As principais variantes de malware (para não dizer quase todas) precisam estabelecer uma conexão entre o terminal e seu servidor de controle. Isso significa que, com as ferramentas adequadas, podemos registrar essa conexão e obter dados como endereço IP, nome do host e o processo envolvido. Mais uma vez, o desenvolvedor Nirsoft oferece um pequeno programa, o TcpLogView, que apresenta automaticamente cada conexão e seus detalhes secundários.
A intuição pode ser uma boa aliada na hora de diagnosticar um computador. À primeira vista, talvez você não tenha notado nada grave, mas é o acúmulo de ações estranhas e de «berrinches digitais» que acaba expondo uma infecção. Um bom ponto de partida é monitorar as conexões que saem para a Internet.
Navegadores, sistemas de atualização, ferramentas de sincronização e até o próprio Windows geram enlaces constantemente; no entanto, todos eles têm um certo “perfil” que os diferencia de um processo malicioso. Agora, a pergunta é: como registramos essa atividade?
Como vigiar e monitorar sua conexão
A resposta é TcpLogView, outra ferramenta fabulosa criada pela Nirsoft. No início, a interface aparece vazia, o que pode transmitir a falsa impressão de um erro, mas em questão de segundos você começará a ver as primeiras entradas.
As informações são divididas em várias colunas, começando pela data e hora do evento, o tipo (conexão aberta ou fechada), endereço local, endereço remoto, nome do host, portas, identificador do processo, seu nome completo e o caminho de sua localização dentro do disco rígido.
A última coluna resolve o país do endereço IP, mas requer um download adicional que não está sob o controle da Nirsoft. Como sempre, o TcpLogView não tem nenhuma dependência, é completamente portátil e funciona em qualquer versão do Windows a partir do Windows 2000.
Caso o Windows decida bloquear sua execução por um limite de permissões, basta aplicar privilégios de administrador. Para finalizar, quero mencionar a possibilidade de exportar todo o conteúdo para um arquivo de texto, HTML, CSV ou XML, muito útil se precisarmos fazer um estudo mais detalhado.
