elemento sospecho en el inicioCerrado

Question

me traigo en el pen drive cuando vengo del ciber dos archoivos
autorun.inf
ntrun.exe
y al colcar el pen drive en otra maquina la infecta.
me crea en c:\windows\system32 un archivo csrss.exe y lo ejecuta...
cierro este proceso y elimino el archivo..
entonces ya puedo eliminar
autorun.inf
ntrun.exe
del pen-drive sin que se vuelvan a generar..
pero despues cuando inicio el sistema me sale el cartel de que no encuentra csrss.exe para ejecutarlo.
miro el msconfig pero no encuentro esa entrada :(
como la quito? espero se entienda

persa · Accepted Answer

tengo un maldito problema que no lo e podido solucionar pero no pasa na
  cuando me meto a alguna carpeta o alguna cosa me sale 
            HP Smart Web Printing abajo sale 
recopilando informacion necesaria y empiesa a cargar y cuando carga
sale La funcion que esta intentando usar se encuentra en un CD-ROM o en otro 
disco extraible que no esta disponible
 
  Inserte disco·HP Smart Web Printing· y haga clic en aceptar 

   y a los lados sale Aceptar, Cancelar y Examinar  

si apreto aceptar me sale No se pudo encontrar la ruta de acceso·1·.Compruebe si dispone
de acceso a esta ubicacion y vuelva a intertarlo o, bien pruebe a buscar el paquete de instalacion
·SmartWebPrinting.msi· en un carpeta desde la que pueda instalar el producto HP Smart Web Printing.

si apreto cancelar me sale la misma cosa de cargar y me vuelve a salir lo mismo pero si aprieto
cancelar artas veces seguidas ai me mete a la carpeta.

y si aprietp examinar me sale para la buscar la carpeta por todo el escritorio o claramente examino

                                si se que me diran que me consiga el CD-ROM
                                   lo qur yo quiero como puedo sacer eso sin
                                          el CD-ROM


                        por fe ayuda!!

Lunatic · Answer

Buscate un explorador de procesos en la web hay unos muy buenos y te permiten comprobar la autenticidad del programa si es de microsoft.. ademas creo que ese es un programa de sistema de microsoft asi que dejalo ahi!!!

Thierry · Answer

Que tal , tengo el mismo problema , se me infecto el Pendrive con este virus que ni el Karspesky ni el Nod32 lo detectan , no he probado con otros antivirus , pero se ve que es bastante dificil de sacar..

Master4 · Answer

Probaste con AVG antivirus
Avisame

Saludos

Cris · Answer

Tengo el mismo problema con ese archivo, ademaseste archivo NO es del sistema, es un virus , si algien sabe como eliminarlo, sería de gran auda k lo diga como

Nero8 · Answer

Hola

Yo tambien tengo el mismo problema y con el mismo archivo.Alguien que nos ayude.

Thierry · Answer

Buenas gentes , estube viendo bien el tema del virus y vi como poder sacarlo por lo menos en la mayoria de los casos

No lo detecta NINGUN antivuris , ni el AVG y KArspersky ni NOD 32 y todos actualizados ..

Infecta los PEN drive en un segundo .. y si tenes auto run activado cuando insertas el pen automaticamente se infecta la maquina ..

Primero hay que entrar en modo a prueba de errores

y borrar el siguiente archivo

C:\WINDOWS\system32\csrcs.exe

despues borrar del registro el archivo con el path o sea buscar con el regedit el archivo y borrarlo de donde este por que inicia con el sistema , creo que aparece asi en el registro

explorer C:\WINDOWS\system32\csrcs.exe

puede llegar a aparecer cuando apenas se inicie el sistema el error que falta ese archivo , no hay q preocuparse por que no es un archivo del sistema si no el virus ...

A todo esto tienen que desactivar el inicio automatico de los CDS que eso lo pueden buscar en el google -

Hay varios archivos que hay borrar que estan ocultos en los discos y en el Pen drive ..

hk

NTrun.exe

esos dos archivos , el primero es inofensivo , el sengundo esta en el directorio raiz del pendrive y tambien hay un autorun que lo carga , eliminarlo tambien , acuerdense que esta oculto ...

Cualquier duda me dejan un mensaje por aca que a la brevedad lo contesto .. 

pd: tengo el virus encapsulado en un archivo , ya veo si lo mando a NOD o a Karpesky asi lo analizan por que no lo detecta ninguno ,..

Saludos desde Argentina 

Thierry

Thierry · Answer

PD : cuando borren del registro el inicio del archivo C:\WINDOWS\system32\csrcs.exe  ya no les aparecera el error que falta ese archivo y se solucionara el problema , 
acuerdense de borrar autorun.inf  y ntrun.exe que son los que se encargan de cargar el virus y estan ocultos en el directorio raiz del pen y del disco rigido ..

goonZaa · Answer

se lo borra sacando desde el registro de windows...
ejecuta el regedit, buscalo y sacalo.-
un abrazo...










aprenDi a toCar fonDo y subir de un solo saqeeeeeee!!!

Frutaa · Answer

Chee,, yo tngo el mismo problema... como se entra en modo prueba de errores? jeeje... tngo menos pc... 
saluuuuuudos...

Master4 · Answer

Hola
cuando reinicies la PC, cuando termina de hacer psot y ahi tenes que presiona la tecla F8. Te va aparecer una lista , tiene que estar la opcion que queres.

Frutaa · Answer

no me aparece a mi ese archivo cndo abro en modo prueba d errores :S
nose q onda... me aparece otro archivo csrss.exe,, mmm eso es normal? jejee

Gonzalofa · Answer

Frutaa, el archivo csrss.exe si es uno archivo de windows, no te asustes, la cuestión es si ese mismo esta infectado, sino todo otro que tenga un nombre similar, de cabeza que se trata de un virus. Gracias Thierry por comentar como eliminarlo, un primo me ha estado preguntando todo el dia y ahora se que contestarle.

Phyro · Answer

muchas gracias, en cuanto vuelva a casa lo pruebo, me tiene podrido este ntrun


gracuas otra vez Thierry

SABRY · Answer

estoy en la misma,probe todo lo que dicen y nada!!!ya ne canse no quiero formatear  la maq xq tengo la maq en garantia y si lo hago yo la pierdo
Una Solucion Porfa!!!!

chonza · Answer

Hola, yo tengo el mismo problema.. me aparece el error de windows que dice que no puede encontrar el archivo csrcs.exe. Probe con la solucion dada por thierry, pero no me aparece el csrcs.exe en la carpeta SYSTEM32 (no, no esta oculto); borre los registros en modo a prueba de fallos como aconseja, pero el problema persiste, que hago?

facundo · Answer

En el registro queda una clave escondida, se encuentra en una que se llama Shell, que arranca cuando inicia windows, como valor tiene "Explorer.exe csrcs.exe"
Se soluciona borrando solamente la parte que apunta al virus, o sea, quedaria "Esplorer.exe" solamente.
Esa fue la manera en que le solucione el problema a un primo.
Espero que les sirva.
Lastima no tener mas datos, sobre en que lugar especifica del registro se encuentra
Suerte

facundo · Answer

Me olvidaba, eso es para cuando ya hicieron todos los pasos anteriores, o sea que el error sale xq el virus ya fue eliminado pero queda algo que intenta inicializarlo cuando arranca Windows.

conejillo de india · Answer

Hey amigos he leido muchisimo aceca de este virus, pero lo q me sucede a mi es un pococ diferente cuando nusco en regedit el archivo csrcs.exe no lo encuentra, pero si busco solo csrcs encuentra dos registros y no se si borrarlos, y ese ijuemadre mensaje me tiene mamao... porfavor alguien q tenga mas ki que yo en esto de la informatica q me ayude¡¡¡¡¡¡¡¡¡¡ gracias es urgente..

dacasa · Answer

Hola a todos tengo dos grandes virus en service.exe y csrcs.exe y el HijackThis me arrojo el siguiente resultado:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 08:22:51 p.m., on 27/06/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5730.0011)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.exe
C:\Archivos de programa\Bonjour\mDNSResponder.exe
C:\WINDOWS\system32\svchost.exe
C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\System32\svchost.exe
C:\Archivos de programa\Eset
od32krn.exe
C:\WINDOWS\System32\svchost.exe
C:\Archivos de programa\CyberLink\Shared Files\RichVideo.exe
C:\WINDOWS\system32\svchost.exe
C:\Archivos de programa\Eset
od32kui.exe
C:\Archivos de programa\Musicmatch\Musicmatch Jukebox\mm_tray.exe
C:\Archivos de programa\HP\HP Software Update\HPWuSchd2.exe
C:\Archivos de programa\Musicmatch\Musicmatch Jukebox\mmtask.exe
C:\Archivos de programa\Java\j2re1.4.2_05\bin\jusched.exe
C:\Archivos de programa\Search Settings\SearchSettings.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Archivos de programa\MSN Messenger\MsnMsgr.Exe
C:\Archivos de programa\Microsoft Encarta\Encarta 2007 Biblioteca Premium DVD\EDICT.EXE
C:\Archivos de programa\Messenger\msmsgs.exe
C:\Archivos de programa\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE
C:\Archivos de programa\Internet Explorer\IEXPLORE.EXE
C:\WINDOWS\system32\wuauclt.exe
C:\Documents and Settings\user1\Escritorio\HiJackThis.exe
C:\Archivos de programa\MSN Messenger\usnsvc.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://descargar.mp3.es/index.php?rvs=hompag
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=B2B44482E20346F1BEEF6A9C5BB6F6ED
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=B2B44482E20346F1BEEF6A9C5BB6F6ED
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://g.msn.es/8SEESES030000TBR/FRWCompleteTBSiteFinalMSGR
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
R3 - URLSearchHook: (no name) - {9CB65206-89C4-402c-BA80-02D8C59F9B1D} - (no file)
R3 - URLSearchHook: SearchSettings Class - {E312764E-7706-43F1-8DAB-FCDD2B1E416D} - (no file)
F2 - REG:system.ini: Shell=Explorer.exe csrcs.exe
F3 - REG:win.ini: load=C:\WINDOWS\service.exe
O2 - BHO: Aplicación auxiliar de vínculos de Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Archivos comunes\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.6.0_05\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Complemento del Asistente para Internet de Encarta - {955BE0B8-BC85-4CAF-856E-8E0D8B610560} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Encarta Web Companion\2007\ENCWCBAR.DLL
O2 - BHO: (no name) - {9CB65201-89C4-402c-BA80-02D8C59F9B1D} - (no file)
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar2.dll
O2 - BHO: CPrintEnhancer Object - {AE84A6AA-A333-4B92-B276-C11E2212E4FE} - C:\Archivos de programa\HP\Smart Web Printing\SmartWebPrinting.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Archivos de programa\Google\GoogleToolbarNotifier\3.0.1225.9868\swg.dll
O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Archivos de programa\Windows Live Toolbar\msntb.dll
O2 - BHO: SearchSettings Class - {E312764E-7706-43F1-8DAB-FCDD2B1E416D} - (no file)
O2 - BHO: (no name) - {FE063DB1-4EC0-403e-8DD8-394C54984B2C} - (no file)
O3 - Toolbar: Asistente para Internet de Encarta - {147D6308-0614-4112-89B1-31402F9B82C4} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Encarta Web Companion\2007\ENCWCBAR.DLL
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Archivos de programa\Windows Live Toolbar\msntb.dll
O3 - Toolbar: (no name) - {FE063DB9-4EC0-403e-8DD8-394C54984B2C} - (no file)
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar2.dll
O3 - Toolbar: (no name) - {C17590D2-ECB4-4b15-8820-F58798DCC118} - (no file)
O4 - HKLM\..\Run: [nod32kui] "C:\Archivos de programa\Eset
od32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [MMTray] "C:\Archivos de programa\Musicmatch\Musicmatch Jukebox\mm_tray.exe"
O4 - HKLM\..\Run: [HP Software Update] C:\Archivos de programa\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [mmtask] C:\Archivos de programa\Musicmatch\Musicmatch Jukebox\mmtask.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Archivos de programa\Java\j2re1.4.2_05\bin\jusched.exe
O4 - HKLM\..\Run: [SearchSettings] C:\Archivos de programa\Search Settings\SearchSettings.exe
O4 - HKLM\..\Run: [ISUSPM Startup] "C:\Archivos de programa\Archivos comunes\InstallShield\UpdateService\isuspm.exe" -startup
O4 - HKLM\..\Run: [CAMP SHIM EXIT HECK] C:\Documents and Settings\All Users\Datos de programa\That Face Camp Shim\platform wait.exe
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Archivos de programa\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [E07EXLRD_455656] "C:\Archivos de programa\Microsoft Encarta\Encarta 2007 Biblioteca Premium DVD\EDICT.EXE" -m
O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Anti spam] C:\DOCUME~1\user1\DATOSD~1\FINDME~1\internetstyleless.exe
O4 - HKCU\..\Run: [swg] C:\Archivos de programa\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [ccleaner] "C:\Archivos de programa\CCleaner\CCleaner.exe" /AUTO
O4 - HKLM\..\Policies\Explorer\Run: [csrcs] C:\WINDOWS\system32\csrcs.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICIO LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Servicio de red')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: &Webshots Photo Search - res://C:\Archivos de programa\Webshots\WSToolbar4IE.dll/MENUSEARCH.HTM
O8 - Extra context menu item: &Windows Live Search - res://C:\Archivos de programa\Windows Live Toolbar\msntb.dll/search.htm
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~3\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Barra de búsqueda de Encarta - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://download.microsoft.com/download/E/5/6/E5611B10-0D6D-4117-8430-A67417AA88CD/LegitCheckControl.cab
O23 - Service: Autodesk Licensing Service - Autodesk - C:\Archivos de programa\Archivos comunes\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Archivos de programa\Bonjour\mDNSResponder.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Archivos de programa\Archivos comunes\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Archivos de programa\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: NBService - Nero AG - C:\Archivos de programa\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Archivos de programa\Archivos comunes\Ahead\Lib\NMIndexingService.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset  - C:\Archivos de programa\Eset
od32krn.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Archivos de programa\CyberLink\Shared Files\RichVideo.exe


Por favor ayudenme a eliminar estos virus lo mas pronto posible

Jhonva · Answer

Les agradezco en el alma pude solucionar el problema del pantallazo csrsc de mi pc gracias a su valiosa colaboracion en especial a thierry una ayuda espectacular

nepapalo · Answer

utiliza el elistara que es facil bajarlo en la web, hazlo correr despues reinicias y luego reiniciado corre el nod32 por siacaso al elistara se le paso algo, de ahi en adelante el nod lo detectara y llo borrara.
bye.

IRREVERSIBLE · Answer

HOLA A TODOS.QUERIA COMENTARES QUE NO BORREN NADA DE REGISTRO SI BORAN LAS DOS ENTRTADAS DE ESE MALDITO VIRUS TENDRAN QUE FORMATAER LO ELIMIMINAN Y REINICIAN TE SALTA UN AERO QUE NO TIENE ESE ARCHIBO QUE BORARON POR LAS DUDAS ABISO .SALUDOS

ctm · Answer

hoal a todso
mirne mi me paso lomismo hace tmepo
y lo sake con el nod32
lo actualicé, lo reinicieborre los archivos infectados 
sake la ruta del antivirus
lop qpasa
es q te infetala memoria operativa
tonces desinfectai
reiniciai lo vuelves a hacer y te desaparece

cucumber · Answer

bueca un antivirus para usb que se llama mx.one.exe le se ejecuta cuando entra la usb por dejaul 
posterior mente crea un archivo .bat para que mires los archivos que se encuentran ocultos dale atributos de la siguente manera:

si tu usb esta en el disco d, e, f, modificas la letra del disco conforme es

cd F:
attrib autorun.inf -a -h -s -r
attrib -a -h -s -r *.exe
attrib -a -h -s -r *.bat
attrib -a -h -s -r *.doc
attrib -a -h -s -r *.xls
attrib -a -h -s -r *.txt
attrib -a -h -s -r *.dll
attrib -a -h -s -r *.jpg
attrib -a -h -s -r *.ico
attrib -a -h -s -r *.gif
attrib -a -h -s -r *.rar
attrib -a -h -s -r *.cmd
attrib -a -h -s -r *.com

posteriormente se te mostraran los archivos ocultos y podras eliminarlos manualmente
y si no en el mismo bat checas las extenciones con que se encuentran los archivos con virus
posterior mente al terminar ese .bat le das un espacio y pones 

del /f /s /q autorun.inf
del autorun.inf /f /s /q 
del /f /s /q *.com
del /f /s /q rqq2v.bat

si el virus tiene teminacion .com, o se llama rqq2.bat o como se llame el archivo lo pones al final de donde se encuetra la palabra de abajo y si son mas de 2 copea y pegas los archivos del/f/s/q para que borres los archivos
sacas la memoria y la buelves a introducir para que el mx.one.exe rebice de nueva cuenta la usb y mires que esta limpia, esto es para las unidades usb.

Elemento sospecho en el inicio

25 respuestas

Discusiones similares

¡Suscríbete a nuestra Newsletter!