Saludos;

Ahi va mi problema, a ver si alguien puede ayudarme.

Tengo una red cn varios pc's infectados. Unos pocos (4) se reinician al cabo de 1 minuto despues de que salga un mensaje 'guarde los datos...se reiniciara en 1 minuto.../service.exe'
Parecia tener toda la pinta del Sasser o tal vez el Blaster, pero en pandasecurity me baje los parches especiales contra tales virus y nada.
Instale Panda 2008 + Firewall y nada.
Incluso pasé algunos de sus archivos en www.virustotal.com tales como lsass.exe o smss.exe...pero todo limpio me decian.

Creo q puede tratarse de algun tipo de ataque via recurso compartido (tienen unidad de red todos y se ven entre ellos)
Aquí os adjunto el log del Hijackthis de uno de los pc's, justo despues de salir el mensaje.

Gracias, un saludo


Logfile of HijackThis v1.97.7
Scan saved at 12:56:33, on 07/11/2007
Platform: Windows 2000 SP3 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\SYSTEM32\winlogon.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\Archivos de programa\Panda Security\Panda Antivirus + Firewall 2008\pavsrv50.exe
C:\Archivos de programa\Panda Security\Panda Antivirus + Firewall 2008\AVENGINE.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\svchost.exe
C:\Archivos de programa\Panda Security\Panda Antivirus + Firewall 2008\PsCtrls.exe
C:\Archivos de programa\Panda Security\Panda Antivirus + Firewall 2008\PavFnSvr.exe
C:\Archivos de programa\Archivos comunes\Panda Software\PavShld\pavprsrv.exe
c:\archivos de programa\panda security\panda antivirus + firewall 2008\firewall\PSHOST.EXE
C:\Archivos de programa\Panda Security\Panda Antivirus + Firewall 2008\PsImSvc.exe
C:\WINDOWS\system32\regsvc.exe
C:\WINDOWS\system32\MSTask.exe
C:\WINDOWS\System32\WBEM\WinMgmt.exe
C:\WINDOWS\system32\mspmspsv.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Archivos de programa\Panda Security\Panda Antivirus + Firewall 2008\APVXDWIN.EXE
C:\WINDOWS\system32\internat.exe
C:\ARCHIV~1\MICROS~1\Office\OUTLOOK.EXE
C:\Archivos de programa\Panda Security\Panda Antivirus + Firewall 2008\WebProxy.exe
C:\Archivos de programa\Archivos comunes\System\MAPI\3082\nt\MAPISP32.EXE
F:\sosmatic\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://spanish.ircfast.com/index.php?rvs=hompag
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\WINDOWS\SYSTEM\blank.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARCHIV~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [QuickTime Task] 'C:\Archivos de programa\QuickTime\qttask.exe' -atboottime
O4 - HKLM\..\Run: [APVXDWIN] 'C:\Archivos de programa\Panda Security\Panda Antivirus + Firewall 2008\APVXDWIN.EXE' /s
O4 - HKCU\..\Run: [internat.exe] internat.exe
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O10 - Unknown file in Winsock LSP: c:\archivos de programa\panda security\panda antivirus + firewall 2008\pavlsp.dll
O10 - Unknown file in Winsock LSP: c:\archivos de programa\panda security\panda antivirus + firewall 2008\pavlsp.dll
O10 - Unknown file in Winsock LSP: c:\archivos de programa\panda security\panda antivirus + firewall 2008\pavlsp.dll
O10 - Unknown file in Winsock LSP: c:\archivos de programa\panda security\panda antivirus + firewall 2008\pavlsp.dll
O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - http://www.apple.com/qtactivex/qtplugin.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} - http://v4.windowsupdate.microsoft.com/CAB/...8467.0293171296
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwa...ash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{12BEECEB-B5CB-4E99-B18B-EC2F2682310B}: NameServer = 194.224.52.4,194.224.52.6
O17 - HKLM\System\CS1\Services\Tcpip\..\{12BEECEB-B5CB-4E99-B18B-EC2F2682310B}: NameServer = 194.224.52.4,194.224.52.6
O17 - HKLM\System\CS2\Services\Tcpip\..\{12BEECEB-B5CB-4E99-B18B-EC2F2682310B}: NameServer = 194.224.52.4,194.224.52.6

Baja la última versión del hijack:
http://www.trucoswindows.net/descargar-hijackthis-87.html
Deberás registrarte en la web para bajar el Hijackthis ya que tiene un registro distinto al del foro.
Salu2
Caito