Quick Talk

De vez em quando eu sou chamado para resolver um problema do Windows 7 no qual o PC ficou preso em um loop onde a cada vez ele passa uma eternidade dizendo que encontrou um problema de inicialização e está tentando consertar, mas nunca consegue. Aliás eu não sei o que tanto o Windows faz nesse processo. Ele deve estar contando quantas fotos de mulher pelada o usuário tem no HDD, porque eu não encontro uma explicação melhor para o sistema ficar uns 10 minutos ocupado nisso.

E muitas vezes a gente consegue consertar o problema manualmente em segundos com dois simples comandos:  bcdedit.exe /fixmbr e bcdedit.exe /fixboot no console, que equivalem aos antigos fixboot e fixmbr do XP. Por que a recuperação automatica não faz o mesmo sozinha, nem pergunta se você quer que ela faça por você, é um mistério. E não é porque ele tenha medo de fazer algo drástico, porque ele não tem, pois na semana passada eu me deparei com uma evidência assustadora disso.

Eu recebi um servidor NAS Western Digital Netcenter de 500GB com a missão de tentar salvar os arquivos que haviam sumido. Não havia nenhuma partição no HDD. Testdisk não conseguia resolver o problema mas após eu indicar que a partição que eu estava procurando poderia ser do Mac OS (eu testei todas as opções de detecção), ele sugeriu que o sistema de arquivos presente pudesse ser o ReiserFS (linux).

Uma rápida pesquisa usando isso como dica confirmou que realmente era esse o sistema de arquivos e explicou como eu poderia consertar.

Fiquei animado. Mas por precaução decidi fazer uma cópia setor-a-setor do disco para outro HDD de 500GB e trabalhar apenas na cópia. Como eu só tenho segurança do que estou fazendo quando estou usando o Windows, fui usar ferramentas Windows e coloquei o HDD do cliente como escravo em um desktop reserva onde tenho dual-boot Seven e XP. Achei que não haveria problema algum já que para o Windows o HDD estava não-particionado e teoricamente o Windows não faz nada em um HDD assim sem o seu conhecimento e permissão.

Descobri que isso só é verdade até o XP.

O boot primário desse desktop era o Seven, porque foi o último SO a ser instalado. Em um momento eu me esqueci disso, reiniciei a máquina e saí. O Windows 7 iniciou automaticamente. Isso também não deveria ser problema, mas por alguma razão bizarra, apesar do bootloader ter sido carregado do HDD certo, o boot manager (que é carregado pelo bootloader) pensou que o HDD do Windows 7 era o outro, sem partição. A recuperação de boot do Seven foi acionada automaticamente e tentou “consertar” o problema.

Quando eu vi o que estava acontecendo já era tarde. Desliguei a máquina e rodei o Testdisk de novo no HDD com a esperança de que ele ainda me desse a dica de que o sistema era ReiserFS.

NADA!

Para o Testdisk, não havia mais nada no HDD. O Seven destruiu o resto da tabela de partições e algo que eu poderia ter resolvido em no máximo algumas horas se tornou um enorme problema.

Para a minha sorte ReiserFS é um sistema de arquivos obscuro mas nem tanto. Encontrei um programa de recuperação comercial específico para lidar com ele: o Raise Data Recovery for ReiserFS. Quando eu vi a versão demo, que roda sob Windows, abrir sem qualquer dificuldade um “Explorer” exibindo as pastas que eu sabia existirem no HDD, achei até barato os 21 euros que ele custa. Paguei com Paypal, recebi a licença segundos depois (não precisei fazer ativação online nem qualquer outra frescura) e em poucas horas eu já tinha os cerca de 400GB de dados do HDD copiados para outro.

Fica então o alerta: cuidado com o bootloader do Windows 7. Infelizmente não dá para simplesmente descartar o Seven como ferramenta de análise porque o XP é incapaz de enxergar partições GPT criadas pelo Vista/7/8 e faz você achar que um HDD perfeitamente OK está vazio. Mas se você tem certeza de que a partição não é GPT, não deixe o seu HDD chegar nem perto do Windows 7!

Por que eu não usei o próprio Linux para resolver o problema, economizando assim os 21 euros?

Eu até tentei, mas não encontrei nada amigável. Tudo era para fazer por linha de comando.  Para quem tem proficiência no Linux isso pode não ser problema, mas quando você está tentando fazer recuperação de dados, não ter 110% de certeza do que você está fazendo não é opção. Ora, se até usando uma interface gráfica eu consegui confundir os discos e provoquei aquele desastre de 2007, imagine em um sistema onde estou só seguindo instruções que nem podem ser aplicáveis à distro ou hardware específico que estou usando? Meu HDD origem é o hda? hdb? sda? sdb? hd0? hd1? Eu não sou o único a achar isso confuso.

Antigamente era mais simples fazer uma imagem setor-a-setor de um disco

Eu fiquei impressionado com a incapacidade de vários programas de clonagem modernos, inclusive os comerciais caros para Windows, de fazer uma cópia setor-a-setor. Testei um punhado de programas e até o Clonezilla (LiveCD do Linux)  foi incapaz de me dar a opção de clonar um disco “aparentemente” vazio. Sem uma partição compatível os discos só aparecem na listagem como “alvo”. E olha que em qualquer prompt de linha de comando do Linux isso é teoricamente possível usando o comando dd, que eu não usei por cair na mesma insegurança do problema anterior.

Eu só me lembrei que o HDD RAW Copy faz isso depois que o Seven complicou tudo. E eu ainda vou usá-lo para ver se eu poderia ter recuperado a partição do HDD do Netcenter “na munheca”.

Só levou 20 minutos, mas foi uma surra assim mesmo, porque eu fiquei parado de boca aberta na frente do computador sem fazr a menor idéia de como ele estava operando e só consegui porque uma rápida pesquisa na internet me mostrou o que eu estava esquecendo.

O sintoma de que você está “infectado” é que todos os browsers abrem na página 22find.com. O malware se entranha em todos os navegadores instalados na máquina: Chrome, Firefox e IE tem extensões instaladas e configurações alteradas de diversas maneiras para garantir a sobrevivência do malware. Eu ainda não tinha visto um malware que infecta browsers tão rigoroso. Só que depois de “limpar” os browsers, todos continuavam abrindo na página dos pilantras.

Chequei programas na memória, configurações de proxy, usei tracert para ver se não estava sendo redirecionado, conferi servidores DNS programados no modem… nada explicava porque os browsers continuavam sequestrados. Me rendi e fiz uma pesquisa que me mostrou que eu estava apanhando de algo bem “low tech”:  o malware havia editado todos os links para os browsers da máquina, colocando o site logo depois do caminho para o browser.

Assim:

“C:\Documents and Settings\Provit\Configurações locais\Dados de aplicativos\Google\Chrome\Application\chrome.exe” http://22find.com

E olhar os atalhos deveria ser uma das primeiras coisas que eu deveria ter feito quando vi que não funcionava. Existem maneiras ainda mais malignas de se aproveitar disso.

O título sensacionalista do post é proposital. Tenho certeza de que consegui chamar sua atenção

Cronometrar a inicialização do Windows é complicado, porque só existe um momento bem demarcado para o início. E difícil dizer quando o Windows “terminou” de inicializar. Mas depois de cronometrar detalhadamente a inicialização de dezenas de máquinas ao longo de muito tempo, um detalhe me chamou a atenção: o tempo entre o momento que aparece o logo do Windows XP e o aparecimento da tela de Boas Vindas é de aproximadamente 20 segundos.

E não importa se é um Semprom com 512MB de RAM e dez anos nas costas ou um Core i3 com 4GB novinho. O tempo que se leva nessa fase é sempre o mesmo. E o ponteiro do mouse deve aparecer na tela antes, claro, por volta dos 15 segundos.

Eu tenho chamado isso de “regra dos 20 segundos”.

A experiência também demonstrou que caso o computador esteja levando muito mais tempo que isso nessa fase, o problema é de drivers ou hardware. E quase sempre é o danado do drive de CD/DVD IDE (em geral, basta soltar o cabo que o problema some).  Não adianta tentar resolver olhando torto para programas instalados. Vá lá no Gerenciador de Dispositivos e veja o que você pode desligar para localizar o culpado.

E aparentemente qualquer HDD que ainda esteja “vivo” e em uso hoje em dia é rápido o bastante para não fazer diferença nessa fase.

Eu tenho a suspeita de que os serviços que se penduram no logon (todos os que aparecem na aba “Winlogon” do Autoruns), como o maldito GbPlugin, também podem interferir nessa fase, mas ainda não encontrei nenhuma evidência disso desde que me dei conta desse “fenômeno”.

Você ainda usa Windows XP? Quanto tempo ele demora nessa fase da inicialização? Se for responder, por favor cite processador e quantidade de memória.

Você tem o hábito de sempre passar o mouse sobre os links de mensagens que recebe e olhar na barra de status para onde levam, antes de clicar neles? Pois descobriram um modo de contornar esse cuidado. Um desenvolvedor inglês de 19 anos descobriu como fazer um redirecionamento em javascript, que é indistinguível de um redirecionamento legítimo feito pelo próprio site.

O Opera já é imune ao problema, mas outros browsers ainda estão aguardando patches.