|
Controlado desde el
19/10/97 por NedStat
Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro
visitante número desde
el 12 de agosto de 1996
| Análisis del troyano Ghost 2.4 | ||
|---|---|---|
VSantivirus No. 767 - Año 6 - Miércoles 14 de agosto de 2002 Análisis del troyano Ghost 2.4 http://www.vsantivirus.com/ghost24.htm Por Marcos Rico (*) marcos@videosoft.net.uy Ghost 2.4 es la nueva versión del troyano de Lame Joker. Ghost empezó con la versión 2.0; después llegaría la 2.1, 2.2, 2.3, 2.3 Ghost Mini-Server y ahora la que nos ocupa que ha salido con fecha del 12/08/2002. Lame Joker es también conocido por realizar programas para mejorar nuestra seguridad en Internet como TSAD (¡para protegerse de los troyanos!) y Lock-Pc v2.2 (para proteger nuestro ordenador mediante password). Como vemos, es difícil saber qué es lo que mueve a un programador como Lame Joker para actuar con esa aparente contradicción. Aún está en versión alpha, por lo que tiene algunas funciones que presentan errores. Es un troyano poco interesante que está en la generación previa a los troyanos con notificación, es decir, no posee un editor del servidor. Esto para el atacante es un grave inconveniente y para la víctima supone un pequeño alivio, puesto que si dispone de IP variable, simplemente con desconectarse de Internet y volverse a conectar otra vez, habrá perdido de vista al atacante. Este troyano está más bien indicado para usarse en el IRC, donde la víctima inmediatamente recoge el archivo y lo ejecuta. A partir de ese instante el atacante conocerá su IP (mediante Netstat, por ejemplo) y podrá entrar en su ordenador. Tampoco debemos descartar otras opciones como que el atacante funda el servidor de Ghost 2.4 con un notificador y así ya disponga de todo el potencial de un troyano de última generación. O incluso lo que sucedía en la generación de troyanos como NetBus donde los atacantes empezaban a hacer barridos de puertos en busca de NetBus (aún se hacen, aunque parezca increíble). Ghost 2.4 también dispone de su scanner de puertos; en este caso el 9696, que es el que usa sin posibilidad de cambiarlo. Buscar una IP infectada así es como buscar una aguja en un pajar. De cualquier manera Ghost 2.4 no posee nada que otro troyano no tenga y es más bien vulgar. Pasemos a describir grosso modo sus funciones: 1. Puede recabar información del servidor, así como cerrarlo, ocultarlo e incluso borrarlo. 2. Muestra y esconde el ratón, desliza o paraliza el ratón, deshabilita el teclado, activa o bloquea las mayúsculas, etc. 3. Tiene mensajes de insultos que el atacante puede enviar a la víctima, cierra ventanas activas, abre el bloc de notas, cuelga el ordenador, hace llamadas telefónicas, envía a la víctima a una URL determinada (por defecto, http://astalavista.box.sk), etc. 4. Envía mensajes editados desde el cliente, cambia la resolución de la pantalla del ordenador infectado, minimiza todas las ventanas, activa el protector de pantalla, etc. 5. Abre y cierra el CD, muestra o esconde el botón de Inicio, muestra o esconde la barra de tareas, muestra o esconde el reloj, activa un sonido a modo de "bip" en los altavoces de la víctima, cambia los colores de Windows, etc. 6. Puede deshabilitar la combinación de teclas para conocer procesos activos: Control + Alt + Supr, puede chatear con la víctima con la posibilidad de elegir un nick, el ratón puede volverse sin control, puede crear archivos inservibles en el ordenador infectado, etc. 7. Puede capturar el contenido del texto de las ventanas activas del ordenador infectado (por ejemplo, mensajes de ICQ, Messenger, e-mails, contraseñas, etc.). 8. Provoca el reinicio de Windows o simplemente su apagado. 9. Puede capturar pantallas, aunque este método falla en esta versión de Ghost. 10. Es capaz de detallar todos los procesos que corren en Windows y detenerlos. 11. Pueden realizarse dibujos desde el cliente y luego pasarlos al servidor, de tal manera que serían mostrados en la pantalla de la víctima. 12. Puede loguear en teoría todas las pulsaciones del ordenador infectado (keylogger). 13. Puede ejecutar comandos desde MS-DOS y añadirlos a autoexec.bat. Por defecto, esto nos encontramos en el cliente:
14. Puede hacer de bouncer el servidor, por lo que si el atacante decide atacar otro ordenador, la IP que mostraría sería la del ordenador infectado con el servidor. A ese usuario irían en principio todas las culpas. |
||
