Virus.Worm.VBS : USB infected key - Video.3gp

Hola,

Como resultado de la infección de nuestro establecimiento por este virus, he debido desarrollar contramedidas. Me permito compartirlas aquí.

El archivo consta de 2 scripts y de un documento que explica el procedimiento para aquellos que no confían en los scripts (en realidad hechos antes) o simplemente desean entender los scripts.

El script anti-video3gp desbloquea las claves
El script anti-video3gp-cleanPC desbloquea los equipos Windows (mac y Linux no están infectados)

enlace gdrive: https://drive.google.com/file/d/0Bw96BWzgemOmTzV4UGJpTGJyeXc/view?usp=sharing

Hola,

Se trata de esta infección Virus USB VBS.Crypt.

Sigue el tutorial FRST. ( tómate tu tiempo para leer atentamente - todo está bien explicado ).

Descarga y ejecuta el escaneo FRST, se generarán 3 informes FRST:

• FRST.txt
• Shortcut.txt
• Additionnal.txt

Envía estos 3 informes al sitio http://pjjoint.malekal.com/ y a cambio proporciona los 3 enlaces pjjoint que llevan a los informes aquí en una nueva respuesta para que podamos consultarlos.

Por favor pulsa una tecla para continuar la desinfección...

extraño, los informes que transmites no están completos.

Te aconsejo desinstalar Spybot, no es muy eficaz, en mi opinión. ( Adwares : Antispyware comment ne pas désinfecter son Windows )

Aquí está la corrección a realizar con FRST. Puedes apoyarte en esta nota explicativa con capturas de pantalla.

Abre el bloc de notas: Tecla Windows + R,
En el campo “Ejecutar”, escribe notepad y Aceptar.
Copia/Pega dentro lo siguiente:

CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-3744038216-4012881299-519130704-1001\...\Run: [Format Factory] => Cmd.exe /c start WScript.exe /e:VBScript.Encode C:\Users\Clara\AppData\Roaming\Video.3gp 
C:\Users\Clara\AppData\Roaming\Video.3gp 
c:\programdata\quickset
Task: C:\Windows\Tasks\SK.Enhancer-S-161304646.job => c:\programdata\quickset\sk.enhancer\SK.Enhancer.exeG/schedule /profile c:\programdata\quickset\sk.enhancer\161304646.iniClaraSK.Enh <==== ATENCIÓN
reg: reg add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /f
reg: reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /f
Reboot:

Una vez que el texto esté pegado en el Bloc de notas,
Menú “Archivo” luego “Guardar como”,
A la izquierda, pon en Escritorio,
En el campo de abajo, nombre del archivo pon: fixlist.txt
Haz clic en “Guardar”; esto creará fixlist.txt en el Escritorio.

Relanza FRST y haz clic en el botón “Corregir / Fix”
Quizá sea necesario reiniciar ( no obligatorio )
Aparecerá un archivo de texto, copia/pega su contenido aquí en un nuevo mensaje.

Reinicia el ordenador.

Por favor, pulsa cualquier tecla para continuar con la desinfección...

I must translate from French to Spanish preserving HTML. Provide only translation. No extra commentary. Ensure HTML tags remain and any quotes preserved. The original content includes French terms; translate to natural Spanish.

Si necesita ayuda, cree su propio tema yendo a la sección Virus del foro y haciendo clic en el botón Preguntar.
Complete los campos y envíe su solicitud.



--
Por favor, pulse una tecla para continuar la desinfección...

Esto es lo que obtengo, el reinicio se realizó automáticamente:

fixlist contenido:
CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-3744038216-4012881299-519130704-1001\...\Run: [Format Factory] => Cmd.exe /c start WScript.exe /e:VBScript.Encode C:\Users\Clara\AppData\Roaming\Video.3gp
C:\Users\Clara\AppData\Roaming\Video.3gp
Task: C:\Windows\Tasks\SK.Enhancer-S-161304646.job => c:\programdata\quickset\sk.enhancer\SK.Enhancer.exeG/schedule /profile c:\programdata\quickset\sk.enhancer\161304646.iniClaraSK.Enh <==== ATENCIÓN
reg: reg add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /f
reg: reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /f
Reboot:

Error: (0) Impossible de créer un point de restauration.
Proceso cerrado con éxito.
HKU\S-1-5-21-3744038216-4012881299-519130704-1001\Software\Microsoft\Windows Script Host\Settings\Run\\Format Factory => valor eliminado(s) con éxito
Imposible mover "C:\Users\Clara\AppData\Roaming\Video.3gp" => Programado para mover al reinicio.
C:\Windows\Tasks\SK.Enhancer-S-161304646.job => no encontrado.

========= reg add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /f =========

La operación tuvo éxito.

========= Fin de Reg: =========

========= reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows Script Host\Settings" /v Enabled /d 0 /f =========

La operación tuvo éxito.

========= Fin de Reg: =========

Resultados del desplazamiento planificado de archivos (Modo de arranque: Normal) (Fecha y Hora: 2016-04-09 17:47:27)

C:\Users\Clara\AppData\Roaming\Video.3gp => ha sido movido con éxito

Fin de Fixlog 17:47:27

¡Me salvas!

Rem-VBSworm v7.0

=========== - Información general:

Ejecutándose bajo: Clara en el perfil: C:\Users\Clara
Nombre del equipo: ORDINATEUR

Sistema Operativo:
Microsoft Windowsÿ7 edición Hogar Premium

Modo de arranque:
Arranque normal

Programa antivirus instalado:
avast! Antivirus

Ejecutado el: 09/04/2016 @ 17:59:28,67

=========== - Información de la unidad:

Listado de unidades actualmente conectadas:
Leyenda Descripción Nombre de volumen

C: Disquete duro local OS

D: Disquete duro local Data

E: Dispositivo de CD-ROM

F: Dispositivo extraíble

Información de unidades físicas:
C: \Device\HarddiskVolume2 NTFS
D: \Device\HarddiskVolume3 NTFS
F: \Device\HarddiskVolume4 exFAT

=========== - Información de desinfección:

=========== - Información de la unidad USB:

F: seleccionado

ID del dispositivo USB:
IDE\DISKST9320325AS_____________________________0003SDM1\4&19E15798&0&0.0.0

USBSTOR\DISK&VEN_SONY&PROD_STORAGE_MEDIA&REV_PMAP\5C071059D0E3156A71&0

Fichier supprimé - F:\PHOTO FAMILIA.lnk
Fichier supprimé - F:\syncguid.lnk
Fichier supprimé - F:\VIDEO.lnk
Fichier supprimé - F:\Nouveau dossier.lnk
Fichier supprimé - F:\DCIM.lnk
Listado de contenidos de la raíz de F:
El volumen en la unidad F no tiene nombre.
El número de serie del volumen es 2CB9-EDFA

Carpeta de F:\

12/10/2015 11:59 121ÿ030 Video.3gp
08/04/2016 13:49 36 syncguid.dat
08/04/2016 13:50 <REP> VIDEO
08/04/2016 13:50 <REP> DCIM
2 archivo(s) 121ÿ066 octetos
2 Carpets(s) 62ÿ146ÿ609ÿ152 octetos libres

¡unidad USB desinfectada y archivos revelados!!

Eset 4.2... muy antiguo, te aconsejo actualizarlo a la versión 9:

https://www.eset.com/fr/home/products/smart-security/

Hola, yo también he sido infectado por un virus del mismo tipo, aquí están los informes de análisis:

- Addition : http://pjjoint.malekal.com/files.php?id=20160621_u8b14y15t5k5

- FRST : http://pjjoint.malekal.com/files.php?id=FRST_20160621_n11c6w9z11z12

- Shortcut : http://pjjoint.malekal.com/files.php?id=20160621_i15j10h15x5o7

Muchas gracias de antemano por su respuesta :).

Gracias por su primera respuesta, aquí está el texto que apareció:

Ejecutado por Num (2016-06-21 22:00:29) Run:1
Ejecutado desde C:\Users\Num\Desktop\FRST
Perfiles cargados: Num (Perfiles disponibles: Num)
Modo de arranque: Normal

==============================================

fixlist contenido:
Crear punto de restauración:
Cerrar procesos:
HKLM\...\Run: [Format Factory] => Cmd.exe /c start WScript.exe /e:VBScript.Encode C:\Users\Num\AppData\Roaming\Video.3gp
HKU\S-1-5-21-1064192849-657113169-665433704-1001\...\Run: [Format Factory] => Cmd.exe /c start WScript.exe /e:VBScript.Encode C:\Users\Num\AppData\Roaming\Video.3gp
2016-06-21 19:21 - 2015-10-12 10:59 - 00121030 ___SH C:\Users\Num\AppData\Roaming\Video.3gp
Reiniciar:

El punto de restauración se creó con éxito.
Proceso cerrado con éxito.
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\\Format Factory => valor eliminado con éxito
HKU\S-1-5-21-1064192849-657113169-665433704-1001\Software\Microsoft\Windows\CurrentVersion\Run\\Format Factory => valor eliminado con éxito
Imposible mover "C:\Users\Num\AppData\Roaming\Video.3gp" => Programado para mover al reinicio.

Resultados del movimiento programado de archivos (Modo de arranque: Normal) (Fecha y hora: 2016-06-21 22:02:27)

C:\Users\Num\AppData\Roaming\Video.3gp => se movió con éxito

Fin del Fixlog 22:02:27

Hola, he utilizado los programas recomendados, así que aquí está el informe Rem-VBS:

Rem-VBSworm v8.0

=========== - Info general:

Ejecutándose bajo: Num en perfil: C:\Users\Num
Nombre del ordenador: JULLIAN-PC

Sistema operativo:
Microsoft Windowsÿ7 dición Integra¬le

Modo de arranque:
Arranque normal

Programa antivirus instalado:

Ejecutado el: 21/06/2016 @ 22:08:51,91

=========== - Info de unidades:

Listado de unidades actualmente conectadas:
Caption Descripción VolumeName

C: Disco duro local

D: Disco duro local Reservado al sistema

E: Disco duro local

F: Unidad CD-ROM

G: Disco extraíble

H: Disco extraíble

I: Disco extraíble

J: Disco extraíble

K: Disco extraíble GOURMELIN

Información de unidades físicas:
C: \Device\HarddiskVolume1 NTFS
D: \Device\HarddiskVolume2 NTFS
E: \Device\HarddiskVolume3 NTFS
K: \Device\HarddiskVolume4 FAT

=========== - Info de desinfección:

=========== - Info de USB:

K: seleccionado

ID de dispositivo USB:
IDE\DISKMAXTOR_6V080E0__________________________VA111630\5&EBBD404&0&0.0.0

IDE\DISKST3500418AS_____________________________CC46____\5&379CED66&0&1.0.0

USBSTOR\DISK&VEN_&PROD_USB_DISK_2.0&REV_PMAP\070B388592213F42&0

USBSTOR\DISK&VEN_GENERIC-&PROD_COMPACT_FLASH&REV_1.00\20021111153705700&0

USBSTOR\DISK&VEN_GENERIC-&PROD_MS/MS-PRO&REV_1.00\20021111153705700&3

USBSTOR\DISK&VEN_GENERIC-&PROD_SD/MMC&REV_1.00\20021111153705700&2

USBSTOR\DISK&VEN_GENERIC-&PROD_SM/XD-PICTURE&REV_1.00\20021111153705700&1

Fichero eliminado - K:\VIDEO.lnk
Fichero eliminado - K:\PHOTO FAMIlY.lnk
Fichero eliminado - K:\Nouveau dossier.lnk
Fichero eliminado - K:\DCIM.lnk
Listado de contenidos de K:
El volumen en la unidad K se llama GOURMELIN
El número de serie del volumen es 4470-FFCF

Directorio de K:\

----------------------------

Por otro lado, todavía queda PHOTO FAMIY en mi disco local E (que es un disco duro que uso para almacenar mis datos), ¿debería usar Remediate VBS en este disco también o existe otra solución?

Hola, actualmente estoy enfrentando el mismo tipo de problemas que describí arriba, así que realicé el análisis recomendado con FRST.

Aquí están los resultados de los análisis:
Shortcut : http://pjjoint.malekal.com/files.php?id=20160625_l13d6q8n8x13
Addition : http://pjjoint.malekal.com/files.php?id=20160625_e6z15j12e13c5
FRST : http://pjjoint.malekal.com/files.php?id=FRST_20160625_h15p14k15k6y7

Les agradezco de antemano su respuesta :).