PANTALLA DE INFORMACION Y UTILIZACION SOBRE PROGRAMA SCOPY.EXE
En ocasiones se quiere sobreescribir físicamente un sector del disco duro del cabezal 0, cilindro 0 (correspondiente a la zona reservada para tabla de partición o drivers de arranque complementarios, para redesplazar la información de un sector desplazado por un virus, desde el sector que se conoce que ha sido el de destino, al inicial (primer sector físico) u otro deseado.
Dado que muchos usuarios no tienen los medios técnicos para efectuar estas operaciones, hemos creado esta utilidad SCOPY para poder operar según se desee, si bien AVISAMOS que su utilización errónea puede causar la pérdida de datos de su ordenador !
SCOPY /H y /?
Un resumen de las opciones del SCOPY se ofrecen entrando la opción /H o /?, mostrando un extracto de las opciones y su utilidad.
SCOPY /S17 y /R17
Antes que nada es recomendable salvar los 17 sectores actuales de dicha zona en un disquete formateado y con sistema, en el que se haya copiado el fichero SCOPY.EXE. Para ello, arrancando con dicho disquete, se deberá procesar el SCOPY /S17, con lo que se copiarán los 17 primeros sectores físicos actuales. Tras ello podrá utilizarse el SCOPY según se crea necesario, pudiendo recuperar lo original con el SCOPY /R17 si se deseara.
Al programa SCOPY.EXE le vamos implementando prestaciones para poder disponer de herramientas técnicas que permitan al usuario visualizar, salvar y restaurar sectores físicos del disco duro.
SCOPY /SECT
Básicamente el SCOPY visualiza un sector determinado del disco duro con SCOPY /SECT, y permite ver los sucesivos o anteriores con + y -. La otra función básica es la de poder grabar un sector determinado de los 17 físicos reservados a la partición, sobre el que se pretenda sobreescribir, a través de SCOPY 14 1 si se quiere implantar el contenido del sector físico 14 de la cara 0 cil 0, en el sector físico 1 de la cara 0 cil 0, normalmente usado por MBR.
SCOPY /SBOOT y /RBOOT
La función /SBOOT copia sect 1,0,1 de C: a fichero A:\BOOT101
La función /RBOOT restaura 1,0,1 de C: con datos A:\BOOT101 -> ello se hace físicamente, por lo que será posible implantar dicho sector aunque C: no esté formateado con FAT (por ejemplo NTFS)
SCOPY /SMBR y /RMBR
La función /SMBR salva sector 1,0,0 de C: a fichero A:\MBR001
La función /RMBR sobreescribe 1,0,0 de C: con datos A:\MBR001
SCOPY /PART
La recuperación de los datos de la tabla de partición (MBR) se consigue con SCOPY /PART, en base del SETUP y de los BOOTS encontrados en modo físico, con lo que desde v 1.7 sobreescribirá el código de dicho sector en función del indicador de sistema.
SCOPY /MAST
Si sólo se desea sobreescribir el código utilizar SCOPY /MAST
SCOPY /BOOT
Los datos del BOOT de arranque podrán implantarse ejecutando SCOPY /BOOT, tras lo cual se deberá arrancar desde disquete con sistema operativo igual al del disco duro y ejecutar SYS C:
SCOPY /INFO
Otra opción implementada en el SCOPY es la /INFO, con la cual poder ver los datos del SETUP en cuanto a parámetros del HDD (disco duro), simultáneamente a los valores de las particiones definidas en la Tabla de Partición, recordando que si se trata de una única partición de todo el disco duro, los valores del SETUP debe coincidir con el número de sectores de la partición, si bien en cilindros y cabezales, al contar el número 0. el número de cabezales del SETUP debe ser uno mas que el último cabezal indicado en la partición, igualmente que en los cilindros
SCOPY /IS
En ocasiones se pierde el acceso a la partición lógica por haber cambiado el indicador de sistema, lo cual también podrá cambiarse con SCOPY /IS (Para BIGDOS/FAT16 es 6 y para FAT32 11 o 12)
SCOPY /SEGU
En cualquier caso es MUY IMPORTANTE hacer una copia previa de los sectores que se vayan a modificar, con SCOPY /S17 para MBR y
SCOPY /SBOOT para el BOOT, o SCOPY /SEGU para salvar MBR y BOOT de todos los discos duros simultáneamente.
SCOPY /CIH
Debido a las incidencias con los virus CIH y VBS/Timofónica, hemos creado nuevas opciones con el fin de restaurar las tablas de partición básica y de las particiones extendidas que pudieran contener las particiones básicas.
Como que el virus CIH, en su activación cada 26 de Abril, sobreescribe el 1er Mb del disco duro, tanto el MBR como el BOOT son sobreescritos, por lo que no puede partirse de los datos del Boot para rehacer el MBR. Para restaurar el MBR de los discos duros afectados por el CIH, se dispone de la opción /CIH con la que se restaurará, partiendo de los datos del CMOS, la tabla de partición o MBR del disco duro, con las consiguientes particiones secundarias si existieran.
SCOPY /TIMO
Para restaurar el acceso perdido por la activación del VBS/Timofónica, desde Scopy V2.3, se dispone de la opción /TIMO con la que restaurar el MBR y las marcas de cada una de las particiones extendidas.
SCOPY /WYX
Una nueva función, especial para las dos versiones conocidas del virus WYX, ha sido añadida a los parámetros del SCOPY v2.4, con la cual poder restaurar el MBR y el BOOT de los ordenadores infectados por dicho virus. Para ello es necesario arrancar el ordenador con un disco de sistema limpio de virus (el TRANSFER por ejemplo) y ejecutar SCOPY /WYX, siendo recomendable, como siempre antes de ejecutar ninguna otra opción del SCOPY, ejecutar SCOPY /SEGU para disponer de copia de seguridad de los sectores reservados y poder hacer marcha atrás si fuera necesario.
SCOPY /MONK
Esta opción permite restaurar la tabla de partición de un ordenador infectado con el virus MONKEY (Empire Monkey.b), con arrancar el ordenador con un disco de sistema limpio de virus (como el propio TRANSFER) y ejecutar el SCOPY /MONK. Tras haber examinado que en el primer sector físico haya el Monkey, y ver que en el sector 3 hay una copia de la partición original, encriptada con XOR 2E, la desencriptará y la sobreescribirá en el 1, eliminando el virus y restaurando el correcto arranque del ordenador, alterado si se tiene bios AWARD y el SETUP configurado en AUTO, por haberlo convertido el AUTODETECT a LARGE, en lugar de NORMAL o LBA, lo cual impide que el ordenador arranque. Tras ejecutar SCOPY /MONK, se podrá arrancar normalmente y sin virus.
SCOPY /FORM
Esta opción permite eliminar el virus FORM del BOOT de los discos duros con cualquier sistema operativo, incluidos NT/NTFS, W2000, ME, además de los clásicos W9x. Con ello se elimina el problema de la falta de disquete de arranque y utilidad SYS en NT/NTFS, y facilita el no tener que buscar un disquete con el mismo sistema de arranque de la máquina, en cualquiera de los otros sistemas operativos, pues arrancando con cualquier disco de sistema limpio de virus, y ejecutando SCOPY /FORM, se restaurará el BOOT correcto al disco duro infectado. Recomendamos el disponer y utilizar el disquete TRANSFER actualizado, en el cual ya se incluye arranque de McAfee Executive y la utilidad SCOPY en cuestión. Para ello acceder a la carpeta TRANSFER del CDROM 4125 y ejecutar TRANSFER A:
Además de las opciones comentadas anteriormente, debido a las incidencias con los virus CIH y VBS/Timofónica, hemos creado nuevas opciones con el fin de restaurar las tablas de partición básica y de las particiones extendidas que pudieran contener las particiones básicas. Como que el virus CIH, en su activación cada 26 de Abril, sobreescribe el 1er Mb del disco duro, tanto el MBR como el BOOT son sobreescritos, por lo que no puede partirse de los datos del Boot para rehacer el MBR. Para restaurar el MBR de los discos duros afectados por el CIH, se dispone de la opción /CIH con la que se restaurará, partiendo de los datos del CMOS, la tabla de partición o MBR del disco duro, con las consiguientes particiones secundarias si existieran.
Para restaurar el acceso perdido por la activación del VBS/Timofónica, desde Scopy V2.3, se dispone de la opción /TIMO con la que restaurar el MBR y las marcas de cada una de las particiones extendidas.
SCOPY /BATH
Ante la incidencia de este virus de BOOT en ordenadores NT y W2000, en los que no se puede arrancar desde disquete de sistema y transferirlo al disco duro, hemos añadido la opción BATH para eliminar el virus del BOOT en ordenadores compatibles PC, tanto para Windows 9x como NT /W2000 y ME. Para ello arrancar con un disquete de sistema libre de virus, que puede ser nuestro disco TRANSFER (ver ultimo párrafo del apartado anterior) y ejecutar SCOPY /BATH, con lo que se restaurará el BOOT de arranque del disco duro infectado con el virus BATH (antes virus Boot-437).
Esta opción está disponible desde v 2.7 de SCOPY.EXE