O primeiro vírus invisível a gente nunca esquece

Era só uma questão de tempo e eu até acho que demorou bastante, mas só na semana passada eu me deparei com um vírus que não aparece de jeito nenhum nem mesmo no poderoso Process Explorer. O vírus é mais esperto que a média, conseguindo infectar até mesmo contas de usuário limitado do XP (é também o primeiro que eu encontro, apesar de não ser algo realmente difícil).

Download de uma amostra

Análise do VirusTotal

Baseado nos vários nomes diferentes dados a esse vírus eu fiz uma pesquisa no Google e a descrição que encontrei mais parecida com a do comportamento do exemplar que tenho foi esta aqui. Mas mesmo ela não cita que o vírus não aparece na lista de processos. Nenhuma das descrições que encontrei cita isso, por isso acredito que esse vírus seja uma mutação que só foi detectada porque ainda usa código conhecido. O seu autor pegou o código de um outro vírus e acrescentou a "invisibilidade".

Ao ser executado, você vê que sys32.exe aparece na lista de processos do Process Explorer mas some logo em seguida. Você só percebe que está infectado porque:

• Se seu antivirus estiver atualizado, ele vai dizer (esse virus usa código conhecido);
• A intervalos irregulares seu firewall vai dizer que o Windows Explorer (não o IE) está tentando acessar a porta 7000 de endereços na internet;
• Qualquer pendrive detectado pelo Windows ganhará imediatamente uma pasta Recycler e um arquivo autorun.inf;

Eu conheço muito pouco desse assunto, mas como o firewall diz que é o Explorer que tenta acessar a Internet e o vírus não aparece na lista, eu imagino que o vírus esteja operando por "code injection" e "hooks" injetando seu código no espaço da memória RAM que o Windows acredita estar sendo ocupado apenas pelo Explorer.

A maioria das pessoas chamaria isso de "rootkit". Mas assim como a maioria das pessoas já perdeu a noção da diferença entre "pirataria" e "falsificação" (com a ajuda incansável da nossa mídia obtusa) , a maioria das pessoas não tem noção do que é realmente um (assustador) "rootkit".

Como o vírus não é realmente um rootkit, fica fácil removê-lo, principalmente porque ele não esconde as chaves do Registro que apontam para ele e seu executável não consegue se esconder completamente.