Hola a tod@s!

Hace aproximadamente unos tres meses que me llevo encontrando, muy asiduamente, con estos virus. En realidad, uno depende del otro y, a veces, sólo encontraremos uno de los dos. Es decir, si estamos infectados, tendremos seguro el olhrwef. El cual, puede venir acompañado del ahnrpta. Como en su momento hice un análisis online con un par de antivirus y ninguno de ellos me los eliminó, empecé a buscar por la red información sobre ellos. Información que he reunido en un manual.


En el presente manual se presupone que Windows está instalado en C:\

____________________________________________________________________________________________________


Según leí en su momento, el virus olhrwef se descarga a través de algunas páginas de juegos online. Y conforme yo mismo he comprobado en varios ordenadores, se copia en todas las unidades locales y se propaga a través de pendrive. Va creando archivos en la raíz del disco, ralentizando paulatinamente el sistema. Además, modifica el registro para que no podamos ver los archivos ocultos.  






0- Marcar Desactivar Restaurar sistema (MI PC / PROPIEDADES / Pestaña RESTAURAR SISTEMA).

1- Accedemos en modo a prueba de fallos.

2- Abrimos una consola de sistema (CMD).

3- Abrimos el Administrador de Tareas.

4- Matamos el proceso explorer.

5- Nos dirigimos a CMD y nos colocamos en la raíz del disco: cd\

6- Listamos los archivos con dir /as

7- Obtendremos algo parecido a esto:



. Si lo abrimos mediante el notepad, podremos comprobar a qué archivo apunta.

8- Cambiamos los atributos de los archivos mediante:


9- Los eliminamos:
Si también estás infectado por ahnrpta, deberás estar pendiente del Adminsitrador de Tareas. Si ves que se vuelve a cargar el proceso, lo (re)matas.

10- Cambiamaos de directorio:
Encontrarás algo parecido a esto:




La idea es que un equipo limpio, debe estar como la siguiente imagen:



Por norma, si estamos infectados por el virus que estamos tratando, todo lo que veamos de más ejecutando dir /as; sobra. OJO! por norma, pero NO siempre. Si vemos algún archivo de mas que no esté comentado en este manual, deberemos asegurarnos buscando la definición por internet.

11- Modificamos los atributos de los archivos mediante:


12- Eliminamos mediante:

13- Si, además, estamos infectado por ahnrpta, deberemos eliminar una dll que no se ha mostrado con el comando dir /as. En c:\Windows\system32, realizamos:


Si se encuentra el archivo, que debe estar si estábamos infectados por ahnrpta; procedemos igual que anteriormente.




Con lo explicado anteriormente, el equipo debe estar limpio del virus. Ahora toca eliminar las ramas que ha modificado 'el amigo'.

1- Accedemos a regedit

2- Nos movemos hasta: Y eliminamos la entrada del registro que pertenece a olhrwef. Si el ordenador tiene varios usuarios, ya que esta rama se corresponde al usuario con el que hayamos entrado, podemos realizar una búsqueda por todo el registro para asegurarnos que no queda ningún otro olhrwef.exe



3- Si además, estamos infectados por ahnrpta, realizaremos una búsqueda por el registro del nombre: e8main0.dll

Las ramas que deberemos eliminar serán tres:

Deberemos eliminar la clave: InprocServer3 y la rama principal HKEY.\...\CLSID\{BB4C402 F-882A-4526-8C08-51278EA437C1}



La siguiente rama a eliminar será:




Por último, deberemos buscar la siguiente clave y también eliminarla




Hecho todo esto, olhrwef y ahnrpta estarán eliminados por completo del equipo.


Ya sólo nos falta reparar el registro para ver los archivos ocultos y de sistema.



1- Accedemos a:


2- Borramos el valor: CheckedValue.
3- Creamos un nuevo valor CheckValue como DWORD y valor ‘1’.


Hecho todo esto. Equipo y registro estarán desinfectados y podremos volver a ver los archivos ocultos y de sistema.

Si además, queremos estar seguros de que Windows nos muestre correctamente las propiedades de las carpetas y de los archivos, podemos pegar el siguiente código en un bloc de notas, guardarlo como extensión .reg y ejecutarlo:





El virus se suele propagar mediante páginas de juegos online y por pendrive. En cuanto a lo primero, allá cada uno dónde entra... En cuanto a lo segundo, podemos evitar la autoreproducción de los pendrive mediante dos pasos:

1- GPEDIT

INICIO / EJECUTAR / GPEDIT.MSC (Sólo para Windows XP Profesional)


2- Modificando el registro:

Copiamos
Lo pegamos en un bloc de notas y lo guardamos con extensión .reg

Como ya se ha comentado anteriormente, olhrwef se propaga por todos los discos locales. En cada uno de ellos habrá un autorun.inf y varios archivos .bat, cmd. exe... Deberemos proceder de la misma forma. Una vez que hayamos limpiado C:\, en la misma consola (CMD) nos dirigiremos a las otras unidades y mediante los comandos attrib y del eliminaremos los archivos sospechosos.... Asismimo, si tenemos el pendrive a mano -del amigo, de un cliente, el nuestro...-, lo pondremos y verifcaremos que no esté infectado...

Después de todo esto, podemos iniciar normalmente Windows y volver a desmarcar 'Desactivar restaurar sistema'.

____________________________________________________________________________________________________

Esto es todo, espero que a alguien le pueda ayudar a deshacerse de estos bichos... Buscando por internet, he visto varios 'bat' para eliminar a olhrwef y ahnrpta. Si bien, la experiencia me ha confirmado que los archivos creados en las unidades locales. No son siempre los mismos; con lo cual, no llegan a eliminarlos por completo -al menos los que yo he encontrado-. Esta forma es, quizá, más tediosa, pero también más segura y efectiva -digo yo...  - puesto que eliminas todo lo que ha creado nuestro queridísimo amigo olhrwef....

SALUDOS!!

Uff excelente explicación Arcano2506...

Este post merece estar en el FAQ de temas importante.

Habla con Red haber si lo pone en los temas importantes.

Buenas!!

Perfecto que sea de utilidad!  


Pos... Axus... Nu sé... Si creen que es de utilidad, ya se encargarán de 'remarcarlo'...  Si no, a quien le haga falta con hacer una sencilla búsqueda... Podrá verlo...  Pero gracias por el comentario!! 

etreum

0- ¿Eres Administrador de máquina?
1- ¿Estás haciendo todo desde modo a prueba de fallos/Modo seguro?
2- ¿Has finalizado el proceso AHNRPTA?
3- ¿Has finalizado el proceso explorer?
4- ¿Has modificado los permisos al archivo e8main0.dll mediante attrib -h -r -s?

Si respondes afirmativamente a todo, deberías poder borrarlo. De todas formas, si todo lo otro lo has elimiando correctamente; pasa directamente al apartado de la desinfección del registro. Haz una búsqueda general de 'e8main0.dll'.Borra todas las líneas que contengan el archivo.

Hecho eso, vuelve a buscar la dll en system32. Si sigue estando, prueba de nuevo a eliminarla. A ver si limpiando antes el registro, tienes éxito.

Ya nos comentarás.

Saludos.

Buenas ...

En definitiva ... un virus bastante molesto creado seguramente por un niño, un adulto robaría algo más que esto supongo 

Puede que sean variantes, pero cuando hice pruebas ese archivo se creaba en local, no era descargado de ningún sitio

Este lo habías visto? yo creo que no, o al menos no lo recuerdo 

Saludos

Sinceramente desconocia este virus,interesante post 

Buenas _Bj0rD_

Se agradece el aporte. En su momento, yo también prové con un bat, pero me encontré que no eliminaba por completo el virus.

De ahí que me decantara por 'jugar con el bicho' en una máquina virtual y saber cómo actuaba para borrarlo manualmente...

Si bien, cada cual puede usar la forma que más le guste  

No obstante, el código que has pegado, sólo se encarga del olhrwef, no del ahnrpta.

Otra opción, que acabo de caer al ver tu bat, con tal de borrarlo automáticamente asegurándonos de eliminar todo, sería:

Realizar un dir /as > c:\<nombreAelegir>.bat. Lo modificamos añadiendo el comando del /as /f delante de los nombres malignos y quitamos los archivos de sistema. Depués, ejecutamos el bat y... hale... Ya está.

Todo ello, sabiendo que también debemos encargarnos del ahnrpta...

De no ser por tu código, no habría caído en esta opción...  

************************************

RE-RE-EDITO

************************************

Sólo con del/as /f NO se elimina correctamente el amigo... Debemos cambiar primero los atributos a los archivos para, posteriormente, eliminarlos. Con del /as /f en modo seguro, parece que se eliminan, pero al re-iniciar en modo normal, los archivos siguen estando ahí...  Raro?? No sé, cambiando los atributos y después borrando, se elimina correctamente...

Saludos!