Vírus (evitando ataques de vírus no computador)

Muitos clientes chegaram a nós com seus equipamentos que simplesmente pararam de funcionar, aparentemente sem motivo. Foram dezenas de pessoas e empresas de vários tamanhos desesperados pela perda de dados e do próprio computador bem no fim do mês e a quatro dias do prazo para entrega da declaração do imposto de renda. Infelizmente não pudemos ajudar na recuperação dos dados dos primeiros clientes. Apesar de já saber da existência do vírus, não tínhamos visto na prática seus efeitos devastadores. Foram três dias de pesquisa, noite e dia, para desenvolvermos um meio de recuperar os dados perdidos. Já no dia 30 de abril, conseguimos salvar praticamente todos os dados importantes de dois Discos Rígidos, para alegria dos clientes. Ainda assim é um trabalho demorado e dispendioso, não havendo garantias reais de sucesso. Assim, pensando em preservar nossos clientes de tal situação, resolvemos dedicar este informativo a este assunto.

Atenção: para possibilitar a recuperação dos dados, NÃO MEXA NO DISCO RÍGIDO. O reparticionamento e reformatação do Disco podem inviabilizar a recuperação dos dados. Lembramos que os clientes de nosso contrato de manutenção não terão despesa com a recuperação dos dados. A única possível despesa será com a recuperação da placa-mãe, devido a troca de peça.

Vírus Chernobyl

Nome oficial: W95 CIH. Outros nomes: Win32 CIH, PE CIH, Chernobyl.

Que tipos de arquivos infecta: os chamados executáveis portáteis (programas) de 32 bits do Windows 95/98/NT (o NT é imune ao vírus, tornando seus arquivos portadores).

Freqüência com que aparece: comum.

Comprimento do código: não se aplica, pois esconde seu código em espaços vazios dentro dos códigos hospedeiros (programas).

Outras características: residente da memória RAM, totalmente escamoteável, disparado por data (26 do mês), encriptografado e polimórfico.

Histórico: o local e data de origem são desconhecidos. Especula-se que tenha nascido no sudeste da Ásia, mais precisamente em Taiwan, por volta de junho de 1998. Existem apenas algumas versões conhecidas até o momento, todas muito perigosas. Dependendo da versão o vírus pode atacar no dia 26 de qualquer mês ou apenas em abril ou junho. A mais comum é a versão 1.2 que age apenas uma vez por ano, no dia 26 de abril, aniversário do acidente na usina nuclear de Chernobyl, na Rússia (daí o apelido).

Conseqüências do ataque: sempre desastrosas. Normalmente o vírus apaga o primeiro megabyte de informações da principal unidade de disco rígido. Isto significa a perda completa de todas as informações contidas no disco. Em alguns modelos de Placa-mãe o “Chernobyl” pode reescrever a gravação da BIOS impedindo a inicialização do computador. Ou seja, o vírus literalmente inutiliza o computador e causa a perda de todos os arquivos dentro dele.

Meios de infecção: através da execução de um arquivo executável do Windows 95/98/NT (exemplo: Notepad.exe) que contenha o vírus. Este arquivo pode entrar via disquete, disco de Zip Drive, CD-R ou outro tipo de mídia, via Internet, rede local, ou outro tipo de rede. Em qualquer das formas o arquivo tem que ser executado, o que significa que não se é contaminado apenas navegando na Internet, recebendo mensagem ou visualizando um diretório em outro computador.

Prevenção: caso o computador não esteja infectado ainda, deve-se executar um programa de antivírus atualizado, como o Norton Antivírus (www.sysmantec.com), ou o ViruScan (www.mcafee.com), nos arquivos EXE suspeitos antes deles serem executados pela primeira vez. Uma vez que o computador já esteja infectado ou não se saiba se está ou não, existem programas, como o KILL_CIH.EXE (www.symantec.com/avcenter/kill_cih.html), que detectam e removem o vírus da memória RAM (não dos arquivos). Atenção: não se deve executar o programa antivírus antes de remover o “Chernobyl” da memória sob pena de contaminá-lo também, inutilizando-o. Deve-se ativar a proteção antivírus da BIOS da Placa-mãe no chamado SETUP da Placa-mãe. Após isto, diga não a qualquer solicitação de mudança que seja requerida. Faça o Backup freqüente de todos os arquivos importantes (veja o Informativo Técnico 1). Em último caso, não se deve ligar o computador no dia 26, só voltando a fazê-lo depois que um técnico de confiança verifique a presença do vírus.

Recuperação: apesar do que tem se dito sobre o vírus, existem formas de se recuperar o computador e os dados nele contidos. A BIOS da Placa-mãe pode ser regravado, enquanto o Disco Rígido pode ser reativado, ambos voltando a funcionar normalmente. É com relação aos dados contidas no Disco Rígido que existe maiores dificuldades, pois a destruição das informações sobre partições normalmente inviabiliza a sua recuperação. A Neo Máxima desenvolveu uma tecnologia que possibilita a recuperação dos dados perdidos, ou seja, existe como recuperar os arquivos importantes que existiam antes do ataque do vírus. Infelizmente esta tecnologia não é perfeita, não salvando a instalação do Windows, por exemplo, mas se tem conseguido a recuperação de até 100% dos arquivos de dados em alguns casos. Não há garantias reais de sucesso, além de ser um processo muito dispendioso, portanto aqui vale como nunca que “prevenir é melhor que remediar”.