Spoofing, las personas que viven de robarte la vida

Espias

 

 

 

Llamamos spoofing en seguridad informática a un tipo de ataque cibernético que emplea la suplantación de identidad de varias formas. La suplantación de identidad puede ocurrir en cualquier nivel de la pila ISO / OSI y también puede implicar la falsificación de la información relativa a la aplicación, en otras palabras, es un ataque en el que una persona o programa se identifica con éxito como otro, mediante la falsificación de datos para obtener una ventaja ilegítima. Reemplazar a alguien se puede hacer de muchas maneras: obteniendo una contraseña mediante rastreo, usando programas que lean los archivos de contraseñas o usando otras técnicas.

Este ataque se puede utilizar para falsificar información diversa, como la identidad de un host dentro de una red o el remitente de un mensaje. Una vez que un atacante logra hacerse pasar por otra persona dentro de una red, puede interceptar información confidencial, difundir información falsa y sesgada o llevar a cabo cualquier tipo de ataque. Es particularmente efectivo combinado con técnicas de ingeniería social para obtener acceso a información sensible, por ejemplo las credenciales de una víctima que pertenezca a la misma red. Los estafadores de redes sociales o los phishers pueden usar esta técnica, por ejemplo, para convencer a un usuario de que se conecte a un servidor malicioso, interceptando así sus credenciales.

Suplantación de IP. Un paquete que proviene de una máquina consigue hacer creer que viene de otra. Para hacer esto, se cambia la dirección IP del remitente del paquete IP. La medida de protección es cifrar el protocolo. En el caso de VPN se realiza mediante protocolos de túnel. Muchos de los protocolos de la suite TCP/IP no proporcionan mecanismos para autentificar el origen o el destino de un mensaje, lo que los hace vulnerables a ataques de suplantación de identidad cuando las aplicaciones no toman precauciones adicionales para verificarla. La suplantación de IP y la suplantación de ARP en particular se pueden utilizar para aprovechar los ataques de intermediario contra hosts en una red informática. Los ataques de suplantación de identidad que aprovechan los protocolos de la suite TCP/IP pueden mitigarse con el uso de firewalls capaces de realizar una inspección profunda de paquetes o tomando medidas para verificar la identidad del remitente o destinatario de un mensaje.

Los ataques man in the middle consisten en desviar paquetes (en una comunicación entre dos hosts) a un atacante, que pretende ser el verdadero remitente o receptor. La estructura es la siguiente: una comunicación bidireccional en la que el atacante interviene entre los dos hosts víctimas A y B.

El atacante aún envía los paquetes que recibe al destino correcto. De esta forma los dos hosts atacados no notan que la comunicación ha sido alterada. Según la capacidad del atacante para alterar la conexión, el ataque se denomina man in the middle half duplex (en una comunicación bidireccional solo se monitorea un sentido de la conexión) o man in the middle full duplex.

El propósito de estos ataques puede ser robar información personal o monitorear y alterar la comunicación entre dos usuarios.

Cuando se cambia el nombre de dominio y la pareja de direcciones IP implicadas en la comunicación, se requiere cambiar los datos del servidor DNS. Este tipo de ataque debe considerar el ID de la consulta. El atacante intercepta la solicitud de un cliente, almacena la identificación contenida en el mensaje y crea una respuesta falsa con la identificación correcta copiada anteriormente, finalmente lo envía de vuelta al cliente que realizó la consulta. Para que el ataque sea exitoso, es necesario responder con el ID esperado por el cliente ante el servidor real. De esta forma, el cliente cree que el host atacante es el servidor. Esto se debe a que el cliente acepta la primera respuesta que se le envía con la identificación esperada. Finalmente, también es necesario interceptar las consultas inversas (aquellas que traducen una dirección IP a un nombre simbólico), ya que si se envía una nueva solicitud y no se intercepta, la víctima puede darse cuenta de que el nombre simbólico no corresponde a la IP recibida.

 

https://commons.wikimedia.org/wiki/File:NevermindCoverSpoof.jpg

 

 

 

 

En este punto, el cliente enviará todos los paquetes destinados a ese nombre simbólico al atacante, quien puede actuar como un proxy y crear una conexión con el cliente y una con el servidor y devolver cada solicitud de servicio del cliente al servidor y cada respuesta del servidor al cliente, o bien no contactar con el servidor real y no simular los servicios ofrecidos por el servidor.

En el caso de que no se pueda interceptar una consulta de DNS, se puede intentar un ataque blind, es decir, un ataque a ciegas.

La simulación de respuestas de DNS es fácilmente identificable. De hecho, al usar un servidor DNS diferente, puede verse la diferencia en las respuestas. Además, la IP del atacante está presente en el encabezado de los paquetes IP que contienen los paquetes UDP con las respuestas DNS falsificadas.

El envío de correos electrónicos se basa en el protocolo SMTP, que no requiere contraseña ni autenticación del remitente. Debido a esto, un servidor de transporte de correo electrónico, MTA o Agente de transferencia de correo en inglés, puede identificarse como perteneciente al dominio A, incluso si no lo es.

Los spammers utilizan esta flexibilidad del protocolo para, entre otros ejemplos, hacerse pasar por una institución financiera y enviar un correo electrónico en nombre del banco solicitando la contraseña del titular de la cuenta u otros datos (Phishing).

Reemplazo de un sitio web real (no es lo mismo que el con phishing), es el acto de crear un sitio web con la intención de engañar a los usuarios haciéndoles creer que el sitio web fue creado por una persona u organización diferente. Normalmente, el sitio web adopta el estilo del sitio web de destino y a veces tiene una URL similar.

Otra técnica consiste en utilizar una URL con clave. Al usar la redirección de dominio o ingresar caracteres de control, la URL puede parecer genuina al disfrazar la dirección real del sitio web.

El propósito puede ser fraudulento, a menudo asociado con suplantación de identidad o suplantación de correo electrónico, o criticar o burlarse de la persona u organización cuyo sitio web falso pretende representar.

 

 

 

 

Escucha el podcas de Radiografia de la conspiranoia. Temporada 1, capítulo 8. Shadow Brokers:

 

 

Este es un podcast de Cesc Fortuny i Fabré, de divulgación académica y científica sobre las teorías de la conspiración, así como sectas, estafas y pseudociencias. También brinda información sobre ingeniería social, y como protegerse de ella.

Este capítulo trata sobre el grupo de hackers The Shadow Brokers. Pertenece a la serie dedicada a las Ingeniería Social.

http://radiografiadelaconspiranoia.blogspot.com
https://www.facebook.com/R.Conspiranoia

RSS: https://www.ivoox.com/radiografia-conspiranoia_fg_f11186055_filtro_1.xml
Spotify: https://open.spotify.com/show/5XDO8JgZpfUmuU5KoqWAZP




 

 

 

 

 

 

Links del podcast:

Equation Group - Cyber Weapons Auction

Equation Group Cyber Weapons Auction – Invitation

@shadowbrokerss

Shadow Brokers – Les hackers de la NSA piratés?

La historia detrás del grupo de hackers Shadow Brokers y la filtración de más de 69 mil datos de tarjetas de crédito y débito

The Shadow Brokers filtran otra herramienta para hackear Windows de las que robaron a la NSA

Quiénes son los Shadow Brokers, el supuesto grupo de hackers tras la filtración de tarjetas de crédito

Shadow Brokers publica nuevos exploits atribuidos a la NSA para Windows, Office y sistemas bancarios

Shadow Brokers amenaza con difundir nuevos exploits

Shadow Brokers filtra herramientas de hacking: ¿qué significa esto para las empresas?

China aprovechó un ciberataque de la NSA contra ellos para hacerse con las armas de espionaje digital. Ahora utiliza esa tecnología contra EEUU

The Shadow Brokers: su historia desde el hackeo a la NSA hasta la venta de "exploits" por suscripción mensual