Análisis del caso «Autopsy hecho en Medellín»
Aparte de lo sensacionalista y confuso de este título quiero tratarlo de una manera técnica y entretenida que nos aporte algo a pesar de lo imposible que parezca.
Aparte de lo sensacionalista y confuso de este título quiero tratarlo de una manera técnica y entretenida que nos aporte algo a pesar de lo imposible que parezca.
Hace solo unas horas me enteré de un hecho bastante cómico a la vez de controversial relacionado con el aplicativo Autopsy.
<>Resulta que en el año 2007 un programa de televisión realizó una nota a una persona (Juan Fernando Jaramillo) sobre lo innovadora de su empresa y sobre las herramientas utilizadas en sus procesos.
Esta nota dió a entender que este grupo de empresarios eran los desarrolladores del software Autopsy. Dicha nota además sirvió al autor del blog el Lado Oscuro (no confundir con Un Informático en el Lado del Mal de Chema Alonso) para acercar a sus lectores sobre procesos de informática forense, el software Autopsy y su autor.
El contenido del corto video realmente nos dá a entender esto… el joven empresario manifestó que pensaba desarrollar una solución software de código libre que permitiera administrar y gestionar casos y procesos forenses… y justo en ese momento y por azares del destino veíamos la interfaz web Autopsy y cómo venían implementando en su «invento» el paso a paso en un análisis forense digital.
Lo «cómico» de este asunto (para mi) no es la autoría del Autopsy (por que todos sabemos que finalmente será propiedad de Microsoft), pues en ningún momento se manifiesta explícitamente que dichos empresarios sean los autores de esta herramienta. No lo expresa ni el joven Juan Fernando Jaramillo ni los autores de la nota en video… El único que generó dicho interrogante fue el autor del blog El Lado Oscuro… Y así lo pensamos todos los que vimos el video y las coincidencias entre las imágenes y el parlamento del joven y los periodistas.
El motivo de este post es debido a las conversaciones y respuestas generadas a raiz de dicha publicación. Es cómico encontrarnos como siempre con las típicas respuestas de que todos los que aparecen en televisión hablando de seguridad informática sean «script-kiddies, lammers, newbies, etc» y que quienes respondan en los post siempre son los H4x0rs 31173 de la super muerte.
Aquí un ejemplo de un experto (Abogado Alexánder Días) hablando sobre legislación en seguridad informática. (Porque no todo es malo lo que se ve en TV)
https://tinyurl.com/yeg6mda
Otro de los puntos que quiero resaltar es sobre las supuestas amenazas de identificación y rastreo por parte del joven Juan Fernando Jaramillo (supuestas por que no podemos dar completa fé de que él sea el autor de éstas.), quién manifestaba que pondría todo su empeño y conocimiento para rastrear a un personaje público en internet.
1 – Aclarar que si es posible publicar video extensos en google video y no solo en este servicio, sino que muchos otros de internet (vimeo, Seven Upload, etc..) Sería bueno ver la totalidad de dicho video. Este espacio está disponible para la publicación del mismo.
2 – Según vemos en el blog, el autor siempre firma como Lado Oscuro al inicio de sus post y como Carlos S. Alvarez al final de los mismos… No entiendo lo del afán de «descubrir» quien se «esconde» detrás de dicho seudónimo.
3 – Supongamos que sólo tenemos el nick Lado Oscuro, sabemos dónde publica y el medio utilizado y queremos obtener más información sobre dicha persona (esto suponiendo que no leímos el final de cada post y no veíamos el nombre del personaje).
Para ello utilizaremos google (una herramienta solo manejable por hackers de alto nivel):
Allí nos encontramos con el blog oficial del personaje y su verdadero nombre (Carlos S. Alvarez)
Esta información es más que suficiente para encontrar otros datos relacionados con una persona. Lo frustrante del «reto» es que en la misma página el autor siempre firmó con su verdadero nombre y nunca escodió su identidad como aseguraba la contraparte.
De todas maneras veamos que información podemos obtener con el nombre Carlos S. Alvarez, y la herramienta de alto nivel google (solo para h4x0rs) y una que otra utilidad en internet:
https://www.alfa-redi.org/miembro.shtml?x=1145
Con solo leer el primer párrafo podemos darnos cuenta que «este tío es la leche». Por tanto y si es ésta persona y todo lo que se dice allí es verdad, sólo podemos afirmar que Carlos Alvarez sabe de lo que habla en su blog.
Pero dejemos de lado a google, y veamos otra herramienta más entretenida y más gráfica.
Maltego
Es una herramienta para la obtención de información en internet que le permitirá visualizar las relaciones entre los resultados de las búsquedas. MALTEGO permitirá entonces enumerar la información referente a redes, dominios, personas, emails y datos personales. Algunos de estos datos son:
- Nombres de dominio
- Información WHOIS
- Nombres DNS
- Bloques de red
- Direcciones IP
- Dirección de correo electrónico asociada con un nombre de persona
- Sitios web asociados con un nombre de persona
- Números telefónicos asociados con un nombre de persona
- Grupos sociales que están asociados con un nombre de persona
- Compañías y organizaciones asociadas con un nombre de persona
- Hacer una verificación simple de las direcciones de correo electrónico
- Búsqueda de blogs y referencias por frases
- Identificar vínculos entrantes para sitios web
- Extraer metadatos desde archivos y fuentes de dominios
Veamos una consulta para el nombre Carlos S. Alvarez:
Según los resultados obtenidos y si la magia no miente podemos completar el nombre a Carlos Santiago Alvarez Cabrera.
Veamos entonces los resultados a una búsqueda para el nombre completo (relaciones entre ambos)
Finalmente veamos la relación entre todos los implicados (Carlos, Juan, ElTiempo y por supuesto Autopsy XD)
Es broma XD
No queda duda de la identidad de Carlos S. Alvarez, y se me hace extraño que Juan Jaramillo no conociera a este reconocido experto en Seguridad Informática de Colombia.
Ahora desde otros servicios en internet
https://www.spock.com/q/%5ECarlos-Santiago-Alvarez-Cabrera%5E
https://www.123people.com/s/carlos+santiago+alvarez+cabrera/world
Como conclusión a este «mi post Flame» XD sólo queda hacer un llamado a la mesura cuando nos manifestemos y nos expresemos en internet, muy poco de este contenido podrá ser eliminado y sólo quedará el sin sabor y arrepentimiento de lo dicho.
Como segunda y última conclusión vemos que tan sencillo puede ser el rastreo de una persona en internet y todo el abanico de herramientas disponibles para ello…
Muy pronto estaremos publicando un artículo en conjunto con un experto en el tema de rastreos/ubicación avanzados de personas en internet.
Además si está interesado en profundizar sobre temáticas relacionadas con el Análisis Forense Digital le invito a que desarrolle los laboratorios planteados en la sección Labs.
Articulo escrito por David Moreno (4v4t4r) para La Comunidad DragonJAR
David Moreno es Information Security Researcher con 10 años de experiencia en temáticas relacionadas con la Seguridad de la Información, Informática Forense, Ethical Hacking, Criptoanálisis y Análisis de Malware. Conferencista permanente en eventos nacionales e internacionales de seguridad informática
Es investigador especializado en la compañía DEFERO, donde realiza procedimientos avanzados en Test de Penetración, Identificación y Análisis de Vulnerabilidades, Investigaciones Forenses Digitales en conjunto con entidades del gobierno, analista de Malware y Criptoanálisis.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012). Este artículo aborda: Análisis del caso «Autopsy hecho en Medellín»
Tabla de Contenido
Lo que este caso enseña sobre OSINT (y qué cambió desde 2007)
Releído hoy, este artículo es una clase práctica de OSINT con las herramientas de su época: partir de un seudónimo, encontrar el blog, extraer el nombre real de las firmas al pie de cada post, pivotar a buscadores de personas y visualizar las relaciones en un grafo con Maltego. La metodología sigue siendo la misma que usamos en ejercicios de reconocimiento; lo que cambió son las fuentes. En nuestra experiencia, un pase básico de OSINT sobre un objetivo sigue este orden:
- Del nick a la identidad. Firmas, pies de página y metadatos delatan más que el contenido. Busque el mismo seudónimo en otros servicios: la reutilización de nombres de usuario es el error más común.
- De la identidad a la superficie. Agregadores de datos personales, registros públicos y redes sociales amplían el mapa. Todo lo que encuentre debe tratarse como pista, no como prueba: verifica en al menos dos fuentes independientes.
- De los datos al grafo. Herramientas de visualización de relaciones (Maltego y sus equivalentes actuales) convierten listas planas en conexiones: personas, dominios, correos, organizaciones.
Dos advertencias de practitioner: primera, haz OSINT solo sobre objetivos autorizados o información estrictamente pública, y documenta cada paso —en un caso real, la cadena de custodia de su propia investigación es tan importante como la evidencia—. Segunda, los servicios gratuitos de búsqueda de personas cambian, cierran o restringen resultados cada pocos años; los enlaces de 2007 de este artículo son un museo de esa rotación. La técnica perdura, las fuentes no.
Autopsy, casi dos décadas después: qué pasó con la herramienta
La broma del artículo original —que Autopsy terminaría siendo propiedad de Microsoft— no se cumplió: la herramienta sigue siendo open source. Autopsy fue desarrollada por Brian Carrier —investigador que lidera el equipo de forense digital de Basis Technology y autor de The Sleuth Kit y de Autopsy (SANS Institute)—; la versión 3 fue una reescritura completa financiada por Basis Technology (sleuthkit.org). Hoy su sitio oficial la describe como la plataforma forense open source de referencia, usada por cientos de miles de profesionales en fuerzas del orden, seguridad nacional, litigios e investigación corporativa (autopsy.com), y el equipo original continuó su trabajo en Sleuth Kit Labs.
Si le interesa el análisis forense, el camino serio empieza donde termina la curiosidad: imágenes de disco sobre las que practicar, cadena de custodia documentada, hashing para preservar integridad y reportes que un tercero pueda reproducir. Eso es lo que separa un análisis que entretiene de uno que sirve como evidencia.
El análisis forense digital: del caso curioso a la evidencia
Casos como el analizado aquí muestran el valor del análisis forense digital: reconstruir qué ocurrió en un sistema a partir de rastros —archivos borrados, registros, metadatos— exige método y herramientas adecuadas. Autopsy, como interfaz gráfica sobre The Sleuth Kit, sigue siendo una puerta de entrada sólida para aprender esos fundamentos: timeline de actividad, recuperación de archivos y análisis de artefactos del sistema.
En Colombia, el análisis forense dejó de ser un tema solo académico: las empresas lo necesitan cuando ocurre un incidente —para entender el alcance real de una intrusión, preservar la evidencia con cadena de custodia y tomar decisiones con datos, no con suposiciones. Un análisis improvisado destruye evidencia; uno metódico la convierte en respuestas.
Respuesta a incidentes con rigor forense
Si su organización sospecha de un incidente de seguridad, DragonJAR apoya con análisis forense digital y respuesta a incidentes: preservación de evidencia, reconstrucción de la línea de tiempo del ataque, determinación del alcance y recomendaciones para contener y recuperarse. Escríbanos para una llamada de descubrimiento sin costo.