Existem muitos programas anti-malware por aí que irão limpar o seu sistema de problemas, mas o que acontecerá se você não conseguir usar esse programa? Autoruns, da SysInternals (recentemente adquirida pela Microsoft), é indispensável ao remover manualmente o malware.
Existem algumas razões pelas quais você pode precisar remover vírus e spyware manualmente:
- Talvez você não consiga executar programas anti-malware invasivos e com muitos recursos em seu PC
-
Talvez seja necessário limpar o computador de sua mãe (ou alguém que não entenda que um grande sinal piscando em um site que diz "Seu computador está infectado com um vírus - clique AQUI para removê-lo" não é uma mensagem que pode ser necessariamente confiável)
- O malware é tão agressivo que resiste a todas as tentativas de removê-lo automaticamente ou não permite a instalação de softwares anti-malware
- Parte do seu credo geek é a crença de que os utilitários anti-spyware são para os fracos
O Autoruns é uma adição inestimável ao kit de ferramentas de software de qualquer geek. Permite-lhe controlar e controlar todos os programas (e componentes do programa) que iniciam automaticamente com o Windows (ou com o Internet Explorer). Praticamente todos os malwares são projetados para serem iniciados automaticamente, por isso há uma chance muito grande de serem detectados e removidos com a ajuda do Autoruns.
Nós cobrimos como usar o Autoruns em um artigo anterior, que você deve ler se precisar se familiarizar primeiro com o programa.
O Autoruns é um utilitário autônomo que não precisa ser instalado em seu computador. Pode ser simplesmente baixado, descompactado e executado (link abaixo). Isso faz é ideal para adicionar à sua coleção de utilitário portátil em sua unidade flash.
Quando você inicia o Autoruns pela primeira vez em um computador, recebe o contrato de licença:
Para desativar temporariamente o lançamento de um programa, desmarque a caixa ao lado da entrada. Nota: isso faz não terminar o programa se ele estiver em execução no momento - ele apenas impede que ele inicie Próximo Tempo. Para impedir permanentemente que um programa seja iniciado, exclua a entrada completamente (use o Excluir ou clique com o botão direito e escolha Excluir do menu de contexto)). Nota: isso faz não remover o programa do seu computador - para removê-lo completamente você precisa desinstalar o programa (ou excluí-lo do seu disco rígido).
Software Suspeito
Pode levar um pouco de experiência (leia “tentativa e erro”) para se tornar adepto da identificação do que é malware e o que não é. A maioria das inscrições apresentadas no Autoruns são programas legítimos, mesmo que seus nomes não lhe sejam familiares. Aqui estão algumas dicas para ajudar você a diferenciar o malware do software legítimo:
- Se uma entrada for assinada digitalmente por um editor de software (ou seja, há uma entrada no Editor coluna) ou tem uma "Descrição", então há uma boa chance de que é legítimo
-
Se você reconhece o nome do software, geralmente está tudo bem. Tenha em atenção que, ocasionalmente, o malware irá “personificar” o software legítimo, mas adotando um nome idêntico ou semelhante ao software com o qual está familiarizado (por exemplo, “AcrobatLauncher” ou “PhotoshopBrowser”). Além disso, esteja ciente de que muitos programas de malware adotam nomes genéricos ou inócuos, como “Diskfix” ou “SearchHelper” (ambos mencionados abaixo).
- Geralmente, as entradas de malware aparecem no Logon guia do Autoruns (mas nem sempre!)
-
Se você abrir a pasta que contém o arquivo EXE ou DLL (mais sobre isso abaixo), examine a data da “última modificação”, as datas são geralmente dos últimos dias (supondo que sua infecção seja bastante recente)
- Geralmente, o malware está localizado na pasta C: Windows ou na pasta C: Windows System32
- Malware geralmente tem apenas um ícone genérico (à esquerda do nome da entrada)
Em caso de dúvida, clique com o botão direito na entrada e selecione Pesquise on-line…
A lista abaixo mostra duas entradas de aparência suspeita: Diskfix e SearchHelper
-
Eles não têm descrições nem editores
- Eles têm nomes genéricos
-
Os arquivos estão localizados em C: Windows System32
- Eles têm ícones genéricos
-
Os nomes de arquivos são strings aleatórias de caracteres
- Se você procurar na pasta C: Windows System32 e localizar os arquivos, verá que eles são alguns dos arquivos modificados mais recentemente na pasta (veja abaixo)
Clicar duas vezes nos itens levará você para as chaves de registro correspondentes:
Removendo o Malware
Depois de identificar as inscrições suspeitas, você precisa decidir o que deseja fazer com elas. Suas escolhas incluem:
- Desativar temporariamente a entrada do Autorun
-
Excluir permanentemente a entrada do Autorun
- Localize o processo em execução (usando o Gerenciador de Tarefas ou similar) e encerre-o
- Exclua o arquivo EXE ou DLL do seu disco (ou pelo menos mova-o para uma pasta em que ele não será iniciado automaticamente)
ou todos os itens acima, dependendo de como você está certo de que o programa é malware.
Para ver se suas alterações foram bem-sucedidas, você precisará reinicializar sua máquina e verificar um ou todos os itens a seguir:
- Autoruns - para ver se a entrada retornou
-
Gerenciador de Tarefas (ou similar) - para ver se o programa foi iniciado novamente após a reinicialização
- Verifique o comportamento que o levou a acreditar que o seu PC foi infectado em primeiro lugar. Se já não está a acontecer, é provável que o seu PC esteja agora limpo
Conclusão
Essa solução não é para todos e provavelmente é voltada para usuários avançados. Normalmente, o uso de um aplicativo antivírus de qualidade faz o truque, mas, se não for o Autoruns, é uma ferramenta valiosa no seu kit de antimalware.
Tenha em mente que alguns malwares são mais difíceis de remover do que outros. Às vezes, você precisa de várias iterações das etapas acima, com cada iteração exigindo que você analise com mais cuidado cada entrada do Autorun. Às vezes, no instante em que você remove a entrada do Autorun, o malware que está sendo executado substitui a entrada. Quando isso acontece, precisamos nos tornar mais agressivos em nosso assassinato do malware, incluindo programas de encerramento (até mesmo programas legítimos como o Explorer.exe) que estão infectados com DLLs de malware.
Em breve, publicaremos um artigo sobre como identificar, localizar e encerrar processos que representam programas legítimos, mas que estão executando DLLs infectadas, para que essas DLLs possam ser excluídas do sistema.
Baixar Autoruns da SysInternals
