Regional Distrito Capital

Centro de Gestión de Mercados, Logística y

Tecnologías de la Información

MANTENIMIENTO DE HARDWARE

2008
 Regional Distrito Capital Fecha:
Sistema de Gestión Centro de Gestión de Mercados, Logística y
de la Calidad Tecnologías de la Información

MANTENIMIENTO DE HARDWARE

Control del Documento

Nombre Cargo Dependencia Firma Fecha

Centro de Gestión de
Juan camilo Rodríguez Mercados, Logística y Juan
Autores Alumno 18/08/08
Ibagué Tecnologías de la camilo
Información
Centro de Gestión de
Mercados, Logística y
Revisión Ing. José Méndez Instructor
Tecnologías de la
Información
 Regional Distrito Capital Fecha:
Sistema de Gestión Centro de Gestión de Mercados, Logística y
de la Calidad Tecnologías de la Información

MANTENIMIENTO DE HARDWARE

PROCEDIMIENTO PARA LLEVAR A CABO LA PRÁCTICA DE VIRUS:

Para llevar a cabo la práctica de virus se llevo a cabo el siguiente proceso:

Primero que todo se descargaron 5 virus diferentes de Internet de la pagina

www.trojanfrance.com. Entre los nombres de estos virus se encuentran:

Lanfiltrator.exe
Subseven 2.0
Happy 99
Erazer lite 0.1
Nuclear rat

Después de esto se ejecutaron dos de estos virus. El primero fue el virus

llamado lanfiltrator el cual fue ejecutado con el antivirus desactivado como se
muestra en la siguiente imagen:

Después de activado el paso seguir fue observar los estragos que causo el
virus y de acuerdo a lo observado lo único que sucedió fue que el PC se puso
un poco lento.

Después de diez minutos de observación activamos de nuevo el antivirus y se

procedí a escanear el disco duro como se muestra en la siguiente en la
siguiente imagen:
 Regional Distrito Capital Fecha:
Sistema de Gestión Centro de Gestión de Mercados, Logística y
de la Calidad Tecnologías de la Información

MANTENIMIENTO DE HARDWARE

Después del pasar el 65 % la alarma de virus apareció en la pantalla como se muestra en

la siguiente imagen

Después de hacer esto se reinicio el computador y se inserto el CD de arranque del

antivirus f-Prot. Después del arranque de este se escaneo el disco duro con este y no se
encontró ningún virus por lo que se cree que el computador quedo completamente
limpio.

En la siguiente foto se muestra el menú principal del f-Prot. Y se oprime enter para
poder iniciar con el escaneo
 Regional Distrito Capital Fecha:
Sistema de Gestión Centro de Gestión de Mercados, Logística y
de la Calidad Tecnologías de la Información

MANTENIMIENTO DE HARDWARE

Los resultados arrojados por este se ven en las siguientes fotos y se verifica que no hay
ningún virus en el computador
 Regional Distrito Capital Fecha:
Sistema de Gestión Centro de Gestión de Mercados, Logística y
de la Calidad Tecnologías de la Información

MANTENIMIENTO DE HARDWARE

Después de esto se inicio de nuevo el mismo proceso con otro virus el cual en esta
ocasión fue el subseven el cual hace la función de programa espía pero a su vez este
archivo trae un virus ejecutable. Después de ejecutarlo y durante el escaneo con el avast
se disparo la alarma de un virus la cual se muestra en la siguiente imagen.

Después se hizo de nuevo el escaneo con el f-Pro y no se encontró ninguna clase de

virus.

Así terminamos nuestra práctica de virus y empezamos en la búsqueda de la ficha

técnica en Internet y las cuales se muestran a continuación:

FICHA TECNICA VIRUS ENCONTRADOS:

lanfiltrador:

Nombre: W32/Lanfiltrator
Alias: Backdoor. Lanfiltrator
Tipo: Troyano
Tamaño: 607,240 bytes
Origen: Internet
Destructivo: SI
En la calle (in SI
the wild):
 Regional Distrito Capital Fecha:
Sistema de Gestión Centro de Gestión de Mercados, Logística y
de la Calidad Tecnologías de la Información

MANTENIMIENTO DE HARDWARE

Detección y The Hacker 5.3 ó 5.4 al 13/12/2002.

eliminación:

Descripción:

W32/Lanfiltrator, es un troyano que permite el acceso remoto y no permitido de

un intruso a la computadora infectada. Tiene la capacidad de finalizar procesos
de antivirus y Firewalls, captura las pulsaciones del teclado.

Cuando este se ejecuta se copia así mismo en:

C:\WINDOWS\[nombre predefinido]
C:\WINDOWS\SYSTEM\[nombre predefinido]

Además crea una entrada en el registro para poder ejecutarse en el siguiente

reinicio del sistema

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
"[nombre predefinido]"="[ruta y nombre predefinido]"

Cuando el troyano se instala queda a la espera de órdenes (comandos)

remotas de su creador, las órdenes podrían realizar las siguientes acciones:

• Enviar información de la computadora y de la red a su creador.

• Capturar passwords.
• Iniciar una sesión mIRC, iniciar el servidor FTP.
• Editar el registro del sistema.
• Finalizar procesos.
• Abrir y cerrar la bandeja del CD-ROM o alguna otra acción
• Manipula los archivos del sistema
• Mostrar mensajes
• Cambiar la configuración de la computadora.

Subseven 2.2:

Nombre: Trojan. SubSeven.2.2

Tipo: Caballo de Troya de Acceso Remoto
Fecha: 10/mar/01
Nombre del servidor: SubSeven
Tamaño del servidor: 54.5 Kbytes
Archivo del servidor: server.exe
Icono del servidor: Clásico de un programa de Win16:
 Regional Distrito Capital Fecha:
Sistema de Gestión Centro de Gestión de Mercados, Logística y
de la Calidad Tecnologías de la Información

MANTENIMIENTO DE HARDWARE

Infecta: Windows 95/98/ME/NT/2000

Puerto por defecto: 27374 TCP (puede ser cambiado)

Se trata de la última versión (final, no beta), de uno de los caballos de Troya

más famosos.

SubSeven 2.2 es un troyano del tipo Backdoor (acceso por la "puerta trasera"),
que toma el control remoto de la PC atacada sin conocimiento de su
propietario. La mayoría de las acciones posibles, también pueden pasar
inadvertidas, convirtiéndose en un verdadero ataque a la privacidad, no solo
por la capacidad de controlar una PC en forma remota, sino también por la de
obtener y alterar todo tipo de información presente en ella.

El troyano en si consta de cuatro archivos: el servidor, que se instalará en el PC

infectado, el cliente, desde donde el atacante podrá controlar al PC que haya
sido infectado con el servidor, un DLL necesario para su funcionamiento
(ICQMAPI.DLL) y el editor para personalizar el servidor (EDITSERVER.EXE).

Para ejecutar el servidor en la PC de la víctima, casi siempre se apela a la

inocencia y credulidad de su dueño, quien ejecuta un supuesto utilitario enviado
por un "amigo" o un desconocido, o bajado de Internet, muchas veces
disfrazado de inocente programa.

Una vez ejecutado, el atacante, a través del programa cliente, podrá tomar el
control del servidor (y por ende de la máquina de la víctima), a través de una
comunicación realizada (en principio, porque es configurable), por el puerto
TCP 27374.