Estos días llevo varias infecciones por culpa de pendrives y tarjetas de memoria.
Estoy planteándome usar las diferentes vacunas para que no se ejecuten ni se creen los ficheros autorun.inf que son los que lee Windows al introducir los dispositivos extraibles, una lastima porque me gustaba usarlos para asignarle a cada dispositivo un icono característico.
En el portátil del trabajo se me metió el qbr2q.exe.
Este lo elimino el McAfee pero dejo algunas picias en el registro, como la imposibilidad de eliminar mostrar los ficheros ocultos, con lo que no podía ver, eliminar o editar los autorun.inf de los discos duros y las unidades extraibles que estaban modificados para que invocasen el virus, con lo que al hacer doble click en esas unidades, en vez de abrir el explorador Windows sacaba un mensaje de que no podía abrir el fichero y que programa deseaba usar para ello.
Bien conseguir corregir solucionar lo de mostrar los ficheros ocultos:
Modifica el registro de la siguiente manera, es el punto 4.
Código:
1. Abra Inicio, Ejecutar, escriba regedit y pulse Aceptar.
2. Acceda a la clave
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden
Verifica que el valor la llave type en la parte derecha sea de tipo REG_ZC y dato
group
3. Acceda a la clave
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\NOHIDDEN.
Verifique que los valores CheckedValue y DefaultValue de la parte
derecha contengan sendos 2. Estos valores deben ser de tipo DWORD. Si
fueran de tipo alfanumérico (REG_SZ), selecciónelos, haga clic sobre Edición,
Eliminar, Sí y créelos de nuevo (Edición, Nuevo, Valor DWORD).
4. Acceda a la clave
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL.
Verifique que el valor CheckedValue contenga un 1 y que
DefaultValue contenga un 2. Modifíquelos si fuese necesario. Sus
tipos deben ser también DWORD.
5. Haga clic sobre Archivo, Salir.
Reinicia y comprueba
Nota: HKEY_LOCAL_MACHINE. también puede aparecer como HKLM
Vía:
Anleg 30 (foros antispyware)
Así ya pude habilitar el poder ver los ficheros ocultos y pude modificar o eliminar los autorun.inf
En mi netbook fue peor, se me colo un tal "olhrwef.exe", este lo detectaba de repente el McAfee junto a otro grupo de archivos como infectados y los eliminaba, pero el problema al cabo de un tiempo se repetía, también saltaban cuando insertaba un dispositivo externo aunque no estuviera infectado.
Log de Mcafee:
01/11/2009 13:05:18 Eliminado(s) MSI\Admin E:\qbr2q.exe HKEY_USERS\S-1-5-21-3464624088-3978763972-3333000621-1005\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced|SHOWSUPERHIDDEN Generic PWS.ak (Troyano)
01/11/2009 13:05:18 Eliminado(s) MSI\Admin E:\qbr2q.exe SHOWSUPERHIDDEN Generic PWS.ak (Troyano)
01/11/2009 13:05:18 Eliminado(s) MSI\Admin E:\qbr2q.exe HKEY_USERS\S-1-5-21-3464624088-3978763972-3333000621-1005\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced|HIDDEN Generic PWS.ak (Troyano)
01/11/2009 13:05:18 Eliminado(s) MSI\Admin E:\qbr2q.exe HIDDEN Generic PWS.ak (Troyano)
01/11/2009 13:05:18 Eliminado(s) MSI\Admin E:\qbr2q.exe HKEY_USERS\S-1-5-21-3464624088-3978763972-3333000621-1005\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced|SUPERHIDDEN Generic PWS.ak (Troyano)
01/11/2009 13:05:18 Eliminado(s) MSI\Admin E:\qbr2q.exe SUPERHIDDEN Generic PWS.ak (Troyano)
01/11/2009 13:05:18 Limpiado(s) MSI\Admin E:\qbr2q.exe CheckedValue Generic PWS.ak (Troyano)
01/11/2009 13:05:19 Eliminado(s) MSI\Admin E:\qbr2q.exe C:\DOCUMENTS AND SETTINGS\ADMIN\CONFIGURACIóN LOCAL\TEMP\HERSS.EXE Generic PWS.ak (Troyano)
01/11/2009 13:05:19 Eliminado(s) MSI\Admin E:\qbr2q.exe C:\Documents and Settings\Admin\Configuración local\Temp\herss.exe Generic PWS.ak (Troyano)
31/10/2009 17:12:31 Eliminado(s) MSI\Admin E:\q9.cmd C:\WINDOWS\SYSTEM32\NMDFGDS0.DLL Generic PWS.ak (Troyano)
31/10/2009 17:12:31 Eliminado(s) MSI\Admin E:\q9.cmd C:\WINDOWS\system32\nmdfgds0.dll Generic PWS.ak (Troyano)
31/10/2009 17:25:45 Limpiado(s) MSI\Admin E:\q9.cmd CheckedValue Generic PWS.ak (Troyano)
31/10/2009 17:25:45 Eliminado(s) MSI\Admin E:\q9.cmd C:\WINDOWS\SYSTEM32\OLHRWEF.EXE Generic PWS.ak (Troyano)
31/10/2009 17:25:45 Eliminado(s) MSI\Admin E:\q9.cmd C:\WINDOWS\system32\olhrwef.exe Generic PWS.ak (Troyano)
31/10/2009 17:25:49 Limpiado(s) MSI\Admin E:\q9.cmd CheckedValue Generic PWS.ak (Troyano)
31/10/2009 17:25:55 Eliminado(s) MSI\Admin E:\q9.cmd C:\WINDOWS\SYSTEM32\NMDFGDS0.DLL Generic PWS.ak (Troyano)
31/10/2009 17:25:55 Eliminado(s) MSI\Admin E:\q9.cmd C:\WINDOWS\system32\nmdfgds0.dll
Lo mejor de todo es que tampoco podía activar la opción de ver los ficheros ocultos, ocurría lo mismo que con el qbr2q.exe, pero aquí fue peor, ya que... ¡Los correcciones con el regedit no se aplicaban!
Al final di con un articulo en
Taringa para eliminar el olhrwef.exe, pero como indicaban los comentarios, no funcionaba porque a la gente no se les aplicaban los cambio en el registro que indicaba el procedimiento para su eliminación manual.
Al final de los comentarios el usuario
leopato19 indica que con el programa
MALWARE BYTES, lo detecta y lo elimina (ademas corrigiendo en el registro los problemas ocasionados), lo pruebo y mano de santo.
Enlace:
Malware Bytes