Listado de puertos utilizados por Troyanos

Listado de referencia de puertos TCP y UDP asociados históricamente a troyanos y puertas traseras conocidas. Útil como consulta y para saber qué puertos conviene evitar al configurar aplicaciones como eMule.

Muchos troyanos y puertas traseras (backdoors) se comunican con el atacante a través de puertos de red concretos. Conocer qué puertos se han asociado a malware conocido puede ayudar a identificar tráfico sospechoso y, sobre todo, a evitar esos puertos al configurar tus propias aplicaciones.

Un apunte importante antes de la tabla: que uno de estos puertos esté abierto no significa que estés infectado. La mayoría son también puertos de servicios legítimos (el 80 es la web, el 25 el correo, el 139 recursos compartidos de Windows, etc.). La lista indica coincidencias históricas, no una prueba de infección.

Nota sobre la vigencia de esta lista

Se trata de un listado histórico. La gran mayoría de estos troyanos (Back Orifice, NetBus, SubSeven, Deep Throat, Trinoo…) datan de la época de Windows 9x y XP, entre finales de los años 90 y principios de los 2000, y hoy están prácticamente extintos. El malware actual rara vez usa puertos fijos: emplea puertos dinámicos, se camufla en tráfico HTTPS legítimo o utiliza técnicas mucho más sofisticadas.

Por tanto, esta tabla tiene valor como referencia y como curiosidad de seguridad informática clásica, pero no debe usarse como método de detección de amenazas modernas. Para eso, lo adecuado es un buen antivirus/antimalware actualizado y mantener el sistema al día. Aun así, sigue siendo útil para lo más práctico: comprobar que el puerto que vas a asignar a una aplicación no coincide con uno de esta lista.

Tabla de puertos y troyanos asociados

Salvo que se indique UDP, los puertos corresponden al protocolo TCP.

¿Sigue siendo útil buscar puertos de troyanos?

No demasiado, al menos como método de detección. Hace veinte años era habitual que un troyano escuchara siempre en un puerto TCP fijo para recibir conexiones remotas, y por eso una lista como esta servía para detectar posibles infecciones. Hoy la situación ha cambiado por completo.

El malware moderno rara vez usa un puerto fijo. En lugar de esperar conexiones entrantes, la mayoría de las amenazas actuales establecen conexiones salientes hacia servidores de comando y control (C2), y lo hacen camuflándose en protocolos estándar y cifrados que se confunden con el tráfico legítimo:

• HTTPS (443) y HTTP (80), para pasar desapercibidos entre el tráfico web normal.
• DNS (53), mediante técnicas de tunneling.
• Puertos aleatorios distintos en cada infección.
• Servicios en la nube legítimos (Discord, Telegram, GitHub, OneDrive, Google Drive…) como canal de comunicación.

Como resultado, el puerto ya no identifica al malware. Hoy resulta mucho más eficaz analizar el comportamiento: conexiones persistentes o repetitivas (beaconing), tráfico cifrado hacia destinos desconocidos, dominios sospechosos, procesos en ejecución inusuales e indicadores de compromiso (IoC). Familias actuales como AsyncRAT, Quasar, Remcos, njRAT o los frameworks de tipo Cobalt Strike operan precisamente así, y no encajarían en una tabla de puertos fijos.

Por eso esta lista conserva sobre todo un valor de referencia histórica y sigue siendo útil para lo más práctico (comprobar que un puerto que vas a asignar a una aplicación no arrastra mala fama), pero no como herramienta de detección de amenazas modernas.

Recuerda que la mejor defensa frente al malware no es vigilar puertos concretos, sino mantener el sistema operativo y las aplicaciones actualizados, usar software de seguridad de confianza y aplicar buenas prácticas de navegación. La seguridad informática es un esfuerzo continuo que requiere mantenerse informado.