Ataque ransomware .radman

Eliminar Malwares
13

Hola @Angel2020

Ejecutaste FRST desde un lugar incorrecto:

  • Ejecutado desde G:\

Corta el ejecutable y pegalo en tu escritorio <<< Esto es Muy Importante.

Con mucha atención sigue estos pasos:

1.- Muy Importante >>> Realizar nuevamente una copia de Seguridad de su Registro.

  • Descarga/Ejecuta DelFix desde el escritorio de Windows.
  • Clic Derecho, “Ejecutar como Administrador”.
  • En la ventana principal, marca solamente la casilla “Create Registry Backup”.
  • Clic en Run.

Al terminar se abrirá un reporte llamado DelFix.txt, guárdelo por si fuera necesario y cierre la herramienta…

Luego ve a::

2.- Inicio >>> Ejecutar >>> Escribe notepad.exe o abra un nuevo archivo Notepad y copie y pegue lo siguiente:

Start
CloseProcesses:
HKLM\ DisallowedCertificates: 0A0CF21F2AD2796FCC1309F2993659FC9F4BBFB9 (Curio Systems GmbH) <==== ATENCIÓN
HKLM\ DisallowedCertificates: 1518752920E9221E1FE1728AACAC536728B37BA7 (Trend Micro) <==== ATENCIÓN
HKLM\ DisallowedCertificates: 1B581436B0ED7536755B8B1C81112509A5AAF6ED (Panda Security S.L) <==== ATENCIÓN
HKLM\ DisallowedCertificates: 328E73F58737F1AB8DB0DA98FECFA17EB7BFAA40 (Bitdefender SRL) <==== ATENCIÓN
HKLM\ DisallowedCertificates: 3C92C9274AB6D3DD520B13029A2490C4A1D98BC0 (Kaspersky Lab) <==== ATENCIÓN
HKLM\ DisallowedCertificates: 4E393AA1586C93E0BC9E7FEBCF7BFB62066DC22A (Doctor Web Ltd.) <==== ATENCIÓN
HKLM\ DisallowedCertificates: 4E564B9FBCE8F496FFF51278CCD14EE17F09A1CE (Qihu 360 Software Co. Limited) <==== ATENCIÓN
HKLM\ DisallowedCertificates: 58939B78BC28EF464220127BB754E3D130306988 (AVG Technologies CZ) <==== ATENCIÓN
HKLM\ DisallowedCertificates: 5AACB6A43D9D806E6963937BE702B7A43C1978AE (F-Secure Corporation) <==== ATENCIÓN
HKLM\ DisallowedCertificates: 5DE56B2BAAA995F447949B869356528F91230A49 (VIPRE Security) <==== ATENCIÓN
HKLM\ DisallowedCertificates: 7450C07722C75E711EF24209A22F0C5C6A5BEC4E (Trend Micro) <==== ATENCIÓN
HKLM\ DisallowedCertificates: 78C55D604474B534EB2B565CAD312FC7D71FE9DE (Webroot Inc.) <==== ATENCIÓN
HKLM\ DisallowedCertificates: 816BE9397F66D1A26EFA04035BCA3BB9E3779740 (Malwarebytes Corporation) <==== ATENCIÓN
HKLM\ DisallowedCertificates: 8887AF2636E0D3B763AC4D56729218AF89653CA4 (Avira Operations GmbH & Co. KG) <==== ATENCIÓN
HKLM\ DisallowedCertificates: 8B6DD299C6E4092040E98EB773F3818DF50B038D (Bitdefender SRL) <==== ATENCIÓN
HKLM\ DisallowedCertificates: 8DC9FE53D5F1D7D558EBE131E922730780D88865 (ESET) <==== ATENCIÓN
HKLM\ DisallowedCertificates: 9A32249E9A6B9CF5C36B0749C81613524D37C594 (Safer Networking Ltd.) <==== ATENCIÓN
HKLM\ DisallowedCertificates: AA8399A239AE1785200917D32C21F6B662477BE4 (K7 Computing Pvt Ltd) <==== ATENCIÓN
HKLM\ DisallowedCertificates: AEEA60E86C66327BFBB8492C33122687AB2B5D91 (Support.com, Inc.) <==== ATENCIÓN
HKLM\ DisallowedCertificates: B7E607E1FB8943C634580F621788C01C962E8280 (K7 Computing Pvt Ltd) <==== ATENCIÓN
HKLM\ DisallowedCertificates: BDEEFEC5F002E281B2292A8C72EACA468CBF9952 (Emsisoft Ltd) <==== ATENCIÓN
HKLM\ DisallowedCertificates: BE894F99B870DA5FCA623F7F4A85D3970A46CDE1 (Symantec Corporation) <==== ATENCIÓN
HKLM\ DisallowedCertificates: BF9254919794C1075EA027889C5D304F1121C653 (Kaspersky Lab) <==== ATENCIÓN
HKLM\ DisallowedCertificates: D70D7D00CA12E1B3E20F3BF7534DEB2C2E7C2404 (Comodo Security Solutions) <==== ATENCIÓN
HKLM\ DisallowedCertificates: DBFAD9D59A6A07DCEB004DBE2DC246B547249E86 (Malwarebytes Corporation) <==== ATENCIÓN
HKLM\ DisallowedCertificates: E27AA5FFDCA62A60E435292A243D0C6D43DCC513 (Doctor Web Ltd.) <==== ATENCIÓN
HKLM\ DisallowedCertificates: E4A0C1054F8025DD88EE5053094A9A61661AE123 (Webroot Inc.) <==== ATENCIÓN
HKLM\ DisallowedCertificates: F75019695C0504E3ABEFEDCD8FBE500DA08EC8FA (Avast Antivirus/Software) <==== ATENCIÓN
HKU\S-1-5-21-2875759431-1267641614-1460762344-1001\...\Run: [Web Companion] => C:\Program Files (x86)\Lavasoft\Web Companion\Application\WebCompanion.exe --minimize 
HKU\S-1-5-21-2875759431-1267641614-1460762344-1001\...\Policies\Explorer: [] 
HKU\S-1-5-21-2875759431-1267641614-1460762344-1001\...\MountPoints2: {90f28ef6-13ec-11ea-bc00-408d5ccbe2e6} - "L:\windows\AutoRun.exe" 
HKU\S-1-5-21-2875759431-1267641614-1460762344-1001\...\MountPoints2: {c9a250fb-8480-11e9-bbeb-1c6f652400f1} - "I:\Lenovo_Suite.exe" 
HKLM\Software\Microsoft\Active Setup\Installed Components: [{8A69D345-D564-463c-AFF1-A69D9E530F96}] -> C:\Program Files (x86)\Google\Chrome\Application\78.0.3904.108\Installer\chrmstp.exe [2019-11-22] (Google LLC -> Google LLC)
CHR HKLM\SOFTWARE\Policies\Google: Restricción <==== ATENCIÓN
CHR HKU\S-1-5-21-2875759431-1267641614-1460762344-1001\SOFTWARE\Policies\Google: Restricción <==== ATENCIÓN
Task: {296D1C56-1499-446A-A856-BD3503733B70} - \IJscJnoU -> Ningún archivo <==== ATENCIÓN
Task: {D338A85C-7001-4AB3-A6C2-3D984D0E17D9} - \A66A1340-3436-3293-40DB-88F8EFDB7308 -> Ningún archivo <==== ATENCIÓN
Task: {D8339D67-23CF-4FEE-B8DF-94C98C2699E1} - System32\Tasks\Avast Software\Overseer => C:\Program Files\Common Files\AVAST Software\Overseer\overseer.exe [1660520 2020-02-27] (Avast Software s.r.o. -> Avast Software)
Task: {F12E2FDC-CA1D-45A4-8725-1DF5A70C786B} - System32\Tasks\{099A689E-7640-4B7A-B473-FCCD4AF93244} => C:\ProgramData\2576879469261594432\watchdog.exe <==== ATENCIÓN
Task: C:\WINDOWS\Tasks\CreateExplorerShellUnelevatedTask.job => C:\WINDOWS\explorer.exe
Task: C:\WINDOWS\Tasks\MATLAB R2019a Startup Accelerator.job => C:\Program Files\Polyspace\R2019a\bin\win64\MATLABStartupAccelerator.exe
HKU\S-1-5-21-2875759431-1267641614-1460762344-1001\Software\Microsoft\Internet Explorer\Main,Start Page = hxxps://securesearch.org/homepage?hp=2&pId=JD180501&iDate=2020-03-22 10:33:38&bName=
SearchScopes: HKU\S-1-5-21-2875759431-1267641614-1460762344-1001 -> {993F5746-4C15-42BC-99C1-064A1764271B} URL = hxxps://securesearch.org?q={searchTerms}
BHO-x32: Sin Nombre -> {D0498E0A-45B7-42AE-A9AA-ABA463DBD3BF} -> Ningún archivo
FF NewTab: Mozilla\Firefox\Profiles\nbvw1ob9.default -> hxxps://securesearch.org/homepage?hp=2&pId=JD180501&iDate=2020-03-22 10:33:38&bName=
CHR HKLM\...\Chrome\Extension: [ccbpbkebodcjkknkfkpmfeciinhidaeh]
CHR HKLM-x32\...\Chrome\Extension: [ccbpbkebodcjkknkfkpmfeciinhidaeh]
S2 ADExchange; C:\Program Files (x86)\Common Files\ArcSoft\esinter\Bin\eservutil.exe [X]
3 TKCtrl; C:\WINDOWS\system32\TKCtrl2k64.sys [147240 2018-01-29] (INCA Internet Co.,Ltd. -> INCA Internet Co., Ltd.) <==== ATENCIÓN
S3 TKFsAvM; C:\WINDOWS\system32\TKFsAv64.sys [198808 2018-03-07] (INCA Internet Co.,Ltd. -> INCA Internet Co., Ltd.) <==== ATENCIÓN
S3 TKFsFtM; C:\WINDOWS\system32\TKFsFt64.sys [28824 2018-03-07] (INCA Internet Co.,Ltd. -> INCA Internet Co., Ltd.) <==== ATENCIÓN
S3 TKPcFt; C:\WINDOWS\system32\TKPcFtCb64.sys [54504 2018-01-29] (INCA Internet Co.,Ltd. -> INCA Internet Co., Ltd.) <==== ATENCIÓN
S3 TKRgAc; C:\WINDOWS\system32\TKRgAc2k64.sys [115760 2018-01-29] (INCA Internet Co.,Ltd. -> INCA Internet Co., Ltd.) <==== ATENCIÓN
S3 TKRgFt; C:\WINDOWS\system32\TKRgFtXp64.sys [68848 2018-02-04] (INCA Internet Co.,Ltd. -> INCA Internet Co., Ltd.) <==== ATENCIÓN
S3 TKSP; C:\WINDOWS\system32\TKSPxp64.sys [80824 2018-01-29] (INCA Internet Co.,Ltd. -> INCA Internet Co., Ltd.) <==== ATENCIÓN
Tcpip\Parameters: [NameServer] 82.163.142.9 95.211.158.137
Tcpip\..\Interfaces\{326d5af5-d5ce-4831-b8b6-f8290bd47069}: [NameServer] 82.163.142.9 95.211.158.137
2020-04-09 17:55 - 2020-01-24 10:05 - 000000000 ____D C:\Users\CASA-PC\.pylint.d
2020-04-05 12:53 - 2020-01-24 10:10 - 000000000 ____D C:\Users\CASA-PC\.idlerc
2020-03-02 22:05 - 2020-03-03 08:47 - 000002050 _____ () C:\Users\CASA-PC\AppData\Local\oobelibMkey.log
ShellIconOverlayIdentifiers: [ MEGA (Pending)] -> {056D528D-CE28-4194-9BA3-BA2E9197FF8C} => C:\Users\CASA-PC\AppData\Local\MEGAsync\ShellExtX64.dll -> Ningún archivo
ShellIconOverlayIdentifiers: [ MEGA (Synced)] -> {05B38830-F4E9-4329-978B-1DD28605D202} => C:\Users\CASA-PC\AppData\Local\MEGAsync\ShellExtX64.dll -> Ningún archivo
ShellIconOverlayIdentifiers: [ MEGA (Syncing)] -> {0596C850-7BDD-4C9D-AFDF-873BE6890637} => C:\Users\CASA-PC\AppData\Local\MEGAsync\ShellExtX64.dll -> Ningún archivo
ShellIconOverlayIdentifiers: [00asw] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  -> Ningún archivo
ShellIconOverlayIdentifiers: [00avg] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  -> Ningún archivo
ShellIconOverlayIdentifiers-x32: [ MEGA (Pending)] -> {056D528D-CE28-4194-9BA3-BA2E9197FF8C} => C:\Users\CASA-PC\AppData\Local\MEGAsync\ShellExtX64.dll -> Ningún archivo
ShellIconOverlayIdentifiers-x32: [ MEGA (Synced)] -> {05B38830-F4E9-4329-978B-1DD28605D202} => C:\Users\CASA-PC\AppData\Local\MEGAsync\ShellExtX64.dll -> Ningún archivo
ShellIconOverlayIdentifiers-x32: [ MEGA (Syncing)] -> {0596C850-7BDD-4C9D-AFDF-873BE6890637} => C:\Users\CASA-PC\AppData\Local\MEGAsync\ShellExtX64.dll -> Ningún archivo
ContextMenuHandlers1: [DriveFS 28 or later] -> {EE15C2BD-CECB-49F8-A113-CA1BFC528F5B} =>  -> Ningún archivo
ContextMenuHandlers1: [ixcShellExt] -> {A7047D3E-09F3-11D4-8F6D-1081AD87DD41} =>  -> Ningún archivo
ContextMenuHandlers1: [MEGA (Context menu)] -> {0229E5E7-09E9-45CF-9228-0228EC7D5F17} => C:\Users\CASA-PC\AppData\Local\MEGAsync\ShellExtX64.dll -> Ningún archivo
ContextMenuHandlers2: [MEGA (Context menu)] -> {0229E5E7-09E9-45CF-9228-0228EC7D5F17} => C:\Users\CASA-PC\AppData\Local\MEGAsync\ShellExtX64.dll -> Ningún archivo
ContextMenuHandlers3: [MEGA (Context menu)] -> {0229E5E7-09E9-45CF-9228-0228EC7D5F17} => C:\Users\CASA-PC\AppData\Local\MEGAsync\ShellExtX64.dll -> Ningún archivo
ContextMenuHandlers4: [DriveFS 28 or later] -> {EE15C2BD-CECB-49F8-A113-CA1BFC528F5B} =>  -> Ningún archivo
ContextMenuHandlers4: [MEGA (Context menu)] -> {0229E5E7-09E9-45CF-9228-0228EC7D5F17} => C:\Users\CASA-PC\AppData\Local\MEGAsync\ShellExtX64.dll -> Ningún archivo
ContextMenuHandlers5: [DriveFS 28 or later] -> {EE15C2BD-CECB-49F8-A113-CA1BFC528F5B} =>  -> Ningún archivo
ContextMenuHandlers6: [ixcShellExt] -> {A7047D3E-09F3-11D4-8F6D-1081AD87DD41} =>  -> Ningún archivo
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\TKFsAvM => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\TKFsFtM => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\TKPcFt => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\TKRgAc => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\TKRgFt => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\TKFsAvM => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\TKFsFtM => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\TKPcFt => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\TKRgAc => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\TKRgFt => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Option => "OptionValue"="2"
Shortcut: C:\Users\CASA-PC\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Aplicaciones de Chrome\Еdmodо Sitе.lnk -> C:\Users\CASA-PC\AppData\Roaming\Browsers\exe.emorhc.bat (Ningún archivo) <==== Cyrillic
Shortcut: C:\Users\CASA-PC\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\Intеrnеt Exрlorеr.lnk -> C:\Users\CASA-PC\AppData\Roaming\Browsers\exe.erolpxei.bat (Ningún archivo) <==== Cyrillic
Shortcut: C:\Users\CASA-PC\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Gоogle Сhromе.lnk -> C:\Users\CASA-PC\AppData\Roaming\Browsers\exe.emorhc.bat (Ningún archivo) <==== Cyrillic
Shortcut: C:\Users\CASA-PC\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Gооgle Сhrоmе.lnk -> C:\Users\CASA-PC\AppData\Roaming\Browsers\exe.emorhc.bat (Ningún archivo) <==== Cyrillic
Shortcut: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Gоogle Сhrоmе.lnk -> C:\Users\CASA-PC\AppData\Roaming\Browsers\exe.emorhc.bat (Ningún archivo) <==== Cyrillic
HKU\S-1-5-21-2875759431-1267641614-1460762344-1001\...\StartupApproved\Run: => "fOZRdhg0bs.exe"
FirewallRules: [{50882B8D-9E65-499C-BCF8-C2CAA9DD63C9}] => (Block) C:\Program Files (x86)\Avira\SoftwareUpdater\avirasoftwareupdatertoastnotificationsbridge.exe Ningún archivo
FirewallRules: [{1966E535-E9BE-4647-801F-FD432D37F1AA}] => (Allow) C:\Program Files (x86)\Avira\SoftwareUpdater\avirasoftwareupdatertoastnotificationsbridge.exe Ningún archivo
FirewallRules: [{47B43BA0-B4C4-40E7-B440-312F1E4ECA80}] => (Allow) C:\Program Files (x86)\Avira\SoftwareUpdater\avirasoftwareupdatertoastnotificationsbridge.exe Ningún archivo
C:\Program Files (x86)\Lavasoft
C:\Program Files\Common Files\AVAST Software
C:\ProgramData\2576879469261594432

CMD: ipconfig /flushdns
CMD: ipconfig /renew
CMD: bitsadmin /reset /allusers
CMD: netsh winsock reset
CMD: netsh advfirewall reset
CMD: netsh advfirewall set allprofiles state ON
CMD: netsh int ipv4 reset
CMD: netsh int ipv6 reset
RemoveProxy:
EmptyTemp:
Hosts:
END
  • Lo guarda bajo el nombre de fixlist.txt en el escritorio <<< Esto es muy importante.

Nota: Es necesario que el ejecutable Frst.exe/Frst64.exe y fixlist.txt se encuentren en la misma ubicación (escritorio) o si no la herramienta no trabajará.

3.- Inicie su ordenador en >>> Modo Seguro >>> Aplicable a Windows 10. o Windows 7.

  • Ejecute Frst.exe o Frst64.exe. según el caso.
  • Presione el botón Fix/Corregir y aguarde a que termine.
  • La Herramienta guardará el reporte en su escritorio (Fixlog.txt).
  • Reinicia y lo pega en su próxima respuesta.

Reinicias en Modo Normal y nos comentas como va el equipo

Salu2