C1b3rWall 2020 - Apuntes: Ataques Ddos - Metaesploit - Rastreo phisher.

Continuando en la línea de reseñar los temas que me parecen más relevantes en las ponencias del excelente MOOC C1b3rWall Academy 2020, en este post voy a comentar sobre los ataques de Denegación de Servicio Distribuido (DDoS), sobre el archifamoso Metasploit y el interesante rastreo de un phisher con OSINT.

Lo importante de la ciberseguridad, el hacking ético o la informática forense no consiste en manejar con soltura el software que existe en la actualidad. Lo fundamental es dominar los conceptos y procedimientos que permitan comprender cualquier distribución o programa, que sustituya en un futuro a los existentes.

Una herramienta que comentan los ponentes es Logstalgia, se trata de un visualizador gráfico en modo retro pong de las conexiones realizadas a un servidor. Debemos disponer de los logs de acceso del servidor, con los cuales alimentaremos el software.

Afirman los expertos que un ataque DDoS bien diseñado es como una sinfonía perfectamente orquestada o como un asalto medieval a una fortaleza, donde los recursos se van desplazando de unos lugares a otros para confundir y saturar a los defensores.

En la parte final del video la sinfonía añadía cada vez más instrumentos. ¿Cómo se vería un ataque real?

A mi me recuerda la batalla del abismo de Helm, el asalto a París en Vikings o el bombardeo de Jerusalén en El reino de los cielos.

Debemos considerar que un ataque DDoS exitoso se lanza contra todas las capas posibles del modelo OSI. La física quedará salvaguardada en ataques remotos, pero la de enlace de datos, red, transporte, presentación y aplicación permanecerán como objetivos.

Puede comenzar con una inundación en un protocolo de capa inferior, con un aumento progesivo de tráfico tras breves pausas.

O bien puede parecer un ataque de reflexión. Un servidor de comando y control mandando órdenes hasta a millones de bots agresores; actuando sin el conocimiento de los dueños de esos equipos.

Esa primera ola puede continuar con ataques de amplificación contra protocolos "ruidosos", que responden con múltiples paquetes ante peticiones malformadas con IP´s falsificadas. Redirigiendo todo ese tráfico (respuestas, intentos de correción de errores...) contra la víctima.

Incluso se pueden utilizar los servidores DNS legítimos para dirigir maliciosamente un ataque de amplificación.

Respecto al movimiento a través de la torre del modelo OSI, se puede comenzar contra el nivel de aplicación, simulando tráfico legítimo que acabe colapsando todo el ancho de banda.

Pero cuando el defensor concentre sus recursos en esa zona, el ataque intentará abrir brecha en otro punto, en una agresión cambiante, en oleadas, en la que, o bien el asaltante deberá retirarse sin éxito o bien el servidor caerá, quedando sin acceso.

Visualización de logs con Logstalgia.

Cuando estudiaba OrCad, a mediados de los noventa, estaba de moda titular los libros técnicos de esta forma: "Domine OrCad al 99%"

El siguiente video, que grabé como aproximación divulgativa al pentesting, podría titularse "Domine Metasploit al 1%".

Video

Al igual que en muchas conferencias, lo más impactante son los PoC´s o las aplicaciones prácticas de lo mostrado en el laboratorio.

Un tema que me pareció muy interesante fue narrado por Eduardo Sánchez: El rastreo de un phisher bancario español, utilizando técnicas OSINT.