Ayer estuve en casa de un amigo que me llamo porque tiene un problema con su PC de sobremesa.

Tiene instalado XP Home Edition.

Me dijo que desde hace días se le apagaba el ordenador cada 5 minutos.
Cuando estuve allí vi que tenia (o se ejecutaba)  una Aplicación llamada "Cuenta atrás". Desde el Administrador de tareas la seleccione y le di a Ir al proceso.
El proceso se llama "apagado.exe" y al intentar finalizarlo me dice que no me deja, sale el típico mensaje de "operación no permitida".
Entonces pensé que era por un problema de privilegios,  pero es que el usuario que estaba utilizando (el nombre de mi amigo) es Administrador de equipo.
Como se que el usuario Administrador tiene mas privilegios, le pregunte si sabia la pass del administrador, y me dijo que no (Formateado en una tienda, le hicieron lo que les dio la gana, etc) por lo que tuve que seguir intentándolo con su usuario.
Utilizar la cuenta de Administrador no es problema, dado que se como "MACHACARLA" o dejarla en blanco, y luego poner la pass que yo quiera, pero lo que me mosquea es que:

1- En agregar o quitar programas no aparece nada RARO instalado, así que lo que sea, supongo que trabaje de manera oculta.
¿Entrando en modo seguro aparecería?  (Ayer no me dio tiempo a probar todo)

2- ¿Donde puedo ver si han modificado los privilegios de ese usuario con ese proceso en cuestión u otros procesos, acciones, etc? ¿Con la cuenta de Administrador tendría el mismo problema el próximo día que vaya?

3- Tenia en otro PC una carpeta compartida (películas, música) que le hice yo hace tiempo, pero ahora al intentar entrar en ese otro PC y ver las carpetas compartidas, etc, tampoco me deja y vuelve a salir el mensajito de "operación no permitida", como si también se hubieran modificado esos privilegios.

¿Cual seria la mejor manera de volver a dar todo tipo de privilegios a ese usuario (repito que es administrador de equipo) y de LOCALIZAR Y ELIMINAR dicho proceso?

Por lo visto este debe de ser un caso (dado el numero de comentarios) de extrema dificultad...   

Hola Dato000, que tal?
Si, cree otro usuario administrador, y en ese no se ejecuta, al igual que con la cuenta ADMINISTRADOR que tampoco aparece.
Gracias por responder.

Busca en HKEY_CURRENT_USER, ó directamente en el registro busca apagado.exe y con un poco de suerte das con la clave de autoinicio, si no la encuentras puedes utilizar Autoruns de Sysinternals (te recomiendo descargar la suite completa) y lo buscas el apagado.exe con el autoruns.

Probablemente con eso sea suficiente aunque para matar el proceso puedes utilizar Process Explorer (también de Sysinternals) y verificar si está corriendo como servicio, si puedes detenerlo, etc..., por otra parte si no está corriendo como servicio es muy probable que tenga un handle abierto y de ahí que no puedas terminar el proceso.

Busca los handles abiertos con el mismo Process Explorer ó con la herramienta handles del mismo pack de Sysinternals.

Un saludo

Bueno, normalmente cerrando los handles que hayan abiertos hacia ese proceso, eliminando cualquier mutex que haya creado y desactivando el autoinicio deberia ser suficiente, si no te quieres complicar demasiado te aconsejo que arranques desde un RescueCD (Kaspersky o avira funcionan bastante bien), actualizas, escaneas y eliminas.

Creo que con eso sería suficiente, aún así para quedaros más tranquilos después puedes pasarle en modo seguro el MalwareBytes actualizado, no creo que te aguante ese "tratamiento".

Un saludo