Tengo un virus y no puedo determinar que virus es, los síntomas es que no me deja correr ningún antivirus, si abro una página de internet de antivirus me lo cierra automáticamente, si quiero abrir una carpeta con antivirus me cierra el explorador de windows.
He instalado todas las actualizaciones de windows 2000 y tengo el antivirus actualizado.
Alguien tiene una idea de que virus es, como lo puedo sacar y como puedo bloquearlo para que no entre?
Muchas Gracias

Hola josemnunez

Pegá aquí un reporte del Silent Runners para su analisis.

Salu2

Muchas gracias por la colaboración, les pego el reporte qu me pidieron.
Saludos



"Silent Runners.vbs", revision R50, http://www.silentrunners.org/
Operating System: Windows 2000
Output limited to non-default values, except where indicated by "{++}"


Startup items buried in registry:
---------------------------------

HKCU\Software\Microsoft\Windows\CurrentVersion\Run \ {++}
"internat.exe" = "internat.exe" [MS]

HKLM\Software\Microsoft\Windows\CurrentVersion\Run \ {++}
"SoundMAXPnP" = "C:\Archivos de programa\Analog Devices\SoundMAX\SMax4PNP.exe" ["Analog Devices, Inc."]
"SoundMAX" = ""C:\Archivos de programa\Analog Devices\SoundMAX\Smax4.exe" /tray" ["Analog Devices, Inc."]
"IgfxTray" = "C:\WINNT\System32\igfxtray.exe" ["Intel Corporation"]
"HotKeysCmds" = "C:\WINNT\System32\hkcmd.exe" ["Intel Corporation"]
"ccApp" = ""C:\Archivos de programa\Archivos comunes\Symantec Shared\ccApp.exe"" ["Symantec Corporation"]
"vptray" = "C:\ARCHIV~1\SYMANT~1\VPTray.exe" ["Symantec Corporation"]
"AVG_CC" = "C:\ARCHIV~1\Grisoft\AVG6\avgcc32.exe /STARTUP" ["GRISOFT s.r.o."]

HKLM\Software\Microsoft\Windows\CurrentVersion\She ll Extensions\Approved\
"{42071714-76d4-11d1-8b24-00a0c9068ff3}" = "Extensión de paneo de pantalla del Panel de control"
-> {HKLM...CLSID} = "Extensión de paneo de pantalla del Panel de control"
\InProcServer32\(Default) = "deskpan.dll" [file not found]
"{88895560-9AA2-1069-930E-00AA0030EBC8}" = "Extensión de icono de HyperTerminal"
-> {HKLM...CLSID} = "HyperTerminal Icon Ext"
\InProcServer32\(Default) = "C:\WINNT\System32\hticons.dll" ["Hilgraeve, Inc."]
"{BDA77241-42F6-11d0-85E2-00AA001FE28C}" = "LDVP Shell Extensions"
-> {HKLM...CLSID} = "VpshellEx Class"
\InProcServer32\(Default) = "C:\Archivos de programa\Archivos comunes\Symantec Shared\SSC\vpshell2.dll" ["Symantec Corporation"]
"{1E2CDF40-419B-11D2-A5A1-002018648BA7}" = "AVG Shell Extension"
-> {HKLM...CLSID} = "AVG Shell Extension"
\InProcServer32\(Default) = "C:\ARCHIV~1\Grisoft\AVG6\avgse.dll" ["GRISOFT(c)SOFTWARE s.r.o."]
"{B41DB860-8EE4-11D2-9906-E49FADC173CA}" = "WinRAR shell extension"
-> {HKLM...CLSID} = "WinRAR"
\InProcServer32\(Default) = "C:\Archivos de programa\WinRAR\rarext.dll" [null data]

HKLM\System\CurrentControlSet\Control\Session Manager\
<<!>> "BootExecute" = "autocheck autochk *"|"DfsInit" [MS]

HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\
<<!>> igfxcui\DLLName = "igfxsrvc.dll" ["Intel Corporation"]
<<!>> NavLogon\DLLName = "C:\WINNT\system32\NavLogon.dll" ["Symantec Corporation"]
<<!>> PCANotify\DLLName = "PCANotify.dll" ["Symantec Corporation"]

HKLM\Software\Classes\*\shellex\ContextMenuHandler s\
AVG Shell Extension\(Default) = "{1E2CDF40-419B-11D2-A5A1-002018648BA7}"
-> {HKLM...CLSID} = "AVG Shell Extension"
\InProcServer32\(Default) = "C:\ARCHIV~1\Grisoft\AVG6\avgse.dll" ["GRISOFT(c)SOFTWARE s.r.o."]
LDVPMenu\(Default) = "{BDA77241-42F6-11d0-85E2-00AA001FE28C}"
-> {HKLM...CLSID} = "VpshellEx Class"
\InProcServer32\(Default) = "C:\Archivos de programa\Archivos comunes\Symantec Shared\SSC\vpshell2.dll" ["Symantec Corporation"]
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
-> {HKLM...CLSID} = "WinRAR"
\InProcServer32\(Default) = "C:\Archivos de programa\WinRAR\rarext.dll" [null data]

HKLM\Software\Classes\Directory\shellex\ContextMen uHandlers\
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
-> {HKLM...CLSID} = "WinRAR"
\InProcServer32\(Default) = "C:\Archivos de programa\WinRAR\rarext.dll" [null data]

HKLM\Software\Classes\Folder\shellex\ContextMenuHa ndlers\
AVG Shell Extension\(Default) = "{1E2CDF40-419B-11D2-A5A1-002018648BA7}"
-> {HKLM...CLSID} = "AVG Shell Extension"
\InProcServer32\(Default) = "C:\ARCHIV~1\Grisoft\AVG6\avgse.dll" ["GRISOFT(c)SOFTWARE s.r.o."]
LDVPMenu\(Default) = "{BDA77241-42F6-11d0-85E2-00AA001FE28C}"
-> {HKLM...CLSID} = "VpshellEx Class"
\InProcServer32\(Default) = "C:\Archivos de programa\Archivos comunes\Symantec Shared\SSC\vpshell2.dll" ["Symantec Corporation"]
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
-> {HKLM...CLSID} = "WinRAR"
\InProcServer32\(Default) = "C:\Archivos de programa\WinRAR\rarext.dll" [null data]


Group Policies {GPedit.msc branch and setting}:
-----------------------------------------------

Note: detected settings may not have any effect.

HKLM\Software\Microsoft\Windows\CurrentVersion\Pol icies\Explorer\

"ShowSuperHidden" = (REG_DWORD) hex:0x00000001
{unrecognized setting}

HKLM\Software\Microsoft\Windows\CurrentVersion\Pol icies\System\

"disablecad" = (REG_DWORD) hex:0x00000000
{unrecognized setting}

"shutdownwithoutlogon" = (REG_DWORD) hex:0x00000000
{Computer Configuration|Windows Settings|Security Settings|Local Policies|Security Options|
Shutdown: Allow system to be shut down without having to log on}


Active Desktop and Wallpaper:
-----------------------------

Active Desktop may be disabled at this entry:
HKCU\Software\Microsoft\Windows\CurrentVersion\Exp lorer\ShellState

Active Desktop web content (hidden if disabled):

HKCU\Software\Microsoft\Internet Explorer\Desktop\Components\0\
"FriendlyName" = "Mi página de inicio actual"
"Source" = "about:Home"
"SubscribedURL" = "about:Home"


Enabled Screen Saver:
---------------------

HKCU\Control Panel\Desktop\
"SCRNSAVE.EXE" = "(NINGUNO)" [file not found]


Startup items in "Administrador" & "All Users" startup folders:
---------------------------------------------------------------

C:\Documents and Settings\All Users\Menú Inicio\Programas\Inicio
"Service Manager" -> shortcut to: "C:\Archivos de programa\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe /n" [MS]


Winsock2 Service Provider DLLs:
-------------------------------

Namespace Service Providers

HKLM\System\CurrentControlSet\Services\Winsock2\Pa rameters\NameSpace_Catalog5\Catalog_Entries\ {++}
000000000001\LibraryPath = "%SystemRoot%\System32\rnr20.dll" [MS]
000000000002\LibraryPath = "%SystemRoot%\System32\winrnr.dll" [MS]

Transport Service Providers

HKLM\System\CurrentControlSet\Services\Winsock2\Pa rameters\Protocol_Catalog9\Catalog_Entries\ {++}
0000000000##\PackedCatalogItem (contains) DLL [Company Name], (at) ## range:
%SystemRoot%\system32\msafd.dll [MS], 01 - 03, 06 - 11
%SystemRoot%\system32\rsvpsp.dll [MS], 04 - 05


Running Services (Display Name, Service Name, Path {Service DLL}):
------------------------------------------------------------------

Logitech MM50 Kernel Drivers, Logitech MM50 Kernel Drivers, ""C:\WINNT\system32\dllcache\mm50krnl.exe"" [null data]
MSSQLSERVER, MSSQLSERVER, "C:\Archivos de programa\Microsoft SQL Server\MSSQL\Binn\sqlservr.exe -sMSSQLSERVER" [MS]
Sistema de sucesos de COM+, EventSystem, "C:\WINNT\System32\svchost.exe -k netsvcs" {"C:\WINNT\System32\es.dll" [null data]}
SoundMAX Agent Service, SoundMAX Agent Service (default), "C:\Archivos de programa\Analog Devices\SoundMAX\SMAgent.exe" ["Analog Devices, Inc."]
Symantec AntiVirus, Symantec AntiVirus, ""C:\Archivos de programa\Symantec AntiVirus\Rtvscan.exe"" ["Symantec Corporation"]
Symantec AntiVirus Definition Watcher, DefWatch, ""C:\Archivos de programa\Symantec AntiVirus\DefWatch.exe"" ["Symantec Corporation"]
Symantec Event Manager, ccEvtMgr, ""C:\Archivos de programa\Archivos comunes\Symantec Shared\ccEvtMgr.exe"" ["Symantec Corporation"]
Symantec Settings Manager, ccSetMgr, ""C:\Archivos de programa\Archivos comunes\Symantec Shared\ccSetMgr.exe"" ["Symantec Corporation"]


Keyboard Driver Filters:
------------------------

HKLM\System\CurrentControlSet\Control\Class\{4D36E 96B-E325-11CE-BFC1-08002BE10318}\
"UpperFilters" = <<!>> "aw_host" [file not found]


Print Monitors:
---------------

HKLM\System\CurrentControlSet\Control\Print\Monito rs\
pcAnywhere Remote Printing\Driver = "awmon.dll" ["Symantec Corporation"]


----------
<<!>>: Suspicious data at a malware launch point.

+ This report excludes default entries except where indicated.
+ To see *everywhere* the script checks and *everything* it finds,
launch it from a command prompt or a shortcut with the -all parameter.
+ To search all directories of local fixed drives for DESKTOP.INI
DLL launch points, use the -supp parameter or answer "No" at the
first message box and "Yes" at the second message box.
---------- (total run time: 22 seconds, including 4 seconds for message boxes)

Hola josemnunez

Sube este archivo "SCRNSAVE.EXE" a Virus Total y nos pegas su resultado para su análisis.

Para localizarlo debes utilizar el buscador (Inicio/Buscar/Todos los archivos y/o carpetas) [/b][/color]

-Descargate, instala y actualiza SuperAntiSpyware, pero no lo ejecutes aún.

-Usa el Ccleaner(Manual) para eliminar archivos innecesarios,primero utilizá la opción de "Limpiador" para borrar cookies, temporales de Internet y todos los archivos que este te muestre como obsoletos.y luego usa su opción de "Registro" para limpiar todo el registro de Windows (haciendo copia de seguridad).

-Reinicia el PC a "Modo a prueba de fallos"

-Ejecuta la aplicación SuperAntiSpyware (elimina todo lo que encuentre)

-Reinicia el pc a modo normal

-Descarga la utilidad ComboFix.exe (Windows 98/ME/2000/XP)

-Ejecuta ComboFix.exe para iniciar el programa.

-Se abrirá la ventana del programa en modo MS-DOS. Pulsa inmediatamente la tecla "Y" (Yes) y después sobre ENTER para iniciar el proceso de detección y limpieza.

-Los iconos del Escritorio desaparecerán (esto es normal) y aparecerá el mensaje "Performing a scan of your machine".

- A continuación, aparecerá el mensaje "Preparing a log report" "This takes a while. So, please be patient".

-Seguidamente, aparecerán los mensajes "Almost done..." "A report of Combofix's actions would be produced at C:\Combofix.txt".

-Se paciente y espera a que la ventana del programa se cierre sola y se muestre el archivo C:\Combofix.txt. Los iconos del Escritorio volverán a su sitio sin necesidad de tener que reiniciar el PC.

-Por último, el informe combofix.txt mostrará los archivos detectados y eliminados, ese tal reporte lo pegas acá


salu2
Recuerda volver y contarnos los resultados

Gracias por toda la ayuda que me estás brindando, este fin de semana me voy a poner en campaña de realizar todos los pasos que me estás dando, tan solo tengo una pregunta, todos estos pasos se puede hacer a modo de prueba de fallos? ya que si quiero abrir el pendrive con una carpeta que contenga algun antivirus me lo cierra en el acto.
A modo prueba de fallo no se activa el virus.
Gracias por todo

Hola josemnunez

Realiza los pasos en "Modo seguro" , pero no se te olvide regresar para que nos comentes los resultados.

Salu2

Gracias, por responder, este fin de semana hago el proceso y te cuento los resultados.

Nuevamente yo, para hacer un trabajo mas prolijo instalé superantispyware en mi PC para aprender a usarlo.
Entiendo que solo se actualizar on line, es esto correcto? o se puede hacer un up date como en AVG bajando los archirvos desde la web.
Si es factible me podrías pasar la página en donde bajar los up date ya que desde el servidor no me deja realizar up dates de antivirus y menos que menos abrir paginas de antivirus.
Muchas Gracias

Antes que nada quiero agradecer por toda su colaboración, te cuento que este fin de semana he solucionado el problema que tenía en el servidor , de todas formas seguí los pasos que me sugeriste, los intenté hacer a modo de prueba de fallos con conexion a red pero no hubo caso, el virus me cerraba la conexion a internet y no podía realizar las actualizaciones. Por otro lado el SuperAntiSpyware no trabaja para Windows 2000 Server, no me lo dejó instalar.
Te cuento que hice, saqué el disco del servidor y lo conecté a una terminal de trabajo como disco secundario, lo escanié con el AVG que estaba instalado en la terminal y me encontro el siguiente virus
Trojan Horse BackDoor.Generic6.RAA, este virus se encontraba en los siguientes archivos 84785_mssql[1].exe en el 84785_mssql[2].exe y en el archivo mm50krnl.exe que los eliminó.
Coloqué el disco en el servidor y le instalé el Nod32, lo actualicé y por ahora no tuve mas problema con este virus, este me tenia a mal traer, me tiraba toda la red abajo y no podian trabajar.
Desde que puse el Nod32 me quiere entrar un virus win32/ircbot.UE pero me lo detiene el Nod.
Dejé instalado también el Symantec por las dudas y me encuentra y me borra un virus que está en la cartpeta de symantec de all user que es el W32.Sbybot.Worm

Si tienen alguna sugerencia soy todo oidos, pero yo diría que den por cerrado el caso. Nuevamente Gracias por su colaboracion