Continuamos con la crónica de la segunda jornada de la edición 2012 del evento de seguridad
NoConName
Nuestro colaborador, empezó hablando de la gran cantidad de dispositivos Android existentes. Continuó contando varias
pruebas de concepto que ya publicamos anteriormente en SbD, para subir aplicaciones maliciosas al market de google, e incluso al bot de comprobación que introdujeron después cuando se llamó Google Play: bouncer.
Hizo un par de demostraciones de aplicaciones que vulneran estas medidas de seguridad de forma dinámica, es decir, que se sube una aplicación no maliciosa, e inocente, descarga un payload desde un servidor externo, lo ejecuta y el propio garbage collector de Java se ocupa de eliminarlo de memoria...
Siguiendo con la temática de análisis de malware, el ponente explicó cómo funcionan los antivirus para detectar el malware que en un dispositivo.
Como reza el título de la charla, Abraham ademas nos explicó diferentes técnicas de cifrado y empaquetado de payloads maliciosos para no ser detectados por los antivirus: Av-fuck, dsplit, acorralador de firmas, etc… La parte práctica, la llevó a cabo haciendo demos con herramientas de cifrado y de detección, o modders, para ir acotando el offset de la firma suficientemente, hasta hacer el malware indetectable.
El ameno ponente alicantino, empezó enfocando su charla en las múltiples vulnerabilidades existentes en asterisk+freepbx, así como la alta frecuencia de actualizaciones, debido a los múltiples y recurrentes fallos encontrados, como usuarios y contraseñas por defecto, xss, sqli, lfi, etc,...
Una vez accedido a un panel, el objetivo es conseguir una shell... Para ello, en base a modificar el dialplan, aprovechando el propio interfaz web FreePBX, creaba un script en el sistema que corre Asterisk, codificado en hexadecimal, que ejecutará una shell inversa hasta la máquina atacante.
Pepelux ha creado una herramienta en perl que permite automatizar todo este proceso… y así lo demostró en la NcN.
A partir de ahi, el siguiente paso es acceder a la base de datos Mysql utilizada, por defecto sin contraseña de root. En caso que la hubieran cambiado, ésta se encuentra en claro en un par de ficheros utilizados por Asterisk. A partir de aquí, podemos crearnos una extensión válida.
Analizando el apache, mostró también que puede ser modificado todo el contenido, ya que el directorio que sirve el mismo tiene como dueño el usuario freepbx.
Para redondear la jugada, mostró también varias vulnerabilidades de asterisk, por los que es posible insertar módulos. Recalcar que Asterisk añade un hash en los ficheros de módulos, que dependen del sistema en el que se hizo la compilación,…. Sin embargo, analizando el módulo troyanizado con el hash que corresponde, ya no dará errores de carga de módulos y nos permitirá disponer de una clave maestra para conectarnos con cualquier extensión!.
El ya habitual reverser zaragozano de la NcN, demostró en una clase magistral el buen trabajo de investigación llevado a cabo por él y su equipo sobre Instrumentacion Dinámica de ejecutables. En su explicación, comparó diferentes frameworks de este tipo, en base a los recursos utilizados por cada uno, rendimiento obtenido, etc,...
Además, demostró cómo puede ayudar este tipo de frameworks a detectar condiciones de Buffer Overflow en software mal hecho.
Nadie mejor que estos dos expertos en fraude bancario para contar al público, de una forma bastante amena, como es de esperar en ellos, la historia de los grandes genios del fraude. Fundamentalmente, engaños mediante dialers, robos de tarjetas de crédito, fraude bancario, skimmers, herramientas de manipulación de cajeros automáticos para el robo físico de tarjetas de crédito con el pin mezclando ingeniería social, etc,… hasta que a partir de este siglo, con el uso de banca online, explota el fraude de este tipo, utilización de botnets, etc,.. Posteriormente, se empiezan a ver Skimmers "low cost" basados en audio, la cooperación de Insiders, camareros que roban/clonan tarjetas de crédito o por ejemplo datáfonos trucados que ademas de cobrar, mandan los datos a Pakistán,...
Una que me pareció sorprendente, combinada con técnicas de Ingenieria social, mediante el forzado de que la tarjeta o los billetes no salgan del cajero. Así aparece un número de teléfono de soporte en el cajero,.. mediante el que los delincuentes piden el pin, a los usuarios…. y estos se lo dan!!!.
Pusieron otros ejemplos en los que gente directamente compraban un cajero automático y lo ponían en una ciudad, o incluso el de alguien en Beijing que lo construyó él mismo.
En fin, hablaron de montones de tipos de fraude y malware bancario como Tatanga, Zeus o Spyeye que ha hecho que pensemos dos veces antes de efectuar cualquier operación a través de Internet.
Una vez más, esta pareja de amenos andaluces, dieron su charla con la mayor de las comodidades, sintiéndose como en casa, puesto que la dieron en pijama (
#trianapijama).
El objetivo de la ponencia era enumerar diversas formas de extraer información de una organización. Lo más normal en cuanto al robo de información se refiere, es la utilización de dispositivos usb, cds, diskettes, impresoras,… Sin embargo, los ponentes quisieron mostrar formas más "ninja" de efectuar este tipo de desfalcos.
Mostraron pruebas de concepto bastante curiosas de hacerlo por red, como la transformación de información de un documento en paquetes de red ICMP (carácter a carácter dentro del payload) o UDP, e incluso código morse...
Otras opciones, mediante impresoras conectadas a Internet que tienen servicio FTP abierto o que permiten escanear online, faxes, etc,...
Inicialmente, Pablo comenzó hablando de cómo este servicio ha desplazado de forma aplastante a los SMS y por qué cuando Whatsapp se cae, es Trending Topic y noticia en los telediarios.
Esta charla fue una recopilación de diferentes vulnerabilidades existentes en Whatsapp. al ser Whatsapp multiplataforma, la forma de cifrar los datos en el envío difiere en ellas. Por ejemplo, en el caso de IOS se utiliza la dirección MAC del dispositivo, y en Android el IMEI.
Además, existen diferentes proyectos que utilizan los servicios web que utiliza Whatsapp para poner a disposición de la comunidad varias APIs que permiten utilizar Whatsapp sin necesidad de tener un dispositivo que lo contenga.
Pablo demostró (en video, puesto que justo hace una semana antes, en Whatsapp hicieron cambios en la API) varios de estos ataques: spam, poder suplantar cualquier usuario, inundacion y espionaje...
Por si os perdisteis la primera entrega de la NoConName, aquí os recuerdo el
Enlace a la Crónica del día 1 de la NcN 2012
