virus? gusano o troyano?

[AGuiLa-]

Hola, tengo un problema ultimamente mi pc se ha estado bloqueando el REGEDIT solo el regedit, y cuando pongo el ctrl+alt+supr salen 2 nombres los cuales nunca vi q son "winlogon.exe y lsass.exe". Frencuentemente juego cs y note el cambio a ke la perfomance comenzo a bajar los FPS, y qise entrar al regedit y no pude sale como siempre q ha sido deshabilitado por el administrador.

Bueno qise pasar el Hijackthis y cada vez q pongo scan y save logfile o tan solo scan en pleno proceso se cierra sesion y se reinicia, eh tratado de restaurar sistema y tampoco surge efecto sale restauracion incompleta qisiera saber sus recomendaciones de como eliminar este virus o gusano GRACIAS.

[AGuiLa-]

nadie :(?

[Solidus J2K]

Prueba correr el Hijacthis en modo a prueba de fallos.

(Lo de aqui en adelante es de forospyware.com)

Descripción:
winlogon.exe es un proceso que pertenece al encargado de la conexión de Windows. Maneja la conexión y los procedimientos del registro de estado de la máquina en tu sistema. Este programa es importante para el funcionamiento estable y seguro de tu computadora y no debe ser terminado.

Nota: winlogon.exe es un proceso que se coloca como Trojan. Este Trojan permite que los atacantes tengan acceso a tu computadora de las posiciones remotas, robando contraseñas, actividades bancarias del Internet y datos personales. Este proceso es un riesgo de la seguridad y se debe quitar de tu sistema.

Info.1 (http://translate.google.com/translat...r%3D% 26sa%3DG)
Info.2 (http://translate.google.com/translat...r%3D% 26sa%3DG)

Nota: El archivo de winlogon.exe está situado en la carpeta de C:\Windows\System32 y si lo encuentras en otro lado que no corresponde entonces es un malware.

Es Lsass.exe o Isass.exe?

Si es el 2do:

Es un malware ¿porque? porque el legitimo de windows empieza con la letra l y se debe ver haci lsass.exe y como tu lo escribes primer letra que sale es una i(como lo escribiste esta en Mayuscula ) y ese proceso es nocivo.

IRC/SdBot.YK. Se copia como "isass.exe" (http://www.vsantivirus.com/irc-sdbot-yk.htm)
isass o isass.exe (http://translate.google.com/translat...r%3D%26s a%3DG)

hace estos pasos:

Paso 1.-Descarga un Firewall (http://www.infospyware.com/Firewall/),ve esta encuesta ¿ Cual es el Mejor Firewall (cortafuegos) ? (http://www.forospyware.com/t56.html)

Paso 2.-Visita Windows Update (http://update.microsoft.com/windowsu...ult.aspx?ln=es) para que descargues las últimas actualizaciones criticas de seguridad e instalar el PS2, y Aquí (http://www.microsoft.com/windows/ie_...d/default.mspx ) para el internet explorer.

Paso 3.-Apaga Restaurar Sistema (http://www.forospyware.com/45-post2.html)

Paso 4.-Escanea tu pc con 2 Pasa dos de estos Antivirus Online (http://www.forospyware.com/foro-de-v...s/aviso-7.html) (ewido y kaspersky).si hay algo que no te eliminen lo pones aquí con su ruta completa.

Elimina todas las cuarentenas que tengas y vacia la papelera tambien.

Paso 5.-pasa el RegSeeker (http://www.forospyware.com/t713.html) para Limpiar el registro pásalo hasta q no quede nada para eliminar.

Deshaz los pasos 3

[AGuiLa-]

si es "Lsass.exe" , bueno trate de descargar el trial de kaspersky pero apenas inicio la descarga se reinicio, por ultimo a ke te refieres con "deshaz los pasos 3" de todas maneras gracias Solidus, tu siempre atento a estos problemas, ty.

[AGuiLa-]

hmm trate de descargar el firewall zone alarm y se reinicio apenas inicio la descarga no puedo descargar nada y cuando pongo el kaspersky scan online se cuelga =/.

[Mu_Alizee]

Hijacthis pasale Eso primero haci evitas que los Virus o Spywer inicien y no te dejen hacer Cualquier Cosa

[Solidus J2K]

Antes de hacer todo eso, hiciste lo que te dije primero, lo de ejecutar el hijackthis en modo a prueba de fallos?.

Procura bajar antitroyanos y las herramientas necesarias y desconéctate de la red, por si es un troyano que utiliza esa via.

[AGuiLa-]

si, puse el windows a modo de prueba e igual ejecute HJ y se reinicio apenas empezo el scan =/, ahora lo ultimo se me ha negado el acceso a internet mostrando conexion nula, estoy en cabinas posteando U_U.

TY

[Heichman]

si, puse el windows a modo de prueba e igual ejecute HJ y se reinicio apenas empezo el scan =/, ahora lo ultimo se me ha negado el acceso a internet mostrando conexion nula, estoy en cabinas posteando U_U.
TY

Cuando estas en modo a prueba de fallos de deshabilitan las funciones de red, a menos que hayas elegido la opción "Modo seguro con funciones de red" al arranque.

Acerca de lo del regedit, tengo una solución algo radical, crea una nueva cuenta de usuario y copia ahí tus documentos y/o archivos importantes para luego borrar la cuenta anterior y usar esa nueva cuenta. Probablemente haya una solución más directa pero si es que no hay otra opción podrías hacer lo que te digo.

PD: :? ¿Cómo puedes ser senior member con tan solo 15 posts?

[AGuiLa-]

claro puse a modo seguro y tb modo seguro con funcions red, pero luego ejecute windows xp normal osea con internet, y fue cuando baje el zone alarm y me recomendaba ver el VIDEO DE TUTORIAL y fue cunado ahi se fue el internet. lo de usuario lo voy a probar pero no corre ningun riesgo?

A verdad SOLIDUS si puse modo seguro y ejecute el HJ y apenas puse scan save log o scan se reinicio inmediatamente =/.

pd: soy senior member x la fecha de registrado xD

[AGuiLa-]

bueno en realidad estoy arto, cada cosa q qiero descargar siempre se reinicia eh intentado descargar el adware el spybot doctor etc etc, realmente no se que pueda ser.

alguna ayuda plz esto realmente fastidia.

ty

[Solidus J2K]

Podrías publicar los procesos que se están ejecutando en el administrador de tareas?

[AGuiLa-]

aqui esta, borre el nombre de usuario xq es algo privado.

http://img528.imageshack.us/my.php?i...6575154au0.jpg

[Solidus J2K]

mmm pues si, el winlogon.exe si mal no recuerdo es usado por el usuario SYSTEM (en el vista lo utiliza System, en el XP no me acuerdo jejej) ademas el services.exe no se ejecuta desde la cuenta del usuario y no se llaman asi sino MMC.exe, ahi tienes otro troyano.

Espérame un toque mientras chequeo la solución.

[AGuiLa-]

ty solidus (y)

[Solidus J2K]

Troj/Maran.A. Se distribuye como SERVICES.EXE
http://www.vsantivirus.com/maran-a.htm

Nombre: Troj/Maran.A
Tipo: Caballo de Troya
Alias: Maran, Trojan.Win32.Maran, Win32/Maran.A
Fecha: 16/jun/03
Tamaño: 387,072 bytes
Plataforma: Windows 32-bit

Para eliminar manualmente este troyano de un sistema infectado, siga estos pasos:

1. Detenga el proceso del virus en memoria:

b. en Windows NT/2000/XP pulse CTRL+SHIFT+ESC.

2. En ambos casos, en la lista de tareas, señale cualquiera de las siguientes opciones que pudieran aparecer:

SERVICES
SERVICES.EXE

3. Seleccione el botón de finalizar tarea.

Busca en:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run

Y verifica si hay alguna entrada que apunte a ese services.exe, si hay elimínalo. Busca también en HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run .

-----------------------------------------------------------------------------

Netsky.D (Peligrosidad: 2 - Baja) Winlogon.exe

Es un gusano más de la familia Netsky que se propaga a través de correo electrónico (en inglés y de asunto y contenido variables).
Ocasionalmente, en los sitemas infectados puede generar unos sonidos aleatorios y descorcentantes, aunque el gusano en sí no tiene efectos destructivos.
Borra entradas en el registro correspondientes a otros gusanos, en concreto Mydoom y Mimail.T

1. Si utiliza Windows Me o XP, y sabe cuándo se produjo la infección, puede usar la característica de Restauración del Sistema para eliminar el virus volviendo a un punto de restauración anterior a la infección. (Tenga en cuenta que se desharán los cambios de configuración de Windows y se eliminarán todos los archivos ejecutables que haya creado o descargado desde la fecha del punto de restauración) Si esto no es posible o no funciona es recomendable desactivar temporalmente la Restauración del Sistema antes de eliminar el virus por otros medios, ya que podría haberse creado una copia de seguridad del virus. Si necesita ayuda vea Deshabilitar restauración del sistema en Windows XP y Windows Me
2. Con un antivirus actualizado, localice todas las copias del virus en el disco duro de su PC. Si no dispone de antivirus, visite nuestra página de Antivirus gratuitos. Repare o borre el fichero infectado. Desde el Explorador de Windows, localice y borre los siguientes archivos:
   c:\windows\winlogon.exe
   IMPORTANTE: No borre C:\WINDOWS\SYSTEM32\WINLOGON.EXE, ya que es un archivo legítimo de Windows.
3. Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".
   
   Si el antivirus no puede reparar la infección o borrar los ficheros, puede ser debido a que el fichero está en uso por estar el virus en ejecución (residente en memoria).
   Nota: A Menudo los antivirus informan de que 'no puede reparar un fichero' en el caso de gusanos o troyanos debido a que no hay nada que reparar, simplemente hay que borrar el fichero.
4. En el caso de que no se pueda eliminar el fichero del virus, debe terminar manualmente el proceso en ejecución del virus. Abra el Administrador de tareas (presione Control+Mayúsculas+Esc). En Windows 98/Me seleccione el nombre del proceso y deténgalo. En Windows 2000/XP, en la pestaña 'Procesos' haga clic derecho en el proceso y seleccione 'Terminar Proceso'. A continuación vuelva a intentar el borrado o reparación del fichero.
5. A continuación hay que editar el registro para deshacer los cambios realizados por el virus. Si necesita información sobre cómo editar el registro puede ver esta guía de edición del registro o este vídeo de ayuda que ilustra el proceso. Sea extremadamente cuidadoso al manipular el registro. Si modifica ciertas claves de manera incorrecta puede dejar el sistema inutilizable. En concreto, para este gusano, navege en el panel izquierdo del editor hasta la clave:
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run
   y ahí, en el panel derecho, borre la entrada:
   "ICQ NET" = "%Windir%\winlogon.exe -stealth"
6. Reinicie su ordenador y explore todo el disco duro con un antivirus para asegurarse de la eliminación del virus. Si desactivó la restauración del sistema, recuerde volver a activarla.

Procura descargar el Kaspersky de otro lado e instálalo en tu Pc y ejecútalo.

[AGuiLa-]

no puedo cerrar el services.exe sale "este un proceso de sistema critico. El administrador de tareas no puede finalizar este proceso"

no puedo entrar a REGEDIT

[Heichman]

... lo de usuario lo voy a probar pero no corre ningun riesgo?
(...)
pd: soy senior member x la fecha de registrado xD

No hay ningún riesgo, lo peor que pasaría sería que se te olvide algún documento importante en una carpeta el usuario anterior.

PD: Interesante lo de senior member, yo pensé que requería los 50 posts, si o si.

no puedo cerrar el services.exe sale "este un proceso de sistema critico. El administrador de tareas no puede finalizar este proceso"

El "services.exe" como los otros procesos "winlogon.exe" y "lsass.exe" no es malware si es que se encuentra en la ruta "C\WINDOWS\system32".

[Solidus J2K]

el hecho que esté en la ruta windows\system32 no quita que no sea un malware, y los 2 .exe que tiene en sus procesos son recontra troyanos, como lo dije arriba esos 2 procesos no se ejecutan desde la cuenta del usuario sino desde system, y solamente aparece un winlogon.exe no 2.

[Heichman]

el hecho que esté en la ruta windows\system32 no quita que no sea un malware, y los 2 .exe que tiene en sus procesos son recontra troyanos, como lo dije arriba esos 2 procesos no se ejecutan desde la cuenta del usuario sino desde system, y solamente aparece un winlogon.exe no 2.

En general tienes razón, pero en casos particulares como con winlogon.exe si se cumple esta condición. Volviendo al tema, probablemente AGuiLa trató de finalizar el services.exe de SYSTEM y no el del usuario, por tal razón le salió ese mensaje de "proceso de sistema crítico".


Le recomendaría que revise la configuración de inicio del sistema en Inicio -> Ejecutar y ahí escribes "msconfig" (sin las comillas), ahí revisas la ficha Inicio.