¿QUÉ ES UN BACKDOOR?

I. ¿QUÉ ES UN BACKDOOR?

Los Troyanos Backdoor, se han consolidado como la temible nueva generación de vandalismo cibernético, debido a su modalidad de incursión ilegal en servidores, estaciones de trabajo o PCs, pudiendo tomar el control de los sistemas comprometidos, con los consiguientes daños que ello implica, nada menos que a través de cualquiera de los 65535 puertos TCP/IP.

Los Troyanos Backdoor no son esencialmente virus, sino "Herramientas de Control Remoto". Además de codificación propia, usan cualquier servicio de Internet: correo, mensajería instantánea, Chat, FTP, HTTP, Telnet, etc.

Aunque su existencia no es nueva, ya que desde hace mucho tiempo se comercializan software legal para controlar redes LAN en forma remota, como PC-Anywhere o Remote-Anything entre muchísimos otros, también se distribuyen herramientas "Freeware" que cumplen similares cometidos.

A pesar que diariamente se propagan virus contenidos en archivos infectados dentro de mensajes de correo, no son pocos los usuarios que motivados por el desconocimiento, la curiosidad, o por no tener actualizados sus sistemas operativos, navegadores, software de correo o antivirus, permiten que esta modalidad todavía sea la más utilizada por los creadores de virus.

En lo que va corrido del año se han reportado una alarmante cantidad de Troyanos/Backdoor y se estima que existen más de 5,000 troyanos creados desde 1997, los cuales pueden ser monitoreados y controlados a través de un software Cliente asociado. En muchos portales de hackers se distribuyen estos ilegales sistemas, incluyendo las potentes herramientas de "barrido" de puertos TCP/IP que permiten detectar las "puertas traseras" abiertas, mediante las cuales pueden ingresar uno de sus componentes.

A. Troyanos Backdoor de acceso remoto

Tienen dos componentes principales: el programa Servidor, que se instala en el sistema de la víctima y el programa Cliente que actúa en la computadora del atacante. Ambos programas establecen una relación Cliente/Servidor entre la PC infectada y la del atacante. Por medio de estos troyanos el atacante puede ejecutar remotamente en los sistemas infectados las mismas acciones que el administrador de un Servidor o usuarios de las PC involucradas.

a) Troyano Backdoor Cliente

El Cliente se encuentra en el equipo del atacante y generalmente tiene una interfaz con opciones y desde las cuales puede ejecutar las funciones que se hayan programado para que interactúen con los sistemas de las víctimas.

b) Troyano Backdoor Servidor

El Servidor que se instala en el sistema de la víctima, es un programa que ocupa muy poco espacio y está asociado al Cliente, para poder recibir las instrucciones o través del mismo, ejecutar las funciones que el intruso esté facultado.

B. Los troyanos backdoor se pueden transmitir por diversos medios:

a) Mensajes de Correo

Son la forma más fácil de propagación por medio de un archivo anexado al mensaje y si el receptor comete el error de ejecutarlo, instalará el Servidor, permitiendo que el intruso pueda controlar el o los equipos infectados.

b) Telnet

Funcionan en modo Cliente/Servidor y permite ejecutar comandos en el equipo infectado.

Telnet es un programa de emulación de terminal para las redes TCP/IP. Opera en una computadora y la conecta con un servidor de la red. A partir de ese instante, un usuario puede ingresar comandos a través del programa Telnet y cada instrucción será ejecutada como si la hubiera ingresado directamente en la consola del servidor o el equipo asignado.

c) Redes Compartidas

Este medio de contagio lo hemos explicado ampliamente en Virus en P2P (Peer to Peer). Ares, emule, bittorrent, winware, Limewire, morpheus, overnet, kazaa, edonkey, ... etc,etc.

Ejemplo típico de intrusión a la red Kazaa de archivos compartidos a través de Telnet:

telnet <dirección-IP-víctima> 1214GET / HTTP/1.0

HTTP/1.1 200 OK

Content-Length: 2467

Accept-Ranges: bytes

Date: Tue, 08 Feb 2003 14:14:36 GMT

Server: KazaaClient Feb 08 2003 17:18:29

Connection: close

Last-Modified: Fri, 27 Dec 2002 14:14:36 GMT

X-Kazaa-Username: <Nonbre-usuario-víctima>

X-Kazaa-Network: MusicCity

X-Kazaa-IP: 200.44.XX.XXX:1214

X-Kazaa-SupernodeIP: 24.168.48.42:1214

Content-Type: text/html

Otros servicios de Internet (HTTP, FTP, ICQ, Chat, Mensajería Instantánea)

Es posible visitar una página web en Internet, la misma que descargue automáticamente un troyano Backdoor Servidor y el sistema

...