Hola que tal. He abierto un archivo .zip que me venía en un correo electrónico, y creo que me ha entrado un virus. Ahora mismo, el PC es inutilizable, se cuelga continuamente. Explico lo que pasa:

Con todos los programas cerrados, el Administrador de tareas (control + alt + supr) de Windows XP muestra que se están ejecutando procesos, sobre todo explorer.exe, aunque no solo ese, con lo que me muestra un uso de la CPU al 100%, y 0 en Proceso inactivo del sistema. Este porcentaje va bajando, pero muy poco a poco.

He intentado conectarme a internet para pasar un Antivirus online, pero al ir la conexión tan lenta, no lo consigo. Incluso a llegado a aparecer el mensaje de que en 1 minuto se reinicia el PC.

He limpiado el registro con Registro con RegSeeker. AD-AWARE SE no encuentra nada, y SPYBOT, S&D todo esto, que aunque elimino, vuelve a aparecer:

Windows Security Center.UdateDisableNotify: Configuración (Cambio en el registro, nothing done)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify!=dword:0

Windows Security Center.AntiVirusDisableNotify: Configuración (Cambio en el registro, nothing done)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify!=dword:0

Windows Security Center.AntiVirusOverride: Configuración (Cambio en el registro, nothing done)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusOverride!=dword:0

Windows Security Center.FirewallDisableNotify: Configuración (Cambio en el registro, nothing done)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify!=dword:0

Windows Security Center.FirewallOverride: Configuración (Cambio en el registro, nothing done)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallOverride!=dword:0

Windows Security Center.SP2Update: Configuración (Cambio en el registro, nothing done) HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Win dows\WindowsUpdate\DoNotAllowXPSP2!=dword:0


Dejo mi LOG de HijackThis:

Logfile of HijackThis v1.99.1
Scan saved at 20:48:33, on 23/09/2005
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\lssas.exe
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\System32\mswinsdp.exe
C:\Archivos de programa\WinZip\WZQKPICK.EXE
C:\WINDOWS\System32\taskmgr.exe
C:\WINDOWS\System32\msiexec.exe
C:\Archivos de programa\Microsoft Office\Office\WINWORD.EXE
C:\WINDOWS\msagent\AgentSvr.exe
C:\Archivos de programa\HJT\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [winshost.exe] C:\WINDOWS\System32\winshost.exe
O4 - HKLM\..\Run: [Local Security Authority Service] C:\WINDOWS\System32\lssas.exe
O4 - HKLM\..\Run: [Microsoft SDKP2] mswinsdp.exe
O4 - HKLM\..\Run: [firewall_anti] C:\WINDOWS\firewall_anti.exe
O4 - HKLM\..\RunServices: [Microsoft SDKP2] mswinsdp.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [winshost.exe] C:\WINDOWS\System32\winshost.exe
O4 - HKCU\..\Run: [Microsoft SDKP2] mswinsdp.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Archivos de programa\WinZip\WZQKPICK.EXE
O16 - DPF: {04E214E5-63AF-4236-83C6-A7ADCBF9BD02} (HouseCall Control) - http://housecall60.trendmicro.com/housecall/xscan60.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab
O23 - Service: sdktemp - Unknown owner - C:\WINDOWS\microsoft.exe



Muchas gracias por la ayuda que me podáis prestar. Un saludo.

Hola, te cuento que el archivo que ejecutastes dentro del .ZIP era una variante de un peligroso gusano llamdao "Sober"

Paso 1- Apaga el "Restaurar Sistema"

Paso 2- Descarga el programa Ewido Security Suite 3.5 , Actualízalo pero no lo ejecutes aun.

Paso 3- Con todos los programas cerrados ejecuta el HijackThis y dale a estas entradas:

O4 - HKLM\..\Run: [winshost.exe] C:\WINDOWS\System32\winshost.exe
O4 - HKLM\..\Run: [Local Security Authority Service] C:\WINDOWS\System32\lssas.exe

O4 - HKLM\..\Run: [Microsoft SDKP2] mswinsdp.exe
O4 - HKLM\..\Run: [firewall_anti] C:\WINDOWS\firewall_anti.exe
O4 - HKLM\..\RunServices: [Microsoft SDKP2] mswinsdp.exe
O4 - HKCU\..\Run: [winshost.exe] C:\WINDOWS\System32\winshost.exe
O4 - HKCU\..\Run: [Microsoft SDKP2] mswinsdp.exe

O23 - Service: sdktemp - Unknown owner - C:\WINDOWS\microsoft.exe

Paso 4- Sin reiniciar con el programa "KillBox" elimina estos archivos:

C:\WINDOWS\System32\winshost.exe
C:\WINDOWS\System32\lssas.exe
C:\WINDOWS\firewall_anti.exe
C:\WINDOWS\System32\winshost.exe
C:\WINDOWS\microsoft.exe

Paso 5- Ejecuta Ewido Security Suite 3.5

Paso 6- Usa el Disk Cleaner para limpiar cookies y temporales y RegSeeker para limpiar el registro de Win.

Reinicia y nos contas los resultados.

Salu2

Hola de nuevo. He seguido todos los pasos que indicas, pero el problema no se resuelve. El módem sigue recibiendo y enviando datos aunque tenga el explorer cerrado, por lo que internet va muy lento.

Siempre que me conecto, me sale el mensaje "Se está apagando el sistema. Guarde todo trabajo en curso y cierre la sesión. Se perderá cualquier cambio que no haya sido guardado. El apagado ha sido iniciado por NT AUTHORITY\SYSTEM" Mensaje "C:\WIMDOWS\system32\lsass.exe ha finalizado inesperadamente y muestra el...."

Me he fijado en que en los archivos que me indicas que elimine, has repetido C:\WINDOWS\System32\winshost.exe

Dejo mi nuevo Log, a ver que me dices:

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Archivos de programa\ewido\security suite\ewidoctrl.exe
C:\Archivos de programa\ewido\security suite\ewidoguard.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\wuamk032.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Archivos de programa\WinZip\WZQKPICK.EXE
C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE
C:\Archivos de programa\HJT\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [Microsoft Update] wuamk032.exe
O4 - HKLM\..\RunServices: [Microsoft Update] wuamk032.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Archivos de programa\WinZip\WZQKPICK.EXE
O16 - DPF: {04E214E5-63AF-4236-83C6-A7ADCBF9BD02} (HouseCall Control) - http://housecall60.trendmicro.com/housecall/xscan60.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{A3705672-50C1-4337-92ED-FA4B192013B5}: NameServer = 80.58.61.250 80.58.61.254
O23 - Service: ewido security suite control - ewido networks - C:\Archivos de programa\ewido\security suite\ewidoctrl.exe
O23 - Service: ewido security suite guard - ewido networks - C:\Archivos de programa\ewido\security suite\ewidoguard.exe



Venga, un saludo.

Hola, aún quedan algunas cosas, sigue estos pasos:

1 - Apaga "Restaurar Sistema".

2 - Con todos los programas cerrados, ejecuta HijackThis, marca las siguientes entradas y haces FIX:

O4 - HKLM\..\Run: [Microsoft Update] wuamk032.exe
O4 - HKLM\..\RunServices: [Microsoft Update] wuamk032.exe

3 - Localiza y elimina (usa KillBox si es necesario):

C:\WINDOWS\System32\wuamk032.exe

4 - Escanea el sistema con un par de antivirus, siguiendo los pasos que aparecen en el enlace. Luego limpia el registro con un programa como RegSeeker por ejemplo.

5 - Usa el Disk Cleaner para limpiar cookies y temporales.

6 - Reinicia y nos cuentas los resultados.

** MUY IMPORTANTE: Tienes que actualizar el sistema, no está parcheado y tiene las puertas abiertas a cientos de virus y gusanos.

Saludos.

Os comento: ayer hice todo lo que me indicas (aunque he tenido problemas para actualizar el sistema, me da error), y, aparentemente, todo iba bien. Hoy al conectarme a internet, EWIDO ha comenzado a encontrar cosas, me ha vuelto a salir el mensaje de reinicio en 59 segundos y ventanas extrañas, y el consumo de recursos del sistema era muy alto. Otra cosa que provoca es que, si voy a inicio – apagar equipo, me sale la ventana como si le diese a cerrar sesión, y también me elimina pestañas en “ver información del sistema”, por ejemplo la de “restaurar sistema”.

Total, que he cerrado Internet y he vuelto a hacer todo lo que me decís:

El Report de exploración del Ewido es este, por si ayuda:

+ Scan result:

C:\WINDOWS\system32\config\systemprofile\Configura ción local\Archivos temporales de Internet\Content.IE5\SP27WRKL\istsvc[1].exe -> TrojanDownloader.IstBar : Limpio con backup
C:\WINDOWS\system32\config\systemprofile\Configura ción local\Archivos temporales de Internet\Content.IE5\SP27WRKL\sahagent[1].exe -> Adware.SAHA : Limpio con backup
C:\WINDOWS\system32\config\systemprofile\Configura ción local\Archivos temporales de Internet\Content.IE5\WDYXMZS1\power_remove[1].exe -> TrojanDownloader.IstBar.gi : Limpio con backup
C:\WINDOWS\system32\config\systemprofile\Configura ción local\Archivos temporales de Internet\Content.IE5\WDYXMZS1\SAcc.prod.v1110.07se p2005.exe[1] -> Spyware.SurfAccuracy : Limpio con backup
C:\WINDOWS\system32\config\systemprofile\Configura ción local\Archivos temporales de Internet\Content.IE5\WDYXMZS1\stubinstaller5041[1].ex_ -> TrojanDownloader.Small.asf : Limpio con backup
C:\WINDOWS\Temp\2.exe -> TrojanDownloader.IstBar : Limpio con backup



Dejo también el Log que acabo de sacar:

Logfile of HijackThis v1.99.1
Scan saved at 11:02:57, on 25/09/2005
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Archivos de programa\ewido\security suite\ewidoctrl.exe
C:\Archivos de programa\ewido\security suite\ewidoguard.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\ctfmon.exe
C:\Archivos de programa\WinZip\WZQKPICK.EXE
C:\Archivos de programa\HJT\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Archivos de programa\WinZip\WZQKPICK.EXE
O16 - DPF: {04E214E5-63AF-4236-83C6-A7ADCBF9BD02} (HouseCall Control) - http://housecall60.trendmicro.com/housecall/xscan60.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1127548108000
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5free/asinst.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab
O23 - Service: ewido security suite control - ewido networks - C:\Archivos de programa\ewido\security suite\ewidoctrl.exe
O23 - Service: ewido security suite guard - ewido networks - C:\Archivos de programa\ewido\security suite\ewidoguard.exe



Me he fijado en que, en procesos del administrador de tareas de Windows, sigue apareciendo lsass.exe. No sé si tendrá algo que ver.

En fin, que estoy desesperado y ya no sé que hacer. Ahora mismo, un minuto después de conectarme para poner éste mensaje, ya me ha salido la ventana de reiniciar, con este mensaje: "C:\WINDOWS\system32\lsass.exe" ha finalizado inesperadamente y muestra el...

Muchas gracias por la atención. Un saludo.

Por lo visto tengo el virus sasser , que cada vez que reinicio el PC vuelve a ejecutarse, llenandolo de ******.

He pasado 2 antivirus online, que no lo detectan, ¿que hago?.




WINDOWS UPDATE no me deja actualizar; sale este mensaje:


[Número de error: 0x800A0007]
El sitio Web ha encontrado un problema y no puede mostrar la página que intenta ver. Las opciones que se indican a continuación pueden ayudarle a solucionar el problema.
Para ver opciones de autoayuda:

Preguntas más frecuentes

Buscar soluciones

Grupo de noticias de Windows Update
Para obtener opciones de soporte técnico asistido:

Soporte técnico asistido en línea de Microsoft (gratuito para problemas con Windows Update)

La única posibilidad que veo factible antes del formateo es que copies manualmente las actualizaciones en un CD (todos los parches de seguridad).
Una vez hecho, acude al equipo en cuestión (debe estar desconectado físicamente de Internet) e instala todas las actualizaciones; entonces deberías poder ejecutar el antivirus y eliminar a Sasser.

De volverse la situación muy mal tendrías que formatear, PERO recuerda que una vez instalado Windows NO debes conectarlo a Internet hasta que:
1 - Hayas instalado las actualizaciones de seguridad (me remito a lo del CD que comenté antes).
2 - Hayas instalado un cortafuegos.

Saludos.

Hola de nuevo amigos. Finalmente, he conseguido descargar todas las actualizaciones del SO. He reiniciado y pasado Disk Cleaner, AdAware SE y SpyBoot S&D. He limpiado el registro, y pasado una herramienta llamada SSRCLEAN, que tampoco ha encontrado NADA.

El ordenador, sin conctarme a internet, va PERFECTO, pero al poco de conectarme, empieza a ir MUY LENTO. Si intento abrir cualquier programa, tarda mucho. Si abro el ADMINISTRADOR DE TAREAS DE WINDOWS, me aparece el cuadradito con la gráfica de rendimiento en la barra de herramientas, pero no la ventana en el escritorio. Otra cosa es que las luces del MODEM, y los dos monitores de la barra de herramientas no van acompasados. Es decir, a veces el MODEM se ilumina, y los monitores no, y viceversa. Cuando intento cerrar programas, me sale mucho el mensaje de “el programa no responde”. En fin, que el ordenador se acaba colgando, y tengo que apagarlo "a machete".

No sé si me explico. ¿Puede ser esto por falta de memoria RAM? Antes de actualizar el sistema, me iba bien con la que tengo, 64 megas.

Dejo mi LOG, por si sirve. Gracias, tíos.



Logfile of HijackThis v1.99.1
Scan saved at 16:05:23, on 01/10/2005
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\ctfmon.exe
C:\Archivos de programa\WinZip\WZQKPICK.EXE
C:\Archivos de programa\HJT\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Archivos de programa\WinZip\WZQKPICK.EXE
O16 - DPF: {04E214E5-63AF-4236-83C6-A7ADCBF9BD02} (HouseCall Control) - http://housecall60.trendmicro.com/housecall/xscan60.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsu...?1127548108000
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/actives...ree/asinst.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/ms...downloader.cab