Virus policía.

Hola. He pasado el avila rescue desde cd-rom ya que no puedo entrar en modo seguro. Tras hacerlo todo y guardar el informe, he reiniciado en modo normal y otra vez sale lo de la policia en el escritorio. No me ha dado tiempo a nada por lo que no puedo acceder al registro guardado. Solo me salía un troyano, algo así como drooper.gen creo que ponía. Iba a pasarle después el polifix, pero como no puedo entrar pues no hay manera. ¿Qué hago?

Hola de nuevo. Gracias por la respuesta. Te cuento: como te dije, el Avira no me solucionó el problema. He probado 4 veces con el CD de Kaspersky, y me da diversos problemas: la primera vez se quedó bloqueado al 49% del analisis en un fichero de extensión .class (a lo mejor no tiene nada que ver pero lo digo por si las moscas). Reinicié a lo bruto (quitando la luz, no me dejaba otra manera) y me ponia que la base de datos estaba corrupta. Tras actualizarla se puso bien y comenzó el análisis. De nuevo se ha bloqueado, ahora al 50%, en otro fichero de extensión .class (aunque de nombre diferente). Se queda el disco como trabajando pero el ordenador no hace nada. No sé si es el disco o qué, porque he probado en las dos lectores de cd que tengo y pasa lo mismo. Decirte que aparte a ese porcentaje de análisis no ha detectado nada, así que sigo aquí con el dichoso virus policial... Ayuda please. Gracias de antemano.

Dejé el ordenador encendido mientras esperaba respuesta y cuando que he vuelto me lo he encontrando escaneando, va por el 95%. Ahora en un rato te digo cómo ha salido.

Nada de nada. Me pone "no amenazas detectadas". Y claro, he vuelto a reiniciar el ordenador y vuelve a salir el susodicho virus. He guardado el informe pero está en el disco duro... Ya no sé qué mas hacer.

He decidido formatear ya que no encuentro otra solución, pero antes quiero hacer un intento con algo que se me ha ocurrido y no sé si se puede hacer. Si pudieras responder mi duda te lo agradecería: ¿se puede restaurar un pc a una fecha anterior desde el setup? Si así fuera, ¿cómo? Gracias.

Hola qué tal. Tengo el windows xp y por el setup me refiero a la página que te sale si le das al f8 al arrancar. Pero en general me refiero a si se puede restaurar un pc a una fecha anterior sin necesidad de cargar el sistema operativo.
Voy a probar el programa que me dices por si acaso. Gracias.

Guau. Se ha quitado con el panda. ¿Le paso ahora el polifix o algún otro programa para asegurarme?

Originalmente publicado por Jess7788

Nada de nada. Me pone "no amenazas detectadas". Y claro, he vuelto a reiniciar el ordenador y vuelve a salir el susodicho virus. He guardado el informe pero está en el disco duro... Ya no sé qué mas hacer.

Hoy me paso algo asi,
Lo primero que hize fue entrar desde otra sesion, pues solo mi sesion estaba bloqueada, el resto de las sesiones de familia no.
Desde la otra ejecute malwarebytes, y nada, encotnro dos amenazas y nada de nada, al reniciar, seguia con el bloqueo en la sesion infectada.

lo que hize fue ejecutar el modo seguro con red. Ejecute el polyfix, y me desbloqueo la pantalla por 10 minutos y volvio el virus policia solo...

lo que hize entocnes fue ejecutar el malwarebytes en un scaneo rapido desde la sesion infectada.... y me encontro 8 archivos, (no 2 como antes), y ya me soluciono el error
espero que te sirva de algo esto

un saludo

Originalmente publicado por Javierhf

Por supuesto, debes seguir los pasos de nuestra guía, con Panda has conseguido desbloquear el equipo, pero ahora debes revisarlo para hacer una limpieza exhaustiva.

Eliminar Virus de la Policía (Ransomware)

Después cuando termines de pasar el PoliFix, pones el informe que te generará.

Muchas Gracias por tus comentarios, efectivamente si se puede entrar en modo a prueba de fallos, lo que hay que hacer es seguir los pasos que se indican en nuestra guía, nuestra herramienta PoliFix la mantenemos actualizada de manera permanente y ademas no hay que olvidarse de actualizar Java.

¿Cómo puedo comprobar si Java funciona en mi equipo?


pero no me explico porque el polyfix solo elimino la pantalla por 10 minutos y esta volvio, fue el malwarebytes la que elimino el problema, tras un scaner rapido desde la sesion infectada
El virus de la policía aprovecha un exploit de Java "in-the-wild" el secreto su éxito

Saludos.

pero no me explico porque el polyfix solo elimino la pantalla por 10 minutos y esta volvio, fue el malwarebytes la que elimino el problema, tras un scaner rapido desde la sesion infectada

Hola, el informe del polifix que fue lo que me permitió entrar nuevamente en mi ordenador:

#################################################### PoliFix by InfoSpyware ############

Polifix Versión 2.0.2 By InfoSpyware
Windows XP 32 Bits
Fecha: 24/05/2012
Hora: 16:14:00
java version "1.6.0_14"

--------------------------------- Malware eliminado by PoliFix ---------------------------------


--------------------------------------- Clear Java Cache ---------------------------------------



--------------------------------- Valores WINLOGON y USERINIT ---------------------------------




HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
Shell REG_SZ Explorer.exe




HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
Shell REG_SZ




HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
Userinit REG_SZ C:\WINDOWS\system32\userinit.exe


-------------------------------------- Valores claves RUN -------------------------------------



HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
ATIPTA REG_SZ
SoundMan REG_SZ
TkBellExe REG_SZ
<Sin nombre> REG_SZ
QuickTime Task REG_SZ
setc REG_SZ C:\Archivos de programa\MySecurityCenter\Programs\setc.exe
KMProcess REG_SZ
KMConfig REG_SZ
WinampAgent REG_SZ
SunJavaUpdateSched REG_SZ
Adobe Photo Downloader REG_SZ
EEventManager REG_SZ
avast REG_SZ
NvCplDaemon REG_SZ RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
nwiz REG_SZ
NvMediaCenter REG_SZ
pdackpfhbtgncjm REG_SZ

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\regist

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\setc



HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
CTFMON.EXE REG_SZ
MSMSGS REG_SZ
NBJ REG_SZ
{88428F43-49F0-D17A-F33B-23198DDA52BF} REG_SZ
pdackpfhbtgncjm REG_SZ



HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce



HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce



HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnceEx



HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run

------------------------------------------- LISTING -----------------------------------------

- Carpeta temporal -

El volumen de la unidad C no tiene etiqueta.
El número de serie del volumen es: 001F-961E

Directorio de C:\DOCUME~1\usuario\CONFIG~1\Temp

24/05/2012 16:14 <DIR> .
24/05/2012 16:14 <DIR> ..
24/05/2012 16:14 <DIR> Polifix
1 archivos 21.128 bytes
3 dirs 6.084.153.344 bytes libres

- Carpeta Datos de Programas -

El volumen de la unidad C no tiene etiqueta.
El número de serie del volumen es: 001F-961E

Directorio de C:\Documents and Settings\usuario\Datos de programa

25/11/2008 17:54 <DIR> AccurateRip
14/12/2007 14:03 <DIR> Adobe
06/05/2007 22:49 <DIR> AdobeUM
07/08/2006 20:21 <DIR> Ahead
22/03/2006 04:34 <DIR> Apple Computer
15/10/2011 13:14 <DIR> Aruzda
09/06/2006 15:50 <DIR> Azureus
03/12/2011 14:27 <DIR> BSplayer
03/12/2011 14:24 <DIR> BSplayer Pro
18/10/2011 14:52 110 burnaware.ini
02/12/2005 22:46 <DIR> CyberLink
07/08/2006 23:47 <DIR> Datalayer
25/11/2008 17:59 <DIR> dBpoweramp
01/12/2005 20:52 62 desktop.ini
08/11/2009 22:54 <DIR> dvdcss
09/01/2011 02:08 <DIR> Epson
01/04/2010 15:41 <DIR> FFSJ
29/03/2010 21:20 <DIR> FreeAudioPack
15/09/2006 19:00 <DIR> Google
10/12/2005 18:27 <DIR> Help
01/12/2005 21:12 <DIR> Identities
03/04/2010 21:58 <DIR> ImgBurn
17/01/2010 19:19 <DIR> InfraRecorder
08/01/2011 22:19 <DIR> InstallShield
01/12/2006 22:56 <DIR> InterVideo
30/04/2010 20:53 <DIR> Leadertech
20/12/2005 12:58 <DIR> Macromedia
10/02/2009 16:00 <DIR> Malwarebytes
11/09/2006 18:03 <DIR> Media Player Classic
15/08/2009 15:40 <DIR> Moyea
20/08/2006 16:29 <DIR> Mozilla
17/08/2006 19:41 <DIR> MSN6
09/08/2006 21:30 <DIR> Nokia
09/08/2006 21:20 <DIR> Nokia Multimedia Player
23/12/2005 23:19 <DIR> ONO
07/08/2006 23:43 <DIR> PC Suite
03/04/2010 18:24 7.176 pcouffin.cat
03/04/2010 18:24 1.144 pcouffin.inf
03/04/2010 18:24 33 pcouffin.log
03/04/2010 18:24 47.360 pcouffin.sys
21/05/2012 22:37 <DIR> PriceGong
20/10/2011 12:17 <DIR> Qayz
27/10/2006 22:54 <DIR> Real
21/03/2011 23:15 <DIR> searchqutoolbar
15/01/2010 20:00 <DIR> skypePM
15/08/2009 15:36 <DIR> Smart PPT Converter
31/03/2009 15:59 <DIR> Softplicity
24/04/2006 23:23 <DIR> Sun
13/03/2009 15:41 <DIR> SUPERAntiSpyware.com
20/08/2006 16:29 <DIR> Talkback
10/08/2009 20:21 <DIR> TeamViewer
20/08/2006 16:29 <DIR> Thunderbird
13/03/2008 14:18 <DIR> TrojanHunter
26/09/2011 16:14 <DIR> U3
21/08/2006 22:37 <DIR> vlc
03/04/2010 18:24 <DIR> Vso
13/03/2006 23:30 <DIR> WebCompiler2
18/02/2010 17:18 <DIR> WinRAR
6 archivos 55.885 bytes
52 dirs 6.084.149.248 bytes libres

#################################################### PoliFix - Search Log -Finalizado- ############

Y luego le he pasado el avira. Ayer no me detectó nada, a diferencia de hoy que ha detectado y borrado cuatro troyanos:

Avira / Linux Version 1.9.152.0
Copyright (c) 2010 by Avira GmbH
All rights reserved.
engine set: 8.2.10.68
VDF Version: 7.11.30.238
Scan start time: Thu May 24 20:44:11 2012
configuration file: /etc/avira/scancl.conf
WARNING: [Unexpected end of file] /media/Devices/hda1/Archivos de programa/Matroska Pack/uninst.exe


WARNING: [Unexpected end of block read] /media/Devices/hda1/Archivos de programa/Total Video Converter/StarBurn_SuperVideoCD.iso


WARNING: [Unexpected end of block read] /media/Devices/hda1/Archivos de programa/Total Video Converter/StarBurn_VideoCD.iso


WARNING: [Archive is invalid or corrupt] /media/Devices/hda1/Archivos de programa/WinRAR/rarnew.dat


WARNING: [Unexpected end of file] /media/Devices/hda1/Archivos de programa/Zoom Player/uninstall.exe


WARNING: [Unexpected end of file] /media/Devices/hda1/Archivos de programa/FLVPlayer/uninstall.exe


WARNING: [Bad compressed data] /media/Devices/hda1/Archivos de programa/BSPlayer/uninstall.EXE


ALERT: [TR/Weelsof.A.9] /media/Devices/hda1/Documents and Settings/All Users/Datos de programa/pdackpfhbtgncjmglqoc.exe <<< Is the Trojan horse TR/Weelsof.A.9 [deleted]


WARNING: [File is encrypted] /media/Devices/hda1/Documents and Settings/usuario/Datos de programa/SUPERAntiSpyware.com/SUPERAntiSpyware/Quarantine/Quarantine - 06-18-2009 - 00-46-58.SBU


WARNING: [File is encrypted] /media/Devices/hda1/Documents and Settings/usuario/Datos de programa/SUPERAntiSpyware.com/SUPERAntiSpyware/Quarantine/Quarantine - 03-13-2009 - 15-13-32.SBU


WARNING: [File is encrypted] /media/Devices/hda1/Documents and Settings/usuario/Datos de programa/SUPERAntiSpyware.com/SUPERAntiSpyware/Quarantine/Quarantine - 03-22-2009 - 21-34-18.SBU


WARNING: [File is encrypted] /media/Devices/hda1/Documents and Settings/usuario/Datos de programa/SUPERAntiSpyware.com/SUPERAntiSpyware/Quarantine/Quarantine - 03-31-2009 - 21-00-47.SBU


WARNING: [File is encrypted] /media/Devices/hda1/Documents and Settings/usuario/Datos de programa/SUPERAntiSpyware.com/SUPERAntiSpyware/Quarantine/Quarantine - 06-13-2009 - 16-15-58.SBU


WARNING: [File is encrypted] /media/Devices/hda1/Documents and Settings/usuario/Datos de programa/SUPERAntiSpyware.com/SUPERAntiSpyware/Quarantine/Quarantine - 06-27-2009 - 15-01-59.SBU


WARNING: [File is encrypted] /media/Devices/hda1/Documents and Settings/usuario/Datos de programa/SUPERAntiSpyware.com/SUPERAntiSpyware/Quarantine/Quarantine - 07-10-2009 - 00-41-55.SBU


WARNING: [File is encrypted] /media/Devices/hda1/Documents and Settings/usuario/Datos de programa/SUPERAntiSpyware.com/SUPERAntiSpyware/Quarantine/Quarantine - 08-13-2009 - 20-28-56.SBU


WARNING: [File is encrypted] /media/Devices/hda1/Documents and Settings/usuario/Datos de programa/SUPERAntiSpyware.com/SUPERAntiSpyware/Quarantine/Quarantine - 08-14-2009 - 12-35-17.SBU


WARNING: [File is encrypted] /media/Devices/hda1/Documents and Settings/usuario/Datos de programa/SUPERAntiSpyware.com/SUPERAntiSpyware/Quarantine/Quarantine - 10-01-2009 - 12-30-15.SBU


WARNING: [File is encrypted] /media/Devices/hda1/Documents and Settings/usuario/Datos de programa/SUPERAntiSpyware.com/SUPERAntiSpyware/Quarantine/Quarantine - 11-28-2009 - 14-33-53.SBU


WARNING: [Unexpected end of block read] /media/Devices/hda1/Documents and Settings/usuario/Escritorio/Series/Total video converter 3.11.zip --> Total video converter 3.11/tvc.exe --> {app}\StarBurn_SuperVideoCD.iso


WARNING: [Unexpected end of block read] /media/Devices/hda1/Documents and Settings/usuario/Escritorio/Series/Total video converter 3.11.zip --> Total video converter 3.11/tvc.exe --> {app}\StarBurn_VideoCD.iso


WARNING: [File is encrypted] /media/Devices/hda1/Documents and Settings/usuario/Escritorio/Series/realalt150.exe


WARNING: [Unsupported archive version] /media/Devices/hda1/Documents and Settings/usuario/Escritorio/Setup-s y exe-s/OggDS0995.exe


WARNING: [Unsupported archive version] /media/Devices/hda1/Documents and Settings/usuario/Escritorio/Setup-s y exe-s/SkypeSetup.exe


WARNING: [Unexpected end of block read] /media/Devices/hda1/Documents and Settings/usuario/Escritorio/Setup-s y exe-s/Total video converter 3.11/tvc.exe --> {app}\StarBurn_SuperVideoCD.iso


WARNING: [Unexpected end of block read] /media/Devices/hda1/Documents and Settings/usuario/Escritorio/Setup-s y exe-s/Total video converter 3.11/tvc.exe --> {app}\StarBurn_VideoCD.iso


WARNING: [Unexpected end of block read] /media/Devices/hda1/Documents and Settings/usuario/Mis documentos/Downloads/tvc.exe --> {app}\StarBurn_SuperVideoCD.iso


WARNING: [Unexpected end of block read] /media/Devices/hda1/Documents and Settings/usuario/Mis documentos/Downloads/tvc.exe --> {app}\StarBurn_VideoCD.iso


WARNING: [Archive not completly scanned. Reason: maximum uncompressed size (93724672) reached] /media/Devices/hda1/Documents and Settings/usuario/Mis documentos/Mis imágenes/Teatro/1ª parte.rar


WARNING: [Max file size reached] /media/Devices/hda1/Documents and Settings/usuario/Mis documentos/Mis imágenes/Teatro/1ª parte.rar


ALERT: [TR/Weelsof.A.9] /media/Devices/hda1/Documents and Settings/usuario/ms.exe <<< Is the Trojan horse TR/Weelsof.A.9 [deleted]


WARNING: [Unexpected end of file] /media/Devices/hda1/kav/personal/spanish/kav5.0.388_personales.exe --> [UnknownDir]


WARNING: [The files in archive are multiple volume] /media/Devices/hda1/kav/personal/spanish/kav5.0.388_personales.exe --> [UnknownDir]


ALERT: [TR/Weelsof.A.9] /media/Devices/hda1/WINDOWS/pdackpfhbtgncjmglqoc.exe <<< Is the Trojan horse TR/Weelsof.A.9 [deleted]


WARNING: [Unsupported archive version] /media/Devices/hda1/WINDOWS/system32/OggDSuninst.exe


ALERT: [TR/Weelsof.A.9] /media/Devices/hda1/WINDOWS/explorer_new.exe <<< Is the Trojan horse TR/Weelsof.A.9 [deleted]


WARNING: [Max file size reached] /media/Devices/hdd/initrd.gz


Statistics :
Directories............... : 7487
Archives.................. : 1811
Files..................... : 204385
Infected.............. : 4
Deleted........... : 4
Warnings.............. : 33
Suspicious............ : 0
Infections................ : 4

¿Estoy ya limpio? ¿Tengo que hacer algo mas? Gracias.