|
Controlado desde el
19/10/97 por NedStat
Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro
visitante número desde
el 12 de agosto de 1996
| Y3K R.A.T. Pro: ¿Herramienta o troyano? | ||
|---|---|---|
VSantivirus No. 787 - Año 6 - Martes 3 de setiembre de 2002 Y3K R.A.T. Pro: ¿Herramienta o troyano? http://www.vsantivirus.com/mr-y3kpro.htm Por Marcos Rico (*) marcos@videosoft.net.uy Ya conocemos de un tiempo a esta parte que hay algunos programadores de troyanos que desean reivindicar la legitimidad de las herramientas de administración remota, más conocidas por sus siglas en inglés RAT (Remote Administration Tool). Evidentemente hay herramientas de administración remota totalmente legítimas que podemos hallarlas en Internet y ningún antivirus las detecta. Una vez más les recuerdo la política de detección de los antivirus: se considera un troyano a toda RAT que esté concebida para instalarse silente bajo engaños en el ordenador de la víctima y no advierta de sus verdaderas funciones antes de la instalación. Si saco este asunto a colación otra vez es porque he vuelto a encontrarme con otros dos programadores de troyanos (Kostas y V @ g) que creen que su programa es profesional y ningún antivirus debe detectarlo. Incluso lo hacen con petulancia y si no lo creen, lean este texto que encontramos en su web desde donde cualquiera puede descargarse el troyano Y3K R.A.T. Pro: "NOTE TO ANTIVIRUS COMPANIES: The files have not any virus and Y3K Rat Pro is NOT a Trojan. It is a remote administration tool and it is used for office or educational proposes! Read the disclaimer before downloading any file." Mi inglés tal vez no sea muy bueno, pero permítanme traducirlo literalmente para aquellos lectores que no puedan entenderlo: AVISO A LAS COMPAÑÍAS ANTIVIRUS: Los archivos no contienen ningún virus e Y3K Rat Pro NO es un troyano. Es una herramienta de administración remota y su uso está indicado para propósitos educativos o profesionales. Lea la advertencia antes de descargar cualquier archivo. Como observamos algunos siguen empeñados en confundir los términos. Ellos cuando hablan de "profesionalidad" se están refiriendo a que su producto está mejor programado que otros, pero no hablan de cuestiones éticas y de seguridad que es donde las compañías antivirus sí entran. ¿Pero es Y3K R.A.T. Pro un troyano o una RAT? Depende de lo que queramos hacer con él, es decir, depende del editor. Cuando abrí el editor me apercibí de que el atacante puede optar por hacer que el servidor corra oculto en el ordenador de la víctima o que advierta de su presencia. Incluso he de decir que por defecto la funciones "Hide from Windows 2k/XP task manager" y "Hide from Windows 9x tasks" vienen desactivadas. Pero están ahí esas funciones; y si las encontramos es porque los programadores de Y3K R.A.T. Pro han barajado también la posibilidad de usar este programa como un troyano. También posee otras funciones editables que nos hacen sospechar de las verdaderas intenciones de los programadores de este troyano. Por ejemplo se puede editar en el módulo Server Builder (constructor del servidor) un servidor que abra el puerto de conexión sólo cuando la máquina esté online (esto también podemos entenderlo como una manera de hacer aún más invisible el troyano). También el atacante puede optar por esconder el servidor del explorador de Windows. Incluso puede activar un keylogger offline como $system$keyspy.txt (es editable a gusto del atacante). Si alguien duda aún de la clasificación de Y3K R.A.T. Pro como troyano, les diré que puede matar todos los procesos de Windows que el atacante quiera (por defecto no viene activado ninguno). Esto puede permitir a un atacante eliminar cualquier antivirus o cortafuegos activo. Por ejemplo, eliminar el ZoneAlarm Pro sería tan fácil como colocar este nombre de archivo en el editor bajo la expresión Kill tasks:
Así puede hacer el atacante con cualquier otro archivo de antivirus, por ejemplo.
Posee varios métodos de notificación: mediante ICQ pagers, e-mail (el atacante tendría que editar el servidor con un servidor SMTP) y PHP. Éste es el segundo troyano que analizo con la notificación en PHP; el script por defecto es éste:
Noten que si el atacante deja el valor "y3knetworkphp", las notificaciones no irán a su Web. El atacante, si desea que el troyano notifique hacia su Web, tendría que variar de esta manera la secuencia:
Previamente habría comprobado éste si su servidor admite PHP con otra herramienta que se incluye en el troyano llamada phptest.php. Entonces subiría a su servidor Web ese archivo y lo probaría. Una vez obtenida la respuesta positiva, subiría a su servidor otro archivo llamado addy3kserver.php. Y ya tendría su método de notificación mediante PHP. He de decirles también que en las pruebas que he realizado funciona muy bien, por lo que aquí vemos otro elemento más de peligrosidad en el troyano.
Por supuesto el atacante puede cambiar los datos y ubicar la copia donde desee y con el nombre que quiera.
El atacante puede elegir cualquier otra configuración, así que estos datos son sólo a título orientativo.
Server options: |
||
