Carpeta "Cbgzpfs" se instala sola en Windows 10

Hola,

antes que nada, no es ninguna molestia ni perdida de tiempo, el tratar de ayudad a solucionar su problema y si hablamos de formatear... esa no es opcion (por ahora) ya que como comentó el compañero es muy probable que después de hacerlo siga el problema, al menos hasta que no descubramos donde esta la carpeta del instalador.

Tal como ya comento Jesús, el Eset Online  hizo un buen trabajo, y como Ud habrá notado, no exagere en la recomendación del compañero Jesús... jejeje 

Sigo atento el hilo.

Que disfruten de un buen día!!!

Hola, MAR70ES:

Le respondí anteriormente. Lo que me mandó está todo realizado correctamente. Está aportando una información super valiosa, que pocos usuarios son capaces de ofrecer.

En cuanto a la pregunta que me hace en su última respuesta. Siga estos pasos:

Desactivar la sincronización

Aunque desactives la sincronización, podrás seguir viendo en tu ordenador los marcadores, el historial, las contraseñas y otras opciones de configuración. Sin embargo, si haces algún cambio, no se guardará en tu cuenta de Google ni se sincronizará con el resto de los dispositivos.

Al desactivar la sincronización, también se cierra sesión en los otros servicios de Google, como Gmail.

1) En tu ordenador, abre Chrome.

En la parte superior derecha, haz clic en el icono de los tres puntitos y seleccione Configuración. En la parte superior, en "Usuarios", haz clic en Desactivar y luego Desactivar. **** Alternativamente, puede también acceder a la misma opción introduciendo (copiando y pegando) en la barra de direcciones de Chrome: chrome://settings/syncSetupCierre sesión además de haber desactivado la sincronización, para que los datos no vuelvan a sincronizarse por ahora. Como punto adicional (es posible que no sea necesario realizar este paso -los datos sincronizados se perderán - si no le importa perderlos puede proceder a este paso, de lo contrario salte al paso 2), consúlte cómoeliminar tu información sincronizada de tu cuenta de Google.Otro enlace a una explicación en otra web, porque Google eliminó el enlace anterior:

eliminar-informacion-sincronizada-chrome

2) Los datos sincronizados en el servidor de  Google sobre el navegador Chrome deben estar vacíos. 3) Elimina la caché y las cookies del navegador: Borrar la caché y las cookies

4) Cierre Chrome

5) Elimine la extensión del navegador y la carpeta que contiene los archivos del malware manualmente

6) Reinicie la computadora.

7) Vuelva a abrir Chrome: es posible que necesite iniciar sesión en Google.

8) En la parte superior derecha, haz clic en el icono de los tres puntitos y seleccione Configuración. 9) Vuelva a sincronizar todos los elementos. 10) Revise si la extensión se ha vuelto a crear o ya ha desaparecido

En su caso, debe tener en cuenta que quizás haya otro equipo por casa que tenga el mismo problema con la extensión. También podría influir de algún modo el navegador Edge, pero esto es algo que tendríamos que averiguar.

En mi opinión formatear siempre pasa a ser la opción más radical. Siempre digo que es como matar una mosca (el malware en este caso) a cañonazos. Hay en ocasiones en las que hay que formatear porque no se encuentra dónde está el malware que provoca el problema, o porque hay un compartamiento que ocurre en el sistema que no se explica de por sí de ninguna manera posible. Particularmente creo que esto es más cuestión de tiempo y de no hacer perder el tiempo a la persona que está en la distancia que de no poderse eliminar un malware de por sí. Con el equipo problematico in-situ y no en la distancia, es mucho más sencillo de hacer pruebas con distintas herramientas y obtener mayor información.

En cuanto al análisis realizado por ESET, la verdad es que el antivirus ha realizado un trabajo impecable. Además, de eliminar ciertos malwares, troyanos y extensiones de navegador, ha detectado todo el software catalogado como Potencialmente No Deseado y desaconsejado por expertos en seguridad: ReImageRepair, varios programas de la empresa IObit, uTorrent, VDownloaderPlus.

También acabo de ver los otros resultados que obtuvo con AdwCleaner y MalwareBytes y también hicieron un buen trabajo. Lo raro es que después de todos esas amenazas detectadas, la de su problema siga en pie. El archivo bakcground,js, me da la sensación que tiene el código cifrado.

En cuanto al problema que sigue teniendo con esa extensión, en mi última respuesta le realicé una pregunta sobre si tiene activada la sincronización con la nube en Chrome. Sería de interés que pudiera responderme a esta pregunta.

También indicarle que la herramienta de diagnóstico Farbar, quizás pudiera ofrecernos alguna información adicional que no vemos a simple vista. Respóndanos si desea que realicemos un informe con esta herramienta.

Un saludo.

¿Se refiere a esta sincronización? Perdone mi torpeza. No sé que pasa que cargo una imagen jpg y no la sube, solo me da opción de cancelar una vez cargada. Se la envío por enlace: https://www.dropbox.com/s/8go7og2i5p47b5g/as.jpg?dl=0

Referente a Farbar ya le he enviado un enlace y me han salido dos .txt. Aunque yo no sé si lo he realizado bien. Todo esto lo maneja mejor mi novio, pero se encuentra en el extranjero, así que pido disculpas por todas las torpezas que he cometido y cometo. Si quiere vuelvo a pasar Farbar y me indica los pasos a seguir. Gracias.

Hola, MAR70ES:

Varias cosas tras revisar los informes proporcionados por Farbar:

1) Veo que hay creadas en el sistema varias Políticas de Grupo y de Usuario que no se si usted habrá activado o configurado. Por ejemplo:

HKLM\Software\Policies\Microsoft\Windows NT\SystemRestore: [DisableSR/DisableConfig]  <- Esta Política de Grupo deshabilita la restauración del sistema a un punto anterior, y además deshabilita la opción de poder reconfigurar el cambio realizado.

HKU\S-1-5-21-2926004469-1444193060-3987682762-1001...\Policies\Explorer: [TaskbarNoResize] 1<- Impide a los usuarios redimensionar la barra de tareas.

HKU\S-1-5-21-2926004469-1444193060-3987682762-1001...\Policies\Explorer: [TaskbarNoRedock] 1<- Impide anclar la barra de tareas en otro punto de la pantalla

HKU\S-1-5-21-2926004469-1444193060-3987682762-1001...\Policies\Explorer: [NoLowDiskSpaceChecks] 1  <- Quita el aviso "Poco espacio en disco"

HKU\S-1-5-21-2926004469-1444193060-3987682762-1001...\Policies\Explorer: [NoSecurityTab] 1<- Elimina la pestaña/ficha Seguridad del explorador de archivos (al revisar las Propiedades de un archivo).

2) Tiene instalado o ha tenido instalados varios programas totalmente desaconsejados por expertos en seguridad. Esto se lo puedo explicar con más detalle en una próxima respuesta, pero es algo a tener en cuenta por la seguridad del sistema y por la de su privacidad:

Wise Care 365

IObit Uninstaller

IObit Unlocker

Glary Utilities

K-Lite Codec Pack

WebDrive

µTorrent

Driver Booster

ReimageRepair

3) Es posible que en algún momento el sistema haya o hubiese sido infectado por algún malware como AutoIT, aunque podría no ser ese, pero sospecho de esta carpeta que aparece en el informe:

C:\ProgramData\4f7c911

Esta carpeta fue creada el día 24-12-2020 a las 13:59 horas, aunque parece que nunca más se volvió a actualizar, así que en principio bien.

4) En cuanto al problema que tiene con la extensión del navegador, mi teoría es la que le comenté anteriormente en una de mis respuestas.

Aunque usted elemine la extensión y la carpeta de su navegador y de su sistema, no la está eliminando de la nube o de otros equipos que pueda tener en casa con la misma extensión añadida, así pues en cuanto vuelve a abirir el navegador la nube hace su trabajo y deja todo tal como estaba. La única manera de impedir esto es desactivando la sincronización con la nube, a continuación eliminando la extensión y la carpeta de todos los equipos en donde pueda estar esta extensión y esa carpeta instalada y creada, reiniciar el sistema y posteriormente volver a activar la sincronización en el navegador.

Lea la segunda respuesta que ofrezco en la siguiente página:

Infectado por un script a través de un Torrent con un keylogger ≡ Windows 10 ****El título del Hilo no lo tenga en cuenta, ya que el usuario que tenía el problema está narrando otro problema que tenía el usuario.

Tiene que leer a partir de donde dice: "- En cuanto al problema que tiene con SweetPage, efectivamente tal como le comenté, el problema viene provocado por la sincronización que tiene configurada en el navegador con los servidores de Google para sincronizar sus datos con otros dispositivos. Por eso AdwCleaner lo elimina y vuelve a aparecer. Queda claro que es por esa razón en el propio informe:"

Ahí se explica como desactivar la sincronización y eliminar la cache del navegador, lo único que en el quinto punto no puede utilizar AdwCleaner porque en su caso no se detecta la amenaza, por lo que tendría que eliminar la extensión y la carpeta que ya conoce que pertenece a la misma, y continuar al punto 6.

Según entiendo del informe proporcionado por Farbar los únicos elementos relacionados con dicha extensión parecen ser los que ya nos indicó usted mismo:

CHR Extension: (ySuperDrive) - C:\ProgramData\Cbgzpfs\Oxcp\2B7707AB [2021-01-12]

*C:\ProgramData\Cbgzpfs*

2021-01-12 14:09 - 2021-01-12 14:09 - 000000000 ___HD C:\ProgramData\Cbgzpfs

Un problema adicional a añadir a su caso, es que creo que indicó que Edge también está infectado (en el informe de Farbar no aparece que esa extensión esté instalada), pero esto podría hacer que la posible solución anterior se viese afectada si Edge se encuentra cruzando datos de algún tipo con Google/Chrome.

Si tiene alguna duda, vuelva a respondernos.

Hola, MAR70ES:

Una pregunta que quiero añadir a la solución propuesta en la última respuesta por el compañero Omar, ¿tiene configurado el navegador con los servidores de Google para sincronizar sus datos con otros dispositivos?.

Los navegadores basados en Chromium (Chrome, Edge), suelen ser muy puñeteros en el sentido que de si elimina una extensión del navegador y tiene activa la sincronización en el navegador, automáticamente al próximo reinicio del sistema o a veces al abrir de nuevo el navegador, la extensión vuelve a estar donde estaba y el malware en este caso por tanto vuelve a reaparecer.

No se si está en ese caso, pero si es así, indíquenoslo. Aquí el problema que tendríamos es que si no lo detecta AdwCleaner ni MalwareBytes, tendríamos que intentar eliminarlo manualmente (si es que la herramienta Farbar por ejemplo tampoco fuese de ayuda), aunque con los datos que ha aportado al menos tenemos la ubicación del malware.

De cualquier forma, quizás también sería interesante verificar en otras ramas del registro, que no haya nada sospechoso ejecutándose al inicio del sistema, como bien ha comentado Omar en su última respuesta.

Antes de despedirme, una cosa que se me había olvidado: ¿qué codigo contiene el archivo background.js?. ¿No existe ningún archivo llamado content.js?

Un saludo.

Hola Jesús. Si, si tengo la sincronización activada en los 2 navegadores. De hecho, cuando se activa la extensión "ySuperDrive" en Chrome, también se activa al momento en Edge. (no se si se refiere a eso), por lo demás la sincronización me va muy bien, ya que si desinstalo cualquiera de ellos, cuando vuelvo a instalarlos vuelvo a tener todos los ajustes que tenía anteriormente. Le envío por ZIP enlace los dos .txt que ha extraído la herramienta Farbar, más la carpeta "Cbgzpfs" a fin de que pueda investigarla, ya que yo no he encontrado dentro de ella el archivo llamado content.js

Tal y como he comentado a Omar si este problema les va a suponer perdida de su preciado tiempo, formateo todo el sistema, aunque sea lo más desagradable para mí.

Muchas gracias por su interés en ayudarme solucionar este problema.

Enlace:  https://drive.google.com/file/d/1Sgrejs4MlXPQRJdzgqRuhM-hYbNTWeE3/view?usp=sharing