RSS |

Blog de Omar

Just another WordPress weblog

Advertisement

Hackeando Android: Ingeniería Social y una linda camiseta

nunca confies en miHace un tiempo atrás leí una novela cuyo título me gustó mucho, Nunca confíes en mí , menudo nombre para una obra literaria no les parece?? La obra narra de manera espléndida el calenturiento y tormentoso amor entre Amanda y Gabriel, dos amigos de colegio que se reencuentran después de largos años despertando sus mas bajas pasiones y viviendo historias sin dudad cotidianas pero que encienden  el morbo de cualquier lector con ánimos de divertirse (mientras los protagonistas no seamos nosotros). El autor de esta obra es el peruano  Renato Cisneros y que tuvo la magnífica idea de terminar la obra de la mejor manera que se puede terminar una (y que contraviniendo las buenas costumbres sociales voy a proceder a contar), traicionando la confianza de sus amigos Amanda y Gabriel – los protagonistas de la obra – y  publicando la novela con los detalles del sórdido amor que habían vivido, colando como parte final del libro la frase que dio nombre a la obra: “Nunca confíes en mí”.

Recuerdo haber obsequiado este libro hace ya algún tiempo y es que no hay nada mas excitante que regalar un rompecabezas listo para ser armado por nuestra imaginación (y por nuestras vivencias), una buena novela literaria. Así que si alguna vez obsequié este libro, créanme fue el mejor regalo que pudieron haber recibido de mi (ya dejen de acusarme de tacaño por favor Smile).

 

 

¿Y qué tiene que ver todo esto con seguridad de información?  pues en mi último viaje a la ciudad heroica de Tacna [ver AQUÍ] realice 02 Charlas y 02 Talleres sobre seguridad informática y decidí realizar un experimento con los participantes del evento, el experimento consistía en que los participantes me brinden muy generosamente toda la información de sus celulares obviamente de la manera mas sutil posible y sin que ellos pudieran advertir lo que en realidad estaba ocurriendo. Aquí les explico como pero primero la respectiva ficha técnica:

  • Número de participantes: 20 personas aprox.
  • Edad de los participantes: Entre 20 y 30 años
  • Grado académico: Estudiantes y egresados de ingeniería de sistemas y computación
  • Lugar: Tacna – Perú (Universidad Nacional Jorge Basadre)
  • Nivel de seguridad informática: media (o quizás baja después del experimento)
  • Impulso para ganar: una camiseta del Blog de Omar

¿Quieren ver el premio que el feliz hackeado ganador se llevo por entregarnos toda la información de su celular? Pues aquí se los dejo y espero poder regalar más en mi próxima charla.

 

20141009_220641

Hackeando un Android

Volvamos a lo nuestro que es seguridad, entonces ¿cómo hackeamos un Android? de hecho la principal vulnerabilidad en los sistemas Android proviene de las aplicaciones que instalamos, debemos reconocer que pertenecemos (me incluyo) a una cultura totalmente Windoneana donde somos felices dando clicks en “Next, Next y Next” para instalar aplicaciones, pues aquí radica nuestra principal debilidad en instalar cualquier tipo de aplicación sin antes verificar los permisos y el origen de la misma. Aquí vamos explicar la manera más rápida y fácil de poder hacernos de información de un sistema operativo Android, vamos con los pasos:

  1. Ingeniería Social

    El truco para el éxito de este ataque consiste en ganar la confianza de la(s) otra(s) persona(s) para que se instalen la aplicación con toda la confianza del mundo, alguna de las ideas más utilizadas son las siguientes:

    - Google Play: El truco de los atacantes es engañarte mostrándote aplicaciones milagrosas en el store de Google, hasta la fecha se han detectado muchas – muchísimas – aplicaciones maliciosas en Google Play y es que basta subir aplicaciones con permisos “READ_EXTERNAL_STORAGE” y eso es todo, aquí pueden ver claros ejemplo de los que les cuento:

    * Aplicación maliciosa para hacer Dieta: [AQUÍ]
    * La estafa de la linterna milagrosa en Android: [AQUÍ]
    * 10 millones e aplicaciones maliciosas en Android: [AQUÍ]

    Basta con buscar “WhatsApp” en GooglePlay para obtener varios cientos de resultados, cada aplicación relacionada a WhatsApp que se muestra realiza alguna “maravilla”, ¿ustedes creen que realmente hacen esas maravillas?

    image



    - Instalar aplicaciones de terceros: El engaño de los atacantes consiste en lograr convencerte que puedas instalar una aplicación que no se encuentra en Google Play por cualquier motivo, por ejemplo yo le pedí a las participantes de mi experimento que lo instalaran porque el que contestaba todas las preguntas correctamente se llevaba una camiseta del blog Smile.

    - “Me prestas tu celular”: Es muy común que te pidan prestado tu celular, no? ya saben….. sólo quiero ver tus fotos, quiero entrar a una página de Google o quizás quiero instalarte algo sin que te des cuenta. La instalación de un APK malicioso demora menos de 60 segundos, así que nunca presten su celular, jamás!!

    image

  2. Instalando la Aplicación

    Una vez que hemos logrado ganar la confianza de nuestra víctima mediante alguna de las técnicas arriba descritas, tenemos que instalar la aplicación maliciosa. Aquí también tenemos algunas opciones para poder instalar la aplicación maliciosa, voy a colocar 02 ejemplos:

    * ANDRORAT: Una RAT (Remote Administration Tool) es una herramienta que nos permite administrar remotamente un dispositivo y en este caso específico un celular con el sistema operativo Android, de hecho, ANDRORAT es un proyecto escrito hace 02 años, por el 2012 para ser más exacto y que contiene algunas librerías que no están actualizadas para las últimas versiones del sistema operativo. La mejor manera de instalar ANDRORAT es “bind-eandola”, es decir, ocultándola dentro de otra aplicación  y que cuente con un funcionamiento básico.

    Para nuestro experimento lo escondimos en una aplicación que se llama “Trivia El Palomo” que contenía un pequeño cuestionario sobre preguntas de seguridad, el que respondía correctamente se hacía acreedor a una camiseta del blog.


    1 2


    Enlaces de ayuda:

    - AndroRat: El proyecto lo pueden encontrar [AQUÍ]
    - Versión “Trivia El Palomo”: La versión de AndroRat que hemos utilizado tiene una trivia y se han reemplazado algunas referencias para eliminar errores que aparecían en las nuevas versiones de Android (sobre los errores pueden leer aquí: LINK-1 y LINK-2). Les dejo el código para que lo puedan compilar por ustedes mismos si es que así lo requieren. Los créditos de esta versión se los lleva mi amigo Billy Grados, le pueden escribir a: billy.grados@gmail.com. Esta versión la pueden encontrar [AQUÍ]. (Cuidado que algunos Antivirus los reconocen como virus) 

    3




    * METASPLOIT: Todos ya conocen Metasploit, es seguramente la herramienta de hacking rápido más usado en la actualidad y no podía estar ajeno al hacking de Android. Lo que hace básicamente es generar un APK malicioso que ejecuta una sesión Meterpreter en el celular, es bastante sencillo el generarla.

    image



  3. Extrayendo la información

    * ANDRORAT: En el caso de haber logrado el acceso al celular mediante Androrat, digamos que tenemos 02 opciones para poder obtener acceso:

    Opción I: Haber configurado una dirección IP pública en la aplicación Android instalada: Si hicieron esto es porque desean tener acceso al celular desde cualquier lugar, entonces necesitan un servidor con una dirección accesible desde Internet. Esto lo pueden hacer a través de una configuración en sus routers caseros (NO-IP + NAT) o lo pueden hacer si es que alquilan un servidor VPS (Virtual Private Server) por unos meses, de hecho está se pueden conseguir por precios que no pasan los US$ 8 dólares mensuales.

    Opción II: Configurar una dirección IP no pública, es decir, que pueda ser utilizada en una red LAN, por ejemplo: 192.168.X.X, 172.16.XX. Si deciden colocar una dirección IP no ruteable tocará esperar a que el atacante y la víctima se encuentren en la misma red LAN. ¿Ya se les ocurren situaciones donde esto podría servir? Por ejemplo, en el caso de un(a) esposo(a) celoso(a), en el caso de una señora madre de familia preocupada por lo que sus pubertos hijos o hijas calenturientas hacen por internet, etc.; se requiere como base que el atacante y la víctima estén en la misma red LAN en algún momento del día (o cuando se conecten a la red wireless de la casa).

    Para nuestro experimento, hemos utilizado un servidor Ubuntu VPS que se encuentra en Internet con una dirección IP pública. Aquí las imágenes donde se muestra:

    - La conexión realizada entre el AndroRat y el dispositivo Android
    - Acceso a los mensajes SMS recibidos y enviados en el celular
    - Acceso a las imágenes recibidos a través de WhatsApp (en general acceso a todos los archivos del SDCARD)
    - Acceso a las bases de datos CRYPT7 que contienen las conversaciones de WhatsApp

    image 

    2014-10-22_23-58-14 

    image

    image 

    * METASPLOIT: A diferencia del AndroRat, en el caso de utilizar Metasploit necesitamos que la aplicación instalada sea abierta, es decir, no sólo que sea instalada sino que este en uso para establecer la conexión. La conexión se realiza según la imagen inferior y la sesión Meterpreter ya es bastante conocida, podríamos descargar los archivos que necesitemos como las imágenes y la base de datos de conversación de WhatsApp.

    image

    image


  4. Bonus Track

A. Descifrando WhatsApp: Lo primero que hay que tener en cuenta es la fecha de realización de este post, Octubre de 2014, es importante mencionarlo porque los mecanismos de cifrado de WhatsApp cambian frecuentemente así que es muy posible que si leen este post en algunos meses el mecanismo mostrado ahora ya no sirva. Dicho esto, les comento que en la actualidad WhatsApp se necesita lo siguiente para descifrar WhatsApp:

* Obtener el archivo “KEY” el mismo que está en la siguiente ruta: /data/data/com.whatsapp/files/key –  se requiere tener rooteado el celular para acceder a ese archivo.
* Obtener los archivos “CRYPT7” que contienen las conversaciones cifradas de WhatsApp, estos archivos están en: /sdcard/whatsApp/Databases/
*
Para descifrar los archivos “CRYPT7” utilizaremos la aplicación “WhatsApp-Viewer”, el proyecto lo pueden descargar de [AQUÍ]

Consideraciones Importantes:

- No se puede obtener el archivo “KEY” remotamente si es que el dispositivo no esta rooteado. No se puede y no insistan con esta pregunta. OJO: Sí se puede de manera local pero para nuestro caso que es hackear remotamente un Android no hay manera.
- El archivo “KEY” sólo puede ser obtenido en dispositivos Android 4.0 o versiones anteriores, esto ocurre porque extrañamente en estas versiones el archivo “KEY” tiene los permisos para poder ser descargados, en las nuevas versiones sólo tienen permisos de lectura y escritura para ROOT.


image

image



2014-10-29_21-33-43


B. Mi querido Perú: Si de algo no me cabe la menor duda es que los peruanos hemos desarrollado un talento especial para la imaginación, siempre se nos ocurre algo para poder obtener algún beneficio. Lamentablemente no siempre va por el lado de la legalidad (pequeño detalle, no?). Bueno esta vez, a una empresa y página peruana se le ocurrió la maravillosa idea que vender celulares Android hackeados, es decir, vender el celular Android con una versión customizada de AndroRat para espiar de manera ilícita a la víctima. ¿ No me creen? pues aquí la página peruana. De hecho es súper fácil ubicarlo a través de Google. Lo divertido del asunto es que venden una membresía Gold y Platinum jajajaja.


2014-10-29_22-40-58

 

Finalmente…. ¿ Cómo evito que esto me pase?

  • No instales aplicaciones “milagrosas” en tu celular, ni siquiera desde el GooglePlay
  • No instales aplicaciones de un origen desconocido, es decir, aquellas que no estén en el GooglePlay
  • ¿Tener un antivirus instalado en el celular ayuda? Sí ayuda pero no es la solución, por ejemplo, en los casos mostrados en este post el antivirus McAfee no ha reconocido la aplicación creada por MetaSploit como una aplicación maliciosa, el AndroRat si fue reconocido como aplicación maliciosa. En otro post escribiré como funcionan los antivirus en Android.

    2014-10-29_23-30-46

  • Revisa los permisos aceptados al instalar aplicaciones en tu celular, olvídate del “Next, Next, Next” al estilo Windows.
  • Finalmente, “nunca confíes en mi” cuando te diga que te instales una aplicación.

 

********************************************************************

Popularity: 2% [?]

Post Relacionados

Resumen de Seguridad Informática: 13 al 17 de Octubre

Todos estamos corriendo durante la semana con las actividades de nuestro trabajo y a veces no nos damos tiempo para enterarnos de las noticias de seguridad que han ocurriendo durante la semana, para aquellos que estuvieron atareados, con informes, con trabajo tedioso y no tuvieron tiempo para revisar sus feeds aquí les dejo las principales noticias de Seguridad Informática y de Seguridad de Información que tuvieron lugar durante la semana, espero les sea de utilidad, de pronto se enteran de cosas que ni siquiera habían escuchado.

 

Noticias del Mundo

  1. DropBox Hackeado (13 de Octubre)

    Por si no te enteraste durante la semana se informó que DropBox había sido hackeado y cuando lo leí me sorprendió mucho ya que alguna vez este servicio también había sido hackeado y si la noticia era cierta parecía que no habían aprendido la lección [AQUÍ´más información]. Sin embargo al leer las noticias detenidamente que fue publicada en REDDIT y leer otros posts en internet se pudo notar que en realidad el hacker ha decidido publicar de manera gradual las cuentas que de DropBox que tiene bajo su poder que en total parecen ser (siéntense en un lugar seguro) 7 millones de cuentas vulneradas.

    Hasta la fecha viene publicando cerca de 2 mil cuentas con sus respectivas contraseñas, las mismas que han sido publicadas en Pastebin y de manera gradual. El hacker está solicitando pago en Bitcoins para seguir publicando más información pero al parecer las personas no están dispuestas a pagar mucho ya que no hay más noticias al respecto.

    http://pastebin.com/aRgTJzzg
    http://pastebin.com/jHEjBLrQ
    http://pastebin.com/4KvaSNTn
    http://pastebin.com/LsKrspK5
    http://pastebin.com/1AZQ7McK
    http://pastebin.com/NtgwpfVm

    image
    ¿Qué dice DropBox al respecto?

    Dropbox se ha lavado las manos – cual Pilatos tiempo atrás -  e indica que no han sido víctimas de ningún hacker y que las contraseñas obtenidas han sido obtenidas a través de terceras aplicaciones, a través de malware, keylogger y que además las contraseñas pertenecen a cuentas expiradas (habrán probado si podían ingresar con los usuarios y contraseñas expuestas ¿¿¿?? ).

    image

    ¿Cómo me protejo?
    Ya saben, DropBox también tiene la funcionalidad de autenticación a través de 02 pasos, si no lo tienen deberían activarlo.

  2. POODLE: Vulnerabilidad en SSL 3.0

    POODLE (Padding Oracle On Downgraded Legacy Encryption)  es la segunda vulnerabilidad “importante” durante el año que afecta a SSL – la primera fue HeartBleed por si no estás enterado.  La vulnerabilidad afecta al protocolo SSL en su versión 3.0 y permite que un atacante pueda obtener en texto claro las cookies que son transmitidas de manera cifrada, es decir, que las mismas puedan ser descifradas y si obtienes las cookies de sesión se podría obtener mucha información y realizar ataques de session hijacking (secuestro de sesiones del cual hablamos aquí).

    vulnerability test image

    ¿Cómo funciona esto?

    El detalle técnico lo pueden encontrar [AQUÍ] pero podríamos resumir que el ataque consiste en forzar que los clientes (o sea… todos nosotros con nuestros browsers) nos conectemos a los servidores NO a través de TLS v1 o superior sino que lo hagamos a través de SSL 3.0, una vez habiendo  forzado esto, el atacante inyecta un JavaScript a través de un Man in the Middle(MiTM) para finalmente obtener en texto claro las cookies de sesión.  Obviamente para hacer el Man in the Middle(MiTM) deberíamos estar en la misma red LAN así que no es una vulnerabilidad tan grave (si es grave pero no tanto) como la de HeartBleed que permitía atacar remotamente al servidor y obtener las credenciales en memoria del servidor remoto.

    ¿Cómo me protejo?

    Los usuarios finales:

    Deshabiliten SSL 3.0 de sus navegadores: Chrome, Firefox e Internet Explorer (no sabía si mencionar este último porque no creo haya algún de este blog que use ese navegador), deshabilitando SSL 2.0 y SSL 3.0 no podremos establecer conexiones a través de estos protocoles y usaremos siempre TLS v1 o alguna versión superior. Aquí unas imágenes de como hacerlo en Firefox:

    SNAGHTML163a62ad

    Los SysAdmin:

    Los administradores de sistemas deberían deshabilitar que los servidores soporten conexiones a través de SSL 2.0 y SSL 3.0. Aquí existe un riesgo porque de pronto aun tienen usuarios que utilicen browsers antiguos para establecer conexiones a través de estos protocolos, sin embargo, es una opción que debería ser evaluadas ya que no es común utilizar estas versiones del protocolo SSL ya que lo normal es que los browsers utilicen TLS. Aquí les dejo un manual de cómo los sysadmins podrían realizar esto en diferentes servidores: Apache, Ngix, OpenVPN, etc.

    image
    Aquí pueden encontrar el detalle de como realizar las configuraciones [AQUÍ]

  3. Hackearon el Sistema de Transporte Público de Chile (17 de Octubre)

    Hoy (viernes 17 de Octubre) mientras almorzaba leí esta noticia y no pude evitar comentársela a mi amigo Stanley si algo parecido se podría hacer aquí en el Metropolitano de Lima. Pueden leer la noticia completa [AQUÍ], el hacking consiste en recargase de manera gratuita 20 dólares en las tarjetas que son utilizadas para el ingreso al sistema de transporte.

    bip

Noticias del Perú para el mundo

Si señores, nuestro querido Perú no podía dejarnos sin noticias de este tipo y sólo voy a colocar dos que me parecieron importantes, uno sobre Seguridad de Información y la segunda sobre lo peligroso de los Comunnity Manager (o sea los que administran páginas de Facebook).

 

  1. Ahora tu Jefe puede leer tus mail #LEYCHAVEZ

    Esta señora, Martha Chávez, representa a la derecha más bruta y tarada del Perú, la extrema derecha como suelen denominarla en la actualidad. Basta con decir que esta señora es una impresentable total y que formó parte del gobierno más corrupto de la historia del país, pues no les bastó con sólo eso ya que ahora está impulsando (ya que ella es la que preside esta comisión del congreso) una ley (de hecho es un dictamen) que permite a los empleadores abrir y leer tu correo electrónico bajo el pretexto de que el correo electrónico que nos brindaron les pertenece. En cristiano esto quiere decir que las empresas pueden leer TODOS tus correos electrónicos porque ellos te han dado ese correo y no importa lo que contenga ese correo, adiós PRIVACIDAD.

    Lo que dice el dictamen en resumen es:

    ”Los medios informáticos en el centro de trabajo son de titularidad del empleador, independientemente de su asignación al trabajador y su uso no genera una expectativa razonable de privacidad o secreto”

    Evidentemente esto viola la privacidad de la información y no tiene ni pies ni cabeza toca esperar a que las redes sociales exploten y que tiren al tacho de basura este dictamen que viola la privacidad de la información.

    image

  2. La venganza del Community Manager (o hacking de una cuenta de Facebook)

    Ser Community Manager es en la actualidad ser un afortunado ya que esta noble profesión consiste en estar conectado todo el día a las redes sociales como Facebook y Twitter publicando las tendencias y noticias de la empresa para la que trabajan. En pocas palabras “se la llevan fácil” porque parece que en la actualidad han olvidado solicitar como requisito ser creativo para ocupar el puesto de Community Manager de una organización, no obstante siempre existe la oveja negra en el rebaño y aquí encontramos uno realmente creativo.

    Este Community Manager no tuvo mejor idea que concretar su venganza utilizando su herramienta diaria de trabajo – las redes sociales -  y es que la venganza es un plato que se come lentamente y que se sirve en frio. Obviamente nunca sabremos si realmente fue el “Community Manager” o si hackearon la cuenta de Facebook de esta empresa, yo me inclino por la primera opción.

    image 

image

image

 

**************************************************************************************************

 

Listo señores estas fueron las noticias de seguridad de información de la semana, espero se hayan divertido leyendo esto tanto como yo me he divertido escribiéndolo. Saludos y buen fin de semana a todos.

Popularity: 3% [?]

Post Relacionados

¿Me cambias la nota de la Universidad? Inyecciones sobre SQL Server

image

 

Las inyecciones  de código SQL (aquí pueden ver el TOP 10 – 2013 de OWASP) son una vulnerabilidad muy conocida, a pesar de eso no sorprende aun encontrarse con diversas páginas web que tengan esta vulnerabilidad. Lo que aun me sorprende es que me escriban correos pidiendo ayuda para realizar acciones de dudosa “legalidad” con la efímera y absurda esperanza que yo me juegue el pellejo por alguien que no conozco, por alguien que no me interesa y peor aún me juegue la cárcel por alguien que no tuvo las ganas de estudiar el ciclo de la universidad. Así que aquellos que están cursando la universidad con esfuerzo, aquellos que son bachilleres y los que ya son ingenieros, siéntanse orgullosos de su título que mucho esfuerzo ha costado.

Créanme que hay gente que me pide cambiar las notas, es decir, que hackee a la universidad y cambie un “09” por un “11” para que sean felices; les muestro sólo algunos ejemplos que mas recuerdo:

image

30

 

Oferta y demanda: la economía y el mercado se mueve

Ya saben, toda demanda tiene una oferta, gracias a este principio nuestra economía se mueve. Obviamente el mundo del hacking no es ajeno a esto, basta con buscar en Internet si alguien ofrece realizar “trabajitos” de hacking para cambiar nuestras calificaciones. Me llamó la atención una página web donde encontré una persona seria, que nos ofrecía un trabajo serio, garantizado, discreto y sobre todas las cosas “profesional”, porque eso es lo que necesitamos en este país, Perú, profesionales de alta calidad que cambien notas para obtener más profesionales de alta calidad. WTF!!!!

Como no soy especialista en temas de derecho, habrá que preguntarle a Erick (@coyotegris) de que tipo de delito estamos hablando y supongo que tanto el que realiza estos “trabajitos” como el que los solicita están cometiendo un delito.

 

image

 

Entonces…. ¿ se puede ser profesional sin haber estudiado?

De pronto si, obviamente de manera trucha, ilícita e ilegal. Es aquí donde me pregunté “¿Qué tantas instituciones educativas han sido hackeadas en el Perú?”, pues como sabrán nadie lleva un registro exacto de estas cosas y tampoco es que cada vez que alguien hackee a una universidad pues se promocione por internet diciendo que lo ha logrado, de hecho, a mi me han contratado universidades para realizarles un “Ethical Hacking” y las cosas que se pueden lograr, son alucinantes!!!

¿Entonces, no hay donde saberlo? pues… aquí nos puede ayudar “ZONE-H”, como ya sabrán cada vez que algún “super hacker” logra un defacement lo publica en esta página para crear un mirror de como quedó la página después de haber sido hackeada. Mayúscula fue mi sorpresa cuando encontré, 1444 páginas hackeadas que tienen el dominio EDU.PE. WTF!! hasta una página de la Universidad Nacional de San Marcos(UNMSM) se encuentra allí. Si no me creen miren aquí:

 

image

 

Parece ser que el ilícito negocio no es tan complicado como parece  – habiendo tantas páginas educativas que han sido hackeadas – , de pronto hasta el negocio les resulta bastante atractivo habiendo un mercado tan grande de estudiantes, ese es un motivo para que las universidades se preocupen por la seguridad de su información, además, siendo las universidades donde se forman profesionales en ingeniería creería que deberían dar el ejemplo de un buen desarrollo y seguro de sistemas de información, ¿no creen?

Ahora sí, las inyecciones sobre SQL SERVER

La idea de este post es mostrar las diferencias entre las inyecciones SQL sobre MySQL y sobre otro motor de base de datos, por ejemplo, SQL SERVER. Para poder entenderlo mejor les recomiendo haber visto antes estos posts:

Debido a que explicar las diferencias se puede hacer extenso, he decidido realizar un video tutorial con las principales particularidades de realizar inyecciones sobre Microsoft SQL Server. El video contiene las siguientes partes:

  1. Ejecución de funciones básicas sobre MSSQL para obtener información: usuario utilizado, base de datos actual, versión de la base de datos.
  2. Listado del total de bases de datos
  3. Listado de tablas de una base de datos específica
  4. Listado de registros de una tabla
  5. Concatenación  de “querys” y alteración de información a través de inyecciones (muy importante)

 

 

Finalmente, ¿ alguien podría realmente cambiar las notas de cursos en la universidad?

Como esa pregunta me seguía dando vueltas en la cabeza y sentía que no podía vivir con esa duda existencial, decidí probar en la página web de una universidad que no estaba en listado de “Zone-H” e identificar si son tan descuidados como para permitir inyecciones de código SQL. Obviamente no voy a decir que universidad he probado, sólo que es una universidad Nacional del Perú y que la manera que he probado es colocando la super-archi conocida comilla simple (‘) y una UNION para observar que comportamiento de la página web, no he ahondado más porque mi objetivo es sólo verificar que es vulnerable y no hackear la página, de hecho la he reportado con la esperanza de que solucionen el problema. Es importante mencionar que utiliza Microsoft SQL Server y que eventualmente se podrían modificar los registros, es decir, es muy probable que si se puedan cambiar las notas de la universidad y ser profesionales de dudosa reputación.

image

 

image

 

 

Conclusiones:

  1. Existe una demanda grande de “alumnos” que desean aprobar o modificar calificaciones estudiantiles muy grande y los centros de estudio deben preocuparse por la seguridad de la información para evitar incidentes de seguridad. Obviamente los que se publicitan por Internet es muy probable que sean estafadores.
  2. Es posible modificar información de manera remota a través de vulnerabilidades del tipo Microsoft SQL Server
  3. Existe un alto número de páginas web de centros educativos que han sido hackeados en el Perú, los registrados en ZONE-H suman 1444 páginas web hackeadas con el dominio .EDU.PE.
  4. Las buenas prácticas de desarrollo a través de APIs son la mejor solución para el desarrollo seguro de aplicaciones web. Revisen ESAPI del proyecto OWASP.
  5. Los controles a nivel de acceso a las bases de datos y tener logs de monitoreo sobre las bases de datos nos permiten identificar posibles fraudes realizados muchas veces por personal de confianza como los mismos DBA.

***************************************************************

Popularity: 7% [?]

Post Relacionados

Una novela de amor y odio: Politica Peruana y Hackers

 

Si me he animado a escribir este post es porque veo hace algún tiempo que los “hackers” y políticos peruanos vienen escribiendo una novela de amor y odio al mejor estilo mexicano y venezolano, parecen haber copiado un libreto de “Rubí”, “María la del Barrio” y “Los ricos también lloran”, novelas que mi señora madre solía ver con tanto esmero y que aun sigue viendo en un canal de cable cada vez que se apodera y conquista el televisor de la sala de mi casa. Esta novela tiene de todo: amor, odio, mentiras, terceras persona metiendo su cuchara, celebraciones (de “hackers” y “contrahackers”), parece que lo único que le falta para ser lanzada al éxito es: televisión, sólo le falta la bendita televisión y mucho morbo. Pero iniciemos esta novela de amor y odio con el evento más reciente que debe haber asustado a muchos y seguro hizo que todos cambiaran sus contraseñas de acceso en la Presidencia del Consejo de Ministros (PCM), el caso Cornejo, iniciemos:

 

1. Caso Cornejo

René Cornejo Díaz, el ex presidente del Consejo de Ministros del Perú, fue como todos sus antecesores llamado con todos los adjetivos “habidos y por haber”, desde incompetente hasta pajero, así de linda es nuestra política, la apolillada política peruana. Bueno, para resumir esto, el ex premier tuvo que dejar el puesto y escapar “entre gallos y medianoche”  debido a un eventual Complot contra Víctor Andrés García Belaunde por parte de su ex hombre de confianza; así fue como dejo con más pena que gloria  la presidencia del consejo de ministros, pobre ….. su nombre y honra están quemados (como casi todos los ex – premiers).

Tan sólo un par de semanas después, cuando el señor Cornejo debería estar descansando en su casa de campo y olvidándose de ese trago amargo por el que pasó, le revienta en la cara que alguien ha violado su privacidad y ha publicado sus correos electrónicos, tres mil (3000) correos electrónicos vulnerados en donde no se distingue de correos personales y correos de trabajo, adiós privacidad.  Correos electrónicos donde deben haber contraseñas de acceso, planes de gobierno, datos familiares, seguridad de estado, es decir, todo lo secreto del Perú expuesto para todo los amigos y no tan amigos de Perú.

 

Martes 05 de Agosto

El Martes 05 de Agosto, que más debió ser el Martes 13 para Cornejo, Lulz Security Perú y Anonymous Perú publicaron que tenían en sus manos los correos electrónicos del ex premier René Cornejo pertenecientes a su cuenta de Gmail.

 

image

 

image

 

image

 

Algunos detalles importantes

 

A. Correo Personal

Se indica que el correo hackeado es rcornejopcm@gmail.com, es decir, un correo de índole personal donde debería haber seguramente no sólo correos de índole político sino correos relacionados a su familia, asuntos personales, cuestiones amorosas, cuentas financieras, proyectos, en fin….. todo lo que se puede manejar en un correo electrónico de Gmail, sólo piensen un poco en lo que ustedes tienen en sus correos electrónicos, pues eso mismo debe tener el Sr. Cornejo en su cuenta de Gmail, que miedo, no?? En referencia a lo de “viejo pajero” sólo puedo….. reírme jajaja, de pronto alguno de los hackers lo ha visto haciéndose una paja para asegurarlo. Hasta la fecha, 07 de Agosto, los links de Mega siguen disponibles.

 

B. Correo de la Presidencia del Consejo de Ministros

Sin duda alguna, Anonymous y Lulz Sec deben de justificar – o justificarse a si mismos -  la intrusión a un correo personal, la única manera de justificar semejante acto es diciendo que lo hacen para ventilar todos los “anticuchos” (actos de corrupción para los no peruanos) que se realizaron durante el periodo que Cornejo fue Premier, que lo hacen por el bien del Perú, que no son delincuentes, que son héroes anónimos, al mejor estilo de Robin Hood y el superyó desarrollado por Freud. Bueno, un día después de publicar la noticia, Lulz Security Perú, decide publicar abiertamente el contenido de uno se los 3000 mil y picos correos en su cuenta de Twitter,

 

image

 

Sin embargo, al hacer zoom sobre la imagen publicado por Lulz Sec, se ve como destinatario el correo de la PCM (Presidencia del Consejo de Ministros), un momento…. no que era el correo Gmail de Cornejo? a menos claro, que el se haya reenviado los correos de la PCM a su cuenta de Gmail, no? de pronto pare tenerlos como backup el día que salga del puesto de Premier.  Sería interesante analizar los headers del correo electrónico pero eso implicaría descargar los correos publicados por estos hacktivistas, abrirlos, leerlos, admitir que se han descargado y admitir que se han sido leídos y finalmente publicar información del correo (las cabeceras), ciertamente no creo que este cerca de la legalidad.

 

1

 

C. Clases de derecho vía Twitter

Erick Iriarte es sin duda el abogado con más actividad en el Perú en lo que se refiere a derecho informático, siempre está publicando información en sus cuentas de redes sociales, publica tanto que dudo mucho que sea él mismo el que publica, debe tener un administrador de la cuenta o algo así, sino es así definitivamente debe vivir casi las 24 horas del día prendido de un celular o una computadora. Erick sin duda se ha ganado el respeto de muchas personas, dentro de las que me incluyo, y aunque no siempre comparto su opinión en temas políticos sobre temas legales sólo debemos aprender de él lo más que se pueda. Aquí algunos tweets publicados por Erick en relación al caso Cornejo:

 

image

 

image

 

Pongan atención a los recuadros de color rojo resaltados en la imagen superior, en resumen no es delito descargar el correo electrónico pero si es delito publicarlos mediante algún medio y siendo súper estrictos, publicar las cabeceras de un correo ya hasta podría considerarse algo ilegal, es mejor no hacerlo.

 

D. Ya se animaron a publicarlos en los medios

Bajo el criterio explicado por Erick Iriarte de “interés público” los medios prensa vienen exponiendo parte del contenido de los correos, supongo que se están matando leyendo los 3000 correos para revisar si hay algo que pudiera ser de interés para publicarlo, si publican algo que no fuera de interés se supone que estarían realizando un delito flagrante. Hasta ahora el caso del que más se habla es del correo enviado por Cecilia Blume, mírenlo aquí (publicado por OjoPúblico):

 

image

 

image image

 

E. ¿Cómo hicieron para hackear el correo de Gmail de Cornejo?

Señores, si alguien les dice con total seguridad como lo hicieron definitivamente es porque tienen una bola de cristal o consultan a un chuman (o ellos lo hicieron), sólo se pueden hacer suposiciones y ninguna puede ser afirmada. Iniciemos:

  • Contraseña de Gmail muy simple o de fácil suposición, quizás el nombre de un familiar directo, mascota, fechas importantes o contraseñas secuenciales para diferentes servicios (por ejemplo: passwordgmail, passwordtwitter, passwordfacebook, es decir, que sólo agreguen el nombre del servicio al final de una única contraseña).
  • Y si su cuenta de Gmail tiene doble factor de autenticación con su celular? de pronto el celular fue declarado de baja y los hackers aperturaron otro celular con el mismo número. Eso es muy común de hacer hoy en día, así ya tenían la clave y también el celular a donde le enviarían el código de verificación. Toca preguntarle a Cornejo esto, nos lo dirá ¿¿¿????
  • De pronto tuvieron acceso a un disco duro olvidado o de pronto a uno que dieron de baja hace poco y recuperaron el archivo de correo electrónico. Tengan en cuenta que se publicaron archivos con extensión EML y no creo que el hacker se haya tomado la molestia de entrar por la web y pasar correo por correo para descargarlos en ese formato, es muy probable que se haya manipulado un cliente de correo de electrónico como Outlook o Thunderbird
  • El soporte técnico de la PCM este involucrado y haya soltado datos a la gente de Anonymous o Lulz Sec. Ya saben: cuentas de administrador y esas cosas.
  • De pronto la contraseña de correo electrónico de Gmail viajaba en texto claro, he visto malas configuraciones de cuentas de Gmail cuando se utiliza un cliente de correo. Hacking rápido.
  • ¿Algún malware instalado en la computadora del ex-premier? Puede ser pero si fuera este el caso seguramente hubieran descargado no sólo correos sino otros documentos. Además si tuvieron tiempo para descargar tantos correos (me refiero al tamaño en conjunto de todos los archivos) seguramente hubieran descargado y publicado otros documentos encontrados.

 

2. Caso Castañeda

Y ya para terminar, antes del caso Cornejo, tuvimos el caso Castañeda. Castañeda es un político de la vieja escuela, un “viejo zorro” como diría mi mamá. Este señor no es santo de mi devoción y yo no votaría por él jamás. Este señor también fue víctima de los hackers, no directamente él pero sino a su Teniente Alcaldesa – Patricia Juárez – aunque la noticia no fue publicada directamente por Anonymous Perú sino por un señor Luis Yáñez parece que estuviera involucrado Anonymous Perú.

 

image

 

Existen más casos como los del ministerio del interior: Walter Albán y Wilfredo Pedraza, los casos de los PetroAudios, casos de músicos hackeados como GianMarco, etc etc., sin embargo vamos a dejar el recuento aquí nada más.

 

Cuestiones Finales

Voy a dar algunas de mis apreciaciones sobre los casos expuestos arriba, son opiniones y estando en un país libre pueden estar de acuerdo o en desacuerdo, aquí (al menos en este blog) todas las opiniones son respetadas siempre que no se hagan con el hígado en la mano y se respete a las personas:

 

1. ¿Por luchar por los derechos y libertades se deben violar los derechos y libertades de otros? En mi opinión NO. Concuerdo con Erick Iriarte.

2. Las acciones realizadas arriba son DELITOS y todo delito es realizado por DELINCUENTES. Por consecuencia las personas que realizaron esto pueden ir a la cárcel y cuando eso ocurra veremos los rostros de esas personas suplicando no ir detenidos, siempre pasa lo mismo.

3. Hay “personas” que se alegran cada vez que hackean a una persona pública (políticos, actores, etc.) o instituciones del estado. Realmente no los entiendo y menos cuando esas muestras de felicidad vienen de personas que pregonan a los cuatro vientos ser “contrahackers”, ya basta de hacer marketing y buscar contrataciones a través de ese mecanismo retrógrado e infantil, es como cuando un niño acusa a otro niño en el colegio por no haber hecho su tarea, brillen por luz propia no por la de otros.

4. ¿Ustedes aplauden a un delincuente en la calle? ¿Por qué lo harían en las redes sociales? La doble moral ¿dónde?.

5. Hay otros que reniegan de la compra de soluciones de seguridad. El problema no son las soluciones, las soluciones funcionan bien en la mayoría de los casos, el problema es cuando estos no se configuran y gestionan adecuadamente o peor aun cuando se dejan instalados con sus opciones por defecto y nunca más se vuelven a tocar. Si escuchan decir a alguien que un firewall, IPS/IDS, proxy, WAF, DBF, etc. no sirve, mejor ignórenlo y piensen: “aquí falta gestión de Seguridad”.

6. Todo se puede resumir en un adecuado “Plan de Seguridad de Información” por parte del estado, un plan que debe ser debidamente gestionado y que va más allá de sólo lo informático (claro que incluye seguridad informática pero es más grande que eso)  y que esperemos algún día el Perú lo pueda implementar, hasta entonces cuando veas noticias de “hacking” y lo compartas o hagas RT, hazlo con el fin de generar conciencia y mejorar la seguridad.

 

***************************************************************

Popularity: 7% [?]

Post Relacionados

Dame tu disco duro y te dire quien eres

Desde mi abuelita – a quien extraño mucho – hasta mi señora madre, una frase parece haber pasado de generación en generación: “dime con quien andas…. y te diré quien eres”, menuda frase que utilizaban para que no me juntase con chicos de mi edad a quienes mi madre consideraba unos vagos, unos cochinos, unos ociosos, unos piojosos y en general, para todo aquel que podría ser una mala influencia en mi formación., como si la ociosidad y la vagancia fueran un virus el cual se transmite al correr y jugar futbol desenfrenadamente.

Tenía muchas opciones para el nombre de este post, los candidatos fueron: “Pierde tu disco duro y de diré quien eres”, “Wilson, paraíso de información olvidada” y “Dame tu disco duro y te diré quien eres”, obviamente ganó este último. El objetivo de  este Post es mostrar como a través de técnicas forenses vamos a recuperar toda la información posible de un disco duro “olvidado” en el centro Comercial Wilson para armar el perfil del anterior dueño del disco duro, la idea es poder armar un perfil que contenga sus datos principales (nombre, fecha de nacimiento, DNI, dirección, teléfono), profesión, gustos personales, contraseñas, etc.  ¿ Podremos? Aquí vamos una vez mas.

Cuestiones previas:

Si alguna vez has pasado por alguna de estas situaciones, este Post es para ti:

  • Alguna vez te robaron la laptop y tu disco duro no estaba cifrado, tu disco duro debe haber terminado siendo vendido a un extraño. Este Post es para ti.
  • Alguna vez vendiste tu laptop y creíste que formateando o borrando la información de tu disco protegías tu intimidad. Este Post es para ti.
  • Si trabajas en una empresa (privado o del estado)  y suelen dan de baja los computadores cuando se malogran o dejan de funcionar. Oh sí,este Post va dedicado para ti en especial.

 

1. Conseguir el disco duro

Primero toca conseguir un disco duro utilizado en el Centro Comercial Wilson, esta vez si fui al local pionero, al primerizo de los edificios, baje al sótano donde abundan dispositivos de “segunda mano” y fui cotizando un disco duro que me sirviera para este post. Así fue como adquirí un disco duro SATA, de 320GB y para laptop; obviamente lo que buscaba era que el disco duro haya sido antes utilizado y que pueda contener información para ser recuperada.

Compré el disco duro y hasta me dieron 03 meses de garantía, que felicidad!!

1

 

2. Analizando las técnicas de Recuperación de  Información

Un poco de teoría:

Siempre es bueno un poco de teoría para no aprender como funcionan por dentro las cosas, la técnica que vamos a utilizar para recuperar información es conocida como en el mundo forense como  “file carving” que no es lo mismo que “file recovery”, aunque lo que vamos a realizar es recuperar información del disco duro y pareciera que ambos términos son lo mismo ya que el objetivo de ambas es recuperar archivos del disco duro, en realidad son técnicas distintas. ¿Aún no entiendes en que se diferencian? Ok, vamos a explicarlo un poco mejor.

  • File Recovery

La técnica de “file recovery” es utilizada para recuperar información y esta técnica usa el sistema de archivos (NTFS, FAT, EXT3, EXT4, etc.) después de que se ha borrado un documento, dicho de otra manera está técnica es utilizada para recuperar información eliminada del sistema de archivos de un disco duro. Por ejemplo, si tienen instalado “Windows 7” y borran un documento de office, un Word o un Excel, mediante técnicas de “file recovery” existen muchas probabilidades de recuperar el archivo.

  • File Carving

Esta otra técnica, “file carving”, es distinta a la primera explicada. Esta segunda técnica no utiliza el sistema de archivos para recuperar información. Voy a explicar un poco más, cuando contamos con un sistema de archivos (FAT por ejemplo) y borramos un documento, lo que hace el sistema de archivos es modificar el primer caracter del nombre del archivo para ser marcado como un espacio no asignado o también conocido como “unallocated”, eso le indica al sistema operativo que ese espacio puede ser asignado para otro documento de ser necesario por el sistema operativo pero el documento no se ha borrado, sólo ha sido marcado como “unallocated”. Entonces, “file carving” lo que hace es buscar la estructura interna de un documento para poder ubicarlo y recuperarlo.

Vamos a colocar como ejemplo un archivo PDF, toca abrirlo con un editor HEXADECIMAL (en mi caso con Notepad++ y un plugin):

Los archivos con formato PDF siempre comienzan con el “header” : 25 50 44 46 2d 31 2e, como se muestra en la primera imagen inferior y siempre termina con el “footer”: 0a 25 45 4f 46 0d 0a, como se muestra en la segunda imagen inferior. La técnica “file carving” lo que hace es buscar los header y footer (sin importar el sistema de archivos) para recuperar documentos.

image

 

image

 

¿Qué técnica utilizar para este análisis?

Dicho esto y habiendo explicado algo de teoría, toca analizar cual es de las dos técnicas vamos a utilizar. Cuando compré el disco duro el vendedor me aclaró muy enfáticamente: “el disco está formateado, antes tenía Windows 7 y ahora tiene Windows XP, está limpiecito”. Eso quiere decir que han intentando borrar toda la información para vender el disco duro, en este caso no nos interesa el actual sistema de archivos necesitamos buscar la información que se ha intentado borrar al formatear el disco duro, es decir, tenemos que utilizar “File Carving”.

3. Recuperando Información Personal

Ahora sí, vamos a proceder con lo más divertido: recuperar información e iniciaremos a armar el perfil del anterior dueño del disco duro, sin mucho más floro iniciemos!!!. Vamos a utilizar una herramienta free que realiza “file carving”, utilizaremos FOREMOST. Son 320GB de tamaño que cuenta el disco duro y este proceso demora regular tiempo, si alguien va a realizar algún ejercicio similar, tengan paciencia, dejen corriendo la herramienta, vayan al cine, almuercen, duerman y luego revisan el resultado. También he utilizado SCALPEL, que es otra herramienta para hacer “file carving” pero que puede encontrar otros formatos como registros, archivos PST u OST y entre otros.

image

Recuperando Fotos, Correos, Documentos Office

Lo primero que busqué dentro del disco duro fueron imágenes, es evidente que no buscaba cualquier imagen, busco fotos personales del anónimo dueño anterior. Iniciemos:

  • Identificación del anterior dueñoEncontré muchas fotos personales en el disco duro pero la mayoría de una persona, por lo que podíamos presumir que el disco era de esa persona. En las fotos aparece con una menor de edad que al parecer es su hija, cubro las imágenes para no atentar contra las personas identificadas. Ya tenemos el rostro de nuestro anterior dueño.

    2

    Además, todo indica que estudió administración o ciencias contables en la Universidad del Callao (UNAC), por cosas del destino, la misma universidad de la que soy ex-alumno.

    363123154

  • Nombre la empresa, cargo y lugar donde trabajabaLo primero que identifiqué en las imágenes recuperadas es que había demasiadas con logos de establecimientos de “comida rápida” y escarbando un poco encontramos documentos de pagos, aquí identifiqué el nombre exacto de la empresa, es una empresa de comida rápida que en realidad gestiona cuatro (04) establecimientos de comida rápida, para efectos prácticos la llamaremos: Comida Rápida S.A, además encontramos el nombre del Gerente de Turno, encontré el mismo nombre en muchos más documentos, hasta el momento parece que este fuera el anterior dueño del disco duro.

    15

  • Facebook del dueñoHasta ahora, todo lo identificado son conjeturas porque no tenemos nada que lo verifique por completo, pero ya teníamos un nombre y la empresa donde trabaja (o quizás a trabajado porque ya renunció o consiguió un mejor empleo) así que sólo toca realizar una búsqueda en la red social más usada en el Perú – Facebook -  y con algo de suerte encontraríamos información que confirmara nuestras sospechas. Obviamente tengo que tapar el rostro pero en la parte lateral izquierda se puede ver que es Gerente de Turno de Comida Rápida S.A y que además ha estudiado Administración. Listo lo tenemos confirmado!!

    image
    Ingreso mensual del anterior dueño

    No me sorprendió encontrar que les paguen en este Banco, ¿entiende el motivo, verdad?  (algunos seguro que si entenderán)  al parecer no gana mucho dinero nuestro ex dueño de la laptop, lo digo porque en Julio en Perú se recibe el doble del sueldo gracias a las Fiestas Patrias peruanas.

    8

  • Gustos pornográficosSi señores, no se hagan los que nunca han visto pornografía, se identificó los archivos temporales que se descargan de manera automática  en los navegadores cuando se visitan páginas web. Al parecer el anterior dueño tenía gustos algo especiales en cuanto a pornografía, podríamos definirlo como: Porno Amateur y Asiático, sobre todo todo amateur. Se pudo identificar que visita páginas como: www.xvideos.com, manoardiente.blogspot.com, zorras.pe, pornocaleta.com, pornoencolombia.co, culosgratis.com.ve, odiosas.com.mx, entre otras. Parece que la página web “manoardiente” le cae muy bien de apodo.

    4

4. Recuperando información corporativa

Como suele pasar en muchos casos, a los empleados  de una organización se les entrega una laptop, de hecho es muy común que sea así, los computadores en forma de torre están en vía de extinción.  Este parece ser un ejemplo de este caso, aunque no puedo llegar a la conclusión si la laptop era la empresa y el empleado la configuró con información personal o viceversa, es decir, si la laptop era de una persona y lo llenó, configuró e inundó con información empresarial. Sospecho que la laptop era de la empresa porque he encontrado información muy sensible, correos electrónicos, informes, reportes, manuales de uso de sistemas y hasta planes corporativos, no creo que alguien use su laptop personal y le agregue tanta información de la empresa, no? aunque también existen muchos “workaholic” por las calles limeñas.

  • Suciedad durante la preparación de alimentos (seguirán comiendo esto ¿¿¿????)Al parecer, como gerente o administrador de tienda una de las labores es reportar los errores y oportunidades de mejora del local, sin embargo parece  que nunca advirtieron que esas malas imágenes deberían queda en casa, ya sabe…. “los trapitos sucios se lavan en casa”, sin embargo los dejaron abandonados en un disco duro que no fue protegido y aquí están, al mejor estilo de los noticieros gringos.

    279164476

    246157388

     

  • Correos electrónicos corporativos 

    Encontré muchas cosas asociadas a un correo: encontré correos electrónicos enviados, correos recibidos y una lista de correos electrónicos de la empresa en mención.En total encontré 57 correos electrónicos corporativos, aquí una muestra:image

    Correos electrónicos conteniendo información sensible, ¿que tan sensible? pues contraseñas de acceso, parece que en esta empresa también utilizan un patrón de contraseñas de acceso, alabado sean los “patrones de acceso”.

    image

  • Manuales de usuario y contraseñas por defecto 

    No todo lo recuperado son imágenes, se han recuperado archivos PDF, archivos EXCEL y archivos Word, analizar la información que contienen estos documentos toma mucho tiempo y es súper tedioso, de hecho es un trabajo de hormiga. Me pasado todo un domingo revisando la información que estos archivos contienen, si señores no se imaginan lo divertido y excitante que es pasar un domingo abriendo y cerrando archivos PDF.image

    image
    Se imaginan, conseguir un punto de red alámbrico o mejor todavía conseguir una señal wireless para obtener acceso, sabiendo que sistemas usan y que usuario/contraseña por defecto tienen los sistemas, es muy pero muy probable tener acceso a los sistemas de información.

  • Planes corporativos y otros documentos importantes 

    Poder resumir todo lo encontrado es imposible en un sólo POST es imposible, lo encontrado mediante “file carving”  son: cartas de renuncia, documentos de liquidaciones, contratos, hojas de vida, documentos de identidad (DNI) , planes de marketing, informes, reportes, recetas secretas, etc. Aquí sólo una muestra:image

    image

    image

     

  • Imágenes de cámaras de seguridad y seguridad de TISe pudo identificar imágenes de las cámaras de seguridad de los almacenes de la empresa, parece que están bien vigilados.

    110850436 110850463
    110850601 110851022

    En una auditoría de seguridad TI muy seguramente salen reprobados, ya me imagino lo que mi amigo Stanley Velando (auditor) pondría en su informe, realmente hay un desorden alucinante en cuando al cableado. Además pude identificar que los dispositivos que utilizan son en su mayoría DLINK, un dato adicional para buscar vulnerabilidades.

105460433

105460610

  • Metadata de la información recuperadaDe las fotos recuperadas y que son de índole personal, procedí a revisar la metadata de las imágenes con el objetivo de identificar que tipo de cámara utiliza el anterior dueño del disco duro, al parecer utiliza aun un BlackBerry. Pueden analizar la metadata con LA FOCA. Sinceramente escribir este post ya me ha dejado agotado, así que dejaré para la próxima analizar la metadata de archivos word, excel, etc.

    image

5. Conclusiones

Al final podemos concluir lo siguiente y a manera de resumen lo mostraremos en una tabla:

image

Se imaginan lo que se podría hacer con esta información, alguien con malas intenciones podrían:

  • Extorsionar al ex dueño de la información, tiene datos muy confidenciales con los que podrían atemorizarlo.
  • Un hacker podría acceder a mucha información ya que se han encontrado usuarios, contraseñas, manuales, etc.
  • Espionaje industrial, se imaginan lo que podría hacer la “cochina” competencia con toda esta información, todo es dinero en el espionaje industrial.
  • El centro comercial Wilson es una riqueza de información gratuita, imaginen que pasaría si los discos duros de ministerios, el congreso, bancos, seguros, etc. caen en malas manos.

6. Contramedidas y técnicas de seguridad

Finalmente, voy a indicar como hacer para prevenir que exista fuga de información cada vez que desechamos, vendemos o damos de baja un disco duro. Estas son las situaciones más comunes en las que podríamos aplicar las siguientes recomendaciones:

  • Cuando vamos a cambiar de computador, cuando en una empresa van a cambiarte de computador por uno mejor.
  • Cuando vamos a vender nuestra vieja laptop para comprar una nueva.
  • Cuando en una empresa van a dar de baja un computador para reemplazarlo por una nueva.

Cuando alguna de estas situaciones se presente toca realizar un borrado seguro de información, el objetivo del borrado seguro es que la información del disco duro no pueda ser recuperada mediante técnicas de “file carving”, para eso existen diversas herramientas, aquí detallo algunos: ERASER, Disk Wipe y Active KillDisk. Voy a utilizar Disk Wipe para borrar la información, se pueden escoger diversos mecanismos de borrado, entre más pasadas para sobrescribir la información más lento será el proceso. Yo recomiendo 03 pasadas con alguno de los algoritmos remarcados en la imagen inferior, mi disco de 320 GB demoró aproximadamente 04 horas.

 

image

Popularity: 7% [?]

Post Relacionados