El “Virus de la Policía”, infectando con ingeniería social

El motivo de escribir sobre este troyano de tipo ransomware es que no paran de aparecer nuevas mutaciones y  que es uno de los que últimamente más infecciones está causando a pesar de ser un malware no demasiado complicado, aunque sí muy efectivo. Y que se basa en la ingeniería social y que elude los antivirus con mucha eficacia.
Y aprovecho para contaros un caso que me sucedió hace poco. Una conocida  me llamaba, al móvil, muy agobiada y me contaba el motivo: su ordenador portátil estaba secuestrado (bloqueado) desde el viernes por la noche y que su hija no paraba de llorar mientras le juraba que ella no había entrado a “esas páginas”. Y que cuando leyó los mensajes que le aparecían en la pantalla del portátil ese mismo viernes llamo a una abogada que conocía. Y que después de leerle unas denuncias que aparecían en la pantalla del portátil, su amiga, la abogada le había dicho fuera a la policía porque esos artículos eran ciertos y estaban en el código penal. Por lo que el sábado por la mañana se plantó en la comisaria con el portátil infectado. Y el mismo policía de la puerta, que ya sabía de que iba, le dijo que eso era un virus muy peligroso que había aparecido y que ellos no podían hacer nada pero que tenía que formatear el portátil y perder todos los ficheros y que posiblemente ya no podría volver a utilizarlo. Pero como ella quería recuperar todas las fotos y los trabajos que tenía su hija en el portátil después de probar de todo durante el domingo y no conseguir recuperarlo espero al lunes para llamarme.  Por lo que después de oírla e intentar calmarla le dije que se tranquilizará, que no se preocupara y que me trajese el portátil porque ni iba a perder los documentos que tenía, ni mucho menos el portátil.
El “Virus de la Policía” también conocido como el “Virus Ukash” (por ser una de las formas de pago empleadas para desbloquearlo). Se trata de un  troyano de tipo Ransomware (“Secuestrador”)  uno de los que más ordenadores ha infectado y al parecer “más rentable” para sus creadores que han ido evolucionado con decenas de versiones diferentes, con el objetivo de burlar a los antivirus y a las nuevas herramientas que aparecen para anularlo.
Desde la primera versión en el mes de Marzo del 2011 hasta la fecha de hoy cada versión evoluciona para complicar más su eliminación como desactivar el Modo Seguro (F8), encriptar los ficheros y también mejora su aspecto pasando de una traducción tosca a una traducción muy cuidada basada en  artículos reales del código penal.
Bloquea (secuestra) el ordenador tras la infección nada más iniciarlo y nos intenta engañar con un mensaje que dice proceder del Cuerpo Nacional de Policía y del Ministerio de Interior indicando que se ha detectado accesos a web que contienen pornografía infantil, zoofilia, imágenes de violencia, descargas ilícitas, SPAM de índole terrorista,… y solicita un pago a los asustados usuarios (que varía de los 50€ a los 150€,  aunque depende del país y la moneda) para desbloquearlo. Nos dice que disponemos de un plazo de 72 horas para pagar la “multa”. Y en caso de impago amenaza con que se borrarán todos los datos (para impedir que sigamos “delinquiendo”) y con una serie de artículos del código penal nos intentan intimidar argumentando que conocen nuestra dirección IP y diciéndonos que nos pueden castigar con multas de miles de euros y con penas de hasta 3 o 5 años de cárcel.
Cuando nos infecta modifica entradas del registro y  crea un bucle infinito cada 100 milisegundos que elimina el Administrador de Tareas (taskmgr.exe), el  Explorador de Windows (explorer.exe), msconfig, regedit,…  tomando antes el control del Shell de Windows y en las últimas versiones encriptando los ficheros y produciendo el bloqueo del ordenador.
Hay herramientas como WinLockLess, Polifix.exe, Diskpart.exe, etc. que nos ayudan a eliminarlo e incluso inmunizarnos al menos hasta la última versión conocida; con las nuevas ya veremos. Aunque tenemos que tener cuidado con estas herramientas porque si no son bien utilizados pueden producir más daños que beneficios. También es importante que tengamos actualizado nuestros ordenadores con las actualizaciones correspondientes ya que se basa en un fallo de seguridad de Java.
Y aunque parezca mentira según las estadísticas se paga “la multa” aprovechando el desconocimiento y el miedo de la gente. Los cibercriminales sin moverse de su casa obtienen pingües beneficios. Y sucede tanto a particulares, como empresas y últimamente menores que no quieren que sus padres se enteren de que están entrando a “esas páginas”. Aunque este troyano utiliza varios medios para su propagación e infectar nuestros ordenadores.
Bueno siguiendo con la historia, después de estos apuntes sobre “el virus de la policía”, me trajo el portátil infectado. Y en aproximadamente una hora pudo volver a utilizar su portátil sin problemas y sin pérdida de ninguna foto ni documento. Y sin el esparadrapo que tapaba la cámara de vídeo porque pensaba que le estaban vigilando (la cámara se enciende y simula que está grabando aunque ni graba ni envía imágenes al menos en las versiones actuales).
Y la moraleja seria que si tienes algún problema con tu ordenador tienes que acudir a un profesional de la informática; los abogados y la policía están para otras cosas.

EDICIÓN 18 febrero 2013:
Los creadores del virus de la policía han sido detenidos en la operación RANSOM, por la policía en colaboración con otros cuerpos de policía europeos.

Juan Antonio Esquer

Juan Antonio es ingeniero de sistemas TI con certificación profesional MCP de Microsoft

www.clavei.es