1. Entré en modo a prueba de fallos con funciones de red
2. Instalé Malwarebytes Anti-Malware Gratuito.
3. Lo actualicé y ejecuté.
4. En un exámen rápido encontró dos vulnerabilidades:
   • Un fichero (wpbt0.dll) en la carpeta de ficheros temporales (C:\Users\[Nombre de Usuario]\AppData\Local\Temp\wpbt0.dll). Ten en cuenta que la máquina de la que te habla tiene Windows Vista. Con otro sistema operativo, esta carpeta tendrá otra ubicación, así que el fichero seguro que está en otro sitio. Podría ser posible que tuviera otro nombre también.
   • Una entrada en el registro (HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr) que impedía que se mostrase el administrador de tareas (para evitar cerrar el proceso, supongo); vamos, que tenía el valor 1 cuando lo normal es que fuese 0.
5. Busqué en el registro si existían referencias al primer fichero. Encontré una en HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupfolder. La eliminé.
6. Eliminé también el fichero wpbt0.dll
7. Cambié en el registro el valor HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr. Lo marqué como 0

Parece que, con esto, funcionó. Se eliminó sin más. El bloqueo desapareció.

La idea es que puedas seleccionar el destinatario en una lista y que, automáticamente, el sistema inserte todos los datos de ese destinatario (nombre, departamento, dirección, etc.) para que sólo tengas que añadir el contenido. Incluso, el contenido también puede recuperarse de la base de datos, ya que, con esta plantilla, además, puedes guardar el cuerpo del escrito en la base de datos. De esta forma, si al cabo de un tiempo tienes que volver a escribir una carta similar, puedes recuperar esa información y usarla con el mismo destinatario o con otro distinto.

La base de datos contiene igualmente una tabla para registrar los remitentes, los firmantes del escrito, de la carta. Incluir, por tanto, esta información es tan fácil como seleccionarlos desde el cuadro de diálogo que se abre al crear un nuevo escrito o abrir uno existente basado en esta plantilla.

A través de este formulario puedes descargar la plantilla.
Ningún dato de los que se pide es obligatorio. Si quieres dejar tu nombre y tu dirección de correo electrónico, estupendo. Excepcionalmente, podría usar esa información para contactar contigo, salvo que expresamente digas que no quieres. No la voy a ceder a nadie. He puesto el formulario únicamente con fines estadísticos.

En las aplicaciones Office, el título lo podemos obtener, por ejemplo, mediante la propiedad Caption del objeto Application [al menos en Word y Excel. En Access con la expresión CurrentDb.Properties("AppTitle")], por lo que sólo nos queda el parámetro classname y aunque existe un función en el API de Windows con la que podemos obtener el nombre de la clase (GetClassName), no nos es de mucha utilidad para este caso porque uno de los parámetros que necesita esta función es precisamente el que deseamos obtener: el manejador de la ventana.

En fin, que buscando en la red (www.google.com/search?q=window+class+names+office), encontré los nombres de clase de las aplicaciones Office y quiero ponerlos aquí agrupados para tenerlos a mano. Son estos:

Fuentes:

• www.thecodenet.com/articles.php?id=3
• www.cpearson.com/excel/OfficeAppsWindowClasses.aspx
• users.skynet.be/am044448/Programmeren/VBA/vba_class_names.htm

Este es el mensaje que recibí (lo borrado es el nombre del falso remitente):

El enlace, -”¡Pruébalo ahora!” anima su texto-, apuntaba a esta dirección IP: 202.142.24.155. En www.robtex.com puede verse que, a día de hoy, figura en seis listas negras.

Ya véis que si no fuese porque no se trata de una invitación anómina, no tendría nada de especial con respecto a otras invitaciones de este tipo que circulan entre el SPAM que diariamente se recibe. Pero es que este hecho (ayudado, supongo, por incluir una explicación de por qué mi contacto me estaba enviando la invitación simulando el formato de otros reconocidos programas de uso público), a mi modo de ver, suponen un aumento considerable de las posibilidades de pesca (phishing).

Estoy seguro de que mi conocido no supo que él o alguien en su nombre había enviado este mensaje. Por ejemplo, es posible que fuese víctima de un ataque previo por algún programa que recogió su nombre y el de sus contactos para enviar mensajes de este tipo. Asi que, si tú recibes uno parecido, pon mucho cuidado en lo que haces. Nunca, bajo ningún concepto, debes facilitar las credenciales de acceso en una web distinta de la web a la que permiten entrar esas credenciales.

Aunque también es posible, según la configuración de protección establecida, impedir situarnos en la celda sin mostrar mensaje, con el siguiente procedimiento vamos un paso adelante, ya que, además, situaremos el cursor en la celda editable más cercana. Partiendo del origen de la selección se busca la siguiente celda no bloqueada para situar el cursor en ella. Debe colocarse íntegramente en el módulo de la hoja a la que debe afectar.

'---------------------------------------------------------------------------------------
' Procedimiento : Worksheet_SelectionChange
' Autor         : ©David (www.davidcanton.com)
' Fecha         : 28/04/2011
' Finalidad     : Impedir que se posicione el cursor en una celda bloqueada.
' Parámetros    : -->Target: La selección.
'---------------------------------------------------------------------------------------
'

Private Sub Worksheet_SelectionChange(ByVal Target As Range)
'También podría afectar a todo el libro en vez de sólo a una hoja.
'En ese caso, habría que incluirlo en el módulo "ThisWorkbook"
'y el procedimiento sería: Private Sub Workbook_SheetSelectionChange(ByVal Sh As Object, ByVal Target As Range)

'Definición del área de trabajo
'Const FILAPRIMERA = 3
Const FILAULTIMA = 34
Const COLUMNAPRIMERA = 3
Const COLUMNAULTIMA = 6

    Dim iFila As Integer, iColumna As Integer
    Dim rngCelda As Range

On Error GoTo Worksheet_SelectionChange_Error

    'Si se selecciona un área desbloqueada
    'o si la hoja no está protegida... No hacer nada
    If Not Target.Locked Or Not Application.ActiveSheet.ProtectContents Then Exit Sub

    'Si estamos aquí es porque hemos seleccionado una o varias celdas bloqueadas
    If Target.Row > FILAULTIMA Or (Target.Row = FILAULTIMA And Target.Column > COLUMNAULTIMA) Then
        'Si estamos por debajo de la última fila
        'o a la derecha de la última columna y en la última fila...
        Set rngCelda = Cells(FILAULTIMA, COLUMNAULTIMA)
        rngCelda.Select
    Else
        'La situación más ordinaria:
        'Hemos seleccionado, al menos, una celda bloqueada
        'situada en el área de trabajo: antes de Cells(FILAULTIMA, COLUMNAULTIMA)
        iColumna = Target.Column
        For iFila = Target.Row To FILAULTIMA
            Do While iColumna <= COLUMNAULTIMA
                Set rngCelda = Cells(iFila, iColumna)
                If Not rngCelda.Locked Then
                    rngCelda.Select
                    Exit For
                End If
                iColumna = iColumna + 1
            Loop
            iColumna = COLUMNAPRIMERA
        Next iFila
    End If

Worksheet_SelectionChange_Salida:
On Error Resume Next
    Set rngCelda = Nothing
    Exit Sub

Worksheet_SelectionChange_Error:
    MsgBox "Error " & Err.Number & ": " & Err.Description & Chr(13) & Chr(10) & "Worksheet_SelectionChange"
    Resume Worksheet_SelectionChange_Salida

End Sub

El truco lo aprendí de Ubuntu Life, que publicó esta idea en su blog.

Enlaces a pinceles con forma de flecha:

Listos para descargar, instalar (debes poner los ficheros *.gbr -GIMP brush-, al menos en la versión 2.6.7, en la carpeta brushes que estará, partiendo de la carpeta en la que se haya instalado GIMP, en /share/gimp/2.0/brushes) y usar.

• gimphelp.org: Tienes unas cuantas colecciones de pinceles y scripts.
• project-gimpbc.deviantart.com: El enlace que apunta a la información de un paquete de pinceles con forma de flecha. Esta es la descarga directa. En la galería puedes ver muchísimas colecciones para descargar.

Simplemente hay que añadir a la etiqueta table el atributo style con el siguiente contenido: "text-align:left; margin:auto;"


style="text-align:left; margin:auto;"


¡Eso es todo, amigos!

Debemos evitar:

1. Crear saltos de página mediante marcas de párrafo sin texto. La razón es que este procedimiento nos situará en el punto que deseemos pero, si en una edición posterior añadimos texto antes de esas marcas de párrafo, lo que deseábamos que estuviese al comienzo de una página se habrá desplazado hacia abajo. Igual ocurre si se cambia el tamaño de la fuente, por ejemplo, o si, simplemente, se imprime en otra impresora distinta. Los documentos varían, aunque sea mínimamente, según la impresora con la que se vaya a imprimir. Así, es posible que una línea se desplace de una a otra página en función de la impresora establecida en ese momento en la máquina en la que se esté viendo el documento.
    
2. Dar formato a los títulos de forma individual. La razón es muy simple: Corremos el riesgo de dar diferente formato a dos títulos del mismo nivel, con lo que eso supone para el lector de ese documento. La información se asimila mucho más fácilmente si está bien estructurada. Tener dentro de esa estructura los títulos con el mismo tipo de letra y el mismo tamaño evitará dudas al lector. Por otra parte, hacerlo de forma automática, permitirá, si queremos, cambiar posteriormente el formato de todos los elementos de un solo golpe.
    
3. Separar los párrafos mediante marcas de párrafo sin texto. La razón es que ayudará a definir el formato de los elementos estructurales del documento. Creo que necesito un ejemplo para explicar esto: Una de las definiciones típicas de un título es que el párrafo en el que se encuentre se mantenga unido al siguiente con el fin de evitar que aparezca [el título] al final de una hoja y que no haya texto a continuación. Si después de este título insertamos una márca de párrafo sin texto para forzar a que el texto que aparezca a continuación vaya un poco separado del texto del título, estaremos engañando al programa, que pensará que existe texto en ese párrafo en blanco por lo que es posible que aparezca al final de la hoja; aunque no sea en el momento de esa edición, sí si nuevamente se modifica el texto insertado con anterioridad.
   
    
4. Crear la sangría de primera línea mediante el tabulador o, peor todavía, con el espaciador. Por dos razones: Porque pierdes tiempo pulsando la tecla en cuestión cuando puedes definirlo en el párrafo y lo hará automáticamente y porque pierdes el control sobre la distancia a que quieres sangrar esa primera línea. En el caso de hacerlo con el espaciador, porque va a resultar difícil que no lo hagas a una distancia diferente en cada párrafo.
    
5. Hacer referencia a fragmentos de texto de forma directa. He de reconocer que esta no es muy habitual, pero es que necesitaba cinco para tener un título “más redondo”… Aclarada esta razón, intentaré también clarificar a qué me refiero con esta costumbre: De nuevo me parece que un ejemplo es la mejor opción para explicarme: “En la página cuarenta de un documento podemos indicar que el gráfico a que nos estamos refiriendo puede verse en la página diez”. La razón por la que no debemos hacerlo de forma directa es la misma que la apuntada en el primer punto (Crear saltos de página mediante marcas de párrafo sin texto). Y es que si, como ponemos en el ejemplo, apuntamos a la página diez y luego añadimos texto antes de esa página, esa que era la página diez puede convertirse en la once o doce o veinte, con lo que la referencia quedaría “huérfana”.
    

Entonces ¿Cómo he hacerlo? Lo veremos en el próximo capítulo

Antes de nada, un breve resumen de los pasos que seguí:
1.- Desactivé todos los programas que se cargan al iniciar Windows (Inicio->Ejecutar: msconfig).
2.- Ejecuté Malwarebytes’ Anti-Malware.
3.- Detectó dos entradas en el registro que no pudo eliminar/cambiar y un ejecutable que no pudo eliminar (seguidamente verás cuáles eran estos tres objetos).
4.- Busqué información sobre los objetos dañinos localizados por el detector de malware.
5.- Después de mucho buscar encontré la información que muestro seguidamente.
6.- Arranqué la máquina con otro sistema operativo y borré completamente la carpeta C:\WINDOWS\SYSTEM32 \ (Ojo con el espacio final de la carpeta. No confundir con C:\WINDOWS\SYSTEM32\, sin espacio).
7.- Reinicié arrancando con Windows XP normalmente.
8.- Intenté acceder al registro de Windows (Inicio->Ejecutar: regedit) para modificar manualmente las tres claves del registro afectadas y no pude. Me pedía que seleccionase el programa a usar para abrir el fichero.
9.- Las modifiqué haciendo doble clic sobre un fichero de texto con los datos válidos y la extensión apropiada (.reg). El fichero en cuestión es este: lastresclaves.reg (Si quieres descargarlo, pulsa con el botón derecho del ratón y selecciona la opción apropiada).
10.- Limpié el registro con Argente – Registry Cleaner 2.0.0.5.

Lo que sigue es la información a que me refiero en el punto 4, las indicaciones de cómo eliminar este molesto virus que impide mostrar las carpetas ocultas, las indicaciones del Dr. Zhivago. Como ves, se trata de un post en un foro, así que la redacción no está especialmente estructurada; tenlo en cuenta:

Me encontré con un nuevo virus el jueves en el trabajo. Es el virus autorun.exe. Lleva existiendo ya unos años y parece que se está volviendo más común. También se conoce por smss.exe. No estoy seguro de cuál es su propósito, pero lo que hace es escribir dos archivos en la raíz de las unidades USB cuando se insertan en un PC infectado. Los nombres de archivo son autorun.exe y autorun.inf. El nombre del archivo .EXE cambia a un nombre al azar como device_driver.exe o usb_smss.exe u otros nombres.

Se oculta configurando las opciones de carpetas para que no se muestren los archivos ocultos y marcando como ocultos los archivos que crea. Si intentas cambiar esta configuración para mostrar todo, se cambia de nuevo para ocultar todo. Esto se consigue modificando algunas entradas del registro de tal forma que el valor sin marcar es el mismo que el valor marcado. Este es el registro que se cambia:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL

Establece el elemento CheckedValue a “0″ en lugar del predeterminado de “1″.

Se crea un directorio oculto: C:\Windows\system32 \ (Fíjate en el espacio final, o, más probable, el carácter nulo). Es ahí donde se ubica. El nombre del archivo es smss.exe, que es también el mismo nombre que un archivo legítimo de Windows, el Administrador de sesión de Windows. Incluso reproduce las fechas de creación y modificación del fichero legítimo de Windows. El tamaño del archivo es, sin embargo, mucho más grande; alrededor de 1,3 MB. El archivo de serie tiene unos 50 KB.

También modifica dos entradas del Registro de modo que es casi seguro que permanzca residente. Se encuentran en las siguientes ubicaciones:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\

Cambia la cadena Userinit a esto:
C:\Windows\system32\userinit.exe, c:\Windows\system32 \smss.exe

Esto hace que se ejecute el virus cuando alguien se registra en la máquina, incluso en modo seguro.

Debería tener este valor:
C:\Windows\system32\userinit.exe,

La otra entrada de registro que se modifica es particularmente difícil de eliminar:
HKEY_CLASSES_ROOT\exefile\shell\open\command

La llamada al virus se antepone al valor por defecto, resultando así:
“c:\Windows\system32 \smss.exe” “%1″ %*

El valor por defecto de esa cadena debería tener este aspecto: “%1″ %*

La configuración modificada hace que el virus se ejecute y modifique el comportamiento de cualquier programa que se inicia desde Windows, incluso si logras detener el proceso, se relanzará al iniciar CUALQUIER programa.

Tuve mucho tiempo para observarlo, mientras averiguaba una manera de limpiarlo. Está muy inteligentemente escrito y no creo que puedas deshacerte de él con las herramientas disponibles para una instalación estándard de Windows. Prevx lo detectó, y Avast lo detectó en mi portátil, que es como lo descubrí en el primer lugar después de poner mi memoria USB en mi portátil después de haber estado en uno de los PC infectados. Están utilizando McAffee corporate AV y no lo detecta y está desactivado por el virus en un PC infectado. Quería deshacerme de él sin tener que comprar ningún software o reemplazar su AV ya que no estoy autorizado a hacer eso.

Primero usé Winternals ERD Commander 2005 para arrancar y adjuntar la instalación de Windows XP, modificar el Registro y eliminar los archivos y carpetas ocultos. Uno de los PC’s infectados tenía la unidad óptica estropeada, así que otra manera de deshacerse de él mientras se ejecuta Windows es utilizar Sysinternals Process Explorer:

1. Ejecuta Process Explorer y para (kill) el smss.exe chungo. Su icono es un tontorrón color púrpura, parecido a un calamar o un pulpo.
2. Inicio / Ejecutar / cmd
3. Para el smss.exe de nuevo con Process Explorer.
4. Abre regedit desde la ventana cmd y haz los cambios de registro.
5. Abre explorer.exe desde la ventana cmd. Establece las opciones de visualización de carpetas para que se muestre todo, incluyendo los archivos de sistema, navega hasta el directorio de Windows y borra la carpeta \system32 \. Será de color más claro, ya que tiene establecido el atributo de oculto.
6. Verifica si existe en la raíz de C:\ smss.exe o autorun.exe y autorun.inf.
7. Haz lo mismo para las unidades USB o extraíbles. Asegúrate de mantener pulsada la tecla Mayús para evitar el arranque automático. Mejor aún, desabilita Autorun por completo.
8. Reinicia el sistema.
9. Hecho y hecho.

Con el lanzamiento de programas desde la ventana de cmd en lugar de desde la interfaz gráfica de usuario, la cadena shell\open\command modificada se vuelve inerte y el virus no se relanza. No se puede terminar smss.exe desde el Administrador de tareas, es necesario utilizar Process Explorer.

Vea aquí cómo desactivar permanentemente la ejecución automática para todos los usuarios:
http://support.microsoft.com/kb/967715

Autorun es el causante de que el rootkit de Sony esté infectando tantas máquinas. Las herramientas Winternals y Sysinternals se desarrollaron en parte por Mark Russinovich, quien descubrió el rootkit de Sony y que ahora trabaja para Microsoft. Algunas de sus herramientas se han incluido en Vista y Windows 7, etcétera, como consecuencia de su adquisición por MS en una compra no hostil hace unos años. Él tiene mucho que ver con las grandes mejoras que hemos visto en las nuevas versiones de Windows. http://technet.microsoft.com/es-es/s…/bb896653.aspx

Todas las herramientas gratuitas que desarrolló siguen siendo gratis, incluido Process Explorer.

Para Windows 98 y XP

Botón Inicio –> Ejecutar. Se escribe msconfig y Aceptar. Aparecerá una ventana como la siguiente. Colócate en la solapa Inicio.

Solamente habrá que desactivar el programa que no queramos que se abra. Se puede ver la ruta completa del programa en el campo Comando. Tras pulsar Aplicar y Aceptar, solicitará que se reinicie para que los cambios surtan efecto.

Para Windows Vista y 7

Botón Inicio –> Todos los programas –> Windows Defender.
Se hace clic en el botón Herramientas y a continuación en Explorador de Software. En el cuadro Categoría, clic en Programas de inicio. Seleccionar el programa que se quiere desactivar y clic en Deshabilitar. Sí para confirmar.

Info adicional

Antes de utilizar estas herramientas conviene verificar que el propio programa dispone la opción de desactivar el arranque automático al iniciar windows. Suele estar en las Opciones o Configuración del propio programa.

No se produce un desastre por desactivar todos los programas, pero algunos conviene que se ejecuten al inicio de windows, como el antivirus y firewall. Normalmente suelen activarse para su autoarranque los Messengers, nero, office, Real Player, Quick time, java, etc. Es cuestión de desactivar los que no se usen con frecuencia, ya se ejecutará cuando realmente se necesite.

Aclaración

Este post, salvo pequeñísimas modificaciones, lo he machacado prácticamente de forma literal de www.miniguias.com. Agradezco a Martín, su autor, el trabajo. Lo he puesto aquí por facilitarme a mi mismo -y a tí, que has entrado aquí-, el acceso a esta información.