Encontrar Archivos de Extensión SQL utilizando Google

Body

Un volcado (dump) SQL correspondiente a MySQL, normalmente se crea con la utilidad en línea de comando de nombre mysqldump (o la más reciente, mysqlpump). Es un archivo el cual contiene sentencias SQL los cuales permiten recrear la estructura o los datos de una base de datos. Este proceso es esencial para la copia de seguridad (backups) correspondiente a bases de datos, la migración, y la configuración de entornos de desarrollo.

El Google Dork utilizado es el siguiente:

site:pe filetype:sql

La directiva site: restringe los resultados únicamente a dominio pe, correspondiente a Perú.

La directiva filetype: restringe los resultados para sean mostrados únicamente archivos con extensión SQL.

En esta oportunidad Google encontraron únicamente 4 resultados.

Universidad Nacional Agraria La Molina

Los otros tres resultados no muestran un archivo de extensión SQL, redirigen hacia un formulario de autenticación.

Desde la perspectiva de ciberseguridad es una técnica para realizar un reconocimiento pasivo, el cual puede ser extremadamente efectivo y de alto riesgo, pues no se está atacando directamente el servidor, sino obteniendo información el cual Google previamente a indexado.

En un archivo SQL se podría encontrar información personal, como nombres, DNI, direcciones, números de teléfono, credenciales de usuarios, hashes de contraseñas o contraseñas en texto plano. También datos financieros.

Al revelarse la versión del software utilizado para realizar el volcado, el ciberatacante conoce cuales vulnerabilidades podría explotar exitosamente contra el servidor.

Fuentes:

https://dev.mysql.com/doc/refman/8.4/en/mysqldump.html
 

Encontrar LiteSpeed Web Server utilizando Google

Body

El servidor web LiteSpeed conserva recursos sin sacrificar el rendimiento, seguridad ni compatibilidad. Se puede reemplazar Apache con LiteSpeed, y duplicar su capacidad máxima, eliminar la necesidad de una capa de caché externa, y obtener soporte con tecnologías de vanguardia como HTTP/3.

El Google Dork utilizado es el siguiente:

site:pe "Proudly Served by LiteSpeed Web Server"

La directiva site: restringe los resultados únicamente a dominio pe, correspondiente a Perú.

Las dobles comillas definen el texto exacto a buscar en dominios pe.

En esta oportunidad Google encontraron aproximadamente 150,000 resultados.

Comando Conjunto de las Fuerzas Armadas

Dirección Regional de Salud - Lima

Esta búsqueda es utilizada durante la etapa de reconocimiento, como también en la identificación de la superficie de ataque. De esta manera el ciberatacante conoce cual software está ejecutando un servidor. Consecuentemente existe la posibilidad de identificar vulnerabilidades específicas para un versión en particular, como también configuraciones por defecto; como contraseñas débiles, funcionalidades innecesarias, entre otros ajustes.

Fuentes:

https://www.litespeedtech.com/products/litespeed-web-server

Encontrar XAMPP utilizando Google

Body

Mucha gente conoce por experiencia propia instalar un servidor web Apache no es fácil, y la dificultad aumenta si se requiere añadir MariaDB, PHP, y Perl. La meta de XAMPP es crear una distribución fácil de instalar, con el propósito los desarrolladores se inicien en el mundo de Apache. Para facilitar su utilizción, XAMPP se configura con todas las funciones activadas. En caso ser utilizada comercialmente, se sugiere consultar las licencias del producto; desde la perspectiva de XAMPP, la utilización comercial también es gratuita. Actualmente existen distribuciones para Windows, Linux y OS X.

El Google Dork utilizado es el siguiente:

site:pe intext:"Welcome to XAMPP"

La directiva site: restringe los resultados únicamente a dominio pe, correspondiente a Perú.

La directiva intext: busca páginas conteniendo exactamente el texto Welcome to XAMPP

En esta oportunidad Google encontró 9 resultados.

PROVÍAS NACIONAL

Empresa Nacional de la Coca S.A. - ENACO S.A.

Desde la perspectiva de Ciberseguridad, los ciberatacantes pueden potencialmente encontrar servidores utilizando configuraciones para desarrollo en un entorno de producción, lo cual los hace potencialmente vulnerables a ciberataques exitosos.

Fuentes:

https://www.apachefriends.org/
 

Encontrar GlobalProtect Palo Alto Networks utilizando Google (II)

Body

GlobalProtect extiende la protección característica del cortafuegos de nueva generación de Palo Alto Networks a sus trabajadores itinerantes, allí donde estén.

A medida los usuarios y las aplicaciones se aventuran más allá del perímetro tradicional de la red, el mundo necesario a proteger es cada vez más grande. Los equipos de seguridad se enfrentan a nuevos retos al momento de mantener la visibilidad del tráfico de la red y aplicar las políticas de seguridad para detener las ciberamenazas. Las tecnologías tradicionales diseñadas para proteger los endpoints itinerantes, como los programas antivirus para el endpoint principal (o host) y las redes privadas de acceso virtual (VPN, por sus siglas en inglés), no sirven para detener las técnicas de ataque avanzadas empleadas hoy en día, que son mucho más sofisticadas.

El Google Dork utilizado es el siguiente:

site:pe intitle:"GlobalProtect Portal"

La directiva site: restringe los resultados únicamente a dominio pe, correspondiente a Perú.

La directiva intitle: busca páginas cuyo título coincida exactamente con "GlobalProtect Portal"

En esta oportunidad Google encontró 10 resultados.

Policia Nacional del Perú

Fuerza Aérea del Perú

Esta búsqueda es un técnica utilizada durante la etapa para reconocimiento u OSINT (Open Source Intelligence). Los ciberatacantes generalmente lo utilizan para realizar ataques por fuerza bruta contra el formulario identificado, como también identificar vulnerabilidades en una versión específica del software en funcionamiento, con el propósito de posteriormente explotarla.

Fuentes:

https://www.paloaltonetworks.es/resources/datasheets/globalprotect-data…
 

Encontrar Koha Library System utilizando Google

Body

Koha Library Software el primer sistema gratuito y de fuente abierta para bibliotecas del mundo.

Koha es un sistema para gestión de bibliotecas completo y escalable. Su desarrollo está patrocinado por bibliotecas de diversos tipos y tamaños, voluntarios, y empresas de apoyo en todo el mundo.

Koha es un sistema bibliotecario integrado (Integrated Library System) y fue el primer ILS de fuente abierta. Fue creado en 1999 por Katipo Communications para el Horowhenua Library Trust de Nueva Zelanda. La primera instalación se puso funcionamiento en el mes enero del año 2000.

El Google Dork utilizado es el siguiente:

site:pe inurl:"cgi-bin/koha"

La directiva site: restringe los resultados únicamente a dominio pe, correspondiente a Perú.

La directiva inurl: restringe los resultados para la URL contenga obligatoriamente la ruta indicada cgi-bin/koha

Según los resultados de Google, se obtienen 2’270,000 resultados.

Los resultados obtenidos se relacionan con catálogos públicos (OPAC- Online Public Access Catalog), o Catalogo en Línea de Acceso Público.

Desde la perspectiva de ciberseguridad, es una búsqueda útil para intentar encontrar sistemas los cuales quizás no deberían estar expuestos públicamente; aunque de hecho OPAC está diseñado par ser público.

Fuentes:

https://koha-community.org/
 

Encontrar GlobalProtect Palo Alto Networks utilizando Google

Body

El mundo necesario a proteger continúa expandiéndose conforme los usuarios cuanto aplicaciones se trasladan hacia localizaciones fuera del perímetro de red tradicional. Los equipos de seguridad se enfrentan al reto de mantener la visibilidad en el tráfico de la red e implementar políticas de seguridad para detener las amenazas. Las tecnologías tradicionales utilizadas para proteger los endpoints móviles, como el software antivirus para endpoints de host y las VPN de acceso remoto, no son capaces de detener técnicas avanzadas empleadas por atacantes más sofisticados.

El cliente de seguridad de red GlobalProtect para endpoints de Palo Alto Networks, permite a las organizaciones proteger a sus empleados móviles extendiéndo la Plataforma de Seguridad de Próxima Generación hacia todos los usuarios, independientemente de su localización. Asegura el tráfico aplicando las capacidades de la plataforma para comprender la utilización de las aplicaciones, asociar el tráfico con usuarios y dispositivos, y fortalecer políticas de seguridad con tecnologías de última generación.

El Google Dork utilizado es el siguiente:

site:pe intext:GlobalProtect Portal inurl:/global-protect intitle:GlobalProtect Portal

La directiva site: restringe los resultados únicamente a dominio pe, correspondiente a Perú.

La directiva intext: busca páginas conteniendo exactamente el texto GlobalProtect

La directiva inurl: restringe los resultados para la URL contenga obligatoriamente la ruta indicada /global-protect

La directiva intitle: busca páginas cuyo título coincida exactamente con GlobalProtect Portal

En esta oportunidad se obtuvo un solo resultado.

Esta búsqueda es un técnica utilizada durante la etapa de reconocimiento u OSINT. Los ciberatacantes generalmente lo utilizan para realizar ataques por fuerza bruta contra el formulario, como también identificar vulnerabilidades en una versión específica de software, con el propósito de posteriormente explotarla.

Fuentes:

https://www.paloaltonetworks.es/resources/datasheets/globalprotect-data…

Encontrar Check Point SSL Network Extender utilizando Google

Body

SSL Network Extender es un cliente ligero el cual los usuarios remotos utilizan para acceder hacia recursos internos los cuales el administrador define como aplicaciones.

SNX puede funcionar con el Software Blade de Acceso Móvil o con el Software Blade de VPN IPsec.

El Software Blade VPN IPsec y el Software Blade de Acceso Móvil requieren licencias diferentes.

Flujo de trabajo:

  • El administrador configura una Pasarela de Seguridad, como un servidor web con SSL habilitado el cual soporta clientes de Acceso Remoto.
  • El usuario remoto descarga el cliente SNX desde la Pasarela de Seguridad
  • El usuario remoto puede acceder hacia recursos internos.

En una configuración de Software Blade de Acceso Móvil, el usuario remoto puede acceder hacia las aplicaciones configuradas.

El Google Dork utilizado es el siguiente:

site:pe intitle:"SSL Network Extender Login" -checkpoint.com

La directiva site: restringe los resultados únicamente a dominio pe, correspondiente a Perú.

La directiva intitle: busca páginas cuyo título coincida exactamente con "SSL Network Extender Login".

El operador – le indica a Google elimine cualquier página perteneciente al dominio checkpoint.com

En esta oportunidad se obtuvo un solo resultado.

La implicancias para la ciberseguridad estarían relacionadas a la etapa de reconocimiento, intentando identificar tecnologías utilizadas por la empresa para su acceso remoto. También se podría intentar ataques por fuerza bruta contra este formulario de login, utilizando nombres de usuarios y contraseñas por defecto. Así mismo se podría identificar versiones desactualizadas o antiguas de este servicio, con el propósito de encontrar vulnerabilidades potencialmente explotables.

Fuentes:

https://sc1.checkpoint.com/documents/SSL_Network_Extender_AdminGuide/Co…
 

Avances en la Infraestructura en Nube

Body

Al igual a la seguridad de red tradicional, es vital tener visibilidad en el tráfico de la red virtual. Similar a los conmutadores físicos están configurados para vigilar el tráfico de red, los conmutadores virtuales se utilizan para vigilar y administrar el tráfico hacia y desde las máquinas virtuales. Al igual a los dispositivos físicos, los conmutadores virtuales también deben configurarse para operar en modo promiscuo con el propósito de vigilar el tráfico de red.

Las APIs son un elemento esencial en la computación en nube. Las APIs en nube permiten plataformas virtuales aprovechen localmente los recursos y la funcionalidad de computo de potentes aplicaciones remotas. Utilizando aplicaciones para el lado del servidor, las APIs pueden acceder hacia librerías y repositorios desde una variedad de lenguajes de programación, incluyendo plataformas móviles. Las APIs sirven como bloques de construcción de muchas aplicaciones de software sofisticadas y complejas.

En una nube privada la organización posee la infraestructura de hardware soportando y hospedando los sistemas en la nube. Muchas entidades gubernamentales y organizaciones comerciales requieren sus datos sean almacenados sobre sistemas los cuales únicamente las soportan como también sus actividades. Las infraestructuras de nube privada cumplen con este requisito.

En un modelo de nube pública, la infraestructura y el hardware soportando la nube son propiedad de una organización separada o un tercero. Con los modelos de nube pública, es muy importante considerar las necesidades de la organización, los requisitos para protección de los datos gestionándose, y cuales componentes son propiedad de un proveedor externo de nube pública. Una nube híbrida combina ambos modelos.

Mientras la infraestructura en la nube se compone de hardware y software requerido para la computación en nube, la infraestructura como servicio (IaaS) es un modelo de nube ofreciendo a las organizaciones la posibilidad de alquilar estos componentes de infraestructura TI (incluyendo computación, almacenamiento, y redes) sobre internet desde un proveedor de nube pública.

Los proveedores de nube suelen fijar precios de IaaS en base al consumo, con tarifas correspondiendo al uso con un nivel de rendimiento determinado. Para servidores virtuales, esto significa diferentes precios para varios tamaños de servidor, típicamente medidos como un incremento del tamaño estándar de un CPU virtual y la memoria correspondiente. Para almacenamiento los precios típicamente se basan en el tipo de servicio de almacenamiento, como objeto o bloque, nivel de desempeño (SSD o HDD), y la disponibilidad (una ubicación de almacenamiento o replicación a través de múltiples regiones geográficas). La capacidad es medida por el uso por unidad de tiempo, típicamente al mes.

Para el caso de Bigdata, como su nombre implica consiste en la acumulación de enormes cantidades de datos. Cuando los datos son recolectados, no únicamente se almacenan. Muchas organizaciones encuentran más fácil contratar a un proveedor de servicios en la nube para almacenar todos los datos recopilados, en lugar de pagar por mantenerlos localmente y deber gestionarlos por si mismos.

Fuentes:

https://www.webasthan.com/cloud-infrastructure-service-great-future/
 

Ataques contra Infraestructura en la Nube (Parte II)

Body

Aunque la denegación de servicio es un más un ataque tradicional, también puede tener un gran impacto sobre la computación en la nube. Mientras los ataques DoS tradicionales derribaban un objetivo particular, los ataques DDoS contra un proveedor de nube podrían tener un efecto dominó el cual desestabilizaría los recursos de múltiples organizaciones. Aunque los ataques contra aplicaciones o servicios específicos pueden ser perjudiciales para una organización, los ataques contra el proveedor de servicios en la nube por si mismo puede ser catastrófico para múltiples organizaciones.

Un vector de ataque frecuentemente pasado por alto es la cadena de suministro. Aunque la cadena de suministro es el inicio de la construcción de una infraestructura, frecuentemente es el último componente considerado para la seguridad. Es mucho más fácil para un atacante comprometer una organización pequeña a intentar una "Misión Imposible" para acceder hacia un entorno seguro. Esto podría incluir la interceptación de hardware y la instalación de componentes maliciosos, o la publicación de API instruyendo a la aplicación realizar llamadas maliciosas.

Una amenaza la cual nunca cesará de existir es la amenaza interna. Mientras muchas organizaciones están familiarizadas con la amenaza interna hacia su propia red interna, las infraestructuras en la nube multiplican esta amenaza. La nube introduce la posibilidad de una amenaza interna, ya sea accidental o intencional, actuando contra la organización específicamente o como consecuencia de un ataque separado o mayor.

El secuestro de cuentas ocurre como su nombre indica: Un atacante gana las credenciales del propietario de una cuenta y literalmente toma el control de la cuenta. Muchas de las explotaciones para secuestro de cuentas son posibles a través de phishing e ingeniería social. Debido a esto es crítico enfatizar la importancia de una buena higiene de seguridad, y de los conceptos fundamentales de seguridad: No hacer clic en enlaces de correos electrónicos, no abrir archivos adjuntos, y confiar pero verificar.

Fuentes:

https://www.sentinelone.com/cybersecurity-101/cloud-security/security-r…
 

Ataques contra Infraestructura en la Nube

Body

Las máquinas virtuales han mejorado el caso de uso para todos, pero también para los atacantes. El sniffing de tráfico de máquinas virtuales ocurre cuando un adversario ha ganado acceso hacia la red de una víctima, como su homónimo tradicional, inicia haciendo sniffing y vigilando el tráfico de la máquina virtual. Esto es especialmente efectivo si el atacante puede acceder hacia el vSwitch.

Muchas infraestructuras virtuales se basan sobre criptografía y encriptación para protección de datos. Un tema común observado en muchas brechas es la criptografía insegura. Esta debilidad existe tanto en entornos físicos cuanto virtuales. La protección apropiada de las llaves criptográficas es un requisito fundamental para la seguridad, especialmente cuando un sistema físico alberga múltiples máquinas virtuales.

Las ventajas de las API en la nube son; ahorran a los ingenieros y desarrolladores muchas horas en tiempo de codificación, permitiéndoles simplemente conectar APIs directamente. Sin embargo esta simplicidad viene con un costo. La mayoría de las API se escriben con autenticación débil debido a la simplicidad deseada.

La virtualización frecuentemente ofrece una arquitectura de una a muchas máquinas físicas y host. Esto significa los datos, los de la competencia y los de otras organizaciones pueden compartir espacio en el mismo sistema físico. Si alguno de ellos sufre una brecha, esto podría provocar una brecha del hipervisor, poniendo en riesgo a todas las demás máquinas virtuales.

Además de las fallas inherentes al sistema operativo virtual, también deben considerarse las fallas físicas. Spectre y Meltdown son dos vulnerabilidades descubiertas. El resultado fue la primera falla de seguridad importante del 2018. La singularidad de Meltdown y Spectre reside en no son fallas de código, sino residen en el procesador de la computadora. La explotación exitosa de Spectre y Meltdown otorgará permisos a nivel de kernel y acceso hacia archivos del nivel raíz.

Fuentes:

https://www.darktrace.com/cyber-ai-glossary/the-most-common-cloud-secur…
https://meltdownattack.com/