Vírus encadeados

Passei um perrengue enorme nas últimas duas semanas por causa de um vírus. No processo descobri algumas coisas interessantes, acho que tinha tempo que eu não lia tanto sobre o assunto. Os novos vírus agora se propagam por http, ou seja, eles usam o protocolo da web para a disseminação. Um dos vírus que encontrei foi  o Infostealer.Gampass, o "Gampass" é de Game Password, o miserável ocupa a sua banda de internet, infecta a sua rede para a tarefa de roubas senhas de jogos online, ninguém merece isso, mas como esse cara foi parar lá? Ele foi baixado por outro vírus, é isso mesmo, um downloader chamado Trojan.Murlo baixa o Infostealer, esse sim se propaga usando o HTTP, agora a grande surpresa para mim foi que esse cara está sendo baixado da internet também, então temos um script ou um outro vírus que baixa o downloader que baixa o InfoStealer, e não pensem que ele é inofensivo para quem não joga, existem variantes do mesmo, como o Infostealer.Bank esse pega os seus dados bancários, mas o código desse é mais fácil de ser pego pelos antivírus.

O script ou vírus ainda não detectado faz um download do site "Http:\\root.51113.com\" e baixa o arquivo root.gif, que na verdade é o vírus Trojan.Downloader, após baixar ele renomeia o arquivo para wmsetup.dll e o copia para os diretórios "C:\Windows\TEMP" e para o diretório de temporários de internet, se ele não for detectado ele se instale e começa a baixar outros vírus.

Até agora a única forma de parar o processo que achei foi aplicar o XP SP3 na máquina infectada, então ficam duas hipóteses, ou a DLL pela qual o vírus se passa foi sobrescrita pelo SP3 ou a função que o vírus utiliza mudou a sintaxe dentro de alguma DLL. Antes que alguém suponha que era alguma falha de segurança, mesmo o Windows XP com SP2 com TODOS os patchs de segurança e críticos aplicados, permaneceu infectado.

Tentei limpar esse cara com o Symantec (que até sexta feira não pegava nem o Trojan.Murlo, só detectava o InfoStealer), o NOD32 que chegava a limpar o Trojan.Murlo mas ele continuava sendo baixado, assim como o Avast, o AVG, o  Panda, o Clam AV, O AntiVir e o F-Secure, sim nós (eu e a equipa lá do trabalho) testamos todos esses.

Estou em contato direto com a Symantec de SP e estamos tentando identificar o causador da bagaça, assim que nós QUANDO conseguirmos identificar e eliminar a ameaça eu conto aqui o que era.

Uma dica: Se você acha que um determinado arquivo pode ser um vírus, ou que ele esteja contaminado por um, você pode enviá-lo para o site http://www.virscan.org/ para análise, ele passa o seu arquivo por dezenas de antivírus e te dá o resultado na hora. Sei não, mas depois dessas últimas semanas eu passei a sentir saudades dos velhos Michelangelos, DIRII, e outros vírus do passado...