Qual é a boa prática para recuperar arquivos de uma máquina infectada do ubuntu?

Question

Fui informado pela nossa universidade IT que meu laptop rodando o Ubuntu 16.04 foi infectado com um vírus / trojan, especificamente: link

Aparentemente, minha máquina está fazendo conexões com endereços IP conhecidos por serem contatados em caso de infecção. Eu gostaria de recuperar arquivos do disco rígido infectado de uma maneira segura antes de formatar a unidade.

Infelizmente, nossa pessoa de TI / administrador de rede departamental acabou de abandonar o emprego. Por isso, atualmente não tenho orientação de nossos recursos internos disponíveis. A comunidade linux em grande parte parece ver o vírus linux como um não-problema - como eu fiz até poucos dias atrás - então não há bons write-ups que eu poderia encontrar online. Eu apreciaria, portanto, alguma orientação.

Meu plano até agora é

1) Execute o Ubuntu a partir de um live-usb.

2) Desative a montagem automática usando o editor do dconf.

3) Monte o disco rígido no modo somente leitura.

4) Detectar arquivos infectados usando o clamAV e removê-los.

5) Copie todos os outros documentos para um disco rígido novo.

Como nunca me encontrei nesta situação, gostaria de receber sugestões sobre como melhorar este plano.

Além disso, gostaria de verificar se há alguma definição de vírus relevante na base de dados do clamAV antes do passo 4. Isso é possível / viável e, em caso afirmativo, como posso fazê-lo?

    

Answer 1

Seu plano parece sadio. A mídia ao vivo não monta automaticamente nem unidades internas, na minha experiência, então você não precisa alterar as configurações para isso. Você pode atualizar o ClamAV após a instalação para garantir que esteja atualizado em termos de definições.

A menos que você possa concluir o trabalho inteiro em uma sessão, no entanto, você pode encontrar problemas ao instalar o ClamAV na mídia Live - a instalação não permanecerá por meio de uma reinicialização. Você pode pesquisar "persistência" e "instalações frugais" para aprender sobre um método que permite instalar software em uma instalação USB de uma maneira que permaneça presente e configurada de uma sessão para outra.

Eu também recomendaria a transferência apenas de documentos reais (fotos, músicas, arquivos de processadores de texto, etc.), e não qualquer coisa que possa ser executável (que é onde qualquer malware residiria). Se você pegar apenas documentos de pastas não ocultas em / home, evite passar arquivos infectados para a nova instalação.