#CyberCamp18@CiberPoliES
#CyberCamp18
-Analista Forense Informático en la Unidad Central de Ciberdelincuencia Policía Nacional Española.
-Profesor en distintas Universidades españolas en Grados y Máster relacionados con el Cibercrimen y el Ciberderecho.
- Editor del blog GLIDER.es
@CiberPoliES en Twitter.
Manuel_Guerra@GL1D3R:~# whoami
@CiberPoliES
#CyberCamp18
One year ago… Whatsapp, era el presente.
¿Por qué IoT?
@CiberPoliES
#CyberCamp18
Future… Internet of Things, prospectiva.
¿Por qué IoT?
@CiberPoliES
#CyberCamp18
Internet of Things prospectiva (quizás, no tanta).
¿Por qué IoT?
@CiberPoliES
#CyberCamp18
¿Por qué IoT?
@CiberPoliES
Internet of Things), prospectiva (quizás, no tanta).
#CyberCamp18
Internet of Things, prospectiva (quizás, no tanta).
¿Por qué IoT?
@CiberPoliES
#CyberCamp18
Internet of Things, prospectiva (quizás, no tanta).
¿Por qué IoT?
@CiberPoliES
#CyberCamp18
Internet of Things, prospectiva (quizás, no tanta).
¿Por qué IoT?
@CiberPoliES
#CyberCamp18
Internet of Things, prospectiva (quizás, no tanta).
¿Por qué IoT?
@CiberPoliES
#CyberCamp18
Internet of Things, prospectiva (quizás, no tanta).
¿Por qué IoT?
@CiberPoliES
#CyberCamp18
Internet of Things, prospectiva (quizás, no tanta).
¿Por qué IoT?
@CiberPoliES
#CyberCamp18
Internet of Things, prospectiva (quizás, no tanta).
¿Por qué IoT?
@CiberPoliES
#CyberCamp18
¿Suficientes motivos?
@CiberPoliES
#CyberCamp18
Pero… ¿Cómo nace está charla?
@CiberPoliES
#CyberCamp18
Como no podía se de otro modo nace:Nace con: Oscar Navarrete @Navaguay , un SmartPlug y un café.
@CiberPoliES
#CyberCamp18
Como no podía se de otro modo nace:Nace con: Oscar Navarrete @Navaguay , un SmartPlug y un café.
@CiberPoliES
#CyberCamp18
Irá en función de cada tipo de dispositivo.
Incluso para el mismo dispositivo, variará en función de su firmware.
Siempre se irá del método menos invasivo al mas invasivo/destructivo.
Siempre dejar constancia por escrito de los procesos realizados.
No existe un “protocolo” de análisis en IoT.
@CiberPoliES
#CyberCamp18
Se da por supuesto que en el caso de tener que realizar un analisis forensede un dispositivo IoT, este ha sido aportado por su propietario y/o usuario.
En caso contrario, es necesario Autorización Judicial para acceder a lainformación que este contiene.
Acceder a la información de un dispositivo electrónico, sin autorización desu titular: Delito de Descubrimiento y Revelación de Secretos =
Ningún dispositivo IoT ha sufrido durante el rodaje de este taller.
Disclaimer.
@CiberPoliES
#CyberCamp18
¡¡¡Comenzamos!!!
#CyberCamp18
Que se pueden utilizar para hacer maldades ya está dicho.
El principal problema de estos dispositivos y del resto de IoT es el acceso a la memoria interna.
En drones de gama media-alta hay que ampliar el análisis al mando y alsmartphone asociado.
Drone Forensics
@CiberPoliES
#CyberCamp18
Suelen recibiar actualizaciones periódicas para modificar las zonas deexclusión. Los métodos de acceso o parseo se puede ver afectados.
La buena noticia es que para que funcione la zona de exclusión necesitanGPS e Internet.
Drone Forensics
@CiberPoliES
#CyberCamp18
Ya nos llegará bien para el resto de dipositivos.
Para los Drones no vamos a inventar la rueda.
@CiberPoliES
#CyberCamp18
Dji Inspire2, Dji Mavic pro y Dji Phatom 3 ForensicsLa información de vuelo, videos y fotografías se extraen directamente a través de la conexión USB (Son los mas sencillos).
@CiberPoliES
#CyberCamp18
Es necesario desmontarlo (con los PC se hace habitualmente).
Dos unidades de almacenamiento:
- MicroSD Externa (facilmente accesible): Fotos y Videos (Metadatos GPS).
- MicroSd Interna (hay que desmontarlo): SO Similar a un Linux, Solo lleva datos de vuelo (telemetría, GPS…)
Dji Phantom 4 Forensics
@CiberPoliES
#CyberCamp18
La tarjeta MicroSD Interna.
Dji Phantom 4 Forensics
@CiberPoliES
#CyberCamp18
No dejan de ser sistemas "Linux" con helices y WiFi.
Levantamos un AP con el mismo ESSID y a través de SSH podemos extraer los ficheros de su memoria.
ssh [email protected] / 19881209
Drone Forensics via SSH
@CiberPoliES
#CyberCamp18
¿Cómo suelen funcionar los dispositivos IoT en general?
SmartPlug Forensics
@CiberPoliES
#CyberCamp18
APP de gestión típica.
Práctica1: SmartPlug Hacking
@CiberPoliES
#CyberCamp18
Práctica1: SmartPlug Hacking
@CiberPoliES
Antes de comenzar a realizar el análisis forense, vamos a "cacharrear" un poco para entender mejor su funcionamiento.
#CyberCamp18
Práctica1 bis: SmartPlug Hacking
@CiberPoliES
APP: Descargarla del sitio oficial y obtener firma digital.
#CyberCamp18
Analisis de menos invasivo a mas invasivo.Este análisis se puede replicar a otros dispositivos IoT de cualquier tipo.
Práctica 2: SmartPlug Forensics
@CiberPoliES
#CyberCamp18
Práctica 2: SmartPlug Forensics
@CiberPoliES
Descubrimos que tiene un 80 y un telnet abierto.
#CyberCamp18
Práctica 2: SmartPlug Forensics
@CiberPoliES
Comenzamos por el 80: http://ip
#CyberCamp18
Práctica 2: SmartPlug Forensics
@CiberPoliES
Descubrimiento de rutas: admin.htm y firmware.htm
#CyberCamp18
Práctica 2: SmartPlug Forensics
@CiberPoliES
Es hora del 23: Telnet (¡¡¡sin contraseña!!!)
#CyberCamp18
Práctica 2: SmartPlug Forensics
@CiberPoliES
Coffee Cyber attack time.
#CyberCamp18
Práctica 2: SmartPlug Forensics
@CiberPoliES
Coffee Cyber attack.
#CyberCamp18
Práctica 2: SmartPlug Forensics
@CiberPoliES
Directorios Sistema Operativo: CFG, NET, OS, MFT y MEROSS
#CyberCamp18
Práctica 2: SmartPlug Forensics
@CiberPoliES
Directorio NET:
Show route: Muestra la tabla de enrutamiento IP.
Ping: Ejecutar el comando ping -> ping glider.es
Arp show: Muestra la tabla ARP.
Ntp: Muestra la configuración horaria.
Ifconfig: Muestra configuración de red.
#CyberCamp18
Práctica 2: SmartPlug Forensics
@CiberPoliES
Directorio OS:
Thread: Muestra información de todos los procesos que están corriendo en el dispositivo.
Mem: Muestra la cantidad de memoria RAM disponible.
#CyberCamp18
Práctica 2: SmartPlug Forensics
@CiberPoliES
Directorio MFT:
Test led red: Cambia el color del LED a rojo.
Test led off / on: Enciende y apaga el LED del dispositivo. (¿Cuanta resistencia tendrá el LED?)
Fmwver: Muestra la versión del Firmware en uso.
#CyberCamp18
Práctica 2: SmartPlug Forensics
@CiberPoliES
Directorio MEROSS:
ntp: Muestra al hora del dispositivo, en este caso, USO horario del usuario.
wifi: Muestra la contraseña del WiFi, ESSID y BSSID. (en texto plano)
timer: Muestra la configuración de las App del SmartPhone
Iot device: Muestra toda la configuración del dispositivo (Versión App, DNS, Puertos TCP/UDP, Servidores, User ID, hardware…)
Iot debug: Testea la configuración y funcionamiento del dispositivo.
#CyberCamp18
Práctica 2: SmartPlug Forensics
@CiberPoliES
Directorio CFG:
prof: Resetea el dispositivo a la configuración de fábrica.
prof show: Muestra la configuración de dominios, redes WiFi, configuración de red…
#CyberCamp18
Práctica 2: SmartPlug Forensics
@CiberPoliES
Update
#CyberCamp18
No hay que olvidarse de analizar el otro dispositovo, el smartphone.
Práctica 3: SmartPlug > SmartPhone Forensics
@CiberPoliES
#CyberCamp18
Estes análisis hay que realizarlos de forma artesanal, no suelen existir soluciones comerciales compatibles com smartwatchs.
Práctica 4: SmartWatch Forensics
@CiberPoliES
#CyberCamp18
Práctica 4: SmartWatch Forensics
@CiberPoliES
#CyberCamp18
¿Quién tiene un Kodi en casa?
Kodi Forensics
@CiberPoliES
#CyberCamp18
¿Quién tiene un Kodi en casa?
Kodi Forensics
@CiberPoliES
#CyberCamp18
Kodi es un Software que facilita la reprodución de contenidos multimedia através de Internet.
Se puede ejecutar en un PC, aunque normalmente se ejecuta sobreLibreELEC instalado en un dispositivo tipo Raspberry Pi.
Kodi Forensics
@CiberPoliES
#CyberCamp18
Puede tener dos finalidades este tipo de analisis forenses:
-Lucha contra Organizaciones Criminales (Prop Int)
-Ayuda a Victimas de ciberataques, Mineros, Vulnerabilidades.
Kodi Forensics
@CiberPoliES
#CyberCamp18
- Instalación por defecto LibreELEC en una Raspberry Pi 2.- Tarjeta MicroSD 64Gb.- KODI.- Idioma español.- Add-on reproductor listas M3U.
Kodi Forensics: Target
@CiberPoliES
#CyberCamp18
- El primer paso será adquirir (no comprar) la tarjeta MicroSD de la Raspberry.
Kodi Forensics:
@CiberPoliES
#CyberCamp18
- Adquisición y análisis del contenido con FTK.
Práctica 5: Kodi Forensics:
@CiberPoliES
#CyberCamp18
El “research” doméstico, se puede aplicar a Investigaciones policiales realesen apoyo a grupos especializados.
G. Fraude Telecomunicaciones, UCC
G. Antipiratería, UCC
Kodi Forensics
@CiberPoliES
#CyberCamp18
¿Són seguras estas plataformas?¿Se pueden utilizar sus vulnerabilidadespara realizar un analisis forense?
Kodi Hacking | Forensics
@CiberPoliES
#CyberCamp18
Comenzamos por el SSH
Kodi Hacking | Forensics
@CiberPoliES
#CyberCamp18
Comenzamos por el SSH
Kodi Hacking | Forensics
@CiberPoliES
#CyberCamp18
Comenzamos por el SSH
Kodi Hacking | Forensics
@CiberPoliES
#CyberCamp18
Ahora le toca al SAMBA
Kodi Hacking | Forensics
@CiberPoliES
#CyberCamp18
Ahora le toca al SAMBA
Kodi Hacking | Forensics
@CiberPoliES
#CyberCamp18
Ahora le toca al SAMBA
Kodi Hacking | Forensics
@CiberPoliES
#CyberCamp18
Análisis forense desde casa…
Kodi Hacking | Forensics > TELETRABAJO
@CiberPoliES
#CyberCamp18
Las Dreambox tampoco se libran, ni de los ataques, ni del análisis remoto.
Dreambox Hacking | Forensics
@CiberPoliES
#CyberCamp18
Se trata de una importante fuente de evidencia digital. (no es un simple cacharro con lucecitas)
Práctica 6: LAN Router Forensics
@CiberPoliES
#CyberCamp18
Comenzamos con un NMAP
Práctica 6: LAN Router Forensics
@CiberPoliES
#CyberCamp18
Conexión vía SSH:
Práctica 6: LAN Router Forensics
@CiberPoliES
#CyberCamp18
“ls" no funciona, pero tenemos algo mejor:
Práctica 6: LAN Router Forensics
@CiberPoliES
#CyberCamp18
show sysinfo
Práctica 6: LAN Router Forensics
@CiberPoliES
#CyberCamp18
show cpu
show mem
Práctica 6: LAN Router Forensics
@CiberPoliES
#CyberCamp18
show arp
Práctica 6: LAN Router Forensics
@CiberPoliES
#CyberCamp18
show dhcp status
Práctica 6: LAN Router Forensics
@CiberPoliES
#CyberCamp18
Show nat entries
Práctica 6: LAN Router Forensics
@CiberPoliES
#CyberCamp18
ps
Práctica 6: LAN Router Forensics
@CiberPoliES
#CyberCamp18
Show log
Práctica 6: LAN Router Forensics
@CiberPoliES
#CyberCamp18
Es necesario extraer el firmware del router a través de USB o puerto serie
Práctica 7: Firmware IP Cam Forensics
@CiberPoliES
#CyberCamp18
Como siempre: Calculamos la firma digital de Firmware.
Práctica 7: Firmware IP Cam Forensics
@CiberPoliES
#CyberCamp18
Técnicas avanzadas mediante adquisición electrónica.
La espinita clavada:
Cuando todo falla…
@CiberPoliES
#CyberCamp18
Cuando todo falla…
@CiberPoliES
#CyberCamp18
JTAG / UARTLocalizar los pines JTAG/UART para depuración en la placa.
Descargar el firmware por un puerto serie
@CiberPoliES
#CyberCamp18
SombreroCuando la memoria tiene los pines expuestos.
Paso 1: Identificar los chips.
@CiberPoliES
ST i7105-EUD(Decoding STB)
EM 68B16CWQ(DDR2 SDRAM 512M)
Samsung 401K9F1G08U0D
(128M x 8 Bit NAND)
#CyberCamp18
SombreroCuando la memoria tiene los pines expuestos.
Paso 1: Identificar los chips.
@CiberPoliES
ST i7105-EUD(Decoding STB)
EM 68B16CWQ(DDR2 SDRAM 512M)
Samsung 401K9F1G08U0D
(128M x 8 Bit NAND)
#CyberCamp18
SombreroPaso 2: Averiguar la configuración de los Pines (Datasheet)
@CiberPoliES
#CyberCamp18
SombreroPaso 3: Conectar el "sombrero" y dumpear.
@CiberPoliES
#CyberCamp18
SombreroTécnicas que requieren destreza.
@CiberPoliES
#CyberCamp18
SombreroTécnicas que requieren destreza.
@CiberPoliES
#CyberCamp18
Sombrero bisSi el sombrero no funciona… Plan B
@CiberPoliES
#CyberCamp18
Sombrero bisSi el sombrero no funciona…
@CiberPoliES
#CyberCamp18
Analisis del dumpeado de memoria de un chip NAND.
Práctica 8: Dump directo del chip
@CiberPoliES
#CyberCamp18
ChipOffPaso 1: Localizar el chip de memoria a través de la serigrafía.
Memoria NAND Toshiba 16Gb
@CiberPoliES
#CyberCamp18
ChipOffPaso 2: Aplicar disolvente al Chip en caso de estar pegado con EPOXI y proteger el resto de placa.
@CiberPoliES
#CyberCamp18
ChipOffPaso 3: Configurar los perfiles para el des soladado. Tener en cuenta que el estaño funde a 190º.
@CiberPoliES
#CyberCamp18
ChipOffPaso 4: Cuando se alcanza la temperatura adecuada, se extrae el chip para hacerle el reballing.
@CiberPoliES
#CyberCamp18
ChipOffPaso 5: Se conecta el chip al socket adecuado y se dumpea/lee como si fuera un pendrive o tarjeta SD. A partir de aquí, el mismo proceso.
@CiberPoliES
#CyberCamp18
- No se trata de explicar como analizar cientos de dispositivos distintos.
-Establecer un procedimiento de análisis para los dispositivos mas característicos.
-Es necesario invertir en la adquisicón de dispositivos de lectura.
-Pensamiento lateral para aprovecharse de vulnerabilidades en la extracción.
- Técnicas muy destructivas, una única oportunidad.
Conclusiones:
@CiberPoliES
#CyberCamp18
XX.
XX
¡¡¡Muchas Gracias!!!
#CyberCamp18
Manuel_Guerra@GL1D3R:~# IoT_Forensic -h
¿Preguntas?
Top Related