Cybersecurity Summer Bootcamp 19 junio 2017, León

¿YO?

•  Simón Roses Femerling •  Licenciado en Informática (Suffolk University), Postgrado E-Commerce (Harvard University) y Executive MBA (IE Business School)

•  Fundador & CEO, VULNEX www.vulnex.com •  Blog: www.simonroses.com

•  @simonroses | @vulnexsl •  Ex: Microsoft, PwC, @Stake

•  Beca del DARPA Cyber Fast Track (CFT) para investigar sobre seguridad en el ciclo de desarrollo de software

http://www.simonroses.com/es/2014/06/mi-visita-al-pentagono/ •  Ponente: Black Hat, DEFCON, RSA, HITB, OWASP, AppSec USA, SOURCE, DeepSec,

TECHNET, CyberCamp

•  CEH, CISSP & CSSLP

II CYBERSECURITY SUMMER BOOTCAMP

OBJETIVOS DE LA CHARLA

•  Conocer tecnologías ofensivas

•  ¿Cómo y por dónde nos atacan?

AGENDA

1. Bárbaros a las puertas

2. Dispositivos Hacker con estilo

3. Hora del cambio

1. BÁRBAROS A LAS PUERTAS

PERFIL DE LOS ATACANTES

Atacante Casual

Empleados / Internos

Hacktivistas

Atacante Económico /

Crimen

Atacante Estado-Nación

+

Seguridad

-

YIN Y YANG OFENSIVO

ATAQUES 2016 - 2017

•  2016 •  LinkedIn, tumblr, MySpace (+500 mil usuarios) •  Democratic National Convention (DNC) •  YAHOO •  DYN (Mirai)

•  2017 •  WannaCry •  Petya

DETECCIÓN DE ATAQUES

•  2012

•  Los ataques pasaron desapercibidos una media de 416 días

•  2016

•  FireEye •  media de 146 días •  EMEA: 469 días

•  Trustwave •  81% intrusiones no

detectadas por el equipo interno

APT: AMENAZAS AVANZADAS PERSISTENTES

•  Los APT han conseguido comprometer la seguridad de muchas organizaciones (1000 Fortune)

•  Utilizan una amplia variedad de ataques y estrategias: •  Ingeniería social •  Exploits •  Phishing •  Troyanos

•  Su objetivo es mantener persistencia y anonimato con el fin de robar durante todo el máximo tiempo posible:

•  Correos electrónicos •  Documentos

•  Atacan desde lugares seguros

APT CARACTERÍSTICAS

•  “Sofisticados”

•  Organizados en equipos (programadores, testers, jefes de proyectos, pentesters, etc.)

•  Profesionales / Trabajo •  Acceso a recursos

•  No tienen miedo a ser detectados

“AUDITORÍA CONTINUA INVERSA”

•  “Cualquier sistema informático conectado a

Internet es auditado al menos una vez a la semana por algún actor”

•  Hola!!!

SEGURIDAD EN LAS ORGANIZACIONES

EL ESLABÓN MAS DÉBIL: EL USUARIO

INTERNET DE LAS COSAS: HERRAMIENTA DE ATAQUE

¿SEGURIDAD PARA CUÁNDO?

2. DISPOSITIVOS HACKER CON ESTILO

¿QUIÉN UTILIZA ESTAS TECNOLOGÍAS?

•  Buenos –  Pentesters –  Red Teams –  Equipos de seguridad –  Hackers

•  Feos

•  Malos –  Ciber-criminales

PENETRATION TESTING EXECUTION STANDARD (PTES)

Pre-engagement Interactions

Intelligence Gathering

Threat Modeling

Vulnerability Analysis Exploitation Post

Exploitation

Reporting

http://www.pentest-standard.org/

RED TEAM LIFECYCLE

NO HABLAREMOS

•  Ingeniería social

•  Free Jail Card

•  Ataques web, móviles, etc.

DEPOSITAR USB (USB DROP)

•  Dejar tirados USB para conseguir acceso

•  Documentos con macros

•  PowerShell

DISPOSITIVOS MEDIA MALICIOSOS

•  Evolución del USB Drop

•  Requieren Internet / WIFI

•  Perfectos para puertas traseras

GANZÚAS (LOCK PICKS)

SALTARSE AUTENTICACIÓN

•  Arrancar equipo con USB / CD –  Kon-Boot –  Ophcrack –  Offline NT Password & Registry

Editor –  Trinity Rescue Kit

•  Acceso completo al sistema

•  No funciona en discos cifrados

WIFI KEYLOGGER

•  Perfectos para conseguir acceso

•  Pasan desapercibidos

CLONAR RFID

•  Demasiada confianza en la seguridad de dispositivos RFID (muchos dispositivos y protocolos diferentes)

•  Etiquetas, controles de acceso, etc.

•  Existen diversos y portables dispositivos para clonar RFID

BLEKEY

•  Bluetooth Low Energy (BLE) para protocolo Wiegand

•  Sistemas de tarjeta de proximidad

•  Una app en Android permite reenviar la señal capturada

https://github.com/linklayer/BLEKey

PROXMARK III

•  Esnifar, leer y clonar RFID

•  Alimentación por USB

•  Compatible con Kali Linux

http://www.proxmark.org/

BISHOP FOX TASTIC

•  Larga distancia lectura de RFID

•  Soporta diferentes productos

•  3 pies distancia (1 metro)

https://www.bishopfox.com/resources/tools/rfid-hacking/attack-tools/

RADIO DEFINIDA POR SOFTWARE (SDR)

•  Radio Hard+Soft

•  Coste bajo ($20 - $1000+)

•  Nuevo terreno para los hackers

APLICACIONES DE UN SDR

•  Radio •  Monitorizar barcos, aviones, etc. •  Drones •  GSM (capturar, montar red GSM,

etc.) •  GPS •  IoT

RADIO DEFINIDA POR SOFTWARE (SDR)

CELDA FALSA CAMUFLADA

•  Monitorización de teléfonos móviles

PENTESTING DROPBOX

•  Completo sistema de pentesting funcional dentro la org

•  Canal de comunicación bidireccional

•  Control remoto (WIFI, GSM, etc.)

•  Desapercibido

PENTESTING DROPBOX – RASPBERRY PI

PENTESTING DROPBOX – ODROID

MALETIN (AKA BALÓN)

PENTESTING DROPBOX – INTEL NUC

DEMO: PENTESTING DROPBOX

WIFI PINEAPPLE

•  Plataforma de auditoría WIFI –  MITM –  Inyección –  Monitorización

•  Fácil, portable y barato

•  Módulos

•  Comenzó en 2008: 6 generaciones

WIFI PINEAPPLE: LA FAMILIA

DEMO: WIFI PINEAPPLE

POISON TAP

•  Obtiene cookies, expone routers e instala backdoor en ordenadores bloqueados

•  Raspberry Pi Zero / Bash Bunny

https://samy.pl/poisontap/

LAN TURTLE

•  Adaptador USB Ethernet genérico con capacidades: – Acceso remoto – Escaneo de redes – MITM monitorización

•  Módulos

ATAQUES HID

•  USB-HID (Human Interface Device) – teclados, ratones, etc.

•  Dispositivos maliciosos que simulan HID y son capaces de enviar cientos / miles de teclas en poco tiempo

–  Teensy –  USB Rubber Ducky –  Bash Bunny

TEENSY Y USB RUBBER DUCKY

BASH BUNNY

•  Plataforma avanzada de ataque USB

•  Emula –  Ethernet gigabyte –  Puerto serie –  Disco flash –  Teclado

•  Ataques –  Exfiltra información –  Robo credenciales –  Instalar backdoors –  Inteligencia

•  Soporta Windows, Linux y MacOS

DEMO: BASH BUNNY

KALI NETHUNTER

•  Kali Linux en el bolsillo – Móviles: Nexus y OnePlus – Tabletas Nexus

•  Amplia capacidad de ataques – HID (Teensy / Rubber

Ducky) – BadUSB – AP malicioso –  Inyección WIFI – Soporte SDR (HackRF)

POWER PWN

•  Financiada por DARPA CFT

•  Regleta ofensiva – WIFI – Bluetooth – Red

•  GSM para C&C

DRONES OFENSIVOS

•  Drones equipados para romper la seguridad:

– SDR: RTL-SDR y HackRF – Wifi Pineapple – Raspberry Pi

DANGER DRONE

•  Drone diseñado para pentesting (Open Source)

https://www.bishopfox.com/resources/tools/drones-penetration-testers/attack-tools/

INFRAESTRUCTURA OFENSIVA: LA NUBE

•  Nube: infraestructura ofensiva perfecta – C&C – Inteligencia – Ataques

•  Fácil y barato

PROVEEDORES CLOUD

•  Precio de salida: $5 / mes

•  Kali Linux

•  Se permite pentesting

•  Automatización

LA VERDAD ESTÁ AHÍ FUERA

SEXY CYBORG

SEXY CYBORG II

https://www.youtube.com/watch?v=RTS3xYp-UJM

MR. ROBOT

•  Ganzúas (Lock Picks)

•  Depositar USB

•  Bluetooth

•  Clonar RFID

•  USB Rubby Ducky

•  Pentesting Dropbox (Raspberry PI) - Climatización

•  Multitud de herramientas hacking

SILICON VALLEY TV SHOW

NSA VS NSA PLAYSET

•  NSA Playset

•  Inspirado en el catálogo de la NSA

•  https://en.wikipedia.org/wiki/NSA_ANT_catalog

•  http://www.nsaplayset.org/

MICRO GSM (ESCONDIDO DENTRO ENCHUFE HOTEL EN UK)

SANTANDER / BARCLAYS HACK

•  Sept 2013, UK

•  Instalación de un switch KVM (Keyboard, Monitor & Mouse) haciéndose pasar por técnicos

•  http://www.mirror.co.uk/news/uk-news/santander-hacking-plot-how-gang-2271350

DRONES

Dos cuchillas, móvil, 5.3 gramos marihuana, 0.8 gramos de meta y 1 gramo de heroína (Oklahoma Prisiones) http://www.businessinsider.com/r-drone-likely-aided-south-carolina-prisoners-escape-officials-2017-7

3. LA HORA DEL CAMBIO

ORGANIZACIONES:

NUESTRA INFORMACIÓN

–  ¿Dónde se encuentra?

–  ¿Clasificación?

–  ¿Valor?

MEJORAS DE LA SEGURIDAD

Personas

Procesos

Tecnología

ESTRATEGIA DE SEGURIDAD: VISIBILIDAD

•  Equipo dedicado 100% seguridad: defensivo y conocimientos básicos ofensivos

•  Formación: fundamentos de seguridad

•  “Defensas activas”

•  Postura de seguridad: software

•  Desarrollo seguro

•  Mayor uso de seguridad Open Source

EQUIPO

DEFENSAS ACTIVAS

•  NO “ATACAR AL ATACANTE”

•  Pero sí:

–  Honeypots

–  Gasto de recursos

–  Detección y localización

TECNOLOGÍA SEGURIDAD: COMERCIAL Y OPEN SOURCE

COMERCIAL OPEN SOURCE

SEGURIDAD ACTIVA

•  La seguridad tiende a ser un modelo pasivo, ¡pero es hora de ser activos!

ESTRATEGIA DE SEGURIDAD

•  Prevención

•  Detección

•  Engaño

Q&A

•  ¡Gracias!

•  ¡Cervezas y copas son bienvenidas!

•  @simonroses •  @vulnexsl

•  www.vulnex.com •  www.simonroses.com