Downloader.GK
Descarga y ejecuta programas espía (spyware y adwares). Cuando el usuario visita ciertas páginas web e instala un control ActiveX. crea un archivo en el directorio de sistema de windows
Se muestran ventanas emergentes con publicidad.
Para eliminarlo: Apagar el Restaurar Sistema de las propiedades de MiPC. Análisis completo con antivirus, si se encuentra se elimina
Para restaurar la compu:
1. Si Downloader.GK es detectado en el interior de un archivo con extensión CAB, borre manualmente dicho archivo de su ordenador.
2. Borre la entrada que Downloader.GK ha creado en el Registro de Windows:
HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
%entrada% = %sysdir%\ %troyano%
donde %entrada% es el nombre aleatorio de la entrada, %sysdir% es el directorio de sistema de Windows y %troyano% es el nombre aleatorio del archivo creado por el troyano.
HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
%entrada% = %sysdir%\ %troyano%
donde %entrada% es el nombre aleatorio de la entrada, %sysdir% es el directorio de sistema de Windows y %troyano% es el nombre aleatorio del archivo creado por el troyano.
4. Finalmente, para eliminar cualquier rastro de Downloader.GK, vuelva a realizar un análisis completo
Protección
Instale un buen antivirus y actualícelo (admita actualizaciones automáticas)
Spyware Blaster
Briss.A
Se coloca en la memoria e instala cada 24 horas malware en el ordenador. Detecta la pulsación de ciertas combinaciones de teclas. disquetes, CD-ROMs, mensajes de correo electrónico con ficheros adjuntos, descargas de Internet. Es un Keylogger. Reposta datos y contraseñas, y todo lo que escribe.
Aparición de barras de herramientas adicionales en Internet Explorer
Hacer un análisis con antivirus y eliminarlo.
Para restaurar la configuración original de su ordenador, siga estas instrucciones:
· Borre las entradas que Briss.A ha creado en el Registro de Windows:
HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Run
RunDLL = rundll32.exe %sysdir%\ bridge.dll, Load
HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Run
Systray = %sysdir%\ a.exe
donde %sysdir% es el directorio de sistema de Windows.
HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Explorer\ Browser Helper Objects\ {9C691A33-7 DDA-4C2F-BE4C-C176083F35CF}
HKEY_CLASSES_ROOT\ Bridge.brdg
HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Run
RunDLL = rundll32.exe %sysdir%\ bridge.dll, Load
HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Run
Systray = %sysdir%\ a.exe
donde %sysdir% es el directorio de sistema de Windows.
HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Explorer\ Browser Helper Objects\ {9C691A33-7 DDA-4C2F-BE4C-C176083F35CF}
HKEY_CLASSES_ROOT\ Bridge.brdg
· Finalmente, para eliminar cualquier rastro de Briss.A, vuelva a realizar un análisis completo
Qhost.gen
No permite la entrada a páginas web, especialmente las de compañías de protección.
Modifica el archivo HOSTS, sobrescribiendo su contenido o añadiendo nuevas líneas.
Si no se le permite accesar a páginas web de medidas de protección o seguridad.
Finalmente, restaure el archivo HOSTS original desde la última copia de seguridad disponible.
Si su antivirus detecta una y otra vez a Qhost.gen a pesar de haberse realizado con éxito la desinfección, puede ser un indicativo de que su ordenador se encuentra afectado por una nueva variante, desconocida hasta la fecha, del gusano Gaobot, entre otros. En este caso, le recomendamos que realice el siguiente proceso:
· Localice los posibles archivos sospechosos:
- Acceda al directorio de sistema de Windows. Por defecto, este directorio es C:\ WINNT\ SYSTEM32 en ordenadores con Windows 2000/NT, mientras que es C:\ WINDOWS\ SYSTEM en ordenadores con Windows XP/Me/98/95.
- Ordene los archivos por fecha.
- Observe y anote los archivos ejecutables (todos aquellos con extensiones EXE, COM, PIF, BAT o SCR) que hayan sido creados o modificados durante los últimos quince días.
- Ordene los archivos por fecha.
- Observe y anote los archivos ejecutables (todos aquellos con extensiones EXE, COM, PIF, BAT o SCR) que hayan sido creados o modificados durante los últimos quince días.
· Localice las entradas del Registro de Windows relacionadas con la ejecución automática de archivos. Éstas se encuentran en las siguientes rutas:HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ RunServices
HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ RunServices
Para más información sobre cómo acceder al Registro de Windows, pulse aquí.
HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ RunServices
HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ RunServices
Para más información sobre cómo acceder al Registro de Windows, pulse aquí.
· Compruebe si alguno de los archivos presuntamente sospechosos aparecen referenciados en las claves anteriores.
Referencias
http://www.forospyware.com/t54.html
http://www.pandasecurity.com/spain/homeusers/security-info/47310/Qhost.gen
http://foros.zonavirus.com/viewtopic.php?t=2665
