Windows 10 - Suena una musica, desaparece el ratón y pierdo el control

Hola, Temo que me me estén hakeando o espiando...
Tengo Windows 10, y a veces, suena la misma música que se escucha al desconectar un dispositivo, y me desaparece el puntero del ratón, a veces con él parado, y otras cuando lo estoy moviendo; pierdo el control del ordenador, y no puedo escribir ni hacer nada.... Unos segundos despues suena la musica que se escucha cuando conectas algo, y aparece, y puedo seguir. Cuando empieza lo hace 25 o 30 veces seguidas con intervalos de tiempos irregulares, y ocurre en periodos también irregulares, cada mes, dos meses... etc.
He revisado los cables, cambiado el puerto USB... todo bien.
Me da por pensar que alguien o algo toma el control de mi ordenador y, ... no se sabe lo que hará.
¿Que puedo hacer?
Gracias
Javier

Buenas tardes Javier,

Te recomiendo lo siguiente:

1º - Analizar completamente el ordenador. Usa el escaneo intensivo o exhaustivo de tu antivirus y además utiliza este programa que te indico para descartar que tengas algún virus/amenaza (MalwareBytes).

2º - En caso de no tener virus/amenaza, restaurar a un punto anterior del sistema. No implica formateo pero si que pierdes los cambios efectuados entre el lapso de tiempo que restaures hasta el día de hoy. Ejemplo: Tu problema pasa desde hace 2 semanas, restaura a un punto anterior de 3 semanas, perdiendo los cambios efectuados entre dicho tiempo (1 Semana).

3º - Formatear y reinstalar el sistema operativo. Es la mejor opción y la que recomiendo, ya que evitas complicaciones. No obstante, cuando efectues una copia de seguridad, aseguráte que tus datos no están infectados.

Decide y me vas comentando.


Un cordial saludo.
Sandro.

Hola Sandro, gracias. Te respondo a los puntos
1º.- Le he pasado el Malwarebytes y ha encontrado 36 amenazas de las cuales 3 son claves de registro. si quieres te las pego todas para que veas si son peligrosas
2º.- Hace cuatro meses que instalé Windows 10 desde cero. Antes tenía el W7 y tambien lo hacia, y lo restauré como dices a un punto anterior, pero nada, no hay manera, lo hacia en W7 y lo hace en W10
3º.- Eso ya esta hecho como te digo
Por mi oficina pasa a veces un informático del que me fío solo al 95%. Es muy bueno, ¿me habrá hecho algo...?
Un saludo
Javier

Buenas tardes Javier.

Elimina inmediatamente todas esas amenazas, especialmente las que son claves de registro (Pueden modificar el estado/funcionamiento del sistema). Y pasa el MalwareBytes hasta que no quede ni uno.

Si este problema te pasaba con Windows 7 y te esta pasando con Windows 10, existe la posibilidad de que no sea un virus y provenga de algún fallo, en este caso software (La parte hardware dices que esta correcta).

Te voy a recomendar este programa: Driver Booster. Este programa actualiza todos los drivers y controladores de tu ordenador. Se me ocurre la (loca) idea de que no estén correctamente actualizados y por eso te este pasando.

Del informático nunca te fíes y siempre que pase a revisar los equipos ponle dos ojos encima y no los quites (Si son cuatro mejor ).

Prueba con lo que te he comentado y me dices.


Un cordial saludo.
Sandro.

Buenos días Sandro, ,. Te cuento:

He eliminado las amenazas, he pasado otra vez el MalwareBytes y no ha encontrado nada. Eso bien, creo.
He bajado el Drive Booster y lo he puesto a trabajar. Esperaré a que termine antes de seguir con mas cosas para estar seguro de que no son los controladores
He pensado una cosa desde mi nula visión, entre la niebla de ceros y unos, jeje
El último día que me empezó con el baile de la musica y la desaparición del puntero, no sabia que hacer, y corté la corriente del ordenador, para parar una posible salida de datos... Corregidme si es una burrada, pero me suena, que si hago un LOG, aparecerá todo lo que el ordenador estaba haciendo, cuando el corte de al corriente, y lo anterior, y si era "algo" o "alguien" no le dió tiempo a borrar el rastro, y se podrá saber que era.
Muchas gracias
Javier

Buenos días Javier,

Me reconforta saber que ya no existen amenazas/virus en el ordenador. Es cierto que puede que no sean los controladores, lo admito, pero siempre es mejor revisar todos y cada uno de los puntos para ir descartando y así llegar al origen.

Nuestro compañero Pedro te ha facilitado una posible causa del problema que tienes y como solventarlo (Estoy maravillado) por lo tanto revisa que no sea ese el origen del problema.

No obstante, te dejo una guía para ver el Visor de sucesos de Windows.

++ Haga clic en Inicio, seleccione Programas, Herramientas administrativas y haga clic en Visor de sucesos.
++ En el árbol de consola, haga clic en Registro del sistema.
++ Para ordenar el registro alfabéticamente y encontrar rápidamente la entrada de un servicio determinado de Exchange, haga clic en Origen en el panel de detalles.
++ Haga doble clic en una entrada del registro para abrir la página de propiedades de un suceso.
++ Para filtrar el registro de modo que se muestren las entradas de un tipo específico de suceso del servicio SMTP, en el menú Ver, haga clic en Filtro.
++ En Propiedades de Registro del sistema, en la lista Origen del suceso, seleccione SMTPSVC.
++ En la lista Categoría, seleccione un conjunto específico de sucesos o bien, para ver todos los sucesos del servicio SMTP, deje el valor predeterminado Todas.
++ Haga clic en Aceptar.

Si sigues teniendo problemas comenta en el hilo y seguiremos con la investigación.

Un cordial saludo.
Sandro.

Hola Sandro,
Igual tiene que ver con los controladores....
El Drive Booster encontró 16 controladores desactualizados, algunos de muy antiguo, y al darle a actualizar apareció de nuevo el "tirularí", "tirulará", de marras, pero esta vez no desaparece el puntero del ratón y puedo seguir trabajando.
Esperaré que acabe, reiniciaré a ver como va.
Seguiré contando
Mil gracias

Yo juraría que son síntomas de algún Remote Acces Control porque tienen funciones para hacer eso que mencionas. Entonces si es malware hay que pensar en.

Cómo te ha llegado

Bueno aunque tú instales un windows limpio si después le instalas algún programa infectado que tuvieras en windows 7 pues vuelves a resfriarte y la segunda cuestión sería el informático. Conozco empresas que tienen los pc's de sus obreros observados.

Cómo eliminarlo.

Bueno esto es un tema delicado porqué... ?porque el malware quiere persistencia y existen muchas técnicas para conseguirla. Creando claves de registro, instalándose en Startups, en Servicios.

Todo Remote Control Acces hace honor a su nombre y quiere realizar conexión inversa eso quiere decir que tu pc se comunicará con alguien que espera esa conexión y así evadimos el firewall de windows. Bueno seguimos si a través del cmd de windows y teniendo todos los programas y navegadores cerrados tipeamos
netstat -ano te deben aparecer conexiones si ves established ahí tienes un punto de partida para investigar, no todos los established son preocupantes ya que pueden ser servicios de windows, antivirus o cualquier programa, pero cogiendo la ip y pegándola en servicios como whois podrás descartar dudas sabiendo que ip's son buenas y cuales no...!


Aquí te expongo rutas en el Registro de windows donde les mola acomodarse el malware y realizan algunas patrañas para su ejecución.

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

En Windows a 64 bits, aparecerán como:

HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run

HKEY_USERS\S-1-5-21-6868686868-5959595959-5959595959-7777\Software\Microsoft\Windows\CurrentVersion\Run

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx
Clave BootExecute


HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\BootExecute

HKLM\System\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\StartupPrograms
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\AppSetup
HKLM\Software\Policies\Microsoft\Windows\System\Scripts\Startup
HKCU\Software\Policies\Microsoft\Windows\System\Scripts\Logon
HKLM\Software\Policies\Microsoft\Windows\System\Scripts\Logon
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\Shell
HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\Shell
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Taskman
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Terminal Server\Install\Software\Microsoft\Windows\CurrentVersion\Runonce
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Terminal Server\Install\Software\Microsoft\Windows\CurrentVersion\RunonceEx
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Terminal Server\Install\Software\Microsoft\Windows\CurrentVersion\Run
HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows\Load
HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows\Run
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
HKCU\Software\Microsoft\Windows\CurrentVersion\Run
HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce
HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce\Setup\
HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Terminal Server\Install\Software\Microsoft\Windows\CurrentVersion\Runonce
HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Terminal Server\Install\Software\Microsoft\Windows\CurrentVersion\RunonceEx
HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Terminal Server\Install\Software\Microsoft\Windows\CurrentVersion\Run
HKLM\SOFTWARE\Classes\Protocols\Filter
HKLM\SOFTWARE\Classes\Protocols\Handler
HKCU\SOFTWARE\Microsoft\Internet Explorer\Desktop\Components
HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components
HKCU\SOFTWARE\Microsoft\Active Setup\Installed Components
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks
HKCU\Software\Classes\*\ShellEx\ContextMenuHandlers
HKLM\Software\Classes\*\ShellEx\ContextMenuHandlers
HKCU\Software\Classes\AllFileSystemObjects\ShellEx\ContextMenuHandlers
HKLM\Software\Classes\AllFileSystemObjects\ShellEx\ContextMenuHandlers
HKCU\Software\Classes\Folder\ShellEx\ContextMenuHandlers
HKLM\Software\Classes\Folder\ShellEx\ContextMenuHandlers
HKCU\Software\Classes\Directory\ShellEx\ContextMenuHandlers
HKLM\Software\Classes\Directory\ShellEx\ContextMenuHandlers
HKCU\Software\Classes\Directory\Background\ShellEx\ContextMenuHandlers
HKLM\Software\Classes\Directory\Background\ShellEx\ContextMenuHandlers
HKCU\Software\Classes\Folder\Shellex\ColumnHandlers
HKLM\Software\Classes\Folder\Shellex\ColumnHandlers
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers
HKCU\Software\Microsoft\Ctf\LangBarAddin
HKLM\Software\Microsoft\Ctf\LangBarAddin
HKCU\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved
HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects
HKCU\Software\Microsoft\Internet Explorer\UrlSearchHooks
HKLM\Software\Microsoft\Internet Explorer\Toolbar
HKCU\Software\Microsoft\Internet Explorer\Explorer Bars
HKLM\Software\Microsoft\Internet Explorer\Explorer Bars
HKCU\Software\Microsoft\Internet Explorer\Extensions
HKLM\Software\Microsoft\Internet Explorer\Extensions
HKLM\System\CurrentControlSet\Services
HKLM\System\CurrentControlSet\Services
HKLM\System\CurrentControlSet\Control\Session Manager\BootExecute
HKLM\System\CurrentControlSet\Control\Session Manager\SetupExecute
HKLM\System\CurrentControlSet\Control\Session Manager\Execute
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options
HKLM\Software\Microsoft\Command Processor\Autorun
HKCU\Software\Microsoft\Command Processor\Autorun
HKLM\SOFTWARE\Classes\Exefile\Shell\Open\Command\(Default)
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\Appinit_Dlls
HKLM\System\CurrentControlSet\Control\Session Manager\KnownDlls
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\System
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UIHost
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GinaDLL
HKCU\Control Panel\Desktop\Scrnsave.exe
HKLM\System\CurrentControlSet\Control\BootVerificationProgram\ImagePath
HKLM\System\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9
HKLM\SYSTEM\CurrentControlSet\Control\Print\Monitors
HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SecurityProviders
HKLM\SYSTEM\CurrentControlSet\Control\Lsa\Authentication Packages
HKLM\SYSTEM\CurrentControlSet\Control\Lsa\Notification Packages
HKLM\SYSTEM\CurrentControlSet\Control\Lsa\Security Packages
HKLM\SYSTEM\CurrentControlSet\Control\NetworkProvider\Order
HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows\load
HKCR\batfile\shell\open\command
HKCR\comfile\shell\open\command
HKCR\exefile\shell\open\command
HKCR\htafile\shell\open\command
HKCR\piffile\shell\open\command
HKLM\Software\Classes\batfile\shell\open\command
HKLM\Software\Classes\comfile\shell\open\command
HKLM\Software\Classes\exefile\shell\open\command
HKLM\Software\Classes\htafile\shell\open\command
HKLM\Software\Classes\piffile\shell\open\command
HKLM\System\CurrentControlSet\Control\Class\{4D36E96B-E325-11CE-BFC1-08002BE10318}\UpperFilters
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\VmApplet
HKLM\Software\Microsoft\Windows NT\CurrentVersion\InitFileMapping
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Aedebug
HKLM\Software\Classes\CLSID\{CLSID}\Implemented Categories\{00021493-0000-0000-C000-000000000046}
HKLM\Software\Classes\CLSID\{CLSID}\Implemented Categories\{00021494-0000-0000-C000-000000000046}
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.bat\Application
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.cmd\Application
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.com\Application
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.exe\Application
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.hta\Application
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.pif\Application
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.scr\Application
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.bat\ProgID
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.cmd\ProgID
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.com\ProgID
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.exe\ProgID
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.hta\ProgID
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.pif\ProgID
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.scr\ProgID


[HKCR\exefile\shell\open\command] @="\"%1\" %*"
Ejecutado cada vez que un archivo .EXE es ejecutado.

[HKCR\comfile\shell\open\command] @="\"%1\" %*"
Ejecutado cada vez que un archivo .COM es ejecutado.

[HKCR\batfile\shell\open\command] @="\"%1\" %*"
Ejecutado cada vez que un archivo .BAT es ejecutado.

[HKCR\htafile\Shell\Open\Command] @="\"%1\" %*"
Ejecutado cada vez que un archivo .hta (aplicación HTML) es ejecutado.

[HKCR\piffile\shell\open\command] @="\"%1\" %*"
Ejecutado cada vez que un archivo .PIF (Portable Interchange Format) es ejecutado.

[HKLM\Software\CLASSES\batfile\shell\open\command] @="\"%1\" %*"
Ejecutado cada vez que un archivo .BAT es ejecutado.

[HKLM\Software\CLASSES\comfile\shell\open\command] @="\"%1\" %*"
Ejecutado cada vez que un archivo .COM es ejecutado.

[HKLM\Software\CLASSES\exefile\shell\open\command] @="\"%1\" %*"
Ejecutado cada vez que un archivo .EXE es ejecutado.

[HKLM\Software\CLASSES\htafile\Shell\Open\Command] @="\"%1\" %*"
Ejecutado cada vez que un archivo .hta (aplicación HTML) es ejecutado.

[HKLM\Software\CLASSES\piffile\shell\open\command] @="\"%1\" %*"
Ejecutado cada vez que un archivo .PIF (Portable Interchange Format) es ejecutado.


Espero os haya gustado el contenido y como siempre no quiero hacerme más extenso pero en este tema es como decía aquel anuncio televisivo de los 80's Guate aquí hay tomate.

The best Regards.

Buenas noches Pedro,

Muchas gracias por tu excelente opinión y por facilitarnos esta valiosa información!!! Si pudiera te daría un millón de positivos (Solo me dejan uno)

Como siempre digo, al final del día aprendes algo nuevo.

Un cordial saludo y gracias nuevamente por la ayuda prestada.
Sandro.

Excelente Pedro!!!

Hola Pedro, gracias por tu aportación. Tus compañeros de foro dicen que es excelente, la seguiré cuando acabe con las instrucciones de Sandro.
Te cuento un poco...
Trabajo en seguros, entro en muchas Webs de las compañías. Uso un programa de corredores que se llama Ebroker, que según dicen es muy seguro, y la correduría es de Central Lechera Asturiana, que según dicen, tiene unos anillos de seguridad impresionantes. Tienen personal etc. (El informático al que me refería no era de aquí, estos nunca estuvieron en mi casa, jeje)
Cuando instale Windows 10 lo hice desde cero, y el Oficce, tambien nuevo. A parte tengo instalado Autocad, versión estudiante, también nuevo. y nada mas... las cosas que vienen con esos programas.
Trabajo básicamente con Chrome, Explorer, y a veces con Mozzilla, y de vez en cuando se abre el pesado del Edge con las imágenes, que no me gusta nada, pero no hay manera de evitarlo.
Y navego, eso sí, veo la prensa, y compro cosas sobre todo en Amazon, ...
A ver si te puede orientar un poco.
Muchas gracias por la ayuda, soy impresionantes... La parte buena de la RED!
Un saludo
Javier García

Accede a inicio --> pon en el buscador cmd--->Ejecútalo como administrador y pon esto en el terminal:

netstat -ano

Y pon una captura de pantalla a ver que podemos ver , por cierto cierra todos los programas y cierra el navegador para que nos muestre las conexiones TCP activas.

Ahi están, a ver si veis algo interesante
Gracias
Javier

• Captura1.rar(50,6 KB)
• Captura2.rar(54,1 KB)

Hola de nuevo, sigo trasteando, aunque parece que mejoró...
En el visor de sucesos, ocurre muchas veces que el Service Control Manager cambia de automatico a manual:

El tipo de inicio del servicio Servicio de transferencia inteligente en segundo plano (BITS) se cambió de inicio por solicitud a inicio automático.
El tipo de inicio del servicio Servicio de transferencia inteligente en segundo plano (BITS) se cambió de inicio automático a inicio por solicitud.

Es normal?
Gracias
Un saludo
Javier

No he analizado las otras ip's que salen closed pero las ip's que tienes activas usando el 443 son conexiones seguras
Te pongo aquí los datos obtenidos:

Primera ip es de DROPBOX 162.125.18.133

{"as":"AS19679 Dropbox, Inc.","city":"San Francisco","country":"United States","countryCode":"US","isp":"Dropbox","lat":37.7697,"lon":-122.3933,"org":"Dropbox","query":,"region":"CA","regionName":"California","status":"success","timezone":"America/Los_Angeles","zip":"94107"}

La segunda ip established es de MICROSOFT 131.253.34.238

{"as":"AS8075 Microsoft Corporation","city":"Boydton","country":"United States","countryCode":"US","isp":"Microsoft Corp","lat":36.6648,"lon":-78.3715,"org":"Microsoft Corporation","query":"":"VA","regionName":"Virginia","status":"success","timezone":"America/New_York","zip":"23917"}



Ambas son conexiones seguras de servicios peero quedan las closed si te apetece comprueba utilizando el servicio Whois location y así vas descartando posibilidades también entra a las claves del registro HKCU y comprueba que no tengas nada raro.

Hugs mates..!

Hola Pedro,
He estado mirando según me has dicho y parecen todas conocidas y seguras.
Lo repetiré alguna vez, y sobre todo, si me vuelve con la jugareta de la musica y el rartón, lo haré pare ver si encuentro algo raro

Mas arriba escribí mal, quería decir: SOIS impresionantes... La parte buena de la RED!
Gracias
Un saludo
Javier

Buenos días a todos;

WOW!! Eso es lo único que se me viene a la mente en estos momentos.

@Javier: En mi comentario anterior olvidé mencionar que Driver Booster, cuando actualiza tus controladores/drivers, previamente desinstala el antiguo controlador, con lo cual pierdes la gestión del mismo, y después lo vuelve a instalar, pero ya actualizado. Por ese motivo escuchaste la música, así que en ese momento era algo "Normal".

Espero que con la ayuda que te hemos prestado se haya resuelto el problema pero si sigues teniendo problemas no dudes en comentarlo en el hilo.

@Pedro: Me tienes sin palabras. Otros dos positivos!!! Contigo cada día aprendo algo nuevo .

Un cordial saludo.
Sandro.