Proceso oculto en W7 PID 5240

[noSign]

Con winhide he localizado un proceso oculto, pero no logro dar con el (PID 5240)
Ejecuto.:
Con tasklist no aparece ese proceso
tasklist /fi "pid eq 5240"
sin resultado.
Process Explorer sin resultado.
System Explorer tampoco.

Sigo investigando.

[jmtella]

El PID es aleatorio...es un numero secuencial que asigna el sistema en orden creciente al arrancar tareas por lo que cada vez será diferente.
¿Cómo o con que ves ese PID?...¿Cómo sabes que existe? ¿Qué ese programa no te engaña?

[noSign]

El PID es aleatorio...es un numero secuencial que asigna el sistema en orden creciente al arrancar tareas por lo que cada vez será diferente.
¿Cómo o con que ves ese PID?...¿Cómo sabes que existe? ¿Qué ese programa no te engaña?

Ejecuto el shell de windows (DOS) el comando winunhide sys (desde el directorio raiz c:\winunhide)

http://sourceforge.net/projects/unhide/?source=typ_redirect

Y me aparece ese PID
Si es un primer sintoma, voy a buscar con otros rootkit.

[jmtella]

http://www.gmer.net/

[jmtella]

Y este comando en una consola elevada:

wmic process get ProcessId

[noSign]

Y este comando en una consola elevada:

wmic process get ProcessId

Voy a enloquecer , en la misma ventana el mismo comando sin levantar ningún nuevo servicio, es aleatorio como decias.
Aunque prefiero tasklist, pues se indica el servicio o consola y el ejecutable, cosa que con wmic process get ProcessId solo aparecen PID
Por cierto, sin reiniciar , ya no aparece el servicio oculto. Raro, raro...
El Gmer deja sin recursos el sistema, casi lo congela.

[jmtella]

He estado mirando el código fuente del WinUnHide y como que no me termina de parecer correcto. Hace algunas suposiciones sobre donde encontrar un procces ID que no me parecen de libro... Desde luego si hay un bicho, tiene que estar entre lo que indica como candidato, pero el que le coincida no implica que el bicho de verdad exista.

[cbatetr]

http://www.gmer.net/

¿Como interpreto la salida de este programa? Por ejemplo, con lo que adjunto ¿qué hay que hacer para limpiarlo?

[jmtella]

¿Como interpreto la salida de este programa? Por ejemplo, con lo que adjunto ¿qué hay que hacer para limpiarlo?
[ATTACH=CONFIG]n8482[/ATTACH]

Son correctos, procesos de Windows en este caso.