🚀 go-pugleaf

>   Si en ese directorio, metes 500 virus detectables por algún 
>  antivirus genérico, ese antivirus ni se enterará, por que NO 
>  verá ese directorio.

je!... si hablamos de engaños, hay muchas maneras de engañar a un antivirus.
Se vuelven locos simplemente con los ADS (Alternate Data Stream) del NTFS.
http://www.multingles.net/docs/ntfs_ads.htm

>    Ahora bién, ese software, el NTRootkit, no es infalible, y 
>  tienen que dejar un par de ficheros en C:\Windows\System, y 
>  por lo tanto, pueden ser detectados por cualquier antivirus 
>  que cubran el NTRootKit.

Disiento.. hay muchos codigos (variantes) de NTRootkit que no lo van
a detectar... y menos si un "profesional" lo toca.

-- 
Jose Manuel Tella Llop
MVP - Windows
jmtella@XXXcompuserve.com   (quitar XXX)
http://www.multingles.net/jmt.htm

Este mensaje se proporciona "como está" sin garantías de ninguna clase, y no otorga ningún derecho.

This posting is provided "AS IS" with no warranties, and confers no rights.
         You assume all risk for your use. 




"Lokutus" <me@privacy.net> wrote in message news:2g7daoF4u746U1@uni-berlin.de...
> El tal c.b. en la fecha Domingo 09 Mayo 2004 20:33 escribio en 
> es.comp.virus el siguiente mensaje:
> 
>> On Sun, 09 May 2004 18:53:58 +0200, Lokutus wrote:
>> 
>> Realmente el tema rootkit es interesante, pero tampoco da para mucho.
>> Habria que distinguir entre rootkit para sistemas unix y rootkits para
>> windows (o ntrootkits)
>> 
> 
>    Y son muy diferentes en el mundo UNIX que en Windows.
> 
>   En UNIX, son un conjunto de herramientas diferentes, agrupadas
>  en un paquete:
> 
>    * Xploits para hacerse root teniendo una cuenta local.
>    * Zappers para borrar huellas.
>    * Puertas traseras para acceder remotamente.
>    * Ocultadores que se instalan como módulos cargables.
> 
>    Es algo así, como una distribucion, pero de herramientas de 
>  asaltantes.
> 
>   Por ejemplo, has mencionado el tema del MD5. Hay un artículo 
>  de 2A69 que explica como engañar el md5sum mediante un módulo 
>  cargable de Linux. 
> 
>    Existen herramientas, que te hacen invisible al "whois" de
>   Linux/Unix, o al netstat.
> 
>    Cualquier herramienta, que funcione en el espacio de usuario, 
>  (no está en Ring 0), puede ser engañada.
> 
>    Y eso, también se puede hacer en Windows.
> 
>   Es decir, interceptan ciertas llamadas al sistema, y 
>  convierten al sistema operativo, en un sistema mentiroso.
> 
>    Lo se, por que yo he desarrollado una herramienta de seguridad
>  basada en MD5 para Windows, parecida a cierta aplicación muy famosa, 
>  cuyo nombre no recuerdo, y me han demostrado en directo, que mi 
>  IDS NO sirve para nada.
> 
>  ¿Por que crees que he abandonado el desarrollo de "La Oreja de 
>  Spock"?, si corre en espacio de usuario, se puede engañar.
> 
>    En Windows, la única herramienta de ese tipo que conozco, el 
>  NTRootKit, lo único que hace es ocultar otras cosas.
> 
>    Por ejemplo, todo directorio que comienza por "_ROOT_" será 
>  completamente invisible.
> 
>    Si en ese directorio, metes 500 virus detectables por algún 
>  antivirus genérico, ese antivirus ni se enterará, por que NO 
>  verá ese directorio.
> 
>    Ahora bién, ese software, el NTRootkit, no es infalible, y 
>  tienen que dejar un par de ficheros en C:\Windows\System, y 
>  por lo tanto, pueden ser detectados por cualquier antivirus 
>  que cubran el NTRootKit.
> 
> 
>> Saludos
>> c.b.
> 
> -- 
> 
>    Lokutus, asimilando la red.
>