Virus muy chungo

[donjuanique]

Hola a todos.
Yo, que me ufanaba de tener el equipo siempre limpio de virus porque "sabía protegerme", me encuentro ahora con uno que no soy capaz de eliminar.

¿Qué hace?

Pues no permitirte navegar.
Tanto en Firefox como en IExplorer, si pinchas con el ratón un enlace cualquiera de una web cualquiera, el navegador te redirige a webs como "gsgfdh.com" o "antivirus-securitye.com".

Curiosamente, permite acceder a webs si escribes su URL en la barra de direcciones o si te mueves por la web con el tabulador y accedes a los enlaces con el Intro, pero no si pinchas con el ratón (botón izdo. o dcho., da igual).
Curiosamente también, no sé si tiene algo que ver, el virus ha aparecido hoy, primer día de 2010.

He pasado el antivirus actualizado (F-Secure), he actualizado WinVista con lo último (SP1), he pasado el Windows Defender, he mirado en los foros y he pasado también el GooredFix, ... pero el problema continúa.

¿Alguien tiene alguna sugerencia?

Gracias de antemano,
--donjuanique--

[nikoukou]

yo estoy igual es 1 y tengo ese virus, no se que hacer!!

[ozzyoso]

Yo estoy igual, tb desde el día 1. He probado a pasar el cleaner, he limpiado tot, tengo el norton de este año, legal y actualizado, y nada...

no se puede navergar de ninguna manera, en gestor de tareas tampoco hay ningun ptrograma desconocido, esta oculto y es muy cabron. He intentado restaurar el sistema de variosd dias diferentes y no m lo permite. Ojala alguien nos de una solucion porque para mi este es un problema especialmete compicado en estas fechas

[Aus]

Quien me manda el virus en cuestion? Es en serio, si ha salido algo nuevo, me gustaria echarle un ojo.

[donjuanique]

Iniciado por Aus

Quien me manda el virus en cuestion? Es en serio, si ha salido algo nuevo, me gustaria echarle un ojo.

Aus: No sé a qué te refieres con "mandar el virus". Si lo que quieres es el nombre detectado por los antivirus, ahí va lo último que he averiguado:

BitDefender QuickScan Beta 32-bit v0.9.8.8
------------------------------------------
Scan date: Sat Jan 02 16:56:20 2010
Machine ID: A56912

Found 2 infected files!
-------------------------
C:\Windows\System32\notepad.dll - Trojan.LU.D
C:\Users\Gabriel\ntload.dll - Gen:Trojan.Heur.bu8@yK0yp1ec

En el inicio de Windows, aparecen estos elementos:

COMANDO: rundll32.exe C:\Users\Gabriel\ntload.dll,_IWMPEvents@0
UBICACIÓN: HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

COMANDO: rundll32.exe C:\Windows\System32\notepad.dll,_IWMPEvents@0
UBICACIÓN: HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run


He probado a deshabilitarlos para que no arranquen con el inicio del sistema y a borrar manualmente las entradas del registro y los archivos en cuestión, pero cada vez que inicio el ordenador, se regeneran misteriosamente y todo sigue igual que antes.

¿Era esta la información que solicitabas?

Salud,
--donjuanique--

[donjuanique]

¡BUENAS NOTICIAS (creo)!
Me parece que he desinfectado al fin el equipo.

¿Cómo? Con el programa ComboFix. Es un programa que se utiliza en determinados foros de seguridad y que se recomienda encarecidamente que sólo se use bajo la supervisión de un experto. Es decir, en el propio foro te indican cómo usarlo, te interpretan los logs y te sirven de guía ante posibles problemas. Yo lo utilicé por libre y que sea lo que dios quiera.

He aquí la [URL="http://www.bleepingcomputer.com/combofix/sp/como-utilizar-combofix"]guía y enlaces de descarga[/URL].

Algunas observaciones:
- Muy importante imprimir la guía y leerla detenidamente.
- En mi caso, el desarrollo de la ejecución del programa no coincidía exactamente con la guía, pero da lo mismo: hay que leerla detenidamente.
- En mi caso, las cosas no fueron muy fluidas (algún mensaje de error, la generación del log que no terminaba, etc.)
- En mi caso, me dejó un elemento de inicio que pretendía ejecutar el programa "notepad.dll" y, como no es un ejecutable, saltaba mensaje de error. Lo deshabilité del Inicio y ya está.
- Todavía me queda por eliminar rastros que hayan quedado en el registro o los propios *.dll que no sé si estarán todavía por ahí.

La cuestión es que, de momento, esto parece que funciona.

Salud.

[Aus]

Pues quiero los ficheros infectados mas bien :). Es posible que me lo mandeis alguno?

[Fuzzylog]

Parece algún virus que se aprovecha de una vulnerabilidad del navegador. El condenado se instala por la puerta de atrás y permanece durmiendo hasta una fecha en la que se activa. Además se trata de ocultar para que no lo detecten. Sería conveniente enviar un reporte detallado al creador del navegador para que lo analicen. De todos modos tratar de monitorear los procesos que se abren en el momento de hacer click en el link y si localizais alguno que sea sospechoso y que aparezca y desaparezca puntualmente en ese momento, entonces lo buscais aquí.

http://www.processlibrary.com/

Sino, también podeis buscar más información sobre el mismo en google, y finalmente cuando lo tengais 100% seguro restaurais sistema a una fecha anterior a la creación del ejecutable o dll asociados al virus.

Suerte.

[donjuanique]

Gracias por la respuesta, Fuzzylog (y disculpa la demora)
Muy clara e interesante.
Por mi parte, como ya lo he solucionado y pienso cepillarme el sistema (WinVista) en cuanto tenga un rato, creo me voy a olvidar de él.

Salud.