Foro de InfoSpyware - Foro de Hijackthis - Foro de Virus

Tengo un problema con mi maquina, se vuelve un poco lenta al abrir los programas o archivos. Puse el administrador de windows y me asombre al ver que en la parte del uso del PF estaba muy alto, por lo regular mi maquina anda entre 180 y cerca de 300 cuando la tengo trabajando con varios programas a la vez y me sorprendi cuando el administrador mostro que estaba en 513, esto me llevo a fijarme en los procesos que se estaban ejecutando y comence a investigar sobre algunos que me parecian raros y en la red estan catalogados como virus los procesos son: Isass y ST.
Otra cosa es q reinicie la maquina para ver su comportamiento y me fije que el uso del PF comienza a subir con mas rapidez al estar usando Internet. Tengo NOD32 y analice la unidad C: y no encuentra nada.
Por favor ayudenme a resolver estos problemas, Muchas gracias por su tiempo

Hola IqiBalam

Realiza los siguientes pasos sin saltarte ninguno, por favor

«Paso 1» Descarga las siguientes herramientas, actualiza las que correspondan, pero no las ejecutes aún

• SDFix
• SUPERAntispyware [Manual]
• Ccleaner(Manual)

--------------------------------------------------------------------------------------------------------

• - Nota*1 Es posible que el antivirus que tengas instalado te advierta de una infección en la herramienta SDFix, es debido al tipo de código pero no te preocupes por ello, permite el paso de la herramienta.
• - Nota*2 SDFix funcionará solamente en el Windows 2000 y Windows XP en modo seguro (Requiere privilegios de la cuenta del administrador)

--------------------------------------------------------------------------------------------------------

«Paso 2» "Apaga Restaurar Sistema"

«Paso 3» Activa la opción "Ver archivos ocultos"

«Paso 4» "Reinicia a prueba de fallos"

«Paso 5» Usa el Ccleaner para limpiar el sistema,primero utilizá la opción de "Limpiador" para borrar cookies, temporales de Internet y todos los archivos que este te muestre como obsoletos.y luego usa su opción de "Registro" para limpiar todo el registro de Windows (haciendo copia de seguridad).

«Paso 6» Ejecuta SDFix.exe en el escritorio, se creará una nueva carpeta en el escritorio, entra en dicha carpeta y ejecuta el archivo "Runthis.bat" luego, presiona la tecla "Y" para que comience el chequeo, al terminar, se creará un archivo dentro de la carpeta llamado Report.txt, copia y pega lo que indique ese reporte acá.

«Paso 7» Ejecuta SuperAntiSpyware y tú antivirus (previamente actualizado)

«Paso 8» Reinicia el PC a "Modo normal"

«Paso 9» Instálate el SpywareBlaster 3.4 Manual

«Paso 10» Elimina todas las cuarentenas que tengas y vacia la papelera tambien.

«Paso 11» Ejecuta solamente y nuevamente SuperAntiSpyware

«Paso 12» Pasa 2 antivirus online el Ewido Scanner Online (Cuando termine el análisis debes darle al botón Remove Infections) y Kaspersky Online Scanner (Este no elimina, asi que debes pegar el reporte, para que te indiquemos los pasos a seguir)

» Cuando termines los pasos Activa restaurar sistema y esconde los archivos ocultos...

» De preferencia, imprime las indicaciones para que se te haga más fácil seguirlas.

salu2
Recuerda volver y contarnos los resultados

Hola!! "Devil May Cry"
Mando esto hasta ahorita porque tube un dia dificil ayer y hasta hoy pude realizar los pasos que me sugeriste, bueno asi esta la cosa:

del reporte de SDFix salio esto:

SDFix: Version 1.97

Run by Administrador on 09/08/2007 at 02:33 p.m.

Microsoft Windows XP [Versi¢n 5.1.2600]

Running From: C:\SDFix

Safe Mode:
Checking Services:


Restoring Windows Registry Values
Restoring Windows Default Hosts File

Rebooting...


Normal Mode:
Checking Files:

No Trojan Files Found




Removing Temp Files...

ADS Check:

C:\WINDOWS
No streams found.

C:\WINDOWS\system32
No streams found.

C:\WINDOWS\system32\svchost.exe
No streams found.

C:\WINDOWS\system32\ntoskrnl.exe
No streams found.



Final Check:

Remaining Services:
------------------



Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\system\currentcontrolset\servic es\sharedaccess\parameters\firewallpolicy\standard profile\authorizedapplications\list]
"%windir%\\system32\\sessmgr.exe"="%windir%\\syste m32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\\Archivos de programa\\iTunes\\iTunes.exe"="C:\\Archivos de programa\\iTunes\\iTunes.exe:*:Enabled:iTunes"
"C:\\Archivos de programa\\Messenger\\msmsgs.exe"="C:\\Archivos de programa\\Messenger\\msmsgs.exe:*:Enabled:Windows Messenger"
"C:\\Archivos de programa\\MSN Messenger\\msnmsgr.exe"="C:\\Archivos de programa\\MSN Messenger\\msnmsgr.exe:*:Enabled:Windows Live Messenger 8.1"
"C:\\Archivos de programa\\MSN Messenger\\livecall.exe"="C:\\Archivos de programa\\MSN Messenger\\livecall.exe:*:Enabled:Windows Live Messenger 8.1 (Phone)"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\servic es\sharedaccess\parameters\firewallpolicy\domainpr ofile\authorizedapplications\list]
"%windir%\\system32\\sessmgr.exe"="%windir%\\syste m32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\\Archivos de programa\\MSN Messenger\\msnmsgr.exe"="C:\\Archivos de programa\\MSN Messenger\\msnmsgr.exe:*:Enabled:Windows Live Messenger 8.1"
"C:\\Archivos de programa\\MSN Messenger\\livecall.exe"="C:\\Archivos de programa\\MSN Messenger\\livecall.exe:*:Enabled:Windows Live Messenger 8.1 (Phone)"

Remaining Files:
---------------


Files with Hidden Attributes:


Finished

y del Kaspersky Online Scanner fue esto:
del scanner de critical areas:

KASPERSKY ONLINE SCANNER REPORT
Thursday, August 09, 2007 8:17:04 PM
Operating System: Microsoft Windows XP Professional, Service Pack 2 (Build 2600)
Kaspersky Online Scanner version: 5.0.93.0
Kaspersky Anti-Virus database last update: 10/08/2007
Kaspersky Anti-Virus database records: 377806
Scan Settings
Scan using the following antivirus database extended
Scan Archives true
Scan Mail Bases true
Scan Target Critical Areas
C:\WINDOWS
C:\DOCUME~1\Olloqui\CONFIG~1\Temp\
Scan Statistics
Total number of scanned objects 12416
Number of viruses found 1
Number of infected objects 1
Number of suspicious objects 0
Duration of the scan process 00:13:09

Infected Object Name Virus Name Last Action
C:\WINDOWS\Debug\PASSWD.LOG Object is locked skipped
C:\WINDOWS\SchedLgU.Txt Object is locked skipped
C:\WINDOWS\SoftwareDistribution\ReportingEvents.lo g Object is locked skipped
C:\WINDOWS\Sti_Trace.log Object is locked skipped
C:\WINDOWS\system32\CatRoot2\edb.log Object is locked skipped
C:\WINDOWS\system32\CatRoot2\tmp.edb Object is locked skipped
C:\WINDOWS\system32\config\AppEvent.Evt Object is locked skipped
C:\WINDOWS\system32\config\default Object is locked skipped
C:\WINDOWS\system32\config\default.LOG Object is locked skipped
C:\WINDOWS\system32\config\SAM Object is locked skipped
C:\WINDOWS\system32\config\SAM.LOG Object is locked skipped
C:\WINDOWS\system32\config\SecEvent.Evt Object is locked skipped
C:\WINDOWS\system32\config\SECURITY Object is locked skipped
C:\WINDOWS\system32\config\SECURITY.LOG Object is locked skipped
C:\WINDOWS\system32\config\software Object is locked skipped
C:\WINDOWS\system32\config\software.LOG Object is locked skipped
C:\WINDOWS\system32\config\SysEvent.Evt Object is locked skipped
C:\WINDOWS\system32\config\system Object is locked skipped
C:\WINDOWS\system32\config\system.LOG Object is locked skipped
C:\WINDOWS\system32\h323log.txt Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MA P Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MA P Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DAT A Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Object is locked skipped
C:\WINDOWS\system32\Y3FSD5wW.exe Infected: Backdoor.Win32.VB.kb skipped
C:\WINDOWS\wiadebug.log Object is locked skipped
C:\WINDOWS\wiaservc.log Object is locked skipped
C:\WINDOWS\WindowsUpdate.log Object is locked skipped
Scan process completed.

del scanner de memory & my mail: no hubo infeccion

y por ultimo el reporte del scanner de my computer fue:

KASPERSKY ONLINE SCANNER REPORT
Thursday, August 09, 2007 10:55:53 PM
Operating System: Microsoft Windows XP Professional, Service Pack 2 (Build 2600)
Kaspersky Online Scanner version: 5.0.93.0
Kaspersky Anti-Virus database last update: 10/08/2007
Kaspersky Anti-Virus database records: 377806
Scan Settings
Scan using the following antivirus database extended
Scan Archives true
Scan Mail Bases true
Scan Target My Computer
A:\
C:\
D:\
E:\
F:\
G:\
Scan Statistics
Total number of scanned objects 182589
Number of viruses found 3
Number of infected objects 6
Number of suspicious objects 0
Duration of the scan process 02:33:21

Infected Object Name Virus Name Last Action
C:\Archivos de programa\ESET\cache\CACHE.NDB Object is locked skipped
C:\Archivos de programa\ESET\logs\virlog.dat Object is locked skipped
C:\Archivos de programa\ESET\logs\warnlog.dat Object is locked skipped
C:\Documents and Settings\LocalService\Configuración local\Archivos temporales de Internet\Content.IE5\index.dat Object is locked skipped
C:\Documents and Settings\LocalService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked skipped
C:\Documents and Settings\LocalService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked skipped
C:\Documents and Settings\LocalService\Configuración local\Historial\History.IE5\index.dat Object is locked skipped
C:\Documents and Settings\LocalService\Cookies\index.dat Object is locked skipped
C:\Documents and Settings\LocalService\NTUSER.DAT Object is locked skipped
C:\Documents and Settings\LocalService\ntuser.dat.LOG Object is locked skipped
C:\Documents and Settings\NetworkService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked skipped
C:\Documents and Settings\NetworkService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked skipped
C:\Documents and Settings\NetworkService\NTUSER.DAT Object is locked skipped
C:\Documents and Settings\NetworkService\ntuser.dat.LOG Object is locked skipped
C:\Documents and Settings\Olloqui\Configuración local\Archivos temporales de Internet\Content.IE5\index.dat Object is locked skipped
C:\Documents and Settings\Olloqui\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked skipped
C:\Documents and Settings\Olloqui\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked skipped
C:\Documents and Settings\Olloqui\Configuración local\Historial\History.IE5\index.dat Object is locked skipped
C:\Documents and Settings\Olloqui\Configuración local\Historial\History.IE5\MSHist0120070809200708 10\index.dat Object is locked skipped
C:\Documents and Settings\Olloqui\Cookies\index.dat Object is locked skipped
C:\Documents and Settings\Olloqui\Datos de programa\SUPERAntiSpyware.com\SUPERAntiSpyware\SUP ERANTISPYWARE.LOG Object is locked skipped
C:\Documents and Settings\Olloqui\NTUSER.DAT Object is locked skipped
C:\Documents and Settings\Olloqui\ntuser.dat.LOG Object is locked skipped
C:\System Volume Information\MountPointManagerRemoteDatabase Object is locked skipped
C:\WINDOWS\Debug\PASSWD.LOG Object is locked skipped
C:\WINDOWS\SchedLgU.Txt Object is locked skipped
C:\WINDOWS\SoftwareDistribution\ReportingEvents.lo g Object is locked skipped
C:\WINDOWS\Sti_Trace.log Object is locked skipped
C:\WINDOWS\system32\CatRoot2\edb.log Object is locked skipped
C:\WINDOWS\system32\CatRoot2\tmp.edb Object is locked skipped
C:\WINDOWS\system32\config\AppEvent.Evt Object is locked skipped
C:\WINDOWS\system32\config\default Object is locked skipped
C:\WINDOWS\system32\config\default.LOG Object is locked skipped
C:\WINDOWS\system32\config\SAM Object is locked skipped
C:\WINDOWS\system32\config\SAM.LOG Object is locked skipped
C:\WINDOWS\system32\config\SecEvent.Evt Object is locked skipped
C:\WINDOWS\system32\config\SECURITY Object is locked skipped
C:\WINDOWS\system32\config\SECURITY.LOG Object is locked skipped
C:\WINDOWS\system32\config\software Object is locked skipped
C:\WINDOWS\system32\config\software.LOG Object is locked skipped
C:\WINDOWS\system32\config\SysEvent.Evt Object is locked skipped
C:\WINDOWS\system32\config\system Object is locked skipped
C:\WINDOWS\system32\config\system.LOG Object is locked skipped
C:\WINDOWS\system32\h323log.txt Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MA P Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MA P Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DAT A Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Object is locked skipped
C:\WINDOWS\system32\Y3FSD5wW.exe Infected: Backdoor.Win32.VB.kb skipped
C:\WINDOWS\wiadebug.log Object is locked skipped
C:\WINDOWS\wiaservc.log Object is locked skipped
C:\WINDOWS\WindowsUpdate.log Object is locked skipped
D:\System Volume Information\MountPointManagerRemoteDatabase Object is locked skipped
D:\Uz!eL\cosas\LAptop\dasd\E\Arthur\Programas Varios\BABYLO~1.exe/cd_install_167.exe/cd_load.exe Infected: not-a-virus:AdWare.Win32.Cydoor skipped
D:\Uz!eL\cosas\LAptop\dasd\E\Arthur\Programas Varios\BABYLO~1.exe/cd_install_167.exe Infected: not-a-virus:AdWare.Win32.Cydoor skipped
D:\Uz!eL\cosas\LAptop\dasd\E\Arthur\Programas Varios\BABYLO~1.exe ZIP: infected - 2 skipped
D:\Uz!eL\cosas\LAptop\dasd\E\programas\prog\aresgo ldfree.exe/data0011 Infected: not-a-virus:AdWare.Win32.Relevant.a skipped
D:\Uz!eL\cosas\LAptop\dasd\E\programas\prog\aresgo ldfree.exe Inno: infected - 1 skipped
E:\System Volume Information\MountPointManagerRemoteDatabase Object is locked skipped
Scan process completed.


Gracias por tus sabios consejos y tu valioso tiempo



ia regrese, se me habia olvidado revisar el administrador y lo acabo de chekar hace rato, sigue apareciendo el proceso Isass.exe y no ha dejado de elevarse el uso del PF ahora llego a 629 MB, te pido por favor que me sigas echando la mano.

Te comento que el scan del nod 32 desinfecto cerca de 30 archivos con un gusano de internet llamado Win32/AutoRun.C. el scan con SuperAntiSpyware elimino de cuarentena como 15 archivos. el scan con ewido elimino cerca de 7 infecciones y el kastersky encontro aprox. 8 archivos. Osea que estaba repleta de virus mi maquina, lo que no entiendo es que si se pueden expandir tan rapido los virus porque tenia como 3 semanas que habia efecuado un analisis con el nod32 y no encontro nada y en este ultimo aparecieron demasidos y los sintomas de la maquinas a lo mucho tienen 1 semana que se comenzaron a notar.

Hola.

Compermiso **DMC**



Para estar claros...

lsass
Archivo Fabricante: lsass.exe (Microsoft)
Que es: Es un proceso del mecanismo de seguridad del sistema operativo Windows. Especialmente se encarga del manejo de la seguridad local y las politicas de autenticacion de usuarios.
Autor: Microsoft
Hace parte de: Microsoft Windows
Es un proceso del Sistema de Windows: SI
Riesgo a la seguridad: NO
Se conecta a Internet ó Red: NO
Observaciones: Este programa es importante para estabilidad y seguridad de su sistema y no deberia ser terminado. Verifique que el archivo que aparece en el proceso cargado sea el que esta en la ruta c:\windows\system32\ o c:\winnt\system32, ya que si no es el mismo, o aparece dos veces en la lista es muy posible que sea un gusano haciendose pasar por el original lsass.exe.
Permitir que se cargue automaticamente al inicio: Permitir

Osea que este archivo si tu lo tienes es normal y no es malicioso.

----------------------------------------------------------------
El proceso malicioso Es diferente y es con I al inicio : Isass.exe

lsass.exe se coloca como downloader. Este proceso viene generalmente liado con un virus o el spyware y su papel principal es no hacer nada con excepción de transferencia directa otros virus/spyware a tu computadora. Este proceso es un riesgo de la seguridad y se debe quitar de tu sistema.

• Ahora dime cual tienes el que es con L --->> lsass.exe o
• El que es con i ---->> isass.exe.

-Ahora Descarga el FileAssasin , busca y elimina estos archivos :

• D:\Uz!eL\cosas\LAptop\dasd\E\Arthur\Programas Varios\BABYLO~1.exe ZIP
• D:\Uz!eL\cosas\LAptop\dasd\E\programas\prog\aresgo ldfree.exe Inno
• C:\WINDOWS\system32\Y3FSD5wW.exe
• D:\Uz!eL\cosas\LAptop\dasd\E\programas\prog\aresgo ldfree.exe/data0011

Ahora cuentame como va el pc y si ya tienes tu confusion resuelta o sigues igual.

Adios.

Que tal bueno gracias por la aclaracion de los procesos, el que aparece es con L, lsass.exe pero no fue confusion sino ignorancia, antes de mandar el primer mensaje busque cada uno de los procesos que tenia en internet y en dos paginas lo encontre como posible virus.

Con respecto a lo del programa FileAssasin, no lo puedo descargar, aparece esto:

Forbidden
You don't have permission to access /FileASSASSIN_esp.zip on this server.
Apache/2.0.52 (CentOS) Server at www.malwarebytes.org Port 80

Para borrar los archivos de forma segura puedo utilizar el TuneUp Shredder?

Respecto al adminitrador de windows el uso del PF se sigue elevando poco a poco, como le hago para evitar esto?

Hola !!!

Les informo que ia esta resulto mi problema, al eliminar los archivos:

* D:\Uz!eL\cosas\LAptop\dasd\E\Arthur\Programas Varios\BABYLO~1.exe ZIP
* D:\Uz!eL\cosas\LAptop\dasd\E\programas\prog\aresgo ldfree.exe Inno
* C:\WINDOWS\system32\Y3FSD5wW.exe
* D:\Uz!eL\cosas\LAptop\dasd\E\programas\prog\aresgo ldfree.exe/data0011

¡¡¡ Gracias a todos los e me ayudaron !!!

Si no tienes nada mas que agregar al tema lo damos por SOLUCIONADO.

PD: Si por algun motivo necesitas reabrir este tema puedes mandarle un MP a cualquier miembro del Staff de Infospyware.