Nueva campaña de distribución de malware a través de WhatsApp

Recientemente se está utilizando WhatsApp en una campaña para distribuir malware mediante el envio de mensajes falsos que simulan ser un mensaje de voz:

Como podéis comprobar a continuación los orígenes son múltiples y muy probablemente correspondan a servidores comprometidos que se están siendo utilizados para el envío masivo de estos mensajes de spam:

Received: from h1888414.stratoserver.net [81.169.165.113]
   X-Envelope-From: service @trike-info.de
   From: "WhatsApp Messaging Service" <service @trike-info.de>
   Subject: Voice Message Notification

Received: from vps.idasol.net [209.217.244.15]
   X-Envelope-From: nobody @vps.idasol.net
   From: "WhatsApp Messaging Service" <service @kenyapages.com>
   Subject: 4 New Voicemail(s)

Received: from mail.bmvo-capnet.com [193.34.130.32]
   X-Envelope-From: anonymous @mail.bmvo-capnet.com
   From: "WhatsApp Messaging Service" <service @hearingvoices.com>
   Subject: 6 New Voicemail(s)

Casi todas (por no decir todas) las IPs orígen sirven un servidor web Apache. Eso y que las cuentas sean impersonales tipo nobody o www-data demuestran la casi certeza de que los atacantes se han aprovechado previamente de alguna vulnerabilidad crítica para comprometer los servidores y utilizarlos para sus intereses.

Luego los enlaces en los mensajes falsos en Whatsapp pertenecen en su mayoría aAsprox, una botnet que normalmente está relacionada con múltiples scams y phising que se basa en la explotación de inyecciones SQL para la distribución de malware:

barkat.com.ua /info.php? message=LAkjJhVxIbZruiP71L9HIbGl2xcI1k2H5vMAkEa/Z24=
stonehouse.by /info.php? message=YKRP6j7lHSfjbvedLHNCf9W1kMkiW4CsYeH8JnFHulY=
kluehe.de /info.php? message=J6dm9yvQhcVxDFpXn40+aw0VYYn13DXPC4C4Ghmzfx8=
parket-master.ru /info.php? message=lGsX0Ys0kuQPu4YrKym147tOWxb5aWnIu9ZM7e/zLhM=
nazike.com /info.php? message=SYtGJ5oNy2rl4At/LYgg+2OXfWxPjqG2KZKETZurt68=
goldnart.ru /info.php? message=c9sqOcvppvyXKBcXz6KsX/V/pO6MPLB5FKtlW3iARJ0=
coffsdentalcentre.com.au /info.php? message=HzXVDL8/raWrm8RlgBp1x9a...
computing4schools.co.uk /info.php? message=Nr1J0+CwJoi/7eMkMbvx7cx...
rus-futbolka.ru /info.php? message=x36QDqmKlpQNKCF/3T+9h06yFSEHf...
therabrands.com /app.php? message=CadswzZ11nasLkLwQNVHFYdIQA....
personalcarephysio.ca /app.php? message=pv3O3/1OFQ80uRHaSRq8d8....

Los sitios de estos enlaces mostrarán un engañoso error 404 (página no encontrada) pero realmente comprobarán el agente de usuario del navegador de sus víctimas (e incluso puede que también su IP) para redirigirlo a un sitio u otro. 

Por ejemplo si es un agente de IE descargará un archivo malicioso VoiceMail.exe (packeado con UPX) que parece ser el troyano Kuluoz o Symmi y si es de Android descargará un apk que simula ser un antivirus falso...

Así que tengan cuidado y compartan más datos de sus análisis :)

Fuentes:
Malware distribution campaign using fake WhatsApp voicemail notifications 
WhatsApp sufre un ataque de 'malware' que infecta a los teléfonos mediante un link 
New Voicemail Notification - WhatsApp - Malware 
Fake AV Malware Hits the Android

¡Cuidado no te infecte un archivo TXT!

Supongo que todos estan acostumbrados al sistema de utilización de nombres de archivo con extensiones. Esa forma tan curiosa de identificar el contenido de un determinado fichero por medio de una cadena de caracteres detrás del punto que supuestamente informa al usuario de lo que se va a encontrar dentro.

Las extensiones y el malware

Uno de los trucos que más veces ha utilizado la industria del malware utilizado para el mundo del e-crime y el fraude online ha sido la de usar programas ejecutables para sistemas Microsoft Windows y sistemas Mac OS X que utilizan dobles extensiones. Algo como tu_documento.pdf.scr y que permite sacar provecho de la asociación por defecto de programas o comportamientos a extensiones de ficheros.

Figura 1: Truco de la doble extensión en Apple Safari 5.0.4 para Microsoft Windows

Aún más elaborado han sido aquellos que han hecho uso de las extensiones escritas con caracteres en codificación right-to-left para que parte de los caracteres se escribieran de derecha a izquierda, algo que hemos visto muy habitualmente en Windows, pero también en malware para sistemas Mac OS X como el caso de OSX/Janicap.

Figura 2: El archivo del medio es el archivo de la derecha per con codificación Right-to-Left

Por supuesto, éste es un tema que Sergio de los Santos aborda en su libro "Máxima Seguridad en Windows" como aviso para navegantes confiados en "el sentido común" y en revisar con cuidado las extensiones de lo que ejecutan en su sistema.

Las extensiones y los servidores Web

El uso de un las extensiones y el sentido común a la hora de descargarse archivos es mucho peor aún cuando hablamos de ficheros enviados desde servidores web, ya que cualquier extensión de un archivo que veas en la URL puede ser cualquier cosa. Esto, los usuarios más avezados ya lo saben, pero puede que si no estás acostumbrado a configurar servidores web no te lo hayas planteado nunca.

El cambio de extensión de los ficheros en un servidor web se puede utilizar como forma de fortificar servidores Linux, en concreto en la fortificación de Apache, para evitar salir en los resultados de las búsquedas hechas mediante dorks que hacen aquellos que realizan la fase de localización de objetivos con técnicas de hacking de búscadores.

Su objetivo es encontrar de forma automatizada muchas víctimas que tengan un determinado bug de LFI, RFI, una versión vulnerable de WordPress o un bug común de SQL Injection, en códigos PHP, ASP o CFM. Esto lo hemos visto en cientos de operaciones de distribución masiva de malware, que se han llevado por delante a grandes sitios web como el de Apple.com en la operación Lizamoon, por ejemplo.

Figura 3: Sitios de Apple.com infectados por ataque automatizado con dorks

Para evitar salir en estos resultados, el equipo de administración del servidor web puede cambiar las extensiones conocidas, como PHP o ASP, por valores genéricos como APP, APL, o PRO, o lo que sea. Además de poder quitar las extensiones con un mod_rewrite en Apache, y evitar así aparecer en los resultados de las búsquedas automatizadas con dorks.

BlackSEO, Honey Pots y distribución de malware

Por supuesto, este cambio de extensión en programas de servidores web se hace no sólo para evitar ataques, sino para justo lo contrario, para colarse en los resultados de búsquedas intencionadamente, como por ejemplo en resultados de búsquedas de ficheros .Torrent, o lo que sea, con el objetivo de hacer BlackSEO o distribuir malware envenenando un determinado resultado.

Probando la búsqueda de un fichero .TXT que genera el script Fantastico y que deja el listado de los archivos que tiene un directorio web - algo similar a un fichero .listing - saltó una alerta antimalware en todos los navegadores.

Figura 4: Alerta al acceder a un fichero .TXT

El fichero - llamado fantastico_filelist.txt - deja un listado de ficheros "fantástico", que por supuesto hemos añadido a nuestro Servicio de Pentesting Continuo en Faast, debido a la fuga de información que supone para un sitio web, pero al ver esa alerta, decidí antes contarles algo sobre las extensiones para que estuvieran avisados.

Figura 5: Fichero Fantastico_filelist.txt de un sitio web

Cuando sale una alerta cómo la que les he enseñado, puede ser porque en algún otro lugar el sitio ha hecho algo malo, y no tiene que significar que ese fichero en concreto te ataque, pero cualquier extensión de fichero servida desde un servidor web podría hacerlo, así que, avisado estás. ¡Cuidado no te infecte un archivo TXT!

Fuente

Sptoolkit, una campaña de phishing profesional desde tu casa!!

La campañas de phishing se usan y se siguen usando para el robo de credenciales, para infectar a los usuarios, para hacer campañas de click-fraud, en fin para diversos menesteres.

Hoy os traigo SPToolkit, un framework para ataques de phishing.

Para usarlo, nos bajamos el código de Github.

https://github.com/sptoolkit/sptoolkit/tree/master/spt

Necesitaremos un servidor con mysql, apache2, php5, y las extensiones de curl y ldap de PHP. Opcionalmente necesitaremos el paquete ZIP instalado.

Antes de instalar el framework, SPToolkit comprobará que lo tenemos todo instalado.

Previamente necesitaremos crear la base de datos, donde instalaremos el Framework SPT.

Una vez tengamos los datos, los proporcionamos en la instalación.

Instalamos la base de datos.

Aquí muestra que se va a instalar en la base de datos del framework, podemos ver cosas como las campañas, los objetivos etc…

Le damos a Continue

Tiene requerimientos de contraseña y no pueden haber espacios en el campo Last Name.

Ya hemos rellenado todos los campos que necesitábamos. Ahora recibiremos un mensaje de que hemos terminado el proceso.

Ahora que lo tenemos instalado, haremos login en la aplicación.

Como veis arriba. nos indica de que actualicemos el navegador.

Introducimos los datos de acceso y vamos por la aplicación.

Este es el aspecto que tiene la aplicación una vez iniciada.

Es muy simple y tendremos estadísticas nada mas entrar al panel.

No tendremos que hacerlo todo de zero. El framework ya tiene algunos templates custom para hacer campañas de phishing.

Vemos que hay diferentes opciones para los templates custom.

Vamos a editar uno para ver el aspecto que siguen.

Aquí tenemos un perfecto ejemplo de un correo de phishing.

Habría que editar algún template, además de añadir los valores del servidor de correo y los targets para iniciar la campaña de phishing.

Fuente

Evadir un portal cautivo mediante un túnel DNS

En una cafetería, en el aeropuerto, en un hotel... hoy en día en cualquier sitio existen puntos de acceso wi-fi abiertos que te ofrecen la posibilidad de navegar por Internet, aunque la mayoría durante un tiempo limitado y por un precio fijado. Son los llamadoshotspot públicos que te redireccionan a la web de un portal cautivo para solicitar previamente unas credenciales por las que has tenido que pagar. Evadirlos sin embargo es muy fácil... 

Lo primero comentaros lo que seguro ya sabéis: estas redes inalámbricas carecen de cualquier tipo de cifrado por lo que es posible esnifar el tráfico y robar la sesión de otro usuario conectado (o las credenciales de Facebook, Dropbox, Whatsapp, etc.). Es decir, no sería dificil envenenar ARP y/o hacer MiTM para obtener lo que buscamos puesto que la inmensa mayoría de los usuarios NO utilizan un servicio VPN para protegerse en este tipo de redes públicas. Pero no vamos a no ser demasiado malos y simplemente vamos a navegar sin robar nada a ningún otro cliente...

Para ello vamos a aprovecharnos de que normalmente estos puntos de acceso permiten utilizar el protocolo DNS sin necesidad de estar autenticado.
Veamos. Por ejemplo, si nos conectamos a un SSID "wifi_hotel" e intentamos navegar se nos redireccionará a un portal cautivo Cisco:

https://1.1.1.1/login.html?redirect=web 

Pero sin embargo comprobamos que si podemos resolver cualquier nombre de Internet: 

Adaptador de LAN inalámbrica Conexión de red inalámbrica:

   Sufijo DNS específico para la conexión. . :
   Dirección IPv4. . . . . . . . . . . . . . : 192.168.2.133
   Máscara de subred . . . . . . . . . . . . : 255.255.255.0
   Puerta de enlace predeterminada . . . . . : 192.168.2.1

C:\Users\vmotos>ping www.oracle.com

Haciendo ping a e7075.b.akamaiedge.net [23.51.70.140] con 32 bytes de datos:
Control-C
^C
C:\Users\vmotos>ping www.google.es

Haciendo ping a www.google.es [173.194.41.215] con 32 bytes de datos:
Control-C   

  
Gracias a esto podremos encapsular IPv4 en el payload de los datos de los paquetes UDP y establecer un túnel DNS con un servidor externo. 

Quizás la herramienta más extendida y la que utilizaré en este caso es iodine que facilita el túnel cliente-servidor mediante un interfaz TUN/TAP normalmente creado por OpenVPN, aunque (no sé vosotros) yo no dispongo de un servidor externo, así que para tener la parte servidor de iodine utilizaré dns.canhasinter.net, que es un servicio que nos permitirá 500mb de tráfico gratuito ampliables mediante pago con bitcoins.

Para empezar tenemos que tener previamente instalado OpenVPN con un interfaz tun/tap creado y un cliente ssh, con puttygen.exe si os gusta el PuTTY (qué mal suena esto XD). En mi caso utilizaré Windows 7 con msysgit (Git para Windows) y los primero que haremos será generar un par de claves simétricas para luego registrarnos en el servidor del proveedor: 

vmotos@PCVMOTOS ~
$ ssh-keygen -t rsa
Generating public/private rsa key pair.
Enter file in which to save the key (/c/Users/vmotos/.ssh/id_rsa):
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /c/Users/vmotos/.ssh/id_rsa.
Your public key has been saved in /c/Users/vmotos/.ssh/id_rsa.pub.
The key fingerprint is:
7e:0c:73:b7:b6:ba:4c:4f:ce:f0:02:3c:3e:66:e8:c5 vmotos@PCVMOTOS

Ahora descargamos iodine para Windows y ejecutamos: 

C:\Users\vmotos\Desktop\iodine-0.6.0-rc1-win32\bin>iodine.exe -f -P canhasinternet 166.78.128.18 i.dfw1.dns.canhasinter.net
Opening device Conexi¾n de ßrea local 4
Opened UDP socket
Opened UDP socket
Sending DNS queries for i.dfw1.dns.canhasinter.net to 166.78.128.18
Autodetecting DNS query type (use -T to override)Opened UDP socket
.
Using DNS type NULL queries
Version ok, both using protocol v 0x00000502. You are user #0
Enabling interface 'Conexi¾n de ßrea local 4'
Setting IP of interface 'Conexi¾n de ßrea local 4' to 172.16.0.2 (can take a few
 seconds)...

Server tunnel IP is 172.16.0.1
Testing raw UDP data to the server (skip with -r)
Server is at 166.78.128.18, trying raw login: OK
Sending raw traffic directly to 166.78.128.18
Connection setup complete, transmitting data.

Con ésto hemos establecido un túnel virtual punto a punto mediante el interfaz tun/tap 'Conexi¾n de ßrea local 4'. Ahora tendremos que registrarnos con la clave pública generada: 

vmotos@PCVMOTOS ~
$ ssh nopass@172.16.0.1
The authenticity of host '172.16.0.1 (172.16.0.1)' can't be established.
RSA key fingerprint is 17:79:60:65:21:8e:af:c6:4a:20:98:a5:8c:cc:e6:b5.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added '172.16.0.1' (RSA) to the list of known hosts.

Help:
a) About
r) Register
l) Login
q) Quit
? r
Register:
Enter in an SSH key (~/.ssh/id_rsa.pub) to register your account.
You must have a 2048 bit RSA key. No others accepted.
Input must be exactly 372 characters. Paste the key here.
Do not paste in the ssh-rsa prefix. Go from the start of the key to
the end without the user@host comment section.
Press ctrl+c if you wish to abort.
?
Does this key look good?
AAAAB3NzaC1yc2EAAAABIwAAAQEAu/iH3eybVrQcvXhSh4SKxsOUNfJmSogAoxOHlrx/Tu8IwmyA+0ha
G0R+ZFNxwikfLXmMrzNvBwVjWdQ9wfxVw9adwD7H7l4vORuj/Nh//Jxq7EV2fSPnmco8wRCFHoSidYmW
1baZijiv2hEcIDJlyMY9KM23vhOTI91XewCl5KSWsjVgz4tpSwOh2n9G/JFf8u53+HqP4N+eUgWNss/Z
G2OFcfb3rVuCm5LMDfClOQ41wiGH69bdvgubt7/eCREhJlfWS8NZsf4eFx5x+6sj44+2bU3TPHKKG1U2
jMiWQcRHp5PYKx9TwgC4pePe4MOgfvFC3A8ER2y8s6jNpfglMw==
? y
Registration successful!
? e
Help:
a) About
r) Register
l) Login
q) Quit
?
? q
Connection to 172.16.0.1 closed.

Ahora mantenemos las rutas para los servidores DNS y cambiamos el gateway por defecto para redireccionar todo el tráfico por el túnel: 

D:\>route add 8.8.8.8 mask 255.255.255.255 192.168.2.1
 Correcto

D:\>route add 8.8.4.4 mask 255.255.255.255 192.168.2.1
 Correcto

D:\>route add 166.78.128.18 mask 255.255.255.255 192.168.2.1
 Correcto

D:\>route delete 0.0.0.0
 Correcto
 
D:\>route add 0.0.0.0 mask 0.0.0.0 172.16.0.1
 Correcto

Finalmente lanzamos el cliente ssh: 

Bandwidth purchased: N/A Bandwidth used: 560134
Bandwidth remaining: 499 MB
Bitcoin address: 1GMaV7RMyiagFmkv3EyPGGvgJ647bBFEfn
BTC/GB: 0.001. Minimum suggested payment 0.01 BTC.
Last transasction: N/A

Y probamos... ;) 

D:\>ping www.oracle.com

Haciendo ping a e7075.b.akamaiedge.net [23.77.102.140] con 32 bytes de datos:
Respuesta desde 23.77.102.140: bytes=32 tiempo=265ms TTL=51
Respuesta desde 23.77.102.140: bytes=32 tiempo=260ms TTL=51

Estadísticas de ping para 23.77.102.140:
    Paquetes: enviados = 2, recibidos = 2, perdidos = 0
    (0% perdidos),
Tiempos aproximados de ida y vuelta en milisegundos:
    Mínimo = 260ms, Máximo = 265ms, Media = 262ms
Control-C
^C
D:\>tracert www.oracle.com

Traza a la dirección e7075.b.akamaiedge.net [23.77.102.140]
sobre un máximo de 30 saltos:

  1   135 ms   136 ms   135 ms  172.16.0.1
  2   139 ms   136 ms   136 ms  166.78.16.2
  3   140 ms   139 ms   138 ms  core3.dfw1.rackspace.net [72.3.202.48]
  4   182 ms   139 ms   138 ms  coreb.dfw1.rackspace.net [74.205.108.22]
  5   141 ms   138 ms   138 ms  corea-edge6.dfw1.rackspace.net [74.205.108.113]

  6   140 ms   139 ms   139 ms  ae53.edge10.Dallas1.Level3.net [4.28.44.161]
  7   143 ms   138 ms   149 ms  ae-3-80.edge5.Dallas3.Level3.net [4.69.145.145]

  8   140 ms   139 ms   138 ms  xe-8-1-2.dal33.ip4.tinet.net [77.67.71.221]
  9   264 ms   262 ms   270 ms  xe-0-0-0.bru20.ip4.tinet.net [89.149.187.121]
 10   270 ms   267 ms   265 ms  akamai-gw.ip4.tinet.net [77.67.65.90]
 11   265 ms   259 ms   259 ms  a23-77-102-140.deploy.static.akamaitechnologies.
com [23.77.102.140]

Traza completa.

Y ya está, ya podemos navegar... aunque recordar que conviene utilizar además un servicio VPN para mantener la privacidad de nuestros datos.

Masscan: una herramienta que podría escanear Internet en ¡¡¡3 minutos!!!

¡Más madera! Si hace poco hablábamos de Zmap como una herramienta increíble que podía escanear todo Internet en tan sólo 45 minutos hoy leemos acerca de Masscan, otra que podría hacerlo en tan sólo ¡¡¡3 minutos!!!
Con este dato evidentemente parece que Masscan es el escáner de puertos más rápido del momento, de hecho 10 veces más rápido que cualquier otro. Fijaros en la siguiente imagen:

Mediante un PC con un procesador de 4 núcleos y una tarjeta ethernet dual-port de 10gbs teóricamente puede transmitir 25 millones de paquetes por segundo lo que equivale a los 3 minutos que comentamos.
Masscan es el típico escáner "async/syn-cookie" como 'scanrand', 'unicornscan' y 'ZMap' pero incluye mejoras en la aleatorización así como en la velocidad, flexibilidad y compatibilidad que, como su autor reclama, lo hacen mucho más rápido.

En el mundo real sin embargo sería muy difícil ponerla a prueba, puesto necesitaríamos una conexión a Internet de 10gbps y un ISP que te permita millones de conexiones por segundo...¿conocéis a alguien que pueda? ;)

Más detalles en: http://blog.erratasec.com/2013/09/masscan-entire-internet-in-3-minutes.html

Sí, tú casa está llena de dispositivos que pueden ser “hackeados” :), un ejemplo:

UE46F6400 Descripción: Televisor LED 3D de 46 pulgadas con SmartTV (Full HD 1080p, Clear Motion Rate 100 Hz).
Vulnerabilidad: fallo que permite el acceso root al shell del firmware basado en Linux.
Consecuencias: control total. Un atacante podría por ejemplo acceder al contenido del TV o de cualquier dispositivo USB conectado o incluso espiar al usuario activando la cámara y el micrófono remotamente.

"Y por fin llegó arrastrándose al sillón después de una dura jornada, buscó y rebuscó el mando entre los cojines y encendió su televisor. Un escalofrío precedió a un sin fin de pálpitos acelerados porque de repente se vio dentro de él con un mensaje que amenazaba "te estamos vigilando". Su primera reacción fue llamar a la policía pero, al descolgar el interfono, la pantalla led del teléfono IP mostraba el mismo mensaje "te estamos vigilando". Agarró su chaqueta y anduvo hacia la puerta con el único objetivo de escapar, pero la puerta automática hacia su salvación estaba bloqueada. El suspiro de resignación evidenció vapor al exhalar, la temperatura había disminuido y para rematar las luces desvanecían sumergiendo su cuerpo en la oscuridad de aquel pasillo. Dio tres pasos a ciegas y el pánico le invadió al percatarse de que unas extrañas luces le perseguían. Corrió a encerrarse dentro del cuarto de baño, la tapa del inodoro se levantó automáticamente y cayó fulminado al suelo..."

Fantasmas, extraterrestres, ... no, HACKERS!

Cada vez nuestros hogares se equipan con más y más electrodomésticos y gadgets que nos hacen la vida más fácil y que pueden controlarse desde Internet. No obstante si alquien fuera capaz de controlarlos veríamos absolutamente expuestos nuestra intimidad e incluso seguridad.

Lo que contaba al principio con ese breve relato podría provocarlo ya HOY un hacker y para demostrarlo queremos plantearos un modelo de casa corriente. La siguiente planta muestra un pequeño piso con una serie de modelos de dispositivos que pueden adquirirse en la actualidad. Cada uno de ellos tiene o ha tenido la vulnerabilidad brevemente descrita y en cada uno podéis ver las consecuencias...

¡Hogar, dulce hogar!

1.- Router Cisco Linksys WRT54GL
 
Descripción: Router de banda ancha Wireless-G con dos antenas externas y 4 puertos ethernet.

Vulnerabilidad: La no-validación del parámetro wan_hostname puede permitir inyectar y ejecutar comandos de shell.

Enlace: http://tools.cisco.com/security/center/viewAlert.x?alertId=27942

Consecuencias: Un atacante remoto podría conseguir permisos de root obteniendo así el control total del router. Con ello podría por ejemplo modificar la configuración WiFi, cambiar las IPs de los DNS en el servidor DHCP, añadir rutas, etc.

2.- Receptor de satélite NBOX 5800SX ENIGMA2 

Descripción: receptor/decodificador en alta definición con doble sintonizadora y disco duro de 250gb

Vulnerabilidad: el dispositivo implementa el sistema de acceso Conax con la funcionalidad chipset pairing que tiene diversas debilidades

Enlace: http://www.security-explorations.com/en/SE-2011-01-press.html

Consecuencias: un atacante podría capturar la señal decodificada y distribuirla en Internet.

3.- Televisión Samsung UE46F6400 

Descripción: Televisor LED 3D de 46 pulgadas con SmartTV (Full HD 1080p, Clear Motion Rate 100 Hz).

Vulnerabilidad: fallo que permite el acceso root al shell del firmware basado en Linux. 

Enlace: http://vimeo.com/55174958

Consecuencias: control total. Un atacante podría por ejemplo acceder al contenido del TV o de cualquier dispositivo USB conectado o incluso espiar al usuario activando la cámara y el micrófono remotamente.

4.- Media center Apple TV 2 con XBMC 11 

Descripción: reproductor que permite ver películas de iTunes en 1080p HD, escuchar música y ver fotos de iCloud y usar AirPlay para reproducirlas desde otros dispositivos y, si se le realiza un jailbreak, utilizar XBMC uno de los principales distribuciones para mediacenters bajo la licencia GNU/GPL.

Vulnerabilidad: directory traversal en el servidor web

Enlace: http://www.ioactive.com/pdfs/Security_Advisory_XBMC.pdf

Consecuencias: un atacante podría leer remotamente cualquier archivo con los mismos privilegios que tenga el usuario que está ejecutando XBMC. Se ha publicado incluso un módulo en Metasploit.

5.- Teléfono Cisco Unified IP Phone 6941 

Descripción: teléfono IP con conexión Gigabit ethernet y pantalla a color. 

Vulnerabilidad: fallo al validar las llamadas al kernel desde aplicaciones corriendo en el espacio de usuario.

Enlace: http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20130109-uipphone

Consecuencias: Aunque parece que para ejecutar el exploit es necesario validarse previamente por SSH (o tener acceso físico al dispositivo) si se consigue el atacante tendría acceso como root al teléfono y podría cambiar su programación, actuar sobre los leds, capturar llamadas, etc.

6.- Termostato Radio Thermostat Company of America CT 80

 Descripción: termostato universal que puede controlar casi cualquier sistema residencial común HVAC. Soporta hasta 3 etapas de calor, 2 etapas de frío, bombas de varias etapas de calor, humidificadores, deshumidificadores y deflectores de aire externos. Puede mostrar mensajes de texto y consumo de energía.

Vulnerabilidad: no es necesario ninguna autenticación para usar el API.

Enlace: https://www.trustwave.com/spiderlabs/advisories/TWSL2013-022.txt

Consecuencias: Cualquier usuario en la misma red del dispositivo podría cambiar la temperatura, el modo de operación o la configuración wifi.

7.- AlertMe/Zigme

Descripción: Sistema modulable de control de la seguridad del hogar con múltiples componentes como sensores de ventanas y puertas, detectores de movimiento, alarmas, cámaras, etc.

Vulnerabilidad: los componentes del sistema utiliza el protocolo inalámbrico Z-Wave que aunque implementa cifrado AES en sus comunicaciones pone en claro el intercambio de claves inicial.

Enlace: http://www.theregister.co.uk/2013/08/13/wave_goodbye_to_security_with_zwave/

Consecuencias: Un atacante podría interceptar las comunicaciones y obtener el control de los dispositivos.

8.- RP40 multiCLASS® Reader 

Descripción: Lector RFiD compatible con tarjetas HID Prox, Microprox, iCLASS y MIFARE.

Vulnerabilidad: la longitud y tipo de clave (PIN numérico) y la carencia de otras contramedidas permiten el uso de ataques de fuerza bruta.

Enlace: http://hackerhurricane.blogspot.com.es/2011/03/w-my-security-research-discovers-major.html

Consecuencias: sólo conociendo la IP del dispositivo es posible lanzar un ataque de fuerza bruta con éxito y rapidez. La consecuencia es la apertura inmediata de la puerta.

 9.- TP-Link TL-SC3171 IP Camera
 
Descripción: Cámara de vigilancia de Día/Noche con 12 LEDs infrarrojos y video en tiempo real en cualquier lugar desde el iPhone y otros teléfonos 3G populares.

Vulnerabilidad: múltiples vulnerabilidades pueden permitir la inyección remota de comandos, el uso de credenciales "hard-coded" o la evasión de autenticación.

Enlace: http://www.coresecurity.com/advisories/multiple-vulnerabilities-tp-link-tl-sc3171-ip-cameras

Consecuencias: control total de la cámara. Su explotación más común es la obtención remota de vídeo en tiempo real (incluso de noche) de la víctima.

10.- LIXIL Satis Toilet 

Descripción: Inódoro inteligente que automatiza la apertura y cierre de la tapa, activa automáticamente el agua, higieniza, ahorra energía... y hasta tiene música.

Vulnerabilidad: la aplicación Android "My Satis" tiene fijada (hard-coded) el pin bluetooth.

Enlace: https://www.trustwave.com/spiderlabs/advisories/TWSL2013-020.txt

Consecuencias: un atacante puede hacer que el inodoro tire de la cadena varias veces, que se abra/cierre inesperadamente la tapa, que se activen
las funciones del bidé o funciones de secado al aire causando malestar o angustia a usuario. 

11.- Foscam FI8910W (White) Wireless B/G/N IP Camera
 
Descripción: Cámara IP que puede utilizarse como baby monitor con conectividad inalámbrica N y compatible con smartphones (Iphone, Android y Blackberry) y también accesible mediante web.

Vulnerabilidad: Directory traversal en el interfaz web con firmware anterior a 11.37.2.49 permite leer remotamente ficheros, incluyendo las credenciales web y wifi que utiliza el dispositivo.

Enlace: https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-2560

Consecuencias: Un atacante puede tomar el control de la cámara y espíar a su víctima.
 
12.- Roomba iRobot 585
 
Descripción: robot aspirador con sistema de navegación inteligente iAdapt y sistema de limpieza en 3 etapas patentado.

Vulnerabilidad: Ejecutando ROS es posible acceder al controlador del sensor sin autenticación.

Enlace: http://www.ros.org/wiki/Robots/Roomba

Consecuencias: Mediante una aplicación en ROSjava (por ejemplo en Android) un atacante podría controlar remotamente el dispositivo.
 

13.- HP Pavilion dv3-4130ss
 
Descripción: Portátil con procesador i5-460M, 4 gbs de RAM y disco duro SATA de 320 GB (7200 rpm). Viene con sistema operativo instalado Windows® 7 Home Premium 64 bits.

Vulnerabilidad: La funcionalidad CMM (color management) en el componente 2D de Oracle Java SE 7 Update 15 y anteriores, 6 Update 41 y anteriores y 5.0 Update 40 provoca una corrupción de memoria en la JVM si recibe parámetros específicamente modificados.

Enlace: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-1493

Consecuencias: Un atacante remoto podría provocar un DoS o ejecutar código arbitrariamente. Por ejemplo esta vulnerabilidad ha sido utilizada por el troyano McRAT que a su vez permite la descarga e instalación de otro malware.

14.- HP LaserJet Pro CP1025nw
 
Descripción: Impresora láser color, inalámbrica y con conexión Ethernet.

Vulnerabilidad: Ciertas impresoras HP LaserJet Pro contienen un bug en el servicio telnet que podría permitir a un atacante obtener acceso al dispositivo.

Enlace: http://www.kb.cert.org/vuls/id/782451

Consecuencias: Un atacante podría tener acceso a información confidencial.

15.- Samsung Galaxy III Mini i8190 

Descripción: Smartphone con pantalla AMOLED de 4" y sistema operativo Jelly Bean.
Vulnerabilidad: Desde Android 1.6 Donut hasta 4.2 Jelly Bean no se comprueba correctamente la firma criptográfica de una aplicación.

Enlace: http://www.cvedetails.com/cve/CVE-2013-4787/

Consecuencias: Un usuario podría instalar una aplicación modificada de forma maliciosa sin percatarse permitiendo la instalación de malware en el dispositivo.

16.- Karotz plastic bunny 

Descripción: Juguete que es un conejo de plástico que puede ser controlado desde un smartphone y que está equipado con una cámara de video, micrófono, chip RFID y altavoces.

Vulnerabilidad: es posible escribir un módulo en Python en un pendrive USB y cargarlo al iniciar el juguete. Además las credenciales para el control del dispositivo (tokens de sesión) se transmiten en claro por HTTP y pueden ser interceptadas.

Enlace: https://www.trustwave.com/spiderlabs/advisories/TWSL2013-021.txt

Consecuencias: Por ejemplo, si la aplicación utiliza la cámara web, el vídeo puede ser capturado y enviado a un servidor arbitrario.

Cómo crear una conexión cliente-servidor TCP o UDP con Python

Crear una conexión cliente-servidor es facilísimo con Python. Para ello podemos ejecutar un pequeño script en el servidor que creará un socket en el número de puerto especificado y empezará a escuchar a la espera de que el cliente, otro sencillo script, se conecte simplemente indicando la dirección IP y puerto...
  

En Pastebin podemos encontrar un fantástico ejemplo de cada uno de los scripts, tanto para TCP como para UDP: 

#TCPserver.py
#!/usr/bin/python          
 
import socket              
 
s = socket.socket()        
port = 11111  
             
s.bind(('', port))        
 
s.listen(5)  
               
while True:
   c, addr = s.accept()
   data=c.recv(1024)    
   print ('Address:',addr,'Data:',data)
   
   mylist=list(data.split(':'))
   intlist=list()
   for i in range(0,len(mylist)):
       intlist.append(int(mylist[i]))
   intlist.sort()
   c.send(str(intlist))
   c.close()

#TCPclient.py
#!/usr/bin/python          
import sys
import socket              
 
arglen=len(sys.argv)
if arglen<3:
    print('please run as python TCPclient.py <ip_address> <numbers>')
    exit()
data=str()
data=data+str(sys.argv[2])
for i in range(3,arglen):
    data=data+':'+str(sys.argv[i])
 
s = socket.socket()        
 
port = 11111          
 
s.connect((sys.argv[1], port))
s.send(data)
print s.recv(1024)
s.close 

#UDPserver.py
#!/usr/bin/python
import socket
s=socket.socket(socket.AF_INET,socket.SOCK_DGRAM)
s.bind(('',22222))
while True:
    data,addr=s.recvfrom(1024)
    print('Address:',addr,'Data:',data)
    mylist=list(data.split(':'))
    intlist=list()
    for i in range(0,len(mylist)):
        intlist.append(int(mylist[i]))
    intlist.sort()
    s.sendto(str(intlist),addr)

#UDPclient.py
#!/usr/bin/python
import socket
import sys
 
arglen=len(sys.argv)
if arglen<3:
    print('please run as python UDPclient.py <ip_address> <numbers>')
    exit()
 
s=socket.socket(socket.AF_INET,socket.SOCK_DGRAM)
port=22222
addr=sys.argv[1]
data=str()
data=data+sys.argv[2]
for i in range(3,len(sys.argv)):
    data=data+':'+sys.argv[i]
s.sendto(data,(addr,port))
data,addr=s.recvfrom(1024)
print data