Weblog de JaCkSecurity

Hace unas semanas un amigo nuestro, especialista en Debian, nos hizo saber de una importante vulnerabilidad en Debian. Quizás sea un poco tarde para platicar del tema, pero he aquí la imagen que lo resume todo.

Staff
JaCkSecurity
Conocimiento, Conciencia y Consultoría

Ocasionalmente, en varias de las charlas a las que tenido el privilegio de ser invitado he mencionado a metagoofil como instrumento de hacking pasivo y para auto auditorias. Por esa razón y en mérito a la nueva versión 1.4, decidí documentar en este post la utilidad y algunas otras cosas más de esta herramienta.

Primero, es necesario saber que Metagoofil puede ejecutarse en Windows, Linux y MacOS, ya que está escrito en Python. Sin embargo, quizás halle más sencillo y transparente el instalarlo en un Linux. Así, si usas -por ejemplo- Debian, asegúrase de tener instalado el programa “extract”, que lo instalas con “apt-get install extract”. Para ello, es posible que debas instalar el libextractor también “apt-get install libextractor”. Si no lo tienes en tu lista de paquetes, actualízala primero, con “apt-get update”. Si la lista no se actualiza, sugiero meterle mano al /etc/apt/sources.list (Consulta http://www.debian.org/distrib/packages#view por “libextractor” para tener la ruta más apropiada). Yo uso Debian4 (etch).

Segundo, si estás usando un Linux dentro de una máquina virtual, asegúrate de no porfiar tu ejecución basado en una interfase virtual que dependa de una inalámbrica, pues por alguna razón (que presumo se provoca en la confección de paquete) varias de mis pruebas fracasaron desde dicha interfase. Usa una interfase Ethernet (red cableada).

Asi mismo, vas a tener problemas con extract, así que (usando “find / -name extract”) asegúrate de modificar el script “metagoofil.py” e indicar la ruta real del programa extract que usará metagoofil. De todos modos, obtendrás un error a la salida al momento de ejecutar metagoofil.

Dado que está escrito en Python, todo lo que tienes que hacer en tu sistema es desempaquetarlos (“tar -xvf metagoofil.tar”). Si tu Linux corre en modo texto, no te apenes, recuerda que puedes usar “wget” para descargar el archivo (posiblemente en /tools) con “wget http://www.edge-security.com/soft/metagoofil-1.4.tar”. Recuerda, si no tienes “wget”, instálalo con un “apt-get wget”.

Luego, para ejecutar metagoofil sólo deberás invocar el script conforme la ayuda misma que se provoca al tipear “./metagoofil.py”. Allí notarás que debes asignarle un valor a cada variable del script. Veamos, luce así:

./metagoofil.py -d jacksecurity.com -l 20 -f all -o prueba.html -t files

Así, la salida se grabará en /tools/metagoofil/files, y el archivo principal estará en /tools/metagoofil/prueba.html.

En la prueba hecha a nuestro dominio, se descubrieron usuarios como: easyPDF SDK 4.3, JR, blanca, sin ninguna ruta valiosa. No obstante, aunque sólo en uno de esos casos se descubre un viejo usuario de nuestros sistemas, también se halla un dato curioso: easyPDF SDK 4.3, que lejos de ser un usuario nuestro, denota qué fabricante ha confeccionado uno de los PDF descargados (en Google: “easyPDF SDK 4.3″). Este último dato, que a pesar de ser un desperdicio para un ataque de fuerza bruta, no lo es para identificar posibles vulnerabilidades en esta pieza de archivo (una idea un tanto diabólica, y por ahora improbable).

¿Qué puedes hacer con Metagoofil? Puedes extraer la data de la data, y deducir algo más que usuarios, aún con archivos tan limitados como los nuestros. Por otro lado, aunque su utilidad ha sido ampliamente difundida para trabajos de auditoria y hacking externo, nada impediría que alguien rediseñe el script para búsquedas en Intranets, y así hallar usuarios cuando no se pudo obtener la base de usuarios por ataques de null-sessions.

¿Tip de contra-ataque?
Busca en tus logs del servidor web, sentencias como “Python-urllib/1.16″, y verás que archivos fueron auditados por “metagoofil”, ya sea en manos tuyas o en manos de terceros.

Javier Romero
JaCkSecurity, CTO
Conocimiento, Conciencia y Consultoría

Honestamente, desde que descubrí que es posible vivir sin un antivirus instalado en portátiles, PCs y servidores, jamás había apreciado a los antivirus -en sí mismos- como una fuerza de poder en el cuadrilátero de la seguridad informática, excepto claro por sus elegantes equipos de ingenieros que -hoy en día- divulgan sus hallazgos a toda la comunidad experta. Sin embargo, luego de leer esta noticia (JaCkNews), concluyo lo contrario.

Resulta que ahora, el mismo elemento -el malware- por el cuál ahora son tan inefectivos, se han vuelto a su favor. Efectivamente, como cita Hispasec, los desarrolladores de kits de malware (para botnets) han delegado el “poder” del embargo a las casas de antivirus, para protegerse de la piratería, qué formidable idea. Dicho de otra forma, se trata de convertir a los antivirus en un team gratuito de un embargo virtual de un software maligno que ha sido pirateado.

El único problema es que el poder que ejercerían los antivirus sería ahora a favor de la industria criminal contra quienes intentan luchar. Pero, guardándonos la impresión de sorpresa, podemos decir, que esta no es la primera vez que vemos una conducta similar en el mundo criminal, en realidad sucede a todos los niveles del crimen. Sin le pegamos una vista a los gobiernos, esto es exactamente lo que hacen sus personajes corruptos cuando quieren vengarse de otros más (o mas bien menos) corruptos, al soplarlos y revelarlos a la opinión pública.

Por último, aunque asumo que para muchos lectores los AV siempre fueron una fuerza de poder “del bien” en sí mismo, no debemos de dejar de reconocer que -ahora- se han convertido en la fuerza de poder a favor del mal, aún sin siquiera saberlo.

La próxima que invierte S/.240.00 (USD 80.00) en una caja completa de AV piense que su contribución económica a su marca favorita no sólo hará de su proveedor una fuerza de poder del bien (según usted así lo cree), sino también del mal. “Piense”, y no se disguste luego.

Javier Romero
JaCkSecurity, CTO
Conocimiento, Conciencia y Consultoría