NSA PlaySet: Juega con los juguetes de espionaje de la NSA

Dentro de todas las revelaciones sobre las actividades de la NSA que fueron filtradas por Edward Snowden se encontraba el catálogo de herramientas de espionaje de ANT. Un total de 48 proyectos con utilidades para controlar y hackear todo tipo de sistemas que los miembros de la NSA tenían a su disposición.  El catálogo completo lo tenéis este PDF de 48 páginas donde hay todo tipo de utilidades de hacking de red, de herramientas de espionaje SDR, o de gadgets hardware aplicables diferentes esquemas de ataque.

Figura 1: NSA Ant

Ahora, el objetivo en la comunidad hacker es poder recrear todo lo descrito en ese catálogo de ANT, para que el conocimiento de cómo están creadas esas herramientas ayuden a mejorar la seguridad de los sistemas, añadiendo las utilidades al catálogo de los pentesters, o abriendo nuevos caminos a los investigadores de seguridad. 

Figura 2: Catálogo completo de Productos de ANT

Para ello, se ha lanzado e proyecto NSA PlaySet, donde cada investigador de seguridad puede aportar su conocimiento sobre cómo está construido cada uno de los proyectos de espionaje de ANT, que están aún en Problemas Abiertos, aportando documentación, herramientas o estudios totales o parciales de cómo está construido o puede replicarse cada uno de ellos.

Figura 3: NSA PlaySet

La verdad es que si tienes un trabajo de fin de carrera o master y no sabes qué hacer, intentar replicar uno de los proyectos de ANT puede ser divertido e interesante. Además, si este verano querías aprovechar el tiempo libre que te quede - si es que te va a quedar algo - juntarse a estudiar uno de ellos, documentarlo y presentarlo al mundo puede ser entretenido cuanto menos.

Saludos Malignos!

PlayDrone: Tokens de autenticación en apps Google Play

Un grupo de investigadores de la Universidad de Columbia han publicado un paper titulado "A Measurement Study of Google Play", donde explican cómo han realizado un estudio sobre las apps publicadas en Google Play y los resultados descubiertos, donde llama poderosamente la atención el descubrimiento de los tokens de autenticación hardcodeados en el código de las apps.

Figura 1: El paper que describe PlayDrone y el estudio de Google Play

Los miembros del equipo, Nicolas Viennot, Edward Garcia y Jason Nieh han construido para su análisis PlayDrone, un sistema que hace crawling de todo Google Play para descubrir el máximo número de apps y descargarlas. Hacer esto no es trivial, ya que Google no permite hacer esto, así que han tenido que utilizar técnicas conocidas por la industria de seguridad para obtener la máxima visibilidad de ellas.

Una vez conseguidas las apps, más de 1.000.000 de apps distintas, los investigadores han hecho una serie de catalogación de las apps en base a las librerías que utilizan, los tipos de servicios que ofrecen, etcétera, que siempre vienen bien para poder entender mejor Google Play.

Figura 2: PlayDrone y el análisis de la app de Gmail para Android

Esto es importante, sobre todo vista la industria de Fake Apps que se ha creado alrededor de Android, para poder localizar aquellas que utilizan los mismos patrones, como por ejemplo las mismas librerías de publicidad. O para localizar apps maliciosas que te quieran robar el WhatsApp para que otro te pueda espiar WhatsApp o  los números de teléfono de tu terminal para hacer suscripciones a sistemas SMS Premium.

Sin embargo, lo que más llama la atención es que tras decompilar todas las apps han realizado una búsqueda de tokens OAuth y credenciales para la API de AWS (Amazon Web Services) y han podido descubrir miles y miles de tokens hardcodeados, incluido los de cuentas de Facebook, Twitter, Linkedin, Flickr, BitLy, FourSquare, etcétera.

Figura 3: Tokens de cuentas de servicios localizados en apps 

Cualquiera que consiga estos tokens podrá gestionar gran parte de las cosas que se haya autorizado a ese token, como por ejemplo poner twitts o hacer follow en Twitter (hay más de 28.000 tokens) y poder vender retwitts o seguidores para satisfacer las necesidades de los Community Managers de Cartón Piedra. También podrían hacer like a páginas de Facebook - como hacía el tipo que se cambió el nombre a Mark Zuckerberg - o compartir contenido en los muros de Facebook y distribuir malware (como se hacía con la estafa de la linterna molona), etcétera. Los amigos del Fraude Online seguro que encuentran siempre algo valioso con estas cuentas.

Figura 4: La charla de la presentación del trabajo

El uso de tokens hardcodeados en las apps lo hemos visto no solo en Android y también en las apps de App Store de iPhone se encuentra demasiado comúnmente, como se explica en el libro de Hacking iOS, e incluso a veces pueden encontrarse estos tokens simplemente revisando el log de una app usando el Apple System Log para ver cuándo hace uso de él.

Dicho esto, si tienes una app desarrollada en iOS o desarrollada en Android, o si piensas hacer una app en breve, aplícate el cuento y ten mucho cuidado con los tokens o passwords que hardcodeas en tu código, que como puedes ver si está en Google Play o en App Store está al alcance de cualquiera.

Saludos Malignos!