Cavalos de Tróia (Trojan Horses)

Nota (01/09/2004): Remover um Cavalo de Tróia é tarefa difícil. Muitas vezes o anti-virus até consegue identificá-lo, mas é incapaz de removê-lo. Não me peça ajuda para remover o Cavalo de Tróia que está no seu micro, porque o procedimento de identificação e remoção pode ser tediosamente demorado e complexo até quando se está na frente da máquina e fica muito mais difícil quando você está orientando uma pessoa por e-mail ou telefone. Eu removo Cavalos de Tróia com frequencia das máquinas de meus amigos e de meus clientes, mas eu tenho que ter acesso à máquina para fazer isso. É preciso fazer buscas no HD, procurando por padrões de comportamento. É preciso prestar atenção às reações do parasita às suas tentativas de removê-lo, etc.

Existem ferramentas especializadas na identificação e remoção de Cavalos de Tróia que você pode tentar, como o Adaware, o Spybot - Search and Destroy e o Trojan Defense Suite. Eu não uso nenhum deles, porque nos testes que fiz achei os dois primeiros exageradamente paranóicos e o terceiro "fresco" demais, mas você pode tentar...

Nota (08/06/2003): Estamos em 2003. Muita coisa se modernizou na Informática e os autores de vírus estão cada vez mais espertos, mas os programas anti-virus continuam tão burros como sempre foram. Todos os anti-virus populares ainda são incapazes de perceber a atividade de um vírus que eles ainda não conhecem.

Nota (10/07/2003): Se você já recebeu em seu e-mail uma das seguintes mensagens:

• do Banco do Brasil ou do Itaú, afirmando que você precisava baixar um programa de cadastro para atualizar seus dados cadastrais no banco;
• da Rede Globo, dizendo que você foi escolhido para o Big Brother Brasil, mas que precisa instalar um formulário no seu micro para preencher e enviar para emissora;
• Cartão Virtual de alguém que você desconhece, que precisa ser baixado e rodado no seu computador;
• Do Serasa, dizendo que você está em débito e que precisa baixar um "relatório" da sua dívida;

Você recebeu um convite para instalar um Cavalo de Tróia em sua máquina. Se você baixou e rodou um desses programas confiando que seu anti-virus o avisaria se fosse malicioso, lamento, mas você se enganou.

Vou discutir aqui um risco que é real, como o risco que você corre de ser assaltado voltando para casa à noite. Mas não significa que você VAI ser assaltado SEMPRE que voltar para casa à noite. Não é nenhuma calamidade, nem há uma epidemia de programadores maliciosos à espreita. Use seu bom senso para discernir.

Meses antes do lançamento do Windows 95. Correu um boato de que a Microsoft havia programado a nova versão do Windows para enviar informações sobre o computador onde estava instalada, via Internet. A gritaria foi geral e a Microsoft acabou confirmando ser verdade. Até onde sei, a empresa removeu essa "característica" do Windows 95.

Algum tempo depois , a Blizzard entertainment, produtora de sucessos como Diablo e Warcraft, foi processada por coletar furtivamente informações em computadores de usuários conectados ao seu serviço on-line "battle.net".

Vírus X Cavalo-de-Tróia - Qual você mais teme?

A maioria das pessoas envolvidas de uma forma ou outra com informática já se deparou com o conceito de vírus de computador, mas é difícil encontrar alguém que saiba o que é um cavalo-de-tróia e o que ele representa para a segurança de seu sistema.

O conceito de Virus

Vírus de computador (daqui em diante chamarei apenas de vírus) tem esse nome porque à semelhança de seu xará orgânico ele tem a capacidade de se multiplicar em um organismo hospedeiro e infectar outros organismos semelhantes. Ao contrário do seu xará que ataca humanos e animais, ele tem um objetivo que foi definido pela mente obscura de quem o criou.

Apesar de potencialmente perigosos, os vírus podem ser detectados com certa facilidade justamente devido à sua característica mais marcante: ele precisa se espalhar para fazer o que foi programado para fazer. O vírus toma o controle do computador onde se instalou e para fazer isso sem ser percebido pelo usuário ele usa padrões de comportamento e trechos de código que são do conhecimento dos programas anti-vírus. O programa anti-vírus procura por esse padrões e achando-os pode ter uma razoável certeza de que existe um vírus no sistema.

Após saber que há um vírus, o anti-vírus analisa seu código e o compara a um banco de dados com informações sobre vírus conhecidos. Quando o padrão de um vírus confere com o código encontrado no computador o anti-vírus sabe com que vírus está lidando e (geralmente) como removê-lo.

O que isto tudo tem a ver com estória sobre a Microsoft? Paciência, eu vou esclarecer.

Assim como o seu xará, o vírus de computador pode ser evitado quando o usuário toma certas precauções, como usar sempre software original (não pirateado), evitar grupos de risco (outros usuários que não tomam precauções) e sempre testar (vacinar) toda a mídia que vem de fora de seu ambiente (disquetes, CDs, Zip Disks, etc).

Nada disso funciona contra um Cavalo de Tróia.

É hora de exercitar sua paranóia

Os gregos conseguiram invadir a cidadela troiana presenteando seus incautos inimigos com um enorme cavalo de madeira (cheinho de soldados gregos). O Cavalo de Tróia da Informática é um programa que foi programado para fazer coisas que você desconhece e geralmente não deseja, sem a sua permissão ou o seu conhecimento.

Veja o exemplo da Microsoft. Se essa característica permanecesse fora do conhecimento do grande público, seria o maior exemplo de cavalo troiano do mundo. Quem era contrário à idéia da Microsoft alegava entre outras coisas que seria muito fácil para o Windows95 descobrir que estava instalado em um computador usado para desenvolvimento de aplicações, por exemplo, e enviar sorrateiramente os códigos-fonte para a Microsoft, que poderia então "apossar-se" das idéias de outros desenvolvedores rapidamente.

Está respirando aliviado pela Microsoft ter voltado atrás? Continue lendo...

Cavalos troianos como o da Microsoft são quase indetectáveis. Se você já se acostumou com o fato de que de vez em quando o seu winchester começa a trabalhar feito louco e você não faz a menor idéia do que ele esta fazendo e acaba ignorando como sendo mais uma "esquisitice" do sistema, você (como eu) é a vítima perfeita para um cavalo de Tróia.

Vejamos mais exemplos:

Caso 1

Um certo programa destinado à extração digital de áudio (uma técnica para copiar digitalmente um CD de música para o HD) foi distribuído como shareware na Internet. Um grupo de piratas criou um "crack" para o programa que removia certas limitações que a versão shareware tinha. Não levou muito tempo para usuários começarem a mandar e-mail para o autor do programa reclamando que sempre que faziam uma extração, surgiam "clicks" esporádicos na música extraída que a estragavam. O autor revelou então que seu programa foi protegido contra tentativas de pirataria dessa forma. Quando o programa detectava que seu código tinha sido alterado, continuava funcionando, mas incluía os "clicks" sorrateiros em todo trabalho realizado. O autor completou sua explanação com: "eu tive a minha vingança!".

Caso 2

Uma versão pirata do 3D Studio MAX (um caríssimo programa para criação em três dimensões) tinha a curiosa característica de ao detectar que a máquina onde foi instalado tem o acesso dial-up do windows 95 instalado, tentar efetuar uma conexão sorrateira à Internet. A conexão falhava e a rede dial-up avisava o usuário, denunciando as intenções do programa. Uma manobra tola porque bastaria ele aguardar que o usuário efetuasse uma conexão espontânea à Internet para permanecer indetectado. O que o 3DS MAX queria conectando-se à Internet? Eu deixo para a sua imaginação.

Caso 3

Recentemente, fazendo uma pesquisa pelo Altavista, eu me deparei com a peculiar descrição:

132. NT FAQ ........

[Illegal Copy of Namo WebEditor]
URL: myhome.netsgo.com/deangel/faq4.html
Last modified 20-Jul-98 - page size 81K - in Korean (KSC)

Eu carreguei a página e havia o seguinte no código fonte:

<head>
<title>NT FAQ ÀÎÅͳÝÆí</title>
<meta http-equiv="Content-Type" content="text/html; charset=iso-8859-1">
<meta name="Template" content="D:\Microsoft Office\Office\html.dot">
<meta http-equiv="Content-Type" content="text/html; charset=EUC-KR">
<meta name="author" content="¿À¼º¹Î">
<meta name="description" content="[Illegal Copy of Namo WebEditor] ">
<meta name="GENERATOR" content="Namo WebEditor v2.00">
</head>

Não é tarefa fácil, eu fiz uma busca específica para "Illegal Copy of Namo WebEditor" e o Altavista me informou que haviam 33890 ocorrências. Mas não é necessário ir atrás de todas. O desenvolvedor vai procurar os sites que pareçam mais "rentáveis" para processar (sites muito visitados e/ou patrocinados). Imagine o problema para a empresa cujo site está sendo produzido por vários funcionários, sem um controle centralizado do que eles estão fazendo.

Nos dois primeiros casos, vale ressaltar que os programas foram alterados para burlar a proteção anti-cópia. Fazer uma cópia integral do CD ou disquete do software com o objetivo de proteger seu investimento não o torna um alvo desse tipo de "vingança" do desenvolvedor. Além do mais, a maioria dos desenvolvedores avisa que alterações em seu produto são expressamente proibidas. No terceiro caso, é bem provável que o Namo WebEditor seja um programa shareware e esteja sendo usado além do prazo máximo do desenvolvedor para "pagar ou deixar de usar".

Ainda não cheguei aonde eu queria. Quando você altera um software ou o adquire alterado você está procurando por problemas. Minha legítima descrição de um Cavalo de Tróia vem aí.

Os casos mais conhecidos de Cavalo de Tróia envolvem o Back Orifice e o Netbus. Que embora perigosos e muito bem bolados, são fáceis de detectar. Apenas a ponta do Iceberg no cenário de Trojan Horses

Upa, upa, cavalinho...

Sempre foi possível, sem recorrer à pirataria, conseguir software grátis para uso em seu computador. Dezenas de milhares de programadores em todo o mundo escrevem pequenos e grandes programas de todos os tipos e finalidades e os distribuem on-line. Alguns desses programadores pedem que se você gostar do programa pague por ele, mas alguns simplesmente os dão de graça, quer seja por que querem tornar-se conhecidos ou por que escreveram um programa interessante para uso particular e não veêm motivo para não compartilha-lo com o mundo. Muitos desses programadores já tem uma fonte de renda, por isso não preocupam-se em cobrar.

Você mesmo deve ter nesse momento um programa desse tipo em seu computador.

Imagine então os diversos cenários possíveis:

Você está usando um programa shareware e passou do prazo estipulado pelo programa para "pagar ou deixar de usar". O programa sabe contar os dias e muitos deles param de funcionar depois do prazo. Mas e os que não param? Lembra dos "cliques" e da "vingança"?

Você está usando um programa que tem acesso às suas senhas. Um programa de FTP, Telnet, etc. Até mesmo um programa gerenciador de senhas, como o distribuído pela Ziff Davis. Esse programa tem logins e senhas seus que você forneceu espontaneamente. E se a intenção do programador ao distribuir o programa foi justamente obter senhas de acesso? Programas de uso local em estações que ficam eletronicamente isoladas do resto do mundo não oferecem perigo. Mas e os programas que você usa justamente para acesso ao mundo como FTP e Telnet? O que os impede de mandar cópias de suas senhas para outros destinos enquanto você os está usando?

Um programa conhecido pode ser adulterado propositalmente e espalhado pela Internet. Imagine o Quake 2, por exemplo. Um jogo aguardado por muitos meses. Alguém poderia pegar uma cópia do demo quando fosse lançada, alterá-la para fazer algo malicioso e passá-la à frente. Você nunca iria saber o que o atingiu. Isso já aconteceu com programas como o ARJ, o ARC e inúmeros outros programas populares distribuídos pela Internet.

Algum tempo atrás, quando eu ainda tinha tempo para leituras não-técnicas, eu li um livro de Stephen King (o mestre do horror) chamado "A hora do vampiro" (tradução oportunista do título original: Salem's Lot). Na estória, os vampiros não podem entrar em sua casa sem que você os convide. Mas eles podem hipnotizar você para conseguir a permissão. O que isso tem a ver? Continue lendo...

Não é fácil escrever um vírus. Quem os cria detém um invejável conhecimento do funcionamento de um computador e usa linguagens de programação que são grego puro para os demais mortais.

Mas os cavalos de tróia podem ser escritos por *qualquer* mente maliciosa que conheça *qualquer* linguagem de programação. Cavalos de Tróia podem ser produzidos em Clipper, Delphi, Visual Basic, Cobol... Qualquer linguagem!

É claro que dá trabalho escrever uma aplicação útil para esconder um código malicioso, então alguns tomam um atalho. Escrevem um código que não tem mais nada além de um formatador de HD, por exemplo, e colocam à disposição na Internet em um site muito visitado afirmando ser um super-hiper-ultra programa que faz alguma coisa mirabolantemente fantástica. Acredite, muita gente ainda não desconfia do que "é muito bom para ser verdade" e se deixa "hipnotizar" (entendeu agora?). Trazem esse programa para seus computadores e o executam. ZAPT. Até que se descubra a verdadeira intenção do programa e alguém o retire "do ar", muito estrago foi feito.

Não estou conjeturando, isso já aconteceu!

Tenha em mente que ter seu HD formatado não é a pior coisa que um Cavalo de Tróia pode fazer. Ele pode também localizar suas planilhas (como as do Excel) e trocar aleatoriamente um único número em um único campo. Se essa planilha for a folha de pagamento da sua empresa e dependendo dos procedimentos de conferência que você adota, você pode estar mais ou menos encrencado. E, com o mundo todo conectado à Internet, você pode acabar instalando um programa que monitora seu acesso ao site do seu banco e roube suas senhas!

Uma variação interessante dessa "ingenuidade" eu ouvi com freqüência. Tinha gente que jurava de pés juntos para mim que estva usando o "Windows 97". Eu já discuti muito isso mas cansei e agora me limito a balançar a cabeça em concordância e sorrir. Qualquer pessoa que se informe sabe que o Windows 97 nunca existiu. A pessoa que "cai numa dessas", engole qualquer Cavalo de Tróia.

Conheço uma atualização para o "Windows 96" (outra coisa que nunca existiu) que circulou pela Internet anos atrás. Fui conferir se não era o Service Pack 1 (uma atualização legítima do Windows 95) e não era. O programa tinha até um arquivo com extensão .CAB típica de produtos Microsoft, mas era falso e não foi reconhecido pelo utilitário cabview da Microsoft. Era um arquivo qualquer renomeado para dar maior credibilidade à "atualização". Nunca fiquei sabendo o que o programa fazia. Poderia ser uma inofensiva mudança nas telas de abertura, mas eu é que não me arrisco.

Não faz muito tempo, circulou pela Internet um programa que supostamente fazia com que um Pentium não-MMX pudesse manipular instruções MMX. Isso é tecnicamente possível, embora talvez inviável. O laboratório da Ziff Davis fez engenharia reversa no programa e descobriu que este nem fazia o que se propunha a fazer e nem era um Cavalo de Tróia (mas poderia ser). Ele era simplesmente uma piada inócua de seu criador.

NÃO, não contrate um exorcista (ainda)!

Como eu estou tentando mostrar desde que comecei, é quase impossível detectar um Cavalo de Tróia. Programas anti-virus recentes dizem detectá-los. Mas não se iluda. Eles são capazes de detectar apenas os conhecidos.

Da mesma forma que nenhum programa avisa você de que FDISK e FORMAT são duas ameaças potenciais residindo em seu computador, qualquer programa que faça o que eles fazem será ignorado. Mas você pode tomar algumas precauções para minimizar o risco. Esses conselhos podem ser menos ou mais importantes dependendo do que você faz com o seu computador.

Se o seu uso é doméstico e começar tudo "do zero" representa apenas um aborrecimento passageiro, o remédio que eu receito pode ser pior do que a possível doença. Você pode até querer ignorar esse artigo inteiro. Mas se você depende de seus computadores em seu ramo de atividade, o seu nível de paranóia deve ser proporcional à sua dependência.

Não seja ingênuo - Se o programa oferece algo bom demais para ser verdade, não acredite. Se ele for realmente fantástico, você irá tomar conhecimento disso por outras fontes.

Não seja o primeiro - Mesmo que não seja tão fantástico, espere até que esteja disponível há algum tempo. Deixe que os apressados testem por você.

Use sempre software original - Como eu disse antes, não é o fato de "ser uma cópia" que é problemático. Se a cópia estiver adulterada é que você está correndo riscos. Porém, grandes desenvolvedores de programas populares não usam manobras desse tipo, imagino que porque sabem que a grande disseminação de cópias malcomportadas pode prejudicar a imagem do programa perante o público sejam elas ilegais ou não. De qualquer forma, usar software original deve estar em seus planos.

Feche todos os programas dispensáveis quando on-line - Se o programa não estiver na memória, não poderá mandar informações suas pela Internet (ou será bem mais difícil)

Quando usar programas que requerem senhas suas, desconfie - Use apenas programas Telnet e FTP de boa reputação. Sempre analise com cuidado qualquer traço de que algo está diferente em seu site e troque as senhas regularmente.