Este documento describe el uso de Internet como un medio de guerra y conflictos cibernéticos. Explica cómo ataques como Stuxnet y GhostNet han explotado vulnerabilidades en sistemas de Windows, bases de datos y software de servidor para extraer inteligencia o causar daños. También presenta una herramienta llamada Hookle que ha escaneado más de 14 millones de hosts en Internet para identificar sistemas vulnerables como impresoras, cámaras web, servidores IIS y JBoss que podrían ser objetivos de ataques ciberné

1. Global Warfare
David López Paz

2. OH HAI!

4. (Des)Motivación
- Importancia de Internet en conflictos reales
- Cómo analizar la web mundial
- Nuesra aproximación: Hookle
- 0-days A.K.A
BOTNETS

5. NOT this
war
Internet como medio de
guerra

6. Orígenes
- 1982: Los soviéticos necesitan un SCADA
para sus cañerías de gas.
- Canadá desarrolla un SCADA en el que el
KGB está interesado.
- La CIA inserta una bomba lógica en el
software de los canadienses.
- Los comunistas le roban el software a los
Canadienses.

8. Cuentos Chinos

9. Cuentos Chinos
- GhostNet
- Titan Rain SQLi
- Night Dragon
- Adobe
- Google IE 0-day
- 40 más...

10. Stuxnet

11. Stuxnet
- Inicialmente, ataca sistemas Windows vía
USB y red.
- Contiene... ¡4 0days!
- Autocertificación con material robado de
Realtek
- Objetivo: Centrales Nucleares de Irán

12. Wikileaks
- No exactamente ciberguerra, aunque la
información sigue siendo el objetivo.
- Componente cibernético, defensa: DDoS

13. Conclusión
La ciberguerra existe
Más info en la charla de Iftach Ian Amit de la DEF CON 18

14. Ataques web masivos

15. ¿Por qué?
- Porque en la variedad está el gusto:
- SW de servidor: Apache, IIS...
- SW de DB: MySQL, DB2...
- SW de usuario: Wordpress, TWiki...
- Por comodidad, muchas veces la web es un
frontend a un servicio crítico

16. ¿Para qué?
- Botnets
- Extracción de inteligencia de DB’s
- Daños colaterales
- Defacing / Propaganda
- Phising

17. Conclusión
Queremos muchas máquinas (recursos), sin
importarnos quiénes sean (información)

18. ¿Cómo empezamos?
¡Escaneando todo Internet en busca de servidores!

19. Información de un host
HEAD / HTTP 1.0
- Software de servidor
- Cabeceras aceptadas
- Sistema Operativo
- Lenguaje de servidor

20. Información de un host
GET / HTTP 1.0
- Software de usuario
- Tipo de contenido

21. Información de un host
DNS PTR REQUEST
- Dominio público
- TLD (p. ej. “.gov”)
- Compañía

22. Información de un host
GeoIP Database
- País
- Ciudad
- Coordenadas

23. Info de una vulnerabilidad
- Reg. expr. de Headers afectados.
- [Reg. expr. de Index afectados.]
- [CVE URL]
- [POC URL]
- [Exploit]

25. Componente 1: Crawler
- Muchas máquinas, una base de datos
- ¡Velocidad! POSIX Threads, ANSI C
- HEAD es fácil, GET no lo es: libcurl

26. Componente II: Datos
- MySQL
- Sphinx

27. Componente III: Frontend
- PHP
- JQuery
- GMaps API v3

28. 14.000.000

29. 14.000.000
- 250.000 hosts por día
- ~ 91 millones al año
- 800 hilos
- 2 máquinas
- 2 meses de pleno funcionamiento

30. 14.000.000: Este año

31. 14.000.000: Este mes

32. 14.000.000: Por país

33. DEMO!

36. Funcionalidades
- Búsqueda por IP, país, ciudad, header, {index},
vulnerabilidad, severidad. ¡>> shodan!
- Gestión de vulnerabilidades wiki-like
- Gestor de Exploits, POC’s... wiki-like
- Live view

37. Vuln discovery con Hookle

38. Vulnerability discovery
con Hookle
- Miles de banners que gritan: Soy Vulnerable!
- Es fácil encontrarlos en el Live View
- Hackear un banner = Hackear 1k servidores
- Hacking orientado a recursos != información
esta
charla

39. First test: Fun with printers
Server: Chai%
20113 unidades en Hookle

40. ... O con webcams
Server: %AvTech%, %Av-Tech%
8096+9674 unidades

41. IIS 4/5 Unicode Bug
Server: Microsoft-IIS [4,5].0
4098+131620 = 135718 unidades en Hookle

42. “Trimble, now including Spectra Precision, is the government's largest
manufacturer and supplier of surveying, leveling and grade control
systems. The U.S. Army, Marines, and Air Force choose Trimble products
to ensure all construction missions are completed on time.”

43. Trimble GPS
254 unidades en Hookle!

44. 254 unidades en Hookle!

45. DEMO!

46. ONE-ASP

47. Sun-ONE-ASP
5002 unidades en Hookle!

48. DEMO!
Privilegios por defecto: ROOT

49. Inifinidad de ejemplos
Dell DRAC Sun iLOM
Server: GoAhead-Webs%idrac Server: Sun-ILOM
487 unidades 627 unidades
“Root execution” “Root execution”

50. Inifinidad de ejemplos
JBoss
Server: JBoss
15492 unidades vulnerables
Command Execution

51. RomPager 4.07
Denial Of Service
1.287.943

58. Esto es sólo el principio....
- Optimización de la DB
- Dar de alta más máquinas ($)
- Acceso público a la
herramienta?
- Colaboraciones en
vulnerabilidades/POC’s

59. ¡Gracias!
developers are:
knx knx@painsec.com @knithx
NighterMan NighterMan@painsec.com @NighterMan