|
Controlado desde el
19/10/97 por NedStat
Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro
visitante número desde
el 12 de agosto de 1996
| CyberSpy v8.4: Un servidor de Telnet que es un troyano | ||
|---|---|---|
VSantivirus No. 746 - Año 6 - Miércoles 24 de julio de 2002 CyberSpy v8.4: Un servidor de Telnet que es un troyano http://www.vsantivirus.com/mr-cyberspy84.htm Por Marcos Rico (*) marcos@videosoft.net.uy En un principio, cuando ni siquiera existía la interfaz gráfica amistosa de la World Wide Web que todos conocemos ahora, los ordenadores en la Red se manejaban de una forma similar al MS-DOS, es decir, con líneas de comando. Eran los tiempos de TELNET. Hoy día los nuevos internautas poco experimentados ni siquiera saben qué es TELNET. Sencillamente ha caído en desuso, lo cual no significa que haya desaparecido por completo. TELNET básicamente conecta ordenadores en Internet. Es por tanto una herramienta para el control remoto de ordenadores que se encuentran físicamente alejados pero conectados a través de la Red. Si una dirección normal de Internet (URL) empieza como http://*, en TELNET empezaría de la forma telnet://*. Sabemos que en TELNET hay clientes (equivalentes a los navegadores de Internet actuales) y servidores. El ordenador que contiene el Cliente de TELNET es denominado comúnmente Terminal. También se acepta por consenso que los Terminales se conectan con el Host (un ordenador más grande y complejo). Esta pequeña introducción a TELNET nos sirve para entender el daño que puede realizar un programa como el que estamos analizando. CyberSpy v8.4 es un servidor de TELNET. Ante todo quiero dejar bien claro que los servidores de TELNET son programas perfectamente legítimos que incluso podemos descargarnos de Internet para transformar nuestro ordenador en otro de los servicios de TELNET que proveen información en la Red. Sabemos que hay excelentes servidores de TELNET como Fictional Daemon, Pragma TelnetServer, SLnet, VShell, WAISS, etc.. Unos son gratuitos y otros son de pago, pero en cualquier caso son programas legales que cualquiera se puede bajar de Internet. Un antivirus jamás detectará uno de esos programas legales, pero sin embargo sí que debería detectar este servidor de TELNET que aquí comento. ¿Por qué? Una vez más la clave está en la forma de instalación del servidor de TELNET. Si para instalarse el servidor nos pide acceso en pantalla e incluso permite que lo configuremos, entonces podemos colegir que las intenciones del programador son buenas. En cambio, si observamos que el servidor de TELNET se instala de manera silente sin pedir datos al usuario, entonces podemos imaginar que las intenciones del programador del servidor de TELNET son perversas. Esto último es lo que pasa cabalmente con CyberSpy v8.4. Otro dato que nos debe hacer desconfiar es que el servidor de TELNET viene acompañado de un Editor. Con este editor el atacante puede configurar los datos del Servidor sin necesidad de hacerlo en la propia máquina de la víctima. Los antivirus con buen criterio suelen reconocer estos programas como amenazas. Ya conocemos los casos históricos de otros Servidores de TELNET como Fire HacKer, Tiny Telnet Server - TTS y Truva Atl. Todos ellos se consideraron como código maligno y fueron detectados. Pero entremos en detalles. ¿Qué podemos decir de CyberSpy v8.4? 1. El nombre del archivo, una vez ejecutado en el ordenador de la víctima, es Mswincfg32.exe; aunque es configurable a elección del atacante. 2. En el Registro de Windows deja la entrada Mswincfg. Una vez más he de decir que es editable la entrada a voluntad del atacante. 3. El puerto que utiliza por defecto es el 14194 en vez del más común para TELNET, 23. 4. Para notificar al atacante utiliza dos sistemas. El más usado es la notificación por ICQ. También acepta notificación por E-Mail. 5. Puede generar un falso mensaje de error en el ordenador de la víctima cuando ejecute el Servidor de TELNET. El mensaje por defecto (aunque editable) es el siguiente:
6. Posee un pequeño Binder para fijar el Servidor a cualquier otro ejecutable. También es indetectable.
(Nota de Redacción: en el momento de la publicación de este artículo, la lista de antivirus que habían examinado la muestra enviada y publicado las actualizaciones ha aumentado, según se muestra al final). |
||
