domingo, 29 de marzo de 2020

Utilizando Open Graph protocol en la propagación de campañas de Ingeniería social en redes Sociales.




En esta entrada hablaremos de Open Graph protocol y como sus características pueden ser usadas como técnicas para la propagación de ataques de Ingeniería social a través de redes sociales, entre los más afectados se encuentran Facebook y sistemas de comunicación instantánea como WhatsApp entre otros.

Entendamos las bases


Empezaremos por conocer un poco de Open Graph protocol, es prácticamente una serie de metadatos estructurados que se pueden añadir a un archivo HTML que explica el contexto de su contenido, los convierten en objetos gráficos y toma el control de los fragmentos que se muestran cuando tus URLs se comparten en redes sociales como Facebook, Twitter, y también en sistemas de comunicación instantánea como WhatsApp.


Ingeniería Social, consiste en persuadir a una persona para influenciarla en sus acciones. En otras palabras, es la manipulación de personas influenciándolas a ejecutar determinada acción, que las lleva a ser víctimas de un delito informático.


Uno de los pioneros del la Ingeniería social es Kevin Mitnick considera que el factor que determina la seguridad del hardware y el software es el factor humano, ademas se establece 4 principios que afecta a todas las personas:

  • Todos queremos ayudar
  • Siempre, el primer movimiento hacia el otro, es de confianza
  • Evitamos decir NO
  • A todos nos gusta que nos alaben



Actualmente con todas las herramientas informáticas disponibles y la presencia de las redes sociales al alcance de cualquier persona, la posibilidad de realizar la propagación efectiva de ataques de Ingeniería social se facilita.



Manos a la obra.


Entonces como se puede utilizar Open Graph protocol, en la propagación de posibles ataques de Ingeniería social, para tener un enfoque practico definiré una posible situación real:


  • Propagación de una noticia bancaria falsa (Enfocado a redes sociales)



El atacante tiene un sitio web malicioso la cual es la imitación del portal bancario en la cual recolecta datos personales, la temática puede ser muchas como:

  • Regalar dinero a los clientes que se infecten del Covid-2019 (Noticias falsas actuales)
  • Actualización de datos bancarios (Ej. Estamos actualizando los datos por favor... ).
  • Premios sorpresas (Ej. Te ganaste un auto en un sorteo )



Entonces añadimos los siguientes metadatos a nuestra página web, la descripción completa y detallada de cada metadato se encuentra en https://ogp.me/.





Lo mencionado anteriormente, probaremos en una publicación en Facebook y en un mensaje de WhatsApp. En una publicación en Facebook se muestra lo siguiente.






En Facebook podemos ver que la vista preliminar de la web toma como referencia el metadato URL que asignamos, lo cual se puede tomar como una suplantación en la previsualización del sitio web bancario.


y no así la URL de la aplicación web real que es la siguiente.
  • http://demos.lorddemon.org/ingsocial/bank.html (sitio que contiene los metadatos)



En ataques reales se realizan el acortamiento de la url con Bit.ly o algún otro ademas de apoyar la temática mediante un texto descriptivo en la publicación.





En messenger se visualiza de la siguiente manera, en este sistema de mensajería instantánea se puede notar que también se puede llegar a suplantar la URL.





Si se envía el enlace en un mensaje por medio del sistema de mensajería instantánea WhatsApp se visualiza lo siguiente.





La implementación de Open Graph protocol en WhatsApp permite ser más descriptivo, los metadatos que se visualizan son:
  • Metadato que define la URL.


  • Metadato que define la imagen.

  • Metadato que define la descripción, que apoya a la temática que queremos brindar para que la victima entre al enlace.



Se puede resumir que si la campaña de ingeniería social se propaga por WhatsApp puede ser más efectivo que Facebook.



Recomendaciones para mitigar estos incidentes.


Se tiene que tomar en cuenta que todos podemos ser victimas de este tipo de incidentes, uno de los factores más aprovechados son las temáticas populares de actualidad. Así también los ataques enfocados a las personas que tienen información confidencial a su cargo (Banco, Gobierno, etc), normalmente tienen la temática sera más enfocada (promociones, comunicados internos, etc).

Por lo cual  se recomienda:
  • Tener sentido común 
  • Si ves un mensaje comunicarlo a un superior o al encargado de comunicación interna.
  • Si se detecta que es una intento de ataque de ingeniería social comunicar a todos los colaboradores de la empresa.
  • Si se usa un acortador de URL se recomienda usar un verificador de la URL que expanda esta, puede ser http://checkshorturl.com/.


Conclusiones


Open Graph protocol es una iniciativa interesante para enriquecer el entendimiento de una página web al momento de compartirlo en las diferentes redes sociales, aquí se demuestra que puede ser mal usada en la propagación de campañas de ingeniera social.


Referencias:

https://ogp.me/
https://www.welivesecurity.com/la-es/2014/05/21/tecnicas-ingenieria-social-evolucionaron-presta-atencion/

lunes, 2 de septiembre de 2019

Me llego un correo sospechoso, Puede ser Malware. ¡Verifiquemos !

Latinoamérica desde hace algunos años se volvió de gran interés a ojos de cibercriminales, en los últimos años están incrementando los vectores de ataques sobre todos los que son categorizados como ingeniera social.


Según El WARP (Warning Advice and Reporting Point) LACNIC es un Equipo Coordinador y Facilitador de manejo de incidentes de seguridad informática en la región de Latinoamérica y el caribe, el mes pasado julio del 2019, el tipo de incidentes que fue mayormente notificado tiene relación con ataques de ingeniera social ( Phising, Malware, Redirect, Pharming).


Porcentaje de Incidentes reportados en WARP LACNIC al mes de Julio del 2019



















Normalmente estos tipos de incidentes usan como medio de propagación los correos electrónicos en la cual se suplanta la identidad de una persona o una entidad con el fin de poder realizar algún tipo de acción que pueda ser de beneficio para el atacante.


Hace unos días mi amigo Rene Polo comento en redes sociales que recibió un correo de dudosa procedencia, a lo cual nos pusimos manos a la obra para analizarlo.



Acerca del Email:


Claramente se puede ver que el enviá el correo viene de un dominio algo dudoso, "Complaint Department <info@complaintdepartment.info" lo cual no esta acorde  al contenido del correo.


Acerca del Archivo Contenedor:

El correo tiene el fin de que te descargas un archivo que seria la "Notificación de Queja" el cual está alojado en un su subdominio de
sendgrid
.
net
, una vez descargado el archivo notamos que se trata de un archivo
.
ZIP



El siguiente paso seria desempaquetar el archivo para ver su contenido, esto lo realizamos con el comando unzip de la siguiente manera.



Podemos ver el contenido extraído del .ZIP es un archivo con el nombre de:
"135789.pdf.bat"

El cual se le puede notar que presenta 2 extensiones, pdf y bat. Esto implica que se si realiza doble clic a este archivo este ejecutara su contenido ya que se trara de un archivo batch que es un archivo de procesamiento por lotes, el pdf es solo para que el usuario se encuentre más convencido de abrir el archivo.

Viendo el contenido del archivo.


El archivo Batch lo que realiza es utilizar las funciones de Powershell para descargar un archivo  JS del dominio "hxxp://johnmedina-001-site1.ftempurl.com/crr1.js"  el cual lo almacena en "C:\Users\Public\crr1.js" y posteriormente lo ejecuta.


Acerca del Archivo JS:


Para analizar el archivo "crr1.js" lo descargamos y analizamos el archivo.


En la imagen anterior podemos ver que se trata de un archivo de texto plano, (ASCII)  de tamaño de "360 K" (bastante grande para ser texto plano) que contiene alrededor de 368312 caracteres y tiene 11 lineas.




La anterior captura es solo una parte del contenido, pero basta para demostrar que el contenido se encuentra ofuscado.





























En la anterior figura se puede ver que el archivo interactuá con el Registro de Sistema en Windows, con registros especiales como que se iniciara cuando el inicio del sistema "HKCU\SOFTWARE\Microsoft\Run\"  ademas algunas secciones están codificadas en hexadecimal, todo un gran trabajo que lo dejaremos para la siguiente entrada de Blog(o eso espero).


Conclusiones y Recomendaciones:

- El uso de email para incitar a la descarga de archivos maliciosos es muy usado se recomienda analizar factores como el "Remitente",  el contenido del cuerpo sea coherente, si contiene archivos adjuntos o enlaces a estos archivos analizar las propiedades del archivo  y si es posible contactarse con la persona que le envió el email para verificar la procedencia.

- Es recomendable usar Sistemas de Antivirus Actualizados, aunque algunas casas de antivirus no lo detecten, según virus total solo 7 de 55 antivirus lo detectan lo cual es interesante ya que su codificación no fue detectada.





Agradecimiento a Rene polo por enviarme los detalles necesarios para realizar este análisis, comentar que todo fue realizado bajo Sistema Operativo GNU/Linux Fedora. 


Muchas gracias por su tiempo de lectura.