HIJACKER V1.3 – HERRAMIENTAS DE CRAQUEO DE WI-FI PARA ANDROID

Hijacker es una interfaz gráfica de usuario para las herramientas de prueba de penetración Aircrack-ng, Airodump-ng, MDK3 y Reaver. Ofrece una interfaz de usuario simple y fácil para usar estas herramientas sin escribir comandos en una consola y copiar y pegar direcciones MAC.

Esta aplicación requiere un dispositivo Android ARM con un adaptador inalámbrico que sea compatible con el modo monitor. Especialistas en seguridad cibernética  comentan, “Algunos dispositivos Android lo hacen, pero ninguno de ellos de forma nativa”. Esto significa que necesitará un firmware personalizado. Nexus 5 y cualquier otro dispositivo que use el chipset BCM4339 funcionará con Nexmon. Los dispositivos que usan BCM4330 pueden usar bcmon. Una alternativa sería usar un adaptador externo que admita el modo de monitor en Android con un cable OTG.

Las herramientas necesarias están incluidas para los dispositivos armv7l y aarch64 a partir de la versión 1.1. El controlador Nexmon y la utilidad de administración para BCM4339 también están incluidos. Un experto en seguridad cibernética dice que root es necesario, ya que estas herramientas necesitan un root para funcionar.

Características

• Recopilación de información
  • Ver una lista de puntos de acceso y estaciones a su alrededor
  • Ver la actividad de una red específica, midiendo beacons y paquetes de datos, y sus clientes
  • Estadísticas sobre puntos de acceso y estaciones
  • Consulte al fabricante de un dispositivo (AP o estación) desde la base de datos OUI
  • Vea la potencia de señal de los dispositivos y filtre los que están más cerca de usted
  • Guarde los paquetes capturados en el archivo .cap

Ataques

• Desautenticar a todos los clientes de una red, ya sea para cada uno de ellos o sin un objetivo específico.
• Desautenticar a un cliente específico de la red a la que está conectado
• MDK3 Beacon Flooding con opciones personalizadas y lista SSID
• DoS de Autenticación MDK3 para una red específica o para todos
• Capture un WPA handshake o junte IV para romper una red WEP
• Reaver WPS cracking, ataque pixie-dust usando NetHunter chroot y adaptador externo

Otro

• Deja la aplicación ejecutándose en segundo plano
• Copie comandos o direcciones MAC al portapapeles
• Incluye las herramientas necesarias, sin necesidad de instalación manual
• Incluye el controlador de Nexmon y la utilidad de administración para dispositivos BCM4339
• Establecer comandos para habilitar y deshabilitar el modo de monitor automáticamente
• Crack archivos .cap con una lista de palabras personalizada
• Cree acciones personalizadas y ejecútelas fácilmente en un punto de acceso o cliente
• Ordenar y filtrar puntos de acceso con muchos parámetros
• Exportar toda la información recopilada a un archivo
• Agregue un alias a un dispositivo (por MAC) para una identificación más fácil

Instalación

Los expertos en seguridad de datos nos dicen que es necesario estar en Android 5+y estar rooteado, se requiere SuperSU, si está en CM / LineageOS instale SuperSU. Además tener un firmware para admitir el modo monitor en su interfaz inalámbrica

Cuando ejecuta Hijacker por primera vez, se le preguntará si desea instalar el firmware de Nexmon o ir a la pantalla de inicio. Si ha instalado su firmware o utiliza un adaptador externo, puede ir a la pantalla de inicio. De lo contrario, haga clic en ‘Instalar Nexmon’ y siga las instrucciones. Tenga en cuenta que, en algunos dispositivos, el cambio de archivos en / system puede activar una función de seguridad de Android y la partición de su sistema se restaurará cuando reinicie. Después de instalar el firmware, aterrizará en la pantalla de inicio y se iniciará el airodump. Asegúrate de haber habilitado tu WiFi y está en modo monitor.

Read More

NUEVO SPYWARE QUE AMENAZA NUESTRA PRIVACIDAD

Una nueva forma de spyware llamado RedDrop presenta una amenaza de seguridad cibernética, obligando a los profesionales en seguridad de datos a idear un mecanismo para hacer frente a esta infección que sigue propagándose.

Un nuevo spyware para Android capaz de grabar todo lo que se dice delante de nuestro Smartphone y subirlo a distintos servidores de almacenamiento. La investigación sobre la amenaza de seguridad cibernética revela que el spyware se implementa para robar datos de los teléfonos inteligentes para garantizar el acceso ininterrumpido a la privacidad de los usuarios, lo que también incluye las actividades bancarias.

Cuando RedDrop se implementa puede robar; fotos, grabar llamadas, mensajes almacenados y datos personales.

Los profesionales de seguridad cibernética dicen en el malware de Android usa distintos métodos para atraer a sus víctimas. Este malware no se encuentra dentro de la Play Store, o al menos no se ha detectado en la tienda oficial de Google. Sin embargo, podemos encontrarlo en una gran variedad de apps publicadas en tiendas de terceros, especialmente en aplicaciones y juegos para adultos. Incluso un solo archivo, si se descarga, fácilmente toma el control de todo el servidor y el sistema para seguir descargando muchos otros componentes.

Cuando la víctima descarga esta aplicación maliciosa y la instala en su Smartphone, RedDrop toma el control del dispositivo gracias a una serie de permisos intrusivos en el equipo, se configura para arrancar al inicio del sistema y establece una conexión con el servidor C&C remoto, desde donde descarga otras aplicaciones para poder hacer uso de todas sus funciones.

Un usuario infectado, llega a saberlo solo después de recibir una factura telefónica exorbitante, ya que el malware sigue enviando mensajes silenciosos y utilizando datos.

Los hackers nunca ordenan a los usuarios que descarguen los archivos infectados, cuentan con una red propagada en más de 3.000 dominios, lo que ayuda a que el usuario caiga en el malware. El motivo detrás de esto, es el espionaje, y por eso, el grupo de hackers tiene un inmenso recurso invertido en el malware.

Debido a las funciones de persistencia y los permisos avanzados que utiliza este malware, eliminarlo por los medios convencionales es complicado, ya que se puede replicar fácilmente.

Si sospechamos que podemos estar infectados, expertos en seguridad cibernética  dicen que lo mejor que podemos hacer es restablecer los valores de fábrica de nuestro Smartphone para eliminar cualquier rastro de la amenaza. Si nuestro Smartphone tenía permisos de root, es recomendable incluso flashear de nuevo la rom para asegurarnos de que no se ha copiado el malware en la partición System y se replica tras restablecerlo.

Read More

¿CÓMO DEBE RESPONDER EMPRESA CUANDO SUFRE UN ATAQUE CIBERNÉTICO?

La amenaza de ataques a los sistemas de seguridad de datos ciertamente está creciendo: según la investigación de una empresa de seguridad cibernética, los ciberataques aumentaron en una cuarta parte en el segundo trimestre de 2017. En un mundo abrumado por las redes sociales, las noticias de un desastre pueden ser internacionales y dañar la reputación de sus negocios. Efectos negativos en el precio de las acciones y un impacto en la moral del personal.

Si se produce una violación de datos, las organizaciones deben estar en posición de comunicar información instantánea y precisamente a todas las partes afectadas; clientes, socios, proveedores y personal.

Hay dos tipos de comunicación que los expertos en seguridad de datos recomiendan para apoyar un programa de manejo de crisis. Ambos requieren una preparación suficiente para garantizar una respuesta rápida y adecuada en tiempos de crisis, y que los afectados son mantenidos al tanto por los líderes empresariales, no por una publicación aleatoria en las redes sociales.

Mensajes predefinidos: Estos deben ser la piedra angular de cualquier buen programa de gestión de crisis y son cruciales para evitar perder el tiempo deliberando sobre qué decir a medida que se desarrolla la crisis. Las organizaciones deben dedicar tiempo a identificar posibles escenarios, desarrollar las plantillas de mensajería adecuadas y seleccionar los canales de comunicación adecuados para cada situación. Se recomienda llevar a cabo un análisis integral de las partes interesadas para identificar a las partes que necesitarán ser informadas como prioridad, y lo que necesita saber. Construir y borrar declaraciones provisionales por adelantado colocará a la empresa en una posición mucho más sólida para responder de manera rápida y precisa.

Respuesta adaptada: Las respuestas personalizadas son exclusivas de una crisis en particular. Si bien no es posible prepararse para cada resultado de la crisis, esto no justifica el descuido de la previsión, las bases o la planificación. Llevar a cabo ejercicios de simulación para educar y formar a los equipos de crisis, familiarizarlos con los posibles resultados y descubrir oportunidades y lagunas en sus programas los ayudará a desarrollar una mentalidad de preparación. Esto los coloca en una posición mucho más sólida para gestionar las amenazas.

Es crucial contar con un equipo de comunicaciones de crisis, liderado desde el directorio, integrado en el corazón de su negocio y que posea una comprensión sólida de los riesgos y las amenazas que se le presentan a la organización. Sin embargo, en una crisis, la responsabilidad no solo recae en el equipo de comunicaciones. La gerencia deberá estar capacitada en los medios para responder a situaciones a fin de reducir el daño a la marca comercial, para mantener al personal con la sensación de estar centrado y motivado y para generar confianza entre las partes interesadas.

El estado de una crisis dependerá por completo de la capacidad de su organización para armarse y mantenerse alerta cuando llegue el momento. Las empresas que entreguen comunicaciones bien pensadas en caso de ataque a la seguridad de datos serán las que demuestren previsión y agilidad, mostrándose como una empresa más fuerte.

Read More

COMO HACKEAR DIRECTORIO ACTIVO CON ICEBREAKER?

Icebreaker automatiza los ataques de red contra Active Directory para entregarle credenciales de texto claro cuando está dentro de la red pero fuera del entorno de Active Directory. Investigadores de seguridad cibernética explican que Icebreaker realiza 5 ataques de red diferentes para credenciales de texto claro y hash. Se han encontrado hashes de Autocracks con JohnTheRipper y una lista de palabras personalizada de 1 millón de contraseñas específicamente para contraseñas de Active Directory.

RID cycling

Utiliza Nmap para encontrar sesiones NULL SMB

Realiza ciclos RID asíncronos para encontrar nombres de usuario válidos

Realiza una contraseña inversa de fuerza bruta de nombres de usuario encontrados

Contraseñas probadas: P @ ssw0rd y <season> <year>, p. Ej., Winter2018

Carga de archivos SCF

Utiliza Nmap para encontrar anónimamente acciones editables en la red

Escribe un archivo SCF en el recurso compartido con un ícono de archivo que apunta a su máquina

Cuando un usuario abre el recurso compartido en Explorer, se le envía su hash

Autocracks el hash con JohnTheRipper y los 10 millones de listas de contraseñas

LLMNR / NBTNS / mDNS

Utiliza Responder.py para envenenar la red de capa 2 y capturar hash de usuario

Autocracks el hash con JohnTheRipper y los 10 millones de listas de contraseñas

SMB relay

Utiliza ntlmrelay.py y Responder.py para transmitir hashes SMB

Después de un relevo exitoso, hará lo siguiente en la máquina de la víctima:

Agregar un usuario administrativo – icebreaker: P @ ssword123456

Ejecuta una versión de Mimikatz omitida y analiza el resultado para hashes y contraseñas.

IPv6 DNS

Utiliza mitm6 y ntlmrelayx.py para envenenar el DNS IPv6 y capturar hash de usuario y máquina

Crea un servidor WPAD falso con autenticación

Esto puede causar fácilmente problemas de conectividad de red para los usuarios, por lo que especialistas en seguridad de datos recomiendan usarlos con moderación.

Cómo funciona

Realizará los 5 ataques de red anteriores en orden. El RID cycling y las cargas de archivos SCF generalmente van más rápido, luego permanece en el ataque 3, Responder.py, durante 10 minutos de manera predeterminada. Después de ese período de tiempo, o de la cantidad de tiempo especificada por el usuario, pasarán a los dos ataques finales que se ejecutan en paralelo e indefinidamente.

Después de realizar un ciclo de RID y una fuerza bruta asíncrona, pasa a cargar archivos SCF a recursos compartidos anónimamente editables. De acuerdo con los expertos en seguridad cibernética, si un archivo SCF se cargó con éxito y un usuario visita ese archivo compartido en Explorer, se capturará el hash del usuario y se intentará descifrarlo mediante Icebreaker. Si el hash es capturado mientras el ataque 4, SMB retransmite, se está ejecutando, el hash será retransmitido para la posible ejecución del comando. Trasladar un hash a otra máquina permite suplantar al usuario cuyo hash capturamos y si ese usuario tiene derechos administrativos para la máquina, transmitimos el hash para que luego podamos ejecutar el comando.

Cuando ntlmrelayx retransmite un hash capturado, ejecutará un comando PowerShell codificado en base64 que primero agrega un usuario administrativo (rompehielos: P @ ssword123456) y luego ejecuta una versión ofuscada y omisión de AMSI de Mimikatz. Este resultado de mimikatz se analiza y se entrega al usuario en la salida estándar, así como en el archivo found-passwords.txt si se encuentran contraseñas de texto sin formato o hashes NTLM.

Si el Icebreaker se ejecuta con –auto flag, luego de alcanzar el ataque 4 Icebreaker ejecutará Empire y DeathStar en ventanas xterm. En lugar de ejecutar mimikatz en el dispositivo remota a la que transmitimos el hash, Icebreaker agrega un usuario administrativo e inmediatamente después ejecuta el código del iniciador de PowerShell de Empire para obtener un agente en la máquina remota. DeathStar usará este agente para automatizar el proceso de adquisición del administrador del dominio. Las ventanas Empire y DeathStar xterm no se cerrarán cuando salgas de Icebreaker.

El descifrado de contraseñas se realiza con JohnTheRipper y una lista de palabras personalizada. La lista de palabras se filtro y no incluye contraseñas con: todas minúsculas, todas mayúsculas, todos los símbolos, menos de 7 caracteres, más de 32 caracteres. Esto ajusta los requisitos de contraseña predeterminados de Active Directory y llevaron la lista de 20 millones a poco más de 1 millón, lo que según los profesionales de seguridad de datos hace que el descifrado de las contraseñas sea extremadamente rápido.

Intoxicación DNS IPv6; este ataque es propenso a causar problemas en la red. Causa errores de certificado en las máquinas cliente en el navegador. También reducirá la velocidad de la red. De acuerdo a expertos en seguridad de datos, los entornos Windows AD son vulnerables por defecto.

Read More

CHAOS BACKDOOR, UN CÓDIGO QUE APUNTA A LINUX

Hackers están lanzando ataques de fuerza bruta SSH contra servidores Linux de baja seguridad para desplegar una puerta trasera llamada Chaos Backdoor.

Un especialista en seguridad cibernética lo describe como una puerta trasera que genera un shell inverso totalmente encriptado.

Chaos Backdoor era uno de los componentes del rootkit Linux “sebd” que apareció en el 2013, los investigadores en seguridad de datos aseguran saber cómo se hizo público Chaos Backdoor.

Parece que el código fuente fue capturado por un supuesto “investigador” que lo liberó en un foro al cambiar el nombre para engañar a los miembros haciéndoles creer que se trataba de una nueva amenaza.

El código ahora está siendo utilizado por hackers para atacar servidores Linux en todo el mundo. Los investigadores realizaron un escaneo en Internet utilizando el protocolo de enlace extraído del cliente para determinar el número de servidores Linux infectados y descubrieron que este número aun es bajo, cerca de 150 dispositivos.

La instalación de Chaos Backdoor comienza cuando el atacante descarga un archivo que simula ser un jpg. El archivo era actualmente un archivo .tar que contenía Chaos (ELF ejecutable), el cliente (ELF ejecutable), niveles de ejecución init Shell script, el script de instalación de Shell.

El archivo tar “Chaos”, es la puerta trasera real que está instalada en el sistema de la víctima y el archivo “Client” es el cliente para conectarse a la puerta trasera instalada. La puerta trasera no es sofisticada, no se basa en ningún exploit, sino que abre un socket en el puerto 8338 en el que escucha los comandos.

De acuerdo con especialistas en seguridad de datos, cualquier firewall decente bloquearía los paquetes entrantes a cualquier puerto que no se haya abierto explícitamente para fines operativos. Sin embargo, Chaos usa un socket sin formato, la puerta trasera puede activarse en puertos que ejecutan un servicio legítimo existente.

Para comprobar si su sistema está infectado, los expertos sugieren ejecutar el siguiente comando como raíz:

1 netstat -lwp

Después se debe analizar la lista de procesos para determinar cuáles son legítimos.

Chaos Backdoor no viene solo, normalmente contiene al menos un Bot IRC que tiene capacidades de ejecución remota de código, debido a esto los profesionales en seguridad cibernética aconsejan a los hosts infectados que se reinstalen completamente desde una copia de seguridad confiable con un nuevo conjunto de credenciales.

Read More

NUEVO COLDROOT MALWARE QUE REALIZA UN KEYLOGGING EN SISTEMAS DE MAC

Esta vez el nuevo malware se dirige a macOS y viene con capacidades de keylogging. Los investigadores de seguridad cibernética han descubierto un nuevo malware llamado Coldroot que no ha sido detectado por los programas de antivirus ya que solo 18 de las 20 herramientas pudieron detectarlo. Este malware Mac es un troyano de acceso aleatorio, RAT por sus siglas en ingles, que se compartió en línea en Github en 2016.

Coldroot ahora es capaz de afectar a todos los sistemas operativos y puede obtener de forma silenciosa control remoto en una computadora vulnerable. Los detalles de Coldroot fueron revelados públicamente por un investigador de seguridad de datos y jefe de la investigación, Patrick Wardle.

Wardle identificó que era un malware de “característica completa, actualmente no detectada” y que estaba siendo vendido por su sospechoso autor Coldzer0 en la Dark Web desde el 1 de enero de 2017. También, Coldzer0 publicó un video que muestra que Coldroot RAT multiplataforma se puede utilizar para apuntar a MacOS, Linux y sistemas basados ​​en Windows. Coldzer0 también ofrecía a los clientes información sobre los métodos de personalización de malware.

El malware se identificó en un controlador de audio ilegítimo de Apple llamado “com.apple.audio.driver2.app”. Este se muestra como un documento y solicita acceso de administrador, luego se instala silenciosamente y se comunica con su servidor de C & C para obtener instrucciones. Una vez que el usuario hace clic en él, aparece un mensaje emergente que parece un mensaje de autenticación normal. Solicita las credenciales de MacOS del usuario. Cuando se proporcionan, Coldroot modifica la base de datos de privacidad de TCC.db, lo que permite que el malware tenga acceso para realizar un keylogging en el sistema.

El malware se las arregla para permanecer en el sistema infectado instalándose como un demonio de lanzamiento. Asimismo, el código se inicia automáticamente cada vez que se enciende la computadora infectada.

El malware es capaz de realizar capturas de pantalla, iniciar y finalizar procesos, buscar y cargar  archivos, iniciar una sesión de escritorio remoto y apagar el sistema operativo de forma remota. No está claro si la versión reciente de Coldroot es la misma que se cargó hace dos años o si es una versión modificada de ese malware.

El experto en seguridad cibernética afirmó que es posible que el malware no pueda afectar a los sistemas operativos más nuevos, como MacOS High Sierra, porque el TCC.db del sistema está protegido a través de la Protección de Integridad del Sistema (SIP). Ahora lo mejor para mantenerse protegidos, es cambiar a la última versión del sistema operativo.

Read More

QUÉ ES CRYPTOJACKING Y CÓMO EVITAR ESTE ATAQUE

En este artículo trataremos de dar una explicación simple y fácil de seguir de por qué todo el mundo habla de esto y por qué también debería actualizar su seguridad de datos.

En pocas palabras, ahora los hackers pueden robar su dinero y su información, mientras aumentan su factura de energía y posiblemente destruyan el hardware de su computadora.

Primero debemos saber lo que es Blockchain, es el principio básico de Bitcoin y la mayoría de las otras criptomonedas.

Blockchain, resolvió un desafío muy grande. Un archivo digital puede ser copiado, modificado o falsificado. Si bien no se puede obtener una factura directamente de un proveedor  y dársela a su amigo, se puede copiar una factura digital para que dos personas puedan gastar esa factura exacta, explica un experto en seguridad cibernética.

También había otro problema, para verificar que la factura era original y no una copia o una falsificación, necesitabas que alguien realmente verificara. Al poner esto en manos de un tercero, los usuarios quedan expuestos a muchos riesgos.

El protocolo Blockchain elimina al intermediario al hacer que todos sean participantes activos en la transacción. Nuestro especialista en seguridad de datos nos dice que con Blockchain, cada vez que alguien realiza una transacción, esa transacción se registra en un bloque para que permanezca permanentemente disponible. A medida que más y más personas envían dinero, se crean cada vez más bloques y se vinculan entre sí en la cadena. Si alguien quisiera hackear  una transacción o duplicarla, tendría que atacar toda la cadena de bloques.

Las personas o máquinas que vinculan estas transacciones se llaman mineros. A cambio de una pequeña tarifa, vinculan las transacciones y crean los bloques que se agregarán a la cadena. En algunos casos, hay computadoras especiales diseñadas específicamente para minar criptomonedas, llamadas ASIC.

En el pasado, los hackers  intentaron robar la información de su tarjeta de crédito para que pudieran usar su dinero. Ahora, los hackers pueden robar los recursos de su computadora para crear dinero.

Con Bitcoin, el robo es posible. Sin embargo, el proceso de minería de Bitcoin ahora requiere demasiados recursos para las configuraciones regulares y se realiza en hardware especializado.

Con Monero, robar es extremadamente fácil. Porque se puede hacer en una computadora común. Monero también es anónimo e imposible de rastrear. Incluso si las autoridades estuvieran dispuestas a ayudarlo en caso de un ataque, Monero les hace casi imposible identificar a los autores, de acuerdo a un especialista en seguridad cibernética.

Ahora hay que saber que es CoinHive, es un minero de Monero que usa Javascript, el lenguaje de programación más popular. Este código se puede incrustar en cualquier página web. Una vez que accede a esa página, utiliza el procesador de su computadora para extraer Monero.

Los hackers pueden dirigirse a los sitios web que visitas e implementar el script de CoinHive. Le ha sucedido a miles de sitios web, desde pizzerías, blogs, organizaciones de salud y páginas gubernamentales.

Tal ataque se llama cryptojacking, que es un “secuestro de criptomonedas”. Se roba el poder de procesamiento de la computadora para crear criptomonedas y obtener ganancias rápidas e imposibles de rastrear. Básicamente, convierte su PC o dispositivo en un minero de Monero. La secuencia de comandos de CoinHive puede usar el 100% de la potencia de la CPU del visitante y, por lo tanto, reducir la vida útil del hardware.

Investigadores de seguridad de datos nos dan algunas medidas de seguridad que ayudan a evitar estos ataques.

Protege siempre tu computadora con un antivirus, aunque el malware moderno puede escapar de él. También necesita una solución antimalware para detectar las amenazas antes de que lleguen a su PC.

En cualquier navegador, tanto en escritorio como en dispositivos móviles, use un bloqueador de anuncios. Actualice siempre su software, porque la mayoría de los ataques se llevan a cabo debido a vulnerabilidades sin parches.

Siempre use contraseñas seguras o un administrador de contraseñas seguro para que, en caso de un ataque, su información personal no se vea comprometida.

Read More