Virus MASK VPN no se puede eliminar

josfer · 31 Julio, 2022 18:45

No te preocupes amigo, espero, igual es gratis tu ayuda, así que todo bien amigo, más bien muchas gracias bro, te mereces el cielo.

Marr0n · 21 Agosto, 2022 06:27

Hola, buenas @josfer

Primero de todo disculpa que haya tardado en responder. Pues he estado otra temporada inactivo en el foro.

Sé que ha pasado algún tiempo.

¿Seguimos?

Me comentas y te digo los próximos pasos.

Salu2.

Pabmarex · 25 Agosto, 2022 17:50

Hace poco he tenido ese mismo virus y he conseguido eliminarlo. Te explico como lo hice. Elimina todos los archivos de dentro de la carpeta que puedas borrar. Tras eso busca CMD en el buscador de Windows. Mostrará la línea de comandos o símbolo de sistema. Haz clic derecho y pulsa en Ejecutar como Administrador.

Para obtener la ruta del archivo, pulsa la tecla SHIFT y, sin soltarla, haz clic derecho en el archivo a borrar. En el menú contextual veras una nueva opción: Copiar como ruta de acceso , clica ahi.

Ahora en cmd escribe C:\Windows\system32>rmdir /s /q " y aqui copia el nombre con CTRL+V"

En mi caso era algo así: C:\Windows\system32>rmdir /s /q “C:\Program Files (x86)\MaskVPN”

Espero que te ayude.

Marr0n · 31 Agosto, 2022 20:54

Hola buenas @Pabmarex

Gracias por tu aporte

Este procedimiento que describres:

Está bien y puede funcionar, pero no siempre. Eliminar esto requiere más de lo que describiste. Por eso con el usuario @josfer realicé una serie de Scripts Personalizados para su caso.

Pues con lo que tú indicas no se eliminarán en ningún caso claves de registro de windows o valores de claves genéricas que están ligados/relacionados con este bicho, como son las siguientes:

DeleteValue: HKEY_LOCAL_MACHINE\DRIVERS\DriverDatabase\DriverPackages\oemvista.inf_amd64_a572b7f20c402d28|OemPath
DeleteValue: HKEY_USERS\S-1-5-21-3641019475-3180039676-856797794-1001\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Compatibility Assistant\Store|C:\Program Files (x86)\MaskVPN\unins000.exe
DeleteValue: HKEY_USERS\S-1-5-21-3641019475-3180039676-856797794-1001\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Compatibility Assistant\Store|C:\Program Files (x86)\MaskVPN\MaskVPN.exe
DeleteValue: HKEY_USERS\S-1-5-21-3641019475-3180039676-856797794-1001\Software\Classes\Local Settings\Software\Microsoft\Windows\Shell\MuiCache|C:\Program Files (x86)\MaskVPN\mask_svc.exe.FriendlyAppName
DeleteKey: [-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\hola_svc_RASAPI32]
C:\Windows\System32\config\systemprofile\AppData\Local\Microsoft\CLR_v4.0\UsageLogs\net_updater64.exe.log
DeleteKey: [-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\net_updater64_RASAPI32]
DeleteKey: [-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\net_updater64_RASMANCS]
DeleteKey: [-HKEY_LOCAL_MACHINE\SOFTWARE\Hola]
DeleteValue: HKEY_USERS\S-1-5-21-3641019475-3180039676-856797794-1001\Software\Microsoft\Internet Explorer\LowRegistry\Audio\PolicyConfig\PropertyStore\657787a3_0|
DeleteValue: HKEY_USERS\S-1-5-21-3641019475-3180039676-856797794-1001\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Compatibility Assistant\Store|C:\Program Files\Hola\app\chromium\hola_cr.exe
DeleteValue: HKEY_USERS\S-1-5-21-3641019475-3180039676-856797794-1001\Software\Classes\Local Settings\Software\Microsoft\Windows\Shell\MuiCache|C:\Program Files\Hola\app\chromium\hola_cr.exe.FriendlyAppName
DeleteValue: HKEY_USERS\S-1-5-21-3641019475-3180039676-856797794-1001\Software\Classes\Local Settings\Software\Microsoft\Windows\Shell\MuiCache|C:\Program Files\Hola\app\chromium\hola_cr.exe.ApplicationCompany
2022-06-19 22:06 - 2022-06-19 22:06 ____C C:\ProgramData\Microsoft\Windows\WER\ReportArchive\AppCrash_Hola-Browser.exe_9b963d845871aa536e4f95e2c1f5f724ebd68f3_42ac2152_cab_244c81cb-52b1-4993-af17-df51b06558a0
DeleteKey: [-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\hola_svc_RASAPI32]
DeleteKey: [-HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Tracing\Hola-Browser_RASAPI32]
DeleteKey: [-HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Tracing\Hola-Browser_RASMANCS]
DeleteKey: [-HKEY_USERS\S-1-5-21-3641019475-3180039676-856797794-1001\Software\Hola]
DeleteKey: [-HKEY_USERS\S-1-5-21-3641019475-3180039676-856797794-1001\Software\Microsoft\Windows\CurrentVersion\CloudStore\Store\DefaultAccount\Cloud\{7ec4e7aa-fd7f-4683-a946-70b81a406fe0}$windows.data.apps.appmetadata$appmetadatalist\windows.data.apps.appmetadata$hola browser]
DeleteKey: [-HKEY_USERS\S-1-5-21-3641019475-3180039676-856797794-1001\Software\Microsoft\Windows\CurrentVersion\CloudStore\Store\DefaultAccount\Current\{7ec4e7aa-fd7f-4683-a946-70b81a406fe0}$windows.data.apps.appmetadata$appmetadatalist\windows.data.apps.appmetadata$hola browser]
DeleteValue: HKEY_USERS\S-1-5-21-3641019475-3180039676-856797794-1001\Software\Microsoft\Windows\CurrentVersion\Explorer\FeatureUsage\AppSwitched|C:\Users\JC Fernandez\AppData\Local\Temp\MicrosoftEdgeDownloads\74d6d254-2b85-42f5-b7ce-7aa2d833aca3\Hola-Browser.exe
DeleteValue: HKEY_USERS\S-1-5-21-3641019475-3180039676-856797794-1001\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Compatibility Assistant\Store|C:\Users\JC Fernandez\AppData\Local\Temp\MicrosoftEdgeDownloads\74d6d254-2b85-42f5-b7ce-7aa2d833aca3\Hola-Browser.exe
DeleteValue: HKEY_USERS\S-1-5-21-3641019475-3180039676-856797794-1001\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Compatibility Assistant\Store|C:\Program Files\Hola\app\chromium\hola_cr.exe
DeleteValue: HKEY_USERS\S-1-5-21-3641019475-3180039676-856797794-1001\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Compatibility Assistant\Store|C:\Program Files\Hola\app\hola_setup.exe
DeleteValue: HKEY_USERS\S-1-5-21-3641019475-3180039676-856797794-1001\Software\Classes\Local Settings\Software\Microsoft\Windows\Shell\MuiCache|C:\Users\JC Fernandez\AppData\Local\Temp\MicrosoftEdgeDownloads\74d6d254-2b85-42f5-b7ce-7aa2d833aca3\Hola-Browser.exe.FriendlyAppName
DeleteValue: HKEY_USERS\S-1-5-21-3641019475-3180039676-856797794-1001\Software\Classes\Local Settings\Software\Microsoft\Windows\Shell\MuiCache|C:\Users\JC Fernandez\AppData\Local\Temp\MicrosoftEdgeDownloads\74d6d254-2b85-42f5-b7ce-7aa2d833aca3\Hola-Browser.exe.ApplicationCompany
DeleteValue: HKEY_USERS\S-1-5-21-3641019475-3180039676-856797794-1001\Software\Classes\Local Settings\Software\Microsoft\Windows\Shell\MuiCache|C:\Program Files\Hola\app\chromium\hola_cr.exe.FriendlyAppName
DeleteValue: HKEY_USERS\S-1-5-21-3641019475-3180039676-856797794-1001\Software\Classes\Local Settings\Software\Microsoft\Windows\Shell\MuiCache|C:\Program Files\Hola\app\chromium\hola_cr.exe.ApplicationCompany
DeleteValue: HKEY_USERS\S-1-5-21-3641019475-3180039676-856797794-1001\Software\Classes\Local Settings\Software\Microsoft\Windows\Shell\MuiCache|C:\Program Files\Hola\app\hola_setup.exe.FriendlyAppName
DeleteValue: HKEY_USERS\S-1-5-21-3641019475-3180039676-856797794-1001\Software\Classes\Local Settings\Software\Microsoft\Windows\Shell\MuiCache|C:\Program Files\Hola\app\hola_setup.exe.ApplicationCompany

Con lo que tú describes tampoco se eliminarían cosas como:

(services.exe ->) (Hola VPN Ltd -> Hola Networks Ltd.) C:\Program Files\Hola\app\hola_svc.exe
C:\Program Files\Hola\app\hola_svc.exe
R4 hola_svc; C:\Program Files\Hola\app\hola_svc.exe [19180288 2022-06-29] (Hola VPN Ltd -> Hola Networks Ltd.) <==== ATENCIÓN
R2 luminati_net_updater_win_hola_browser_sdk_hola_org; C:\Program Files\Hola\app\net_updater64.exe [9656480 2022-06-28] (Bright Data Ltd -> Bright Data Ltd.)
S4 MaskVPNService; C:\Program Files (x86)\MaskVPN\mask_svc.exe [7493560 2020-08-06] (Acceso Denegado)  [Archivo no firmado]
C:\Program Files\Hola
2022-06-19 22:03 - 2022-06-19 22:03 - 000000000 ____D C:\Users\JC Fernandez\AppData\Roaming\Hola
2022-06-19 22:02 - 2022-06-20 09:37 - 000000000 ____D C:\Program Files\Hola
Hola Browser 1.199.387 (HKLM\...\Hola Browser) (Version: 1.199.387 - Hola Networks Ltd.) <==== ATENCIÓN
FirewallRules: [{0717F6A7-5D0D-494A-B929-98DAB2A64C72}] => (Allow) C:\Program Files (x86)\MaskVPN\mask_svc.exe (Acceso Denegado)  [Archivo no firmado]
FirewallRules: [{81419691-572A-4BF3-847C-BEDD4BC81D1C}] => (Allow) C:\Program Files (x86)\MaskVPN\MaskVPN.exe (Acceso Denegado)  [Archivo no firmado]
FirewallRules: [{A23B2C19-42F8-4050-A9AB-A8692E090AFA}] => (Allow) C:\Program Files (x86)\MaskVPN\MaskVPNUpdate.exe (Global Media (Thailand) Co., Ltd -> Global Media (Thailand) Co., Ltd)
FirewallRules: [{3261419F-DA11-429C-AEE3-033DBDD5DFF9}] => (Allow) C:\Program Files (x86)\MaskVPN\tunnle.exe (Global Media (Thailand) Co., Ltd -> Global Media (Thailand) Co., Ltd)
FirewallRules: [TCP Query User{51B18BA4-0DD6-4F8B-ABE5-654382ACC741}C:\program files\hola\app\chromium\hola_cr.exe] => (Allow) C:\program files\hola\app\chromium\hola_cr.exe (Hola VPN Ltd -> Hola VPN Ltd.)
FirewallRules: [UDP Query User{66CC65EB-9738-4670-98BE-8BFCDD5FE3C1}C:\program files\hola\app\chromium\hola_cr.exe] => (Allow) C:\program files\hola\app\chromium\hola_cr.exe (Hola VPN Ltd -> Hola VPN Ltd.)
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\MaskVPN\MaskVPN.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\MaskVPN
DeleteKey: [-HKEY_LOCAL_MACHINE\SYSTEM\Setup\FirstBoot\Services\MaskVPNService]
DeleteKey: [-HKEY_LOCAL_MACHINE\SYSTEM\Setup\FirstBoot\Services\MaskVPNService]
DeleteKey: [-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\EventLog\Application\MaskVPNService]
DeleteKey: [-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MaskVPNService]
DeleteKey: [-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\FirewallRules]
DeleteKey: [-HKEY_USERS\S-1-5-21-3641019475-3180039676-856797794-1001\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Compatibility Assistant\Store]
DeleteKey: [-HKEY_USERS\S-1-5-21-3641019475-3180039676-856797794-1001\Software\Classes\Local Settings\Software\Microsoft\Windows\Shell\MuiCache]

Que son cosas que se corresponden con el bicho este, por decirlo de forma muy genérica y resumida. Así que si no se erradica correctamente con un procedimiento personalizado como este, es más que probable que en un momento dado vuelva a aparecer o que, sin saberlo de una forma muy evidente, este siga haciendo de las suyas.

Nos comentas @josfer

Salu2.