Arp spoofing en Telecentro !!! ( Actualizado )

Acabo de ver una entrada en el blog "Security" > /dev/null en el cual dan cuenta que la red de Telecentro ( de hecho mi operador ) esta expuesta a ataques de arp spoofing

Yo verifique esto y es posible ver trafico no dirigido directamente al usuario final.

Realice una redireccion de paquetes mediante Cain y luego una breve captura mediante Wireshark. No voy a poner IP's solo una muestra de una captura de unos mensajes en Webmessenger :



Este ataque permite hacer sniffing de paquetes que son dirigidos a otros usuarios legítimos, a partir de aquí es posible utilizar esto para diferentes ataques, Session Hijacking, surferjacking , Man in the middle y con este ultimo todas las posibles derivaciones ( modificación de respuestas a pedidos de dns, utilización de server maliciosos para bajar actualizaciones "truchas".... )

Como trabaja el arpspoofing ?

El siguiente gráfico muestra el ataque y como evitarlo.

El protocolo ARP se utiliza para enlazar las direccion de capa 3 (IP) con las direcciones físicas de la capa 2 ( MAC ). Un pedido de ARP es enviado cuando conocemos la IP pero no la direccion MAC. Dado que es un broadcast todos los equipos reciben la peticion.

Un usuario malicioso puede enviar una respuesta de ARP modificada para capturar el trafico dirigido a otro usuario. Es decir, la respuesta diría que la MAC address de la máquina del usuario legitimo corresponde a la MAC address enviada por el usuario malicioso.
Cuando el server envie los datos, la dirigira hacia ambas MAC address, de esta manera la información se replicara en dos ports diferentes, permitiendo al usuario malicioso ver el trafico.

Puede que el atacante se haga pasar por el default gateway de la red, con lo cual el trafico se dirigira a su máquina y el lo enviara hacia el router original. De esta manera puede también ver el trafico.


Existen varias herramientas que aprovechan esta vulnerabilidad, entre ellas Ethercap, Cain, dsniff, ferret.

Hace unos años realice una presentacion para un congreso de Linux sobre seguridad en Layer 2 que explica todos los ataques posibles sobre esta capa de red. El post sobre el tema aca
, la presentacion es la siguiente :

Seguridad layer 2

View more presentations from s3m1llon.

Como protegerse ?

Para evitar esto los switchs de Cisco se limitan a una MAC por puerto, esto mediante el comando

Switch(config )#switchport port-security violation shutdown

Desconozco la tecnología de Telecentro, pero debe existir la forma de evitar este tipo de vulnerabilidades.



Se puede realizar mediante herramientas de sniffing como Wireshark.

Tenemos que observar tres cosas :

Actualizaciones de ARP

Paquetes enviados entre nuestro cliente y el server con diferentes MAC

Tormentas de ACK


O mediante herramientas otras herramientas menos sofisticadas Arpwatch ( Linux ) o Winarpwatch ( Windows ) Anteriormente habia scrito que no estaba al alcance del usuario comun, realmente ignoraba la existencia de Winarpwatch, esta herramienta muestra las modificaciones a la tabla de arp.




Lo mismo puede hacerse con el comando arp -a



El uso de SSL puede ayudar, aunque hay que prestar atencion a mensajes de problemas con el certificado, podemos estar sufriendo un ataque de MitM.

IPSEC también es una buena protección, pero para esto debemos levantar una VPN fuera de la red de Telecentro.

El numero de reclamo en Telecentro es el su9768992

Si crees, allí estaremos; si no crees, no nos hallarás

"Respetad a los fantasmas y a los dioses, pero alejaos de ellos"

Esa frase pertenece a Confucio, alguien que me gusta mucho leer, tanto sus enseñanzas, como los cuentos de sus discípulos.

La cultura China respeta desde hace milenios a los fantasmas y les rinde culto.

Antes de pasar a darles información de una red China de Espionaje llamada "casualmente" Ghostnet, les dejo un cuento chino que lei aquí :

Zhuxi fue un erudito muy famoso de la Dinastía Song (960-1279). No creía en la existencia de fantasmas, por lo que se decidió a escribir un ensayo titulado “No Hay Fantasmas”.

Se decía que era un gran sabio y que incluso los fantasmas le temían. Si él decía que no existían los fantasmas, los mismos no podrían existir en el futuro. Cuando los fantasmas se enteraron de que estaba escribiendo el ensayo, se reunieron para hablar del caso y decidieron enviar al fantasma más inteligente para convencerle de que dejase de escribir aquel ensayo.

Así que una buena noche, el fantasma más inteligente de todos se apareció ante la mesa de Zhuxi y se fue acercando hacia el mismo mientras le hacía varias reverencias.

Zhuxi sorprendido preguntó:
-¿De dónde vienes fantasma? ¿Cómo me molestas a estas horas de la noche?.
-Si, soy un fantasma, pero…
-¿Por qué no te marchas y por qué vienes a mi despacho?
-Estoy aquí para convencerle…- contestó el fantasma.
-La gente vive en la dimensión Yang del mundo y los fantasmas en la Yin. Estamos en diferentes dimensiones, así que no puedo ayudarte.
-Tengo cosas muy importantes que decirle, Señor.
-Muy bien, ¡dímelas! Entonces, el fantasma contó a Zhuxi las razones de su presencia allí y le rogó que dejase de escribir el ensayo para salvarles.
Zhuxi se rió y le dijo: -Vosotros, los fantasmas habéis recibido veneración de los hombres durante mucho tiempo. Es tiempo de que desaparezcáis todos juntos.
-Hay fantasmas buenos y malos…
-Bueno, me han dicho que podéis hacer cualquier cosa. ¿Me puedes desplazar fuera de casa? -Por supuesto, Señor. Zhuxi fue desplazado al exterior inmediatamente casi sin darse cuenta.
Se quedó atónito por la habilidad y el poder de los fantasmas, pero no estaba dispuesto a admitirlo.Volvió a preguntar: -Puedes mover mi cuerpo, ¿puedes hacer lo mismo con mi corazón?
-Eso es imposible, Señor. Pero podemos mover cosas o personas para demostrar nuestra existencia. Existimos en las ideas. Si crees, allí estaremos; si no crees, no nos hallarás. ¿Puede poner eso en su ensayo, Señor?
Zhuxi pensó que aquellas palabras tenían mucho mérito y prometió al fantasma que las pondría. El fantasma se fue contento. Sin embargo, Zhuxi escribió el ensayo y puso aquellas palabras bajo el título de su ensayo,
“Si crees, allí estaremos; si no crees, no nos hallarás”.

Ok, hace un par de dias atras empezo a circular por diversos medios un informe de investigadores Canadienses sobre una red de espionaje China, llamada GHOSTNET.

Tanto The New York Times, como Wired se hicieron eco del informe llamado :

Tracking GhostNet: Investigating a Cyber Espionage Network

Dando un resumen de lo informado, mas de 1200 computadoras de embajadas, consulados, ONG y medios basados principalmente en el Sudeste Asiatico fueron infiltradas por un grupo de hackers chinos desde el 2007. Llegando a tomar el control de computadoras en las oficinas del Dalai Lama, un banco asiático y en Associated Press en UK y en Hong Kong.

Las computadoras infectas incluyen además el ministerio del exterior de Iran, Bangladesh, Lativia, Indonesia y Filipinas, las embajadas de India, Corea del Sur, Alemania, Pakistan y Taiwan.

Las fuentes de los ataques llegan hasta China, donde el gobierno nego responsabilidades.
Aunque en un episodio, las oficinas del Dalai Lama enviaron un email de invitación a un diplomático extranjero, luego de esto el gobierno chino llamo al diplomático para que desistiera de la visita.

Una imagen del NYT con los paises atacados :



Tres de los cuatro servers que controlaban la red se encontraban ubicados en China ( el malware utilizado para el ataque es llamado gh0st RAT ), en la isla de Hainan. El cuarto en el sur de California.

El sitio de F-Secure, tiene un post muy detallado de como funciona Gh0st RAT

Es muy interesante las posibilidades que da el software de C&C, una de ellas es tomar el control del microfono y la camara de la victima.





El informe completo aca :

Publish at Scribd or explore others: Published Research Academic Work malware information warfare

Jugando con codigos de barras

Haciendo un poco de limpieza de mi disco, encontré una presentación de Phenoelit sobre hacking de código de barras.

El codigo de barras o UPC Universal Product Code fue creado para auxiliar a los negocios pequeños ( kioscos, mini markets ) a llevar mejor el inventario y para cobrar mas rápido.
Pero fue tal su exito que poco a poco comenzo a extenderse su uso.

Entendiendo su funcionamiento :

El codigo , esta divido en :

- Un codigo de barras que pueden leer las maquinas
- Un codigo numerico


La identificacion del fabricante esta dada por los primeros seis digitos del numero UPC --639382 en la imagen anterior, los proximos cinco digitos --00039 corresponden al codigo del producto.
Una persona esta a cargo de asignar un codigo unico a cada item, y retirar el codigo a un producto una vez que se saca de produccion.

El ultimo digito es el llamado digito de verificacion. Con este digito el scanner puede verificar si el codigo escaneado es correcto o no.

Veamos ahora como es el proceso para el codigo : 63938200039

1. Sumar los digitos en posiciones impares (digitos 1, 3, 5, 7, 9 y 11).
   6 + 9 + 8 + 0 + 0 + 9 = 32

2. Multiplicar por 3.
   32 * 3 = 96

3. Sumar los digitos en posiciones pares (digitos 2, 4, 6, 8 y 10).
   3 + 3 + 2 + 0 + 3 = 11

4. Sumar a este numero lo obtenido en el paso 2.
   96 + 11 = 107

5. Tomar el numero del paso 4. El digito de verificacion resulta ser el numero que sumado al obtenido en el paso 4 es multiplo de 10.
   107 + 3 = 110

En este caso 3 es el digito verificador.

Si el digito verificador no coincide con el obtenido por este calculo, el scanner pedira que se tome nuevamente la lectura.


Y como interactua con una BD ?

Al momento de tomar lectura, el sistema envia el codigo al equipo donde se realiza el procesamiento de las ventas, el cual devuelve el precio del producto.

Esto es importante tenerlo en cuenta ya que el codigo puede ser parte de una query.



Ahora existen diversos codigos de barras y en diferentes formatos. Los que vimos en los ejemplos anteriores son en 1 Dimension, los cuales vienen con diferentes diseños



, en algun momento han visto los codigos en 2 Dimensiones o QR-Codes.


Que se puede hacer con un codigo de barras ?

En la presentacion, dan ejemplos de copia de codigos mediante una camara fotografica, para reutilizarlos en diferentes situaciones.

Beber gratis

Por ejemplo en algunos bares a la entrada ( En Sao Paulo por lo menos es asi )entregan una tarjeta con un codigo de barras, cada vez que uno toma se carga el costo a la tarjeta, al salir del bar se pasa por caja y se entrega la tarjeta donde se toma el valor de lo consumido. Si alguien duplica la tarjeta, sacando una foto al codigo de barras, la proxima visita puede hacer un duplicado y ......

Beber gratis

Las maquinas que toman los envases en los super tambien entregan un ticket con un codigo de barras


Es posible duplicar estos tickets ( supuestamente no hay relacion entre la maquina y las cajas )

Control de Acceso

Algunas empresas utilizan una tarjeta con codigo de barras para el acceso, en la presentacion indican que muchas veces mas de lo habitual, el sistema solo verifica que la estructura de datos este correcta para dar el paso. Para verificar esto, se puede probar con un codigo de algun producto ( una caja de chiclets x ej )


Hay otros ejemplos como Parking, renta de peliculas , tracking de objetos, todos utilizando codigos de barras que pueden ser facilmente manipulados.

Injections and Multi-Decoding

Usando Code 128, se puede injectar otros caracteres como entrada.

Esto puede dar como resultado SQInjection u otros ataques utilizando strings.



QR-Codes

Recientemente, la inclusión de software que lee códigos QR en teléfonos celulares en Japón ha permitido nuevos usos orientados al consumidor, que se manifiestan en comodidades como el dejar de tener que introducir datos de forma manual en los teléfonos. Las direcciones y los URLs se están volviendo cada vez más comunes en revistas y anuncios japoneses. El agregado de códigos QR en tarjetas de presentación también se está haciendo común, simplificando en gran medida la tarea de introducir detalles individuales de un nuevo cliente en la agenda de un teléfono móvil.

Por supuesto esto deja abierta la posibilidad de ser enviado a sitios que contengan codigo malicioso.

No es lo mismo ver una direccion con http://xxxxxxxx/malware.exe que el siguiente grafico arriba a la izquierda que sera escaneado por el mobil y redirigido automaticamente al sitio.


La presentacion continua dando ejemplos de uso de codigos de barras ( tickets aereos, equipajes, servicio postal )


Principios de aplicacion segura de codigos de barras

Considere el codigo de barras igual que una cookie de browser
Esta puede ser interceptada, copiada, modificada, perdida,etc.
Si solo se puede utilizar 1D, este seguro que este representa una ID interno impredecible y nada mas.
Si puede usar 2d, utilize cryptografia.
Si la seguridad del proceso depende del codigo de barras, esta en problemas.
Nunca confie en el numero impreso.


Informacion adicional

a ) Generador de codigo de barras online

b) Generador de codigos de barras Online

Decodificador Online


http://electronics.howstuffworks.com/upc.htm
http://www.phenoelit-us.org/stuff/StrichAufRechnung.pdf


No me quiero despedir sin antes dejare un mensaje en el siguiente QR al amigo que sabiamente aplico mi consejo del referer. Espero pueda decodificarlo :

Te voy a Hackear y no vas a entender.

Lentamente el eje se esta moviendo hacia oriente, y desde alli las amenazas y el temor a lo desconocido. Porque convengamos que en los chats o en los foros del underground, algo uno puede captar sobre que se esta hablando.

Por ejemplo esto extraido del libro "know your enemy" sobre las conversaciones en
una sala de chat de gente que se dedicaba a realizar defacements :

:J4n3! :D1ck
:J4n3! :moi back :p
:D1ck! :yo
:D1ck! :i owned mar1s
:D1ck! :the real server
:D1ck! :and uploaded their radius log
:D1ck! :bur
:J4n3! :mar1s ?
:D1ck! :but they are encrypted unlike satnet
:D1ck! ::(
:D1ck! :mars.example.net
:J4n3! :ohhh
:D1ck! :give me a ip
:J4n3! :then ? what's the result ?
:D1ck! :i`ll tell the user name
:D1ck! ::)
:J4n3! :wait
:D1ck! :k
:J4n3! :hehe no example users online
:D1ck! :lol
:J4n3! :yaar example kay password jo nikal rahay hain /etc/passwd
wo chal nahi rahay :/ dude whatever passwords coming out from example
/etc/passwd those arent working


Pero cuando uno se enfrenta a esto :




Uno comprende que ya no sirve con saber decir tankiu, gud nait...

Segun esta nota del blog de McAfee , ya esta disponible a la
venta en China un pack de ataque contra el Bug corregido por el
patch MS08-067.
El 26 octubre del 2008 el codigo del exploit fue posteado
en un repositorio publico,  en pocos dias WolfTeeth,  un creador de
kits de malware puso a la venta un port scanning para atacar esta
vulnerabilidad.



Dentro de este almacen de malwares, se encuentran diferentes kits
a la venta,incluyendo un Backdoor kit (a.k.a. Beetle Remote Control).

La version comercial ofrecen mejoras como :

• Kernel rootkit.
• Anti-virus software termination.
• Weekly anti-virus detection monitoring and evasion service.
• Web DDOS attack option
  

El vendedor invita a los compradores interesados a contactarlo por una propuesta,
aunque en otras paginas tiene el precio del kit trojano AdClickerCNY258 (~USD$37.80).

Este kit permite a sus clientes hacer dinero de pay-per-click sites usando maquinas
infectadas.

Economia de Mercado que le dicen.