Yuzi download

Figura 3: Intento de configurar agua "no potable" variando los compuestos químos

La empresa cuenta con una aplicación web/mobile a la que los clientes se pueden conectar para la gestión de sus cuentas y sus pagos. Esto está alojado en un servidor web, pero que tiene conexión directa con el servidor SCADA, basado en un AS/400 (que también debería fortificarse). Este servidor AS/400, además, tenía conexión de a Internet, por lo que una vez llegado a él se podría sacar datos. Llegando a un servidor, es fácil acceder a las credenciales de acceso a otros servicios, incluso acceder a las passwords de gestión de los PLCs e incluso mucho más fácil, ya que puede que haya sistemas PLC sin passwords o fácilmente saltables.

Figura 4: Arquitectura de red de los sistemas de la planta. Desde el AS/400 acceso a todo.

Cualquier cliente de la empresa se podía conectar al sistema de pagos con un sistema de credenciales basado en usuario y contraseña, sin que hubiera ninguna protección de Segundo Factor de Autenticación o Autenticación Robusta, lo que permitía a un atacante hacerse fácilmente con alguna cuenta de usuario con ataques simples de phishing, troyanos, etcétera.

La aplicación de pagos no estaba correctamente auditada y desde la sesión de un usuario era posible explotar bugs en el backend que permitieran acceder a los ficheros del servidor. No se sabe si la vulnerabilidad permitía subir una shell, era un ataque de LFI, o un Directory listing, pero con este fallo se podía acceder a los ficheros del servidor.

De nuevo, el acceso al sistema SCADA utilizaba usuarios y contraseñas sin ninguna protección de Segundo Factor de Autenticación, así que cualquiera que se hiciera con las credenciales podría entrar a manipular el servidor.

Como sucede en muchos casos, las herramientas de adminsitración de servidores permiten guardar información de las conexiones que realizan los técnicos para que sea cómodo acceder a ellos a golpe de clic. Según parece, en el servidor de la aplicación de pagos había un fichero .INI con las credenciales del sistema SCADA, así que una vez accedido a los ficheros del servidor fue fácil obtener el acceso al sistema SCADA.

Figura 5: Cúmulo de fallos en la gestión de las credenciales de acceso a los sitemas

Al final, los atacantes se pudieron llevar la base de datos de los usuarios, ya que las credenciales funcionaban en otros sistemas conectados, como el servidor que hospedaba la aplicación financiera de la planta.

Figura 1: ¿Tienes un oído fino? Cifrado y esteganografía de datos en ficheros de audio y un test de estgonanálisis con tu oreja

Definición 1: esteganografía es la ciencia que trata el estudio y la aplicación de un conjunto de técnicas que permiten ocultar o esconder información, de modo que no se perciba su existencia. 

Etimología 1: Estegano-, del griego tégos-/steganos, que significa disimular, disfrazar o cubrir. 

Definición 2: criptografía es el arte de escribir con clave secreta o de un modo enigmático. 

Etimología 2: Cripto-, del griego kryptós, que significa recubierto.
Etimología 3: -grafía, de la raíz del griego grafein, que significa escritura o representación gráfica.

Figura 2: Diagrama global del criptosistema

1. Crear un certificado de tipo ‘OpenPGP key pair’
2. Introducir algunos datos personales: Dentro de las opciones avanzadas, elegimos el uso que le vamos a dar. En nuestro caso solo queremos cifrar, así que elegimos el método RSA con 2048 bits y marcamos la casilla de ‘Encryption’.
3. Crear una ‘passphrase’ para cifrar la clave privada (este cifrado es tipo simétrico)

1. Elegimos ‘Sign/Encrypt Files’, y marcamos la opción de Encrypt. Seleccionamos el fichero a cifrar.
2. Seleccionamos el certificado que queramos usar para cifrar. En este caso, como ya lo tenemos creado, seleccionamos y añadimos el que hemos hecho anteriormente.
3. Pulsamos en ‘Encrypt’ y esperamos a que el proceso finalice. El programa nos avisará.

1. Elegimos ‘Decrypt/Verify Files’, y seleccionamos el fichero a descifrar. También podemos elegir dónde se guardará la información descifrada.2. Introducimos la ‘passphrase’ para nuestro certificado, que se nos indica en pantalla. Cada certificado que creemos tiene su propia ‘passphrase’, de modo que hay que recordarla para poder realizar el proceso de descifrado.3. Pulsamos en ‘OK’ y esperamos a que el proceso finalice.

• Audio: muestras de sonido del fichero WAV original. El subíndice indica el número de muestra y el superíndice indica el peso del bit de la muestra.
• Datos: cadena de bits del mensaje original.
• Portador: muestras de sonido del fichero WAV con el mensaje ‘Datos’ incluido.

Figura 3: Ejemplo de ocultación LSB. Sustitución de los bits menos significativos de las muestras de audio original por los bits del mensaje

a. Dividimos la señal acústica en varias ventanas de tamaño fijo.
b. Calculamos la DFT (transformada discreta de Fourier) de cada ventana, obteniendo la fase y la magnitud.
c. Elección de puntos de cada ventana candidatos para esconder la información.

i. Todos los puntos que cumplan Thmin < magnitud < Th albergarán el mensaje a ocultar.

• Umbral, Th, es un porcentaje del valor máximo de la señal.
• Umbral mínimo, Thmin, es un valor fijo obtenido de forma empírica, 10^-4 genera 0 errores.

ii. Para cada punto, dejaremos el valor de la fase original, con el siguiente criterio:

• Si bit a ocultar 0, entonces: (-1) x fase
• Si bit a ocultar 1, entonces: (1) x fase

Figura 4: Pasos para aplicar el método de esteganografía de Phase Coding

1. Leer fichero con los datos a esconder

[Datos, count] = fread(fopen(C: utamensaje.txt));
Datos = matriz de ‘count’ filas (cada caracter) y 1 columna.
count = cantidad de caracteres leídos.

2. Leer fichero de audio, que hará de portador

[x,fs] = audioread(ruta);
x = muestras de audio
fs = frecuencia de muestreo

3. Sustituir los bits menos significativos de ‘x’ por todos los bits que haya en ‘Datos’

% La parte del mensaje que cabe justa

coded(1:F_smr,(end-LSB+1):end) = stego_mensaje;

% La parte del mensaje que sobra

coded(F_smr+1,end-sobran+1:end)=Datos(L_esconder-sobran+1:end);

4. Crear un nuevo vector de muestras, que contenga el mensaje sustituido y el resto de muestras originales, es decir, las muestras del fichero portador, incluyendo el mensaje a esconder.

y = coded;

audiowrite(‘C: utaLSB-codedAudio.wav’, y, fs);

1. Leer fichero de audio, que es el portador del mensaje oculto

[x_ext,fs_ext] = audioread(‘C: utaLSB-codedAudio.wav’);

2. Extraer los bits menos significativos de ‘x_ext’

% Recupero el mensaje, por partes: la divisible, y el resto
% 1º Recupero la parte divisible del mensaje
recup1 = x_ext(1:F_smr,end-LSB+1:end);
% 2º Recupero la parte que falta del mensaje
recup2 = x_ext(F_smr+1,end-sobran+1:end);
% Juntamos todo
recup = vertcat(recup1,recup2);

3. Crear un nuevo fichero que será el mensaje extraído.

fwrite(fopen(C: utamensaje_extraido.txt,w), recup);  

%Recordad que este mensaje extraído está cifrado.

1. Leer fichero de audio y dividir la señal en ventanas

[x,fs] = audioread(ruta);
% Longitud archivo portador en muestras
T = length(x);
% Longitud de cada segmento
L = 1024;% Numero de segmentos
N = floor(T/L);
% División en segmentos de la señal (cada columna un segmento)
for n=1:N
xf(:,n) = x((n-1)*L + 1:n*L);
end

2. Calcular DFT y obtener fase y magnitud

% DFT de cada segmento (fft lo hace de golpe)
Xf = fft(xf);
% Matriz de magnitud original
M_ori = abs(Xf);
% Matriz de fases original
P_ori = angle(Xf);

3. Calcular umbrales y obtener los puntos candidatos

Th = porcentaje*max(M_ori(:));Th_min = 0.0001;indhide = find(M_ori<Th & M_ori>Th_min);

4. Calcular umbrales y obtener los puntos candidatos

for k=1:L_esconder % desde 1 hasta el tamaño del mensaje que quiero esconder
if Datos(k)==0
P_hide(indhide(k)) = abs(P_ori(indhide(k)))*(-1);
else
P_hide(indhide(k)) = abs(P_ori(indhide(k)))*(+1);
end
end

5. Crear el audio portador con el mensaje a esconder.

% Mensaje portador con datos ocultos
Xhide = M_ori.*exp(1i*P_ori);
xm = real(ifft(Xhide));
audiowrite(‘C: utaPC-codedAudio.wav’,xm,fs);

1. Los pasos para extraer son los mismos que para ocultar, desde el 1 al 3 

2. Extraemos la información del vector con los puntos candidatos

% Extraer índices de los puntos con bits ocultos
indhide = find(M_decod<Th & M_decod>Th_min);
indhide = indhide(1:L_esconder);
Decp = P_ decod(indhide);

Recordad que ‘L_esconder’ es el tamaño del mensaje que voy a extraer. En principio lo sabemos de antemano, pero se podría crear un espacio dentro del mensaje a ocultar para indicar cuál es su tamaño, y transmitirlo también una vez cifrado y ocultado. 

3. Extraemos el mensaje oculto

% Mensaje extraído en Datadec
Datadec = (Decp<=0)*0 + (Decp>0)*1;

1. Elegimos un fichero cualquiera que será nuestro mensaje a ocultar.
2. Elegimos un fichero de audio, en formato WAV, que será nuestro portador.
3. Ciframos el fichero con GPG4WIN.
4. Ocultamos el mensaje obtenido en el paso 3 mediante una técnica esteganográfica: LSB o Phase Coding.
5. Obtenemos un fichero WAV con el mensaje incluido. Este fichero lo podemos transmitir o almacenar teniendo 2 ventajas principalmente:

a. Tenemos la información escondida, luego será más difícil encontrarla para cualquiera que no sepa dónde/cómo buscar.
b. Tenemos la información cifrada, de modo que, incluso aunque se llegue a descubrir que tenemos información oculta, sería casi imposible descifrar sin tener la llave.

1. Elegimos un fichero de audio que sea portador.
2. Extraemos el mensaje mediante una técnica esteganográfica: LSB o Phase Coding.
3. Desciframos el fichero obtenido en el paso 2 con GPG4WIN.

Figura 5: Herramienta Lacinato ABS/SHootouter

• Música clásica: Sinfonía nº 6 en Fa mayor, op. 68, “Pastoral”, Ludwig Van Beethoven.
• Música comercial: Diamonds, Season One, Emancipator.
• Música pop-rock: Cuando los ´árboles se sequen, Casa Grande, Marco Boz y Pablo Páez.
• Voz hablada: Blue Sky Bridge, narración en inglés, Fergus Sound Enterprises.

Resultados para LSB: Para evitar detección auditiva, recomiendo utilizar como máximo los 4 bits menos significativos. Capacidad de ocultación del LSB es el producto del número de muestras del audio original y el valor de LSB elegido en cada caso: numero_muestras x N lsb 

Resultados para Phase Coding: Para evitar detección auditiva, recomiendo utilizar un valor Th ? 10-4.

Figura 1: MrLooquer. Un buscador de servicios sobre IPv6 en Internet

Figura 2: Documento de IETF con información sobre escaneos en IPv6

Figura 3: Opinión sobre las defensas NO necesarias en IPv6

Figura 4: Servicio online MrLooquer

Figura 5: Lista de servidores Dovecot escuchando sobre IPv6

Figura 6: Servidores DNS sobre IPv6

Figura 7: Bug de DoS en servidores DNS

Figura 8: Servidores DNS potencialmente vulnerables

Figura 9: Servidores RabbitMQ sobre IPv6

Figura 10: Relación de servicios y direcciones IPv4 & IPv6

Figura 11: Empresas españolas con IPv6

- Hacking en redes de datos IPv6: Conceptos básicos IPv6 (1)
- Hacking en redes de datos IPv6: Conceptos básicos IPv6 (2)
- Hacking en redes de datos IPv6: Hackeado en IPv6 por creer que no lo usas
- Hacking en redes de datos IPv6: Ataque de Neighbor Spoofing
- Hacking en redes de datos IPv6: Captura de SMB con Neighbor Spoofing
- Hacking en redes de datos IPv6: FC00::1 (Algunos) Ataques en redes IPv6
- Hacking en redes de datos IPv6: Man in the middle en redes IPv4 usando IPv6
- Hacking en redes de datos IPv6: Desactivar IPv6 para evitar D.O.S. SLAAC
- Hacking en redes de datos IPv6: Predecir direcciones IPv6 Local-Link de OS X
- Hacking en redes de datos IPv6: Ataques en redes de datos IPv4 e IPv6
- Hacking en redes de datos IPv6: Evil FOCA: Ataque SLAAC
- Hacking en redes de datos IPv6: Evil FOCA: Bridging HTTP(IPv6)-HTTPs(IPv4)
- Hacking en redes de datos IPv6: Pasar de IPv4 a IPv6 con una respuesta DNS
- Hacking en redes de datos IPv6: Cómo activar IPv6 en Google Chrome
- Hacking en redes de datos IPv4: Ataque DHCP ACK Injector
- Evil FOCA liberada bajo licencia Open Source
- Hacking en redes de datos IPv6: Topera - Scanner de puertos sobre IPv6
- Implementación de Iddle Port Scanning con IPv6
- Detección de IPv6 en Internet: Cada vez hay más sitios
- Detección de Happy Eyeballs en la red
- Ataque ICMPv6 Redirect: man in the middle a Android, OS X & iPhone
- Implementación de ataques "Delorean" a HSTS

Figura 1: Hackear Moodle con ataques de Network Packet Manipulation

Figura 2: El servidor Moodle y la motor SGBDR de MySQL se conectan vía red

Figura 3: Tabla de usuarios en Moodle

Figura 4: Columnas de la tabla mdl_user

Figura 5: Hasta 53  columnas en la tabla mdl_user

Figura 6: Consultas de Moodle a MySQL en texto plano

Figura 7: Gestión de usuarios en Moodle

Figura 8: Captura del INSERT INTO de un nuevo usuario

Figura 9: Consulta completa para dar de alta un nuevo usuario en Moodle

“UPDATE mdl_user set city = hack3d where username = zweig”

Figura 10: Consulta elegida con Packet Length de 43 bytes

UPDATE mdl_user set city = hack3d where username = zweig

Figura 11: Filtro creado para modificar la consulta original a Moodle

etterfilter -o md.ef2 mdl.filter2

Figura 12: Ciudad antes de ejecutar el ataque

ettercap -T -q -i -F mdl.ef2 -M ARP