En este caso el W32/Rbot-AHW no es tan fácil de eliminar como el W32/Sasser.A pero buscando por ahí descubro que ya existe un tutorial para borrarlo gracias al foro de Spyware, los pasos son los siguientes:

Sigue estos pasos:

1) Ver archivos ocultos

2) Reinicia a prueba de fallos

3) Ejecuta HijackThis con todos los programas cerrados y dale Fix checked a:

• O4 – HKLM\..\Run: [Wind0ws Sharing] ssprotecter.exe
• O4 – HKLM\..\RunServices: [Wind0ws Sharing] ssprotecter.exe

4) Busca y elimina este archivo:

• ssprotecter.exe

5) Reinicia normal y finaliza con estos pasos:

• - Pasa al menos 2 de estos Antivirus Online o algún antivirus como No32, Kaspersky o Avast.
• - Limpia el registro con RegSeeker (Te recomiendo Tune- Up) y pasa Ad-Aware actualizado.
• - Elimina cookies y temporales con Disk Cleaner y vacía la papelera (igual recomiendo Tune- Up es mejor aplicación)
  Reinicia y el virus fue eliminado (probado en Windows xP y Vista)

Aplicaciones y más información:

• Foro de Spyware

NOTA: Primero que nada tienes que esta desconectado de internet para poder realizar el procedimiento.

1.- Entramos a Administrador de Licencias simplemente tienes que entrar donde dice Licencia en la pantalla principal del Kaspersky.

2.-  Una vez dentro del administrador de licencias es eliminar la llave este Lista Negra y hacer clic en ACTIVAR LA NUEVA LICENCIA.

3.- Ya que has eliminado la llave anterior y estas desconectado de internet podemos usar cualquier serial que tengamos por ejemplo: T6B6K-8YK22-VBQH7-ZUZJG.

Al darle en siguiente nos marcara un error o una advertencia dependiendo de la versión  del Kaspersky que tengas, no le hagamos mucho caso prácticamente nos dice que la licencia usada esta inútil y al no encontrar una conexión a internet te dejara activar por medio de archivo que es lo que nos interesa.

Ahora nos saldra una ventana de Error, eso no importa, hacemos clic en Aceptar y Listo.

Ahora si ya podemos usar el archivo llave solo tenemos que darle donde dice examinar, buscar el archivo llave en donde la tengamos guardada en la PC, darle clic en aceptar y listo ya tendremos activado de nuevo el Kasperky.

Y eso es todo de esa manera sencilla ya nos evitamos problemas… y comprar el antivirus (no lo tomen a mal es bueno pero también caro), ya veremos qué otra cosa podemos aprender de antivirus.

Vía:

• Luis Kano.

Este post es con el fin de informar cualquier uso que se le dé no es responsabilidad de DarkTairon y Taironcave.com.

1. Vamos a la carpeta de KIS 2010 o la versión que tengan ahí van a encontrar un programa que dice Modificar, Reparar o Eliminar solo den click para lanzar la aplicación.
2. Una vez que aparezca la pantalla de abajo solo le dan en siguiente, lo que comenzara hacer la restauración del Kaspersky puede que el proceso tarde hasta 20 o 30 minutos sean pacientes (es recomendable que estés conectado a internet para evitar que se regrese mucho tiempo la base de datos).
3. Ahora una vez terminado el proceso se tiene que reiniciar la computadora, esto es obligatorio si no la reinicias no harás nada con actualizar el antivirus.
4. Aquí viene el truco, cuando se reinicie la PC y se ejecute el antivirus automáticamente se actualizara y volverá aparecer “La lista negra de archivos llave está dañada” pero si te das cuenta veras que la base de datos es de un día anterior (ejemplo si hoy estamos a 07/07/2010 te dirá que la base de datos es del 06/07/2010) ahí tienes que aplicar la actualización manual, si tu base de datos esta corrupta completamente tardara unos 15 min en descargar todo si nada más se daño el black.lst no tardara ni 2 minutos una vez terminado veras que tu antivirus esta normal.

Importante:

• No puedes reparar si tuenes una licencia que está en lista negra al monto de la ultima actualización te marcara error y no te dejara.
• Si cambiaste la “key” del producto para tratar de arreglar el problema varias veces tendrás que desinstalar y volver a instalar de otra forma te marcara error en el 3 paso.
• Si por alguna razón o ya sea por sospecha de virus o algún ataque a tu PC quieres hacerlo offline puedes solo que tardaras más tiempo en el paso 4 pues instalara la base de datos que viene de fabrica.
• Si esta solución no te ayudo tendrás que desinstalar completamente el antivirus con todos los archivos .dll que te deje remover e instalar de nuevo.

¿Qué es lsass.exe?

Antes de nada originalmente no era un virus se trata de un proceso que se encarga del funcionamiento de los protocolos de seguridad que maneja Windows más concretamente de que estos funcionen correctamente y en orden pero como la mayoría de los programas que desarrolla Microsoft este tiene una vulnerabilidad que fue aprovechada para ser contaminado por el virus W32/Sasser.A.

¿Qué es el virus W32/Sasser.A?

Se trata de un gusano de redes, programado en Visual C++, que se propaga explotando la vulnerabilidad en el proceso LSASS (Local Security Authority Subsystem), reparada por Microsoft en su parche MS04-011 (ver “MS04-011 Actualización crítica de Windows (835732)”, http://www.vsantivirus.com/vulms04-011.htm). Afecta computadoras que corran bajo Windows XP o 2000, sin el parche MS04-011 instalado.

LSASS controla varias tareas de seguridad consideradas críticas, incluyendo control de acceso y políticas de dominios. Una de las interfaces MS-RPC asociada con el proceso LSASS, contiene un desbordamiento de búfer que ocasiona un volcado de pila, explotable en forma remota. La explotación de este fallo, no requiere autenticación, y puede llegar a comprometer a todo el sistema.

Básicamente una vez que está infectado lsass.exe es como si tu PC tuviera la puerta abierta para ser controlada este es un problema más que nada de los equipos que usan Windows desatendido (ósea pirata) o que simplemente no está actualizado.

¿Cómo elimino W32/Sasser.A o borro el lsass.exe?

Lamentablemente muchos antivirus fallan al momento de detectar este problema con el proceso Isass hasta el momento AVG, AVAST, NOD32, Norton, McAffe parecen no detectarlos Karspesky y Panda lo detectan perfectamente pero la única manera de eliminarlo es borrar el proceso del sistema o que puede acarrear problemas con la seguridad de Windows. La forma más seguro y fácil es instalar cualquiera de los dos antivirus mencionados actualizarlo y listo.

¿Cómo se si mi proceso está infectado?

Bueno este virus se propaga igual por USB asi que básicamente si tienes “ver archivos ocultos” y ven que en una memoria USB existe un archivo autorun y lsass.exe quiere decir que tienes el virus, en algunos equipos más vulnerables esos se reinician cada 60 segundos lo que hace un infierno de virus.

En caso de que no puedan conseguir los antivirus mencionados pueden usar varios de los métodos que ofrecen vsantivirus.

Curiosidades:

• Un error común es confundir Isass.exe con lsass.exe el nombre correcto es lsass.exe y viene de Local Security Authority Subsystem.
• Pertenece al grupo de los virus supercompactos lo cual hace que sea más difícil su detección.
• Al parecer que no lo detecte Nod32 y AVG se debe a quejas de los usuarios por que el antivirus borraba lsass.exe que se considera un proceso importante del sistema.

• Panda Cloud Antivirus: Probablemente el primer antivirus que trabaja desde la web que realmente funciona, hace años cuando teníamos el bendito virus del USB (que te volvía loca la computadora y te bloqueaba todas las entradas) era la solución más rápida (y económica) por lo que Panda Security gano bastante reputación, uno de los elementos clave de que sea tan bueno es que tiene un bajo consumo de recursos de la maquina ya que solo consume de 17 a 20 mb. Y ocupa unos 50 mb de espacio una vez que se instala la aplicación. Panda Cloud Antivirus recibe actualizaciones de la base de datos por parte de Panda Security Labs y los usuarios de la aplicación por lo que está muy actualizado para combatir a las amenazas.

• ESET Online Scanner: Es la aplicación online antivirus que nos ofrece la empresa ESET quien tiene también al buen nod32 (mi antivirus favorito), de la misma manera que el Panda Cloud Antivirus ESET Online Scanner es una herramienta online y gratuita que se puede ejecutar rápidamente en el navegador solo con descargar su aplicación de tan solo 3 mb e instalar. La ventaja que tiene es que está pensando con el fin de detectar malware y es compatible con varios navegadores no solo con el IE del mal. También está hecha para Windows tanto XP como Vista y tiene una versión para equipos de 64 bits.

Las dos son buenas opciones aunque también puedes usar las dos para hacer un scan regular a tu PC por seguridad o en caso de que el antivirus que actualmente tienes no esté trabajando debidamente. Recuerden que de preferencia solo usen este tipo de aplicaciones si lo ejecutan de la página oficial.