EL ULTIMO VIRUS

[viejo topo]

Y digo último porque con todos vuestros consejos los he eliminado a todos menos a este: NTRootKit-H ¿conoceis a este hijo de...? como se puede acabar con el sin morir en el intento¿?.

Gracias.

[maura63]

Viejo topo.. debes seguir siempre como respuesta al tema pricipal abierto e ir añadiendo tus problemas para que no perdamos el hilo de toda el asunto.



Leete las normas de utilizacion al respecto en la pagina principal.



Informacion sobre el troyano en



http://vil.nai.com/vil/content/v_129931.htm



Pasa tu antivirus en modo seguro, desactiva restaurar sistema y comprueba.



Saludos

maura63

[msc hotline sat]

Realmente este troyano es conocidos desde el pasado mes de Noviembre.



Pero no es un virus, sino una utilidad potencialmente peligrosa, por su posible uso remoto.



Por ello es recomendable desinstalarla, ya que los antivirus solo avisan del posible peligro potencial, pero no la eliminan al no ser virus.



El fichero clave es:



C:/windows/system32/hdih.dll



Sino lo ves instalado, puedes mirar de moverlo a un disquete, y así lo sacaras del ordenador, y tras volver a arrancar ya no podrá utilizarlo.



Si tienes algun problema al respecto, comentanoslo como respuesta de este Tema, gracias



saludos



ms, 3-02-2005

[viejo topo]

Gracias por todos vuestros consejos con respecto a la eliminación de este virus; he hecho todo cuanto me habeis aconsejado, por fin he borrado el troyano, pero a dos por tres me sale una nota de mi antivirus diciéndome que lo ha eleiminado y que reinicie el ordenata, lo hago y vuelve a salir ¿sabeis como solucionar el tema de la aparación de dicha ventana informatica?.

Muchas gracias.

[msc hotline sat]

Cuando tu antivirus lo detecta, dinos donde lo hace, ruta y nombre de fichero.



Y dinos si el ordenador está en red con otros, y si está conectado a Internet cuando te lo dice.



Puede ser que no lo tengas sino que te esté detectando un intento de intrusion remota que te la impida el antivirus



Contestanos las preguntas y si son positivas, mira si te pasa sin estar conectado, una vez estés limpio.



saludos



ms, 4-02-2005

[viejo topo]

Hola, mirad lo único que me sale es una ventana del antivirus McAfee:

¡Se ha detectado y limpiado un archivo troyano!

El archivo C:\WINDOWS\system32\hdovx.dll estaba infectado por el archivo troyano NTRootKit-H, pero Virus Scan lo ha limpiado automáticamente. Deberá reiniciar el equipo para completar el preceso de limpieza.

Eso es todo, me sale aún sin estar conectado a internet, solo esta mi ordenador en mi casa. Y reinicio el equipo, y me vuelve a salir la ventana informativa....

¿qué puede ser?.

Gracias

[maura63]

Para hacerlo mas facil utiliza esta herramienta introduce la dll [color=red]hdovx.dll [/color] das a buscar y elimina, de ella no existe informacion.



BUSCAREG.EXE: BUSCA UNA CADENA EN EL REGISTRO Y PINCHANDO ENCIMA DE LAS ENCONTRADAS PERMITE BORRARLAS MUY FACILMENTE. ADEMAS CREA FICHERO EXPORTACION DEL REGISTRO POR SI SE NECESITA VOLVER ATRAS:





http://www.zonavirus.com/descargas/buscareg.asp





Saludos

maura63

[msc hotline sat]

Borrando esta clave efectivamemte ya no llamará al fichero indicado, pero si no está, aunque lo llamara tampoco no haría nada, por lo que creo que fichero y clave vuelven a ser generados por algo.



Como que pudiera ser que estuviera en memoria, y lo volviera a crear fichero y claves tras ser eliminadas, elimine las dos cosas en modo seguro, de forma que no esté en uso.



SI aun así se le vuelve a generar, podría ser una aplicacion instalada que lo recreara, como es el caso del HOME SEARCH ASSISTANT, y otros similares.



Aunque sea pedreste, si sigue recreandose y no se descubre el causante, puede copiar cualquier fichero al directorio en cuestion, y renombrarlo con el mismo nombre que emplea para el gusano, (C:/windows/system32/hdih.dll) y asignarle atributo de READ ONLY (+R), a ver si asi se impide que lo pueda volver a crear



Comentenos el resultado, gracias



saludos



ms, 4-02-2005

[viejo topo]

Gracias por vuestros consejos, pero no hay manera de limpiar estas ventanas de información. Tendré que formatear ya que ahora me aparece la misma información pero con: \hddnt.dll lo borro pero me vuelve a salir....

gracias de todos modos.

[maura63]

Si sigues por aqui y lo lees, por curiosidad mandanos un log de hijackthis



· Hijackthis version: 1.99



Sitio 1 - Descargar Hijackthis



http://www.spywareinfo.com/~merijn/files/hijackthis.zip





Descarga y descomprimes, con todos los programas cerrados incluso el internet explorer, lo ejecutas, pulsa scan y luego en save, se abrira un fichero log txt con el resultado, haz un copiar y pegas el resultado como respuesta a este tema.



Y pasaremos el tema al foro correspondiente.



Saludos

maura63