home *** CD-ROM | disk | FTP | other *** search
/ Steal This CD / steal_this_cd.iso / Chapter 05 - Trojan Horses and Worms / comp_trojans.txt < prev    next >
Text File  |  2005-12-30  |  68KB  |  1,369 lines
  1. The Complete Windows Trojans Paper
  2. By Dancho Danchev                            
  3. dancho.danchev@frame4.com
  4. http://www.frame4.com/
  5.  
  6. Version 1.0
  7. ===============================================================================
  8.  _____                         _  _   
  9. |  ___| __ __ _ _ __ ___   ___| || |  
  10. | |_ | '__/ _` | '_ ` _ \ / _ \ || |_ 
  11. |  _|| | | (_| | | | | | |  __/__   _|
  12. |_|  |_|  \__,_|_| |_| |_|\___|  |_|
  13.  
  14. This paper is a Frame4 Security Systems publication, all rights reserved. You
  15. may (re-)distribute the text as long as the content is not changed in any way
  16. and with this header text intact. If you want to serve this paper on your web
  17. site/FTP/Newsgroup/etc., I encourage you to do so but please do not change it
  18. in any way without the prior permission of the author.
  19.  
  20. IMPORTANT -- THIS DOCUMENT IS FOR INFORMATIONAL PURPOSES ONLY. To the maximum
  21. extent permitted by applicable law, in no event shall Frame4 Security Systems
  22. be liable for any damages whatsoever, (including, without limitation, damages
  23. for loss of any business profits, business interruption, loss of any business
  24. information, or other pecuniary loss) arising out of the use, or inability to
  25. use any software, and/or procedures outlined in this document, even if Frame4
  26. Security Systems has been advised of the possibility of such damage(s). There
  27. are NO warranties with regard to this information, but the paper may help you
  28. improve your Windows security a lot.
  29.  
  30. This paper is the property of Frame4 Security Systems, all rights reserved.
  31. Copyright (c) 1999-2002 Frame4 Security Systems -- http://www.frame4.com/
  32. -------------------------------------------------------------------------------
  33.  
  34. Author's Notes:
  35.  
  36. This is the updated version of my paper written a long while ago. During that
  37. time I have seen it on every security/hacking site I came across and I'm glad
  38. you're all placing it in your archives as recommended reading. Now, many more
  39. sections and updates have been added so be sure that you will reading new and
  40. interesting aspects regarding the topic. The paper will answer many questions
  41. people keep asking in general about trojans like "how are attackers infecting
  42. me" and "how to protect from trojans".
  43.  
  44. If you have any other questions about the topic including ideas, suggestions,
  45. comments, etc., please do not hesitate to express your opinion. If you have a
  46. lot to say on the topic and/or I have missed some aspects then please contact
  47. me and contribute to the next update, and of course full credit will be given
  48. to you and your ideas.
  49. -------------------------------------------------------------------------------
  50.  
  51. Table of Contents
  52. -----------------
  53. 01.What Is This Paper About              
  54. 02.What Is A Trojan Horse                 
  55. 03.How Do Trojans Work                           
  56. 04.Trojans Variations                
  57.    -Remote Access Trojans
  58.    -Password Sending Trojans
  59.    -Keylogging Trojans 
  60.    -Destructive Trojans
  61.    -Denial Of Service (DoS) Attack Trojans
  62.    -Proxy/Wingate Trojans
  63.    -FTP Trojans
  64.    -Detection Software Killers
  65. 05.The Future Of Windows Trojans
  66. 06.How Can I Get Infected
  67.    -Via ICQ
  68.    -Via IRC
  69.    -Via Attachments
  70.    -Via Physical Access
  71.    -Via Browser And E-mail Software Bugs
  72.    -Via Netbios(File Sharing)
  73. 07.Fake Programs
  74. 08.Untrusted Sites And FreeWare Software
  75. 09.How Are They Detecting My Internet Presence
  76. 10.What Is The Attacker Looking For
  77. 11.Intelligence With Trojans
  78. 12.Trojan Ports
  79. 13.How Do I Know I'm Infected
  80. 14.Anti-Virus (AV) Scanners
  81. 15.Anti-Trojan Software
  82. 16.After You Clean Yourself
  83. 17.Online Scanning Services
  84. 18.Advice
  85. 19.Links Section
  86. 20.Final Words
  87. -------------------------------------------------------------------------------
  88.  
  89.  
  90. 1.What is this paper about?
  91.   -------------------------
  92.  
  93. The Complete Trojans Text is a paper about Windows Trojans, how they work,
  94. their variations and, of course, strategies to minimise the risk of infection.
  95.  
  96. Links to special detection software are included as well as many other topics
  97. never discussed before. This paper is not only intended to be for the average
  98. Internet/Windows user who wants to know how to protect his/her machine from
  99. Trojan Horses or just want to know about their usage, variations, prevention
  100. and future, but will also be interesting for the advanced user, to read
  101. another point of view.
  102.  
  103. Windows Trojans are just a small aspect of Windows Security but you will soon
  104. realise how dangerous and destructive they could be while reading the paper.
  105.  
  106.  
  107. 2.What Is A Trojan Horse?
  108.   -----------------------
  109.  
  110. A Trojan horse is:
  111.  
  112. - An unauthorised program contained within a legitimate program. This
  113.   unauthorised program performs functions unknown (and probably unwanted) by
  114.   the user.
  115.  
  116. - A legitimate program that has been altered by the placement of unauthorised
  117.   code within it; this code performs functions unknown (and probably unwanted)
  118.   by the user.
  119.  
  120. - Any program that appears to perform a desirable and necessary function but
  121.   that (because of unauthorised code within it that is unknown to the user)
  122.   performs functions unknown (and definitely unwanted) by the user. 
  123.  
  124. The Trojan Horse got its name from the old mythical story about how the
  125. Greeks gave their enemy a huge wooden horse as a gift during the war. The
  126. enemy accepted this gift and they brought it into their kingdom, and during
  127. the night, Greek soldiers crept out of the horse and attacked the city,
  128. completely overcoming it.
  129.  
  130.  
  131. 3.How Do Trojans Work?
  132.   --------------------
  133.   
  134. Trojans come in two parts, a Client part and a Server part. When the victim
  135. (unknowingly) runs the server on its machine, the attacker will then use the
  136. Client to connect to the Server and start using the trojan. TCP/IP protocol
  137. is the usual protocol type used for communications, but some functions of the
  138. trojans use the UDP protocol as well. When the Server is being run on the
  139. victim's computer, it will (usually) try to hide somewhere on the computer,
  140. start listening on some port(s) for incoming connections from the attacker,
  141. modify the registry and/or use some other autostarting method.
  142.  
  143. It's necessary for the attacker to know the victim's IP address to connect to
  144. his/her machine. Many trojans have features like mailing the victim's IP, as
  145. well as messaging the attacker via ICQ or IRC. This is used when the victim
  146. has dynamic IP which means every time you connect to the Internet you get a
  147. different IP (most of the dial-up users have this). ADSL users have static
  148. IPs so the infected IP is always known to the attacker and this makes it
  149. considerably easier to connect to your machine.
  150.  
  151. Most of the trojans use Auto-Starting methods so even when you shut down your
  152. computer they're able to restart and again give the attacker access to your
  153. machine. New auto-starting methods and other tricks are discovered all the
  154. time. The variety starts from "joining" the trojan into some executable file
  155. you use very often like explorer.exe, for example, and goes to the known
  156. methods like modifying the system files or the Windows Registry. System files
  157. are located in the Windows directory and here are short explanations of their
  158. abuse by the attackers:
  159.  
  160. - Autostart Folder
  161.   The Autostart folder is located in C:\Windows\Start Menu\Programs\startup
  162.   and as its name suggests, automatically starts everything placed there.
  163. - Win.ini
  164.   Windows system file using load=Trojan.exe and run=Trojan.exe to execute
  165.   the Trojan
  166. - System.ini
  167.   Using Shell=Explorer.exe trojan.exe results in execution of every file
  168.   after Explorer.exe
  169. - Wininit.ini
  170.   Setup-Programs use it mostly; once run, it's being auto-deleted, which is
  171.   very handy for trojans to restart
  172. - Winstart.bat
  173.   Acting as a normal bat file trojan is added as @trojan.exe to hide its
  174.   execution from the user
  175. - Autoexec.bat
  176.   It's a DOS auto-starting file and it's used as auto-starting method like
  177.   this -> c:\Trojan.exe
  178. - Config.sys
  179.   Could also be used as an auto-starting method for trojans
  180. - Explorer Startup
  181.   Is an auto-starting method for Windows95, 98, ME and if c:\explorer.exe
  182.   exists, it will be started instead of the usual c:\Windows\Explorer.exe,
  183.   which is the common path to the file.
  184.  
  185. Registry is often used in various auto-starting methods. Here are some known
  186. ways:
  187.  
  188. [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
  189. "Info"="c:\directory\Trojan.exe" 
  190. [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce] 
  191. "Info"="c:\directory\Trojan.exe"
  192. [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices]
  193. "Info"="c:\directory\Trojan.exe"
  194. [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce]
  195. "Info="c:\directory\Trojan.exe" 
  196. [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
  197. "Info"="c:\directory\Trojan.exe" 
  198. [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce]
  199. "Info"="c:\directory\Trojan.exe"
  200.  
  201. - Registry Shell Open
  202.  
  203.   [HKEY_CLASSES_ROOT\exefile\shell\open\command]
  204.   [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile\shell\open\command]
  205.  
  206.   A key with the value "%1 %*" should be placed there and if there is some
  207.   executable file placed there, it will be executed each time you open a
  208.   binary file. It's used like this: trojan.exe "%1 %*"; this would restart
  209.   the trojan.
  210.  
  211. - ICQ Net Detect Method
  212.  
  213.   [HKEY_CURRENT_USER\Software\Mirabilis\ICQ\Agent\Apps\]
  214.  
  215.   This key includes all the files that will be executed if ICQ detects Internet
  216.   connection. As you can understand,this feature of ICQ is very handy but it's
  217.   frequently abused by attackers as well.
  218.  
  219. - ActiveX Component
  220.  
  221.   [HKEY_LOCAL_MACHINE\Software\Microsoft\Active Setup\Installed Components\KeyName]
  222.   StubPath=C:\directory\Trojan.exe
  223.  
  224. These are the most common Auto-Starting methods using Windows system files, and
  225. the Windows registry.
  226.  
  227.  
  228. 4.Trojans Variations
  229.   ------------------
  230.  
  231. There are so many variations out there, it will be hard to list and describe
  232. each and every one of them, but most are a combination of all the trojan
  233. features you will read about below, or have many other functions still not,
  234. and probably will never be known to the public.
  235.  
  236. Remote Access Trojans
  237.  
  238. These are probably the most publicly used trojans,just because they give the
  239. attackers the power to do more things on the victim's machine than the victim
  240. itself, while standing in front of the machine. Most of these trojans are
  241. often a combination of the other variations you'll read below. The idea of
  242. these trojans is to give the attacker a COMPLETE access to someone's machine,
  243. and therefore access to files, private conversations, accounting data, etc.
  244.  
  245. Password Sending Trojans
  246.  
  247. The purpose of these trojans is to rip all the cached passwords and also look
  248. for other passwords you're entering then send them to a specific mail address,
  249. without the user noticing anything. Passwords for ICQ, IRC, FTP, HTTP or any
  250. other application that require a user to enter a login+password are being sent
  251. back to the attacker's e-mail address, which in most cases is located at some
  252. free web based e-mail provider. Most of them do not restart when Windows is
  253. loaded, as the idea is to gather as much info about the victim's machine as
  254. passwords, mIRC logs, ICQ conversations and mail them; but it depends on the
  255. needs of the attacker and the specific situation.
  256.  
  257. Keyloggers
  258.  
  259. These trojans are very simple.The only one thing they do is to log the
  260. keystrokes of the victim and then let the attacker search for passwords or
  261. other sensitive data in the log file. Most of them come with two functions
  262. like online and offline recording. Of course they could be configured to
  263. send the log file to a specific e-mail address on a daily basis.
  264.  
  265. Destructive
  266.  
  267. The only function of these trojans is to destroy and delete files. This makes
  268. them very simple and easy to use. They can automatically delete all your core
  269. system files (for example: .dll, .ini or .exe files, possibly others) on your
  270. machine. The trojan is being activated by the attacker or sometimes works like
  271. a logic bomb and starts on a specific day and at specific hour.
  272.  
  273. Denial Of Service (DoS) Attack Trojans
  274.  
  275. These trojans are getting very popular these days, giving the attacker power
  276. to start DDoS if having enough victims of course. The main idea is that if you
  277. have 200 ADSL users infected and start attacking the victim simultaneously,
  278. this will generate a LOT of traffic (more then the victim's bandwidth, in most
  279. cases) and its the access to the Internet will be shut down. WinTrinoo is a
  280. DDoS tool that has become really popular recently, and if the attacker has
  281. infected many ADSL users, major Internet sites could be shut down as a result,
  282. as we've seen it happen in the past few months.
  283.  
  284. Another variation of a DoS trojan is the mail-bomb trojan, whose main aim is
  285. to infect as many machines as possible and simultaneously attack specific
  286. e-mail address/addresses with random subjects and contents which cannot be
  287. filtered.
  288.  
  289. Proxy/Wingate Trojans
  290.  
  291. Interesting feature implemented in many trojans is turning the victim's
  292. computer into a proxy/wingate server available to the whole world or to the
  293. attacker only. It's used for anonymous Telnet, ICQ, IRC, etc., and also to
  294. register domains with stolen credit cards and for many other illegal
  295. activities. This gives the attacker complete anonymity and the chance to do
  296. everything from YOUR computer and if he/she gets caught the trace leads back
  297. to you.
  298.  
  299. FTP Trojans
  300.  
  301. These trojans are probably the most simple ones and are kind of outdated as
  302. the only thing they do is to open port 21(the port for FTP transfers) and
  303. let EVERYONE connect to your machine or just the attacker. Newer versions
  304. are password protected so only the one that infected you may connect to your
  305. computer.
  306.  
  307. Software Detection Killers
  308.  
  309. There are such functionalities built into some trojans, but there are also
  310. separate programs that will kill ZoneAlarm, Norton Anti-Virus and many other
  311. (popular anti-virus/firewall) programs, that protect your machine. When they
  312. are disabled, the attacker will have full access to your machine, to perform
  313. some illegal activity, use your computer to attack others and often disappear.
  314. Even though you may notice that these programs are not working or functioning
  315. properly, it will take you some time to remove the trojan, install the new
  316. software, configure it and get back online with some sense of security.
  317.  
  318. I would like you to look at a list created by SnakeByte (nice work dude!):
  319.  
  320. http://www.snake-basket.de/e/AV.txt
  321.  
  322. Check it out and you will get my point how easily these programs could be
  323. disabled. It's a list of Anti-Virus detection software with its Window Names,
  324. associated files and many more things that attackers found as a way to disable
  325. certain protection software. I've seen only several anti-trojan packages that
  326. let the user specify another location of the program (installation) files,
  327. different from the default one, also Window names and many other features that
  328. will make it harder for the attacker to disable the software.
  329.  
  330.  
  331. 5.The Future Of Windows Trojans
  332.   -----------------------------
  333.  
  334. Windows users will always be targets of malicious attackers because most of
  335. them don't know the real meaning of the word security, and think that some
  336. firewall is the only solution they need for protection but they actually don't
  337. have a clue how it works, or how to configure it properly. Windows Trojans
  338. will be a big security problem in the future and I'm sure attackers realise
  339. that, and many more unique functions will be implemented into their trojans
  340. but will mostly be used for the attacker's private purposes. Programmable or
  341. scriptable "automated hacking" functions will be used to solve various
  342. attacker's problems starting from anonymous port scanning and going up to
  343. Distributed Denial Of Service Attacks(DDoS). A recommended resource related to
  344. the subject is
  345.  
  346. http://staff.washington.edu/dittrich/misc/ddos/
  347.  
  348. How about distributed cracking of password files like on all of these contests
  349. around the world but in that case a network created by attacker/attackers for
  350. their own purposes? Has anyone ever thought of "spamming" function, built into
  351. trojans, similar to all of these spam programs out there, crawling around the
  352. Internet, searching for e-mails? And these are just small examples, but trust
  353. me, there are much more advanced features, built into Windows Trojans, that
  354. probably will never be released to the public.
  355.  
  356. At this year's Defcon the security company SensePost made a demonstration with
  357. a trojan, called Setiri, bypassing all the firewalls and IDS's giving access
  358. to the attacker even the machine was in a restricted environment. More info is
  359. available at:
  360.  
  361. http://www.computercops.biz/modules.php?name=News&file=article&sid=1321
  362.  
  363.  
  364. 6.How Can I Get Infected?
  365.   -----------------------
  366.  
  367. A lot of people out there can't differ various ways of infection just because
  368. in their minds the only way of getting infected is by downloading and running
  369. server.exe and they will never do it as they say. As you'll read here, there
  370. are many more ways for malicious attackers to infect your machine and start
  371. using it for illegal activities. Please take all of these topics I'm reviewing
  372. here really seriously; read them carefully and remember that prevention is way
  373. better than the cure!
  374.  
  375. 6.1 ICQ
  376. 6.2 IRC
  377. 6.3 Attachments
  378. 6.4 Physical Access
  379. 6.5 Browser And E-mail Software Bugs
  380. 6.6 Netbios(FileSharing)
  381.  
  382. 6.1 Via ICQ
  383.  
  384. People don't understand that they can also get infected while talking via ICQ
  385. or any other Instant Messenger Application. It's all risky when it's about
  386. receiving files no matter from who, and no matter from where.
  387.  
  388. Believe it or not, there are still guys out there, using really old versions
  389. of ICQ and it's all because they can see the IP of the person they're talking
  390. to. The older versions of ICQ had such functionality and it was useful for
  391. everyone capable of using winnuke and other DoS tools, but really how hard it
  392. is to click with the mouse? These people are often potential victims of
  393. someone that is more knowledgeable on Windows Trojans and takes advantage of
  394. their old ICQ versions.
  395.  
  396. Let's review various ways of getting infected via ICQ:
  397.  
  398. - You can never be 100% sure who's on the other side of the computer at the
  399.   particular moment. It could be someone that hacked your friend's ICQ UIN
  400.   (Unique Identification Number)and wants to spread some trojans over his/her
  401.   friends. You'll definitely trust your best dude Bob if he offers you
  402.   something interesting, but is it really Bob on the other side?
  403.  
  404. - Old versions of ICQ had bugs in the WebServer feature, that creates a site
  405.   on your computer, with your info from the ICQ database. The bug consists in
  406.   that the attacker can have access to EVERY file on your machine and if you
  407.   read the previous sections carefully and know the auto-start methods, you'll
  408.   probably realise what could happen if someone has access to your win.ini or
  409.   other system file, namely a trojan installed in a few minutes.
  410.  
  411. - Trojan.exe is renamed like Trojan....(150 spaces).txt.exe, icon changed to a
  412.   real .txt file and this will definitely get you infected. This bug must be
  413.   fixed in the newer versions for sure.
  414.  
  415. No matter which Instant Messenger Application you're using, you could always
  416. get yourself infected by certain program bug you never had the chance to hear
  417. about, and never took care of checking for newer versions of the application,
  418. also when it's about receiving files no matter where, and no matter from who,
  419. take that very seriously and realise the dangers of your naivety.
  420.  
  421. 6.2 Via IRC
  422.  
  423. So many people LIVE on IRC and this is another place where you can get
  424. yourself infected. Trust is vital no matter what you're doing. No matter who
  425. is sending you files, pretending to be free porn archive, software for "free
  426. internet", hacking Hotmail program, DO NOT get any of these files. Newbies are
  427. often targets of these fakes, and believe me, many people are still newbies
  428. about their security. Users get infected from porn-trade channels, and, of
  429. course, warez channels, as they don't think about the risk, but how to get
  430. free porn and free programs instead.
  431.  
  432. Here are several scenarios of you getting infected while using IRC:
  433.  
  434. - You're talking with someone, a "girl" probably, have great time and, of
  435.   course, you want to see the person you're talking to. You ask for a picture
  436.   or the "girl" offers you her pictures and I'm sure you'll definitely want to
  437.   see them. The "girl" says that she has just created her first screensaver,
  438.   using some known free or commercial software to do this, and offers it to
  439.   you, but how about if "she" mentions several pictures are naked ones?! You
  440.   have been talking to "her" for a week or so, you get this screensaver.exe,
  441.   you run it and, yeah, VERY nice pics, some are naked and she didn't lie to
  442.   you so nothing bad or suspicious has happened BUT think again what really
  443.   has happened!
  444.   
  445. - Trojan.exe could also be renamed into Trojan.scr like a screensaver
  446.   extension and will again run properly when you execute it so pay attention
  447.   about these file extensions.
  448.  
  449. - Trojan.exe is being renamed like Trojan....(150 spaces).txt.exe you'll get
  450.   the file over IRC in the DCC it will appear as .TXT and you won't get
  451.   worried about anything, run it and get yourself infected again. In all of
  452.   these examples the icon of the file is changed, of course, because it needs
  453.   to be the same icon as a normal .TXT and this fools victims very often.
  454.  
  455. Most people don't notice in their Explorer that the Type of the file is
  456. Application BUT with a .TXT icon. So BEFORE you run something, even if it's
  457. with a .TXT icon, check its extension and make sure it's really a text file.
  458.  
  459. 6.3 Via Attachments
  460.  
  461. I'm always amazed how many people got themselves infected by an attachment,
  462. sent into their mailboxes. Most of these users are new to the Internet and are
  463. pretty naive. When they receive a mail,containing an attachment, saying they
  464. will get free porn, free Internet access etc., they run it without completely
  465. understanding the risks for their machines. Check the following scenario: you
  466. know your friend Alex is a very skilled Visual Basic programmer. You also know
  467. he's coding his latest program but you're curious what it is all about, and
  468. you wait for an e-mail from him with the attachment when he finishes coding
  469. the application. Yeah, but the person targeting YOU also knows that. The
  470. attacker also knows your friend's e-mail address. Then the attacker will
  471. simply code some program or get some freeware one, use some relaying mail
  472. server to fake the e-mail's FROM field and make it look like your friend's
  473. one; Alex's e-mail address is alex@example.com so the attacker's FROM field
  474. will be changed to alex@example.com and, of course, it will include the
  475. TROJANED attachment... You'll check your mail, see that Alex finally got his
  476. program ready and sent it, you'll download and run it without thinking that it
  477. might be a trojan or something else, because, hey, Alex wouldn't do something
  478. like that to me, he's my friend, and you'll get yourself infected.
  479.  
  480. Information Is Power! Just because the attacker knew you were waiting for some
  481. particular file, he found Alex's e-mail address and got you infected... the
  482. right moment assumes importance here. And it all happened just because you
  483. were naive, just because you saw alex@example.com in the FROM field, and just
  484. because you didn't check the mail headers to see that the mail came from some
  485. .jp mail server relaying e-mails and, has been used from spammers for several
  486. months.
  487.  
  488. Many people got themselves infected by the famous "Microsoft Internet Explorer
  489. Update" sent directly to their mailboxes, by the nonexistent Microsoft Updates
  490. Staff. I understand you felt great because Microsoft are paying attention
  491. especially to you, and sent you the latest updates, but these "updates" are
  492. definitely trojans. Microsoft will NEVER send you updates of their software
  493. via e-mail no matter you see the FROM field is updates@microsoft.com and as
  494. you've noticed in the previous example the FROM field could and IS faked. If
  495. you ever notice some mail in your mailbox with subjects like "Microsoft IE
  496. Update" and such, delete WITHOUT viewing or reading the e-mail, because some
  497. E-Mail clients like Outlook Express and others, have bugs that automatically
  498. execute the file being attached in the e-mail WITHOUT you even touching it. As
  499. you can imagine this is a extremely dangerous problem that requires you to be
  500. always up to date with the latest version of any software you're using.
  501.  
  502. 6.4 Physical Access
  503.  
  504. Physical access is vital for your computer's security. Imagine what can an
  505. attacker do while having physical access on your machine, and let's not
  506. mention if you're always connected to the Internet and leave the room for
  507. several minutes... long enough to get you infected. Here I'll point you
  508. several scenarios, often used by attackers to infect your computer while
  509. they're having physical access to your machine. There are some very smart
  510. people out there that keep thinking of new ways of getting physical access
  511. to someone's computer. Here are some tricks that are interesting:
  512.  
  513. - Your "friend" wants to infect you with a trojan and he/she has physical
  514.   access to your machine. Let's say you were at home surfing the net,
  515.   chatting or whatever. Suddenly your "friend" asks you for a glass of
  516.   water, knowing that you'll go in another room and will be away for 1 or
  517.   2 minutes. While you do that he/she takes out a diskette of the pocket
  518.   and infects your unprotected PC. You came back and everything is OK
  519.   because your "friend" is doing exactly the same thing before you left
  520.   ...surfing the net.
  521.  
  522. - The next example is when 2 guys want to take revenge on you cause of
  523.   something and are supporting each other to accomplish the task. Again you
  524.   are at home with your "friend", surfing, chatting, whatever you're doing;
  525.   suddenly the telephone rings and a "friend" of yours wants to speak with
  526.   you for something that is really important. He/she (it's better to be she
  527.   in this case) asks "Is there anyone around you? If so,please move somewhere
  528.   away from him/her(after knowing it is him or her,of course). I don't want
  529.   anyone to listen what I'm going to tell you". The victim is again lured away
  530.   from the computer, leaving the attacker to do whatever he/she wants on the
  531.   target computer.
  532.  
  533. - Other approaches like the previous ones might be sudden ring on the bell, as
  534.   well as other variations of phone calls and conversations leaving the
  535.   attacker alone with the victim's computer. There are so many other possible
  536.   approaches; just think for a while and you'll see what I mean and how easily
  537.   you could be tricked, and it's because you're not suspicious enough when it
  538.   is about your sensitive computer data.
  539.  
  540. - Another way of infecting while having physical access is the Auto-Starting
  541.   CD function. You've probably noticed that when you place a CD in your CDROM,
  542.   it automatically starts with some setup interface; here's an example of the
  543.   Autorun.inf file that is placed on such CD's:
  544.  
  545.   [autorun]
  546.   open=setup.exe
  547.   icon=setup.exe
  548.  
  549.   So you can imagine that while running the real setup program a trojan could
  550.   be run VERY easily, and as most of you probably don't know about this CD
  551.   function they will get infected and won't understand what happened and how
  552.   it's been done. Yeah, I know it's convenient to have the setup.exe autostart
  553.   but security is what really matters here, that's why you should turn off the
  554.   Auto-Start functionality by doing the following:
  555.   
  556.   Start Button->Settings->Control Panel->
  557.                                  System->
  558.                                  Device Manager->CDROM->Properties->Settings
  559.                                  
  560.   and there you'll see a reference to Auto Insert Notification. Turn it off
  561.   and you won't have any problems with that function anymore.
  562.  
  563. I know MANY other variations of physical access infections but these are the
  564. most common ones so pay attention and try to make up several more by yourself.
  565.  
  566. When the victim IS connected to the Internet:
  567.  
  568. Here we have many variations; again, I'll mention the most common ones. While
  569. the attacker is having physical access he/she may download the trojan.exe, 
  570. using various ways just by knowing how various Internet protocols work.
  571.  
  572. - A special IRCbot known only to the attacker is staying in IRC with the only
  573.   function to DCC the trojan.exe back to the attacker whenever he/she messages
  574.   the bot with a special command. The victim will probably be away from the
  575.   computer.
  576. - The attacker wants to download some specific software like new version of
  577.   some programs infected with trojan(s), of course, and visit some URL, known
  578.   to him/her only, and download the trojan.
  579. - The attacker pretends he/she wants to check his/her (web based) mail (for
  580.   example, at Yahoo! or HotMail) but in fact has the trojan.exe stored in his/
  581.   her mailbox and just downloads and executes the file, hereby infecting the
  582.   computer. The mail service is used as a storage area, in this case.
  583.  
  584. There are many more ways of infecting the victim while connected to the Net,
  585. as you can imagine. Any of these examples will succeed but it all depends on
  586. the victim's knowledge of the Internet and how advanced his/her skills are,
  587. so the attacker needs to check these things somehow before doing any of these
  588. activities I pointed here. After that, the attacker will be able to choose
  589. the best variant for infecting the victim and doing the job.
  590.  
  591. 6.5 Browser And E-mail Software Bugs
  592.  
  593. Users do not update their software versions as often as they should be, and a
  594. lot of the attackers are taking advantage of this well known fact. Imagine you
  595. are using an old version of Internet Explorer and you visit a (malicious) site
  596. that will check and automatically infect your machine without you downloading
  597. or executing any programs. The same scenario goes when you check your E-mail
  598. with Outlook Express or some other software with well known problems, again
  599. you will be infected without downloading the attachment. Make sure you always
  600. have the latest version of your Browser and E-mail Software, and reduce the
  601. ways of these variations to minimum. Here are some links about Browser and
  602. E-mail Software bugs, check them out and understand how dangerous these bugs
  603. are, and it's all because of you using an old version of the software.
  604.  
  605. http://www.guninski.com/browsers.html
  606. http://www.guninski.com/netscape.html
  607.  
  608. 6.6 Netbios(File Sharing)
  609.  
  610. If port 139 on your machine is opened,you're probably sharing files and this
  611. is another way for someone to access your machine, install trojan.exe and
  612. modify some system file, so it will run the next time you restart your PC.
  613. Sometimes the attacker may use DoS(Denial Of Service Attack) to shut down
  614. your machine and force you to reboot, so the trojan can restart itself
  615. immediately. To block file sharing in WinME version, go to:
  616.  
  617. Start->Settings->Control Panel->Network->File And Print Sharing
  618.  
  619. and uncheck the boxes there. That way you won't have any problems related to
  620. Netbios abuse.
  621.  
  622.  
  623. 7.Fake Programs
  624.   -------------
  625.  
  626. Imagine a Freeware SimpleMail program that's very suitable for your needs, and
  627. very handy with its features like address book, option to check several POP3
  628. accounts and many other functions that make it even better then your E-mail
  629. client and the best thing for you is that it's free. You use ZoneAlarm or any
  630. other similar protection software, and mark the program as a TRUSTED Internet
  631. server so none of your programs will ever bother you about that program as you
  632. are using it probably every day because it's working very well, no problems
  633. ever occurred, you're happy, but a lot of things are going in the background.
  634. Every mail you send and all your passwords for the POP3 accounts are being
  635. mailed directly into the attacker's mailbox without you noticing anything.
  636. Cached passwords and your keystrokes could be also mailed and the idea here is
  637. to gather as much info as possible and send it to the attacker. This info
  638. includes credit card numbers, passwords for various applications and many
  639. other things.
  640.  
  641. In some cases the attacker may have complete access to your machine but it
  642. depends on his/her ideas about the hidden program's functions. When sending
  643. e-mails and using port 25 or 110 for POP3, these could be used for connections
  644. from the attacker's machine (not at home, of course, but again from another
  645. hacked one) to connect and use the hidden functions he/she implemented in the
  646. Freeware SimpleMail. The attacker's idea here is to offer you a program that
  647. requires a connection to be established with some server; let's say at the top
  648. of the SimpleMail there's a banner that's auto-refreshing every few minutes,
  649. because the programmer "needs to pay the bills too" as he said in the About
  650. section, so nothing seems suspicious to you as it's a normal thing, and your
  651. logical conclusion is completely right as the only way for that guy to keep
  652. offering this cool freeware program for free is to use banners. You've already
  653. marked the program as TRUSTED so the attacker can have complete access to your
  654. machine because he/she fooled you into thinking it's a TRUSTED program. Even
  655. if you notice some connection to your machine on some strange port, you won't
  656. consider this as a suspicions event, as the banners section needs to get these
  657. banners from somewhere, and this is the place your machine is connected all
  658. the time to keep them refreshing.
  659.  
  660. The only thing the attacker needs is creativity, and most of them do have it.
  661. Think of a fake AudioGalaxy (software for mp3's sharing) but, of course, with
  662. a different name. The attacker would create it, will free 15GB disk space on
  663. his machine and place a large archive of mp3's...then, of course, the same
  664. will be done on several other machines to fool you that you are downloading
  665. from other people located all over the world, but it's not necessary as the
  666. program's interface may never show you where you're actually downloading the
  667. mp3's from. The software will again be backdoored as in the previous example,
  668. and will get thousands of naive users, probably using ADSL connections,
  669. infected.
  670.  
  671. Fake programs that have hidden functions, often have professional looking web
  672. sites, links to various anti-trojan software mentioned as affiliates, and make
  673. you trust the site; readme.txt is included in the setup and many other things
  674. to fool you it's a trusted one. Pay attention to freeware tools you download,
  675. consider them extremely dangerous and a very useful and easy way for attackers
  676. to infect your machine with a Trojan.
  677.  
  678. 8.Untrusted Sites And Freeware Software
  679.   -------------------------------------
  680.  
  681. A site located at some free web space provider or just offering some programs
  682. for illegal activities can be considered as untrusted one. As you know, there
  683. are thousands of "hacking/security" archives on these free web space providers
  684. like Xoom, Tripod, Geocities and many many others. These sites have archives
  685. full with "hacking" programs, scanners, mail-bombers, flooders and many other
  686. tools. Often several, if not all of these programs are infected by the guy who
  687. created the site. It's highly risky to download any of the programs and the
  688. tools located on such untrusted sites; no matter which software you use are,
  689. you ready to take the risk? There are some untrusted sites, looking REALLY
  690. professional and having huge archives, full with Internet related software,
  691. feedback form, links to other popular sites. I think if you take some time,
  692. look deeper, scan all the files you download you can decide on your own
  693. whether the site you are downloading your software from is a trusted or an
  694. untrusted one.
  695.  
  696. Software like mIRC, ICQ, PGP or any other popular software MUST be downloaded
  697. from its original (or official dedicated mirror site) and not from any of
  698. these I told you about. Sometimes such sites claim there's a new version of,
  699. let's say, mIRC 7.0, and you know your current version is 6.0 and, yeah, it's
  700. handy to click on the URL and download the .exe in 1 minute and take advantage
  701. of the latest version, but will definitely get yourself infected. A possible
  702. variation of this method will again be claiming for a new version, BUT the
  703. site would include info on nonexistent security bugs, found in the previous
  704. one (which is of course the latest you have), and again it is handy for you to
  705. download it, instead of visiting mIRC's main site, and see if there is really
  706. an updated version or check for any of these security bugs you've read about
  707. on the fake site.
  708.  
  709. Webmasters of well known Security Portals, that have HUGE archive with various
  710. "hacking" programs, should be responsible for the files they provide and OFTEN
  711. scan them with Anti-Virus and Anti-Trojan software to guarantee their visitors
  712. download "free of trojans and viruses". A known method is that attackers send
  713. some program created by them, let's say a UDP flooder, to the webmaster like a
  714. submission for the archive, but infect the program with some trojan and later
  715. have visitors downloading the program and getting themselves infected. Some
  716. attackers may use the webmaster's irresponsibility and infect their files, and
  717. have the site distribute the trojan. I know of another story regarding this
  718. problem. It's about a Gaming Magazine that used to include a CD with free demo
  719. versions of the latest games in each new edition. The editors made a contest
  720. to find new talents and give the people programming games the chance to
  721. popularise their productions by sending them to the Editors. An attacker
  722. infected his game with a new and private trojan and sent it to the Magazine.
  723. In the next edition the "game" appeared on the CD and you can imagine the
  724. chaos that set in. And it's all because of the Editors, having not so much
  725. knowledge on the topic and as I've told you, in the old days Anti-Virus
  726. software were detecting only a small part of the public trojans (and what
  727. about all the private ones). In this particular case they were using only an
  728. Anti Virus scanner to protect their readers from such attacks. Webmasters and
  729. everyone having some sort of software archive on his/her portal, MUST scan it
  730. very often, and before adding a new file it should be well examined; if it's
  731. suspicious in any way, it must be sent to your software detection labs for
  732. further analysis. Do care about your visitors/readers if you want them to care
  733. about you.
  734.  
  735. Freeware programs could be considered suspicious and extremely dangerous, due
  736. to the fact that it's a very easy and useful way for the attacker to infect
  737. your machine with some freeware program. No matter how suitable you find the
  738. program, remember that "free is not always the best" and it's very risky to
  739. use any of these programs. My advice is: before using Freeware program, do
  740. search for some reviews on it, check popular search engines, and try to look
  741. up for some info about it. If you find any reviews written by respected sites,
  742. that means they've used and tested it and the chance of infection is hereby,
  743. minimised. If no reviews or comments about the software are found via the
  744. search engines, then it may be highly risky to start using it.
  745.  
  746.  
  747. 9.How Are They Detecting My Internet Presence?
  748.   --------------------------------------------
  749.  
  750. People new to the Internet often ask this question as they can't understand
  751. why someone will want to attack especially them, because they never did any
  752. harm to anyone and never did something that might get them into trouble.
  753. While reading the previous sections, I hope you understood that sometimes
  754. you only need to visit a web site with your unpatched browser and get yourself
  755. infected.
  756.  
  757. I will explain several scenarios on how attackers may discover your Internet
  758. presence:
  759.  
  760. - When visiting a web page,the attacker might have created a script that will
  761.   automatically check your Browser for known bugs, and if any are detected,
  762.   install a trojan on your machine or notify the attacker to have a deeper
  763.   look. Make sure you're always using the latest version of your Browser for
  764.   maximal protection. Check for (security) patches and apply these often!
  765. - When joining an IRC channel, an IRC bot might be configured to scan everyone
  766.   joining for specific trojan ports opened or FileSharing (Netbios) enabled.
  767.   If the attacker is smart, the script will scan you several minutes after you
  768.   join the channel and, of course, use an IP number not belonging to anyone in
  769.   the channel.
  770. - Attackers often attempt IP blocks scanning, looking default trojan ports and
  771.   of course FileSharing(Netbios). After infection, your machine could also be
  772.   used for such scans, as well as an IRC bot, scanning those joining some big
  773.   and full with people IRC channel.
  774.  
  775. These are some of the most common ways attackers use to search for new victims,
  776. suitable for their illegal activities. If someone is targeting especially you,
  777. the attacker won't be using any of these methods I reviewed above; instead your
  778. Browser version will be found as well as the Operation System you're using, and
  779. the attacker will make a personal contact with you via IRC, ICQ, etc., and fool
  780. you somehow and get you infected.
  781.  
  782.  
  783. 10.What Is The Attacker Looking For?
  784.    ---------------------------------
  785.  
  786. Some of you may think that trojans are used for damages only. Well, they can
  787. also be used for spying on someone's machine and taking a lot of private and
  788. sensitive information (industrial espionage). The attacker's interests would
  789. include but are not limited to the following:
  790.  
  791. - Credit Card Information (often used for domain registration, shopping with
  792.   your credit card)
  793. - Any accounting data (E-mail passwords, Dial-Up passwords, WebServices
  794.   passwords, etc.)
  795. - Email Addresses (Might be used for spamming, as explained above)
  796. - Work Projects (Steal your presentations and work related papers)
  797. - Children's names/pictures, Ages (pedophile attacker?!)
  798. - School work (steal your papers and publish them with his/her name on it)
  799.  
  800. I'll mention again several scenarios about the attacker's mode of thinking:
  801.  
  802. - Once infected, your computer might be used as a Warez Archive. No matter how
  803.   much or little free disk space you have, you'll probably have enough for the
  804.   attacker's needs. He/she won't use all of your bandwidth; there will be some
  805.   limit for connections to your computer, so you'll still be able to do your
  806.   work without knowing that your computer is used as a pirated software FTP
  807.   Server and it is known to people worldwide who keep downloading software
  808.   from YOU.
  809. - Kiddie-Porn traders will also use your computer for storing their archives
  810.   and again turning your machine into a well known place for traders of nasty
  811.   and above all illegal pictures. You'll again do your work and have no clue
  812.   there are illegal activities going in your computer.
  813. - The attacker might just want to have fun with you, open/close the CD tray,
  814.   play with your mouse, annoy you somehow; that's stupid and useless but a lot
  815.   of people do it.
  816. - Your computer might be used for other illegal purposes like the attacker's
  817.   usage of your IP address to hack, scan, flood, infiltrate other machines on
  818.   the Internet; so the victims will see your machine is doing it, and this
  819.   will definitely get you in trouble.
  820.  
  821. 11.Intelligence With Trojans
  822.    -------------------------
  823.  
  824. Think for a while about how much your life depends on your computer, your ICQ,
  825. your chat program, your e-mail address and think how vulnerable your life is
  826. just because you're infected with a Trojan Horse. They can, and they have been
  827. used for intelligence for a very long time. Just by reading your e-mails,
  828. keeping track of your contacts, reading your private conversations, the web
  829. sites you visit, ICQ history, mIRC log files with your private conversations
  830. and a log of everything you do online, a psychological profile could be
  831. created in several hours (depends of the skills of course) and your life, mode
  832. of thinking, reactions on specific future situations and needs will be
  833. revealed to some geek, wanting to recruit and/or manipulate you. This is food
  834. for thought and another topic, but just think how a combination of psychology,
  835. social engineering and computer security knowledge makes you a really powerful
  836. guy. And remember that people reveal their REAL personalities, wishes, mode of
  837. thinking, interests only when they think nobody is watching them...
  838.  
  839.  
  840. 12.Trojan Ports
  841.    ------------
  842.  
  843. Trojans use specific ports to communicate with the client. In the old days the
  844. well known trojan ports were mostly used, but today it's possible to change
  845. the port every time the trojan is restarted. Here is a link to the best and
  846. probably including all of the public trojans Ports List I've come across.
  847.  
  848. http://www.simovits.com/trojans/trojans.html
  849.  
  850.  
  851. 13.How Do I Know I'm Infected?
  852.    ---------------------------
  853.  
  854. Sometimes you think it's normal Windows behaviour when there are 500 MB or so
  855. missing on your HDD, because some software is using it, or you have installed
  856. a game you forgot about and many other reasons but not the real one. Here are
  857. some things which are very suspicious, and no matter how much your Anti-Virus
  858. software tells you that you aren't infected, dig a little deeper and see what
  859. really happened. One thing that will help you is to know the main features of
  860. the public trojans, so you'll be able to react if you notice such activity on
  861. your PC. I have included links to various Trojan Databases that you should
  862. visit if you want to know the main features of the public ones.
  863.  
  864. - Its normal to visit a web site and several more pop-ups to appear with the
  865.   one you've visited. But when you do completely nothing and suddenly your
  866.   browser directs you to some page unknown to you, take that serious. 
  867.   
  868. - A strange and unknown Windows Message Box appears on your screen, asking
  869.   you some personal questions. 
  870.   
  871. - Your Windows settings change by themselves like a new screensaver text,
  872.   date/time, sound volume changes by itself, your mouse moves by itself,
  873.   CD-ROM drawer opens and closes.
  874.  
  875. Please note that most advanced attackers will just spy on you and use your
  876. infected machine for some specific reason, and not perform any of the above
  877. "tricks" so as not to cause any suspicious activity on the target system (as
  878. this would probably mean they could get easily detected). Someone that just
  879. wants to have fun with you is more likely to perform these actions.
  880.  
  881. 14.Anti-Virus (AV) Scanners
  882.    -------------------
  883.  
  884. In the old days Virus Scanners used to detect only viruses and just a small
  885. part of the public trojans on the Internet. Realising how dangerous and
  886. popular Trojans are becoming today most, if not all of these scanners detect
  887. probably all of the public ones out there. As always people, think they are
  888. safe and secure when using Virus Scanner but it's a false sense of security.
  889. This type of software relies mainly on "signatures" of each trojan's server
  890. executable and also its common auto-starting methods, but that is not the
  891. perfect solution by far for protection yourself against trojans, as they use
  892. many other methods to hide inside the machine, most of which are undetected
  893. by Anti-Virus Software. When trojans became a big security breach, specific
  894. Anti-Trojan packages were released to the public and it was necessary for the
  895. AVs to start detecting not only viruses, but also trojans if they wanted new
  896. users. As a result, most of them became really advanced trojan scanning and
  897. detection systems, but for your maximal protection it's recommended to use
  898. both Anti-Virus and Anti-Trojans software.
  899.  
  900. Public trojans appear online almost every day and the detection software is
  901. updated every day for maximal protection of its customers. One very big
  902. problem is that the users do not update their signature files as often as they
  903. should be, thus having detection software that's not detecting several more
  904. trojans or viruses. Users MUST update their software's signature files every
  905. day, and it will take them only several minutes. Each and every time a new
  906. file is downloaded, it MUST be scanned BEFORE being opened with Anti-Virus and
  907. Anti-Trojan software. If you think the file is suspicious due to some reasons,
  908. do NOT run it, but send it to your detection software labs for analysis.
  909.  
  910.  
  911. 15.Anti-Trojan Software
  912.    --------------------
  913.  
  914. Here are reviews of the most popular Anti-Trojan packages. The list also
  915. includes various applications (freeware) to help you monitor your computer for
  916. ongoing Trojan activities. I suggest you visit the site of every product and
  917. decide which one best fits to your needs. Check the links section at the end
  918. of the paper to see various sites, providing reviews of the software below.
  919.  
  920. -- TDS-3 --
  921.  
  922. Trojan Defence Suite (TDS) is a indispensable, must-have software package for
  923. protection against trojans. It has many unique functions never seen in other
  924. Anti-Trojan packages. The program has really advanced features and if you're a
  925. newbie, it will probably take some time before you are able to use the software
  926. at its full capacity (read the excellent help files).
  927.  
  928. You can get TDS from http://tds.diamondcs.com.au/
  929.  
  930. -- LockDown2000 --
  931.  
  932. This is really good Anti-Trojan package that detects a LOT of trojans and other
  933. known as "hacking tools" programs. It will help you monitor your system files
  934. for changes, processes and registry modification. More info at its home page.
  935.  
  936. You can get LockDown2000 from http://www.lockdown2000.com
  937.  
  938. -- TFAK5 --
  939.  
  940. Trojans First Aid Kit is a trojan-scanner developed by SnakeByte. It has many
  941. other unique features; it could be used as a Client for various public trojans
  942. as well.
  943.  
  944. Download TFAK5 from http://www.snake-basket.de/tfak/TFAK5.zip
  945.  
  946. -- Trojan Remover --
  947.  
  948. Anti-Trojan software detecting 5468 trojans/worms (including variants) as at
  949. 15th August 2002. Systems files and registry monitoring functions are also
  950. implemented. More info at its home page:
  951.  
  952. http://www.simplysup.com/tremover/details.html
  953.  
  954. -- Pest Patrol --
  955.  
  956. A tool that scans for trojans as well as programs known as "hacking tools" and
  957. spyware. More info at its official page:
  958.  
  959. http://www.safersite.com/ 
  960.  
  961. -- Anti-Trojan 5.5 --
  962.  
  963. Trojans detection package that is able to remove most of the public trojans out
  964. there. More info at its official page:
  965.  
  966. http://www.anti-trojan.net
  967.  
  968. -- Tauscan  --
  969.  
  970. Trojan scanner that has unique features and is a must have. It's also able to
  971. detect new and never released to the public trojans. More info at its official
  972. page:
  973.  
  974. http://www.agnitum.com/products/tauscan/
  975.  
  976. -- The Cleaner --
  977.  
  978. Very popular Anti-Trojan software, known by everyone. Check its home page at:
  979.  
  980. http://www.moosoft.com/
  981.  
  982. -- PC Door Guard --
  983.  
  984. Trojan detection software, detecting a lot of trojans, and a monitor of files
  985. and directories is also included. More info at:
  986.  
  987. http://www.trojanclinic.com/pdg.html
  988.  
  989. -- Trojan Hunter --
  990.  
  991. Trojan detection package with a lot of functions. It's very handy.
  992.  
  993. More info at http://www.mischel.dhs.org/trojanhunter.jsp
  994.  
  995. -- LogMonitor --
  996.  
  997. Log Monitor is a file and directory monitoring tool. The program periodically
  998. checks a selected file's modification time and executes an external program if
  999. file's time was changed or not changed. For directories it handles such events
  1000. as files change, addition or removal. I recommend this tool as it's vary handy
  1001. and will help you a lot.
  1002.  
  1003. Home page: http://logmon.bitrix.ru/logmon/eng/
  1004.  
  1005. -- PrcView --
  1006.  
  1007. PrcView is a freeware process viewer utility that shows detailed information
  1008. about running processes. This information includes such details as the create
  1009. date/time, the version and full path for each DLL used by a selected process,
  1010. a list of all threads, memory blocks and heaps. PrcView also allows you to
  1011. kill and attach a debugger to a selected process. PrcView runs on both Windows
  1012. 95/98 and Windows NT platforms and includes Windows and command-line versions
  1013. of the program.
  1014.  
  1015. Get PrcView from http://www.xmlsp.com/pview/prcview.htm
  1016.  
  1017. -- XNetStat --
  1018.  
  1019. GUI based netstat tool for Windows. It will help you monitor you machine for
  1020. open ports. Download it from:
  1021.  
  1022. http://packetstormsecurity.org/Win/netstat.zip
  1023.  
  1024. -- ConSeal PC FIREWALL --
  1025.  
  1026. A really good firewall for advanced users using Windows having basic knowledge
  1027. of TCP/IP and other protocols; this software will help you to secure your PC a
  1028. lot. It has some major advantages over other Win based firewalls. For the full
  1029. range of specifications, check its official web page at:
  1030.  
  1031. http://www.consealfirewall.com/
  1032.  
  1033.  
  1034. 16.After You Clean Yourself
  1035.    ------------------------
  1036.  
  1037. Your machine has been compromised and probably a lot of sensitive data stolen,
  1038. files have been modified and illegal activities have been preformed on your
  1039. computer. Here I'll give you recommendations about what to do after you are
  1040. 100% clean of trojans.
  1041.  
  1042. - Accounting Data such as ISP passwords, ICQ, mIRC, FTP, web site passwords,
  1043.   e-mail address passwords are definitely known to the attacker. Contact your
  1044.   ISP about changing your dial-up password if you're using such connection.
  1045.   Immediately change your ICQ, mIRC passwords of course if they're still the
  1046.   same. (Often attackers won't change any of your accounting data to fool you
  1047.   everything is OK so there is a big chance you will still be able to recover
  1048.   from the compromise). Change your web based e-mail passwords and do check
  1049.   your information stored there, as password retrieval services for various
  1050.   e-mail providers such as Yahoo and Hotmail use this info combined with a
  1051.   "Secret Question" for password retrieval. Attackers often change the info,
  1052.   the answer to the secret question and many other things that will get them
  1053.   easily back into your mailbox, whether you've changed your pass or not.
  1054.  
  1055. - If you're taking advantage of the handy Address Book feature in your e-mail
  1056.   service, and have a list full of e-mails of friends, colleagues, etc. there
  1057.   is a real possibility that the attacker has sent them a trojan and possibly
  1058.   infected them too. Mail all of these people and ask them about receiving any
  1059.   files from your mailbox, inform them someone else might know your e-mail
  1060.   password so they'll be able to take appropriate actions like checking their
  1061.   machines for Trojans. Do the same with the people from your ICQ contact list
  1062.   as they might be targeted too.
  1063.  
  1064. - Check your HDD for abnormal activities like a lot of free space missing etc.
  1065.   Search for warez software and, as I mentioned, kiddie-porn archives.
  1066.  
  1067. - Think for a while about the sensitive information you had on your machine
  1068.   before the compromise, and if you are absolutely sure the attacker may know
  1069.   it too, then take appropriate action, like informing the any institutions
  1070.   the sensitive data belong to.
  1071.  
  1072. - Scan your machine with Anti-Virus scanner, as the attacker could have placed
  1073.   some virus or infected macro documents on your machine to do destructive
  1074.   things even there's no access for him/her to your machine.
  1075.  
  1076. - Monitor your processes BEFORE and AFTER connecting to the Internet, as some
  1077.   trojans start when they detect Internet connection. Don't get fooled again,
  1078.   be very suspicious.
  1079.  
  1080.  
  1081. 17.Online Scanning Services
  1082.    ------------------------
  1083.  
  1084. These services are very popular these days and they are very handy for users
  1085. who haven't got much knowledge on all of the holes they're checking for, but
  1086. wanting to ensure they are protected from all of them. This section is placed
  1087. at the end of the paper with a specific reason. If you have read the paper,
  1088. you should know a LOT about trojans by now, their principles of working and
  1089. detection techniques, therefore you can decide whether these online scanners
  1090. are useful or if they give a false sense of safety.
  1091.  
  1092. There are several types of Online Scanners: Trojan Scanner, Port Scanner and
  1093. Bugs Checker.
  1094.  
  1095. - Trojan Scanner
  1096.   It's using a list with predefined ports, associated with the name of the
  1097.   trojan responding to its default port, like Girl Friend=21544, and if this
  1098.   port is in "listening" state on your machine it will inform you that you've
  1099.   been infected with the GirlFriend Trojan. As you already know, trojans have
  1100.   functions like changing their default port to ANY of the attacker's choice.
  1101.   That makes these Trojan Scanners kind of useless, because serious attackers
  1102.   do change the default port for sure.
  1103.  
  1104. - Port Scanner
  1105.   This service has two options like well-known ports scan and all ports scan.
  1106.   The first feature is scanning for well known ports, again associated with
  1107.   the appropriate service related to the port like port 21-FTP, 23-Telnet,
  1108.   25-SMTP. The second feature is rarely seen on a free one, because of the
  1109.   bandwidth it would generate to scan all of the 65,535 ports. It will again
  1110.   associate ports with services like I mentioned above, and if it finds any
  1111.   unknown ports not associated with any service, it will also report it, like
  1112.   Port 34525 State:Listening, which means this port is waiting for connections
  1113.   from the outside.
  1114.  
  1115. - Bugs Checker
  1116.   Its purpose is to check your Browser or your E-mail Software for well known
  1117.   bugs and security related problems. If any are detected, it will point you
  1118.   to a site containing the patches for these bugs or a site with the latest
  1119.   updated versions of the software.
  1120.  
  1121. It's strongly recommended to close any other Internet related application on
  1122. your machine before being scanned by Online Trojan Scanner and Port Scanner.
  1123. You decide which service is best for you, which one will be able to detect
  1124. trojan infections on your machine, and which won't; you now know the main
  1125. principles and the answers too, I hope. Links to several online scanning
  1126. services I know of are included in the Links Section.
  1127.  
  1128. 18.Advice
  1129.    ------
  1130.  
  1131. This is a very useful section, full of tips and advice on how to protect
  1132. yourself from trojans using various ways you've already read about, but
  1133. summarised here for faster reading and hopefully better understanding.
  1134.  
  1135. [01] Never accept a file even it is from some friend. You're never sure who's
  1136.      on the other side of the computer at the moment. If you really need this
  1137.      file, let's say some presentation or a work paper, find other ways, like
  1138.      the phone, and verify the file is from your friend. Yeah it will take you
  1139.      some time and slow you a bit, but be paranoid about attachments you may
  1140.      receive and don't get infected.
  1141.     
  1142. [02] When executing files, first check their type. Is it really a .doc or it's
  1143.      some executable with a .doc icon.
  1144.  
  1145. [03] Update your Anti-Virus and Anti-Trojan package signature files regularly,
  1146.      if possible EVERY day for maximal protection, as new trojans and viruses
  1147.      are discovered every day. Most of the detection software have functions
  1148.      like scheduling scans so if you are away from your machine during the
  1149.      night but you leave it switched on, why not consider to schedule a scan
  1150.      and update every night? Doing so will ensure your maximal protection.
  1151.  
  1152. [04] Make sure you always have the latest version of the software you're using
  1153.      as new bugs appear very often and programs are regularly updated. Check
  1154.      often to see if there are bugs and/or other problems found in software
  1155.      that may potentially expose your system to risk - and patch/update your
  1156.      system(s) accordingly. Some software have an option to check for the
  1157.      latest version of the software from the vendor web site; make use of it.
  1158.  
  1159. [05] Take several minutes and regularly check the processes on your machine
  1160.      with the software I reviewed above. You'll be surprised what you may
  1161.      detect sometimes.
  1162.  
  1163. [06] It's vital to understand the risk of getting software from someone you
  1164.      just met, or had only several ICQ, IRC conversations with.
  1165.  
  1166. [07] Consider freeware programs as very risky software to download, and try
  1167.      searching for some reviews of the program before running it.
  1168.  
  1169. [08] Carefully read the help files coming with your detection software to be
  1170.      able to use them to their full capacity.
  1171.  
  1172. [09] Download software ONLY from its official page(s) or dedicated mirror web
  1173.      site. Never get the latest version of mIRC or ICQ from some site you've
  1174.      never heard about like from some free web space provider like Geocities.
  1175.      Consider it as an untrusted site and do NOT download anything from there.
  1176.  
  1177. [10] If you are playing with trojans you can also get infected as there are
  1178.      trojans or other software that are already infected and is waiting for
  1179.      someone with not so much knowledge on the topic to download and use it.
  1180.  
  1181. [11] Don't be so naive on everything you see on the Internet or what various
  1182.      sites offer you - don't download some software you've never heard about.
  1183.  
  1184. 19.Links Section
  1185.    -------------
  1186.  
  1187. This section will be very useful for everyone interested in reading various
  1188. papers about trojans written by other people, anti-trojan software reviews
  1189. sites, trojans archives, trojan protection portals and many other sites
  1190. related to the topic. If you want me to add your link in the next update mail
  1191. me and if the site is somehow related to the topic, I will definately include
  1192. it in the list.
  1193.  
  1194. Please don't forget that you can find these and many other security related
  1195. links at our extensive web links directory at Frame4 Security Systems; check
  1196. it out at: http://www.frame4.com/php/modules.php?name=Web_Links
  1197.  
  1198. -- Trojan Portals and Archives --
  1199.  
  1200. URL  : http://www.tlsecurity.net
  1201. DESC : Excellent, well-known security portal providing many trojan resources
  1202.        and information regarding the topic
  1203.  
  1204. URL  : http://www.euyulio.org
  1205. DESC : Security portal, huge trojans archive and other unique features
  1206.  
  1207. URL  : http://www.megasecurity.org/
  1208. DESC : Megasecurity portal having huge trojans archive and well sorted library
  1209.        on the subject
  1210.  
  1211. URL  : http://www.trojan.ch
  1212. DESC : Trojans portal, news, archive, unique programs
  1213.  
  1214. URL  : http://www.trojanforge.net/
  1215. DESC : Trojans portal, trojans archive, documents, www-board
  1216.  
  1217. URL  : http://packetstormsecurity.org/trojans
  1218. DESC : Packetstorm's trojans section
  1219.  
  1220. URL  : http://www.pcflank.com
  1221. DESC : Security portal providing various functions as browser tests, remote
  1222.        trojan scanning
  1223.  
  1224. URL  : http://www.staff.uiuc.edu/~ehowes/trojans/tr-tests.htm
  1225. DESC : Site showing results of actual (functional comparison) tests performed
  1226.        with various trojan detection programs
  1227.  
  1228. -- Trojan Database Libraries --
  1229.  
  1230. URL  : http://www.simovits.com/trojans/trojans.html
  1231. DESC : Huge, detailed and well sorted list of trojans and their functions
  1232.  
  1233. URL  : http://www.tlsecurity.net/tlfaq.htm
  1234. DESC : Comprehensive list and analysis of probably all the public trojans
  1235.  
  1236. URL  : http://www.blackcode.com/trojans/
  1237. DESC : Trojans/worms library database provided by BlackCode
  1238.  
  1239. -- Anti Trojan Sites --
  1240.  
  1241. URL  : http://www.hackfix.org/
  1242. DESC : Site with resources related to trojan protection and helping newbies
  1243.  
  1244. URL  : http://www.nohack.net/
  1245. DESC : The nohack project helps newbies clean their PCs and protect themselves
  1246.  
  1247. URL  : http://www.virushelp.info
  1248. DESC : IRC channel related to virus and trojans protection
  1249.  
  1250. URL  : http://www.anti-trojan.org 
  1251. DESC : Anti-trojan help site
  1252.  
  1253. -- Detection Software Reviews --
  1254.  
  1255. URL  : http://www.wilders.org/anti_trojans.htm
  1256. DESC : Site providing reviews of anti-trojan software
  1257.  
  1258. URL  : http://www.rokopsecurity.de/
  1259. DESC : German site providing reviews of various anti-virus and anti-trojan
  1260.        software, and many other information (site language is German)
  1261.  
  1262. URL  : http://www.fruitloop.net/virushelp/index.html
  1263. DESC : Site providing reviews of detection software
  1264.  
  1265. URL  : http://www.firewallguide.com/anti-trojan.htm
  1266. DESC : Site providing various security related services and reviews
  1267.  
  1268. -- Papers Regarding Windows Trojans --
  1269.  
  1270. URL  : http://www.jmu.edu/computing/info-security/engineering/issues/remote.shtml
  1271. DESC : Interesting paper about windows trojans
  1272.  
  1273. URL  : http://members.ozemail.com.au/~netsafe/trojan_index.html
  1274. DESC : Detailed information about windows trojans
  1275.  
  1276. URL  : http://researchweb.watson.ibm.com/antivirus/SciPapers/Whalley/inwVB99.html
  1277. DESC : Windows trojans
  1278.  
  1279. URL  : http://researchweb.watson.ibm.com/antivirus/SciPapers/Smoke/smoke.html
  1280. DESC : Another must read paper
  1281.  
  1282. URL  : http://www.frame4.com/content/files/the_gentle_art_of_trojan_horsing_under_windows.txt
  1283. DESC : Windows trojans
  1284.  
  1285. URL  : http://www.frame4.com/content/files/trojdetecte.txt
  1286. DESC : Snakebyte's tips about trojan detection
  1287.  
  1288. URL  : http://www.frame4.com/content/files/what_trojan.pdf
  1289. DESC : Paper about windows trojans
  1290.  
  1291. URL  : http://www.frame4.com/content/files/Trojan_reversing.txt
  1292. DESC : Interesting reading
  1293.  
  1294. -- Online Scanners --
  1295.  
  1296. URL  : http://www.hackerwhacker.com/
  1297. DESC : A must visit vulnerability checker with unique features
  1298.  
  1299. URL  : http://www.scannerx.com
  1300. DESC : Vulnerability assessment scanner
  1301.  
  1302. URL  : http://scan.sygatetech.com/
  1303. DESC : Security scanner
  1304.  
  1305. -- Browser and E-mail Software --
  1306.  
  1307. URL  : http://www.nwnetworks.com/iesc.html 
  1308. DESC : Internet Explorer security centre
  1309.  
  1310. URL  : http://www.guninski.com
  1311. DESC : Browser and active content researcher a must visit
  1312.  
  1313. URL  : http://www.sophos.com/virusinfo/whitepapers/activecontent.html
  1314. DESC : Whitepaper about active content security
  1315.  
  1316. -- Misc --
  1317.  
  1318. URL  : http://directory.google.com/Top/Computers/Security/Anti_Virus/Trojans/
  1319. DESC : Google's trojans directory
  1320.  
  1321. URL  : http://support.microsoft.com/support/kb/articles/q262/6/31.asp?LN=EN-US&SD=gn&FR=0
  1322. DESC : Risky file extensions
  1323.  
  1324. URL  : http://www.frame4.com/content/files/razor.wintrinoo.txt
  1325. DESC : Review of the WinTrinoo trojan
  1326.  
  1327. URL  : http://www.megasecurity.org/Info/mIRC.txt
  1328. DESC : Very detailed paper on mIRC backdoors
  1329.  
  1330. 20.Final Words
  1331.    -----------
  1332.  
  1333. I really hope you've realised how big security problem Windows Trojan Horses
  1334. are, and you've become a little paranoid about your security. If you've ever
  1335. found yourself infected, I also hope that while reading the paper, you have
  1336. understood how you may have gotten infected the last time and I'm sure you
  1337. won't make the same mistake again. The paper will be regularly updated with
  1338. the latest info regarding the topic, as new variations of trojans and ways
  1339. of infection appear very often. If you think I've missed something, please
  1340. do not hesitate to contact me and contribute to it. Your feedback, ideas,
  1341. comments, suggestions and everything related to the paper and the topic will
  1342. be gratefully appreciated. I can be contacted at dancho.danchev@frame4.com.
  1343.  
  1344. Part of the Frame4 Security Systems Publications Archive, this paper can be
  1345. located at http://www.frame4.com/publications/index.php. Please visit the
  1346. archive to get the latest updates to this paper and many other security
  1347. related documents.
  1348.  
  1349. -------------------------------------------------------------------------------
  1350. This paper is a Frame4 Security Systems publication, all rights reserved. You
  1351. may (re-)distribute the text as long as the content is not changed in any way
  1352. and with this header text intact. If you want to serve this paper on your web
  1353. site/FTP/Newsgroup/etc., I encourage you to do so but please do not change it
  1354. in any way without the prior permission of the author.
  1355.  
  1356. IMPORTANT -- THIS DOCUMENT IS FOR INFORMATIONAL PURPOSES ONLY. To the maximum
  1357. extent permitted by applicable law, in no event shall Frame4 Security Systems
  1358. be liable for any damages whatsoever, (including, without limitation, damages
  1359. for loss of any business profits, business interruption, loss of any business
  1360. information, or other pecuniary loss) arising out of the use, or inability to
  1361. use any software, and/or procedures outlined in this document, even if Frame4
  1362. Security Systems has been advised of the possibility of such damage(s). There
  1363. are NO warranties with regard to this information, but the paper may help you
  1364. improve your Windows security a lot.
  1365.  
  1366. This paper is the property of Frame4 Security Systems, all rights reserved.
  1367. Copyright (c) 1999-2002 Frame4 Security Systems -- http://www.frame4.com/
  1368. ===============================================================================
  1369.