CyberSpy v8.4: Un servidor de Telnet que es un troyano


En un principio, cuando ni siquiera existía la interfaz gráfica amistosa de la World Wide Web que todos conocemos ahora, los ordenadores en la Red se manejaban de una forma similar al MS-DOS, es decir, con líneas de comando.





Por Marcos Rico (*)
marcos@videosoft.net.uy

Eran los tiempos de TELNET. Hoy día los nuevos internautas
poco experimentados ni siquiera saben qué es TELNET.
Sencillamente ha caído en desuso, lo cual no significa que
haya desaparecido por completo.

TELNET básicamente conecta ordenadores en Internet. Es por
tanto una herramienta para el control remoto de ordenadores
que se encuentran físicamente alejados pero conectados a
través de la Red.

Si una dirección normal de Internet (URL) empieza como http:/
/*, en TELNET empezaría de la forma telnet:/ /*.

Sabemos que en TELNET hay clientes (equivalentes a los
navegadores de Internet actuales) y servidores. El ordenador
que contiene el Cliente de TELNET es denominado comúnmente
Terminal. También se acepta por consenso que los Terminales
se conectan con el Host (un ordenador más grande y complejo).

Esta pequeña introducción a TELNET nos sirve para entender el
daño que puede realizar un programa como el que estamos
analizando.

CyberSpy v8.4 es un servidor de TELNET. Ante todo quiero
dejar bien claro que los servidores de TELNET son programas
perfectamente legítimos que incluso podemos descargarnos de
Internet para transformar nuestro ordenador en otro de los
servicios de TELNET que proveen información en la Red.

Sabemos que hay excelentes servidores de TELNET como
Fictional Daemon, Pragma TelnetServer, SLnet, VShell, WAISS,
etc.. Unos son gratuitos y otros son de pago, pero en
cualquier caso son programas legales que cualquiera se puede
bajar de Internet.

Un antivirus jamás detectará uno de esos programas legales,
pero sin embargo sí que debería detectar este servidor de
TELNET que aquí comento. ¿Por qué?

Una vez más la clave está en la forma de instalación del
servidor de TELNET. Si para instalarse el servidor nos pide
acceso en pantalla e incluso permite que lo configuremos,
entonces podemos colegir que las intenciones del programador
son buenas. En cambio, si observamos que el servidor de
TELNET se instala de manera silente sin pedir datos al
usuario, entonces podemos imaginar que las intenciones del
programador del servidor de TELNET son perversas.

Esto último es lo que pasa cabalmente con CyberSpy v8.4. Otro
dato que nos debe hacer desconfiar es que el servidor de
TELNET viene acompañado de un Editor. Con este editor el
atacante puede configurar los datos del Servidor sin
necesidad de hacerlo en la propia máquina de la víctima.

Los antivirus con buen criterio suelen reconocer estos
programas como amenazas. Ya conocemos los casos históricos de
otros Servidores de TELNET como Fire HacKer, Tiny Telnet
Server - TTS y Truva Atl. Todos ellos se consideraron como
código maligno y fueron detectados.

Pero entremos en detalles. ¿Qué podemos decir de CyberSpy
v8.4?

1. El nombre del archivo, una vez ejecutado en el ordenador
de la víctima, es Mswincfg32.exe; aunque es configurable a
elección del atacante.

2. En el Registro de Windows deja la entrada Mswincfg. Una
vez más he de decir que es editable la entrada a voluntad del
atacante.

3. El puerto que utiliza por defecto es el 14194 en vez del
más común para TELNET, 23.

4. Para notificar al atacante utiliza dos sistemas. El más
usado es la notificación por ICQ. También acepta notificación
por E-Mail.

5. Puede generar un falso mensaje de error en el ordenador de
la víctima cuando ejecute el Servidor de TELNET. El mensaje
por defecto (aunque editable) es el siguiente:

Fatal Error
This application requires at least
Microsoft Windows 95 to run!

6. Posee un pequeño Binder para fijar el Servidor a cualquier
otro ejecutable. También es indetectable.

7. Tiene una función muy curiosa que aplaza la ejecución del
Servidor de TELNET hasta la fecha elegida por el atacante.
Por defecto la fecha es 4-6-2003, aunque la función no viene
activada en el Servidor a menos que el atacante lo permita.

8. Para proteger aún más su invisibilidad en el ordenador de
la víctima, sólo abre el puerto de escucha cuando la víctima
está online. Esta función por defecto está desactivada.

9. Puede proteger el Servidor con una contraseña para que
sólo el atacante pueda acceder al ordenador infectado.

10. Por último, otra función curiosa que posee es que puede
falsear los datos del comando Netstat cuando el Cliente de
TELNET entre en conexión con el Servidor. Esto permitiría al
atacante ocultar su IP a la víctima.

Es obvio que para conectar con CyberSpy v8.4 el atacante
necesitará un cliente de TELNET legal. Con él tendrá control
remoto sobre el ordenador de la víctima.

Las últimas pruebas realizadas a las 4:00 AM (horario de
Europa) de hoy 24 de julio sobre la indetectabilidad de
CyberSpy v8.4 mostraban estos resultados:

Dr. Web: Detectable como BackDoor Trojan
McAfee: Detectable como BackDoor NT (tanto el Editor como
el Servidor).
Anti-Trojan: Indetectable.
Tauscan: Indetectable.
Norton: Indetectable.
Panda: Indetectable.
F-PROT: Indetectable.
AVP: Indetectable.
NOD32: Indetectable.

(Nota de Redacción: en el momento de la publicación de este
artículo, la lista de antivirus que habían examinado la
muestra enviada y publicado las actualizaciones ha aumentado,
según se muestra al final).

Al no ser un programa que se autoenvíe por E-Mail, no es de
alto riesgo, pero es nuestra obligación informar de todas las
amenazas que encontremos por Internet.

Una vez más nuestro consejo apunta hacia la instalación de un
buen cortafuegos en espera de la actualización
correspondiente de nuestro antivirus.

(*) Marcos Rico es un investigador independiente de virus,
troyanos y exploits

Otras noticias de interés:

De 8 am y las 9 am se reciben más virus por email
El informe de seguridad global de Trustwave, 2012 Global Security Report, ha presentado unos resultados concluyentes respecto a la correlación entre las franjas horarias y el envío de virus. Según los datos recogidos por la compañía, el peor mom...
Google Toolbar puede permitir la ejecución de scripts
La barra de herramientas de Google, posee un agujero en la validación del ingreso de datos en la página del About (Acerca de), que puede permitir a usuarios locales la ejecución de código en la zona de seguridad de Mi PC....
Técnicas de Penetración y Protección en Sistemas de Seguridad Electrónica
Técnicas de Penetración y Protección en Sistemas de Seguridad Electrónica Vía RF - Red Celular y Satelital. Nota: Toda la información expuesta en este documento es solo con fines educativos y científicos, no nos hacemos responsa...
Vulnerabilidad en Remote Desktop Protocol (RDP)
Microsoft publicó una nuevo aviso de seguridad (Microsoft Security Advisories 904797), donde advierte sobre una vulnerabilidad en el componente "Escritorio remoto" (Remote Desktop) de Windows XP, 2000 y 2003....
Utilidad para vigilar el uso del Modo Protegido de IE
El modo protegido de Internet Explorer es, en realidad, el uso de control de integridad aplicado al navegador de Microsoft. Una especie de sandbox. Esta funcionalidad aporta una medida extra de seguridad a Internet Explorer, además de ser, junto a C...
Mozilla eleva nivel de alerta para fallo en Firefox
De acuerdo al blog de seguridad de Mozilla, la vulnerabilidad reportada hace unos días en Firefox (ver ), sería de gravedad alta. ...
RIM: vulnerabilidades en BlackBerry Enterprise Server
Un agujero de seguridad detectado en el servidor a la hora de tratar imágenes PNG y TIFF permitiría a los atacantes tomar el control del sistema y desplegar malware en los dispositivos móviles....
Una vez más - Sistema operativo Linux para smartphones
La celebración de la feria CeBIT Asia en Shanghai ha servido de marco a la presentación del software basado en el sistema operativo Linux de la compañía China MobileSoft dirigido a smartphones. ...
Corrigiendo las molestias del MS-Windows Vista
No hay duda alguna: visualmente, Windows Vista representa un gran avance frente a Windows XP. La mayoría de los usuarios que han instalado Vista han quedado impresionados por los esfuerzos que Microsoft ha realizado para mejorar la facilidad de uso ...
Fallo de detección de virus en archivos ZIP
e ha reportado que múltiples productos antivirus son propensos a una vulnerabilidad que podría permitir que un código potencialmente peligroso dentro de un archivo .ZIP, eluda la detección del antivirus afectado....

Brindanos
un o una


Redes Sociales

Publicidad


Gana Bitcoins desde tu casa

Categorías


Planeta Vaslibre

Blog Roll




Nube de tags

  • anonimato
  • anonimo
  • antivirus
  • apache
  • blog
  • bsd
  • bug
  • centos
  • chrome
  • cifrado
  • computer
  • cyberspy
  • debian
  • exploits
  • fedora
  • fice
  • firefox
  • forense
  • freebsd
  • gentoo
  • github
  • gnome
  • gnu
  • gpl
  • gtk
  • hack
  • hacking
  • hosting
  • informatica
  • internet
  • isos
  • libre
  • licencias
  • linux
  • linuxmint
  • lxde
  • micros
  • mint
  • mit
  • mozilla
  • mysql
  • noticia
  • opensource
  • pgp
  • php
  • sabayon
  • seguridad
  • servidor
  • system
  • tecnologia
  • telnet
  • thunar
  • thunderbird
  • tor
  • troyano
  • troyanos
  • tware
  • ubuntu
  • underground
  • vaslibre
  • virus
  • viserproject
  • vivaldi
  • vulnerabilidades
  • web
  • website
  • windows
  • xanadu
  • xfce
  • xombra