virus preboot.b desinfectado con eliwyx

[leonardo_crupi]

hola , disculpen mi ignorancia pero yo tenia instalado en el hd el win 2000, con el fdisk lo convertí a fat32 y lo deje como disco para almacenar info en otro disco que le puse a esa misma maquina instale el win me una ves teniendo todo instalado corrí mi antivirus favorito (f-prot)y me detecta un virus en el mbr (el preboot.b)leí por Internet que lo sacaba con el eliwyx (una aplicación que corre bajo d o s)el problema es que cuando lo desinfecto reinicio el equipo y el disco no me aparece , reinicio entro al fdisk y me encuentro que el disco volvió a tener el formato de ntfs y que no tiene letra asignada , lo que quiero saber es como ago para recuperar toda la info que tenia en el disco en formato fat32????????

desde ya muuuuuuuuuchhhhaaaassssssssssss GRACIAS

[msc hotline sat]

Ante todo recordarle que esta usando un sistema operativo obsoleto con el que se va a encontrar que muchas aplicaciones (incluido su antivirus favorito) dejarán de ser operativas, no podran actualizrse, no podrán controlar nuevas exigencias , etc, por lo que ahora que ya va a salir el VISTA, por lo menos use XP !!!



Centrandonos en el virus WYX y sus discos duros, no tiene ninguna influencia la eliminacion del dicho virus en C: (disco 1) sonre el acceso al disco D: (unidad 2) otra cosa sería que se tratara de particiones de un mismo disco duro, que habría un solo sector de MBR comun a las dos particiones, pero con dos discos duros hay dos sectores MBR, uno en cada disco duro, pudiemdo estar uno infectado y otro no, si se infecto dicho disco duro antes de instalarle el otro.



El WYX infecta el MBR del disco duro (y su sector BOOT) unicamente si se arranca (o se intenta arrancar, aunque no arranque si no tiene sistema) desde un diquete con el BOOT infectado por dicho virus.



Cuando se ejecuta el ELIWYX pregunta qué unidad física de disco duro se quiere procesar, y se restaura dicha unidad, no afectando en absoluto la otra



Además, salvo casos especiales en que se concatenan dos discos duros para que entre los dos tengan una sola particion, (que es muy atípico y no es el caso) No hay en el MBR del primer disco duro ninguna referencia del segundo, son totalmente imdependientes.



Vaya pensando en otra causa, configuracion del SETUP, alimentacion de este segundo disco duro, cables de datos, averia de dicha unidad, etc, pero no veo que sea por la eliminacion del WYX en la unidad 1



Ptra cosa es que hubiera manipulado este ordenador con otras utilidades o antivirus que hubieran modificado BOOT o MBR de la segunda unidad, pero no con nuestro ELIWYX !



saludos



ms. 15-2-2006

[leonardo_crupi]

yo no me exprese correctamente el disco que estaba infectado es el que deje para almacenar info ósea la unidad 2 que fue de donde el eliwyx lo encontró y lo elimino pero después no lo pude usar mas volvió a ser ntfs y sin letra asignada muchas gracias y perdón por el error :oops:

[msc hotline sat]

Este post se borró accidentalmente y solo quedó la despedida ! :lol: Procedo a rehacerlo:



En él te ccntaba que el WYX guarda copias de los dos sectores de MBR y BOOT en el íktimo y pemultimo sectores reservados de zona fisica, a la que no llega un forrmateo logico, para poder recuperar la normalidad sobreescribiendo dichos sectores infectados con las copias de seguridad originales, pero tras un formateom que no eliminó el virus al solo ser logico, no fisico, se dejó el virus y solo se cambiaron los datos, los cuales gan sido sibreescritos por los de la copia de seguridad al eliminar el virus !!!



Se debía haber escaneado y eliminado el virus antes de formatear, justamente por eso !!!



Vamos a proceder como si un CIH hubiera sobreescrito la tabla de particion,



Prepara un disquette de sistema y copia en él el COPYS.EXE





COPYS.EXE

http://www.zonavirus.com/datos/descargas/101/COPYS.asp



Arranca con dicho disquete y ejecuta primero COPYS  /SEGU para que nos haga copia de seguridad de los secvtores actuales, en focheros del disquete.



A continuacion ejecutas COPYS /CIH con lo que buscara e implantará un MBR nuevo en funcion del setup. Logicamnete le indicas unidad 2 pues lo quieres hacer en el slave



Mira si arrancando normalmente ya lo reconoce, y sino, seguiremos y sobnreescribiremos el BOOT



Para ello, arranca de nuevo con el disquete y ejecuta COPYS /BOOT



Como que este disco duro está formateado con FAT32, se supone que en el sector 7 de la cara 1 del cilindro 0 tiene una copia del BOOT, la cual

uilizaremos para sobreescribir el BOOT actual



Espero que te vaya bien.





Y otra vez pregunta, antes de utilizar herranmientas muy buenas pero que deben ser utilizadas con conocimiento de causa !!!







SALUDOS



MS, 15-2-2006

[leonardo_crupi]

te agradesco mucho tu explicacion , lo que pasa que son mis primeras experiensias jejeje despues te cuento como me fuedesde ya muchas gracias

[leonardo_crupi]

no lo reconoce como unidad si me fijo en el f disk no tiene letra asignada y intente correrlo = pero me dice que tengo que insertar un disco mayor a 8 gb y configurarlo como unico disco

si pedes y queres contactame en el msn

[msc hotline sat]

Ante todo, no se atiende particularmente sino en el foro, para conocimiento de todos. No pidas en este foro que se te informe particularmente !!!



No hemos hablad para nada del F-disk. Ni tocarlo !!!



Si creas una particion nueva con él, olvidate de nosotros !!!



Sigue puntualente las instrucciones indicadas. Ya has hecho bastante estròpicio, no hagas mas inventos o lo perderás todo, si no lo has perdido ya!



saludos



ms, 16-2-2006

[leonardo_crupi]

ok a ver si nos ponemos de acuerdo:

1º pensé que eras una persona que opinaba en el foro y no que eras un administrador del mismo .

2º yo jamás dije que hice algo con el f disk lo que dije es que entro al fdisk ya que no lo toma como unidad o sea cuando quiero poner c: me dice que no es una unidad . para ver como que esta declarado el hd .

3º siguiendo las explicaciones de ustedes nunca pude hacer nada ya que el disco no lo reconoce como unidad

4º no pude haber perdido nada ya que nunca pude hacer nada y yo no hago ningún invento lo único que ice fue correr su eliwyx y después de eso perder el hd y lo corrí tranquilo ya que en ningún lado encontré una explicación que me diga que iba a perder la info que guardaba allí .

5º si podes repasa las escrituras mías y léelas puntualmente haber si logras comprender lo que te digo

igualmente muchas gracias

[msc hotline sat]

Si no te detecta unidad física es que tienes mal el SETUP o mal conectados los cables o averiado el disco duro o controladora



Y efectivamente no sé quien te ha dicho o autorizó eb su día a usar el ELIWYX fuera de este foro, pues es exclusicamente para pruebas de evaluacion en zonavirus, y que unicamente este foro puede tener, ya que tiene copyright de SATINFO, empresa de la que soy apoderado y Director Tecnico, y tengo expresamente prohibido que esta y otras utilidades nuestras, sean ofrecidas en otros foros o webs.



Primero consiga acceso al disco duro físico, luego ya hablaremos del logico.



De este virus, a finales del siglo pasado tuvimos miles de incidencias en nuestro pais, y eliminamos satisactoriamente todos los casos, no con esta utilidad, exclusiva para este foro, pero sí con otras que brindamos a los asociados a nuestros servicios tecnicos, unos 200.000 en España, a los que atendemos y solucionamos en lo posible sus problemas con los malwares, entre el antivirus McAfee, del que somos mauristas oficiales en España, y las utilidades que desarrollamos, de las que este foro tiene acceso a algunas en concepto de pruebas de evaluacion.



Y si no ha sido el caso, mejor, pero sepa lo que le puede hacer la desinfeccion del WYX, con cualquier antivirus, tras haber formateado sin eliminar previamente el virus de los sectores donde está ubicado



Este virus hace años que está erradicado de España, si bien en sudamerica aun hay alguno, que solucionamos a traves de este foro si es el caso.



El haber montado al por mayor miles de ordenadores a los que dimos soporte tecnico, durante unos 10 años 1986-1996 antes de dedicarnos exclusivamente a ingenieria de seguridad. dada la necesiodad de atender los problemas derivadas de virus informaticos, a los que dedicamos atencion y creacion de programas de deteccion y eliminación desde el primer día, cuando no existía ningun antivirus, nos ha exigido conocer a fondo sus acciones para poder solucionarlas, en miles que hemos tratado de entre los 176.000 que actualmente conocemos y que han llegado a nuestras manos. como este, que detras del Bleah, del Natas y del Junkie, fue de Boot de disquete el que mas incidencias tuvimos, por lo que sobre el particular esperamos poder ayudarle



Siga las indicaciones que le hemos dado, pero olvidese del Fdisk. que como el Regedit son herramientas muy buenas pero que usadas sin conocimiento de causa pueden ser peligrosas...



saludos



ms, 17-2-2006

[leonardo_crupi]

ok empesemos de nuevo el disco (d:\) es un disco de almacenamiento de info , en el disco (c:\)esta cargado el winME .

corri el antivirus y me detecta el preboo.b .

hago una busqueda a traves de google.com y me tira este link http://www.zonavirus.com/datos/descargas/102/ELIWYX.asp que es de donde descargo el eliwyx sin ovtener ninguna advertencia de lo que esto produce .

segun la explicacion dada alli procedo a desinfectar el hd en ela unidad c: no lo encuentra ya que ese no estava infectado y en el d: si me lo informa y lo elimina despues reinicio la pc y al entrar a windows el disco no aparece reinicio entro al stup y el hd se ve entro al DOS y el disco no lo veo (osea inicio en a: voy a c: ,esta ok , y cuando quiero ir al d: me dice que no es una unidad valida )y eso es todo no pude hacer nada mas el disco desde ese momento esta intacto .te pido si me podes explicar paso a paso lo que devo hacer gracias

[msc hotline sat]

Pues le aclaro que todas las utilidades al respecto son solo para evaluacion en Temas del foro, como informo cada vez que subo una nueva, y si bien con el Google se accede a todas partes, "donde fueres, haz lo que vieres".



De todas formas, lo que pudo hacer dicha utilidad en su caso, fue por culpa de formatear sin eliminar antes el virus de particion, lo cual hubiera sido objeto de alerta en nuestro foro si hubiera sido posteado en el mismo, y si ya lo hubiera formateado sin eliminarlo previamente, le hubieramos dicho que para un segundo disco duro lo dejara estar, que no tenía importancia, pues este virus solo entra en proceso con los de arranque, aunque esten infectados los slaves es igual, y si se quieren limpiar estos, se puede, pero usando otros sistemas manuales, no utilidades automaticas como los antivirus



Liquidado el asunto de la causa, vamos a tratar de descubrir quien o qué provocó el problema, y las soluciones en lo posible



Si solo hubiera usado el ELIWYX, con lo indicado en mi anterior post, probablemente lo hubiera solucionado:


[quote="msc"]Prepara un disquette de sistema y copia en él el COPYS.EXE





COPYS.EXE

http://www.zonavirus.com/datos/descargas/101/COPYS.asp



Arranca con dicho disquete y ejecuta primero COPYS /SEGU para que nos haga copia de seguridad de los secvtores actuales, en focheros del disquete.



A continuacion ejecutas COPYS /CIH con lo que buscara e implantará un MBR nuevo en funcion del setup. Logicamnete le indicas unidad 2 pues lo quieres hacer en el slave



Mira si arrancando normalmente ya lo reconoce, y sino, seguiremos y sobnreescribiremos el BOOT



Para ello, arranca de nuevo con el disquete y ejecuta COPYS /BOOT



Como que este disco duro está formateado con FAT32, se supone que en el sector 7 de la cara 1 del cilindro 0 tiene una copia del BOOT, la cual

uilizaremos para sobreescribir el BOOT actual
[/quote]

Pero antes o despues de nuestra utilidad, probablemente se usaron otras herramientas,todas profesionales y tecnicas, pero CON NEFASTOS RESULTADOS AL NO USARSE CON CONOCIMIENTO DE CAUSA ANTE UN CASO TAN ATIPICO



Las utilidades y herramientas que encontraron con el Google al respecto, pueden provocaar similares efectos al ser aplicadas en dichas circunstancias, sobre un disco duro infectado con dicho virus y formateado sin eliminarlo, cambiando de NTFS a FAT32 !!!



Y aparte de otras utilidades, el mismo FDISK del sistema operativo, pudo ser nefasto, por lo que por nuestra parte ya hemos indicado como proceder al respecto de haber utilizado el ELIWYX erroneamente, sin nadie que se lo hubiera indicado en el foro, ni haber participado anteriormente en él, utilizando una herramienta exclusiva para evaluacion en los Temas del foro de zonavirus, y que en cualquier caso fue responsabilidad del usuario el utilizarla sin conocimiento de causa, ni pedir asesoramiento previo al respecto, pero además, si no se le soluciona con lo indicado, es seguro que usó otros procedimientos paralelos, y que en algun caso puede ser restablecido con lo mismo que hemos indicado, pero en otros no, claro.



De todas formas, es lamentable lo que le ha pasado, pero todos podermos equivocarnos y lo comprendemos, y si bien en algun caso será casi imposible, diganos todas las utilidfades (y a ser posible el orden en el que las usó) para tratar de deshacer lo hecho, empezando por lo ultimo y finalizando con la primero, y especialmente con el FDISK, las opciones que empleó, y si ademas de cambiar de sistema, cambió de tamaño de particion o utilizó otro ordenador para ello o en cualquier punto del proceso, y en tal caso si este disco duro estaba como master o como slave



Su caso es muy atipico y en pocos lugares hubieran podido entenderlo y atenderle, si bien, a pesar de ser de estos pocos, hay imponderables por sobreescritura de sectores que, lo que había debajo, solo Dios puede recuperar satisfactoriamente, pues por mas que por activacion de payload destructivo de algunos virus, hayamos tratado de recuperar datos sobreescritos, a base del magnetismo residual remanente, siguiendo tecnicas de tecnologia militar israelita, la fiabilidd de los datos recuperados no era suficiente...



SIn mas que desearle mucha suerte y ofrecerle nuestra colaboracion en el estudio de los efectos de cada proceso realizado, (dada la causa base) y en su caso sugerirle en lo posible metodo de correccion, reciba saludos



ms, 19-2-2006