06 marzo 2015

Desmantelando Webex en #RootedCon2015



Desde el año pasado, y como hemos ido contando a los lectores de Security By Default, desde Securízame, hemos ofrecido diversos cursos de formación online, en los que utilizamos WebEx como herramienta de presentación, por la que los profesores compartimos nuestra pantalla y presentamos los contenidos, demos, etc,…  

Una vez que termina la sesión, a los alumnos invitados a esa reunión, WebEx les envía un enlace para poder visualizar el video, de manera que éste no se puede descargar.

Fue el año pasado cuando Abel Valero, me dijo en el evento Navaja Negra que, investigando en su disco duro por otro tema personal, había sido capaz de ensamblar los videos de las sesiones recibidas por WebEx, sin disponer del enlace de reproducción y que las podía reconstruir en local. Como sabía que en nuestros cursos usábamos Webex, me lo quiso contar para que lo tuviera en cuenta.

Conociendo el pasado de Abel, que perteneció al grupo de reversing Whisky Kon Tequila (WKT), sigue siendo una mente curiosa e inquieta y gran aficionado a los CTFs, lo que me contó, me sorprendió e interesó, pero no me extrañó en lo más mínimo. 
Hace unos meses, me indicó que iba a liberar en RootedCon la herramienta que desarrolló para poder disponer del video en formato ARF (el que deja descargar por defecto Webex), por la que cualquiera que haya podido visualizar el video, pueda reensamblarlo en base a los ficheros temporales…. y así ha sido.

En la presente edición de RootedCON, la sexta de este congreso, Abel explicó los internals de la misma, y que paso a relatar aquí:



Empezó comentando las razones de la charla. Fundamentalmente por haber borrado accidentalmente la información que había hecho para una formación, tuvo que buscar dentro del disco duro para buscar restos de diferentes ficheros borrados.

Dio con ficheros de tipo WAV, IDX y DAT en una carpeta en concreto, que según indicó luego es la carpeta de ficheros temporales del navegador. Asimismo, dio con un fichero más grande que contenía partes de ficheros wav dentro.

Utilizando Radare2 (del que Abel es colaborador), pudo analizar lo que el llamó la cabecera del mismo, en el que identificaba diferentes campos: tamaño del fichero, número de archivos dentro del mismo contenedor, etc,...  

Con esto en la mano, se planteó la creación de una herramienta que fuese capaz de reconstruir ese contenedor. Dio una explicación demasiado larga como para añadirla aquí directamente (estoy escribiendo este post desde el propio evento), pero la charla (slides y video) será publicada por parte de RootedCON, por lo que podréis ver con calma la excelente exposición que hizo Abel.   

Terminó la exposición haciendo una demo en tiempo real con una sesión WebEx a partir de los ficheros temporales del reproductor, en la que se vio cómo reconstruía un fichero .ARF que se podía reproducir con el player de WebEx.

Y esta es una de las razones por las que, gracias a Abel y a la publicación de su herramienta, nos hizo innovar a marchas forzadas para seguir haciendo lo posible por respetar la propiedad intelectual de los videos de nuestros cursos. De esta manera, ya no damos el acceso a visionado directo desde WebEx, sino que ahora descargamos los videos, lo convertimos a un formato más estándar, y le insertamos marcas de agua personalizadas para cada alumno, de manera que cada uno puede tener su copia para siempre y visionarla cuantas veces quiera.

Esto era una sugerencia que nos había llegado ya por parte de alumnos y algunos profesores, que por cosas del día a día, no habíamos priorizado como correspondía. Gracias a esto, los alumnos también se benefician, puesto que antes los videos estaban disponibles durante un tiempo finito en Webex, y actualmente, cada alumno puede verlo en local pasado ese tiempo.

Se demuestra una vez más que cuando nos aprietan con una vulnerabilidad que pone en riesgo nuestros datos, en este caso sin solución por nuestra parte, puesto que dependemos de un proveedor como Cisco que, en caso de no querer parchearla, otros tenemos que agudizar el ingenio para buscar un workaround. Creo que en estos casos, la burocracia a la que las grandes empresas, tiempos de prueba, número de reuniones necesarias, firmas y aprobaciones, asignación de recursos, etc,… juegan en contra de este tipo de empresas, penalizando la agilidad de respuesta.

Así que: enhorabuena a Abel por haber sido capaz de reconstruir los videos en local, liberar una herramienta para quien le pueda hacer falta hacer este tipo de recuperación o reconstrucción, y sobre todo, muchísimas gracias por tener el detalle de avisarme personalmente para poder generar un workaround.

9 comments :

anonimo dijo...

Hola. Podrias mencionar como se llama la aplicacion que Abel ha desarrollado y de donde se puede descargar. Gracias. Saludos.

María García dijo...

Amn3s1a.
Pero iban a mandar un correo a Cisco antes de publicarlo. Solo por deferencia, ya que no habría problemas legales, puesto que con ella solo accedes a tus datos y no reverseas nada.

Bien por la rapidez en el artículo, Lorenzo

anonimo dijo...

Maria, gracias por responder. No me habia dado cuenta que me estabas pasando el nombre. Te veo bastante activa con esto de la seguridad. Espero que reclutes unas cuantas damas mas :-). Saludos.

María García dijo...

De nada.
Que va, yo soy una simple aficionada. Pero ya hay algunas chicas reclutadas. En la Rooted CON, sin ir más lejos, hubo dos ponentes femeninas con mucho talento.

anonimo dijo...

Feliz Dia Maria y te sigo en tu blog.Saludos.

Iván G. G. dijo...

Teoricamente en ningun CRM se debería poder escribir excepto en unas carpetas concretas..

anonimo dijo...

Acá les dejo el link con las diapo o slide. Saludos
http://www.slideshare.net/skuater/desmantelando-webex-public-release

Maria Gonzales dijo...

Creamos
la nueva forma de buscar y quardar
insiraciones. En www.copiapop.es se
puede añadir fotos, vídeos y artículos en el espacio
ilimitado y totalmente gratis! Tienes miedo de perder todos tus achivos para tu
blog? Ahora tendrán todos los datos en un lugar sequro! Es una manera ideal por promoccionar tu
trabajo. Estamos muy interesados en tu opion sobre nuestra platforma social. ¡

Pruébenlo!
Maria

sn41d3r dijo...

gracias por el post lo veo muy util tengo poco tiempo viendo su web me parece muy buenas ya que estoy empezando en trabajar en el area de seguridad de la informacion, una duda que tengo como se hace para configurar el correo si contraseña ya que he hecho todas la pruebas y no funciona y me imagino que falta configurar un usuario y contraseña para enviar los correos, muchas gracias