|
Controlado desde el
19/10/97 por NedStat
Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro
visitante número desde el 12 de agosto de 1996
| Troj/Ptakks.217. Troyano de acceso remoto en español | ||
|---|---|---|
VSantivirus No. 514 - Año 6 - Martes 4 de diciembre de 2001 Nombre: Troj/Ptakks.217 Tipo: Caballo de Troya de Acceso Remoto Alias: TROJ_PTAKKS.217, Backdoor.Ptakks.217, Bck/Ptakks.217, Backdoor-RC trojan, TROJ_PTAKKS.B Tamaño: 192,512 bytes (servidor), 724,992 bytes (cliente) Origen: España Fecha: 23/nov/01 Troyano de origen español, que permite el control remoto de una computadora infectada. El cliente, es usado por un atacante remoto, para conectarse al server, que reside en la computadora seleccionada como víctima. El servidor puede ser generado por el atacante, pudiendo tener cualquier nombre y los mensajes que presenta a la víctima que lo recibe y ejecuta, pueden ser totalmente modificados por el atacante. Cuando la víctima acepta y ejecuta este último archivo, el troyano se copia en el directorio c:\windows\system, con el nombre de WINZIPV32.EXE (puede copiarse también como WINZIPV16.EXE). Se trata de un caballo de Troya en español, que utiliza protocolos UDP en lugar del clásico TCP. El protocolo TCP (Transport control Protocol), es el estándar para el transporte de datos, ya que implementa características (entre otras) como las de permitir controlar el orden de los paquetes recibidos (los datos en Internet viajan en pequeños trozos, llamados paquetes), y el programa que maneje estos datos no debe preocuparse más que de recibir o enviar la información. Con el protocolo UDP (Universal Data Packet), los diferentes paquetes pueden llegar a nuestra máquina desordenados y duplicados, debiendo responsabilizarse el programa encargado de manejar estos datos de ignorar los repetidos y solicitar los que faltaran. Esto hace más compleja la programación. PTAKKS utiliza UDP, con la intención de dificultar su presencia. Pero como este protocolo no está previsto para el transporte de archivos, los mismos deben ser de pequeño tamaño. El servidor (el programa que se ejecuta en la computadora de la víctima) puede ser configurado de modo de ser totalmente personalizado, y entre sus acciones, cuenta con la posibilidad de notificar al atacante (que ejecuta la parte cliente del troyano), vía E-mail o ICQ, la dirección IP de la víctima, cada vez que esta se conecta. Por defecto, la víctima es engañada al recibir el archivo del troyano (la parte servidor), y al ejecutarlo, pensando se trate de alguna aplicación inocente, puede recibir un mensaje como este:
Pero el mensaje puede ser configurado por el atacante, pudiéndose presentar cualquier otro.
En su código, el troyano incluye estos textos (entre otros):
El troyano se activa al ser ejecutado por el propio usuario, en forma accidental, o al ser engañado éste en forma premeditada para hacerlo.
4. Busque la referencia al archivo WINZIPV32.EXE (o
WINZIPV16.EXE), y borre la clave en la ventana de la derecha con la tecla SUPR o DEL. Conteste afirmativamente la pregunta que saldrá. |
||
