Trojan: Backdoor/SchoolB.C. Genera conexiones ocultas

Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro visitante número

desde el 12 de agosto de 1996

VSantivirus No. 161 - Año 4 - Sábado 16 de diciembre de 2000

Trojan: Backdoor/SchoolB.C
Tipo: Troyano de Acceso Remoto

Se trata de un troyano con funciones de backdoor (acceso remoto a través de una "puerta trasera" de la computadora infectada), con la característica que sus conexiones pueden pasar desapercibidas aún para un usuario cauteloso.

Es capaz de generar una conexión oculta dentro de la red TCP/IP, no pudiéndose apreciar por parte de la víctima su acción, lográndose de este modo, a través de la conexión establecida con otra computadora, la posibilidad de realizar varias acciones sin la más mínima sospecha de la víctima (salvo la notoria aparición de algunas de las acciones que es capaz de realizar, sin la participación directa del usuario afectado, como el abrir y cerrar la bandeja del CD por ejemplo).

El servidor, o sea la parte del troyano que se activa en la computadora a ser controlada, debe ser ejecutado por la propia víctima para que se instale. Para ello, como ocurre casi siempre con la mayoría de los troyanos, la víctima es llevada a esto por medio de engaños, haciéndosele pensar de algún modo, que se trata de cualquier otra aplicación.

Como ocurre con casi todo troyano, además del servidor, debe existir un cliente, el cuál es ejecutado en la computadora del atacante. Esta es la parte del troyano que permite que el hacker pueda tomar el control y llevar a cabo las numerosas acciones disponibles vía remota en la computadora infectada.

Cuando el servidor se ejecuta, éste abre un puerto previamente configurado y se mantiene a la escucha de algún programa cliente que se comunique con él. Si se establece una conexión, el atacante podrá realizar estas acciones:

Abrir y cerrar la bandeja de la lectora de CD.
Dificultar la localización del troyano.
Protección del programa servidor con una contraseña, para restringir su acceso.
Desconexión de Internet de la computadora atacada.
Cuelgue o congelamiento de la computadora víctima.
Total acceso a información confidencial del usuario (claves de acceso, etc.).
Borrado de las claves de acceso.
Manipulación del teclado y captura de las teclas pulsadas en el mismo.
Cerrar las aplicaciones abiertas, y cualquier otro tipo de tareas de Windows.
Envío de mensajes.
Apertura de una sesión de "chat".
Inicio del explorador en una dirección URL por defecto.
Ejecución de un programa determinado.
Control del ratón.
Ocultación de la barra de tareas.
Captura de la pantalla del monitor de la víctima.
Conexión y desconexión del monitor.
Cambio de la fecha y hora del sistema.
Modificación del papel tapiz del fondo del escritorio.
Abrir, cerrar, copiar, borrar, mover y grabar archivos y directorios.

El trojan también es capaz de mostrar este mensaje en el servidor:

SchoolBus
This is a sample message

[ Aceptar ]

El cliente puede escanear los puertos en una dirección IP determinada en busca de un servidor de SchoolBus activo, y proceder a editar la configuración del mismo.

Fuente: Panda Software