El chat Scr3wT@p3 es una conversación ficticia entre un nuevo hacker, Scr3wT@p3, y su mentor o mentora, Haunt. En esta conversación, los dos están disfrutando de sus vacaciones de NaviHack.
-!- Su host es irc.tehdarkwebz.com
-!- [Scr3wT@p3] se ha unido #haxorhelp
-!- Hay 2 usuarios y 0 invisibles en 1 servidor
[Scr3wT@p3]: Ho ho ho…¡¡¡Felizzz Navidaddd!!!
[Haunt]: …
[Scr3wT@p3]: ¿Feliz Hanukah?
[Haunt]: …
[Scr3wT@p3]: ¿Felices Reyes?
[Haunt]: …
[Scr3wT@p3]: Ummm…¿Felices fiestas?, ¡la que tu prefieras!
[Haunt]: Dinero…hackear y hacer dinero. ¿Hay alguna festividad para eso? ¿NaviHack?. Es broma, ¿verdad que es gracioso?
[Scr3wT@p3]: Um…¿cuál es la respuesta correcta para tu pregunta? ¡Me da miedo equivocarme!
[Haunt]: Ummm…¿qué tienes para mi?
[Scr3wT@p3]: Bueno, independientemente de tu aparente falta de alergia, estamos en Navidad, lo que significa que la gente va a gastar mucho dinero estos días, mucho más que durante todo el año.
[Haunt]: ¿Alergia? ¿Qué?
[Scr3wT@p3]: Alegría, quise decir alegría. ¡Estúpido corrector!
[Haunt]: OK…eso ya lo sé. Entonces, ¿qué propones?
[Scr3wT@p3]: Bueno, desde que he profundizado en los srcipts para ejecutar comandos en servidores vulnerables, he estado pensando en el “Black Friday” como una oportunidad. Básicamente, comienza el jueves por la noche después de Acción de Gracias y las personas se vuelven locas haciendo compras, entran a grandes almacenes corriendo, se pisotean y se pelean con otras por televisores, PlayStations, ropa, etc.
[Scr3wT@p3]: En fin, es una absoluta locura…..así que investigando un poco encontré varios sitios de e-commerce que tenían una vulnerabilidad en WordPress y pude obtener el acceso a los registros de pagos de las web. ¡Pan comido!….y se gana dinero.
[Haunt]: OK – pero es demasiado fácil, no estas mostrando creatividad.
[Scr3wT@p3]: Lo sé, estoy llegando al punto interesante.
[Scr3wT@p3]: Buenos, además de ir de compras, la gente en vacaciones suele viajar, ir a la nieve, a casa de la abuela o a conocer otra ciudad.
[Scr3wT@p3]: Encontré algo realmente impresionante la semana pasada, pero quería asegurarme de que funcionara antes de hablar contigo. Encontré una vulnerabilidad una vulnerabilidad en los sistemas que se utilizan en varios estados para procesar los pases de viaje de las autopistas. Hay personas que en lugar de pagar peajes, utilizan estos pases que están pegados en su parabrisas. El pase transmite el número de cuenta a través del NFC a un lector, el lector accede a su cuenta y hace una deducción del importe correspondiente. El saldo del pase se actualiza y se vuelve llenar automáticamente cuando el saldo disponible es inferior a cierta cantidad.
[Scr3wT@p3]: En la mayoría de los estados se usas Sistemas similares, y su seguridad es una basura.
[Haunt]: OK…tiene sentido. ¿qué hiciste?
[Scr3wT@p3]: Bueno, empecé escogiendo el estado en el que nací. Entré en su web de registro a ver que encontraba. Resultó ser vulnerable a la inyección básica de SQL, así que pude descargar la base de datos con nombres de usuarios y contraseñas. Después, utilicé un conjunto de credenciales para ver el sitio como usuario autenticado y ver cómo se almacenaba la información de pago. Una vez que tuve el diseño de esa base de datos, utilicé de nuevo de la inyección de SQL y volqué los datos, esta vez busqué un usuario específico…¡yo!
[Scr3wT@p3]:No me quise detener ahí, cogí el coche y conduje a través de una zona de peaje con mi portátil ejecutando el NFCProxy, (de Eddi from Eddie Lee’s DEFCON 20 talk -> http://dangerousprototypes.com/blog/2012/12/23/defcon-20-nfc-hacking-the-easy-way/), para ver cómo se ven los datos del pase de mi coche. Resulta que transmite el texto sin formato, y simplemente envía mi número de pase que luego se pasa a la base de datos de pago donde se mantiene mi saldo (que posteriormente aumenté). El cobro solicitado (que también puede ser manipulado, jugaré con eso más tarde) también está almacenado en la base de datos. Así que todo el sistema depende de los datos almacenados en una base de datos que no está protegida y que está disponible en el sitio web del proveedor.
[Scr3wT@p3]: Entonces comencé a verificar el funcionamiento del Sistema en otros estados, comprobé si funcionaban igual o si tenían alguna variación, el resultado es que en 27 estados utilizan la misma basura de sistema. Por lo tanto estoy descargando todos los detalles de pago de estos sistemas. La semana que viene tendré los datos de pago de los sistemas de pago de pejes de 27 estados. ¡Feliz NaviHack para mi!
[Haunt]: ¡Muy bien!….esto sí es creativo.
[Scr3wT@p3]: ¡Gracias!, continuaré recolectando y te enviaré una actualización a finales de la semana.
[Haunt]: No te olvides de los terminales de punto de venta. Con tanto dinero en movimiento, no queremos perdernos nada. Aunque no es difícil, es bueno. Tanto gasto en tiendas y restaurantes no se apreciará el cambio y no se interrumpirán las ventas. Asñu qe ahora es el momento, golpea tantas como puedas. Tenemos que hacerlo rápido porque estos días los azules y PFIs estarán ocupados hasta principios de año cuando las personas se den cuenta de lo ocurrido y cancelen sus tarjetas.
[Scr3wT@p3]: Si, ya estoy con eso…te daré una actualización de los avances la próxima semana.
Haut: Ok, ¡hazme ganar dinero!
[Scr3wT@p3]: ¡Eso está hecho jefe!
[Scr3wT@p3]: ¡Feliz NaviHak!
[Haunt]: Jeje, mi broma sigue siendo Graciosa!
-!- [Scr3wT@p3] ha abandonado la conversación
Glosario
- Azules: Policias
- NFC: Near Field Communication, un conjunto de protocolos de comunicación que permiten que dos dispositivos electrónicos en proximidad cercana se comuniquen entre sí.
- PFIs: PCI Forensic Investigators, son los encargados de investigar fraude y crímenes con tarjetas de crédito. Nuix es una solución certificada por PFI en Estados Unidos.
- Inyección de SQL: Es una técnica de inyección de código donde las sentencias de SQL maliciosas se insertan en un campo de entrada para su ejecución. Esta técnica se utiliza con mayor frecuencia para atacar aplicaciones basadas en datos.
[symple_button url=»http://ondatashop.com/tag/nuix/» color=»navy» size=»default» border_radius=»3px» target=»self» rel=»» icon_left=»» icon_right=»»]Más información sobre los productos Nuix[/symple_button]