The Harvester herramienta OSINT

TheHarvester es una herramienta, OSINT (Open Source Intelligence), de código abierto diseñada para la recopilación de información utilizando fuentes abiertas y determinar el panorama de amenazas externas hacia una empresa expuesta a Internet. Permite la recopilación de cuentas de correo electrónico, subdominios, direcciones IP, URL, todo esto usando múltiples fuentes, para estudiar cual es la mejor puerta de entrada para poder extorsionar a una empresa y obtener dinero con un ciberataque. La herramienta fue desarrollada por Christian Martorella bajo licencia GNU GPLv2.

Como todas las herramientas de obtención de datos, son navajas de doble filo. Pueden ser utilizadas para la obtención de datos para la penetración en una empresa y realizar un cifrado de discos duros y así obtener una recompensa por el secuestro sus datos. O bien ver cual es el grado de exposición que tenemos y realizar labores preventivas para evitar ciberataques.

The Harvester puede ser utilizado desde la distribución Kali Linux. Esta herramienta viene instalado de forma predeterminada y es utilizada desde su terminal con el comando

 theHarvester

 

Para obtener ayuda sobre su opciones utilizaremos:

theHarvester -h

• -d: dominio objetivo sobre el que se quiere realizar el análisis.
• -l: límite para evitar que la búsqueda colapse. Se puede limitar a un número determinado de resultados, por ejemplo, al límite -l 100. El limite por defecto es 500 resultados
• -f: archivo. Si se quiere exportar los resultados a un archivo, los formatos más habituales son .xml o .json, por ejemplo, -f resultados.xml. Es muy interesante salvaguardar los datos obtenidos, para realizar un estudio sobre cual son nuestras brechas para poner énfasis en su salvaguarda.
• -b: fuente. Se pueden especificar uno o varios motores de búsqueda con los que se realizará el análisis. Por ejemplo, -b bing.

Ejemplo:

theHarvester -d enfaseterminal.com -l 100 -b bing

 

 Fuentes en las que The Harvester obtiene datos sobre el dominio que queremos proteger.

• anubis: Anubis-DB - https://github.com/jonluca/anubis

• bevigil: CloudSEK BeVigil escanea la aplicación móvil en busca de activos OSINT y los pone a disposición a través de una API - https://bevigil.com/osint-api

• baidu: buscador Baidu - www.baidu.com

• binaryedge: Lista de subdominios conocidos de www.binaryedge.io

• bing: motor de búsqueda de Microsoft - www.bing.com

• bingapi: motor de búsqueda de Microsoft, a través de la API (requiere una clave de API, consulte a continuación).

• brave: Buscador Brave - https://search.brave.com/

• bufferoverun: https://tls.bufferover.run

• censys: El motor de búsqueda Censys, utilizará búsquedas de certificados para enumerar subdominios y recopilar correos electrónicos (requiere una clave API, ver más abajo). - censys.io

• certspotter: Cert Spotter supervisa los registros de transparencia de certificados - https://sslmate.com/certspotter/

• Motor de búsqueda criminalip Specialized Cyber Threat Intelligence (CTI) - https://www.criminalip.io

• crtsh: Búsqueda de certificados de Comodo - https://crt.sh

• dnsdumpster: buscador DNSdumpster - https://dnsdumpster.com

• duckduckgo: buscador DuckDuckGo - www.duckduckgo.com

• fullhunt: La plataforma de seguridad de superficie de ataque de próxima generación - https://fullhunt.io

• github-code: motor de búsqueda de código de GitHub (requiere un token de acceso personal de GitHub, ver más abajo). - www.github.com

• hackertarget: escáneres de vulnerabilidades en línea e inteligencia de red para ayudar a las organizaciones - https://hackertarget.com

• hunter: Motor de búsqueda Hunter (Requiere una clave API, ver más abajo.) - www.hunter.io

• hunterhow: Motores de búsqueda en Internet para investigadores de seguridad - https://hunter.how

• intelx: Motor de búsqueda Intelx (requiere una clave API, consulte a continuación). - www.intelx.io

• omnisint: Project Crobat, A Centralised Searchable Open Source Project Sonar DNS Database - https://github.com/Cgboal/SonarSearch

• otx: AlienVault Open Threat Exchange - https://otx.alienvault.com

• Pentest-Tools.com: Kit de herramientas basado en la nube para pruebas de seguridad ofensivas, centrado en aplicaciones web y pruebas de penetración de red (requiere una clave API, ver más abajo). - https://pentest-tools.com/

• projecdiscovery: Recopilamos y mantenemos activamente datos de activos en Internet, para mejorar la investigación y analizar los cambios en torno a DNS para obtener mejores conocimientos (requiere una clave de API, consulte a continuación). - https://chaos.projectdiscovery.io

• rapiddns: herramienta de consulta DNS que facilita la consulta de subdominios o sitios de una misma IP. https://rapiddns.io

• rocketreach: acceda a correos electrónicos personales / profesionales verificados en tiempo real, números de teléfono y enlaces de redes sociales. - https://rocketreach.co

• securityTrails: Motor de búsqueda Security Trails, el repositorio de datos. DNS históricos más grande del mundo (requiere una clave API, ver más abajo). - www.securitytrails.com

• shodan: El motor de búsqueda Shodan, buscará puertos y banners de hosts descubiertos (requiere una clave API, ver más abajo). - https://shodan.io

• subdomainfinderc99: Un buscador de subdominios es una herramienta utilizada para encontrar los subdominios de un dominio determinado - https://subdomainfinder.c99.nl

• threatminer: minería de datos para inteligencia de amenazas - https://www.threatminer.org/

• urlscan: un espacio aislado para la web que es un escáner de URL y sitio web - https://urlscan.io

• vhost: búsqueda de hosts virtuales de Bing

• VirusTotal: virustotal.com búsqueda de dominios

• Yahoo: motor de búsqueda Yahoo

• zoomeye: Versión china de shodan - https://www.zoomeye.org

Desde este Blog recomendamos el uso de este tipo de herramientas únicamente para encontrar vulnerabilidades para reforzar y aplicar las acciones de seguridad para evitar ciberataques. 

Enviar correos con CCO

A pesar de SPAM el correo electrónico sigue siendo uno de los mejores medios para mantenerse en comunicación con el banco, el colegio de los niños, recibir ofertas de trabajo, recibir notificaciones de la empresa, o enviar y/o recibir información con amigos y familiares que no pueden ser enviados por aplicaciones de mensajería.

Con la llegada de las políticas de privacidad (Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.), hay que ser muy cuidadoso a la hora de conformar un e-mail. Recuerda que sino se dispone del consentimiento por escrito, no puedes desvelar información sensible de tus contactos, a los receptores del correo electrónico. En este caso su dirección personal de correo electrónico.

A la hora de indicar quienes van a recibir el correo electrónico hay que tener en cuenta los tres campos para añadir los contactos que van a recibir nuestro correo.

Desplegar CC y CCO en Gmail

• ⛔Para: Destinatario del correo electrónico. Esa persona o personas a las que se los mandas. Esta información es siempre pública, lo que quiere decir que si lo reenvías en copia, todos los que la reciban podrán ver el destinatario original. Este el campo que aprece siempre en nuestas aplicación de correo y suele ser en la que colocamos todos los contactos a los que les enviamos el correo, CUIDADO, ESTÁS COMPARTIENDO INFORMACIÓN Y PUEDE QUE NO ESTÉS AUTORIZADO A DESVELAR DICHA INFORMACIÓN

• ⛔CC o Copia de Carbón: Permite enviar copias de un correo a otros destinatarios además de los principales a los que va dirigido. Es una copia pública, por lo que tanto el o los destinatarios principales como los usuarios puestos en copia, podrán ver a quién más se le envía el correo. En este caso el envio no es como en la primera opción, pero aun así ESTAS DESVELANDO AL RESTO LOS DATOS DE TUS CONTACTOS.

• 🆗CCO o Copia de Carbón Oculta: Permite enviar copias de un correo a otros destinatarios además de los principales a los que va dirigido. Es una copia privada, por lo que ni el o los destinatarios principales ni los usuarios puestos en copia podrán ver a quién más se le envía el correo. Sería la opción correcta si no quieres desvelar las direcciones personales de tus contactos al resto de destinatarios

Hay ser consecuente, donde y quien enviamos los correos. 

No es lo mismo los correos corporativos en el cual envían copias a tu jefe, comercial y a un cliente. En el cual se debería utilizar el campo CC.

Que el correo de la profesora a los padres informando sobre la actividad que van a realizar sus hijos la semana que viene. En este tipo de correos, yo no tengo por que saber el correo electrónico personal de ninguno de los padres, ni el resto a de conocer mi email personal. Este caso las direcciones de correo de los padres, deberían colocarse en el campo CCO. Todos recibimos el correo sin desvelar la dirección de los destinatarios.

¿Puedes detectar cuándo te están engañando?

Si lees este entrada es que estas conectado a la red de redes. Tu vida esta expuesta a internet, usas aplicaciones de mensajería, no tienes que ir a tu banco a resolver domiciliaciones, conoces al instante tus gastos de la tarjeta de crédito y tienes una o varias cuentas de correo electrónico con la que te das de alta en los distintos servicios, recibes información, Spam o Phishing.

¿Puedes detectar cuándo te están engañando? No siempre es fácil. Muchas veces por que confiamos en los sistemas de seguridad de nuestro cliente de correo electrónico, o nuestro propio Analfabetismo digital. 

Para entrenarnos ante estas amenazas Jigsaw, unas de las empresas que pertenece a Google, han creado un tutorial interactivo en el cual nos mostraran como identificar correos fraudulentos.

El test es anónimo y gratuito, no tienes que facilitar ningún dato real. Si quieres practicar y aprender como defenderte del Phishing pincha aqui.

Tus datos personales han sido filtrados

Si lees este articulo es por que eres usuario y consumidor de Internet. Tus datos de navegación compras, tarjetas de crédito, transacciones, fotos, contactos, ubicación. Pueden verse comprometidos.

Una buena educación digital nos puede proteger de piratas informáticos:

• Desconfiar de correos, sms y llamadas que solicitan nuestras claves o contraseñas Phishing.
• Utilizar distintos correos electrónicos para distintas aplicaciones, bien sean de uso personal, trabajo, juegos ...
• No publicar en redes sociales, que nos hemos ido de vacaciones. Y publicar nuestras fotos y ubicaciones en diferido.
• No utilizar la misma contraseña y/o pin para todos los servicios que utilices: banca, correos electrónicos, redes sociales ....
• Evitar en la medida de lo posible las Wifi's públicas no seguras.
• Utilizar la verificación en dos pasos y/o llaves de seguridad con el estándares denominados "FIDO Universal 2nd Factor (U2F)" o "FIDO2". Y para servicios Google también podemos utilizar un teléfono con Android 7.0 o con una versión posterior.
• Encriptar y proteger tus datos personales en discos o carpetas
• Utilizar sistemas operativos robustos y fiables, utilizar contraseñas para el administrador del equipo y asignar distintos roles a cada usuario.
• Mantener nuestro equipo actualizado.
• Utilizar y mantener actualizado antivirus.
• Utilizar bloqueadores de direcciones web maliciosas, rastreadores: 

Pero aun así las empresas donde depositamos nuestros datos pueden verse comprometidas y existir filtraciones.

La fundación Mozilla nos ofrece una herramienta que nos avisará si nuestros correos electrónicos se encuentran envuelto o relacionados con una filtración

Firefox Monitor nos mostrará las ultimas filtraciones y si nuestro correo electrónico aparece en alguna filtración nos recomendará: 

Cambiar inmediatamente la contraseña y que sea única y diferente.