Para el análisis forense de tramas de Red, existen herramientas que son capaces de automatizar el proceso de extracción, siendo válidas para extraer “de una tirada” conjuntos de datos que viajan a través de un protocolo.
Una herramienta bastante potente para realizar este tipo de extracciones es Xplico. Esta herramienta, de momento sólo existe para sistemas operativos Linux. Hasta la fecha es la herramienta más interesante, ya que de momento, está realizando una muy buena labor de soporte para muchos protocolos. Para saber más sobre la misma, aconsejo leer el post de Sergio Hernando, que habla sobre ella.
Para Windows, la única herramienta que vale la pena, se llama NetWork Miner. Es una herramienta bastante interesante, ya que, además de la extracción de datos, es capaz de realizar tareas de fingerprinting sobre los paquetes de datos para averiguar, por ejemplo, el sistema operativo que envía o recibe paquetes. Su funcionamiento se basa en las bases de datos que utilizan diversas herramientas de auditoría, como por ejemplo, NMap. Un buen artículo sobre esta herramienta, lo tenemos en la Web SoyForense.
Lamentablemente, y utlizando esta herramienta con un fichero PCAP, en cuyo interior se encontraban datos relativos a conversaciones de Vídeo, audio y datos, transmitidos todos ellos a través de mensajería instantánea con Windows Live Messenger, ésta no ofrece ningún avance positivo.
Imagen 1.- Extracción de datos fallida con NetWork Miner
Después de la prueba fallida, lo siguiente es analizar “a pelo” cada paquete de la captura, para encontrar una huella, o pista que nos de esperanza para continuar.
Para ello, decido leerme, sin mucho éxito, parte del documento que tiene Microsoft sobre la implementación de RTP en Streaming de audio o vídeo.
Analizando la captura de datos, me encuentro con un paquete algo especial, con el formato siguiente:
Imagen 2.- RecipientID en Windows Live Messenger
Observando varios foros sobrre desarrollo de aplicaciones para mensajería instantánea, comprendo que este paquete es utilizado por Windows Live Messenger para establecer la conexión. Una vez que la conexión está establecida, envía regularmente un paquete de las mismas características para asegurarse de que la conexión sigue permanente.
Wireshark tiene, como añadido a la herramienta, opciones de traducción de paquetes. Esta capacidad, dota a la herramienta con un decodificador de paquetes. Con este tipo de opciones, podemos escoger un paquete, y decirle a Wireshark que lo decodifique según un protocolo establecido.
Nuevo intento, fallido, de decodificar todo protocolo UDP como si fuese RTP. Resultados cero.
Inspeccionando el tráfico UDP, me encuentro con que existen patrones que se repiten a la hora del envío de paquetes a través de Windows Live Messenger. En cada envío de paquetes, me encuentro con unos mismos valores para distintos paquete. Este tipo de patrón da a pensar que podemos estar ante algún tipo de Payload. Para ello, voy copiando en una tabla, todos los valores repetidos que me voy encontrando. La lista que obtengo es la siguiente:
- 44
- 48
- 66
- 4A
Buscando y rebuscando en internet, me encuentro con un post en un foro, el cual ya no existe, en el que se retrata este mismo payload. Pero lo más interesante es que un tipo, llamado Ramiro Polla (No es coña…), ya lleva tiempo con esta investigación y ha recreado un un paper y una herramienta que realiza toda esta labor.
Los payloads anteriormente descritos, se refieren a qué tipo de acción va a realizar Windows Live Messenger. Es decir, si va a realizar una conexión, enviar una trama de audio, enviar una trama de vídeo, etc…
Hablando de la herramienta, cabe decir que la mayor característica de la misma, es la capacidad de trabar “offline” con capturas de datos. Una vez que se carga la captura de datos en la herramienta, se procede a la extracción de paquetes de audio y vídeo.
Imagen 3.- Añadido de capturas offline
Una vez que la herramienta ha realizado su trabajo, se puede proceder a exportar los datos, pudiéndose utilizar compresores de audio y vídeo, para que la captura final sea más pequeña.
Image 4.- Captura final y posibilidad de extracción de datos
Como nota final, vía Sergio Hernando me entero de que también existe una herramienta similar en Linux, llamada MSN Shadow. Leyendo el Blog del autor de la herramienta, me entero de que si queremos versión para Windows, tendremos que esperar un poco, ya que, según sus palabras:
So, to support my additional work on this project like a version for Windows, capture of file transfers and others improvements, I would like to ask for some donation if you can.
I would not like to stop providing this software in open source format, but I can not work for nothing!
Hasta un nuevo post!!
Saludetes!
Mis inicios en la seguridad informática
3 11 2009Disclaimer: Atención! Todo lo que leas a partir de ahora puede ser una paja mental mía, una mentira como un piano, o algo que a tí no te interese lo más mínimo. Si es así, deja de leer esto….
Cuando contaba yo con unos 8 años de edad, me empezó a interesar la electrónica y la informática. Lo primero por la energía, y lo segundo por las cosas que podías hacer con esa máquina. El principal problema radicaba en que mi familia no tenía dinero para costearme un ordenador potente, como un Amstrad o un Spectrum. En aquella época también empezó a interesarme el cine y el mundo que lo rodeaba.
Otro problema que tenía, era que pagar 350 pesetas por ver una película se convertía en una odisea, ya que era un verdadero pastón para mi. Así que tenía que conformarme con ir al cine con la familia de algún colega mío o alguna invitación por radio o familiar.
Pero un nuevo campo se abrió ante nosotros. El video-club. Un sitio en el que alquilabas una película por 150 pesetas y podías visionarla tantas veces como quisieses en un plazo pequeño (24 horas). Por aquella época, mi padre pudo comprarse a plazos un vídeo Panasonic a precio desorbitado (120.000 pesetas). El vídeo no se utilizaba mucho, ya que no había mucho que grabar, debido principalmente a que no había canales. En aquella época teníamos “la primera y la segunda” (La 1 y la 2 de televisión española). Finalmente, entre todos los vecinos, pagaron una cuota mensual para poder disfrutar del “Vídeo comunitario”, y un mundo se abrió ante nosotros. Poder realizar grabaciones de películas se convirtió en un hecho, ya que entre todos juntábamos dinero para pagar las cintas VHS, y posteriormente las grabábamos gracias al Video grabador Panasonic.
Con el tiempo, pude conseguir un vídeo grabador con la carcasa rota, ya que la familia que me lo “donó” tenía poder adquisitivo como para comprar otro. Fue en esa época en la que se nos encendió la bombilla a todos. Y si juntamos los vídeos y grabamos películas del video-club?
Así que iniciamos el proyecto. Entre todos compramos un cable EuroConector, un par de cintas VHS y nuestra primera película en el videoclub. The Goonies. Juntamos los dos vídeos, y comenzamos la grabación. Mientras grababa, algunos veían la cinta, mientras que otros, mirábamos los tiempos en los vídeos y observábamos como el símbolo rojo de “REC” estaba en marcha. Cuando terminó la grabación, procedimos a ver la cinta y…. FAIL con mayúsculas.
La cinta tenía defectos en el visionado. La imagen se veía solapada por la parte superior y se oscurecía la imagen cada ciertos segundos. Repetimos la operación varias veces (en el mismo día) y no hubo manera. Había una protección anticopia de la que no teníamos constancia. El proyecto se dió por terminado, ya que al día siguiente teníamos que devolver la cinta al videoclub. El sueño había muerto.
Como no había dinero para repetir más pruebas, dejamos la inventiva por considerarla algo imposible. En aquella época ninguno de nosotros teníamos conocimientos de electrónica, ni de hertzios, cintas magnéticas, etc…
Pasado un tiempo, y debido a ciertos trabajos extra, conseguí tener unas 5 cintas VHS de varios formatos de tiempo. Tenía de 90, 120 y 240 minutos. Como no tenía esos conocimientos “extra”, no podía hacer otra cosa que seguir probando e intentando comprender por qué pasaba eso. Como mi conocimiento se ajustaba más bien a apretar tornillos, me dispuse a hacer algo que sabía. Desatornillar la cinta.
En su interior me encontré con algo bastante básico y mecánico. Un rollo de cinta parecida al carrete fotográfico, y unos raíles por donde pasaba la cinta. Observando la cinta resolví una cuestión decisiva. Y si abro otra cinta e intercambio los rollos? Me la cargaré? funcionará?
Como tenía unas 5 cintas, podía permitirme el lujo de estropear en el intento 2 cintas, así que me puse manos a la obra. Abrí dos cintas, e intercambié los rollos. Para pegar el rollo utilicé pegamento imedio. Puse el rollo en el carril de la otra cinta, atornillé la caja, tensé la cinta con un boli bic, y la puse en el grabador. Para la prueba utilicé una cinta que tenía grabado un programa de la tele y otra cinta que no tenía grabación alguna. Bingo!! La prueba había sido un éxito!
Un día más tarde, le conté el hallazgo a mis colegas, y otra vez el proyecto cobró vida! Juntamos semanalmente dinero para alquilar las películas, realizabamos la copia, cambiabamos los rollos y las devolvíamos al videoclub en un intervalo de 24 horas. Meses más tarde profesionalizamos el cambio de rollo, utilizando como pegamento la laca de uñas de mi madre, ya que el pegamento inutilizaba la cinta a veces.
Años más tarde averigué que el solapamiento de la imagen y el oscurecimiento de la misma, ambos ocasionados de forma secuencial, se debía a una protección llamada Macrovisión.
Hasta otro capítulo!
Saludetes!!
http://es.wikipedia.org/wiki/VHS
http://www.hackerscatalog.com/Services/TECH_Notes/nineteen.html
Comentarios : 4 Comentarios »
Categorías : Diario, General, NoComment