Cómo curar un ordenador del virus de ransomware: guía paso a paso

Si necesitas curar tu ordenador del virus de ransomware, lo principal es no entrar en pánico ni tomar acciones drásticas. El ransomware bloquea el acceso a los archivos y exige un rescate para su desencriptación. En este artículo se detallan las primeras acciones después de la infección, la eliminación segura del malware, la verificación de opciones de recuperación de datos, la prevención de ataques repetidos y respuestas a preguntas frecuentes.

Un punto importante: el tratamiento del ordenador y la recuperación de archivos son tareas diferentes. Un antivirus puede eliminar el código malicioso activo, pero no siempre desencripta documentos, fotos, bases de datos o archivos ya dañados. Por lo tanto, el orden de las acciones es crucial.

Qué es el virus de ransomware

El virus de ransomware es un malware que encuentra archivos del usuario y los encripta. Después de esto, aparece un mensaje en la pantalla o en las carpetas exigiendo un rescate. Normalmente, incluye la cantidad, la dirección de la billetera de criptomonedas, el plazo de pago y amenazas de eliminar la clave de desencriptación.

Los archivos más comúnmente encriptados son:

• documentos de Microsoft Office y PDF;
• fotos y videos;
• archivos ZIP, RAR, 7z;
• bases de datos y archivos contables;
• proyectos, planos, código fuente;
• archivos en unidades de red conectadas y discos externos.

El ransomware puede entrar en el ordenador a través de un archivo adjunto en un correo electrónico, un enlace malicioso, un programa pirata, una vulnerabilidad en el acceso remoto, una memoria USB infectada o una cuenta hackeada. En una red corporativa, a veces, una máquina infectada se convierte en el punto de entrada para atacar servidores y carpetas compartidas.

Cómo entender que el ordenador está infectado con ransomware

Los signos de infección suelen ser evidentes de inmediato, pero a veces el ataque se desarrolla gradualmente. Cuanto antes reconozcas el problema, mayor será la posibilidad de limitar el daño.

Síntomas principales

• Los archivos dejaron de abrirse, aunque antes funcionaban.
• Los documentos tienen extensiones extrañas, como .locked, .crypt, .encrypted o una secuencia aleatoria de caracteres.
• Aparecen archivos en las carpetas con nombres como readme.txt, how_to_decrypt.html, restore_files.txt.
• El fondo de escritorio cambió, aparece un mensaje de rescate.
• El ordenador se ralentizó repentinamente, el disco funciona activamente, pero no has iniciado nada.
• El antivirus informa sobre ransomware, troyanos, droppers o procesos sospechosos.
• Las copias sombra de Windows o los puntos de restauración no están disponibles.

Qué no hacer

Las acciones erróneas pueden empeorar la situación. Por lo tanto, no te apresures a reinstalar Windows ni elimines todo sin más.

No se recomienda:

• pagar el rescate sin consultar con un especialista;
• eliminar la nota de los secuestradores si contiene un identificador de infección;
• formatear el disco antes de crear una copia de los datos encriptados;
• conectar discos de respaldo a un ordenador infectado;
• ejecutar “desencriptadores” dudosos de foros;
• continuar trabajando en la red si el ordenador está conectado a carpetas compartidas.

El pago no garantiza la recuperación. Además, los delincuentes pueden enviar una clave que no funcione, exigir un pago adicional o volver a atacar la misma infraestructura.

Primeras acciones al ser infectado

A continuación, un orden básico que se aplica tanto a un PC doméstico como a una estación de trabajo en la oficina. Si se infecta un servidor, una red de dominio o una base de datos importante, es mejor atraer inmediatamente a un especialista en seguridad de la información.

Plan paso a paso

1. Desconéctate a Internet y a la red local. Desenchufa el cable de red, apaga el Wi-Fi y Bluetooth. Esto ayudará a detener la conexión con el servidor de comando y disminuir el riesgo de infección en las carpetas de red.
2. No apagues el ordenador abruptamente si aún está en proceso de encriptación. Primero desconecta la red. Luego verifica si hay una carga activa en el disco. En casos dudosos, es mejor tomar una foto de la pantalla y consultar a un especialista.
3. Desconecta los dispositivos externos. Si hay memorias USB, discos duros o almacenamiento en red conectados, desconéctalos. Pero no los conectes a otros ordenadores hasta que sean verificados.
4. Toma una foto del mensaje de rescate. Registra las direcciones, extensiones de archivos, ID de la víctima y nombres de archivos de instrucciones.
5. Haz una copia de los archivos encriptados. Copia datos importantes a un medio limpio o a una imagen del disco. Esto es necesario para una posible desencriptación, si aparece un desencriptador que funcione.
6. Verifica si la encriptación continúa. Abre el administrador de tareas y revisa procesos sospechosos con alta carga en disco o CPU. No los elimines al azar si no estás seguro.
7. Ejecuta un análisis con un software antivirus confiable. Es mejor utilizar un disco antivirus de arranque o un escáner de un fabricante conocido.
8. Después de eliminar la amenaza, procede a la recuperación de datos. Utiliza copias de seguridad, copias sombra de Windows o desencriptadores oficiales, si existen para tu tipo de ransomware.

Este orden reduce el riesgo de perder archivos adicionales y ayuda a conservar pruebas de la infección.

Cómo eliminar de forma segura el virus de ransomware

La eliminación de ransomware debe realizarse con cuidado. El objetivo es detener el malware, eliminar la autoincarga, verificar el sistema y asegurarse de que la amenaza no regrese después de reiniciar.

Preparativos para el tratamiento

Antes de tratar, realiza tres acciones:

• guarda una copia de la nota de los secuestradores;
• copia varios archivos encriptados para análisis;
• crea una copia de seguridad de todo el disco si los datos son importantes.

Incluso si los archivos no se abren ahora, no se pueden considerar inútiles. Para algunas familias de ransomware, más adelante aparecen desencriptadores gratuitos. Sin los archivos encriptados originales, la recuperación será imposible.

Verificación en modo seguro

En Windows, se puede iniciar en modo seguro con o sin soporte de red. Si existe el riesgo de que el ransomware continúe comunicándose con el servidor, es mejor elegir el modo sin red primero.

Orden general:

1. Abre las opciones de recuperación de Windows.
2. Dirígete a la sección de opciones adicionales de arranque.
3. Selecciona el modo seguro.
4. Ejecuta un análisis antivirus.
5. Elimina las amenazas encontradas o ponlas en cuarentena.
6. Reinicia el ordenador y realiza un nuevo escaneo.

Sin embargo, el modo seguro no siempre ayuda. Algunos ransomware modernos utilizan servicios, el programador de tareas, controladores o credenciales de administrador. Por eso, a menudo la eliminación manual no es suficiente.

Uso de antivirus de arranque

El medio antivirus de arranque es una de las opciones más seguras. Se ejecuta antes de Windows y verifica el disco sin el funcionamiento activo del sistema infectado.

Las ventajas de este enfoque son:

• los procesos maliciosos no tienen tiempo para iniciarse;
• es más fácil eliminar archivos bloqueados;
• menor riesgo de que el ransomware impida la verificación;
• se puede verificar el sistema con bases de datos actualizadas.

Utiliza soluciones de proveedores de protección conocidos. Descárgalas solo de sitios web oficiales. Crea un USB de arranque en un ordenador limpio.

Verificación manual de la autoincarga

Después de la limpieza automática, es útil revisar los lugares desde donde el malware podría reiniciarse:

• carpetas de autoincarga del usuario y del sistema;
• programador de tareas de Windows;
• secciones del registro Run y RunOnce;
• carpetas temporales %Temp% y %AppData%;
• programas instalados recientemente;
• servicios sospechosos;
• reglas del firewall;
• extensiones del navegador.

La eliminación manual requiere experiencia. Si no estás seguro, es mejor no modificar el registro y los servicios del sistema. Un error puede llevar a un funcionamiento inestable de Windows.

Cuándo es mejor reinstalar el sistema

A veces, tratar un ordenador infectado con ransomware no proporciona suficiente certeza. La reinstalación de Windows es justificada si:

• la infección ocurrió con derechos de administrador;
• el antivirus vuelve a encontrar amenazas;
• se deshabilitaron servicios de seguridad;
• no se sabe qué otros malwares han ingresado al sistema;
• el ordenador se utilizó para operaciones bancarias, contabilidad o administración de servidores;
• el atacante obtuvo acceso remoto.

Antes de reinstalar, guarda los archivos encriptados, las notas de rescate y los registros importantes. Luego limpia el disco, reinstala el sistema, actualiza Windows, instala un antivirus y solo después de eso conecta las copias de seguridad.

Cómo recuperar archivos después de ransomware

Después de eliminar la amenaza activa, se puede proceder a la recuperación. Aquí es importante no prometer lo imposible: no existe un método universal para desencriptar todos los ransomware. Pero hay varias opciones legítimas y seguras.

Comparación de métodos de recuperación

Método	Cuándo es adecuado	Riesgos y limitaciones
Copia de seguridad	Hay una copia limpia antes de la infección	Necesitas asegurarte de que la copia no esté infectada ni encriptada
Copias sombra de Windows	Se activó la protección del sistema, las copias no se eliminaron	Muchos ransomware eliminan copias sombra
Desencriptador oficial	La familia de ransomware ya ha sido estudiada	No hay desencriptador para todas las variantes
Recuperación de archivos eliminados	El ransomware creó copias y eliminó los originales	El resultado depende del estado del disco y del tiempo transcurrido desde el ataque
Consultar a especialistas	Los datos son críticamente importantes	Tiene un costo, pero reduce el riesgo de errores

Recuperación a partir de copia de seguridad

El camino más confiable es recuperar datos de una copia de seguridad creada antes de la infección. Pero no conectes la copia a un ordenador infectado hasta que esté completamente limpio. De lo contrario, el ransomware también podría encriptar las copias.

Orden correcto:

1. Limpia o reinstala el sistema.
2. Instala actualizaciones y software de protección.
3. Verifica el medio de respaldo con un antivirus.
4. Asegúrate de que la fecha de la copia sea anterior a la infección.
5. Restaura los datos en una carpeta separada.
6. Verifica selectivamente varios documentos.
7. Solo después de esto, devuelve los archivos a los directorios de trabajo.

Para empresas, es preferible restaurar datos primero en un ambiente aislado. Esto permitirá verificar la integridad de bases de datos, derechos de acceso y registros.

Verificación de copias sombra de Windows

Windows puede crear copias sombra de archivos y puntos de recuperación. Si el ransomware no las eliminó, se pueden devolver versiones anteriores.

Prueba así:

1. Haz clic derecho en la carpeta con los archivos dañados.
2. Selecciona