BlackHat Europe 2021 Arsenal: aDLL & on-the-fly by Ideas Locas

Nos gusta trabajar en herramientas que pueden ayudar a la comunidad, que puedan ser usadas por ella y mejoradas por ella. Nos gusta trabajar en soluciones a problemas que tenemos y poder aportar nuestro granito de arena. Llevamos unos años teniendo la suerte de estar en las conferencias más importantes y es algo que nos motiva mucho, no es fácil mantenerse en un mundo con tanto talento y el equipo siempre da el máximo.

Figura 1: BlackHat Europe 2021 Arsenal: aDLL & on-the-fly by Ideas Locas

En 2017 llamamos a la puerta de BlackHat Europe con uac-a-mola y allí estuvimos conociendo una de las mejores conferencias del mundo. En 2018 publicamos iBombShell y estuvimos en BlackHat Europe con ella. En 2019 llegamos a BlackHat Europe con HomePwn, la navaja suiza del pentest IoT. En 2020 nos decidimos a dar el salto a BlackHat USA y llegamos allí con ATTPwn (también en DefCon). 

Figura 2: Libro de Ethical Hacking 2ª Edición

Este año hemos trabajado en dos herramientas que, al menos para nosotros, son interesantes y aportan funcionalidad mejorable por la comunidad (que nos gusta mucho) y soluciones a problemas del pentester en un Ethical Hacking. Trabajamos en aDLL o adventure Dynamic Link Library y en on-the-fly.

BlackHat Europe 2021: aDLL y on-the-fly   

Por quinto año, el departamento de Ideas Locas estará en una BlackHat. En este caso en BlackHat Europe 2021 aportando dos herramientas al Arsenal. En el caso de on-the-fly la defenderá Luis Eduardo Álvarez, ya que a mí me pillará de baja por motivos personales. Luis defenderá la herramienta de forma online.

Figura 3: on the fly en Black Europe 2021 Arsenal

Por otro lado, Roberto Aranda, que ha aprendido mucho con su beca en Ideas Locas sobre temas de DLL Hijacking y el funcionamiento de las DLLs en Windows, defenderá la herramienta aDLL. Roberto también defenderá la herramienta de forma online. La herramienta aDLL es una herramienta que busca proporcionar a un investigador un entorno para poder detectar posibles DLL Hijacking sobre aplicaciones. En el artículo de Roberto sobre la presentación de aDLL se puede entender mejor, con ejemplos, el funcionamiento de ésta. Además, hay vídeos que también simplifican la comprensión de ella.

Figura 4: aDLL en BlackHat Europe 2021 Arsenal

Es una herramienta similar al enfoque de uac-a-mola, ya que buscamos que el investigador pueda tener herramientas que le ayuden a encontrar o detectar ciertas situaciones o debilidades. También es una herramienta totalmente válida para un pentester, lógicamente. 

Referencias:

El formato de BlackHat Europe 2021 es un formato híbrido en el que hay ponentes en físico y otros en remoto (online). Seguro que Luis y Roberto se lo pasan genial presentando ambas herramientas. Y para vosotros, os dejamos con los artículos técnicos publicados sobre on-the-fly y aDLL. De esta forma se puede ver más contenido sobre cómo se han hecho estas herramientas.

aDLL   

- [Post] aDLL: Análisis de binarios y búsqueda automática de DLL Injection

- [Paper] DLL Hijacking e investigación con aDLL

on-the-fly

- [Post] On-the-fly: Nueva herramienta para auditar redes TI, ICs & iOT
- [Paper] Network Pentesting on IT, ICS & IoT environments: on-the-fly tool

Seguiremos investigando y probando tecnología para hacer herramientas que aporten soluciones, esperemos que haya más oportunidades. De momento, nos toca disfrutar el momento y que Luis y Roberto saquen lo mejor de sí para defender estas dos herramientas. Estamos cerca de cumplir 6 años como departamento y seguiremos dando mucha guerra.

Saludos,

Autor: Pablo González Pérez (@pablogonzalezpe), escritor de los libros "Metasploit para Pentesters", "Hacking con Metasploit: Advanced Pentesting" "Hacking Windows", "Ethical Hacking", "Got Root",  “Pentesting con Powershell” y de "Empire: Hacking Avanzado en el Red Team", Microsoft MVP en Seguridad y Security Researcher en el equipo de "Ideas Locas" de la unidad CDCO de Telefónica.  Para consultas puedes usar el Buzón Público para contactar con Pablo González

Figura 5: Contactar con Pablo González