Este documento fornece instruções sobre como prevenir, detectar e remover vírus e cavalos de Tróia. Ele recomenda usar programas antivírus atualizados e nunca executar arquivos recebidos por e-mail ou sites não oficiais. Também fornece comandos para verificar manualmente a presença do Netbus e Back Orifice usando a janela MS-DOS e o comando netstat.

1. De: Joel Ferreira Alvarenga
Vírus e Trojan Horses
1

2. De: Joel Ferreira Alvarenga
Prevenindo-se, Detectando Vírus e Trojan Horses
• Previna-se
Nunca execute um programa, seja ele qual for, recebido por e-mail, IRC, sites
não oficiais, etc...
É muito comum a disseminação de Viroses ou Trojan Horses através de sites que
distribuem pirataria (warez), crackers ou programas que tenham propósito destrutivo,
conhecidos como "War Tools", tais como: Nukers, Flooders, laboratórios de vírus e de
Trojan Horses, e-mail bombers, etc...
Qualquer tipo de actualização, geralmente denominados "patches", deve ser
adquirido única e exclusivamente através da empresa que desenvolveu o software.
Faça uso constante de programas Antivírus, assim como a actualização dos
mesmos deve, também, ser constante.
• Detecção
Caso você não possua um programa Antivírus indicamos o SAV - Sophos Anti-
Virus ou Norton Internet Security 2005, etc. pois estes já detectam estes Trojan Horses.
Caso você possua um Anti-Vírus e o mesmo esteja desactualizado,
recomendamos que seja feita actualização do mesmo o mais rápido possível.
2

3. De: Joel Ferreira Alvarenga
Os seguintes passos, são para a detecção manual dos Trojan Horses em questão:
Para a detecção do NETBUS, abra uma janela de MS-DOS e digite no prompt:
telnet 127.0.0.1 12345 ou
telnet 127.0.0.1 12346
a janela de telnet (programa) do Windows irá se abrir e caso apareça, dentro dessa
janela, a palavra netbus, seu sistema está infectado por este Trojan Horse.
Para a detecção de ambos, NETBUS e/ou BACK ORIFICE, antes de mais nada,
recomendamos que você finalize todos programas que utilizem a Internet, após isto abra
uma janela de MS-DOS e digite no prompt:
netstat -an |more
Geralmente, isto é, caso ele não tenha sido modificado, o BACK ORIFICE mostra o
seguinte status no netstat:
UDP 0.0.0.0:31337 *:*
O NETBUS mostra o seguinte status no netstat:
TCP 0.0.0.0:12345 *:*
TCP 0.0.0.0:12346 *:*
3

4. De: Joel Ferreira Alvarenga
Qualquer outra resposta "estranha" do netstat, especialmente aquelas que indicarem
portas UDP ou TCP altas, deve ser considerada suspeita.
4