Documentos de Académico
Documentos de Profesional
Documentos de Cultura
Esta es la historia de un chico llamado Pedro, Pedro todas las maanas acuda a una cafetera
que se encontraba debajo de su piso, para desayunar un rico caf con dos croissants, al tiempo que se
pona al da leyendo la prensa diaria desde su telfono mvil, pero Pedro no le gustaba gastar los
datos de su tarifa de Internet, por lo que siempre se conectaba a la red Wi-Fi gratuita de su cafetera
favorita. Pedro estaba tranquilo, ya que esta red era segura, era la red del bar en el que llevaba tres
aos desayunando Como lo iban a engaar?!?!?, adems la red dispona de una intrincada
contrasea con muchos nmeros, letras y smbolos extraos que haba que introducir en un
formulario de texto que pona "WPA2", y Miguel, el amigo de Pedro le haba comentado una vez,
que las contraseas WPA2 son muy seguras.
Un soleado da de Marzo mientras Pedro estaba revisando las noticias desde su telfono mvil, entr
en la cafetera un chico joven con su ordenador porttil, el cual digamos... que se puede llamar
Javier, este se sent en una de las pocas mesas que a esas horas todava quedaban libres. Cuando el
camarero le sirvi a Javier el caf solo con hielo que haba pedido, Javier le pregunt por la
contrasea de la red Wi-Fi de la cafetera, apuntndola el camarero en una servilleta de papel que
despus dej encima de la mesa de Javier.
Javier tecleo uno a uno todos los caracteres que el camarero haba escrito en la servilleta de papel,
pero el ordenador de Javier era extrao, el fondo de escritorio mostraba una especie de dragn que
pona "Kali Linux" y la barra de tareas no se encontraba en la parte inferior de la pantalla
como cualquier otro ordenador, si no que estaba en la parte superior. Rpidamente en la pantalla del
ordenador de Javier apareci un mensaje que rezaba lo siguiente "Conexin establecida
correctamente", por lo que Javier ya poda utilizar el Wi-Fi gratuito de esta cafetera para navegar
por Internet. Pero Javier no abri ningn navegador, tampoco abri ningn cliente de mensajera ni
videollamada. Si no que en un maremgnun de ventanas desplegables inici un programa llamado
"Ettercap", en el que se poda ver una araa de color negro, seguro que "Ettercap" es el nombre
de un nuevo videojuego en el que hay que exterminar una plaga de araas gigantes en un exoplaneta
desierto.
Pero por desgracia para Pedro, "Ettercap" no era ningn videojuego, si no que se trata de
uno de los mejores programas para esnifado de red y envenenamiento de tablas ARP. Cuando
Javier arranc este programa, rpidamente entr en el men "Sniff" para seleccionar su
interfaz de red wireless (wlan0), con la opcin "ettercap imput".
Posteriormente Javier escane todas los equipos conectados a la red Wi-Fi de la cafetera, con
la opcin "Scan Host" del men "Host". Para ver los resultados del proceso de escaneado tan
solo tuvo que pulsar sobre la opcin "Host List" del mismo men. En esta lista de equipos,
Javier pudo identificar rpidamente el router y el dispositivo con el que estaba navegando
Pedro, puesto que el router estaba configurado con un mtica 192.168.1.1, y solamente haba
conectado otro equipo con la IP 192.168.1.35, fcilmente se puede suponer que esta ultima IP
Cuando Javier ya tena definidos sus objetivos, comenz el ataque "MiTM" (Man in the
middle u hombre en el medio), para lo que tan solo tuvo que iniciar un "ARP Poisoning"
(Envenenamiento de las tablas ARP), activando la opcin "Sniff remote connectiones" y
pulsando el botn "Start" de Ettercap.
esta seal Wi-Fi, Javier tambin descubri que Pedro no solo haba visitado la pgina web de
eltiempo.es, si no que, haba comprobado la prediccin meteorolgica para el pueblo
deLubin en Zamora, de lo que se desprende que posiblemente Pedro visitar este municipio
de 351 habitantes en breve.
Fig. 5 "User-Agent"
Cuando Javier regres de nuevo a la pestaa "Profiles", observ como Pedro tambin se
haba conectado a la conocida pgina web ForoCoches, por lo que otra vez, desde la pestaa
"Connectiones", obtuvo mas informacin de esta conexin, mas concretamente pudo
averiguar cual era el usuario y contrasea de Pedro en ForoCoches, como se puede
comprobar en la siguiente imagen, username: "USUARIOFULL" y login password:
"123456", lgicamente no son datos reales.
Al estar Javier en un entorno "Man in The Middle", record que exista un comando llamado
"driftnet -i wlan0", el cual permite interceptar todos los archivos de imagen que Pedro
estuviera viendo en su navegador, es decir si Pedro suba una fotografa a una red social o
entraba en un peridico online, todas las imgenes que pasaran por esa conexin Wi-Fi las
podra ver tambin Javier, como se muestra a continuacin:
Aunque todo lo explicado anteriormente te pueda parecer sorprendente o fantasioso, tienes que
tener en cuenta que es completamente factible realizar este tipo de ataques en los que tu puedes ser la
victima, y lo que es peor, no se requieren grandes conocimientos informticos o costosos programas
informticos, tan solo con una distribucin gratuita de Kali Linux y un ordenador porttil normal y
corriente se puede ejecutar cualquiera de los ataques o interceptaciones explicadas anteriormente, y
no solo eso, utilizando otras tcnicas tambin muy sencillas, se pueden obtener cualquier tipo de
contrasea personal, desde la contrasea del Facebook a la de Gmail, pasando por cualquier otro
servicio web, piensa que una vez que un atacante obtenga tu contrasea personal, por ejemplo del
Facebook, tendr acceso a infinidad de datos personales que podr llegar a utilizar en tu contra, por
eso es muy importante tomar siempre unas medidas de seguridad bsicas pero eficaces. En cuanto a
lo que ataques MiTM mediante envenenmiento ARP se refiere te puedes proteger siguiendo los
siguientes consejos:
Si de todos modos quieres conectarte a una red Wi-Fi pblica, es conveniente que cuando
ests utilizando una red desconocida, no utilices servicios sensibles, como por ejemplo: banca
online, enves o visualices fotografas o documentos comprometidos, ni tampoco inicies
sesin en tu cuenta de correo electrnico.
Otro detalle de seguridad importante, que se puede aplicar para reducir considerablemente las
posibilidades de que un extrao pueda acceder fraudulentamente a tus cuentas personales, es
simplemente, utilizar contraseas distintas por cada servicio que uses, de este modo, si
alguien consigue obtener alguna de tus contraseas, solamente podr acceder a esa cuenta en
concreto y no a todas tus cuentas.
Si de todos modos necesitas conectarte fuera de tu casa con un ordenador porttil, recuerda
que si dispones de una conexin a Internet en tu telfono mvil, la puedas extender a tu
ordenador mediante "tethering", pero que este conexin sea al menos del tipo WPA2.
Recuerda que con la conexin Wi-Fi de tu domicilio tampoco estas a salvo de este tipo de
ataques, ya que si alguien es capaz de romper la seguridad de tu contrasea WEP, si es que la
tienes, no le costar mucho ejecutar el ataque anteriormente descrito, por lo que de nuevo,
recomiendo, que si no puedes conectarte a Internet mediante un cable de red, por lo menos
configura tu red Wi-Fi de tal manera que ningn extrao se pueda conectar fcilmente a la
misma.
Aunque todo esto pueda parecer un juego de nios o una forma distinta de impresionar a tus
amigos, es muy importante saber que este tipo ataques vulneran la intimidad de las personas, por
lo tanto estn considerados como delitos muy graves en nuestro pas, y las condenas por haber
cometido estos delitos puede llegar a los siete aos de prisin, por lo tanto si quieres probar estos
programas, lo podrs hacer tranquilamente en un entorno de laboratorio controlado, en el cual no se
vulnere la intimidad de ninguna persona real.
Este mtodo se puede llevara a cabo tanto desde Kali Linux como desde WifiSlax,
simplemente necesitaremos tener instalados los drives de nuestra tarjeta de red y que esta a su vez
permita iniciarse en modo monitor o promiscuo.
Tecleamos en nuestra terminal "airmon-ng", para visualizar cuales son nuestras interfaces de
red, lo lgico sera tener una sola interfaz (wlan0), pero por ejemplo, si dispones de una
antena Wi-Fi externa como es mi caso, tambin aparecer esta bajo el nombre "wlan1".
Para iniciar cualquiera de las dos interfaces en modo monitor debers teclear el siguiente
comando "airmon-ng start wlan1", de este modo se iniciar en modo monitor una tercera
interfaz, la cual posiblemente se llamar "mon0" (monitor), ahora ya tendremos una interfaz
llamada mon0 en modo promiscuo.
En este momento ya podremos realizar un escaneo de todas las redes Wi-Fi, que estan a
nuestro alcance con el comando "airodump-ng mon0", dnde mon0 es el nombre de nuestra
interfaz que est en modo monitor.
Una vez que airodump-ng nos muestre todas las redes Wi-Fi a nuestro alcance, tendremos
que seleccionar la red deseada que esta configurada con un filtrado MAC. Esto lo podremos
hacer con el siguiente comando: "airodump-ng --bssid 00:00:00:00:00:00 mon0",
dnde 00:00:00:00:00:00 es la direccin MAC del punto de acceso que tiene habilitado el
filtrado MAC. Automticamente aparecern las direcciones MAC de todos los equipos
conectados a esa red mediante Wi-Fi, por lo que podremos utilizar cualquiera de esas
direcciones MAC para hacernos pasar por ella.
Para cambiar la direccin MAC de nuestra tarjeta de red, por una de las MAC autorizadas a
conectarse al Acess Point, en primer lugar tendremos que desconectar nuestra conexin de
esta forma.
Introduciremos
el
comando
"macchanger
-m
11:11:11:11:11:11
mon0",
dnde 11:11:11:11:11:11 es una de las direcciones MAC autorizadas a conectarse a la red
WiFi. De este modo ya tendremos acceso a la red WiFi, puesto que nuestra MAC
corresponde con una de las autorizadas.
Como has podido comprobar disponer de un filtrado MAC en tu red WiFi para impedir que
extraos se conecten a la misma no le otorga a tu red una seguridad absoluta, pero si que reducir
enormemente el nmero de atacantes que se intentaran conectar a la misma. Puesto que la seguridad
total no existe, es conveniente utilizar varios mtodos para dificultar que se establezca una conexin
no autorizada, como puede ser una contrasea WPA2, cambiar la contrasea de administracin del
router, y por supuesto no mantener conectados equipos a la red WiFi si no los estamos utilizado, ya
que de este modo, al no existir paquetes de datos que viajan por el aire es mas complicado poder
acceder a una red.
Recordad que segn el articulo 255 del Cdigo Penal Espaol, se impondr una pena de multa
de 3 a 12 meses, al que cometiera una defraudacin de las telecomunicaciones por un valor
superior a los 400 EUROS, por lo que es muy conveniente disponer de un Access Point propio con el
que hacer pruebas de penetracin WiFi, de este modo lo podremos configurar con el nivel la
seguridad deseado, y no molestaremos a nuestros vecinos dejndolos sin velocidad de conexin.
ifconfig wlan1 down: nos permitir desconectar nuestra conexin, dnde wlan1 es el nombre
de nuestra interfaz, el cual deberemos cambiar por el que corresponda.
ifconfig wlan1 up: sirve para levantar de nuevo nuestra conexin de red.
Si no sabes cual es el nombre de la interfaz de red que estas utilizando, podrs utilizar el comando
"airmon-ng" para averiguarlo.
Una vez mas, vamos a utilizaremos nuestro fiel dragn Kali-Linux, mas concretamente la
herramienta xHydra, que podrs encontrar en la seccin de ataques sin conexin de nuestro Kali.
Vamos a la pestaa Start y pulsamos sobre el botn Start, esperando a que xHydra averige
cual es la contrasea, en este caso como se puede observar en la imagen hemos obtenido el
usuario y contrasea del router (user: 1234; pass 1234)
explicar como es de fcil crear un diccionario con miles de contraseas para ejecutar un ataque de
fuerza bruta.
interface de crunch
-b: bytes mas del archivo del diccionario, especialmente importante para diccionario de gran
tamao, ya que fcilmente puede alcanzar ciento de Gb.
Tambin se puede indicar los tipos de caracteres con las variables @ (minsculas) %(mayusculas)
^(caracteres especiales)
Un ejemplo para crear un diccionario de nmeros con todas las combinaciones posibles desde el 000
al 99999, seria el siguiente: "crunch 3 5 0123456789 -o /root/desktop/diccionario.txt"
Con el comando anterior se creara un fichero similar a esta imagen:
Como has podido comprobar es realmente fcil crear un diccionario con miles de claves
secuenciales para ser utilizadas en un ataque de fuerza bruta, por eso es muy importante que utilices
claves largas y sobre todo que no contengan palabras o nombres que se puedan encontrar en algn
diccionario, ya que seran las primeras en caer. Cuanto mas larga sea la clave, aunque simplemente
contenga nmeros, mas complicado sera de averiguar, por ejemplo, para encontrar un diccionario
que contenga la clave aleatoria 8529630147 se necesita un diccionario de aproximadamente 200Gb
de tamao!.
Existen dos grandes mtodos para poder averiguar la contrasea de inicio de sesin en un
sistema Windows, uno es el mtodo que voy explicar ahora, para el cual es necesario disponer de la
distribucin Kalil Linux o tambien mediante un Ophcrack booteable desde LiveCD, en este caso en
concreto voy utilizar la versin de Ophcrack que nos ofrece Kali Linux. Otro mtodo seria utilizar el
programa CHNTPW (tambin disponible en Kali Linux), pero este ltimo solamente nos permite
cambiar o eliminar la contrasea de Windows, no averiguarla.
Lo primero que tendremos que hacer para poder descifrar una contrasea de Windows, es
iniciar el programa Ophcrack desde Kali Linux, lo podrs encontrar en la seccin de ataques
a contraseas sin conexin.
Una vez iniciado, pulsando en el botn "Load" y luego "Encrypted SAM", se podr cargar
el SAM file de Windows, normalmente estar en la ruta Windows/System32/config/RegBack.
Para averiguar la contrasea, tendrs que disponer de una tabla Rainbow, las cual la podrs
descargar desde aqu. Existen muchos tipos de tablas, por lo que es necesario elegir una
adecuada, ya que las hay desde unos pocos MB hasta casi medio TB.
Cuando ya tengas la tabla correctamente instalada, simplemente ser necesario pulsar sobre el
botn "Crack" y aparecer la contrasea de los usuarios disponibles, como se muestra a
continuacin.
Interface de Ophcrack
Como has podido comprobar es muy fcil corromper la seguridad de un sistema Windows, es
por lo te recomiendo que nunca bajes la guardia en la custodia fsica de tu ordenador, ya que aunque
este tenga contrasea, cualquier persona que pueda tener acceso fsico al mismo, la podra averiguar
y as iniciar sesin con tu usuario, por no decir, que tambin se puede extraer el disco duro o
montarlo en una distribucin LiveCD y asi ver todos los archivos de tu PC.
Hoy voy explicar cmo puedes proteger tu red WiFi domestica de una forma muy sencilla, se trata de
un mtodo ms ofensivo que defensivo, ya que el objetivo que se pretende lograr con este
procedimiento es asustar a quien se conecte sin autorizacin a una red WiFi ajena, por ejemplo al
cansino de tu vecino que sin tener muchos conocimientos informticos siempre te est robando tu
conexin WiFi.
Para ejecutar este ataque (si podemos llamarlo as), solamente necesitaremos la distribucin
GNU/Linux, WifiSlax, que podremos utilizar desde un LiveCD sin la necesidad de instalar ningn
tipo de programa en nuestro ordenador, para ello vamos utilizar el script Cazador Cazado de
WifiSlax, el cual podremos encontrar en el men: K --> WifiSlax --> Redes --> Cazador Cazado.
Una vez ejecutamos el script del Cazador Cazado, se nos abrir una terminal en la que nos explica un
poco como funciona el programa, y nos da cuatro opciones, que son las siguientes:
Opcin 2: Editar el index.html, por defecto este script lo que hace es obligar a TODOS los
usuarios de la red a conectarse al servidor que nosotros hemos levantados a travs del puerto
80, impidiendo de esta manera que se puedan concertar a internet, es decir, si el usuario
escribe por ejemplo www.google.es en su barra de direcciones, el script automticamente le
redirigir a nuestro servidor cargando el index.html por defecto. Pues bien con la segunda
opcin de Cazador Cazado, podemos editar el index.html para obligar al intruso que vea lo
que nosotros queramos que vea, por defecto aparecer una pantalla en negro con letras rojas
que pone TE ESTOY VIGILANDO, NO ME ROBES EL WIFI, al tratarse de una pgina
web en .html podremos modificar este fichero para que muestre otro texto, cambie el formato
o incluso aadir imgenes o vdeos.
Captura del navegador web del intruso (en este caso un telfono mvil)
Como pudisteis comprobar se trata de un procedimiento muy sencillo, pero muy potente, ya
que permite tomar el control absoluto de una red WiFi, en apenas dos clics de ratn, pero Qu
ocurrira si vamos a un cafetera con WiFi gratis y ejecutamos este tipo de ataques?, por otra parte
este tipo de script tambin se puede lanzar a travs de una red de cable Y si lo ejecutamos en una
LAN?, seguro que ya os imaginis las respuestas a las preguntas anteriores, por lo que es muy
importante tener cierta precaucin a la hora de conectarnos a una red desconocida o de que alguien
se conecte a nuestra red.
Numerosos estudios llevados a cabo por diversas empresas del sector han podido determinar que 2
de cada 3 ordenadores estn infectados con algn tipo de programa espa, esto no deja de ser una
simple estadstica, pero se trata de un dato que hay tener muy en cuenta ya que es muy posible que
aunque tu no lo sepas, tu propio ordenador podra tener un programa espa que estara enviando toda
la informacin guardada en tus discos duros (fotos, vdeos, documentos...) a una tercera persona, en
este caso tener un antivirus no te proteger, por lo que necesitas disponer de mas medidas de
seguridad, entre estas medidas se pueden encontrar el uso de un firewall, no utilizar la cuenta de
administrador en todo momento o disponer siempre de la ultimas actualizaciones de seguridad
instaladas en tu sistema. Hoy voy hablar de la herramienta "netstat" que nos permitir poder
averiguar si nuestro ordenador esta siendo controlado de forma remota.
Existen varias maneras de ejecutar Netstat bajo un sistema Windows, en primer lugar
tendremos que abrir la consola de comandos, por ejemplo pulsando la combinacin de teclas "Win"
+ "R", para luego escribir "cmd", Cuando se inicie la consola de comandos, iniciaremos la
herramienta "netstat" para comenzar a analizar el listado de conexiones que se establecen desde
nuestro ordenador.
Esta herramienta se puede configurar para que se adapte a lo que nosotros buscamos, como por
ejemplo:
"netstat -n": podremos ver los puertos y las maquinas con nmeros y no en forma de texto
"netstat 10": forzaremos a la herramienta para que monitorice las conexiones durante por
ejemplo 10 segundos
"netstat -a": muestra todas las conexiones y puertos abiertos
"netstat -o": al lado de cada conexin muestra el PID del proceso que esta utilizando esta
conexin, el PID es el nmero de identificacin nico de ese proceso, por lo que si en una
nueva ventana de comandos ejecutamos la herramienta "tasklist", podremos averiguar a que
aplicacin corresponde ese PID, y si aadimos la orden "/v" a "tasklist" veremos toda la
informacin detallada de cada proceso.
"netstat -b": nos mostrara a la lado de la conexin el proceso que la esta utilizando, para
utilizar este comando es necesario abrir consola de comandos como administrador
"netstat -e":muestras las estadsticas de la conexin
la tercera columna muestra la direccin IP remota, es decir la direccin del servidor al que se conecta
nuestro ordenador, si aqui vemos una direccin extraa, seria un indicador de que nuestro ordenador
estafa infectado con algn tipo de software espa, en un principio si ejecutamos este comando con
todas las aplicaciones que utilicen internet cerradas no debera aparecer ninguna conexin (aqu
aparecen ya que yo tena el navegador abierto).
En la cuarta columna se muestra el estado de la conexin, que pueden ser los siguientes:
Ahora se trata de ir analizando conexin por conexin y as comprobar si se trata de una aplicacin
legitima o no, de este modo podrs saber si tienes algn tipo de spyware instalado en tu pc.
En mi caso ya son varios los routers que tengo cogiendo polvo en el trastero, normalmente si nos
cambiamos de compaa telefnica nos quedaremos con el router de la compaa que hemos dejado,
por lo que en un par de aos podremos poseer una preciosa coleccin de routeres de todo tipo a la
que no le sacaremos utilidad. Lo que muchas personas no saben es que un router puede hacer mas
funciones que a las que nos tiene acostumbrados, por ejemplo si lo conectamos simplemente a la red
elctrica tendremos un "switch", que podremos utilizar para aumentar el nmero de puertos RJ45 de
nuestro router principal. En este caso voy a explicar como configurar un Router Wifi para
convertirlo en un Access Point o AP, esto es un dispositivo que mediante una conexin a una toma
de red (Ethernet) es capaz de crear un punto de acceso WiFi al que nos podemos conectar para
navegar sin la necesidad de cables, con este tutorial podremos ahorrar los cerca de 40 EUROS que
cuesta un Access Point utilizando para ello nuestro viejo router. En mi caso en concreto lo voy
utilizar como maqueta para realizar auditorias WiFi y as no tocar al router principal que me esta
dando servicio de Internet.
En primer lugar resetearemos nuestro router wifi, tan solo tendremos que pulsar durante 15
segundos el botn que nuestro router trae a tal efecto.
Conectamos el router mediante un cable de red a nuestro ordenador y entramos en la direccin IP
"192.168.1.1" desde nuestro navegador, si nos solicita un usuario y contrasea, normalmente en los
dos campos deberemos insertar el usuario por defecto "1234" y la contrasea "1234" (contrasea
difcil eh).
Entramos en el apartado de WAN y eliminamos todas las configuraciones que puedan existir, ya
que utilizaremos las del router principal.
Configuracin de WAN
En el apartado LAN simplemente cambiamos la direccin por defecto "192.168.1.1" por otra del
mismo rango, como por ejemplo "192.168.1.60", de este modo evitaremos crear conflictos entre el
router principal y nuestro nuevo Access Point, tambin desactivaremos el DHCP.
Configuracin de LAN
Activamos el "Default Gateway", para que se conecte sin problemas al router principal.
Configuracin de Gateway
Es conveniente recordar que segn el articulo 255 del Cdigo Penal Espaol, se impondr una
pena de multa de 3 a 12 meses, al que cometiera una defraudacin de las telecomunicaciones por un
valor superior a los 400 EUROS, por lo que es muy conveniente disponer de un Access Point propio
con el que hacer pruebas de penetracin WiFi, de este modo lo podremos configurar con el nivel la
seguridad deseado, y no molestaremos a nuestros vecinos dejndolos sin velocidad de conexin.
Hoy en da existen muchos mtodos para poder obtener las contraseas almacenadas en un ordenador
personal, pero en esta ocasin voy explicar las dos formas mas sencillas que existen para obtener las
contraseas almacenadas en un navegador web, este mtodo lo he probando en Internet Explorer,
Mozilla Firefox y Google Chrome, aunque seguramente funcione con otros navegadores.
En este caso, simplemente pulsaremos con el botn derechos encima de los asteriscos y en el men
que aparece seleccionamos "Inspeccionar Elemento"
En la parte inferior de la pantalla aparecer una serie de informacin de la pgina web que estamos
visitando, en este caso Facebook, tan solo tendremos que pulsar sobre el campo "type" y modificar
el parmetro "password" por el parmetro "text".
Tipo: password
Tipo: Texto
Ahora la contrasea se muestra como un texto ms, pudiendo copiarla y utilizarla en otra pgina
web, tambin es un buen mtodo para recuperar nuestra contrasea si nos hemos olvidado de ella.
Ficheros extrados
Como podis comprobar es muy sencillo poder recuperar las contraseas almacenadas en un
navegador, por eso es muy importante tratar de no utilizar la opcin "Guardar Contrasea", que nos
ofrecen muchos navegadores web, y mas si el ordenador que estamos utilizando no lo usamos
nosotros solos, ya que aunque finalicemos sesin correctamente, nuestra contrasea quedar
guardada en el navegador web para los siglos de los siglos. En caso de que por costumbre hayamos
pulsado sobre el botn "Guardar Contrasea", de un ordenador pblico, deberemos entrar en las
opciones de "Eliminar Datos de Navegacin" de nuestro navegador y pulsar sobre "Eliminar todas
las contraseas almacenadas", de este modo podremos evitar sufrir un robo de identidad en nuestra
redes sociales.
En los ltimos das hemos detectado un fuerte incremento en el nmero de cuentas de correo
electrnico que haban sido secuestradas, esto es, que una persona no autorizada accede a la cuenta
de correo en cuestin, cambie la contrasea de acceso para tomar el control de la misma.
Normalmente una vez que los delincuentes tienen el control sobre la cuenta, comienzan a enviar
correos electrnicos a todos los contactos que la victima tiene en su libreta de direcciones,
hacindose pasar por el titular legitimo de la cuenta, para pedir dinero en su nombre, en casi todos
los casos, aludiendo a un problema que supuestamente tiene la propia victima, como por ejemplo que
se encuentra en un aeropuerto de Reino Unido sin maletas y cartera por que le han robado, que le han
detectado una grave enfermedad y necesita dinero para curarse, o cualquier otra estratagema que le
pueda resultar ventajosa. Como el titular de la cuenta pierde el acceso a la misma, no se va a dar
cuenta de todo lo que esta ocurriendo hasta que alguno de sus amigos o contactos se lo notifique por
otro medio, normalmente telefnico. De momento no hay ningn tipo de confirmacin sobre la
relacin entre el ataque informtico que sufri Adobe el pasado 3 de Octubre en el que robaron cerca
de 30 millones de cuentas de usuario de esta empresa, con el incremento en el nmero de cuentas de
correo electrnico secuestradas. Como curiosidad decir que la mayora de las cuentas secuestradas,
lo han sido desde conexiones establecidas a travs de direcciones IP pertenecientes a ISP de Brasil,
Nigeria, Francia y Reino Unido.
La verdad que hoy en da existen infinidad de mtodos para lograr averiguar cual es la
contrasea secreta de una cuenta de correo electrnico, desde ataques a bases de datos, hasta
keyloggers pasando por un phising. Estos son los mtodos mas empleados para lograr obtener una
contrasea vlida para acceder a un correo electrnico:
Ataques a Bases de Datos: consiste en atacar y robar la informacin almacenada en la base de
datos dnde se guarda la informacin de todos los usuarios tales como "nombre usuario",
"contrasea" y "direccin de correo" de una pgina web, al lograr tener acceso a esta informacin
confidencial, es tan sencillo como coger la direccin de correo electrnico del usuario y la contrasea
que utiliz en la pgina web afectada e intentar iniciar sesin en su cuenta de correo, ya que con el
dominio de la direccin sabemos a que compaa de correo corresponde, como la gran mayora de
usuarios de Internet, utilizan la misma contrasea para varias pginas web y foros, existe una alta
probabilidad de que la contrasea robada de la pgina web "X" sirva para iniciar sesin en la pgina
web "Y". Una vez el atacante tenga acceso al correo electrnico, simplemente buscar en los
mensajes recibidos, los corres de otras pginas web que el usuario tambin utilice, ejemplo: Del
ataque a la base de datos robaron informacin de usuario de la pgina "X", que utilizaron para iniciar
sesin en la cuenta de correo "Y", como en la cuenta de correo "Y", estaba configurada para ser
utilizada para la recuperacin de la contrasea de otras pginas web "C", "K" y "Z", el atacante
entrar en estas nuevas pginas web con el usuario localizado en el correo electronico que "C", "K" y
"Z" envi a "Y" cuando registr su cuenta, y de esta manera mediata la opcin de recuperacin de
contrasea de "C", "K" y "Z" que esta vinculada a "Y" (la cual esta bajo nuestro control) tendremos
el control de "X", "Y", "C", "K" y "Z", sin que la victima apenas se entere.
Aplicaciones Online Maliciosas: Existe un gran nmero de aplicaciones online maliciosas, del tipo
"Averiguar quien te bloqueo el Messenger", "Averigua quien visita tu Facebook", que la nica
utilidad que tienen es averiguar tu direccin de correo electrnico y contrasea de acceso al mismo,
para posteriormente secuestrarte la cuenta de correo, en algunos casos para no levantar sospechas del
usuario, estas aplicaciones muestran los supuestos resultados que el usuario buscaba, como por
ejemplo averiguar quien ha visitado una cuenta de Facebook, lo que ocurre que esta informacin es
falsa.
Sesiones no Finalizadas o Stealers: Si iniciamos sesin en un ordenador que no lo utilizamos
nosotros solos, es muy importante que nunca activemos la opcin de recordar contrasea que nos
Para evitar el secuestro de un correo electrnico, o cualquier otro tipo de cuenta online, es
conveniente seguir estas recomendaciones de seguridad, ya que si las cumples, reducirs
ampliamente la posibilidad de sufrir un incidente de este tipo.
No utilizar la misma contrasea en mas de una pgina web, ya que si logran obtener tu usuario y
contrasea de la base de datos de una web, la podrn utilizar en otros a ver si funciona, y mas si entre
los datos robados se encuentra tu direccin de correo electrnico.
Introducir caracteres especiales en tus contraseas, como por ejemplo $%&, as reducirs la
posibilidad de que las puedan averiguar por fuerza bruta.
Disponer siempre de por lo menos dos mtodos de recuperacin de contrasea distinto, como
pueden ser un nmero de telfono mvil al que enviar un SMS de confirmacin, o una direccin de
correo electrnico alternativa.
Tener mucha precaucin a la hora de introducir tus contraseas en sitios web que no inspiren
confianza.
Cerrar la sesin siempre que nos alejemos del ordenador y nunca marcar la opcin de "Guardar
Contrasea" que nos ofrecen muchos navegadores, si el ordenador lo utiliza mas de una persona.
Tratar de conectarte siempre a travs del protocolo https y no http.
Pero... Y si ya me han secuestrado mi cuenta de correo electrnico? Que hago ahora?, lo primero
lgicamente es tratar de recuperarla, y una vez que la recuperes, no menos importante es evitar que te
vuelva ocurrido, por lo que has de eliminar inmediatamente la direccin de correo electrnico de
recuperacin, la cual seguramente habrn introducido los secuestradores para continuar teniendo el
control de la cuenta aunque tu supuestamente la hubieras recuperado.
Pasos para recuperar una cuenta de correo electrnico secuestrada.
1.) Pulsamos sobre la opcin de "Necesitas Ayuda?"
5.) Simplemente hay que introducir el nmero de seguridad que nos enva Google por SMS en la
campo requerido.
Ahora viene la parte mas importante del proceso de recuperacin, ya que si no realizamos estos
pasos, en pocos minutos el secuestrador recuperar el control de nuestra cuenta o lo que es peor,
podr leer todos los correos electrnicos que enves aprovechndose de la opcin de reenvo de
correos que ofrece nuestro servicio de correo. Opciones de configuracin que muy pocas personas
conocen, y son realmente peligrosas si no estn correctamente configuradas.
2.) En la pestaa "Opciones de recuperacin de cuenta", tenemos que comprobar que el nmero de
telfono mvil y la direccin de correo electrnico de recuperacin, se corresponde con la nuestra, lo
habitual es que el secuestrador haya introducido una cuenta de correo electrnico de su perteneca,
por lo que la deberemos eliminar, en caso de que exista un nmero de telfono extrao tambin lo
eliminaremos, aunque no suele ser nada habitual que los secuestradores utilicen este sistema. Indicar
que si tienes intencin de denunciar estos hechos ante la Polica, es muy recomendable que antes de
eliminar la cuenta de correo del secuestrador, la apuntes o le saques una fotografa, para as poder
aportarla a la hora de denunciar.
3.) Tambin es muy habitual que el secuestrador active la opcin de "Reenvi de correo", para que
en caso de que logres recuperar el acceso a la cuenta, el pueda seguir viendo todos tus correos
electrnicos, en este caso con eliminar la cuenta de correo electrnico fraudulenta es suficiente,
normalmente es la misma que la de recuperacin.
Ahora que ya vuelves tener el control absoluto de tu cuenta de correo electrnico, recuerda seguir los
consejos de seguridad anteriormente indicados.
Como ya dije en artculos anteriores Whatsapp es una aplicacin mvil que hoy en da utilizan
millones de personas en todo el mundo, y por consiguiente nunca esta de ms saber como realmente
funciona. Hoy voy explicar como poder descifrar los archivos "msgstore-XXXX-XX-XX.db.crypt"
para poder leerlos. Estos ficheros cifrados los guarda cada cierto tiempo y de forma automtica el
propio
Whatsapp
en
la
carpeta
"Whatsapp\Databases"
en
Android
y
en
"net.whatsapp.whatsapp/documents/chatstorage.sqlite" para iPhone, almacenando el contenido de
todas la conversacin que mantenemos a diario con esta aplicacin.
logotipo Whatsapp
Lo primero que tenemos que hacer es abrir el archivo de BackUp en nuestro mvil, para ello
tan solo lo conectamos mediante un cable USB y accedemos a la ruta "Whatsapp\Databases", en
dnde encontraremos una serie de archivos llamados "msgstore-XXXX-XX-XX.db.crypt". Cada uno
de estos ficheros estn renombrados con la fecha de creacin, por lo que tan solo tendrs que abrir el
archivo de la fecha deseada. En caso de acceder a esta carpeta y no encontrar ninguno de estos
archivos, tendrs que forzar la creacin de los mismos, esto se hace desde el men "Configuracin
de Chat --> Copia de Seguridad" del propio Whatsapp.
Ahora tendrs que descargar Pyhton (Active Python) y su correspondiente Biblioteca (PyCrypto)
para poder ejecutar el script (Whatsaap Xtract) para que sea capaz de abrir la conversacin. En
funcin de si tu Sistema Operativo es de 32 o 64 bits, debers instalar el que te corresponda:
Active Python (Windows 32 bits)
Active Python (Windows 64 bits)
Segn la versin de Active Python que descargaste, ahora tienes que seleccionar la Biblioteca que le
corresponda, por ejemplo: si descargaste "Active Phiton de 64 bits versin 2.7.5.6",
ahora debers seleccionar "PyCrypto 2.6 for Python 2.7-64bits"
PyCrypto
Ahora tendrs que descargar el script "Whatsapp Xtractor" de ztedd y Fabio Sangiacomo y
descomprimirlo dentro de la carpeta que prefieras:
Whatsapp Xtractor
El ltimo paso es el mas sencillo, tan solo tienes que arrastra el archivo "msgstore-XXXX-XXXX.db.crypt"
que
estaba
en
tu telfono mvil,
encima
del
fichero
"whatsapp_xtract_drag'n'drop_database(s)_here.bat" que encontraras dentro de la carpeta en la que
descomprimiste el Whatsapp Xtractor. Automticamente se va abrir una ventana en tu navegador
web mostrando el contenido de todas las conversaciones contenidas en el fichero .crypt.
Aunque para poder descifrar y leer las conversaciones privadas de Whatsapp almacenadas en la
memoria del nuestro telfono mvil, ya sea interna o MicroSD, es necesario en un principio tener
acceso fsico al telfono, no es tan complicado conseguir esto ltimo. Que pasara si en un
aeropuerto, centro comercial o parque pblico... instalo un stand para cargar la bateria de telfonos
mviles totalmente gratis?, posiblemente muchas personas cargaran la bateria de su telfono en ese
lugar, pero... Y si no se trata de un simple cargador USB, si no que realmente dentro del cargador
hay un ordenador que cada vez que alguien conecta su telfono descargue toda los documentos al
ordenador?, Ya no es un posibilidad tan remota no?. Por eso siempre hay que tener cierta
precaucin con los lugares a los que conectamos nuestro telfono mvil mediante cable USB. Otra
opcin de seguridad que ya muchos mviles traen por defecto, es la obligacin de aceptar un
mensaje emergente para poder conectar el telfono con un ordenador, en caso contrario el terminal
simplemente cargar su batera.
En el artculo de hoy y primero de esta web, voy hablar sobre como aprovechar un fallo de seguridad
en la versin 2.11.109 de la aplicacin Whatsapp que permite averiguar la direccin IP de la
persona que deseemos. Hoy en da son millones los usuarios en todo el mundo que utilizan este
cliente de mensajera instantnea debido a las mltiples funcionalidades que ofrece respecto a sus
competidores. Por regla general los usuarios de Whatsapp no solemos actualizar con la frecuencia
debida nuestra aplicacin, a pesar de que estas actualizaciones son gratuitas y prcticamente
transparentes para el usuario final, esto conlleva un riesgo, ya que al no disponer de la ultima versin
de una aplicacin, no estaremos protegidos frente a las vulnerabilidades que se han descubierto y
corregido en versiones posteriores. En este caso en concreto, el fallo de seguridad del que hablar
ahora ya esta corregido con la versin 2.11.134, sin embargo seguro que muchos de vosotros todava
segus utilizando la versin anterior (Whatsapp -> Ajustes -> Acerca de -> Versin).
Lo primero que deberemos hacer para poder aprovechar esta vulnerabilidad de Whatsapp, es
subir un archivo .php a nuestro servidor con los siguientes comandos, como podis ver es un cdigo
muy sencillo, tan solo se trata de crear una pgina web que contenga un meta-dato (og:image) que le
indique a cualquier navegador o aplicacin que imagen ha de tomar en caso de que se comparta el
enlace, este funcionamiento lo vemos a diario en Facebook, cuando publicamos un enlace de una
pgina web, Facebook selecciona una serie de fotografas que considera que pueden representar ese
enlace y luego el usuario elige la mejor, en este caso lo que hacemos es indicarle desde un principio
que imagen ha de elegir, en este caso, ser una imagen llamada "imagen.png" la cual tambin estar
alojada en nuestro servidor web.
Ahora si compartimos el enlace de esta pgina .php forzaremos a las distintas aplicaciones para que
seleccionen la imagen deseada, hasta aqu todo normal, el problema ocurre cuando el enlace lo
compartimos a travs de Whatsapp, ya que por defecto lo que hace Whatsapp es conectarse al
servidor del enlace y descargar la imagen a nuestro telfono para mostrarla automticamente al lado
del link, como se indica en la siguiente fotografa, todo esto sin que el usuario halla pulsado en
ningn momento sobre el enlace, resultando todo el proceso transparente para el usuario.
Ataques de robos de credenciales hay muchos, e infinidad de aplicaciones para poder llevarlos a cabo. Estoy
seguro que ms de uno ya tiene experiencia con "Cain & Abel" para Windows o "Evil FOCA" del equipo del
gran Chema Alonso. Si no es as os recomiendo que les echis un vistazo porque la verdad es que son muy
interesantes y el uso es quizs ms intuitivo que el de la PoC que vamos a hacer hoy.
En este grfico veris de manera un poco ms grfica qu es exactamente un ataque de MITM, en el cual nos
pondremos
entre
la
vctima
y
el
destino
para
interceptar
todo
el
trfico:
NOTA: Tened en cuenta que este tipo de prcticas debe realizarse nicamente en vuestra red interna y
siempre
y
cuando
tengis
autorizacin
para
hacerlo.
Pues bien, las herramientas que vamos a utilizar son las siguientes:
Kali Linux
1. Ettercap
2. SSLStrip
3. iptables (para redireccionar el trfico)
Windows XP SP3
Antes de empezar os har una pequea introduccin sobre los scripts y programas que vamos a usar, de
manera que sea ms fcil entender todo el proceso. No debemos ser mquinas que se limitan a picar los
comandos en pantalla. Para aprender realmente debemos entender qu est pasando y qu hace cada una
de las ordenes que estamos ejecutando por consola.
Ettercap: Esta es la herramienta que utilizaremos para realizar el sniffing de la red, capturando los paquetes
que se intercambien los dos equipos entre los cuales nos interpondremos (de ah el nombre de MITM Man
In The Middle, traducido del ingls como Hombre en el medio)
SSLStrip: Esta aplicacin, desarrollada por Moxie Marlinspike, para explicarlo de una manera clara, elimina la
"s" del "https" cuando el usuario accede a las paginas en las cuales va a validarse, de manera que l
contenido de los campos no viajar cifrado y podremos capturarlos con Ettercap.
iptables: Creo que no hace falta que explique realmente las funciones de iptables, ya que es de sobra
conocido y hay multitud de informacin en la red. Solo decir que en este caso lo usaremos para filtrar todo el
trfico del puerto 80 al puerto de escucha de SSLStrip, de modo que esta aplicacin pueda hacer bien su
trabajo.
arp -a: Esta ordena la ejecutaremos en la consola cmd de Windows para ver la tabla ARP, la cual
modificaremos mediante el ataque con Ettercap.
Lo primero que vamos a hacer es activar el "IP forwarding" de nuestra tarjeta de red. Esto har que la
mquina a la cual estamos atacando no pierda la conectividad, ya que haremos un reenvo de las peticiones.
Podemos hacerlo de diversas maneras, las cuales explico a continuacin:
Ejecutamos este comando en nuestra shell:
sysctl -w net.ipv4.ip_forward=1
Ambas cosas tienen el mismo propsito, as que vosotros escogis el mtodo que ms os guste o que os
resulte ms fcil de recordar.
Seguidamente vamos a aplicar el filtro en iptables para redireccionar todo el trfico del puerto 80 al puerto
1001, que es el puerto en el que pondremos a escuchar a SSLStrip. Esto lo haremos de la siguiente manera:
"En la tabla nat aadimos una regla para que todo el trfico del protocolo TCP cuyo destino sea el puerto 80
se redirija al puerto 1001"
Ahora vamos a poner a SSLStrip a la escucha en el puerto 1001, lo cual especificamos con el argumento -l.
Con el argumento -f hacemos que cambie el favicon de la pgina web que visita la vctima, apareciendo en su
lugar un icono de un candado para no levantar sospechas.
Dejamos lanzado SSLStrip y abrimos otra terminal, desde la cual empezaremos a usar Ettercap para sniffar el
trfico de la red.
En este caso se trata de un ataque dirigido hacia una IP en concreto de la red, aunque se podra lanzar para
toda la red pero cantara un poco y queremos hacer el menor ruido posible.
Ejecutaremos lo siguiente:
ettercap -T -q -i tarjeta_de_red -M arp:remote /IP_VICTIMA/ /IP_ROUTER/
Pues bien, hecho esto ya tenemos lanzado nuestro ataque y ahora nicamente cabe esperar a que la vctima
introduzca las credenciales en algn formulario.
Voy a representarlo mediante el acceso a una cuenta de Gmail desde el equipo Windows XP que tengo
preparado:
Como veis en la captura, SSLStrip ha hecho bien su trabajo y la vctima est haciendo el login en una pgina
no segura. En cuanto la vctima pulse sobre "Iniciar sesin" veremos lo siguiente en el terminal donde
tenemos lanzado Ettercap, y en la cual se empezarn a mostrar las credenciales:
Como veis es bastante sencillo realizar una ataque de este tipo y por supuesto llama muchsimo menos la
atencin que un ataque de DNS Spoofing o un SCAM, en el cual la vctima puede empezar a sospechar e
incluso tirar del hilo para ver quin est atacndole.