Mañana en Eleven Paths Talks: OSINT y el poder de la información pública #OSINT

En Eleven Paths estamos dando una serie de talks sobre distintos aspectos de la ciberseguridad. Las charlas de 30 minutos están teniendo mucho interés y podéis verlas en nuestro canal de Youtube. El próximo Jueves 2 de Junio, nuestro compañero Diego Samuel Espitía impartirá una charla sobre el apasionante mundo de OSINT y el poder que la información pública supone. 

En el ámbito de la ciberseguridad las fuentes abiertas son unos orígenes muy importantes de datos y aportarles la capa de inteligencia es vital para construir herramientas que ayuden a protegernos de las amenazas. Sin duda, una charla interesante en la que podrás realizar las preguntas que quieras al final de dicha sesión.

Figura 1: Lista de vídeos con las charlas de Eleven Paths Talks

La duración de la charla de Diego Samuel será de unos 30 minutos, divididos entre 20 y 25 minutos de exposición y de 5 a 10 minutos de preguntas y respuestas. El horario de la charla serán las 15.30 (hora España). La charla estará disponible al termina ésta en nuestro canal de Youtube. La ponencia se llevará a cabo por Hangout. La sesión se impartirá en castellano.

Os esperamos para que nuestro CSA os enseñe todo lo que necesitáis conocer sobre el potente mundo OSINT. Si quieres saber más acerca del tema, no dudes en pasarte por nuestra Community, dónde nuestros compañeros hablan sobre este y otros temas de interés en el mundo de la Seguridad. Puedes mirar el calendario de talks para ver las que aún quedan por celebrarse. Recuerda, tienes una cita el próximo 2 de Junio en horario de 15.30 (hora España). Para registrarte debes usar el siguiente formulario de ElevenPaths Talks.

DomainTools para iOS: Información de dominios a un clic

Si eres de los que gusta tener a mano las apps en tu iPhone para consultar las cosas que usas en tu equipo como a nosotros, seguramente te apetecerá instalarte la app de Domain Tools para consultar información sobre un determinado dominio de Internet en un instante. Permite comprobar la información Whois, si el dominio está disponible o no, comprar un domino al instante, o tomar un screenshot del mismo.

Figura 1: DomainTools para iOS

La app la conocimos gracias a la reseña que se hizo en la investigación de quién estaba detrás de OSX/FlashBack, y tras probarla está ya en una carpeta junto a otras apps como la de Shodan para iOS la de Wolfram Alpha para generar passwords robustas.

Se descubre quién estaba detrás de OSX/FlashBack

El malware OSX/FlashBack tiene el dudoso honor de haber sido el troyano que más equipos Mac OS X infectó en la historia. Llegando a comprometer más de 600.000 equipos, e incluso muchos de ellos de la propia casa Apple, la epidemia hizo ver la realidad del problema a todos los usuarios de Mac OS X.

Dicho malware fue investigado largo y tendido, pero se quería averiguar quién estaba detrás de él, y Krebs on Security da la respuesta en una genial investigación que comienza con un mensaje de un usuario VIP en el foro privado BlackSEO.com donde un usuario Mavook dice ser el creador de OSX/FlashBack.

Figura 1: Debajo del perfil Mavook dice ser el creador de OSX/FlashBack Trojan

A partir de ese momento Krebs investiga a Mavook, y la investigación no tiene desperdicio. Primero analiza el perfil de Mavook en BlackSEO.com, donde como puede verse se hace referencia una web llamada mavook.com.

Figura 2: Mavook tiene Mavook.com

Dicha web tiene el Whois privado, pero usando un servicio de Whois historico, Krebs obtiene que el dominio se registró en 2005 por un tal Maxim Selikhanovich de Saransk, la capital de Mordovia, una república del este de Rusia. El registro se hizo por medio de un correo electrónico de Hotmail, concretamente h0mini@mail.ru (con cero).

A partir de ese correo, usando el servicio Skype, aparece el nombre de un usuario "Maximsd", que además tiene asociada otra dirección de correo electrónico en “mavook@gmail.com.” Esa dirección de correo de Gmail está asociada a "Maxim Selikhanovich" de Saranks en un servicio que ahora no existe llamado "Saransk-offline" para la venta de archivos MP3.

Otra de las direcciones de correo que utilizaba Maxim en ese sitio y otros relacionados fue “troxel@yandex.ru” que era el mismo correo que se utilizó para registrar una cuenta -ahora borrada - en Facebook a nombre de Maxim Selikhanovich de Saransk y otro sitio de venta de música en MP3 ahora abandonado se llamaba mavook-mp3.com, estaba registrado a nombre de “Mavook aka Troxel” y el correo utilizado era h0mini@mail.ru, misma dirección que la que se usó para registrar mavook.com.

Figura 3: Cuenta a nombre de Maxim Selikhanovith cerrada

El final de la investigación lo cuenta Krebs de manera mucho más rápida, ya que la dirección de correo h0mini@mail.ru es el punto de contacto de un negocio en mak-rm.com, cuyo nombre de dominio está registrado para una empresa de IT-outsourcing y diseño web en Saransk called, llamada Mordovia Outsourcing Company. MAK son las iniciales en ruso “МОРДОВСКАЯ АУТСОРСИНГОВАЯ КОМПАНИЯ”, que está registrado a nombre de una persona llamada “Max D. Sell” de Saransk (puedes ver una imagen cacheada de mak-rm.com en 2010 en Internet Archive).

Figura 4: Web de la compañía cacheada en 2010

Krebs resuelve el final consiguiendo información de los impuestos por medio de una persona con la posibilidad de consultar los datos en Rusia, y la compañía está registrada a nombre de Maxim Dmitrievich Selihanovich un hombre de 30 años de Saransk, Mordovia, que tiene todas las papeletas para ser el creador de OSX/FlashBack.