{"id":116967,"date":"2015-04-01T18:36:11","date_gmt":"2015-04-01T16:36:11","guid":{"rendered":"http:\/\/onsoftware.softonic.com\/?p=116967"},"modified":"2025-06-13T02:12:38","modified_gmt":"2025-06-13T00:12:38","slug":"cryptolocker-cryptowall-cryptofortress-eliminar-desencriptar","status":"publish","type":"post","link":"https:\/\/cms-articles.softonic.io\/es\/cryptolocker-cryptowall-cryptofortress-eliminar-desencriptar\/","title":{"rendered":"CryptoLocker y CryptoWall, el malware que secuestra archivos"},"content":{"rendered":"

CryptoLocker, CryptoWall, CryptoFortress: nombres similares pero su modus operandi es el mismo: secuestran tus archivos a cambio de dinero. Te ense\u00f1amos a reconocerlos y te contamos c\u00f3mo acabar con ellos.<\/p>\n

Si los virus fueran clanes criminales, el m\u00e1s poderoso del momento ser\u00eda el clan del Crypto-malware<\/a>. Son virus que se hacen pasar por aplicaciones leg\u00edtimas y que se ejecutan aprovechando descuidos del usuario. Los antivirus los detectan demasiado tarde, y salen nuevas variantes continuamente. Es una batalla dif\u00edcil<\/strong>.<\/p>\n

\"\"<\/p>\n

Este es el aspecto de una de las primeras versiones de CryptoLocker<\/em><\/p>\n

Los virus de tipo “Crypto” son secuestradores <\/strong>(ransomware<\/a><\/em>) que bloquean archivos valiosos para chantajear al usuario. A diferencia del virus de la polic\u00eda<\/a>, que amenaza con denunciar las autoridades, los criptovirus no se hacen pasar por nadie, sino que toman documentos del disco duro, los bloquean y piden un rescate cuantioso.<\/p>\n

\u00bfQu\u00e9 hacen CryptoLocker y CryptoWall?<\/h3>\n

La mayor\u00eda de criptovirus act\u00faa en cinco fases<\/strong>. La primera es la instalaci\u00f3n<\/strong>, que es silenciosa y sucede cuando el incauto usuario abre un adjunto misterioso o abre un archivo descargado de una web de mala reputaci\u00f3n. Al instalarse, el virus configura unas claves en el Registro de Windows para iniciarse en cada arranque del PC.<\/p>\n

\"\"<\/p>\n

Una v\u00eda de infecci\u00f3n com\u00fan son los adjuntos de correo misteriosos<\/a>: \u00a1no los abras! (fuente<\/a>)<\/em><\/p>\n

Una vez que CryptoLocker o CryptoWall se ha instalado, contacta con el cuartel general de los criminales a trav\u00e9s de Internet. El virus prueba miles de direcciones cada d\u00eda en busca de una que responda. Cuando logra establecer comunicaci\u00f3n, se lleva a cabo un intercambio de claves de cifrado<\/a>, usadas para “secuestrar” los archivos.<\/p>\n

Empieza el secuestro de los archivos<\/h3>\n

Lo que ocurre a continuaci\u00f3n es dram\u00e1tico: el virus elige archivos al azar del disco duro y los cifra<\/a> usando una clave imposible de romper<\/strong>. En la pr\u00e1ctica, los datos se vuelven inaccesibles (no se pueden abrir), porque el virus borra el original. La \u00fanica manera de recuperar los datos es con la clave original, pero solo la tienen los criminales.<\/p>\n

\"\"<\/p>\n

El virus ha entrado en la carpeta de Im\u00e1genes: est\u00e1n cifradas, ya no se pueden abrir<\/em><\/p>\n

\u00bfQu\u00e9 archivos secuestra el virus?<\/strong> Depende. CryptoLocker y CryptoWall eligen documentos de todo tipo, como los de Office o AutoCAD, mientras que otras variantes atacan tipos espec\u00edficos; por ejemplo, el virus TeslaCrypt<\/a> secuestra partidas guardadas y otros archivos esenciales de los juegos instalados en el PC.<\/p>\n

Con la herramienta OmniCryptoFinder<\/a> es posible encontrar todos los archivos secuestrados <\/strong>por el virus en cualquier carpeta, sea cual sea la variante que ha infectado el PC. Solo hay que elegir el punto de partida y OmniCryptoFinder escanear\u00e1 todas las subcarpetas. Tambi\u00e9n puedes usar ListCrilock<\/a>.<\/p>\n

\"\"<\/p>\n

Con OmniCryptoFinder<\/a> puedes saber qu\u00e9 archivos han sido secuestrados por el criptovirus<\/em><\/p>\n

La petici\u00f3n de rescate y el miedo<\/h3>\n

Finalmente, tras secuestrar varias docenas de archivos, el virus se muestra<\/strong> y pone en pr\u00e1ctica su chantaje. En la m\u00e1quina de pruebas que usamos, CryptoWall tard\u00f3 menos de cinco minutos en aparecer. Lo hizo a trav\u00e9s de una imagen y una p\u00e1gina web con instrucciones muy claras y en espa\u00f1ol.<\/p>\n

\"\"<\/p>\n

El aviso de CryptoWall 3.0, que usa claves de cifrado RSA-2048, con enlaces para pagar<\/em><\/p>\n

Las distintas variantes de CryptoLocker y CryptoWall piden sumas que pueden llegar a los 500 d\u00f3lares, con un l\u00edmite de tiempo de dos o tres d\u00edas. Pasado ese plazo, el precio sube o bien la opci\u00f3n de pagar desaparece. A menudo el pago se debe efectuar a trav\u00e9s de Bitcoin<\/a>, una moneda virtual que dificulta la identificaci\u00f3n de los criminales.<\/p>\n

\"\"<\/p>\n

El virus me ofrece descifrar gratis un solo archivo. Qu\u00e9 amable…<\/em><\/p>\n

La recomendaci\u00f3n<\/a> de los expertos en seguridad es un\u00e1nime<\/a>: no hay que pagar<\/strong> a menos que sea estrictamente necesario (y eso es casi nunca). Para empezar, no est\u00e1 claro si el pago har\u00e1 que la clave de descifrado llegue o funcione. Por otro lado, el pago estar\u00e1 financiando a los criminales, quienes tendr\u00e1n fondos para crear malware todav\u00eda peor.<\/p>\n

C\u00f3mo actuar en caso de infecci\u00f3n<\/h3>\n

Lo primero que hay que hacer nada m\u00e1s ver el aviso de CryptoWall o CryptoLocker es apagar el ordenador lo antes posible<\/strong>. Cuanto m\u00e1s tiempo dejes que el virus act\u00fae, m\u00e1s archivos podr\u00e1 bloquear. Es por ello que, idealmente, solo debes actuar desde el Modo a prueba de errores<\/a> o bien usando un CD\/DVD de arranque<\/a> con antivirus incorporado.<\/p>\n

Si optas por reiniciar en Modo a prueba de fallos<\/strong>, puedes usar un antivirus port\u00e1til<\/a>, como Norton Power Eraser<\/a> o Avira PC Cleaner<\/a>, que encontrar\u00e1n el virus y lo borrar\u00e1n por completo. En nuestra prueba optamos por usar el DVD de arranque Kaspersky Rescue Disk<\/a>, que limpia el PC sin pasar por Windows.<\/p>\n

\"\"<\/p>\n

Con Kaspersky Rescue Disk<\/a> pudimos eliminar CryptoWall 3.0 en cuesti\u00f3n de minutos<\/em><\/p>\n

Si tras reiniciar el PC siguen abri\u00e9ndose las im\u00e1genes de CryptoWall, no te preocupes: el virus ha sido eliminado. Tan solo tienes que eliminar las entradas correspondientes del men\u00fa Inicio<\/strong> (Startup) para que no se abran al iniciar Windows. As\u00ed, ni siquiera las instrucciones del virus, de por s\u00ed inofensivas, volver\u00e1n a verse.<\/p>\n

\"\"<\/p>\n

El virus ya no est\u00e1, pero sus instrucciones permanecen: b\u00f3rralas del men\u00fa Inicio<\/em><\/p>\n

\n

\u00bfEs posible recuperar los archivos?<\/h3>\n

Una vez desinfectado el PC, toca comprobar los da\u00f1os y ver qu\u00e9 archivos han sido cifrados y cu\u00e1les se pueden recuperar <\/strong>a trav\u00e9s de copias de seguridad o herramientas externas. Si no sueles guardar copias de seguridad de los documentos<\/a>, podemos anticiparte que algunas recuperaciones ser\u00e1n muy complicadas.<\/p>\n

M\u00e9todo 1: recurrir a copias de seguridad<\/strong><\/p>\n

Lo primero que puedes hacer es recurrir a copias de seguridad en Google Drive, Dropbox o discos externos. Si tienes las Versiones previas activadas en Windows 8, puedes recurrir a ellas para recuperar los archivos: pero cuidado, algunos criptovirus tambi\u00e9n borran las copias ocultas.<\/p>\n

\"\"<\/p>\n

Tanto Google Drive como Dropbox cuentan con historiales de cada archivo<\/em><\/p>\n

M\u00e9todo 2: usar un recuperador de archivos gratuito<\/strong><\/p>\n

Los criptovirus como CryptoLocker o CryptoWall borran los archivos originales antes de cifrar las copias. Si usas un recuperador de archivos borrados<\/a>, como Recuva<\/a> o PhotoRec<\/a>, la probabilidad de rescatar los originales es elevada. Por si acaso, no copies nuevos archivos en el PC: hacerlo podr\u00eda eliminar el rastro de los que quieres recuperar.<\/p>\n

\"\"<\/p>\n

PhotoRec<\/a> recuper\u00f3 en diez minutos varios de los archivos borrados por CryptoWall<\/em><\/p>\n

M\u00e9todo 3: usar una herramienta de descifrado especial<\/strong><\/p>\n

En algunos casos (pocos) es posible descifrar los archivos secuestrados gracias a que se ha recuperado la clave en posesi\u00f3n de los criminales -normalmente, porque los arrestaron. La p\u00e1gina gratuita DecryptCryptoLocker<\/a> descifra archivos secuestrados por variantes antiguas. En alternativa, puedes probar las herramientas de Kaspersky<\/a>.<\/p>\n

\"\"<\/p>\n

Los archivos infectados por CryptoWall no pudieron ser liberados <\/em>por DecryptCryptoLocker<\/a><\/em><\/p>\n

C\u00f3mo prevenir la infecci\u00f3n por CryptoLocker \/ CryptoWall<\/h3>\n

En el art\u00edculo C\u00f3mo derrotar CryptoLocker<\/a>, explicamos que la primera l\u00ednea de defensa eres t\u00fa: no abras archivos desconocidos <\/strong>ni tampoco hagas clic en adjuntos cuyo origen desconozcas. Tener un antivirus actualizado<\/a> no siempre garantiza una protecci\u00f3n contra los virus secuestradores.<\/p>\n

Una herramienta que s\u00ed puedes usar es CryptoPrevent<\/a>, una herramienta que deshabilita los permisos aprovechados por los criptovirus para iniciarse en el arranque de Windows. Con CryptoPrevent activado, la instalaci\u00f3n del virus es imposible. Usarla es f\u00e1cil: marca la primera, segunda y cuarta casillas<\/strong> y haz clic en Apply<\/em>.<\/p>\n

\"\"<\/p>\n

CryptoPrevent impide la instalaci\u00f3n de CryptoLocker, CryptoWall y otros criptovirus<\/em><\/p>\n

Ning\u00fan PC real fue infectado durante la producci\u00f3n de este art\u00edculo<\/h3>\n

En cada episodio probamos muestras de malware recolectadas por expertos de seguridad inform\u00e1tica. Los virus se ejecutan en m\u00e1quinas virtuales<\/a> con Windows 7 que borramos tras cada ensayo. Si quieres saber m\u00e1s o colaborar, cont\u00e1ctame en Twitter<\/a>.<\/p>\n

\u00bfQu\u00e9 virus te gustar\u00eda que analiz\u00e1ramos en el pr\u00f3ximo episodio?<\/strong><\/p>\n

Episodios anteriores:<\/strong><\/p>\n