Virus RECYCLER. si, el clasico...

Hola a todos. Tengo un problema y es el del virus RECYCLER. Como deben saber se propaga por USB creando accesos directos molestos.
Ya pude quitarlo de mi Celular (mas precisamente su microSD), pero no de mi HDD externo.
Segui algunos tutoriales que hay en otras paginas pero no puedo sacarlo. una vez que lo saco, lo desconecto y cuando lo vuelvo a conectar esta otra vez la carpeta RECYCLER (con su Desktop.ini y el e621ca05.exe) y los accesos directos.
Si alguien puede darme una solucion definitiva se lo agradeceria mucho ya que me esta artando este virus.
Desde ya muchas gracias.

Hola NiKoH99,
Bienvenido al Foro de InfoSpyware

Consejos utiles antes de publicar un nuevo mensaje.
Politicas del Foro de InfoSpyware.

Realiza el siguiente procedimiento respetando el orden de los pasos. También lee los manuales de las herramientas indicadas. Si un paso resulta imposible realizar continua con el siguiente. Recomiendo imprimir los pasos para realizaros con todas los programas y ventanas cerrados.

1.- Inicio -> Todos los programas -> Accesorios -> Clic derecho sobre el Símbolo del sistema y selecciona Ejecutar como administrador.

• Escribe el nombre de la unidad que ocupa tu dispositivo USB (Ejemplo: E: ; F: ; etc.) y pulsa Enter.
• Al acceder al dispositivo, escribe o copia y pega el siguiente código: (Se excluye la palabra "Código:")

Código:

Attrib /d /s -r -h -a -s *.*

• Pulsa Enter, espera unos segundos y cierra la ventana.
• Si tienes mas de una unidad extraible repite los pasos en cada unidad sin retirarlas del PC.

2.- Conecta todos tus Dispositivos extraibles para incluirlos en los análisis. (USB, Micro SD, etc.)

• Descarga USBFix al escritorio.
• Haces doble clic sobre el archivo USBFix.exe para ejecutarlo, en Windows Vista & 7 clic derecho y Ejecutar como administrador.
• Pulsas el boton del programa Supresion, cuando finalice el analisis se abrirá un Bloc de notas con el reporte.

3.- Descarga e instala Malwarebytes' Anti-Malware. Lo actualizas desde su pestaña Actualizar

• Eliges la opción de Análisis Completo, al finalizar presionas Mostrar resultados
• Verificas que todo este seleccionado y pulsas Eliminar seleccionados
• Si te lo solicita debes aceptar el Reinicio del sistema.
• El reporte lo encuentras en la pestaña Registros.

4.- Realiza un examen en linea con ESET Online Scanner como indica su Manual

• Al finalizar el examen busca el reporte en: C:\Archivos de programa\ESET\ESET Online Scanner\log.txt

Pegas los reportes de USBFix, Malwarebytes' Anti-Malware, ESET Online y me comentas si se soluciono el problema de inicio.

Gracias, ahora solo falta probarlo. en este momento no puedo, pero mas tarde lo hago y edito este mensaje avisando como salio.

no pude solucionarlo. se borra con el primer comando, pero luego de hacer los demas pasos lo desconecto y vuelvo a conectar y el virus vuelve.
graciass

Buenas.


Pegame los reportes solicitados: ESET Online Scanner, USBFix y Malwarebytes' Anti-Malware.



Saludos.

en este omento no estoy en la PC donde corri los programas, mas tarde lo envio. gracias.

OK.


Acá los espero para analizarlos. Saludos.

Y parece ser que se resolvió el problema y el virus ya no está. Aparecía mi carpeta de "Archivos de programas" con el icono de la flechita, indicando que era un acceso directo [Cosa que no es así porque las carpetas no son accesos directos, pero que es una de las característisca típicas de este virus de marcar las carpetas infectadas como accesos directos]; ahora aparece una nueva carpeta que se llama igual en inglés (Program files) con todos mis programas; ya probé varios y sí funcionan bien, por lo tanto no se dañaron. La vieja carpeta de "Archivos de programas" seguía apareciendo con su icono de flechita, pero está vacía y ya la borré. Ahora bien, el virus me llegó por mi disco duro externo que conecté con un equipo infectado, y pues lógico, todos mis carpetas del disco duro externo estában contaminadas y tenían el característisco icono de la flechita. Me doy cuenta que mis archivos siguen ahí, pero el explorador de Windows no enlista mis carpetas, ni me creó nuevas como en el caso de "Archivos de programas", de hecho ya he podido utilizar, vía un programa, no directamente algunos de mis archivos de trabajo. La cuestión es que no aparecen mis carpetas directamente en el explroador y por lo tanto no puedo navegar por mis arhcivos y en consecuencia usarlos y trabajar con ellos. ¿Cómo hago para poder verlos y usarlos?
Te agradezco mucho el apoyo y aquí anexo, como nos pides, los tres archivos txt con los informes que crearon los antivirus.
Saludos
y de nuevo muchas gracias
estoy muy agradecido
Ramón Moreno

############################## | UsbFix V 7.066 | [Supresión]

Usuario: Ramon (Administrador) # RAMON1
Actualizado el 11/11/2011 por El Desaparecido
Comenzó a 09:01:27 | 13/11/2011

Sitio web: http://eldesaparecido.com
Archivo sospechoso ? : http://eldesaparecido.com/support.php
Contacto: [email protected]

PC: GATEWA (GT3228m) (X86-based PC) # Desktop Computer
CPU: Intel(R) Pentium(R) D CPU 2.80GHz (2794)
RAM -> [ Total : 1525 | Free : 488 ]
BIOS: Default System BIOS
BOOT: Normal boot

OS: Microsoft® Windows Vista™ Home Premium (6.0.6002 32-Bit) # Service Pack 2
WB: Windows Internet Explorer 9.0.8112.16421

SC: Security Center Service [ Enabled ]
WU: Windows Update Service [ Enabled ]
AV: avast! Antivirus [ Enabled | Updated ]
FW: Windows FireWall Service [ Enabled ]

C:\ (%systemdrive%) -> Disco fijo # 75 Gb (42 Mb libre(s) - 56%) [] # NTFS
D:\ -> CD-ROM
K:\ -> Disco fijo # 466 Gb (379 Mb libre(s) - 81%) [VERBATIM] # FAT32

################## | Procesos Activos |

C:\Windows\system32\csrss.exe (592)
C:\Windows\system32\wininit.exe (644)
C:\Windows\system32\csrss.exe (656)
C:\Windows\system32\services.exe (688)
C:\Windows\system32\lsass.exe (700)
C:\Windows\system32\lsm.exe (708)
C:\Windows\system32\winlogon.exe (756)
C:\Windows\system32\svchost.exe (904)
C:\Windows\system32\svchost.exe (976)
C:\Windows\System32\svchost.exe (1024)
C:\Windows\System32\svchost.exe (1104)
C:\Windows\System32\svchost.exe (1132)
C:\Windows\system32\svchost.exe (1176)
C:\Windows\system32\svchost.exe (1312)
C:\Windows\system32\SLsvc.exe (1348)
C:\Windows\system32\svchost.exe (1388)
C:\Windows\system32\svchost.exe (1628)
C:\Windows\system32\Dwm.exe (1752)
C:\Windows\Explorer.EXE (1788)
C:\Program Files\Alwil Software\Avast5\AvastSvc.exe (1840)
C:\Windows\sttray.exe (1984)
C:\Program Files\Mouse Setting\Mouse Setting Software\4.0\ACQTMAPP.exe (1992)
C:\Windows\hffext\hffsrv.exe (2004)
C:\Program Files\Alwil Software\Avast5\AvastUI.exe (2012)
C:\Program Files\RocketDock\RocketDock.exe (2020)
C:\Program Files\Backround Cycler\Backround Cycler.exe (388)
C:\Users\Ramon\AppData\Roaming\Dropbox\bin\Dropbox.exe (564)
C:\Windows\System32\spoolsv.exe (1964)
C:\Windows\system32\taskeng.exe (1184)
C:\Windows\system32\svchost.exe (1428)
C:\Windows\system32\taskeng.exe (2300)
C:\Program Files\Common Files\ABBYY\FineReaderSprint\9.00\Licensing\NetworkLicenseServer.exe (2524)
C:\Program Files\Bonjour\mDNSResponder.exe (2552)
C:\Program Files\Kodak\printer\center\KodakSvc.exe (2596)
C:\Program Files\Nitro PDF\Reader 2\NitroPDFReaderDriverService2.exe (2764)
C:\Windows\system32\svchost.exe (2788)
C:\Program Files\SigmaTel\C-Major Audio\WDM\STacSV.exe (2816)
C:\Windows\system32\svchost.exe (2984)
C:\Program Files\Wuala Dokan\mounter.exe (3020)
C:\Windows\System32\svchost.exe (3044)
C:\Windows\system32\SearchIndexer.exe (3064)
C:\Windows\system32\WUDFHost.exe (3252)
C:\Program Files\Mozilla Firefox\firefox.exe (2972)
C:\Windows\system32\svchost.exe (3000)
C:\Program Files\Mozilla Firefox\plugin-container.exe (2388)
C:\Windows\system32\conime.exe (1600)
C:\Users\Ramon\AppData\Roaming\9C00.exe (2500)
C:\Windows\explorer.exe (3672)
C:\Windows\system32\SearchProtocolHost.exe (3900)
C:\Windows\system32\SearchFilterHost.exe (1328)
C:\UsbFix\UsbFix.exe (2488)
C:\Windows\system32\wbem\wmiprvse.exe (296)

################## | Procesos Parados |

Parado! C:\Windows\system32\SLsvc.exe (1348)
Parado! C:\Program Files\Alwil Software\Avast5\AvastSvc.exe (1840)
Parado! C:\Windows\sttray.exe (1984)
Parado! C:\Program Files\Mouse Setting\Mouse Setting Software\4.0\ACQTMAPP.exe (1992)
Parado! C:\Windows\hffext\hffsrv.exe (2004)
Parado! C:\Program Files\Alwil Software\Avast5\AvastUI.exe (2012)
Parado! C:\Program Files\RocketDock\RocketDock.exe (2020)
Parado! C:\Program Files\Backround Cycler\Backround Cycler.exe (388)
Parado! C:\Users\Ramon\AppData\Roaming\Dropbox\bin\Dropbox.exe (564)
Parado! C:\Windows\System32\spoolsv.exe (1964)
Parado! C:\Windows\system32\taskeng.exe (1184)
Parado! C:\Windows\system32\taskeng.exe (2300)
Parado! C:\Program Files\Common Files\ABBYY\FineReaderSprint\9.00\Licensing\NetworkLicenseServer.exe (2524)
Parado! C:\Program Files\Bonjour\mDNSResponder.exe (2552)
Parado! C:\Program Files\Kodak\printer\center\KodakSvc.exe (2596)
Parado! C:\Program Files\Nitro PDF\Reader 2\NitroPDFReaderDriverService2.exe (2764)
Parado! C:\Program Files\SigmaTel\C-Major Audio\WDM\STacSV.exe (2816)
Parado! C:\Program Files\Wuala Dokan\mounter.exe (3020)
Parado! C:\Windows\system32\SearchIndexer.exe (3064)
Parado! C:\Windows\system32\WUDFHost.exe (3252)
Parado! C:\Program Files\Mozilla Firefox\firefox.exe (2972)
Parado! C:\Program Files\Mozilla Firefox\plugin-container.exe (2388)
Parado! C:\Windows\system32\conime.exe (1600)
Parado! C:\Users\Ramon\AppData\Roaming\9C00.exe (2500)

################## | Archivos # Carpetas infectadas |

Suprimido ! C:\Users\Ramon\AppData\Roaming\9C00.exe
Suprimido ! K:\Nero.lnk
Suprimido ! K:\Mis video.lnk
Suprimido ! K:\Pictures.lnk
Suprimido ! K:\Music.lnk
Suprimido ! K:\Mis Documentos.lnk
Suprimido ! K:\Ciber Libros.lnk
Suprimido ! K:\Descargas de software.lnk
Suprimido ! K:\AutoCad 2011.lnk
Suprimido ! K:\Recycler\e621ca05.exe
Suprimido ! C:\$RECYCLE.BIN\S-1-5-21-582751384-3969310281-1385445673-1000
Suprimido ! K:\Recycler\desktop.ini

(!) Archivos temporales suprimido.

################## | Registro |


################## | Mountpoints2 |


################## | Listing |

[13/11/2011 - 09:05:26 | SHD ] C:\$Recycle.Bin
[02/08/2011 - 15:54:09 | D ] C:\Archivos de programa
[18/09/2006 - 15:43:36 | N | 24] C:\autoexec.bat
[02/08/2011 - 17:47:36 | D ] C:\Boot
[10/04/2009 - 22:36:38 | RASH | 333257] C:\bootmgr
[02/08/2011 - 09:44:32 | N | 8192] C:\BOOTSECT.BAK
[18/09/2006 - 15:43:37 | N | 10] C:\config.sys
[02/11/2006 - 07:02:03 | SHD ] C:\Documents and Settings
[13/11/2011 - 07:11:22 | ASH | 1600110592] C:\hiberfil.sys
[11/08/2011 - 11:54:47 | N | 0] C:\IO.SYS
[11/08/2011 - 11:54:47 | N | 0] C:\MSDOS.SYS
[24/10/2011 - 13:40:35 | RHD ] C:\MSOCache
[13/11/2011 - 07:11:21 | ASH | 1913987072] C:\pagefile.sys
[20/01/2008 - 20:32:31 | D ] C:\PerfLogs
[10/11/2011 - 12:49:59 | D ] C:\Program Files
[10/11/2011 - 12:50:03 | HD ] C:\ProgramData
[10/11/2011 - 13:30:27 | SHD ] C:\System Volume Information
[13/11/2011 - 09:05:27 | D ] C:\UsbFix
[13/11/2011 - 09:03:31 | A | 6503] C:\UsbFix.txt
[02/08/2011 - 15:57:52 | D ] C:\Users
[13/11/2011 - 08:15:27 | D ] C:\Windows
[09/09/2010 - 12:04:06 | D ] K:\Nero
[12/11/2011 - 21:17:50 | HD ] K:\RECYCLER
[05/06/2011 - 21:25:36 | SHD ] K:\$RECYCLE.BIN
[18/01/2011 - 18:18:52 | D ] K:\Mis video
[21/03/2011 - 11:44:44 | D ] K:\Pictures
[08/01/2011 - 20:49:04 | D ] K:\Music
[05/06/2011 - 23:05:56 | D ] K:\Mis Documentos
[10/05/2011 - 20:43:00 | D ] K:\Ciber Libros
[06/06/2011 - 20:58:12 | D ] K:\Recycled
[06/06/2011 - 20:58:12 | SHD ] K:\System Volume Information
[05/06/2011 - 21:18:02 | D ] K:\Descargas de software
[05/07/2011 - 22:43:52 | N | 126961] K:\Marca Firefox.png
[04/10/2011 - 21:13:30 | D ] K:\Dropbox
[26/09/2010 - 15:57:16 | D ] K:\AutoCad 2011
[12/11/2011 - 16:15:26 | ASH | 5120] K:\Thumbs.db

################## | Vaccin |

C:\Autorun.inf -> Vacuna creada por UsbFix (El Desaparecido)
K:\Autorun.inf -> Vacuna creada por UsbFix (El Desaparecido)

################## | Upload |

Por favor, envie el archivo: C:\UsbFix_Upload_Me_RAMON1.zip
http://eldesaparecido.com/support.php
Gracias por su contribución.

################## | E.O.F |




Malwarebytes' Anti-Malware 1.51.2.1300
www.malwarebytes.org

Versión de la Base de Datos: 8153

Windows 6.0.6002 Service Pack 2
Internet Explorer 9.0.8112.16421

13/11/2011 11:08:22 a.m.
mbam-log-2011-11-13 (11-08-12).txt

Tipos de Análisis: Análisis Completo (C:\|K:\|)
Objetos examinados: 308645
Tiempo transcurrido: 1 hora(s), 1 minuto(s), 30 segundo(s)

Procesos en Memoria Infectados: 1
Módulos de Memoria Infectados: 0
Claves del Registro Infectadas: 0
Valores del Registro Infectados: 0
Elementos de Datos del Registro Infectados: 1
Carpetas Infectadas: 0
Archivos Infectados: 8

Procesos en Memoria Infectados:
c:\Users\Ramon\AppData\Roaming\FF7.exe (Backdoor.Bot.WPM) -> 3520 -> No action taken.

Módulos de Memoria Infectados:
(No se han detectado elementos maliciosos)

Claves del Registro Infectadas:
(No se han detectado elementos maliciosos)

Valores del Registro Infectados:
(No se han detectado elementos maliciosos)

Elementos de Datos del Registro Infectados:
HKEY_CURRENT_USER\SOFTWARE\Policies\Microsoft\Internet Explorer\control panel\HomePage (PUM.Hijack.HomePageControl) -> Bad: (1) Good: (0) -> No action taken.

Carpetas Infectadas:
(No se han detectado elementos maliciosos)

Archivos Infectados:
c:\Users\Ramon\AppData\Roaming\FF7.exe (Backdoor.Bot.WPM) -> No action taken.
c:\UsbFix\quarantine\C\Users\Ramon\AppData\Roaming\9c00.exe.vir (Backdoor.Bot.WPM) -> No action taken.
c:\UsbFix\quarantine\K\Recycler\e621ca05.exe.vir (Backdoor.Bot.WPM) -> No action taken.
c:\users\ramon\appdata\roaming\ifbsba.exe (Backdoor.Bot.WPM) -> No action taken.
k:\RECYCLER\e621ca05.exe (Backdoor.Bot.WPM) -> No action taken.
k:\descargas de software\herramientas pc\aspecto y presencia\temas de escritorios\talisman\setup.exe (PUP.Perflogger) -> No action taken.
k:\descargas de software\Imágenes\cambiar formato de imágenes\image2icon_installer_g.exe (PUP.Adware.RKN) -> No action taken.
k:\descargas de software\ofimática\PDF\pwremover\pwdremover.exe (PSWTool.PdfCracker) -> No action taken.



ESETSmartInstaller@High as CAB hook log:
OnlineScanner.ocx - registred OK
# version=7
# iexplore.exe=9.00.8112.16421 (WIN7_IE9_RTM.110308-0330)
# OnlineScanner.ocx=1.0.0.6583
# api_version=3.0.2
# EOSSerial=4dfd98f0a5f713478113a551cd345e49
# end=finished
# remove_checked=true
# archives_checked=true
# unwanted_checked=true
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2011-11-13 08:25:41
# local_time=2011-11-13 02:25:41 (-0600, Hora estándar central (México))
# country="Mexico"
# lang=1033
# osver=6.0.6002 NT Service Pack 2
# compatibility_mode=770 16774141 100 100 4781726 96993069 0 0
# compatibility_mode=5892 16776573 100 95 8789831 157815925 0 0
# compatibility_mode=8192 67108863 100 0 0 0 0 0
# scanned=159525
# found=28
# cleaned=28
# scan_time=11144
C:\UsbFix_Upload_Me_RAMON1.zip Win32/Dorkbot.D worm (deleted - quarantined) 00000000000000000000000000000000 C
C:\UsbFix\Quarantine\K\AutoCad 2011.lnk.vir Win32/Dorkbot.D worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
C:\UsbFix\Quarantine\K\Ciber Libros.lnk.vir Win32/Dorkbot.D worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
C:\UsbFix\Quarantine\K\Descargas de software.lnk.vir Win32/Dorkbot.D worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
C:\UsbFix\Quarantine\K\Mis Documentos.lnk.vir Win32/Dorkbot.D worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
C:\UsbFix\Quarantine\K\Mis video.lnk.vir Win32/Dorkbot.D worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
C:\UsbFix\Quarantine\K\Music.lnk.vir Win32/Dorkbot.D worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
C:\UsbFix\Quarantine\K\Nero.lnk.vir Win32/Dorkbot.D worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
C:\UsbFix\Quarantine\K\Pictures.lnk.vir Win32/Dorkbot.D worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
K:\Nero.lnk Win32/Dorkbot.D worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
K:\$RECYCLE.BIN.lnk Win32/Dorkbot.D worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
K:\Mis video.lnk Win32/Dorkbot.D worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
K:\Pictures.lnk Win32/Dorkbot.D worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
K:\Music.lnk Win32/Dorkbot.D worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
K:\Mis Documentos.lnk Win32/Dorkbot.D worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
K:\Ciber Libros.lnk Win32/Dorkbot.D worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
K:\Recycled.lnk Win32/Dorkbot.D worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
K:\System Volume Information.lnk Win32/Dorkbot.D worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
K:\Descargas de software.lnk Win32/Dorkbot.D worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
K:\Dropbox.lnk Win32/Dorkbot.D worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
K:\AutoCad 2011.lnk Win32/Dorkbot.D worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
K:\Descargas de software\Entretenimiento\Juegos\real-checkers.exe MSIL/Solimba.A application (deleted - quarantined) 00000000000000000000000000000000 C
K:\Descargas de software\Herramientas PC\Aspecto y presencia\Barras Dock\RocketDock\installer-RocketDock-Spanish-Castellano.exe Win32/Toggle application (deleted - quarantined) 00000000000000000000000000000000 C
K:\Descargas de software\Herramientas PC\Aspecto y presencia\Barras Dock\RocketDock\RocketDock-Spanish.exe Win32/Toggle application (deleted - quarantined) 00000000000000000000000000000000 C
K:\Descargas de software\Herramientas PC\Aspecto y presencia\Lebendig\L_E_B_E_N_D_I_G_by_devrexster.exe probably a variant of Win32/Adware.Agent.GPUJIBZ application (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
K:\Descargas de software\Imágenes\Cambiar formato de imágenes\image2icon_installer_g.exe multiple threats (deleted - quarantined) 00000000000000000000000000000000 C
K:\Descargas de software\Internet\Appletes Internet\Mensajeros\Messenger\MsgPlusLive-483.exe a variant of Win32/Adware.CiDHelp application (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
K:\AutoCad 2011\KeygenAutoCad2011\AutoCAD.2011.KeyGen.Gnrsu.com.rar a variant of Win32/Keygen.BL application (deleted - quarantined) 00000000000000000000000000000000 C