Existem muitos programas anti-malware por aí que irão limpar o seu sistema de coisas desagradáveis, mas o que acontece se você não for capaz de usar tal programa? O Autoruns, da SysInternals (recentemente adquirida pela Microsoft), é indispensável para remover malware manualmente.
Existem alguns motivos pelos quais você pode precisar remover vírus e spyware manualmente:
- Talvez você não consiga suportar a execução de programas anti-malware invasivos e que consomem muitos recursos em seu PC
- Você pode precisar limpar o computador de sua mãe (ou de outra pessoa que não entenda que um grande aviso piscando em um site que diz “Seu computador está infectado com um vírus - clique AQUI para removê-lo” não é uma mensagem que necessariamente pode ser confiável)
- O malware é tão agressivo que resiste a todas as tentativas de removê-lo automaticamente ou nem mesmo permite que você instale um software antimalware
- Parte do seu credo geek é a crença de que utilitários anti-spyware são para fracos
Autoruns é uma adição inestimável ao kit de ferramentas de software de qualquer geek. Ele permite que você rastreie e controle todos os programas (e componentes do programa) que iniciam automaticamente com o Windows (ou com o Internet Explorer). Praticamente todos os malwares são projetados para iniciar automaticamente, então há uma chance muito forte de que possam ser detectados e removidos com a ajuda do Autoruns.
Nós cobrimos como usar o Autoruns em uma versão anterior artigo , que você deve ler se precisar primeiro se familiarizar com o programa.
Autoruns é um utilitário autônomo que não precisa ser instalado no seu computador. Ele pode ser simplesmente baixado, descompactado e executado (link abaixo). Isso o torna ideal para adicionar à sua coleção de utilitários portáteis em sua unidade flash.
Ao iniciar o Autoruns pela primeira vez em um computador, você verá o contrato de licença:
Depois de concordar com os termos, a janela principal do Autoruns é aberta, mostrando a lista completa de todos os softwares que serão executados quando o computador for inicializado, quando você fizer login ou abrir o Internet Explorer:
Para desativar temporariamente a inicialização de um programa, desmarque a caixa ao lado de sua entrada. Nota: Isso faz não encerrar o programa se ele estiver em execução no momento - ele apenas impede que ele seja iniciado Próximo Tempo. Para impedir permanentemente o lançamento de um programa, exclua a entrada por completo (use o Excluir ou clique com o botão direito e escolha Excluir no menu de contexto)). Nota: Isso faz não remova o programa do seu computador - para removê-lo completamente, você precisa desinstalar o programa (ou excluí-lo do seu disco rígido).
Software Suspeito
Pode ser necessário um pouco de experiência (leia “tentativa e erro”) para se tornar perito em identificar o que é malware e o que não é. A maioria das entradas apresentadas no Autoruns são programas legítimos, mesmo que seus nomes não sejam familiares para você. Aqui estão algumas dicas para ajudá-lo a diferenciar o malware do software legítimo:
- Se uma entrada for assinada digitalmente por um editor de software (ou seja, houver uma entrada no Editor coluna) ou tem uma "Descrição", então há uma boa chance de que seja legítima
- Se você reconhecer o nome do software, geralmente não há problema. Observe que, ocasionalmente, o malware irá "se passar por" software legítimo, mas adotando um nome idêntico ou semelhante ao software com o qual você está familiarizado (por exemplo, "AcrobatLauncher" ou "PhotoshopBrowser"). Além disso, esteja ciente de que muitos programas de malware adotam nomes genéricos ou que parecem inócuos, como “Diskfix” ou “SearchHelper” (ambos mencionados abaixo).
- As entradas de malware geralmente aparecem no Entrar guia de Autoruns (mas nem sempre!)
- Se você abrir a pasta que contém o arquivo EXE ou DLL (mais sobre isso abaixo), examine a data da “última modificação”, as datas são geralmente dos últimos dias (assumindo que sua infecção seja bastante recente)
- O malware geralmente está localizado na pasta C: \ Windows ou na pasta C: \ Windows \ System32
- O malware geralmente tem apenas um ícone genérico (à esquerda do nome da entrada)
Em caso de dúvida, clique com o botão direito na entrada e selecione Pesquisa Online ...
A lista abaixo mostra duas entradas de aparência suspeita: Diskfix e SearchHelper
Essas entradas, destacadas acima, são bastante típicas de infecções por malware:
- Eles não têm descrições nem editores
- Eles têm nomes genéricos
- Os arquivos estão localizados em C: \ Windows \ System32
- Eles têm ícones genéricos
- Os nomes dos arquivos são sequências aleatórias de caracteres
- Se você olhar na pasta C: \ Windows \ System32 e localizar os arquivos, verá que eles são alguns dos arquivos modificados mais recentemente na pasta (veja abaixo)
Clicar duas vezes nos itens levará você às chaves de registro correspondentes:
Removendo o Malware
Depois de identificar as entradas que você acredita serem suspeitas, agora você precisa decidir o que fazer com elas. Suas escolhas incluem:
- Desative temporariamente a entrada Autorun
- Exclua permanentemente a entrada Autorun
- Localize o processo em execução (usando o Gerenciador de Tarefas ou semelhante) e encerre-o
- Exclua o arquivo EXE ou DLL do seu disco (ou pelo menos mova-o para uma pasta onde não será iniciado automaticamente)
ou todas as opções acima, dependendo de como você tem certeza de que o programa é malware.
Para ver se as alterações foram bem-sucedidas, você precisará reinicializar sua máquina e verificar um ou todos os seguintes:
- Autoruns - para ver se a entrada retornou
- Gerenciador de tarefas (ou semelhante) - para ver se o programa foi iniciado novamente após a reinicialização
- Verifique o comportamento que o levou a acreditar que seu PC estava infectado em primeiro lugar. Se não estiver mais acontecendo, é provável que seu PC esteja limpo agora
Conclusão
Esta solução não é para todos e provavelmente é voltada para usuários avançados. Normalmente, usar um aplicativo antivírus de qualidade resolve o problema, mas se não for o caso, o Autoruns é uma ferramenta valiosa em seu kit anti-malware.
Lembre-se de que alguns malwares são mais difíceis de remover do que outros. Às vezes, você precisa de várias iterações das etapas acima, com cada iteração exigindo que você observe com mais cuidado cada entrada do Autorun. Às vezes, no instante em que você remove a entrada Autorun, o malware em execução substitui a entrada. Quando isso acontece, precisamos ser mais agressivos em nosso assassinato do malware, incluindo o encerramento de programas (até mesmo programas legítimos como o Explorer.exe) que estão infectados com DLLs de malware.
Em breve estaremos publicando um artigo sobre como identificar, localizar e encerrar processos que representam programas legítimos, mas estão executando DLLs infectadas, para que essas DLLs possam ser excluídas do sistema.
