Otra vez, el mismo, en el mismo PC
Imàgenes tras el anàlisis con Malwarebytes
Log de Malwarebytes:
Código: Seleccionar todo
Malwarebytes Anti-Malware (Trial) 1.60.0.1800
www.malwarebytes.org
Database version: v2012.01.26.02
Windows XP Service Pack 3 x86 NTFS (Safe Mode)
Internet Explorer 8.0.6001.18702
Administrador :: VINAGRET-EDD1E3 [administrator]
Protection: Disabled
26/01/2012 12:32:12
¡¡¡ mbam-log-2012-01-26 26-1-12 (14-29-37).txt
Scan type: Full scan
Scan options enabled: Memory | Startup | Registry | File System | Heuristics/Extra | Heuristics/Shuriken | PUP | PUM
Scan options disabled: P2P
Objects scanned: 363292
Time elapsed: 1 hour(s), 53 minute(s), 9 second(s)
Memory Processes Detected: 0
(No malicious items detected)
Memory Modules Detected: 0
(No malicious items detected)
Registry Keys Detected: 0
(No malicious items detected)
Registry Values Detected: 0
(No malicious items detected)
Registry Data Items Detected: 1
HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders|SecurityProviders (Trojan.FakeMS) -> Bad: (IqlunkItlokk.dll) Good: () -> No action taken.
Folders Detected: 0
(No malicious items detected)
Files Detected: 15
C:\WINDOWS\system32\IqlunkItlokk.dll (Trojan.FakeMS) -> No action taken.
C:\WINDOWS\system32\ifxspmgtsrv.dll (Rootkit.0Access) -> No action taken.
C:\Archivos de programa\LP\24AE\1D.tmp (Trojan.Downloader.BH) -> No action taken.
C:\Archivos de programa\LP\24AE\2.exe (Trojan.Downloader.BH) -> No action taken.
C:\Documents and Settings\vinagre\Configuración local\Temp\35.tmp (Trojan.FakeMS) -> No action taken.
G:\SOFTWARE REC\0.1 Logos inicio E ICONOS\SoftonicDownloader_para_greenfish-icon-editor-pro.exe (PUP.BundleOffer.Downloader.S) -> No action taken.
G:\SOFTWARE REC\0.1 Logos inicio E ICONOS\SoftonicDownloader_para_icofx-portable.exe (PUP.BundleOffer.Downloader.S) -> No action taken.
G:\SOFTWARE REC\1 EDICION VIDEO\VIDEO PAD VIDEO EDITOR\SoftonicDownloader_para_videopad-video-editor.exe (PUP.BundleOffer.Downloader.S) -> No action taken.
G:\SOFTWARE REC\1.1 FOTOGRAFÌA (Photoshop etc)\Reshade.Image.Enlarger.v1.51\RES\Reshade Image Enlarger v1.51_Patch.exe (PUP.RiskwareTool.CK) -> No action taken.
G:\SOFTWARE REC\3.1 DISCO y desfragmentacion\formato bajo nivel\SoftonicDownloader_para_hdd-low-level-format-tool.exe (PUP.BundleOffer.Downloader.S) -> No action taken.
C:\Documents and Settings\Administrador\Configuración local\Temp\{E9C1E1AC-C9B2-4c85-94DE-9C1518918D02}.tlb (Rootkit.Zeroaccess) -> No action taken.
C:\Documents and Settings\LocalService\Configuración local\Temp\{E9C1E1AC-C9B2-4c85-94DE-9C1518918D02}.tlb (Rootkit.Zeroaccess) -> No action taken.
C:\Documents and Settings\NetworkService\Configuración local\Temp\{E9C1E1AC-C9B2-4c85-94DE-9C1518918D02}.tlb (Rootkit.Zeroaccess) -> No action taken.
C:\Documents and Settings\vinagre\Configuración local\Temp\{E9C1E1AC-C9B2-4c85-94DE-9C1518918D02}.tlb (Rootkit.Zeroaccess) -> No action taken.
C:\WINDOWS\Temp\{E9C1E1AC-C9B2-4c85-94DE-9C1518918D02}.tlb (Rootkit.Zeroaccess) -> No action taken.
(end)
Luego le apliquè el anàlisis con la herramienta de Karpersky, en MODO SEGURO
y volvìa a aparecer el mismo troyano, en la misma ubicaciòn, solo que esta vez con mayùsculas:
C:\Windows\assembly\GAC_MSIL\desktop.ini
Le hice varias pasasas tanto en modo seguro como en modo normal.
Me fijè en el detalle que al abrir cualquier programa, Ccleaner por ejemplo, saltaba un aviso del FIREWAL DE WINDOWS (???). Similar a esta (no tomè captura):
Si abrìa el navegador, este me redirigìa a dos pàginas concretas
(Ahora no dispongo su direcciòn, pero de todas maneras pensè no publicarla, por si alguien le da por copiarla y conectarse)
Como tenìa tiempo, me dije de eliminarlo por la fuerza, como hice en otra ocasiòn, con un live CD de linux, en este caso UBUNTU 11.0.
Una vez cargado este sistema en memoria me fui a todas las entradas que figuraban ahì, màs todos los archivos alojados en carpetas TEMP, y tambien los alojados en carpetas RECICLER.
Luego reinicio. Pasada otra vez con es escaneador de KARPERSKY , y otra vez estaba el "bicho".
Ademàs me fijè que salìa un aviso pequeñito del KARPERSKY. Era breve, tardaba unos segundos en cerrarse, no dejaba .log ni otro archivo, y mostraba una ruta incompleta, donde se ubicaba otro troyano,que pude tomar a bolìgrafo:
G/......0978007.exe
Es decir se habìa alojado en la segunda particiòn de mi segundo disco.
Era un problema, puesto que tenìa almacenados 150 GB de datos, y habìa una carpeta de unas 50 Gb con software, es decir, con muchìsimos .exe.
El tiempo me apremiaba. He hice una restauraciòn de sistema. Esta vez con un archivo ACRONIS unos meses anterior al que puse. Y lo dejo actualizando.
PENDIENTE: Elmininar este .exe de ese 2º disco duro.
CONCLUSIÒN DE MOMENTO: El problema parece ser que no es que me entre via web, como sospechabamos màs arriba, puede ser un archivo con "bicho" oculto.
Me indicò mi amigo Grissom que lo primero que tenìa que haber hecho, en vez de eliminar archivos, era
eliminar la entrada del registro afectada:
Código: Seleccionar todo
Registry Data Items Detected: 1
HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders|SecurityProviders (Trojan.FakeMS) -> Bad: (IqlunkItlokk.dll) Good: () -> No action taken.
En este caso, sigue venciendo el "bicho".
Saludos.
-