Alguns programas arrancam automaticamente com o Windows através de entradas de inicialização. Esse mecanismo é legítimo em muitas aplicações, mas pode ser abusado por uma infeção para continuar ativa depois de reiniciar o computador.
O que é HKCU Run
O caminho HKCUSoftwareMicrosoftWindowsCurrentVersionRun permite associar comandos ao início de sessão do utilizador. O nome de um valor, por si só, não identifica intenção maliciosa.
O indicador Helper
Nos cenários MAYUNDO reproduzidos, foi observada uma entrada RunHelper associada à cadeia. O mecanismo tornava insuficiente olhar apenas para o conteúdo da unidade removível.
Por que evitar a remoção manual indiscriminada
Eliminar valores de registo ao acaso pode interromper programas legítimos. Antes de alterar inicialização, identifique o comando, o ficheiro de destino e outros indicadores, e preserve evidências ou pontos de recuperação adequados.
Validação do ANTÍDOTO
No laboratório V1.6.3, a remoção da persistência observada foi confirmada e a reanálise terminou sem aquela cadeia conhecida. Em casos reais, novos indicadores exigem nova análise.
Leituras relacionadas
- Formatou o flash e o problema voltou? MAYUNDO pode persistir no Windows
- Reinfeção Windows ↔ USB: entender a cadeia associada ao MAYUNDO
Análise segura com o ANTÍDOTO
Se reconhece estes sintomas, pode descarregar o ANTÍDOTO e fazer uma análise gratuita do Windows e dos dispositivos externos. Consulte os resultados antes de decidir sobre a remediação, que exige uma licença. Veja também os planos de licenciamento e a Central de Recursos. As deteções e os resultados variam conforme o caso.