Secretos en Red (I de VII)

Así se llamaba la última sesión de la Gira Technet de Seguridad que se ha realizado de septiembre a Octubre de 2006. En esa gira hemos pasado por 8 ciudades que nos han “aguantado” durante al menos una mañana. Ahora el Cervi está con su niña preocupado por la seguridad y el LOVE (Lanzamiento de Office, Vista y Exchange) mientras que yo sigo con el SEX (Security Enhanced eXperience)XD.

En dicha sesión intentamos, una vez, concienciar a los asistentes de los peligros de no tener una infraestructura de PKI desplegada, en este caso, atacando a los sistemas de comunicación más comunes utilizados hoy por hoy. En este documento solo quiero reflejar el trabajo que se ha realizado para preparar estas demos y como se pueden replantear dichas demostraciones. Son 7, así que patience, que las iré poniendo poco a poco.

Demo 1: Chateando en red

La primera de las demos trata de capturar las conversaciones que se producen mediante la transmisión de mensajes de texto con el cliente MSN Messenger (cualquiera de sus versiones). Es importante no confundir el MSN Messenger, o Windows Live Messenger, ahora con las versiones Comunicator, que son los clientes empresariales de Live Comunications Server, servidor de Microsoft para comunicaciones de Voz sobre IP y mensajería instantánea, es decir, servicios Messenger pero en la empresa.

La aclaración entre MNS Messenger o Windows Live Messenger y su versión empresarial radica en la imposibilidad de poder interpretar, que no capturar, los mensajes que se transmiten en la versión empresarial ya que estos se envían cifrados.

El entorno de esta demo es el siguiente. La victima se encuentra en la misma red que el atacante, es decir, es un ataque que se produce aprovechándose de fallos en la seguridad de la red local. El objetivo del atacante es capturar e interpretar los mensajes de Messenger que alguien esta transmitiendo, para ello lo primero es conseguir que el tráfico de red pase por su equipo. Formas de conseguir esto:

1.- Red Wireless: En una red Wireless los mensajes que un cliente envía llegan a todos los equipos que se encuentren en la misma distancia, independientemente de si los receptores están o no dados de alta en la red. Si la red utiliza cifrado WEP o directamente no utiliza nada, un atacante podría, sin necesidad de conectarse a la red capturar los mensajes de Messenger. Si la red usa WPA o se ha desplegado una infraestructura de PKI este ataque no se puede realizar.

2.- Red local con Hub: En este caso el atacante se aprovecha de que los hubs por defecto envían los mensajes a todos los puertos del mismo, es decir, el mensaje que un cliente envía a otro equipo es enviado a todos los destinatarios y solo lo procesará aquel cuya MAC sea la de destino. Esto propicia a un atacante a activar el modo promiscuo de la tarjeta y capturar y procesar los mensajes que no vayan destinados a él. Existen en el mercado una evolución de los hubs que lo que hacen es filtrar quien es el destinatario y por los puertos de los No destinatarios envían ruido, ¿por qué envían ruido en lugar de no enviar nada como hace un Switch? Pues porque no tienen suficiente memoria para gestionar correctamente las comunicaciones concurrentes cruzadas en él y por tanto al transmitir ruido se garantiza el uso de la gestión de control CSMA/CD como en los hubs tradicionales. Si el Hub es un hub que emite ruido el ataque se realiza igual que en el punto 3.

3.- Red local con Switch: en este entorno nos encontramos con una rede switcheada que no ha desplegado una infraestructura de PKI. Para realizar este ataque el atacante se aprovecha de los ataques de envenenamiento ARP (Poisoning ARP) o de Robo de Puerto (Port Stealing) para conseguir que las comunicaciones pasen por su equipo. Programas como CAIN o Ettercap posibilitan este tipo de ataques. Este tipo de ataque se puede detectar mediante el uso de sistemas de detección de intrusos.

Vale, el objetivo uno es conseguir que el tráfico pase por la máquina del atacante. En cualquiera de eso tres entornos se puede conseguir. Una vez que se ha conseguido que el tráfico pase por el equipo solo hay que activar el sniffer para realizar una captura del tráfico. Cualquier Sniffer valdría, Iris, Ethereal, wireshark, SnifferPro, etc… y podemos buscar los mensajes transmitidos. En el caso del Messenger nos encontramos con un protocolo que a priori no es público y que además ha tenido variaciones a lo largo de las diferentes versiones del producto, pero que en el caso de los mensajes de texto está bastante documentadito y la mayoría de los sniffers detectan los paquetes y se pueden leer. No obstante, si queremos una tool más sencilla podemos utilizar el Shadow Instant Messages Sniffer de la empresa Safety-lab.com, responsables también de, para mi, la "bestia parda" en los Scanners de vulnerabilidades durante bastante tiempo (ahora lo dudo) Shadow Security Scanner (SSS) evolución de la hacking Tool Shadow Scanner.

Shadow IM Sniffer funciona con las librerias Winpcap, luego, podemos hacer el envenenamiento con CAIN del equipo al que se quiere espiar la conversación y luego arrancar SIMS y simplemente ir leyendo los mensajes.

El script de una demo como Prueba de Concepto sería tan sencillo como:

1) Arrancar dos clientes Messenger con dos sesiones de usuario
2) Envenenar la conexión de una de las máquinas con la puerta de enlace de conexión a Internet. Los mensajes van a través de los servidores de MSN a pesar de que estén en red de área local, por eso se hace con la puerta de enlace.
3) En la máquina atacante que está envenenado se arranca SIMS y se leen las conversaciones.

Nota: Durante el proceso de autenticación de un usuario en los servidores Messenger se realiza una autenticación de la máquina servidora, luego no se envían credenciales hasta que no se ha comprobado quien es la máquina receptora. Esto impide que ningún cliente se logue en el sistema si alguien está en medio.