Hola a todos,

Hoy cuando encendí mi PC, me encontré con una pantalla de un supuesto spyware llamado Total Security version 4.52 que supuestamente me había escaneado a velocidad de rayo mi pc y me había encontrado una serie de amenazas e inclusive virus.
Lo cerré automáticamente pero seguía enviándome ventanas advirtiéndome y mandándome a descargar y registrar el supuesto producto.
Investigué por la red y encontré algunos posts donde se recomendaba desactivarlo a traves del task manager y así lo hice.
Luego pasé el Kaspersky pero no lo encontró.
Cada vez que enciendo la pc se activa. Me podrían decir qué debo hacer?
No me he podido librar de él aún pasando otros spywares

Muchas gracias de antemano.

Hola,

Por favor postea tu log AVZ, un moderador lo revisará y te dará instrucciones para remover la infección: http://forum.kaspersky.com/index.php?showtopic=116409

Saludos.

Perdona, ya pasé el AVZ y tengo un archivo en zip, ahora qué tengo que hacer? lo anexo a este mensaje?

exacto, pon el zip.

Vale anexo el zip, además doy la información sobre mi Kaspersky y sistema operativo:

KASPERSKY version 8.0.0.454 (a.b.c.d.e.g) en inglés
Mi sistema operativo es el WINDOWS XP PROFESSIONAL service pack 2

Gracias por la atención y quedo en espera de noticias.

Saludos!!!!

Ejecuta con el AVZ este script:

Luego busca en el registro, Inicio, ejecutar regedit estas claves y las eliminas:
KEY_CURRENT_USER\Software\1FD92E3F7C34799BFB075C41DA05D1FE
HKEY_CLASSES_ROOT\CLSID\{D263FA6D-84CC-48A8-9AF6-C664362B7A5B}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{D263FA6D-84CC-48A8-9AF6-C664362B7A5B}
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run "1FD92E3F7C34799BFB075C41DA05D1FE"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center “AntiVirusOverride” = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center “FirewallOverride” = "1"
Despues de ejecutar el script, postea tu combofix log:
Descargalo aquí

Antes de guardarlo, por favor renombralo a algo parecido a 123.exe para parar al malware y que no pueda deshabilitarlo.

Ahora, por favor, asegurate de que no se están ejecutando otros programas, cierra todas las ventanas y pausa Kaspersky (Elije la opción de "reanudar
manualmente" si todavía esta activo) hasta que termine con el escaneado y el proceso de eliminación.

Por favor, haga doble clic en el archivo descargado. Siga las indicaciones en pantalla para iniciar la exploración/escaneado.
Una vez que el proceso de exploración/escaneado ha comenzado por favor NO haga clic en la ventana del combofix o intente utilizar su equipo ya que esto
puede causar problemas en el equipo. La exploracion/escaneado puede tomar bastante tiempo para completarse, esto es normal.

Su equipo se desconectara de Internet y los iconos del escritorio/barras de herramientas desaparecerán durante la exploración, no se preocupe, esto es
normal y apareceran en cuanto la exploración haya terminado.


Combofix creará un archivo de registro (log) y lo mostrara después de que su equipo se haya reiniciado. Por lo general, estara situado en
c:\combofix.txt, por favor, adjuntalo en tu siguiente post.

Una vez realizada la limpieza, terminado de usar el ComboFix, se recomienda desinstalarlo, sigue los siguientes pasos:
Ve a Inicio -> Ejecutar -> Teclea o copia y pega el siguiente comando ComboFix /u y pulsa Entrar (enter)

Ay perdona mi ignorancia pero que es el combofix log, dónde lo encuentro?

Es primera vez que me pongo en esto.

Gracias!

bajalo de aqui http://download.bleepingcomputer.com/sUBs/ComboFix.exe

El archivito lo descargué del link que me pusiste arriba y lo renombré 123.exe como me pusiste, lo tengo en mi desktop, ahora lo que no entiendo es lo que me pones aquí:
Despues de ejecutar el script, postea tu combofix log:
Descargalo aquí

qué es eso que tengo que postear?

el combofix log no lo obtendré después de escanear con el combofix?

Hola,

Si ya ejecutaste el script y ya tienes descargado el combofix, ahora ejecútalo según las instrucciones de RadarpSP, después de que termine de ejecutarse creará un archivo llamado combofix.txt en C:\ y ese archivo lo adjuntas en tu siguiente post.

Saludos.

Ok, tengo todo listo y entendido pero lo voy a hacer mañana porque ya son las 2 am y me voy a dormir.

Mil gracias por todo, y mañana postearé mi resultado!

Hola buenos días,
Ya puse el script en el avz y me puso estos mensajes:

Checking - complete
File quarantined succesfully (C:\Documents and Settings\All Users\Application Data\10823124\10823124.exe)
File quarantined C:\Documents and Settings\All Users\Application Data\10823124\10823124.exe
Delete file:tsc.exe
>>>To delete the file tsc.exe reboot is required
Delete file:Sc2C21UvvM.exe
>>>To delete the file Sc2C21UvvM.exe reboot is required
Delete file:C:\Documents and Settings\All Users\Application Data\10823124\10823124.exe
Removing traces of deleted files...

Ahora trato de abrir el command prompt o cualquier programa de la lista de inicio para para hacer el regedit pero me dice que no tengo suficiente permiso.
¿Qué hago?

Por favor me podrían ayudar porque mi pc ha quedado que no responde para abrir ningún programa, todavía no he hecho reboot, me temo que al hacerlo no podré hacer más nada.

Reinicia el equipo. El AVZ por seguridad no permite muchas cosas, hasta que no reinicies.

Hola buenas tardes a todos,

Ayer después de escribirles estuve viendo un poco mi pc y resulta que me di cuenta que los updates estaban desactivados así que hice varias cosas:

1.) Reinicié mi equipo y entré en modo a prueba de fallo, hice un system restore a una fecha anterior. Cuando se reinició y entré a modo normal, el Total Security había desaparecido.

2.) Acto seguido me puse a buscar los registros que me pusieron en las instrucciones y no encontré ninguno.

3.) Bajé el Window Defender y lo instalé, lo puse a escanear, encontró vykls.sys, lo busqué por internet y encontré algo en alemán pero no entendí qué era, de todos modos lo eliminé.

4) Bajé los updates, entre ellos bajó el Service Pack 3 y se instaló.

Mi pc está súper bien ahora, pregunto entonces si es necesario hacer el scan con el Combofix.

Gracias por la ayuda, fue muy valiosa!

No está de mal el combofix. Por si acaso.
Si has restaurado debes desativar la restauracion para eliminar todo y luego volver a activarla.
Ten en cuenta que al restaurar ha quedado ese programa-virus en el system restore.

Ay Radar perdona tanta ignorancia pero cuando me dices que desactive la restauración y luego la active de nuevo, cómo se hace eso? Quiero estar segura de entender lo que voy a hacer.

Gracias!

Hola,

Para apagar la restauración del sistema haz lo siguiente:


Saludos.

Mil gracias Kikesan, entonces desactivo eso, y escaneo con el combofix y subo el log.
Hasta la próxima!

Reholas, fue más rápido de lo que pensé, y bueno aquí tienen el log.
Espero noticias.
Mil gracias por la atención!!!!!!!!

Cuando puedan me dicen si puedo ya borrar el combofix.

Bueno siento ser tan impaciente pero quisiera saber si ya han podido ver lo que anexé y estoy libre del virus para terminar con esta historia, soy traductora y estoy traduciendo un libro muy importante y no me puedo dar el lujo de perder mi trabajo.
Por favor me ponen una notita para ya irme?

Gracias!

Inicia en modo seguro y marca la opcione ver archivos ocultos:
http://www.trucoswindows.net/conteni5id-10...en-Windows.html


Elimina este directorio:
c:\documents and settings\All Users\Application Data\10823124
el contenido de este:
c:\documents and settings\All Users\Application Data\TEMP
Borra estos ficheros:
c:\windows\system32\F7C802F3AA.sys
c:\windows\system32\KGyGaAvL.sys
enviame comprimido este fichero:
c:\windows\system32\drivers\sptd1757.
Además, deshabilita windows defender: Inicio ejecutar, "services.msc" Buscas el servicio-doble click y en inicio, elegir deshabilitado.

Luego descarga este programa y analiza tu equipo con el. Pones el log final en un mensaje aqui.
Recuerda que no debes dejarlo residente.
REspecto al combofix debes ir a inicio ejecutar y escribir combofix.exe /u

Radar buenos días, me dices que descargue un programa pero no me dices cual, no entiendo, por fa explícame o ponme el link.

"Luego descarga este programa y analiza tu equipo con el. Pones el log final en un mensaje aqui."

Gracias!

Se me olvidó: malwarebytes en http://www.malwarebytes.org/mbam.php

Pues ese programita lo tengo pero está desactivado, me sirve? o lo bajo de nuevo?

Lo actualicé, bien procedo a hacer lo que me mandaste y te pondré próximamente el log.

Hola Radar,

he hecho todo lo que me has indicado, el scan se está realizando, sin embargo al querer zipear el fichero:
c:\windows\system32\drivers\sptd1757.sys
que me has pedido, no se deja comprimir, me lanza un aviso de que otra persona está usándolo en el momento y me da la opción de interrumpir, no supe qué hacer por eso lo dejé así.
Dame indicaciones para hacerlo por favor.

Gracias

Anexo el log del escaneo de la pc.
Quedo en espera sobre como comprimir el fichero
c:\windows\system32\drivers\sptd1757.sys

El log del Malware está limpio.
Para comprimir el fichero situate sobre el, con el botón derecho, elige enviar a...
carpeta comprimida. windows crea un fichero comprimido con el mismo nombre en esa carpeta.

Tal como lo indicas lo hice y me da este mensaje:

Action: Add (and replace) files Include subfolders: yes Save full path: no
Include system and hidden files: yes
Adding sptd1757.sys
Warning: could not open for reading: C:\WINDOWS\system32\drivers\sptd1757.sys
copying Zip file

pero está el zip aquí te lo anexo.

Por cierto no mencioné que varios de mis archivos word fueron copiados mismo nombre, sin (copy) pero con 0 bytes.
Los he borrado todos, hice bien?

No sube el zip porque está vacío, no se dejó comprimir.

Renombre el sys a .txt y subelo.

El print screen de lo que me dice el rar cuando trato de comprimir el fichero.

Deberás hacerlo tras iniciar el equipo en modo seguro.

Ese mismo mensaje me lo dio en modo seguro esta mañana. Lo intentaré de nuevo con el rar esta vez a ver si con ese funciona porque el zip no me lo hizo.

Me dices que"Renombre el sys a .txt y subelo"

Es decir que entro en modo seguro, busco el fichero, lo renombro a .txt, lo comprimo y luego lo vuelvo a renombrar .sys? o él se renombra solo?

Renombralo y luego se vuelve a renombrar si es legítimo.
Es muy raro que no te deje en modo seguro. Esto aumenta mis sospechas.
Puedes usar el programa unlocker http://ccollomb.free.fr/unlocker/ para dejar libre el fichero y así poder comprimirlo.

Estimado Radar,
lamento tener que decirte que el fichero es más rebelde que yo, no pude comprimirlo ni siquiera con el unlocker.
De hecho el unlocker no me da las opciones que dice en la página que me mandaste, y de donde lo bajé, sino solamente me dio las opciones de borrar, renombrar, mover y ninguna acción. Le cambié la extensión, hice todos los pasos, varias veces además, y me crea un zip pero queda totalmente vacío. Todo esto como me indicaste en modo seguro.

¿Será que estoy infectada con algo grave?

Borra el fichero con unlocker.
Mi sospecha es que o es un virus o es una parte del alcohol. Era por confirmarlo el tener el fichero.
si algo no funciona después se reinstala y ya está.

¿Cómo se reinstala?

Ya veremos si hace falta. Ya dirás si todo funciona bien. Kaspersky, alcohol 120 (si lo tienes)..

No tengo alcohol, qué es?

Es un programa de grabación de cds, dvds, etc
Si no lo tienes otra razon para eliminar ese fichero.

Podría ser de alguno de estos programas? Tengo el Clone DVD 2, el Any DVD, El Daemon Tools, el DVD Fab Gold, el Nero, el Ultra ISO y el Deep Burner.

A propósito, para borrarlo tiene que ser en modo seguro? o puede ser en modo normal?

Podría ser del daemon tools. Mira con botón derecho en propiedades a ver si da información.

Nop, dice unknown application, tiene 94,1 KB, por curiosidad le di a varios otros ficheros en propiedades y dice igual.

Borralo

Listo!!!
Y ahora qué hago? Te doy las gracias por la ayuda, eternamente agradecida!!!

Si todo va bien, nada.
Unicamente cuidado con las cosas que instalamos.