Mama quiero ser P3NT3ST3R!: MALWARE Y ANTIMALWARE (en UTN FRLP)

jueves, 4 de diciembre de 2014

MALWARE Y ANTIMALWARE (en UTN FRLP) - PARTE II

Hola otra vez. En esta entrada voy a continuar con el resumen de la charla mencionada en el título.

Sigamos con Troyanos y Backdoors:

Como es el proceso de creación un Troyano?

Teniendo en cuenta lo que nos dice el programa del CEH, un troyano consta de tres partes:

1)DROPPER: Es el fragmento de código que instala el código malicioso en el equipo víctima.

2)CÓDIGO MALICIOSO: El código que permite la conexión remota y que realiza las distintas actividades en el sistema victima.

3)APLICACIÓN GENUINA: Cualquier programa legítimo. (El tetris ese que usabas a los 8 años por ejemplo).

Estas tres partes forman un WRAPPER (El lindo regalito para la víctima)

Cuando el Troyano llega a la victima y esta lo ejecuta, el DROPPER se encarga de liberar su código:

Proceso de troyanización y ejecución en el equipo víctima

Tipos de Troyanos:

Troyanos, hay de todos los gustos y colores.

Vamos a ver algunos de ellos:

CMD SHELL TROJAN:

No hace falta aclarar demasiado. Son aquellos que se conectan a través de shells (Si si, usando el famoso netcat por ejemplo)

DOCUMENT TROJAN:

Código malicioso embebido en documentos Word.

DEFACEMENT TROJAN:

Trojanos que se ocultan en programas gráficos como por ejemplo la calculadora de Windows (Hola si, cuanto es 2 + 2, mmm... Un troyano!)

FTP TROJAN:

Se instala una aplicación legítima y por detrás (background) un servidor FTP en el equipo víctima, el cual permite la transferencia de archivos a la máquina del atacante.

E-BANKING TROJAN:

Como se puede ver en la imagen, estos troyanos son mucho mas complejos en cuanto a procesos, pero obviamente son mas redituables para los atacantes.

El atacante sube un anuncio malicioso a un servidor, esos anuncios son publicados en sitios legítimos. El usuario se conecta al sitio infectado y es redirigido a un kit de exploits que terminan tomando control de su equipo. Luego, el troyano reporta a un servidor de control y comandos que tiene un nuevo equipo en la red bot y comienza a transmitir toda la actividad del usuario hacia el. Después, el servidor enviará instrucciones a realizar si el usuario se conecta a su home banking, y bueno...ya sabemos el resto.

EJEMPLOS DE TROYANOS:

-------------------------------------------------------------------------------------------------------------

También se denomina backdoor al código instalado en un equipo, (una vez que un atacante obtuvo acceso a él) para obtener accesos posteriores de forma mas sencilla, es decir sin tener que volver a realizar el trabajo de explotación en el equipo victima.

Los backdoors mas conocidos sin lugar a dudas son BackOrifice y NetBus, de los cuales podemos informarnos aquí:

http://es.wikipedia.org/wiki/Back_Orifice

http://www.iss.net/security_center/reference/vuln/NetBus.htm