Eliminar Troyano PWS.Gamemania.gen 1

[1976]

Por último

Simplemente decirte lo siguiente:

Cuando paso el Spybot-Searc & Destroy, me detecta el trojano en la clave de registro siguiente: (te copio el log)

--- Search result list ---
PWS.Gamemania.gen: [SBI $9ECCBA83] Configuración (Clave del registro, nothing done)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\AVPsys

Cuando lo doy a eliminar bien a través del propio programa o manualmente desaparece, pero al volver a iniciar el ordenador, reaparece.

Un saludo

 

[dunanea]

Desactiva Restaurar Sistema, le pasas la aplicación y le das a eliminar, a ver si así se soluciona. Saludos

 

[1976]

Nada

Gracias, pero eso fue lo primero q hice, antes de postear aquí, y no me funcionó.
Déjalo, gracias por toda la ayuda.

El dichoso trojano nos ha vencido, jajaja

Un saludo

 

[razor]

A traves del Regedit borra efectivamente esa clave:

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\A VPsys

V´s!

 

[1976]

Lo hago, pero...

Eso hago, pero tanto con el propio programa Spybot-Searc & Destroy, o manualmente, en cuanto reinicio el ordenador vuelve a aparecer.

Si renombrara la carpeta que contiene la clave, y luego borrara esta con el programa ¿?

Un saludo

 

[razor]

Vamos a volver al origen:

A traves de msconfig.exe borra estas entradas:

"cdoosoft"
"<$SYSDIR>\olhrwef.exe"

A traves del Explorador de archivos de Windows ( activa que se muestren archivos del sistema y archivos ocultos ) elimina:

"<$SYSDRIVE>\autorun.inf".
"<$SYSDRIVE>\pook.com".
"<$SYSDRIVE>\sm.exe".

1.- En el msconfig.exe tienes cdoosoft y/o olhrwef.exe ¿?
2.- Has mirado a traves del explorador de archivos si tienes estos archivos:

"<$SYSDRIVE>\autorun.inf".
"<$SYSDRIVE>\pook.com".
"<$SYSDRIVE>\sm.exe".

Ya me cuentas. Salu2

 

[1976]

Nol.

Desde Inicio / ejecutar / msconfig.exe

En pestaña INICIO, solo tengo activadas las casillas del:

avp (antivirus kaspersky)
dumprep 0-k
ctfmon

 

[1976]

y del explorador

y en cuanto al explorador, ¿dentro de que carpeta deberían de aparecer?, pues con la opcion del asistente de busqueda de inicio no lo encuentro

Gracias

 

[razor]

Bien, y el paso 2 ¿?

 

[1976]

d

y en cuanto al explorador, ¿dentro de que carpeta deberían de aparecer?, pues con la opcion del asistente de busqueda de inicio no lo encuentro

Gracias

 

[razor]

activa que se muestren archivos del sistema y archivos ocultos

Busca primero pook.com y sm.exe

Salu2

 

[1976]

Nada...

Tengo activado la opción de que se muestren archivos del sistema y archivos ocultos.

Busco a través del asistente de busqueda de windows xp:

- pook.com
- sm.exe

y nada de nada, lo más parecido que me aparece es rsm.exe en la carpeta c:\WINDOWS\system32
c:\WINDOWS\system32\dllcache

 

[razor]

Esos archivos deberian de estar. Bueno, otra cosa, en el registro de Windows, aqui.

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\

tienes algo como AVPSys ¿?

Vamos a probar tambien con otro Anti-Rootkit, baja este y analiza tu sistema: http://www.spybotupdates.biz/files/rootalyz-0.3.4.47.zip#hash(md5:52DA6E6FF21DA4D8C37934EF2E1E2A87)

Ya me cuentas. Salu2

 

[razor]

Ademas de lo anterior tambien ejecuta esta herramienta: http://www.exterminate-it.com/downloads/ExterminateItSetup.exe

¿Tienes este archivo en tu equipo: C:\WINDOWS\system32\mnpol.exe ?

 

[1976]

-

En cuanto a tu pregunta, ¿Tienes este archivo en tu equipo: C:\WINDOWS\system32\mnpol.exe ? , decirte que no.


Por cierto, he pasado el CWSHREDDER-COOLWEBSEARCH TROJAN REMOVER v2.19 y me detecta lo siguiente: CWS.Msconfig----------------FOUND

Estoy analizando con los dos programas que me has recomendado. Enseguida te cuento.

 

[1976]

Primer log:

Realizando Deep Scan con RootAlyzer: aparece esto

// info: Rootkit removal help file
// copyright: (c) 2008-2009 Safer-Networking Ltd. All rights reserved.

:: RootAlyzer Results
File:"Unknown ADS","C:\WINDOWS\system32:{4B9A1497-0817-47C4-9612-D6A1C53ACF57}:$DATA"
File:"Unknown ADS","C:\Documents and Settings\All Users\Datos de programa\Kaspersky Lab(2)\AVP8(2)\Data(2):extended:$DATA"
File:"Unknown ADS","C:\Documents and Settings\All Users\Datos de programa\Kaspersky Lab\AVP9\Data:extended:$DATA"
Directory:"No admin in ACL","C:\Documents and Settings\All Users\Datos de programa\NOS"
RegyKey:"No admin in ACL","HKEY_LOCAL_MACHINE","\SOFTWARE\","NOS"

 

[1976]

Segundo Log:

El exterminate it!

Me detecta cuatro malware:

disabled my documents menu
disabled my music menu
disbled mi pictures menu
image file execution options

Los cuatro bajo la categoria de hijacker.

Para poder eliminarlos me manda "pasar por caja", jeje,

Un saludo

 

[razor]

Pues las opciones se nos terminan. Es extrañisimo que no encuentres ni tengas ningun proceso, carpeta, ni entrada en el registro como te marque en el primer post, pues son procesos, carpetas y archivos relativos a ese troyano... realmente no se que mas te puedo orientar.

Dejame que busque en la red a ver que veo. Pero creo que no hay nada nuevo que aportar.

Te tengo informado. Salu2

 

[indy]

Hola a tod@s, con permiso.

Descarga:
DR.Web Cure It!
Ccleaner

.- Desactiva temporalmente la protección residente de Spybot, si es que la tienes activada, no me he fijado

.- Reinicia en modo seguro (a prueba de fallos)

.- Haz un análisis con Dr. WebCureIt! (primero realizará un chequeo expres por defecto, luego realiza un análisis completo; cura y/o elimina lo que encuentre).

.- Reinicia en modo normal

.- Ejecuta Ccleaner, primero en modo limpiador, luiego realiza una limpieza del registro

.- Por último, realiza un análisis con Active Scan 2.0, péganos el informe completo, una vez revisado veremos que mas hay que hacer.

Nos comentas, saludos!!!