Foro de InfoSpyware - Foro de Hijackthis - Foro de Virus

Hola amigos!

Esta noche al llegar a casa me he encontrado el ordenador reiniciado, al darme cuenta sale un mensaje del antivirus AVAST, que dice lo siguiente:

Ha detectado un ENCUBRIDOR

Nombre del archivo: MBR: \\.\PHYSICALDRIVER0
Tipo : Encubridor: Archivo oculto

Al intentar eliminarlo el antivirus surge un error.

No puedo conectarme a internet desde ese ordenador.

He pasado el CCleaner (archivos y registro).
El Malwarebyte'sdetecto algo malicioso, pero tras elimianrlo volvió a salir, y el Superantispyware no detecta nada.
Estos dos últimos lo he pasado con el ordenador a prueba de fallos, con: mostrar archivos ocultos y restaurando el sistema, pero pese a ello continua apareciendo el mensaje de advertencia del AVAST cada vez que reinicio el PC, además continuo sin poderme conectar a internet.

Espero haber sido claro en la exposicion, espero una solución, muchas gracias!

Hola jordigm76 bienvenido al foro de Infospyware.

Al parecer por la información que has proporcionado teine un MBR Rootkit en tu sistema.

Este tipo de infección es de las más delicadas de reparar porque afectan el sector de arranque maestro (MBR), te recomiendo que antes de cualquier cosa realices un backup de tus archivos más importantes.

Anteriormente en el foro solucionamos un tema similar: Infectado con Mebroot (Solucionado / Solved)

Para reparar el MBR y eliminar el Rootkit el procedimiento a seguir es el siguiente:

-Apaga el "Restaurar Sistema" (solo en Win Me, XP y Vista) y activa ver archivos ocultos.

-Descarga la herramienta MbrFix.exe y guardala en el directorio raiz C:\

• Quedando de la siguiente manera: C:\MbrFix.exe

-Reinicia en Modo Seguro (a prueba de fallos)

-Ve a Inicio > Todos los programas > Accesorios > Simbolo del sistema

• Una vez en la ventana MS-DOS escribes el siguiente comando:

C:/mbrfix /drive 0 listpartitions

Te devolvera el listado de las particiones de esta forma:

A continuaciòn escribes: C:/mbrfix /drive 0 fixmbr <-- esto para reparar el MBR de la particiòn 1.

Te devolvera lo siguiente:

Escoges Y para reparar y N para salir de la aplicaciòn.

Si tienes mas de una particion entonces debes ejecutar

C:/mbrfix /drive 0 fixmbr
C:/mbrfix /drive 1 fixmbr
.
.
.
Dependiendo del listado que te devolvio el comando C:/mbrfix /drive 0 listpartitions

-Reinicias en modo normal y realizas un nuevo escaneo con AVG Antirootkit y/o ESET Online Scanner para comprobar los resultados. Tambien le pasas el Avast que fue el que lo detecto en primera instancia.

NOTA:
-Para mayor comodidad imprime los pasos.
-Al terminar los pasos esconde los archivos ocultos y activa restaurar sistema.
-Recuerda volver y contarnos los resultados.

Hola de nuevo,

en otro post de este foro vi que utilizando el Drweb-CureIT podía detectar el virus.
Lo descargué de otro ordenador lo instalé en el que estaba infectado, reinicié a prube de fallos, le pase el DRweb-CureIT y este me detecto un virus yme lo curo.
Al volver a reiniciar pasé el CCleaner, tanto en temporales como en el registro.

Ahora ya no me sale el mesnaje del AVAST y me permite conectar a internet sin ningun problema, aparetemente parece que está solucionado. Hice un escaneo online con el Kaspersky y parece no detectar nada, aquí te dejo el report.

Quisiera saber si esto ya está solucionado o debo seguir los pasos que me indicas en tu post... muchas gracias.

-------------------------------------------------------------------------------
KASPERSKY ONLINE SCANNER INFORME
sábado, 03 de mayo de 2008 4:14:44
Sistema operativo: Microsoft Windows XP Home Edition, Service Pack 2 (Build 2600)
Kaspersky Online Scanner versión: 5.0.98.0
Ultima actualización: 2/05/2008
Registros en la base antivirus: 736057
-------------------------------------------------------------------------------

Configuración del análisis:
Analizar usando las siguientes bases: estendidas
Analizar archivos: verdadero
Analizar bases de correo: verdadero

Objetivo a analizar - Mi PC:
A:\
C:\
D:\
E:\
F:\

Estadísticas:
Número de objeros analizados: 50148
Virus encontrados: 0
Objetos infectados: 0
Objetos sospechosos: 0
Duración del análisis: 00:43:36

Bombre del objeto infectado / Nombre del virus / Última acción
C:\Archivos de programa\Alwil Software\Avast4\DATA\aswResp.dat Object is locked saltado
C:\Archivos de programa\Alwil Software\Avast4\DATA\Avast4.db Object is locked saltado
C:\Archivos de programa\Alwil Software\Avast4\DATA\log\AshWebSv.ws Object is locked saltado
C:\Archivos de programa\Alwil Software\Avast4\DATA\log\aswMaiSv.log Object is locked saltado
C:\Archivos de programa\Alwil Software\Avast4\DATA\log\nshield.log Object is locked saltado
C:\Archivos de programa\Alwil Software\Avast4\DATA\report\Protección residente.txt Object is locked saltado
C:\Documents and Settings\All Users\Datos de programa\Microsoft\Network\Downloader\qmgr0.dat Object is locked saltado
C:\Documents and Settings\All Users\Datos de programa\Microsoft\Network\Downloader\qmgr1.dat Object is locked saltado
C:\Documents and Settings\LocalService\Configuración local\Archivos temporales de Internet\Content.IE5\index.dat Object is locked saltado
C:\Documents and Settings\LocalService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado
C:\Documents and Settings\LocalService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado
C:\Documents and Settings\LocalService\Configuración local\Historial\History.IE5\index.dat Object is locked saltado
C:\Documents and Settings\LocalService\Cookies\index.dat Object is locked saltado
C:\Documents and Settings\LocalService\NTUSER.DAT Object is locked saltado
C:\Documents and Settings\LocalService\ntuser.dat.LOG Object is locked saltado
C:\Documents and Settings\NetworkService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado
C:\Documents and Settings\NetworkService\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado
C:\Documents and Settings\NetworkService\NTUSER.DAT Object is locked saltado
C:\Documents and Settings\NetworkService\ntuser.dat.LOG Object is locked saltado
C:\Documents and Settings\Usuari\Configuración local\Archivos temporales de Internet\Content.IE5\index.dat Object is locked saltado
C:\Documents and Settings\Usuari\Configuración local\Datos de programa\Microsoft\Feeds Cache\index.dat Object is locked saltado
C:\Documents and Settings\Usuari\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat Object is locked saltado
C:\Documents and Settings\Usuari\Configuración local\Datos de programa\Microsoft\Windows\UsrClass.dat.LOG Object is locked saltado
C:\Documents and Settings\Usuari\Configuración local\Historial\History.IE5\index.dat Object is locked saltado
C:\Documents and Settings\Usuari\Configuración local\Historial\History.IE5\MSHist0120080503200805 04\index.dat Object is locked saltado
C:\Documents and Settings\Usuari\Cookies\index.dat Object is locked saltado
C:\Documents and Settings\Usuari\Datos de programa\SUPERAntiSpyware.com\SUPERAntiSpyware\App Logs\SUPERANTISPYWARE-5-3-2008( 3-22-21 ).LOG Object is locked saltado
C:\Documents and Settings\Usuari\NTUSER.DAT Object is locked saltado
C:\Documents and Settings\Usuari\ntuser.dat.LOG Object is locked saltado
C:\System Volume Information\MountPointManagerRemoteDatabase Object is locked saltado
C:\System Volume Information\_restore{23CAC001-56D6-402E-A6B6-D06717D37CF8}\RP1\change.log Object is locked saltado
C:\WINDOWS\Debug\PASSWD.LOG Object is locked saltado
C:\WINDOWS\SB2A49664.tmp Object is locked saltado
C:\WINDOWS\SoftwareDistribution\ReportingEvents.lo g Object is locked saltado
C:\WINDOWS\Sti_Trace.log Object is locked saltado
C:\WINDOWS\system32\config\Antivirus.Evt Object is locked saltado
C:\WINDOWS\system32\config\AppEvent.Evt Object is locked saltado
C:\WINDOWS\system32\config\default Object is locked saltado
C:\WINDOWS\system32\config\DEFAULT.LOG Object is locked saltado
C:\WINDOWS\system32\config\Internet.evt Object is locked saltado
C:\WINDOWS\system32\config\sam Object is locked saltado
C:\WINDOWS\system32\config\SAM.LOG Object is locked saltado
C:\WINDOWS\system32\config\SecEvent.Evt Object is locked saltado
C:\WINDOWS\system32\config\security Object is locked saltado
C:\WINDOWS\system32\config\SECURITY.LOG Object is locked saltado
C:\WINDOWS\system32\config\software Object is locked saltado
C:\WINDOWS\system32\config\SOFTWARE.LOG Object is locked saltado
C:\WINDOWS\system32\config\SysEvent.Evt Object is locked saltado
C:\WINDOWS\system32\config\system Object is locked saltado
C:\WINDOWS\system32\config\SYSTEM.LOG Object is locked saltado
C:\WINDOWS\system32\h323log.txt Object is locked saltado
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Object is locked saltado
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Object is locked saltado
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Object is locked saltado
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MA P Object is locked saltado
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MA P Object is locked saltado
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DAT A Object is locked saltado
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Object is locked saltado
C:\WINDOWS\Tasks\SCHEDLGU.TXT Object is locked saltado
C:\WINDOWS\Temp\Perflib_Perfdata_19c.dat Object is locked saltado
C:\WINDOWS\Temp\_avast4_\Webshlock.txt Object is locked saltado
C:\WINDOWS\wiadebug.log Object is locked saltado
C:\WINDOWS\wiaservc.log Object is locked saltado
C:\WINDOWS\WindowsUpdate.log Object is locked saltado

Análisis completado.

Hola jordigm76 al parecer el problema no era tan grave como parecia en principio. Te aconsejo que si todo esta trabajando bien y la alerta ya no salta más dejes el PC como esta.

Damos el tema por Solucionado y si por algun motivo el problema regresa en los proximos días lo reportas para reabrirlo mediante el siguiente boton:

Saludos.