💀   "EL ARTE DE LA ESTEGANOGRAFIA COMO EN MR.ROBOT"
ahora nos pide la ruta de salida del archivo con el archivo oculto y el formato del archivo asi como si queremos de una encriptacion mas fuerte de 256 bits AES y la password correspondiente para descifrarla.
ahora podemos observar que el archivo era un poco ligero, hasta que le agregamos el cifrado de la herramienta y  el archivo oculto que en este caso son los hashes en el archivo de texto.
si le fuesemos agregado la encriptacion AES-256 bits, entonces el archivo saliente hubiera pesado aun mas y esto aunque no lo podamos creer es posible que levante las sospechas de los informaticos forenses.
ahora vamos analizar la estructura del estandar de microsoft WAVE,  vamos a ponernos en el papel de informarticos forenses e indagar en sus entrañas para ver que encontramos, pero primero debemos conocer a fondo la estructura siguiente de la imagen:
Hay que recordar que existen dos tipos de manejar la memoria,  los tipos se llaman big endian y little endian, es por ello que debemos tener muy en cuenta todo esto para no equivocarnos mas adelante,  deberemos configurar nuestro editor hexadecimal para no caer en futuros errores.
como vemos en la imagen,  algunas offset estaran en little y otros en big, todo dependera como mencione anteriormente.
Ahora vamos a ir descargando una fascinante herramienta para indagar dentro del espectro del archivo de audio en la siguiente pagina:
esta utilidad nos ayudara a buscar dentro del archivo de audio que contiene el archivo de los hashes en el texto con el bloc de notas.

Muchas veces nos preguntamos que hacer cuando tenemos ala mano archivos que no son de nuestro conocimiento como por ejemplo los archivos .ODT del word del mundo libre como lo es open-office.
ahora podemos proceder a buscar lineas de texto para nuestra investigacion con el bintext o descomprimiendo con 7z y buscar entre los distintos archivos de reporting XML que se nos presenten.
podemos buscar con un editor hexadecimal de nuestra preferencia y segun el formato del archivo que estemos investigando ir guiandonos por su estructura en bytes y offsets hasta encontrar algo realmente interesante dentro de sus entrañas del mismo.
este tipo de tecnicas puede ser realmente peligrosas,  ya que tanto desde el lado del pentesting como de la informatica forense tienen sus ventajas y desventajas,  por ejemplo en el lado del pentesting, un atacante puede investigar con que sistema operativo se creo tal documento o que rutas de red compartidas se encuentran dentro de la organizacion si este es el caso.
en el otro lado de la moneda, osease, en la informatica forense ,  tiene la ventaja de descubrir desde donde se creo ese documento e incluso sacar direcciones IP privadas.
un caso muy famoso de los noticieros de informatica forense y metadatos fue el del asesino serial BTK quien envio ala policia un CD burlandose de los asesinatos cometidos decadas atras sin haber sido atrapado, el caso fue que la policia con recursos tecnologicos pudo indagar en los metadatos del CD y se dio cuenta de el nombre del usuario y el nombre de una iglesia del que pertenecia tal asesino, despues una busqueda en google, dio al fbi la informacion que necesitaban para que el sospechoso coincidiera con el asesino y asi fue...
despues el fbi consigui muestras de ADN en algunas pruebas de las victimas y encontraron las verdaderas coincidencias.
pero el verdadero foco de la investigacion fueron los metadatos de aquel viejo CD de windows XP.

Disco del asesino BTK

los metadatos son peligrosos, dependiendo del caso del que nos encontremos.
podemos desempaquetar los archivos de documentos generados con algun descompresor, una buena utilidad podria ser 7z.
al descomprimirlo nos genera estos archivos.
cada archiv xml corresponde a informacion variada o meta-informacion dentro del archivo comprimido.
el significado de cada meta-archivo es el siguiente como nos lo muestra la imagen:
ahora vamos a investigar el archivo Manifest.XML con un buscador de cadenas de texto como lo es bintext para poder trabajar de una manera mas comoda.
como podemos ver no nos resulta nada importante, por lo que intuimos que la victima ha borrado exitosamente los metadatos o la herramienta no los ha encontrado.
ahora usaremos la herramienta mundialmente conocida como foca.
solo basta con arrastrar el documento hacia la herramienta previamente abierta.
con foca podemos extraer los metadatos, dependiendo de los mismos datos que el usuario haya colocado sin darse cuenta ni el mismo.
en algunas ocasiones los modelos de impresoras son logeados en  formato UNC por ejemplo
//Recurso_Red//Impresora por ejemplo un metadato extradido de un documento y que seria el siguiente en un documento.

\\NombreHost\CarpetaCompartida\Recurso.
todo depende de las configuraciones donde este el entorno de impresion y como guarde los distintos datos dentro del documento.
 
como podemos observar claramente vemos unos correos dentro del documento.
vemos que el documento no tiene mucha informacion al respecto, solo unos cuantos correos electronicos, el sistema operativo es windows de 32 bits y un usuario llamado user,  el programa de impresion es pdf995 de lo cual segun mi intuicion es el programa por defecto que incluye windows o algunas versiones desde el windows xp en adelante.
 un ejemplo de una impresora en red descrita en los metadatos si es que el documento lo incluyera por defecto es el siguiente ejemplo de la imagen:
 conociendo de antemano las impresoras que estan en red o el servidor que tiene ejecutandose los servicios de impresion, un atacante puede ir moldeando como es la infraestructura de red de x organizacion y comenzar a estudiar al objetivo y perfilar un ataque.
por ejemplo la impresora de la anterior imagen extraida de algunos metadatos de open-office seria la siguiente:

impresora HP2000C

a partir de aqui, las cosas se pueden poner muy interesantes ya que podemos buscar en google la impresora y empezar a documentarnos sobre este equipo,  si tiene alguna funcionalidad que nos pueda servir como vector de ataque, si por el contrario el equipo es viejo y no cuenta con ninguna conexion solo la cableada, podemos investigar mediante algun escaneador qur direccion ip esta utilizando para spofear su direccion ip y crear un nuevo ataque mas sofisticado.
podemos hacernos pasar por la impresora en las reglas ACL para bypassear al router y engañar ya sea aun cortafuegos o alas reglas de control de acces previamente configuradas por el administrador.
 con los correos que tenemos podemos perfilar un ataque de ingenieria social para engañar alas victimas y enviarlos algun payload dentro de algun documento.
la amplia gama de posibilidades es infinita,  todo queda a merced de la imaginacion del atacante o del investigador forense que en este tipo de casos debe ser mucho mas habil que los propios atacantes.
ahora vamos a investigar los correos electronicos que nos aparecen en los metadatos.
podemos darnos cuenta que el correo janartstudio@janbrett.com pertenece ala siguiente persona.
aunque en nuestro caso los metadatos del archivo no nos proporciono ninguna informacion importante como direcciones de red privadas o publicas,  ni tampoco nos proporciono alguna version en especifico de software, si que con una minima informacion como la descrita aqui se puede realizar un vector de ataque por medio  de la ingenieria social para que sea la misma victima por medio del arte del engaño nos proporcione un nuevo abanico de posibilidades de vulneracion.

 
 

REFERENCIAS Y ENLACES TECNICOS:
Conceptos Ruta
https://en.wikipedia.org/wiki/OpenDocument_technical_specification

       "DUMPEAR LA MEMORIA RAM"
ahora nos vamos ala ruta del archivo y lo abrimos con un editor hexadecimal,  esto ya es eleccion del investigador o pentester.
tenemos que tener cuidado con este proceso ya que la historia lo ha demostrado que algunos peligrosos rootkits lo utilizan para ocultarse como un proceso lsass.exe, si usted sospecha que esta infectado lo casual y mas sencillo es irse ala ubicacion de dicho archivo, el archivo siempre debe de abrirse en system32 y si no esta en tal ruta,  entonces no cabe duda que algun virus o malware se infiltro en vuestro ordenador como si fuese del sistema.
aqui vemos los archivos de dumpeo en el explorador de windows:
ahora vamos abrirlo con un editor hexadecimal y lo pasamos al escritorio o a otra ruta donde se nos haga mucho mas facil visualizarlo.
el editor hexadecimal nos puede ser de mucha utilidad en la recoleccion de evidencias pero tendriamos que tomarnos mucho tiempo ya que inspeccionar todo el encabezado de la estructura es bastante tedioso.
dejare el editor hexadecimal para que usted lector investigue por su propia cuenta que es lo que hay dentro de tales encabezados.
ahora vamos aver que tal nos va con la herramienta FTKImager que realiza similar un volcado de la memoria ram,  hay que destacar que algunas personas piensan que la memoria RAM no almacena  informacion delicada,  la realidad es todo lo contrario,   la RAM puede almacenar passwords de webistes,  passwords de redes sociales,   conexiones a puertos especificos, entre otros detalles interesantes.

este hash es todo lo que necesitamos para entrar en el sistema con los privilegios necesarios de administrador, pero para ello necesitaremos de las llamadas rainbow tables para hacer el trabajo mas rapido en cuestiones de brute force.
el framework volatility nos ofrece una amplia gama de posibilidades,  despliegue de llamadas al sistema, despliegue de librerias de windows .dll,   procesos de sistema, entre otras cosas.
Win32dd.exe
Hex Editor 
FtkImager