Mensajes

Es probable que te haya pillado a ti y a tu escuela con esto:

[youtube=640,360]https://www.youtube.com/watch?v=OKsniQJ1QPY[/youtube]

comunmente lo hago yoo para entrar a la cuenta del profe y avisarle al grupo de broma que mañana habrá exámen, y al final todos muy descontrolados xD.

Te envié un mns personal

Inglés antes que nada

Buenas respuestas, pero soy un porquito novato me podrían dar una expliacación más sencilla de lo que está, un tutorial, porque la verdad no entendí mucho, porque creo que es un hash de md5 convertido sha1 y no sé que más "?????", (pero son 65 carácteres, nunca me había topado con uno de esos), obiamente expicando sus funciones.... si no es molestia de lo contrario les agradezco que me echaran la mano y si fueron de gran ayuda Gracias

Que onda,

Colegas, muy buenas, no sé si esté en el foro correcto o tenga que irme a otro, pero la verdad necesito saber qué tipo de cifrado es ésta:

00f30839716ebe03a1c53e3c26f0b60a:bGe3uYyhHsfUFAggOKetEafvFMyifX7w

Observenlo bien...
Les seré sincero, estoy aprendiendo a usar Sqlmap con niveles, 2-3, y me lanzó este hash en password....

Necesito saber en dónde puedo desifrarlo, para que no me trave en buscar alguna solucón.

Soy un novato y no intento hacer daños, al contrario trato de corregir esos huecos de alguna manera... pero la intención es la que cuenta...

Por favor, acepto cualquier tipo de comentario y muchas Gracias por leer esto.

En donde es eso? Acá en Uruguay sale $21!!

Saludos!

En México 

Que onda,

Colegas, muy buenas, no sé si esté en el foro correcto o tenga que irme a otro, pero la verdad necesito saber qué tipo de cifrado es ésta:

00f30839716ebe03a1c53e3c26f0b60a:bGe3uYyhHsfUFAggOKetEafvFMyifX7w

Observenlo bien...
Les seré sincero, estoy aprendiendo a usar Sqlmap con niveles, 2-3, y me lanzó este hash en password....

Necesito saber en dónde puedo desifrarlo, para que no me trave en buscar alguna solucón.

Soy un novato y no intento hacer daños, al contrario trato de corregir esos huecos de alguna manera... pero la intención es la que cuenta...

Por favor, acepto cualquier tipo de comentario y muchas Gracias por leer esto.

Hola.

Bueno... leiste el tutorial?? (no te ofendas es sarcasmo  ) porque si fue así deberías haber notado que cambie algunas cosas, como por ejemplo la if, la modifique, si notas que está corregido con paint donde dice elhacker.net es porque tenía mi blog y por motivos de seguridad "que me ordena la PGR en México" no debo poner mi blog en sitios o foros, bueno en nunguna parte porque es seguridad informática", y bueno larga historia lo de la PGR.
Ahora otra cuestion, "Por que no puedo ejecutar ese programa como root?", bien si estudiaste binario, debiste haber notado que el valor 0 = apagado, y el valor 1 = a encendido, cualquier otro valor que no sea 0, se encenderá.
Es lo que te puedo decir.
Gracias por sus comentarios los tomo en cuenta xD

No lo creo amigo. Te puedo decir que no se puede hacer tal cosa tan fácilmente, porque muchas personas han descubiertos virus mas grandes que estos pero no tan grandes para afectar a el usuario o la isp, porque se ha dado el caso que el virus se sale de control y tiende a modificarse por si solo.
A eso yoo llamo inteligencia artificial.

Si lo mandara me dirian, ok lo tomarémos en cuenta, gracias por su preferencia. 

¡Qué onda!

Bueno. Este documento ha sido creado con un objetivo didáctico para no solo mostrar las vulnerabilidades de 39 de los mejores antivirus del mercado, si no también para enseñar de una forma clara y entendible como encontrar y eliminar algunos tipos de malwares de nuestro sistema.

Hace un tiempo un compañero de trabajo, vino alarmado junto a su PC, ya que este de repente empezaba a tener una conexión demasiado lenta a lo acostumbrado, siempre que intentaba conectarse a Internet.

Al arrancar el equipo hice lo típico que suele hacer cualquier informático cuando no sabe por donde le vienen los tiros, (Abrir el administrador de tareas), vi al momento que el sistema consumía un 90% de la memoria disponible. Ya de principio olía mal la cosa, así que me dirigí a la pestaña de procesos en busca de algo ilógico.

Me llamó la atención el encontrarme con un lsass.exe perteneciente a un usuario corriendo en memoria, ya que el original se carga con privilegio de sistema.

Raudo abrí la consola, he hice un netstat –b y lograr ver los procesos y conexiones. Para mi asombro había un montón de incesantes intentos de conexión desde dicho proceso a un mismo rango de IP, únicamente se sumaba 1 al último dígito, ya todos sabemos porque le va mal internet a mi compañero ¿cierto?.



Abrí mi querido LordPE para buscar el PID, como se muestra en la imagen anterior con números decimales 1836, deberemos de sacar una calculadora científica para facilitar el proceso de conversión en hexadecimal, de esta manera lo encontraremos de forma ágil a no ser que estuviese inyectado en otro proceso.

El resultado es: 1836 = 72C


Una vez convertido el dígito, nos dirigimos al PID "72C" desde LordPe y nos encontramos con que la ruta del falso lsass.exe es otra totalmente distinta a la original, ya que el de Microsoft se aloja de forma predeterminada en la carpeta "C:/Windows/System32" y este misteriosamente lo hace en "C:/Windows/Security".



Al pinchar con el botón derecho y hacer un Dump Full, se copiará el archivo que corre en memoria, para así tenerlo más a mano. Una vez dumpeado se guarda en el escritorio y se enviará a un Scanner Online con 39 Antivirus, veamos el resultado del Scanner.



Algo no encaja... es seguro que este archivo está infectado y ¿los antivirus no nos alarman? ¡Pues nada! A seguir con la investigación.

¡Preguntemos a Google que lo sabe todo! Menos salir de la crisis claro... Al introducir la ruta "C:/Windows/Security/lsass.exe" encontré mucha información sobre varios foros que afirmaban sobre un muy posible malware escondido en esa carpeta, aunque posiblemente mutaciones, encriptaciones o diferente tipo de archivo malicioso, podría ser el culpable de tanta noticia.

Aprovechando que LordPE seguía abierto, me dispuse a dumpear los dos archivos lsass, el de la carpeta original y el sospechoso, claramente como se vé en la imagen tenían notables diferencias en versiones, peso y código.



¿Como se ejecutará este malware? Si lo hace de forma automatizada sin intervención del usuario... pues me voy a ejecutar un msconfig a ver que pasa.

En la pestaña de inicio nos encontramos con lo siguiente:




Ahora ya si me decidí a entrar en la misteriosa carpeta para identificar de manera visual a mi contrincante xD!!

Observando el archivo vemos que está de forma oculta de solo lectura y pesa 3,05MB.



¡Algo rápido! presiono "Contrl + Alt + Supr", saco el administrador de tareas y ¡me lo cargo! ¿pero? me salta para mi información que es un proceso critico! ¿¿Wtf??



El tipo que se codeó este bichejo, se mata a proteger su malware y deja las cosas más simples a la vista, reinicio, F8 y veamos que pasa en modo seguro.



Una vez dentro del sistema saco de nuevo el LordPE para contemplar que proceso lsass.exe es el que se está ejecutando.



Viendo que el ejecutable que corre es el original y el malware permanece dormido, vuelvo a las claves de registro y a eliminar el archivo de la carpeta Security.

[

Una vez terminado con el ejecutable, reiniciaré el sistema y entraré en como siempre a la sesión del usuario de mi compañero.

Una vez dentro, al observar nuevamente el administrador de tareas, veo que ya solo corre el de sistema.



Volveré de nuevo a consola para ver si se muestran las anteriores conexiones.



Quedó bien limpito de conexiones
Dicen que la curiosidad mató al gato, si no me mata la ceguera lo hará el asesino de gatos sin duda... así que mientras tanto voy a mirar un poco más sobre este bichejo.

Intrigado por saber que tipo de malware era, envié el ejecutable al Scanner de Anubis, el cual me mostró lo siguiente.



De todos estos archivos el que más me llamó la atención fue logins.txt ¿Para que quiere un archivo plagado de palabras?

Bien recopilemos información:

Las IP a las que conecta son iguales, únicamente varía su último número de forma incremental "+1", así que barría todas las direcciones comprendidas dentro de un rango que encontrase a su paso, el puerto de conexión utilizado era el 22, siendo este el de serie para las conexiones desde el protocolo SSH, (conexión a shell remota segura), además de crear dos archivos aleatorios llamados "Sshbx?.exe", tenemos un "logins.txt" con una burrada de palabras para ataque de diccionarios como Admin Admin.- Root Root - User User...

Mi conclusión clara es que nos encontramos con un Robot, el controlador de la Botnet, nos usa de máquina Zombie para realizar ataques fortuitos por "Ssh" a todas las direcciones de IP que se encuentre por su paso mediante fuerza bruta con diccionario, cuando una de estas sea acertada se le enviará todo a nuestro pequeño delincuente, que conseguirá acceso total a otros servidores además del nuestro.

Podríamos seguir con el tema, incluso utilizar herramientas más complejas para la resolución de este problema y su detección, pero aveces la resolución más simple es la más acertada.

Bueno espero que les sirva.