Eliminando el gusano sxs.exe
Estuve buscando esta info hace una semana y todavia NO apareciá en Español (puro chino y japonés), puesto que éste gusano creado en el Japón. Pero para los que les puede servir ésto ya hay info en español. El gusano en mención afecta especialmente a las famosas Memorias USB, tan expandidas hoy en dÃÂa (ya era hora que pareciera uno).
En primer lugar hay que nombrar a este intruso, Worm.W32/Pasobir su nombre verdadero (bautizado asi mejor dicho), en realidad es de bajo nivel de peligrosidad pero sin embargo es un Gusano dedicado a la captura de contraseñas que se propaga a través de dispositivos removibles y recursos protegidos con contraseñas débiles. Como siempre solo disponible para Windows (todos).
Instalación
Cuando se ejecuta, realiza las siguientes acciones:
1. Crea los siguientes ficheros con atributos de “sistema” y “oculto” para dificultar la detección por parte del usuario afectado:
* %System%\SVOHOST.exe - copia del gusano
* %System%\winscok.dll
Nota: %System% es una variable que representa la carpeta del sistema de Windows. Por defecto será: C:\Windows\System (Windows 95/98/Me), C:\Winnt\System32 (Windows NT/2000), o C:\Windows\System32 (Windows XP).
2. Añade el siguiente valor a la clave de registro indicada, para iniciarse junto al arranque de Windows:
“SoundMam” = “%System%\SVOHOST.exe”
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
3. Intenta desactivar productos antivirus y de seguridad tratando de detener los procesos asociados a esos productos o eliminando las claves de registro configuradas por ellos.
4. Inspecciona regularmente el sistema para detectar discos removibles en la unidad “D:”, para conectarse a ellos y descargar una copia del gusano con el nombre:
* D:\sxs.exe
5. También copia en el mismo lugar el fichero un fichero con instrucciones para iniciar el gusano:
* D:\autorun.inf
Intenta capturar las claves de acceso y nombre de usuario de la aplicación de mensajerÃÂa QQ para enviarlas a un sitio web predeterminado usando su propio motor SMTP
6. También puede descargar los siguientes ficheros desde ciertos sitios web:
* [http://]update.cd321.net/si[REMOVED]
* http://update.cd321.net/hi[REMOVED]
* http://update.cd321.net/dow[REMOVED]
Solución
# Si utilizas Windows Me o XP, y sabe cuándo se produjo la infección, puede usar la caracterÃÂstica de Restauración del Sistema para eliminar el virus volviendo a un punto de restauración anterior a la infección. (Tenga en cuenta que se desharán los cambios de configuración de Windows y se eliminarán todos los archivos ejecutables que haya creado o descargado desde la fecha del punto de restauración), También noté que a veces el Gusano desactiva ésta opción y borra puntos de restauraciones guardadas.
Si esto no es posible o no funciona es recomendable desactivar temporalmente la Restauración del Sistema antes de eliminar el virus por otros medios, ya que podrÃÂa haberse creado una copia de seguridad del virus. Si necesita ayuda vea desactivar la Restauración del Sistema en Windows Me y desactivar la Restauración del Sistema en Windows XP.
# Con un antivirus actualizado, localice todas las copias del virus en el disco duro de su PC. Si no dispones de antivirus, visita la página de Antivirus Gratuitos. Repare o borre el fichero infectado.
Si el antivirus no puede reparar la infección o borrar los ficheros, puede ser debido a que el fichero está en uso por estar el virus en ejecución (residente en memoria).
Nota: A Menudo los antivirus informan de que ‘no puede reparar un fichero‘ (esto es muy cierto) en el caso de gusanos o troyanos debido a que no hay nada que reparar, simplemente hay que borrar el fichero.
* %System%\SVOHOST.exe - copia del gusano
* %System%\winscok.dll
* D:\sxs.exe
* D:\autorun.inf
# En el caso de que no se pueda eliminar el fichero del virus, debe terminar manualmente el proceso en ejecución del virus. Abra el Administrador de tareas (presione Control+Mayúsculas+Esc). En Windows 98/Me seleccione el nombre del proceso y deténgalo. En Windows 2000/XP, en la pestaña ‘Procesos’ haga clic derecho en el proceso y seleccione ‘Terminar Proceso’. A continuación vuelva a intentar el borrado o reparación del fichero.
# A continuación hay que editar el registro para deshacer los cambios realizados por el virus. Si necesita información sobre cómo editar el registro puede ver esta guÃÂa de edición del registro o este vÃÂdeo de ayuda que ilustra el proceso. Sea extremadamente cuidadoso al manipular el registro. Si modifica ciertas claves de manera incorrecta puede dejar el sistema inutilizable.
Elimine las siguientes entradas del registro:
“SoundMam” = “%System%\SVOHOST.exe”
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
# Reinicia tu ordenador y explora todo el disco duro con un antivirus para asegurarse de la eliminación del virus. Si desactivó la restauración del sistema, recuerde volver a activarla. Y por último asegúrate de eliminar de todas tus particiones los archivos: sxs.exe y el autorun.inf.
Actualización: Gracias a Anibal (Perú) tenemos MismaSXS, un utilitario que nos permite eliminar el dichoso virus sin mas que ejecturlo. Gracias Anibal.
Descarga: MismaSXS
Otras Noticias
Temas Relacionados ^^:
Otras Noticias
Si te gusta este post, porfavor considera dejar un comentario o suscribirte a mi canal RSS y asi recibir futuras publicaciones en tu lector rss favorito.
Comentarios
Paginas: [7] 6 5 4 3 2 1 » Show All
Para los que no puedan ver los archivos ocultos, por que el virus sxs bloqueo los atributos ocultos.
Ya que desinfetaron el equipo nos vamos a ejecutar
escribimos cmd
abierta la ventanda de MS-DOS
escribimos CD.. ENTER
de nuevo CD.. ENTER
nos queda el simbolo c:\>
escribimos
attrib -s -h -r c:\windows enter y podran ver la carpeta de Windows sin bloqueo, hacemos lo mismo con las demàs carpetas, solo que cuando tengamos las carpetas con espacio por ejemplo Documents and Settings solo escribiremos documen(alt126)1 sin parentesis nos quedara asÃÂ
attrib -s -h -r c:\documen~1
asi carpeta, por carpeta que tengamos bloqueada
Nota: en caso de que la carpeta oculta su nombre no tenga espacios se escribe todo el nombre de la carpeta es lo mismo para las memorias USB
MUCHAS GRACIAS POR EL PROGRAMA ANTIVIRUS HECHO PARA ELIMINAR EL SXS.EXE EN SERIO ERA UNA LATITA ESE VIRUS.. AGRADECIMIENTOS A ANIBAL MAMANI…. SALE
alguien podria decirme por que mi antivirus no detecto ese virus gusano, me di cuenta que lo tenia por que tenia todos los sintomas pero mi nod 32 actualizado no supo nada de su existencia
Grax por el programita contra ese cochino gusano ya estaba hasta el coño tio…
Saludos!!!!
Señores no caigan por inocentes, NUNCA insisto NUNCA ejecuten aplicaciones creadas por otros usuarios. Es probable q los programas para eliminar el sxs.exe sean keyloggers (la misma funcion del virus sxs pero enviando sus claves a otra persona).
No hay mejor forma de entrar a tu casa q por la puerta grande, un analista en sistemas profesional le daria las intrucciones para eliminar el virus, no un ejecutable sin certificacion.
Y no dudo q funcione, de hecho es la razon por la q lo siguen usando, por q si elimina el sxs.exe.
Si se ponen a pensar, sus claves de paypal, hotmail, tarjetasde credito, etc. estan a disposicion de una persona q les ayudo un poco, como dije para entrar con permiso.
El proceso q utiliza esa aplicacion es simple, detiene el proceso svch0st, luego elimina el registro y luego los archivos sxs.exe y autorun.inf, como ya se detallo al inicio. Acaso vale la pena hacer vulnerable tu pc por ahorrarte unos clicks.
Tal vez las intenciones de hecho sean las mejores, pero fomenta q la gente baje parches de cualquier lado.
adjunto una detallada guia para eliminar el virus copien y peguen la direcccion en su explorador
exelente!!!! ya tenia todo el dia peleandome con esto, porque e suna pc compaq y le corri elrestaurador volvi a correr el antivurus y me marco archio infectado intratabale sxs.exe, y pues me dispuse a borrarlo manualemente 
nomas te faltaria explicar un poco como puedes visualizar los archivos ocultos
yo mediante win XP lo que hice para ver este archivo fue
abirir mi pc,
entrar a unidad D en mi caso,
irme a herramientas/opciones de carpeta
y en la pestaña VER,
seleccione
mostrar todos los archivos oculto
y quite la seleccion, “ocultar archivos protegidos del sistema operativo (recomendado)”
espero les sirva cuidense y sigan participando
Paginas: [7] 6 5 4 3 2 1 » Show All
quisiera que alguien me pueda ayudar se entro un virus a mi pendrive el cual dañó todos mis archivos, cambió el nobre de mis carpetas por una letras que parecen en chino, no se entiende nada son como cuadrados, rayas gruesas delgadas, y no se comprende nada de lo quq esta escirto y para colmo noquiere formatear, necesito saber si alguien tuvo este problema y me puede ayudar.