Este documento describe el uso del troyano Little Witch en un entorno controlado de VirtualBox para practicar la seguridad de redes. Explica los componentes del troyano, cómo clonar máquinas virtuales XP, configurar las IPs y conectividad de red, ejecutar los ejecutables del troyano, y monitorear procesos, puertos y archivos para ver el troyano en acción a través de funciones como chat, keylogger y explorador de archivos.

1. Práctica con el troyano Little Witch en un
entorno de red controlado Virtualbox
Universidad Nacional Abierta y a Distancia
Especialización en Seguridad Informática
Seguridad en Bases de Datos
Grupo 233009_20
Mayo de 2014

2. Componentes
 LWClient.exe: atacante (cliente)
 Lwserver.exe: víctima (servidor)
 Miniserver.exe. víctima (servidor)

3. Conociendo mejor al enemigo
 Revisión en Virus Total:
 Revisión con Avira:

4. Peligrosidad

5. Clonación XP en Virtualbox (1)
 Clonar:
 Clonación completa con inicialización de dirección MAC:

6. Clonación XP en Virtualbox (2)
 (1) Win XP - victima
 (2) Win XP - atacante
 Entorno de red controlado:

7. Configuración IP y conectividad
 Equipo “victima”: 192.168.1.1 clase C
 Equipo “atacante”: 192.168.1.2 clase C

8. Preparar ejecutables para el usuario
 Directorio de trabajo: C:little
 Seleccionar opción: Setup
 Para el ejemplo: sin contraseña
 Mensaje que aparecerá al usuario: “No reinicie su equipo”:

9. Ejecución de miniserv.exe o lwserver.exe
 Ejecutables generados el 4 de may/2014:

10. Procesos - Process Monitor
 Miniserv.exe (o lwserv.exe) crea y lanza Rundll.exe:

11. Conexiones de red – TCPView
 Puertos TCP/UDP 31320 a la escucha:

12. Escaneo subred y agregar IP
 Escaneo segmento 192.168.1.0:
 Agregar IP equipo de usuario:

13. Búsqueda de archivos en equipo de usuario
 Directorio: C:Windows
 Filtro: prueba*

14. Operatividad del chat
 Algunas letras salen en mayúsculas:

15. Keylogger en acción
 Primero se abre el puerto 32001 (!)
 Luego se abre el puerto
 Finalmente se conecta
 No registra el número cero, “daña” caracteres especiales:

16. Explorador de archivos
 Por alguna razón, conecta pero no muestra nada (se probó con
diversos puertos indicados en páginas de uso del troyano):

17. Detalle de rundll.exe con procmon.exe

18. Referencias
 Instalador:
http://www.oocities.org/hackcrackl/
 Un instructivo encontrado:
http://www.elhacker.net/textos-manuales-
tutoriales.html#Troyanos