Papavírus de Pendrive

A solução

Até onde pude observar, os vírus de pendrive se aproveitam do mecanismo de execução automática (AutoRun/AutoPlay) presente em sistemas operacionais da Microsoft. Este mecanismo utiliza um arquivo chamado autorun.inf que é lido no momento em que uma mídia removível é montada pelo sistema operacional.

Uma das informações constantes do arquivo autorun.inf é a localização absoluta do arquivo infectado dentro do pendrive.

O Papavírus identifica o arquivo infectado e o remove, bem como remove o arquivo autorun.inf. Além disto, para evitar que o pendrive seja infectado novamente, o papavírus aplica um simulacro de vacina que consiste na criação de um diretório autorun.inf que recebe os atributos oculto e somente leitura. A existência deste diretório impede que um vírus crie um arquivo com o mesmo nome, proporcionando uma espécie de imunização.

O Papavírus possui os requisitos a saber:

• Computador com conector USB fêmea padrão A
• Uso dedicado das portas USB para o papavírus
• Sistema operacional Linux com suporte a
• Sistema de arquivos VFAT
• Dispositivos de armazenamento de massa USB
• Xserver com Xdialog (para interação com o usuário)
• Usbmount (para montagem do pendrive)
• Mtools (para "imunização" do pendrive)

Implementando

O Papavírus em si consiste no script listado ao final desta seção, que deve ser chamado pelo gerenciador de dispositivos como resposta ao evento de conexão de um dispositivo USB.

Em nossa implementação, utilizamos quiosques com Debian 4.0, cujo gerenciador de dispositivos é o udev. Para fazer com que o udev chame o Papavirus, foi necessario alterar o conteúdo do arquivo /etc/udev/rules.d/z60_usbmount.rules:

# Rules for USBmount

#KERNEL=="sd*", BUS=="usb", ACTION=="add",    RUN+="/usr/share/usbmount/usbmount add"
KERNEL=="sd*", BUS=="usb", ACTION=="add",    RUN+="/usr/local/scripts/papavirus.sh"
KERNEL=="ub*", BUS=="usb", ACTION=="add",    RUN+="/usr/share/usbmount/usbmount add"
KERNEL=="sd*",             ACTION=="remove", RUN+="/usr/share/usbmount/usbmount remove"
KERNEL=="ub*",             ACTION=="remove", RUN+="/usr/share/usbmount/usbmount remove"

Para que o usbmount interaja com sistemas de arquivos vfat, é necessário que isto esteja previsto na variável FILESYSTEMS do arquivo /etc/usbmount/usbmount.conf.

Eis, agora, o script "Papavírus de Pendrive":

#!/bin/bash

# #######
#
# Papavirus de Pendrive
#
# Autor: Fabiano Caixeta Duarte
# Data:  22/07/2009
#
# Remove virus de pendrive e o imuniza
#
# Dependencias: udev usbmount xdialog mtools
#
# #######

/usr/share/usbmount/usbmount add

PENDRIVE=$(df |grep sdb|awk '{print $NF}')

if [ -n "$PENDRIVE" ]; then

  /bin/su - kiosk -c 'export DISPLAY=:0.0;/usr/bin/Xdialog --title \
  Papa-Virus --infobox "Aguarde enquanto procuro por virus" 7 50 5000'

  AUTORUN=$(find $PENDRIVE -type f -iname autorun.inf -maxdepth 1)

  if [ -f "$AUTORUN" ]; then
          OPENLINE=$(grep -i ^open $AUTORUN)
          VIRUS=${OPENLINE:5}
          VIRUS=$(find $PENDRIVE -name $(basename ${VIRUS//\\//}))
          chmod +w $VIRUS
          rm $VIRUS 2>/dev/null || (chmod +w $(dirname $VIRUS); rm $VIRUS)
          chmod +w $AUTORUN
          rm $AUTORUN
          sync
          MSG="Virus removido. Pode remover seu pendrive"
  else
          MSG="Nenhum virus foi encontrado. Pode remover seu pendrive"
  fi

  # Mesmo sem autorun.inf, o pendrive pode ter um diretorio recycler com binario infectado
  RECYCLER=$(find $PENDRIVE -iname recycler 2>/dev/null) && (chmod -R +w $RECYCLER; rm -R $RECYCLER)

  # Imunizar pen-drive
  mkdir $PENDRIVE/autorun.inf
  mcd p:
  mattrib +r +h autorun.inf

  /bin/su - kiosk -c "export DISPLAY=:0.0;/usr/bin/Xdialog --title Papa-Virus --infobox \"$MSG\" 7 60 60000"
fi

Observação: o xdialog precisa ser executado pelo dono da sessão X (kiosk, no nosso contexto) em execução nos quiosques.

Conclusão

Virus para sistemas operacionais da Microsoft não deveriam, a princípio, preocupar usuários de sistemas operacionais livres. Na verdade, não preocupam. Nos preocupamos com os colegas que por uma razão ou por outra, utilizam aqueles sistemas e ficam vulneráveis a certos problemas.

Esta dica mostrou mais uma situação em que o software livre se revela uma ferramenta eficiente para solucionar problemas do dia-a-dia.

Ficarei feliz em receber sugestões de melhoria.

Complemento um pouco off-topic

Fui informado de que a Microsoft lançou uma atualização para seus sistemas que serve para modificar o funcionamento do mecanismo Autorun/Autoplay. Trata-se da atualização KB971029, que faz com que o mecanismo seja aplicável apenas para CDs e DVDs.

Fabiano Caixeta Duarte é Especialista em Redes de Computadores, com foco no gerenciamento de serviços de rede em sistems operacionais Unix-like e desenvolvimento de soluções em shell-script e perl.