Figura 20 - Resultados de aplicar todas las transformaciones a un objeto persona Existen muchas mis_—acciones.~—que.~=—sppodemos.-—realizar con Maltego dado que es una herramienta muy versatil, pero un anilisis mis profiundo del mismo escap de Paterva. Herramientas de Traceroute visual Durante la ejecucién de un hacking externo de caja negra resulta titil conocer la ubicacién geogrifiea de un determinado objetivo. Imaginemos por ejemplo que hemos determinado los nombres del servidor de correo y del servidor web de nuestro cliente y queremos saber si estos servicios estin alojados en la red piblica administrada por dicha empresa o si por el contrario estan ubicados en un hosting externo como Yahoo Small Business, Gator, o similares. {Por qué queremos conocer esto? Muy simple, si resulta que estan alojados en un hosting externo, en el hipotético evento de que logréramos ingresar a dichos equipos, en realidad estariamos vulnerando al proveedor de hosting, en cuyo caso nos podriamos enfrentar a una posible demanda legal por parte del mismo. Debido a esto es conveniente realizar un trazado de ruta que nos facilite conocer la ubicacién geografica de un nombre de host o de una direccién IP. De ese modo sabremos si tiene sentido o no tratar de vulnerar dicho equipo. Existen en el mercado diversas aplicaciones de traceroute visual, por mencionar algunas: Visual IP Trace, Visual Route. Algunas de ellas son gratuitas 0 tienen versiones pagadas que tienen caracteristicas adicionales como emisién de reportes en formato html Adem de las aplicaciones que se instalan en el PC existen utilidades web para traceroute visual disponibles para uso gratuito en Internet como por ejemplo, la provista por la empresa You Get Signal. Estos aplicativos web tienen como ventaja su simplicidad, pero su debilidad es que no generan informes, por lo que corresponde al investigador realizar capturas de pantalla para incluirlas como evidencia dentro de la documentacién. Veamos algunos ejemplos de las utilidades mencionadas.ca nanos wore 9 or wean Se, ani A ay ree 8295 aescer ose 6 Figura 22 - Consulta en Visual Roweyou get signal {@| Visual Trace Route Tool {@ approximate geophysical trace trace information trace the path to a network 8 con (Host Trace] [Proxy Trace Figura 23 - Traceroute visual desde el aplicativo web de You Get Signal Remote Address [www eben Podemws notar en los grificos previos (Iustraciones 21 a 23) la informacién recuperada al realizar una consulta de traceroute visual para el host www.elixireorp.com. Vale observar que todas las herramientas lo ubican en Estados Unidos, en un servidor de Yahoo, lo cual dado que Elixircorp es tna empresa con oficinas en Ecuador nos Ileva a concluir que se trata de un hosting externo, por tanto si lograramos ingresar al mismo estariamos hackeando en realidad a Yahoo: de ahi la importancia de determinar la ubicacién geogrdfica de un host descubierto en un hacking externo antes de pasar a las fases de escaneo y explotacién. Herramientas de rastreo de correos Es posible que durante la ejecucién de un hacking externo nos topemos con un caso como el descrito en el ejemplo previo, es decir que nuestro cliente tenga tercerizados los servicios web, de DNS y correo y resulte que la resolucién de IP’s y el trazado visual solo nos Ileven hacia el proveedor del hosting. Si adicionalmente ocurre que no hallamos ningun otro servicio piblico durante el reconocimiento, esto puede resultar en frustracién para el consultor. {Pero y entonces qué hacemos? Bueno, es seguro que nuestro cliente tiene acceso a Internet 0 por medio de una red inalambrica, 0 ambas. Lo anterior implica que como minimo el ISP ha asignado a nuestro cliente una IP publica para la salida a Internet, por lo cual debe haber unrowter o un firewall de borde haciendo NAT (traduccién de direcciones) para que los usuarios internos puedan navegar. En este caso obte Planteada la nueva meta ahora deberemos lograr que nuestro cliente nos envie un correo clectrénico, para luego poder analizar los datos de la cabecera del mismo y determinar la direccién IP de origen. Esto es bastante sencillo dado que hemos sido contratados por él para ejecutar un hacking ético, podriamos enviarle un correo so pretexto de contarle cémo va nuestro avance en la auditoria y esperar a que nos responda. Para este andlisis podemos utilizar cualquier herramienta de rastreo de correos 0 inclusive revisar manualmente la cabecera del mismo; pero el uso de herramientas automatizadas tienecomo ventaja la obtencién de un informe que podemos incluir a manera de anexo en nuestro reporte. Es necesario mencionar que las herramientas de analisis de correos no sélo sirven para determinar la IP de origen de un mail, sino que ademas permiten verificar si el remitente es en efecto quien dice ser, es decir, que podemos usar estos aplicativos para determinar si nos encontramos frente a un mail falso o ante una suplantacién de identidad. Laboratorios de reconocimiento Footprinting con SmartWhols SmartWhols* es una herramienta comercial que permite realizar consultas a directorios Who-ls de forma grafica. En este sencillo laboratorio descargaremos una version de prueba para realizar una consulta sobre un domino objetivo. En el laboratorio actual usted usara el aplicativo SmartWholS para obtener informacién sobre dominios objetivos desde un repositorio Who-Is. Nota: Para la ejecucién del laboratorio usaremos Windows como estacién hacker. El software SmartWhols puede descargarse desde hup:/www.tamos.com Mlownload/main’ en modalidad de prueba por 30 dias. 1. Inicie el aplicative SmartWhois. Tal y como se muestra en la Figura 24, la interfaz es sumamente intuitiva. 2A contimaciin realiaremos vn consul por ol dominio seanme.nmap.org. Como se observa en la Figura 25 no hay mayor informaciin, debido a que este es un dominio de prueba pri Pho dina @ com» Go am Figura 24 - Interfaz de SmariWhols% SmartWhois - Versién de Evaluacién | archivo Consuta Edtar Ver Preferencias Ayuda igt-e Oot ki beh TP, Host, 0 dominio: | @ scarme.renap.org eres : Figura 25 - Consulta Who-ls del host scanme.nmap.org 1, Probemos ahora un dominio de una empresa piblica cualquiera y observemos la informaciin que nos muestra SmartWhois, Para este ejemplo probaremos con el dominio de Cisco Systems: ‘Arco Conese Edhar ver Preferences yuts G#-eOrtk See 1, ros 0 mn: wm. 0 a Figura 26 - Resultados de consultar el dominio ciseo.com+ Como podemos comprobar obtuvimes mayor informactin en esta ocasin (ver Figura 26) 2. Pam protegemos de este tipo de reconociminto basta con pagar un valor adiional anu al servicio de hosting para mantenet privada informacion dl servicio WhoIs. Sin embargo, no es posible eliminar por complet el reconocimient, puesto que siempre habritinformacién pilblica de la empresa disponible en Internet u otros medios de comunicacién, Reconocimiento con Sam Spade Sam Spade es wna aplicacién de descubrimiento que debe su nombre al famoso detective protagonisia de la novela El Halcén Maltés y al igual que cl personaje, esta herramienta nos permite realizar una labor detectivesca para recabar informacién sobre nuestro objetivo. La licencia de Sam Spade es gratuita (freeware) y esti disponible para plataformas Windows. En la actualidad el autor del software, Steve Atkins, ha dejado de mantener el sitio web original, samspade.org, lo que es una pena; pero gracias a que la utilidad de la herramienta sigue vigente, organizaciones como PCWorld mantienen copias de descarga”. Enel laboratorio actual usted usara el aplicativo Sam Spade para efectuar reconocimiento sobre un dominio objetivo. Nota: Para la ejecucién det laboratorio usaremos Windows como estaciin hacker El software Sam Spade puede deseargarse desde Intp:/www.peworld.com downloads file/fid 4709 -order, -pave,1-c,alldownloads/deseription html gratuitamente. 1. Una vee deseargndo, a instalzcion e Sam Spade es sumamente sencilla basta con ejecutar unos cuantos clicks del mouse. En a Figura 27 podemos ver la pantala inc 2. Luego de cerrar el tip del dia procederemos a realizar una consua sobre un dominio cualquiera. Para este ejemplo usaremos cisco.com. Eserbimos nuestra consulta en a caja de texto ubicada en la parte superior izquierda de la ventana y damos Enter. 3. Como se presenta en la Figura 28, dicha consulta nos devuelveinformaciin contenida en la base Who-ls del ARI. Ahora seleccionaremos la opcién snet.12.1DNS, con el fin de obtener datos del servicio de nombres, adicionalmente si hacemos click sobre el icono de IPBlock, Sam Spade intentara determinar rangos asignados al objetivo y la propiedad del mismo (ver Figura 29), © aie ivi 2 ote Hae] Figura 27 - Pantatla inicial de Sam SpadeSsise _—SS Figura 28 - Consulta sobre dominio en Sam Spade 1, Para ie opcitn de Dig (cavat) es necesario cepecificar explotameate la deeceitn IP Ge: mucstro servidor de nombres; eto 0 hacemos escogiendo el meni Edit -> Options -> Basics, Aqui le podemos poner un visto en la opeién de usar DHCP 0 bien escribir manualmente la IP de nuestro DNS server (ver Figura 30). 2. Esta opeién nos permite obtener informacién detallada acerca del espacio de nombres del objetive (ver Figura 31) de manera similar a como Jo muestra el comando nslookup. fos/24/32 00:53:26 30 buock 290-399,237.25, fan'e find omer of {P block 198,139,219.0, Figura 29 - Diversas consultas con Sam Spadeid. arpagi92. 168.0, 102 .219.133.198.in-addr.arpa types255 class=1 133. 198. in-addr.arpa PTR (Pointer) waw9.cieco. com 198.in-addr.arpa NS (Nameserver) nei. cisco. 133.198, cisco.com A (Add: Figura 31 - Digging con Sam Spade 1, Por supuestohay opciones adkibnaks que podemos explorar con Sam Spade que mos ayudacin a recabar ms datos sobre stro objetivo y dada su simplicitad de uso, es una hesramnenta que no debe falta en nuestro portafto de aplicaciones para huckeat. Analisis de la cabecera de un correo electrénico Eneste ejemplo usaremos el aplicativo Email Tracker Pro, para el efecto reproduciremos z cartiulo de la. suserita Publicado en el blog de Elixircorp S.A. blog.elixircorp.biz/2012/08 p-corre o-s¢ sto-ingre s¢ ei terubcpnediansereeisietdlpeoiseesse! ulian-: ssanee /) sobre un caso real en el cual se analizo un mensaje de correo a pedido de Diario El Universo”. En el Laboratorio actual realizaremos un anilisis de la cabecera de un correo electrénico para establecer la direccién IP de origen y a la vez determinar si se trata de un mensaje legitimo 0 no. Nota: Para ta ejecucién del laboratorio usaremos Windows como estacién hacker El software EmailTrackerPro puede descargarse desde lap /www.emuiltracherpro.com{lownload. hu! en modatidad de evaluacién por 15 dias.Correo electronico masivo recil ido por uno de muchos usuariosDate: Wed, 22 Aug 2012 1021:13 -0400 To: xxxx@xxxx.com From: Sender @EFUniverso.net Subject: Policias de Gran Bretana entran a embajada de Ecuador Policias de Gran Bretafia entran a embajada de Ecuador. Pobeias de Gran Bretafia entran a embajada de Ecuador a capturar a Julian Assange en un operativo nunca antes visto en el dltimo tiempo...para ver més detalles de ks noticia vea el video de lo acontecitio, Clic en el enlace para ver el video de la noticia: hitp://www.cluniverse.comservider videos /inde.tml? Wikileaks Vide: 1. Analisis det correo electrénico Para comenzar podemos observar ficilmente en el cuerpo del mensaje, posicionando nuestro puntero del mouse sobre el supuesto en EI Universo, que en realidad es una redirecciin a otro sitio web eon url http:/www.lene-kinesiolog.dk/templates/stripes2/images/ehuniverso.php? Wikileaks Video Polcias de Gran Bretana entran a embsjada de Ecuador. Poti de Gran Bretana ean i embaja de Ecunder» cats dulan Aasange en | Seto scented ‘cen et entace para vere veo ela noticia Ip. tunveso comers wdeosindex hint 7Wkleaks Vi Figura 32 - Al colocar el puntero del mouse sobre el enlace vemos que no corresponde a El Universo ‘Como se demuestra en lt Figura 32, el sitio al que nos redireceiona pertenece a otro domino en Internet, diferente al del Diario Fl Universo (www.cuniverso.com). De este primer hallacgo podemos hacer una primera conclusién y es que estamos ante ut caso tipica de PHISHING. En segundo higar analizamos las eabeceras del corteo electrinico para poder determinar su origen: