1. Troyano: Little Witch
El troyano Little Witch se compone de dos archivos:
1. Archivo servidor: (lwserver)este es el archivo que debes enviar a la persona que quieras
infectar
2. Archivo cliente: (lwclient)este es el archivo con el que trabajaremos. Con el podremos
manejar la maquina infectada.
Archivo servidor: Una vez que hayamos ejecutado el archivo cliente podremos ver:
Es un troyano que permite el acceso remoto y no permitido de un intruso a la computadora
infectada. Abre los puertos tcp y udp 31.320, establece comunicación con el atacante a través del
icq.

2. Little Witchestá escrito en delphi.
Cuando el troyano se ejecuta, se copia así mismo en: c:windowssystemrundll.exe
c:windowsusr.dat (archivodondeguarda los passwords capturados)
Además crea una entrada en el registro para ejecutarse en el siguiente reinicio del sistema:
hkey_local_machinesoftwaremicrosoftwindowscurrentversionrun
rundll=c:windowssystemrundll.exe
Cuando el troyano se instala queda a la espera de órdenes remotas de su creador, las
órdenespodrían realizar las siguientes acciones (LWexplorer):
Enviar información de la computadora y de la red a su creador.
Editar el registro del sistema.
Finalizar procesos.
Manipular los archivos del sistema
Descargar archivos
Ejecutar programas
Capturar las pulsaciones del teclado
Apagar y encender el monitor
Ocultar y mostrar la barra de tareas e iconos.
En el Cliente.

3. El nivel de riesgo actualmente de este virus es de nivel 1, que es muy bajo ya que todos los
antivirus ya lo detectan.
Algunos datos de interés:
Descubierto:Marzo 11, 2003
Conocido también como: trojanLittleWitch v6.1
Tipo:Trojan Horse
SistemasAfectados:Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT,
Windows XP

4. Backdoor.LittleWitch.Ces un troyano de puerta trasera(backdoorTrojan)que es similar a
Backdoor.LittleWitch.B. Este troyano permite a un atacante el acceso no autorizado a un equipo
comprometido. La presencia del archivo, Rundll.exe, en la carpeta% System% es un indicador de
una posible infección.
Por defecto, Backdoor.LittleWitch.C abre puertos TCP y UDP 31320 en el equipo infectado.
Síntomas visibles:
LittleWitch resulta sencillo de reconocer, puesto que:
En primer lugar muestra un mensaje en el que solicita información confidencial del usuario
del equipo infectado.
Si el usuario introduce esa información, puede ocurrir que la bandeja del ordenador se
abra y se cierre, se establezcan sesiones de chat, se modifica el fondo de pantalla, se
desactiva el monitor, el ratón o el teclado, etc. Todoello, sin motivoaparente.
Desinfección
1. Uso de antivirus actualizado.
2. Eliminar el valor añadido a la entrada del registro indicada, evitando así la ejecución
automática del troyano cada vez que se reinicie el sistema.