ROPEMAKER Cambiar el contenido del Email ya enviado para uso malicioso.

 

Un Email puede ser cambiado después de ser enviado, según la última investigación de Mimecast’s denominado ROPEMAKER.

Un nuevo exploit ROPEMAKER que podría permitir a un atacante modificar un email legítimo para volverlo malicioso, incluso después de que este haya llegado a la bandeja de entrada.

Su descubridor ha sido Francisco Ribeiro, investigador de Mimecast dedicado a la seguridad de servicios de email y cloud.

A través de la explotación de Ropemaker, un atacante puede modificar de forma remota el contenido de un email enviado por él mismo, pudiendo por ejemplo sustituir una URL  por otra maliciosa.

El exploit puede ser ejecutado tras recibir el destinatario el email, después de superar todos los filtros de spam y seguridad y sin que el atacante necesite acceder directamente al ordenador de la víctima.

Correo en el buzón de la Víctima:

GodURL Email ROPEMAKER

Correo en el buzon de la Victima modificado sin intervención de la pc de manera remota:

BadURL Email ROPEMAKER

El origen de ROPEMAKER se encuentra en la intersección de las tecnologías de correo electrónico y Web, más específicamente hojas de estilo (CSS) utilizadas con HTML.

Si bien el uso de estas tecnologías Web ha hecho que el correo electrónico sea más atractivo y dinámico en relación con su predecesor basado en texto, esto también ha introducido un vector de ataque explotable para el correo electrónico .

Claramente, dar posibilidad a los atacantes del control remoto sobre cualquier aspecto de las aplicaciones o infraestructura es algo malo.

Esta capacidad de control remoto podría permitir a los malos actores dirigir a los usuarios  a sitios web maliciosos o otras consecuencias perjudiciales mediante una técnica que podría pasar por alto los controles de seguridad comunes y engañar incluso a los usuarios más seguros y experimentados.

ROPEMAKER podría ser apalancado en formas que son limitadas sólo por la creatividad de los actores de la amenaza, que la experiencia nos dice, es a menudo ilimitada.

Fuente: https://www.mimecast.com

#HackNic – Shadow77 

shard: una herramienta para comprobar si se utiliza la misma contraseña en varios sitios

Si hay algo imperativo en la sociedad digital actual es NO REUTILIZAR la misma contraseña para distintos servicios. La razón es simple: si uno de ellos es comprometido por ende cualquiera podrá obtener acceso al resto. No obstante, ya sea por la dificultad de recordar tantas contraseñas o por desconocimiento pura vagancia, son muchos los usuarios que todavía ponen la misma contraseña en varios de sus perfiles en redes sociales como Facebook, Twitter, LinkedIn, etc.

Y precisamente hoy vemos Shard, una herramienta para que los atacantes podamos detectar contraseñas compartidas desde la línea de comandos. Se trata de un fat jar (contiene todas las clases necesarias para hacerlo lo más portable posible) que si quieren pueden compilar ustedes mismos con sbt assembly, y también tiene una segunda implementación en python.

Uso

Sólo tenemos que indicar las credenciales a comprobar y la herramienta automatizará el proceso:

$ java -jar shard-1.2.jar -u username-here -p password-here
21:16:25.950 [+] Running in single credential mode
21:16:30.302 [+] username-here:password-here - Reddit, Instagram

También es posible probar múltiples credenciales (ummm leaks…) indicando un fichero de texto que contenga cada línea con el formato “username”:”password”. Incluso se puede personalizar el formato con la opción –format.

$ java -jar shard-1.2.jar -f /tmp/creds.txt
21:16:39.501 [+] Running in multi-credential mode
21:16:39.516 [+] Parsed 2 credentials
21:16:42.794 [+] username1:password1 - Reddit, Instagram
21:16:45.189 [+] username2:password2 - Facebook, LinkedIn, Twitter

Módulos

Actualmente soporta los siguientes módulos:

$ java -jar shard-1.2.jar -l
Available modules:
        Facebook
        LinkedIn
        Reddit
        Twitter
        Instagram

Aunque si quieren pueden  añadir sus propios módulos fácilmente creando una nueva clase heredada de AbstractModule y añadiendo el módulo a ModuleFactory.
El AbstractModule tiene un método abstracto:

def tryLogin(creds: Credentials): Boolean

Este método toma un objeto de credenciales y devuelve un valor booleano que indica un inicio de sesión correcto. Se recomienda el uso de la TwitterModule como plantilla.

Dependencias

JSoup se utiliza para la comunicación HTTP y análisis de HTML
spray-json se utiliza para el manejo de JSON

Github: https://github.com/philwantsfish/shard

Shadow77
#HackNic

Herramienta para la fase de reconocimiento en un test de penetración.

En un test de penetración los pasos a seguir son: reconocimiento, descubrimiento, explotación y presentación de informes. Es importante entender la diferencia entre el reconocimiento y descubrimiento. Reconocimiento es el uso de fuentes abiertas para obtener información sobre un objetivo, comúnmente conocido como “reconocimiento pasivo”. Descubrimiento, comúnmente conocido como “reconocimiento activo”, se produce cuando los paquetes se envían de forma explícita a la red objetivo en un intento por “descubrir” vulnerabilidades. Este es el primer paso de todo el proceso, que muchos pentester novatos lo obvian. El reconocimiento proporciona bases firmes para un ataque eficaz y satisfactorio. Al invertir tiempo para encontrar tanto como sea posible sobre el objetivo antes de lanzar los ataques, se tendrá un mejor enfoque para los esfuerzos y un menor riesgo de detección.

Las labores típicas en el reconocimiento son:

  • Registros Whois que apunta hacia servidores DNS.
  • Identificación de máquinas involucradas en la aplicación (Direcciones IP, Nombres de hosts). Transferencias de Zona conteniendo información detallada sobre nombres de host.
  • Buscar en fuentes de información externa como Google u otros motores de búsqueda, Redes Sociales y Listas de Correo, Blogs y diversos sitios webs.

Recon-ng es una herramienta de reconocimiento de información de dominios de Internet escrito en Python. Una herramienta muy completa con: módulos independientes, interacción con de base de datos, con funciones intuitivas y ayuda interactiva. Recon-ng proporciona un potente entorno de código abierto basado web para reconocimiento de información de dominios.

Recon-ng tiene una apariencia similar a la Metasploit Framework, lo que permite una rapida adaptación a la herramienta. Sin embargo, es muy diferente, Recon-ng no pretende competir, ya que está diseñado exclusivamente para la reconocimiento de dominios basado en la web.

Recon-ng es completamente modular y hace que sea fácil incluso para los mas novatos desarrolladores de Python aportar cambios o personalizaciones. Cada módulo es una subclase de la clase “módulo”, la clase “módulo” es un intérprete de comandos personalizado  equipado con una funcionalidad integrada que proporciona interfaces sencillas para tareas comunes tales como: la estandarización de la producción, la interacción con bases de datos, las peticiones web y la gestión de claves de la API.

Características principales de Recon-ng:

  • Permite crear y compartir módulos personalizados que no se fusionan en la rama principal de la estructura. Con el fin de permitir el uso de estos módulos sin interferir con el paquete instalado, permitiendo el uso de un árbol de módulo personalizado colocado en el directorio “home” del usuario. Los módulos se organizan para facilitar el flujo de un test de penetración, con ramas y módulos independientes dentro del árbol módulo, para cada paso de la metodología: reconocimiento, descubrimiento, explotación y presentación de informes.
  • Posee comandos “help” y “show”  para familiarizarse con los comandos y las opciones de la herramienta, proporcionado ayuda y modo de empleo.
  • El comando “search” proporciona la capacidad de buscar los nombres de todos los módulos cargados y presentarlos al usuario. El comando “search” puede ser muy útil en la determinación de qué hacer a continuación, con la información que ha sido generada o la identificación de lo que se requiere para obtener la información deseada.
  • Posee espacios de trabajo que ayudan a los usuarios realizar múltiples tareas simultáneas sin tener que configurar repetidamente opciones o bases de datos globales. Toda la información para cada área de trabajo se almacena en su propio directorio. Cada área de trabajo consiste en su propia instancia de la base de datos de Recon-ng, con un archivo de configuración para el almacenamiento de: las opciones de configuración, los informes de los módulos así como cualquier información que se recoge de otros módulos.
  • Permite realizar copia de seguridad de los datos en los puntos importantes durante el proceso de reconocimiento, que ayudan a prevenir la pérdida o corrupción de datos debido a un comportamiento inesperado de los recursos. El comando “snapshots” ofrece a los usuarios la capacidad de copia de seguridad y restaurar instantáneas de la base de datos.

Más información y descarga de Recon-ng:
https://bitbucket.org/LaNMaSteR53/recon-ng