Escolar Documentos
Profissional Documentos
Cultura Documentos
Facundo de Guzmn
fdeguzman@ribadeohacklab.com.ar
Buenos Aires, Argentina
17 de Septiembre de 2010
www.ribadeohacklab.com.ar
1- Introduccin
En este informe se procede a detallar los procedimientos llevados a cabo para determinar la
causa del deceso del hacker Carlos Moreno (alias Black0x).
2- Escenario
0xBlack, un reconocido Hacker Black Hat de la scene Underground, fue encontrado muerto
colgado del techo de su apartamento, por investigadores que lo tenan como principal
sospechoso en un delito de espionaje industrial realizado a la empresa PlanEx.
El reto consisti en:
Determinar si 0xBlack realmente se suicido
Si fue un suicidio, identificar las causas que hicieron que 0xBlack, se suicidara
Si fue un homicidio, determinar el autor y el motivo por el cual se cometi el asesinato
Recuperar la informacin robada a la empresa PlanEx
3- Recoleccin de datos
I. Escena del crimen
Ribadeo fue contactado por el fiscal encargado Jorge Rodrguez para participar en la
investigacin pocas horas despus de que el cuerpo fue descubierto. Un investigador forense
fue enviado al departamento del difunto donde encontr la computadora del mismo encendida.
Se procedi a hacer una imagen en vivo de la mquina donde se transfiri el estado de la
misma a una imagen virtual.
photorec
PhotoRec is file data recovery software designed to recover lost pictures from digital camera
memory or even Hard Disks. It has been extended to search also for non audio/video headers
Vmware Workstation
A software that allows you to create a virtual machine, configure, and implement features
common to the desktop environment.
Segn el reporte oficial el alias hacker de Carlos Moreno era 0xBlack por lo que
suponemos que 0xTrugoy es un tercero (presuntamente de apellido Nieto).
Adems podemos apreciar en la metadata que la creacin del documento fue
muy cercana al momento del supuesto suicidio.
mimetype - application/msword
language - U.S. English
paragraph count - 2
line count - 22
template - Normal.dot
generator - Microsoft Office Word
creation date - 2010-09-06T00:33:00Z
word count - 163
page count - 1
last saved by - Familia Nieto
character count - 657
title - Despedida
subject - Despedida
date 2010-09-06T02:29:00Z
creator - 0xTrugoy
c- Dentro del sistema tambin encontramos un cliente de IRC por lo cual procedimos a
analizar sus logs:
e- Procedimos a procesar los logs para extraer los intercambios codificados utilizando
un script en python. El script se detalla a continuacin:
h- Utilizando las claves se procedi a desencriptar los logs de chat. Dado que solo
contbamos con las claves de 0xBlack solo pudimos desencriptar los intercambios de
0xTrugoy los cuales se detallan a continuacin:
05-09-2010.freenode_2024_Trugoy0x_.log.out
parce bien o que?
05-09-2010.freenode_2033_Trugoy0x_.log.out
muchos problemas, ustede sabe que con ese cuento de la carcel estoy jodido
05-09-2010.freenode_2045_Trugoy0x_.log.out
parce yo se pero la emocion de entrar a ese servidor fue inebitable y pues termine embarrandola
05-09-2010.freenode_2053_Trugoy0x_.log.out
ando con mucho trabajo pero yo saco algo de mi tiempo para que salgamos
05-09-2010.freenode_2122_Trugoy0x_.log.out
no tengo ninguna restriccion, el problema es que ando mal de dinero y por eso
no podria ir
05-09-2010.freenode_2141_Trugoy0x_.log.out
parce muchas gracias, conectese mas seguido para que cuadremos el viaje, estamos en contacto
05-09-2010.freenode_2150_Trugoy0x_.log.out
listo parcfe estamos hablando
06-09-2010.freenode_0013_Trugoy0x_.log.out
ole bien o que?
06-09-2010.freenode_0015_Trugoy0x_.log.out
ahora miro las charlas, le queria comentar que estan ofreciendo un trabajo de espionaje industrial
para la empresa PlanEx
06-09-2010.freenode_0017_Trugoy0x_.log.out
solo hay que robarle un video de la proxima campaa que sacaran al aire, un infiltrado interno dice
que ya esta lista y la competencia quiere tenerla antes de que salga al aire
06-09-2010.freenode_0019_Trugoy0x_.log.out
si si esta confirmado y pagan usd $500.000 por el trabajo
06-09-2010.freenode_0021_Trugoy0x_.log.out
si yo necesito la plata pero yo no quiero volver a meterme en problemas
06-09-2010.freenode_0023_Trugoy0x_.log.out
bueno yo le estoy avisando si quiere mande un correo a 6xg7x9z@gmail.com y ahi le informaran lo que
tiene que hacer y como reclamar el dinero cuando tenga el video
06-09-2010.freenode_0024_Trugoy0x_.log.out
no tranquilo yo no voy a participar, la verdad es que me da miedo, auque estoy muy necesitado de la
plata prefiero estar en libertad no quiero volver a la carcel, eso si le pido que me informe si lo
logra hacer
07-09-2010.freenode_0007_Trugoy0x_.log.out
ole parcero como va
07-09-2010.freenode_0020_Trugoy0x_.log.out
uy parce me alegra mucho que le dieran el trabajo, pero tenga mucho cuidado, por ahi me contaron que
la Russian Business Network tambien esta detras del video, usted sabe como es de peligrosa esa gente
y mas sabiendo que tienen competencia
07-09-2010.freenode_0035_Trugoy0x_.log.out
le agradezco mucha su confianza no lo defraudare usted sabe que cuenta con migo
07-09-2010.freenode_0051_Trugoy0x_.log.out
a mi tambien me gustaria pasar tiempo con mi familia, el problema es que mi trabajo como
desarrollador no me da mucho y tampoco me deja tiempo, me gustaria volver a mis andanzas
pero usted sabe que con ese problema de la carcel me jodio la vida
07-09-2010.freenode_0114_Trugoy0x_.log.out
pues si me dejo muchas cosas que pensar especialmente con el tema de darle bienestar a las
verdaderas personas que importan, voy a meditarlo con la almohada y maana seguimos hablando, me
esta comentando como va con lo del video de PlanEx, quedamos pendientes del viaje argentina
08-09-2010.freenode_1403_Trugoy0x_.log.out
entonces parcero, como va
08-09-2010.freenode_1408_Trugoy0x_.log.out
y eso? que paso, porque tan contento
08-09-2010.freenode_1435_Trugoy0x_.log.out
ok, chao
k- Correlacionando la fecha del envo de mail con la fecha del siguiente extracto de
chat:
08-09-2010.freenode_1408_Trugoy0x_.log.out
y eso? que paso, porque tan contento
Podemos asumir que 0xTrugoy supo que el espionaje haba resultado exitoso.
n- Al ver las propiedades del link notamos que sospechosamente tena un tamao
demasiado grande
Conclusiones de la investigacin
Podemos afirmar que existen grandes indicios que Carlos Moreno no se suicid sino que fue
asesinado. El principal sospechoso es la persona bajo el alias 0xTrugoy. El mismo demuestra:
Que
Que
Que
Que
conoca al sospechoso.
estaba al tanto del delito de espionaje cometido y de su completacin exitosa.
tena un motivo, complicaciones por dinero.
estuvo en la escena del crimen y que falsifico la carta de suicidi de Carlos Moreno.
El apellido del presunto sospechoso podra ser Nieto y pudo o no ser asistido por una
asociacin llamada Russian Business Network.