¿Falso positivo en VirusTotal? (W.32.Aldetect.Malware1)

Question

Hola.

A veces me pregunto si tengo un virus, por qué el ordenador va super lento, y esta mañana he decidido buscar información sobre Ctfmon.exe.

Hice un analisis con todo tipo de programas (MalwareBytes, AVG y Safety Scanner), revisando el administrador de tareas me encuentro con un proceso llamado ***Ctfmon.exe,***entonces decidí buscar información acerca de Ctfmon.exe, y los resultados decían que era un proceso legítimo, otros dicen que es un proceso que causa problemas y otros dicen que pueden haber varios virus que se camuflan con ese nombre.

Decido escanear el propio Ctfmon.exe y me encuentro con esta sorpresa:

-Todos los antivirus no lo detectan excepto uno, que dice ser un malware llamado (W32.Aldetect.Malware1)

Buscando información me encuentro con la siguiente página que explica detalladamente lo que es este virus.

 https://www.fixyourbrowser.com/removal-instructions/how-to-remove-w32-aidetectvm-malware1/

-Lo que dicen en esa página es que ese virus es capaz de modificar ficheros, de hecho hice un blog donde yo decía que se modificaban las carpetas de CatRooT 2 automáticamente.

-Aparte intento parar el proceso de Ctfmon.exe y se vuelve a activar como si nada.

-También mencioné antes que MalwareBytes detectó un virus llamado (AdwareSpecialSearchOffer) o algo por el estilo, lo tenía puesto en cuarentena y se me acabó la licencia gratuita de MalwareBytes, entonces no sé si por qué al acabar la licencia gratis el virus se ha liberado de la cuarentena.

Así que necesito que alguien me aclare si eso es un virus o es un falso positivo, en el caso de que sea un virus por favor no me digan que "haga un scan completo de Windows defender por que lo hice 20 veces y no detectó nada"

Que alguien me diga como eliminar eso por que me vuelvo LOCOOOOOOOOOOO! W32.Aldetect.Malware1 es el nombre del supuesto malware.

Answer 1

Hola, erep201:

Vamos por partes.

• Para empezar, puede quedarse tranquilo que es un falso positivo.
• Que en VirusTotal haya un motor antivirus/anti-malware que lo considere una amenaza, no significa que tenga que hacer caso al 100% de lo que indique ese único moto antivirus/anti-malware.

Debe tener en cuenta en los resultados la fiabilidad y prestigio que puede tener el motor antivirus/anti-malware que detecte la amenaza. Es decir, no se puede valorar de una misma forma que detecte la amenaza un motor como el de MalwareBytes, BitDefender, o ESET (empresas de prestigio y totalmente fiables por tener motores de detección muy potentes y avanzados) que Bkav Pro (como es su caso) que no son para nada conocidos.

En este caso, probablemente haya sido detectado como amenaza por dicho motor, porque el archivo no está firmado. Pero esto no es para nada una razón para que un archivo sea marcado como amenaza. Simplemente, el motor que utiliza esa empresa, no es fiable si simplemente se basa en ese detalle.

Se dice que para que una amenaza en VirusTotal sea considerada como realista, debe de propocionar un resultado de al menos 10/70 - 15/70, pero teniento en cuenta también el factor de los motores que hayan indicado la sospecha de una amenaza.

• Por otra parte, no debe hacer caso a la información que encuentre en Internet sobre una supuesta amenaza sin contrastarla en una fuente fiable.

Es decir, está bien que haga búsquedas sobre archivos de los pueda sospechar, pero no porque aparezca un resultado que concuerde con esa teoría que tenga, va a ser cierto.

En este punto, debe tener en cuenta que hay páginas creadas malintencionadamente para que descargue un antimalware fraudulento, que le promete eliminar dicha amenaza. Hay empresas que únicamente se dedican al marketing agresivo, creando cientos de blogs y páginas para posicionarlas en Google ante cualquier búsqueda que pueda realizar un usuario sobre un malware, y ahí están esperando para que el usuario descargue su producto fraudulento.

• La información que ha encontrado sobre la carpeta catroot2 es falsa, fraudulenta o usted no la he entendido correctamente.

Existen malwares que añaden archivos a la carpeta catroot2, pero los archivos que usted adjunta en la imagen se actualizan cada poco tiempo:

¿Para qué sirven las carpetas CatRoot y catroot2?

• En VirusTotal hay unas fichas/pestañas de información al subir cualquier archivo que es la de DETAILS y COMMUNITY.

En estas pestañas se ofrece información interna del archivo.

Por ejemplo, en la pestaña/ficha DETAILS aparece en este caso de ctfmon.exe datos importantes para identificar que el archivo es legítimo como por ejemplo en File Versión Information los datos de Copyright, Product o File Version, o en Basic Properties los hash indentificativos únicos del archivo.

Aún así, aunque estos datos pudieran ser alterados, tiene disponible la pestaña/ficha COMMUNITY donde diferentes expertos en seguridad, ofrecen detalles e informes sobre los archivos. Algunos de estos detalles y comentarios, dirigen a webs legítimas de esos expertos en seguridad en donde se reporta el estudio realizado y verificado.

• En cuanto al problema que tiene de que su equipo va super lento, se debería realizar probablemente varios estudios para ver qué está ocurriendo. Quizás lo primero sería realizar un análisis del sistema con alguna herramienta de diagnóstico como Farbar.

Si necesita ayuda para esto, quizás lo mejor es que cree un nuevo Hilo de discusión para no mezclar asuntos y empezar una discusión desde cero.

Un saludo.

Answer 2

Si, es un falso positivo de ese antivirus. VirusTotal no emite veredicto sobre si un archivo es o no un malware. Por otro lado, cuál es la posibilidad que de 70 antimalwares de diferentes compañias solo uno encuentre que un archivo es malicioso?

Por otro lado la herramienta que le sugerí es segura. La uso con frecuencia.

Answer 3

Hola, mi nombre es José. Soy un Asesor Independiente y un usuario de Windows como usted. Estoy encantado de ayudarle.

El caso que planteas es un falso positivo. Si la licencia del antimalware expiró, puede volver a usar Windows Defender. Si aún necesita ejecutar un escaneo de verificación, puede usar la herramienta Microsoft Safety Scanner. Solo está disponible en inglés. Le recomiendo ejecutar un scan full.

https://docs.microsoft.com/en-us/windows/securi...

Por otro lado, cualquier antimalware que lleva un archivo a cuarentena, no lo libera cuando la licencia expira.

Déjeme saber si necesita alguna asistencia adicional.

Answer 4

Hola, mi nombre es José. Soy un Asesor Independiente y un usuario de Windows como usted. Estoy encantado de ayudarle.

El caso que planteas es un falso positivo. Si la licencia del antimalware expiró, puede volver a usar Windows Defender. Si aún necesita ejecutar un escaneo de verificación, puede usar la herramienta Microsoft Safety Scanner. Solo está disponible en inglés. Le recomiendo ejecutar un scan full.

https://docs.microsoft.com/en-us/windows/securi...

Por otro lado, cualquier antimalware que lleva un archivo a cuarentena, no lo libera cuando la licencia expira.

Déjeme saber si necesita alguna asistencia adicional.

Pero, ¿es un falso positivo? lo acabo de scannear con malwarebytes de nuevo y no detecta nada, siempre veo que recomiendan un antivirus y la verdad me canso de ver las mismas respuestas, me extraña que solo un antivirus lo detecte, aparte ese antivirus no es muy conocido, ¿Safety Scanner es 100% seguro?

Si me lo pudiera explicar detalladamente los agradecería.