O Windows possui uma ferramenta nativa chamada Malicious Software Removal Tool (MRT). Ela serve especificamente para buscar e remover malwares e cavalos de troia conhecidos que costumam dar acesso a hackers.

1. 1. Pressione as teclas Windows + R no seu teclado ao mesmo tempo para abrir a caixa de diálogo Run.
2. 2. Digite exatamente mrt (em letras minúsculas) e clique em OK (ou aperte Enter).
3. 3. Se o Windows pedir permissão de administrador (User Account Control), clique em Yes.
4. 4. Uma janela da ferramenta será aberta. Clique em Next.
5. 5. Selecione a opção Quick scan (Exame rápido) e clique em Next.

Se um hacker está controlando seu computador ou roubando dados, o PC precisa estar se comunicando com um servidor externo na internet. Vamos listar todas as conexões ativas agora.

Siga estes passos:

1. 1. Clique na barra de pesquisa do Windows (ou aperte a tecla Windows)
2. 2. Digite cmd
3. 3. Quando aparecer Command Prompt, clique nele com o botão direito e selecione Run as administrator (Executar como administrador). Clique em Yes se o Windows pedir permissão.
4. 4. Na tela preta que se abrir, digite exatamente o comando abaixo e aperte Enter: netstat -ano
5. 5. Uma lista enorme de conexões vai aparecer na tela.

O que fazer agora:

Tire um print ou foto da tela do Command Prompt mostrando as colunas que apareceram (especialmente as colunas Foreign Address e State) ou me diga se você notou algum endereço estranho repetido muitas vezes com a palavra ESTABLISHED na coluna State.

Muitos malwares e ferramentas de acesso remoto configuram-se para abrir automaticamente quando o Windows inicia. Passo a passo:

1. 1. Pressione Ctrl + Shift + Esc para abrir o Gerenciador de Tarefas.
2. 2. Clique na aba Inicializar (Startup).
3. 3. Observe a lista de programas que iniciam junto com o Windows.
4. 4. Procure nomes estranhos, desconhecidos ou sem fabricante identificado.
5. 5. Preste atenção especial em itens com:
• Fabricante "Desconhecido" (Unknown)
• Nomes aleatórios (ex.: xj28kd.exe, servicehostx.exe, etc.)
• Alto impacto na inicialização

Ver usuários existentes

1. 1. Clique em Start
2. 2. Digite cmd
3. 3. Clique com o botão direito em Command Prompt
4. 4. Selecione Run as administrator
5. 5. Execute:

net user

Analise a lista. Verifique se existe alguma conta que você não reconhece.

Ver quem tem privilégios de administrador

Execute:

net localgroup Administrators

E também:

whoami

depois:

whoami /groups

Malwares geralmente aparecem como processos desconhecidos consumindo recursos do computador.

1. 1. Pressione Ctrl + Shift + Esc para abrir o Gerenciador de Tarefas.
2. 2. Abra a aba Detalhes.
3. 3. Organize a lista por CPU ou Memória.
4. 4. Procure nomes estranhos ou desconhecidos.
5. 5. Clique com o botão direito em um processo suspeito e escolha "Abrir local do arquivo".
6. 6. Investigue especialmente arquivos executados fora das pastas Program Files e Windows.

Ferramentas de acesso remoto maliciosas costumam criar serviços para permanecer ativos mesmo após reinicializações.

1. 1. Pressione Windows + R.
2. 2. Digite services.msc e pressione Enter.
3. 3. Analise a lista de serviços instalados.
4. 4. Procure serviços com nomes estranhos ou sem descrição.
5. 5. Anote qualquer serviço que você não reconheça.

Malwares frequentemente utilizam tarefas agendadas para serem executados automaticamente.

1. 1. Pressione Windows + R.
2. 2. Digite taskschd.msc.
3. 3. Pressione Enter.
4. 4. Navegue até Biblioteca do Agendador de Tarefas.
5. 5. Procure tarefas com nomes suspeitos ou que executem arquivos desconhecidos.

Alguns invasores criam contas extras para manter acesso ao computador.

1. 1. Abra o Prompt de Comando como Administrador.
2. 2. Execute: net user
3. 3. Anote todas as contas exibidas.
4. 4. Verifique se existe algum usuário que você não criou.
5. 5. Investigue qualquer conta desconhecida.

Este teste ajuda a descobrir se existe alguma sessão remota conectada ao computador.

1. 1. Abra o Prompt de Comando como Administrador.
2. 2. Execute: query user
3. 3. Analise os usuários conectados.
4. 4. Verifique se há sessões desconhecidas.
5. 5. Anote qualquer conexão inesperada.

Malwares às vezes adicionam pastas às exclusões para evitar detecção.

1. 1. Abra Segurança do Windows.
2. 2. Entre em Proteção contra vírus e ameaças.
3. 3. Clique em Gerenciar configurações.
4. 4. Role até Exclusões.
5. 5. Verifique se existem exclusões desconhecidas.

O acesso remoto indevido pode ser realizado através do Remote Desktop.

1. 1. Pressione Windows + R.
2. 2. Digite SystemPropertiesRemote.
3. 3. Pressione Enter.
4. 4. Verifique se a Área de Trabalho Remota está ativada.
5. 5. Se você não utiliza esse recurso, considere mantê-lo desativado.

Programas desconhecidos podem indicar instalações não autorizadas.

1. 1. Abra Configurações.
2. 2. Entre em Aplicativos.
3. 3. Selecione Aplicativos Instalados.
4. 4. Organize a lista por Data de Instalação.
5. 5. Procure softwares que você não reconhece.

Alguns malwares modificam o arquivo hosts para redirecionar sites legítimos.

1. 1. Abra o Bloco de Notas como Administrador.
2. 2. Abra o arquivo:
3. 3. C:\Windows\System32\drivers\etc\hosts
4. 4. Verifique se existem linhas estranhas associadas a sites conhecidos.
5. 5. Pesquise qualquer entrada desconhecida.

Extensões maliciosas podem monitorar atividades e capturar dados.

1. 1. Abra o navegador.
2. 2. Entre na página de extensões.
3. 3. Analise todas as extensões instaladas.
4. 4. Remova aquelas que você não reconhece.
5. 5. Pesquise o nome das extensões suspeitas.

Esse teste verifica se arquivos protegidos do Windows foram corrompidos ou alterados.

1. 1. Abra o Prompt de Comando como Administrador.
2. 2. Execute: sfc /scannow
3. 3. Aguarde a conclusão da verificação.
4. 4. Verifique se o sistema encontrou e corrigiu problemas.
5. 5. Anote qualquer mensagem de erro exibida.

Este teste verifica a integridade dos componentes internos do sistema operacional.

1. 1. Abra o Prompt de Comando como Administrador.
2. 2. Execute: DISM /Online /Cleanup-Image /RestoreHealth
3. 3. Aguarde a conclusão do processo.
4. 4. Reinicie o computador.
5. 5. Execute novamente o comando sfc /scannow.

Alguns malwares criam serviços falsos com nomes parecidos com serviços do Windows.

1. 1. Pressione Windows + R.
2. 2. Digite msconfig e pressione Enter.
3. 3. Abra a aba Serviços.
4. 4. Clique com o botão direito em um serviço desconhecido.
5. 5. Abra o local do arquivo executável.
6. 6. Verifique se o arquivo está dentro de Windows, Program Files ou Program Files (x86).
7. 7. Investigue qualquer serviço executado em AppData, Temp ou Downloads.

Hackers podem criar compartilhamentos ocultos para acessar arquivos remotamente.

1. 1. Abra o Prompt de Comando como Administrador.
2. 2. Execute: net share
3. 3. Analise todos os compartilhamentos listados.
4. 4. Ignore ADMIN$, C$ e IPC$.
5. 5. Investigue qualquer compartilhamento desconhecido.

Este teste mostra eventos relacionados a acessos remotos.

1. 1. Pressione Windows + R.
2. 2. Digite eventvwr.msc.
3. 3. Abra Logs do Windows.
4. 4. Selecione Segurança.
5. 5. Procure eventos de logon que você não reconhece.

Programas maliciosos frequentemente criam portas para receber conexões externas.

1. 1. Abra o Prompt de Comando como Administrador.
2. 2. Execute: netstat -abno
3. 3. Analise todas as entradas LISTENING.
4. 4. Identifique o executável associado.
5. 5. Pesquise qualquer processo desconhecido.

Malwares costumam utilizar o Registro do Windows para iniciar automaticamente.

1. 1. Pressione Windows + R.
2. 2. Digite regedit.
3. 3. Navegue até:
4. 4. HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
5. 5. Analise os programas configurados para iniciar junto com o Windows.

Executáveis legítimos normalmente possuem assinatura digital válida.

1. 1. Abra o Gerenciador de Tarefas.
2. 2. Localize um processo suspeito.
3. 3. Abra o local do arquivo.
4. 4. Clique com o botão direito no executável.
5. 5. Abra Propriedades e verifique a aba Assinaturas Digitais.

1. 1.

1. 1.