Trojan:Script/Phonzy.A!ml
ResueltoVILE57 Mensajes publicados 10 Fecha de registro Estado Miembro Última intervención -
Buenas tardes,
Tengo un problema desde hace una semana, debido a una imprudencia me dejé engañar por un archivo recibido que borré de inmediato al abrirlo y Windows Defender entró en pánico...
El problema es que el daño ya está hecho y desde entonces me he visto obligado a cambiar mis contraseñas en absolutamente todas partes. La otra preocupación es que no estoy seguro de que la intrusión haya desaparecido por completo, ya que si el archivo supuestamente contaminado ya no existe, la alerta de Windows Defender sigue apareciendo con la mención (Activo)...
En un primer momento recibí una alerta de "Trojan:Script/Wacatac.H!ml" sobre un archivo en la carpeta Temp de AppData, luego, unos minutos después, fue "Trojan:Script/Phonzy.A!ml" detectado en un exe que había utilizado hace mucho tiempo y que ya no existe en esa ubicación tras la alerta (pero que sigue apareciendo cuando realizo un escaneo, por lo que: es la captura de pantalla de arriba).
He tomado la delantera con FRST: adjunto los informes de los archivos. ¡Gracias de antemano por su ayuda!
¡Gracias de antemano por su ayuda!
10 respuestas
Hola,
Se esperan los informes FRST.txt y Addition.txt
Todos los informes deben estar alojados en https://security-x.fr/up/ y debes indicar los enlaces obtenidos en tu respuesta
Aquí:
https://up.security-x.fr/file.php?h=R78a0c82cd1dba8770761937f32b76a8d
y
https://up.security-x.fr/file.php?h=Ra450976288e43191d1caceda7ffdd3f2
RE_
No hay nada infeccioso, vamos a limpiar lo obsoleto que ocupa espacio en el PC
****************
--> Copia lo que se encuentra AQUÍ de start:: a end:: (sin pegarlo en ninguna parte)
--> Abre FRST (o FRST64) como administrador y haz clic en Corregir
Si FRST parece detenerse o no responde, déjalo trabajar
--> El PC se reiniciará
--> Se creará un archivo fixlog en la misma ubicación que FRST, publícalo como los otros informes
*********************
--> Realiza un análisis completo con Windows Defender y dime si todavía tienes el problema.
¡Gracias, ya está hecho!
Aquí está el registro:
https://up.security-x.fr/file.php?h=Rb44be930440d820341dc6f34ddf13650
He lanzado un análisis completo después del reinicio, pero muy pronto el mensaje de detección vuelve inexorablemente, no entiendo por qué:
Después de lo cual el análisis completo retoma su curso (por 4 horas anunciadas)...
RE_
El fixlog no está completo, así que no sé qué se ha corregido.
¿Se reinició el PC al final del correctivo? ¿O lo apagaste antes?
Mira si el archivo fixlog que tienes en tu PC termina con =========Fin de fixlog========
Si no, hay que volver a lanzar el correctivo y esperar bien a que el PC pida reiniciarse.
De hecho, me doy cuenta de que hay un problema: resulta que mi PC se reinició unos segundos después de haber lanzado tu herramienta, sin avisar/pedir, así que pensé que era normal con este tipo de método!
Ahora, de hecho, esto ha tardado más tiempo, me avisó. Y entonces creo que esta vez el archivo está completo:
https://up.security-x.fr/file.php?h=R61a36afd01ae5118ff374d01a5d75527
Voy a intentar rehacer el análisis ahora.
RE_
Esta vez está bien.
Para la detección, data del 06-04 (está anotado en tu captura), si aparece de nuevo Elimina el historial de Windows Defender y vuelve a lanzar el análisis
¡Está bien! No hice el paso de "acceso a la memoria protegida" ya que la detección anterior desapareció. Estoy realizando un escaneo completo de 2 o 3 horas para estar seguro, pero en principio debería ir hasta el final sin que vuelva a recordarme la infección del 6 de abril.
Entonces, ¿puedo considerar que la PC está "segura" y que la amenaza había sido eliminada antes de las manipulaciones que realizamos? El hecho es que, como dije, por lo demás "el mal ya está hecho" y debo activar autenticaciones dobles y cambiar las contraseñas en los sitios donde he estado y que mi navegador me registró sin que yo volviera a escribir las contraseñas... Esto me ha puesto paranoico hasta el punto de no utilizar las funciones de guardado de inicio de sesión de los sitios y de los navegadores, a pesar de que tengo que escribir todo cada vez. Ya no sabemos en qué fiarnos, y en qué aplicación conectarnos automáticamente incluso después de haber reforzado la seguridad y cambiado las contraseñas.
RE_
No se sabe ya a qué fiarse, ni en qué aplicación iniciar sesión automáticamente incluso después de haber reforzado la seguridad y cambiado las contraseñas.
Es el mundo de internet y de la vida en general, todos los días, hay gente que se levanta y se pregunta cómo engañar a sus compatriotas para ganar dinero sin mucho esfuerzo :-\
Si está bien:
Para eliminar automáticamente todos los archivos/carpetas creados por FRST y la herramienta en sí, renombra FRST/FRST64.exe a uninstall.exe y ejecútalo.
El procedimiento requiere un reinicio.
@ más en CCM