Removendo o vírus W32/Dorkbot!lnk - o ocultador de pastas.

Alô meu povo e minha pova, estou de volta ao blog depois de muito muito muito muito muito tempo parado. Venho aqui pra ver se volto a postar com essa bagaça.

O que trago aqui hoje é tutorial sobre como retirar um virusinho ou (será viruszinho ou viruzinho?) que está assolando e amedrontando os lares cibernéticos Santarenos. Trata-se de um vírus que oculta suas pastas do seu dispositivo removível (leia-se pendrive, cartão de memória de câmeras digitais, celulares e etc e tal) substituindo por arquivos de links que levam a infecção de outro computador e assim sucessivamente ao infinito e além (conheço essa frase). A propósito, o nome do vírus é o W32/Dorkbot!lnk (detectado pelo microsoft security essentials). Vamos começar pela minha experiência nada agradável de encontrá-lo no meu pendrive (pow, logo no meu?). Olhando nas figuras abaixo vemos como ele altera as pastas:

Figura 1 - Aspecto normal das pastas

Depois que o Dorkbot age, as pastas do seu dispositivo removível ficam assim , como se fossem atalhos (figura abaixo):

Figura 2 - Observe que as pastas viraram atalhos (setinhas no canto inferior esquerdo).

Então você clica clica clica e clica de novo e seu aquivo não abre, dai começa o desespero e você vê o espaço no seu pendrive mas a pasta insiste em não abrir, essa é a armadilha do vírus, porque ele linka para a pasta infectada e não para a sua pasta real, sua pasta real está oculta e então ensinarei agora como remover estes links e desocultar as pastas via um arquivo bat (modificado por mim) ou prompt de comando do windows.

REMOVENDO O DORKBOT COM O Desoculta e Remove LNK.bat 

Baixe o arquivo Desoculta e Remove LNK.bat desse link  (se nao sabe como criar ou acessar uma conta no 4shared para baixar o arquivo clique aqui) , descompacte-o com o winzip, winrar ou outro de sua preferência e salve-o na sua área de trabalho (figura abaixo).

Insira o seu pendrive ou cartão de memória na unidade e verifique qual unidade é atribuída a ele (figura abaixo) no caso do exemplo abaixo é a unidade J

Se você usa Windows XP e tem privilégios de Administrador é só clicar duas vezes no arquivo que foi baixado e surgirá uma tela preta(figura abaixo). Se você usa o Windows 7/8 VOCÊ PRECISA CLICAR COM O BOTÃO DIREITO DO MOUSE E ESCOLHER EXECUTAR COMO ADMINISTRADOR, SE NÃO FIZER ISSO NO WIN7/8 O PROGRAMINHA NÃO VAI FUNCIONAR. Nessa tela você digitará a letra correspondente do seu pendrive ou cartão de memória SEM OS DOIS PONTOS, DIGITE APENAS A LETRA, no caso J e depois tecle ENTER.

O “programinha” desocultará os arquivos e deletará as pastas falsas com o extensão LNK(atalho) BAT, COM e AUTORUN.INF retornando assim ao estado normal do seu dispositivo removível. Após isso será mostrada uma tela de conclusão e você pode teclar qualquer tecla para sair (figura abaixo).

Depois disso abra o novamente a unidade do seu pendrive ou cartão e constate que as pastas estarão lá e abrindo normalmente.

Agora se você gosta de desafios e quer fazer “na unha” vou mostrar como fazer isso via prompt de comando. Vamos lá

REMOVENDO O DORKBOT PELA LINHA DE COMANDO 

Abra o prompt de comando. No windows XP  clique em Iniciar > Programas > Acessórios > Prompt de Comando

No windows 7 clique em Iniciar > Todos os Programas > Acessórios > Prompt de Comando,  mas ai tem um pequeno detalhe, em vez de clicar direto pra abrir, clique com o botão direito do mouse e escolha a opção executar como Administrador.

Bom, daqui em diante tudo o que for feito aplica-se ao Windows XP e o 7.

Surgira a tela do prompt, digite a letra correspondente do seu dispositivo removível seguido pelo dois pontos “ : ” sem aspas e tecle ENTER. Dai o prompt ficará com a letra correspondente do seu dispositivo “ J:\>” .  Então execute o seguinte comando(respeitando os espaços) :

 attrib *.* /s /d -a -s -h -r e depois ENTER

 Esse comando desocultará as pastas, assim que terminar voltará para o prompt de comando, agora vamos deletar as pastas falsas e outros possíveis arquivos do vírus.

 Digite os seguintes comandos

 del  /s /f *.LNK e  tecle ENTER quando voltar ao prompt digite

del /s /f *.COM e  tecle ENTER e depois

del /s /f *.BAT e tecle ENTER e depois

del /s /f auto*.INF e tecle ENTER

           

Na figura abaixo aparecem os comandos em ordem e o momento de apertar o ENTER.

Espero ter ajudado galera, até a próxima.