo...

[comovaeso]

No uso firefox



Solo lo estoy utilizando ahora pq no puedo entrar en internet de ninguna otra manera...



Qiza tb os ayude el q no pueda ejecutar mi antivirus...q es el avast. me pasa como con el explorer o el I explorer.



Voy a lanzar el hickjack y os mando lo q resulte...

[comovaeso]

aqui va el log.



tenia la version. 1.99.0



y solo estaba activo el firefox con esta pagina y el administrador de tareas, pq estoy en modo prueba.



Logfile of HijackThis v1.99.0

Scan saved at 16:10:52, on 10/08/2005

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\SYSTEM32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\taskmgr.exe

C:\Archivos de programa\Mozilla Firefox\firefox.exe

C:\Documents and Settings\Julián García\Mis documentos\HijackThis_1.99.0.exe



R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.wanadoo.es

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = about:blank

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,Default_Search_URL = about:blank

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = about:blank

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = about:blank

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer proporcionado por UNI2

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Archivos de programa\Spybot - Search & Destroy\SDHelper.dll

O3 - Toolbar: (no name) - {8E718888-423F-11D2-876E-00A0C9082467} - (no file)

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar1.dll

O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Archivos de programa\Java\j2re1.4.2_04\bin\jusched.exe

O4 - HKLM\..\Run: [avast!] C:\ARCHIV~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [TkBellExe] "C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [Windows DLL Loader] C:\WINDOWS\system32\defragfatx.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto

O4 - HKCU\..\Run: [SpySweeper] C:\Archivos de programa\Spy Sweeper\SpySweeper.exe /0

O4 - Startup: PowerReg Scheduler V3.exe

O4 - Startup: ubisoft register.lnk = C:\Archivos de programa\Ubi Soft\Register\schedule.exe

O4 - Startup: Update Grokster.lnk = ?

O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Archivos de programa\InterVideo\Common\Bin\WinCinemaMgr.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office10\OSA.EXE

O4 - Global Startup: NkbMonitor.exe.lnk = C:\Archivos de programa\Nikon\PictureProject\NkbMonitor.exe

O4 - Global Startup: QuickTV.lnk = C:\Archivos de programa\AVerTV2K\QuickTV.exe

O4 - Global Startup: TeleSA.lnk = C:\Archivos de programa\AVer Teletext\AVerSA.exe

O8 - Extra context menu item: &Google Search - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmsearch.html

O8 - Extra context menu item: Descargar con &BitSpirit - C:\Archivos de programa\BitSpirit\bsurl.htm

O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Instantánea de caché de la página - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmcache.html

O8 - Extra context menu item: Páginas similares - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmsimilar.html

O8 - Extra context menu item: Páginas vinculadas - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmbacklinks.html

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\shdocvw.dll

O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\shdocvw.dll

O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\ARCHIV~1\YAHOOM~1\YPager.exe

O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\ARCHIV~1\YAHOOM~1\YPager.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\MSMSGS.EXE

O14 - IERESET.INF: START_PAGE_URL=http://www.wanadoo.es

O17 - HKLM\System\CCS\Services\Tcpip\..\{BD88ECED-E2FE-4672-B44A-285EF8F600DC}: NameServer = 69.50.176.156,195.225.176.31

O17 - HKLM\System\CCS\Services\Tcpip\..\{C481BC34-1C03-4D8F-B0B3-2E53EBE6BF1A}: NameServer = 69.50.176.156,195.225.176.31

O23 - Service: avast! iAVS4 Control Service - Unknown - C:\Archivos de programa\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - Unknown - C:\Archivos de programa\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Archivos de programa\Alwil Software\Avast4\ashMaiSv.exe

O23 - Service: avast! Web Scanner - ALWIL Software - C:\Archivos de programa\Alwil Software\Avast4\ashWebSv.exe

O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\System32\CTsvcCDA.exe

O23 - Service: Servicio del administrador de discos lógicos - Unknown - C:\WINDOWS\System32\dmadmin.exe

O23 - Service: Registro de sucesos - Unknown - C:\WINDOWS\system32\services.exe

O23 - Service: Servicio COM de grabación de CD de IMAPI - Unknown - C:\WINDOWS\System32\imapi.exe

O23 - Service: Escritorio remoto compartido de NetMeeting - Unknown - C:\WINDOWS\System32\mnmsrvc.exe

O23 - Service: DDE de red - Unknown - C:\WINDOWS\system32\netdde.exe

O23 - Service: DSDM de DDE de red - Unknown - C:\WINDOWS\system32\netdde.exe

O23 - Service: NVIDIA Driver Helper Service - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: Plug and Play - Unknown - C:\WINDOWS\system32\services.exe

O23 - Service: Administrador de sesión de Ayuda de escritorio remoto - Unknown - C:\WINDOWS\system32\sessmgr.exe

O23 - Service: Sistema de ayuda de tarjeta inteligente - Unknown - C:\WINDOWS\System32\SCardSvr.exe

O23 - Service: Tarjeta inteligente - Unknown - C:\WINDOWS\System32\SCardSvr.exe

O23 - Service: Registros y alertas de rendimiento - Unknown - C:\WINDOWS\system32\smlogsvc.exe

O23 - Service: Telnet - Unknown - C:\WINDOWS\System32\tlntsvr.exe

O23 - Service: Instantáneas de volumen - Unknown - C:\WINDOWS\System32\vssvc.exe

O23 - Service: Adaptador de rendimiento de WMI - Unknown - C:\WINDOWS\System32\wbem\wmiapsrv.exe



por cierto...qiza os ayude tb q la ultima vez q intente actualizar windows no me dejo terminar...con un mensaje en plan q no se encontraba un archivo...

[maura63]

Tu log arroja



Logfile of HijackThis v1.99.0

Scan saved at 16:10:52, on 10/08/2005

Platform: [color=red]Windows XP [/color](WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)





INSTALACION DEL SP1 PARA PODER INSTALAR SP2:

http://www.microsoft.com/en/us/default.aspxwindowsxp/downloads/updates/sp1/default.mspx



(SE DEBE ESCOGER IDIOMA...)



No has actualizado via windows update intenta instalar el Sp1 del enlace para despues volver a actualizar en windows update.



Antes de nada intenta bajar y pasar estas utilidades



ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp



ELITRIIP:

http://www.zonavirus.com/descargas/elitriip.asp



esta ultima acepta que bloquee el intento de intrusion.



Saludos

maura63

[comovaeso]

Bien...toi siguiendo tus instrucciones.



Pase las dos herramientas q me dijiste.



La segunda publico haber eliminado un gusano...y en el scan posterior encontro, por si te sirve de algo:



nvsvc32.exe----Gaobot.worn.GEN E

nvsvc32.exe----Gaobot.worn.GEN E

TFTP1044----sdboot.worn.gen.J

TFTP1612----sdboot.worn.gen.J

TFTP844----sdboot.worn.gen.J

nvsvc32.exe----Gaobot.worn.GEN E



me he bajao el sp1...a ver si me deja instalarlo. seguire informando.

[comovaeso]

No, no...imposible.



En cto lanzo el instalador del SP1...aparece el cuadro con "Se cancelo la instalacion de SP1"...y eso de forma automatica.



No hay manera de lanzarlo...

[maura63]

Mira si te suena de alguna aplicacion estas entradas, de no ser asi....



Lanza hijackthis, pulsa scan, marcas estas entradas y pulsa FIX. Acepta.



Y vuelve a intentar





O4 - HKLM\..\Run: [Windows DLL Loader] C:\WINDOWS\system32\defragfatx.exe -

O4 - Startup: PowerReg Scheduler V3.exe -

O4 - Startup: ubisoft register.lnk = C:\Archivos de programa\Ubi Soft\Register\schedule.exe -

O4 - Startup: Update Grokster.lnk = ? -





Saludos

maura63

[comovaeso]

Hecho.



Nada...el mismo mensaje cd intento lanzar el instalador.



pd.esta no me aparecia...el resto si y las elimine



O4 - HKLM\..\Run: [Windows DLL Loader] C:\WINDOWS\system32\defragfatx.exe -



gracias.

[msc hotline sat]

Esta clave corresponde a un backdoor:



http://securityresponse.symantec.com/avcenter/venc/data/backdoor.domwis.html



Debes arrancar en modo seguro, deshabilitar la restauracion de sistema si usas XP y lanzar un antivirus como este que lo detecte y que lo pueda eliminar



Tambien puedes utilizar el metodo de eliminacion manual que se indica en dicha descripcion.



Tras ello, comprueba que dicha clave haya desaparecido y dinos si se han solucionado los problemas.



saludos



ms, 10-08-2005

[comovaeso]

no...esa entrada a la q se refiere el articulo no aparece en mi registro.



y aconsejan pasar antivirus y demas...y eso es lo q precisamente no puedo hacer...



ni tpco en el log q he obtenido despues de pasar las herramientas q me aconsejasteis.



pd...y otro problema es q sin poder ejecutar el explorer.exe no puedo activar o desactiva restaurar sistema. :?

[msc hotline sat]

Me refiero a esta clave:



O4 - HKLM\..\Run: [Windows DLL Loader] C:\WINDOWS\system32\defragfatx.exe -







creada por este backdoor., y arrancando en modo seguro y procediendo con lo indicadfo para eliminacion manual. podrás quitarte de encima el gusano !



Sigue las instrucciones y compruebalo.



ms.

[comovaeso]

totalmente comprobado:



en el log q publiqe aparece esa entrada.



tras pasar las herramientas q me aconsejo maura:



ELISTARA:

http://www.zonavirus.com/descargas/elistara.asp



ELITRIIP:

http://www.zonavirus.com/descargas/elitriip.asp



en el log no aparece y tpco en el registro.



y los problemas persisten...es mas, no funciona nada de lo q antes no funcionaba...

[msc hotline sat]

Pues el fichero que lanza esta clave es tipica de este virus, si bien tambien es usado por otros virus y troyanos como Poebot-F. Spybot (virus, no uitilidad), RBOT, etc, segun podrás ver en:



http://www.google.es/search?hl=es&q=defragfatx&meta=



Ya que no puedes lanzar antivirus ni antispyware, al parecer ni arrancando en modo seguro, deberás eliminarlo en forma manual que te indican segun sea el caso, por las demas pistas que te dan las descripciones, su la que te he dado, que es la que conocía, no coincide.



saludos



ms, 10-08-2005

[comovaeso]

pos muxas gracias.



creo q esta vez no voy a poder solucionarlo sino formateando...no encuentro esa clave por ningun sitio...ni en registro, ni en system32...



el problema no se ha solucionado...explorer no funciona...con lo q no puedo desactivar restaurar sistema. y tpco funciona el IEXPLORER con lo q no puedo actualizar windows ni pasar el antivirus...



por ultimo, algo curioso...cd no arranco en modo prueba, una aplicacion se activa y desactiva ella solo en el adm de tareas...aim.exe. no se lo q puede ser.



pos eso, gracias...pero creo q esta vez no va a haber otra solucion.

[maura63]

Puede que sea tu caso



http://www.vsantivirus.com/forbot-bb.htm



Saludos

maura63

[msc hotline sat]

No creo porque el FORBOT no usa el defragfatx.exe, pero lo comprobarñas muy pronto mirando si en el disco duro tienes el fichero AIM.EXE



En cualquier caso es un virus BOT, como este y los otros, que abre puerta trasera para escucha de backdoor de IRC



Sino formatear, al menos quizas REPARAR arrancando con el CD de instalacion sería aconsejable, a ver si tras ello al menos arrancando en modo seguro, te deja lanzar el antivirus.



saludos



ms, 11-08-2005

[comovaeso]

Bien...os cuento mientras pueda.



El virus, troyano o lo q fuese me arruino el ordenador...me reiniciaba cada vez q me conectaba....tuve q grabar lo esencial en modo seguro y utilizar el disco de instalacion.



Formatee con el disco de instalacion de windows...y parece q las cosas "mas o menos" funcionan...pq de entrada fui a windows update y no me dejaba actualizar y de vez en cd me sale algo asi como socks.exe y me pega un pantallazo.



Os agradeceria q me dijeseis q puedo hacer ahora.



La version de XP es de 2001...y creo lleva el SP1...



a partir de aqui q hago...tengo q bajar alguna actualizacion, pasar el antivirus...poner firewall.



Muxas gracias¡¡¡¡

[msc hotline sat]

Por supuesto, actualizar el resto de parches que el windowsupdate encuentre a faltar, y tras ello instalar un buen antivirus que se actualice diariamente, y un cortafuegos, a ser posible por hardware para que no lo desactiven los virus, y sino cualquiera de software por lo menos



Y controle periodicamente los spywares y cuando tenga algun problema, nos lo indica y lo intentaremos resolver.



Y ya que los problemas de este Tema han terminado al formatear, procedemos a cerrarlo, sugiriendole que si tiene algun problema con el software o la instalacion del sistema y demás lo postee en PROBLEMAS CON EL SOFTWARE, y si se vuelve a infectar, nos volveremos a ver por aqui



saludos



ms, 11-08-2005



nota: y cuidado con eso del socks.exe:

http://www.sophos.com/virusinfo/analyses/trojdropperav.html ms.