Clase de padre: TrojWare
Los troyanos son programas maliciosos que realizan acciones que no están autorizadas por el usuario: borran, bloquean, modifican o copian datos e interrumpen el rendimiento de las computadoras o las redes de computadoras. A diferencia de los virus y las lombrices, las amenazas que entran en esta categoría no pueden hacer copias de sí mismas ni autorreplicarse. Los troyanos se clasifican de acuerdo con el tipo de acción que realizan en una computadora infectada.Clase: Backdoor
Las puertas traseras están diseñadas para dar a los usuarios maliciosos el control remoto de una computadora infectada. En términos de funcionalidad, las puertas traseras son similares a muchos sistemas de administración diseñados y distribuidos por los desarrolladores de software. Estos tipos de programas maliciosos hacen posible hacer todo lo que el autor desee en la computadora infectada: enviar y recibir archivos, iniciar archivos o eliminarlos, mostrar mensajes, eliminar datos, reiniciar la computadora, etc. Los programas de esta categoría se utilizan a menudo para unir un grupo de computadoras de víctimas y formar una red zombi o botnet. Esto le da a los usuarios maliciosos control centralizado sobre un ejército de computadoras infectadas que luego pueden ser utilizadas con fines delictivos. También hay un grupo de puertas traseras que son capaces de propagarse a través de redes e infectar a otras computadoras como Net-Worms. La diferencia es que tales Backdoors no se propagan automáticamente (como Net-Worms), sino solo con un "comando" especial del usuario malintencionado que los controla.Más información
Plataforma: Win32
Win32 es una API en sistemas operativos basados en Windows NT (Windows XP, Windows 7, etc.) que admite la ejecución de aplicaciones de 32 bits. Una de las plataformas de programación más extendidas en el mundo.Descripción
Detalles técnicos
Esta es una típica utilidad de administración remota cliente-servidor que permite la conexión a computadoras remotas para administrar sus (sus) recursos del sistema en tiempo real (similar a "pcAnywhere" por Symantec). Esta utilidad tiene el nombre "Remote-Anything" y es desarrollada y distribuida por la empresa TWD Industries (http://www.twd-industries.com).
Este programa se detecta y clasifica como un troyano de puerta trasera, ya que cumple absolutamente con el comportamiento de puerta trasera (ver puerta trasera ):
- instalación oculta en el sistema
- se oculta completamente en el sistema cuando está activo
- permite administrar un sistema infectado desde un host remoto
El componente de servidor de este programa se oculta en el sistema y no es visible para el usuario promedio a diferencia de otras herramientas de administración remota que:
- tener una instalación estándar y procedimientos de desinstalación
- tiene una interfaz visible (un icono en la barra de la bandeja, por ejemplo)
El servidor
El componente del servidor no tiene ningún comportamiento de instalación visible: cuando se ejecuta sin ningún mensaje, se copia a sí mismo (el archivo completo) en el directorio de Windows con el nombre SLAVE.EXE y se registra en el registro del sistema en la sección de ejecución automática:
[HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunServices]
"Servidor RA" = "C: WINDOWS Slave.exe"
Como resultado, el componente del servidor se activará por Windows en cada reinicio y sin ninguna notificación a un usuario.
El cliente
Un hacker, por componente del cliente, puede conectarse a una computadora infectada y tiene control sobre ella: para ver el escritorio de una computadora en tiempo real; para enviar comandos a los sistemas infectados por teclado y / o mouse; para acceder a un sistema de archivos; para reiniciar o apagar la computadora.
Removiendo el Servidor
Para eliminar el componente del servidor del sistema, debe ejecutar AVP con las últimas actualizaciones y dejar que elimine el servidor. También debe eliminar la clave de registro de forma manual.
También puede eliminar manualmente la clave de registro, reiniciar la computadora y eliminar el archivo de servidor SLAVE.EXE en el directorio de Windows.
También puede usar una utilidad de eliminación especial que distribuye TWD Industries en su sitio web.
Información importante acerca de esta utilidad:
A partir de la versión 3.5.11, TWD Industries ha realizado los siguientes cambios:
Puedes agregar a tu producto:
La versión 3.5.11 y posteriores no tratan programas dañinos del tipo "Backdoor".
Leer más
Conozca las estadísticas de las vulnerabilidades que se propagan en su región statistics.securelist.com