Quick Talk

Só levou 20 minutos, mas foi uma surra assim mesmo, porque eu fiquei parado de boca aberta na frente do computador sem fazr a menor idéia de como ele estava operando e só consegui porque uma rápida pesquisa na internet me mostrou o que eu estava esquecendo.

O sintoma de que você está “infectado” é que todos os browsers abrem na página 22find.com. O malware se entranha em todos os navegadores instalados na máquina: Chrome, Firefox e IE tem extensões instaladas e configurações alteradas de diversas maneiras para garantir a sobrevivência do malware. Eu ainda não tinha visto um malware que infecta browsers tão rigoroso. Só que depois de “limpar” os browsers, todos continuavam abrindo na página dos pilantras.

Chequei programas na memória, configurações de proxy, usei tracert para ver se não estava sendo redirecionado, conferi servidores DNS programados no modem… nada explicava porque os browsers continuavam sequestrados. Me rendi e fiz uma pesquisa que me mostrou que eu estava apanhando de algo bem “low tech”:  o malware havia editado todos os links para os browsers da máquina, colocando o site logo depois do caminho para o browser.

Assim:

“C:\Documents and Settings\Provit\Configurações locais\Dados de aplicativos\Google\Chrome\Application\chrome.exe” http://22find.com

E olhar os atalhos deveria ser uma das primeiras coisas que eu deveria ter feito quando vi que não funcionava. Existem maneiras ainda mais malignas de se aproveitar disso.