

                    >\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\<
                    >>*************************************<<
                    >>** DESINFECCION DE TROYANOS By X4B1**<<
                    >>*************************************<<
                    >///////////////////////////////////////<



En este erticulo os explicare como detectar troyanos en nuestra makina y 
desacernos de ellos (desinfectarnos)... tambien os dare unas pekeas 
recomendaciones para no caer en manos de estos visitantes malignos :)

Como saber si estoy infectao por un troyan?

Bueno, pos si el tio es tan cantoso ke se ponga a mover el raton, abrir y
cerrar el cd, poner sonidos, mandar mensajes... (si notas algo de esto
evidentemente estas infectado). Pero generalmente no es asi, asike te mas al
msdos y pones netstat -a -n te saldra algo asi:

 Proto  Direccin local            Direccin remota            Estado
  TCP    0.0.0.0:1037               0.0.0.0:0                  LISTENING
  TCP    0.0.0.0:59                 0.0.0.0:0                  LISTENING
  TCP    212.170.194.226:1037       62.81.62.152:6667          ESTABLISHED
  TCP    212.170.194.226:137        0.0.0.0:0                  LISTENING
  TCP    212.170.194.226:7878       0.0.0.0:0                  LISTENING
  TCP    212.170.194.226:138        0.0.0.0:0                  LISTENING
  TCP    212.170.194.226:139        0.0.0.0:0                  LISTENING
  UDP    212.170.194.226:137        *:*
  UDP    212.170.194.226:138        *:*

Bueno, esto son las conexiones activas q tienes en el momento... si ves
alguna no habitual como la de arriva ke esta el 7878 listening es ke tienes
el troyan esperando a su dueo (veras listening  en caso de usar el protocolo 
tcp, si usan udp lo veras como aparecen en el netstat de arriba con una ip 
deremota masqued *:*,  y si esta established (puede ser en los dos tcp udp), 
si hay una conexion tanto en el caso de tcp como en udp, aparecera marcado 
como stablished,  es que ahy una conexion  y es que el dueo esta dentro 
"urgando" tu makina).
Otra opcion tb seria pedirle a algun amigo tullo ke te escanee de arriva a
abajo para ver si ahi algo raro...
Claro que tener un puerto abierto, no tiene porke implikar que estes infectado 
por un troyano, puede ser cualquier otra cosa..o puede que no..una solucion 
para averiguar esto es realizarte un propio telnet a ti mismo, a tu ip y al 
puerto donde crees k hay algo ratito..el 90% de las veces los troyanos 
responden con su version y o alguna otra respuesta, normalmente destinadas a 
la identificacion por parte del cliente.

Varias aclaraciones:

Debes saber ke un "troyano" o "caballo de troya" es un programa que se instala
en la makina ke se kiere atacar. Esta instalacion puede hacerse por contacto
directo del pc atacado, o por envio del archivo de instalacion por mail, DCC...
(y el capullin ke lo recibe lo ejecuta xD).
Una vez ke ejecutas el troyano (el programa de instalacion q te envien) 
,suelen actuar  de la misma forma, se graba en el registro y en la memoria del 
sistema operativo, creado los archivos necesarios para ke se ejecute al 
iniciar y poder trabajar, quedando como programa TSR (terminate and Stay 
Resident Program: Programa de Terminary Permanecer Residente) es una tecnica 
utilizada en  Msdos desde hace varios aos que estaban basadas en el segmento 
Tsr de   la memoria, los troyanos suelen  usar vias de infeccion distintas,  
via modificacion de registro o y win.ini, pueden incluso troyanizar comandos 
del sistema 
para evitar su deteccion (netstat por ejemplo), como es el caso de linux aunke 
no te fies tampoco 
en win, para evitar problemas,te recomendamos guardes una copia de tus 
comandos en un disko,
 lo guardes bajo llave, y no se lo digas a nadie jamas. 

Este programa de instalacion tiene la capacidad de renombrarse con cualkier 
otro nombre mientras no se le cambie la extension (*.exe) de manera ke pueden
pasar despercibidos por la persona ke lo ejecuta. Tambien existe la 
posibilidad 
en algunos troyans como el sub7, de cambiar el icono del programa de
instalacion del troyano para tener una apariencia mas atractiva para la
victima y lo ejecute. Todo esto solo sirve para hacerlos mas dificiles de
encontrar a akellos que no tengan muchos conocimientos sobre el sistema
operativo, pero no le es ningun incombeniente para los ativirus o antitroyanos
ke esten actualizados...
Basicamente todos los troyanos funcionan creando un puerto TCP que  es un 
protocolo seguro de conexion que garantiza el tramsporte de paquetes, no como 
el udp que a pesar de que nos provee de un flujo de datos bidireccional (en 
los dos sentidos), los apquetes  pueden lleagar fuera de secuencia, o pueden 
no llegar o contener errores, por eso es menos utilizado, podeis mirar el 
articulo de (PROGRAMACION:LOS SOCKETS Y TU)  si quereis sabesr algo mas 
respecto a los protocolos tcp, udp, etc
. El puerto puede ser el ke el atacante eliga o el puerto por defecto q tiene 
el troyano en cuestion.

Aqui os pongo una lista de los puertos por defecto de los troyanos mas
conocidos:

puerto 21 - Blade Runner, Doly Trojan, Fore, Invisible FTP, WebEx, WinCrash 
puerto 23 - Tiny Telnet Server 
puerto 25 - Antigen, Email Password Sender, Haebu Coceda, Shtrilitz Stealth, 
Terminator, WinPC, WinSpy 
puerto 31 - Hackers Paradise 
puerto 80 - Executor 
puerto 456 - Hackers Paradise 
puerto 555 - Ini-Killer, Phase Zero, Stealth Spy 
puerto 666 - Satanz Backdoor 
puerto 1001 - Silencer, WebEx 
puerto 1011 - Doly Trojan 
puerto 1170 - Psyber Stream Server, Voice 
puerto 1234 - Ultors Trojan, sub7 1.8 
puerto 1245 - VooDoo Doll 
puerto 1492 - FTP99CMP 
puerto 1600 - Shivka-Burka 
puerto 1807 - SpySender 
puerto 1981 - Shockrave 
puerto 1999 - BackDoor 
puerto 2001 - Trojan Cow 
puerto 2023 - Ripper 
puerto 2115 - Bugs 
puerto 2140 - Deep Throat, The Invasor 
puerto 2801 - Phineas Phucker 
puerto 3024 - WinCrash 
puerto 3129 - Masters Paradise 
puerto 3150 - Deep Throat, The Invasor 
puerto 3700 - Portal of Doom 
puerto 4092 - WinCrash 
puerto 4590 - ICQTrojan 
puerto 5000 - Sockets de Troie 
puerto 5001 - Sockets de Troie 
puerto 5321 - Firehotcker 
puerto 5400 - Blade Runner 
puerto 5401 - Blade Runner 
puerto 5402 - Blade Runner 
puerto 5569 - Robo-Hack 
puerto 5742 - WinCrash 
puerto 6670 - DeepThroat 
puerto 6771 - DeepThroat 
puerto 6969 - GateCrasher, Priority 
puerto 7000 - Remote Grab 
puerto 7300 - NetMonitor 
puerto 7301 - NetMonitor 
puerto 7306 - NetMonitor 
puerto 7307 - NetMonitor 
puerto 7308 - NetMonitor 
puerto 7789 - ICKiller 
puerto 9872 - Portal of Doom 
puerto 9873 - Portal of Doom 
puerto 9874 - Portal of Doom 
puerto 9875 - Portal of Doom 
puerto 9989 - iNi-Killer 
puerto 10067 - Portal of Doom 
puerto 10167 - Portal of Doom 
puerto 11000 - Senna Spy 
puerto 11223 - Progenic trojan 
puerto 12223 - Hack99 KeyLogger 
puerto 12345 - GabanBus, NetBus 
puerto 12346 - GabanBus, NetBus 
puerto 12361 - Whack-a-mole 
puerto 12362 - Whack-a-mole 
puerto 16969 - Priority 
puerto 20001 - Millennium 
puerto 20034 - NetBus 2 Pro 
puerto 21544 - GirlFriend 
puerto 22222 - Prosiak 
puerto 23456 - Evil FTP, Ugly FTP 
puerto 26274 - Delta 
puerto 27374 - Sub7
puerto 30100 - NetSphere 
puerto 30101 - NetSphere 
puerto 30102 - NetSphere 
puerto 31337 - Back Orifice 
puerto 31338 - Back Orifice, DeepBO 
puerto 31339 - NetSpy DK 
puerto 31666 - BOWhack 
puerto 33333 - Prosiak 
puerto 34324 - BigGluck, TN 
puerto 40412 - The Spy 
puerto 40421 - Masters Paradise 
puerto 40422 - Masters Paradise 
puerto 40423 - Masters Paradise 
puerto 40426 - Masters Paradise 
puerto 47262 - Delta 
puerto 50505 - Sockets de Troie 
puerto 50766 - Fore 
puerto 53001 - Remote Windows Shutdown 
puerto 54320 - Back Orifice 2000 
puerto 54321 - Back Orifice 2000 
puerto 61466 - Telecommando 
puerto 65000 - Devil

Ahora que se que soy una victima como me desinfecto?

Lo 1 ke tienes ke hacer es pillarte un buen antivirus (q hay muchos por la
red y gratis) actualizarlo bien y pasarlo, por lo general esto te lo
desinfectara...
Tambien puedes bajarte el "The Cleaner" que es un limpiador de casi todos 
(por no decir todos)los troyanos existentes. Te lo puedes bajar de su
pagina oficial en: http://www.moosoft.com/download.php, ten cuidado con los 
cleaner que ves por ahi que pueden venir con sorpresa.
Puede que des con un troyano nuevo,  o personal que haya hecho alguno por su 
cuenta, te preguntaras  que puedo hacer ?,  pues lo 1 instalarte un firewall 
esto es fundamental, aunque no creas que con esto lo has solucionado, con esto 
no te quitas el troyano de encima, pero consigues  tapar un poco ese ahujero o 
ahujeros, podeis bajaros  Tiny Personal Firewall 2.0.13 es un firewall 
freeware y esta en esta web http://www.tinysoftware.com, si no hay 
desinfeccion una soluccion drastica pero eficad, la ultima opcion es 
formatear, y luego tomar las debidas precauciones (escaneo de diquetes , cds 
etc, instalacion de firewall, parcheo de sistema y estar al tanto podeis mirar 
  en www.hispasec.com y estar al dia de las nuevas vulnerabilidades), win es 
un mundo dificil que te pueden meter un troyano de forma muy facil sin que te 
enteres (mirar articulo de Vulnerabilidades en Outlook y Internet Explorer) 
Ahora voy a explicar un metodo de desinfeccion de forma manual:

Una forma muy rapida de desinfectarte es averiguar del troyano que es,
conseguir el cliente y utilizar la opcion de desinfeccion de la vitima que
suelen tener algunos de los troyanos. Pa saber que troyan es fijate en
el puerto que te abre y si por casualidad el atacante lo dejo por defecto
mira en la lista de arriba y a buscar el cliente... Si no tienes ni p.. de 
cual puede ser haz lo siguiente:

1 tienes ke localizar el archivo con ke se ejecuta en troyanoal 
iniciar para poder borrarlo, y no creas ke borrando el archivo ke te paso
aquel tipo por el irc diciendo ke era un antitroyanos, antinuke... sera
suficiente... ya ke este era solo para instalarlo y crear una copia de el en
alguna carpeta del sistema operativo... generalmente en:
c:\windows
c:\windows\system
Puedes provar a buscar el archivo de instalacion ke ejecutaste por la carpeta
de win2 ya ke lo mas seguro es ke tenga el mismo nombre...
El problema es que para eliminarlo directamente a la papelera, Windows
se niega a hacerlo (le debe gustar xD) y da error de archivo en uso. Para
borrarlo tienes ke conseguir ke no este ejecutao, como? pues evitando ke se
ejecute al arrancar... te vas a: 
*Inicio-ejecutar
pones: msconfig 
vas a la pestaa de inicio y ahi tienes todos los programas q se cargan al
iniciar el windows, es decir, los que tengan una entrada en el registro, los
que esten en el win.ini, y incluso los ke estan directamente en la carpeta de
inicio...Desmarcas la ke sea del troyan y reinicias... ahora ya podras
borrarlo sin ningun problema.
Una de las cosas ke tambien puedes hacer es reiniciar en msdos y borrarlo
desde este...y asi tampoco tendras ningun problema para borrarlo.
Otra opcion que  puede ayudarte a  encontrarlo es  viendo lo procesos que se 
estan  ejecutando en ese momento en tu maquina, para   ello usaremos Power 
Tray, su web es  http://lopesoft.cjb.net, es frreware y en espaol,  el cual  
una de sus opciones es  Tray System que  bueno puedes ver los recursos libres
apacidad total, libre y usada  de la memoria fsica y de la memoria virtual, 
capacidad total,  libre y usada de los discos duros; e informacin sobre los 
"procesos que se ejecutan en el sistema y las DLLs que  utiliza cada proceso", 
esto ltimo es lo que nos interesa y que puede indicarnos donde esta el troyano.

Sigamos con el borrado manual del troyano:

Despues de todo esto tambien es recomendable que borres todas las entradas que
dejo en el registro o en el win.ini. Para eso hacemos los sigueinte:
Borar entradas del registro:
inicio-ejecutar  
pones: regedit
vas a estas ramas:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
 
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices
aqui borras las entradas del troyan (si las ahi) y reinicias...

Borrar entradas del win.ini:
vas a: 
c:\windows\win.ini  
y en la entrada de run=... si ves algo como server.exe, Sysedit.exe,
Explore.exe, Icqprotector.exe, Antinuke.exe, Patch.exe, My Foto.exe, etc...
(generalmente pocos programas se cargan de esta manera) pues lo borras guardas
los cambios y ya esta.

Algunas precauciones ke debo tomar para no infectarme:

-No aceptar ni aun menos ejecutar ningn archivo que provenga del IRC o de
procedencia desconocida en el ICQ o PowWow.
-Estar al tanto de las conexiones de tu makina con el netstat. Existen 
programas como el "X-NetStat" que te hacen esto automaticamente y asi podras 
estar visualizando todas las conexiones del pc en el momento... lo tienes en
multitud de sitios... uno de ellos es: 
http://software.hispavista.com/windows_9x/internet_y_redes/otros/2809/
-Pasar de vez en cuando el antivirus o antitroyanos y tenerlo bien actualizado
-Eliminar manualmente las libreras windll.dll con al que trabaja el BO y 
KeyHook.dll para el Net Bus.
-Ten buen ojo y vijila tb las secuencias de arranke del registro y del win.ini
-Y na mas ke tengas suerte xD


