-: I Trojan che abbiamo creato finora sono davvero fantastici.
Possono passare programmi antivirus.
Eseguono due pezzi di codice, il primo
viene eseguito in background,
che esegue il nostro codice, che
era quello che vogliamo fare.
Ad esempio, apri una porta o riconnettiti a noi,
e dacci una shell,
ed esegue un altro pezzo
di codice, che l'utente si aspetta.
Quindi potrebbe visualizzare un'immagine.
Potrebbe riprodurre un MP3 o visualizzare un file PDF.
Questa funzionalità rende molto difficile da rilevare.
Quindi la cosa migliore da fare, è la prima
cosa è controllare le proprietà del
file e assicurarsi che sia ciò che afferma di essere.
Quindi abbiamo la nostra immagine git qui e
possiamo vedere che è JPG.
Quindi sembra una foto e
ha un'icona,
e se la eseguo io farò una
foto, come abbiamo visto nei video precedenti.
Bene, andiamo con il tasto destro e
andiamo su proprietà e quando
andiamo alle proprietà.
Vedrai che questa è un'applicazione, non è un'immagine.
Lo stesso vale per PDF, lo stesso vale per MP3.
Dovrebbe dire MP3 se fosse un MP3.
Se dovessi dire PDF se fosse PDF, e
dovrebbe dire JPG se è JPG.
Bene, in questo caso possiamo
vedere che il suo dire, ed è ancora un inizio impossibile è eseguibile.
Andando sui dettagli, vedrai che si tratta
di un'applicazione.
Quindi non è
una foto, se fosse una foto dovrebbe dirti che è una foto.
Quindi da qui saprà che siamo stati ingannati da questo.
Un'altra cosa che puoi giocare con il nome del file
e sarai in grado di ripristinarlo,
se rinomini il file in qualsiasi altra cosa.
Vedrai che è un file exe e
non è un JPEG.
Quindi, se lo faccio, cambiarlo per testarlo.
Vedrai che il nome è stato cambiato per testare.
Ora supponiamo che questo
Trojan sia stato combinato con un eseguibile.
Quindi, se lo avessi fatto, ti aspettavi di ottenere un
exe e stavi escludendo un'applicazione.
Quindi supponiamo che sia combinato, con
acceleratore di download plus.
Invece se combinato con una foto del genere.
Quindi il compito sarà
più difficile, perché ti aspetti comunque un'applicazione.
Quindi proviamo a eseguirlo.
Ora ovviamente di nuovo con l'immagine e con il PDF, Windows
ti dirà
che stai cercando di eseguire, un eseguibile, ma
se stai eseguendo, se non esegui
un eseguibile, lo eseguirai comunque.
Come in questo caso, e
questo ovviamente giocherà all'eseguibile che stai
cercando e
invierà una sessione di versi a Kali.
Quindi quello che
farò è andare a uno strumento chiamato gestore risorse.
E da questo strumento, se vai alla scheda di rete.
Sono già nella scheda di rete,
sarai in grado di vedere tutte le porte aperte nella tua macchina.
E possiamo vedere qui che abbiamo la porta 8080, e la sua connessione a un
indirizzo IP che è 10. 20. 14. 203.
Ora ovviamente 8080 non è molto sospetto.
Quindi, anche se fosse 180, potrebbe non sembrare altrettanto sospetto,
e proviene anche da un processo chiamato browser, che di nuovo
non è molto sospetto.
La parte sospetta è l'indirizzo remoto.
Quindi sta accedendo a un indirizzo di 10. 20. 14. 203, che
non sappiamo nemmeno di cosa si tratti.
Se fosse un sito Web, inseriscilo nel browser, dovrebbe
portarti a un sito Web o a
un server di quel sito Web.
E nella maggior parte dei casi, se si trattava di un computer
hacker, non ti porterà a un sito Web
o altro, e quindi saprai che questa persona è un attaccante.
Per verificarlo puoi usare gli strumenti
chiamati Ricerca DNS inversa.
Quello che fa è fondamentalmente dargli un
IP, e dovrebbe dirti a quale sito web appartiene questo IP.
O a quale dominio appartiene questo IP.
Quindi facciamo un esempio su Facebook.
Quindi, diciamo nel tuo gestore delle risorse che hai visto un
IP e sei sospettoso al riguardo.
Quindi ti procurerò un indirizzo IP adeguato, per
Facebook.
Quindi diciamo ad esempio che hai visto questo IP.
C'è una connessione sulla porta 80, andando a questo IP.
Quindi, se lo copi e vai su google (digitando)
e simili per DNS inverso.
Quindi inserirò l'IP qui.
L'IP che vedi nelle tue risorse e
lo cerchi.
Se è per un sito Web
adeguato, non c'è nulla di cui preoccuparsi.
Se sembra sospetto,
allora saprai che questo andrà a una persona sospetta.
Ora, se hai visto qualcosa del genere,
sta andando su
Facebook e la tua navigazione su Facebook.
Quindi ora modella il tuo utilizzo di Facebook.
Quindi c'è una connessione tra te e Facebook.