Nombre: Antivirus Gold
Tipo: Falso antivirus con funciones de Hijacker.
Alias: PSGuard, Antivirus Gold, AVGold, AntivirusGold, VX2.AVGold

El "Antivirus Gold" es conocido como el Antivirus que instala Virus, Hijackers, Toolbars y otros malwares aparte de dar falsos positivos para confundir al usuario a que tenga que comprarlo. Mas falsos programas antispyware AQUI


Pasos para eliminarlo:

Paso 1- Apague el "Restaurar Sistema" (solo en Win Me y XP)

Paso 2- Descargue la herramienta llamada DelPSGuard.zip y descomprímalo en el escritorio de Win pero aun no lo ejecute, si aun no lo tiene también descargue la ultima versión de HijackThis

Paso 3- Con todos los programas cerrados ejecute el HijackThis y dele a alguna de estas entradas si se encuentran.

O4 - HKLM\..\Run: [WindowsFZ] C:\WINDOWS\System32\LogFiles\A5281300.so

O4 - HKCU\..\Run: [Intel system tool] C:\WINDOWS\System32\winnook.exe

O4 - HKCU\..\Run: [Intel system tool] C:\WINDOWS\system32\hookdump.exe

**Nota 1** En caso de la variante con Toolbar Azesearch aplicarle tambien a estas entradas:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.azesearch.com

O2 - BHO: ZToolbar Activator Class - {da7ff3f8-08be-4cac-bc00-94d91c6ae7f4} - C:\WINDOWS\azesearch4.dll

O2 - BHO: ZToolbar Activator Class - {da7ff3f8-08be-4cac-bc00-94d91c6ae7f4} - C:\WINDOWS\SYSTEM\AZESEARCH4.OCX

O2 - BHO: AddressBar Class - {f65b197f-8260-4d52-909a-f70118e646eb} - C:\WINDOWS\SYSTEM32\IASADA.DLL

O3 - Toolbar: AZE Search - {a19ef336-01d4-48e6-926a-fe7e1c747aed} - C:\WINDOWS\azesearch4.dll

Paso 4- Sin reiniciar ejecutar HijackThis y presionar el botón "CONFIG..." ahi buscar arriba el botón que dice "MISC TOOLS" y ahora en esa pantalla pulsar en "OPEN HOSTS FILE MANAGER"

Paso 5- Eliminar todas las entradas que tengan menos esta -> 127.0.0.1 localhost cuidado que esta no!

Paso 5- Reiniciar eh iniciar en "Modo a prueba de fallos" (modo seguro)

Paso 6- Ejecute el archivo DelPSGuard.bat que se encuentra dentro de la herramienta DelPSGuard.zip y siga las instrucciones del programa.

**Nota ** Esta herramienta aparte de eliminar las entradas en el registro de Windows pertenecientes a este parásito, libera la pagina de inicio del IE de su secuestro, dejando la de nuestro foro www.forospyware.com momentáneamente la cual puede ser cambiada por el usuario en cualquier momento.

Paso 7- Busque y si tiene alguno de estos archivos eliminelo manualmente.

C:\WINDOWS\SYSTEM\hookdump.exe
C:\WINDOWS\System32\LogFiles\A5281300.so
C:\WINDOWS\System32\winnook.exe
C:\WINDOWS\desktop.html
C:\WINDOWS\screen.html

**Nota ** El directorio del sistema de Windows puede variar de acuerdo al sistema operativo instalado ("c:\windows\system32" en Windows XP y Windows Server 2003, "c:\winnt\system32" en Windows NT y 2000 y "c:\windows\system" en Windows 9x y ME). La unidad de disco "C:" es solo un ejemplo, ya aunque por defecto se instala en esa unidad, la misma puede ser cambiada por el usuario.

Paso 8- Usar Disk Cleaner para limpiar cookies y temporales

Paso 9- Reiniciar en modo normal.

**Nota** Si el problema persiste o necesitan ayudar en alguno de los pasos pueden pegar su log para ser analizado en el "Foro de HijackThis"

Restauración del Escritorio de Windows

Si una vez eliminado los archivos Desktop.html y Screen.html el escritorio se sigue mostrando asi:


Para solucionar esto en Win XP podemos "Crear una nueva cuenta de usuario" con funciones de Administrador y decirle que nos copie el mismo contenido que la cuenta anterior, para una vez verificado que con este nuevo usuario el problema no esta y nuestras carpetas y archivos si podemos eliminar la cuenta de usuario infectada.

__________________