Pues si, hoy llego a mi equipo de casa, lo conecto... y al cabo de un poco 18 internet explorer con una web que no existe rulando por mi escritorio....
No hace falta ser ingeniero para ver que eso suena a spyware.
Reinicio y pulso ctrl + alt + sup para ver los procesos activos, entre ellos me encuentro 2 un poco raritos... el wintmes.exe y hldrrr.exe. Empieza la batalla!
Lo primero que me fije fue en mi maravilloso Nod32... ¿Donde esta? no esta!!!! ha desaparecido y me da un error al ejecutarlo. uhyy uhyy esto empieza a ponerse algo xungo!. No hay problema, instalo de nuevo...
Intente instalar 5 versiones diferentes, todas me daban el fallo de "archivo mal descomprimido"... Eso ya sonaba mas que raro. Uno bueno, pero tantas...
Busco informacion sobre el enemigo en alerta-antivirus.org, bien tengo 2 variantes del baggler. Acojonante! por donde entraron? ... a saber... seguramente p2p.
Me bajo un par de utilidades para eliminarlo... una de ellas bajo msdos, y nada, pasan del archivo completamente...
No me las encuentra buscandolas por mi equipo, ni siquiera quitando lo de ocultos y ocultar archivos del sistema...
Jur jur, bien, tiron del cable de red y manos a la obra, habra que hacerlo a pedal.
Reinicio con el bootcd del Hiren´s, cojo el dos ntsfpro y arranco. Me voy a system32 de cabeza y ahi estaban esos dos ficheros. De un Del me los cargo, me voy a ahora a vaciar todos los temporales de todas las carpetas windows, documents&settings... y reinicio.
Al reiniciar, vi que se ejecutaban otro fichero nuevo, el hidr.exe. Cuando me quise dar cuenta, mientras busque informacion sobre el fichero tenia de nuevo los dos anteriores... Jue... vuelta a comenzar..
Bueno, tras un rato de eliminar para arriba eliminar para bajo me voy a documents y intento quitar los attributos a la carpeta (oculta y de sistema) donde estan dos ficheros mas del baggle (un m_look.sys y una libreria dll) y de repente me suelta : este comando no se puede ejecutar bajo dos". Acojonante! desde cuando el attrib que es mas de msdos que el dir, no se puede ejecutar? joder, si estoy con el hirens, no se cargo el registro de windows, usease que ahi no esta metido...
Empece a ver los ficheros del directorio actual y anterior y me encontre con un archivo con $. En muchos lenguajes seria una variable, pero aqui? puff. Si la borro a lo mejor me cargo windows, y si no ... a lo mejor no doy quitado el virus... Me lo cargo, rename al canto y ahora si me deja. Me cargo la carpeta, arranco windows, limpio el registro, temporales, etc... y ale...
Batalla ganada!. No se si quitar el antivirus otra vez, que hacia tiempo que no me entretenia tanto con un spyware. Estos cabrones cada dia los hacen mejores... la leche...
Ale ale... yo ya marcho contento para cama despues de haber eliminado el troyano y de haber hecho un repaso exaustivo a los viejos comandos de dos que los tenia medios olvidados! jeje
