¿Qué tan vulnerable estamos los Colombianos ante el Ataque DROWN?

Los fallos que afectan los sistemas de cifrado que soportan HTTPS han estado a la orden del día los últimos años, ya conocemos BEAST, POODLE, Heartbleed, FREAK, Logjam y todos estos problemas de seguridad que buscan apoderarse de nuestras comunicaciones “cifradas”, pero es del ultimo ataque de este tipo del que vamos a hablar en esta entrada, ya ha conseguido grandes titulares en la prensa especializada y no es para menos, ya que el DROWN Attack, como se le conoce, ha logrado afectar a grandes sitios en la red sin que apenas los usuarios nos demos cuenta.

DROWN

Y ustedes se preguntarán… ¿Qué es el DROWN Attack?, empecemos por el nombre, DROWN viene del acrónimo de Decrypting RSA withObsolete and Weakened eNcryption (descifrado de RSA con un cifrado obsoleto y debilitado), es un problema que afecta HTTPS y otros servicios que utilizan SSL / TLS que todavía soportan el viejo SSLv2 y permiten a un atacante forzar al servidor a utilizar esta versión vulnerable de SSL aunque el usuario este realizando una conexión TLS correctamente verificada, de esta forma puede suplantar fácilmente la pagina y capturar la información que supuestamente estaba cifrada sin que el usuario se de cuenta de ello.

A nivel de usuario no podemos hacer nada, ya que el problema se encuentra en los servidores a los que accedemos, la solución general es desactivar de base el soporte a SSLv2 en los servicios que lo tengan soportado y actualizar las versiones de todos nuestros servidores (ya hay parches para casi todos los sistemas operativos, pero es mejor eliminar SSLv2 de base).

Ya que sabemos a grandes rasgos que es el Ataque DROWN y como puede afectarnos, me puse en la tarea de saber como nos encontrábamos en Colombia respecto a este fallo, para ello utilizando SHODAN como base lo primero que hice fue buscar cuantos servidores indexados por este motor, tienen soporte todavía al viejo y vulnerable SSLv2 usando el siguiente filtro:

country:co ssl.version:sslv2

El resultado de esta búsqueda me arrojó datos bastante interesantes, ya que de todos los servidores que tiene indexado SHODAN en Colombia (3.057.158):

Servidores Colombianos Indexados por Shodan

country:co

El 2,03% es decir 62.352 aun contaban con soporte para SSLv2:Servidores Colombianos Indexados por Shodan con SSLv2

country:co ssl.version:sslv2

Generando el reporte que permite realizar SHODAN, tenemos aún más información interesante, como las ciudades donde más servidores con versiones viejas de SSL están expuestos a internet:

Shodan TOP Ciudades

Los proveedores que utilizan la mayoría de servidores con versiones viejas de SSL:

SHODAN TOP Proveedores

Los servicios que mas usan estas versiones viejas:

Shodan TOP Servicios

Y las otras versiones activas de SSL que estaban corriendo junto a SSLv2:

SHODAN TOP versiones SSL

En la ultima gráfica se puede observar como la mayoría de estos servidores expuestos a Internet con versiones viejas y vulnerables de SSL, tienen soporte para TLS pero no desactivan las versiones viejas de SSL, lo que demuestra falta de concientizacion o desconocimiento de sus administradores frente a los problemas que ha sufrido SSL en los últimos años.

Debes estar pensando… hey pero el hecho que tenga SSLv2 activado no quiere decir que el servidor sea vulnerable al ataque DROWN y es verdad,  para saber esto es necesario realizar un test especifico como el que han puesto en el sitio web del DROWN Attack los investigadores que reportaron este fallo.

Tenemos 2 opciones para realizar las pruebas en nuestro servidor, podemos usar el script en python para testear uno a uno las direcciones IP con SSLv2 activo o usar la versión online disponible en test.drownattack.com; Personalmente no me agradaba mucho la idea de estar dejando mi ip por un montón de servidores que desconozco y quiero pensar que un administrador juicioso que revise los logs y vea peticiones desde test.drownattack.com, por lo menos se enterará del problema y posiblemente lo resuelva,  es por eso que decidí usar la versión web.

El siguiente paso fue comprar los créditos necesarios en SHODAN para poder descargar los resultados que ya tenia de los servidores en Colombia con versiones de SSL vulnerables (si te quieres ahorrar los 5 dolares, al final del articulo te dejo el archivo descargado para que lo uses en tus investigaciones),  y programar un pequeño script para automatizar las peticiones a test.drownattack.com (que hasta la fecha esta sin captcha, pero no es raro que lo implementen pronto), pasando como parámetro la dirección IP y finalmente guardando el resultado en un CSV para facilitar el proceso.

Lo que me arrojaría como resultado, cuantas de las 10.000 direcciones IPs Colombianas con SSLv2 activo eran vulnerables al DROWN Attack:

10000 Shodan

Lo que nos muestra el preocupante panorama en el que se encuentran los servidores de Usuarios y empresas Colombianas frente a un ataque como el DROWN.

Pensaba que después de automatizar los procesos para testear 10.000 servidores, realizar las gráficas, estadísticas y escribir este post hasta este punto. Ya podía irme a mi casa con mi esposa y mi niña, pero justo cuando estaba apagando las luces de la oficina para marcharme, se me enciende una luz en la cabeza y me pregunto “¿no es mas fácil que un colombiano pierda datos por este fallo en un servidor como el de yahoo que esta vulnerable a que lo haga conectándose a un servidor ubicado en pereira?” a lo cual me respondo con un SI, sabiendo que ese SI quería decir que aún me faltaba algo para dar por finalizado este post y que no llegaría a casa temprano.

Teniendo en cuenta ese nuevo vector de ultimo momento se me ocurre tomar el TOP 500 de sitios mas visitados en Colombia de Alexa.com para comprobar cuantos de ellos eran vulnerables al DROWN Attack, pero a diferencia de SHODAN, Alexa no ofrecía la posibilidad de comprar sus datos, por tanto era necesario automatizar la extracción de todas las URLS de sitios mas visitados en Colombia (si los necesitas también están en el paquete que dejaré adjunto para que hagas tus investigaciones) y luego probarlos en test.drownattack.com.

TOP 500

De todos los sitios testeados, solo el 19% era vulnerable al ataque, es decir 96 sitios del TOP 500 de paginas mas visitadas en Colombia son a día de hoy vulnerables al ataque DROWN, por lo que la información de los usuarios en estos sitios puede estar siendo capturada por personas mal intencionadas en este momento, aunque la cifra no parezca alta para algunos, la variedad de sitios con el problema van desde entidades bancarias, universidades, grandes medios de comunicación, almacenes de cadena, entidades gubernamentales, cadenas de cine y un largo etc que podrán ver en el adjunto que dejo con este post.

Espero que este texto sea de utilidad, si los datos que te comparto te sirven para algo, por favor deja tu comentario en el blog, me gustaría saber para que fueron usados ;-).


Si te ha gustado el post, compartelo y ayudanos a crecer.

Unete a nuestra Fanpage Siguenos en Twitter

Autor: DragoN

Ingeniero en Sistemas y Telecomunicaciones de la Universidad de Manizales. Information Security Researcher con más de 10 años de experiencias en Ethical Hacking, Pen Testing y Análisis Forense. Docente Universitario en Pre y Post-Grado, Speaker y Organizador de diferentes eventos de Seguridad Informática, Fundador del DragonJAR Security Conference y Fundador de DragonJAR SAS y de La Comunidad DragonJAR, una de las comunidades de seguridad informática mas grandes de habla hispana y referente en el sector.

Compartir este Artículo
  • El Elegido

    Estimado y como hiciste para automatizar el resultado de Shodan, es decir, de las 62 mil, como saber cuales con el SSLv2 son vulnerables a DROWN? Gracias.

    • dragonjar

      El proceso fue muy simple, solamente tenes que loguearte a SHODAN, y en el buscador pones los filtros asi:
      country:co ssl.version:sslv2

      de esa forma shodan solo te muestra las ips colombianas que tienen activo sslv2

  • Pingback: Shodan vs Scans.io vs Censys.io vs ZMap vs Mr Looquer()

Siguenos!

O Puedes Subscribete

ANTES DE

SALIRTE ...

NO TE

ARREPENTIRÁS

!Gracias¡

NO OLVIDES NUESTRAS REDES SOCIALES

Aprende ONLINE Técnicas HACKING y Seguridad Informática guiad@ por Profesionales RECONOCIDOS con más de 10 años de experiencia REAL en el campo de la Seguridad Informática

Toma acción !AHORA¡
miles ya lo han hecho

NUNCA te enviaremos spam.

  • No necesitas conocimiento previo (De 0 a Ninja)
  • Docentes reconocidos en el medio y con experiencia REAL
  • Clases ONLINE en VIVO que luego podrás repasar si lo deseas desde cualquier parte o cualquier dispositivo
  • Contenidos EXCLUSIVOS generados por nuestros docentes
  • Contacto constante con el docente por distintos medios, antes, durante y después de las clases
  • Laboratorios en linea para que nuestros alumnos practiquen sus conocimientos sin problemas
  • Exclusivo FORO VIP de Alumnos y Ex-Alumnos donde se continúa el aprendizaje y se comparte conocimiento
  • Te entregamos un diploma de certificación por cada curso
  • Miles de ex-alumnos felices