"PENTESTING A BLUETOOTH"

lo que vemos en la anterior imagen podria asustar a cualquier mortal,  pero como nosotros no somos mortales la vamos a entender a la perfeccion, jajaja es broma chicos.

lo que vemos anteriormente son los datos sniffeados por nuestra herrmienta sniffer bt y podria estar ejecutando multiples actividades en lo particular  por ejemplo buscando dispostivios cerca bt como nos lo dicen en la descripcion de la herramienta breve.

vemos que estamos observando puro dato hexadecimal o raw en crudo asi como se esta enviando por la red o por el flujo de red predeterminado.

podemos analizar tambien la longitud o el ancho de la conexion arriba de los datos rn crudo o raw.

estas herramientas son solo para analizar la primera fase del hacking etico mas adelante veremos los ataques y que es lo que podemos hacer de magia con otras herramientas de la distribucion linux.

la que veremos a continuacion es para dar ping como decimos comunmente,  lo que realiza esta herramienta es enviar paquetes REQUEST de tipo bt a la estacion destino dentro de la red bt.

como vemos en la descripcion de la herramienta funciona para enviar paquetes REQUEST hacia su destino y que el destino le mande un REPLY similar como lo hariamos con el protocolo ipv4 e ICMPV4.

tenemos varias opciones de uso asi como argumentos que le podemos pasar a la herramienta,  el -i es para pasar la interfaz dependiendo del numero que tengamos en caso de no especificarse se dice en la descripcion de la propia herramienta que tomara la primera interfaz que el S.O encuentre, asi si la primera que encuentra es la 0 es la que enviara como parte de origen, la interfaz hci0.

vemos que estamos enviando 44 bytes hacia el destino asi como el contador que se traduce en id 0,1,2,3,4,5,6,etc.

vemos tambien que podremos visualizar los tiempos de respuesta de venida en ms,  lo que tarda de enviar el REQUEST asi como de recibir el REPLY en caso de que no exista ningun error y todo marche como lo indicado.

este tipo de herramienta nos sirve para ver si nuesro objejtivo esta up o esta activo y proceder a realizar la otra fase del ataque,  aunque aun nos falta por conocer muchos otros parametros para saber si es vulnerable o no y cual via o vector de ataque nos combiene elegir.

este tipo de herrameinta es la que es una de mis favoritas,  nos proporciona un amplio alcance de utilidades ,  nos permite ver si se puede parear de una forma "ilegal" por asi decirlo en caso de que sea posible nos parea con el dispositivo vulnerable,  ademas de que podemos sacar mucha informacion muy muy util en este caso nos permite ver a que clase de vulnerabilidad es el disposivo explotable como por ejemplo si se puede sacar cierta informacion u otra dependiendo del caso.

Podremos ver que con esta informacion anteriormente presentada en la imagen mostrada es mas que suficiente para que un atacante cibernetico proceda a realizar la otra fase del hacking etico que en este caso seria la explotacion,  ya que esta herramienta nos brinda informacion acerca de que vulnerabilidad bluetooth poseee esta herramientra dentro de sus frames enviados y recibidos es decir saca o extrae la informacion,    

Podremos ver que nos dice la direccion MAC asi como el propietario o el OUI de dicha direccion MAC del dispositivo donde nos encontramos.

el nombre del dispostivivo bt,  la vulnerabilidad a la que el dispositivo esta expuesto,  el fabricante pero en este caso de la version y del fabricante del chip bluetooth.

y por ultimo las caracteristicas o flags a las que el chip o el dispositivo bluetooth,   uno de los detalles mas interesantes que trae esta utilidad es la de si un dispositivo esta oculto para que nadie pudiese notar su presencia,  este mismo puede encontrarlo mediante un simple ataque de fuerza bruta mediante el argumento b el que se llama brute force scan,  podemos importar configuraciones,  exportar,  guardar y un largo etcetera.

Hemos llegado a la parte mas importante,  la de explotacion de vulnerabilidades que encontremos en las etapas anteriores si en dado caso de que nuestro dispositivo sea completamente vulnerable o parcialmente vulnerable.

esta herramienta se puede utilizar mediante interfaz grafica que trae por defecto para una mejor comprension de los ataques y del proceso que se este generando,   es capaz de encontrar vulnerabilidades conocidas y desconocidas ademas de tener un conjunto de exploits configurados y listos para lanzar al estilo metasploit en caso de que nos encontremos con dispositivos extremadamente vulnerables ya conocidos como los viejos celulares o alguno que posea una tecnologia del stack bluetooth pero ya obsoleta.

Puede hacer multitud de cosas,  aunque ya es una herramienta un poco antigua si que nos puede sacar mucha informacion jugosa que como atacantes podemos sacarle el maximo provecho para proceder a realizar ataques que esten dentro de la suite si es que son vulnerabilidades conocidas o proceder a un punto de partida desde aqui obteniendo la informacion para fallos desconocidos y para nuevas versiones del protocolo bluetooth.

Otra herramienta par ala fase de explotacion bien epica y grandiosa que podremos verdaderamente lograr nuestro cometido si logramos hacer las cosas bien y ademas estamos frente a equipos con tecnologia vulnerable,  debemos cerciorarnos bien de que lo que estamos haciendo es en un entorno de laboratorio controlado y no en dispositivos ajenos,  queda el uso criterio y los conocimientos que en este articulo se demuestran bajo la unica y debida responsabilidad de cada quien hacer uso con fines edicativos de este conocimiento.

vemos que tenemos muchisimas opciones,  las que mas me llaman la atencion son las que pueden sacar la lista de contactos o acceder a los contactos que estan almacenados dentro de la memoria SIM del telefono como lo vemos en la captura de pantalla de la anterior imagen de la herramienta,  ademas de la lista de las llamadas recibidas,  todo esto dependera del alcance del fallo de seguridad que hemos encontrado anteriormente en el telefono dentro de la via del protocolo bluetooth y  los comandos ATCMD los comandos ATCMD,   podremos borrar o agregar entradas del telefono o ver la memoria del telefono claro esta como mencione anteriormente si la via de ataque permite realizar este tipo de cosillas o detalles dentro del vector de ataque,  con las nuevas versiones del protocolo BLUETOOTH esto se ha solucionado al menos que se realice un ataque de puja hacia abajo para obligarle al usuario que use una version mas antigua como los ataques DOWNGRADE aunque no esta claro si esto pudisese aplicarse dentro de este protocolo,  siendo sinceros lo desconozco totalmente.

ademas cabe aclarar que debemos tener conocimientos de RFCOMM , RFCOMM es otro conjunto que viene o que trabaja mas bien dentro del stack bluetooth y que nos puede permitir abrir otro tipo de vias de ataque como leer los mensajes del telefono hackeado, suplantar direcciones mac, entre otros detalles de hackeo muy interesantes.

"PWNEANDO A LO NSA"

"Uso y explicacion de Eternal-blue y Double-Pulsar"

 hace dias me he encontrado con una noticia bastante buena y es que las herramientas con las que la mayor agencia de seguridad del mundo entre comillas llamemosle asi, han sufrido lo que parece ser una de las mayores filtraciones, pues las herramientas y los exploits de los que hablaba snowden hace y algunos años atras se han revelado,  por fin su codigo fuente y todo para probar a lo nsa! :V XD LOL.
y como si fuera poco los afectados han sido los de siempre ya te imaginaras de quien, sii,  el tio bill gates y su empresita chunga microsoft.
y es que la querida agencia de seguridad nacional espiaba o mejor dicho nos espiaba a todos haciendo uso de lo que comunmente en seguridad le llamamos "in the wild o exploits in the wild" para llamarle ala seguridad o alas intrusiones no autorizadas aun no detectadas por el fabricante o reportada como 0day en la comunidad cibernetica.
la vulnerabilidad es la tipica crasheo y secuestro de una libreria dll que es cambiada por otra libreria dll para hacer creer que se esta usando la libreria legitima cuando en realidad se esta mandando llamar una libreria  falsificada y modificada previamente backdorizada,
los sistemas afectados que hacen uso de tal libreria son los siguientes:
mas adelante analizaremos el metodo de "secuestro dll o hijacking de librerias dll"  investigando a profundidad mediante el process explorer ,  asi como profundizaremos en el protocolo de comparticion de archivos vulnerable gracias al cual la nsa pudo colarse en vuestros ordenadores, dicho fallo del protocolo propietario de microsoft smb consistia en enviar al mismo muchos paquetes crafteados o rotos,  segun desde la web oficial de microsoft nos dicen que una de las soluciones mas "fiables" sease desactivar la funcion smb si no la estamos utilizando en un momento.
muchas  compañias tienen activado este tipo de funciones para crear y configurar carpetas compartidas.
la anterior imagen muestra el ataque que es conocido como secuestro de librerias DLL , las aplicaciones que son terminan .exe jalan por asi decirlo ciertos parametros que necesitan para acceder al nucleo central del sistema operativo mejor conocido como kernel y asi acceder a sus funciones principales en modo kernel ya que en modo usuario solo podria acceder a ciertos codigos de ejecucion que no pueden escribir en el sistema operativo.




podemos ver que en efecto las estaciones victima en realidad son extremadamente vulnerables al hacer el barrido o escaneo rapido de la herramienta metasploit  ahora lo que falta es solo  proceder con lo siguiente,  puedes seguir por dos vias o vectores de ataque,  una es inmediatamente  atacar los hosts vulnerables es decir proseguir atacando con todo y explotando el fallo de seguridad,  otra es ir recogiendo como analisis de informacion  cuales hosts son potencialmente vulnerables dentro del marco de investigacion en donde nos encontramos e investigar apropiadamente si existen ciber seguridad de perimetro.

ahora vamos analizar cual es la tecnica que hace que este fallo de seguridad sea posible, veamos el concepto de dll hijacking o el secuestro de librerias dll dentro de los sistemas operativos.

como se nos dice  en el texto sub-titulo,  es un secuestro lo que se hace es se interpone o se solapa mediante un PPID es decir un proceso padre, un proceso padre es aquel que tiene varios procesos hijos o child process sobre el esto puede ser por ejemplo el explorador de windows ,  que como es un proceso padre que puede  tener procesos hijos como por ejemplo la barra de tareas dentro del explorador,  administrador de tareas,  widgets del clima, entre otros.

ahora vemos que con una herramienta muy util llamada process explorer podemos ver y analizar que procesos son los que han sido suplantados o han sido secuestrados haciendose pasar por un proceso padre o hijo e inyectando codigo potencialmente malicioso y peligroso,   podemos ver mediante esta herramienta que procesos se estan cargando on the fly  y que funciones mismas esta llamando inclusive podremos analizar que conexiones en caso de que ese proceso este llamando hilos de ejecucion o threads o que este conectando hacia otro lado de la red , podremos ver las conexiones activas o si en un momento u otro cargo otro proceso  y hacia donde se esta conectando su flujo de informacion.

vemos que mediante otra mini-utilidad que trae esta herramienta analizamos mediante filtros regmatch las librerias predeterminadas que se estan cargando en el proceso,  ademas algo muy sospechoso es que hay muchos procesos hijos que dependen del proceso padre, esto es ciertamente sospechoso hasta cierto punto ya que vemos que no es necesario jalas mas hilos de ejecucion de los necesarios del proceso  lo que hace esto muy sospechoso,  ademas podremos ver si lo que esta corriendo esta firmado o autofirmado si no es asi entonces estamos ante un dll malicioso o procesos maliciosos



REFERENCIAS, IMAGENES Y ENLACES TECNICOS:
http://securityxploded.com/dllhijackauditor.php
https://en.wikipedia.org/wiki/DoublePulsar
https://es.wikipedia.org/wiki/EternalBlue
https://es.wikipedia.org/wiki/Server_Message_Block
http://cfile2.uf.tistory.com/image/196CE31C4C9D3F6044C902

HERRAMIENTA PROCESS EXPLORER
 

"VERIFICANDO INTEGRIDAD DE ARCHIVOS PARA COMPUTO FORENSE CON POWERSHELL"

una de las herramientas con las que mas contamos ala hora de hacer nuestras actividades como profesionales de la seguridad es a las terminales y lineas de comandos,  muchas veces no contamos con poderosas herramientas con GUI avanzadas dependiendo de los entornos donde nos toque laborar,  pero una cosa que debemos procurar siempre en cualquier labor es a los comandos,  pues de ultima instancia seran estos,  los que al final del dia nos salven de una interesante coartada,  ahora bien cambiando un poco nuestra perspectiva del tema,  dentro del computo forense ya sea para una cadena de custodia o para que sea valido frente a diferentes pruebas de validez en un tribunal de justicia de una manera un poco tecnica,    la integridad es de los conceptos mas importantes dentro de las pruebas e investigaciones que se realizan dentro del computo forense,   una cosa si es verdad y lo voy a redescrubrir aqui mismo que es la validez misma de la integridad ,  la integridad viene siendo entonces como huellas o pistas que van dejando los usuarios o atacantes dentro del mismo entorno donde se produjo o se produjeron los incidentes de seguridad,  sea este entorno del tamaño que sea y sin importar la ubicacion misma,  una herramienta super poderosa que viene integrado desde el sistema operativo windows 10 en todas sus versiones actuales y futuras.
por otro lado,  las grandiosas formulas magicas y criptograficamente conocidas como hashes son numeros de larga cantidad de x variables valores de una sola entrada y de una forma de irreversibilidad,  esto quiere decir que dadas unos parametros iniciales y una formula matematica que usa los valores inciales dentro de la ecuacion de la formula  para dar con el resultado final de esta "irreversibilidad"  pero hay una vulneraabilidad que existe dentro de  estas poderosas funciones matematicas son las llamadas colisiones , estas colisiones podrian efectuar que dos hashes tengan el mismo valor,  esto varia dependiendo de la fortaleza o debilidad de las funciones matematicas,  se estima que el md5 es el protocolo criptografico que mas debilidades tiene en cuanto a colisiones mateamticas,  mientras que los demas como puden ser sha256 la posibilidaid de encontrarse con una colision es de 0.0000001%  un valor casi nulo matematicamente hablando.
vamos a comprobar la integridad dentro de un archivo, cambiaremos el contenido para ver que es lo que sucede una vez realizado esto mismo.
la siguiente imagen muestra como es una funcion matematica hasheada como se le suele decir en computacion:

como podemos ver en la anterior imagen la mas minima perturbacion dentro del contenido del archivo o de los datos perturba en cierta medida el resultado completo de la funcion hash.
realizaremos un caso practico en el que crearemos un archivo vacio recien creado,  como  vemos en la imagen, el archivo no tiene ningun contenido.
una vez hecho esto vamos a verificar el hash y despues meteremos contenido en el y volveremos a verificar el hash para revisar la integridad.

ahora procederemos a verificar la integridad con un especial comando de powershell llamado Get-FileHash que extrae la integridad de ciertos archivos o un conjunto de archivos ,  ademas acepta multiples atributos como el algoritmo criptografico que deseamos utilizar para nuestras pruebas de integridad asi como el tipo de datos a efectuar.
en la imagen se observa el hash unico que resulto de tal archivo vacio de texto.
ahora volveremos al mismo archivo y le pondremos contenido haber que es lo que resulta en el hash despues.
volvemos a las propiedades de dicho archivo para checar los cambios correspondientes al fichero y al tamaño,  asi como entre otros valores importantes del archivo.
podemos verificar que el texto que hemos añadido correspondiente a una cadena de texto como "hola" pesa 5 bytes , podemos verificar los datos de creacion asi como de modificacion y el ultimo acceso que se tuvo a estos mismos.
ahora mismo regresamos a powershell con Get-FileHash y el atributo --Algorithm sha256 el mismo que utilizamos anteriormente para verificar la integridad del archivo cuando este se encontraba vacio.
podemos verificar que el simple "hola"  ha perturbado la entrada y la salida del valor unico hash,  es por esto mismo que esto es ultra importante para computo forense en donde la integridad es una de las cosas mas valiosas que se tienen que cuidar para evitar la contaminacion de las evidencias digitales,  una evidencia contaminada es una evidencia o datos digitales que ya no son utilizables en un caso real de investigacion,  sea cual sea el caso sin excepcion.
saludos y que tengan un feliz fin de año!
Stuxnet


REFERENCIAS Y ENLACES TECNICOS:
https://docs.microsoft.com/en-us/powershell/module/microsoft.powershell.utility/get-filehash?view=powershell-6
https://es.wikipedia.org/wiki/Función_hash

"PARTE I/IV"

los equipos de intercepcion ya cuentan con software especifico para realizar este tipo de funciones,  buscan una frecuencia o las frecuencias mas comunes donde los estandares moviles trabajan y cuando observan una señal estos equipos la analizan, la decodifican y se ponen a escuchar a ver si captan algo "interesante".

estos equipos de intercepcion son algo asi:
ahora vamos a ver como luce una estructura general de la red de telefonia movil,  vamos a ver los componentes de dicha red.
pero antes hay que destacar que estas han sido las generaciones de telefonia movil celular.
la primera generacion de telefonia fue simplemente analogica,  no contaba o no podia contar con ningun tipo de cifrado fuerte por lo que los espias de aquella epoca podian facilmente interceptar cualquier comunicacion a una distancia razonablemente considerada.

la segunda vemos que ya cambia un poco el panorama completo,  ya que la segunda generacion incorpora GSM con una modulacion TDMA.

pero aun asi los datos viajaban sin cifrar todavia, por lo que muchiso agentes se aprovecharon de esto y se dispusieron a espiar diversos objetivos primordiales.

aqui podemos ver una captura realizada en gsm con la herramienta wireshark,  facilmente podemos ver los mensajes y demas en texto plano sin ningun tipo de encriptacion alguna.

comenzemos analizando el ME osease el equipo movil este tiene ciertos parametros especiales que es muy importante a tener en cuenta,   dentro del equipo movil electronico hay diversos estandares que debemos cumplir ,   como por ejemplo en las regulaciones de la FCC,  existe un numero de serie irrepetible e intransferible para cada equipo que es donde podemos sabere identificar que tipo de dispositivo se conecto a determinada estacion base de la red de telefonia celular.
pero nos detendremos por un periodo de tiempo breve en este punto para analizar la seguridad especifica de cada entorno de infraestructura de telecomunicaciones moviles ,   vemos desde un lado que ciertas caracteristicas cambian como en  4g  y gsm,  podemos verificar que hay demasiada diferencia en cuanto a protocolos y tecnologias lo que convierte a todo novato en un laberinto sin fin de conocimientos a cualquiera que se quiera sumergir en este mundillo de la seguridad en telefonia ,  analizaremos pues la imagen sin mas preambulos.
 primero vemos que cambia lo que es la conexion hacia un punto de salida/entrada hacia la red interna de la infraestructura movil ,  lo que en instancia era gsm se implementaba un subsistema que se encarga de recibir las señales de radio e informacion del suscriptor que se conoce como "subistema de estacion base"   este subistema es el que se encarga de gestionar todos los recursos de las redes internas moviles lo que hace subseptible a una ataque de suplantacion de BTS creyendo el usuario que esta en una red legitima cuando en realidad es completamente falsa esto proporciona una "inseguridad" en la transferencia de comunicaciones.
en el caso de eu-tran que es como se le conoce a la nueva especificacion  o el conjunto de espeficiaciones moviles ,    ahora podemos ver que tenemos un e-node b que significa un "evolved node b o en español nodo evolucionado " esta pieza es la que se encarga de hacer la funcionalidad de la estacion base y tambien de red de acceso a diferencia absoluta del stack de protocolos gsm,  el enode-b ofrece un "poco mas de seguridad"  aunque todavia algunas redes tienen ese fallo de seguridad que nos permite suplantar la identidad de una bts y suplantar un sniffeo de trafico de red al usuario con lo cual podremos ver todo el trafico que pasa entre el UE (el telefono celular) y las estaciones base a las que este mismo se conecte ,  el verdadero problema de dirigir este ataque esta en que tenemos que estar relativamente cerca para poder llevar a cabo este ataque.
existe un ataque muy interesante descubierto por un investigador en seguridad que lo que realizo es falsificar una estacion base y desde ahi ir bajando los protocolos moviles desde 4g al 2g y ahi ver todo el trafico en texto plano,  ya que los protocolos que se efectuaban en 2g no llevaban consigo ningun nivel de seguridad y por ende todos se podian ver todos los datos que se envian, tal como ocurrio en los inicio de internet con los protocolos telnet y ftp inseguros hoy en dia con el panorama de seguridad mundial.
existe el misticismo que rodea a los estandares de la 3GPP que las instituciones encargadas de regular y estandarizar tecnicamente estos protocolos,   dejan puertas traseras en algunos protocolos para que las diversas agencias de inteligencia puedan acceder despues con dispositivos especiales y con un conocimiento adecuado de la explotacion de tales tecnicas.
ahora daremos un pequeño paseo por el llamado "telefono rojo de la casa blanca" el telefono rojo es una linea telefonica de comunicaciones cerrada y cifrada para cuestiones diplomaticas,  describire en la siguiente imagen  como se conforma y funciona una linea tipica normal de telefonia estandar para ver las diferencias con los telefonos de cuestiones ultra secretas y diplomaticas.
la anterior imagen muestra la clara diferencia del modelo OSI que estamos acostumbrados a visualizar ya analizar y por el otro lado esta el modelo de capas del stack de protocolos de señalizacion que utiliza este tipo de conexiones telefonicas comunes que es el SS7,  el ss7 no es un solo protocolo de señalizacion si no una decena de ellos que se utilizan para distintas funciones cada uno por ejemplo una capa de ellos es para enviar las tramas de mensajes de ss7 y otro es para enlazar las centrales telefonicas de otra parte del mundo,  vemos la diferencia y la similitud en capas que tienen ambos modelos que si bien no son administrados ni gestionados por el mismo organismo son casi parecidos y se puede lograr un buen estudio de ellos solo llevando un orden como el del modelo OSI.
una vez visto las similitudes y diferencias de los dos modelos correspondientes tanto el modelo OSI como el stack ss7 ,  ahora vamos a enfocarnos en la seguridad del stack ss7 para ver a profundidad como trabaja este mismo.
cabe detallar y recalcar que no es el objetivo de esta investigacion de campo enumerar todo sobre los complejos protocolos de telefonia si este es el caso puedes consultar manualmente la documentacion de ITU-T y los organismos correspondientes que la controlan.
vale decir que es posible que con el ss7 sea posible rastrear a una persona,  es posible que alguien por ejemplo un atacante logre interceptar la informacion que envia el ss7 y logre identificar desde donde inicio la conexion como lo hicieron unos investigadores de seguridad el año pasado en un canal de tv.
los fallos que tienen los sms que casi ya nadie utiliza por el advenimiento de wp es que van sin cifrar,  completamente en texto plano sin ningun tipo de cifrado por lo tanto un atacante en medio de las conexiones establecidas puede ver lo que hay detras tras "bambalinas" en este caso,   texto sin cifrar, en algunas ocasiones las llamadas tambien vam sin cifrar.
esto es la primera parte de una larga investigacion en el fascinante mundo de la seguridad telefonica y el phreaking.

 


REFERENCIAS Y ENLACES TECNICOS:
 https://www.adslzone.net/2016/10/24/4g-trajo-mas-velocidad-no-mas-seguridad/
 https://www.youtube.com/watch?v=dZNm1HyYiyg
 https://en.wikipedia.org/wiki/EnodeB
http://www.tml.tkk.fi/Opinnot/Tik-110.501/1999/papers/tradsec/security_comparison.html  
https://en.wikipedia.org/wiki/Service_switching_point 
https://en.wikipedia.org/wiki/Signalling_System_No._7 
http://openlte.sourceforge.net/ 
http://openbts.org/ 
https://wiki.wireshark.org/SS7