Encontré un equipo infectado con toda una gama de virus: AutoIt-CP (DriveGuard.exe), DiskNight (Knight.exe), Virut (ise32.exe y varios nombres más), Win32:AutoIt-Z (Win32-AutoIt-Z - S-1-5-21-1482476501-1644491937-682003330-1013.exe), Win32:Magania (erdeiect.com), etc.
De todos estos, el más dañino, el Virut, infecta los ejecutables, imposibilitando su reparación.
El procedimiento correcto fué bootear con el avast BART CD actualizado y proceder con un escaneo completo, detectando más de 560 archivos infectados, increíble propagación en un equipo sin Internet (grave riesgo al no poder actualizarse) y con un simple Pen Drive usado en Cybercafés (la mayor fuente de virus… debería haber sanción para quienes den esa clase de servicio sin tener la protección de un excelente antivirus).
Al detectar el Virut, no hubo más remedio que pensar en una instalación de Windows, pero en modo reparación, para no perder la configuración anterior. Este pensamiento nace del hecho que el Virut dañó programas específicos de Windows.
INSTALACION DE WINDOWS EN MODO REPARACION
Al bootear con el CD de Windows XP, podemos empezar una instalación. El programa de instalación detectará la instalación previa y pregunta si se desea eliminarla o repararla. Usamos el modo de reparación.
IMPOSIBLE INICIAR SESIÓN
Una falla extraña no fué reparada por el instalador de XP (al menos la versión en español, que le tengo menos confianza que a la similar en inglés). El síntoma del problema es que Windows XP booteaba correctamente, pero inmediatamente cerraba la sesión. Si se intentaba de nuevo con el mismo usuario, iniciaba la sesión pero la cerraba inmediatamente, sin dar oportunidad a nada. Los intentos de usar al usuario Administrador fueron inútiles, de igual manera que intentar iniciar sesión en Modo a prueba de fallos.
El virus afectó los parámetros de Winlogon en el Registry y eliminó un archivo fundamental para iniciar la sesión: userinit.exe
SOLUCION
Editar el registro de Windows, y navegar hasta:
“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon”
Posiblemente encuentre una llave OldUserinit. Si encuentra esta llave, borre la llave Userinit y cambie el nombre a la llave OldUserinit por Userinit.
El contenido de la llave de Userinit debería ser el siguiente (sin comillas):
“WINDOWS_PATH\system32\userinit.exe,”
Ahora que ya estaba reparado el Registry de Windows, resulta que el archivo userinit.exe no fué instalado por el programa instalador de Windows en la reparación.
Tenemos que copiar el archivo userinit.exe de otro equipo (asegurándonos de que no esté infectado), o lo que hice: usar el Servant Salamander del avast BART CD que es una especie de Explorador de Windows, que permite accesar al Filesystem del equipo infectado. Busqué el userinit.exe en “C:\Windows\system32\DLLCACHE” y lo copié a “C:\Windows\system32″.
Reiniciar el equipo y probar. En caso de que el problema persista, volver a usar el Servant Salamander para copiar el userinit.exe del “C:\Windows\System32″ en ese mismo directorio, pero con el nombre wsaupdater.exe
