Perspectiva Histórica - PDF
Download "Perspectiva Histórica"
Márcio Monteiro Pereira
1 Introdução Este trabalho pretende dar uma visão geral sobre uma matéria que nos últimos anos tem provocado furor entre os utilizadores de Pc s, e agora se espalha a sistemas de maior porte, que acedem a redes. Vamos tentar descrever e explicar o funcionamento dos vírus que actuam em Pc s e dentro da documentação existente (muito excassa) focar alguns casos de acontecimentos actuais sobre o aparecimento e funcionamento de vírus em redes. Os vírus, fruto de mentes distorcidas ou boa vontade de alguns, têm provocado graves danos no âmbito de Hardware e Software. Segundo estudo efectuado pela revista BYTE, mais de 5% de empresas entrevistadas tinham experimentado perdas desastrosas devido a infecções virais. Os vírus podem destruir ficheiros individuais ou apagar o conteúdo de todos os discos duros de uma rede não existindo uma garantia absoluta de imunidade contra a infecção. Para tornar o quadro pior novas espécies estão a proliferar incluindo vírus que se escondem das técnicas mais básicas de detecção e vírus mutantes, que criam versões únicas de eles próprios tornando-se muito difíceis de detectar. Apesar da ameaça crescente, a situação está longe de ser desesperante, uma vez que existem pessoas empenhadas na defesa e destruição das más intenções existentes por trás de quem faz os vírus.
2 Perspectiva Histórica Parece existir alguma evidencia de que os vírus informáticos foram originalmente concebidos como o resultado da investigação informática na área de sistemas operativos de multiprocessamento. Existem até algumas histórias sobre qual teria sido a origem do primeiro vírus. Na época anterior a 1974 não se conhecem relatos de vírus, embora isto não queira dizer que não existissem. Nesta altura ainda não havia computadores pessoais, os grandes sistemas eram praticamente fechados ao exterior e tinham gestores que cuidavam da integridade do sistema através de diferentes níveis de acesso. A divulgação dos Pc s provocou um aumento das trocas de software entre utilizadores, proporcionado um ambiente favorável ao desenvolvimento e proliferação dos vírus. Os grandes sistemas abriram-se ao exterior o que os tornou mais vulneraveis, dando origem a uma nova geração de vírus direccionados para esta área. Este desenvolvimento faz aparecer duas facções opostas no meio informático. Dum lado temos grupos que começam a desenvolver software para proteger e detectar vírus. Do outro temos indivíduos que melhoram os seus programas maléficos no aspecto destrutivo (por vezes lúdico) e técnicas de camuflagem para evitar a detecção. Assistimos a um jogo do rato e do gato, que ganha a sua expressão máxima quando aplicada a um vírus que entra para uma rede. 2
3 Biologia do vírus Existe alguma distorção sobre o que é um vírus, entre os utilizadores menos experientes, chega a provocar reacções de pânico quando se apercebem que a sua máquina está infectada. Um vírus não é mais que código ( que poderá ser escrito em linguagem assembly para se tornar mais eficiente ) malicioso que se fixa a um programa, disco ou memória. Podemos no entanto estabelecer uma base de comparação com os vírus biológicos, como vem esquematizado na tabela seguinte; Vírus Biológico Vírus Informático Atacam celulas especificas do corpo Atacam programas com extensões especificas ( *.EXE *.OVR *.COM ) Modifica a informação genética Manipula o programa Novos vírus crescem numa célula O programa infectado produz vírus infectada Um organismo infectado pode não exibir sintomas por muito tempo O programa infectado pode não dar erros por muito tempo Os vírus podem sofrer mutações e assim desaparecer sem serem detectados Os vírus informáticos sendo programas podem-se modificar a eles próprios e Circulam no interior do organismo podendo incubar-se durante um período de tempo sem se notarem assim fugir à detecção Nos caso das redes os vírus têm a facilidade de se deslocarem para diferentes locais antes de serem detectados Muitas viroses, Twin-351 entre elas, não causam danos superiores ao facto de se reproduzirem a eles mesmos e de tornarem visíveis algumas mensagens. No entanto existem vírus piores que incorporam uma bomba lógica - código destrutivo que espera até à chegada de uma data em particular, ou que outra condição especifica seja encontrada, para destruir permanentemente ficheiros, sectores de arranque, ou para reformatar o 3
4 disco rígido. Algumas viroses esperam sossegadamente por esse momento, outras anunciam-se através de sintomas óbvios. É possível visualizar mensagens inesperadas ( como no Stoned Your computer is now Stoned. ), ou simplesmente o utilizador pode verificar que o seu computador se tornou mais lento, sinal que algum programa anda a solicitar um pouco mais de trabalho ao disco duro. Segundo testes efectuados pela CÉREBRO o vírus Crand York File, nem sequer espera. Depois da infecção entra imediatamente num processo de total destruição desactivando o sistema. Quando o utilizador faz o reboot, verifica que o drive C já não existe. 4
5 Sequências de infecção de vírus Os vírus antigos utilizavam ficheiros EXE ou COM, como habitat, ficando activos apenas quando esses ficheiros eram chamados ou executados. As gerações mais recentes aprenderam a viver no sector de arranque e nas tabelas de partição dos discos, entrando em memória e tornando-se activos assim que os discos infectados arrancam. Tambem se tornou comum o uso do vector de interrupts para proporcionar meios de activação de vírus ou atravez da sua manipulação esconder actividades menos licitas. No caso dos Pc s, que obedeçem a uma sequencia para iniciar o seu funcionamento, qualquer passo que utilize código executavel guardado em disco é um convite ao vírus, para iniciar a sua actividade. BIOS TABELA PARTIÇÕES BOOT SECTOR Sequencia de arranque Imonidade total IO.SYS MSDOS.SYS CONFIG.SYS COMMAND.COM AUTOEXEC.BAT APLICAÇÕES Maior facilidade de infecção 5
6 A BIOS é imune porque as suas rotinas estão em memória ROM (Read Only Memory), o seu conteudo após ter sido escrito é inalteravel. Para infectar um computador por este meio teria de substituir-se a ROM por outra que ao ser escrita tivesse sido intencionalmente infectada. A TABELA PARTIÇÕES é um sector caracteristico apenas dos discos rigidos. É nesta etapa de arranque, que pela primeira vez se lê código guardado em disco, se o vírus está instalado na tabela de partições é lido e assume o controlo total da maquina. Tem como caracteristica principal não poder porpagar-se para outros computadores. Como o comprimento do seu código não pode exceder o comprimento do bloco de código do sector de partição (cerca de 446 Kb), a sua reprodução consiste em copiar o sector de partição original para um endereço pré- determinado no disco para poder ser executado possibilitando a inicialisação. Normalmente procura os sectores finais do disco (só são preenchidos com o disco cheio) ou ocupa sectores livres que ficam marcados como BAD SECTORS na FAT. Infecção da Tabela de Partição Tabela de Partição BOOT SECTOR Sequencia normal Vírus BOOT SECTOR Tabela de Partição Sequencia com infecção 6
7 O sector da BOOT é comum a discos rigidos e disquetes, correspondendo ao primeiro sector da partição do DOS. Um vírus neste local permite total controlo sobre o computador. A sua utilização tem especial interesse quando usado para infectar disquetes de arranque. Quando o computador arranca lê a BIOS, testa as drives e em seguida tenta fazer o BOOT a partir de disquete; se estiver no drive uma disquete de sistema infectada, o vírus é carreguado para memória. O seu funcionamento é semelhante ao caso da tabela de partição. Quando infectado o código original da BOOT é copiado para outro local no suporte magnetico, e o seu lugar é ocupado pelo vírus. Infecção do BOOT SECTOR BOOT SECTOR IO.SYS Sequencia normal Vírus IO.SYS BOOT SECTOR Sequencia com infecção 7
8 Tipos de vírus Vírus Lógicos Estes programas não só modificam os seus hospedeiros mas também os apagam inteiramente e ocupam o seu lugar ou espaço. Isto pode ser feito simplesmente rebaptizando o nome do programa. Trojan Horse A ideia básica deste tipo de programa é idêntica à da lenda que lhe deu o nome, ou seja, faz uma coisa quando era suposto fazer outra. Actua como um vírus e o objectivo é destruir ficheiros ou arruinar o disco por acidente. Habitualmente identificam-se os troianos com os worms e viceversa. Um exemplo deste vírus é o Visiword ). Worms É um programa isolado com intenções maldosas que geralmente rouba recursos do sistema como; memória, espaço em disco e CPU. O programa frequentemente multiplica-se; mas diferencia-se de um vírus uma vez que não necessita de um hospedeiro para se reproduzir. Arrasta-se através de todos os níveis de um sistema informático. Bomba Lógica São programas que se encontram armadilhados para serem activados ou despolutados quando existe uma determinada ocorrência. Esta classe também se pode incluir nos vírus. Categorias de viroses 8
9 Parasitic ( Parasitas ) Este tipo de vírus infecta ficheiros executáveis. Sempre que o programa é chamado o vírus multiplica-se e procura outro ficheiro executável para infectar. Este tipo de vírus pode-se inserir; no inicio, no meio ou no fim de um ficheiro. Quando se instala no meio do ficheiro destrói o código existente, impedindo que o programa possa voltar a ser executado. Código do Programa Antes da Infecção Vírus Código do Programa Inserção no fim do programa com perda de código Código do Vírus Programa Inserção no meio do programa com perda de código Código do Programa Vírus Inserção no pricipio do programa com perda de código Memory Resident Este tipo de vírus instala-se em memória activando em seu proveito certas interrupções do DOS e BIOS. Quando o ficheiro infectado for executado. A partir desse momento passa a infectar todos os ficheiros que forem executados. 9
10 Caracteristicas: A infecção dá-se de forma progressiva durante a utilização da máquina. Consegue sobreviver à reinicialização, ( Ctrl.+ Alt. + Del. ) pois a memória nestes casos não é totalmente limpa warm boot. A manipulação dos interrupts permite camuflar a sua presença. Provoca a diminuição da RAM o que não é visivel usando o MEM ou o CHKDSK. Master Boot Sector Vírus que infectam a tabela de partições e que geralmente se espalham através de Floppy Disks. Quando se introduz uma disquete infectada na drive e se tenta aceder a esta, automaticamente o sistema operativo acede ao boot sector e executa o vírus. O contrário também é valido. Stealth Este tipo de vírus esconde-se na memória, na tabela de partições ou na boot sector. Também é usual os vírus Stealth usarem o interrupt 21H para redeccionarem as tentativas de detecção. Estes vírus podem infectar ou serem transmitidos por todos os tipos de técnicas usadas por vírus conhecidos. Estes vírus situam-se entre as mais recentes tecnologias de vírus. Polimorfics Vírus Polimorficos são aqueles que têm a capacidade de alterar a sua assinatura. Este tipo de vírus pertence a uma nova geração que usa a autoencriptação ( modificando a chave de encriptação sempre que a efectua ) para se codificar cada vez que se multiplica. É obvio que esta técnica torna a detecção deste tipo de vírus muito difícil. Spawning or Companion Viruses Em tradução directa vírus companheiros. Este tipo de vírus cria cópias dele mesmo ( com o mesmo nome mas diferentes tipos de executáveis ). Por exemplo VIRUS.EXE, pode criar um companheiro VIRUS.COM. 10
11 Quando o companheiro começa a infectar outros ficheiros, o primeiro pode apagar-se ou pode criar uma nova copia dele mesmo com o nome de um ficheiro legitimo. Exemplo VIRUS.EXE pode criar WP51.COM. Quando executado pelo utilizador efectuará os estragos para que está programado. Dropper Viruses Este tipo de vírus é um programa que tem como único objectivo colocar outros vírus na boot do disco para que estes façam os seus estragos. Não são parasitas porque não infectam outros ficheiros. 11
12 State of The Art Muitos criadores de vírus são jovens que aprendem o suficiente para serem perigosos. Geralmente estes somente têm curiosidade para mutar vírus existentes ou criar vírus usando Kits de construção de vírus. Mutar um vírus é relativamente fácil. Qualquer programador com alguns conhecimentos de assembly e uma cópia do debug pode faze-lo. Estas mutações podem enganar uma primeira ou mesmo segunda geração de scanners. Neste contexto, mutar um vírus consiste em descobrir e alterar a frase hexadecimal ( assinatura do vírus ) que o scanner usa para o identificar. No entanto muitas vezes não é tão fácil mutar um vírus como parece, nem todos os vírus têm a mesma assinatura, pois esta varia de scanner para scanner. Assim uma mutação pode enganar um scanner e não enganar outro. Mas não se enganem pensando que qualquer um pode construir um vírus, pois não é assim tão fácil. Se estamos a criar um vírus para DOS, temos de ter acesso a informação e características do sistema operativo não documentadas e um extenso conhecimento da arquitectura do CPU. No caso do vírus se destinar a uma rede, saber em pormenor o funcionamento da mesma e das maquinas a ela conectadas. Produção em massa de vírus. As opiniões divergem em relação ás ferramentas de construção de vírus. Alguns expert s em detecção de vírus afirmam que estas ferramentas não são muito perigosas, pois produzem vírus de fácil detecção; no entanto se manipuladas por um programador experiente, podem tornar-se bastante perigosas. Desde que estas ferramentas passaram a existir o número de vírus tem crescido assustadoramente; isto deve-se á facilidade e rapidez de construção. Por exemplo, o Phalcon Skim Mass - Produced Code Generator, o Virus Construction Set, o Virus Construction Laboratory e o Vírus 12
13 Creation Laboratories permitem aos autores de vírus inexperientes a construcção do vírus do tipo faça voce mesmo, em questão de minutos. O Virus Construction Laboratory possui uma interface gráfica atractiva, suporte completo para rato, menus Pull-Down e ajuda inserida no contexto. Técnicas recentes de camuflagem Mutation Engines Os Mutation Engines proliferam de uma maneira assustadora, actualmente já existem três tipos diferentes, cada um executa a sua tarefa de maneira pouco diferente dos outros, mas a sua precisão é de quase 100%. Um dos primeiros relatos da existência dos Muation Engines foi produzida pelo Dark Avenger Mutation Engine chamado Alas ( ou Dam, um processo de encriptação polimorfo que se pensa ter vindo da Bulgária ) encontra-se disponivel virtualmente a qualquer pessoa. O autor apenas adiciona o processo ao seu vírus e em cada execução irá gerar centenas de formas diferentes. Através da encriptação do vírus, o Mutation Engine esconde a sua identidade ao scanner. A única maneira de detectar um vírus Mutation Engine é identificar o código do próprio Mutation Engine, o que não é fácil, uma vez que ele também faz a encriptação do seu próprio código. Não basta apenas juntar o código do Mutation Engine ao do vírus para se obter o resultado desejado, o vírus tem de ser escrito tendo em conta a utilização do Mutation Engine ou ser alterado para o aceitar. O Mutation Engine cria uma chave de encriptação aleatória, para se encriptar ao vírus e ele próprio. Assim quando o programa hospedeiro é executado, o Mutation Engine usa a chave para se desencriptar e fazer actuar o vírus. No caso do vírus se multiplicar (infectar outros ficheiros), é criada uma nova chave aleatória. Portanto para cada Mutation Engine existe uma nova chave diferente das anteriores. Podemos então concluir que sabendo uma chave não quer dizer que se detectem todos os vírus ou todos os Mutations Engines, visto que existe um número interminável de 13
14 chaves possíveis. Há maneiras de detectar os "Mutation Engine", embora nenhuma delas seja segura. Um dos métodos utilizados para detecção é a procura (usando cálculos estatísticos) de fragmentos de código do vírus ou dos "Mutation Engine". O melhor método é enganar o vírus, obrigando-o a desencriptar-se e tentar executar-se. Para isto acontecer o programa de detecção terá de actuar como um debugger. Durante o scaning tem que examinar o programa até detectar o inicio da rotina de encriptação, a partir dai terá de o executar passo a passo, até que o vírus esteja desencriptado. Nesta altura já se pode identificar o vírus pelos meios normais de scanners. Stealth Weapons Muitos vírus incluem na sua actuação técnicas de Stealth, que consistem em esconder a presença do vírus. Na sua vertente menos complexa escondem o vírus de forma casual, enquanto que técnicas mais avançadas escondem o vírus dos scanners. O segredo por detrás dos Stealths é o uso eficiente do interrupt 21H. O interrupt 21H controla o fluxo do programa e testa as funções relacionadas com os ficheiros. Um bom exemplo de um vírus Stealth é o FROPO, este usa o interrupt 21H para que quando um programa tenta executar alguma operação em que utilize o interrupt, o vírus verifica qual a resposta adequada a esta acção e fornece-a. Portanto qualquer tentativa de descobrir um vírus num ficheiro infectado com FROPO, tem por resultado a ilusão de um ficheiro limpo (desinfectado). 14
15 Ataques a Redes Até agora a atenção tem-se virado para os vírus de domínio público; estes sem um objectivo especifico não levantam grandes problemas aos sistemas de computadores. Hoje em dia as redes de computadores estão ameaçadas por um novo tipo de vírus, que ataca a rede e desloca-se nela até atingir o seu alvo, ( normalmente um server especifico ) realizando operações que na maior parte das vezes resulta em proveito do agressor. Este tipo de ataque é muitas vezes chamado de vírus de Cruise, em analogia com o míssil Cruise. Para se efectuarem ataques deste tipo são normalmente usados "Trojan Horses", ou "Worm". Os intrusos exploram as ligações mais fracas (menos seguras), para introduzirem o seu software de ataque. Outro tipo de software de ataque captura as passwords de acesso aos privilégios de alto nível. O intruso substitui o écran de login por uma simulação, talvez emulando o software de comunicações ou tomando controlo de uma ligação de rede. Quando um utilizador faz o login, o software de ataque guarda o seu nome e a password. Esta informação serve para que o intruso possa entrar no sistema como um utilizador original. Normalmente o objectivo do intruso é o nome e a password do gestor da rede, tendo assim livre acesso a todo o sistema. No entanto a password do gestor da rede não é necessária para se lançar um ataque com sucesso. Assim que o intruso tenha acesso ao sistema, este liberta o vírus que executará o objectivo para que está determinado. Os objectivos dos intrusos nestes sistemas são normalmente o roubo de informação, acções fraudulentas, espionagem industrial, sabotagem ou provocar o descredito de uma empresa ou elementos que nela trabalham. Este tipo de ataques de vírus "Cruise" reflectem bem a diferença entre profissionais e amadores, porque quanto menos chamarem a atenção melhor. Alguns casos de ataques a redes com diferentes tipos de vírus - Em 1993 foi descoberta uma fábrica de vírus em Itália: a VCI - Virus Creation Laboratory. Esta descoberta lançou o pânico em vários mercados 15
16 que importavam software deste país. A VCI foi descoberta pelo Instituto Italiano para a Segurança Informática das Instituições Bancárias, segundo a qual a produção de vírus era efectuada através de um programa muito simples que alterava os algoritmos através de uma chave, pelo que os antivírus existentes no mercado dificilmente detectavam qualquer anomalia nos diversos ficheiros. A origem da distribuição de vírus estava localizada numa base de dados na Bulgária, o que não permite conhecer as suas características nem a extensão da «contaminação». - No final de 1993 proveniente da Bulgaria, foi detectado pelos sistemas de segurança da central nuclear de Soffolk (Inglaterra) um vírus no sistema informático. O intruso chamado Yankee estava programado para entrar em actividade alguns meses depois. - Em Fevereiro deste ano, após ter sido detectada a presença de estranhos a usarem o programa Cavalo de Tróia (actua registando 128 comandos de cada utilizador para descubrir a forma de circular por todos os sitemas centrais conectados à rede), os 20 milhões de utilizadores da rede «Internet» foram convidados a modificar as suas passwords como forma de proteger os seus sistemas. - Uma bomba lógica foi colocada no sistema informático de uma grande empresa por alguns empregados descontentes que tinham deixado a organização e por coincidência também deixaram o país... O objectivo da bomba lógica era o de simular um falso pagamento de uma quantía volumosa. Para tal, todas as autorizações foram forjadas, o que satisfez o sistema de pagamentos da empresa (o montante requería autorizações especiais que foram ultrapassadas). No dia D, o computador da firma efectuou uma transferência bancária automática para uma conta num banco Suísso. Os culposos levantaram o montante no mesmo dia, deixaram o país e ainda hoje continuam ao largo. Levantaram-se enormes problemas do foro juridico devido ao facto de não se conseguir apurar bem onde, quando o crime aconteceu e qual a jurisdição que devia actuar (suíssa ou americana). -Alguns vírus são colocados em bases de dados de shareware sendo fácilmente espalhados e actuando em certos dias (13, sexta-feira; dia de anos do seu criador), provocam efeitos desvastadores em informação e dados, vitais para o funcionamento de algumas empresas. 16
17 -Vermes benignos são colocados nas redes de computadores desejando Bom Natal e Boa Páscoa aos utilizadores do sistema nessas épocas. -Várias empresas recorrem a criadores de vírus profissionais para sabotagem e expionagem indústrial. 17
18 Os caçadores de vírus. Os programadores de anti-vírus são muitas vezes chamados de "Vírus Buster's", a sua preocupação fundamental é andar o mais possível a par do surgimento dos novos tipos de vírus. Os programadores de anti-virus têm uma vantagem sobre os criadores de vírus, nunca produzem código sem terem lucro nisso. E como o programa se destina a uso comercial, eles esforçam-se para que seja o mais eficaz possível. A comunidade de programadores de anti-vírus é certamente maior que a dos seus adversários. No entanto é necessário ter cuidado com esta afirmação, pois alguns programadores de vírus operam a partir do código dos anti-vírus. Consideremos as quatro gerações de scanners existentes: 1. Geração - Inclui os scanners que nessecitam de uma assinatura do vírus para o detectar. Um exemplo de anti-vírus de primeira geração é o VirusScan da McAfee na sua versão Geração - Os scanners desta geração podem detectar a presença de um vírus sem necessitar da sua assinatura. Estes scanners usam uma técnica chamada "Heuristica Scanning". Esta técnica compreende a capacidade por parte do anti-virus de detectar fragmentos de código que indiquem a presença da actividade de um vírus. Certos padrões de código geralmente fazem parte de um vírus. "Heuristic Scanning" detecta estes padrões mesmo que não consiga identificar o vírus. Técnicas avançadas de "Heuristic Scanning" podem ser aplicadas na detecção e remoção de vírus como "Mutation Engines". Recentemente foi desenvolvido um anti-vírus chamado MutieClean, este procura o inicio da rotina de encriptação e descrobe a chave. Quando esta chave é descoberta o MultiClean pode pesquisar o vírus desencriptando e identificado, procedendo à sua imediata remoção. Outro produto de segunda geração é a técnica de verificação de integridade (Integrity Cheker). Verificação de integridade pode ser um pouco controversa porque pode ser ultrapassada e é mais lenta que 18
19 os outros métodos de detecção de vírus. O método de verificação de integridade depende do vírus alterar o tamanho do ficheiro infectado. A verificação de integridade efectua um CRC (Cyclic Redundancy Check) sobre um ficheiro limpo e guarda o seu resultado numa base de dados. Cada vez que o ficheiro é executado é verificado o CRC e se este não for igual ao guardado na base de dados o ficheiro é considerado infectado. Os verificadores de integridade mais fracos podem ser enganados pelos vírus. Estes procuram os zeros existentes no ficheiro e instalam-se nessa área. Quando a verificação do CRC é feita o vírus retira-se a ele mesmo do ficheiro e o resultado da verificação mostra um ficheiro limpo. Outros vírus defendem-se dos verificadores de integridade guardando o CRC do ficheiro limpo e quando o ficheiro é verificado o vírus retorna o valor correcto do CRC. 3. Geração - É caracterizada pelo software chamado de ratoeiras de actividade (Activity Trap), estes programas estão residentes em memória e identificam a presença de um vírus, conhecido ou desconhecido, assim que este tenta infectar o sistema. As ratoeiras de actividade tentam detectar o vírus pelo que ele faz e não pelo seu código como fazem os scanners. Os scanners são considerados do tipo de protecção passiva porque tentam identificar fragmentos de código malicioso antes que este seja executado. As ratoeiras de actividade são consideradas protecção activa, porque esperam que o vírus tente fazer algo antes de o poderem detectar. Estas têm a vantagem de não precisarem de um scanner,pois não necessitam de saber qual o tipo de vírus que estão a impedir de actuar. A sua única desvantagem é que as mais recentes técnicas de vírus Stealth podem enganar este tipo de anti-vírus. 4. Geração - São o futuro da protecção anti-vírus, especialmente em redes. Um produto para se qualificar como sendo de quarta geração terá que providenciar segurança total (controle de acesso, encriptação e auditoria), e também eficiente protecção anti-vírus (scanners avançados, verificadores de integridade e ratoeiras de actividade). Correntemente existem poucos produtos de quarta geração. 19
20 Prevenir as infecções de Vírus Não se conhecem processos que tornem um sistema completamente imune aos ataques de vírus, mas a seguinte descrição sumária ajuda a diminuir esse risco. Evite usar programas cuja origem é desconhecida. Não deixe que outras pessoas corram os seus programas no seu computador. Use apenas Software original e verifique se estes contêm vírus. Faça pesquisas antivírais regulares de todos os seus ficheiros. Faça um Backup do seu disco duro e guarde-o num sítio seguro. Faça cópias de segurança de todos os seus programas e ficheiros para poder facilmente substituir ficheiros infectados. Acautele-se com a informação recolhida das BBSs. Senso Comum da segurança Seguem-se alguns princípios básicos que devem ser seguidos no desenvolvimento dos planos de segurança para uma rede de computadores. Faça Tenha sempre uma disquete de arranque protegida contra a escrita. Nunca tenha só uma cópia de informação no computador. Faça Backups da informação e dos programas separadamente. Assegure-se de que só o Administrador da rede instala o Software. Avalie todo o Software em Computadores que fiquem de "quarentena". Motivo Quando um vírus ataca, sabemos que nenhum vírus estará activo quando arrancarmos através da disquete. Várias cópias de informação importante respondem-nos à seguinte questão;"quão rápido podemos ter de novo o sistema infectado a funcionar?". A informação é alterada frequentemente enquanto que os programas não. O Administrador da rede é um empregado de confiança. Permite verificar a existência de vírus longe da rede para depois ser instalado com segurança na mesma. 20
21 Seleccionar uma estratégia de protecção A questão principal de seleccionar uma estratégia de protecção antivírus é decidir qual o produto ou produtos a utilizar. Neste aspecto as opiniões dividem-se, uns dizem que a estratégia a seguir depende do tipo de vírus encontrados e no sistema. Outros dizem que nenhuma estratégia singular é valida para todos os utilizadores. Segundo experientes gestores de redes a combinação de várias técnicas de protecção anti-vírus é a melhor solução. Isto pode implicar a utilização de diferentes tipos de scanners ou a mistura de vários modos de protecção como ratoeiras de actividade e scanners. Acrescentando controle de segurança administrativa, e medidas rigidas de segurança do sistema, num único sistema integrado é, segundo especialistas na matéria, a melhor solução de protecção. Por exemplo uma política de gestão que obrigue todo o software novo seja pesquisado antes de ser instalado na rede; iria fechar uma porta à maior fonte de infecções. Restringir e controlar o acesso, aos terminais e servers, também é um incremento na segurança, porque somente utilizadores autorizados vão ter acesso aos terminais e rede. Também um sistema de auditoria serve para registar a actividade dos terminais e servers da rede. Pesquisar regularmente os terminais e os servers ajuda a detectar os vírus conhecidos, ao mesmo tempo deve usar-se um método de prevenção contra infecção dos sectores da BOOT. Finalmente um programa de ratoeiras de actividade que usa alguma forma de inteligência artificial ou sistema inteligente dá os toques finais num sistema de protecção total. A segurança geral da rede é mais importante do que simplesmente juntar um scanner ás ferramentas da rede. Os scanners só por si, não só são inúteis mas também perigosos. Inúteis porque são difíceis de manter actualizados especialmente em redes de grande risco onde os utilizadores deixam para ultima prioridade o uso dos scanners. Perigosos porque dão uma falsa sensação de segurança; os resultados negativos dos scanners têm para os utilizadores o significado de um sistema limpo, o que pode não ser verdade. Os scanners residentes em memória podem ficar infectados e espalhar a infecção por todos os ficheiros que pesquisem 21
22 Proteção a nivel de hardware À medida que as infecções por vírus começam a ser uma grande ameaça em todos os ambientes de computadores, os programadores estão a encontrar novas soluções na area da técnologia de intercepção ao nível do sistema até aos analisadores de telecomunicações. A maioria de lutadores de anti-virus concorda que as disquetes são o principal meio de transmissão de vírus. Deste modo, a estratégia de muitos anti-virus é de impedir que o sistema arranque a partir de uma disquete; outros defendem um problema mais complexo que é proteger contra escrita o disco rígido. Algumas soluções combinam as duas aproximações. Soluções ao nível do sistema. Ao nível do sistema, as soluções para evitar infecções no sector de arranque incluem um numero de sistemas baseados em BIOS, como a Hi- Flex BIOS da AMI que funciona como um munitor do sector de arranque e restringe as tentativas de acesso de escrita com um alerta ao utilizador. A aproximação da Western Digital é uma solução de Hardware que intercepta os pedidos de escrita no disco. No interior do controlador lógico do sistema chamado WD7855, existe uma técnologia genérica anti-virus chamada «Imunizador», que protege contra escrita as areas criticas de disco e ficheiros executaveis. Também monitoriza todos os pedidos de escrita tipicos de vírus em actividade. No caso do pedido de escrita ser dirigido a uma área protegida do disco rigido, um alerta simples interroga o utilizador se o pedido de escrita é para ser executado ou o sistema deve ser iniciado. Soluções hardware / software A V-Card da Digital Enterprises é outra aproximação para a protecção de vírus que pretendem funcionar como uma solução para um arranque limpo. O que é unico neste dispositivo é que guarda uma cópia do sector de arranque, com informação da tabela de partição e 1280 Kb de imagens de todos os ficheiros executaveis criticos e todo o software anti-vírus. A V- Card pode inibir unidades de disquetes e funcionar como um dispositivo primário de arranquese o disco rígido ficar danificado. Em acção, o dispositivo proporciona uma barreira física entre os ficheiros infectados e 22
How TO: Remover software malicioso com o Autoruns for Windows
How TO: Remover software malicioso com o Autoruns for Windows INTRODUÇÃO O software Autoruns for Windows da Sysinternals, uma subsidiária da Microsoft, permite ao utilizador obter uma listagem de todos