Information Gathering en auditorías. Parte II

Como ya vimos en la primera parte un primer paso para auditar una empresa es la recolección de información mediante los buscadores como Google, Robtex, etc.
Es decir, intentar buscar la mayor cantidad de información disponible sin necesidad de utilizar ninguna herramienta. Lo que conoce por Ingeniería Social.
El segundo paso sería la utilización de algunas herramientas para esta labor.
Intentaremos obtener información de la empresa a la que estamos auditando sin llegar a realizar un ataque. El ataque se hará a posteriori una vez tengamos toda la información necesaria.

Como desde un primer momento nosotros como auditores externos y posicionandos como un atacante sin ningún tipo de privilegios vamos a ver como se podría obtener la información de los subdominio de la empresa haciendo una búsqueda de DNS con el fin de poder encontrar alguna vulnerabilidad en alguno de sus servidores.

Una de las herramientas que se suele utilizar para esto es Know-scan, con la que podremos enumerar los subdominios.

Como muestra hemos lanzado esta aplicación contra Facebook. Y tal y como podemos ver en la imágenes se obtiene un gran número de subdominios. Que además son bastante descriptivos.

 

 

Img 1: Enumeración de Dominios.

En un entorno empresarial este método nos descubriría subdominios tan atractivos como el webmail, una extranet y algunos servidores de preproducción los cuales suelen tener bastantes vulnerabilidades por estar en constante desarrollo.

¿Está la gente realmente concienciada de lo importante que es la Seguridad Informática?

Gran parte de los ataques Hacker se hacen a empresas, y por lo general suelen ser empresas grandes y con mucho nombre. Se habla de lo importante que es tener los sistemas bien securizados por parte de los administradores. Pero, ¿Como de concienciada está a gente de lo importante que es la seguridad informática en el día a día?.
Hemos de tener siempre presente lo importante que es la seguridad en todos los aspectos. Instalar un antivirus en nuestro ordenador no es suficiente para evitar ataques.
Hoy en día tanto virus, como troyanos o como cualquier tipo de ataque son más sofisticados. Capaces de eludir a los sistemas antivirus, Firewall, etc.

Dato

Con la llegada de los dispositivos móviles de 3ªGeneración más del 50% del tráfico de internet se hace sobre éstos. La gente tiende a pensar que para los dispositivos móviles a penas existen virus o ataques que vayan a dejar a un terminal vulnerable.
Sin embargo los hacker también han cambiado sus objetivos a la hora de atacar, y ya se van viendo como existen virus y troyanos para Android e iOS.

Google y Apple constatemente lanzan actualizaciones a sus sistemas en gran parte es para parchear problemas de seguridad.

Cuando un usuario medio/avanzado decide aplicarle el Jailbreak a su dispositivo iOS o el Root a su Andorid, no se dan cuenta que están dejando las puertas abiertas a atacantes.

Ya que éstos toman ciertos permisos sobre el sistema los cuales el usuario no tiene posesión y que un Rootkit podría aprovechar.

Otro dato curioso es que en las comunicaciones 3G o GPRS se puede llegar hacer un MITM (Man in the middle).

Sin hablar de que los propios dispositivos móviles no son sólo las victimas de los hacker sino que además cada día se crean más herramientas de auditorías capaces de trabajar sobre ellos.

Casos como el de Metasploit en iOS, Wififorum, dsploit, etc, son utilizados para realizar ataques igual de efectivos que en un ordenador portátil, teniendo la ventaja de pasar desapercibido.

No sería nada raro estar en el McDonnals de turno y tener al lado un señor con su móvil auditando la red wifi que nos ofrece el establecimiento.

Suplantación de identidad de emails en iOS

Es curioso la cantidad de aplicaciones que se pueden encontrar por la AppStore, sobre todo cuando se busca algún escáner, un sniffer o algo relacionado con la seguridad. De casualidad me tope con esta aplicación (y con un montón más) capaz de hacer una suplantación de correo. O bien enviar un email desde una cuenta inexistente o anónima.

Desde esta pequeña y simple aplicación podemos enviar emails haciéndonos pasar por cualquier otra persona. Ideal para la gente que quiera hacer una broma a sus amigos y hacerse pasar por El presidente de empresa -por ejemplo.

Img 1: Formulario para hacer el Fake.

Img 2: Suplantando identidad.

Lo bueno de esto es que es totalmente funcional y que al menos los servidores de Gmail no lo detectan como Spam. Independientemente del correo que pongas desde el destinatario que lo envía o el asunto. Se lo traga todo.

En la prueba que he hecho no le han importado palabras como "cuenta", "suplantación" y "Hack". Además mirando el código fuente del mensaje vemos como se envía desde unos servidores de "Microsoft".

Img 3 : e-mail recibido en la bandeja de entrada

Al igual que esta aplicación para los emails hay cientos de ellas para los sms/mms, haciéndote pasar por otra persona. Para la geolocalización pudiendo publicar en Facebook o en twitter una ubicación falsa.

Supongo que si encontramos una de estas aplicaciones denominadas "fake" capaz de hacer fotos y suplantar la identidad y la localización, podremos saltarnos la manera de ser descubiertos por los metadatos de los archivos que son analizados por programas como FOCA.