BKDR_URSNIF.SM

Puesto que este malware se basa en la tecnología de rootkits, es posible que su detección y eliminación mediante los métodos de modo normal y seguro no lo elimine del todo. Este procedimiento reinicia el sistema mediante la Consola de recuperación de Windows.

1. Introduzca el CD de instalación de Windows en la unidad de CD y pulse el botón de reinicio.
2. Cuando se lo solicite el sistema, pulse cualquier tecla para arrancar desde la unidad de CD.
3. En el menú principal, escriba la letra r para ir a la Consola de recuperación.
4. Escriba la unidad que contiene Windows (normalmente C:) y pulse Intro.
5. En el cuadro de entrada, escriba lo siguiente y pulse Intro:
   del %User Profile%\nah_{4 random characters}.exe
6. Escriba exit y pulse Intro para reiniciar el sistema con normalidad.

Para eliminar el valor del Registro que este malware ha creado:

1. Abra el Editor del Registro. Para ello, haga clic en Inicio>Ejecutar, escriba regedit en el cuadro de texto y pulse Intro.
2. En el panel izquierdo de la ventana Editor del Registro, haga doble clic en el siguiente elemento:
   HKEY_CURRENT_USER>SOFTWARE>Microsoft>Windows>CurrentVersion>Run
3. En el panel derecho, busque y elimine la entrada:
   nah_Shell = "%User Profile%\nah_{4 random characters}.exe"
4. En el panel izquierdo de la ventana Editor del Registro, haga doble clic en el siguiente elemento:
   HKEY_CURRENT_USER>SOFTWARE>Microsoft>Windows>CurrentVersion
5. En el panel derecho, busque y elimine la entrada:
   nah_opt_reserv = "{BLOCKED}13.106"
6. En el panel derecho, busque y elimine la entrada:
   nah_opt_forms = "/system/prinimalka.py/forms"
7. En el panel derecho, busque y elimine la entrada:
   nah_opt_options = "/system/prinimalka.py/options"
8. En el panel derecho, busque y elimine la entrada:
   nah_opt_command = "/system/prinimalka.py/command"
9. En el panel derecho, busque y elimine la entrada:
   nah_opt_file = "/system/prinimalka.py/cookies"
10. En el panel derecho, busque y elimine la entrada:
    nah_opt_ss = "/cgi-bin/trash.py"
11. En el panel derecho, busque y elimine la entrada:
    nah_opt_pstorage = "/cgi-bin/trash.py"
12. En el panel derecho, busque y elimine la entrada:
    nah_opt_certs = "/cgi-bin/trash.py"
13. En el panel derecho, busque y elimine la entrada:
    nah_opt_idproject = "000055"
14. En el panel izquierdo de la ventana Editor del Registro, haga doble clic en el siguiente elemento:
    HKEY_CURRENT_USER>SOFTWARE>Microsoft>Windows>CurrentVersion"
15. En el panel derecho, busque y elimine la entrada:
    nah_opt_pauseopt = "1200"
16. Cierre el Editor del Registro.

Para eliminar el archivo de malware/grayware/spyware:

1. Haga clic con el botón derecho en Inicio y haga clic en Buscar....
2. En el cuadro de entrada Nombre, escriba:
   
   {folder location}\chrome\amba.jar
3. En la lista desplegable Buscar en, seleccione Mi PC y pulse Intro.
4. Una vez haya encontrado el archivo, selecciónelo y, a continuación, pulse MAYÚS+SUPR para eliminarlo definitivamente.