¿Ya revisaste si tu router tiene puertas traseras?
sep10

¿Ya revisaste si tu router tiene puertas traseras?

Hace unos días circulaba la noticia del descubrimiento por parte de los amigos de WebSec (@_hkm, @calderpwn y @LightOS) de una gran cantidad de routers en México con puertas traseras y cuentas ocultas que permiten a cualquier persona acceder con un usuario privilegiado a la configuración de los routers hogareños de miles de Mexicanos. El registro todavia es obligatorio y no esta disponible al publico pero pude acceder como betatester y como soy usuario de RouterPWN, Mac2WepKey, HHG5XX e y se la calidad de las herramientas publicadas por estos “gueyes” me puse en la tarea de probar la herramienta y quede sorprendido con su facilidad y rapidez. La herramienta esta desarrollada en Java para permitir su ejecución en cualquier sistema operativo (yo lo probé en Mac OS X), y al iniciar nos hace varias preguntas , como el tipo de vulnerabilidades a buscar y el rango de IPs que quieres auditar. Después de esto solo le das escanear y te ira mostrando si tu ip o el rango de ips que ingresaste es vulnerable a cualquiera de los fallos seleccionados. Lo primero que hice fue probar con mi propio router y con mi rango de ips, pero al parecer mi proveedor no incluye ni el router con el fallo ni las cuentas “de soporte técnico” backdoors, entonces con la ayuda de Shodan busqué algunos routers Mexicanos (solo para probar la efectividad de la herramienta) y el resultado fue muy diferente a los arrojados con rangos de IP-s Colombianos… En el rango escaneado encontré 50 equipos que tenían por lo menos una de las vulnerabilidades seleccionadas inicialmente, lo que demuestra la cantidad de familias que pueden resultar afectadas por este tipo de fallos. Pero la herramienta no se queda solo ahí, si le damos en “Ver Detalles”, nos genera un reporte en HTML con todos los detalles de los fallos encontrados en las diferentes IP’s de los rangos establecidos en el escaneo. Con esta información elegí una IP al azar e ingresé con las credenciales superman:superman que permite acceder a TODAS las configuraciones del router, permitiendo ver los equipos conectados, hacer redirección de puertos a equipos internos o incluso cambiar los DNS por algún servidor que podamos modificar a nuestro antojo. El usuario superman no solo tiene acceso a todas las configuraciones del router, sino que para sorpresa de muchos tiene más permisos que el mismo grupo Administrador del proveedor de servicio. Ahora solo queda que busques si tu router tiene backdoors con la herramienta de websec para buscar puertas traseras. ¿que puedo hacer si mi router tiene un backdoor? Si tiene la cuenta superman sigue estas instrucciones y podrás cambiarla. Si tienes el backdoor...

Leer Más

Hakin9 Español GRATIS

Hakin9 español es una revista que habla de cuestiones relacionadas con la seguridad de los sistemas informáticos; tanto desde el punto de vista de la persona que rompe la seguridad, como desde el punto de vista de la persona que la asegura. Hakin9 español es publicada en catorce países del mundo y seis idiomas (francesa, italiana, inglesa, alemana, checa y polaca), aunque algunos años atrás dejo de existir Hakin9 español, la revista sigue siendo un referente en temas de seguridad informática y la mayoría de sus textos son vigentes al día de hoy. Para todos los interesados en ojear esta revista Hakin9 español, les cuento que ya no será necesario comprarla por megaupload o rapidshared, ya que los directivos de Hakin9 han decidido liberar su versión en ingles al público en general y permiten descargar en PDF su último ejemplar. En este número gratuito de Hakin9 español, hablan sobre temas como: Análisis forense en dispositivos móviles Firewalls para principiantes Pentest contra routers ADSL Escribiendo una shellcode para windows con un compilador de C Fraudes con ID’s Modelado de amenazas y como no puede faltar en cada edición, una entrevista a un personaje de la seguridad informática. hakin9 español puede descargarse totalmente gratis desde este enlace y suscribirse a su boletín de noticias, para que cada que salga un numero nuevo, te notifiquen al correo hakin9 español. Este tipo de revistas como hakin9 español lograron llevar la seguridad informatica a muchas partes donde por uno u otro motivo el acceso a internet es limitado o nulo, debemos agradecer a sus autores por esto  y si algún dia nos topamos con alguna edición de hakin9 español deberíamos comprarla sin pensarlo y compartirla con todos. Si prefieres la documentación hakin9 español te dejo un listado con los artículos gratuitos, que se alcanzaron a publicar de Hakin9 español, antes que dejaran de editarse Hakin9...

Leer Más

Nuevo Gusano Infecta Routers, Modems, y Sistemas GNU Linux

Un nuevo gusano llamado psyb0t descubierto por la empresa DroneBL, acecha la red, esto no es nada nuevo, todos los días salen gusanos tratando de conseguir la mayor cantidad de víctimas posibles para convertirlos en zombies y realizar las tareas que encargue su creador, pero este gusano tiene una particularidad que lo hace diferente, es capaz de infectar routers, modems y sistemas gnu linux. Es la primera vez que se observa un ataque exitoso utilizando la infección en este tipo de dispositivos y se calcula que el número de afectados supera los 100.000 equipos y va en aumento, ya que su detección y desinfección son complicadas y “difíciles” de llevar a cabo para un usuario promedio. El psyb0t se propaga a través de los servicios ssh, telnet y http, explotando vulnerabilidades en ellos o realizando ataques de fuerza bruta ante contraseñas débiles en los usuarios, tan pronto logra acceder al dispositivo descarga un archivo malicioso que permite a su creador administrar remotamente el dispositivo robando información sensible que pasa por el, realizando denegaciones de servicio o cualquier otra tarea que desee realizar su creador, aparte de esto modifica las reglas del firewall para impedir el acceso a el panel de administración del dispositivo. Si notas un comportamiento extraño en tu red y ya descartaste infecciones de los equipos que la confirman, no olvides revisar la configuración de tu router o modem, si no puedes entrar al panel de control de ellos posiblemente estas infectado con el psyb0t. Recomendaciones si estas Infectado con el psyb0t Resetea La Configuración de tu Dispositivo Actualiza tu firmware a la última versión Sigue las Instrucciones indicadas por DroneBL Recomendaciones para evitar ser infectado por el psyb0t Mantén al día la versión de tu firmware Utiliza contraseñas fuertes (nunca nos cansaremos de repetirtelo) Deshabilita los servicios que no utilices en tus dispositivos Revisa periódicamente el panel de control de tus aparatos Para Más Información: DroneBL Psyb0t Attacks Linux Routers Psyb0t, infección en ¡routers!, ¡módems! y...

Leer Más

Hacking de Redes UPnP – Parte III

======================= Hacking de Redes UPnP – Parte I Hacking de Redes UPnP – Parte II Hacking de Redes UPnP – Parte III ======================= Continúa desde “Hacking de Redes UPnP – Parte II“ Una Introducción a Miranda Miranda es una herramienta de administración de UPnP escrita en Python. Lleva consigo una línea de comandos que soporta autocompletado e historial de comandos, y provee la habilidad de guardar tu trabajo en un archivo que puede ser recargado para su posterior análisis. También puedes alterar las configuraciones del programa sobre la marcha, y registrar todos tus comandos en un archivo log, de manera que puedas saber exactamente lo que ejecutaste y cuando lo ejecutaste. Miranda puede descubrir hosts UPnP tanto activamente como pasivamente, y con un simple comando pueden ser enumerados todos los tipos de dispositivos, servicios, acciones y variables. Las variables de estado del servicio pueden ser automáticamente correlacionadas con sus acciones asociadas, e identificadas tanto sus variables de salida y/o entrada para cada acción. Miranda almacena la información de todos los hosts en una estructura única de datos y te permite desplegar directamente toda la información y ver su contenido. Finalmente, puedes ejecutar cualquier acción soportada por el host UPnP; si la acción requiere algún valor de entrada, se te informará su nombre y su tipo (string, 4 byte entero, 2 byte entero, etc), así como los valores permitidos o rangos de valores que el host UPnP ha suplido, y se le pedirá que ingrese el valor. Descubriendo hosts UPnP con Miranda Cuando inicias Miranda por primer vez, te llevará a una shell interactiva con un prompt ‘upnp>’ a la espera de ejecución de comandos. La primera cosa que probablemente quieras hacer es descubrir si hay algún host UPnP en tu red; esto puede ser realizado con los comandos ‘pcap’ o ‘msearch’. Cuando es ejecutado el comando ‘pcap’, Miranda se pondrá en escucha (modo pasivo) buscando mensajes SSDP NOTIFY, mientras que el comando ‘msearch’ consultará los dispositivos UPnP usando un mensaje M-SEARCH. Por defecto, ‘msearch’ buscará todos los dispositivos UPnP, pero también se le puede especificar que busque un determinado tipo de dispositivo o servicio si así se desea. En este ejemplo, simplemente buscaremos algún dispositivo: Código: upnp> msearch Entering discovery mode for 'upnp:rootdevice', Ctl+C to stop... **************************************************************** SSDP reply message from 192.168.0.1:5678 XML file is located at http://192.168.0.1:5678/igd.xml Device is running Embedded UPnP/1.0 *************************************************************** Discover mode halted... Aquí podemos ver que hay un host UPnP en la red, el cual resulta ser un router DI-524. También podemos ver que es reportado el tipo de servidor UPnP (‘Embedded UPnP/1.0¿), y la ubicación del archivo XML raíz. Ejecutando el comando ‘host...

Leer Más

Hacking de Redes UPnP – Parte II

======================= Hacking de Redes UPnP – Parte I Hacking de Redes UPnP – Parte II Hacking de Redes UPnP – Parte III ======================= Continúa desde “Hacking de Redes UPnP – Parte I“ Una vista general sobre el protocolo UPnP EL protocolo UPnP usa la dirección mulicast (multidifusión) 239.255.255.250 y el puerto TCP 1900. Los dispositivos que ofrecen servicios UPnP periódicamente enviarán mensajes SSDP NOTIFIY a 239:255:255:250:1900, anunciándose a cualquier cliente UPnP que en este en escucha. Si observas el tráfico en tu LAN que use un router con los servicios UPnP activos, notarás que éste envía una ráfaga de mensajes SSDP NOTIFY cada pocos segundos; esto ocurre porque la mayoría de los routers en realidad se anuncian como multiples dispositivos UPnP, y envían una notificación por cada tipo de dispositivo. Asimismo, los clientes UPnP pueden enviar peticiones SSDP M-SEARCH a 239:255:255:250:1900 para ver si algún dispositivo UPnP responde. Los clientes pueden enviar una petición M-SEARCH buscando algún dispositivo UPnP, o pueden especificar que están buscando algún dispositivo en particular, o pueden consultar solo por algún dispositivo que soporte un servicio UPnP específico. Los hosts UPnP que concuerden con los dispositivos/servicios pedidos responderán con un mensaje SSDP RESPONSE, el cual contiene la misma información que la enviada en un mensaje SSDP NOTIFIY. Un mensaje SSDP NOTIFY enviado por un host UPnP contiene una cabecera ‘Location’ la cual especifica la ubicación de un archivo XML. Este archivo XML contiene datos indicando, entre otras cosas, el tipo de dispositivo y los servicios soportados por el host, así como las rutas a otros documentos XML adicionales que describen los servicios detalladamente. Para descubrir las capacidades UPnP completas de un IGD, se debe analizar todos los archivos XML para extraer los tipos de dispositivos, servicios, y acciones ofrecidas por el IGD. Los servicios UPnP soportan varios servicios que a su vez anuncian las acciones que soportan. Un cliente UPnP puede enviarle alguna petición al dispositivo UPnP en cualquier momento, esta podría ser una petición para abrir un puerto, cambiar el servidor DNS por defecto, o cualquier otra que el dispositivo soporte. Los datos enviados/devueltos en cualquier petición o respuesta son enviados usando SOAP, el cual usa XML para estructurar la información enviada entre las dos partes. Las peticiones SOAP son esencialmente peticiones HTTP POST con alguna cabecera SOAP adicional incluida en las cabeceras HTTP. Auditando dispositivos UPnP manualmente Para descubrir si algún router soporta UPnP, puedes ir a la interfaz administrativa de este y verificar si hay alguna opción para habilitar/deshabilitar UPnP, mientras que la mayoría de los routers tienen UPnP habilitado por defecto, algunos no. Para realmente auditar la configuración de algún dispositivo...

Leer Más

Siguenos!

O Puedes Subscribete

ANTES DE

SALIRTE ...

NO TE

ARREPENTIRÁS

!Gracias¡

NO OLVIDES NUESTRAS REDES SOCIALES