PE_SALITY.ER

Para terminar el proceso de malware/grayware/spyware:

1. Explore el equipo con su producto de Trend Micro y anote el nombre del malware/grayware/spyware detectado.
2. Abra el Administrador de tareas de Windows.
   • Para usuarios de Windows 98 y ME, pulse
   CTRL+ALT+SUPR
   . • Para usuarios de Windows NT, 2000, XP y Server 2003, pulse
   CTRL+MAYÚS+ESC y, a continuación, haga clic en la pestaña Procesos.
3. En la lista de programas en ejecución, busque el archivo de malware/grayware/spyware detectado anteriormente.
4. Seleccione los archivos detectados y, a continuación, pulse el botón Finalizar tarea o Terminar proceso, según cuál sea la versión de Windows que use.
5. Proceda del mismo modo con el resto de archivos de malware/grayware/spyware detectados en la lista de programas en ejecución.
6. Para confirmar que el proceso de malware/grayware/spyware ha terminado, cierre el Administrador de tareas y vuelva a abrirlo.
7. Cierre el Administrador de tareas.

Para restaurar el valor del Registro que este malware/grayware/spyware ha modificado:

1. Abra el Editor del Registro. Haga clic en Inicio>Ejecutar, escriba REGEDIT y, a continuación, pulse Intro.
2. En el panel izquierdo, haga doble clic en el siguiente elemento:
   HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Explorer>Advanced
3. En el panel derecho, busque este valor del Registro:
   Hidden = 2
4. Haga clic con el botón derecho en el nombre de valor y elija Modificar. Cambie la información de valor de esta entrada a:
   Hidden = 1
5. En el panel izquierdo, haga doble clic en el siguiente elemento:
   HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Services>SharedAccess
6. En el panel derecho, busque este valor del Registro:
   Start = 4
7. Haga clic con el botón derecho en el nombre de valor y elija Modificar. Cambie la información de valor de esta entrada a:
   Start = 2
8. En el panel izquierdo, haga doble clic en el siguiente elemento:
   HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Services>wscsvc
9. En el panel derecho, busque este valor del Registro:
   Start = 4
10. Haga clic con el botón derecho en el nombre de valor y elija Modificar. Cambie la información de valor de esta entrada a:
    Start = 2
11. Cierre el Editor del Registro.

Para eliminar las claves del Registro que este malware/grayware/spyware ha creado:

1. Abra el Editor del Registro. Para ello, haga clic en Inicio>Ejecutar, escriba regedit en el cuadro de texto y pulse Intro.
2. En el panel izquierdo de la ventana Editor del Registro, haga doble clic en el siguiente elemento:
   HKEY_CURRENT_USER>Software
3. También en el panel izquierdo, busque y elimine la clave:
   Afukx
4. Cierre el Editor del Registro.

Para eliminar el valor del Registro que este malware/grayware/spyware ha creado:

1. Abra el Editor del Registro. Haga clic en Inicio>Ejecutar, escriba REGEDIT y, a continuación, pulse Intro.
2. En el panel izquierdo, haga doble clic en el siguiente elemento:
   HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Internet Settings
3. En el panel derecho, busque y elimine la entrada:
   GlobalUserOffline = 0
4. En el panel izquierdo, haga doble clic en el siguiente elemento:
   HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Security Center
5. En el panel derecho, busque y elimine la entrada:
   AntiVirusOverride = 1
6. En el panel derecho, busque y elimine la entrada:
   AntiVirusDisableNotify = 1
7. En el panel derecho, busque y elimine la entrada:
   FirewallDisableNotify = 1
8. En el panel derecho, busque y elimine la entrada:
   FirewallOverride = 1
9. En el panel derecho, busque y elimine la entrada:
   UpdatesDisableNotify = 1
10. En el panel derecho, busque y elimine la entrada:
    UacDisableNotify = 1
11. En el panel izquierdo, haga doble clic en el siguiente elemento:
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Security Center>Svc
12. En el panel derecho, busque y elimine la entrada:
    AntiVirusOverride = 1
13. En el panel derecho, busque y elimine la entrada:
    AntiVirusDisableNotify = 1
14. En el panel derecho, busque y elimine la entrada:
    FirewallDisableNotify = 1
15. En el panel derecho, busque y elimine la entrada:
    FirewallOverride = 1
16. En el panel derecho, busque y elimine la entrada:
    UpdatesDisableNotify = 1
17. En el panel derecho, busque y elimine la entrada:
    UacDisableNotify = 1
18. En el panel izquierdo, haga doble clic en el siguiente elemento:
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>policies>system
19. En el panel derecho, busque y elimine la entrada:
    EnableLUA = 0
20. En el panel izquierdo, haga doble clic en el siguiente elemento:
    HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Services>SharedAccess>Parameters>FirewallPolicy>StandardProfile
21. En el panel derecho, busque y elimine la entrada:
    EnableFirewall = 0
22. En el panel derecho, busque y elimine la entrada:
    DoNotAllowExceptions = 0
23. En el panel derecho, busque y elimine la entrada:
    DisableNotifications = 1
24. En el panel izquierdo, haga doble clic en el siguiente elemento:
    HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Services>SharedAccess>Parameters>FirewallPolicy>StandardProfile>AuthorizedApplications>List
25. En el panel derecho, busque y elimine la entrada:
    {malware path and file name} = {malware path and file name}:*:Enabled:ipsec
26. En el panel derecho, busque y elimine la entrada:
    %WINDOWS%\Explorer.EXE = %WINDOWS%\Explorer.EXE:*:Enabled:ipsec
27. Cierre el Editor del Registro.

Para identificar y eliminar los archivos de AUTORUN.INF creados:

1. Haga clic con el botón derecho en el botón Inicio y elija Buscar....
2. En el cuadro de entrada Nombre, escriba:
   AUTORUN.INF
3. En la lista desplegable Buscar en:, seleccione una unidad y pulse Intro.
4. Seleccione el archivo y ábralo con el Bloc de notas.
5. Compruebe si el archivo contiene las siguientes líneas:
   
    ;{garbage characters}
   
   [AutoRun]
   
   ;{garbage characters}
   
   shell\explore\command = {random}.exe/cmd/pif
   
   ;{garbage characters}
   
   open = {random file name}.exe
   
   ;{garbage characters}
   
   shell\open\command = {random}.exe/cmd/pif
   
   shell\open\default = 1
   
   ;{garbage characters}
   
   shell\autoplay\command = {random}.exe/cmd/pif
   
   ;{garbage characters}
   
6. Si estas líneas existen, elimine el archivo.
7. Repita los pasos 3 a 6 con el resto de archivos de AUTORUN.INF en las demás unidades extraíbles.
8. Cierre Resultado de la búsqueda.

Para eliminar las entradas añadidas en SYSTEM.INI:

1. Abra el archivo del sistema SYSTEM.INI. Para ello, haga clic en Inicio>Ejecutar. En el cuadro de entrada Abrir, escriba SYSTEM.INI y, a continuación, pulse Intro. De esta forma, el archivo .INI se debe abrir en el editor de texto predeterminado, que en los sistemas Windows suele ser el Bloc de notas de Microsoft.
2. En la sección [boot], busque la línea que comienza del siguiente modo:
   Shell=Explorer.exe
3. En la misma línea, elimine la ruta de acceso y el nombre de archivo del malware/grayware/spyware:
   
   • [MCIDRV_VER]
   • DEVICEMB={random numbers}
4. Cierre el archivo SYSTEM.INI y haga clic en Sí cuando se le pida que guarde.