Foro de InfoSpyware - Foro de Hijackthis - Foro de Virus

Modo Seguro (Modo a prueba de fallos)

Pregunta: ¿Por qué Windows no inicia en Modo Seguro (Modo a prueba de fallos)?

Respuesta: Este problema es generado por una técnica utilizada por diversos malwares que consiste en atacar la siguiente subclave del registro de Windows:
Para solucionar este problema es necesario restaurar la subclave del registro a su estado original.
Siga alguno de los siguientes métodos para reparar el error:

Opción 1: Restaurar Sistema
En primer lugar se recomienda utilizar la herramienta de Windows "Restaurar Sistema", para devolver la configuración del sistema a un estado (fecha) anterior, en la que sí se podía iniciar en Modo Seguro.


Opción 2: Parche del registro
En caso de que no se pueda Restaurar Sistema, podemos reparar la subclave ejecutando el parche SafeMode Repair (está al final del post):


Opción 3: SUPERAntiSpyware
Como tercera opción, el SUPERAntiSpyware posee una reparación similar a la anterior, en la pestaña "Repairs" ("Reparar" en la versión en español) de las "Preferences" ("Preferencias"), llamada "Repair broken SafeBoot Key":





Descargar SafeMode Repair

Ventanas de publicidad

Pregunta: Me aparecen ventanas de publicidad, popups, ventanas emergentes ¿Cómo puedo eliminarlas?

Respuesta: Esta publicidad es conocida como Adware y despliega publicidad a manera de popups.

Son diversas variantes de infección que utilizan este método, pero los casos mas comunes provienen de infecciones como:

• Lop.com
• Vundo
• Look2me
• Adware.Navipromo

Si le aparecen ventanas emergentes es muy probable que tenga alguna de estas infecciones. Lo pasos para su eliminación son los siguientes:

Lop.com

Este adware ya tiene mucho tiempo en circulación y su principal difusor es el patrocinador del programa Messenger Plus!

Si le aparecen ventanas emergentes y tiene instalado el patrocinador del Messenger Plus, lo mas recomendable es desinstalar el patrocinador, luego el Messenger Plus y luego seguir los pasos de este enlace.

Vundo o Virtumonde

Esta infección crea archivos de nombre aleatorios con extensión dll, y algunas variantes de esta infección no se ven reflejadas en un log de Hijackthis, lo que hace mas difícil su detección

Los pasos para su eliminación se describen en este mensaje.

Look2me

Esta infección al igual que Vundo, crean archivos de nombre aleatorio con extensión dll, pero a su vez añade direcciones al archivo Hosts de manera que pueda redireccionarnos a sitios determinados por la infección o inclusive bloquearnos el acceso a ciertas páginas web.

Los pasos para su eliminación se describen en este mensaje

Adware.Navipromo

Esta infección tiene la particularidad de crear archivos aleatorios, con la particularidad de tener el "agregado" _nav y _navps los dos del tipo dat

C:\WINDOWS\system32\refqxegcn.exe
C:\WINDOWS\system32\refqxegcn.dat
C:\WINDOWS\system32\refqxegcn_nav.dat
C:\WINDOWS\system32\refqxegcn_navps.dat

Los pasos para su eliminación se describen en este mensaje

Mantener "Java Runtime Environment" actualizado.

Que es JAVA ? para que sirve ? y porque tendría que tenerlo actualizado ?

Respuesta:

El software de Java le permite ejecutar aplicaciones que se han escrito utilizando el lenguaje de programación de Java y que reciben el nombre de "applets". Los applets le permiten jugar en línea, participar en sesiones de chat con internautas de todo el mundo, ver imágenes en tres dimensiones entre otras funciones.

Java Runtime Environment incluye todos los módulos de ejecución necesarios, la Maquina Virtual Java (JVM) para ejecutar aplicaciones hechas con Java.

Incluye también el Java Plug-in que da la posibilidad
de usar la ultima implementación Java de Sun en los navegadores Internet Explorer, así como Mozilla Firefox, en lugar de usar la máquina virtual de Java (JVM) que el navegador trae por defecto y así acelerando el funcionamiento de este.


Como actualizar Java Runtime Environment?

Este es un punto muy importante ya que las versiones anteriores tiene vulnerabilidades que los malwares podrían utilizar para infectar su sistema.

• Descargar la ultima versión Java Runtime Environment (JRE) 6 Update 17.
• Haga clic en el botón "Iniciar descarga" para iniciar la descarga
• Siga los pasos indicados en el sitio oficial de JAVA para instalar este correctamente.
• Ir a "Menú Inicio" > "Panel de Control" > "Agregar/Quitar Programas"
• Desinstalar cualquier otra versión anterior de Java que se encuentre que no corresponda al numero de esta ultima que hemos instalado.
• Reiniciar el sistema.

*Nota* Java no trabaja en Win 9.x o MI.

Malware del DOBLE TILDE (´´)

Pregunta: Como solucionar el problema del doble acento ya que no puedo escribir palabras con tildes porque me salen dobles: (´´).

Respuesta: Este tipo de infección se propaga por medio de correos electrónicos (emails) de Spam con archivos adjuntos y en redes P2P.

Los nombres de este malware son:
Wsnpoem, Trojan.W32/Wsnpoem.AW, Troj/Dloadr-AWJ, Win32.Agent.pz, Troj/Small-EKM, Wsnpoem.AW

• Utiliza técnicas de Keylogger para captar las pulsaciones de teclas en un archivo modificando las tildes en los sistemas en español.
  
• Monitoriza el tráfico web y captura la información introducida por el usuario en ciertas páginas web.
  
• Elimina todas las cookies para que el usuario tenga que introducir los datos de acceso a las páginas que visita.
  
• Envía la información recogida a su autor y envía el nombre de la máquina a la siguiente dirección: 209.1<bloqueado>25/cstable/s.php

Crea las siguientes ficheros en el directorio de sistema de Windows:

• NTOS.EXE, corresponde a una copia del malware

Crea la siguiente subcarpeta y con los siguientes archivos:

• C:\WINDOWS\System32\WSNPOEM\AUDIO.DLL
• C:\WINDOWS\System32\WSMPOEM\VIDEO.DLL

En HijackThis lo verán representado de este modo:

F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\Userinit.exe,C:\WINDO WS\system32\ntos.exe,



Pasos para su eliminación:

Como habrán visto la eliminación de este actualmente es muy fácil ya que el MBAM contiene todas las variantes de este malware y las puede eliminar sin que tengamos que hacer mucho mas.


En caso de que el problema persista, siempre puede solicitar ayuda en el Foro Oficial de HijackThis en español.

Nombre: MBR Rootkit/Mebroot
Tipo: Virus con funciones de Rootkit
Alias: Trojan.Mebroot (Symantec), Troj/Mbroot-A (Sophos), StealthMBR (McAfee), StealthMBR!rootkit (McAfee), TROJ_AGENT.APA (Trend Micro), Trojan.Win32.Agent.dsj (Kaspersky), Win32/Mebroot.A (Computer Associates), Trojan/Mebroot (Hacksoft), Win32 Sinowal (Norman).


Este malware ataca directamente al MBR (Master Boot Record) reemplazándolo por uno que el mismo malware genera, dificultando su eliminación mediante comandos de consola de MS-Dos pues los deshabilita, además de abrir una puerta trasera para recibir comandos de diferentes direcciones : hxxp://dkfhchkb.Xom/ser, hxxp://gfeptwe.Xom., hxxp://gfkliy.Xxx.\X, entre otras.





Herramientas necesarias para la eliminación del Malware

• MalwaresBytes' Antimalware
• ESET Mebroot Remover \ EMebRemover.exe
• CCleaner

Pasos para su eliminación







Articulo relacionado: Nueva versión del MBR rootkit ha sido descubierta