Sobre Winse32.exe (RECYCLER, autorun.inf) y como eliminarle.

Por que se me ha dado la gana de esto?.

En los dias que me siento en un PC, mayormente estudio programacion, veo el Youtube, y oigo algo de musica en mi MediaMonkey, Suponiendo que todo esta bien y no hay nada que me lo impida.

Pero sucedio que los otros dias lei en una revista un tip de como ponerle iconos a los dispositivos de almacenamiento (Disco Duros, Memorias USB, CD´s en blanco etc..), dado que en mi hogar se manejan muchos medios y siempre( o muy frecuente) se me olvida la letra que indentifica la unidad o simplemente me marea ver tantas cosas conectadas, en fin para que eso no pasara, lo aplique sobre mi memoria USB (Kingston de 4GB) y una tarjeta SD de 1 GB. El punto fue que a la hora de crear un archivo necesario (autorun.inf) no podia escribir sobre ninguno de los medios dichos, en un principio crei, que era algo de problemas con su sistema de archivos o me la habian puesto de solo lectura, pero no vi la existencia de un canalla (indeseable, antipatico y de poca confianza) AUTORUN.INF de algunos 235 bytes oculto en la misma.

SI, esto no me dejo ni poner el icono adentro de esta, ni el archivo .inf.

Y SI has sufrido por esto, de seguro que alguna variante de WINSE32 tienes!, dado que hay digamos informacion muy diversa sobre como borrarlo, esta me" funciono" sin problemas.

NOTAS:

"Esta es la manera que me ha resultado en diversas ocasiones, no es mi culpa algun fallo en sus sistemas o el que muchos no puedan hacer las cosas correctamente u otros factores, esta es solo una manera de contribuir con una breve solucion que ha sido probada"

1- Winse32.exe solo afecta a familias Windows, olvidense los de Linux, BSD, y otros sistemas.

2- Winse32.exe se encuentra siempre activo en memoria, es decir no esta visible ante nuestros ojos de espacio de usuario, en otras palabras esta bien escondido.

3- Cada vez que se conecte un medio de almacenamiento que permita escritura, Winse32 se ha programado, para que se recree a base de una copia ya existente, en la unidad conectada (s), por esto su gran propagacion.... NO INSERTE SU MEMORIA!.

4- Aparte de contaminar a otros, ralentiza las memorias USB, en acceso y escritura, y por si fuera poco no podra formatear con la utilidad de formateo de Windows.

5- Parecido al punto 1, sus archivos no son visibles, aun cambiando la vista a ver los archivos ocultos.

6- Si esta conectado en red a otras PCs con recursos compartidos, desconectese antes de hacer la limpieza.

I- ELIMINACION:

Si bien existen algunas herramientas que lo acaban casi automatico, cabe mencionar las de SATINFO, este paso puede servir, pero siempre acostumbro a hacerlo yo mismo, no se ustedes amigos del web,pero asi no dependo de algo y mientras se haga con cuidado estamos dominando nuestras PC´s.

Pasos:

1- Inicie Windows en modo a prueba de falllos,
(reinicie la PC, y presione la tecla F8 seguidamente)

2- Cuando este en Windows, baje HijackThis
(http://majorgeeks.com/download3155.html).

"SI ESTE PASO NO FUNCIONA, PASE AL 3".

- Haga un escaneo, presione
Do a system scan only.

Si aparece lo siguiente:

Tachelo y presione
Fix Checked.

3- Baje 7zip (http://www.7-zip.org/download.html)

Instalelo y luego de eso seleccione los medios contaminados dentro de la tabla, ejemplo:

Nota: A plena vista se puede ver que la unidad C: esta contaminada, dada la ausencia de icono, cosa que suele suceder cuando Winse32 esta funcionando.

- Al seleccionar la unidad contaminada (Seleccione siempre el disco principal, el que tiene a Windows) veremos todos los archivos de la misma y los que estan ocultos a ojos del usuario, como ntldr, boot.ini y otros, en este caso entre a la carpeta RECYCLER.










Nota: RECYCLER no es una carpeta del virus, es un espacio temporal donde van algunos de los archivos borrados por la papelera de reciclaje, dicho espacio no se ve a ojos de usuario.

- Cuando se encuentre dentro de la misma, quizas aparezcan varias carpetas con las siguientes cadenas de palabras S-xx-xx-xxx (donde las x son numeros) ejemplo: S-1-5-21-842925246-2049760794-682003330-500.

- Busque en cada una hasta hallar lo siguiente:






Nota: NO de un click a Winse32.exe, estamos en lo mismo, borrelo y ya, el autorun que ve, es simplemente paramentros que indican a Winse32 que autoarranque al montarse un medio de almacenamiento y tambien al sistema otros relativos al medio de almacenamiento infectado.

4- Luego de esto borre los dos archivos mencionados, y haga una limpieza de registro y cookies con Ccleaner (http://www.ccleaner.com/download), ya oficialmente ha borrado a Winse32 ( si es que ha hecho todo bien y sin modificaciones) al menos del medio afectado, proceda con estos paso en todos los medios (USB´s, Discos Duros) para que ninguno permita el inicio de la cadena de nuevo.

Nota: Deshabilite el autoarranque de cualquier medio de almacenamiento, y un truco: ponga un ejecutable cualquiera en donde estaba Winse32.exe, ya que en caso de entrar de nuevo, este no podra ser reemplazado.

NOTA FINAL:

Existe otra manera, muy muy efizcaz, pero por motivos de espacio (Vaya que si!), no pondre hasta en otra ocasion, y es usar un Live-CD de Linux (o algun sistema basado en el) con soporte NTFS como Ubuntu, Slax, mediante el cual se borran los archivos directamente desde el explorador, solamente cambiando permisos de escritura/lectura a los archivos del virus.