La pasada semana se celebró la
VI Edición de Navaja Negra y mi compañero de
ElevenPathsRafa Sánchez y yo tuvimos el honor de estar allí para dar una charla. El tema que estuvimos mirando es conocido por muchos, pero quisimos ahondar en el tema motivacional de los ataques y reflejar el nivel de exposición de ciertos servicios que pueden acabar siendo críticos. Además, algo llamaba la atención entre la gente que se juntó en
Navaja Negra y era eso de la
‘Gallina Ciega’.
![]() |
| Figura 1: Hacking de dispositivos a nivel mundial jugando a la "Gallinita Ciega" |
¿Qué es jugar a la
Gallinita Ciega en términos de
hacking? Según el libro
Got Root, la
Gallinita Ciega es realizar una acción de elección de forma aleatoria, tras la cual la motivación de la acción viene determinada por un simple hecho de exposición. En otras palabras, da igual a quién pertenezca esa dirección
IP, esa máquina o esa aplicación/servicio, lo importante es que puedo hackearte y te elijo a ti. En la imagen se puede visualizar parte del diálogo de
Got Root, psicóloga y paciente.
![]() |
| Figura 2: Dialogo en Got Root sobre la "Gallinita Ciega" |
Teniendo claro este sencillo concepto estuvimos revisando diversos informes de varias empresas en el que hablan de la motivación de los atacantes a la hora de llevar a cabo sus acciones. De primeras, sabíamos por informes antiguos que la mayoría de acciones delictivas se realizan sin importar el por qué, el quién eres y el qué tienes. En otras palabras, y tal y como refleja el estudio e informe de
IBM–
Cyber Security Intelligence Index de 2015 -, el
49% de los atacantes tiene una motivación “
opportunistic”, es decir, sufren una motivación
expositiva. La motivación expositiva o por exposición es la motivación que sufre un atacante al descubrir máquinas, servicios o aplicaciones potencialmente vulnerables, sin seguridad o con configuraciones erróneas o débiles.
En la charla, ejemplificamos esta motivación expositiva con el hecho de entrar a una discoteca plagada de personas, los ojos pueden seguir a ciertas curvas. La exposición es clara y llama la atención de las personas y, volviendo al ámbito informático, está claro que muchos atacantes no dejan pasar la oportunidad por exposición.
![]() |
| Figura 3: Motivación para realizar un ataque |
El
23% de las motivaciones son de tipo industrial, espionaje, política, etcétera. En la charla comentamos el ejemplo de los hackers rusos que están haciendo “
temblar” el sistema de voto electrónico de
Estados Unidos y ha sembrado la duda sobre la democracia en dicho país. El
15% pertenece a los
insiders y como ejemplo tenemos el caso de
Ashley Madison y los
Panamá Papers.
Por último, el
7% de las motivaciones pertenecen a actos de activismo social o desobediencia. Una vez dicho esto y viendo que la realización de los ataques viene de la mano de la oportunidad más que de ataques pensados y planificados quisimos ahondar en los tipos de descubrimiento o
Discovery y en cómo juegan un papel fundamental según el objetivo final del atacante. Enumeramos una serie de objetivos detrás de la motivación:
• Diversión
• Aprendizaje
• Por “joder”
• Económica o monetizable
• Aprendizaje más avanzado
• Etcétera.
Necesitamos direcciones IP En primer lugar, y antes de lanzar escaneos a todo
IPv4 se puede aprovechar ciertas cosas y entender otros conceptos. El caso de los
RIRs. Los
RIR son los encargados de gestionar los rangos de red que hay en el mundo, diferenciados por continentes.
![]() |
| Figura 4: Registradores de regiones |
Como ejemplo de la información que se puede obtener de estos organismos encargados del registro de direcciones
IP analizamos el reciente incidente del
TLD (Top Level Domain) de
Korea del Norte. Un error en el
DNS del dominio
.kp provocó una transferencia de zona que propició que supiéramos todos los dominios que cuelgan de
.kp, y aunque puede parecer que existan muchos, solo
28 dominios se ofrecen de
Korea del Norte al exterior. Por supuesto, la teoría
conspiranoica cobra fuerza, pensando que dentro del país tiene su pequeño
Internet.
![]() |
| Figura 5: Dominios .kp |
Este es solo un ejemplo de que conseguir direcciones
IP de máquinas se puede lograr de muchas maneras, incluso no usando la “
fuerza bruta” y escanear todo
IPv4. En la siguiente dirección
URL encontramos el
listando de AS que conectan proveedores con otros y podemos saber el número de redes de las que disponen los proveedores. En el caso de
Korea del Norte nos encontramos solo
3 redes con máscara “
/24” para todo el país. Solo una palabra:
Raro.
![]() |
| Figura 6: Redes en los Autonomous Systems |
Encontrar rangos de redes de proveedores y países es algo realmente interesante. Es una forma lógica de hacer las cosas, pero si aun así no encontramos cosas interesantes podemos tirar de
Discovery bruto.
ZMap es una herramienta interesante que proporciona la posibilidad de recorrer todo el espectro de
IPv4 en un tiempo muy razonable. Por otro lado, también comentamos que haciendo
hacking con buscadores con motores como
Shodan o
Censys realizan esos escaneos en bruto, para ofrecer la información a los usuarios que así lo quieran. Es un
Discovery pasivo y rápido.
Por último, quisimos hacer hincapié en el mundo
IPv6 y su “
difícil” descubrimiento.
MrLooquer es un servicio, creado por el propio
Rafa, junto a
Fran Gómez, con el que realizan una fase de descubrimiento más un proceso de
banner grabbing e identificación de servicios. Quisimos destacar el concepto de
Dual Stack, y es que hoy día las empresas pueden tener sus máquinas y servicios conectados tanto a
IPv4 como a
IPv6 - y por lo que los
ataques de redes de datos suceden en IPv4 & IPv6 -.
![]() |
| Figura 7: MrLooquer |
Hay ejemplos curiosos en los que podemos ver como una máquina conectada a
IPv4 e
IPv6 no tiene los mismos puertos en las diferentes “
stacks”. Esto es interesante, ya que para muchos
IPv6 es más seguro que
IPv4 por el simple hecho de ser más difícil de “
encontrar” una dirección
IP. Esta afirmación es totalmente errónea, ya que estaríamos cayendo en el concepto de
Seguridad por Oscuridad, lo cual nos llevaría al error.
En un ejemplo que mostramos pudimos ver como una máquina conectada a
IPv4 disponía de los puertos
80 y
21 abiertos, mientras que en
IPv6 tenía el
21,
80 y
3306. Es cierto que hay una prueba realizada por
un investigador que configuró una máquina con SSH, usuario “root” y contraseña “password” en IPv4 y en IPv6. En
IPv4 tardaron
12 minutos en encontrar la máquina, lanzar fuerza bruta y comprometer la máquina. En el caso de
IPv6 no se llegó a localizar la dirección
IPv6, por lo que ni mucho menos se llegó a comprometer. Es cierto que puede dar una sensación de seguridad, pero solo es seguridad por oscuridad.
Aplicando un “algo” más Estas formas de descubrimiento nos permiten conocer máquinas y servicios expuestos en
Internet. Muchas de estas máquinas tienen configuraciones erróneas, servicios abiertos y sin autenticación, etcétera. El nivel de exposición es enorme, y cualquier que pase por ahí puede observar y manipular lo que hay dentro.
![]() |
| Figura 8: Resultados en Julio de 2015 |
¿Y si tenemos la información de máquinas y servicios y podemos detectar vulnerabilidades potenciales? Hablamos de la ponencia “
Cómo los malos pueden conquistar el mundo” y mostramos los resultados que se obtuvieron en
IPv4 y que se actualizaron el pasado agosto.
![]() |
| Figura 9: Resultados en Agosto 2016 |
Hicimos una prueba en
IPv6. Utilizando la
API de
MrLooquer y escribiendo un script en
Ruby que pudiera detectar las versiones vulnerables de algún
software elegido pudimos sacar conclusiones. Detectamos más de
300.000 máquinas con
ProFTPd, pero solo
39 máquinas con la versión que queríamos la
1.3.3c, para la que tenemos
exploit público. En comparación con
IPv4 los números quedaron lejos.
Encontrando pantallasEl artículo
Hacking de taxímetros en España vía
Shodan de
Diego Soto nos llamó mucho la atención. Además, tuvimos la suerte de conocerle en
Navaja Negra. Realizamos algunas pruebas basándonos en rangos de redes, como algoritmo o pasos a seguir hicimos:
- Rango de red IPv4 / 16
- Buscar con ZMap puertos 6000 abiertos
- Sobre esas direcciones IP con puerto 6000, es decir servicio X11, abierto lanzar nmap con el script de NSE x11-access, el cual nos indica si ese servidor X11 tiene autenticación o no.
Se descubrieron, tanto en
IPv4 como en
IPv6, bastantes máquinas con
X11 abierto y sin autenticación. Con la herramienta
xwd se pueden hacer
screenshots sobre dichas máquinas, pero esto lo dejaremos para la gente que asistió a la charla. Además, uno de los elementos pudo ser relacionado con su
hardware en el mundo físico, incluso se pudo saber si tenía matrícula o si seguía algún tipo de ruta.
![]() |
| Figura 10: Un taxímetro con X11 abierto |
Por otro lado, si se pueden sacar
screenshots se pueden ejecutar acciones de forma remota gracias a
X11. La herramienta
xdotool permite ejecutar pulsaciones de teclado, eventos de ratón, etcétera.
Para ejemplificar el peligro, sin poner a nadie en riesgo, se montó un escenario totalmente real. Una máquina
Ubuntu con un servidor
X11 expuesto al exterior y sin autenticación. Cabe destacar que la configuración por defecto en la instalación de un
Linux es la contraria a la expuesta, pero existe gran cantidad de máquinas en
Internet, por alguna razón, con esta horrible configuración. Ideas:
- Con xdotool crearnos un Remote “Rubber Ducky”.
Figura 11: Controlar el teclado y el ratón de un servidor X11 expuesto en Internet
- Pulsar partes de una GUI y llevar a cabo acciones.
- Proporcionar una shell inversa abriendo un terminal y ejecutando nc.
Figura 12: Ejecutar una shell remota inyectando scripts
- En definitiva, control total sobre el sistema con X11 expuesto, con la ACL habilitada para cualquier ubicación y sin autenticar.
Figura 13: Control remoto de una aplicación gráfica
Por último, también realizamos un análisis de
VNC. No pensábamos que obtendríamos tantos resultados positivos.
Shodan incorpora una aplicación para poder ver todos los
VNC abiertos y sin autenticación que están expuestos en
IPv4. Preferimos no mostrar lo visto o lo expuesto en Navaja Negra, pero si estás interesado visita:
images.shodan.io.
ConclusionesLas conclusiones preferimos enumerarlas y que sirviesen de resumen de la charla. A día de hoy seguimos opinando igual:
- No pasan más cosas porque no queréis.
- La motivación expositiva existe y tiene un condicionante claro: la facilidad de accesibilidad. Cualquier, con un conocimiento mínimo, puede aprovecharse, en muchas ocasiones de dicha exposición.
- La información, sistemas, servicios y aplicaciones están ahí fuera, en Internet, sol ohay que saber por dónde y cómo buscar.
- En la charla se ha visto que no todo es encontrar máquinas que exponen servicios sin exposición. Además, existen máquinas potencialmente vulnerables o que disponen de configuraciones de seguridad muy débiles.
- El concepto de ‘Gallinita Ciega’ existe y consiste en la exposición y en la elección aleatoria.
Autor: Pablo González Pérez (@pablogonzalezpe)Escritor de los libros "Metasploit para Pentesters", "Ethical Hacking", "Got Root" y “Pentesting con Powershell”
