La EnZiMa : Tecnología y Ciencia

Una nueva versión del virus de la policía anda por las webs infectando nuestros ordenadores, en este caso no nos va a dejar limpiar con ninguno de los métodos anteriores, recordemos cuales eran, puede que queráis usar alguno de estos sistemas antes de usar el nuevo (el CD-LIVE DE Dr. Web Cureit):

1. La primera versión se podía arreglar modificando una cadena del registro.
2. Otra opción era sacar un punto de restauración, lo que significa, volver Windows a una fecha anterior a la infección, una especie de regreso al pasado.
3. Un mes después apareció la primera mutación que no se podía limpiar desde registro y había que arrancar en modo seguro y pasar el malwarebytes para la eliminación.
4. Después paso a ser más complicado, no podíamos arrancar ni en modo seguro, y había que crear el famoso CD-LIVE de AVIRA, que en muchos casos sigue funcionando.
5. Para los que no pueden limpiar con ninguno de estos procesos hay una nueva forma de limpiar, os la explico a continuación, se realiza con el CD-LIVE DE Dr. Web Cureit.

¿Cuando utilizar este último sistema?

- Cuando no podamos solucionarlo con ninguno de los métodos descritos anteriormente.


Paso a paso:

1.- Lo primero es descargar la imagen del CD-LIVE Dr. Web Cureit desde este enlace (184mb).

2.- Grabar esa imagen con el imgburn en un CD o en un pendrive con el ISO to USB en un pendrive.

3.- Arrancar el ordenador desde CD o USB dependiendo de lo que hayamos decidido en el paso anterior.

4. Nos saldrá la siguiente ventana y elegiremos la primera opción.


5.- A continuación abriremos el Dr. Web para hacer un escaneo completo (imagen de forospyware):


6.- El proceso tardará un rato y limpiará nuestro sistema.

Espero os sea de ayuda.

Recordemos el famoso texto del Virus Randsome:


Ha sido detectada actividad ilegal! Su sistema operativo ha sido bloqueado debido a una infracción de la legislación alemana! Han sido detectadas las siguientes infracciones: Su dirección IP ha sido registrada en las webs ilegales con contenido pornográfico orientadas a la difusión de la pornografía infantil, zoofilia e imágenes de violencia contra menores! En su ordenador han sido detectados los archivos de video de contenido pornográfico con elementos de violencia y pornografía infantil! Además, desde su ordenador se realiza un envió ilegal (SPAM) de orientación pro terrorista. El presente bloqueo ha sido realizado para prevenir la posibilidad de difusión de dichos materiales desde su ordenador en Internet. Para desbloquear su ordenador, usted ha de pagar una multa de 100 euros! La multa ha de ser pagada antes de 24 horas desde el momento del bloqueo de su ordenador! En el caso de impago, todos los datos de su ordenador serán eliminados! Usted tiene dos formas de pagar la multa: 1) Usted puede adquirir un cupón Ukash por el importe de 100 euros. El número de ese cupón Ukash. usted ha de introducir en el campo del pago y apretar el botón “OK”. Si el sistema no confirma el pago realizado con éxito, usted ha de enviar el número de su voucher por e-mail. 2) Usted puede pagar la multa mediante paysafecard. Usted ha de pagar paysafecard por el importe de 100 euros. Usted ha de introducir el código PIN del cheque en el campo del pago y apretar el botón “OK”. Si el sistema no confirma el pago realizado con éxito, usted ha de enviar el código PIN por e-mail. Envié los datos por e-mail: info.lapoIiciaespa@Dolagyahoo.com

Tenía que pasar, el nuevo virus de la policía ha mutado, se ha transformado en otro que no permite entrar ni en modo seguro para desinfectarlo con malwarebytes, tal y como hacíamos antes, ni modificando el registro con el primer método, la única opción es usar un CD-BOOT-RESCUE de AVIRA Antivirus para arrancar desde él, os voy a explicar paso a paso como hacerlo.

1. Lo primero que necesitamos es un pc, desde el que estáis leyendo esto os sirve.
2. Descargar la imagen de AVIRA RESCUE SYSTEM CD BOOT desde este enlace (240Mb).
3. Una vez descargado tenemos que grabar esa imagen de 240mb en un CD con el IMG Burn (5,8Mb) o Nero o cualquier programa de grabación de cd´s, con la opción grabar imagen y eligiendo el archivo de AVIRA RESCUE SYSTEM que descargamos en el punto 2.
4. Cuando termine la grabación ya tenemos un CD de AVIRA RESCUE SYSTEM preparado para desinfectar cualquier ordenador con el virus de la policia y muchos más.
5. Nos dirigimos al PC infectado e insertamos el CD y apagamos + encendemos el PC.
6. Cuando arranque del cd nos saldrá esta ventana:



7. Pulsamos el 1 y a INTRO o ENTER.
8. Cargará unos módulos y acto seguido veremos esta pantalla, y elegiremos abajo a la derecha Iniciar Escaner.



9. Después de 20 minutos al terminar tendremos limpio el ordenador, y podremos apagar y encender normalmente.

El cd de AVIRA está actualizado a fecha 22 de Marzo del 2012.

Esta es una de las variantes conocidas:


y el texto es de sobra conocido:


Atención!!! Ha sido detectada actividad ilegal! Su sistema operativo ha sido bloqueado debido a una infracción de la legislación alemana!
Han sido detectadas las siguientes infracciones: Su dirección IP ha sido registrada en las webs ilegales con contenido pornográfico orientadas a la difusión de la pornografía infantil, zoofilia e imágenes de violencia contra menores! En su ordenador han sido detectados los archivos de video de contenido pornográfico con elementos de violencia y pornografía infantil! Además, desde su ordenador se realiza un envió ilegal (SPAM) de orientación pro terrorista. El presente bloqueo ha sido realizado para prevenir la posibilidad de difusión de dichos materiales desde su ordenador en Internet.
Para desbloquear su ordenador, usted ha de pagar una multa de 100 euros! La multa ha de ser pagada antes de 24 horas desde el momento del bloqueo de su ordenador! En el caso de impago, todos los datos de su ordenador serán eliminados!
Usted tiene dos formas de pagar la multa:
1) Usted puede adquirir un cupón Ukash por el importe de 100 euros. El número de ese cupón Ukash. usted ha de introducir en el campo del pago y apretar el botón “OK”. Si el sistema no confirma el pago realizado con éxito, usted ha de enviar el número de su voucher por e-mail.
2) Usted puede pagar la multa mediante paysafecard. Usted ha de pagar paysafecard por el importe de 100 euros. Usted ha de introducir el código PIN del cheque en el campo del pago y apretar el botón “OK”. Si el sistema no confirma el pago realizado con éxito, usted ha de enviar el código PIN por e-mail.
Envié los datos por e-mail: info.lapoIiciaespa@Dolagyahoo.com

El primer método para solucionarlo desde el registro. Enero 2012.

El segundo método para desinfectar con el malwarebytes desde Modo Seguro. Febrero / Marzo 2012.

El último método para limpiar con el AVIRA BOOT CD Rescue. Finales de Marzo 2012.

ACTUALIZACION 23 MARZO PARA EL QUE NO PUEDA ENTRAR EN MODO SEGURO.

En el caso de que salgan variantes del Virus Thread Malware de la Policía puede que el "truco" de eliminarlo desde el registro se nos quede corto, en tal caso la desinfección viene dada por el aclamado Malwarebytes.

El problema es la siguiente ventana con un aviso de la Policía, informando que nuestro ordenador ha sido multado por delinquir, ofreciendo la liberación por 100$:


Con el siguiente texto:


Atención!!! Ha sido detectada actividad ilegal! Su sistema operativo ha sido bloqueado debido a una infracción de la legislación alemana!
Han sido detectadas las siguientes infracciones: Su dirección IP ha sido registrada en las webs ilegales con contenido pornográfico orientadas a la difusión de la pornografía infantil, zoofilia e imágenes de violencia contra menores! En su ordenador han sido detectados los archivos de video de contenido pornográfico con elementos de violencia y pornografía infantil! Además, desde su ordenador se realiza un envió ilegal (SPAM) de orientación pro terrorista. El presente bloqueo ha sido realizado para prevenir la posibilidad de difusión de dichos materiales desde su ordenador en Internet.
Para desbloquear su ordenador, usted ha de pagar una multa de 100 euros! La multa ha de ser pagada antes de 24 horas desde el momento del bloqueo de su ordenador! En el caso de impago, todos los datos de su ordenador serán eliminados!
Usted tiene dos formas de pagar la multa:
1) Usted puede adquirir un cupón Ukash por el importe de 100 euros. El número de ese cupón Ukash. usted ha de introducir en el campo del pago y apretar el botón “OK”. Si el sistema no confirma el pago realizado con éxito, usted ha de enviar el número de su voucher por e-mail.
2) Usted puede pagar la multa mediante paysafecard. Usted ha de pagar paysafecard por el importe de 100 euros. Usted ha de introducir el código PIN del cheque en el campo del pago y apretar el botón “OK”. Si el sistema no confirma el pago realizado con éxito, usted ha de enviar el código PIN por e-mail.
Envié los datos por e-mail: info.lapoIiciaespa@Dolagyahoo.com
Todos conocemos del post anterior el primer método para su eliminación.

Si no hemos sido capaces de eliminarlo usaremos el malwarebytes, haremos lo siguiente:

1. Arrancaremos el PC en Modo Seguro con Funciones de Red, esto se consigue pulsando F8 mientras enciende el ordenador y eligiéndolo en el menú de opciones avanzadas de arranque. Es la siguiente pantalla:



2. Una vez arrancado Windows en Modo seguro nos descargamos el Malwarebytes de este enlace y lo instalamos.
3. Con un examen rápido será suficiente para la desinfección, elegimos Realizar un análisis rápido y Analizar.



4. Aparecerá en rojo Objetos Infectados, hacemos click sobre mostrar resultados.


5. Ahora click en Quitar lo Seleccionado
   


6. Reiniciar el pc y arrancará con normalidad

Descarga de Malwarebytes (Zip de 9Mb).

NUEVO MÉTODO 23 DE MARZO PARA LIMPIEZA VIRUS DE LA POLICIA SI NO DEJA ENTRAR EN MODO SEGURO. MANUAL PASO A PASO.

ACTUALIZACION 23 MARZO PARA EL QUE NO PUEDA ENTRAR EN MODO SEGURO.

Puede que hoy al encender el ordenador te encuentres con esta pantalla:


también puede que conozcas a alguien que despertó con esta aterradora pantalla y no le vendría mal saber cómo solucionarlo sin tener que formatear...

El supuesto secuestro de nuestro ordenador por parte de la policía española es totalmente falso, la policía ya se ha pronunciado al respecto, negando toda implicación y ayudando a quién así lo solicite, ten por seguro que si tuvieras pornografía infantil en tu ordenador no te mandarían un mensaje para que pagues 100$, simplemente tirarían abajo la puerta de tu casa para arrestarte.

El mensaje reza así:


Atención!!! Ha sido detectada actividad ilegal! Su sistema operativo ha sido bloqueado debido a una infracción de la legislación alemana!
Han sido detectadas las siguientes infracciones: Su dirección IP ha sido registrada en las webs ilegales con contenido pornográfico orientadas a la difusión de la pornografía infantil, zoofilia e imágenes de violencia contra menores! En su ordenador han sido detectados los archivos de video de contenido pornográfico con elementos de violencia y pornografía infantil! Además, desde su ordenador se realiza un envió ilegal (SPAM) de orientación pro terrorista. El presente bloqueo ha sido realizado para prevenir la posibilidad de difusión de dichos materiales desde su ordenador en Internet.
Para desbloquear su ordenador, usted ha de pagar una multa de 100 euros! La multa ha de ser pagada antes de 24 horas desde el momento del bloqueo de su ordenador! En el caso de impago, todos los datos de su ordenador serán eliminados!
Usted tiene dos formas de pagar la multa:
1) Usted puede adquirir un cupón Ukash por el importe de 100 euros. El número de ese cupón Ukash. usted ha de introducir en el campo del pago y apretar el botón “OK”. Si el sistema no confirma el pago realizado con éxito, usted ha de enviar el número de su voucher por e-mail.
2) Usted puede pagar la multa mediante paysafecard. Usted ha de pagar paysafecard por el importe de 100 euros. Usted ha de introducir el código PIN del cheque en el campo del pago y apretar el botón “OK”. Si el sistema no confirma el pago realizado con éxito, usted ha de enviar el código PIN por e-mail.
Envié los datos por e-mail: info.lapoIiciaespa@Dolagyahoo.com

Antes de que cunda el pánico debes saber que en menos de 5 minutos lo puedes quitar, y existen varios métodos.

Método rápido del registro de Windows:

1. Apaga el ordenador completamente.
2. Enciende, y mientras está arrancando pulsando la tecla de F8 hasta ver la siguiente pantalla:



3. Elegir modo seguro con símbolo de sistema.
4. Esperar hasta que nos salga una ventana negra (la consola de Windows) donde podemos escribir.
5. Teclear: REGEDIT y pulsar enter.
6. Nos aparecerá el registro de Windows, y debemos ir desplegando en la columna de la derecha siguiendo la siguiente ruta:
   
7. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
8. Una vez en esa ubicación veremos la siguiente pantalla:



9. Nos situaremos en la linea que pone shell, haciendo doble click sobre ella, y aparecerá un cuadro con un valor, tenemos que cambiarlo por explorer.exe, aceptar y cerrar las ventanas.
10. Una vez reiniciemos el ordenador nuesto problema habrá desaparecido.

Existe otro método (aquí) que a mi parecer es más completo, parte de usar el Malwarebytes en modo seguro con funciones de red, ya que no sólo eliminará este troyano secuestrador, sino que limpiará cualquier otra amenaza que ya tuvieramos con anterioridad.

Esto lo explicaré en el siguiente post -> Publicado el método alternativo definitivo. -> 13 Marzo 2012

Un saludo a todos y espero que os haya ayudado!