Desinfectarse De Un Troyano

Página |1

DESINFECTARSE DE UN TROYANO O CUALQUIER OTRO MALWARE

OBJETIVOS:

Explicaré el modo más efectivo para poder desinfectarnos de un malware
agregado a nuestro registro de Windows y que por desgracia no
podríamos desinfectarnos si analizásemos con nuestro AntiVirus o lo
removiésemos del arranque.

Realizador: Stiuvert

Página |2

INTRODUCCIÓN:

Las explicaciones y losejemplos los voy hacer respecto a una máquina
virtual, por lo tanto uno de los objetivos será configurar un troyano y que
este lo podamos ejecutar en una máquina virtual para los que quieran
practicarlo.

PASO 1

- Instalar VirtualBox o VMware (Opcional, para aquellos que quieren
practicarlo).

Yo utilizaré VirtualBox, pueden descargarlo de este enlace:http://www.virtualbox.org/wiki/Downloads

Página |3

INSTALACIÓN Y CONFIGURACIÓN DE VIRTUALBOX

Instalaremos VirtualBox y seguidamente lo ejecutaremos para crear una
nueva máquina virtual en el botón "Nueva", tal y como se muestra en la
imagen.

Página |4

Continuamos con la instalación...

Página |5

Creamos un nuevo disco duro virtual.

Escogemos "Almacenamiento de expansión dinámica" para que el disco durovaya
aumentando el tamaño a medida que lo llenamos.

Página |6

No recomiendo poner más de 10GB ya que la instalación de Windows XP que yo voy a
usar no llega ni a la mitad, por lo tanto sobra espacio para lo que queremos hacer.

Página |7

Ya tenemos creado nuestro sistema virtual, ahora lo iniciamos...

En esta pantalla hay que seleccionar el DVD o la ISO montada del SistemaOperativo,
en mi caso será Windows XP por lo tanto introduciré el CD de instalación y continuaré.

Página |8

PASO 2

- Configuración del troyano

Voy a utilizar un troyano de conexión inversa llamado "Cybergate" la
versión 1.07.5. Si alguien quiere usar otro troyano lo puede hacer sin
problemas.

Descarga de Cybergate v1.07.5: http://www.multiupload.com/KYNCCEMRMC

No voy a entretenermemucho con la configuración del troyano, ya que
este tutorial no trata sobre la desinfección de troyanos.

Estas son las opciones de instalación del troyano "Cybergate"

Página |9

Esta es la parte más importante para poder infectar nuestra máquina
virtual. Este troyano viene con unas opciones "Anti-Debug" las cuales si las
activas impiden la ejecución en ciertas aplicaciones o análisis,pueden ver
en la imagen como aparece "VirtualBox" y "VMware" que son las
máquinas virtuales a las cuales me referí anteriormente.
Yo lo desactivo todo...

P á g i n a | 10

PASO 3

- En el siguiente paso vamos a ejecutar el Server creado del troyano
Cybergate en el Sistema Operativo virtual para posteriormente
desinfectarlo.

Aquí tengo el Server a punto de ser ejecutado...

P á gi n a | 11

Antes de ejecutarlo vamos a mirar el registro, Inicio > Ejecutar > msconfig > Inicio

Como podréis observar las opciones tildadas son las que se inician en
Windows en este caso nos olvidamos de "VBoxTray" que es de la máquina
virtual y nos centramos en "avastUI" y "mbamgui" con es el AntiVirus
Avast y un Anti-Spyware.

P á g i n a | 12

Bien, ahora ejecutamos nuestroServidor del troyano Cybergate y
podremos comprobar cómo se han agregado dos elementos llamados
"rundll" los cuales tienen el mismo nombre que les asigné en la
configuración del Troyano. Ahora mi equipo virtual estaría infectado y
podría controlar con Cybergate el PC.

P á g i n a | 13

LA DESINFECCIÓN:

Llegamos al último, ahora hay que desinfectarse. No podremos remover el
Troyanoquitandolo del arranque de Windows ni cerrando procesos ya
que en la configuración asigne una opción llamada "Persistence" el cual
evita la desconexión por el cierre del proceso o la eliminación de la
entrada en el registro.

Modo a prueba de fallos o Modo seguro
¿Qué es el modo a prueba de fallos?
El modo seguro es un estado que viene en Windows el cual inicia nuestro
Sistema Operativo con los...