Un virus de Windows de 2003 seguía ganando dinero en silencio la semana pasada

Sality apareció en 2003, cuando Windows XP era una novedad. El 31 de agosto, el Departamento de Justicia de Estados Unidos, junto con las policías de Bulgaria, Hungría y Rumanía y con CrowdStrike y la Shadowserver Foundation, le cortó por fin la cabeza. Usaron contra la red su propio diseño: Sality no tenía servidor central, así que los investigadores fueron colando sus propias máquinas en las listas de nodos hasta que los PC infectados solo hablaban con sumideros. En el mundo seguían conectadas unas 15.000 máquinas.

Lo interesante es a qué se dedicaba últimamente. Durante los últimos ocho años su carga principal fue un vigilante del portapapeles llamado EggJagger. Se quedaba esperando a que copiaras la dirección de un monedero de criptomonedas, la sustituía por la del atacante en el momento de pegarla y te dejaba pulsar enviar a ti. Sin alarma, sin nota de rescate, solo dinero que acaba en otro sitio.

Sality se propagaba a la antigua usanza, y por eso duró tanto. Se pegaba a los archivos de programa corrientes de un PC y luego viajaba por carpetas compartidas y memorias USB hasta el siguiente. Muchas de las infecciones que quedan están en máquinas reconstruidas hace años a partir de una imagen de copia de seguridad que ya lo llevaba dentro.

El desmantelamiento impide que lleguen instrucciones nuevas. No limpia nada: el software malicioso sigue en esos ordenadores. Si algún PC de casa ha pasado de mano en mano entre familiares o se restauró desde una imagen antigua, un análisis completo con Microsoft Defender u otro antivirus es lo indicado esta semana. Tendvane no es un antivirus y no lo eliminará, pero su comprobación de seguridad saca a la luz programas y elementos de inicio que nunca elegiste instalar, que suele ser la primera pista de que algo viaja de gorra.