Algo (o alguien) intenta apagarme el PC

[diucalonga]

Hola.

Hace un par de días, me aparece una ventana diciendo "Windows cerrará sesión en 1 minuto". La única manera de evitarlo es entrar a CMD y escribir "shutdown -a".
Cuando entro al visor de eventos, me aparece esto:

 

"El proceso C:\Windows\System32\shutdown.exe (XALITO) inició el Apagar del equipo XALITO en nombre del usuario Xalito\Gonzalo por el siguiente motivo: No se encontraron títulos para este motivo
 Código de motivo: 0x800000ff
 Tipo de apagado: Apagar
 Comentario:"

Ya me ha aparecido 2 veces en los últimos 30 minutos. Nadie tiene acceso remoto a mi PC (o eso creo), y no hay actualizaciones a instalar.
He pasado 2 antivirus (Malwarebytes y Kaspersky Online) y ambos arrojan 0 resultados.

¿Alguna idea?

Uso Win8.1.

 

Saludos.

[Piri]

Ese windows 8.1 lo compraste o lo validaste con algun crack? 

lei que algunos validadores de win 8.1 venian con ese problema

 

Lo otro es que alguien de la red te este enviando el comando  :ph34r: tienes mas pc conectados en la red? 

[diucalonga]

Ese windows 8.1 lo compraste o lo validaste con algun crack? 

lei que algunos validadores de win 8.1 venian con ese problema

 

Lo otro es que alguien de la red te este enviando el comando  :ph34r: tienes mas pc conectados en la red? 

 

Tengo una clave generada por el DreamSpark de mi Universidad. Y en todo caso, también tengo una clave original que compré cuando valía 15 dólares...

Como fuere, antes de que fuera 8.1, jamás me apareció este problema... pero tampoco apareció apenas actualicé, sino que comenzó hace menos de una semana.

Y si, hay varios otros computadores en mi red local. Voy a intentar un cambio de contraseña a ver si eso me soluciona el problema, aunque lo dudo.

[Piri]

Tengo una clave generada por el DreamSpark de mi Universidad. Y en todo caso, también tengo una clave original que compré cuando valía 15 dólares...

Como fuere, antes de que fuera 8.1, jamás me apareció este problema... pero tampoco apareció apenas actualicé, sino que comenzó hace menos de una semana.

Y si, hay varios otros computadores en mi red local. Voy a intentar un cambio de contraseña a ver si eso me soluciona el problema, aunque lo dudo.

Aah te conectas a la red de una universidad, seguramente no tienen bien configurado ese detalle y hace la red insegura

 

pd: el comando funciona asi

 

shutdown

Ahora podemos pasar al comando en sí mismo. 

El comando es de este tipo: shutdown -s -f -t 30 - m \\192.168.3.4

• -s: Apaga el PC
• -f: Fuerza el cierre de las aplicaciones que se están ejecutando
• -t xx: Define una cuenta en segundos
• -m \\xxx.xxx.xxx.xxx: Precisa la dirección IP de la maquina objetivo.

 

Como veras el comando apunta a una ip, lo que podrias hacer es configurar el firewall de tu equipo (activarlo si esta desactivado) bloquear el puerto 445 TCP o desactivar el uso compartido de archivos y carpetas.

 

 

Lo otro que puedes hacer (creo que es mas simple xd)

 

Inicio / Ejecutar / secpol.msc , vas a la pestaña "Directivas locales", luego "Asignación de Derechos de Usuario", luego en el panel derecho buscas una que se llama "Forzar cierre desde un sistema remoto" ahi le haces dobleclick , seleccionas donde sale Administrador y abajo pinchas Quitar. eso seria.

 

 

Ahora ya sabiendo esto, comienza el contraataque :ph34r:  (?)

 

Como saber quien te esta enviando el comando...Debes ir al administrador de equipos y buscar tal cual como aparece la imagen, con eso tendrás el nombre del equipo (si quieres la ip hazle un ping al nombre del equipo ej: cmd ejecutas "ping NOMBREDELEQUIPO"

 

 

De ahi sabiendo la ip le mandas el comando al csm xd

 

shutdown -s -f -t 30 - m \\IP del csmD:

:zippyevil

[diucalonga]

No, no estoy conectado a la red de la U, tengo una clave de DreamSpark. (una wea que le regala keys de productos microsoft a cada alumno de la U).

Y si te fijas, ya puse el log, y dice que quien inició el apagado soy yo.

[Piri]

Y en el visor de eventos te aparece tu usuario el q se esta enviando el comando?

[diucalonga]

Y en el visor de eventos te aparece tu usuario el q se esta enviando el comando?

 

Repito el log: 

 

El proceso C:\Windows\System32\shutdown.exe (XALITO) inició el Apagar del equipo XALITO en nombre del usuario Xalito\Gonzalo por el siguiente motivo: No se encontraron títulos para este motivo

 Código de motivo: 0x800000ff

 Tipo de apagado: Apagar

 Comentario:

[Piri]

Ya como que me quede sin opciones jjaja, revisa que programas has instalado despues de que te empezo a tirar el mensaje de apagado, o tmb puedes hacerle una restauracion del sistema tiempo antes de que pasara todo (haz respaldos xsiacaso)

[3liaZ]

u.u no has pensado que sea un troyano o un gusano esos pueden manejar la pc 

[diucalonga]

u.u no has pensado que sea un troyano o un gusano esos pueden manejar la pc 

 

Le he pasado 2 antivirus y ambos marcan 0 detecciones. (malwarebytes y kaspersky)

 

En todo caso, cambié la contraseña y el problema desapareció... por ahora.

[Hotmetal]

Por lo que recuerdo esto era un virus.

[diucalonga]

Por lo que recuerdo esto era un virus.

 

¿Y no recuerdas como detectarlo?

[Hotmetal]

no me acuerdo parece que el virus ae llamaba sasser, ahora quizás algún malvado te hizo un acceso directo de broma que apaga el pc. (crear un acceso directo a shutdown -s -t 60 -c)

[diucalonga]

no me acuerdo parece que el virus ae llamaba sasser, ahora quizás algún malvado te hizo un acceso directo de broma que apaga el pc. (crear un acceso directo a shutdown -s -t 60 -c)

 

1- No soy tan novato como para caer en eso.

2- No, porque ocurre a horas aleatorias, mientras hago cualquier cosa, no al abrir algo.

[SebaTuren]

1- No soy tan novato como para caer en eso.

2- No, porque ocurre a horas aleatorias, mientras hago cualquier cosa, no al abrir algo.

checate esa ruta: http://technet.microsoft.com/en-us/library/ff710472(v=ws.10).aspx

lo otro que puedes hacer es tener el monitor de actividades abierto y cuando se abra el mensaje ver si se esta ejecutando algun proceso extraño...

o!, formatear y ya xD

[Piri]

Te pasa aun con la red desconectada?

[Palatox]

No te abra creado un tarea programada la wea XD!!!

[diucalonga]

No te abra creado un tarea programada la wea XD!!!

Eso mismo me decían en otro foro. Revisé y no pillé nada sospechoso (aunque puede que se me pase). Pero lo veo dificil, porque, aunque sale casi siempre de noche, siempre es en horarios diferentes.

Ah, y me volvió a aparecer despues del cambio de contraseña.

[SebaTuren]

Eso mismo me decían en otro foro. Revisé y no pillé nada sospechoso (aunque puede que se me pase). Pero lo veo dificil, porque, aunque sale casi siempre de noche, siempre es en horarios diferentes.

Ah, y me volvió a aparecer despues del cambio de contraseña.

Em.... extraño, formate mejor y ya no?.

[diucalonga]

Nuevamente.
Ahora no puede ser nada de lo anterior. Cambié de proveedor de internet, cambié la contraseña pero aún así sigue apagandose. Tampoco eran actualizaciones. (Recién están instalandose posterior al siguiente booteo), no hay tareas programadas ni ahorro de energía.

[willowneat]

Nuevamente.

Ahora no puede ser nada de lo anterior. Cambié de proveedor de internet, cambié la contraseña pero aún así sigue apagandose. Tampoco eran actualizaciones. (Recién están instalandose posterior al siguiente booteo), no hay tareas programadas ni ahorro de energía.

 

Aplique formato y listo. 

En algunos casos, en los tiempos de XP y Vista, si se cerraba uno de los procesos llamado svchost ocurría eso, pero se supone que esta solucionado desde Windows 7 en adelante.

[nattito]

lo más probable es que algún malware tenga un servicio que ejecuta ese comando, te recomiendo combofix http://www.infospyware.com/antimalware/combofix/ pero jamás lo use sin leer el manual ya que combofix es un pequeño gran Hijo de su madre que es capaz de borrar archivos del sistema si los considera peligrosos.

lo otro es que revises los servicios y las cosas que arrancan junto con el pc services.msc y msconfig

 

Saludos

[SebaTuren]

lo más probable es que algún malware tenga un servicio que ejecuta ese comando, te recomiendo combofix http://www.infospyware.com/antimalware/combofix/ pero jamás lo use sin leer el manual ya que combofix es un pequeño gran Hijo de su madre que es capaz de borrar archivos del sistema si los considera peligrosos.

lo otro es que revises los servicios y las cosas que arrancan junto con el pc services.msc y msconfig

 

Saludos

windows es un archivo peligroso D=!.

<Perdon por el off topic >.<, tenia que decirlo!!>

[nattito]

windows es un archivo peligroso D=!.

<Perdon por el off topic >.<, tenia que decirlo!!>

Borrar system32 es la solucion a todos los problemas XD

 ojalá "diucalonga" (nick ql) pueda solucionar su problema

[diucalonga]

Hace bastante tiempo que el problema no ha vuelto ha aparecer.
Lo misterioso es que no he hecho nada...

En fin, esperemos que no aparezca otra vez.