-: Entonces, los troyanos que creamos hasta ahora son geniales.
Pueden pasar por alto los programas antivirus.
Ejecutan dos piezas de código, la primera se
ejecuta en segundo plano,
que ejecuta nuestro propio código, que
era lo que queríamos hacer.
Por ejemplo, abra un puerto o conéctese de nuevo
a nosotros, y
bríndenos un shell, y ejecutará
otro código que el usuario espera.
Entonces podría mostrar una imagen.
Puede reproducir un MP3 o mostrar un archivo PDF.
Esta funcionalidad hace que sea muy difícil de detectar.
Entonces, lo mejor que puede hacer es lo
primero. Verifique las propiedades del archivo
y asegúrese de que sea lo que dice ser.
Entonces tenemos nuestra imagen de git aquí, y
podemos ver que es JPG.
Por lo tanto, se ve
como una imagen
y tiene un icono, y si lo ejecuto,
veré una imagen, como hemos visto en videos anteriores.
Bueno, vamos a hacer clic derecho, y
vamos a propiedades, y cuando
vamos a las propiedades.
Verás que esta es una aplicación, no es una imagen.
Lo mismo ocurre con el PDF, lo mismo con el MP3.
Debería decir MP3 si fuera un MP3.
Debería decir PDF si era PDF, y debería decir
un JPG si es un JPG.
Bueno, en este caso
podemos ver que dice, y todavía no es un comienzo, es ejecutable.
Continuando con los detalles, verá que es
una aplicación.
Por lo tanto,
no es una imagen, si fuera una imagen, debería decirle que es una imagen.
Entonces a partir de aquí sabremos que estamos siendo engañados por esto.
Otra cosa que puedes jugar con el nombre del archivo,
y podrás restablecerlo, si solo cambias
el nombre del archivo a cualquier otra cosa.
Verás que es un archivo exe,
y no un JPEG.
Entonces, si solo lo hago, cámbielo para probar.
Verás que el nombre ha sido cambiado para probar.
Ahora supongamos que este
troyano se combinó con un ejecutable.
Entonces, si lo ejecuta, era, esperaba obtener un exe, y
estaba exceptuando una aplicación.
Así que supongamos que está combinado, con
el acelerador de descarga plus.
En cambio, si se combina con una imagen como esta.
Entonces la tarea será más
difícil, porque de todos modos espera una aplicación.
Así que intentemos ejecutar esto.
Ahora, obviamente, de nuevo con la imagen y con el PDF, Windows
le dirá que
está intentando ejecutar, un ejecutable, pero si está
ejecutando, si está exceptuando un ejecutable,
lo ejecutará de todos modos.
Tal como el caso con
eso, y esto obviamente reproducirá el ejecutable
que estás buscando
y enviará una sesión de verso a Kali.
Entonces, lo que voy
a hacer es ir a una herramienta llamada administrador de recursos.
Y desde esta herramienta, si vas a la pestaña de red.
Ya estoy en la pestaña
de red, podrás ver todos los puertos abiertos en tu máquina.
Y podemos ver aquí que tenemos el puerto 8080, y está conectado a una
dirección IP que es 10. 20) 14) 203.
Ahora, obviamente, 8080 no es muy sospechoso.
Entonces, incluso si fuera 180, entonces podría parecer no tan
sospechoso, y también proviene de un proceso llamado navegador, que nuevamente
no es muy sospechoso.
La parte sospechosa es la dirección remota.
Entonces está accediendo a una dirección de 10. 20) 14) 203, que
no sabemos ni siquiera qué es.
Si se trataba de un sitio web, poner esto en el
navegador debería llevarlo a un sitio web o
a un servidor de ese sitio web.
Y en la mayoría de los casos, si se tratara de una computadora
hacker, no lo llevará a un sitio web
ni a nada, y entonces sabrá que esta persona es un atacante.
Para verificar esto, puede usar las herramientas llamadas,
Búsqueda inversa de DNS.
Lo que hace es básicamente darle una
IP, y debería decirte a qué sitio web pertenece esta IP.
O a qué dominio pertenece esta IP.
Entonces, tengamos un ejemplo en Facebook.
Entonces, digamos en su administrador de recursos que ha visto
una IP y sospecha de ella.
Así que en realidad voy a conseguir una dirección IP adecuada,
para Facebook.
Digamos, por ejemplo, que has visto esta IP.
Hay una conexión en el puerto 80, que va a esta IP.
Entonces, si copia esto, y vaya a google (escribiendo),
y tal para DNS inverso.
Así que voy a poner la IP aquí.
La IP que ves en tus recursos y
la buscas.
Si se trata de un sitio web
adecuado, entonces no hay nada de qué preocuparse.
Si parece sospechoso, entonces
sabrá que esto va a ser una persona sospechosa.
Ahora, si has visto algo como esto,
y va a
Facebook, y tu navegación en Facebook.
Entonces ahora está moldeando su uso de Facebook.
Entonces hay una conexión entre usted y Facebook.