Questi che seguono sono alcuni metodi utili a controllare se la propria macchina e' stata gia' infettata dal Back Orifice.

Considerazioni.

Normalmente il Back Orifice server al momento in cui viene lanciato su una macchina da infettare esegue alcune operazioni. Egli copia se stesso all'interno della directory system di windows dopodiche' modifica la chiave "RunServices" del registro di configurazione di Windows e vi inserisce un valore che contiene il percorso al BO Server appena installato.
Infine elimina il file da cui e' stata scatenata l'infezione.

Nel caso in cui il nome assegnato al BO server contenga caratteri invalidi per windows tali da impedire al sistema di copiare e/o cancellare il vecchio file di BO, il Back Orifice esegue le modifiche sul registro di configurazione inserendo come percorso quello del file che scatena l'infezione.

Tutto questo per dire che il Back Orifice potrebbe risiedere dappertutto nel vostro personal computer e non solamente nella directory system di windows.

Analizzare il proprio registro di configurazione.

La versione 1.20 del Back Orifice inserisce sempre qualcosa nel registro di configurazione e sempre nello stesso posto.
Questo controllo puo' essere quindi utilizzato per rilevare eventuali infezioni.

La chiave modificata dal Back Orifice e'
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices

In caso di infezioni multiple sulla stessa macchina da parte di piu' Back Orifice con nomi di server diversi troveremo in questa chiave piu' inserimenti della modifica, uno per ogni server attivo.

Controlla la dimensione dei files riportati in questa chiave, Back Orifice potrebbe essere in uno qualsiasi di questi files a patto che la dimensione sia superiore a 122kb. Infatti essendo possibile unire il bo ad altri programmi e a plugin difficilmente troverete il programma nella sua minima dimensione (122Kb) ma in ogni caso avra' una maggiore dimensione.

La rimozione da questa chiave della modifica apportata dal Bo e il successivo Reboot del personal computer permette immediatamente di disabilitare il Back Orifice.