Hacking FOCA [1 de 3]

*********************************************************************************************
- Hacking FOCA [1 de 3]
- Hacking FOCA [2 de 3]
- Hacking FOCA [3 de 3]
*********************************************************************************************

A parte de la forma pensada para trabajar con FOCA que está siendo descrita en el Manual de usuario de la FOCA 2.5, muchas de las nuevas funcionalidades de la FOCA van apareciendo a partir de usar la herramienta de una manera “tricky”, es decir, de “hackear” su funcionamiento para conseguir algunos resultados mejorados. En esta serie os voy a poner tres usos que hemos pensado y utilizado de la herramienta en su versión actual y que acabarán por convertirse en parte del funcionamiento normal de la misma en próximas versiones.

FOCA & Evilgrade

Evilgrade es un framework que creó inicialmente Francisco Amato, la herramienta está pensada para, una vez realizado un ataque de DNS Poisoing, suplantar a los servidores que son comprobados por los clientes para buscar actualizaciones y troyanizar la máquina mediante una actualización maliciosa.

La idea es genial y, en la versión que liberará la próxima semana y que presentó en Defcon 18 y Black Hat 2010, tendrá 53 módulos distintos para hacer ataques de este tipo. En la mayoría de los módulos se consigue ejecución directa, en otros es necesaria una pequeña intervención del usuario haciendo clic en algún mensaje de alerta y en otros, como en el caso de Windows Update, es mediante la suplantación de la página web original para hacer un phishing.

Como FOCA incorpora un módulo de DNS Caché Snooping, una de las ideas para sacarle más partido a la información extraída es generar un fichero con todos los servidores para los cuales Evilgrade tiene un módulo de ataque. De esta manera, FOCA puede descubrir cuáles son los módulos a preparar en un ataque con Evilgrade en un pentesting de una empresa.

Francisco Amato nos ha pasado un fichero con los nombres de dominio, y éste es el resultado al pasarlo por algunas organizaciones con el módulo de DNS Caché Snooping de FOCA 2.5

En la Renfe, como se puede ver, además de tener máquinas con Windows que visitan sitios con Google Analytics, para los cuales tiene un módulo de ataque preparado Evilgrade, tiene como curiosidad que los usuarios navegan a winscp.com, que es la página de un cliente FTP que tiene activada la búsqueda de actualizaciones y al menos alguno de ellos tiene instalado el Antimalware de ClamAV.


Figura 1: DNS Caché Snooping de Evilgrade a Renfe.es
En la UNED, además de Windows y Google Analytics, se podría hacer un ataque al sistema de actualizaciones de Cygwin.com.


Figura 2: DNS Caché Snooping de Evilgrade a la UNED
Por último, en el ayuntamiento de Getafe, que compite con nuestro Móstoles - en vano }:) - por ser la capital del sur, se podría hacer uso también de los módulos para el sistema de actualizaciones de autoitscript.com y vmware.com.


Figura 3: DNS Caché Snooping de Evilgrade al ayuntamiento de Getafe
El fichero de Evilgrade.txt se puede generar desde el framework con un simple show vhosts, pero para la próxima mini-release de la FOCA que saldrá a finales de la semana que viene con algunos arreglos a pequeños fallos, ya vendrá incorporado. Además, en el futuro incorporaremos esta búsqueda de forma automatizada en FOCA.

*********************************************************************************************
- Hacking FOCA [1 de 3]
- Hacking FOCA [2 de 3]
- Hacking FOCA [3 de 3]
*********************************************************************************************

Cómo conocí a tu chica & Hole 196

En BlackHat/Defcon siempre hay sesiones curiosas que uno se pierde, pero que, gracias a los que escriben sobre ellas, uno puede volver a asitir varias veces a los eventos.

Aprovechando las referencias que ha habido en la web, y que Dragonjar ha recopilado todas las presentaciones y whitepapers, he repasado una muy curiosa titulada How I met your girlfriend. [white paper, slides]

La idea de la charla es analizar las debilidades en la generación de números aleatorios de sesión en PHP 5.3 y ver como estos adolecen de debilidades que pueden permitir a un atacante predecirlos. Sin embargo, la gracia total de la charla y lo que más ha dado la vuelta al mundo ha sido la aplicación de la prueba de concepto para extraer la MAC del router y pasarla por la base de datos de MAC y posiciones GPS creadas por el cochecito del Google Street View para decirte donde vives.



Figura 1: MACXSS POC
Samy Kamkar ha puesto una prueba de concepto de esto online, que puedes probar. Desde Internet Explorer 8 no tira, pero si le das a alguno de los otros Web Browsers podrás verlo. La idea es muy chula.

WPA Too

La segunda charla de la que quiero hablaros es de la famosa Hole 196 de la WiFi. Tras un poco de lío con las informaciones previas, la idea del ataque es tan sencilla como peculiar.

En la página 196 del estándar dice que los mensajes enviados con claves de grupo, es decir, las claves pensadas para comunicaciones broadcast no tienen protección contra Spoofing. Así, un atacante puede enviar un mensaje con una clave GTK con la IP que quiera.



Figura 2: Distribució de claves en WPA/WPA2
La gracia del ataque es enviar un mensaje con una clave GTK pero a una MAC dirigida en lugar de a una dirección MAC de broadcasting. Haciendo esto, sólo la víctima procesará ese paquete broadcast y, por tanto, salvo que la tabla de ARPs tenga la resolución de la MAC del Gateway estática, se producirá una envenenamiento de la IP que permitirá suplantar al router.

A partir de ese momento, cuando la víctima se comunique con el Gateway se utilizarán las claves PTK asociadas a esa IP, que el atacante amáblemente entregará para hacer el MITM. Simple, pero funcional.

No rompe el sistema de autenticación de WPA/WPA-2 Enterprise, pero ayuda a hacer ataques MITM en esos entornos de forma oculta. La gracia es que el paquete va cifrado con la GTK y a una MAC que no es de broadcast lo que haría que, hasta que no aparezcan soluciones IDS que inspeccionen todo el tráfico que vaya cifrado con claves GTK aunque no vaya a MAC de broadcast, el ataque no sea descubierto. Tienes el paper en la siguiente URL: WPA Too Hole 196 white paper y todos los materiales de la Defcon18 publicados aquí.

Ale, para que luego digas que no viniste a las charlas ;)

Saludos Malignos!