Potser tinguis la sensació que el teu ordinador va rar: triga més a arrencar, el ventilador sona sense parar encara que no estiguis fent res o apareixen missatges que no encaixen. Moltes vegades ho atribuïm que l'equip és vell o que hi ha massa programes instal·lats, però en poques ocasions aquesta “raresa” és el rastre d'una infecció i de persistència maliciosa que s'ha quedat enganxada al sistema.
Després d'una infecció, el gran problema no és només el virus inicial, sinó tot el que pot quedar funcionant per sota: serveis ocults, tasques programades, portes del darrere… En aquest article veurem de forma detallada com detectar aquesta persistència maliciosa després d'una infecció , quins símptomes haurien de posar-nos en alerta, com investigar-los en Windows i macOS, quines eines utilitzar.
Què és la persistència maliciosa i per què és tan perillosa?
Quan parlem de persistència maliciosa ens referim a tots aquells mecanismes que utilitza el codi maliciós (malware) per seguir actiu després de reinicis i per sobreviure a intents de neteja bàsics. No és només un fitxer infectat, sinó un conjunt de canvis en el sistema: claus de registre, serveis, controladors, tasques programades, modificacions del navegador, etc.
El programari maliciós modern sol venir en “paquets” que combinen virus, troians, cucs i rootkits , i fins i tot variants malware fileless . Molts d'aquests components s'instal·len a nivell de kernel o com a controladors de dispositiu, de manera que s'integren profundament al sistema operatiu i es camuflen als registres i en àrees poc visibles per a l'usuari mitjà.
A més, hi ha famílies senceres de codi maliciós orientades a enganyar l'usuari amb falsos problemes o falses solucions , com el scareware, el ransomware o l'anomenat hostage-ware, que simulen danys de maquinari o infeccions gravíssimes perquè paguis per un suposat programa de neteja. Altres variants es dediquen a redirigir el navegador a webs concrets per generar ingressos per visites, o convertir el teu equip en part d'un botnet d'spam.
Símptomes clars que hi pot haver persistència maliciosa
Tot i que cap símptoma per si mateix és una prova absoluta, quan comencen a acumular-se diversos indicis convé sospitar d'una possible infecció activa i persistent al sistema. Aquests són els signes més habituals que recullen diferents guies tècniques i experiències de fabricants de seguretat:
1. Bloquejos, errors estranys i fallades de sistema
Les famoses pantalles blaves de Windows, penges a l'atzar, bloquejos en obrir programes o missatges d'error repetitius que abans no apareixien són un senyal que alguna cosa al sistema ha canviat. No sempre és malware, però si coincideix amb altres símptomes cal investigar-ho.
També és sospitós que apareguin finestres durant l'arrencada avisant que no es pot accedir a certs discos o fitxers o diàlegs que indiquen que no es poden obrir programes concrets sense que hagis modificat res. Aquest tipus de problemes poden venir de controladors i processos maliciosos carregats molt aviat a l'inici.
2. Sistema extremadament lent sense motiu aparent
Un dels signes més freqüents és que l'equip es torni molt més lent a l'hora d'arrencar, obrir aplicacions o moure's pel sistema , fins i tot quan no estàs executant res de pesat (jocs, edició de vídeo, etc.).
Si notes que el ventilador es dispara, l'ús de CPU o memòria està disparat a l'Administrador de tasques o al Monitor d'Activitat, i tanmateix només tens obertes unes poques aplicacions normals, és molt possible que un procés maliciós estigui consumint recursos en segon pla per enviar correu brossa, minar criptomonedes, participar en atacs DDoS o espiar la teva activitat.
3. Activitat anòmala del disc dur
Quan l'ordinador està en repòs però veus el pilot del disc dur o del SSD parpellejant sense parar, o escoltes el disc mecànic llegint i escrivint constantment, potser algun component maliciós estigui manipulant fitxers, generant logs o xifrant informació sense que tu ho vegis.
L'alta activitat del disc sense explicació lògica, especialment just després de l'arrencada o quan no hi ha actualitzacions en curs, es considera un indicador clàssic de possible infecció activa.
4. Finestres, barres d'eines i elements visuals que no heu instal·lat
Un altre símptoma molt típic de persistència és que apareguin barres d'eines addicionals al navegador, extensions desconegudes o fins i tot una pàgina d'inici i motor de cerca diferents, sense que tu els hagis canviat.
Igualment, si comencen a sortir finestres emergents (pop-ups) fins i tot quan el navegador està tancat , o publicitat molt agressiva i fora de context, el més probable és que hi hagi adware o malware instal·lat que es mantingui actiu cada vegada que encens l'equip.
5. Missatges “rars”, notificacions i canvis en programes legítims
El codi maliciós pot provocar que apareguin diàlegs alertant que no es poden obrir fitxers o programes concrets , o missatges avisant de suposades infeccions procedents d'aplicacions que tu mai has instal·lat.
També és un mal símptoma que els programes s'obrin sols, es tanquin sense motiu o demanin accés a Internet sense que tu ho hagis sol·licitat . Quan aplicacions de confiança canvien de comportament de la nit al dia, hi sol haver alguna cosa ficant mà per darrere.
6. Activitat de xarxa sospitosa i problemes amb el teu IP
Si el teu router està amb els llums de trànsit parpellejant contínuament quan no estàs navegant ni descarregant res, és força probable que algun procés amagat estigui comunicant-se amb servidors externs , enviant spam, participant en botnets o filtrant dades.
En escenaris més greus, pots arribar a rebre avisos que la teva adreça IP ha estat inclosa a llistes negres (blacklists o llistes de rebutjats) per enviament massiu de correu no desitjat o per activitat maliciosa. Això sol indicar que el teu equip o la teva xarxa s'estan utilitzant per executar campanyes d'spam o atacs automatitzats.
7. Correus electrònics i comptes en línia compromesos
Quan els teus contactes comencen a dir-te que els arriben correus estranys enviats suposadament per tu , amb enllaços rars o arxius adjunts que tu mai no has enviat, hi ha dues possibilitats: que el teu equip estigui infectat i enviant correu sense el teu consentiment, o que algú hagi robat les teves credencials i estigui usant el teu compte des de fora, i en aquests casos amb revisar amb compte phishing.
També és força greu que els teus correus es quedin encallats a la safata de sortida , apareguin missatges que no reconeixes com a propis a la carpeta d'enviats, o vegis accessos sospitosos al teu webmail, xarxes socials o banca online. Tot plegat encaixa amb un escenari d'infecció i persistència que cerca robar informació o credencials.
8. Canvis estranys en la configuració del sistema i fitxers perduts
Alguns tipus de codi maliciós (malware) es dediquen a modificar ajustaments crítics del sistema, ocultar arxius o buidar menús com el de Programes del menú Inici a Windows , de manera que sembli que tot està corrupte o perdut.
Si de sobte falten documents, carpetes o aplicacions del directori principal del disc , o notes que no pots canviar el fons de pantalla ni altres elements de l'escriptori, pot ser que estiguis davant de variants que juguen amb la por de l'usuari perquè pagui per una suposada “reparació” o per forçar l'ús d'un programa fraudulent.
9. Desactivació de l'antivirus i el tallafoc
És força habitual que, només instal·lar-se, el malware tracti de desactivar l'antivirus, bloquejar les seves actualitzacions o impedir que s'obri la interfície . Si la teva solució de seguretat apareix apagada sense que tu ho hagis fet, o desapareix la icona de la safata del sistema, cal sospitar molt seriosament.
Passa una cosa semblant amb el tallafocs: molts codis maliciosos intenten deshabilitar el tallafocs del sistema operatiu o el de tercers per poder comunicar-se lliurement cap a fora i descarregar més components. Veure el tallafocs apagat de forma inexplicable és un indicador de risc elevat.
10. Altres signes de comportament rar del sistema
Les actuals amenaces són molt variades, així que convé estar atents a altres indicis com redireccionaments constants del navegador a pàgines que no has demanat , missatges emergents que imiten el sistema operatiu perquè instal·lis “utilitats” sospitoses, icones noves a l'escriptori que no recordes haver descarregat, o impossibilitat d'obrir arxius. sobtada.
En alguns casos més avançats, s'instal·len controladors de manera kernel que es veuen a l'Administrador de dispositius de Windows com a dispositius plug and play ocults . La seva funció sol ser interferir amb l'antivirus, filtrar trànsit o amagar altres processos maliciosos, per exemple mitjançant DLLs sospitoses.
Com detectar processos maliciosos i persistents a Windows?
A Windows disposes de diverses utilitats integrades i eines avançades per localitzar processos maliciosos que mantinguin la persistència després d'una infecció . El primer punt de control accessible a qualsevol usuari és el mateix administrador de tasques.
Ús de l'Administrador de tasques
Per obrir-lo, podeu fer clic dret al botó Inici i triar “Administrador de tasques” , o bé utilitzar la combinació de tecles Ctrl + Alt + Supr i seleccionar la mateixa opció. Un cop dins, a la pestanya “Processos” veuràs totes les aplicacions i processos en execució i el percentatge de CPU, memòria, disc i xarxa que consumeixen.
En aquesta vista convé preguntar-se si hi ha algun nom de procés o aplicació que no et soni en absolut , o si en detectes un que consumeix molts més recursos que la resta de forma contínua. Aquest tipus de comportament sol delatar tant programari maliciós com programari no desitjat molt agressiu.
Si dubteu sobre un procés, podeu fer clic dret i obrir les “Propietats” per veure la vostra ruta d'instal·lació, signatura digital, data de creació i altres dades. Els processos legítims del sistema solen estar en rutes estàndard (per exemple, C:\Windows\System32) i signats per Microsoft o altres fabricants coneguts, mentre que els maliciosos tendeixen a amagar-se en carpetes temporals o rutes poc comunes.
En cas de sospita, podeu cercar el nom del procés en bases de dades públiques com File.net o altres repositoris especialitzats , que cataloguen processos habituals de Windows i de programes de tercers i us indiquen si són legítims o potencialment perillosos.
Si identifiques un procés que clarament es comporta de manera maliciosa, pots seleccionar-lo i triar “Finalitzar tasca” . Això et pot donar un respir (per exemple, que l'equip torni a anar més fluid), però és imprescindible fer a continuació una anàlisi completa amb una eina antimalware per esborrar qualsevol rastre, perquè la persistència sol estar lligada a claus de registre, serveis i tasques programades.
Mode segur i eines avançades
Quan la infecció és més agressiva, pot ser que ni tan sols puguis obrir l'antivirus, executar fitxers .exe o connectar-te a Internet amb normalitat . En aquests casos, convé reiniciar l'equip en Mode segur amb funcions de xarxa , que carrega només els serveis mínims del sistema i moltes vegades impedeix que el programari maliciós s'activi.
Des d'aquí, podeu utilitzar eines tècniques com Process Explorer o Autoruns (de Microsoft Sysinternals) per veure tots els processos en execució i tots els punts d'arrencada automàtica del sistema (inici, serveis, tasques programades, extensions de shell, etc.). La majoria d'infeccions persistents se solen veure en aquestes utilitats si les executes amb permisos d'administrador.
Si el codi maliciós (malware) ha bloquejat l'extensió .exe des del registre per impedir que s'obrin programes de neteja, hi ha un truc útil: reanomenar l'executable a .com i intentar obrir-lo de nou . Si segueix sense funcionar, l'opció més pràctica sol ser arrencar de manera segura, tornar a intentar les anàlisis o valorar una reinstal·lació neta del sistema operatiu.
Com identificar processos sospitosos i persistència a macOS
A Mac també és possible que s'instal·lin processos en segon pla, agents de llançament i elements d'inici de sessió que mantinguin el codi maliciós actiu cada vegada que enceneu l'equip. La primera pista visual és a la barra de menús superior dreta, on apareixen icones de les aplicacions en execució, però moltes peces malicioses no mostren cap icona.
L'eina bàsica per investigar és el Monitor d'Activitat , que podeu obrir des de Spotlight o des de la carpeta d'Utilitats. Un cop dins, veuràs una llista de tots els processos actius amb el consum de CPU, memòria, energia, disc i xarxa.
Si observeu un procés desconegut amb un ús de recursos cridanerament alt, podeu seleccionar-lo i prémer la icona de la “i” d'informació per veure la ruta de l'aplicació associada, l'usuari que l'executa i altres detalls. Igual que a Windows, molts processos del sistema s'ubiquen en rutes estàndard (/System, /usr, etc.), mentre que el codi maliciós (malware) sol amagar-se en carpetes d'usuari, temporals o subdirectoris poc habituals.
Si et trobes amb un procés que consideres sospitós, pots intentar finalitzar-lo des de la icona amb la “x” a la part superior . Si l'equip millora de rendiment després de matar-lo, és molt probable que estigués consumint recursos de manera indeguda. No obstant això, per assegurar-vos que no es torni a llançar quan reinicieu, haureu de passar una bona anàlisi amb una solució de seguretat compatible amb macOS i revisar elements d'inici (LaunchAgents, LaunchDaemons, ítems d'inici de sessió).
Quan no veieu res clarament maliciós però l'ordinador segueix funcionant malament, el mateix Monitor d'Activitat permet executar diagnòstics del sistema mitjançant la icona d'engranatge. Aquests tests poden ajudar a identificar processos o serveis que estiguin ocasionant problemes de rendiment o comportaments estranys.
Analitzar el sistema amb programari antimalware especialitzat
Un cop recollides les pistes (símptomes, processos sospitosos, canvis rars, etc.), el següent pas és executar una o diverses anàlisis antimalware en profunditat . Aquí convé tenir clares dues idees:
D'una banda, hi ha programes antivirus en temps real , que estan sempre vigilant el sistema, i escàners sota demanda , que només treballen quan tu els obris i llances l'anàlisi. L'ideal és tenir instal·lat només un motor en temps real per evitar conflictes, i complementar de tant en tant amb escanejats sota demanda d'altres fabricants.
D'altra banda, cap antivirus detecta el 100% de les variants existents . El volum de codi maliciós i mutacions diàries fa impossible la cobertura absoluta, per la qual cosa sovint és interessant combinar eines si sospites que hi ha persistència al teu equip.
Passos recomanats abans i durant l'anàlisi
Per millorar l'eficàcia del procés de neteja, és recomanable:
- Desconnecteu l'ordinador d'Internet abans de començar, per tallar la comunicació del codi maliciós amb l'exterior i evitar que descarregueu nous components.
- Reiniciar en mode segur quan sigui possible, de manera que es carreguin només els serveis indispensables i sigui més fàcil que l'eina d'anàlisi pugui eliminar fitxers bloquejats.
- Buidar fitxers temporals (amb l'eina de neteja de disc a Windows o utilitats equivalents) per reduir la quantitat d'elements a revisar i eliminar restes descarregades que el programari maliciós pugui estar usant.
Després d'aquests preparatius, pots instal·lar i executar una solució contrastada com ara Malwarebytes o altres eines reconegudes del sector . El més habitual és començar amb una anàlisi ràpida, que revisa les zones més crítiques i pot trigar de 5 a 20 minuts, i després, si segueix havent-hi dubtes, realitzar una anàlisi completa, que es pot estendre força més temps.
Durant l'escaneig, l'eina anirà mostrant el nombre d'objectes analitzats i quants es consideren sospitosos o directament maliciosos . En acabar, sol generar-se un informe de resultats on podeu veure quins fitxers, claus de registre i elements d'arrencada s'han detectat.
La majoria d'aquests programes marquen automàticament el que consideren perillós perquè puguis eliminar o posar en quarantena els elements seleccionats d'una sola vegada . És important revisar que tot el que esborraràs sigui realment maliciós o innecessari, encara que la gran part d'usuaris pot seguir la selecció proposada per la pròpia eina.
En alguns casos molt greus, el codi maliciós és capaç de tancar o bloquejar el propi programa antimalware mentre està escanejant , el que indica que està profundament integrat al sistema. Davant d'aquest panorama, l'opció més segura i ràpida sol ser donar suport a les vostres dades personals i realitzar una instal·lació neta del sistema operatiu , ja que insistir en l'eliminació manual pot trigar molt més temps i no garantir-ne un resultat perfecte.
Opcions de neteja i quan plantejar-se reinstal·lar
Un cop detectada la infecció i executades anàlisis amb diferents eines, has de valorar fins a quin punt confies que el sistema hagi quedat realment net . Hi ha diversos camins possibles:
- Si la infecció era relativament simple (adware, barres d'eines, redireccionaments de navegador) i les anàlisis indiquen que s'han eliminat tots els components maliciosos, probablement pots seguir usant l'equip després de canviar contrasenyes i verificar que tot funciona bé.
- Si s'han detectat rootkits, controladors a nivell de kernel o infeccions molt agressives que bloquejaven antivirus, modificaven l'arrencada o generaven múltiples punts de persistència, la recomanació professional sol ser dur a terme una reinstal·lació completa del sistema operatiu.
- Si no et sents còmode manejant aquestes eines o no estàs segur de què eliminar, tens l'opció de contractar serveis tècnics especialitzats que facin la neteja per tu, encara que normalment serà un servei de pagament.
En qualsevol cas, fins i tot encara que optis per reinstal·lar, és crucial passar anàlisi de virus a les teves còpies de seguretat , unitats USB, discos externs i altres mitjans que vulguis tornar a connectar. No tindria sentit partir d'un sistema net si després restauras fitxers que contenen la mateixa infecció.
Com reduir al mínim la possibilitat de reinfecció?
Detectar i eliminar una persistència maliciosa és només la meitat del camí. L'altra meitat consisteix a implantar hàbits i mesures de seguretat perquè no torni a passar el mateix al cap de pocs dies . Entre les pràctiques més importants destaquen:
- mantenir el sistema operatiu i tots els programes actualitzats amb els darrers pegats de seguretat, especialment navegadors, suites ofimàtiques, Java, frameworks i aplicacions que es connecten a Internet.
- Fer servir un antivirus en temps real o, millor encara, solucions més modernes tipus EDR (Endpoint Detection and Response) que afegeixen capacitats avançades de detecció de comportament i resposta davant d'incidents.
- Activar i configurar correctament el tallafocs, de manera que filtri el trànsit entrant i sortint segons regles assenyades, evitant connexions innecessàries des d'aplicacions que no haurien d'accedir a la xarxa.
- Valorar la implantació de sistemes de detecció i prevenció d'intrusions (IDPS), especialment en entorns corporatius, per identificar patrons d'atac en temps real i bloquejar-los.
- Centralitzar logs i esdeveniments de seguretat mitjançant solucions SIEM (Informació de seguretat i gestió d'esdeveniments), que t'ajudin a correlacionar activitat sospitosa en múltiples equips i serveis.
- Protegir la informació sensible mitjançant xifrat de dades en repòs i en trànsit, de manera que, fins i tot si hi ha una escletxa, resulti molt més difícil explotar la informació robada.
- Quan treballis des de fora, utilitzar una VPN segura per xifrar el trànsit entre el dispositiu i la xarxa interna, evitant que s'interceptin credencials o dades crítiques en xarxes Wi-Fi poc fiables.
- realitzar periòdicament proves de penetració i auditories de seguretat per descobrir vulnerabilitats abans que els atacants, ajustant la configuració i les polítiques segons les troballes.
Últimes consideracions
En el dia a dia convé també extremar les precaucions amb correus electrònics sospitosos, enllaços escurçats, fitxers adjunts executables (.exe, .pif, .com, .src…) i programari descarregat de fonts no fiables. Davant del dubte, és preferible esborrar un correu o no instal·lar un programa que arriscar-se a una nova infecció.
Finalment, després de qualsevol incident, és molt recomanable revisar l'activitat de tots els vostres comptes en línia (banca, correu, xarxes socials, serveis al núvol) per comprovar que no hi hagi moviments rars, sessions obertes des d'ubicacions sospitoses o canvis en la configuració, i canviar totes les contrasenyes utilitzant gestors i autenticació multifactor quan sigui possible.
Si prens com a costum vigilar els símptomes descrits, fer servir les eines del sistema per localitzar processos rars, recolzar-te en solucions antimalware fiables i reforçar els teus hàbits de seguretat, tindràs moltes més paperetes de detectar a temps qualsevol persistència maliciosa després d'una infecció i tallar la seva activitat abans que comprometi de debò les teves dades i dispositius. Comparteix la informació perquè més persones coneguin del tema.