Metashield Bots: Análisis y limpieza de metadatos para todos desde Telegram, Skype o Slack

Hace no mucho, el laboratorio de ElevenPaths me sorprendió con un proyecto de los suyos que iba a llevar uno de mis productos favoritos, MetaShield, a todos los usuarios de Skype, Telegram o Slack. La idea es bastante sencilla, y a la vez bastante útil y cómoda. Se trata de integrar el motor de limpieza y análisis de metadatos que utiliza MetaShield como un bot de las plataformas Skype, Telegram o Slack.

Figura 1: Metashield Bots: Análisis y limpieza de metadatos para todos desde Telegram, Skype o Slack

El bot se puede invocar y hablar con él para extraer y analizar los metadatos de cualquier documento ofimático, y las únicas limitaciones que tiene son temporales. Es decir, el número de limpiezas que se puede hacer desde una determinada ubicación es de 2 por hora, aunque la integración que hemos hecho con la plataforma de bots permitiría hacer una limpieza de hasta 500 documentos a la hora, pero eso sería para implantaciones empresariales que lo requieran.

Figura 2: MetaShield Bot Skype

El funcionamiento es bastante sencillo, así que hemos grabado estos tres vídeos que explican el proceso de localización del bot en cada una de las plataformas - son bots públicos con los que cualquiera de vosotros puede interactuar -, como hacer el análisis de metadatos de un determinado documento y cómo limpiarlo.

Figura 3: MetaShield Bot Slack

Esto lo presentamos en el pasado Security Day de ElevenPaths, donde también hablamos de Dario - un proyecto que aparece en los vídeos de los bots de MetaShield - que sirve para analizar malware en macros de documentos ofimáticos, pero subiendo solo las partes del documento que son necesarias para ese análisis, lo que ayuda a dotar de más privacidad al documento. Pero eso es otra cosa que os contaremos más adelante.

Figura 4: MetaShield Bot Telegram

El el blog de ElevenPaths tenéis más información de estos tres bots de MetaShield en Skype, Telegram y Slack, y en la web de ElevenPaths tenéis información de todos los productos de la familia MetaShield Protector, incluida la versión de MetaShield Clean-up Online que permite analizar y limpiar metadatos en documentos con un sitio web.

Saludos Malignos!

El creador de WannaCry es fan de Messi, no es muy ambicioso y usa Microsoft Word habitualmente en coreano

Esta semana, nuestros compañeros del laboratorio de ElevenPaths terminaban por publicar su análisis de WannaCry desde el punto de vista de los metadatos. Un enfoque no se había puesto encima de la mesa aún y que ellos han querido tocar de forma minuciosa y que, desde el punto de la investigación forense ha dado muchos frutos en el pasado.

Figura 1: Un análisis de WannaCry desde el punto de vista de los metadatos

No quiero en este post repetir el sesudo análisis que han hecho mis compañeros del laboratorio, así que os invito a leerlo completamente para entender todos los detalles - que es donde suele estar el diablo - pero si os voy a hacer un resumen de los datos más importantes para que tengáis una lectura rápida.

Al atacante le gusta Messi

O puede que lo odie, lo cierto es que es analizando los metadatos de los ficheros RTF con los que WannaCry configura los textos en la pantalla en la que informa a la víctima que ha sido infectado, es el usuario que aparece.

Figura 2: Textos multi-idioma en WannaDecryptor

Puedes utilizar cualquier herramienta que extraiga metadatos de documentos RTF como nuestro MetaShield Clean-Up Online y analizar los resultados que se obtienen. En las cadenas se puede ver el nombre del usuario que es Messi.

Figura 3: Messi en el análisis de metadatos de los textos RTF de WannaCry con MetaShield Clean-Up Online

Este nombre de usuario es el que el atacante utilizó para crear o modificar con su editor de textos los ficheros RTF.

Utilización de Microsoft Word

Averiguar que el atacante utiliza Microsoft Word para crear los documentos RTF no es demasiado complejo, ya que, como sucede con muchas otras herramientas, Microsoft Word deja "Información Oculta" en los ficheros RTF. En las versiones más antiguas de Microsoft Office, es fácil localizar esta versión en el atributo \generator, pero no siempre aparece cuando son versiones modernas.

Figura 4: Especificación RTF para el campo Generator

Sin embargo, analizando cómo implementa las especificaciones RTF se puede ver que el Internal Version Number - donde se guarda información de la versión del documento -sigue el estilo de Microsoft Office. Generalmente es un campo de 5 dígitos, no muy bien documentado, y que otras herramientas utilizan de forma distinta. Para analizar los RTF utilizamos nuestra nueva herramienta MetaShield Clean-Up Online, donde se puede subir un documento en este formato y ver qué metadatos tiene.

Utiliza Microsoft Word en Coreano

El indicio que nos lleva a pensar a que con gran probabilidad es Microsoft Office y con idioma en Coreano es, precisamente, la forma en que se comporta Microsoft Word con los idiomas cuando se hace esa configuración.

Figura 5: Idiomas en el documento RTF de WannaCry

En los documentos RTF usados en WannaCry salen tres idiomas, como se puede ver en la siguiente imagen que son Coreano, Inglés y Árabe. El primero de ellos aparece en la etiqueta del metadato \deflang con el control \plain, lo que indica que es el de por defecto.  La cadena de metadatos exacta es:

\rtf1\adeflang1025\ansi\ansicpg1252\uc2\adeff31507\deff0\stshfdbch31505\stshfloch31506\stshfhich31506\stshfbi0\deflang1033\deflangfe1042\

El que se utilice el inglés es porque si se configurar una versión de Microsoft Word con el idioma Coreano, éste software siempre añade el idioma inglés - es el comportamiento de Microsoft Office y podéis comprobarlo -. Además, el que aparezca el idioma árabe es porque existen versiones de Microsoft Office "EMEA" en que el idioma por defecto para versiones asiáticas, y se mete en el metadato \adeflangfe.

Figura 6: Selección de idioma por defecto en Microsoft Office

En definitiva, analizando el comportamiento de Microsoft Word con este tipo de documentos hace pensar en que el idioma por defecto es Corenao, a pesar de que los documentos estén escritos en Chino o Letón.

Tiempos de edición y número de revisiones

Una cosa interesante es que se puede analizar cuánto es el tiempo que ha tardado en editar cada uno de los ficheros RTF que se usa para todos los idiomas, y parece que se tomó mucho más tiempo para la versión de Chino Simplificado, y luego un poco menos para Inglés y Búlgaro, mientras que para el resto de los idiomas casi no dedica tiempo.

Figura 7: Tiempo de edición por tipo de fichero de idioma

En el caso de las revisiones sucede lo mismo. Chino es la que más revisiones cuenta, lo que parece que le pudo llevar a matizar más el texto de ese idioma.

Figura 8: Número de revisiones por tipo de documento

¿Esto quiere decir algo? Pues lo que quieras interpretar, pero está claro que el que escribió esos documentos parecía tener más interés - o conocimiento - del Chino tradicional que de otros idiomas.

Las posibles zonas GMT

Esta parte del análisis es de las más curiosas, ya que no solo tenemos la información de los metadatos de RTF y contamos también con los metadatos de los ficheros ZIP. En las versiones de WannaCry se utiliza un fichero ZIP para descargar el ransomware, y en él se almacena la fecha del último acceso con su propia zona horaria. Analizando las fechas del ZIP se puede concluir que:

2017-04-27 17:25 (hora local del atacante): El atacante crea b.wnry, un fichero BMP en segundo plano y el r.wnry, que contiene el fichero "readme". 

2017-05-09 16:57: El atacante crea otro zip con herramientas para conectarse a la red Tor y negociar el rescate. Se descargaron en el sistema de archivos del atacante a las 16:57, 09/05/2017, hora local del atacante, y son empaquetados e introducidos en un nuevo zip, s.wnry. 

2017-05-10 01:16: El atacante crea en su sistema c.wnry, que contiene dominios onion de la red Tor y una cartera para bitcoins. 

2017-05-11 15:59: Crea r.wnry que contiene instrucciones de borrado. 

2017-05-11 16:47: Edita b.wnry. 

2017-05-11 20:11: Edita c.wnry de nuevo. 

2017-05-11 20:13: Introduce b.wnry en el zip y lo comprime con contraseña. 

2017-05-12 02:22: Añade los ficheros EXE: u.wnry y t.wnry. El atacante empaqueta y establece una contraseña. El payload de gusano está listo.

Teniendo en cuenta que cada vez que se infecta un equipo se accede al fichero ZIP para extraer el ransomware, y que las primeras infecciones fueron descubiertas en la zona de Tailandia sobre las UTC 00:00, entonces podemos asumir cuales serían las zonas GMT posibles, es decir, que dentro de ese mismo día fueran posteriores a la fecha de creación del ramsonware.

Figura 9: Zonas horarias válidas con las fechas de los archivos ZIP

Podría ser coreano (UTC+9),  pero también de cualquier zona entre UTC+3 y UTC+12 como podéis ver en la infografía superior.

No es muy ambicioso

Por último, el tema del dinero es bastante pecuiliar. A día de hoy, tal y como vimos al principio, el autor no ha retirado ningún BitCoin de los monederos, pero es que hemos revisado las carteras de la primera versión de WannaCry 1.0 (Sin contar con la "gusanificación" vía EternalBlue), y sigue sin haber retirado ningún bitCoin de ellas.

Figura 10: Billetera BitCoin utilizada en WannaCry 1.0

Es decir, que el creador de estas dos campañas WannaCry 1.0 y WannaCry 2.0 no ha retirado ningún dinero de lo obtenido co el malware. Vamos, que o no tenía ningún interés en ello desde el minuto uno, o se ha arrepentido.

Saludos Malignos!

PD: Más referencias.

- El ataque del ransomware WannaCry
- Telefónica WannaCry File Restorer
- Telefónica WannaCry File Restorer Desktop Version
- Telefónica WannaCry File Restorer en Active Directory
- Latch Antiransonware para luchar contra el ransomware

Doxing y las zonas de seguridad de Microsoft Outlook

Las técnicas de Doxing se utilizan para desvelar identidades ocultas en la red. Saber quién está detrás de un perfil falso de Facebook, quién es el que maneja una cuenta de Twitter o el que está detrás de un correo electrónico. El objetivo de todas estas técnicas de doxing es poder averiguar nueva información de la persona detrás de la cuenta. Una nueva dirección IP, un número de teléfono o una versión de software pueden ayudar a avanzar en una investigación y por tanto son muy delicadas y codiciadas todas las nuevas técnicas que se conocen a este respecto.

Algunos ejemplos de doxing

Por ejemplo, la fugas de información por metadatos han ayudado a resolver muchos casos en el pasado, como el ejemplo de las notas de prensa de anonymous o el de la filtración del ERE del PSOE a lo medios. 

Figura 1: En el cliente Mail de iOS se revelaba la dirección IP, y en el USER-Agent la info del dispositivo

Pero no solo eso, por ejemplo los bugs de seguridad que permitían utilizar técnicas click to call en las apps de iOS dejaban a un atacante la posibilidad de conseguir la revelación del número de teléfono, o la carga insegura de imágenes en correos electrónicos, como vimos en el cliente iOS durante mucho tiempo, podría ser utilizado para localizar siempre a una persona.

Un ejemplo de doxing con un documento Microsoft Word

Para el último Security Innovation Day le dedicamos una pequeña parte de una de las charlas a esto, y en concreto a sacar a la dirección IP de una conexión forzando un callback home con un documento Microsoft Word especialmente creado para cargar una imagen remotamente - desde una máquina controlada - sin que le diera una alerta al usuario que abría el documento.

Figura 2: Un documento de Microsoft Word para hacer Doxing

Sin embargo, si el documento es abierto después de haber llegado por Internet, ya sea por el correo electrónico o descargado por medio de un navegador para conectarse a la web, entonces el documento al ser abierto muestra una alerta genérica de seguridad, tal y como puede ser visto. 

Figura 3: Alerta de Seguridad en Microsoft Word por la seguridad de la zona

En nuestra demo, esta alerta salía porque para el ejemplo enviábamos el documento como adjunto de un correo electrónico que es enviado a la víctima, y tanto si haces doble clic sobre el fichero adjunto como si guardas el fichero con las opciones del menú contextual y lo abres después, la alerta indica que el documento viene de Internet y puede ser peligroso.

Figura 4: Zonas de seguridad en Outlook

Esto lo explica Sergio de los Santos (@ssantosv) en su libro de Máxima Seguridad en Windows cuando muestra que las Zonas de Seguridad de Internet Explorer también existen en Microsoft Outlook, como cliente de un servicio de Internet que es. Así, estas se pueden igualmente personalizar y configurar para decidir cuáles deben ser los controles a aplicar.

El drag & drop y el cambio de zona de seguridad

El asunto está en que, si el documento que viene como adjunto, en lugar de ser abierto haciendo doble clic o usando la acción de guardar de Microsoft Outlook, es extraído mediante un drag & drop, es decir, arrastrando el documento desde el adjunto del correo electrónico hasta, por ejemplo el escritorio, todo cambia.

Figura 5: El documento es arrastrado al escritorio desde el cliente de Microsoft Outlook

Con ese proceso se ha cambiado el documento de una Zona de Internet a un Zona Local, por lo que todas las opciones de seguridad también cambian y no sale ninguna de las alertas anteriores. Esto provoca que inmediatamente, nada más abrir el documento se comunique la dirección IP al servidor controlado por el atacante y se descubra la dirección IP original.

Figura 6: El documento se abre sin alertas de seguridad y reporta la dirección IP al servidor del atacante

El problema es que los usuarios, que siempre luchan contra las medidas de seguridad que ellos consideran "molestas", puedan haber tomado como costumbre esto para evitarse la alerta de seguridad que sale en el documento, y sin darse cuenta están quitando una medida de seguridad que no solo protege frente a doxing, sino que tiene medidas de seguridad que ayudan a evitar las infecciones de malware o dificultando el éxito de exploits. Si usas Microsoft Outlook, ten presente este funcionamiento para mantener tu sistema Microsoft Windows más seguro.

Saludos Malignos!

El asesino en serie BTK fue descubierto por los metadatos

Todo comenzó con un brutal asesinato en el año 1974. El asesinato de la familia Otero donde el padre, la madre, el hijo y la hija fueron atados, torturados psicológica y físicamente y después asesinados. Ese mismo año volvió a matar, en este caso a una joven de 21 años a la que apuñaló. Estos dos asesinatos conmocionaron a la opinión pública de Wichita, donde tuvieron lugar los asesinatos, pero también levantó cierta admiración morbosa lo que llevó a que algunos impostores llamaran declarándose ellos los asesinos.

El asesino auténtico, que disfrutaba tanto de sus actos como para llegar a masturbarse en el medio de las torturas, no iba a dejar que le quitaran el mérito de sus actos, así que dejó una carta incrustada en un libro de la biblioteca pública de Wichita en la que describió, con todo lujo de detalles, todas y cada una de las atrocidades que había hecho en sus asesinatos.

Su marca sería era, según él mismo decía, Bind them, Torture them and Kill them (Átalos, Tortúralos y Mátalos), que era uno de los nombres mediáticos que él sugería que lo llamaran BTK. En el año 1978, reclamando más atención de los medios, envió una carta a una cadena de televisión local en la que adjuntaba su firma BTK, y convirtiéndose ya oficialmente en el asesino en serie de Wichita.

Figura 1: Carta manuscrita y firma de BTK

En total, desde el año 1974 que comenzó, el número de asesinatos continuó creciendo hasta el año 1991, siendo 10 el número de personas que sufrieron con él. En el año 1988, tras el asesinado de tres miembros de una familia, volvió a escribir una carta a la Policía para dejar claro que él no había sido, a pesar de que consideraba los asesinatos "un buen trabajo". Todos sus asesinatos están recogidos y explicados en detalle en este documental que se hizo para la televisión.

Figura 2: Documental sobre BTK Killer (visto en SecurityByDefault)

La investigación se fue enfriando, hasta que en el año 2004 se volvió a abrir. Esto fue a debido a que la Policía no le había atribuido uno de sus asesinatos a BTK, por lo que comenzó a intercambiar cartas con ellos reclamando la autoría del crimen. Tras confirmar que las cartas podrían ser auténticas, se reabrió la investigación de BTK Killer, y con el avance de la ciencia de investigación forense, se recuperaron muestras de ADN de debajo de las uñas de una de sus víctimas.

Con el anuncio de la obtención de ADN del posible asesino se comenzó a comprobar contra muestras de los principales sospechosos, junto con el de muchas personas que habían sido estigmatizados con las sospechas de ser el ellos el asesino, que decidieron voluntariamente dar muestras de su ADN para poder salir de sospechas. Este proceso por el que pasaron 1.300 personas llevó a eliminar a muchos de los sospechosos que tenía tanto la Policía como la ciudadanía de Wichita, pero no a localizar al asesino.

En una de las cartas que envió, BTK preguntó si podrían seguir el origen en el que había sido utilizado un disquete, a lo que la Policía contesto que no era posible hacer eso - algo que sabemos que no es del todo cierto como sabéis los especialistas en análisis forense informático -. Confiado, el 16 de Febrero de 2005, BTK Killer envió un sobre a la cadena de televisión KSAS-TV - filial de la FOX - de Wichita en el que puso un disquete, una carta, una fotocopia de la cubierta de una novela sobre un asesino en serie y un collar de color oro con un medallón.

Los metadatos que le llevaron a la cárcel

Dentro del disquete de 3 1/2" y 1.44 MB se pudo recuperar un fichero borrado en formato Microsoft Word que se le había pasado a BTK Killer por no hacer un borrado seguro de los documentos. El archivo recuperado .DOC tenía metadatos, y se podían leer dos cosas importantes. En primer lugar aparecía el texto "Christ Lutheran Church" y en el historial de edición del fichero se podía leer que el último que lo había modificado era el usuario "Dennis". Con esta información, una sencilla búsqueda en Internet puso sobre la mesa un nuevo sospechoso. 

Figura 3: El disco de 3 1/2 que envió BTK Killer (en el NYTimes)

De BTK Killer se suponía que tenía un Jeep Cherokee, que coincidía con el coche de Dennis Reader, el Presidente del Consejo de la Congregación de la Iglesia Luterana de Cristo en Wichita. Solo faltaba la prueba definitiva, conseguir una muestra de ADN y contrastarla con la que había sido recuperada en el año 2004 de las uñas de una de sus víctimas. Para ello, primero consiguieron una orden para poder contrastar la muestra de ADN con la de la hija de Dennis Rader que tenían en la Universidad donde estudiaba. Tras comprobar que había muchas coincidencias, consiguieron la orden de arresto y el asesino BTK Killer fue detenido y condenado a 10 cadenas perpetuas que aún está cumpliendo.

Una vez más un caso de informática forense en el que con un recuperador de archivos y un análisis de metadatos consigue los indicios necesarios para apuntar a un sospechoso sobre que el que focalizar los esfuerzos en la obtención de pruebas. Un ejemplo que añadir a la lista de ejemplos de análisis forense de metadatos.

Saludos Malignos!

Limpiar metadatos en Microsoft Office 2011 para Mac

En la versión de Microsoft Office 2013 para Windows existe una opción muy útil para evitar problemas con metadatos, información oculta y datos perdidos. Esa opción, que se llama Inspeccionar Documento y está dentro del menú Preparar, avisa de absolutamente cualquier dato que pueda irse junto con tu documento, además de dar la posibilidad de eliminarlos con un solo clic.

Figura 1: Opción de Inspeccionar Documento en Microsoft Office 2007 para Windows

Por el contrario, en Microsoft Office 2011 para Mac ese menú no está disponible, y lo único que existe es una opción en las Preferencias / Seguridad de cada aplicación - en este caso Word - para que se eliminen los datos personales al guardar el documento.

Figura 2: Opciones de Privacidad en Microsoft Office 2011 para Mac

Al ver esto, rápidamente me acordé de que esta era exactamente la misma opción que había en OpenOffice.org y que tan mal funcionaba, razón por la que acabamos creando el proyecto Open Source de OOMetaExtractor para limpiar correctamente este tipo de documentos ODF.

Figura 3: OOMetaExctrator para limpiar metadatos en documentos ODF

Para probar el funcionamiento de esta opción en Microsoft Office 2011 para Mac decidí utilizar el famoso documento de Tony Blair que tantos quebraderos de cabeza le propinó por culpa de los metadatos. En esta primera imagen se puede ver el documento original Blair.doc analizado por MetaShield Forensics - la antigua Forensic FOCA - con sus respectivos metadatos, información oculta y datos perdidos.

Figura 4: Documento Blair.doc original analizado con MetaShield Forensics

Ahora se hace una copia de este documento, y se guarda con Microsoft Office para Mac 2011 con la opción de eliminar datos personales al guardar.

Figura 5: Guardamos con Microsoft Office 2011 para Mac para limpiar la información oculta

Y de nuevo volvemos a pasarlo por MetaShield Forensics donde se puede observar que no todos los metadatos han sido eliminados. Entre la lista de datos aparece - en este caso - la plantilla que se está utilizando, la versión de software con que se manipuló el documento, y la fecha de impresión original, que como veis es anterior a la fecha de creación del documento dejando una muestra clara de esta manipulación realizada.

Figura 6: Documento Blair.doc limpiado con Microsoft Office 2011 para Mac

Para comprobar como debería funcionar esta opción correctamente, en este tercer caso utilizamos MetaShield Client, una versión para los sistemas operativos Windows que permite eliminar todos los metadatos de cualquier documento ofimático (PDF, Microsoft Office binarios, OOXML, ODF, etcétera) utilizando las opciones del botón derecho.

Figura 7: Limpiando el documento Blair.doc con MetaShield Client

Una vez limpio con MetaShield Client, utilizamos la herramienta MetaShield Forensics para ver qué información aparece, y como podéis ver sale limpio como la patena.

Figura 8: Análisis de Blair.doc con MetaShield Forensics tras ser limpiado con MetaShield Client

Al final, los metadatos pueden revelar mucha información, y en cualquier Análisis Forense Digital pueden resultar cruciales para responder a algunas preguntas. En el caso de Microsoft Office 2011 para Mac no parece tener mucho sentido que estando esta opción de Inspeccionar documento de serie desde Microsoft Office 2007 para Windows, no la hayan incorporado para solucionar el problema de raíz también en sus versiones para Mac OS X.

Saludos Malignos!

Mozilla denuncia a Gamma por usar a Firefox en FinFisher

La fundación Mozilla ha presentado una demanda contra Gamma, la empresa que comercializa la solución de espionaje FinFisher que aparece utilizada en decenas de países para espiar a los ciudadanos, tanto en regímenes totalitarios, como en países democratizados. Según el informe "Sólo para sus ojos" en incidentes que han afectado a disidentes en Bahrain se utilizó un documento de MS Word que embebía a FinSpy como si fuera una copia legítima de Mozilla Firefox Browser.

Esta información se encuentra en la página 109 de dicho informe, y como puede apreciarse en las imágenes, aunque toda la información del archivo embebido indica que es una copia de Mozilla Firefox Browser, el tamaño no coincide, ya que este es en realidad FinSpy.

Figura 1: Comparación de FinSpy y Mozilla Firefox Browser 14.0.1

Ahora Mozilla ha interpuesto una demanda contra la compañía que, no olvidemos, comercializa con ánimo de lucro esta solución de manera legal y que muchos países compran - como ya se vio en el caso de Egipto - por lo que como dice la fundación, dañar la imagen de una marca en su beneficio propio no debería permitírsele. 

Figura 2: FinFly simulando ser una actualización falsa de iTunes en un ataque EvilGrade

Esto no es la primera vez que se hace, ya que en los vídeos promocionales de se explica cómo los módulos de FinFisher para móviles FinSpy simula ser una actualización de BlackBerry o para equipos PC (Windows y Mac OS X) FinFly  usa como engaño una actualización falsa de Apple iTunes, es decir, que en esos casos también se está dañando la imagen de las marcas BlackBerry y Apple, por lo que tal vez, si esto prospera, estas compañías debieran interponer sus demandas pertinentes.

Saludos Malignos!