El cretino virus de pendrive o memoria USB (con autorun.inf)

Para los entendidos en Windows y demases, el archivo autorun.inf que exista en la raíz o directorio principal de cualquier unidad de almacenamiento de datos, es simplemente un archivo de texto con información que llama a algún programa dado a auto-ejecutarse cuando es ingresado en el pc, para el caso de CD’s, DVD’s, pendrives (memorias USB) o dispositivos flexibles (los antiguos diskettes!), o se da doble click dentro de “Mi PC”, para el caso de discos duros o unidades grandes. De por sí este proceso no es un virus, para nada, es sólo una vía de autoejecución muy usada en CD’s de instalación; es la versión actualizada del viejo y bien ponderado “autoexec.bat” que expertos en DOS (o tecno-retro-dinosaurios!) deben conocer.

El problema radica, de un tiempo a esta parte, en la proliferación masiva de virus, códigos maliciosos, programas spyware, Virus Alert!, etc., que utilizan este archivo como base para autoejecutarse, normalmente a causa de “Dispositivos de almacenamiento masivo USB” (pendrives) que son conectados en PC que ya están infectados. Es como un buen negocio: si le vendes tu excelente producto a un cliente con muchos contactos, lo más probable es que aquel cliente de a conocer a muchos otros lo que ofreces, así de boca en boca puedas tener más clientes. Así con los pendrives, pasan de un PC a otro, como si de damas de compañía se tratase… Mi propio pendrive no quedó ajeno a tal problema!.

¿Qué se puede hacer con el pendrive infectado? Limpiarlo. “Pero el antivirus no lo detecta!!” Es porque más que virus, es un programa que utiliza un recurso propio de Windows, así no es vulnerable a antivirus. Entonces, la solución para limpiar el pendrive es simple:

1. Insertar pendrive en computador limpio.

2. Si aparece la ventana de reproducción automática, NO SE DEBE ACEPTAR a que se abra el pendrive automáticamente, ahí se debe CANCELAR. De lo contrario, el PC limpio ya se contagió…

3. Para entrar a la unidad infectada, ir a “Mi PC” y NO HACER DOBLE CLICK SOBRE LA UNIDAD INFECTADA!, sino que con el botón derecho del mouse, click en “EXPLORAR“. Con esto se evita que autoarranque cualquier programa que esté direccionado en “Autorun.inf”:

4. Estando dentro de la unidad USB, se debe verificar la existencia del archivo “autorun.inf”, junto con otros archivos spyware. “No lo veo, estoy limpio!” …para verlos, es necesario habilitar la opción “Mostrar todos los archivos ocultos” y también desmarcar la opción “Ocultar archivos protegidos del sistema operativo” (Estas opciones están en “Herramientas” > “Opciones de Carpeta” > “Ver”). Windows recomendará no desmarcar la última opción (también lo recomiendo), pero esta alternativa es requerida en nuestros pasos de solución del problema. Al final lo ideal sería volver a las opciones originales.

“¿Y por qué tengo que ver los archivos de sistema?“ Porque los programas spyware que tiene el pendrive en este caso, junto con el autorun.inf, poseen atributos de Sistema, Oculto y Sólo Lectura. Bien gracioso el asunto, imposible verlos en el explorador sin cambiar opciones. (Peor en un PC infectado, que no deja cambiar las opciones, jejeje…).

Bueno, la idea es poder ver los archivos del pendrive, entonces estando en el directorio raíz es posible observar varios archivos extraños:

En mi caso los archivos que no conozco son “dll32.exe“, “nq0cq.cmd” y “autorun.inf“. No digo que el autorun.inf sea virus o sea extraño, sólo es que no lo tenía... El dll32.exe suena como archivo de sistema, pero no tiene relación con rundll32.exe del sistema. (Con el tío Google es posible encontrar más info de este troyano).

Y AHORA, SÓLO QUEDA BORRARLOS! Después de eso, lo ideal es siempre entrar al pendrive con la opción EXPLORAR, más que ABRIR. Lo agradecerás cuando insertes tu memoria USB en el PC de la universidad o cyber café.

Para evitar que en un futuro se vuelva a meter un maldito gusano que origine el archivo de autoarranque “autorun.inf”, recomiendo lo que hizo este amigo: Habiendo eliminado el archivo (o no existiendo), creó con block de notas un archivo de texto que se llama “autorun.inf” (Ojo de que no quede “autorun.inf.txt”). Dentro de él dejarlo en blanco, y después se colocan los atributos de “Sólo Lectura” y “Oculto”. Recomiendo también el de “Sistema”, así hacer un poco más difícil el acceso. Entonces, cuando el gusano quiera crear su archivo, no podrá y ahí va a quedar el cretino… La segunda opción que da es restringir la “Reproducción automática de Windows”, también la recomiendo.

ACTUALIZACIÓN I: Tener un archivo de texto vacío llamado “autorun.inf” no funciona! Si el pc ya tiene el virus en memoria, aún así sobreescribe el archivo creado, aún cuando tenga atributos de sólo lectura y oculto y sistema… comprobado recién, mi pc tiene spyware… pero con la solución que dio Luis Soto, funciona la limpieza! Descargar aquí.

“¿Y cómo limpio mi PC?” Simplemente con algún potente antivirus. Si no funciona, que Dios se apiade de tu alma… Así como la eliminación del Virus Alert!, este es otro problema resuelto con acciones simples. O también, se recomienda ejecutar este programa, así limpiar el registro y eliminar spyware.

NOTA: Existirán muchas variantes de los archivos generados, en caso de que el programa troyano posea otros nombres, entonces realizar lo mismo, pero eliminando los files con los nuevos nombres.

ACTUALIZACIÓN II: Vanessa dio con otra útil solución, utilizando este detector y destructor de Virus de Pendrives. Se ejecuta antes de insertar la unidad flash en el puerto USB y seguir instrucciones. Es funcional llevarlo en el mismo pendrive. Descargar aquí o aquí el comprimido.