Trojans de ponte
Autor: Kakuseisha | Publicado: 2009-09-07T19:23:00-07:00

Trojans de ponte

       É um tipo não muito conhecido mas largamente usado por hackers e crackers do mundo inteiro. Consiste em instalar um servidor no seu computador que possibilite que através  dele (e do seu endereço ip) o invasor possa realizar ataques de invasão e de recusa de serviço. Então, se um grande site for invadido e baterem na sua casa, procure pois deve haver algum desses no seu sistema. Um programa comum é o WinProxy, que pode ser instalado facilmente e não levanta nenhum tipo de suspeitas. Conheço alguém que o possui na sua máquina e jura que é um firewall. Leia mais sobre os trojans de ponte na seção anonimidade. Rootkits. Esse tipo especial de backdoor é utilizado no Unix e  Linux. Ao ser executado pelo operador do sistema ele substitui arquivos executáveis importantes (como o ps por exemplo) por versões “infectadas”. Essas versões podem ser tanto trojans de portas quanto de informação. Vão fornecer acesso irrestrito ao invasor com poderes de super-usuário, e o mais importante: os acessos não ficam registrados nos logs. Para conhecer alguns dos rootkits mais usados e o tipo de alteração causada por eles, visite o website: www.rootshell.com. 

Trojans comerciais

      Alguém já ouviu falar do PcAnywhere? Ou do terminal remoto do Windows 2000 e  XP? Esses programas (além de muitos outros) possibilitam que você controle completamente a máquina de alguém, como se estivesse sentado ali. Quer jogar Quake no computador  invadido? Clique no botão iniciar dele e faça tudo como se estivesse no seu próprio computador.
     A vantagem desses programas (já que são comerciais), é que o anti-vírus não pega. Tente também o excelente VNC (que pode ser pego em  www.superdownloads.com.br), que é gratuito. Se você configurar direitinho um programa desses na vítima, seja piedoso. 

    Cliente para conexões do programa comercial VNC, criado pela AT&T
Escondendo o trojan em arquivos confiáveis

    Existem muitos programas na Internet que escondem os servidores em arquivos
executáveis. Um deles é o The Joiner, que possibilita você juntar o trojan com algum outro executável e criar um terceiro contendo os dois. Além de possibilitar que o coloque em fotos. Um método engraçado muito utilizado hoje pelos que se dizem “hackers”, é renomear algum executável para foto e deixar um largo espaço. Por exemplo: supondo que o nosso servidor é o arquivo server.exe. Então iríamos renomeá-lo para loira.jpg .exe. Assim muitos usuários inexperientes caem no truque. Todos os métodos citados anteriormente têm somente uma falha: se você criar um executável pelo The Joiner ou renomear o servidor, qualquer programa anti-vírus logo detectará o arquivo. Para que o antivírus não o detecte, é só usar a imaginação. Crie um programa em alguma linguagem e coloque o servidor no meio dos arquivos. Faça com que o programa quando executado renomeie o servidor e o execute. Assim, se o servidor estiver como voodoo.dll passe-o para sysconf.exe e execute. Esse método não é infalível mas engana a grande maioria dos programas de detecção. Mas não todos. Anti-vírus geralmente o pega. 


The Joiner: esconda o servidor em outro arquivo
Utilizando compressores de executáveis

      Como vimos no ítem anterior, vários métodos podem ser usados para esconder um cavalo de tróia. Depende mais da imaginação do invasor. Só que ainda assim podem ser facilmente detectados. Esse é o primeiro livro a citar o método do compressor de executáveis Windows 32 bits, apesar de essa técnica já vir sendo utilizada em larga escala. Consiste em usar um programa compressor de arquivos EXE, que apenas diminua o seu tamanho retirando espaços vazios desnecessários. Um programa comum é o Petite que diminui cerca de 30% ou mais do arquivo original. Um trojan (ou mesmo um vírus) comprimido é absolutamente indetectável por anti-vírus e scanners. Isso porquê esses programas se baseiam na estrutura do arquivo para identificá-lo. É como se tivesse fotos na memória e as comparasse. Como não encontrou nenhuma igual, não mostra nenhum tipo de aviso. Um operador de sistemas têm que conhecer muito bem seus arquivos e conferir sempre novas alterações (como datas e horas de novos arquivos) para evitar que um trojan comprimido seja instalado em seu sistema. Não dependa só de anti-vírus. Mas atenção: os compressores de executáveis não comprimem arquivos que já foram comprimidos (como o server do trojan subseven).

Vamos realizar passo a passo o processo de esconder um trojan de um anti-vírus.
1. Passaremos o Norton para que encontre o arquivo infectado:
2. Agora, abriremos o programa PETITE para comprimir o arquivo EXE do
servidor do Netbus.
3. Com o arquivo já comprimido, novamente testamos o anti-vírus: