
   ////////////////////////
  / TROYANOS EN INTERNET / 
 /            by Nusky  /
////////////////////////


Qu es un troyano?
Los troyanos o ?caballos de troya? no son virus, ya que no tienen capacidad de
reproducirse. Son programas de administracin remota de sistemas, que constan
de 2 partes: un programa cliente, mediante el cual se puede conectar con
cualquier equipo que tenga instalada la otra parte (servidor). El servidor lo
que hace es abrir un puerto de comunicaciones, lo cual permite al programa
cliente ponerse en contacto con el y acceder a todos los recursos del sistema.
Adems, una vez ejecutado el servidor, queda instalado en el sistema, ya que
aade una entrada  en el registro del sistema o se introduce en los ficheros
de inicio  (win.ini, autoexec.bat etc).


Cmo puedo saber si tengo un troyano?
Para detectar si tenemos un troyano instalado en nuestro ordenador, tenemos
que comprobar los puertos que tenemos abiertos. Para ello, en windows 95 o 98,
abrimos una ventana de ms dos y ejecutamos el comando NETSTAT escribiendo:

C:\>netstat -an

Nos aparecer algo similar a esto:

Active Connections

  Proto  Local Address          Foreign Address              State
  TCP    212.60.120.80:2035     209.235.102.9:80        ESTABLISHED
  TCP    212.60.120.80:2036     206.235.102.9:80        ESTABLISHED
  UDP    127.0.0.1:1934         *:*
  UDP    127.0.0.1:1946         *:*
  UDP    212.60.120.90:137      *:*
  UDP    212.60.120.90:138      *:*

	En la primera columna (Proto) aparecen los tipos de conexin, TCP y UDP son
los  servicios que utiliza Internet para establecer la comunicacin.
La siguiente columna (Local Address o Direccin local ) nos dice nuestra
direccin IP que, en este caso, es la  212.60.120.80 en Internet y la
127.0.0.1, direccin que siempre indica que se trata  de una mquina local.
Despus, separado por dos puntos, nos encontramos el puerto  que tenemos
abierto.
En la siguiente columna, (Foreign Address o Direccin remota) se encuentra la
direccin IP y  el puerto de la mquina con la que estamos manteniendo la
comunicacin. En este caso, la IP 209.235.102.9 corresponde a
www.raza-mexicana.org y el puerto 80, al servicio HTTP del servidor Web, lo
que significa que, con nuestro navegador, estamos visualizando la pgina web
de RazaMexicana.
La ltima columna (State o Estado) nos indica el estado de la conexin:
establecida, a la escucha, etc.
En la columna  Local Address o Direccin local es donde tenemos que mirar los
puertos que tenemos abiertos. Seguidamente vemos una lista de los puertos que
abren los troyanos ms conocidos:


Puerto numbero
Protocolo
Nombre del Troyano

2
TCP
Death 1.0

21
TCP
Blade 0.80 Alpha

21
FTP
Dark FTP, Cattivik FTP, CC Invader 1.0, Invisible FTP

23
TCP  
My Very Own Trojan, tRuVa Atl 1.2  
 
25 
TCP 
Ajan 1.1, Antigen, Barok 1.0 - 2.1, Email Password Sender 1.03-1.6, Gip1.10,
Kuang2 0.17A-0.30, Mail Bomb Trojan, Magic Horse Trojan, Moscow Mail, Taprias, 
WinPC 
 
31 
TCP 
Agent 31 

58  
TCP  
DMSetup  
 
59  
TCP  
DMSetup  
 
79  
TCP  
Firehotcker  

80  
TCP  
711 Beta, Exector, Web Serve 2  
 
80  
ACK  
AckCmd
 
12  
UDP  
Jammer Killah 1.2  
 
146  
TCP  
The Infector 1.3  
 
170  
TCP  
A-Trojan
 
334  
TCP  
3.1 - 3.1.1  
 
411  
TCP
Backage 3.2 SE  
 
420  
TCP  
Incognito 1.2  
 
455  
TCP  
Fatal Connections 2.0  
 
456  
TCP
Hackers Paradise 2 beta 3, Masters paradise 98 beta 2 - 99 beta 9.9d  
 
555 
TCP 
iNi Killer 4.0 pro, phAse zero 1.0 - 1.1, Stealth Spy 
 
666
TCP  
th3r1pp3r'z trojan 1.0 - 1.1  
 
667  
TCP  
SniperNet 2.1  
 
669  
TCP  
DP Trojan 2.5  
 
692
TCP  
GayOL 1.6  
 
1001  
TCP  
SK Silencer, Web Ex 1.2 - 1.4  

1010  
TCP  
Doly Trojan 1.35  
 
1011  
TCP  
Doly Trojan 1.11  
 
1015  
TCP  
Doly Trojan 1.5  

1016  
TCP  
Doly Trojan 1.6 - 1.70 SE  
 
1024  
TCP  
Latinus 1.0 - 1.1 beta, NetSpy 0.6.98 Build A
 
1025  
TCP  
NetSpy 0.6.98 Build A  
 
1053  
TCP  
Thief 2  
 
1054  
ACK  
AckCmd
 
1066  
TCP  
B.F. Evolution 5.3.12  
 
1212  
TCP
Kaos 1.1 - 1.3  
 
1234  
Telnet  
Ultor's Telnet Trojan  
 
1243 
TCP 
SubSeven 1.0 - 1.8 
 
1245  
TCP
VooDoo 6  
 
1256  
TCP  
Project nEXT 0.5.3 beta  
 
1269
TCP  
Maverik's Matrix 1.7 - 2.1  
 
1272  
TCP  
The Matrix 1.03  
 
1312 
 
Sub7 
 
1349
UDP 
Back Ofrice DLL 
 
1441  
TCP  
Remote Storm 1.2  

1492 
FTP 
FTP99cmp 
 
1777  
TCP  
Scarab 1.2c  
 
1967  
FTP  
WM FTP Server  

1981  
Telnet  
Bowl 1.0, Shockrave  
 
1999 
TCP 
BackDoor 1.00-1.03, Transmission Scout 1.1-1.2
 
2000  
TCP  
Last 2000, Transmission Scout 1.1-1.2  
 
2001  
TCP  
Trojan Cow 1.0  
 
2023  
TCP  
Ripper Pro
 
2130  
UDP  
MiniBackLash 1.0a  
 
2115 
TCP
BUGS 
 
2140  
UDP  
The Invasor  
 
2311  
TCP  
Studio 54 1.0  
 
2565  
TCP
Striker 1.0  
 
3000  
TCP  
InetSpy beta 1, Remote Shut 1.2 - 1.4  
 
3031
TCP  
Microspy 1.0  
 
3150  
TCP  
MiniBackLash 1.0a  
 
3250  
UDP  
The Invasor  
 
3456
TCP  
Doly Trojan 2.0, The Terror Trojan  
 
3459  
TCP  
Sanctuary  

3700  
TCP  
Portal of Doom V.3 Beta  
 
3777  
TCP  
Psychward The First  
 
4000  
TCP  
Skydance 2.16 Beta - 2.29 Beta  

4242  
TCP  
Virtual Hacking Machine  
 
4321  
TCP  
Bo-Bo 1.0 Final Beta
 
4444  
TCP  
CrackDown 1.0 beta, Swift Remote 1.06  
 
4567 
TCP 
File Nail 1 
 
4653 
TCP  
Cero 1
 
4666 
TCP  
Mneah Trojan 0.1  
 
5000 
TCP
Bubbel 
 
5011  
TCP  
One of the last trojans  
 
5025  
TCP  
WM Remote Keylogger  
 
5031  
TCP
Net Metropolian 1.00-1.04  
 
5333  
TCP  
 
 
5400
TCP 
Blade Runner 0.80 Alpha 
 
5401 
TCP 
Blade Runner 0.80 Alpha , Mneah Trojan 0.1 
 
5402 
TCP 
Blade Runner 0.80 Alpha , Mneah Trojan 0.1 
 
5534
TCP  
The Flu  
 
5569  
TCP  
Robo Hack 1.2  

5880  
TCP  
Y3K RAT 1.4 - 1.5  
 
5882  
UDP  
Y3K RAT 1.0  
 
5888  
UDP  
Y3K RAT 1.0  

6000  
TCP  
The thing 1.6  
 
6400  
TCP  
The thing 1.1 - 1.5
 
6661  
TCP  
Weia-Meia 0.1  
 
6666  
TCP  
Dark Connection Inside 1.2 beta  
 
6667  
TCP  
SubSeven ICQ Fix
 
6669  
TCP  
Host Control 1.0  
 
6712  
TCP
Funny Trojan , sub7 
 
6713 
 
Sub7 
 
6912  
TCP  
ShitHeep  
 
6969  
TCP
Gatecrasher 1.1 - 1.2  
 
7000  
TCP  
Remote Grab 1.0  
 
7001
TCP  
Freak 88's DAS  
 
7300  
TCP  
Net Monitor 1.0  
 
7301  
TCP  
Net Monitor 1.0  
 
7306
TCP  
Net Monitor 1.0 - 2.01  
 
7307  
TCP  
Net Monitor 1.0  

7308  
TCP  
Net Monitor 1.0  
 
7579  
TCP  
QAZ Trojan  
 
7626  
TCP  
Glacier 3.0  

7777  
TCP  
Tini  
 
9000  
TCP  
Netministrator
 
9400  
TCP  
InCommand 1.0-1.6 beta 6  
 
9876  
TCP  
RUX  
 
9989  
TCP  
iNi Killer 1.2 - 3.2 pro
 
10085  
TCP  
Syphillis 1.18 Alpha  
 
10100  
TCP
Control total beta 4, Gift 1.07.0  
 
10101  
TCP  
BrainSpy Beta  
 
10607 
TCP 
Coma 1.0.9 
 
10666  
UDP
Ambush 1.0  
 
11223  
TCP  
Progenic trojan beta 1.0 - 1.0, Secret Agent 1.0  
 
12345
TCP 
NetBus 1.20-1.70 
 
12349  
TCP  
BioNet 0.84 - 3.09  
 
12624  
TCP  
ButtMan 0.9N  
 
13013
TCP  
Psychward 01  
 
13014  
TCP  
Psychward 02 - 03  

13473  
TCP  
Chupacabra 1.0  
 
15382  
TCP  
SubZero Alpha  
 
16484  
TCP  
MoSucker 1.0 - MoSucker 1.1  

16969  
TCP  
Priority  
 
17166  
TCP  
Mosaic 2.00
 
17569  
TCP  
The Infector  
 
17593  
TCP  
AudioDoor 1.2  
 
19604 
 
Metaltrojan (Cuidado!!! Este troyano no lo detectan los antivirus ni el
Cleaner)
 
 
20001  
TCP  
Insect 1.0 Y2K1, Millenium 1.0 - 2.0  

20002  
TCP  
AcidkoR  
 
20005  
TCP  
MoSucker 2.0 - 2.1b  
 
20034 
TCP 
NetBus 2.0 Beta-NetBus 2.10 

21544 
TCP 
GirlFriend 1.0 Beta-1.35, Kid Terror 1.0, Maverik's Matrix 1.0 - 1.6 
 
22222  
TCP  
Ruler 1.3 Test version
 
23005  
TCP  
NetTrash 1.01  
 
23006  
TCP  
NetTrash 1.01  
 
23023 
TCP 
Logged 1.0
 
23032  
TCP  
Amanda 2.0  
 
23432 
TCP
Asylum 0.2  
 
23456 
FTP 
Evil FTP 
 
23777  
TCP  
InetSpy beta 1  
 
24000  
TCP
The Infector 1.7  
 
25685  
TCP  
MoonPie 1.0 - 1.2  
 
25686
TCP  
MoonPie 1.0 - 1.2  
 
25982  
TCP  
MoonPie 1.1  
 
29104  
TCP  
NetTrojan 1.0  
 
29891
UDP  
The Unexplained  
 
30001  
TCP  
The Infector 1.7 version 2  

30001  
TCP  
Err0r32 beta  
 
30029  
TCP  
Aol Trojan 1.1  
 
30100 
TCP 
NetSphere 1.27a 

30101 
TCP 
NetSphere 1.27a 
 
30102 
TCP 
NetSphere 1.27a
 
30947  
TCP  
Intruse 1.27b  
 
31337 
UDP 
BackOfrice 1.20, Freak trojan 2k 
 
31338 
UDP 
DeepBO
 
32100  
TCP  
Peanut Britter 0.2 beta  
 
33333  
TCP
Blackharaz, Prosiak 0.45  
 
33577  
TCP  
Psychward small 01 - 02  
 
34324 
TCP 
Bigluck 
 
37237  
TCP
Mantis 0.1b  
 
40412  
TCP  
The Spy Beta 1  
 
41337
TCP  
Storm 1.2  
 
41666  
TCP  
Remote Boot Tool 1.0  
 
41666  
UDP  
Remote Boot Too 1.0  
 
44444
TCP  
Prosiak 0.65 - Prosiak 0.70 beta 7  
 
47262  
TCP  
Delta source 0.5 - 0.7  

47262  
UDP  
Delta source 0.5 - 0.7  
 
50130  
TCP  
Enterprise  
 
50766  
TCP  
Fore 1.0 Beta  

51966  
TCP  
CAFEiNi 0.8 - 1.1  
 
53001  
TCP  
Remote Windows Shutdown 0.02b
 
54321 
TCP 
SchoolBus .6 - 1.60 
 
55165 
TCP  
File Manager Trojan  
 
55166  
TCP  
File Manager Trojan
 
61466  
TCP  
TeLeCoMMaNDo 1.5.40  
 
65000  
TCP
Devil 1.3  
 
65535  
TCP  
RC  
 

la columna Foreign Address o Direccin remota nos la IP de la mquina del  
atacante cuando se conecta con nosotros.


Como puedo evitar que me metan un troyano?
Hay 4 vas principalmente por las que nos pueden ?colar? el server de un 
troyano:
a) Por el correo
b) En el IRC, por DCC
c) Por Netbios, si lo tenemos mal configurado, pueden conectar con nuestro 
sistema e introducirnos un troyano.
d) Por medio de java y activeX malignos.
En el caso del correo, se recomienda no abrir ningn archivo adjunto que 
provenga de fuentes desconocidas y, en cualquier caso, no abrirlo 
directamente, sino guardarlo en disco y examinarlo antes de abrirlo con un 
buen antivirus. (Si se trata de un archivo comprimido, asegurarnos de que 
nuestro antivirus es capaz de examinar ese tipo de archivos). Por precaucin, 
es conveniente, si utilizamos el outlook desactivar la opcin ?descargar 
automticamente el mensaje al verlo en el panel de vista previa? (en el men 
herramientas - opciones, pestaa leer), ya que algunos virus y troyanos pueden 
activarse solamente con abrir el correo.
En el IRC, no debemos jams aceptar envos por DCC de ninguna persona que no 
sea de nuestra total confianza y, aun sindolo, asegurarnos bien de que el 
envo procede efectivamente de sa persona y de que no se trata de algn virus
de los que se autoenvan. Como en el caso del correo, conviene igualmente 
examinar los archivos con un buen antivirus antes de abrirlos. Y, por 
supuesto, tener desactivada en nuestro script  la opcin de autoaceptar DCC ( 
en DCC ? options on send request: sealar "ignore all" (ignorar todas) o "show 
get dialog" (mostrar dilogo), pero nunca "auto get file" and/or "minimize"). 
Asimismo, en File ? Options ? DCC ? Folders ? ?ignore all files except? 
conviene tenerlo sealado, y no incluir extensiones ejecutables (al final del
documento se incluye una lista de extensiones ejecutables que debemos evitar 
aceptar). Tambin resulta conveniente, en la seccin de protecciones de 
nuestro script tener sealado ?rechazar troyanos? o ?rechazar exes?. 
Un error muy comn en el IRC es la creencia de que instalar un firewall nos 
protege de la entrada de un troyano. UN  FIREWALL NO IMPIDE QUE PUEDA ENTRAR 
UN TROYANO EN NUESTRO EQUIPO SI ACEPTAMOS UN DCC INFECTADO Y LO EJECUTAMOS O 
SI ABRIMOS UN ARCHIVO ADJUNTO DE CORREO QUE CONTENGA EL SERVER DEL TROYANO.
(NOTA: un firewall o cortafuegos es un dispositivo de filtrado de paquetes o 
ip's).


4- Tengo un troyano Cmo puedo eliminarlo?
La mayora de los antivirus detectan y eliminan los troyanos ms conocidos. 
(Un buen antivirus online que se actualiza a diario lo tenemos en  
http://www.hispasec.com/housecall) Tambin antitroyanos como The Cleaner 
(http://www.moosoft.com/download.php)

Para eliminar algunos de los troyanos mas extendidos tenemos tambin 
antitroyanos especficos; vamos a ver como detectar y eliminar algunos de
ellos ?a mano?


BACK ORIFICE (BO)

para comprobar si instalado BO en nuestro ordenador. lo mejor que se puede 
hacer es emplear NETSTAT, y comprobar las conexiones UDP abiertas. Para ello, 
abrimos una ventana de ms dos y escribimos:

netstat -an |find "UDP"
 Si nos responde algo como

UDP 0.0.0.0:31337 *.*

podemos tener la  casi completa seguridad  de que tenemos instalado el 
servidor de Back Orifice en nuestra mquina.

El ejecutable del servidor del BO ocupa 124.928 bytes; Al ser ejecutado, se 
borra de forma automtica y crea una copia de si mismo en el subdirectorio
windows/system como .exe y un archivo windll.dll de 8.192 bytes. Por 
ltimo se mete en el registro para ejecutarse cada vez que se inicie Windows.

Para eliminar el BO de nuestro sistema, procederemos a borrar el .exe y el 
windll.dll. Despues ejecutamos el editor del registro (regedit.exe) y 
seleccionamos la clave Hkey_local_machine\software\microsoft\windows\ 
currentversion\runservices y se elimina la referencia existente a .exe. Una 
vez realizados estos pasos, se reinicia el ordenador y se comprueba que los 
cambios han surtido efecto.
Un antitroyano especfico para el BO es el BO detect; lo tenemos en 
http://www.cbsoftsolutions.com/


NETBUS:

Es fcil de detectar la presencia de NetBus, ya que este programa emplea los 
puertos 12345 y 12346 para escuchar sus comunicaciones. Como en el caso 
anterior, NETSTAT ayuda a comprobar si se encuentra instalado, empleando el 
comando :
netstat -an | find "12345"

. Tambin se puede ejecutar el comando telnet y establecer una conexin a 
localhost (el propio ordenador) en el puerto 12345. Si Netbus se encuentra 
instalado se mostrar una cadena indicando su presencia.

Para eliminar Netbus de nuestro sistema, debemos encontrar el programa 
servidor que por defecto es patch.exe, aunque puede tomar cualquier nombre. 
Para ello hay que acudir al registro (regedit.exe) y buscar la clave 
\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ Windows\CurrentVersion\Run. Una vez 
con el nombre del ejecutable, buscaremos dicho archivo y lo ejecutaremos con 
el parmetro /remove. Otra forma de eliminar el servidor de nuestro sistema
es utilizar nosotros mismos la aplicacin cliente de Netbus y conectar con 
localhost . En las opciones del programa elegir Server Admin y despus la 
opcin remove Server.


DEEPTHROAT

DeepThroat es mucho menos conocido que los dos anteriores, aunque sus efectos 
son similares, por lo que tambin hemos de prestarle atencin. En este caso 
los puertos empleados por el programa son el 2140 y el 3150, mientras que el 
cliente abre el puerto 60000. En este programa el servidor se queda tal cual 
una vez instalado en una mquina. Es decir, no crea nuevos archivos, ni se 
renombra, ni nada similar, funcionando desde el directorio en que se ejecuta 
por primera vez (el nombre del servidor es systempatch.exe).

En este caso se ejecuta de nuevo netstat ?an y se comprueba si los puertos 
2140 y 3150 se encuentran listados en cuyo caso se puede tener la seguridad de 
tener instalado DeepThroat. El servidor crea una nueva ruta en el registro con 
la clave HKEY_LOCAL_MACHINE/SOFTWARE/WINDOWS/ CURRENTVERSION/RUN Tomando como
nombre SystemDLL32 y el valor [path]systempatch.exe. Donde path es la ruta 
completa hacia el servidor, bastar con borrar esta clave y tras ello 
localizar el programa en la ruta que se indicaba y eliminarlo del disco duro.


SUBSEVEN (SUB7)

Uno de los troyanos ms peligrosos, emplea los puertos 1243, 6712 y 6713 en su 
primera versin; sin embargo actualmete existen versiones que utilizan otros 
puertos. Un antitroyano especifico lo podemos encontrar en la siguiente 
direccin: ftp://ftp.europe.f-secure.com/anti-virus/tools/s7disinf.reg Una vez 
ejecutado el antitroyano, debemos reiniciar el ordenador.




EXTENSIONES EJECUTABLES: 
(NOTA: Las extensiones que aparecen como "nevershowext" son extensiones 
invisibles de windows; se trata de un valor de cadena de regedit que hace que
no se muestre la extensin en windows, aunque si se muestre en el cuadro de 
dilogo de inicio de transferencia).

js JScript file
VB VBScript File
ade MS Access Project Extension
adp MS Access Project
asx Streaming Audio/Video shortcut
BAS Visual Basic Class Module
bat MD-DOS Batch file
chm Compiled HTML Help file
CMD Windows NT Command Script
cnf SpeedDial (NeverShowExt)
com MS-DOS Application
cpl Control Panel extension
crt Security Certificate
exe Application
hlp Help File
hta HTML Application
inf Setup information
ins Internet Communication Settings
isp Internet Communication Setting
JSE Jscript Encoded Script File Ink Shortcut
lnk Shortcut (NeverShowExt)
mdb MS Access Application
mde MS Access MDE Database
msc MSC File
msi Windows Installer Package
msp Windows Installer Patch
MST Visual Test Source Files
PCD Photo CD Image
pif Shortcut to MS-DOS Program (NeverShowExt)
reg Registration Entries
scr Screen Saver File
sct Windows Script Component
shb Shortcut into a document (NeverShowExt)
shs Shell Scrap object (NeverShowExt)
url Internet Shortcut (NeverShowExt)
VBE VBScript Encoded Script File
VBS VBScript Script File

Otras extensiones dudosas son:
mad MS Access Module Shortcut (NeverShowExt)
maf MS Access Form Shortcut (NeverShowExt)
mag MS Access Diagram Shortcut (NeverShowExt)
mam MS Access Macro Shortcut (NeverShowExt)
maq MS Access Query Shortcut (NeverShowExt)
mar MS Access Report Shortcut (NeverShowExt)
mas MS Access StoredProcedure shortcut (NeverShowExt)
mat MS Access Table Shortcut (NeverShowExt)
mav MS Access View Shortcut (NeverShowExt)
maw MS Access Data Access Page Shortcut (NeverShowExt)
scf Windows Explorer Command (NeverShowExt, generic icon)
uls Internet Location Service (generic icon)
xnk Exchange Shortcut (NeverShowExt)


Quiero hacer constar aqu mi agradecimiento a mis compaeros y amigos leon01 y 
C0ven, por sus aportaciones a este documento y su inestimable ayuda.

Nusky
 

