Troyà (informàtica)

Captura de pantalla del troyà Nuclear RAT.

En informàtica, es denomina cavall de Troya, o troyà, a un malware que es presenta a l'usuari com un programa aparentment llegítim i inofensiu, pero que, en eixecutar-ho, li brinda a un atacant accés remot a l'equip infectat. El terme troyà prové de l'història del cavall de Troya del cicle épico grec, narrat principalment en la Eneida de Virgilio i mencionat en l'Odissea d'Homero..

Els troyans poden realisar diferents tasques, pero, en la majoria dels casos, creen una porta trasera que permet l'administració remota a un usuari no autorisat.

Un troyà és un tipo de malware. Per a que un malware siga un troyà solament té que accedir i controlar la màquina amfitriona sense ser advertit, baix una apariència inocuo.

Hi ha certes fonts que ho descataloguen com malware degut a que aparentment no causa danys en els sistemes, pero causen també una atra classe de perjuïns, com el robo de senyes personals.

Evolució històrica

Els troyans es varen concebre com una ferramenta per a causar el major dany possible en l'equip infectat. En els últims anys i gràcies al major us d'Internet, esta tendència ha canviat cap al robo de senyes bancaris o informació personal.

Des dels seus orígens, els troyans han segut utilisats com a arma de sabotage pels servicis d'inteligència com la CIA, el cas de la qual més emblemàtic va ser el sabotage al gasoducte siberiano en 1982. La CIA va instalar un troyà en el software que s'ocuparia de manejar el funcionament del gasoducte, ans que l'URSS comprara eixe software en Canadà.

D'acort en un estudi de l'empresa responsable del software de seguritat BitDefender des de giner fins a juny de 2009, «El número de troyans està creixent, representen el 83 % del malware detectat».

Propòsits dels troyans

Els troyans estan dissenyats per a permetre a un individu l'accés remot a un sistema. Una volta en eixecució, l'atacant pot accedir al sistema de forma remota i realisar diferents accions sense necessitar permís. Les accions que l'atacant pot realisar en l'equip remot depenen dels privilegis que tinga l'usuari atacat en eixe equip i de les característiques del troyà.^{cita requerida}

Algunes de les operacions més comunes són:

• Utilisació la màquina com a part d'una botnet (per eixemple, per a realisar ataques de refús de servici o enviament de spam).
• Instalació d'uns atres programes (incloent aplicacions malicioses).
• Robo d'informació personal: informació bancària, contrasenyes, còdics de seguritat, robo d'archius varis, etcétera.
• Borrat, modificació o transferència d'archius (descàrrega o pujada).
• Borrat complet del disc.

• Eixecució o finalisació de processos.
• Apagat o reiniciat de l'equip.
• Captura de les pulsacions del teclat.
• Captures de pantalla.
• Omplit del disc dur en archius inútils.
• Monitorisació del sistema i seguiment de les accions de l'usuari.
• Captura d'images o vídeos a través de la webcam, si té.
• Accions inocuo des del punt de vista de la seguritat, destinades a sorprendre a l'usuari, tals com expulsar l'unitat de CD, canviar l'apariència del sistema, etc.

Actualment, i donada la popularitat dels dispositius mòvils i tabletas, són estes plataformes (especialment aquelles en menor control en el seu mercat d'aplicacions) les que susciten un creixent interés entre els desenrolladors d'este tipo de malware. Donat l'us personal d'estos dispositius, les accions que un atacant pot realisar en estos dispositius comprén les ya descrites, més atres específiques derivades de la naturalea privada de l'informació que s'almagasena en estes plataformes. Alguns eixemples són:

• Captura dels mensages entrantes i eixints d'aplicacions de mensageria.

• Captura del registre de cridades.
• Accés i modificació de contactes en l'agenda.
• Habilitat per a efectuar cridades i enviar mensages de text.
• Coneiximent de la posició geogràfica del dispositiu per mig de GPS.

Característiques dels troyans

Generalment, els cavalls de troya són utilisats per a furtar informació, en casos extrems, obtindre el control remot de la computadora, de manera que l'atacant conseguixca accés de llectura i escritura als archius i senyes privades almagasenades, visualisacions de les pantalles obertes, activació i desactivació de processos, control dels dispositius i la conexió a determinats llocs d'Internet des de la computadora afectada com les pàgines pornogràfiques.

Els troyans estan composts principalment per dos programes: un programa d'administració, que envia les órdens que es deuen eixecutar en la computadora infectada i el programa resident situat en la computadora infectada, que rep les órdens de l'administrador, les eixecuta i li torna un resultat. Generalment també es conta en un editor del programa resident, el qual servix per a modificar-ho, protegir-ho per mig de contrasenyes, unir-ho a atres programes per a disfrassar-ho, configurar que port desigem instalar el servidor, etc. Atenent a la forma en la que es realisa la conexió entre el programa d'administració i el resident es poden classificar en:

Conexió directa

L'atacant es conecta directament al PC infectat per mig de la seua direcció IP. En este cas, l'equip atacant és el client i la víctima és el servidor.

Conexió indirecta (o inversa)

L'equip host o víctima es conecta a l'atacant per mig d'un procés automàtic en el malware instalat en el seu equip, per lo que no és necessari per a l'atacant dispondre de la direcció IP de la víctima. Per a que la conexió este assegurada, l'atacant pot utilisar una IP fixa o un nom de domini. La majoria dels troyans moderns utilisen este sistema de conexió, a on l'atacant és el servidor a l'espera de la conexió i l'equip host és el client que envia peticions de conexió per a rebre órdens d'eixecució remotes baix la seua pròpia demanda.

Els troyans i atres tipos de malware, aixina com moltes utilitats software han evolucionat cap al model de conexió inversa per l'extensió de routers que apliquen en la seua majoria per defecte una capa de seguritat en la ret inicial (com el propi NAT) actuant com firewall que impedix baix condicions, conexions entrantes cap als clients de la ret llevat que este mecanisme es deshabilite o configure expressament. D'esta manera, és més senzill crear ferramentes que es boten esta protecció ocasionant que siguen els clients els que soliciten les seues órdens remotes en lloc de permetre rebre-les.

A pesar de que els troyans de conexió directa han caigut en desús casi totalment front als de conexió inversa, dins dels círculs de pirates informàtics se seguix utilisant la denominació de client per a l'equip atacant i servidor per a l'equip víctima, la qual cosa és incorrecte des d'un punt de vista estricte.

La conexió inversa té clares ventages sobre la conexió directa. Esta traspassa alguns firewalls (la majoria dels firewall no analisen els paquets que ixen de la computadora, pero que sí analisen els que entren), poden ser usats en rets situades darrere d'un rúter sense problemes (no és necessari redirigir els ports) i no és necessari conéixer la direcció IP del servidor.^{cita requerida}

cal destacar que existixen un atre tipo de conexions, que no són d'equip víctima a equip atacant, sino que utilisen un servidor intermig, normalment alié a abdós, per a realisar el procés de control. Se solen utilisar per a este propòsit els protocols IRC i el FTP, HTTP, encara que també poden usar-se uns atres.^{cita requerida}

Formes d'infectar-se en troyans

La majoria d'infeccions en troyans ocorren quan s'eixecuta un programa infectat en un troyà. Estos programes poden ser de qualsevol tipo, des d'instaladors fins a presentacions de fotos. En eixecutar el programa, este es mostra i realisa les tasques de forma normal, pero en un segon pla i al mateix temps s'instala el troyà. El procés d'infecció no és visible per a l'usuari ya que no es mostren finestres ni alertes de cap tipo, per lo que evitar l'infecció d'un troyà és difícil. Algunes de les formes més comunes d'infecció són:

• Descàrrega de programes de rets P2P.
• Pàgines web que contenen contingut eixecutable (per eixemple controls ActiveX o aplicacions Java).
• Exploits per a aplicacions no actualisades (navegadors, reproductors multimèdia, clients de mensageria instantànea).
• Ingenieria social (per eixemple un cracker mana directament el troyà a la víctima a través de la mensageria instantànea).

• Archius adjunts en correus electrònics i archius enviats per mensageria instantànea.
• Conectar al seu equip un dispositiu extern infectat.

Degut a que qualsevol programa pot realisar accions malicioses en un ordenador, cal ser cuidadós a l'hora d'eixecutar-los. Estos poden ser alguns bons consells per a evitar infeccions:

• Dispondre d'un programa antivirus actualisat regularment per a estar protegit contra les últimes amenaces.
• Dispondre d'un firewall correctament configurat. Alguns antivirus ho duen integrat.
• Tindre instalats els últims pegats i actualisacions de seguritat del sistema operatiu.
• Descarregar els programes sempre de les pàgines web oficials o de pàgines web de confiança.
• No obrir les senyes adjuntes d'un correu electrònic si no coneixes al remitent.
• Evitar la descàrrega de software de rets p2p.
• Actualisar el software de l'equip.

Investigacions recents han revelat que el método del cavall de Troya s'ha utilisat com a atac als sistemes de computació en el núvol. Un atac troyà a sistemes en el núvol intenta insertar una aplicació o servici en el sistema que pot afectar els servicis en el núvol en canviar o detindre les funcionalitats. Quan el sistema en el núvol identifica els atacs com a llegítims, es realisa el servici o aplicació que pot danyar i infectar el sistema en el núvol.