[MINI-BIBLIA] ¿Cómo se lo hace el "hacker"?

Bueno, ya que no puedo dar clases de poker (todavía no, pero ya os pillaré ya :D), os voy a poner algunos métodos usados para la sustracción de passwords y consejos generales para quedarnos todos un poco más tranquilos.

Primero voy a decir que he estado unos cuantos años trabajando como auditor de seguridad informática entre otras cosas relacionadas con el tema y tengo ya el culo pelao de lamers de pacotilla, que serán por norma general los protagonistas de los "robos" de contraseña y demás. Ya no me dedico a todo esto por motivos personales pero vamos me queda el vago recuerdo.

Cansado de ver cómo algunos pringados consiguen meteros el miedo en el cuerpo, y como ya avisé en algun post, voy a exponer un poco el tema des de el punto de vista del atacante (sin ir más allá de lo interesante), para que, conociendo los "métodos" más comunes, os podáis defender y dormir más tranquilos.

No se lo largo que va a ser el post, avisados estáis :D

Vamos a ver las formas más sencillas y usadas para colectar un password de forma física o cercana, formas en las que son necesarias una proximidad física con el atacante:

Trashing (basureo): básicamente regirar la basura y demás en busca de papeles con información sensible (emails, passwords que hayamos apuntado, id's etc). Siempre triturar papeles con información sensible y mejor aún no tener esos papeles con información sensible (leer abajo en "contraseña segura").

Shoulder surfing: sencillamente mirar de reojo al teclado cuando alguien escribe su password. Patético pero es así xD

Keylogger físico: se trata de un aparatejo que se coloca entre el teclado y el ordenador y que hace eso, monitorizar las pulsaciones de tecla (keylogger) para mandarlas luego a un correo o no. Ya que al ser físico queda almacenado en el mismo dispositivo y luego vuelve el atacante y recoje el mismo dejándolo todo como estaba y llevándose la información.

Aquí tenéis uno por si queréis saber como es: Hardware Keylogger HRD Features

Basureo digital: Esto es como regirar en las basuras pero en versión moderna. Suponed que el ordenador se os queda viejo y lo actualizáis o compráis uno nuevo. Lo normal es vender el ordenador viejo, con vuestros datos sensibles ahí metidos ala... Hacéis un format "ya está vacio". Pero no.

Existen redes de compradores de segunda mano que compran discos duros para luego rastrear en busca de datos (logs, tarjetas de crédito, información bancaria, passwords etc) con programas de restauración de datos. El format NO borra datos, sólo da formato, los datos siguen ahí.

Cuando os queráis deshacer de un disco duro usad algun programa de borrado seguro (Borrado seguro (Ficheros Utilidades Windows): Softonic)

Y ahora el resto y las que más nos interesan a nosotros:

Ingeniería social: Aquí está la grande. Éste es el que más os tiene que preocupar. Básicamente englobo en este término todos los medios, artimañas y tácticas para que consigan el password de una forma "poco técnica" por así decirlo o incluso para que vosotros cedáis el password. ¿Ceder? Sí, ceder.

Por ejemplo si recibís un mail aparentando vuestra plataforma de poker, vuestro hotmail/gmail, vuestra entidad bancaria etc (spoofing/phising) que os pide vuestro password con CUALQUIER pretexto. No importa para qué sea, jamás os pedirán el password, nunca lo déis.

En ing. social también entran métodos más "atrevidos" como llamaros por teléfono para verificar datos o información sensible. Con cualquier dato por tonto que sea se puede ir tirando del hilo, poco a poco.

Claro, nos llaman con aquella voz grave y segura, con un tono firme y puede incluso impresionar...pero no. No revelar nunca ningún dato sensible por tonto que parezca, a no ser que realmente podáis verificar que se trata de un contacto legítimo. Desconfiad de todo y si tenéis cualquier duda llamáis vosotros a la at. al cliente y verificáis aquél email o llamada que habéis recibido.

Aquí dentro también englobo los spoofs, phising o "xploits", que son e-mails que llevan o conducen a páginas web o formularios imitando la entidad spoofeada o imitada. Esta es la forma más "clásica" de robar una cuenta hotmail. Repito, no os creáis los logos, nunca os pedirán información sensible ni por teléfono ni por mail, aunque sea de forma indirecta.

Muy típico el xploit que simula ser un formulario oficial, una encuesta, una postal, un augmento de los servicios de forma gratuita etc.

Adivinación de la pregunta secreta y similares, os aseguro que de todos los casos que conozco, el 95% de las veces la sustracción de la cuenta ha sido mediante la pregunta secreta. ¿Qué es eso de tener como pregunta secreta cuál es mi color favorito? No hombre no, abajo os doy unos consejos generales.

Troyanos/keyloggers: Estos también forman parte del TOP10. Generalmente archivos exe, bat, vbs etc el 99% de las veces de transferencias por msn, cracks que nos bajamos para no pagar PT (culpable :D) etc etc.

También pueden entrar por vulnerabilidades con controles activex en el navegador, macros en el word...claro, millones de cosas que ahora tampoco interesan.

El troyano clásico es una aplicación cliente-servidor, a vosotros os mandan el servidor diciendo que es un flash (que tb pueden son win32 executable *.exe) u otra cosa y ñaca, os la han jodido, se conectan con su cliente y ala a divertirse. Aquí interesa estar detrás de un router bien configurado.

Si son muy paquetes sencillamente al abrir el exe no pasará nada a vuestra vista y si tienen un poco de cortesía lo juntarán con un flash de verdad (con un joiner por ejemplo) para que no sospechéis tanto.

El 99% de troyanos tienen también un keylogger que mandará vuestras pulsaciones de forma periódica a su correo o similar.

Esto lo arreglamos con un antivirus (recomiendo avast o kaspersky) y sobretodo NO aceptando nada de nadie. Ni de tu novia ni de tu padre. ¿Que por qué? Pues por que ellos pueden estar también infectados y ni saber que te lo están mandando. Antes de aceptar confirma que saben lo que te envian y que sea de alguien fiable. Y una vez recibido pásale un escan por si acaso, pero vamos, lo mejor es no aceptar nada (no os fiéis de los antivirus por que tampoco hacen magia).

Sniffing: pues se trata de snifar (monitorizar) el tráfico de la red. Esto es lo más clásico en cybercafés, LAN's, wifi etc. Todos los datos que no van encriptados son susceptibles a la lectura de terceros (y los que no, con un poco de maña, también :P).

No uséis cuentas sensibles en cybercafés y similares, pq estáis expuestos a esto, a los keyloggers etc.

Y no logueéis en wifi's abiertas o compartidas. De hecho lo mejor sería nunca jugar por wifi pero si la wifi está bien asegurada (fuerte encriptación, filtrado de macs, corto radio de alcance etc) creo que no os debe preocupar mucho para lo que tratamos aquí.

Pero no jugar en wifis de la calle, de la universidad, de la biblioteca..

Bruteforcing: Esto ya ni caso, vamos no creo que en el 2008 pueda pasar pero lo explico por si a alguien le interesa. Se trata de probar de forma secuencial contraseñas contra un servidor, ya sean sacadas de un diccionario (una lista de cientos o miles de contraseñas populares) o de forma aleatoria probando todos los carácteres.

De forma directa (hacia el servidor por ejemplo) lo descartaría, no conozco las políticas de seguridad de las plataformas de poker pero vamos, seguramente que a los 4 o 5 intentos os bloqueará la cuenta por unos minutos o parecido.

Luego está el otro bruteforcing, o cracking, que se trata de sacar un password mediante el hash (un hash és entre otras cosas el resultado de la encriptación de vuestra contraseña).

Por ejemplo, cuando le dáis a "recordar contraseña", lo más probable (y no os lo aseguro pq cada plataforma usará el método que prefiera) es que vuestra contraseña se encripte usando un algoritmo y se almacene el hash, no la contraseña en texto plano que se dice. Por lo que si un atacante accede a vuestro hash de alguna manera (usando una vulnerabilidad del navegador, un troyano, accediendo a vuestro pc etc) no la pueda leer. A la práctica lo que se hace es crackear ese hash con un programa (john the ripper, por ejemplo) a modo de fuerza bruta (o de otras formas).

De ahí a tener una contraseña segura (explicado más abajo), para que el tiempo de crackeo sea tan largo que el atacante desista o vosotros ya hayáis cambiado esa contraseña.

********************

********************

Usad un email de gestión desconocido: el e-mail que uséis para gestionar vuestra cuenta bancaria y/o pokeril tiene que ser desconocido. Esto es, sólo lo debéis saber vosotros, ni vuestra novia, ni el cura. Para el msn y los e-mails de los amigos usad una cuenta y para el poker usad otra y no le déis más uso que ese. Siguiendo este consejo vamos a tener cubierto mucho.

Usad una contraseña segura: siempre medianamente larga (para dificultar el shouldersurfing y el cracking), con números, letras y a poder ser símbolos (para dificultar terriblemente un intento de crackear el hash del password o un sniffing) y para ser perfecta no deben de tener sentido (no uséis como password vuestro numero de telefono...aunque lo pongáis del reves ¬¬). En teoria habría que cambiar la contraseña periódicamente...yo recomiendo cambiarla si sospecháis de cualquier cosa o si habéis estado jugando mediante wifi o creéis que habéis sido expuestos de alguna forma.

Si para tener un password seguro creéis que no lo váis a recordar, no tengáis miedo de anotar el password. Eso sí, esa libretita con los passwords guardada como oro en paño. Por experiencia sale a cuenta tener un password que no podáis recordar y que sea seguro pero sí apuntar, aunque el consejo número uno es "nunca apuntar las contraseñas" en nuestro caso no es válido y no compensa. Las apuntáis pero las dejáis en un sitio seguro que no esté a la vista o alcance de nadie y no pongáis "Mi password" o cosas así, lo anotáis y vosotros ya sabréis lo que es. Y a poder ser para quedarnos más tranqulos, las escribís con una mini criptografía: desplazando uno o más carácteres a la izquierda o la derecha (si el password es "g4mbl3r" (lo que sería una contraseña ridículamente insegura, pero es para el ejemplo) pues anotáis "h5ncm4s", pero luego acordaros, que si tenéis coco para el poker podréis recordar esto :D) aunque esto último aunque lo he visto hacer no lo recomiendo que ya es rizar el rizo demasiado y ya os digo que con vigilar el tema de ingeniería social lo tenemos ya ganado.

No uséis la pregunta secreta: ¿mi consejo? Si podéis no la habilitéis pero bueno eso se deja hacer poco. Si estáis obligados pues de pregunta ponéis la que queráis y de respuesta: rkhi3ryh239rq823dh9i...Cualquier cosa aleatoria, ni miréis lo que escribís...eso sí, luego no perdáis el password :P.

Me diréis que es una locura y que si de veras olvidáis el password estáis jodidos, pero no. La diferencia entre un atacante y tú es que tú eres tú y él no :P

Siempre váis a poder recuperar la contraseña hablando con el servicio al cliente y facilitando los datos que vuestro atacante no tiene (o no debería tener si seguís esta "mini guia") como por ejemplo la dirección física, el DNI, el bankroll que tenéis... información que at. al cliente necesita para realmente verificar que sóis quién decís ser.

Usad firefox: firefox es más seguro que otros entre muchas otras cosas y tiene un sistema de detección de phishing y engaños que da muy buenos resultados.

No compartir información sensible: procurad no divulgar por ahí vuestros teléfonos o e-mails (aunque sea el e-mail informal) por que se empieza con una pizca de información y se va tirando del hilo.

Y por último:

La seguridad es como una cadena, es tan fuerte como el más débil de sus eslabones.

Si bien esta mini-biblia solo abarca los aspectos más generales, siguiendo estos consejos no tendréis ningun problema. Espero que se haya entendido todo bien aunque no soy un brillante escritor. No dudéis en postear cualquier duda (mejor que en MP que así aprendemos todos).

Además por lo que he visto hay bastante erudito en el tema o sea que ningún problema 😄

Saludos!😄

PD: tengo los dedos rotos! XD