AMVO.EXe

[In$aNe]

Alguien sabe como eliminar este virus de USB es una molestia completa los antivirus no lo detectan y parece q solo se puede borrar formateando pero tengo demasiada info como para perder

alguien ha tenido problemas con este virus y lo ha solucionado
Gracias de antemano

[alien200710]

aplicale panda 2008 , puedes usar version de prueba, comparando con kasperki, es mas rapido a la hora de escanear pero se jala mucho recurso sobretodo la memoria , asi que puedes scanear y ver si se puede desinfectar o solo detecta y no se puede , yahi lo eliminas manualmente viendo donde lo localiza o en que archivo está , luego puedes desinstalarlo y usar los antivirus menos pesados . eso si una ves pasado y si esque detecta , pásale otra ves los mismos archivos para confirmar que realmente se borró o eliminó los archivos porque los virus son bien pendejos y de nuevo se infectan mientras bas escaneando otro archivo.

[kurtcastle]

Pues yo lo eliminé de forma manual, me afectó el 29 de diciembre y he aqui los pasos para eliminarlo:

1.- Desactiva restaurar sistema (yo siempre lo mantengo desactivado)
2.- Utiliza un programa llamado RegCleaner escrito por Jouni Vuorio, para mi es mas facil usarlo que usar regedit y msconfig. instala el programa, en la pestaña startup list, desactiva la ejecucion del archivo c.\windows\system32\amvo.exe
3.- Busca el programa Killbox.exe y descárgalo, ejecútalo y escribe la ruta c:\windows\system32\amvo.exe dá click en el botón (x) y acepta
4.- Con Killbox.exe elimina tambien c:\autorun.inf d:\autorun.inf ... x:\autorun.inf de tus unidades de disco duro y memorias USB usando el procedimiento (3) te recomiento conectar las memorias antes de empezar con todo el proceso.

Es recomendable hacer todo este procedimiento sin acceder por medio de Mi PC o Explorador de Windows a las unidades mientras se realiza, ya que al abrir las unidades se ejecuta el archivo autorun.inf, este archivo direcciona hacia unos programas instalados en los directorios raiz en las unidades y los mismos habilitan de nuevo el archivo amvo.exe

5.- El virus es de tipo Hacktool.Rootkit, modifica los registros para que no podamos activar la opcion de ver archivos ocultos y de esa forma no podemos eliminar los archivos dañinos, pero killbox borra los archivos y el proceso que se está ejecutando. Para recuperar los registros y poder activar tambien la opcion de ver arcivos ocultos es práctico usar el programa RegUnlocker el cual es fácil de encontrar en la web ejecutarlo y elegir la opcion de "Reparar la visualizacón de archivos ocultos" reinicia tu máquina.

Te recomiendo buscar todos los programas antes de empezar con el proceso, son pequeños algunos no miden ni 100KB y son bastante prácticos, además si aprendes a usarlos bien vas a poder lidiar casi con cualquier troyano que se te presente de forma manual y segura.

6.- Por último, es posible que cuando reinicies windows arranque bien pero no puedas acceder a tus unidades de disco duro o memorias, para esto vuelve a utilizar killbox para eliminar los autorun.inf de las unidades y listo reincia de nuevo, tambien checa si puedes habilitar la opcion de ver archivos ocultos, si funciona entonces el virus ha sido desactivado, te recomiendo que abras con el block de notas los archivos autorun.inf que se guardaron en la carpeta de killbox para que puedas ver el nombre de los archivos guardados en el directorio raíz los cuales tambien son parte del virus un ejemplo es c:\xfoolavp.com eliminalos con killbox tambien tambien e c:\wondows\system32\ puede haber otros archivos relacionados con amvo.exe estos son amvo.dll y amvo1.dll eliminalos tambien, si por alguna razon el vorus sigue apareciendo revisa bien si hiciste el procedimiento que te indiqué y hazmelo saber por aqui.

Un Saludo.

[Demian Bich]

Hola a todos, yo tambien tuve este problema hace algunos dias, y apesar de haber formateado mi ordenador el problema seguia alli, pero gracias a la ayuda de kurtcastle porfin me pude deshacer de este molesto virus, su metodo si funciona, y no es muy complicado hacerlo, solamente es leer bien, yo recomiendo el Regunlocker para limpiar el registro y volver a su estado original

[trush]

que tal yo tengo un problema algo similar ya que igual tengo un "autorun.inf" en mi memoria USB, le pase el "kaspersky on line" a la memoria y me detecto un viruz llamado "xn1i9.com" lo malo es que creo que ya infecto mi maquina por que formateo la memoria y al poco rato de tenerla conectada a la pc me aparece un nuevo "autorun.inf" en ella, de hecho no tengo idea de como se llame el executable de est virus, necesito ayuda urgente por que al navegar por internet me alenta la maquina pero si cañon ...por favor ayudaaa¡¡¡¡¡¡

[Solidus J2K]

La mayoría de los troyanos que funcionan con el autorun.inf añaden una clave en el registro, específicamente en el RUN que se ejecuta cada vez que ingreses una memoria, esté o no infectada, por eso no basta eliminar el .inf que está en tu memoria, sino buscar en el registro si hay una entrada invalida o no, para eso se usa el hijackthis.

[Locutus]

Ese bicho es muy comun si es que uno utiliza constantemente un pendriver. Para este caso existe una solucion definitiva: Click Aca

[kurtcastle]

Hola amigos, encontré una pagina con un script bastante util para eliminar este molesto archivo.

http://www.mygeekside.com/?p=14

Espero les sea util ahi viene toda la informacion que necesitamos ;)

[nofx8515]

Hola amigos, encontré una pagina con un script bastante util para eliminar este molesto archivo.

http://www.mygeekside.com/?p=14

Espero les sea util ahi viene toda la informacion que necesitamos ;)

Si ps yo en su momento use ese script y es muy bueno, sin hacer nada solo conectas tambien tu memoria, y empieza a scanear todas las unidades y te borra ese molestoso virus, y una reiniciada y listo sin hacer tanta laraca :)8)

[Ryoma-Echizen]

Uno similar es el avpo.

Tienen que darse cuenta que formatear no es la solución a todo. Estos bichitos tienen ejecutable en cada disco duro/partición por lo que basta basta ingresar a uno de ellos para que se contagien todos. Haciendo aun lado eso son inofensivos.

¿Qué han ganado con formatear? perder tiempo y datos(si lo han hecho por cólera)


Basta tenerlos identificados y usar a san google para encontrar la solución.

[shaka321]

hola bajate este programa es paar eliminar el amvo http://www.mygeekside.com/?p=14

[DarkVu]

aplicale panda 2008 , puedes usar version de prueba, comparando con kasperki, es mas rapido a la hora de escanear pero se jala mucho recurso sobretodo la memoria , asi que puedes scanear y ver si se puede desinfectar o solo detecta y no se puede , yahi lo eliminas manualmente viendo donde lo localiza o en que archivo está , luego puedes desinstalarlo y usar los antivirus menos pesados . eso si una ves pasado y si esque detecta , pásale otra ves los mismos archivos para confirmar que realmente se borró o eliminó los archivos porque los virus son bien pendejos y de nuevo se infectan mientras bas escaneando otro archivo.

mmmm prefiero mil y un veces el Kaspersky Anti-Virus! todos lso demas fueron... el nod tbm a mi parecer no me detecto 3 virus en otra pc... y el kaspersky si...

Si el formateo la hace jaja pero se pierde tiempo y datos...

[alien200710]

aah eso tambien pense , usaba kasperski, detectaba todo hasta que una ves enpezó a sonar mi disquetera, pasé kasperski varias veces y nada, del resto ni hablar , apliqué pandaso y adios hdp virus que ya me habia llegado altamente sobretodo cuando activava mi disketera sin motivo a cada rato.

[JaCoX]

w0w ese script funciona 100% ^^
menos mal que se me ocurrio googlear antes de hacer cualquier tonteria xd

en la compu de mi chamba lo note desde ayer, y hoy cuando prendi mi pc salia el mismo aviso del archivo amvo :S
asi que tenia que ser algo en comun en ambas computadoras.


walaa, era mi usb Y_Y

pero ahora todo solucionado ^^

[Solidus J2K]

Ese script funciona bien, pero cuando el gusano se replica con otro nombre pierde su funcionalidad (KAVO.EXE, KAVA.EXE, etc..), tan solo reactiva ver archivos ocultos y eliminar el autorun en las unidades de red.

Algo simple que pueden hacer, y de paso aprenden a eliminar manualmente este tipo de gusanos es seguir estos pasos:

1.- NO UTILICEN UNA MEMORIA USB O UN DISKETTE. Escriban las claves en un papel y búsquenla manualmente. El gusano suele replicarse en dichos dispositivos.
1.1.- NO SE CONECTEN A NINGUNA RED.
1.2.- LO RECOMENDABLE ES HACER TODOS LOS PASOS SIGUIENTES EN MODO A PRUEBA DE FALLOS.

2.- Las características del Gusano son visibles:
2.1.- Al hacer doble clic en una unidad para ingresar a ella aparece la ventana de ABRIR CON..
2.2.- No se puede visualizar los archivos ocultos.



3.- Lo primero que se tiene que hacer es eliminar la clave que autoregenera las replicas en caso el antivirus las esté eliminando (eso también es visible ya que a cada rato aparecerá un mensaje del AV indicando que eliminó un archivo xxxxx). Para ello tienen que ir a la siguiente clave:

HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\RunOnc
y
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\RunOnce

Y busquen cualquier valor que apunte a un .exe sospechoso, generalmente apunta C:\Windows\system32 (apunten la dirección), y elimínenla.

Una vez eliminada dicha clave modificar las siguientes también:

En:
hkey_local_machine\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Advanced\Folder\Hidden\showall
Buscar el valor "checkedvalue" y colocar como información del valor en hexa "00000001" o simplemente "1".

(Esta entrada habilita ver los archivos ocultos)

En:
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\Explorer
Buscar el valor “NoDriveTypeAutoRun” y colocar como información del valor en hexa "00000001" o simplemente "1".

4.- Habilitada la opción de ver archivos ocultos desde el explorador de Windows accedan al root (C:/) del sistema y habiliten ver archivos ocultos y del sistema, y verifiquen si existen archivos (ejecutables y el famoso autorun.inf) fuera de los que normalmente tienen que estar ahí (eso lo pueden verificar utilizando los equipos del taller), y eliminarlos. Hacer el mismo proceso en las demás particiones.

5.- Cerrar la sesión y volver a ingresar para que se apliquen los cambios.


6.- Si tienen habilitado la opción de crear puntos de restauración del sistemas, DESACTIVENLO.
6.1.- Si ya se creó un punto de restauración con la PC infectada es muy probable que dicho punto esté con el virus, de tal forma que al regresar a dicho punto el gusano permanecerá en tu equipo. La manera más facil de evitar eso es, después de desactivar el servicio de restauración del sistema, ir al root (habilitando ver archivos ocultos y del sistema) y tomar posesión de la carpeta System Volume Information (propiedades, seguridad, añadir su cuenta en la lista de usuarios, dar privilegios totales a la carpeta), entran a dicha carpeta y eliminan la subcarpeta llamada _restore.


Ese gusano esta semana que pasó empezó a propagarse por todo Cibertec (sede San Isidro) y como tienen el McAfee es difícil de contenerlo puesto que se salta la pseudo protección del McAfee de modificar parámetros en el registro, además este gusano desactiva el agente lo que lo hace más vulnerable.

[ryohnosuke]

En mis casos, cuando el AMVO se replicó con otros nombres, únicamente me bastó localizarlos con el hijackthis, borrarlos con el killbox, y utilizar el script y listo. Sólo en un PC hubo que utilizar el RegUnlocker para que me soltara ver los archivos ocultos.

[Murdockk]

tengo un problema con una laptop de una empresa a la cual le entro este virus, probe usando el killbox y el regunlocker , luego aparecio una vez mas y lo elimine atravez del scrip el dia de ayer y el dia de hoy vuelve a aparecer que me recomiendan que pueda hacer? me comemntan que al formatear la pc aun el virus sige

gracias

[renzogga]

Pásale el script en modo a prueba de fallos, instala un buen antivirus, el avg o bitdefender y escanea tus discos y usbs o diskettes que tengas.

Elimina los archicos de l tipo h.bat i. bat ...., esos eran generados por el virus.
También puedes usar el hijackthis y analizar tu pc y pegar tu log en varios sitios o foros de detección de virus.

[nofx8515]

tengo un problema con una laptop de una empresa a la cual le entro este virus, probe usando el killbox y el regunlocker , luego aparecio una vez mas y lo elimine atravez del scrip el dia de ayer y el dia de hoy vuelve a aparecer que me recomiendan que pueda hacer? me comemntan que al formatear la pc aun el virus sige

gracias

Man nose si leiste q entrando a http://www.mygeekside.com/?p=14 ahi esta la solucion, solo tienes q conectar tus memorias usb infectadas y le pasas ese script, solo eso y problema resuelto :)

[Solidus J2K]

mm por seacaso se han puesto a leer e interpretar lo que ejecuta ese script.

Si se dan cuenta solo sirve para 2 variantes del gusano Stucco, AMVO (AMVA) y AVPO, si por decir les infecta con una variante KAVA.exe o KAVO.exe o SXS.exe, ese script lo unico que va a hacer es habilitar ver archivos ocultos y eliminar el autorun si lo hubiese, pero el resto permanecerá intacto.

Es por eso que a ese script hay que seguir modificandolo con todas las variantes posibles del gusano.