CyberSpy v8.4: Un servidor de Telnet que es un troyano


En un principio, cuando ni siquiera existía la interfaz gráfica amistosa de la World Wide Web que todos conocemos ahora, los ordenadores en la Red se manejaban de una forma similar al MS-DOS, es decir, con líneas de comando.





Por Marcos Rico (*)
marcos@videosoft.net.uy

Eran los tiempos de TELNET. Hoy día los nuevos internautas
poco experimentados ni siquiera saben qué es TELNET.
Sencillamente ha caído en desuso, lo cual no significa que
haya desaparecido por completo.

TELNET básicamente conecta ordenadores en Internet. Es por
tanto una herramienta para el control remoto de ordenadores
que se encuentran físicamente alejados pero conectados a
través de la Red.

Si una dirección normal de Internet (URL) empieza como http:/
/*, en TELNET empezaría de la forma telnet:/ /*.

Sabemos que en TELNET hay clientes (equivalentes a los
navegadores de Internet actuales) y servidores. El ordenador
que contiene el Cliente de TELNET es denominado comúnmente
Terminal. También se acepta por consenso que los Terminales
se conectan con el Host (un ordenador más grande y complejo).

Esta pequeña introducción a TELNET nos sirve para entender el
daño que puede realizar un programa como el que estamos
analizando.

CyberSpy v8.4 es un servidor de TELNET. Ante todo quiero
dejar bien claro que los servidores de TELNET son programas
perfectamente legítimos que incluso podemos descargarnos de
Internet para transformar nuestro ordenador en otro de los
servicios de TELNET que proveen información en la Red.

Sabemos que hay excelentes servidores de TELNET como
Fictional Daemon, Pragma TelnetServer, SLnet, VShell, WAISS,
etc.. Unos son gratuitos y otros son de pago, pero en
cualquier caso son programas legales que cualquiera se puede
bajar de Internet.

Un antivirus jamás detectará uno de esos programas legales,
pero sin embargo sí que debería detectar este servidor de
TELNET que aquí comento. ¿Por qué?

Una vez más la clave está en la forma de instalación del
servidor de TELNET. Si para instalarse el servidor nos pide
acceso en pantalla e incluso permite que lo configuremos,
entonces podemos colegir que las intenciones del programador
son buenas. En cambio, si observamos que el servidor de
TELNET se instala de manera silente sin pedir datos al
usuario, entonces podemos imaginar que las intenciones del
programador del servidor de TELNET son perversas.

Esto último es lo que pasa cabalmente con CyberSpy v8.4. Otro
dato que nos debe hacer desconfiar es que el servidor de
TELNET viene acompañado de un Editor. Con este editor el
atacante puede configurar los datos del Servidor sin
necesidad de hacerlo en la propia máquina de la víctima.

Los antivirus con buen criterio suelen reconocer estos
programas como amenazas. Ya conocemos los casos históricos de
otros Servidores de TELNET como Fire HacKer, Tiny Telnet
Server - TTS y Truva Atl. Todos ellos se consideraron como
código maligno y fueron detectados.

Pero entremos en detalles. ¿Qué podemos decir de CyberSpy
v8.4?

1. El nombre del archivo, una vez ejecutado en el ordenador
de la víctima, es Mswincfg32.exe; aunque es configurable a
elección del atacante.

2. En el Registro de Windows deja la entrada Mswincfg. Una
vez más he de decir que es editable la entrada a voluntad del
atacante.

3. El puerto que utiliza por defecto es el 14194 en vez del
más común para TELNET, 23.

4. Para notificar al atacante utiliza dos sistemas. El más
usado es la notificación por ICQ. También acepta notificación
por E-Mail.

5. Puede generar un falso mensaje de error en el ordenador de
la víctima cuando ejecute el Servidor de TELNET. El mensaje
por defecto (aunque editable) es el siguiente:

Fatal Error
This application requires at least
Microsoft Windows 95 to run!

6. Posee un pequeño Binder para fijar el Servidor a cualquier
otro ejecutable. También es indetectable.

7. Tiene una función muy curiosa que aplaza la ejecución del
Servidor de TELNET hasta la fecha elegida por el atacante.
Por defecto la fecha es 4-6-2003, aunque la función no viene
activada en el Servidor a menos que el atacante lo permita.

8. Para proteger aún más su invisibilidad en el ordenador de
la víctima, sólo abre el puerto de escucha cuando la víctima
está online. Esta función por defecto está desactivada.

9. Puede proteger el Servidor con una contraseña para que
sólo el atacante pueda acceder al ordenador infectado.

10. Por último, otra función curiosa que posee es que puede
falsear los datos del comando Netstat cuando el Cliente de
TELNET entre en conexión con el Servidor. Esto permitiría al
atacante ocultar su IP a la víctima.

Es obvio que para conectar con CyberSpy v8.4 el atacante
necesitará un cliente de TELNET legal. Con él tendrá control
remoto sobre el ordenador de la víctima.

Las últimas pruebas realizadas a las 4:00 AM (horario de
Europa) de hoy 24 de julio sobre la indetectabilidad de
CyberSpy v8.4 mostraban estos resultados:

Dr. Web: Detectable como BackDoor Trojan
McAfee: Detectable como BackDoor NT (tanto el Editor como
el Servidor).
Anti-Trojan: Indetectable.
Tauscan: Indetectable.
Norton: Indetectable.
Panda: Indetectable.
F-PROT: Indetectable.
AVP: Indetectable.
NOD32: Indetectable.

(Nota de Redacción: en el momento de la publicación de este
artículo, la lista de antivirus que habían examinado la
muestra enviada y publicado las actualizaciones ha aumentado,
según se muestra al final).

Al no ser un programa que se autoenvíe por E-Mail, no es de
alto riesgo, pero es nuestra obligación informar de todas las
amenazas que encontremos por Internet.

Una vez más nuestro consejo apunta hacia la instalación de un
buen cortafuegos en espera de la actualización
correspondiente de nuestro antivirus.

(*) Marcos Rico es un investigador independiente de virus,
troyanos y exploits

Otras noticias de interés:

Disponible Wine 1.0
El equipo de wine ha anunciado la disponibilidad para descarga de la primera versión estable de esta aplicación, la 1.0. Han tardado muchos años pero ya hemos podido disfrutar de las cualidades de wine en sus versiones anteriores....
11 de febrero el día contra la vigilancia masiva en Internet. Unete!
Miles de webs y decenas de asociaciones entre ella Mozilla han mostrado su apoyo a una iniciativa que también recordará al programador Aaron Swartz....
Conversión batch a PDF desde OpenOffice.org
Es posible que en ocasiones se te plantee este problema: debes convertir a formato PDF los 80 documentos que tienes en cierto directorio....
Boletines de seguridad de Microsoft en marzo
Este martes pasado Microsoft publico tres boletines de seguridad (del MS11-015 y el MS11-017) correspondientes a su ciclo habitual de actualizaciones. Según la propia clasificación de Microsoft un boletín presenta un nivel de gravedad crític, m...
Acceso no autorizado a documentos XML con IE
Según publica Secunia, el conocido investigador Georgi Guninski ha reportado la reaparición de una vulnerabilidad que había sido descubierta y solucionada por Microsoft dos años atrás. La misma, puede ser explotada por usuarios maliciosos para r...
Actualizaciones disponibles para QuickTime, VLC y Opera
Una nueva versión del reproductor multimedia de Apple se encuentra disponible para su descarga. QuickTime 7.4.5 soluciona nada más y nada menos que 11 problemas de seguridad de los cuales 9 podrían ser aprovechados para inyectar troyanos a través...
Cloud computing y virtualización, en el punto de mira de los ciberdelincuentes
De acuerdo con un estudio publicado por Trend Micro, ante el auge que está experimentando el cloud computing y las tecnologías de virtualización, los ciberdelincuentes están poniendo sus miras en estos entornos para dirigir sus ataques....
Nueva versión de PHP resuelve numerosas vulnerabilidades
Se ha publicado una actualización de PHP que resuelve un grave problema de seguridad. PHP es vulnerable a un fallo por el que un atacante remoto podría ejecutar código arbitrario en el sistema afectado....
Microsoft:Aumentan ataques relacionados con Java
Mantener seguro y totalmente actualizado a Windows, no es una tarea muy sencilla, porque existen muchos componentes de terceros que tienen su propio ciclo de lanzamientos. Microsoft lo sabe y, gracias a un trabajo realizado por su Malware Proteccion ...
Facebook oculta nuestros contenidos?
Resulta que en las redes sociales se está hablando de la posibilidad de que Facebook nos oculte contenidos. Y lo que es peor que oculte nuestro contenido a otros. Les cuento. No es que ahora Facebook quiera fastidiarnos a ninguno nuestra comunicaci...

Brindanos
un o una


Redes Sociales

Publicidad


Gana Bitcoins desde tu casa

Categorías


Planeta Vaslibre

Blog Roll




Nube de tags

  • anonimato
  • anonimo
  • antivirus
  • apache
  • blog
  • bsd
  • bug
  • centos
  • chrome
  • cifrado
  • computer
  • cyberspy
  • debian
  • exploits
  • fedora
  • fice
  • firefox
  • forense
  • freebsd
  • gentoo
  • github
  • gnome
  • gnu
  • gpl
  • gtk
  • hack
  • hacking
  • hosting
  • informatica
  • internet
  • isos
  • libre
  • licencias
  • linux
  • linuxmint
  • lxde
  • micros
  • mint
  • mit
  • mozilla
  • mysql
  • noticia
  • opensource
  • pgp
  • php
  • sabayon
  • seguridad
  • servidor
  • system
  • tecnologia
  • telnet
  • thunar
  • thunderbird
  • tor
  • troyano
  • troyanos
  • tware
  • ubuntu
  • underground
  • vaslibre
  • virus
  • viserproject
  • vivaldi
  • vulnerabilidades
  • web
  • website
  • windows
  • xanadu
  • xfce
  • xombra