Todas las herramientas de Black USA 2014 Arsenal

Esta semana se ha publicado la lista de herramientas que van a componer el Arsenal de Black Hat USA 2014, y este año parece que han batido records en cuanto a número de ellas propuestas, ya que el número que hay es ingente. Entre ellas hay herramientas de compañeros y amigos como ProxyMe de nuestro compañero Manu "The Sur", WhatsApp Privacy Guard de Jaime Sánchez y Pablo San Emeterio para ayudar evitar los ataques de quienes quieren espiar WhatsApp o Voyeur de Juan Garrido "Silverhack" para auditar un Active Directory usando PowerShell y sin necesidad de cuentas administrativas.

Figura 1: Herramientas en Black Hat USA 2014 Arsenal

La lista es larga, y cuenta con herramientas de gran calado y utilidades pequeñitas pero que pueden resultar más que prácticas para muchos entornos. Aún no están disponibles en la web de Black USA 2014 Arsenal, pero la mayoría de ellas se pueden encontrar en sus repositorios de desarrollo. Este es un resumen que he hecho por si te puede ayudar a localizarlas mejor.

- ANDROID DEVICE TESTING FRAMEWORK: Framework y APIs para auditar Android
- AUTOMATED MEMORY ANALYSIS: Plugins para Cuckoo Sandbox
- BEEF (Browser Explotation Framework): JavaScript Botnets Control Panel
- BREWSKI (BURP RHINO WEB SCANNER): Plugin para Burp scriptable
- C-SCAD: Herramienta de explotación de un cliente SCADA
- CHIPSEC: Auditoría de plataforma (Secure Boot, BadBios, etc..)
- CLASSIFY6: Command Line Tool que clasifica una dirección IPv6
- CYNOMIX: Proyecto de clasificación de malware en familias
- DAMM: Análisis diferencial de malware en memoria
- DEPENDENCY-CHECK: Analiza dependencias entre apps y librerías
- DRADIS: Plataforma para consolidación de datos en auditorías
- FILIBUSTER: Analiza puertos filtrados en firewalls
- FLOWINSPECT: Análisis e inspección de tráfico de  red con reglas
- FSEXPLOITME: ActiveX vulnerable para enseñar Browser Explotation
- HEYBE: Herramienta de pentesting para redes empresariales
- ICE-HOLE: Framework para auditar tests de phishing en auditoría
- IDB: Herramienta automatizada para auditar apps en iOS
- IMAS: iOS Mobile Application Security Libraries
- IMPACKET: Clases en Python para herramientas de hacking de red
- ISPY: Herramientas de auditoría de Apps para iOS
- JTAGULATOR: Herramienta de auditoría de chips en hardware
- MALTRIEVE: Recuperar malware desde la fuente en que se sirve
- MELKOR: Herramienta de Fuzzing para formato de fichero ELF
- MODSECURITY: Popular WAF OpenSource. Lo usamos en FOCA.
- MORNING CATCH: Virtual Machine para enseñar ataques client-side
- MOZDEF THE MOZILLA DEFENSE PLATFORM: Plataforma SIEM de Mozilla
- NFCULT: Auditar y explotar NFC ultralight en Android
- OOPS, RFIDID IT AGAIN: Pentesting de RFID
- OWASP PCI TOOLKIT: Herramientas OWASP para aplicar PCI
- OWASP ZED ATTACK PROXY (ZAP): Popular Proxy para pentesting
- POWERSPLOIT: Metasploit-like escrito en PowerShell
- PRAEDA: Explota impresoras multi-función y saca credenciales
- PROXYME: Proxy HTTP-s con plugins scriptables para auditoría web
- REGEORG: Creación de túneles vía HTTPs a puertos de red
- RICKROLLING YOUR NEIGHBORS WITH GOOGLE CHROMECAST: hacking Chromecast
- SECURESCAN SAAS FREE SCANNER: Vulnerability Management Cloud-Service
- SERPICO: Crear informes con datos de herramientas de auditoría
- SHINOBOT SUITE: R.A.T. Simulator para auditar sistemas
- SIMPLERISK: Herramienta de gestión de riesgo para empresas
- SMARTPHONE PEN-TEST FRAMEWORK: Hacking de usuarios con smartphone
- SNOOPY: Sonda para recolectar información de dispositivos con cercanía
- SPOTLIGHT INSPECTOR: Análisis forense de BBDD Spotlight de OSX
- TAINTLESS: Detección y explotación de SQL Injection
- THREADFIX: Gestión de vulnerabilidades y parches
- VEIL-FRAMEWORK: Herramienta para pentesting en equipos
- VIPER: Herramienta de gestión de scrips para reversing
- VIPROY: Herramienta para hacking de VoiP
- VOLATILITY FRAMEWORK 2.4: Nueva versión de memory forensics
- VOYEUR: Auditoría de Active Directory hecha en PowerShell
- W3AF: Web Security Scanner
- WATOBO: Herramientas para auditoría web
- WHATSAPP PRIVACY GUARD: Cifrado de WhatsApp
- ZIG TOOLS: Librerías Python para desarrollo con Freakduino
- ZITMO NOM: Para auditar el despliegue de ZitMo vía SMS

Como veis, la lista de herramientas es grande, así que he intentado resumir en una sola línea información básica para que decidas si quieres conocer mejor esas herramientas o no, además de dejaros enlaces a algunos de sus repositorios y/o documentación disponible. Si quieres saber más de cada una de ellas, visita la web del Arsenal o busca la herramienta en su repositorio si está disponible y ponte a probarla.

La verdad es personalmente me encanta ver la cantidad de gente que hay haciendo investigación en seguridad y que hace que cada día avance más el conocimiento. Con grandes herramientas, pequeñas soluciones o simplemente documentando y creando recursos para enseñar o agitar la mente de todos con nuevas ideas.

Saludos Malignos!

El asesino en serie BTK fue descubierto por los metadatos

Todo comenzó con un brutal asesinato en el año 1974. El asesinato de la familia Otero donde el padre, la madre, el hijo y la hija fueron atados, torturados psicológica y físicamente y después asesinados. Ese mismo año volvió a matar, en este caso a una joven de 21 años a la que apuñaló. Estos dos asesinatos conmocionaron a la opinión pública de Wichita, donde tuvieron lugar los asesinatos, pero también levantó cierta admiración morbosa lo que llevó a que algunos impostores llamaran declarándose ellos los asesinos.

El asesino auténtico, que disfrutaba tanto de sus actos como para llegar a masturbarse en el medio de las torturas, no iba a dejar que le quitaran el mérito de sus actos, así que dejó una carta incrustada en un libro de la biblioteca pública de Wichita en la que describió, con todo lujo de detalles, todas y cada una de las atrocidades que había hecho en sus asesinatos.

Su marca sería era, según él mismo decía, Bind them, Torture them and Kill them (Átalos, Tortúralos y Mátalos), que era uno de los nombres mediáticos que él sugería que lo llamaran BTK. En el año 1978, reclamando más atención de los medios, envió una carta a una cadena de televisión local en la que adjuntaba su firma BTK, y convirtiéndose ya oficialmente en el asesino en serie de Wichita.

Figura 1: Carta manuscrita y firma de BTK

En total, desde el año 1974 que comenzó, el número de asesinatos continuó creciendo hasta el año 1991, siendo 10 el número de personas que sufrieron con él. En el año 1988, tras el asesinado de tres miembros de una familia, volvió a escribir una carta a la Policía para dejar claro que él no había sido, a pesar de que consideraba los asesinatos "un buen trabajo". Todos sus asesinatos están recogidos y explicados en detalle en este documental que se hizo para la televisión.

Figura 2: Documental sobre BTK Killer (visto en SecurityByDefault)

La investigación se fue enfriando, hasta que en el año 2004 se volvió a abrir. Esto fue a debido a que la Policía no le había atribuido uno de sus asesinatos a BTK, por lo que comenzó a intercambiar cartas con ellos reclamando la autoría del crimen. Tras confirmar que las cartas podrían ser auténticas, se reabrió la investigación de BTK Killer, y con el avance de la ciencia de investigación forense, se recuperaron muestras de ADN de debajo de las uñas de una de sus víctimas.

Con el anuncio de la obtención de ADN del posible asesino se comenzó a comprobar contra muestras de los principales sospechosos, junto con el de muchas personas que habían sido estigmatizados con las sospechas de ser el ellos el asesino, que decidieron voluntariamente dar muestras de su ADN para poder salir de sospechas. Este proceso por el que pasaron 1.300 personas llevó a eliminar a muchos de los sospechosos que tenía tanto la Policía como la ciudadanía de Wichita, pero no a localizar al asesino.

En una de las cartas que envió, BTK preguntó si podrían seguir el origen en el que había sido utilizado un disquete, a lo que la Policía contesto que no era posible hacer eso - algo que sabemos que no es del todo cierto como sabéis los especialistas en análisis forense informático -. Confiado, el 16 de Febrero de 2005, BTK Killer envió un sobre a la cadena de televisión KSAS-TV - filial de la FOX - de Wichita en el que puso un disquete, una carta, una fotocopia de la cubierta de una novela sobre un asesino en serie y un collar de color oro con un medallón.

Los metadatos que le llevaron a la cárcel

Dentro del disquete de 3 1/2" y 1.44 MB se pudo recuperar un fichero borrado en formato Microsoft Word que se le había pasado a BTK Killer por no hacer un borrado seguro de los documentos. El archivo recuperado .DOC tenía metadatos, y se podían leer dos cosas importantes. En primer lugar aparecía el texto "Christ Lutheran Church" y en el historial de edición del fichero se podía leer que el último que lo había modificado era el usuario "Dennis". Con esta información, una sencilla búsqueda en Internet puso sobre la mesa un nuevo sospechoso. 

Figura 3: El disco de 3 1/2 que envió BTK Killer (en el NYTimes)

De BTK Killer se suponía que tenía un Jeep Cherokee, que coincidía con el coche de Dennis Reader, el Presidente del Consejo de la Congregación de la Iglesia Luterana de Cristo en Wichita. Solo faltaba la prueba definitiva, conseguir una muestra de ADN y contrastarla con la que había sido recuperada en el año 2004 de las uñas de una de sus víctimas. Para ello, primero consiguieron una orden para poder contrastar la muestra de ADN con la de la hija de Dennis Rader que tenían en la Universidad donde estudiaba. Tras comprobar que había muchas coincidencias, consiguieron la orden de arresto y el asesino BTK Killer fue detenido y condenado a 10 cadenas perpetuas que aún está cumpliendo.

Una vez más un caso de informática forense en el que con un recuperador de archivos y un análisis de metadatos consigue los indicios necesarios para apuntar a un sospechoso sobre que el que focalizar los esfuerzos en la obtención de pruebas. Un ejemplo que añadir a la lista de ejemplos de análisis forense de metadatos.

Saludos Malignos!