Como eliminar el malware "tune up utilities" y no morir en el intento.

Pues, como buen amante de las utilerías gratuitas, me di este fin de semana la tarea de buscar un reproductor de mp3 para la computadora. No me gustó ninguno de los alternativos a WinAmp, por lo que decidí entonces instalar una versión de 2009 que tenía almacenada.

Al concluir de instalar el WinAmp, de la nada sale un mensaje con unos simpáticos cubitos amarillos anunciándome con todo gozo, que tenía instalado el programa Tune Up Utilities 2014 y que debía visitar la página web para completar la instalación. Vaya, eso fue desconcertante. ¿Cómo pudo instalarse un open candy en un programa de hace años,  con una utilería ratera de 2014? Esto ocurrió en un entorno de Windows 7.

Lo primero es decirle no a todas las opciones que aparezcan, y desde pánel de control, agregar o quitar programas, localizar esa cochinada y elimiminarla. Confirmar únicamente la desinstalación.

Luego, la cosa es localizar esa porquería y ponerle remedio al asunto. Usando el malwarebytes, la ruta de ubicación de esa cochinada estaba en

C:\Users\nombreusuario\AppData\Roaming

¿Cómo llegar ahí? El procedimiento es el siguiente:

1.- Explorador de archivos;

2.- Herramientas - opciones de carpeta

3.- Ficha "ver"

4.- Archivos y carpetas ocultos, marcar "mostrar archivos, carpetas y unidades ocultos";

5.- Desmarcar "ocultar archivos protegidos del sistema operativo";

6.- Advertencia dar en "si";

7.- Clic en aplicar.

Ya con eso, buscamos entonces en la ruta

C:\Users\nombreusuario\AppData\Roaming

Y hallaremos las carpetas "tune up utilities", y una de open candy. Las marcamos y las borramos.

¡Espera! Aún no acabamos con ese caso. Cierra el explorador de archivos, clic en inicio, ejecutar y pones %temp%. Aquí te vas a dar cuenta de que existen dos archivos: uno que es propiamente el instalador de la cochinada, y otro que es el registro (archivo .log)

El archivo de registro es algo parecido a esto:

TUInstallLogBP_2014-05-12_15-04-25.log

Lo abres con el bloc de notas. Entre toda la serie de números y letras, hay que localizar estros datos:

Calling process: C:\Users\nombreusuario\AppData\Roaming\OpenCandy\serie de números y letras\TuneUpUtilities2014_es-MX.exe

y

Original package ==> C:\ProgramData\{serie de números y letras}\\{serie de números y letras}.msi

El que nos importa ahora es el dato de Original package (el open candy ya lo eliminamos). Desde el explorador de archivos, se busca la ruta que indica el dato Original package. Lo hallamos y lo eliminamos. Luego, buscamos en la carpeta de archivos de programa, si hay una que se refiera a ese tune up. La eliminamos.

En seguida, ponemos las opciones del explorador de archivos en su modo normal, marcando las casillas de ocultar archivos ocultos, y ocultar archivos del sistema.

Ahora, marcamos todos los archivos mostrados en %temp% y los eliminamos. Habrá algunos que no se dejan borrar, omítelos.

Pasamos CCleaner en modo limpieza de registro las veces que se requieran hasta que no detecte errores.

¿Por qué todo este procedimiento? Pues porque el malwarebytes solamente anula el efecto de instalación del malware, pero permanece en el equipo el origen o la fuente del daño. Por eso desde raíz se debe quitar.

Antes los distribuidores de programitas éticamente daban la opción de aceptar o no aceptar los bonus u otros regalos. Ahora los disfrazan para que el usuario instale involuntariamente cochinadas que ni son útiles y ni son necesarias (y peor que algunas son de pago). Me parece que los desarrolladores de antivirus y de antimalware deberían buscar alguna estrategia para reventar esas instalaciones no autorizadas expresamente por el usuario.