Cómo eliminar un rootkit

Los rootkits son peligrosos huecos de código que pueden obtener acceso de raíz en una computadora. Esto le permite al rootkit ejecutar software o conectarse a internet sin que lo detecte el software de seguridad del sistema. Eliminar un rootkit puede ser muy difícil, ya que a menudo se disfrazan. Existen muchas utilidades que buscarán rootkits comunes, y muchos otros tienen herramientas desarrolladas específicamente para combatir un rootkit en particular. Si no logras eliminar una infección de rootkit, podrás limpiar el disco duro y reinstalar Windows para deshacerte de él.

Parte 1

Parte 1 de 4:

Utilizar escáneres de rootkit

Descargar el PDF

1
Descarga las herramientas en otra computadora. Existe gran variedad de escáneres de rootkit disponibles que pueden ayudarte a identificarlos y eliminarlos. No se garantiza que estos escáneres funcionen, por lo que querrás tener varios escáneres diferentes a la mano para encontrar cualquier infección. Los siguientes escáneres de rootkit son de uso general, y los debes descargar todos en una computadora no infectada y copiarlos en una unidad USB:^{[1]XFuente de investigación}
- RKill - bleepingcomputer.com/download/rkill/ (Este programa detendrá la ejecución de la mayoría de procesos maliciosos, permitiéndote seguir adelante con la eliminación. Selecciona la versión "iExplore.exe"cuando lo descargues).
- TDSSKiller de Kaspersky - usa.kaspersky.com/downloads/TDSSKiller
- Versión gratuita de Malwarebytes Antimalware - malwarebytes.org
- RogueKiller - adlice.com/softwares/roguekiller/
2
Reinicia la computadora infectada en modo seguro. El modo seguro solo permite la ejecución de procesos esenciales, haciéndolo una herramienta indispensable para eliminar rootkits. Existen varios métodos para iniciar en modo seguro, dependiendo de la versión de Windows:
- Cualquier versión de Windows: presiona ⊞ Win+R y escribe msconfig. Haz clic en la pestaña Boot, y marca el recuadro "Boot seguro" en la sección "Opciones de boot". Reinicia la computadora y automáticamente entrará en modo seguro. Esta es la forma más fácil de entrar al modo seguro en Windows 8 y 8.1.
- Windows 7 y anteriores: reinicia la computadora y rápidamente presiona la tecla F8 . Esto cargará el menú Opciones avanzadas de arranque (boot), donde podrás seleccionar "Modo seguro con funciones de red". Este método no es posible de realizar en computadoras más recientes con Windows 8 y 8.1, en las que el inicio es más rápido.
3
Ejecuta TDSSKiller una vez que hayas iniciado en modo seguro. Esta herramienta buscará rootkits y troyanos. Existen algunos cambios de ajustes que tendrás que hacer para realizar la búsqueda.^{[2]XFuente de investigación}
- Haz clic en el vínculo "Cambiar parámetros" en la pantalla principal de TDSSKiller.
- Marca el recuadro "Detectar archivos de sistema TDLFS" y haz clic en "OK".
- Haz clic en "Comenzar búsqueda" para iniciar la búsqueda con TDSSKiller. La búsqueda es bastante rápida.
- Haz clic en "Continuar" para eliminar las infecciones encontradas. Se te pedirá reiniciar la computadora cuando se complete la eliminación.
4
Ejecuta RKill en modo seguro. Después de ejecutar TDSSKiller, reinicia la computadora nuevamente en modo seguro. Si utilizaste el método msconfig, volverás a iniciar en modo seguro de manera automática.
- Ejecuta el archivo iExplore.exe para iniciar RKill. Normalmente es necesaria esta versión porque muchos rootkits impiden la ejecución de rkill.exe.
- Espera a que RKill termine de encontrar y terminar los procesos. Esto puede tardar unos minutos.
- No reinicies la computadora luego de que RKill termine. Todos los programas que RKill detenga se reiniciarán junto con la computadora. Una vez que veas el registro de RKill, ve al siguiente paso para continuar con el proceso de limpieza.
5
Ejecuta el instalador de Malwarebytes Antimalware y haz una búsqueda con él. Malwarebytes Antimalware está diseñado para detectar una gran variedad de malware que el escáner de virus pudo pasar por alto, incluyendo rootkits.
- Durante la instalación, mantén marcado el recuadro "Habilitar prueba gratuita...".
- Ejecuta Malwarebytes Antimalware y haz clic en el botón "Actualizar" para descargar la última base de datos de rootkits.
- Haz clic en el botón "Reparar" para iniciar la búsqueda. El proceso de escaneo tardará al menos 30 minutos en completarse.
- Haz clic en "Poner todo en cuarentena" y luego en "Aplicar acciones" para poner en cuarentena todos los archivos infectados.
6
Ejecuta RogueKiller. Este es un poderoso programa de escaneo de registros y de registros de arranque que puede encontrar cosas que pasaron por alto otros escáneres.
- Si no eres capaz de iniciar RogueKiller, cámbiale el nombre por winlogon.exe e inténtalo nuevamente.
- Haz clic en "Más información" y después en "Ejecutar de todos modos" si Windows lo pide.
- Espera a que se complete el escaneo previo al iniciar RogueKiller. Esto puede tardar unos momentos. Actualiza el programa si se te pide.
- Haz clic en el botón Escanear para iniciar el proceso. Tardará varios minutos en completarse.
- Haz clic en el botón Borrar para eliminar las entradas marcadas. RogueKiller marcará automáticamente lo que considere los resultados más peligrosos. También podrás hacer clic en cada uno de las pestañas de resultados y marcar cualquier cosa que consideres sospechosa. Si no estás seguro de algo, búscalo en tu motor de búsqueda preferido antes de eliminarlo.
Si los escáneres de rootkit que usaste encuentran rootkits, pero no los pueden eliminar, podrías necesitar descargar un programa antirootkit que se dirija al problema en específico. A menudo, se encuentran disponibles de manera gratuita en varias compañías de seguridad, y son demasiados para enumerarlos aquí. Utiliza los resultados de los escáneres de rootkit para buscar en la web las herramientas diseñadas para combatir las infecciones específicas.
Anuncio

Parte 2

Parte 2 de 4:

Utilizar discos de rescate

Descargar el PDF

1
Descarga el archivo gratuito BitDefender Rescue Disk ISO. Esta es una utilidad gratuita diseñada para ubicar y detectar rootkits iniciando en un sistema operativo especial antes de que cargue Windows. Este es uno de los métodos más efectivos de identificar rootkits que los escáneres no detectan, pues muchos se enmascaran en el momento en el que se inicia Windows. El archivo RescueDisk ISO te permitirá crear un CD de arranque que puedes usar para cargar el sistema operativo RescueDisk.
- Puedes descargar el archivo ISO desde download.bitdefender.com/rescue_cd/. Descarga el archivo que dice BitDefenderRescueCD_v2.0.0_5_10_2010.iso. Este archivo es bastante grande y puede tardar en descargarse dependiendo de la velocidad de conexión.
2
Graba el archivo ISO en un CD o DVD virgen. El archivo ISO cabe tanto en un CD como en un DVD en blanco. Inserta el disco en la unidad con quemador y graba el archivo en el disco. El proceso de quemado de archivos ISO varía dependiendo de la versión de Windows:^{[3]XFuente de investigación}
- Windows 7 y 8: haz clic derecho sobre el archivo ISO y selecciona "Grabar en disco". Si tienes instalado otro programa para quemar discos, selecciona "Abrir con" y luego "Grabador de imagen de disco de Windows". Selecciona la unidad correcta desde el menú desplegable en Grabador de imagen de disco de Windows y después haz clic en Grabar para grabar el disco.
- Windows Vista y anteriores: descarga e instala un programa quemador de discos como ImgBurn. Si instalas ImgBurn, lee cuidadosamente cada pantalla de la instalación para que no instales ningún software adicional no deseado. Cuando hayas instalado ImgBurn, inicia el programa y selecciona "Escribir imagen en disco". Busca el archivo RescueDisk ISO y después haz clic en el botón Grabar para empezar a grabar el disco.
3
Reinicia la computadora con el disco quemado dentro. Una vez hayas terminado de grabar el disco, asegúrate de que siga dentro de la computadora y reiníciala. En muchas computadoras, el menú de arranque de RescueDisk cargará automáticamente. Si la computadora carga Windows normalmente, tendrás que intercambiar el orden de arranque den el menú BIOS.
- Reinicia la computadora y presiona la tecla BIOS cuando aparezca el logo del fabricante. Esta tecla suele ser F2, F10, o Borrar, aunque en tu computadora puede ser otra. Algunas computadoras te permiten abrir directamente el menú de arranque con una tecla especial. Abre el menú de arranque (boot) y selecciona la unidad de discos como primaria. Guarda los cambios y reinicia la computadora.
- Windows 8: entrar al BIOS es diferente en computadoras que vienen con Windows 8 u 8.1 instalado. Abre la barra de accesos (⊞ Win+C) y haz clic en "Ajustes". Haz clic en el botón "Cambiar ajustes de la PC" y selecciona "Actualización y recuperación". Haz clic en "Recuperación", y luego en el botón "Reiniciar ahora" en la parte inferior de la pantalla. Una vez que aparezca el menú especial de arranque, selecciona "Solucionar problemas", y después "Opciones avanzadas". Haz clic en el botón "Configuración de firmware UEFI" y después clic en "Reiniciar". Esto cargará el menú UEFI (nueva versión del menú BIOS), Donde puedes seleccionar la opción "Boot" y cambiar el orden de arranque.
Es altamente recomendado que descargues cualquier actualización, pues esto te ayudará a asegurarte de que RescueDisk pueda detectar la mayoría de rootkits posibles. El proceso de actualización puede tardar unos minutos en completarse.
Esto normalmente tarde de 15 a 20 minutos, más si los discos duros son de mucho espacio.
Una vez que se complete el escaneo, se mostrará un resumen de todas las infecciones encontradas. Haz clic en el menú desplegable a lado de cada una y selecciona "Desinfectar". Haz clic en el botón "Solucionar problemas", y las infecciones serán eliminadas.
Haz clic en el pequeño botón de encendido en la parte inferior del escritorio y después selecciona "Reiniciar". Saca el disco quemado de la computadora para iniciar con normalidad, o cambia el orden de arranque nuevamente para que el disco duro sea el dispositivo de arranque primario.^{[4]XFuente de investigación}
Anuncio

Parte 3

Parte 3 de 4:

Reinstalar el sistema operativo

Descargar el PDF

Si no puedes eliminar los rootkits con los escáneres o con RescueDisk, lo mejor es limpiar el disco duro y reinstalar Windows. Para algunos rootkits, esta es verdaderamente la única manera de deshacerse de ellos sin pasar horas de tedioso trabajo técnico. En términos generales, si ya pasaste un par de horas probando escáneres y métodos manuales de eliminación, probablemente sea lo mejor limpiar y empezar de nuevo.
Limpiarás el disco duro sin posibilidad de recuperación, así que asegúrate de tener una copia de seguridad de todos los archivos importantes. Puedes usar un disco duro externo, DVD vírgenes, o un servicio de almacenamiento en la nube para hacerlo. Haz clic aquí para obtener instrucciones detalladas sobre el respaldo rápido de los archivos más importantes.
3
Descarga DBAN y quémalo en un disco virgen. DBAN es una utilidad que limpiará completamente el disco duro. Esta es una herramienta importante cuando necesitas formatear a causa de rootkits, pues estos pueden sobrevivir a un formateo simple durante la instalación de Windows. Puedes descargar DBAN de manera gratuita desde dban.org. Sigue el paso 2 de la sección anterior para obtener las instrucciones sobre el grabado de discos de archivos ISO descargados.^{[5]XFuente de investigación}
- DBAN eliminará cualquier partición de recuperación del disco duro, por lo que necesitarás un disco de instalación de Windows de la versión a reinstalar después de la limpieza. Contacta al fabricante de la computadora para conseguir un disco de instalación si es que no venía con uno.
Es muy sencillo borrar accidentalmente un disco equivocado en DBAN, así que asegúrate de que todos los discos y unidades que no quieras borrar estén desconectados de la computadora.
La mayoría de las computadoras iniciarán en DBAN de manera automática, pero podrías tener que ajustar el orden de arranque si es que lo intercambiaste después de la última selección. Sigue el paso 3 de la sección anterior para ver cómo iniciar desde el disco quemado con DBAN.
↵ Enter para iniciar DBAN. Esto iniciará DBAN en modo interactivo, el cual te permitirá ajustar la configuración.
Espacio. Idealmente solo habrá una unidad para seleccionar, pues debiste desconectar todas las unidades que no quieres borrar. Al presionar Espacio se seleccionará la unidad.
F10 Para iniciar el proceso de limpieza. No hay vuelta atrás después de esto, así que debes estar completamente seguro de que seleccionaste la unidad correcta y de que tienes una copia de seguridad de todos los archivos que necesitas.
Esto tardará varias horas, por lo que probablemente tengas que volver al día siguiente. La razón es que a DBAN le toma demasiado tiempo sobreescribir cada sector del disco duro varias veces con datos aleatorios, sobreescribiendo todo lo que se almacenó originalmente en él. Esto evitará que cualquier dato sea recuperado, y debe ayudar a eliminar todo rastro de rootkits.
10
Reinstala el sistema operativo. Una vez hayas limpiado la computadora, podrás empezar a reinstalar Windows en ella. El proceso es ligeramente distinto en cada versión de Windows. Revisa la siguiente guía para los procesos de instalación:
- Windows 8
- Windows 7
- Windows Vista
- Windows XP
Anuncio

Parte 4

Parte 4 de 4:

Evitar futuras infecciones

Descargar el PDF

La mayoría de los enrutadores cuentan con una función de firewall que evita que los procesos desconocidos accedan a los puertos. Este es un elemento esencial de la seguridad en línea y, si estás conectado directamente al módem, debes considerar el uso de un software de firewall o de comprar un enrutador.
2
Instala un antivirus de confianza. El antivirus es la primera línea de defensa contra los rootkits y otras infecciones. No necesitas pagar una gran cantidad de dinero por un programa antivirus; algunos de los más poderosos y efectivos son gratuitos. Algunos antivirus populares son:
- Windows Defender
- BitDefender
- avast!
- AVG
3
Asegúrate de que el Control de acceso de usuario (UAC) esté activado. Esta es una capa adicional de seguridad en las versiones más nuevas de Windows que agrega un aviso adicional antes de instalar programas desconocidos. Esto te dará una última oportunidad de negar el permiso a un posible instalador de rootkit antes de que tenga acceso al núcleo del sistema.
- Mucha gente deshabilitan UAC, ya que puede ser un poco molesto si realizas cambios constantes en el sistema. De cualquier manera, es buena idea mantenerlo activado para ayudar a prevenir la instalación accidental de rootkit. Busca instrucciones para acceder al UAC y cambiar su configuración.
Cuando descargas de internet programas gratuitos, a menudo vienen con paquetes de software adicional. Este software adicional no siempre es peligroso, pero es uno de los métodos más populares para instalar rootkits y otro malware. Lee cuidadosamente cada una de las pantallas al momento de instalar programas desconocidos, y nunca selecciones la opción de instalación "Rápida".
Otro vector común de ataque de rootkit viene de los controladores maliciosos. Por ejemplo, un controlador infectado de teclado puede instalar un rootkit oculto de keylogger. Descarga controladores únicamente desde Windows Update o desde el sitio web del fabricante. Haz clic aquí para obtener instrucciones sobre cómo encontrar y actualizar correctamente los controladores.
Anuncio