Reconhecer o adversário com

recurso a fontes abertas

Luis Dias

Luisfxdias.cybsec@gmail.com

© Esta informação está sujeita a direitos de autor e

propriedade intelectual, não devendo ser utilizada para
outros fins que não aqueles para os quais foi facultada. Não
deve ser reproduzida ou divulgada a terceiros, sem o prévio
consentimento escrito do autor.

1
 OBJECTIVOS

✓ Saber realizar algumas técnicas de

reconhecimento através de fontes abertas na
internet.

2
 1 2

Técnicas para obter

Introdução informações sobre uma
empresa.

3 4

Técnicas para obter Recomendações para limitar

informações sobre acesso a informações
uma pessoa. sensíveis e/ou pessoais, na
internet.
Introdução

“Usando fontes públicas abertamente e sem recorrer a meios ilegais, é possível reunir
pelo menos 80% das informações sobre o inimigo.”

(Al-Qaeda terrorist training manual)

“Se você conhece o inimigo e conhece a si mesmo, você não precisa

temer o resultado de cem batalhas. Se você se conhece a si mesmo, mas
não ao inimigo, por cada vitória obtida, você também sofrerá uma
derrota. Se você não conhece o inimigo nem a si mesmo, você
sucumbirá em cada batalha..”
(Sun Tzu, The Art of War)

4
Introdução
✓ Engenharia Social:

- Arte de manipular as pessoas… Hacking através das pessoas….

❑ Alvo: Pessoas, Empresas, Websites, etc.. através das Pessoas

✓ Grandes empresas gastam muito dinheiro em tecnologia… mas esquecem a

formação e treino dos colaboradores…

❑ assim… o utilizador pode ser o elo mais fraco

✓ Porquê aprendermos Eng. Social e/ou hacking???

❑ Aumentar o nosso conhecimento…. Prepararmo-nos para nos defendermos…

(ideia: porque é que aprendemos artes marciais?)

5
Introdução
Exemplo de ataque com recurso a eng. social… e componente técnica que para já
ignoramos:

1º passo: identificar amigos, interesses da vítima.

2º passo: criar email, perfil falso.

3º passo: enviar email apelativo

4º passo: o link leva à instalação de um apk

5º passo: acesso à webcam está garantido…

6
Introdução
Exemplo de ataque com recurso a eng. social… e componente técnica que para já
ignoramos:
1º passo: identificar amigos, interesses da vítima.
2º passo: criar email, perfil falso.
3º passo: enviar email apelativo

4º passo: o link leva à instalação de um

apk (ficheiro instalação de android),
que aparentemente é um jogo normal
(e que permite jogar…)…

5º passo: acesso garantido

(devido a permissões excessivas…
webcam, áudio, ficheiros, etc…)

7
 Introdução
✓ E… quais são as fases de um ataque informático??

1. Reconhecer

2. Enumerar

3. Ganhar Acesso

4. Manter o acesso

5. Limpar vestígios/pistas
Fonte: EC-Council Fonte: Lockheed Martin
 Introdução
✓ Associar as fases de um ataque às ameaças atuais

Phishing (sites clonados, mails, etc)

SPAM

Ataques Web based (e.g., URLs maliciosas, scripts colocados em

sites vulneráveis, browser exploits - java, active x, java script,
flash, etc)

Ataques a serviços web (e.g.,

SQLinjection, LocalFileinjection, XSS)

botnet

Malware, RansomWare, CryptoJacking

Ameaça Interna (Insider Threat . e.g., colaborador insatisfeito)

Negação de Serviço (TCPSyn, ICMP, Negação de Serviço (TCPSyn, ICMP, UDP,

UDP, etc), DDoS etc), DDoS

Fuga de Informação, roubo de credenciais Fuga de Informação

Roubo, perda,
danos físicos

Adaptado de: ENISA Threat Landscape Report

Introdução
✓ Definir o Alvo: pode ser uma empresa, site, pessoa, etc.

➢ Recolher Informação – Conhecer o inimigo!

• Descobrir empresas, pessoas, links relacionados.
• Pessoas – nomes, email, telefones, redes sociais, amigos…
• Enumerar redes, serviços, vulnerabilidades.
• Compilar a informação (e.g., usar grafos) e elaborar uma estratégia de ataque.

➢ Gerar ficheiros/código maliciosos – Aspetos mais técnicos!

• Explorar as vulnerabilidades (exploits) para instalar o malware: ex. backdoors,
keyloggers, password recovery, download & execute payloads, etc
• Melhorar os ficheiros… de forma a passarem barreiras de segurança (e.g., AV) …
embeber em ficheiros aparentemente fidedignos (.doc, imagem, .pdf, .xls, etc.).

➢ Entregar os ficheiros/código. e.g.,: Engenharia Social!

• Páginas de login, updates, popups … FALSOS
• Mail spoofing, websites falsos …
• Outros…

➢ Ações no objetivo – Ação no objetivo!

• Espiar, acesso ao sistema, alterar configurações, controlar os dispositivos afetados,
mover na rede para alvos mais remuneradores, etc.

➢ Apagar vestígios..
10
Aprender a caracterizar uma rede de um empresa
com base em pesquisa online.
➢ OSINT – Open Source Intel - é uma disciplina de Intel (i.e., informações), que visa
obtenção de informações coletadas, exploradas e disseminadas em tempo útil,
através de informação disponível públicamente (… ) de acordo com requisitos de
informações… (FM 2-0)

Exemplos de fontes de Informação:

• Sites Online, blogs

• Contas de redes sociais
• Sites na Deepweb
• Grupos de discussão, mailing lists
• Linkedin ou sites de anúncios de emprego (ligação com as
tecnologias)
• Queries avançadas no google (google dorks)

➢ Outras disciplinas de intel: SIGINT (análise de sinais eletromagnéticos), IMINT

(análise de imagens do alvo), GEOINT (análise de informação geográfica/imagens
satélite), HUMINT (interação humana), etc.
11
Aprender a caracterizar uma rede de um empresa
com base em pesquisa online.
➢ No Ciberespaço, que informações pretendemos?

✓ Aspetos técnicos (endereços IP, nomes de dominio DNS, Mapear a rede,

Portas/serviços ativos, versões do OS e dos serviços):

▪ Para explorar vulnerabilidades diretamente da tecnologia.

▪ Para preparar o ataque através do utilizador (vítima).

✓ Recursos humanos, gestores, negócios, parceiros de negócio, etc.:

▪ Podem ser usados para obter informação de forma ativa (HUMINT) ou
passiva.
▪ Podem ser utilizados (e.g., Engª Social) para atingir alvos mais protegidos.

✓ Localizações: muitos ataques podem ser realizados com acesso físico aos locais.

✓ Monitorização das ações da vítima.

✓ ….
12
Aprender a caracterizar uma rede de um empresa
com base em pesquisa online.

➢ Necessário interagir com os sistemas alvo. Pode alertar a vítima.

➢ Este tipo de técnicas configuram ações ilícitas se não forem efetuadas com
consentimento da entidade visada (e.g., pentest)

➢ Não tem interação… A informação é obtida através de fontes abertas..

tipicamente OSINT… é legal desde que as fontes sejam legais.

13
 Aprender a caracterizar uma rede de um empresa
com base em pesquisa online.
✓ Reconhecimento Ativo
▪ Scan de rede
▪ (e.g. NMAP, Fing, Angry IP Scanner,
Advanced IP Scanner, etc.)
➢ Portas/serviços ativos
➢ PCs/IPs ligados/ativos na rede
➢ OS and service fingerprinting

▪ Scan de vulnerabilidades
➢ OpenVas (pesquisa e gestão de
vulnerabilidade)
➢ Nikto (web scanner)
➢ Nessus
➢ Acunetix

▪ Traceroute
➢ Útil para encontrar routers

▪ Website Footprinting
➢ Burpsuite, Zaproxy, … etc.
14
 Aprender a caracterizar uma rede de um empresa
com base em pesquisa online.
✓ Reconhecimento Passivo (1/6)

➢ WHOIS (e.g., http://whois.domaintools.com/)

▪ URL –> Informação da empresa

▪ Tendo um URL apenas, obtemos a gama de IPs públicos da empresa,
eventualmente podemos obter informação sobre o administrador do site,
etc.
▪ Devido ao RGPD, o ICANN (entidade reguladora para nomes de domínio)
obriga a que o registo do administrador do site já não seja facultado no
protocolo WHOIS.

➢ Censys / Netcraft

✓ Dado um IP ou nome de dominio obtemos:

• Informação técnica porta 80 e 443; Whois; cadeia certificação
SSL, TLS handshake, etc..
• https://sitereport.netcraft.com/

15
 Aprender a caracterizar uma rede de um empresa
com base em pesquisa online.
✓ Reconhecimento Passivo (2/6)

➢ Google Hacking Database (GHDB)

https://www.exploit-db.com/google-
hacking-database

▪ Pesquisas de vulnerabilidades
através do Google.

▪ Utiliza “palavras” chave designadas

“dorks”

▪ Podem revelar servidores

vulneráveis, recolher informação
sensível, etc.

16
 Aprender a caracterizar uma rede de um empresa
com base em pesquisa online.
✓ Reconhecimento Passivo (3/6)

➢ Google Dorks ou Google Advanced Search

✓ filetype: encontrar ficheiros de determinado tipo.

✓ ext: ficheiros com extensões específicas (eg. .txt, .log, etc).
✓ intext: texto específico dentro de um site.
✓ intitle: palavras no título de um website.
✓ inurl: pesquisa um palavra contida em URL.
✓ site: pesquisa apenas no site especificado
✓ Operador “-termo”: exclui “termo” dos resultados

Ver mais em: https://www.sans.org/security-resources/GoogleCheatSheet.pdf

e.g. “ext:pdf site:uab.pt –intext:pdf”

e.g. “intitle:Webcam inurl:8080 –intext:8080”

17
 Aprender a caracterizar uma rede de um empresa
com base em pesquisa online.
✓ Reconhecimento Passivo (4/6)

➢ Motor de Busca para a “internet das coisas inseguras”.

▪ Shodan
✓ Dedicado a IoT (e.g., impressoras, TVs, frigoríficos, AC, webcams,
routers, servidores, etc.)
✓ Sintaxe de pesquisa própria:
e.g.: country:PT org:"militar”
e.g.: http.title:"AXIS "+http.title:" Network Camera" country:"PT“

18
 Aprender a caracterizar uma rede de um empresa
com base em pesquisa online.
✓ Reconhecimento Passivo (5/6)

➢ Redes Sociais (as empresas divulgam muita informação que pode ser útil para um
atacante)

➢ Website da empresa (muita informação útil sobre os colaboradores, incluindo os

“mais importantes”, organigramas, etc.)

➢ DNS (várias ferramentas utilizam a informação do serviço de resolução de nomes de

domínio – DNS - para obter IPs, subdomínios, etc.). Ferramentas:
✓ DNS Recon
✓ Dnscan
✓ Dmitry https://www.spiderfoot.net/
https://findsubdomains.com/
❑ Sites online DNS https://centralops.net/co/

https://censys.io/ipv4 https://sitereport.netcraft.com/

19
 Aprender a caracterizar uma rede de um empresa
com base em pesquisa online.
✓ Reconhecimento Passivo (6/6)

➢ Sites de emprego (poderá ser muito útil para perceber as tecnologias em uso na
empresa – e.g., “precisamos de especialista em firewall checkpoint versão R80”)

➢ Google Earth, Google Maps (Localização física da organização)

➢ Localizador de endereços IP: https://www.maxmind.com/en/geoip-demo

➢ Localizador de redes WIFI: https://wigle.net/

20
Aprender a caracterizar uma rede de um empresa
com base em pesquisa online.
✓ Ferramentas como “Maltego” permitem unificar diversas informações (obtidas com as
diversas ferramentas) sobre um alvo: quer seja uma pessoa, um site ou mesmo uma
empresa.

✓ Como exemplo, se quisermos atacar uma empresa desfigurando o seu website, uma
hipótese é explorar uma vulnerabilidade desse website diretamente. Mas e se o site
estiver totalmente protegido do exterior?

✓ Então.. Podemos estudar esse website (e/ou empresa)… tentando perceber quem é o
administrador do mesmo, e atacar o website através do administrador (e.g., através de
spear-phishing)!

✓ Mas como obter essas informações?

• Como saber quem é o administrador?
• Quais os interesses dessa pessoa para implementar uma estratégia de ataque?
• …. De facto os administradores de IT são um alvo apetecível.. Se quisermos atacar
uma empresa…
• Se o alvo for uma pessoa, que não seja de IT… ainda é mais fácil!!

21
Aprender a caracterizar uma rede de um empresa
com base em pesquisa online.
✓ Maltego.

22
Técnicas para obter informações sobre uma pessoa.

✓ Através da internet, poderemos obter informações de qualquer pessoa incluindo a

localização, emails, websites, blogs, contactos datas importantes, etc.

✓ As redes sociais são a fonte (aberta) de informação mais importante para obter
informações sobre uma pessoa.

✓ Alguns exemplos são o Facebook, Twitter, Linkedin, Youtube, Instagram, etc.

✓ Existem sites especializados em pesquisa de pessoas online (a maioria só funciona

nos EUA):

➢ Pipl.com ➢ Veromi.net
➢ Intellius.com ➢ Privateeye.com
➢ Beenverified.com ➢ Publicbackgroundchecks.
➢ Spokeo.com com
➢ Anywho.com ➢ Zaasearch.com
➢ 411.com ➢ Webmii.com

23
Técnicas para obter informações sobre uma pessoa.
✓ Determinados perfis estão bloqueados, mas também grupos, fóruns, blogs que
publicam informação relevante sobre indivíduos e/ou empresas. Para ter acesso a
esses grupos restritos normalmente é necessário criar perfis falsos. A interação
com a vítima permite obter ainda mais informação… Aqui entramos no
reconhecimento ativo e encoberto.

O que é que os utilizadores O atacante obtém

fazem?
Mantem o perfil Obtém informação de contacto, localização, etc.

Contacta amigos, chat, etc. Obtém lista de amigos, e respetivas informações

sobre eles.
Partilha fotos e vídeos Identidade dos familiares e interesses.

Joga online e pertence a Interesses…

grupos O que é que as organizações O atacante obtém
fazem?
Cria eventos Atividades
Questionários Estratégias da empresa

Promove produtos Perfil dos produtos

Suporte aos utilizadores Eng. Social

Recrutamento Plataformas/tecnologias

Analisam potenciais Tipo de empresa

empregados 24
Recomendações para limitar acesso a informações
sensíveis e/ou pessoais, na internet.
Entre outras… deverá:

✓ Restringir uso de redes sociais na rede empresarial.

✓ Configurar Serviços (e.g. registo DNS, Whois), Websites para não divulgar informação
desnecessária.

✓ Utilizar pseudónimos em blogs, grupos, comentários em sites, etc…

✓ Nunca publicar/revelar informação sensível (e.g., em doc. científicos, comunicações

para imprensa, relatórios anuais, catálogos, etc.)

✓ Limitar informação pessoal na internet.

✓ Utilizar técnicas de reconhecimento contra si ou a sua organização… para perceber

o que deve ser removido.

✓ Encripte conteúdo sensível.

25
Reconhecer o adversário com recurso a
fontes abertas

26