Sherlock Linux distribución orientada a OSINT

 

Imagen obtenida de Sherlock Linux

Sherlock Linux es una distribución open source basada en Debian 64 bits, utiliza el entorno de escritorio XFCE y en su versiones para entornos virtuales se encuentran en español. Contiene todas las herramientas necesarias para la obtención de información en fuentes abiertas en una investigación OSINT.

OSINT es un anagrama en inglés open-source intelligence, en su traducción literal seria La inteligencia de fuentes abiertas. Básicamente seria recabar información de fuentes abiertas al público de por ejemplo una persona: nombre completo, redes sociales en las que publica, correo electrónico, dirección física etc... También se pueden realizar para estudios de mercado y/o investigación, como por ejemplo ciudades son más seguras en cuanto ataques terroristas perpetrados. Ello engloba una serie de técnicas o herramientas para rastrear de forma inteligente las distintas redes de información en Internet para recabar información clasificándola de forma ordenada.

Las técnicas o herramientas utilizadas en OSINT, entre otras, son muy importantes para la Ciberseguridad, puesto que para los ciberdelicuentes es la primera fase a la hora de realizar un ciberataques, a personas empresas e instituciones. Conocer que datos pululan por Internet sobre nosotros nos permite saber como ocultarnos, o como ofuscar ciertos datos comprometidos, como puede ser nuestra dirección o numero de teléfono personal.

Imagen obtenida de Incibe articulo Las 7 fases de un ciberataque. ¿Las conoces?

En la documentación se detallan las herramientas pre-instaladas y los marcadores  y extensiones agregados a los navegadores que se incluyen. Esta muy detallada y es una muy buena base de datos, que incluye enlaces web a las herramientas instaladas en la distribución.

Sherlock Linux se puede obtener por dos vías diferentes, descargando una máquina virtual (ova), se encuentran disponibles para virtualizadores VMware y Virtualbox, o una imagen (iso) con todo el software pre instalado o descargando el proyecto de GitHub de la distribución y ejecutar el script de instalación.

Escanear todos los sistemas dentro de nuestro rango con Nmap

Nmap es un programa de código abierto y multiplataforma que sirve para efectuar rastreo de puertos.

En este caso vamos a realizar un escaneo de todos los dispositivos conectados a nuestro rango de IP. Para que nos muestre en un archivo que puertos se encuentran abiertos, y por lo tanto una puerta de entrada a posibles ciberataques. 

Te dejo un ejemplo, para utilizar en terminal Linux, para realizar un escaneo a todos los equipos que se encuentren en nuestra LAN.

Si solo quieres realizar un escaneo a un equipo, cambiaremos <comienzo de nuestro rango ip>/24 por el numero de IP del equipo que queremos analizar, por ejemplo 192.168.5.12

sudo nmap -p- --open -T5 -v -n -A -sV -Pn -sS <comienzo de nuestro rango ip>/24 -oX Descargas/escaneo.xml

• sudo: permite ejecutar comandos con privilegios de «super usuario».
• nmap: es la herramienta que vas a utilizar para realizar el escaneo de puertos.
• -p- : hace referencia a los puertos.
• --open: sirve para seleccionar únicamente los puertos que están abiertos.
• -T5: hace referencia al temporizador del escaneo. Puede ir de 0 a 5, donde 0 es menos agresivo y lento y 5 es más agresivo y rápido.
• -v: aplica verbose, para ver los resultados según va escaneando.
• -n: no aplica resolución DNS, lo que genera más ruido y ralentiza el escaneo.
• -A: detecta el sistema operativo y los servicios. 
• -sV: descubre las versiones de los servicios.
• -Pn: evita el descubrimiento de host, que puede ralentizar el análisis.
• -sS: realiza la comunicación a través del protocolo TCP más rápida.
• <comienzo de nuestro rango ip>/24 Buscaremos en toda nuestra red. Si nuestro equipo se encuentra en la dirección IP 192.168.5.12 y la mascara de subred fuera 255.255.255.0, nuestro rango IP seria 192.168.5.0/24
• -oX se utiliza para exportar a un archivo y el resto del comando hace referencia a la ubicación en la que se va a descargar un archivo denominado «escaneo.xml», donde se guardarán todos los puertos abiertos que ha encontrado el escaneo.

🔔 Es posible que le lleve tiempo rastrear todos los servicios y todos los equipos de la red. Con esta configuración obtendremos mucha información de todos los dispositivos que se encuentran en nuestra LAN

Para facilitar su visualización utilizaremos el comando xsltproc

xsltproc Descargas/escaneo.xml -o escaneo.html

 

The Harvester herramienta OSINT

TheHarvester es una herramienta, OSINT (Open Source Intelligence), de código abierto diseñada para la recopilación de información utilizando fuentes abiertas y determinar el panorama de amenazas externas hacia una empresa expuesta a Internet. Permite la recopilación de cuentas de correo electrónico, subdominios, direcciones IP, URL, todo esto usando múltiples fuentes, para estudiar cual es la mejor puerta de entrada para poder extorsionar a una empresa y obtener dinero con un ciberataque. La herramienta fue desarrollada por Christian Martorella bajo licencia GNU GPLv2.

Como todas las herramientas de obtención de datos, son navajas de doble filo. Pueden ser utilizadas para la obtención de datos para la penetración en una empresa y realizar un cifrado de discos duros y así obtener una recompensa por el secuestro sus datos. O bien ver cual es el grado de exposición que tenemos y realizar labores preventivas para evitar ciberataques.

The Harvester puede ser utilizado desde la distribución Kali Linux. Esta herramienta viene instalado de forma predeterminada y es utilizada desde su terminal con el comando

 theHarvester

 

Para obtener ayuda sobre su opciones utilizaremos:

theHarvester -h

• -d: dominio objetivo sobre el que se quiere realizar el análisis.
• -l: límite para evitar que la búsqueda colapse. Se puede limitar a un número determinado de resultados, por ejemplo, al límite -l 100. El limite por defecto es 500 resultados
• -f: archivo. Si se quiere exportar los resultados a un archivo, los formatos más habituales son .xml o .json, por ejemplo, -f resultados.xml. Es muy interesante salvaguardar los datos obtenidos, para realizar un estudio sobre cual son nuestras brechas para poner énfasis en su salvaguarda.
• -b: fuente. Se pueden especificar uno o varios motores de búsqueda con los que se realizará el análisis. Por ejemplo, -b bing.

Ejemplo:

theHarvester -d enfaseterminal.com -l 100 -b bing

 

 Fuentes en las que The Harvester obtiene datos sobre el dominio que queremos proteger.

• anubis: Anubis-DB - https://github.com/jonluca/anubis

• bevigil: CloudSEK BeVigil escanea la aplicación móvil en busca de activos OSINT y los pone a disposición a través de una API - https://bevigil.com/osint-api

• baidu: buscador Baidu - www.baidu.com

• binaryedge: Lista de subdominios conocidos de www.binaryedge.io

• bing: motor de búsqueda de Microsoft - www.bing.com

• bingapi: motor de búsqueda de Microsoft, a través de la API (requiere una clave de API, consulte a continuación).

• brave: Buscador Brave - https://search.brave.com/

• bufferoverun: https://tls.bufferover.run

• censys: El motor de búsqueda Censys, utilizará búsquedas de certificados para enumerar subdominios y recopilar correos electrónicos (requiere una clave API, ver más abajo). - censys.io

• certspotter: Cert Spotter supervisa los registros de transparencia de certificados - https://sslmate.com/certspotter/

• Motor de búsqueda criminalip Specialized Cyber Threat Intelligence (CTI) - https://www.criminalip.io

• crtsh: Búsqueda de certificados de Comodo - https://crt.sh

• dnsdumpster: buscador DNSdumpster - https://dnsdumpster.com

• duckduckgo: buscador DuckDuckGo - www.duckduckgo.com

• fullhunt: La plataforma de seguridad de superficie de ataque de próxima generación - https://fullhunt.io

• github-code: motor de búsqueda de código de GitHub (requiere un token de acceso personal de GitHub, ver más abajo). - www.github.com

• hackertarget: escáneres de vulnerabilidades en línea e inteligencia de red para ayudar a las organizaciones - https://hackertarget.com

• hunter: Motor de búsqueda Hunter (Requiere una clave API, ver más abajo.) - www.hunter.io

• hunterhow: Motores de búsqueda en Internet para investigadores de seguridad - https://hunter.how

• intelx: Motor de búsqueda Intelx (requiere una clave API, consulte a continuación). - www.intelx.io

• omnisint: Project Crobat, A Centralised Searchable Open Source Project Sonar DNS Database - https://github.com/Cgboal/SonarSearch

• otx: AlienVault Open Threat Exchange - https://otx.alienvault.com

• Pentest-Tools.com: Kit de herramientas basado en la nube para pruebas de seguridad ofensivas, centrado en aplicaciones web y pruebas de penetración de red (requiere una clave API, ver más abajo). - https://pentest-tools.com/

• projecdiscovery: Recopilamos y mantenemos activamente datos de activos en Internet, para mejorar la investigación y analizar los cambios en torno a DNS para obtener mejores conocimientos (requiere una clave de API, consulte a continuación). - https://chaos.projectdiscovery.io

• rapiddns: herramienta de consulta DNS que facilita la consulta de subdominios o sitios de una misma IP. https://rapiddns.io

• rocketreach: acceda a correos electrónicos personales / profesionales verificados en tiempo real, números de teléfono y enlaces de redes sociales. - https://rocketreach.co

• securityTrails: Motor de búsqueda Security Trails, el repositorio de datos. DNS históricos más grande del mundo (requiere una clave API, ver más abajo). - www.securitytrails.com

• shodan: El motor de búsqueda Shodan, buscará puertos y banners de hosts descubiertos (requiere una clave API, ver más abajo). - https://shodan.io

• subdomainfinderc99: Un buscador de subdominios es una herramienta utilizada para encontrar los subdominios de un dominio determinado - https://subdomainfinder.c99.nl

• threatminer: minería de datos para inteligencia de amenazas - https://www.threatminer.org/

• urlscan: un espacio aislado para la web que es un escáner de URL y sitio web - https://urlscan.io

• vhost: búsqueda de hosts virtuales de Bing

• VirusTotal: virustotal.com búsqueda de dominios

• Yahoo: motor de búsqueda Yahoo

• zoomeye: Versión china de shodan - https://www.zoomeye.org

Desde este Blog recomendamos el uso de este tipo de herramientas únicamente para encontrar vulnerabilidades para reforzar y aplicar las acciones de seguridad para evitar ciberataques. 

Un SMS te puede arruinar el fin de semana

Un SMS recibido en el teléfono móvil el sábado te puede arruinar el fin de semana.

Suele ser el sábado cuando los estafadores te suelen enviar un SMS, alertándote que:

+34 639 156 307 >

Banco BBVA-

Estimado cliente: A partir del 09/04/2023, no podra utilizar su cuenta. Hasta que actualice e nuevo sistema de seguridad :

<enlace de acceso para actualizar tus credenciales> 

Este tipo de timos se llaman: Smishing es un tipo de ataque de phishing que se dirige a los usuarios de teléfonos móviles a través de mensajes SMS imitado a entidades bancarias. Y suele ser recibidos los días anteriores a fines de semana, puentes o festivos. Para que el usuario crea que no va a disponer de efectivo hasta el siguiente día laborable.

El objetivo de este tipo de fraude, es la de obtener nuestros datos y contraseñas para acceder a nuestra entidad bancaria en nuestro nombre y vaciarnos la cuentas.

• Primero de todo hay que fijarse en quien envía en mensaje. Si el numero no se encuentra en nuestra lista de contactos, y aun asi hay que actuar con precaución por que el teléfono ha podido ser hacheado, o no apareceré como nombre de la entidad que lo envía. Desconfía

• Prestar atención al texto del mensaje, suele haber faltas de ortografía, no estar bien redactado, la entidad bancaria no corresponde con la que utilizamos habitualmente. 

Nuestra entidad bancaria comunicara con nosotros a través de la aplicación que tengamos instalada en el teléfono móvil. Y nunca proporcionaremos datos a aquellos que quieran contacten con nosotros, confirmaremos con nuestra entidad la veracidad de las comunicaciones que recibamos mediante los cauces que tengamos establecidos: teléfono de la sucursal que usamos, pagina web oficial, o directamente con nuestro cajero.

 

• Analicemos el enlace y no hagamos click sobre el. En este caso el enlace parece de un servidor seguro, pero no corresponde con la web de BBVA  https://www.bbva.com/. Y si accedemos al dominio, este pertenece a una pagina de acortamiento de enlaces.
• 
  

No accedas desde enlaces que le proporcionen por mensajería o SMS. Utiliza tus canales de contacto con la entidad.

Pasamos el enlace a la pagina VirusTotal que nos informara si enlace nos puede llevar a una pagina con virus o rastreadores maliciosos, y si a sido notificada como pagina utilizada para phishing

Pero si accedemos al enlace web que nos han enviado llegaremos a una página con una estética muy parecida a nuestra entidad, en este caso BBVA. Y en la que si intentamos acceder con nuestras credenciales, están pasaran a manos de los ladrones, que nos vaciaran la cuenta y entonces si, nos arruinaran el fin de semana he incluso el mes.

 

¿Que debemos hacer si recibimos un SMS sospechoso phishing?

• Antes de cualquier acción contactar con nuestra entidad bancaria mediante los medios que utilicemos habitualmente, nunca mediante el SMS  o mensaje nos hayan enviado.
• No pulsar sobre el enlace que nos han enviado a través del mensaje
• Realizar una captura de pantalla de SMS
• Bloquear al destinatario de mensaje.
• Borrar el mensaje
• Informar a nuestros contactos, enviadles la captura de pantalla y advirtiéndoles que actuen con precaución.
• Informar a Guardia Civil y Policía sobre la estafa para que tomen medidas o informen en sus redes sociales. 
• También puedes informar al Instituto Nacional de Ciberseguridad de España INCIBE para que analicen el enlace que te han enviado e informen sobre el fraude.

Gracias.

017 – Tu ayuda en ciberseguridad, 

amentablemente, existen multitud de fraudes que tienen como objetivo obtener datos personales, bancarios o beneficios económicos de las víctimas como has podido comprobar. En nuestra página web informamos sobre diversas campañas que guardan similitud con la que nos has reportado: https://www.osi.es/es/actualidad/avisos/2022/03/aumentan-los-envios-de-sms-fraudulentos-que-suplantan-entidades-bancarias

017 – Tu ayuda en ciberseguridad, 

Por nuestra parte, al habernos facilitado la URL, el fraude va a ser notificado a nuestro equipo de gestión de incidentes para que un técnico experto pueda analizarlo y realice las gestiones oportunas para tratar que afecte a las menos personas posibles. Continúa reportándonos la información cada vez que detectes un posible riesgo para continuar trabajando en minimizar los peligros online enviando un correo a incidencias@incibe-cert.es. Tienes más información sobre vías de reporte en el siguiente enlace: https://www.osi.es/es/reporte-de-fraud

017 – Tu ayuda en ciberseguridad, 

Como en el resto de mensajes, Whatsapp o correos potencialmente fraudulentos que recibas, recomendamos no acceder a sus enlaces o archivos adjuntos ya que representan un riesgo para tu información, ni facilitar datos personales ni bancarios de ningún tipo, como entendemos que vienes realizando correctamente. Lo recomendable en estos casos es bloquear el número de teléfono / remitente como spam el remitente del correo y eliminarlo.