Clink fantasma no CMD: diagnóstico forense e remoção definitiva no Windows 10

Ambiente: Windows 10 22H2 (build 19045.5131) Sintoma: banner Clink v1.7.6 aparece ao abrir o CMD sem instalação aparente. Risco operacional: shell com comportamento não documentado, gerando ruído em automações e suporte.

Quando um utilitário executa sem constar no PATH, não existe mágica: existe um gatilho de inicialização em algum ponto da stack. O objetivo aqui é documentar o fluxo forense que utilizei para isolar a causa e realizar a remoção definitiva.

1) Vetor padrão: AutoRun do Command Processor#

O primeiro suspeito em inicializações customizadas do CMD é a chave AutoRun:

reg query "HKCU\Software\Microsoft\Command Processor" /v AutoRun
reg query "HKLM\Software\Microsoft\Command Processor" /v AutoRun

No incidente analisado, as chaves não estavam configuradas. Conclusão: vetor padrão descartado.

2) Windows Terminal: o ponto cego mais comum#

Em ambientes com Windows Terminal instalado, a injeção frequentemente decorre da chamada direta no perfil do cmd.exe:

1. Abrir Configurações do Windows Terminal (Ctrl + ,).
2. Abrir o arquivo JSON de configuração.
3. Inspecionar o perfil associado ao cmd.exe.

Sinal de persistência ou configuração residual:

"commandline": "cmd.exe /s /k \"%ProgramFiles(x86)%\\Clink\\bin\\clink_x64.exe inject\""

Se essa linha estiver configurada, o Clink é injetado a cada nova aba do terminal, mesmo sem entradas no PATH ou no AutoRun do registro.

3) Verificação de AppInit_DLLs#

Para garantir que não há injeção global de DLLs no carregamento dos processos:

reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" /v AppInit_DLLs
reg query "HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows NT\CurrentVersion\Windows" /v AppInit_DLLs

4) Remoção definitiva (Runbook)#

4.1 Desinstalação oficial do Clink (quando o binário ainda existir)#

Se o binário ainda estiver acessível, o método canônico e mais seguro é executar:

clink autorun show
clink autorun uninstall

4.2 Limpeza manual de chaves AutoRun (quando aplicável)#

Caso o desinstalador não esteja disponível:

reg delete "HKCU\Software\Microsoft\Command Processor" /v AutoRun /f
reg delete "HKLM\Software\Microsoft\Command Processor" /v AutoRun /f
reg delete "HKCU\Software\Policies\Microsoft\Windows\Command Processor" /v AutoRun /f
reg delete "HKLM\Software\Policies\Microsoft\Windows\Command Processor" /v AutoRun /f

4.3 Corrigir profile do Windows Terminal#

• Remover o argumento inject da propriedade commandline;
• Restaurar o comando padrão: "commandline": "cmd.exe".

4.4 Remover binários e arquivos de estado órfãos#

O Clink separa binários (%ProgramFiles(x86)%\Clink) de arquivos de estado e histórico (%LOCALAPPDATA%\clink):

dir /b "%ProgramFiles(x86)%\clink\bin"
del /f /q "%ProgramFiles(x86)%\clink\bin\clink*.chd"
rd /s /q "%ProgramFiles(x86)%\clink"
rd /s /q "%LOCALAPPDATA%\clink"

4.5 Auditoria final com Sysinternals Autoruns#

Para fechar o diagnóstico:

• Executar o Autoruns como Administrador;
• Checar as abas Logon e AppInit DLLs;
• Filtrar por termos como clink ou inject e eliminar registros órfãos.

Lições de infraestrutura e governança#

1. Se executa, existe gatilho: o PATH do sistema é apenas um entre múltiplos vetores de inicialização.
2. Políticas corporativas sobrepõem chaves de usuário: configurações via GPO em Policies\Command Processor prevalecem sobre alterações locais.
3. Padronização de shells corporativos: customizações locais não documentadas geram passivos operacionais e falhas silenciosas de automação.
4. Ferramentas dedicadas reduzem o MTTR: utilitários como Autoruns e verificações diretas de registro encurtam drasticamente o tempo de resposta a incidentes.

Veja também

Infraestrutura Removendo winfsp travado no Windows: diagnóstico real, erro MSI e remoção forçada

Infraestrutura Por que meu script PowerShell dizia que o Outlook não existia? Caçando o novo Outlook no Windows

Infraestrutura Como editar o arquivo hosts no Windows sem erro de permissão

Este post está licenciado sob CC BY-NC.