Owning bad guys {and mafia} with javascript botnets

Hoy nos toca cantar en RootedCON 2012, y el título de nuestra charla es bastante curioso, eso de "owning bad guys and mafia" ha generado bastante intriga en ciertos amigos que me han dicho: "Me tiene intrigado tu charla, porque no te he visto hablar nada de ella en el blog hasta el momento".  Sin embargo, cuando e intentando contarle algo sobre ella se han negado: "No, no, prefiero llevarme la sorpresa y ver la charla en directo. No me cuentes nada".

Lo cierto es que incluso compañeros de trabajo en Informática64 que saben de qué vamos a hablar han preferido no ver ninguna diapositiva de la presentación - la cuál aún estamos acabando - para llevarse la sorpresa en directo. Todo esto es una presión brutal, porque todo el mundo espera mucho de nosotros, y nos tiene dado las vueltas a todos los ejemplos, las demos, y cada una de las diapositivas de la presentación.

Al final esta tarde cantaremos la presentación, con todo nuestro esfuerzo y dedicación, y esperamos que os guste a los que vengáis a la charla - nosotros estamos muy satisfechos del resultado -, que nosotros daremos todo lo que llevamos dentro.

Los que no estáis en la RootedCON tendréis que esperar a que a partir de la semana que viene os cuente todo lo que hemos estado haciendo en un artículo largo y detallado para que sepáis de qué va todo esto de ownear a los malos con javascript botnets.

Saludos Malignos!

Localización física de personas usado GSM

Echando una palada más de tierra sobre la seguridad de GSM, unos investigadores de la Universidad de Minessota han publicado un estudio titulado "Location Leaks on the GSM Air interface" que confirma que cualquier atacante, con unos medios técnicos de muy bajo coste, puede saltarse fácilmente la protección del anonimato frente a terceras partes que proporciona GSM.

Para proteger la identidad de los usuarios frente a terceras partes que pudieran interceptar las comunicaciones móviles en el aire, GSM establece que la red del operador asigne periódicamente identificadores temporales a los usuarios (TMSI), de modo que sean esos identificadores temporales los que se transmitan por el aire, al menos en la mayorÌa de los casos, en lugar de los identificadores permanentes y unívocos de los usuarios (IMSI). De este modo, un atacante escuchando las comunicaciones de radio podría ver que hay ciertos dispositivos móviles comunicándose en una determinada zona, pero no podría identificar a quién, o a qué número de teléfono, corresponde cada una de las comunicaciones salvo que llegara a descifrar la comunicación e identificara la voz del hablante, por ejemplo.

Esto último, descifrar la comunicación una vez interceptada, también es posible, debido a que el algoritmo que utiliza GSM para realizar el cifrado, conocido como A5/1, es muy débil y ya ha sido roto, pero ese es otro problema de seguridad, de muchos, que presenta GSM.

Volviendo al problema concreto del anonimato, respecto a terceras partes, de los usuarios de GSM, un atacante puede estar interesado simplemente en saber si una determinada persona está o no presente en una determinada zona, por ejemplo para entrar a robar en su casa cuando la persona no esté presente, o para confirmar su participación o no en una manifestación.

La técnica utilizada por los investigadores para determinar la presencia o ausencia de una determinada persona en una determinada zona consiste en realizar llamadas perdidas al número de teléfono móvil de la persona cuya presencia se quiere comprobar, y observar al mismo tiempo los mensajes enviados por la red a los móviles de la zona avisándoles de que hay una llamada entrante para ellos. Repitiendo el proceso varias veces se puede observar a qué identificador temporal (TMSI) van dirigidas las notificaciones que se producen instantes después de cada vez que los investigadores lanzan una de sus llamadas destinadas a la víctima.

Podría pensarse que esta técnica serÌa fácilmente detectable por el usuario víctima, ya que las llamadas entrantes perdidas quedarían reflejadas en su pantalla. Efectivamente, si los intentos de llamada se cortaran después de transcurrido demasiado tiempo, el teléfono víctima registrarÌa el intento de llamada y mostraría en pantalla el conocido mensaje de llamada entrante perdida. Por otro lado, si se cortaran los intentos de llamada demasiado pronto, el aviso por parte de la red al teléfono llamado no llegarÌa a observarse en el aire. Pero existe una franja intermedia de tiempo tal que si los intentos de llamada se cortan dentro de ese intervalo, la red llega a enviar el aviso de llamada entrante por el aire, y en cambio el móvil no llega a registrar el intento de llamada como llamada perdida, siendo por tanto totalmente transparente para el usuario.

Utilizando esta técnica, los investigadores han demostrado que, utilizando simplemente un PC, un teléfono móvil antiguo, y software gratuito de dominio público, un atacante puede determinar si el propietario de un determinado número de teléfono está o no presente en la zona en la que se encuentre el atacante, con una precisión que puede variar entre unos 100 metros a la redonda (o varios bloques de edificios, en entorno urbano), y varios kilómetros, dependiendo del entorno y de la distribución y organización de las estaciones base del operador en la zona. Adem·s, el atacante, aplicando esta técnica, puede determinar el identificador temporal (TMSI) asignado por la red a ese usuario en ese momento, cosa que podría ser utilizada para realizar otros ataques, como capturar selectivamente sus comunicaciones, probablemente cifradas, obtener la clave de sesión, y con ello descifrar sus comunicaciones o incluso suplantar la identidad del teléfono víctima.

Ésta no es la única técnica disponible para determinar el TMSI de un usuario. En diciembre de 2010 unos investigadores alemanes demostraron una técnica similar, basada en el envÌo de mensajes SMS especiales o mal formados al teléfono de la víctima, en lugar de realizar llamadas perdidas, pero la técnica recién descrita tiene la ventaja de que utiliza solamente mecanismos totalmente estándar de GSM, como son la solicitud de establecimiento de llamada y el aborto de la misma.

En definitiva no es sino una prueba más de lo inseguras que son las comunicaciones GSM.

David Pérez y José Picó
Investigadores de Seguridad de Taddong
Escritores del Libro: "Hacking y Seguridad de Dispositivos Móviles"