Carpetas Ocultas -opción dañada- virus sxs.exe

Hola amigo:

Pues mira a mi tambien me deshabilito las opciones de carpeta y por consiguiente no podia ver los archivos ocultos y del sistema para borrar los archivos sxs.exe y autorun.inf de los discos duros de mi pc ademas de las memorias usb. No estoy seguro si este virus SVOHOST es el que hace esto al sistema operativo ya que yo tenia dos virus el SVOHOST y otro que se llama Brontok.AQ este ultimo lo elimine con NOD32 un antivirus que baje de internet.
Ahora respecto a eso que comentas de que te deshabilito "opciones de carpeta" lo que yo hice fue crear otro usuario para windows y con privilegios de administrador, y cuando inicie la otra sesion que habia creado en esta sesion si me mostraba la opcion de "Opciones de carpeta" del menu herramientas y procedi a activar "Ver archivos ocultos y del sistema" Hecho esto procedi a buscar los archivos sxs.exe y autorun.inf que se instalan en los discos duros que tengas en tu pc y en las memorias usb. y los borre. Y se acabo el problema con el virus. Lamentablemente como en la primera sesion que tenia como administrador no pude volver a habilitar la opcion de "Opciones de carpeta" ademas de que no me dejaba entrar a "regedit" lo que hice fue eliminar ese usuario y quedarme con el nuevo que habia creado y que si me permitia estas opciones, pero antes de ello respalde los documentos que tenia en el otro usuario. Y asi fue como elimine el virus.

aqui te dejo las instrucciones para quitarlo de tu pc:

El virus se comporta de la siguiente manera:

1.- Cuando un dispositivo de almacenamiento extraíble infectado es conectado a la computadora; se ejecuta el archivo sxs.exe gracias a un auto arranque que el mismo virus puso en el dispositivo infectado.
2.- El archivo sxs.exe instala el gusano SVOHOST.exe en C:\Windows\System32\SVOHOST.exe.
3.- El archivo sxs.exe copia el archivo winscok.dll en C:\Windows\System32\winscok.dll.
4.- El Archivo sxs.exe agrega la siguiente clave de registro para que el gusano SVOHOST.exe se auto ejecute cada vez que la computadora inicia:
"SoundMam" = "%System%\SVOHOST.exe"
a la subclave de registro:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
5.- Después intenta deshabilitar ciertos productos antivirus al terminar ciertos procesos, borrar algunas claves de registro y terminar ciertos servicios.

6.- Posteriormente monitorea la conexión de dispositivos de almacenamiento extraíbles para copiarse a si mismo en la ruta:
[Letra de la unidad]:\sxs.exe


8.- Crea las instrucciones necesarias para ejecutar el gusano cuando el dispositivo extraíble sea conectado en el archivo INF:
[Letra de la Unidad]:\autorun.inf

9.- Intenta registrar nombres de usuarios y contraseñas usados en mensajería instantánea y mandarlos por correo a ciertas paginas Web usando el protocolo SMTP.
Puede descargar ciertos archivos ejecutables de Internet.

Eliminar este virus es muy sencillo; simplemente hay que hacer lo siguiente:

1.- No usar contraseñas en mensajeria instantanea hasta que el gusano haya sido eliminado.
2.- Actualizar el software antivirus y realizar un escaneo completo.
3.- Si el gusano no fue encontrado, terminar el proceso SVOHOST.exe.
4.- Buscar el archivo SVOHOST.exe en C:\Windows\System32\ y eliminarlo.
5.- Buscar el archivo winscok.dll en C:\Windows\System32\ y eliminarlo.
6.- Eliminar la clave de registro:

"SoundMam" = "%System%\SVOHOST.exe"

En la subclave de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

Otra manera de eliminarlo es con una secuencia de comandos en consola para eliminar el virus:

Entra a la consola de Windows:

1.- Inicio
2.- Ejecutar
3.- CMD



Si tenes Windows XP Profesional o Windows 2000 Escribe esta linea y presiona enter:
taskkill /f /im svohost.exe

De lo contrario si tienes Windows XP Home Escribe esta linea y presiona enter:
tskill svohost.exe

Escribe cada linea y presiona enter:
ATTRIB -R -H -S -A %SystemRoot%\System32\SXS.EXE
ATTRIB -R -H -S -A %SystemRoot%\System32\SVOHOST.EXE
ATTRIB -R -H -S -A %SystemRoot%\System32\WINSCOK.DLL
DEL /F /Q %SystemRoot%\System32\SXS.EXE
DEL /F /Q %SystemRoot%\System32\SVOHOST.EXE
DEL /F /Q %SystemRoot%\System32\WINSCOK.DLL
ATTRIB -R -H -S -A %SystemRoot%\SXS.EXE
ATTRIB -R -H -S -A %SystemRoot%\SVOHOST.EXE
ATTRIB -R -H -S -A %SystemRoot%\WINSCOK.DLL
DEL /F /Q %SystemRoot%\SXS.EXE
DEL /F /Q %SystemRoot%\SVOHOST.EXE
DEL /F /Q %SystemRoot%\WINSCOK.DLL
ATTRIB -R -H -S -A %SystemRoot%\System\SXS.EXE
ATTRIB -R -H -S -A %SystemRoot%\System\SVOHOST.EXE
ATTRIB -R -H -S -A %SystemRoot%\System\WINSCOK.DLL
DEL /F /Q %SystemRoot%\System\SXS.EXE
DEL /F /Q %SystemRoot%\System\SVOHOST.EXE
DEL /F /Q %SystemRoot%\System\WINSCOK.DLL
ATTRIB -R -H -S -A %SystemRoot%\System32\dllcache\SXS.EXE
ATTRIB -R -H -S -A %SystemRoot%\System32\dllcac

Ahora ahi que quitar el incio automatico del virus y los cambios de registro que hizo haciendo lo siguiente en la consola:

reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v SoundMam /f

reg delete "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoDriveTypeAutoRun /f

reg add "hkey_local_machine\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\showall" /v checkedvalue /t REG_DWORD /d "00000001" /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\srservice" /v Start /t REG_DWORD /d "00000002" /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc" /v Start /t REG_DWORD /d "00000002" /f

reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoDriveTypeAutoRun /t REG_DWORD /d "00000001" /f
regsvr32.exe -c c:\windows\system32\regwizc.dll

Todos esto es un proceso manual y tedioso, si quieres que esto sea automatico si tener que hacer todos estos pasos solo escribe a este correo solicitandome un programa que tengo que hace todo esto por ti: **EDITADO**

MorfeoMayelillo:
Deberias citar la fuente de donde obtuviste el texto para tu post, por personas como tu que se atribuyen la investigación de otros es porque muchos no comparten su información hacia el bien de la comunidad.
Te lo digo en base a una semana más o menos de investigación en la creación de este batch y que di a conocer en mi blog.
Saludos
**EDITADO ENLACE**

Holas a todos

Chicos, para borrar el virus Pasobir hay una herramienta hace rato, el AntiSXS (solo que no la encuentro ya que caduco el link), por lo cual cualquier persona pudo haber publicado el batch, ya qu ya hay uno hace tiempo, y pudo no ser el mismo que tu publicaste.

Para activar los archivos ocultos, puedes utilizar Reg Unlocker v1.1

Salu2

Holas a todos

Chicos, para borrar el virus Pasobir hay una herramienta hace rato, el AntiSXS (solo que no la encuentro ya que caduco el link), por lo cual cualquier persona pudo haber publicado el batch, ya qu ya hay uno hace tiempo, y pudo no ser el mismo que tu publicaste.

Para activar los archivos ocultos, puedes utilizar Reg Unlocker v1.1

Salu2

Hardrive:
Mr google no encuentra esa herramienta AntiSXS, no se que link estas hablando
**EDITADO ENLACE**

Hola, Saludos.

Mi Nombre es Luis Alberto Ovando Brito. Soy Licenciado en Sistemas Computacionales y me he estado dedicando contribuir al mundo de la computación e informatica con investigaciones y proyectos.

Entre mis ultimas investigaciones, realice un programa ejecutable de consola (CMD) para eliminar al W32.Pasobir basandome en lo publicado por Gerald E. Sosa Sosa.

El resultado de mi investigación, fue una nota en mi Blog con todo lo relacionado a este virus (mejor conocido como el SxS o SVOHOST, mal conocido por cierto ya que esos son los procesos involucrados no el nombre del virus).

En mi blog puse el resultado de mi investigación mas la parte que Gerald publico en su blog; ademas hice la correspondiente cita de donde tome las instrucciones para hacer el programa.

Lo que ahora me tiene escribiendo en este foro, es que hay una entrada hecha por un tal MorfeoMayelillo a quien creo le mande el programa.

Resulta que este individuo puso una copia de la información en mi blog atribuyendose los creditos o almenos eso parece ya que no citó las fuentes.

Ademas, dejo la parte donde aparece la petición del programa con mi correo. ni siquiera tuvo la molestia de poner otra dirección.

El resultado es que me llegan peticiones del programa que con mucho gusto les doy, pero me dicen Morfeo y ademas de que leyeron mi consejo en un foro cuando no es asi.

Yo jamas he publicado algo aqui, de hecho no acostumbro a leer foros en español; solamente entre y me di de alta a este foro para aclarar todo esto.

Por ahora ya no dare mas el programa por la dirección que aparece en la entrada de MorfeoMayelillo, tendran que entrar a mi Blog (donde esta la fuente original y la correspondiente cita a la pagina de Gerald) para que revisen mi perfil y vean otra direccion que ahi tengo y me pidan el programa por ese medio.

NO RESPONDERE NINGUN CORREO QUE LLEGUE POR **EDITADO** ya que esa dirección (que es la que originalmente habia yo dado para mandar el progama y que uso MORFEOMAYELILLO) no la utilizare mas para ese fin.

Aqui les doy el link de mi blog en donde podran leer mi articulo y podran ver la cita a lo hecho por Gerald (Incluido el link a su pagina).

**EDITADO ENLACE**

Por ultimo ahora estoy trabajando en resolver el problema que causa otro virus: EL W32/BRONTOK.