Prevenir Hacking Con Backtrack
10
Hace unos meses, realizando pruebas de diferentes tipos de ataques sobre redes WiFi, dejé habilitada una red en casa con cifrado WEP, (eso sí, sin el SSID del operador con la contraseña por defecto predecible mediante las clásicas herramientas como Liberad a WiFi). Pasó el tiempo y dejé la red tal y como estaba, consciente evidentemente de que alguien podría querer invitarse algún día a la fiesta sin haber pagado la entrada, en cuyo caso ya mandaría yo a los de seguridad. Pues bien, hace unos días, echando un vistazo a los Logs del servicio DHCP de mi router, cuál fue mi sorpresa al ver que además de la información de mis equipos, había una fila más con el nombre de host “Rober1”. En efecto, algún vecino estaba intentando u tilizar mi red, y considerando que como poco había tenido que utilizar alguna herramienta para obtener la contraseña, podría tratarse de un vecino con conocimientos sobre hacking, aunque lo de poner su nombre en el hostname indicaba lo contrario (siempre y cuando no se tratara de un cebo). Por lo pronto, no conocía a ningún vecino llamado Rober o Roberto. El primer impulso de cualquiera ante una situación así, podría ser el de c ambiar el cifrado de la red a WPA2 con una clave robusta, y cortarle el grifo al vecino, pero los que nos dedicamos a esto de la seguridad, lo vemos como una excelente oportunidad para realizar una práctica con fuego real de hacking en redes de datos, al fin de todo, la red es mía y él es el intruso. Como no disponía de mucho tiempo, pues esto me cogió justo antes de salir de casa a un compromiso inelu dible, además de desconectar todos mis equipos de la red, y dejarle así todo el ancho de banda a “Rober1” para que se sintiese como en casa, mi primer paso fue poner rápidamente uno de mis equipos con Backtrack5, una antena WiFi y la s uite Aircrack, a escuchar el tráfico de mi propia red en modo monitor. El objetivo era intentar obtener algún dato que me pudiese dar información acerca del vecino para conocer sus intenciones, pues podría pretender simplemente utili zarme como ISP y ahorrarse la cuota mensual con esto de la crisis y los recortes, o “auditar” mis equipos, en cuyo caso debía prepararme para la batalla. Al llegar a casa, y descifrar el tráfico capturado con airdecrypt, me dispuse a analizarlo utilizando en primer lugar la versión gratuita de la herramienta Network Miner, que corre en sistema operativo Windows y es muy útil a la hora de obtener una visión a alto nivel de una captura de tráfico. Una vez c argada la captura, Network Miner identifica todos los hosts presentes en ella, y reconstruye a partir del tráfico tramas, archivos, imágenes, mensajes de
-
Upload
meliton-panibra-coaguila -
Category
Documents
-
view
220 -
download
0
Transcript of Prevenir Hacking Con Backtrack
7/24/2019 Prevenir Hacking Con Backtrack
http://slidepdf.com/reader/full/prevenir-hacking-con-backtrack 1/10
Hace unos meses, realizando pruebas de diferentes tipos de ataques sobre redes WiFi, dejé
habilitada una red en casa con cifrado WEP, (eso sí, sin el SSID del operador con la
contraseña por defecto predecible mediante las clásicas herramientas como Liberad a WiFi).
Pasó el tiempo y dejé la red tal y como estaba, consciente evidentemente de que alguien
podría querer invitarse algún día a la fiesta sin haber pagado la entrada, en cuyo caso ya
mandaría yo a los de seguridad.
Pues bien, hace unos días, echando un vistazo a los Logs del servicio DHCP de mi router, cuál
fue mi sorpresa al ver que además de la información de mis equipos, había una fila más con
el nombre de host “Rober1”. En efecto, algún vecino estaba intentando utilizar mi red, y
considerando que como poco había tenido que utilizar alguna herramienta para obtener la
contraseña, podría tratarse de un vecino con conocimientos sobre hacking, aunque lo de
poner su nombre en el hostname indicaba lo contrario (siempre y cuando no se tratara de un
cebo). Por lo pronto, no conocía a ningún vecino llamado Rober o Roberto.
El primer impulso de cualquiera ante una situación así, podría ser el de cambiar el cifrado de
la red a WPA2 con una clave robusta, y cortarle el grifo al vecino, pero los que nos
dedicamos a esto de la seguridad, lo vemos como una excelente oportunidad para realizar
una práctica con fuego real de hacking en redes de datos, al fin de todo, la red es mía y él es
el intruso.
Como no disponía de mucho tiempo, pues esto me cogió justo antes de salir de casa a uncompromiso ineludible, además de desconectar todos mis equipos de la red, y dejarle así
todo el ancho de banda a “Rober1” para que se sintiese como en casa, mi primer paso fue
poner rápidamente uno de mis equipos con Backtrack5, una antena WiFi y la suite Aircrack,
a escuchar el tráfico de mi propia red en modo monitor. El objetivo era intentar obtener
algún dato que me pudiese dar información acerca del vecino para conocer sus intenciones,
pues podría pretender simplemente utilizarme como ISP y ahorrarse la cuota mensual con
esto de la crisis y los recortes, o “auditar” mis equipos, en cuyo caso debía prepararme para
la batalla.
Al llegar a casa, y descifrar el tráfico capturado con airdecrypt, me dispuse a analizarlo
utilizando en primer lugar la versión gratuita de la herramienta Network Miner, que corre en
sistema operativo Windows y es muy útil a la hora de obtener una visión a alto nivel de una
captura de tráfico. Una vez cargada la captura, Network Miner identifica todos los hosts
presentes en ella, y reconstruye a partir del tráfico tramas, archivos, imágenes, mensajes de
7/24/2019 Prevenir Hacking Con Backtrack
http://slidepdf.com/reader/full/prevenir-hacking-con-backtrack 2/10
chat, credenciales y sesiones si se han capturado, peticiones DNS, parámetros GET.. Además
proporciona información interesante sobre los equipos presentes en la captura, que por otra
parte podría obtenerse con cualquier otro analizador de tráfico tipo Wireshark, pero facilita
bastante la tarea.
La primera lectura que podía realizar es que se trataba de un equipo con sistema operativo
Windows, de nombre “Rober1”, que estaba utilizando mi red para navegar por Internet.
Analizando las tramas y las conexiones establecidas, los sitios webs más visitados durante la
sesión de navegación, que duró cerca de 20 minutos, eran los siguientes:
http://www.vanitatis.com
http://www.elpais.com/gente
http://devilwearszara.com
http://www.fotoplatino.com
En la siguiente imagen se pueden observar algunas de las imágenes descargadas durante la
sesión de navegación:
7/24/2019 Prevenir Hacking Con Backtrack
http://slidepdf.com/reader/full/prevenir-hacking-con-backtrack 3/10
Sin querer entrar en un debate y limitándome a relatar en este artículo cuáles fueron mis
suposiciones y el proceso mental seguido, mi primera impresión fue que más que tratarse de
un hacker, se trataba de o bien una hacker o bien la amiga, novia, madre, hermana o esposa
de “Rober1”, pues eran todas páginas de lo que yo considero “marujeo”, orientadas más a
un público femenino.
Realizando un análisis más profundo con herramientas como CookieCadger o Wireshark,
también di con información exacta del equipo que estaba utilizando para conectarse a
Internet, identificando peticiones HTTP, correspondientes a la comprobación de
7/24/2019 Prevenir Hacking Con Backtrack
http://slidepdf.com/reader/full/prevenir-hacking-con-backtrack 4/10
actualizaciones disponibles para un Notebook Asus F50SL:
El siguiente paso consistiría en intentar conseguir más información mediante un ataque man
in the middle, para intentar obtener alguna credencial en algún sitio web donde tuviera que
identificarse, pero para eso debería de estar en casa esperando justo en el momento en que
mi vecino/a fuese a utilizar mi red para navegar. Para ello, utilicé Cain + Wireshark en
entorno Windows, y también arpsoof en entorno Linux. Coincidimos un par de veces a la
misma hora, pero resultó que en esas ocasiones el único tráfico que generaba mi vecino, era
el correspondiente a visualizar vídeos en Youtube de bebés. Esto alimentó aún más mi
sospecha de que se tratara de una mujer.
Por supuesto, en aquellas ocasiones en que coincidía conectado a la vez que mi vecino/a,
antes de intentar un ataque MITM, me propuse escanear su máquina con nmap, pero los
puertos estaban filtrados por el Firewall de Windows.
Seguía sin poder identificar al vecino, pues a pesar de tener acceso al tráfico que generaba,
no existía ningún rastro de sitios donde se autenticara con credenciales. Ni correo, ni
Facebook, ni nada en un principio. Los días fueron pasando, y cada vez era más difícil
coincidir en horarios para realizar un MITM. Entre el trabajo y mi reciente estrenada
paternidad, complicado cuadrar con el vecino/a.
Por otra parte, este tipo de ataque, no siempre funcionaba del todo bien, hecho que podía
achacar también a la distancia del equipo a mi router, pero no penséis ni por un instante que
lo iba a dejar así, ¡qué me estaba hackeando la WiFi!
7/24/2019 Prevenir Hacking Con Backtrack
http://slidepdf.com/reader/full/prevenir-hacking-con-backtrack 5/10
Paralelamente a estos intentos, siempre mantenía mi equipo capturando tráfico WiFi en
modo monitor, y analizaba las capturas, además de las que obtenía con Cain + Wireshark. En
estas nuevas capturas, obtuve información interesante para el análisis.
Mi vecino/a se conectaba dos o tres veces al día, alrededor de 15 minutos cada sesión. Las
páginas webs más visitadas seguían siendo de marujeo, como las comentadas en los
párrafos anteriores, pero además habían accesos a las siguientes páginas:
http://elimperiodelaley.blogspot.com
http://quieroserjuez.blogspot.com
http://vidadeunaopositora.blogspot.com
http://sufridroaenejercicio.blogspot.com
http://quenovoyaserlasecretariadeunjuez.blogspot.com
7/24/2019 Prevenir Hacking Con Backtrack
http://slidepdf.com/reader/full/prevenir-hacking-con-backtrack 6/10
Analizando el nombre de los sitios web, así como el contenido que había en los mismos, me
quedó claro que se trataba de una mujer, que estaba estudiando para oposiciones a
judicatura. Es decir, que hablamos de una aspirante a juez robando WiFi. ¡Así va este país!.
Por otro lado, entre todas estas sesiones de navegación, en las que los sitios webs visitados
eran los mismos especificados hasta ahora, se colaban algunas sesiones cortas en la que los
sitios visitados eran:
http://www.sport.es (Además leía la sección “El http://www.marca.com
http://tenerifedeportivo.com
Estas sesiones, en principio parecía que correspondían más a “Rober1”, leyendo periódicos
deportivos y echando un vistazo a las novias y mujeres de los futbolistas. En una de estas
sesiones, concretamente un domingo, Rober1 consultó también la página de Yelmo Cines,
pero al final parece que no se decidió a ir, porque más tarde presuntamente su pareja sevolvió a conectar a ver vídeos de bebés, y leer un poco de prensa rosa, supongo que para
desconectar de las arduas sesiones de estudio para la oposición.
Por la información de la que disponía hasta el momento, se trataba de una pareja de vecinos
que utilizaba mi red para conectarse a Internet y ahorrarse la tarifa del ISP, no de un hax0r
con muchos conocimientos. Esto último me quedó más claro, cuando en una de las capturas
recogidas escuchando en modo monitor, pude ver accesos a páginas de banca electrónica,
algo que alguien con conocimientos de seguridad informática jamás haría desde una WiFiajena.
7/24/2019 Prevenir Hacking Con Backtrack
http://slidepdf.com/reader/full/prevenir-hacking-con-backtrack 7/10
Afortunadamente para los vecinos, dieron con alguien que no tenía malas intenciones, y en
esta ocasión, incluso de haberlas tenido, no podría haber hecho ningún destrozo, ya que al
tratarse de tráfico SSL las credenciales no habrían sido capturadas sin romper el cifrado.
En este punto ya tenía claro el perfil de los “atacantes”, así como su nivel de conocimientos,
pero aún no los había identificado. Los ataques man in the middle no funcionaban siempre,
así que se me ocurrieron varias alternativas. La primera de ellas, enchufarles un troyanohaciendo DNS spooffing con alguna de las direcciones de los sitios webs más visitados. Pero
en lugar de eso, decidí implementar un esquema “machine in the middle”, colocando una
máquina a modo de router, para asegurar que todo el tráfico que generaban pasaba por la
misma.
Para ello, habilité una máquina virtual Backtrack, a modo de puente con dos interfaces de
red. Una de ellas conectada a la red en cuestión, 192.186.1.0, y la otra en una nueva red
7/24/2019 Prevenir Hacking Con Backtrack
http://slidepdf.com/reader/full/prevenir-hacking-con-backtrack 8/10
192.168.2.0, con la dirección IP 192.168.2.1. Además de eso, deshabilité el servidor DCHP del
router al que se conectaban los vecinos, y arranqué un servidor DHCP en la máquina virtual,
que repartiera direcciones en la nueva red, especificando como puerta de enlace la dirección
de esta máquina en la nueva red, la 192.168.2.1. El tráfico generado era redirigido de una
interfaz a otra, en aras de poder llevar el tráfico hacia y desde Internet a través del router
principal.
Por otra parte, también arranqué la herramienta SSLstrip, redirigiendo el tráfico SSL al
puerto 10.000, para poder así interceptar sesiones de autenticación en algún sitio web que
permitiese obtener alguna información para identificar a los malhechores. En este script de
shell se puede observar la configuración final.
Con este nuevo esquema, los vecinos se conectaban a mi router vía WiFi, pero era la nueva
máquina puente la que hacía de router para ellos, dándoles una nueva dirección IP en el
rango 192.168.2.0 y ofreciéndoles salida a Internet. Bastaba con arrancar tcpdump, dsniff, y
visualizar el log de sslstrip para poder controlar todo el tráfico generado por los vecinos.
7/24/2019 Prevenir Hacking Con Backtrack
http://slidepdf.com/reader/full/prevenir-hacking-con-backtrack 9/10
El esquema no tardó en funcionar. La siguiente vez que se conectaron, todos los paquetes
pasaban por la nueva máquina puente, y tras una o dos sesiones de navegación, el log de
SSLstrip reveló su dirección de correo electrónico y su cuenta de Facebook:
En este punto había completado mi análisis, y con un poco de Google Hacking a partir de su
dirección de correo pude averiguar quiénes eran los vecinos, y confirmar que en efecto, se
trataba de una pareja de abogados, ella estudiando para presentarse a una oposición de
juez. Podría haberles hecho alguna trastada, como publicar algo en su muro, o cosas por el
estilo, pero simplemente me limité a enviarles un correo informándoles de que estaba al
corriente de lo que habían hecho, dándoles algunos detalles que les mostraran queefectivamente tenía conocimiento de sus sesiones de navegación, y advertirle de los peligros
que corrían realizando este tipo de prácticas.
Me contestaron ofreciendo sus disculpas, comentándome que estaban avergonzados de su
comportamiento y que no tenían mucha idea de lo que estaban haciendo, ya que fue “un
amigo informático” el que les consiguió la conexión a Internet gratis.
7/24/2019 Prevenir Hacking Con Backtrack
http://slidepdf.com/reader/full/prevenir-hacking-con-backtrack 10/10
Como ya todos sabemos, es impresionante toda la información que se puede obtener de una
persona simplemente echando un vistazo a los sitios que visita en Internet, pero si además
resulta que no sólo navega por páginas de información, sino que utiliza servicios de correo
electrónico, redes sociales, o banca electrónica desde una conexión “robada”, el destrozo
podría ser de dimensiones considerables.
Por motivos de protección de datos se ha sustituido el nombre real del equipo vecino por
“Rober1”, pero el host original sigue la misma nomenclatura. Por otro lado quiero deciros
que este artículo está hecho por si alguno de los lectores de este blog tiene una pareja de
amigos que un día le piden que le robe la WiFi a algún vecino para conectarse gratis a
Internet. Tened cuidado que, como decía Chema, la víctima del robo puede que también
tenga también un amigo informático y les metas en un verdadero problema a tus amigos.
