Investigaciones digitales con caso de estudio Chasing the “hacker”

$whoami Héctor Cuevas Cruz (23 años) Pentester & Forensic Analyst Consultor TigerTeam Sr GPEN, ACE, CDRP. Stalke me at @hecky

Análisis Forense Discos duros Móviles Red Datos volátiles IoT (Internet of Things) Wereables SCADA

¿Para qué realizar Investigaciones Digitales? Identificar un Incidente de Seguridad. Localizar un atacante. Identificar posibles fugas de información. Monitorear posibles operaciones Hacktivistas Etc…

Caso de Estudio

Contextualización Se recibe una llamada de “Karol”. Karol indica que le fue robada su cuenta de Facebook y quiere recuperarla puesto que están haciendo mal uso de sus datos 03/05/15

Una vez tomada el control de la cuenta Hotmail Cambio correos alternativos Cambio Numero de Celular Cambio Pregunta secreta Facebook Cambio contraseña

Profesión de Karol: Edecan

Vector de Ataque (Tercero involucrado) Amiga: Kathy kellerman Grupo: Edecanes Pide el correo electrónico de la víctima para enviarle información de “castings”

> Obtención de Correo > Robo de datos a través de phishing

Intento de sexting sin consentimiento

Resumen de Vector de ataque Se consigue el correo personal Se le redirige a un enlace que contiene una página maliciosa para robar datos Se intenta realizar sexting

Análisis de enlace Enlace: bit.ly/1FGggML “El análisis NO se hace sobre un navegador y menos en el que se usa normalmente”

Resumen de petición al servidor a: server.jodeque.com.ar

Decodificación: Cadena de texto: “ly/1hIh0kt” Correo de la víctima

Servidor: Jodeque.com.ar

Subdominio Aparentemente inofensivo

Redirección http://server.jodeque.com.ar/logserver1492h/CadenaBase64/Em ailBase64/index.php

Redirección: irya.com.ar Scam de Hotmail Textbox: Valor predefinido del email de la victima (la del URL)

Redirección: irya.com.ar

Análisis: irya.com.ar

Análisis: irya.com.ar El código fuente revela que: El Scam es una simple imagen. El “botón” de iniciar sesión es parte de la imagen principal, por lo que se sobrepuso una imagen transparente sobre ella que al dar “click” ejecuta código JavaScript. Se ejecuta código JavaScript que envía la información hacia un nuevo servidor: http://xploits.com.ar/logs/s.ho.php Al final redirige a otro servidor “imagenesenfacebook.com”

Buscador de contraseñas 2015 marvinclub.com.ar

Seguir pasos Nunca se logro obtener la información Mas de 20 peticiones a paginas de “ads”

For FUN & Profit Resumen Vectores laterales Obtención de email Intento de sexting Robo de credenciales Vectores laterales & Profit Pagina pornográfica Consulta de páginas de publicidad

Investigación OSINT Open Source Intelligence

Whois Las búsquedas “whois” buscan el dueño que registro un dominio. $whois dominio.com

¿Whois en Argentina? .com.ar No esta directamente registrado con la ICANN NIC.ar Para registrar un dominio se necesita del DNI

Jodeque.com.ar

Dominios Involucrados

Jonatan Pintos

Blog

Perfil de Google

Twitter

Whois: imagenesya.com

Facebook:

Pagina web personal en Facebook

Meet Jonatan

Vida Personal: Novia

Grupo “Marvin CE”

MarvinCE – MarvinCity @Youtube

PlayStore – Crear Memes app

Permisos - App

Marvin CE @googleplus

Marvin CE @googleplus

Información Recolectada

Redes Sociales Facebook Twitter Youtube Google Plus PlayStore Linkedin facebook.com/marvin.cee facebook.com/marvince.group facebook.com/Imagenes.HD.Gratis.YA Twitter twitter.com/marvin_ce Youtube youtube.com/user/MarvinCity/ Google Plus MarvinCeAR MarvinCe PlayStore play.google.com/store/apps/developer?id=Marvin+Ce Linkedin Marvin-CE

Personal Nombre: Jonatan Leonel Pintos Edad: 25 años (12/01/1990) País: Argentina Localidad: Santa Fe / Santo tome / Buenos Aires DNI: 34822364 Correo: maug.2410@gmail.com Novia: M******* Mejor Amiga: M****** Etc…

Hacking, p0rn, poetry & money For Fun & Profit

Karol ¿Se recupero la cuenta de Facebook?

Mientras Karol y yo trabajamos en recuperar la cuenta - ¿Qué hacía Jonatan?

Suplantación de Identidad

IP: 65.49.14.84 == “Proxy”

$Sexting ; Sextorsion >Okey

Permisos y desenlace Cerca de 4 cuentas más robadas. Una victima real de sexting. Obtención de información (correos, celulares, IFE) Más ataques “laterales”

¿Preguntas? Héctor Cuevas Cruz hecky@neobits.net @hecky