Quick Talk

Para quem não se lembra, Confiquer é um “worm” (vou chamar de vírus mesmo daqui em diante) que ficou famoso em 2008/2009 por ter infectado milhões de computadores usando técnicas avançadas.

Na semana passada ao plugar meu HDD externo no meu desktop descobri, olhando a lista de opções que o XP mostra, que havia um vírus no meu drive. Até aí tudo normal, porque esse drive é feito para passear por todo canto mesmo e tudo o que realmente importa está protegido contra vírus em arquivos ISO. Mas quando eu fiz o upload do danado para o Virustotal me dizer do que se tratava, levei um susto: era o famigerado Conficker. Uma praga que eu pensei que estivesse morta há anos.

Remotamente eu inspecionei a última máquina onde eu havia plugado o drive, o servidor de um cliente, e constatei que estava infectado, mas consegui fazer a remoção remotamente mesmo. Fiquei preocupado, porque o Conficker também se propaga usando uma vulnerabilidade documentada do XP e poderia ter infectado toda a rede do meu cliente. Mas no dia seguinte, durante o expediente, fiz uma varredura e constatei que o resto da rede estava OK, provavelmente porque até o mais velho dos meus CDs de instalação do XP já tem o patch para essa vulnerabilidade integrado.

Como parecia um evento isolado, deixei para lá.

Mas hoje eu descobri que o problema pode ser maior.

Fui visitar um cliente esporádico onde eu não ia há um mês e descobri por acaso pelo menos uma dúzia de máquinas XP Sp3  infectadas com o Confiquer. É fácil identificar que sua rede está infectada: máquinas vulneráveis mas com o Avast atualizado acusam “do nada” e repetidas vezes,  que foi encontrado um “malware genérico” (o danado do AVAST não reconhece que se trata do Conficker) em “c:\windows\system32\x” (sem extensão mesmo) e/ou em um arquivo .JPG. Isso é o Confiquer tentando “saltar” para a máquina pela rede mas sendo barrado pelo Avast.  E, nas máquinas infectadas, tentar acessar o site da Avast, da Mcafee, da Sophos ou da Microsoft sempre dá erro no browser. Você não conegue nem baixar o Autoruns.

A solução, entretanto, é simples:

• Rode o Conficker Detection Tool em uma máquina qualquer da rede (pode ser uma infectada) e faça uma lista das máquinas infectadas que você vai ter que limpar;
• Coloque em um pendrive o patch da MS de acordo com a versão do sistema operacional e o Sophos Virus Removal Tool;
• Instale o patch e reinicie a máquina. Isso impedirá que o vírus em outra máquina “salte” para ela de novo;
• Instale e execute o Sophos para procurar e eliminar o vírus.

O Sophos tentará se atualizar mas não conseguirá. Isso é normal, porque o vírus está em execução bloquando o acesso ao servidor da Sophos. Prossiga assim mesmo. A remoção ocorrerá em duas etapas: Na primeira que dura menos de um minuto o Sophos localizará o vírus na memória e pedirá sua permissão para encerrá-lo. Em seguida ele vai fazer uma varredura nos discos à procura do danado para deletar. Enquanto a segunda etapa não for concluída o vírus será reativado toda vez que reiniciar a máquina.

Não rode o Sophos em uma máquina que tem usuários usuários conectados pela rede. Durante a execução o Sophos impede a conexão aos compartilhamentos (mas o PING continua funcionando). Não sei se isso é proposital ou um efeito colateral do encerramento forçado do vírus.

Você pode remover o vírus “na munheca” também e se poupar da loooonga verificação que o Sophos faz. A Microsoft tem uma longa explicação e até um iFixit que eu não testei ainda. Mas nas três vezes em que executei o Sophos ele encontrou um único arquivo relacionado com o Conficker: uma DLL de nome aparentemente aleatório (algo como “vxysa.dll”) em c:\windows\system32. É possível que simplesmente deletar essa DLL em Modo de Segurança resolva o problema. Fiz um teste em uma máquina e tive sucesso. Ao visualizar pelo Autoruns você verá essa DLL ser carregada em SERVICES, mas sem assinatura. E tentar desligá-la pelo Autoruns acusará erro de “Acesso Negado” porque o Confiquer removeu as permissões na chave do Registro.

Mas note que o Conficker tem diversas variantes e o método manual que funcionou comigo pode não funcionar com sua variante.

Outra coisa: ao contrário de muito malware, que tem em todos os arquivos a data de infecção, não adianta fazer uma busca por data para achar os arquivos desse Conficker. A DLL que apaguei era de 2008.

Desde antes do Android existir eu procuro uma solução que me permita lembrar de certas coisas baseado no lugar onde eu estou ou, melhor ainda, na minha intenção de ir até lá. Tasker ainda não pode se basear nas minhas intenções (mas não é algo impossível – em outra hora falarei sobre isso), mas sua capacidade de automatizar tarefas baseado no lugar onde estou, entre várias outras coisas, é bem promissora.

Eu não vou tentar explicar aqui como funciona o Tasker e muito menos fazer um tutorial porque o assunto é extenso e eu sequer consegui fazer funcionar direito, mas vou dizer que problemas eu resolvi ou venho tentando resolver com limitado sucesso.

O que foi resolvido satisfatoriamente:

1) Eu não ando com o telefone quando estou dentro de casa. Eu o deixo em algum lugar e muitas vezes o danado só toca justamente quando estou longe e não posso ouvir. Como eu não gosto de telefone pode levar horas até que eu perceba a ligação perdida, mas geralmente estou no computador e raramente passo muito tempo sem checar meu email. Então programei Tasker para me enviar um email sempre que eu perder uma ligação, incluindo o número e nome (se estiver na agenda) da pessoa que ligou. Pense num detalhe besta mas útil!

Minha implementação é uma versão mais completa (inclui nome da pessoa) da explicada aqui, que tem um detalhe inconveniente: requer que você tenha um site onde possa rodar um script php personalizado (eu tenho, claro). Provavelmente por uma questão de segurança, não é possível uma aplicação fazer a app Gmail do telefone mandar uma mensagem e o Tasker não tem um módulo de envio de email. Existem gambiarras usando o Tasker em conjunto com scripts em Python, mas para mim foi muito mais fácil usar PHP no meu site do que instalar e usar Python no telefone.

Meu script:

Exemplo de como a mensagem é recebida:

Este cara sugere uma versão mais completa, que não testei ainda.

Veja também: Como testar scripts PHP que esperam comandos POST

Atenção: existe uma razoável chance de que o gmail considere a mensagem recebida SPAM, por isso olhe na caixa de SPAM e se a mensagem tiver caído lá, adicione o remetente à sua lista de contatos para que Gmail não faça mais isso.

2) Eu nunca recebo e nem quero receber ligações de madrugada, quando estou em casa. Por isso programei Tasker para colocar e manter o telefone em “Airplane Mode” da meia noite às seis da manhã economizando assim bateria e evitando acordar alguém da casa com ligações que quase certamente serão engano.

Tive sucesso limitado ao ligar e desligar recursos baseado em minha localização:

Como eu não uso plano de dados (edit: não usava, em 2013), preciso manter meu email no telefone atualizado quando estou em casa, por isso o wifi precisa estar sempre ligado. Mas quando longe de casa ou de qualquer lugar onde eu não tenha acesso wifi, não faz sentido manter o recurso ligado desperdiçando bateria.

Adicionalmente, quando estou em casa o telefone nunca está comigo, por isso é importante deixar a campainha ligada. Mas quando estou fora de casa o telefone sempre está no meu bolso, por isso é interessante colocar automaticamente em vibração apenas, para evitar o constrangimento do meu toque (que é alto) em momentos inoportunos.

Também é interessante que quando eu chegar em casa o GPS, que é um tremendo dreno de bateria, seja desligado automaticamente caso eu tenha precisado dele na rua, juntamente com os “dados móveis” (acesso 3G). E que o brilho da tela seja colocado no mínimo, porque eu só preciso dele alto quando estou sob o sol.

Resumo:

Quando chego em casa:

• Desligar GPS;
• Desligar dados móveis;
• Ligar Wi-fi;
• Colocar brilho da tela no mínimo;
• Ligar campainha;

Chegando em algum lugar onde tenho acesso wi-fi que não seja minha casa:

• Desligar GPS;
• Desligar dados móveis;
• Ligar Wi-fi;
• Colocar brilho da tela no mínimo;
• Colocar/manter telefone em modo vibração;

Ao sair de qualquer dos lugares anteriores (em trânsito) :

• Colocar brilho da tela no máximo;
• Desligar wi-fi;
• Colocar telefone em modo vibração;
• Desligar bluetooth (posso ter ligado por alguma razão e esquecido ligado, mas como não uso fones BT, não uso BT em trânsito);

Para fazer a chamada “geolocalização” com um mínimo de consumo extra de bateria o Tasker me permite usar a detecção das torres de celular.  Em teoria basta programar o Tasker para que ao ver determinadas torres gatilhe um evento e ao deixar de vê-las gatilhe outro. É pouco preciso, mas funciona. Ao menos na teoria. Consegui ensinar Tasker a perceber que estou chegando em casa e chegando a outros lugares onde posso usar a rede wifi. O problema tem sido ensinar a ele que eu ainda estou lá!

O telefone ocasionalmente deixa de ver as torres enquanto eu me movimento e gatilha os eventos de saída. Eu até incluí em todos os eventos o comando “Say” para que Tasker me diga com a voz sintetizada o que ele está fazendo. E ocorre um liga-desliga de eventos danado. É preciso incluir outras condições para que Tasker não depender apenas de ver as torres, como por exemplo ele estar vendo ou não um SSID conhecido de wi-fi. Mas eu ainda estou tentando entender como se faz isso funcionar. Tasker é poderoso, mas não muito amigável.

Tasker ainda não resolve sozinho:

Eu preciso de uma ferramenta que, dependendo de onde eu estou, me alerte para uma lista de coisas que tenho que fazer. Tasker pode até saber onde estou mas não tem um mecanismo para, por exemplo, exibir na tela uma determinada página de minha agenda. Isso é possível com uma combinação com programas de terceiros mas eu gostaria de uma integração com a agenda da Google, que é onde coloco meus lembretes quando estou no PC.

Peguei dois computadores com esse problema em duas empresas diferentes de ontem para hoje, com a mesma causa, por isso acho bom dar o alerta.

O problema está sendo causado pela instalação de um tal “Baidu Security” ou “Baidu Antivirus”. Mesmo desinstalando, ele ainda deixa um serviço driver ativo (bhbase.sys) que impede o XP de iniciar. E como essas porcarias da Baidu estão sendo instaladas pelo instalador do Baixaqui junto com o que realmente você queria instalar, esse problema pode atingir muita gente.

Para consertar, entre pelo Modo de Segurança e use o Autoruns para desativar qualquer coisa da Baidu que encontrar nas seções “Services”. Não olhe apenas na aba de mesmo nome. Deixe em “Everything” e procure por “Baidu” em tudo. O problema é causado especificamente pelo serviço driver, mas encontrei outras coisas de potencial problemático mesmo depois de desinstalado o software.

Na primeira ocorrência do problema eu perdi um tempo considerável para chegar ao culpado porque a principal causa apontada em uma pesquisa no Google era defeito na RAM, seguida por problemas com drivers. Nesses casos não era nem uma coisa, nem outra.

Edit: A informação do último parágrafo está incorreta. É mesmo um driver, mas não um driver que apareça no Gerenciador de Dispositivos.

Eu é que me confundi. Drivers também são instalados na chave “Services” do Registro. Na figura abaixo você pode ver onde o driver da Baidu aparece no Autoruns;

Poderia ter juntado um dinheirinho a mais e comprado a Telexfree!

Raciocine comigo: Jeff Bezos desembolsou 250 milhoes de dólares (R$575 milhões) de sua fortuna pessoal para comprar uma empresa americana símbolo de um modelo de negócios ultrapassado.  Com mais a merreca de R$85 milhões ele compraria a marca Telexfree! O gigante da publicidade digital e do voip que opera em 40 paises e concorre com o Skype, os bancos, a Rede Globo e as operadoras de telefonia!

É (quase) sério! A Telexfree acha que só a sua marca vale R$660 milhões de reais.

Ele tem que poder rir muito da vítima.

O bordão da Telexfraude “Voa Telexfree” só não soa cômico na cabeça dos zumbis. Para qualquer um que veja a Telexfree como ela é (uma fraude), “Voa Telexfree” é uma piada pronta, meticulosamente preparada pelos donos da empresa para dar muitas gargalhadas enquanto torram o dinheiro dos trouxas em alguma praia paradisíaca do exterior.

E o que dizer do dia do lançamento da Priples, estampado na página principal da empresa um dia antes do site ser bloqueado pela justiça?

Seria de se esperar que qualquer empresário consciente evitasse iniciar um empreendimento público no dia primeiro de abril, certo?

Se procurar, tenho certeza que a gente encontra o número 171 em algum documento importante exibido por essas “empresas” para os trouxas.