Cómo espiar WhatsApp

Estas son algunas de las técnicas que existen para espiar WhatsApp, aunque este tiempo atrás la noticia fue que se ha detenido el creador de WhatsApp Spy, una aplicación falsa que estafaba a usuarios con la esperanza de poder obtener las conversaciones de otras personas. La pregunta que mucha gente se hace es si es posible espiar las conversaciones de WhatsApp, así que viendo el gran interés del mundo en la seguridad en WhatsApp, he decidido escribir este recopilatorio con todas las posibilidades que existen para esta tarea para que toméis vuestras precauciones al respecto, aunque no olvidéis que si hay un iPhone de por medio, mejor que os leáis el libro de Hacking iOS: iPhone & iPad, donde se cuentan muchas formas de hackear el terminal que darían acceso al WhatsApp. Vamos a ello:

Espiar WhatsApp sabiendo el número de teléfono de una persona

Actualmente, si se conoce el número de teléfono de la cuenta asociada a WhatsAppse puede sacar información del dueño, e incluso la fotografía pública asociada, pero no hay ningún servicio que permita llegar a las conversaciones. Esta era la estafa.

Figura 1: What's App on PC es un malware

También debes huir de programas mágicos que te bajas a tu PC o a Android te permitirá configurar cualquier número de teléfono en él. Esto, por desgracia, suele ser malware. En un estudio hecho por Eleven Paths, en sólo un mes fue posible encontrar muchas apps maliciosas de WhatsApp en Google Play.

Figura 2: Consulta de información pública de WhatsApp agregando a contactos

La gente de WhatsApp Voyeur quitó el servicio de consulta de información asociado al número de teléfono, pero puede hacerse manualmente simplemente agregando el número de teléfono a los contactos. Por otro lado, solo con agregar un contacto también se puede saber cuándo está conectado o no, salvo que se hayan aplicadotips de privacidad en WhatsApp.

Gracias a un nueva función de previsualización de imágenes de URLs enviadas por mensaje de chat en WhatsApp para Android, una persona podría enviar una URL de una página web controlada, y forzar al cliente a realizar una conexión de datos a ese servidor web, por lo que se podría averiguar la dirección IP y por tanto la ubicación de esa persona, además de la versión exacta del sistema operativo que tiene.

Espiar WhatsApp robando las conversaciones por la red WiFi

Antes sí se podía descifrar la comunicación entre los servidores de WhatsApp y los dispositivos móviles. WhatsApp pasó a utilizar SSL a partir de la versión 2.8.3, por lo que ya no utiliza los antiguos trucos basados en la MAC o el IMEI - fácilmente consultable -. Si la versión fuera antigua, aún servirían herramientas comoWhatsAppSniffer y todas las variantes que aparecieron. Para hacerlo desde capturas de tráfico de red, existía para las versiones antiguas un plugin llamado Wireshark-Whatsapp.

Figura 3: WhatsAppSniffer para Android

El 8 de Octubre de este año se ha publicado un nuevo método con una Prueba de concepto para descifrar las comunicaciones de WhatsApp por red, pero aún no hay ninguna herramienta que lo haga con las comunicaciones de la aplicación oficial, pero si se graban las conversaciones con un sniffer tipo WireShark, probablemente en el futuro se puedan descifrar todas. No obstante, piensa en serio poner unaconexión VPN para proteger tus conversaciones de WhatsApp.

Averiguar el número de teléfono de WhatsApp una persona por la WiFi

En las comunicaciones de WhatsApp se envía un paquete de tipo WA en el que se especifica el número de teléfono, la versión del sistema operativo y más información que va sin cifrar. Capturando el tráfico de red con WireShark se puede usarWhatsApp Discover para localizar los números de teléfono que están siendo utilizados por la red WiFi.

Figura 4: Paquete de red con el número de teléfono de WhatsApp

Espiar WhatsApp robando la cuenta remotamente

Para conseguir esto habría que encontrar una vulnerabilidad en WhatsApp que permitiera registrar el número de teléfono de la víctima en otro terminal y descargar las conversaciones que estén almacenadas en el servidor. Estos fallos de hijacking de WhatsApp han existido en el pasado, pero actualmente no hay ninguno que lo permita en remoto que sea conocido.

Figura 5: Ejemplo de Hijacking de WhatsApp publicado en 2011 por Yago Jesús

Tal vez aparezcan en el futuro o alguien tenga algún 0day no publicado al respecto, pero no se conoce ninguno que funcione ya que debido a la importancia que tienen,WhatsApp cierra estos fallos lo más rápido que puede.

Otra opción es que se pueda clonar la SIM de la persona que tiene instalado elWhatsApp para robar la cuenta de la víctima o que se intercepten las peticiones de alta y el mensaje SMS sniffando el tráfico GSM.

Espiar WhatsApp robando la cuenta de Apple ID

En la última versión la base de datos de conversaciones de WhatsApp puedeguardarse en Apple iCloud. Si te roban la cuenta de Apple ID - con un keylogger o mirando por encima del hombro -- podrían llegar a la base de datos y ver las conversaciones accediendo al backup de iCloud con herramientas como ElcomSoft Phone Password Breaker.

Espiar WhatsApp con robo de cuenta con acceso físico al teléfono

Si se tiene el teléfono cerca y tiene la previsualización de mensajes SMS activada, se podría instalar un WhatsApp en un tablet y pedir el SMS de confirmación para robar la cuenta y descargar las conversaciones anteriores. Este es el mismo caso querobar la cuenta de Hotmail/Gmail con un iPhone y la previsualización de SMS.

Espiar WhatsApp robando la base de datos de un backup de Apple

Cuando se hace un backup de un iPhone por medio de Apple iTunes a un equipo, la base de datos de WhatsApp se va también. Se puede localizar este fichero y analizar. Este proceso se explica en detalle en el libro de Hacking iOS: iPhone & iPad.

Figura 6: Copia de la base de datos de WhatsApp en el backup de Apple iTunes

Es un fichero SQLite, así que con cualquier visor de este formato de base de datos se puede ver. Hay que tener presente que si se han borrado mensajes, en la base de datos obtenida no se podrán ver. Sin embargo, es posible hacer un análisis forense de SQLite con Recover Messages y obtener muchos de los mensajes de WhatsApp que han sido borrados por el dueño.

Espiar WhatsApp robando la base de datos de la SD Card de un terminal Android

Si el terminal es Android, se puede obtener la base de datos de WhatsApp de la SDCard. Esta base de datos tiene un cifrado muy sencillo de quitar para obtener después el fichero SQLite en plano. Si se sube la base de datos cifrada a Recover Messages, se obtiene la base de datos descifrada automáticamente de forma gratuita. En los últimos resultados, ya hay más de 800.000 bases de datos analizadas con Recover Messages, y más de 25.500 usuarios registrados.

Figura 7: Opciones de cifrado de bases de datos. En Android ha cambiado en las últimas versiones

Ha habido cambios en el cifrado de las últimas versiones de WhatsApp para Androidy es necesario contar no solo con la base de datos msgstore.db.crypt sino que además se necesita la cuenta de correo electrónico del terminal para poder descifrar ese fichero.

Espiar WhatsApp robando la base de datos de un terminal iPhone

Tanto si se tiene el passcode del terminal iPhone, como si se tiene acceso a un equipo con el que se haya hecho el pareado de Apple iTunes/iPhone, es posible utilizar una herramienta tan sencilla como iFunBox y acceder al fichero de la base de datos de WhatsApp en el terminal iPhone sin hacer jailbreak, ni nada.

Figura 8: Accediendo a la base de datos de WhatsApp de un iPhone con iFunBox

Por supuesto, si el terminal tiene jailbreak, y no se han cambiado las contraseñas por defecto se podría acceder al terminal de muchas otras formas, incluyendoOpenSSH o haciendo uso de Gecko. En el libro de Hacking iOS: iPhone y iPad tienes muchas formas de acceder a los terminales iPhone saltándose u obteniendo el passcode.

Espiar WhatsApp instalando troyanos en los terminales

Si tienes acceso al terminal iPhone o Android existen muchas formas de instalar un troyano. En el caso de iPhone yo recopilé en este artículo las formas de instalar un troyano en iPhone. En Android las formas son otras, pero visto la cantidad demalware que hay y los últimos fallos de seguridad que se saltan las validaciones de las firmas no es de lo más difícil.

Figura 9: Espiar WhatsApp está entre las características de muchos troyanos

Espiar WhatsApp remotamente con una app maliciosa en Android e iPhone

En noviembre de 2013 se publicó el servicio WhatsAppCopy, un servicio basado en instalar una app maliciosa que pretendía ser un juego en terminales Android. Estaapp se dedicaba a robar las bases de datos de WhatsApp de todas las víctimas y ponía en un servicio de pago el acceso a los mensajes de terminales. Fue eliminada de Google Play  pero cualquier app que tenga el permiso deREAD_EXTERNAL_STORAGE puede acceder a ella y subirla a una web.

Figura 10: Código de app maliciosa Android para robar WhatsApp

El código para hacer este tipo de apps maliciosas para Android está disponible enCómo Espiar WhatsApp en Android, y ejemplos de cómo hacerlo en iPhone están en el libro de Hacking iOS. Son técnicas muy conocidas para los desarrolladores de apps para móviles.

En el caso de Android, existe la posibilidad de utilizar un APK creado con Metasploitque directamente ejecute Meterpreter en el terminal y te permita robar la base de datos. En este artículo se explica en detalle cómo robar la base de datos de WhatsApp de Android con Metasploit.

Espiar WhatsApp en iPhone sin troyano

En el caso de iPhone aunque no es su propósito original, se puede utilizar la herramienta WhatsApp Anti-Delete Protectiton Tool. Esta herramienta puede utilizarse para proteger tus mensajes, pero también podría ser usada como método de control parental de jóvenes o para espiar los mensajes de una persona. Se necesita en cualquier caso acceso físico al terminal. En el siguiente vídeo podéis ver su funcionamiento en detalle.

Figura 11: Funcionamiento de WhatsApp Anti-Delete Protection Tool

Esta misma idea se puede aplicar para por ejemplo conseguir recuperar los mensajes de Telegram borrados, recuperar los mensajes directos de Twitter borrados o los mensajes de Skype que se han eliminado, además de que se podría recuperar la sesión de una cuenta Facebook que se use en un iPhone.

Espiar WhastApp con "tranquilidad"

No te olvides que muchas veces la forma más sencilla es que o no haya passcode, que sea un passcode que se haya adivinado o conocido o que aparezca un bug para saltarse el passcode así que, bastaría con acceder a los mensajes tranquilamente. Explicación común en muchos casos.

Conseguir bases de datos de WhtatsApp de la red

Como curiosidad, por descuido mucha gente puede dejar las bases de datos deWhatsApp compartidas en la red, ya sea en redes P2P como se ve en este artículo o en servidores de archivos de cualquier índole. El nombre de la base de datos deWhtasApp en un backup de Apple iTunes es1b6b187a1b60b9ae8b720c79e2c67f472bab09c0.

Figura 12: Copias de conversaciones de WhatsApp en e-mule

Como podéis ver, a pesar de que el tipo ha sido detenido por cometer una estafa, existen ciertas formas -  aunque no tan mágicas como las que prometía - por las que se puede conseguir leer los mensajes enviados y recibidos por WhatsApp, así que hay que tomar medidas de precaución para que esto no te pase.

FUENTE

Latch para Ubuntu y Latch para Open-Xchange disponibles

La semana pasada, durante la última actualización de la web de Latch, se publicaron nuevos plugins para integrar fácilmente Latch dentro de distintas plataformas. En esta ocasión se ha puesto disponible Latch para Ubuntu y Latch para Open X-Change.

Figura 1: Montaje publicado en Twitter sobre víctimas sin Latch en el juego WathcDogs

En el caso de Latch para Open-XChange se ha testeado con la versión de Open-XChange 7.4.2 y los pre-requisitos y el proceso de instalación lo tenéis detallado en la guía de ayuda de instalación. Para el uso de Latch para Ubuntu, una vez instalado el plugin como se detalla en la guía de instalación, basta con utilizar el comando pairSYS Temporary_Token o bien usar un sencillo GUI que se ha creado para realizar la tarea.

Figura 2: Latch para Ubuntu, guía de instalación y uso

Además de estos nuevos plugins, el plugin de Latch para WordPress ya lo tenéis publicado en el repositorio oficial de WordPress, desde donde podéis descargarlo también.

Figura 3: Plugin de Latch en el repositorio oficial de WordPress

En breve publicaremos las nuevas guías de Latch para los nuevos plugins, que pondremos junto al resto de tutoriales de instalación en el canal SlideShare de Eleven Paths con las que ya están disponibles:

- Latch para RoundCube

- Latch para WordPress
- Latch para PrestaShop
- Latch para Joomla!
- Latch para Drupal 7
- Latch para Drupal 6
- Latch en Aplicaciones .NET

También, tienes para usar los siguientes plugins y herramientas:

- Latch para DotNetNuke
- Latch para RedMine
- Latch para OpenVPN
- Latch para SquirrelMail
- Latch para OpenSSH
- Latch Event Monitor

Y los siguientes SDKs para que integres cualquier aplicación con Latch:

- Latch SDK para Java
- Latch SDK para .NET
- Latch SDK para PHP
- Latch SDK para Ruby
- Latch SDK para Python
- Latch SDK para C
- Latch SDK para PowerShell

Recuerda que si quieres comenzar a utilizar Latch en tu vida, tienes este pequeño artículo que te explica cómo empezar a utilizar Latch para proteger tus identidades digitales desde ya.

Fuente 

Unos estafadores utiliza la imagen de La Sexta, RTVE, Menéame o Antena3 para robar tus datos de tu Android

Hoy vengo a contar una historia curiosa y peculiar de cómo una persona haciendo uso de greyware es capaz de montarse un negocio robando los datos de personas que se descargan sus falsas apps de Google Play en un terminal Android. De cómo lo hace, y de cómo actúa una persona así. Para que quede claro, voy a comenzar la historia desde el principio, para que podáis seguir todo el hilo de investigación y al final me deis vuestra opinión. 

El Greyware y las apps en Google Play

Que en Google Play hay mucho adware no es algo que sea una novedad. Ya hace no mucho publiqué un artículo en el que creía que respecto al malware para Android ya se tiene el full-equip porque los estafadores han visto en él un canal propicio para llegar a las víctimas. Entre las cosas que campan por Google Play hay mucho greyware y adware. Muchas de ellas son aplicaciones que prometen cosas fantásticas de forma gratis, como cuando supuestamente Apple abrió una cuenta en Google Play para vender iWorks.

Figura 1: Un falso desarrollador vendiendo falsas apps de Apple

Es decir, software malicioso que roba datos engañando a los usuarios con unas políticas de privacidad y términos legales de difícil acceso y compresión, algo que se están encargando de hacer ilegal desde hace tiempo, para exigir más claridad y menos estafadores como estos.

Unapp.es se hace una base de datos con tus datos

Google, periódicamente va tirando estas apps de Google Play cuando sus procesos de revisión interna, las casas de antimalware, usuarios o empresas de seguridad van denunciando las apps y los developers maliciosos. Normalmente Google tira al día una buena cantidad de apps que puede rondar entre las 800 o las 2.000 - según el día -. Unas de ellas fueron las apps del desarrollador Wert Exchanger, que fueron tiradas por Google Play de su tienda  y que nos llevó a preguntarnos por qué.

Cuando fuimos a ver por qué Google Play las había tirado haciendo un poco de investigación interna pudimos confirmar que son apps que acceden a "demasiados" datos y que no hacen lo que prometen. Son fake apps que engañan al usuario. Saber a cuáles son los datos a los que acceden es fácil de comprobar, y mirando el código aparece esta sección que se publicó en el blog de Eleven Paths en el que se aprecia que se lleva datos del terminal para generar un buen fichero de datos personales que espero que tenga bien declarado en Agencia de Protección de Datos y con todas las medidas de seguridad pertinentes.

Figura 2: El código que se lleva los datos a un servidor llamado bd.unapp.es

Dicho esto, en el código se puede ver un dominio unapp.es así que bastaba con saber quién ponía este código que se lleva los datos haciendo una búsqueda Whois para ver que detrás de él está Santiago M.A.

La ofensa y amenaza

Cuando lo publicamos escribió a un compañero diciendo que está en sus términos legales la explicación de por qué se llevan esos datos - aunque no se notifica al usuario que se van a llevar esos datos en concreto de los terminales Andorid -. Lo que dice la política es genial, es justo esto:

" Los datos recabados son los adecuados, pertinentes y no excesivos en relación con el ámbito, las finalidades y servicios determinados, explícitos y legítimos de Usatek S.C"

Adecuados, pertinentes y no excesivos. ¿El IMEI? Es curioso que la propia Google, en su política de apps advierte de que esta práctica, sin un consentimiento explícito del usuario para acceder al IMEI - explícito al IMEI - está prohibida.

Figura 3: Política de Google Play de acceso al IMEI

El número de apps que tiene haciendo esto, con este código es muy alto, actualmente unas decenas activas que al final del post os dejo con que desarrolladores las ha publicado.

El caso de una app falsa con la imagen de Menéame

Lo más gracioso, es que las apps que distribuye Santiago M.A. son falsas, ninguna hace lo que promete y utilizan técnicas agresivas para la difusión de la estafa. Uno de los usuarios activos que tiene ahora es Adrocia, donde se usa la imagen de Menéame, Google y un juego de niños.

Figura 4: El desarrollador Androcia mete el mismo código de fake app

En el caso de Menéate, que usa la imagen de Menéame - además de llevarse los datos con el código que os he dejado en la Figura 2 - fuerza al usuario a poner 5 estrellas sí o sí, para poder usar la app.

Figura 5: Menéate con Menéame. Una fake app que te roba tus datos.

Esto lo hace en todas las apps que publica, por ejemplo, bajo el desarrollador Androcia - uno de los que usa para este negocio -, y algunos usuario se han quejado abiertamente de esto en los comentarios que tienen que dejar.

Figura 6: Comentarios de obligación

Lo peor es que cuando te instalas una de sus apps, la política legal que te muestra es la que he explicado antes, y si no aceptas los términos legales, no pasa nada, a los 20 segundos da como que los has aceptado y NO se lleva los datos a su servidor. Ya sabes, tu nombre, email, IMEI, etcétera. Datos imprescindibles para ver el contenido según ellos.

Figura 7: A los 20 segundos te automáticamente da por aceptada la política

Sin embargo, como lo que interesa es ganar dinero, los datos de la persona sí que se envían al servidor de publicidad que está utilizando, tal y como se puede ver en esta captura hecha con Burp sobre una esta app corriendo sobre un emulador de Android.

Figura 8: Como se puede ver, se envían los datos a un servidor incluso sin aceptar la política

Por supuesto, una vez que la instalas, la app o no hace nada, o te muestra unas bonitas animaciones que no tienen desperdicio, como que está cargando algo. Lo más curioso es que encima de solo meter una cutre-animación para simular que hacen algo las apps, el tipo utiliza la misma en un buen montón de apps. Mirad este flash de apps para robar WiFi.

Figura 9: Una de las animaciones que usa en sus fake apps de hacking WiFi

Si miramos todos los dominios que usar para colgar estas animaciones, el chiringuito que tiene montado para ganar pasta con Adware haciendo fraude online es de un nivel de dispersión grande.

El resto de las apps que mantienen su negocio de greyware

Supongo que por este tipo de cosas, las apps son tiradas de Google Play, pero... el número de apps utilizadas en esa estafa es muy grande. Así, además del primer desarrollador que vinos antes que utilizaba esta estafa, hay muchos más y en Eleven Paths estuvimos buscándolos.

El primero de los usuarios con apps haciendo esto mismo fue el usuario przyjaciele aktor, que por supuesto ya no está en Google Play, pero ahora sigue creando más usuarios desarrolladores, como por ejemplo Nave Real, donde Google Play ya le ha tirado algunas apps.

Figura 9: Las apps de Nave Real, un desarrollador que roba igualmente los datos

En Multimedia apps, - activo ahora mismo - tiene la siguiente lista de apps. La lista de marcas son Antena3, Xplora, TVE, NASA, etcétera.

Figura 10: Las apps de Multimedia apps

En estas que quedan, es fácil ver en el código el mismo segmento que está publicado en la Figura 2 para llevarse los datos. Otro usuario que Google Play ya ha tirado, utilizaba apps con la imagen de La Sexta, RTVE, Antena 3, Televisión de Galicia, alguna que otra linterna, etcétera. Se pueden ver las apps de "Marica non chores" en la caché de Google.

Figura 11: Apps de Marica non chores que usaban el mismo código

Otro de las cuentas de desarrollador que está utilizando en esta recolección de datos con falsas apps es Ricardo Cholete, usando la imagen de Discovery Channel, ESPN, Canal Historia o TeleSur.

Figura 12: Apps de Ricardo Cholete

También tiene un desarrollador con nombre celeron que se ha sumado a la fiesta de las falsas apps de WhatsApp.

Figura 13: Celeron también se suma al WhatsApp

Otros desarrolladores que también uso fue Freida Ideal Desing & Program, Sestaapps, Sestao River The best, Piercing, Leti & Cia, Nay App, etcétera, que por suerte les han tirado ya todas las apps que publicaron. En la caché de Google puedes encontrar lo que hacían.

¿Para que robar todos estos datos?

La base de datos de tener asociado el IMEI, el número de teléfono y el correo electrónico puede venir bien para los que intentan meter un troyano bancario que robe los SMS de confirmación de operaciones cuando se sepa el nombre de correo electrónico. Es decir, supongamos que una persona está robando los usuarios y contraseñas de accesos bancarios con malware in the browser. Si roba también el correo electrónico, podría ser útil comprar una base de datos que sepa exactamente en qué terminal es en el que hay que meter el troyano, pero esto... esto solo es una suposición.

En definitiva, las apps que genera la empresa de Santiago M.A. no están hechas para hacerte ningún bien, y desde el inicio son aplicaciones fraudulentas hechas con el objetivo único de robarte los datos y ganar pasta con la publicidad que consigan que te envíen. Esperemos que Google endurezca los controles para evitar que este tipo de apps proliferen tan alegremente.

Actualización: La historia de esto continúa en Adware & Política

Fuente

El repentino y misterioso fin de TrueCrypt

TrueCrypt ha sido durante años la herramienta de cifrado de código abierto por excelencia y casi un estándar de facto, aunque siempre ha esta envuelto en un halo de misterio, sobretodo porque sus desarrolladores son anónimos. Ésto junto con todas las filtraciones sobre el espionaje de la NSA han levantado muchas suspicacias acerca de la seguridad de la herramienta, provocando incluso el surgimiento de proyectos de crowdfunding para auditar su código.

En el blog ya comentamos los resultados de la primera fase del proyecto 'Is TrueCrypt Audited Yet?' en la que no se encontraron evidencias de backdoors o código malicioso intencionado, sólo algunas vulnerabilidades debidas a que no se siguieron buenas prácticas de programación segura (falta de comentarios, funciones obsoletas, tipos de variable inconsistentes, etc) y algunas debilidades en las comprobaciones de integridad de cabeceras de volumen (Volume Header integrity check).

A falta de la segunda fase de criptoanálisis, ayer nos sorprendió una actualización en la página oficial de TrueCrypt en Sourceforge en la que sus desarrolladores anunciaban su fin principalmente por dos motivos:
1. usar TrueCrypt no es seguro y podría contener fallos de seguridad no corregidos
2. TrueCrypt se desarrolló fundamentalmente porque Windows XP no tenía soporte de cifrado nativo y, ahora que Microsoft ha finalizado su soporte, aconsejan migrar a ¡¡Bitlocker!! (WTF!).

De hecho en la página del proyecto subrayan que la web sólo se mantiene para ayudar a migrar los datos cifrados con TrueCrypt, detallan los pasos para migrarlos y publican la versión 7.2 que sólo permite descifrar...

¿Por qué de repente anuncian que TrueCrypt es inseguro? ¿lo han descubierto justo ahora o "ya lo sabían"? ¿Cómo es posible que recomienden migrar a una herramienta que no es de código abierto? (¿sus desarrolladores trabajan ahora para M$?)

La primera impresión fue pensar que la página había sido comprometida y se trataba de un hoax. Sin embargo según pasan las horas todo apunta a que los cambios son legítimos, la versión 7.2 está firmada con la clave GPG de sus creadores y (al menos) el código fuente de la nueva versión parece no contener malware: 43 archivos cambiados, 1760 añadidos, 4112 borrados y mucho "AbortProcess ("INSECURE_APP");"...

Sea como fuere, lo digan sus desarrolladores o no, con todo este misterio y con todo el dolor de mi corazón creo que si ha llegado el momento de dejar de utilizar TrueCrypt, pero no necesariamente hacia BitLocker, existen otras alternativas libres como TcPlay, Luksus, Cryptonite (para Android), RealCrypt (un spin-off de TrueCrypt), FreeOTFE, AxCrypt, AESCrypt, etc.

Y vosotros, ¿Cuál tienes pensado utilizar o ya utilizas alguna otra?



Fuente

Localizar direcciones e-mail en servidores PGP KeyServers

Cuando se plantea hacer un test de intrusión a una compañía, una de las pruebas habituales es probar la tolerancia que tiene la organización a ataques dirigidos en modo APT con alguna prueba de phishing. Algo similar a como decía yo que había que probar la seguridad de tu organización para saber si se necesita con urgencia un plan de concienciación interno para el personal y alguna solución de segundo factor. El objetivo es fácil: robar identidades internas para conseguir accesos privilegiados a la red.

Para ello se deben recopilar los posibles objetivos, para lo que hay que buscar las direcciones de correo de las posibles víctimas, que luego se podrán buscar por distintas redes sociales para interactuar con ellos y hacerles el ataque. 

Localizar esos correos puede hacerse de muchas formas, desde usar The Harvester o Maltego para localizarlos en los buscadores, hasta hacer un spidering & crawling al sitio para localizar las direcciones de correo electrónico publicadas en la web, pasando por buscar en las bases de datos de identidades dumpeadas, revisando con la FOCA para extraerlos de los metadatos o en los lugares de configuración well-know, como los registros SOA del DNS, los datos en los Certificados Digitales o la información histórica de las entradas de Whois. Todo vale para localizar datos.

Figura 1: Correos electrónicos de fbi.gov localizados por Maltego

Una de las cosas que se pueden utilizar también son los servidores de claves públicas PGP. Si una persona está utilizando PGP (Pretty Good Privacy) para firmar y/o cifrar sus correos es necesario que comparta su clave pública PGP para que alguien pueda cifrar el contenido del mensaje con ella y garantizar que sólo él puede ver el contenido.

Para que sea fácil la distribución de claves públicas PGP se crean servidores de claves públicas llamados KeyServers que pueden ser consultados con clientes para hacer búsquedas. Estos servidores se montan en las organizaciones normalmente en el puerto 11371, así que un sencillo escaneo de puertos nmap en la red por ese puerto debería dejarte localizarlos.

Lo bueno es que también hay servidores de claves PGP públicas que funcionan vía web, desde que se publicó OpenPGP HTTP Key Server en el MIT, que permiten hacer búsquedas usando comodines. Así, si la clave es pública, puedes buscar direcciones de correo de cualquier organización.

Figura 2: El servidor OpenPGP del MIT

Algunas de esas claves son creadas y publicadas con cierto trolleo, porque al buscar las del FBI me han salido algunos resultados, que parecen cuanto menos sospechosos de haber sido inyectados como claves fake. Al final uno se crea el certificado digital que quiere y lo distribuye, incluso sin tener que ser suya la dirección de correo electrónico.

Figura 3: Resultados obtenidos al buscar fbi.gov

Este servidor del MIT no es el único, en España hay un servidor de claves PGP públicas en RedIris que también puede usarse para buscar datos en los certificados públicos PGP de, especialmente, dominios de la universidad.

Figura 4: Servidor de claves PGP públicas en RedIris

También tiene un servidor de claves públicas PGP el propio dominio de PGP.com donde aparecen otras bases de datos. Recordar que PGP es un software comercial también, y es quién ofrece este servidor.

Figura 5: Servidor de claves PGP públicas en PGP.com

Buscando por Internet pueden aparecer más servicios de claves públicas PGP en la web, como este que está en Alemania. Al final, cualquier pieza de información puede ser útil en un ataque, y nosotros en nuestro sistema de pentestig persistente Faast - que también cuida de que no se caduquen los certificados digitales como el gran FAIL que le ha pasado a Apple - buscamos en todos ellos para poder el mayor número posible de información a la hora de lanzar los plugins de pentesting contra los servicios.

Fuente

YaCy: un motor de búsqueda distribuido y libre que utiliza P2P

YaCy es un motor de búsqueda gratuito que cualquiera puede utilizar para crear un portal de búsqueda para su intranet o para ayudar a buscar en la Internet pública. Al contribuir a la red P2P global, la escala de YaCy sólo está limitada por el número de usuarios en todo el mundo y es posible indexar miles de millones de páginas web. Es totalmente descentralizado, todos los usuarios de la red de motores de búsqueda son iguales, la red no almacena las solicitudes de búsqueda de los usuarios y no es posible que nadie pueda censurar el contenido de los índices compartidos.

El objetivo es lograr la libertad de información a través de una búsqueda en la Web libre distribuida y desarrollada por usuarios de todo el mundo.

Descentralización

Imagina que, en vez de depender de un propietario de software o de un gran motor de búsqueda profesionalizado, tu motor de búsqueda fuera operado por muchos ordenadores que no estan bajo el control de ninguna compañía o persona. Bueno, ¡eso es lo que YaCy hace! El resultado de la busqueda web descentralizada actualmente tiene alrededor de 1.4 mil millones de documentos en su índice (y continua creciendo) y mas de 600 operadores de peer contribuyen cada mes. Alrededor de 130.000 solicitudes de búsqueda son realizadas con esta red cada dia.

Imagen en vivo de la red “mundo libre”

Instalación sencilla
 
Su instalación sólo te llevará tres minutos. Sólo tienes que descargar la versión, descomprimir el paquete y ejecutar el script de inicio. En linux necesita OpenJDK7. No es necesario instalar las bases de datos externas o un servidor web, todo está ya incluido en YaCy.

Página del proyecto: http://yacy.net/en/index.html

El Modo Dios en Windows 7 (God Mode)

Desde principios de 2010 se conoce (y todavía sigue vigente) una característica oculta en Windows 7 denominada "God Mode" que permite a los usuarios acceder a todos los paneles de control del sistema operativo dentro de una sola carpeta. De hecho incluyemás de 270 elementos configurables, muchísimos más de los que encontramos directamente dentro del Panel de Control estándar.
Lo más sorprendente es que basta con crear un nuevo directorio y renombrarlo con la siguiente cadena de texto al final:

GodMode.{ED7BA470-8E54-465E-825C-99712043E01C}

Pruébalo y verás que serás capaz de manejar todo desde un solo lugar, desde cambiar la apariencia del puntero del ratón hasta hacer una nueva partición del disco duro. Se trata de un acceso directo para desarrolladores oculto y no documentado... y existen unos cuantos accesos directos más:

    Default Location – {00C6D95F-329C-409a-81D7-C46C66EA7F33}
    Biometrics – {0142e4d0-fb7a-11dc-ba4a-000ffe7ab428}
    Power Settings – {025A5937-A6BE-4686-A844-36FE4BEC8B6D}
    Notification Area – {05d7b0f4-2121-4eff-bf6b-ed3f69b894d9}
    Manage Credentials – {1206F5F1-0569-412C-8FEC-3204630DFB70}
    Get New Programs – {15eae92e-f17a-4431-9f28-805e482dafd4}
    Default Programs – {17cd9488-1228-4b2f-88ce-4298e93e0966}
    NET Framework Assemblies – {1D2680C9-0E2A-469d-B787-065558BC7D43}
    Wireless Networks – {1FA9085F-25A2-489B-85D4-86326EEDCD87}
    Network Neighborhood – {208D2C60-3AEA-1069-A2D7-08002B30309D}
    My Computer – {20D04FE0-3AEA-1069-A2D8-08002B30309D}
    Printers – {2227A280-3AEA-1069-A2DE-08002B30309D
    RemoteApp and Desktop – {241D7C96-F8BF-4F85-B01F-E2B043341A4B}
    Windows Firewall – {4026492F-2F69-46B8-B9BF-5654FC07E423}
    Performance – {78F3955E-3B90-4184-BD14-5397C15F1EFC}
    Sync conflicts: {289978AC-A101-4341-A817-21EBA7FD046D}
    Sync setup folder: {2E9E59C0-B437-4981-A647-9C34B9B90891}
    Windows Update: {36eef7db-88ad-4e81-ad49-0e313f0c35f8}
    Bluetooth Devices: {28803F59-3A75-4058-995F-4EE5503B023C}

Referencia: http://support.microsoft.com/kb/979240/es