Carpetas ocultas y privilegios deshabilitados

[obochaman]

Hola amigosd de "zonavirus", pues me he topado con el siguiente problema:

De unos dias para aca he notado que mi conexion se alenta pasados algunos miuntos de haber iniciado sesion, bueno buscando en la red algunas soluciones alguien mencionaba acerca de un virus que comunmente se le conoce como "Recycler" y que he visto que dicha carpeta si aparece en mi disco duro, asi que he tratadode eliminarla manualmente ya que "elistara" y otros antiviruas como AVG, Norton, NOD32 y Karspersky no me han detectado nada...en principio si se habia podido eliminar el contenido de esta carpeta y la carpeta tambien pero despues de unos horas volvio a aparecer e intente hacer lo mismo desde "cmd", pero ahora ya no se han podido reestablecer los atributos de dicha carpeta como antes ademas de que no puedo utilizar el editos de registro, la utilidad de configuracion del sistema o "msconfig" y ahora cuando le paso el "elistara para chekear por algun virus se me niega el acceso a varias carpetas de mi disco duro siendo que estoy loggeado como administrador, tambien al intentar installar aplicaciones con extension "MSI", me aparece un mensaje "el administrador ha deshabilitado esta opicon", por lo que no veo una solucion muy clara.



Ahora he iniciado sesion en modo seguro con funciones de red y los archivos y carpetas ocultos no aparecen(pero en modo normal si), pero igualmente no puedo tener acceso a las carpetas que estan bloqueadas ni eliminarlas.

Es por eso que pido su colaboracion para saber que solucion tienen para este caso hasta la proxima. :mrgreen:

[lucl]

Mira que no hayas eliminado la carpeta de la papelera, tambien se llama recycler !!!!!!!!!!!





Seria bueno que nos dijeras que mas deshabilitaste en el administrador de tareas, puedes intentar restaurar sistema? Explicanos mejor paso a paso que hiciste por si tocaste algo que no debias , saludos

[obochaman]

[quote="lucl"]Mira que no hayas eliminado la carpeta de la papelera, tambien se llama recycler !!!!!!!!!!!





Seria bueno que nos dijeras que mas deshabilitaste en el administrador de tareas, puedes intentar restaurar sistema? Explicanos mejor paso a paso que hiciste por si tocaste algo que no debias , saludos[/quote]

Jajajajjaja no soy tan wey con eso de la papelera, lo que pasa es que al abrir la carpeta que se llama "Recycler" no necesariamente el virus se llama asi ademas el de la papelera se llama "Recycle Bin" y hay otra carpeta de sistema en el disco duro llamada "Recycled" pero esa si va ahi, lo que ha pasado es que el virus ya tiene muchisimo tiempo en la computadora y no lo habia notado, ademas de que lo opcion de restaurar sistema no es la que yo quiero, si no quiero saber la solucion a este divertido juego si no que chiste.



Lo que hice para eliminar esa carpeta fue lo siguiente



Inicie "cmd" le di taskkill /f /im explorer.exe para cerrar explorer(obviamente) cambio a C

y le doy attrib -h -r -s RECYCLER despues se supone que hay que renombrar una carpeta que esta adentro de RECYCLER con el siguiente nombre "S-1-5-21-527237240-1614895754-839522115-500" aunque me he fijado que el nombre varia en los ultimos 3 digitos, ya despues de hacer esto vuelvo a iniciar explorer y reviso el disco duro en busca de esta carpeta que me muestra solo 2 archivos "desktop.ini" y "autorun.inf" -mucho antes de mostrar estos 2 archivos antes me motraba otros adicionales que ya no aparecen- y los elimino. Se supone que con solo renombrar la carpeta "S-1-5-21-527237240-1614895754-839522115-500" este virus no se carga(ya que con el administrador de tareas no se detecta).



Bueno eso hice en principio, pero esta carpeta ha vuelto a aparecer, pero ahora ya no se puede modificar desde el simbolo del sistema por lo que me parte el cocoliso penzar que el verdadero problema no esta en la carpeta RECYCLER si no mas a fondo. Me explico?

[msc hotline sat]

Muchos malwares que se propagan por pendrive usan carpetas con este nombre, para guardar los ficheros que lanzan desde el AUTORUN.INF correspondiente, y es porque las "papeleras" disponen de una class en DESKTOP.INI que convierte la carpeta en cuestion, con el nombre que tenga, como RECYCLER, RECYCLED, RESTORE, etc con las caracteristicas de la papelera, donde poder acceder a los borrados y restaurarlos o vaciarla, pero no a los alli copiados, mientras que si permite ejecutarlos desde un script, como hacen dicho troyanos.



Para ello creamos el ELIMOVER, que viendo en el AUTORUN.INF donde lanzan dichos ficheros (con un OPEN o un EXECUTE) y con dicha utilidad moverlos a C:\muestras, desde donde podernos enviar facilmente los ficheros en cuestion (a los que ya les quitamos los atributos de oculto, sistema y demás)





DESCARGA DE ELIMOVER

http://www.zonavirus.com/descargas/elimover.asp



Aparte, para todos estos marranos recordamos nuestra utilidad ELIPEN, que vacuna ordenadores y pendrives para evitar la propagacion de dicho tipo de malwares:







Y vacune el ordenador y todas sus unidades de disco y pendrive con el ELIPEN:



[b]ELIPEN.EXE[/b]

http://www.zonavirus.com/descargas/elipen.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso



saludos



ms, 10-6-2009

[obochaman]

Perdon por tardar en postear, les dejo el log de ultimo analizis hecho a esta maquina, pero al analizarla(como siempre), ya sea en modo seguro o en usuario administrador normal siempre me niega acceso a varias carpetas de mi dico local, saludos gracias.



(14-6-2009 06:06:58)

EliStartPage v18.81 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 12 de Junio del 2009)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"



Nº Total de Directorios: 10262

Nº Total de Ficheros: 90266

Nº de Ficheros Analizados: 26752

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



Ojo la PC sigue con los mismos problemas que ya describia anteriormente.

[lucl]

Bueno veamos te falta parte del log de elistara por copiarnos, el analisis de accion directa. A parte de eso Msc te sugirio que descargaras elimover, te copio





[i]Para ello creamos el ELIMOVER, que viendo en el AUTORUN.INF donde lanzan dichos ficheros (con un OPEN o un EXECUTE) y con dicha utilidad moverlos a C:\muestras, desde donde podernos enviar facilmente los ficheros en cuestion (a los que ya les quitamos los atributos de oculto, sistema y demás)





DESCARGA DE ELIMOVER

http://www.zonavirus.com/descargas/elimover.asp



Aparte, para todos estos marranos recordamos nuestra utilidad ELIPEN, que vacuna ordenadores y pendrives para evitar la propagacion de dicho tipo de malwares:







Y vacune el ordenador y todas sus unidades de disco y pendrive con el ELIPEN:



ELIPEN.EXE

http://www.zonavirus.com/descargas/elipen.asp



Tras probarlo, reiniciar y postearnos el contenido de C:\infosat.txt para ver el resultado del proceso [/i]



Hiciste algo de lo que se te dijo? saludos

[msc hotline sat]

Efectivamente, conviene que postees TODO el contenido de c:\infosat.txt, para ver si se detectó algún AUTORUN y lo que ejecutaba (gracias a ELIPEN y ELISTARA) y con el ELIMOVER poder llevar el fichero en cuestión a C:\muestras, desde donde poder enviarnoslo para analizar y controlar.



Todos los AUTORUN.INF tienen, enmarañado o no, la carga a un fichero que lógicamente, si es malware, está bien escondido, en carpeta no accesible normalmente, y con atributos de hidden, read only y system, pero ello no impide que el ELIMOVER lo copie a la carpeta de cuarentena, C:\muestras, sin atributos y totalmente accesible, además de que permite añadir extension .VIR al fichero original de autos, para que no pueda ser lanzado tras ello, para lo que dispone de una casilla en la parte inferior izquierda de la pantalla principal, la cual marcar para que proceda en consecuencia.



Espero que, posteándonos el contenido de dicho c:\infosat.txt completo, podamos ver y saber cual es el malware y poder pedir que nos lo envies para analizar y controlar en la siguiente versión de nuestras utilidades.



saludos



ms, 14-6-2009

[obochaman]

Les dejo todo el informe





Sat Mar 07 21:15:47 2009

EliStartPage v18.16 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 6 de Marzo del 2009)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Sat Mar 07 21:15:54 2009

EliStartPage v18.16 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 6 de Marzo del 2009)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"



Nº Total de Directorios: 9708

Nº Total de Ficheros: 81277

Nº de Ficheros Analizados: 25562

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



Sun Mar 15 06:47:33 2009

EliStartPage v18.21 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 13 de Marzo del 2009)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



Sun Mar 15 06:47:36 2009

EliStartPage v18.21 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 13 de Marzo del 2009)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"



Nº Total de Directorios: 9712

Nº Total de Ficheros: 81483

Nº de Ficheros Analizados: 25586

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



(6-4-2009 02:43:10)

EliStartPage v18.36 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 3 de Abril del 2009)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



(6-4-2009 02:43:13)

EliStartPage v18.36 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 3 de Abril del 2009)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"



Nº Total de Directorios: 9901

Nº Total de Ficheros: 87382

Nº de Ficheros Analizados: 26393

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



(27-4-2009 03:07:49)

EliStartPage v18.48 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 24 de Abril del 2009)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



(27-4-2009 03:07:51)

EliStartPage v18.48 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 24 de Abril del 2009)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"



Nº Total de Directorios: 10007

Nº Total de Ficheros: 90020

Nº de Ficheros Analizados: 26501

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



(4-5-2009 07:12:12)

EliStartPage v18.52 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 30 de Abril del 2009)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



(4-5-2009 07:12:15)

EliStartPage v18.52 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 30 de Abril del 2009)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"



Nº Total de Directorios: 10060

Nº Total de Ficheros: 90236

Nº de Ficheros Analizados: 26539

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



(25-5-2009 02:34:57)

EliStartPage v18.67 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 22 de Mayo del 2009)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



(25-5-2009 02:34:59)

EliStartPage v18.67 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 22 de Mayo del 2009)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"



Nº Total de Directorios: 10063

Nº Total de Ficheros: 90846

Nº de Ficheros Analizados: 26641

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



(1-6-2009 09:40:35)

EliStartPage v18.72 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 29 de Mayo del 2009)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



(1-6-2009 09:40:38)

EliStartPage v18.72 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 29 de Mayo del 2009)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"



Nº Total de Directorios: 342

Nº Total de Ficheros: 2304

Nº de Ficheros Analizados: 416

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

Exploración Detenida por el Usuario.



(1-6-2009 09:51:21)

EliStartPage v18.72 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 29 de Mayo del 2009)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



(1-6-2009 09:51:24)

EliStartPage v18.72 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 29 de Mayo del 2009)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"



Nº Total de Directorios: 9947

Nº Total de Ficheros: 88701

Nº de Ficheros Analizados: 25195

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

Exploración Detenida por el Usuario.



(9-6-2009 20:15:25)

EliStartPage v18.78 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 9 de Junio del 2009)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



(9-6-2009 20:15:28)

EliStartPage v18.78 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 9 de Junio del 2009)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"



Nº Total de Directorios: 10190

Nº Total de Ficheros: 91126

Nº de Ficheros Analizados: 26698

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



(9-6-2009 20:53:46)

EliTriIP v5.88 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 8 de Junio del 2009)

---------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminado Servicio, "SCardSvr"



(9-6-2009 20:53:52)

EliTriIP v5.88 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 8 de Junio del 2009)

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"



Nº Total de Directorios: 10143

Nº Total de Ficheros: 90078

Nº de Ficheros Analizados: 24714

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



(9-6-2009 21:29:22)

EliBagle v12.65 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 9 de Junio del 2009)

----------------------------------------------

Lista de Acciones (por Acción Directa):



(9-6-2009 21:29:24)

EliBagle v12.65 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 9 de Junio del 2009)

----------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"



Nº Total de Directorios: 10147

Nº Total de Ficheros: 90111

Nº de Ficheros Analizados: 15149

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



(9-6-2009 23:36:28)

EliBagle v12.65 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 9 de Junio del 2009)

----------------------------------------------

Lista de Acciones (por Acción Directa):



(9-6-2009 23:36:49)

EliBagle v12.65 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 9 de Junio del 2009)

----------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"



Nº Total de Directorios: 9303

Nº Total de Ficheros: 73454

Nº de Ficheros Analizados: 7505

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

Exploración Detenida por el Usuario.



(14-6-2009 06:06:54)

EliStartPage v18.81 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 12 de Junio del 2009)

--------------------------------------------------

Lista de Acciones (por Acción Directa):

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE



(14-6-2009 06:06:58)

EliStartPage v18.81 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 12 de Junio del 2009)

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"



Nº Total de Directorios: 10262

Nº Total de Ficheros: 90266

Nº de Ficheros Analizados: 26752

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0



(21-6-2009 05:09:01)

EliTriIP v5.91 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 18 de Junio del 2009)

---------------------------------------------

Lista de Acciones (por Acción Directa):



(21-6-2009 05:09:02)

EliTriIP v5.91 (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 18 de Junio del 2009)

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando "C:\"



(21-6-2009 05:19:12)

EliMover v1.1 (c)2009 S.G.H. / Satinfo S.L.

--------------------------------------------

Fichero: "C:\RECYCLER\S-1-5-21-527237240-1614895754-839522115-1003\desktop.ini" -> Copiado a "C:\Muestras"



Nº Total de Directorios: 10354

Nº Total de Ficheros: 93413

Nº de Ficheros Analizados: 24900

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

[msc hotline sat]

Esto es normal en C:\recycler, pues es la class para que dicha carpeta tenga funciones de papelera:



(21-6-2009 05:19:12)

EliMover v1.1 (c)2009 S.G.H. / Satinfo S.L.

--------------------------------------------

Fichero: "C:\RECYCLER\S-1-5-21-527237240-1614895754-839522115-1003\desktop.ini" -> Copiado a "C:\Muestras"



Supongo que no le dijiste que añadiera .VIR a dicho fichero, sino, pero si marcaste la pestaña al respecto, quitale el añadido.



Lo que tenias que mover era el AUTORUN.INF, no el DESKTOP.INI !!!





Y no parece haber nada al respecto, pero lanza este AV ONLINE y posteasnos el informe resultante:





http://www.kaspersky.com/kos/english/kavwebscan.html



y seleccionar MY COMPUTER para escanearlo todo. Si no se tiene la version de Java actualizada, a la izquierda de la ventana que presenta dicho acceso, ofrecen link de descarga...



Dicho AV ONLINE no limpia, solo testea, asi que lo que pretendemos con ello es solo el informe, ya obraremos en consecuencia. ms.



[img]http://img.photobucket.com/albums/v666/sUBs/Kas-SaveReport-1.gif[/img]



saludos



ms, 21-6-2009

[obochaman]

Aqui dejo el status de Karspersky...nada por aqui nada por alla... :roll:



Saturday, June 27, 2009

Operating System: Microsoft Windows XP Professional Service Pack 3 (build 2600)

Kaspersky Online Scanner 7 version: 7.0.25.0

Program database last update: Sunday, June 28, 2009 04:50:57

Records in database: 2398513

Scan settings

Scan using the following database extended

Scan archives yes

Scan mail databases yes

Scan area My Computer

A:\

C:\

D:\

Scan statistics

Files scanned 58889

Threat name 0

Infected objects 0

Suspicious objects 0

Duration of the scan 01:38:27



No malware has been detected. The scan area is clean.

The selected area was scanned.

----------------------------------------------------------------------------------------------------------------------------------------------

Estoy penzando que han de ser alucinaciones mias.

Pero es verdad el internet en ratos esta muy pero muy lento y no carga nada y otras veces si que esta super rapido o sera el ¿ISP?

[lucl]

Puedes consultarlo si te parece con ellos, igual han tenido algun problema o hay mucho trafico ( no tiene porque pero vete tu a saber). Otra cosa, tu antivirus es de los que hace analisis directo nada mas encender el pc? Comentanos saludos

[msc hotline sat]

Sí, comentaselo a tu ISP, que me parece que es UNINET, y si tras ello persiste la anomaía, puede que tu ADSL esté siendo usada por algun vecino, via wifi, si lo usas sin cables, mira de probar con cable, y sobre todo, desconecta el wifi de tu router, es la otra posible causa mas frecuente.



Comentanos el resultado, gracias



saludos



ms, 28-6-2009