La Carpeta Windows Desaparecio

[Y_a-g_o]

Hola a todos... Es mi primer post... Asi ke aki va mi primer problema... Tal cual lo leen... La carpeta C:\windows desaparecio... Si si... No esta oculta... No se movio... Desaparecio sin dejar rastro... La buske de todas maneras... Buske por todos lados y no esta... Abri una consola DOS y la buske ahi y tampoco figura... De lo ke estoy seguro es ke fisicamente esta ya ke si no fuera asi la PC no prenderia... Ahora el tema es... Como desaparecio? Estoy mas ke seguro ke es un virus o un troyano... Otra cosa no puede ser... Como es posible ke asi por ke si desaparezca... Creo ke esta "oculta" de alguna manera en el Disco C: ya ke contando el espacio ocupado por todas las carpetas no suman el total de lo ke indica ke esta en uso (Me faltan unos 3gb)... Ya le pase antivirus entrando en modo a prueba de fallos... No encontraron "NADA"... Es mas... Ahora mismo ke estoy escribiendo esto se desconecto la internetet (Casualidad?)... Sera ke alguien me tiene troyado?... La verdad no kiero estar formateando otra vez... Tener ke instalar todo... Perder paginas guardadas y otras cosas... Estoy cansado de este mendigo Windows ke se j**e por cualkier basura ke se le mete... Espero su ayuda... Gracias

[msc hotline sat]

hay virus que modifican claves que impiden ver ficheros ocultos (ONLINE GAMES) y que igual otros , o variantes del mismo, pueden impedir ver carpetas existentes.



Prueba estas utilidades y tras ello posteanos el resultado con un copiar y pegar del contenido del c:\infosat.txt



[b] ELITRIIP: [/b]

http://www.zonavirus.com/descargas/elitriip.asp



[b] ELISTARA: [/b]

http://www.zonavirus.com/descargas/elistara.asp





saludos



ms, 19-03-2008

[Y_a-g_o]

Con el primer soft no salio nada malo... Me dio esto:





Wed Mar 19 16:57:52 2008

EliTriIP v4.53 (c)2008 S.G.H. / Satinfo S.L.

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\



Nº Total de Directorios: 2696

Nº Total de Ficheros: 31078

Nº de Ficheros Analizados: 10446

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0





En cambio con el segundo si encontro algo y... En la carpeta "desaparecida" de Windos:





Wed Mar 19 17:01:44 2008

EliStartPage v15.90 (c)2008 S.G.H. / Satinfo S.L.

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Archivos de programa\Samsung\Samsung PC Studio 3\MODEL12.REG --> Eliminado, StartPage-CWZ

C:\WINDOWS\system32\Tools\COUNTER.EXE --> Eliminado, Restart

C:\WINDOWS\system32\Tools\RESTART.EXE --> Eliminado, Restart



Nº Total de Directorios: 2688

Nº Total de Ficheros: 27590

Nº de Ficheros Analizados: 10810

Nº de Ficheros Infectados: 3

Nº de Ficheros Limpiados: 3



Ahora voy a reiniciar a ver ke pasa... Espero ke se solucione este problema... Gracias por su ayuda... Ahora vuelvo...



PD: Me podrian decir ke problemas causan esos archivos ke elimino el soft? Gracias

[msc hotline sat]

La familia de StartPage cambian pagina de inicio del I.E. y de la que acceden pueden descargar o ejecutar malwares



La del RESTART pueden descargar y ejecutar, ficheros como el otro que hemos eliminado :



http://www.enciclopediavirus.com/virus/vervirus.php?id=3496&alerta=1





saludos



ms, 19-03-2008

[Y_a-g_o]

Gracias por la informacion... Lamentablemente sigue el mismo problema... No puedo visualizar la carpeta de Windows... La verdad ke en cierto modo no me molestaria esto pero preciso tener acceso a ella puesto ke a veces uso programas ke precisan algun tipo de parche o ke instale ciertos archivos en ciertas carpetas ke estan en C:\windows de forma manual... Alguna otra idea de como solucionar este problema? Gracias por la ayuda



PD: No puedo responder por ke me sale este mensaje aca en e foro: "Su IP 190.48.239.41 ha sido bloqueada porque está en la lista negra" Yo no hice SPAM... Ke pasa?

[msc hotline sat]

Ya que ha posteado su IP, me permito indicarle que otras veces lo ha hecho con otra:



190.48.207.5 [ 3 Mensajes ]

190.48.207.101 [1 Mensaje]



por lo que su IP es dinamica, y posiblemente algun otro usuario ha hecho spam o enviado mails masivos involuntariamente por un virus mass mail usando dicha IP que "Su IP 190.48.239.41 ha sido bloqueada porque está en la lista negra"



Cuando use esta 190.48.239.41 no va a poder postear en este foro ppr prevencion anti spammers, que tan bien ha funcionado gracias a nuestro ADMIN !



Pero con reiniciar obtendrá otra que no tiene porqué estar en dicha lista negra.



Nota: Vea cual es su IP con la que está saliendo a Internet en la pancarta del BadBoy de este mismo Tema, que cambia segun la IP con que estña saliendo cada usuario cada vez.



saludos



ms, 20-03-2008

[msc hotline sat]

y para lo de la carpeta windows, lance este AV ONLINE y posteenos el resultado, gracias:



[url=https://www.kaspersky.es/downloads/thank-you/free-antivirus-download][color=darknesred][b] SOLO TESTEO AV ONLINE[/b][/color][/url]



NOTA: Dicho AV ONLINE no limpia, solo testea, asi que lo que pretendemos con ello es solo el informe, ya obraremos en consecuencia, pidiendo muestras para analizar, si hace falta, o indicando la utilidad a probar para solucionarlo.



saludos



ms, 20-03-2008

[Y_a-g_o]

Ante todo muchas gracias por su predisposicion. Aki les dejo el informe ke genero el AV ONLINE. Aclaro ke puse ke solo escanee las partes criticas ya ke llevaba mucho tiempo hacer el full scan y necesitaba reiniciar la PC... Gracias por la ayuda



-------------------------------------------------------------------------------

KASPERSKY ONLINE SCANNER INFORME

jueves, 20 de marzo de 2008 20:14:06

Sistema operativo: Microsoft Windows XP Professional, Service Pack 2 (Build 2600)

Kaspersky Online Scanner versión: 5.0.84.1

Ultima actualización: 20/03/2008

Registros en la base antivirus: 647414

-------------------------------------------------------------------------------



Configuración del análisis:

Analizar usando las siguientes bases: estendidas

Analizar archivos: verdadero

Analizar bases de correo: verdadero



Objetivo a analizar - Áreas críticas:

C:\WINDOWS

C:\DOCUME~1\Pipi\CONFIG~1\Temp\



Estadísticas:

Número de objeros analizados: 14696

Virus encontrados: 3

Objetos infectados: 4 / 0

Objetos sospechosos: 0

Duración del análisis: 00:13:28



Bombre del objeto infectado / Nombre del virus / Última acción

C:\WINDOWS\Debug\PASSWD.LOG Object is locked saltado

C:\WINDOWS\SchedLgU.Txt Object is locked saltado

C:\WINDOWS\SoftwareDistribution\EventCache\{AA0759FD-6043-4A8C-BE91-4E08C6EA7AA7}.bin Object is locked saltado

C:\WINDOWS\SoftwareDistribution\ReportingEvents.log Object is locked saltado

C:\WINDOWS\Sti_Trace.log Object is locked saltado

C:\WINDOWS\system32\CatRoot2\edb.log Object is locked saltado

C:\WINDOWS\system32\CatRoot2\edbtmp.log Object is locked saltado

C:\WINDOWS\system32\CatRoot2\tmp.edb Object is locked saltado

C:\WINDOWS\system32\config\AppEvent.Evt Object is locked saltado

C:\WINDOWS\system32\config\default Object is locked saltado

C:\WINDOWS\system32\config\default.LOG Object is locked saltado

C:\WINDOWS\system32\config\Internet.evt Object is locked saltado

C:\WINDOWS\system32\config\ODiag.evt Object is locked saltado

C:\WINDOWS\system32\config\OSession.evt Object is locked saltado

C:\WINDOWS\system32\config\SAM Object is locked saltado

C:\WINDOWS\system32\config\SAM.LOG Object is locked saltado

C:\WINDOWS\system32\config\SecEvent.Evt Object is locked saltado

C:\WINDOWS\system32\config\SECURITY Object is locked saltado

C:\WINDOWS\system32\config\SECURITY.LOG Object is locked saltado

C:\WINDOWS\system32\config\software Object is locked saltado

C:\WINDOWS\system32\config\software.LOG Object is locked saltado

C:\WINDOWS\system32\config\SysEvent.Evt Object is locked saltado

C:\WINDOWS\system32\config\system Object is locked saltado

C:\WINDOWS\system32\config\system.LOG Object is locked saltado

C:\WINDOWS\system32\h323log.txt Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA Object is locked saltado

C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Object is locked saltado

C:\WINDOWS\system32AKV.exe Infectados: not-a-virus:Monitor.Win32.Ardamax.o saltado

C:\WINDOWS\system32KFVX.006 Infectados: not-a-virus:Monitor.Win32.Ardamax.271 saltado

C:\WINDOWS\system32KFVX.007 Infectados: not-a-virus:Monitor.Win32.Ardamax.271 saltado

C:\WINDOWS\system32KFVX.exe Infectados: Trojan-Spy.Win32.Ardamax.e saltado

C:\WINDOWS\wiadebug.log Object is locked saltado

C:\WINDOWS\wiaservc.log Object is locked saltado

C:\WINDOWS\WindowsUpdate.log Object is locked saltado

C:\DOCUME~1\Pipi\CONFIG~1\Temp\~DF298C.tmp Object is locked saltado

C:\DOCUME~1\Pipi\CONFIG~1\Temp\~DF2A35.tmp Object is locked saltado

C:\DOCUME~1\Pipi\CONFIG~1\Temp\~DFE6E7.tmp Object is locked saltado

C:\DOCUME~1\Pipi\CONFIG~1\Temp\~DFEB1F.tmp Object is locked saltado



Análisis completado.





PD: Avergiuando por ahi lei ke el ARDAMAX es un Keylogger y no me gusto nada nada la idea de tener eso adentro de mi PC... Salu2

[msc hotline sat]

Pues venga, envianos estos ficheros para analizar y los controlaremos con las nuevas versiones de nuestras utilidades:



C:\WINDOWS\system32AKV.exe



C:\WINDOWS\system32KFVX.006



C:\WINDOWS\system32KFVX.007



C:\WINDOWS\system32KFVX.exe





[b]¿Como enviar las muestras a zonavirus? - Para ello recordar[/b]:

https://foros.zonavirus.com/viewtopic.php?f=5&t=14253



Y mientras, renombra la extension de estos cuatro fiocheros a .VIR , y reinicia, para que dejen de estar en uso a partir de entonces, y puedas evitar que alguien esté viendo lo que haces, lo que escribes, lo que ves en el monitor, etc...



saludos



ms, 21-03-2008

[Y_a-g_o]

Pekeño detalle... El titulo de mi mensaje lo explica :oops: No puedo tener acceso a la carpeta C:\Windows



El wacho ke esta jodiendo con mi PC ps la hizo bien jajaja... Ahora mismo estoy pasandole un Full Scan con el Kaspersky Internet Security 2009 y ya encontra un par de Backdoor... Esto me pasa por vago... Ke sino andaba paseando desnudo (Navegando sin Proteccion) ps no me hubiera pegado este resfriado jaja... Ahora mismo el Kaspersky me notifico ke hallo uno de los archivos ke me has pedido ke te envie asi ke por lo visto esta haciendo las cosa bien... Les contare en unas horas como fue todo este asunto... Gracias por su tiempo.



PD: Y al ke esta leyendo lo ke escibe y mirando lo ke hago pssss... Ke tiempo malgastado... Si al menos yo hiciera algo interesante jajajaja... Te debes estar aburriendo amiguito :mrgreen:

[msc hotline sat]

No me aburro... En parte es mi faena y en otra mi hobby, y sarna con gusto no pica !



Y antes de que el AV elimine los ficheros, mira de enviarnoslos o hacer copia para hecerlo luego, para asi poder controlarlos en el futuro, gracias



saludos



ms, 21-03-2008

[Y_a-g_o]

Hola de nuevo... La carpeta de Windows sigue sin aparecer "pero" lo bueno es ke puedo ingresar a ella desde INICIO/EJECUTAR y ahi poniendo C:\Windows me lleva a la carpeta (Antes ni asi podia). Ahora el tema seria... Como hago para restaurar los valores de esa carpeta? Digo, se modifico de alguna manera por lo cual no se deja ver... Alguien me podria dar una mano con eso? Gracias

[msc hotline sat]

Si dices que nos enviaste la muestra de al menos un ficherd del Ardamax que tenias:


[quote]C:\WINDOWS\system32AKV.exe

C:\WINDOWS\system32KFVX.006

C:\WINDOWS\system32KFVX.007

C:\WINDOWS\system32KFVX.exe [/quote]

cuando lo analicemos podremos saber las claves que modifica e implementar en nuestras utilidades la restauracion de las mismas, que por lo visto el kaspersky no ha hecho, a pesar de que detectó el virus ???



Voy a ver informacion al respecto, por si, mientras, nos da alguna idea...



Sío, McAfee informa que es una aplicación potencialmente peligrosa, keylogger, pero no indica las claves que modifica:



http://vil.nai.com/vil/content/v_116785.htm



Cuando analicemos la muestra obraremos en consecuencia...



Bueno, si sabes cuando empezó el problema, podrías restaurar el sistema accediendo a un punto de restauracion anterior al mismo, y si bien perderias lo que hubieras instalado desde entonces, restaurarías la normalidad al PC, y lo que hubieras instalado a partior de entonces ya lo volverías a hacer, incluido parches de microsoft... Si quieres probarlo, puedes acceder facilmente a la aplicacion de restauracion con ELRSTRUI.EXE



http://www.zonavirus.com/datos/descargas/258/elrstruiexe.asp



saludos



ms, 22-03-2008







nota:



y al releer el Tema, veo que no te referías a mí cuando decias lo de quien te estaba leyendo :lol: , sino a quien te tenia controlado con el keylogger:


[quote]PD: Y al ke esta leyendo lo ke escibe y mirando lo ke hago pssss... Ke tiempo malgastado... Si al menos yo hiciera algo interesante jajajaja... Te debes estar aburriendo amiguito [/quote]

por eso te dije que no me aburria ... :roll: - aclarado ! ms.

[Y_a-g_o]

Antes ke nada te pido disculpas por ke al pasar el Kaspersky parece ke borro los archivos y no te los puedo enviar... La verdad no pense en eso cuando lo estaba haciendo ya ke principalmente keria eliminar la basura de mi PC... No tome en cuenta tu pedido (Mejor dicho no lo tube presente, se me olvido)... Ya luego ke el Kaspersky los elimino no tengo manera de pasartelos (Verdad?)... Ahora... Por el tema de la restauracion creo ke tambien me jodio por ese lado ya ke solo me permite restaurar como maximo una semana atras (Tendria ke ser un par de meses atras) Asi ke por lo visto tambien se metio ahi. Me parece ke tirare la toalla y la formateare por ke tb la PC esta como torpe a la hora de reiniciar o apagar, se tarda mucho. Lo ke podria hacer (Se me me acaba de ocurrir) Es restaurar el ekipo unos dias atras y buscar esos archivos y pasartelos (Si es ke se puede) Y luego formateo la PC... Pasa ke me da pena tener ke perder todas las paginas guardadas por ejemplo... Tambien cosas del MSN...



Gracias por tu tiempo y ayuda.

[msc hotline sat]

Pues prueba de restaurar como dices, a ver si se regeneran y puedes enviarnos los ficheros y con ello podamos implementar su control y eliminacion en la proxima version de nuestras utilidades, de lo cual informariamos.



Si no puedes, ya ves que has quemado las naves... Mejor hubiera sido hacernos caso ! Al menos aprovechalo para no cometer este error en el futuro, a eso se llama experiencia...



saludos



ms, 22-03-2008