Los 100 euros del virus de la policia nacional

Cuando alguien tiene mala pata... la tiene y ya está. Hace unos días me volvió a llamar mi usuario más virico. Me decía que su ordenador se lo había secuestrado la policia nacional por haber visto pornografía, zoofilia y un montón de filias de dudosa reputación y que la empresa debía pagar 100 euros para que le desbloquearan el ordenador. Me quedé bastante sorprendido, lo cierto es que no tenía yo a esta persona como un/a guarrete/a empedernido, tal como efectivamente no lo fue.

Llego a su puesto y me encuentro esta imagen:

Pantallazo de la pantalla de rescate

Mi siguiente expresión; cara de poker, naturalmente. Hacía un tiempo que había escuchado hablar de algo así y mi compañero me indicó que esta semana pasada había salido anunciado por televisión (al fin los medios valen para algo en informática).

Bueno, que me voy por las ramas. Aquí os paso los dos posibles metodos para poder limpiar el equipo de este virus,

Metodo 1 (antiguo)

Hay que reiniciar el sistema y presionar F8 desde el momento que empieza el arranque del sistema. Seleccionamos arranque en Modo a prueba de fallos. Una vez que ha arrancado el sistema, iniciamos sesión con el usuario infectado. El virus no se ejecuta puesto que en el modo a prueba de fallos el sistema arranca con lo justo.

Metodo 2

El virus ha evolucionado y es muy posible que el metodo antiguo no os funcione. Para quitarlo actualmente, presiona Ctrl+Alt+Supr mientras el ordenador empieza a arrancar el windows, rapidamente, presiona Cerrar Sesión. El sistema, cerrará el virus y veremos nuestro escritorio y, como el equipo estará todavía iniciando la sesión, nos dirá que algún programa se ha quedado colgado, le damos a Cancelar en lugar de Finalizar programa, nuestro escritorio estará delante nuestra... ahora solo falta seguir los pasos siguientes y habremos quitado el virus

Metodo 3

Inicia el equipo con otro usuario y sigue estas instrucciones para modificar HKCU desde este usuario

Pasos en común

Entramos en el registro de sistema (regedit desde la linea de comandos) y tenemos que buscar y tomar nota del ejecutable al que apunta el valor "Shell" dentro de la siguiente clave de registro.

HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\

Cambiamos el valor después de apuntarlo por "Explorer.exe" y listo. Virus eliminado (me debes 100 pavos). Para eliminar ese archivo, por si quieres dejar el sistema limpito, nos dirigimos a la carpeta donde se encuentra, normalmente es C:\Users\%username%\AppData\Roaming y esta "escondido" como un archivo de sistema y oculto. Habrá que configurar el sistema de archivos para poder visualizarlos.

Smart Fortress 2012, el antivirus que es un virus

Esta mañana me ha llamado un compañero diciendome que fuera corriendo a ver su ordenador porque le estaba infectando un virus. Le he preguntado que como podía estar tan seguro, y me ha dicho que el sistema le estaba sacando globos de información de todos los virus que tenía su ordenador. El antivirus que le estaba dando la información era un virus de antivirus. Sí, habeis leído bien, es un malware bastante reciente que se instala en los equipos con una facilidad pasmosa.

Para poder limpiar el equipo de este virus, hay que reiniciar el sistema y presionar F8 desde el momento que empieza el arranque del sistema. Seleccionamos arranque en Modo a prueba de fallos. Una vez que ha arrancado el sistema, iniciamos sesión con el usuario infectado. El malware no se ejecuta puesto que en el modo a prueba de fallos el sistema arranca con lo justo. Entramos en el registro de sistema y tenemos que buscar y tomar nota del ejecutable al que apunta la siguiente clave de registro.

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\RESTART_STICKY_NOTES

Una vez que hemos apuntado el programa al que apunta, eliminamos esta clave, buscamos el archivo en su carpeta y lo eliminamos también. Pasamos a la siguiente clave de registro que es RunOnce y eliminamos esta clave de registro apuntando previamente el nombre del archivo.

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce\%nombre_aleatorio%

Misma operación que con la anterior, eliminamos el archivo de la carpeta %programdata% y ya está limpio. Solo queda eliminar los accesos directos del programa que me haya podido generar en el escritorio que, naturalmente los eliminamos. Reiniciamos y a trabajar!!!

El virus de las comillas dobles

Ayer por la mañana un usuario me explicó un problema que tenía. Al igual que a mi, que al menos lo intento, le gusta escribir bien, usando todos los signos de puntuación y exclamación que requiere un texto. Me dijo que cuando ponía una tilde, en lugar de acentuar la palabra, le aparecía unos acentos dobles, es decir, esto ´´ y a continuación la palabra, es decir, que si quería poner "á" aparecía "´´a". Como se puede observar, no son dobles comillas, sino tildes dobles, que no acentos como lo llaman algunas personas (el acento es la forma en que pronunciamos las palabras). Me metí en google puesto que el fallo era bastante raro y vi que había varias personas que les había pasado y que era un virus. La forma de quitarlo que planteaban, era el clásico CCleaner y algunos programas más en esta linea. No me gusta montar estos programas puesto que al fin y al cabo no dejas de estar montando cosas para quitar otras. No fue difícil dar con la solución, reinicie el sistema operativo, durante el comienzo del arranque del sistema operativo, presione la tecla F8 y hice un arranque seguro, me logué con el usuario y en esta clave estaba esperándome el virus.

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\%nombre_aleatorio%

Dos archivos ejecutables puestos uno en la raiz de la carpeta del usuario (%homepath%) y otro en la carpeta temporal del usuario (%temp%). Con eliminar la clave de registro hay bastante, pero ya que estas, si eliminas también los dos archivos, más tranquilo te quedas. Encontré también una variante en otro ordenador en que solo había una clave de registro que apuntaban al %homepath%, así que si encuentras una sola clave, no es extraño.