Desesperación intentando eliminar AutoIt V3 Script

Exacto, me encuentro en España.

1) He desinstalado tanto Web Companion, comoWeb Advisor de McAfee, Quicktime 7 y Daemon Tools Lite.

2) - Dentro deC: hay :

\* Carpeta de nombre "**achgf**" conteniendo "**autoit.exe**", "**base.au3**" y "**pe.bin**".

\* Carpeta de nombre "**bfebb**" conteniendo "**xfmrq.exe**".

\* Carpeta de nombre "**ctgrlrph**", sin contener nada.

\* Carpeta de nombre "**testintel**", conteniendo "**autoit.exe" y "a.txt"**.

\* Carpeta de nombre "**testintel2**", conteniendo "**a.txt"**.

\* Archivo de nombre "**RannohDecryptor.1.12.4.7\_09.09.2018\_14.52.58\_log.txt"**.

\* Archivo de nombre "**logWSFVCUpdateHelper.log**".

- Dentro de Program Data -> Intel -> Wireless es cierto que hay una carpeta llamada "49373c3", la cual contiene a su vez otra carpeta llamada "6d1a435", la cual está vacía.

Igualmente dentro de Wireless hay otra carpeta llamada "be03a0c", conteniendo otra igualmente vacía llamada "8a62168".

- En**C:\ProgramData**efectivamente está la carpeta "9d81619", la cual contiene:

\* Archivo "**AutoIt3.exe**".

\* Archivo "**qamqysoe.au3**".

\* Carpeta de nombre "**7b68cfd**", sin contener nada.

\* Carpeta de nombre "**7b68cfd**", conteniendo 34 archivos ".**log**" (como por ejemplo **"22-06-2021.log"**) y 2 archivos llamados "**9adb532**" y "**05660ab**".

- En *C:\Users\Jack\AppData\Roaming* contiene con esas características:

\* Carpeta de nombre "**ServiceMod**", conteniendo "**hodumev.exe**" y **"hodumev.dat**".

\* Carpeta de nombre "**3C29D9764978DA64**", sin contener nada.

Muchas gracias por la atención que estoy recibiendo.

Hola, AlbertPA:

Tal y como me temía el malware AutoIT está totalmente descontrolado dentro del Sistema, por tratar de eliminarlo por usted mismo. Esto dificulta su eliminación.

Actualmente parece que el malware está presente en tres ubicaciones distintas, por lo que hay varias copias del malware ejecutándose al mismo tiempo, y alguna más que puede no aparecer en los informes de Farbar y que puede darnos guerra.

Pero este no es el único problema de malware que presenta el Sistema. También tiene los navegadores secuestrados, tiene programas y extensiones malintecionadas intaladas, y además tiene las DNS's de navegación apuntando a Indianapolis por lo que todo lo que está haciendo a través de Internet se estará recopilando en algún servidor ubicado allí. Supongo que usted no se encuentra en esa ubicación, ya que también aparece en Farbar otras DNS's establecidas en Madrid (España).

Por si esto fuera poco también parece que el Sistema tiene establecido varios archivos PAC (Configuración Automática de Proxys), que supongo tampoco usted habrá establecido.

Además, hay otra información que aparece en Farbar que no acabo de entender, relacionada con algún tipo de ransomware cryptolocker.

A continuación, voy a hacerle algunas preguntas y algunas peticiones, antes de proporcionarle un archivo de solución.

1) Desinstale el programa Web Companion.

Este programa está catalogado como Potencialmente No Deseado. Es un programa malintencionado.

Si lo desea y no los utiliza, también puede desinstalar estos otros programas:

WebAdvisor de McAfee, QuickTime 7 (existiendo VLC no tiene sentido tenerlo instalado), DAEMON Tools Lite (desde Windows 8, el propio Sistema ya tiene incorporada la funcionalidad de abrir/montar archivos ISOS con un doble clic de ratón)

2) A continuación, me gustaría conocer datos sobre el malware AutoIT:

Revise el directorio raíz *C:* y compruebe si tiene alguna carpeta con nombre aleatorio sin ningún tipo de sentido. Ejemplos de estos nombres serían por ejemplo: hodumev, 755c746, 49373c3

Por norma general, estar carpetas tienen en su interior algún archivo .au3, test.au3 junto con un archivo .exe con nombre aleatorio.

Si encuentra alguna carpeta que cumpla con estas características, indíquemelo en su próxima respuesta.

- Revise además el directorio *C:\ProgramData\Intel\Wireless* y compruebe si dentro de éste hay carpetas (solamente carpetas - no archivos individuales -) creadas con nombres aleatorios (nombres sin ningún tipo de sentido) que contengan en su interior algún archivo .au3, test.au3 junto con un archivo .exe con nombre aleatorio. También es posible que encuentre alguna carpeta con nombre aleatorio que esté vacía.

Por ejemplo, Farbar nos indica que hay una carpeta que contiene el malware AutoIT. Esta carpeta es:

49373c3

Si encuentra alguna carpeta que cumpla con estas características, indíquemelo en su próxima respuesta.

- Revise además el directorio *C:\ProgramData* y compruebe si dentro de éste hay carpetas (solamente carpetas - no archivos individuales -) creadas con nombres aleatorios (nombres sin ningún tipo de sentido) que contengan en su interior algún archivo .au3, test.au3 junto con un archivo .exe con nombre aleatorio. También es posible que encuentre alguna carpeta con nombre aleatorio que esté vacía.

Por ejemplo, Farbar nos indica que hay una carpeta que contiene el malware AutoIT. Esta carpeta es:

9d81619

Si encuentra alguna carpeta que cumpla con estas características, indíquemelo en su próxima respuesta.

- Revise además el directorio C:\Users\Jack\AppData\Roaming\ (no es normal que el malware cree carpetas aquí, pero en su caso ha ocurrido y esta situación es nueva) y compruebe si dentro de éste hay carpetas (solamente carpetas - no archivos individuales -) creadas con nombres que usted no sepa identificar a qué pertenecen. En este sentido me refiero a carpetas que tengan un nombre que no correspondan a programas que usted tenga instalados.

Es posible que estas carpetas contengan en su interior algún archivo .au3, test.au3 junto con un archivo .exe con nombre aleatorio. También es posible que encuentre alguna carpeta con nombre aleatorio que esté vacía.

Por ejemplo, Farbar nos indica que usted tiene al menos una carpeta que contiene el malware AutoIT:

ServiceMod

Si encuentra alguna carpeta que cumpla con estas características, indíquemelo en su próxima respuesta.

Nota: Si no puede visualizar el directorio ProgramData*, siga las instrucciones que encontrará en cualquiera de estos enlaces:*

Mostrar archivos ocultosVer archivos ocultos en Windows 10

Por ahora esto es todo. Cuando me ofrezca la información que le he pedido, le pasaré un archivo de solución.

Un saludo.

Buenos días,

he hecho lo que me ha dicho y del texto addition este es el pastebin: https://pastebin.com/exNLg4p7

Y del texto FRST es este: https://pastebin.com/5FWkrFQ9 

Muchas gracias por la respuesta

Hola, AlbertPA:

Nunca debe tratar de eliminar el malware AutoIT ni manualmente ni utilizando antivirus ni anti-malwares automáticos. Lo único que conseguirá con ello es empeorar el problema y que luego cueste mucho más eliminarlo. los antivirus y anti-malwares automáticos no eliminan completamente este malware. Y esto tiene como consecuencia que el malware vuelva a autocrearse gracias a las posibles distintas copias de sí mismo que deja en el sistema.

Cuando un usuario intente eliminar el malware AutoIT manualmente por su cuenta, intentándolo manualmente o utilizando un anti-malware automático, un antivirus o alguna herramienta de limpieza de registro, se pierde el rastro del malware porque este malware suele crear un nuevo proceso principal cambiando de nombre aleatorio y cambiando su ubicación. Si esto ha sucedido en su caso, cosa más que probable, nos veremos obligados a realizar forzosamente comprobaciones manuales tanto en distintas ubicaciones del sistema como en el registro de Windows, ya que esos datos perdidos ya ninguna herramienta de diagnóstico podría proporcionárnoslo.

Por favor, siga los siguientes pasos:

• Descargue el programa Farbar Recovery Scan Tool

Farbar Recovery Scan Tool tiene dos versiones (32 bits o 64 bits). Descargue la versión correspondiente a la arquitectura del sistema que esté utilizando.  Si le aparece alguna advertencia de que este programa es peligroso/dañino, no se preocupe que es totalmente seguro. En caso de que el propio sistema no le permita utilizarlo, deberá deshabilitar temporalmente todas las características de seguridad Windows Defender.

• Ejecute Farbar Recovery Scan Tool: FRST.exe.Es recomendable que la herramienta sea ejecutada desde el escritorio.
• En el mensaje de la ventana de aceptar la exclusión de toda responsabilidad (disclaimer), debe hacer clic en el botón Sí

En la ventana principal, debe marcar (si no están marcadas ya por defecto) las casillas de verificación "Registro", "Servicios", "Controladores", "Procesos" e "Internet". Además, DEBE ASEGURARSE de marcar la casilla de verificación "Addition.txt" si no está marcada ya de manera predeterminada. Haga clic en el botón Analizar y espere a que concluya el análisis.

• Se abrirán dos(2) archivos(Logs), Frst.txt y Addition.txt, estos quedaran grabados en la misma ubicación donde está ejecutando la herramienta.
• Ahora con esos dos archivos logs tiene varias opciones: 1) Subir los dos archivos a Google Drive si dispone de una cuenta de correo de Gmail: Google Drive 2) Subir los dos archivos a OneDrive si dispone de una cuenta de correo de Outlook/Hotmail: OneDrive 3) Subir los dos archivos a sendspace haciendo clic en el botón Browse y luego en Upload: sendspace 4) Pegar el contenido completo de los dos archivos en la web de Pastebin, haciendo clic en el botón Create New Paste: Pastebin

Vuelva a respondernos con los enlaces a esos dos archivos y los reviso.

Un saludo.