Secretos de la trastienda de los expertos en soporte técnico de seguridad revelados

La honestidad es la mejor política, dicen. Ciertamente, aprecié la honestidad mostrada durante mi reciente revisión de Emsisoft Anti-Malware 7.0. Cuando el escáner antivirus no pudo eliminar completamente el malware que encontró, admitió sinceramente ese hecho y me aconsejó que obtuviera ayuda de soporte técnico para finalizar el proceso de limpieza. Poco sabía que al hacerlo me embarcaría en una caminata de una semana, experimentando de primera mano cuán lejos llegaría un experto en limpieza de malware.

Para mi prueba de eliminación de malware, instalo un producto antivirus en una docena de máquinas virtuales infestadas de malware (siempre la misma instantánea de máquina virtual) y lo desafío a que limpie el desorden. El antivirus de Emsisoft reportó una incapacidad para limpiar completamente diez de estos doce sistemas. En algunos casos, un virus había infectado archivos esenciales de Windows, y en un caso el archivo infectado pertenecía a Emsisoft. También informó que eliminar cualquier rootkit requeriría la ayuda del soporte técnico.

Por los números

Cuando comencé este proyecto, no tenía idea de que me llevaría más de 30 horas, implicaría más de cien mensajes de correo electrónico y requeriría el intercambio de más de 150 registros y scripts de diagnóstico. Cuando todo terminó, revisé las conversaciones por correo electrónico para analizar qué sucedió.

Durante el transcurso de la semana, siguiendo las instrucciones de mi contacto de soporte técnico, utilicé quince herramientas de diagnóstico y limpieza diferentes, solo una de las cuales era un producto Emsisoft. Envié 120 registros de diagnóstico y ejecuté más de 30 scripts de limpieza. En un par de casos tuve que descargar la actualización de Windows XP SP3, para recuperar archivos corruptos del sistema.

Terminé ejecutando 11 de las 15 herramientas en los dos sistemas con los problemas más persistentes. En el curso de conseguir la peor limpieza, presenté 30 registros de diagnóstico y ejecuté 10 scripts de limpieza. Logré mantenerme al día con mi correo electrónico y avanzar algunos otros proyectos durante los raros momentos en que todos los sistemas de pruebas activos estaban ocupados ejecutando algún tipo de escaneo, pero la mayor parte de mi tiempo lo pasé descargando herramientas e intercambiando archivos con soporte técnico.

Herramientas que usan los expertos

Entonces, ¿qué herramientas utiliza un experto en limpieza de malware? Estoy seguro de que cada experto tiene favoritos particulares, pero puedo informar sobre lo que observé. Aquí están, en orden descendente de la cantidad de veces que se necesitaron.

OldTimer's List-It, u OTL, fue de lejos la herramienta de seguridad más utilizada. Envié más de 50 registros OTL a mi experto en tecnología y ejecuté más de 25 scripts de limpieza que me proporcionó después de analizar los registros. En un sistema de prueba tuve que ejecutar OTL una docena de veces, mientras usaba otras herramientas.

La extremadamente poderosa herramienta ComboFix también recibió entrenamiento. ComboFix no es para los débiles de corazón. No puede usar la computadora mientras se está ejecutando, y se suministra "tal cual" para uso exclusivo de expertos. La creación de un script de reparación basado en los archivos de registro de la utilidad requiere capacitación y experiencia. Proporcioné 28 registros de ComboFix durante mi agotadora semana y ejecuté scripts de reparación seis veces.

Como mencioné, Emsisoft Anti-Malware informó que no podía eliminar automáticamente los programas maliciosos que usan la tecnología rootkit para ocultar sus actividades. El TDSSKiller de Kaspersky existe con el único propósito de eliminar ciertos rootkits, y el soporte técnico me hizo usarlo nueve veces. También llamaron a Panda Anti-Rootkit tres veces.

Emsisoft tiene su propia herramienta de limpieza de malware dirigida, Emsisoft Emergency Kit. El soporte técnico me hizo ejecutar esta herramienta cinco veces, cerca del comienzo de la semana, pero aparentemente decidió que no estaba haciendo el trabajo. Nunca me pidieron que lo volviera a ejecutar después del primer día de trabajo en el problema.

McAfee actualiza constantemente la utilidad Stinger para abordar infestaciones específicas que son difíciles de eliminar. El Stinger de McAfee tuvo la oportunidad de arreglar cuatro de los sistemas de prueba, y una herramienta menos conocida llamada Avenger tuvo un golpe a las tres.

En cuanto a las herramientas restantes, me dieron instrucciones de usarlas solo una o dos veces. Estos incluyen: aswMBR de Avast!, El kit de herramientas antivirus AVZ de Kaspersky, el escáner de servicio Farbar, la reparación de Windows de Tweaking.com, AdwCleaner de xPlode, la herramienta de eliminación de basura y RunScanner. También proporcioné registros de la herramienta incorporada SIGVERIF de Windows en un par de ocasiones.

Tratar con cuidado

Entonces, si encuentra malware que su antivirus no puede eliminar, ¿debería comenzar a descargar esta colección de herramientas? Probablemente no, como resulta. Casi todos están destinados a ser utilizados por expertos, y algunos requieren activamente la intervención de un técnico capacitado que pueda analizar los registros y escribir manualmente scripts de limpieza.

Usando estas herramientas sin la comprensión adecuada, puede hacer más daño que bien. Incluso siguiendo estrictamente las instrucciones de un experto en seguridad, logré "matar" dos sistemas, haciéndolos no arrancables. Mis sistemas de prueba tienen la recuperación del sistema desactivada, para ahorrar espacio, y no tengo un disco de Windows XP SP3. La única forma de rescatar a esos dos habría sido crear una herramienta arcana llamada disco de rescate BartPE. No creo que el usuario promedio pueda manejar eso, así que me di por vencido, con cierto alivio.

Entonces, ¿qué puede hacer si su antivirus no puede limpiar completamente una infestación de malware? Su apuesta más segura sería ejecutar Malwarebytes, nuestra Elección de los editores para un antivirus gratuito, solo de limpieza. En nuestras propias pruebas, Malwarebytes superó a todos los demás productos, tanto gratuitos como de pago. Para protección de tirantes y cinturón, ejecute Comodo Cleaning Essentials también.

Una cuestión de confianza

En una revisión reciente de Kaspersky PURE 3.0 Total Security, tuve dificultades para instalar y ejecutar el producto en mis sistemas infestados. El soporte técnico presentó una variedad de herramientas para resolver el problema: Kaspersky Rescue Disk, Kaspersky TDSSKiller, Kaspersky NetTest, Kaspersky Anti-Viral Toolkit, Kaspersky ReportMaker, etc. Eso se sintió bien; Herramientas de Kaspersky para resolver un problema de Kaspersky.

Estoy inmensamente impresionado por la perseverancia y dedicación del agente de soporte de Emsisoft que trabajó a través del arduo proceso de limpieza de los diez sistemas que no fueron manejados automáticamente por el antivirus Emsisoft. Sin embargo, el hecho de que casi todas las herramientas utilizadas provienen de otros proveedores no me llena de confianza, ni el hecho de que muchos de ellos tuvieron que aplicarse una y otra vez.

Un programa antivirus debe identificar todo el malware que está presente, desinfectar archivos válidos que hayan sido dañados por un virus y poner en cuarentena todo el malware que no sea un virus. Si se necesita la ayuda del soporte técnico, una respuesta definitiva utilizando las propias herramientas del proveedor y sin requerir demasiada participación del usuario seguramente inspirará el más alto grado de confianza.