Buenas a todos, hace algunos meses os hablamos desde Flu Project de UFED Cellebrite, una potente herramienta para automatizar, dentro de lo posible, el análisis forense de todo tipo de dispositivos móviles. En el artículo de hoy queríamos repetir este mismo ejercicio, pero con otra tecnología diferente, en este caso, con la alternativa que nos ofrece el fabricante ruso Oxygen Forensics.

En Zerolynx disponemos de una unidad de este fabricante, con el kit completo de cables, del cual os compartimos un par de fotografías a continuación:

Hoy veremos un ejemplo sencillo, analizando un iPhone XR a través de iTunes backup. Podéis hacer la extracción a través de la propia Oxygen, o con el software iTunes. Os recomendamos cifrarlo, además de por las razones obvias de seguridad, porque así el backup contendrá "más información", que seguro que nos será de utilidad durante el análisis forense.

Una vez realizado el backup, podremos importarlo desde el botón de Apple > iTunes Backup:

Y en unos pocos minutos, dispondremos de acceso al análisis completo, con una interfaz que os recordará a la del software Autopsy o la de la propia Cellebrite. Si algo funciona, ¿para qué reinventar la rueda?:

Si navegamos por los diferentes menús, tendremos acceso a todos los datos que contenía el teléfono, credenciales, mensajes, historial de navegación, APPs... en definitiva, al 99% de las cosas que precisaréis extraer durante un análisis forense pericial. Lo que os ahorrará sin duda la tediosa tarea de rootear teléfonos, clonar a mano, buscar las evidencias con Autopsy y el plugin oportuno, o incluso manualmente si no es factible la automatización, y tratar de defender en el informe pericial el motivo de porque ha sido necesario seguir un camino tan complejo, que podría derivar en una guerra de preguntas, muchas veces sin sentido, con el abogado de la parte contraria durante el juicio, o incluso con el juez, si estima preguntar algún detalle que crea oportuno.

¡Muy buenas a todos!

¿Os habéis planteado alguna vez adquirir nociones básicas de criptografía, pero os da miedo el abecedario griego? ¿No sabéis distinguir nonce de IV? ¿Cuándo escucháis curva elíptica, vuestro cerebro rápidamente os dirige al número once y al color verde oscuro? Si habéis respondido a alguna de estas preguntas con sí o, simplemente, no tenéis ni idea de lo que estamos hablando, creo que CryptoHack es la solución a todos vuestros problemas.

CryptoHack, como bien indican en su maravilloso FAQ, es una plataforma para adquirir conocimientos de criptografía moderna, basada en la estructura de los ya más que conocidos CTF (Capture The Flag). Obviamente, el objetivo es resolver todos los retos propuestos ante nosotros que, como es de esperar, se encuentran divididos en diferentes secciones según tipología y/o su nivel de dificultad. Ahora bien, ¿qué tiene de diferenciador esta plataforma de otras páginas de retos de criptografía? Veámoslo.

Como bien sabréis, la criptografía es una rama de las Matemáticas muy compleja, pero con un gran poder de atracción para cualquier mente inquieta. Sin embargo, entrar en su estudio requiere de un buen bagaje matemático y de mucha capacidad de abstracción, provocando que, este tipo de plataformas (en general), sea inaccesible para la gran mayoría.

El enfoque de CryptoHack es justo todo lo contrario, siendo esta su clave. Han convertido la estructura de un CTF en una serie de pequeños ejercicios de criptografía "encubiertos", siendo la flag la solución final al ejercicio propuesto tras cada "lección". Aunque parezca una tontería, han conseguido que cualquier participante entienda todos los pasos que está realizando en cada momento, permitiéndole aprender de verdad. Por otro lado, de manera indirecta, han logrado que la flag se convierta en un mero trámite final sin importancia, algo impensable siendo una plataforma CTF, ¿no os parece sublime?

En resumen, la maestría empleada para crear los retos junto a la sencillez de uso de la plataforma, hacen que sea un lugar idóneo para iniciarse en este mundo tan fascinante de la Criptografía y, de paso, picarte un poco con los colegas. Os animo a que le echéis un vistazo, os garantizo que no os dejará indiferentes.

¡Muy buenas!

Como dijimos en el último post, hoy vamos a colisionar ligeramente con el último post de Teleco in  a Nutshell (v10.0). Trataremos los mismos puntos, pero en mucha mayor profundidad.

Permitidme comenzar con un copy-paste de ese post: "HackRF One es un analizador de espectro 'barato' (250-300€, cuando uno profesional cuesta varios miles de euros...) diseñado por Great Scott Gadgets y de tipo Software Defined Radio. Se define como SDR todo aquel sistema de comunicaciones en el que los diferentes componentes hardware (moduladores, amplificadores, etc) son sustituidos por un software que hace un tratamiento de la señal digital."

El HackRF es un transceptor de tipo "half-duplex". Esto significa que puede recibir o emitir señal de forma exclusiva, es decir, no puede emitir y transmitir simultáneamente.

Debido a su hardware interno, el HackRF es capaz de capturar señales entre 1 MHz y 6 GHz. Esto no quiere decir que se pueda observar todo este rango de frecuencias a la vez, pues esto conllevaría que se generase una tasa binaria exagerada, además de existir una limitación en el propio hardware. Únicamente podremos ver una pequeña banda de frecuencias que se denomina "span".

Esta limitación viene dada por la tasa de muestreo. HackRF realiza una muestra para representar cada frecuencia del espectro. Esto quiere decir que si configuramos una tasa de muestreo de 8 millones de muestras por segundo (Msps), obtendremos un span de 8 MHz. Por tanto, tendremos que sintonizar el HackRF a una frecuencia cercana a la que queramos observar, y establecer un span que cubra la señal completamente. 

Esta tasa de muestreo de 8 Msps es el mínimo que soporta el HackRF debido a su ADC interno pero, aunque no se recomienda, se puede hacer un muestreo aún menor gracias a la técnica de "decimation". Con esta técnica podremos llegar a tener tasas de muestreo de hasta 2 Msps (por debajo de esto tendremos problemas de "aliasing", visualizando una señal que no es real). El máximo "span" que puede proporcionar el HackRF es de 20 MHz (al menos sin hacer trampa, como veremos más adelante).

A continuación os mostraremos varios ejemplos para que veáis cómo cambia el "span" en función de la tasa de muestreo:

"Span" mínimo (sin "decimation"): 8 MHz

"Span" máximo: 20 MHz A continuación podemos ver una "Decimation" de 2 sobre una tasa de muestreo de 8 Msps. Esto nos da un "span" de 4 MHz, pero podemos comprobar como los extremos pierden potencia, por el efecto de los filtros internos del HackRF, que deben usarse al hacer la "Decimation" para evitar el efecto de aliasing, por esto (entre otras cosas) no se recomienda confiar plenamente en esta característica del HackRF salvo que sea imprescindible.

Tasa de muestreo mínima con "decimation" a 2: 4MHz.

Veamos ahora varios ejemplos para que entendáis por qué ajustar el span es útil. En la siguiente imagen podéis ver la captura de una llave de coche con un span de 20 MHz.


No se ve mal, ¿verdad? Pero, ¿qué ocurre si reducimos el span a 4 MHz?


Podemos ver la señal con mucho más detalle. Debemos tener en cuenta que con un span por debajo de 8 MHz, no podemos fiarnos completamente de la señal obtenida, pero nos sirve para obtener cierta información sobre ella. Por ejemplo, en este caso podemos ver que el espectro de la señal se trata de una función conocida como "sinc", que indica que la señal en función del tiempo se trata de un tren de pulsos, es decir, una señal digital cuadrada.


No obstante, si ponemos el span a 20 MHz podemos ver más claramente un canal Wi-Fi (el 11, en concreto). No obstante, el HackRF se nos queda un poco al límite para poder analizar un canal Wi-Fi, ya que puede tener un ancho de banda de 20 o 40 MHz.


Vamos a terminar aquí por hoy. Como veis, el "span" se puede considerar como una especie de "zoom" (remarquemos mucho las comillas) en el eje horizontal. Con un span mayor podremos ver señales más anchas, mientras que con un span menor, podremos ver señales más estrechas en mayor detalle. En el próximo post os hablaremos del "zoom" (aún más comillas aquí, por favor) del eje vertical: los amplificadores. También tenemos pendiente contaros cómo ampliar el span por encima de 20 MHz, os lo iremos contando :)

¡Saludos!

El pasado jueves dio inicio nuestro Bootcamp Tech 2020, con el primero de los Hands On Labs de la mano de Álvaro Nuñez, dedicado a Fullstack. Esta semana tendremos el placer de tener con nosotros a Francisco Ramírez, de Cyberhades, que impartirá un taller sobre Machine y Deep Learning.

Varios de vosotros nos habéis escrito por email, indicándonos que teníais interés en varios HoLs concretos, en lugar de todo el Bootcamp completo, por lo que hemos anotado vuestras peticiones, y a partir de hoy, lanzaremos unos packs temáticos a 199 €, organizados por las posibles ramas en las que habéis mostrado más interés. Os los presentamos a continuación:

Más información y registro en: https://www.flu-project.com/2020/04/hands-on-labs-bootcamp-tech-2020.html

El equipo de investigación de ZecOps hizo públicas el 20 de Abril dos vulnerabilidades que afectan a la aplicación de Mail en iOS y iPadOS, que permitirían el acceso remoto a los correos almacenados en la app.

ZecOps encontró varios eventos sospechosos que afectaban a la aplicación por defecto de Mail en iOS, que databan de Enero del 2018. El equipo de DFIR (Digital Forensics and Incident Response) descubrió estos fallos al registrar varios desencadenantes de la explotación de esta vulnerabilidad en usuarios empresariales, VIP y MSSP (proveedores de servicios de seguridad gestionada) por un tiempo prolongado.

Img 1 Resumen del fallo www..zecops.com

¿Cómo se genera el ataque?

Como ZecOps define en su comunicado, “el alcance del ataque consiste en enviar un correo electrónico especialmente diseñado al buzón de correo de la víctima, lo que permite activar la vulnerabilidad en el contexto de la aplicación iOS MobileMail, en iOS 12, o mail en iOS 13”. El equipo de Investigación y Threat Intelligence suponen con gran confianza que las vulnerabilidades, sobre todo la de heap overflow remoto, están siendo ampliamente explotadas en internet por operadores de amenazas avanzadas. La vulnerabilidad no requiere de un correo electrónico largo, pues con un correo electrónico regular que es capaz de consumir poca cantidad de RAM sería suficiente.

La vulnerabilidad es 0 clic, por lo que no requiere interacción directa del usuario, solo con tener la aplicación en segundo plano o al abrir la aplicación, permitiría a un atacante acceder, modificar o eliminar correos electrónicos dentro de la aplicación de Mail. Este fallo se activa antes de descargar todo el correo electrónico, por lo que no es necesario que el contenido del correo electrónico permanezca en el dispositivo.

¿Cuáles serían los objetivos de estos ataques?

La empresa tiene sospecha que entre los objetivos de estos ataques estarían: Personas de una organización Fortune 500 en EEUU, un ejecutivo en Japón, un VIP en Alemania, MSSP de Arabia Saudita e Israel, un periodista en Japón y sospechan que un ejecutivo de una empresa en Suiza.

Algo importante que destacar

Se determinaron varios eventos sospechosos entre los que incluían strings comúnmente utilizados como son 414141…4141, permitiendo pensar que podría ser un ejercicio de red team. Después de confirmar que no se trataba de un red team, el equipo de ZecOps validó que estos strings si fueron proporcionados por el remitente del correo electrónico. Existe un punto importante a destacar de todo esto, y es que a pesar de que los confirmaban que los correos electrónicos de explotación si fueron recibidos y procesados por los dispositivos iOS de las víctimas, no se encontraron los correos electrónicos correspondientes que debieron recibirse y almacenarse en el servidor de correo. Por lo que, ellos deducen que estos correos electrónicos pudieron haber sido eliminados internacionalmente como “parte de las medidas de limpieza de seguridad operativa del ataque”.

Img 2 Como se veia un ataque fallido con aprovechando estas vulnerabilidades www..zecops.com

Versiones afectadas

Durante la investigación se han realizados varias pruebas y se conoce que todas las versiones iOS son vulnerables, incluida la versión actual de iOS, la 13.4.1.

Las versiones de iOS 6 y superiores son vulnerables; cabe recalcar que iOS 6 fue lanzada en el año 2012 y el iPhone 5 estaba en el mercado. Versiones anteriores a iOS 6 podrían ser vulnerables, pero no han verificado con versiones anteriores.

Parches

Apple ha parchado estas dos vulnerabilidades en la versión de iOS 13.4.5 que se encuentra en beta. Por lo que para mitigar estos fallos podría utilizar la última versión beta.

Img 3 Parche en iOS 13.4.5 que corrige las 2 vulnerabilidades www..zecops.com

Soluciones alternativas

Si la opción de utilizar la versión beta no es posible, debería considerar en desactivas la aplicación de Mail y utilizar la aplicación Outlook o Gmail, que a priori, no son vulnerables.

Espero que lo disfruten. ¡Saludos!

Más info en: https://blog.zecops.com/vulnerabilities/youve-got-0-click-mail/

¡Muy buenas!

Si estáis pendientes de nuestras actividades, habréis visto que hace poco hablamos del proyecto OMSP en el evento online CoronaCON, sobre lo cual os hablamos en este post. Si no nos visteis, os recomendamos echarle un ojo antes de continuar.

En esa charla, después de una genial introducción al bus CAN de nuestro compañero Pepe, aparecí yo con el turbo puesto, intentando contar cómo es (a alto nivel) el proceso de ingeniería inversa de una señal, en concreto, del mando a distancia de un coche. Por desgracia el tiempo era limitado, así que tuve que dar por sentadas muchas cosas y pasar muy por encima de otras cuantas.

Por tanto, para intentar explicar con mayor detalle y tranquilidad todos estos conceptos, y dado que Juanan me picó públicamente para que hiciera una cadena de posts sobre HackRF que continuase la cadena de Teleco in a Nutshell...

Segundo descuento del mes. Esta vez en el curso Hacking con Python. La empresa Security Sentinel ha lanzado un descuento del 10% con el código FLUPROJECT10. El profesor es Francisco Sanz Moya. Aprovecha el descuento y no dudes en aprender más sobre las posibilidades de Python en el hacking ético.

Al finalizar el curso se realiza una prueba para evaluar los conocimientos adquiridos en el curso. El enfoque del curso es eminentemente práctico y está guiado a través de ejercicios.

El curso proporciona lo necesario para generar nuevas herramientas para aplicarlas en escenarios de hacking ético. Empezando por los fundamentos teóricos y prácticos necesarios para programar en Python. Gracias a este conocimiento básico del desarrollo en Python se puede crear diferentes herramientas, en las diferentes fases de un hacking ético.

Las fases de recolección de información, de enumeración, en la explotación, en el escaneo de máquinas, en todas estas puedes aplicar los conocimientos. Además, se puede integrar Python con herramientas habituales que son utilizadas en el día a día de un pentester.

El curso está definido con un 75% de práctica y un 25% de teoría. Con esta distribución se facilita,  y mucho, el aprendizaje de los conceptos. A continuación, se deja el temario del curso por semanas. Si se quiere mayor detalle se puede consultar en el siguiente email: info@thesecuritysentinel.es

Solo hay que ver el desglose del temario para ver todo el contenido que se puede ver en el curso. Aprenderás conocimientos de hacking ético y, además, profundizarás en lenguajes como Python a través de ejercicios y prácticas. No te pierdas este desglose del curso.

• Semana 0: Introducción al curso – Introducción sobre Python- Instalación de Python en Windows y Linux, y librerías externas- Python Shell y entorno IDE- Introducción a la programación- Tipo de datos- Prácticas 
• Semana 1: Introducción a python– Colecciones de datos- Estructuras de control y flujo- Funciones y clases- Prácticas 
• Semana 2: Datos, funciones y clases– Datos- Funciones- Introducción a las clases en python- Prácticas 
• Semana 3: Módulos y programación orientada a objetos– Clases en Python- Módulos y paquetes- Programación dirigida a objetos- Prácticas 
• Semana 4: Recolección de información. Parte I– Consultas DNS y WHOIS.- Geolocalización con Python- Google Hacking- Shodan Hacking- Prácticas
• Semana 5: Recolección de información. Parte II– Ingeniería social: Módulos en SET- Análisis de metadatos en imágenes.- Análisis de metadatos en documentos PDF.- Prácticas
• Semana 6: Análisis de vulnerabilidades– Uso de la librería scapy -Manipulación de paquetes -Uso de nmap para escaneo de puertos -Banner grabbing
• Semana 7: Ataques en red local– Ataques de denegación de servicio- Ataques por fuerza bruta- Ataques Man in the Middle- Otros ataques conocidos- Prácticas
• Semana 8: Proyecto final– Pautas y consejo para el proyecto- Otros proyectos realizados en python- Prácticas 

¡Buenas a todos! Ya hace 2 meses que liberamos el genial CTF de la edición 2020 del congreso Sh3llcon, ¿qué tal se os ha dado? Esperamos que lo hayáis disfrutado tanto como la propia organización y los ponentes que lo han llevado a cabo, que han realizado un gran esfuerzo para que pudieseis disfrutar de un conjunto de pruebas muy diferentes, con las que practicar ciberseguridad en disciplinas muy diversas.

El solucionario lo hemos subido en formato PDF y podréis descargarlo haciendo clic en la siguiente imagen:

¡Disfrutadlo!

Si no habéis podido realizar ninguna prueba todavía, no dejéis de echarles un vistazo antes de descargaros las soluciones: 

Meowy buenas! Seguro que si hablamos de Google Hacking o Bing Hacking, todos sabemos a lo que nos referimos, pero quizás es menos conocido que en el buscador de Youtube también se pueden realizar técnicas similares. Para ello, se disponen de un conjunto de palabras claves o dorks con las que podemos optimizar los resultados.

En la siguiente tabla, tenéis un ejemplo de la sintaxis que podemos usar para filtrar los resultados de la búsqueda:

Como ejemplo práctico y aprovechando el evento pasado de la c0r0n4con, vamos a buscar aquellos vídeos que tengan menos de una semana y que contengan en el título el nombre del congreso, por lo que sustituimos la que sería en la tabla anterior searchKeyword=c0r0n4con y nos aparece el siguiente resultado:

Good meowrning! Cuando en un ataque se realizan un alto número de peticiones, es interesante filtrar las respuestas que nos proporciona el servidor, ya que en éstas puede venir indicado si recibimos un tipo de mensaje u otro, según los valores que introduzcamos (aunque no fuera apreciable en el frontend). Por ello, en el post de hoy vamos a ver cómo diferenciar la información que nos pueda interesar en las respuestas del servidor víctima durante un ataque, usando Burp.

1. En primer lugar, mandamos la petición al intruder, seleccionamos por una parte el tipo de ataque como Cluster bomb, y por otra, los valores de los parámetros log y pwd.

El tipo de ataque cluster bomb nos va a permitir realizar combinaciones de peticiones, usando los valores de las posiciones seleccionadas. Con esto queremos decir que, si seleccionamos un listado de 20 payloads para el valor de log y 300 para el valor de pwd, probará cada payload del valor de log con cada payload del valor de pwd.

2. Seleccionamos en el Payload Set el valor 1 (ya que vamos a introducir los payloads del primer elemento seleccionado, es decir, el valor de log), y como Payload Type seleccionaremos Simple List. Para nuestros payloads, vamos a usar como posibles usernames el pequeño listado que vemos en la siguiente imagen:

3. Para introducir los payloads de las contraseñas, cambiaremos el Payload set, al valor 2, continuaremos seleccionando Simple list como Payload type, y como payloads introducimos algunas de las contraseñas más comunes.

4. Ahora es cuando viene la diferencia. Nos vamos a la pestaña de Options (dentro de nuestro ataque del intruder), y en la sección de Grep - Match vamos a pulsar en el botón Clear para eliminar los elementos que se encuentran actualmente introducidos (y sí, estamos seguros de que queremos borrar la lista :P). A continuación, añadimos en el campo de texto el mensaje que queremos que sea por el cual identifiquemos unas respuestas del servidor de otras, en nuestro caso es “Nombre de usuario desconocido”, y marcamos la casilla en la que queremos que los resultados de nuestro filtro coincidan con el texto introducido (aunque una vez añadimos el texto ésta se auto-activa).

5. Por último, siguiendo dentro de la pestaña de Options, nos vamos a la sección de Redirections y seleccionamos el valor de Always, para que, en el caso de que la respuesta contenga redirecciones, podamos ver tanto la petición de respuesta, como la redirección que realiza la aplicación. Tras esto pulsamos el botón Start attack.

Tras haber dejado que se envíen algunos de los payloads, comprobamos que en la columna que hemos añadido hay un valor que no se encuentra seleccionado, por lo que el valor correspondiente al usuario de esa petición, sería válido en la aplicación, como podemos comprobar en la siguiente imagen:

Para el mes de abril traemos descuento en dos cursos de The Security Sentinel. En primer lugar el CHEE, un curso que es la continuación del CPHE. Similar al CHEC. El CHEE es un curso dónde los alumnos continuarán aprendiendo técnicas y conceptos de hacking ético, pero partiendo de una base. No es un curso de introducción.

La empresa Security Sentinel ha lanzado un descuento del 10% con el código FLUPROJECT10. Al finalizar el curso se realiza una prueba para evaluar los conocimientos adquiridos en el curso. El enfoque del curso es eminentemente práctico y está guiado a través de ejercicios. El profesor es Francisco Sanz Moya. Aprovecha el descuento y no dudes en aprender más sobre las posibilidades del hacking ético y del pentesting.

El curso sirve cómo especialización del hacking ético con un enfoque muy práctico, basado en escenarios y prácticas, dónde se estudia la seguridad informática de forma integral y perimetral. Siempre apoyándose en el software libre para lograr los objetivos.

Durante el curso, el alumno aprende habilidades prácticas para llevar a cabo auditorías de sistemas a través del hacking ético. Se aprenden diferentes tipos de ataques, básicos y avanzados, así como el manejo de herramientas de forma que puedan llevar a cabo en un entorno profesional real.

El curso está definido con un 75% de práctica y un 25% de teoría. Con esta distribución se facilita,  y mucho, el aprendizaje de los conceptos. A continuación, se deja el temario del curso por semanas. Si se quiere mayor detalle se puede consultar en el siguiente email: info@thesecuritysentinel.es

Solo hay que ver el desglose del temario para ver todo el contenido que se puede ver en el curso. Aprenderás conocimientos de hacking ético y, además, profundizarás en lenguajes como Python y Ruby, siempre aplicado al hacking ético. No te pierdas este desglose del curso.

• Semana 1– Introducción y Objetivos del curso
• Semana 2– Metasploit 100% (Fases del hacking y creación de Exploits)
• Semana 3– Python Hacking
• Semana 4– Ruby Hacking
• Semana 5– Hacking Web
• Semana 6– Hacking Infraestructuras I (Linux y Windows)
• Semana 7– Hacking Infraestructuras II ( Shell scripting y Escalada de Privilegios 100%)
• Semana 8– Malware 100%
• Semana 9– La Auditoría (Presupuesto, Contrato y Alcance)