Está aberta uma nova porta para a contaminação de máquinas por vírus. Agora, eles se escondem em páginas na Internet
A Panda Software, empresa desenvolvedora de programas de segurança na Europa, anunciou esta semana o surgimento do HTML/Little Davinia. B, uma variante do Little Davinia, descoberto em janeiro. Segundo a empresa, é um verme de HTML, VBS, correio e macro. A infecção alia HTML com a facilidade de se colocar arquivos nas web, abrindo uma Caixa de Pandora para o mundo do vírus. Até agora, é impossível recuperar as informações perdidas. De acordo com a gerente de marketing e produtos da empresa no Brasil, Magali Cantisani, o vírus ainda não está disseminado, mas germes semelhantes podem vir por aí.
O Little Davinia.B está escondido na página http://www.terra.es/personal2/jackis2. Mas a empresa avisa aos curiosos: Nem pensar em entrar nesse endereço, porque a contaminação é certa. Ela acontece quando o usuário se conecta ao link mencionado ou a outro que contenha o vírus, e este abre diversas conexões com esta página. Durante este procedimento, ele também descarrega automaticamente o documento LD.doc, que irá se abrir sem mostrar nenhum tipo de advertência ao usuário sobre a presença de macros no mesmo. Ao abrir-se (em Word 97 e 2000), o arquivo executa uma macro, que gera o arquivo Littledavinia.vbs no diretório Windows/System. Paralelamente, o arquivo será vinculado a uma entrada do registro do Windows (HKLM\ Software\Microsoft\ Windows\ Current Version\ Run\ Davi), sendo executado na próxima inicialização da máquina.
Retransmissão
O problema não pára por aí. Depois de se espalhar pelos diretórios da máquina infectada, o verme envia um e-mail sem assunto específico para todos o endereços registrados. No corpo da mensagem vai um código HTML, que está programado para conectar-se em seis ocasiões diferentes a uma das páginas da web que contêm o vírus. Por isso, a orientação da Panda Software é que não seja aberta nenhuma mensagem sem assunto, mesmo que venha de um remetente conhecido.
Sintomas
A contaminação pelo LittleDavinia.B pode ser identificada por algumas alterações no comportamento da máquina. A primeira delas é que o verme gera um texto em HTML (veja foto). Este quadro será mostrado na tela cerca de 250 vezes. A partir daí, o vírus percorre todos os diretórios dos HD e as unidades de rede a que o micro tiver acesso, sobrescrevendo o código HTML em todos os arquivos com extensão HTM, HTML ou URL.
Segundo a empresa, o LittleDavinia.B modifica seu próprio código de modo que, ao ser inicializado numa segunda vez, o arquivo littleda-vinia.vbs será executado. Então, o vírus irá buscar arquivos de qualquer extensão em todas a unidades e diretórios. Toda informação do equipamento se perde, sem qualquer chance de recuperação.
Mensagem avisa envio do vírus
Outro vírus anunciado pela Panda Software esta semana é o W32/Universe. Segundo a empresa, o usuário recebe um e-mail avisando da existência do W32. Não se trata de um aviso inocente, mas do próprio vírus, que irá contaminar o seu micro e buscar endereços de e-mail na memória cache para enviar mensagens. Mas o criador do verme cometeu alguns erros e nem sempre o vírus consegue agir.
Ao ser rodado, o arquivo que contém o vírus se copia para o diretório C:\Windows\ System com o nome MSVBVB60. EXE. Esse nome e o aparecimento de seu ícone não são uma mera coincidência. O autor do verme usou um nome que é bem parecido para a biblioteca dinâmica Visual Basic - MSVBVM60.DLL - usada por muitas aplicações. Isso faz com que passe praticamente despercebido pelos usuários.
O Universe pode enviar mensagens a todos os endereços do cache, anexando o UNICLEAN.ZIP que, ao invés de limpar (clean, em inglês, é limpar), ele instala o vírus. Pode enviar uma mensagem com todos os dados do usuário ao criador do verme. Pode substituir a página de início do Internet Explorer e alterar o papel de parede do Windows, entre vários outros danos.