| sinrazon_1 |  |
|
2011-02-21 06:58 - Respuestas: 4 - Tema nº: 2764077
Pentium D 3.20 Windows XP SP2
Hola, qué tal! Tengo un problema con Windows XP SP2 que paso a detallar, esperando que puedan darme una ayuda.
Mi PC se infectó con un rootkit y lo borré manualmente (inicio, servicios, registro) y no quedó rastro.. Al estar por los servicios desactivé algunos que indicaban ciertas webs como "innecesarios", además de borrar temporales y limpiar/reparar registro (ccleaner, argente y glary utilities). Aproveché para desinstalar algunos programas y reinicié normalmente.
Esta vez el inicio se tardó 1000% más de lo normal, además de que la luz de "carga" de la CPU estaba todo el rato encendida (*más detalles abajo). Pensé que reparando con el CD de windows se solucionaría al haberse dañado algo, pero ni el mismo chkdsk detectó errores (vía scandisk, reparacion desde el CD ni consola de recuperación). Luego para limpiar la memoria virtual coloqué el valor de la clave del registro ClearPageFileAtShutdown=1 *****************************, sin embargo lo que conseguí es que la terrible demora afecte también al apagado del sistema. Volví el valor de esta clave a 0, y el apagado volvió a su velocidad normalidad, pero el encendido y el uso del SO siguieron con los problemas.
Añado que esta última semana he pasado MBAM, Dr.Web, NOD32 Online, SpyBot, Gmer, TDSSKiller, UnHackMe, los cuales han detectado un par de virus de algún que otro keygen que tenía por ahí, pero nada más. También he actualizado con windows update. Esta enorme lentitud del sistema se repite en modo seguro también.
*Resumen de "síntomas":
1. Inicio de windows súper lento (tanto en pantalla de carga como el escritorio), con la luz de carga de la cpu encendida en todo momento.
2. Cuando termina de cargar windows (la luz de carga se apaga), cada vez que abro un programa, este demora montones en abrirse y ejecutarse, pero luego de un rato abierto vuelve a ponerse "rápido".
3. Cuando se inicia windows o se abre un nuevo programa, el uso de CPU se eleva hasta 100%. Cualquier nuevo programa que abra, sea notepad o incluso el mismo taskmgr lo elevan al 100% y luego bajan.
4. Desde que ocurrió esto, en el taskmgr veo que ningún proceso tiene un usuario asociado (antes salia system o hp-propietario) excepto el proceso inactivo del sistema. Esto se me hace particularmente raro.
La última semana he estado pasando los antivirus/antimalwares/antirootkits señalados, los cuales demoran horrores por los problemas que hay, y como no se han detectado infecciones (yo mismo lo corroboro manualmente) descarto algún virus. Le di una limpieza a nivel hw a la cpu pensando que va por ahí, pero es extraño que justo se dañe el hw luego de eliminar un virus (la limpieza tampoco funcionó). Asumo que es algún problema de configuración o daño del mismo windows, e intento dar con la solución "manual", tanto para evitar el formateo como para lograr aprender del error.
Disculpen el tremendo ladrillo pero he tratado de ser lo más claro posible. Estoy a la orden, gracias!
-
[Mensaje editado por swissman con fecha: 21-02-2011 07:11:52]. | |
|
|
| swissman |  |
|
Re: Windows Dañado/Desconfigurado - 2011-02-21 07:12 - Respuesta 2
hola, arranca en modo normal, descarga Hijackthis 2.0.4 , lo instalas, ejecutas y pulsa “do a system scan and save a log”, se te abrirá un fichero txt, el contenido del cual debes copiar al portapapeles (ctrl c) y pegas a continuación(ctrl v).
(Obtener el log del Hijackthis)
Te ha gustado recibir ayuda? Pues a nosotros nos encanta cuando nos dicen que ha servido, e incluso si no ha servido. Piénsalo, es un minuto de TU tiempo a cambio de MUCHO tiempo del nuestro.
Si quieres una respuesta acertada, haz primero la pregunta de forma correcta, no adivinamos ni vemos el problema que tienes. Si eres de los que escupen la pregunta o crees que somos maquinas, aprende un poco mas leyendo
http://es.wikipedia.org/wiki/Foro_(Internet) | |
|
|
| sinrazon_1 | |
|
Re: Windows Dañado/Desconfigurado - 2011-02-21 07:36 - Respuesta 3
Swissman gracias por la rapidez, te dejo el log a continuación:
Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 01:32:27 a.m., on 21/02/2011
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal
Running processes:
C:\windows\System32\smss.exe
C:\windows\system32\winlogon.exe
C:\windows\system32\services.exe
C:\windows\system32\lsass.exe
C:\windows\system32\svchost.exe
C:\Archivos de programa\COMODO\COMODO Internet Security\cmdagent.exe
C:\windows\system32\svchost.exe
C:\windows\system32\crypserv.exe
C:\windows\system32\svchost.exe
C:\windows\Explorer.EXE
C:\windows\RTHDCPL.EXE
C:\Archivos de programa\COMODO\COMODO Internet Security\cfp.exe
C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe
C:\windows\system32\ctfmon.exe
C:\HP\KBD\KBD.EXE
C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe
c:\windows\system\hpsysdrv.exe
C:\Archivos de programa\HiJackThis\Trend Micro\HiJackThis\HiJackThis.exe
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
R3 - Default URLSearchHook is missing
O4 - HKLM\..\Run: [HPBootOp] "C:\Archivos de programa\Hewlett-Packard\HP Boot Optimizer\HPBootOp.exe" /run
O4 - HKLM\..\Run: [regcmdcons] c:\hp\bin\cloaker.exe c:\hp\bin\cmdcons.cmd
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [COMODO Internet Security] "C:\Archivos de programa\COMODO\COMODO Internet Security\cfp.exe" -h
O4 - HKLM\..\Run: [TkBellExe] "C:\Archivos de programa\Archivos comunes\Real\Update_OB\realsched.exe" -osboot
O4 - HKCU\..\Run: [ctfmon.exe] C:\windows\system32\ctfmon.exe
O4 - .DEFAULT User Startup: Pin.lnk = C:\hp\bin\CLOAKER.EXE (User 'Default user')
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~4\Office10\EXCEL.EXE/3000
O9 - Extra button: Ayuda para la conexión - {E2D4D26B-0180-43a4-B05F-462D6D54C789} - C:\WINDOWS\PCHEALTH\HELPCTR\Vendors\CN=Hewlett-Packard,L=Cupertino,S=Ca,C=US\IEButton\support.htm
O9 - Extra 'Tools' menuitem: Ayuda para la conexión - {E2D4D26B-0180-43a4-B05F-462D6D54C789} - C:\WINDOWS\PCHEALTH\HELPCTR\Vendors\CN=Hewlett-Packard,L=Cupertino,S=Ca,C=US\IEButton\support.htm
O16 - DPF: {20A60F0D-9AFA-4515-A0FD-83BD84642501} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab56986.cab
O16 - DPF: {4A85DBE0-BFB2-4119-8401-186A7C6EB653} - http://messenger.zone.msn.com/MessengerGamesContent/GameContent/es/mjss/MJSS.cab109791.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by101fd.bay101.hotmail.msn.com/resources/MsnPUpld.cab
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/MessengerGamesContent/GameContent/es/uno1/GAME_UNO1.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1288500247656
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1288500236656
O16 - DPF: {7530BFB8-7293-4D34-9923-61A11451AFC5} (OnlineScanner Control) - http://download.eset.com/special/eos/OnlineScanner.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} - http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab
O16 - DPF: {F5A7706B-B9C0-4C89-A715-7A0C6B05DD48} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab56986.cab
O16 - DPF: {F8C5C0F1-D884-43EB-A5A0-9E1C4A102FA8} (GoPetsWeb Control) - https://secure.gopetslive.com/dev/GoPetsWeb.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{EE767B52-F17B-4FC4-909E-6FEF47CE6E14}: NameServer = 156.154.70.25,156.154.71.25
O20 - AppInit_DLLs: C:\windows\system32\guard32.dll
O22 - SharedTaskScheduler: Precargador Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\windows\system32\browseui.dll
O22 - SharedTaskScheduler: Demonio de caché de las categorías de componente - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\windows\system32\browseui.dll
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Archivos de programa\Lavasoft\Ad-Aware\aawservice.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\windows\system32\Ati2evxx.exe
O23 - Service: Autodesk Licensing Service - Autodesk, Inc. - C:\Archivos de programa\Archivos comunes\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: COMODO Internet Security Helper Service (cmdAgent) - COMODO - C:\Archivos de programa\COMODO\COMODO Internet Security\cmdagent.exe
O23 - Service: Crypkey License - Kenonic Controls Ltd. - C:\windows\SYSTEM32\crypserv.exe
O23 - Service: Servicio del administrador de discos lógicos (dmadmin) - Unknown owner - C:\windows\System32\dmadmin.exe
O23 - Service: Registro de sucesos (Eventlog) - Unknown owner - C:\windows\system32\services.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Archivos de programa\Archivos comunes\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Archivos de programa\Archivos comunes\LightScribe\LSSrvc.exe
O23 - Service: Plug and Play (PlugPlay) - Unknown owner - C:\windows\system32\services.exe
O23 - Service: Tarjeta inteligente (SCardSvr) - Unknown owner - C:\windows\System32\SCardSvr.exe
O23 - Service: Registros y alertas de rendimiento (SysmonLog) - Unknown owner - C:\windows\system32\smlogsvc.exe
O23 - Service: Instantáneas de volumen (VSS) - Unknown owner - C:\windows\System32\vssvc.exe
O23 - Service: Adaptador de rendimiento de WMI (WmiApSrv) - Unknown owner - C:\WINDOWS\system32\wbem\wmiapsrv.exe
End of file - 6616 bytes
| |
|
|
| swissman | |
|
Re: Windows Dañado/Desconfigurado - 2011-02-21 13:58 - Respuesta 4
en el log no veo nada malo, ni muchas cosas. Es posible que al eliminar el rootkit se eliminara algo.
Yo haria una de las dos cosas: o restaurar sistema a antes del roortkit, si sabes cuando fue, o bien reparar sistema. Solo debes tener precaucion con los documentos que tengas en mis documentos y escritorio, haz una copia de seguridada antes, o los copias en algun lugar de c:\.
Te ha gustado recibir ayuda? Pues a nosotros nos encanta cuando nos dicen que ha servido, e incluso si no ha servido. Piénsalo, es un minuto de TU tiempo a cambio de MUCHO tiempo del nuestro.
Si quieres una respuesta acertada, haz primero la pregunta de forma correcta, no adivinamos ni vemos el problema que tienes. Si eres de los que escupen la pregunta o crees que somos maquinas, aprende un poco mas leyendo
http://es.wikipedia.org/wiki/Foro_(Internet) | |
|
|
| sinrazon_1 | |
|
Re: Windows Dañado/Desconfigurado - 2011-02-22 05:10 - Respuesta 5
Hola swissman, he intentado reparar el windows con un CD de XPHomeSP2 que tengo pero luego de darle instalar, aceptar términos, no me sale la clasica opcion de reparar, sino instalar y volver a ejecutar. Usando el mismo CD y mediante la consola de recuperacion ejecuto el chkdsk pero no detecta nada malo.
¿Que otra opcion tengo para poder reparar?
Añado que hoy buscando en google he dejado prácticamente todos los servicios en su condición "por default" y el problema del nombre de los usuarios en el administrador de tareas ya está arreglado. Pero la enorme lentitud sigue, por lo q asumo q el problema es de configuracion/daño en algun sector.
Gracias otra vez por la ayuda, y sigo a la orden! | |
|
|
|
