Cómo eliminar un troyano persistente que se ha colado directamente en tu terminal

El malware ha evolucionado notablemente pasando de virus informáticos que buscan exfiltrar la mayor cantidad de datos en el menor tiempo posible hasta otra tipología que se encuentra mucho más cómoda haciendo que la infección sea persistente. Para el usuario medio esto se traduce en que el atacante tiene el control absoluto del dispositivo a nivel de los datos personales que recopila –información de credenciales del navegador, robo de cookies, exfiltración de archivos locales, datos bancarios, etc.–, pero sin que este se dé cuenta de que existe un virus que lo está robando todo sin dejar huella. Es lo que se conoce como persistencia en el ámbito de la ciberseguridad y que, hasta hace algunos años, era una característica propia de los ransomware, más orientados a grandes empresas o a organizaciones públicas con información especialmente sensible.

Pero ahora las herramientas impulsadas por inteligencia artificial ha aumentado el riesgo de que los atacantes las usen para este tipo de objetivos, por lo que la superficie de ataque ha aumentado en la práctica, incluso aunque los datos no sean relevantes, ya que los ataques son automatizados.

Hace varias semanas, un usuario publicó en un grupo especializado en ciberseguridad que había sido víctima de un troyano, uno de los peores ataques, en su ordenador personal. Seguramente, a consecuencia de haber instalado una extensión maliciosa en su navegador o de haber introducido un script en la terminal sin revisar la seguridad o el origen del mismo.

Y, como es lógico, su antivirus –ni del propio de Windows 11 ni otros de terceros, como el de Kaspersky– no había sido capaz de reconocer y eliminar la amenaza. Ni siquiera el reconocimiento sin conexión pudo con este troyano, algo que representa la gran vulnerabilidad de los usuarios antes estas nuevas modalidades que aprenden sobre la marcha a ser silenciosas.

El riesgo de infectarse con un troyano impulsado por inteligencia artificial

En el caso concreto que he podido revisar, la amenaza Trojan:Win32/Commando.A!ml, no es un ataque muy sofisticado, ya que no es un archivo gigante con numerosos scripts, pero hay que entender que sí puede aprender sobre cómo ocultarse en el sistema operativo, en este caso, en Windows 11.

Se ejecuta directamente sobre herramientas propias de Microsoft, como puede ser la PowerShell, por lo que rápidamente aprende a descargar e instalar código malicioso que lanza ventanas de la terminal durante períodos de tiempo muy cortos que pasan desapercibidos para el común de los mortales.

Aquí lo más importante es comprender que cualquier troyano cuenta con una carga útil (payload) que se oculta dentro del sistema operativo, una especie de regla que le dice a este que el antivirus no la borre por defecto, por lo que entrarás en un bucle infinito de análisis que sí lo identificar, pero que no lo elimina, al menos con un antivirus más tradicional.

Yo recomiendo siempre el de Kaspersky, pero en este caso no ha sido capaz de identificarlo; un paso más allá, cuentas con herramientas bastante óptimas como la versión gratuita de prueba de Malwarebytes o HitmanPro que ni siquiera hace falta instalar en tu terminal.

Pero también con el examen sin conexión de Defender, el que llega por defecto en el sistema operativo de Microsoft, ya que sí puede identificar muestras de malware que utilicen servidores –conexión a internet– para ocultarse y volver a reproducirse.

Por eso mismo, lo ideal no es actuar sobre los archivos afectados con algún tipo de antivirus, sino más bien sobre el origen del problema, que es la fuente que se retroalimenta; en este caso con la etiqueta ml, que hace referencia a machine learning (aprendiza automático), por lo que nos encontramos ante una modalidad impulsada por la inteligencia artificial. En la práctica, aprende a esconderse mejor y a recabar información de forma automatizada.

Los 5 pasos para eliminar un troyano persistente

Muchos usuarios creen que el primer paso para eliminar un troyano, el de desconectarse de la red, funciona simplemente activando el modo avión disponible en el ordenador, pero esto generalmente suele provocar que se vuelvan a configurar los adaptadores de red. Y, para un troyano persistente, esto no es suficiente.

Lo ideal en estos casos es desconectar directamente el WiFi y cualquier conexión del ordenador, pero también el router, incluso si lo tienes conectado por cable Ethernet. Es el primero paso obligatorio para que el troyano no siga recabando información y enviándola al servidor del atacante.

El segundo paso reside en ver qué está ocurriendo en los procesos de tu ordenador. Para ello, presiona el atajo Windows + R y escribe taskchd.msc. Aparecerá un menú que ponga Biblioteca del programador de tareas. Dentro de esta, mira nombres genéricos o cadenas aleatorias de letras, lo que indica un procedimiento extraño.

Pincha en las tareas que veas que siguen este tipo de nombres y selecciónalas, elige la opción de Acciones y navega hasta el campo de Detalles. Si aquí ves alguna redirección como powershell.exe, cmd.exe o scripts con comandos como iex, iwr o enlaces web, haz clic derecho sobre la tarea y selecciona la opción de Eliminar.

Reinicia tu ordenador y si ya no ves ese tipo de tareas ahí siguiendo el mismo proceso, ya habrás eliminado el troyano, aunque es mejor que vuelvas a realizar un análisis con tu antivirus.

Pero lo más habitual es que se oculte en algún tipo de carpeta de inicio automático de Windows, por lo que se activará cada vez que enciendas tu ordenador. Vuelve a presionar Windows + R y escribe shell:startup.

Aquí elimina cualquier acceso directo o script que no conozcas, que son los .bat, .vbs o .ps1. Y deshabilita los programas de inicio que no conozcas. Vuelve al atajo Windows + R y escribe %temp% y directamente elimina todo el contenido de la carpeta.

De nuevo, al ser un troyano persistente, lo mejor es que vuelvas a pasar la herramienta sin conexión de Microsoft Defender y que lo complementes con otras como Malwarebytes y HitmanPro para verificar al 100% que no ha quedado ningún tipo de residuo del troyano.

Una vez hayas eliminado el troyano, lo mejor es que cambies todas las contraseñas, tanto del equipo como de las cuentas asociadas a este, ya sean clientes de correo, redes sociales o cualquier otra plataforma en la que tengas la sesión iniciada. Lo que yo recomiendo siempre es restablecer el equipo de fábrica para usuarios no avanzados, así te curarás en salud. Pero si no quieres, al menos elimina historial, sesiones y cuentas, que eso evitará que vuelva a suceder la infección.