La puerta trasera

Esto es lo que pasa cuando alguien tiene un Blog de investigación basado en leer cosas de Internet y no tener ni puta idea de Seguridad Informática.

Todos habréis oido, o leído, sobre la famosa "puerta trasera" que el equipo de Spectra "ha abierto" a los cuerpos de seguridad del estado para que investigen sobre que películas porno te has bajado, con quién chateas en el messenger o si tienes pagada la licencia del Office 2003.

Esa supuesta "puerta trasera" no son más que un recopilatorio de herramientas de análisis forense tuneadas para ayudar en la labor a un profesional que tiene que hacer un análisis forense Online de una máquina. Sí, el "Computer Online Forensic Evidence Extractor"es un conjunto de herramientas, las cuales tuve la oportunidad de ver en vivo hace ya más de tres años (sí, una versión mucho más vieja) en un MVP Security Summit en RedMon, que lo único que recogen es la información que cualquier analista recogería.

Yo vi "la puerta trasera" en acción para detectar un malware y hacía cosas "tan fraudulentas y malosas" como sacar las conexiones TCP/UDP, como mirar la tabla caché de direcciones ARP, como sacar listados de los ficheros más importantes del sistema ordenados por fechas, buscar archivos en cachés, listados de procesos (esto debe ser muy chungo), etc... Luego lo metían en una herramientita que hacía cosas malas, como ordenar por fechas, por procesos, por accesos, etc... y en mi caso, descubrir como un bicho se había colado en la papelera de reciclaje de forma oculta.

Sólo cosas que un analísta, con permisos de administración de una máquina, puede buscar Online. Sí, la O de Cofee es Online e implica acceso a comandos a nivel de administración. Podría haber sido O de Offline y realizar lo mismo que miles de herramientas realizan Offline, como por ejemplo copiar el pagefile, ordenar por fechas, buscar ficheros en caché, sacar los procesos de la memoria RAM, etc..., pero no es el caso. (Aunque me ha parecido oir en un rincón que hay gente en Spectra que tiene pendrives con herramientas de análisis forense offline y le llama CÖFEE...o tal vez no).

Para todos los fantasticos que buscan el fin de la encriptación, sólo quisiera recordaros que, si la máquina está arrancada... Bitlocker ya desencripta el disco duro, pues, como muchos sabéis (algún técnicoless aún no) Bitlocker protege el sistema contra atáques, y análisis forenses, Offline.

No creo que haya que justificar que un equipo de seguridad recapitule un montón de herramientas forenses en un pendrive y se lo entregue a alguien (creo que existen cientos de distros y conjuntos de herramientas para auditoría y análisis forense en Internet tanto para Windows como para Linux), pero en mi opinión creo que lo único que ha hecho el equipo de seguridad es intentar ayudar a los analistas forenses que tan puteados se encuentran (y lo digo con conocimiento de causa..) con el análisis forense offline de las máquinas con Bitlocker porqué... NO, tampoco hay una "puerta trasera" (cómo muchos especulaban) que Spectra haya dado a ningún país/estado/dictadura/Republica_Independiente_de_mi_casa que permita descifrar el Bitlocker de forma automática.

Sin embargo, los técnicoless de turno, los bloggers de postín y mal follamiento, los amantes de la conspiranóia que Investigan/Opinan y se kriptonizan cuando se encuentran con palabros complejos como FORENSE ONLINE, rápidamente descubren "la puerta trasera de Windows". Por favor, como seguro que ya estará en algún sitio publicada (a pesar de ir bajo NDA, como el que tienen los MVPs), que alguien haga un debugger en ASM y publique... "LA PUERTA TRASERA".

Yo recuerdo una película que me gustaba que también tenía una puerta, se llamaba... "Detrás de la Puerta Verde" y ahí si que vi meter cosas por la puerta trasera.

PD: ¡Qué triste ver cómo muchos copian y pegan las mismas tonterías!

Saludos Malignos!