Existen muchos programas anti-malware que limpiarán su sistema de cosas desagradables, pero ¿qué sucede si no puede usar dicho programa? Autoruns, de SysInternals (recientemente adquirido por Microsoft), es indispensable para eliminar malware manualmente.
Existen algunas razones por las que es posible que deba eliminar los virus y el software espía manualmente:
- Quizás no pueda soportar ejecutar programas anti-malware invasivos y que consumen muchos recursos en su PC
- Es posible que debas limpiar la computadora de tu mamá (o de otra persona que no entienda que un gran letrero parpadeante en un sitio web que dice "Tu computadora está infectada con un virus; haz clic AQUÍ para eliminarlo" no es un mensaje necesariamente confiable)
- El malware es tan agresivo que resiste todos los intentos de eliminarlo automáticamente o ni siquiera le permitirá instalar software anti-malware.
- Parte de su credo geek es la creencia de que las utilidades anti-spyware son para débiles
Autoruns es una adición invaluable al conjunto de herramientas de software de cualquier geek. Le permite rastrear y controlar todos los programas (y componentes del programa) que se inician automáticamente con Windows (o con Internet Explorer). Prácticamente todo el malware está diseñado para iniciarse automáticamente, por lo que existe una gran posibilidad de que se pueda detectar y eliminar con la ayuda de Autoruns.
Hemos cubierto cómo utilizar Autoruns en una artículo , que debe leer si primero necesita familiarizarse con el programa.
Autoruns es una utilidad independiente que no necesita ser instalada en su computadora. Simplemente se puede descargar, descomprimir y ejecutar (enlace a continuación). Esto lo hace ideal para agregar a su colección de utilidades portátiles en su unidad flash.
Cuando inicia Autoruns por primera vez en una computadora, se le presenta el contrato de licencia:
Después de aceptar los términos, se abre la ventana principal de Autoruns, que le muestra la lista completa de todo el software que se ejecutará cuando se inicie su computadora, cuando inicie sesión o cuando abra Internet Explorer:
Para inhabilitar temporalmente el inicio de un programa, desmarque la casilla junto a la entrada. Nota: esto hace no finalizar el programa si se está ejecutando en ese momento; simplemente evita que se inicie siguiente hora. Para evitar permanentemente que se inicie un programa, elimine la entrada por completo (use el Eliminar o haga clic con el botón derecho y seleccione Eliminar desde el menú contextual)). Nota: esto hace no elimine el programa de su computadora: para eliminarlo por completo, debe desinstalar el programa (o eliminarlo de su disco duro).
Software sospechoso
Puede ser necesario un poco de experiencia (lea “ensayo y error”) para convertirse en un experto en identificar qué es malware y qué no. La mayoría de las entradas presentadas en Autoruns son programas legítimos, incluso si no conoce sus nombres. A continuación, se ofrecen algunos consejos que le ayudarán a diferenciar el malware del software legítimo:
- Si una entrada está firmada digitalmente por un editor de software (es decir, hay una entrada en el Editor columna) o tiene una "Descripción", es muy probable que sea legítimo
- Si reconoce el nombre del software, generalmente está bien. Tenga en cuenta que, en ocasiones, el malware "se hará pasar por" software legítimo, pero adoptará un nombre que sea idéntico o similar al software con el que está familiarizado (por ejemplo, "AcrobatLauncher" o "PhotoshopBrowser"). Además, tenga en cuenta que muchos programas de malware adoptan nombres genéricos o que suenan inocuos, como “Diskfix” o “SearchHelper” (ambos mencionados a continuación).
- Las entradas de malware suelen aparecer en el Iniciar sesión pestaña de Autoruns (¡pero no siempre!)
- Si abre la carpeta que contiene el archivo EXE o DLL (más sobre esto a continuación), y examina la fecha de la "última modificación", las fechas suelen ser de los últimos días (asumiendo que su infección es bastante reciente)
- El malware a menudo se encuentra en la carpeta C: \ Windows o en la carpeta C: \ Windows \ System32
- El malware a menudo solo tiene un icono genérico (a la izquierda del nombre de la entrada)
En caso de duda, haga clic con el botón derecho en la entrada y seleccione Buscar en línea ...
La siguiente lista muestra dos entradas de aspecto sospechoso: Diskfix y SearchHelper
Estas entradas, destacadas anteriormente, son bastante típicas de las infecciones de malware:
- No tienen descripciones ni editoriales
- Tienen nombres genéricos
- Los archivos se encuentran en C: \ Windows \ System32
- Tienen iconos genéricos
- Los nombres de archivo son cadenas de caracteres aleatorias
- Si busca en la carpeta C: \ Windows \ System32 y localiza los archivos, verá que son algunos de los archivos modificados más recientemente en la carpeta (ver más abajo)
Al hacer doble clic en los elementos, accederá a sus claves de registro correspondientes:
Eliminando el Malware
Una vez que haya identificado las entradas que cree que son sospechosas, ahora debe decidir qué desea hacer con ellas. Tus opciones incluyen:
- Desactive temporalmente la entrada de ejecución automática
- Eliminar permanentemente la entrada de ejecución automática
- Localice el proceso en ejecución (usando el Administrador de tareas o similar) y finalícelo
- Elimina el archivo EXE o DLL de tu disco (o al menos muévelo a una carpeta donde no se inicie automáticamente)
o todo lo anterior, dependiendo de qué tan seguro esté de que el programa es malware.
Para ver si sus cambios se realizaron correctamente, deberá reiniciar su máquina y verificar alguno o todos los siguientes:
- Autoruns: para ver si la entrada ha regresado
- Administrador de tareas (o similar): para ver si el programa se inició nuevamente después del reinicio
- Verifique el comportamiento que le llevó a creer que su PC estaba infectada en primer lugar. Si ya no sucede, lo más probable es que su PC ahora esté limpia
Conclusión
Esta solución no es para todos y probablemente esté orientada a usuarios avanzados. Por lo general, el uso de una aplicación antivirus de calidad funciona, pero si no, Autoruns es una herramienta valiosa en su kit Anti-Malware.
Tenga en cuenta que algunos programas maliciosos son más difíciles de eliminar que otros. A veces, necesita varias iteraciones de los pasos anteriores, y cada iteración requiere que observe más detenidamente cada entrada de ejecución automática. A veces, en el instante en que elimina la entrada de ejecución automática, el malware que se está ejecutando reemplaza la entrada. Cuando esto sucede, debemos ser más agresivos en nuestro asesinato del malware, incluidos los programas de terminación (incluso programas legítimos como Explorer.exe) que están infectados con DLL de malware.
En breve publicaremos un artículo sobre cómo identificar, localizar y finalizar procesos que representan programas legítimos pero que ejecutan DLL infectadas, para que esas DLL se puedan eliminar del sistema.
