La invasión del malware

Invasion by kerembeyit

Una apacible tarde de domingo mi Firefox empezó a hacer cosas raras. Las extensiones habían desparecido, en realidad estaban ahí pero no salían en la lista de complementos, los plugins estaban como siempre pero las extensiones y los temas brillaban por su ausencia.

En su lugar, una forma rectangular con en el mensaje: No tiene instalado ningún complemento de este tipo. Un botón me invita a aprender más sobre los complementos.

Sorprendida, vuelvo a instalar mis extensiones, con la primera tengo que reiniciar Firefox, lo hago y al abrirse lo tengo todo lleno de pestañas con todas y cada una de las extensiones desaparecidas pidiendo ser reinstaladas. Lo hago con todas, reinicio Firefox y ya está todo vuelve a ser como antes.

Santa inocencia. Cada vez que enciendo el ordenata me encuentro con la misma situación, las extensiones a tomar por saco.

Todo esto viene de que descargué e instalé una versión antigua de FileMaker proveniente de una web de descargas de programas, todo ello sin ánimo de lucro y con fines de investigación, por supuesto. A pesar de que elegí la instalación personalizada me colaron guarrerías camufladas, creo, tras la instalación del navegador Opera que yo intenté evitar pero no hubo manera. El instalador se quedaba ahí dando vueltas y vueltas y era imposible pararlo o cerrarlo.

Lo desinstalé todo y pasé el antivirus y un anti malware. El caso es que veía cosas raras como un indicador de antimalware live en la barra de tareas, creía que lo había instalado el anti malware y no le presté mucha atención. Cuando empecé a tener problemas con Firefox, cuya página de inicio había sido secuestrada, me lo tomé en serio y revisé a fondo mi ordenador, descubriendo que el virus mysearch123 me había secuestrado el navegador, tenía instalados Wooden Seal y Malware Protection Live sin ni siquiera saberlo. En fin, un desastre.

 Pasos a seguir para deshacerse de los intrusos:

1. Desinstalarlos si se identifican entre los programas instalados
2. Eliminar las extensiones instaladas por esos programas en el navegador
3. Eliminar el malware del navegador con AdwCleaner
4. Eliminar archivos maliciosos con Malwarebytes Anti-Malware
5. Analizar el sistema con HitmanPro en busca de otras amenazas
6. Limpiar el sistema y reparar el registro con CCleaner
7. Eliminar con Delfix los programas anteriores que ya no son necesarios: AdwCleaner y HitmanPro

Información detallada de los pasos a seguir:

• Remove Malware Protection Live virus
• Eliminar Malware Protection Live - Virus
• How to remove Adds by Wooden Seal virus
• Eliminar adware Wooden Seal

Tutoriales de los programas:

• Cómo eliminar el malware de nuestro PC en cinco pasos
• Tutorial AdwCleaner
• Manual de Malwarebytes Anti-Malware
• Manual de HitmanPro
• Manual de CCleaner
• Manual de DelFix

Siempre es útil consultar la Oficina de Seguridad del Internauta o Hispasec para encontrar soluciones y consejos sobre la seguridad en la red.

Como ya no tengo problemas con Firefox sigo utilizándolo de momento como predeterminado, lo de Chrome lo dejo para otro día, que estoy perezosa.

Seguir leyendo

El fallo de seguridad de Java 7

Java es un lenguaje de programación que permite crear aplicaciones capaces de ejecutarse en cualquier equipo. Esto se lleva a cabo gracias a la máquina virtual Java que es lo que instalamos o actualizamos en nuestro ordenador cuando nos lo piden algunas páginas web para ver su contenido, para ejecutar juegos en línea, calcular hipotecas, chatear con otros usuarios y todo lo que se le ocurra al programador de Java para tenernos entretenidos.

La última actualización de Java, la 7, viene con su "exploit" de seguridad incluido, un fallo que permitiría hacerse con el control del ordenador afectado. Solamente abriendo una página web con nuestro navegador y de forma totalmente transparente, sin darnos cuenta de nada, podríamos caer en las garras de vete a saber quién, aunque algunos apuntan a que la vulnerabilidad está siendo explotada desde China, donde se ha identificado una IP localizada en Singapur desde la que se dirigen ataques que instalan el Dropper.MsPMs que ejecuta un virus sin ser detectado por nuestro antivirus. Un dropper es un programa que ha sido alterado para instalar virus cuando se ejecuta.

 Por tanto, se recomienda desactivar Java 7 hasta que Oracle, actual desarrollador de Java, ponga en circulación un parche que repare el agujero de seguridad. Instrucciones para hacerlo en los distintos navegadores en la página de la Oficina de Seguridad del Internauta.

El navegador Firefox ya tiene desactivado en su lista de plugins el de Java, lo ha bloqueado por considerarlo peligroso. Se puede seguir usando el plugin, naturalmente, si se aceptan los riesgos descritos. Instrucciones para desbloquear el plugin Java.

En principio Java 6 no tiene este problema concreto, así que si no hemos actualizado a Java 7 podríamos dejarlo como está, y en el caso de haber actualizado volver a la versión 6. Pero bien pensado quizás no es tan buena opción, pues la versiones anteriores que no son vulnerables a este bug lo son a otros que han sido parcheados con versiones posteriores que a su vez... En fin, creo que lo mejor es desactivar Java totalmente si su uso no es necesario hasta que nos den vía libre los de Oracle con el parche correspondiente. Como los sacan cada cuatro meses y el último fue en junio habrá que esperar a octubre.

Para controlar Java en Windows hay que ir a Inicio, Panel de control, Java. En la pestaña Java veremos las versiones instaladas, y allí podremos también desactivar la que nos interesa. Instrucciones en MuyComputer, donde también explican cómo desactivar en los navegadores.

Para comprobar si tenemos activado Java en nuestro navegador podemos acudir al servicio online Is Java exploitable? creado por la compañía de seguridad informática Rapid7 para comprobar rápidamente si somos vulnerables o no. Estos son los mensajes que nos mostrará el servicio en un caso u otro:

El navegador tiene Java activado y somos vulnerables

El navegador tiene Java desactivado y estamos seguros

Seguir leyendo

Cómo conseguí librarme de Microsoft Works

Aprovechando el tirón de los buenos propósitos que nos asaltan cada principio de año me lanzo a la limpieza de mi disco duro una vez más. Se trata de eliminar archivos y programas que no me sirven para nada y de los cuales he olvidado incluso su existencia. Normalmente son los programas que vienen preinstalados en los equipos nuevos y no sabes muy bien qué hacer con ellos. Ya que están aquí déjalos, te dices, si tmapoco molestan y a lo mejor hasta te sirven y todo. Santa inocencia, no los usas NUNCA, pero nunca nunca.

Y ahí se quedan hasta que descubres con alarma que tienes el disco petado, no queda más remedio que hacer limpieza y así van cayendo esas reliquias una tras otra. Algunas se resisten, Microsoft Works particularmente me ha estado dando mucha guerra. Yo no se porqué nos traen de fábrica los ordenadores con estas cosas, ya intenté desinstalarlo nada más inaugurar mi portátil pero no se dejaba, insidiosa y repetidamente me pedía un paquete de instalación para llevar a cabo la desinstalación -recordemos que estos chismes vienen preinstalados- y la pereza de buscar cómo quitar Works de enmedio sin el dichoso paquete de instalación lo mantenía sine die en mi equipo.

Esta vez será la definitiva, me digo, lo desinstalo como me llamo Laurita. Pues manos a la obra, aquí se solicita la comparecencia de un tal "Works8.msi".

Naturalmente no tengo ninguna idea de dónde andará el "origen" que me muestra la ventana, pero por si acaso busco works8.msi en el ordenador, pero ni está ni se le espera.

La búsqueda preceptiva en Google me ofrece en el primer puesto un hilo en el foro TechSupport Guy donde un usuario cuenta que una búsqueda manual en C:\Windows\Installer  le revela que el archivo works8.msi ha sido renombrado a 4657B.msi, así que él lo vuelve a renombrar como works8.msi y ya tiene el archivo de instalación solicitado. Cómo se las ha arreglado para saber que el archivo en cuestión ha sido renombrado y cuál es el nuevo nombre es un misterio, por mi parte busco el archivo 4657B.msi y no encuentro ningún rastro.

Paso a la segunda entrada de Google, otro hilo sobre lo mismo en el foro Spyware. Aquí un usuario  remite al soporte de Microsoft -no hay nada como ir a las fuentes-  el artículo 29031, Cómo desinstalar o quitarconjuntos de aplicaciones de Microsoft Office. Hay 4 métodos para desinstalar aplicaciones Office automáticamente y no me queda claro que también se aplique a Woks. El cuarto método consiste en desinstalar manualmente, el paso 1 explica cómo buscar archivos en el directorio C:\Windows\Installer, ordenarlos por Asunto en identificar los instaladores.

 

Y ahí está el instalador de Microsoft Works, se llama 23e3b.msi como se puede apreciar haciendo clic en la imagen para ampliarla. Ahí vemos que el Asunto lo identifica claramente con Microsort Works y por si hiciera falta algo más las etiquetas lo definen como Installer entre otras cosas que me callo. Deduzco que siguiendo este proceso el usuario del foro TechSupport Guy ha dado con el archivo renombrado.

Podría ahora renombrarlo como se indicaba en el anterior foro, pero en el artículo de Microsoft se recomienda hacer clic con el ratón sobre el archivo MSI y a continuación hacer clic en Desinstalar. Sigo las instrucciones de Microsoft y cuando llego a la ventana donde se pide el archivo works8.msi busco el archivo 23e3b.msi pensando que ya está todo solucionado, pero no funciona, Windows insiste en encontrar el paquete de instalación “Works8.msi”. Vale, finalmente tendré que renombrarlo.

Y ahora ya, por fin, adiós Works.

De propina, PC Decrapifier es una herramienta que desinstala varias aplicaciones a la vez, cosa que Windows no permite. Su nombre alude a los programas basura, el llamado "crapware". Por su parte él no se instala, es un archivo ejecutable que utilizaremos sencillamente cada vez que queramos hacer limpieza en nuestro equipo.

Seguir leyendo