Mostrando entradas con la etiqueta mac. Mostrar todas las entradas
Mostrando entradas con la etiqueta mac. Mostrar todas las entradas

jueves, 28 de julio de 2016

PoC: Hack Pokémon Go sin Jailbreak (Sólo iPhone)

Buenas chavales!

Hoy os presento un hack para Pokemon Go.

Es exclusivamente para Iphone y con ordenador con el sistema operativo OS X instalado, preferiblemente de origen (MAC, iMAC, MACBOOK…)

Antes de continuar, deberéis tener desinstalado Pokémon Go del dispositivo.

Para hacer el hackeo a la aplicación, necesitareos 4 programas.

1º Xcode (Se descarga de la AppStore, por ejemplo)
3º El juego hackeado. https://www.iphonecake.com/ -Buscar Pokémon Go, y la versión (Tweaked)
4º iOS signer, para firmar y validar la aplicación una vez parcheada. https://dantheman827.github.io/ios-app-signer/

Teniendo todo descargado y en el escritorio, entramos en materia.

Lo primero, abrir el Xcode, y seleccionamos Create a new Xcode Project.
Seleccionamos Master-Detail Application y le damos a next. En Product Name: ponemos el nombre que queramos, en nuestro caso, RabbitHutchPokemon, y en Organization Identifier: com.RabbitHutch (por ejemplo).
Seguimos con Next, y luego Create.
Ahora estaremos en la página de inicio de Xcode, con el programa por hacer. Hay una exclamación en amarillo, le damos a FIX ISSUE, y entonces, sino estamos registrados, nos pedirá un correo electrónico y contraseña para hacernos Developer, poner la del AppStore y os deberá de dejar entrar.
Luego iremos al menú de arriba a la izquierda, que pone Xcode, y seleccionamos Preferences… Luego nos vamos a la pestaña Account, de ahí nos iremos a View Details… Y dentro, nos tiene que salir en Provisioning Profiles, una direcciones que abriremos con el segundos botón, y daremos a Show in Finder (si no os sale nada en Provisioning Profile, algo está mal hecho, seguramente no le habréis dado a la exclamación)
Continuamos con la carpeta abierta, ya podemos cerrar la pestaña, y dejamos el programa Xcode minimizado.
Ahora le podemos cambiar el nombre al archivo que hemos descargado, para que sea más sencillo, y lo guardamos en la carpeta de PokemonGoanyWhere.
Abrimos el terminal y tecleamos cd y arrastramos la carpeta (los comandos los iremos viendo en el curso que estoy haciendo, así que si no los entendeís ahora no pasa nada, lo iremos viendo) y apretamos a enter.
Una vez dentro de la carpeta, tecleamos chmod +x optool patchapp.sh y otra vez enter.
Luego ./patchapp.sh patch RabbitHutchPokemon.ipa y arrastramos el archivo que tenemos abierto en la carpeta, y le damos a enter.
Ahora se estará desempaquetando el archivo, parcheando y volviendo a empaquetar.
Para terminal, abriremos el iOS app Signer, y damos a browser y seleccionamos el archivo, luego en Provisioning Profile: Seleccionaremos el que hemos creado, daremos a STAR y guardaremos en el escritorio.
Volvemos con el paso final. Abrimos Xcode, nos vamos a Windows-Devices y seleccionamos nuestro teléfono, damo al +, seleccionamos nuestro archivo parcheado y firmado, y ya sólo nos queda terminar con el teléfono.
Vamos a AJUSTES-GENERAL-GESTIÓN DE DISPOSITIVOS, seleccionamos la cuenta, y le damos a CONFIAR, volvemos a dar a CONFIAR, y ya tenemos todo para jugar.

Espero que os haya sido de ayuda, y os dejo el vídeo donde explico todo detallado.





Un saludo!


martes, 15 de marzo de 2016

Hacking Bluetooth (Spoofing)




SPOILER ALERT ¿Recordáis en la serie Mr. Robot, la escena en la que aprovecha el sistema Bluetooth de un vehículo policial, para "spoofearlo" y conseguir acceso al ordenador del agente?





Hoy vamos a aprender a utilizar esta técnica, para realizar ataques de spoofing a dispositivos Bluetooth. El proceso es bastante parecido al Spoofing Wi-Fi o el ataque del gemelo malvado, del que ya hemos hablado en este blog.

Aunque el Bluetooth hoy día no es TAN utilizado como la tecnología Wi-Fi, y suelen traer sistemas de seguridad (como hacer no visible al Bluetooth aún estando encendido esperando la interacción humana, por ejemplo), además de no tener tantas posibilidades como el Wi-Fi, sí que nos podría salvar en determinados momentos.

Para realizar esta prueba de concepto, utilizo una máquina Kali Linux virtualizada en VMWare, un teclado Bluetooth y un teléfono Android. Queremos hacer el ataque de spoofing al teclado Bluetooth, de forma que el teléfono Android se conecte a nuestro Kali Linux.

Comenzamos iniciando el servicio de Bluetooth, si vuestro PC o portátil no tiene Bluetooth debéis instalarle un dispositivo USB Bluetooth.



Además debemos subir la interfaz de Bluetooth (al igual que podemos manejar interfaces ethernet-ethx o Wi-Fi-wlanx), para ello utilizaremos la utilidad en Kali Linux "hciconfig" (uso similar a ifconfig o iwconfig).



Comprobamos que se haya subido correctamente (por motivos de seguridad no mostraré las direcciones MAC completas de los dispositivos, ya que se trata de elementos reales y propios).



A continuación usaremos la herramienta btscan para escanear dispositivos Bluetooth cercanos.




Hemos encontrado nuestro teclado víctima, el cual se encuentra conectado al teléfono Android, es el momento de comenzar el ataque... ¡SPOOFING! Simplemente debemos usar spooftooph y agregar los siguientes parámetros:

  • -i (interfaz) = la interfaz Bluetooth que estamos utilizando
  • -a (address) = la dirección MAC del teclado bluetooth VÍCTIMA
  • -n (name) = el nombre del dispositivo víctima



Como podéis ver, en menos de 10 minutos (5 si tenemos práctica) podemos hacer un ataque de spoofing Bluetooth, y aun pareciendo el Bluetooth un sistema obsoleto o antiguo, aún dispositivos como ratones, teclados, manos libres de coches, móviles, etc usan esta tecnología, que además suele estar olvidada en cuanto a la seguridad... Un sistema con alto nivel de seguridad, podría ser altamente vulnerable gracias a un ratón o un teclado inalámbrico Bluetooth...




martes, 8 de marzo de 2016

KeRanger: Descubierto ransomware para MAC (OS X)



Autor: Diego Jurado


Buenas a todos hackers!!
Hoy vamos a hablaros sobre un tema que nos acontece, es la noticia del momento y es que era solo cuestión de tiempo pero finalmente podemos decir: OS X ha sido vulnerado.
Hasta ahora, los usuarios de Apple podían presumir de ser uno de los únicos sistemas operativos que no había sufrido de las amenazas de Internet, pero esto ya es historia.

El 4 de marzo de este mismo mes, se registró el primer ataque de ransomware, bautizado como KeRanger dirigido a usuarios de Apple y esto es un problema, especialmente para los amantes de las descargas, ya que este ´malware´ ha sido difundido a través de software torrent y puede afectar a cualquier tipo de Mac, siempre que el usuario se encargue de ejecutar la aplicación asociada.

El único ransomware conocido para OS X hasta ahora fue descubierto por Kasperky Lab en 2014, fue denominado como FileCoder y estaba incompleto, mientras que KeRanger , según los investigadores de Palo Alto, se trata de "el primer ransomware completamente funcional que se ha visto en la plataforma OS X".



¿Qué es un Ransomware?

Un ransomware (del inglés ransom = rescate / ware = software) se trata de un tipo de programa informático malicioso, que encripta y restringe el acceso generalmente a archivos o partes del sistema que ha sido vulnerado.
Una vez se tienen los datos encriptados, la única forma de recuperar estos archivos es mediante el pago de un rescate que se le pide al usuario. 

Esto supone un daño crítico, especialmente a empresas u organizaciones que dependen de sus archivos y que se han visto en más de una ocasión a pagar dicho rescate, como por ejemplo hace un mes, un hospital en los Angeles se vio obligado a pagar 40 bitcoins (equivalente a $16700) para recuperar parte de sus sistema que fue afectado por un ramsomware.






KeRanger Ransomware

Para la propagación de este ransomware, los atacantes se aprovecharon de una actualización de Transmission, un cliente de BitTorrent para OS X que llevaba dos años sin actualizarse.
Los creadores inyectaron KeRanger en dos instaladores de la versión 2.90, aprovechando que esta es una aplicación de código abierto (open source).




La aplicación infectada con KeRanger estaba firmada con un certificado de desarrollador de Apple, que lograba evitar que Gatekeeper (mecanismo de seguridad integrado en OS X) detectase la aplicación como peligrosa y rechazase su instalación.

Cuando un usuario instala la aplicación, un ejecutable embebido en la misma, pasa a formar parte del sistema. Es entonces cuando KeRanger (a los 3 días aproximadamente) se conecta con sus servidores de control y comando en la conocida red Tor y comienza a cifrar ciertos tipos de documentos y archivos de datos del sistema.


Estos son algunos de los tipos de documentos que se cifran: 




Tras finalizar este proceso, se solicita automáticamente al usuario afectado que pague un BitCoin ($400 aproximadamente) a una dirección especifica para poder recuperar sus documentos. 

Se dice que KeRanger sigue en proceso de desarrollo, y este malware intenta cifrar tambien el contenido de las copias de seguridad de Time Machine para prevenir recuperar información desde sus copias de seguridad. 




¿Como detectarlo y como protegerse?

Como era de esperar, la reacción ha sido rápida, y desde Transmission ya se han dado cuenta, y han lanzado una nueva version 2.92, donde se ha eliminado el ransomware. Esta actualización ha pasado a ser obligatoria para todos los usuarios  de la aplicación.

Pero,  ¿como podemos saber si estamos infectados?, ¿como nos protegemos?

Si vamos a Transmission y hacemos clic en Mostrar contenido del paquete con el segundo botón del ratón, podremos observar que hay un archivo extra denominado General.rtf en la ruta:
Transmission.app/Content/MacOS/Transmission. 

Este archivo de texto no es más que un ejecutable empaquetado con UPX 3.91.

Cuando el usuario infectado ejecuta la aplicación, dicho archivo se copia en la ubicación: 
Library/kernel_service y se ejecuta el servicio antes de que ninguna interfaz aparezca para recolectar información del modelo de Mac y su identificador UUID.

Estos datos se envían a un servidor externo, y este devuelve una respuesta informando sobre el rescate.



Si queremos saber si hemos sido infectados, debemos seguir los siguientes pasos: 
  • Abrir Terminal o Finder y verificar si tenemos el archivo General.rtf en nuestro equipo. Para ello basta con mirar las rutas: 

          /Applications/Transmission.app/Contents/Resources/General.rtf           /Volumes/Transmission/Transmission.app/Contents/Resources/

  • Mediante el Monitor de actividad, deberemos verificar los procesos que están activos. Si encontramos uno llamado "kernel_service" ejecutandose, deberemos hacer doble click sobre él, ir a la opción de Archivos y puertos abiertos (Open Files and Ports) y ver si hay un archivo con el nombre: /Users/<username>/Library/kernel_service , en este caso, forzaremos el cierre.

  • Por último, comprobaremos si los archivos: kernel_pid, kernel_time, kernel_complete o kernel_service existen en la carpeta Library directory, en este caso los eliminaremos.



Recomendaciones

Desde aqui, recomendamos siempre tener una copia de seguridad disponible, por si alguna vez sufrimos este tipo de ataques, con ella estaremos mucho más seguros.

Es importante concienciarse de que todos nuestros datos están expuestos, y de que todos somos vulnerables. 

Este es el primer caso de ransomware que hace que el Mac (OS X) ya no pueda mantener su reputación como bastión de seguridad por encima de Windows.



"Pienso que los virus informáticos muestran la naturaleza humana: la única forma de vida que hemos creado hasta el momento es puramente destructiva"  - Stephen Hawking -



Google Analytics