Como lo confirme
- La alerta salia de una pestaña abierta, no del antivirus. Indicio de scareware, no de infeccion real.
- Busque el ejecutable “limpiador” en Autoruns: sin firma y sin editor conocido. Punto en contra.
- En Task Manager aparecia un proceso que se reiniciaba solo con nombre random. Lo aislamos y subimos hash a VirusTotal.
- DNS estaba cambiado a un resolutor desconocido: lo devolvi a automatico y corte la red hasta limpiar.
- En el navegador habia extensiones instaladas en silencio que reemplazaban el buscador: las quite y resetee perfiles.
Contencion rapida que aplico
- Desconecte de la red apenas vi conexiones raras.
- Hice backup de Documentos/Escritorio antes de tocar nada.
- Corri un scan offline con antivirus con licencia y EDR portable.
- Elimine tareas programadas sospechosas y limpié servicios.
- Restauré proxy/DNS y resetee navegadores para quitar hijacks.
Herramientas y cierre
No instalo “limpiadores milagrosos”. Uso antivirus con licencia, EDR cuando hace falta y Autoruns/Process Explorer para ver que se cuela al inicio.
Si tengo dudas de integridad, clono el disco y analizo la imagen fuera de linea. Es mas rapido devolver la maquina limpia y seguir investigando sin frenar al usuario.