Nombre: NAVIPROMO / EGDACCESS
Tipo: Adware que abre pop-ups
Alias: Adware.Win32.NaviPromo.aw, ADSPY/NaviPromo.K.3, Adware.Navipromo.BYD, NaviPromo.AW, Adware.Navipromo.M, Slagent, NaviHelper, Simcss, Magicon, TROJ_MAGICON.A, Win32/Magicon.A, Win32/Magicon.B, MagicControl.MagicComponent, Magi,Trojan.Skintrim, NaviPromo

--------------------------------------------------------------------

• Ventanas emergentes de publicidad que pueden aparecer aunque Internet Explorer (u otro explorador) no esté ejecutándose.
  
  
  
  
  
  
• Aparecen multiples procesos con nombres aleatorios como "xvylkilmde.exe "
  
  
• Al iniciar Windows aparece un mensaje que dice: "egdaccess.dll módulo encontrado"
  
  
• Su Antivirus esta permanentemente informando sobre el archivo sospechoso "msclock32.dll" o "msplock32.dll"(ejemplo win32-agente-RE [trj] Avast), y falla la eliminación, pero cuando se logra eliminarlo, este archivo reaparece después de cada arranque.

Navipromo es un adware que esconde sus procesos, archivos y registros usando tecnicas de rootkit para hacer mas dificil su detección y eliminación por metodos convencionales de desinfección.

El Adware Navipromo viene incluido en falsas aplicaciones o utilidades como:

• MessengerSkinner
• InternetGameBox
• Spyware-Secure
• Instant Access
• HotTVPlayer
• MailSkinner
• GoRecord
• Go-Astro
• sudoku

Asi se ven los icono de estos programas:


Y asi sus respectivos instaladores:



Al ejecutar alguna de estas aplicaciones en nuestro computador, Navipromo crea un archivo ejecutable de nombre aleatorio dentro de la carpeta "%system%" el cual trabaja de forma oculta para no despertar sospechas, el Adware intenta establecer una conexión con un servidor remoto con el cual intercambia información sobre los sitiso web visitados y envia publicidad no deseada que se despliega en forma de ventanas emergentes - "pop ups" - adicionalmente crea otros archivos ocultos con las siguientes extensiones:

pahwya.exe <-----Ejecutable oculto
pahwya.dat <-----Archivo oculto
pahwya_nav.dat <-----Archivo oculto
pahwya_navps.dat <-----Archivo oculto
msclock32.dll <-----libreria dinamica oculta (se presenta en algunas variantes y puede cambiar su nombre)



Navipromo adiciona entradas en el registro de Windows para que los programas que lo instalan se carguen al inicio junto al ejecutable oculto:

• En Hijackthis se pueden ver entradas de la siguiente forma:

Navipromo tambien agrega Certificados en el contenido de la opciones de Internet.

• -Inicio > Panel de Control > Opciones de Internet
  Clic en la pestaña "Contenido", después clic en la pestaña "Certificados" y alli escojes "Editores aprobados" y apareceran los siguientes editores :
  
  
  • electronic-group
  • egroup
  • Montorgueil
  • VIP
  • "Sunny Day Design Ltd"

NOTA
Antes de prodeder con los pasos para la desinfección desinstale estos programas si los tuviera instalados:


MessengerSkinner
InternetGameBox
Spyware-Secure
Instant Access
HotTVPlayer
MailSkinner
GoRecord
Go-Astro
sudoku


-Descargue, instale y/o actualice los siguientes programas (pero no los ejecute aun).

SuperAntiSpyware.

NAVILOG1 (por IL-MAFIOSO).


-Reinicia en Modo Seguro(a prueba de fallos) y activa ver archivos ocultos.


-Ejecutar estos programas (de a uno).

* Superantispyware. <-----Eliminar las infecciones que este encuentre.

* NAVILOG1 <----- Siga las instrucciones de ejecución de su Manual.


-Reinicia en modo normal y usa el CCleaner para limpiar el sistema.
Primero utiliza la opción de "Limpiador" para borrar cookies, temporales de Internet y todos los archivos que este te muestre como obsoletos.
Luego usa su opción de "Registro" para limpiar todo el registro de Windows (haciendo copia de seguridad).


-Realiza un escaneo completo del PC con el Panda active Scan en modo normal y guarda el reporte que te genero para revisarlo junto al reporte generado por NAVILOG1 que se encuentra en C:\fixnavi.txt.


NOTA:

• Para mayor comodidad imprime los pasos.
• Al terminar los pasos esconde los archivos ocultos.
• Al terminar el proceso de desinfección desinstala NAVILOG1.