Probé todo y no lo puedo quitar

Luciano · 18 Octubre, 2018 10:55

Windows Defender:
===================================
Date: 2018-08-03 09:33:06.827
Description: 
Antivirus de Windows Defender detectó malware u otro software potencialmente no deseado.
Para obtener más información consulte lo siguiente:
https://go.microsoft.com/fwlink/?linkid=37020&name=HackTool:Win32/AutoKMS.A&threatid=2147726953&enterprise=0
Nombre: HackTool:Win32/AutoKMS.A
Id.: 2147726953
Gravedad: Alta
Categoría: Herramienta
Ruta de acceso: file:_C:\WINDOWS\SECOH-QAD.dll
Origen de detección: Equipo local
Tipo de detección: Concreto
Fuente de detección: Sistema
Usuario: NT AUTHORITY\SYSTEM
Nombre de proceso: Unknown
Versión de firma: AV: 1.273.781.0, AS: 1.273.781.0, NIS: 1.273.781.0
Versión de motor: AM: 1.1.15100.1, NIS: 1.1.15100.1

Date: 2018-08-03 08:57:31.700
Description: 
El examen de Antivirus de Windows Defender se detuvo antes de completarse.
Id. de examen: {80811EE1-B15B-49FB-B372-0F4B05CE5F65}
Tipo de examen: Antimalware
Parámetros de examen: Examen rápido
Usuario: NT AUTHORITY\SYSTEM

Date: 2018-08-03 08:50:52.774
Description: 
El examen de Antivirus de Windows Defender se detuvo antes de completarse.
Id. de examen: {84F8A8F7-8A3A-4489-8CE4-4BE9FF697845}
Tipo de examen: Antimalware
Parámetros de examen: Examen rápido
Usuario: NT AUTHORITY\SYSTEM

Date: 2018-08-02 20:34:48.174
Description: 
El examen de Antivirus de Windows Defender se detuvo antes de completarse.
Id. de examen: {A4199A9A-90F3-4B1D-BDA8-A9ED396953E7}
Tipo de examen: Antimalware
Parámetros de examen: Examen rápido
Usuario: NT AUTHORITY\SYSTEM

Date: 2018-08-02 18:27:36.587
Description: 
El examen de Antivirus de Windows Defender se detuvo antes de completarse.
Id. de examen: {6A1514CA-8F9B-41DD-A31A-3BB5BEE848D3}
Tipo de examen: Antimalware
Parámetros de examen: Examen rápido
Usuario: NT AUTHORITY\SYSTEM

Date: 2018-08-03 08:58:30.814
Description: 
Antivirus de Windows Defender encontró un error al intentar actualizar las firmas.
Nueva versión de firma: 
Versión de firma anterior: 1.273.665.0
Origen de actualización: Servidor de Microsoft Update
Tipo de firma: AntiVirus
Tipo de actualización: Completa
Usuario: NT AUTHORITY\SYSTEM
Versión de motor actual: 
Versión de motor anterior: 1.1.15100.1
Código de error: 0x80070422
Descripción del error: No se puede iniciar el servicio, porque está deshabilitado o porque no tiene dispositivos habilitados asociados a él. 

Date: 2018-08-02 17:00:50.580
Description: 
Antivirus de Windows Defender encontró un error al intentar actualizar las firmas.
Nueva versión de firma: 
Versión de firma anterior: 1.273.665.0
Origen de actualización: Servidor de Microsoft Update
Tipo de firma: AntiVirus
Tipo de actualización: Completa
Usuario: NT AUTHORITY\SYSTEM
Versión de motor actual: 
Versión de motor anterior: 1.1.15100.1
Código de error: 0x80070422
Descripción del error: No se puede iniciar el servicio, porque está deshabilitado o porque no tiene dispositivos habilitados asociados a él. 

Date: 2018-08-02 16:12:05.634
Description: 
Antivirus de Windows Defender encontró un error al intentar actualizar las firmas.
Nueva versión de firma: 
Versión de firma anterior: 1.273.665.0
Origen de actualización: Servidor de Microsoft Update
Tipo de firma: AntiVirus
Tipo de actualización: Completa
Usuario: NT AUTHORITY\SYSTEM
Versión de motor actual: 
Versión de motor anterior: 1.1.15100.1
Código de error: 0x80070422
Descripción del error: No se puede iniciar el servicio, porque está deshabilitado o porque no tiene dispositivos habilitados asociados a él. 

Date: 2018-08-01 11:12:40.737
Description: 
Antivirus de Windows Defender encontró un error al intentar actualizar las firmas.
Nueva versión de firma: 
Versión de firma anterior: 1.273.665.0
Origen de actualización: Servidor de Microsoft Update
Tipo de firma: AntiVirus
Tipo de actualización: Completa
Usuario: NT AUTHORITY\SYSTEM
Versión de motor actual: 
Versión de motor anterior: 1.1.15100.1
Código de error: 0x80070422
Descripción del error: No se puede iniciar el servicio, porque está deshabilitado o porque no tiene dispositivos habilitados asociados a él. 

Date: 2018-08-01 11:02:40.529
Description: 
Antivirus de Windows Defender encontró un error al intentar actualizar las firmas.
Nueva versión de firma: 
Versión de firma anterior: 1.263.48.0
Origen de actualización: Servidor de Microsoft Update
Tipo de firma: AntiVirus
Tipo de actualización: Completa
Usuario: NT AUTHORITY\SYSTEM
Versión de motor actual: 
Versión de motor anterior: 1.1.14600.4
Código de error: 0x80070422
Descripción del error: No se puede iniciar el servicio, porque está deshabilitado o porque no tiene dispositivos habilitados asociados a él. 

CodeIntegrity:
===================================

Date: 2018-08-25 08:23:50.268
Description: 
Code Integrity determined that a process (\Device\HarddiskVolume2\Windows\System32\dllhost.exe) attempted to load \Device\HarddiskVolume2\Windows\System32\pmls64.dll that did not meet the Microsoft signing level requirements.

Date: 2018-08-25 08:23:50.254
Description: 
Code Integrity determined that a process (\Device\HarddiskVolume2\Windows\System32\dllhost.exe) attempted to load \Device\HarddiskVolume2\Windows\System32\pmls64.dll that did not meet the Microsoft signing level requirements.

Date: 2018-08-25 08:23:50.239
Description: 
Code Integrity determined that a process (\Device\HarddiskVolume2\Windows\System32\dllhost.exe) attempted to load \Device\HarddiskVolume2\Windows\System32\pmls64.dll that did not meet the Microsoft signing level requirements.

Date: 2018-08-25 08:23:50.225
Description: 
Code Integrity determined that a process (\Device\HarddiskVolume2\Windows\System32\dllhost.exe) attempted to load \Device\HarddiskVolume2\Windows\System32\pmls64.dll that did not meet the Microsoft signing level requirements.

Date: 2018-08-25 08:23:45.161
Description: 
Code Integrity determined that a process (\Device\HarddiskVolume2\Windows\System32\dllhost.exe) attempted to load \Device\HarddiskVolume2\Windows\System32\pmls64.dll that did not meet the Microsoft signing level requirements.

Date: 2018-08-25 08:23:45.143
Description: 
Code Integrity determined that a process (\Device\HarddiskVolume2\Windows\System32\dllhost.exe) attempted to load \Device\HarddiskVolume2\Windows\System32\pmls64.dll that did not meet the Microsoft signing level requirements.

Date: 2018-08-25 08:23:45.105
Description: 
Code Integrity determined that a process (\Device\HarddiskVolume2\Windows\System32\dllhost.exe) attempted to load \Device\HarddiskVolume2\Windows\System32\pmls64.dll that did not meet the Microsoft signing level requirements.

Date: 2018-08-25 08:23:45.086
Description: 
Code Integrity determined that a process (\Device\HarddiskVolume2\Windows\System32\dllhost.exe) attempted to load \Device\HarddiskVolume2\Windows\System32\pmls64.dll that did not meet the Microsoft signing level requirements.

==================== Memory info =========================== 

Processor: Intel(R) Core(TM) i7-5500U CPU @ 2.40GHz
Percentage of memory in use: 24%
Total physical RAM: 16304.67 MB
Available physical RAM: 12295.56 MB
Total Virtual: 18736.67 MB
Available Virtual: 14604.98 MB

==================== Drives ================================

Drive c: () (Fixed) (Total:930.14 GB) (Free:588.54 GB) NTFS

\\?\Volume{869fe05d-0000-0000-0000-100000000000}\ (Reservado para el sistema) (Fixed) (Total:0.49 GB) (Free:0.45 GB) NTFS
\\?\Volume{869fe05d-0000-0000-0000-00a8e8000000}\ () (Fixed) (Total:0.89 GB) (Free:0.39 GB) NTFS

==================== MBR & Partition Table ==================

========================================================
Disk: 0 (MBR Code: Windows 7/8/10) (Size: 931.5 GB) (Disk ID: 869FE05D)
Partition 1: (Active) - (Size=500 MB) - (Type=07 NTFS)
Partition 2: (Not Active) - (Size=930.1 GB) - (Type=07 NTFS)
Partition 3: (Not Active) - (Size=907 MB) - (Type=27)

==================== End of Addition.txt ============================

Eso es lo último… no me permitía enviar mensajes… decía que había excedido los mensajes para un día.

Miguelgrado · 18 Octubre, 2018 15:48

Bien… y ahora sigue estos pasos, MUY Importante ~ Realiza una copia de seguridad del registro :

Para hacerlo descarga Delfix en tu escritorio.
Doble clic para ejecutarlo.(Si usas Windows Vista/7/8 o 10 presiona clic derecho y selecciona "Ejecutar como Administrador.")
Atención, ahora marca/selecciona únicamente la casilla "Create registry backup", las demás NO
Pulsar en Run.

Se abrirá el informe (DelFix.txt), guárdalo por si fuera necesario y cierra la herramienta.

En el equipo con los demas programas cerrados:

Inicio >>> Ejecutar >>>Escribes notepad.exe.

Ahora copia y pega estos archivos dentro del Notepad:


Start
CreateRestorePoint:
CloseProcesses:

GroupPolicy: Restriction ? <==== ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
CHR Extension: (Chrome Media Router) - C:\Users\Usuario\AppData\Local\Google\Chrome\User Data\Default\Extensions\pkedcjkdefgpdelpbcmbmeomcjbeemfm [2018-06-13]
CHR HKLM\...\Chrome\Extension: [pdpcpceofkopegffcdnffeenbfdldock] - hxxps://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-3162186387-75124398-1704654916-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [pdpcpceofkopegffcdnffeenbfdldock] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [glcimepnljoholdmjchkloafkggfoijh] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [pdpcpceofkopegffcdnffeenbfdldock] - hxxps://clients2.google.com/service/update2/crx
S2 Key Symbols Notifier; "C:\Users\Usuario\AppData\Local\WServices\svb98s12e.exe" /srv [X]
U3 aspnet_state; no ImagePath
U3 aswbdisk; no ImagePath
S2 multikey; \SystemRoot\System32\drivers\multikey.sys [X]
testsigning: ==> 'testsigning' is set. Check for possible unsigned driver <==== ATTENTION



HOSTS:
REMOVEPROXY:
EMPTYTEMP:
CMD: netsh winsock reset
CMD: ipconfig /renew
CMD: ipconfig /flushdns
CMD: bitsadmin /reset /allusers
END

Lo guardas bajo el nombre de fixlist.txt en el escritorio <<< Esto es muy importante.<<

Nota: Es importante que la Hta Frst.exe y fixlist.txt se encuentren en la misma ubicación (escritorio) o si no no trabajara.

Y ahora usa esta Faq de Windows ¿Cómo iniciar Windows en Modo Seguro?, para trabajar desde ese modo de windows.
Ejecutas Frst.exe.
Presionas el botón Fix y aguardas a que termine.
La Herramienta guardara el reporte en tu escritorio (Fixlog.txt).

Lo pegas en tu próxima respuesta, comentado como va el problema

Luciano · 18 Octubre, 2018 17:47

Hola! Muchas gracias por todo lo que está haciendo por mi.

Noto que la computadora está lenta El disco duro no para de girar (se oye) En google, cuando tira los resultados de la búsqueda, primero lo muestra como debe ser y luego agrega publicidades antes de los resultados (no son los de Google Ads) En youtube, reemplaza las imágenes de las miniaturas de los videos por las fotos de señoritas y les cambia el nombre a los videos. Cuando reproduzco un video de Youtube, no permite saltar la publicidad (debo esperar que finalice) y además muestra sobre el video un rectángulo con la imágen de las señoritas y no permite cerrarlo.

MalwareBytes abre a cada rato una ventanita que dice sitio web bloqueado debido a troyano.

Para poder adjuntar un archivo en mi webmail, debí desactivar MalwareBytes porque no permitía hacerlo.

Fix result of Farbar Recovery Scan Tool (x64) Version: 10.10.2018
Ran by Usuario (18-10-2018 14:22:04) Run:1
Running from C:\Users\Usuario\Desktop
Loaded Profiles: Usuario (Available Profiles: Usuario & postgres)
Boot Mode: Safe Mode (minimal)
==============================================

fixlist content:
*****************
Start
CreateRestorePoint:
CloseProcesses:

GroupPolicy: Restriction ? <==== ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
CHR Extension: (Chrome Media Router) - C:\Users\Usuario\AppData\Local\Google\Chrome\User Data\Default\Extensions\pkedcjkdefgpdelpbcmbmeomcjbeemfm [2018-06-13]
CHR HKLM\...\Chrome\Extension: [pdpcpceofkopegffcdnffeenbfdldock] - hxxps://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-3162186387-75124398-1704654916-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [pdpcpceofkopegffcdnffeenbfdldock] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [glcimepnljoholdmjchkloafkggfoijh] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [pdpcpceofkopegffcdnffeenbfdldock] - hxxps://clients2.google.com/service/update2/crx
S2 Key Symbols Notifier; "C:\Users\Usuario\AppData\Local\WServices\svb98s12e.exe" /srv [X]
U3 aspnet_state; no ImagePath
U3 aswbdisk; no ImagePath
S2 multikey; \SystemRoot\System32\drivers\multikey.sys [X]
testsigning: ==> 'testsigning' is set. Check for possible unsigned driver <==== ATTENTION



HOSTS:
REMOVEPROXY:
EMPTYTEMP:
CMD: netsh winsock reset
CMD: ipconfig /renew
CMD: ipconfig /flushdns
CMD: bitsadmin /reset /allusers
END
*****************

Error: Restore point can only be created in normal mode.
Processes closed successfully.
C:\WINDOWS\system32\GroupPolicy\Machine => moved successfully
C:\WINDOWS\system32\GroupPolicy\GPT.ini => moved successfully
C:\WINDOWS\SysWOW64\GroupPolicy\GPT.ini => moved successfully
HKLM\SOFTWARE\Policies\Google => removed successfully
CHR Extension: (Chrome Media Router) - C:\Users\Usuario\AppData\Local\Google\Chrome\User Data\Default\Extensions\pkedcjkdefgpdelpbcmbmeomcjbeemfm [2018-06-13] => Error: No automatic fix found for this entry.
HKLM\SOFTWARE\Google\Chrome\Extensions\pdpcpceofkopegffcdnffeenbfdldock => removed successfully
HKU\S-1-5-21-3162186387-75124398-1704654916-1001\SOFTWARE\Google\Chrome\Extensions\pdpcpceofkopegffcdnffeenbfdldock => removed successfully
HKLM\SOFTWARE\Wow6432Node\Google\Chrome\Extensions\glcimepnljoholdmjchkloafkggfoijh => removed successfully
HKLM\SOFTWARE\Wow6432Node\Google\Chrome\Extensions\pdpcpceofkopegffcdnffeenbfdldock => removed successfully
HKLM\System\CurrentControlSet\Services\Key Symbols Notifier => removed successfully
Key Symbols Notifier => service removed successfully
HKLM\System\CurrentControlSet\Services\aspnet_state => removed successfully
aspnet_state => service removed successfully
HKLM\System\CurrentControlSet\Services\aswbdisk => removed successfully
aswbdisk => service removed successfully
HKLM\System\CurrentControlSet\Services\multikey => removed successfully
multikey => service removed successfully

=========================  bcdedit ========================


La operaci�n se complet� correctamente.

========= End of bcdedit =========

C:\Windows\System32\Drivers\etc\hosts => moved successfully
Hosts restored successfully.

========= RemoveProxy: =========

"HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => removed successfully
"HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => removed successfully
"HKU\S-1-5-21-3162186387-75124398-1704654916-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => removed successfully
"HKU\S-1-5-21-3162186387-75124398-1704654916-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => removed successfully


========= End of RemoveProxy: =========


========= netsh winsock reset =========


El cat logo Winsock se restableci¢ correctamente.
Debe reiniciar el equipo para completar el restablecimiento.


========= End of CMD: =========


========= ipconfig /renew =========


Configuraci¢n IP de Windows


========= End of CMD: =========


========= ipconfig /flushdns =========


Configuraci¢n IP de Windows

No se puede vaciar la cach‚ de resoluci¢n de DNS: Error de una funci¢n durante la ejecuci¢n.


========= End of CMD: =========


========= bitsadmin /reset /allusers =========


BITSADMIN version 3.0
BITS administration utility.
(C) Copyright Microsoft Corp.

Unable to connect to BITS - 0x8007043c

========= End of CMD: =========


=========== EmptyTemp: ==========

BITS transfer queue => 9199616 B
DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 285917993 B
Java, Flash, Steam htmlcache => 1102 B
Windows/system/drivers => 222680 B
Edge => 16367 B
Chrome => 450326904 B
Firefox => 0 B
Opera => 0 B

Temp, IE cache, history, cookies, recent:
Default => 0 B
Users => 0 B
ProgramData => 0 B
Public => 0 B
systemprofile => 0 B
systemprofile32 => 1521 B
LocalService => 13652 B
LocalService => 0 B
NetworkService => 0 B
NetworkService => 0 B
Usuario => 16397720 B
postgres => 0 B

RecycleBin => 136603 B
EmptyTemp: => 726.9 MB temporary data Removed.

================================


The system needed a reboot.

==== End of Fixlog 14:23:48 ====

Otra vez, muchas gracias

Miguelgrado · 18 Octubre, 2018 18:15

Realiza un análisis como se indica con Eset Online y me pegas el log y comentas como sigue el pc:

Luciano · 18 Octubre, 2018 18:37

No me permite ver las imágenes del manual. Las carga y las borra

Miguelgrado · 18 Octubre, 2018 19:11

Con cualquier navegador??

Te dejo plantilla con indicaciones.

:1:Instala y Realiza un escaneo online con ESET Online Scanner usando la version V2

ESET Online Scanner | InfoSpyware.

:2:Abres el Eset Online Scanner y lo ejecutas de la siguiente manera:

Dejamos marcada la casilla de Detección de aplicaciones potencialmente no deseadas

1- Haces click en Configuración adicional o Avanzada y marcamos las casillas como en la imagen:

2- Objetos para explorar actuales >> Cambiar >> Seleccionar todas las unidades del Pc

Pulsas en Explorar para que empiece a descargar la base firmas de virus y posteriormente empiece a analizar tu sistema.
Cuando acabe haz clic en Finalizar

Localiza y pega el reporte :

> ESET Online Scanner tambien almacena el archivo de registro de luego de ser ejecutado, el cual puede ser examinado o enviado a el foro… Nuevos registros son agregados a los existentes cuando se ejecutan múltiples exploraciones.

La ruta del archivo de registro es >> Este Equipo\Disco C\Usuarios\ Tu Nombre de Usuario\AppData\Local\Temp\ Log.txt

Para poder ver esa ubicación, debe Mostrar archivos ocultos

Luciano · 18 Octubre, 2018 22:36

|C:\Users\Usuario\AppData\Roaming\ZHP\Quarantine\ZHPCleaner\SECOH-QAD.dll|Win64/HackKMS.D aplicación potencialmente no segura|desinfectado por eliminación|
|---|---|---|
|C:\Users\Usuario\Desktop\OptiTEX_12.rar|una variante de Win32/Packed.NoobyProtect.E aplicación sospechosa|eliminado|
|C:\Users\Usuario\Downloads\ccsetup547.exe|Win32/Bundled.Toolbar.Google.D aplicación potencialmente no segura|desinfectado por eliminación|

Miguelgrado · 19 Octubre, 2018 05:28

Los logs pegarlos enteros, por favor y comenta como sigue el pc

Luciano · 19 Octubre, 2018 11:16

16:21:12 # product=EOS
# version=8
# flags=0
# ESETOnlineScanner_ESL.exe=2.0.22.0
# EOSSerial=
# end=init
# utc_time=2018-10-18 19:21:10
# local_time=2018-10-18 16:21:10 (-0300, Hora estándar de Argentina)
# country="Argentina"
# osver=10.0.17134 NT 
16:21:16 # product=EOS
# version=8
# flags=0
# ESETOnlineScanner_ESL.exe=2.0.22.0
# EOSSerial=edc707c8f8afd4468b043d988251e2ee
# end=init
# utc_time=2018-10-18 19:21:15
# local_time=2018-10-18 16:21:15 (-0300, Hora estándar de Argentina)
# country="Argentina"
# osver=10.0.17134 NT 
16:22:16 Updating
16:22:16 Update Init
16:22:18 Update Download
16:25:44 esets_scanner_reload returned 0
16:25:44 g_uiModuleBuild: 39101
16:25:44 Update Finalize
16:25:44 Call m_esets_charon_send
16:25:44 Call m_esets_charon_destroy
16:25:44 Updated modules version: 39101
16:25:54 Call m_esets_charon_setup_create
16:25:54 Call m_esets_charon_create
16:25:54 m_esets_charon_create OK
16:25:54 Call m_esets_charon_start_send_thread
16:25:54 Call m_esets_charon_setup_set
16:25:54 m_esets_charon_setup_set OK
16:25:54 Scanner engine: 39101
19:41:35 Call m_esets_charon_send
19:41:35 Call m_esets_charon_destroy
19:41:35 # product=EOS
# version=8
# flags=0
# ESETOnlineScanner_ESL.exe=2.0.22.0
# EOSSerial=edc707c8f8afd4468b043d988251e2ee
# engine=39101
# end=finished
# bannerClicked=0
# remove_checked=true
# archives_checked=true
# unwanted_checked=true
# unsafe_checked=true
# antistealth_checked=true
# sfx_checked=true
# utc_time=2018-10-18 22:41:34
# local_time=2018-10-18 19:41:34 (-0300, Hora estándar de Argentina)
# country="Argentina"
# lang=13322
# osver=10.0.17134 NT 
# compatibility_mode_1=''
# compatibility_mode=5893 16776574 100 94 0 16326456 0 0
# compatibility_mode_1='360 Total Security'
# compatibility_mode=16641 16777213 87 95 9312036 12683785 0 0
# scanned=413282
# found=3
# cleaned=3
# scan_time=10273
sh=0000000000000000000000000000000000000000 ft=- fh=0000000000000000 vn="Win64/HackKMS.D aplicación potencialmente no segura (desinfectado por eliminación)" ac=C fn="C:\Users\Usuario\AppData\Roaming\ZHP\Quarantine\ZHPCleaner\SECOH-QAD.dll"
sh=0000000000000000000000000000000000000000 ft=- fh=0000000000000000 vn="una variante de Win32/Packed.NoobyProtect.E aplicación sospechosa (eliminado)" ac=C fn="C:\Users\Usuario\Desktop\OptiTEX_12.rar"
sh=0000000000000000000000000000000000000000 ft=- fh=0000000000000000 vn="Win32/Bundled.Toolbar.Google.D aplicación potencialmente no segura (desinfectado por eliminación)" ac=C fn="C:\Users\Usuario\Downloads\ccsetup547.exe"

Luciano · 19 Octubre, 2018 11:19

Sigue todo igual, no hay cambios.

Solo que en Google no aparecen las publicidades luego de la búsqueda. Pero si, un rectángulo con unas manzanas girando y la layenda “FELICITACIONES eres el usuario 1.000.000”

Miguelgrado · 19 Octubre, 2018 15:47

Realiza copia marcadores de Chrome >> https://support.google.com/chrome/answer/96816?hl=es
Desinstalas Chrome con Revo.
Descarga e instalas >> Revo Uninstaller | InfoSpyware
Luego, segun Indico, desinstalas el / los programas indicados, seleccionando cuando lo indique Revo, el Modo Avanzado
Marcas NOMBRE PROGRAMA y pulsas desinstalar en el menu de Revo, en Modo Avanzado
Cuando lo hagas, se iniciara el desinstalador de NOMBRE DE PROGRAMA y al finalizar (si alguno te pide reiniciar, pulsas en NO o Cancelar y continuas con Revo), realizas:

Pulsas Analizar en Revo, para que analice los restos del programa
Pulsas seleccionar todo, para eliminar restos del registro
Pulsas borrar todo
Pulsas siguiente
Pulsas seleccionar todo, para eliminar, si hay, carpetas
Pulsas borrar todo
Pulsas finalizar

Eliminas estas carpetas si estan:

C:\ProgramData\Google/Chrome
C:\Users\All Users\Google\Chrome
C:\Users\TU NOMBRE DE USUARIO\AppData\Local\Google\Chrome
C:\Users\TU NOMBRE DE USUARIO\AppData\Roaming\Google\Chrome

Para poder ver esas ubicaciónes, debe Mostrar archivos ocultos

Reinstalas >> https://www.google.es/chrome/browser/desktop/

Luciano · 19 Octubre, 2018 20:40

Listo. Aparentemente estaría solucionado.

Sigo escuchando el disco duro que no para nunca… es normal?

Cuando abrí IE para descargar Chrome, Malwarebytes mostró un mensaje de Exploit bloqueado.

Muchas gracias!!

Abuso de su predisposición, ahora cómo debo proteger mi computadora? dejo instalados todos los programas que descargué?

Miguelgrado · 19 Octubre, 2018 20:57

Primeramente…el Crome lo descargaste de donde te puse el link??

Abre Malwarebytes. informes y busca el evento en el que sale esa detección de exploit - copiar al portapapeles y me lo pegas

Veo que usas el 360 antivirus…es un antivirus pesado y ademas aunque dice traer motor de Avira y Bitdefender, en protección no da el resultando esperado…yo ya lo probé.

Yo lo quitaría, usando Revo Uninstaller, y pondría >> Kaspersky Free

Una vez instalado, realizar un análisis completo y eliminar si sale algo.

Ademas, Malwarebytes en su versión de con protección que tienes ahora, es en versión de prueba, y en 15 dias, si no la compras no dispondras de ella, por lo que te quedaras unicamente con el antivirus que tengas, y Kaspersky te protegerá mejor.

Quizas por el 360 tu disco duro este muy activo…prueba con mis indicaciones y comentas, aparte de responder a las primeras cuestiones que te planteo en mi respuesta.

Cuando finalicemos te daré indicaciones para quitar los programas que hemos usado, aunque Mlawarebytes lo dejaría para escaneos regulares, pues después de los 15 dias, podrás seguir usándolo en version free

Saludos

Luciano · 19 Octubre, 2018 23:10

si, el chrome lo descargué copiando la dirección en la barra de direcciones del IE

Ahora desinstalo el 360 e instalo Kaspersky

Si crees que es bueno, puedo pagar Malwarebytes para estar mejor protegido.

Malwarebytes

-Detalles del registro- Fecha del evento de protección: 19/10/18 Hora del evento de protección: 17:20 Archivo de registro: 558760c8-d3dc-11e8-96bb-5820b16926b9.json

-Información del software- Versión: 3.6.1.2711 Versión de los componentes: 1.0.463 Versión del paquete de actualización: 1.0.7432 Licencia: Prueba

-Información del sistema- SO: Windows 10 (Build 17134.345) CPU: x64 Sistema de archivos: NTFS Usuario: System

-Detalles de exploit- Archivo: 0 (No hay elementos maliciosos detectados)

Exploit: 1 Malware.Exploit.Agent.Generic, , Bloqueado, [0], [392684],0.0.0

-Datos de exploit- Aplicación afectada: Internet Explorer (and add-ons) Capa de protección: Application Hardening Técnica de protección: Attempt to execute VBScript blocked Nombre de archivo: C:\Windows\SysWOW64\vbscript.dll URL:

(end)

Antes de este dió Malwarebytes

-Detalles del registro- Fecha del evento de protección: 17/10/18 Hora del evento de protección: 9:47 Archivo de registro: cc4d5650-d20a-11e8-8b8b-5820b16926b9.json

-Información del software- Versión: 3.6.1.2711 Versión de los componentes: 1.0.463 Versión del paquete de actualización: 1.0.7399 Licencia: Prueba

-Información del sistema- SO: Windows 10 (Build 17134.345) CPU: x64 Sistema de archivos: NTFS Usuario: System

-Detalles de exploit- Archivo: 0 (No hay elementos maliciosos detectados)

Exploit: 1 Malware.Exploit.Agent.Generic, , Bloqueado, [0], [392684],0.0.0

-Datos de exploit- Aplicación afectada: Internet Explorer (and add-ons) Capa de protección: Application Hardening Técnica de protección: Attempt to execute VBScript blocked Nombre de archivo: C:\Windows\SysWOW64\vbscript.dll URL:

(end)

Miguelgrado · 20 Octubre, 2018 09:48

Realiza una vez instalado un analisis completo con Kasersky y comentas como va todo

Luciano · 20 Octubre, 2018 12:31

Este fue el resultado del análisis con Kaspersky

19.10.2018 23.04.25	Análisis completo	Tarea completada	Hora de finalización: Ayer, 19/10/2018 11:04 p. m.
19.10.2018 23.04.25	Se eliminó un objeto detectado (archivo)	C:\Users\Usuario\Dropbox\Sitios\PQT\mail\new\1428495891.H32642P616159.whm.hosting-revendedor.com.ar,S=144187	Archivo: C:\Users\Usuario\Dropbox\Sitios\PQT\mail\new\1428495891.H32642P616159.whm.hosting-revendedor.com.ar,S=144187	Nombre del objeto: Trojan.MSIL.Inject.bpro
19.10.2018 23.04.25	Se movió a Cuarentena un objeto detectado (archivo)	C:\Users\Usuario\Dropbox\Sitios\PQT\mail\new\1428495891.H32642P616159.whm.hosting-revendedor.com.ar,S=144187//data0000//my_new_photo832748923794823798.exe	Archivo: C:\Users\Usuario\Dropbox\Sitios\PQT\mail\new\1428495891.H32642P616159.whm.hosting-revendedor.com.ar,S=144187//data0000//my_new_photo832748923794823798.exe	Nombre del objeto: Trojan.MSIL.Inject.bpro
19.10.2018 23.04.24	Se eliminó un objeto detectado (archivo)	C:\Users\Usuario\Dropbox\Sitios\PQT\mail\new\1428507416.H77329P946925.whm.hosting-revendedor.com.ar,S=144169	Archivo: C:\Users\Usuario\Dropbox\Sitios\PQT\mail\new\1428507416.H77329P946925.whm.hosting-revendedor.com.ar,S=144169	Nombre del objeto: Trojan.MSIL.Inject.bpro
19.10.2018 23.04.23	Se movió a Cuarentena un objeto detectado (archivo)	C:\Users\Usuario\Dropbox\Sitios\PQT\mail\new\1428507416.H77329P946925.whm.hosting-revendedor.com.ar,S=144169//data0000//my_new_photo832748923794823798.exe	Archivo: C:\Users\Usuario\Dropbox\Sitios\PQT\mail\new\1428507416.H77329P946925.whm.hosting-revendedor.com.ar,S=144169//data0000//my_new_photo832748923794823798.exe	Nombre del objeto: Trojan.MSIL.Inject.bpro
19.10.2018 23.04.21	Se eliminó un objeto detectado (archivo)	C:\Asistar\FEAFIP\Registrar.exe	Archivo: C:\Asistar\FEAFIP\Registrar.exe	Nombre del objeto: not-a-virus:HEUR:AdWare.Win32.Generic
19.10.2018 23.04.21	Se movió a Cuarentena un objeto detectado (archivo)	C:\Asistar\FEAFIP\Registrar.exe	Archivo: C:\Asistar\FEAFIP\Registrar.exe	Nombre del objeto: not-a-virus:HEUR:AdWare.Win32.Generic
19.10.2018 21.52.59	Objeto (archivo) no procesado	C:\Users\Usuario\Dropbox\Sitios\PQT\mail\new\1428495891.H32642P616159.whm.hosting-revendedor.com.ar,S=144187//data0000//my_new_photo832748923794823798.exe	Archivo: C:\Users\Usuario\Dropbox\Sitios\PQT\mail\new\1428495891.H32642P616159.whm.hosting-revendedor.com.ar,S=144187//data0000//my_new_photo832748923794823798.exe	Nombre del objeto: Trojan.MSIL.Inject.bpro	Motivo: Pospuesto
19.10.2018 21.52.59	Objeto (archivo) detectado	C:\Users\Usuario\Dropbox\Sitios\PQT\mail\new\1428495891.H32642P616159.whm.hosting-revendedor.com.ar,S=144187//data0000//my_new_photo832748923794823798.exe	Archivo: C:\Users\Usuario\Dropbox\Sitios\PQT\mail\new\1428495891.H32642P616159.whm.hosting-revendedor.com.ar,S=144187//data0000//my_new_photo832748923794823798.exe	Nombre del objeto: Trojan.MSIL.Inject.bpro
19.10.2018 21.52.59	Objeto (archivo) no procesado	C:\Users\Usuario\Dropbox\Sitios\PQT\mail\new\1428507416.H77329P946925.whm.hosting-revendedor.com.ar,S=144169//data0000//my_new_photo832748923794823798.exe	Archivo: C:\Users\Usuario\Dropbox\Sitios\PQT\mail\new\1428507416.H77329P946925.whm.hosting-revendedor.com.ar,S=144169//data0000//my_new_photo832748923794823798.exe	Nombre del objeto: Trojan.MSIL.Inject.bpro	Motivo: Pospuesto
19.10.2018 21.52.59	Objeto (archivo) detectado	C:\Users\Usuario\Dropbox\Sitios\PQT\mail\new\1428507416.H77329P946925.whm.hosting-revendedor.com.ar,S=144169//data0000//my_new_photo832748923794823798.exe	Archivo: C:\Users\Usuario\Dropbox\Sitios\PQT\mail\new\1428507416.H77329P946925.whm.hosting-revendedor.com.ar,S=144169//data0000//my_new_photo832748923794823798.exe	Nombre del objeto: Trojan.MSIL.Inject.bpro
19.10.2018 20.46.45	Objeto (archivo) no procesado	C:\Asistar\FEAFIP\Registrar.exe	Archivo: C:\Asistar\FEAFIP\Registrar.exe	Nombre del objeto: not-a-virus:HEUR:AdWare.Win32.Generic	Motivo: Pospuesto
19.10.2018 20.46.44	Objeto (archivo) detectado	C:\Asistar\FEAFIP\Registrar.exe	Archivo: C:\Asistar\FEAFIP\Registrar.exe	Nombre del objeto: not-a-virus:HEUR:AdWare.Win32.Generic
19.10.2018 20.29.30	Análisis completo	Tarea iniciada	Hora: Ayer, 19/10/2018 08:29 p. m.

Miguelgrado · 20 Octubre, 2018 12:47

Limpio alguna cosita por ahi…

Ahora, que tal va el pc??

Luciano · 20 Octubre, 2018 22:44

Va bien. Incluso se escucha que el disco se detiene aveces…

ahora cómo seguimos? Qué programas debo desinstalar?

Karspersky y Malewarebytes los dejo instalados Free o debo pagar alguno de ellos?

Miguelgrado · 21 Octubre, 2018 15:54

Como dije antes, Malwarebytes dejalo aunque sea en version free para escaneos…lo de pagar licencia, eso ya…Malwarebytes es un excelente complemento para antivirus, y da una capa extra.

Eso si, si usaras Malwarebytes de pago, debes añadir en exclusiones de tu antivirus a Malwarebytes y en Malwarebytes excluir a tu antivirus, como en la imagen.

Sin%20t%C3%ADtulo

La version free de Kaspersky solo se diferencia en la de pago, qn que no se pueden modificar los parametros de los escudos, algo, en principio innecesario.

_____________________________________________________________________________

Para eliminar las herramientas usadas en la desinfección, realizas:

Descargas y Ejecutas >> Delfix, en tu escritorio.
Doble clic para ejecutarlo.(Si usas Windows Vista/7 /8 /10,presiona clic derecho y selecciona >>;Ejecutar como Administrador.)
Marca solamente la casilla Remove disinfection tools
Pulsar en Run.

Se abrirá el informe (DelFix.txt), guárdalo por si fuera necesario y cierra la herramienta.

Si queda alguna herramienta, la desinstalas desde panel de Windows y aquellas que no estén listadas, se eliminan directamente.

Alguna duda mas??

Luciano · 22 Octubre, 2018 13:33

Muchas gracias!

Solo una duda más… el programa Revo Uninstaller lo debo quitar o lo dejo?