Buenos días.
Desde hace unos días tengo infectado con dos archivos camuflados como de sistema (ocultos) los pendrives.
Uno se denomina autorun.info y el otro muestra un icono de papelera recycled con un archivo denominado copyex.exe.
Una vez se inserta el pendrive en el ordenador, este se carga y se instala en las keys del resgistro.
Cualquier antitroyano elimina los archivos del pen, pero al estar el ordenador infectado lo vuelve a cargar.
Mi pregunta es si ¿existe algún programa para desinfectar el registro del ordenador o no hay más remedio que realizarlo a mano con regedit y buscar?.
Razón: trabajo en un centro escolar y desinfectar 80 ordenadores, uno a uno, más los pens de mis compañeros (antes que estos vuelvan a insertarlos) me está resultando tarea baldía.
Gracias al que pueda ayudarme.

Buenos días fardatxo.

Manda el log que genera la utilidad Hijackthis. Descarga Hijackthis: http://free.antivirus.com/hijackthis/


Descomprime el contenido en C:/Archivos de programa/Hijackthis.
Después ejecuta Hijackthis.exe ,clica en la opción "DO A SYSTEM SCAN AND SAVE A LOG FILE". Copia el log que se genera (el archivo del bloc de notas llamado hijackthis el cual se creo al finalizar el escaneo) y pégalo en un nuevo mensaje.

Gracias nao666.
Te pego el resultado, aunque mi ordenador de casa debe estar limpio, al haber realizado la limpieza manual.
El lunes cuando vaya al centro reportaré el hijackthis de un ordenador infectado y a ver si puedes ayudarme.

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 11:46:44, on 01/11/2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\SYSTEM32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Archivos de programa\Alwil Software\Avast4\aswUpdSv.exe
C:\Archivos de programa\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\brsvc01a.exe
C:\WINDOWS\system32\brss01a.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\netdde.exe
C:\Archivos de programa\IVT Corporation\BlueSoleil\BTNtService.exe
C:\Archivos de programa\Java\jre6\bin\jqs.exe
C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\ARCHIV~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\System32\svchost.exe
C:\Archivos de programa\Alwil Software\Avast4\ashMaiSv.exe
C:\Archivos de programa\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\SYSTEM32\taskmgr.exe
C:\Documents and Settings\Jaime\Configuración local\Datos de programa\Google\Chrome\Application\chrome.exe
C:\Documents and Settings\Jaime\Configuración local\Datos de programa\Google\Chrome\Application\chrome.exe
C:\Documents and Settings\Jaime\Configuración local\Datos de programa\Google\Chrome\Application\chrome.exe
C:\Archivos de programa\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: Aplicación auxiliar de vínculos de Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Archivos comunes\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Program Files\Real\RealPlayer\rpbrowserrecordplugin.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Windows Live Aplicación auxiliar de inicio de sesión - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Archivos de programa\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Archivos de programa\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Archivos de programa\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Archivos de programa\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Archivos de programa\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [avast!] C:\ARCHIV~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [Adobe ARM] "C:\Archivos de programa\Archivos comunes\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Google Update] "C:\Documents and Settings\Jaime\Configuración local\Datos de programa\Google\Update\GoogleUpdate.exe" /c
O8 - Extra context menu item: Append to existing PDF - res://C:\Archivos de programa\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert link target to Adobe PDF - res://C:\Archivos de programa\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert link target to existing PDF - res://C:\Archivos de programa\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert selected links to Adobe PDF - res://C:\Archivos de programa\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Convert selected links to existing PDF - res://C:\Archivos de programa\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Convert selection to Adobe PDF - res://C:\Archivos de programa\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert selection to existing PDF - res://C:\Archivos de programa\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert to Adobe PDF - res://C:\Archivos de programa\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O15 - Trusted Zone: http://www.google.es
O16 - DPF: {474F00F5-3853-492C-AC3A-476512BBC336} (UploadListView Class) - http://picasaweb.google.com/s/v/26.33/uploader2.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://gfx2.hotmail.com/mail/w3/resources/MSNPUpld.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) -
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Archivos de programa\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Archivos de programa\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Archivos de programa\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Archivos de programa\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: BlueSoleil Hid Service - Unknown owner - C:\Archivos de programa\IVT Corporation\BlueSoleil\BTNtService.exe
O23 - Service: BrSplService (Brother XP spl Service) - brother Industries Ltd - C:\WINDOWS\system32\brsvc01a.exe
O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Archivos de programa\Archivos comunes\EPSON\EBAPI\SAgent2.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Archivos de programa\Archivos comunes\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Archivos de programa\Java\jre6\bin\jqs.exe
O23 - Service: Lavasoft Ad-Aware Service - Lavasoft - C:\Archivos de programa\Lavasoft\Ad-Aware\AAWService.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: ServiceLayer - Nokia. - C:\Archivos de programa\PC Connectivity Solution\ServiceLayer.exe

--
End of file - 8764 bytes

Gracias.

En el log que has mandado no se aprecian problemas de infección. Quedo a la espera de que mandes el log de un ordenador infectado.

Buenas tardes, nao666.
Te reporto el hijackthis de uno de los ordenadores infectados, a ver que puedes decirme.
Gracias de antemano.

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 8:51:34, on 02/11/2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16915)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\SYSTEM32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Archivos de programa\Alwil Software\Avast4\aswUpdSv.exe
C:\Archivos de programa\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Archivos de programa\Alwil Software\Avast4\ashMaiSv.exe
C:\Archivos de programa\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\SYSTEM32\winlogon.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\ARCHIV~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\Recycled\copyex.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Archivos de programa\Adobe\Reader 8.0\Reader\reader_sl.exe
C:\WINDOWS\SYSTEM32\taskmgr.exe
E:\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: Aplicación auxiliar de vínculos de Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Archivos comunes\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [RaidTool] C:\Archivos de programa\VIA\RAID\raid_to
O4 - HKLM\..\Run: [avast!] C:\ARCHIV~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [copyex] C:\WINDOWS\system32\Recycled\copyex.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [copyex] C:\WINDOWS\system32\Recycled\copyex.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICIO LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Servicio de red')
O4 - HKUS\S-1-5-21-1004336348-1614895754-725345543-1004\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe (User 'Profesores')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Reader Synchronizer.lnk = C:\Archivos de programa\Adobe\Reader 8.0\Reader\AdobeCollabSync.exe
O4 - Global Startup: Inicio rápido de Adobe Reader.lnk = C:\Archivos de programa\Adobe\Reader 8.0\Reader\reader_sl.exe
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1253697510701
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Archivos de programa\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Archivos de programa\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Archivos de programa\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Archivos de programa\Alwil Software\Avast4\ashWebSv.exe

--
End of file - 4413 bytes

PD: para poder ejecutar el hijackthis he tenido que abrir el Administrador de tareas y detener el proceso copyex.exe que se estaba ejecutando.

Atención:Hijackthis debe estar alojado en:
C:\Archivos de programas\Hijackthis\

Descarga e instala Malwarebytes-AntiMalware: http://www.malwarebytes.org/mbam.php
Descarga e instala Ccleaner: http://www.ccleaner.com/download/downloading
Descarga, si fuera necesario, KillBox: http://www.downloads.subratam.org/KillBox.exe
Descarga Flash Disinfector, utilidad para evitar o limpiar infecciones a través de pendrives : http://download.bleepingcomputer.com/sUBs/Flash_Disinfector.exe

Realiza los siguientes pasos sin saltar ninguno:


1.- Deshabilita "Restaurar Sistema"
2.- Activa la opción Ver Archivos Ocultos
3.- Reinicia en Modo Seguro
4.- Cierra todos los programas, ejecuta HijackThis,clica en DO A SYSTEM SCAN ONLY, marca las siguientes entradas y clica en Fix Checked para borrarlas:

O4 - HKLM\..\Run: [copyex] C:\WINDOWS\system32\Recycled\copyex.exe

O4 - HKCU\..\Run: [copyex] C:\WINDOWS\system32\Recycled\copyex.exe


5.- Sin reiniciar, busca y elimina el siguiente archivo (en negrita), SI AÚN LO ENCUENTRAS. Si no se deja eliminar descarga el programa KillBox y sigue las instrucciones para eliminar los archivos indicados:

C:\WINDOWS\system32\Recycled\copyex.exe


6.- Ejecuta el programa Malwarebytes y elimina todo lo que encuentre.

Modo de uso de Malwarebytes:

Una vez instalado el programa clicamos sobre el archivo que se ha creado en el escritorio y se muestra la ventana principal.

Marca la opción Realizar un examen completo y luego clica en Examinar.

Comienza el escaneo.

Una vez finalizado el escaneo se mostrarán los resultados indicando si hay infecciones o no (ACOMPAÑADO DE UN ARCHIVO DE TEXTO)
Si ha encontrado archivos infectados aparecerá una ventana mostrando dichos archivos, clicaremos en QUITAR LO SELECCIONADO PARA QUE COMIENCE LA DESINFECCION. En algunas ocasiones,si la desinfección así lo requiere, será necesario reiniciar el ordenador.

7.- Pasa el programa Ccleaner para limpiar el registro y archivos temporales.
8.- Reinicia y comprueba resultados.
9.- Deshaz los pasos 1 y 2.

Instrucciones para eliminar archivos con KillBox:
Ejecuta KillBox y selecciona Delete on reboot y Single File
En el cuadro de texto que pone Full path of file to delete, escribe la ruta completa del primer archivo que vas a eliminar:

Después haz clic sobre el circulo rojo con una X blanca.
Cuando pregunte "Reboot now" (Reiniciar ahora), clica en NO.
Escribe ahora la ruta del segundo archivo a eliminar:

Cuando pida reiniciar clica en SI.

Hasta aquí el modo manual de terminar con el "bicho".

La segunda opción es usar la aplicación Flash Disinfector que eliminara la infección del ordenador y del pendrive, al mismo tiempo que inmunizará la llave USB para que no pueda propagar futuras infecciones. Una vez desinfectada se creará una carpeta autorun.inf (oculta) que no deberás borrar. La función de dicha carpeta es que el virus no se propague , en el caso de que la llave vuelva a infectarse.
Si tienes algunos pendrives infectados deberás conectarlos uno a uno en el pc donde instalaste Flash Disinfector y desinfectarlos uno a uno.

Manual de Flash Disinfector .

1.- Deshabilita "Restaurar Sistema"

2.- Reinicia y entra en modo seguro.

3.- Ejecutar Flash Disinfector.

4.- Conectar el pendrive y volver a ejecutar Flash Disinfector.

5.- Reiniciar y habilitar "Restaurar Sistema"

Comenta resultados.

Muchas gracias neo666.
Mañana empezaré con ello.
Disculpa no haber contestado antes.
Por descontado comentaré resultados.
Vuelvo a insistir, muchas gracias.

Buenos días.
Realizada la limpieza en los ordenadores de forma perfecta.
La opción más práctica ha sido usar flashDesinfector, pues para los usuarios sin conocimientos de informática, el usar, instalar y borrar de los otros programas, les generaba exceso de dudas.
De todas formas comentar que usando el CCleaner ha sido mejor combinarlo con una búsqueda manual en el registro a base de regedit y borrar las entradas, que usar el Antimalware. En realidad el programa realiza lo mismo, pero es algo lioso usarlo.
Los pen han quedado vacunados, pues al insertarlos en un ordenador infectado (dejado así a propósito para hacer de test), estos bloquean el troyano y no vuelve a instalarse.
Con esto queda solucionado el problema y ahora ya solo queda esperar que en los ordenadores particulares de casa lo ejecuten.
Nuevamente gracias, nao666.

Gracias nao 666, a mi me ha funcionado
¿Sabes si con otro tipo de dispositivos funciona el Flash Disinfector? Es que tengo una grabadora que también se ha infectado porque la conecté cuando tenía el virus en mi pc (el antivirus no lo reconocía y me enteré de casualidad que lo tenía), es que tengo miedo de borrar el sofware que lleva incorporado y del cuál no tengo CD ni nada para volver a instarlarlo...