W wielu przypadkach koń trojański automatycznie instaluje się w katalogu Windows lub w folderze systemowym, przybierając nazwę jednej z aplikacji systemu Windows lub sterownika. Dokonuje również wpisu w rejestrze (sekcja „Run”; dzięki ternu jest uruchamiany wraz ze startem systemu), nadając sobie atrybut „ukryty”. Opis ten dotyczy jednak programu zwanego serwerem (działającego na komputerze ofiary), który drogą sieciową odbiera polecenia od programu klienta (działającego na komputerze hakera). Starsze trojany wykorzystywały do komunikacji program
Telnet, jednak został on zastąpiony specjalnymi aplikacjami posiadającymi szereg funkcji.
Powiadamianie o obecności ofiary w Sieci można osiągnąć na kilka sposobów. Najprostszy polega na wysłaniu odpowiedniego listu. Ale może się zdarzyć, że trojan nie posiada takiej funkcji i wtedy pozostaje wykorzystanie skanera portów. Włamywacz może skorzystać z zewnętrznego lub wewnętrznego skanera konia trojańskiego (taką opcję posiada tylko kilka z nich). W przypadku, gdy atak nie został wymierzony w kierunku konkretnej osoby, włamywacz może skorzystać z komputerów udostępnionych przez innych włamywaczy. Jednak nie nad każdym systemem można przejąć kontrolę. Włamywacz może założyć hasło na serwerze, uniemożliwiając innym dostęp do danej maszyny.
Jak pozbyć się konia trojańskiego z własnego komputera?
Koni trojańskich można pozbywać się „ręcznie” za pomocą programów antywirusowych lub przy użyciu „specjalnych” aplikacji. Pierwsza metoda nie należy do najwygodniejszych, ale czasami okazuje się jedyna. Na początku należy przy użyciu skanera sprawdzić otwarte porty. Jednak z uwagi na ich dużą liczbę praca ta zajęłaby sporo czasu, warto więc sprawdzić najpierw te porty, które są najczęściej wykorzystywane przez konie trojańskie. Będą to:
Na jakiej zasadzie działają trojany?
Trojany umieszczają odpowiednie wstawki w rejestrze, więc należy sprawdzić zawartość klucza:
HKEY_L OCAL MA CHINE/Software/Microsofi/Windows/Ciirrerit Yersion.
Szczególną uwagę trzeba zwrócić na następujące klucze: Run, RunOnce, RunOnceEx, RunSerricesOnce. Jeżeli uda nam się znaleźć podejrzany klucz należy go usunąć, co spowoduje unieruchomienie trojana, a po wykonaniu tej operacji można usunąć go z dysku.
Poniżej znajduje się opis kilkunastu najbardziej pospolitych koni trojańskich (wraz z różnymi ich wersjami).
Należy jednak pamiętać o tym, że nie są to wszystkie backdoory, jakie się mogą pojawić w sieciach komputerowych, a jedynie najpopularniejsze z nich. Zostały podzielone na dwie kategorie:
♦ Aplikacje nie mające GUI, a więc takie, których klientem jest program Telnet;
♦ Aplikacje z własnym GUI, składające się z dwóch części: instalowanym na komputerze ofiary serwerze i kliencie uruchamianym na komputerze włamywacza.
Komentarze
0 comment