Apfell: Framework de post-explotación para macOS para el RedTeam

Apfell es un framework para macOS de post-explotación construido con Python3 y Javascript. Esta diseñado para proprocionar una interfaz colaborativa y fácil de usar para los usuarios y pentesters. Además, es muy útil para los Red Team, así como la generación de informes. La herramienta también se puede utilizar en sistemas GNU/Linux. En este artículo vamos a comentar brevemente el uso de Apfell y se recomienda verlo y probarlo en el Github oficial de la herramienta. 

El servidor con el que se interactúa para utilizar la herramienta se pone a la escucha en el puerto 443 y, por norma general, en la interfaz de red 0.0.0.0. Como se puede ver en la imagen, la herramienta presenta una interfaz sencilla de utilizar y de manejar. Esto es importante a la hora de realizar ciertos trabajos.

Figura 1: Aplicación web de Apfell

Apfell utiliza JSON Web Token, JWT, para la autenticación. Cuando se usa el navegador se almacena sus tokens de acceso y de cookies. Dentro de la carpeta app en el Github oficial se puede encontrar los payloads disponibles de la herramienta. Una herramienta para probar en los sistemas macOS y GNU/Linux que pueden sumar y ayudar a los pentesters en su día a día.

EggShell: Te permite vigilar tu macOS o tu iOS con Jailbreak

Una nueva herramienta de vigilancia está dando que hablar, ya que permite a cualquier persona espiar un entorno macOS o iOS con Jailbreak. La herramienta denominada EggShell, y disponible en su Github, está diseñada como una herramienta de prueba de concepto para los aficionados al lenguaje Python. Se trata de una herramienta de línea de comandos que crea de forma rápida y ágil una conexión cifrada de extremo a extremo entre el servidor, que será la propia herramienta, y el dispositivo.

En la web del desarrollador Lucas Jackson, se puede encontrar información sobre cómo funciona la herramienta y cómo configurarla. La herramienta genera un payload, el cual lleva el código que debemos ejecutar en nuestro macOS o nuestro iOS con Jailbreak. Tiene un parecido bastante grande con una Meterpreter. Una vez que la conexion se realiza con éxito, los usuarios pueden realizar una serie de operaciones en el dispositivo 'vigilado'. Se podría escuchar a través del micrófono, espiar a través de la webcam, capturar pulsaciones de teclado, descargar archivos, ejecutar comandos y muchas más operaciones.

Figura 1: EggShell a la escucha en el puerto 4444

Además, EggShell dispone de una versión Pro, la cual puede ser adquirida a través de Cydia. Esta versión amplia la funcionalidad, permitiendo al usuario bloquear el dispositivo, simular el botón de incio, reproducir música, registrar entradas de código de acceso o passcode, etcétera. Herramienta destinada a la vigilancia o la troyanización, dependerá siempre del uso que se le quiera dar.

0day en FTP Media Server para iOS

FTP Media Server

FTP Media Server es una app utilizada por los usuarios de iOS para descargar los videos y fotografías de sus dispositivos iOS sin necesidad de conectar el dispositivo. La app proporciona un servidor FTP, que por defecto escucha en el puerto 5000. La versión disponible en la AppStore es la 3.0 y es ésta la que es vulnerable, por lo que recomendamos que actualicéis rápidamente.En el sitio web Exploit-DB podemos encontrar el exploit que se aprovecha de la vulnerabilidad. En este sitio se detalla que el fallo reside en como se gestiona el uso de comandos no existentes, además de una incorrecta gestión en las conexiones no autenticadas y login incorrectos.

Michael Allen que es el autor del exploit indica que se puede causar la caída de la aplicación debido a la incorrecta gestión de comandos no existentes y realizar un bypass de autenticación debido a la incorrecta gestión del login. El exploit preparado a modo de prueba de concepto permite descargar todas las imágenes que se encuentren almacenadas en el dispositivo, en la carpeta Camera Roll sin necesidad de proporcionar usuario y contraseña.

Figura 1: Exploit para realizar un Bypass de autenticación en FTP Media Server

Como ya hemos visto en Seguridad Apple este tipo de vulnerabilidades afectan a nuestra privacidad, ya que si un usuario se conectase a redes inseguras podría acabar con todas sus fotografías extraídas sin darse cuenta. Algo parecido comentamos en el caso de iFile dónde podiamos automatizar la extracció de datos de los dispositivos.

Bug en iCloud: ¿Es éste el fallo del leak de los famosos?

La rumorología no para estos días tras el escándalo de las fotografías de las famosas y el posible leak en el servicio de iCloud de Apple. Hay noticias que apuntan a un posible incumplimiento en el servicio que haya supuesto la filtración. Este lunes surgió en github un script escrito en python que parece haber permitido a los usuarios realizar fuerza bruta contra cuentas en iCloud, gracias a una vulnerabilidad en el servicio Find My iPhone. Los ataques de fuerza bruta consisten en la utilización del script para adivinar la contraseña.

Figura 1: Readme.md en github

La vulnerabilidad descubierta en el servicio Find My iPhone parece haber dejado a los usuarios realizan fuerza bruta sin ningún tipo de bloqueo o de alerta. Una vez que la contraseña ha sido obtenida mediante esta técnica, el atacante puede utilizarla para acceder a otras funciones de iCloud con total libertad.

Figura 2: Ejecución del script en python

Algunos usuarios de Twitter fueron capaces de utilizar la herramienta para acceder a sus propias cuentas antes de que Apple, según parece, haya parcheado el agujero de seguridad. El propietario de la herramienta, Hackapp, se dio cuenta de que fue parcheado a las 3:20 am PT. Ahora al utilizar la herramienta la cuenta queda bloqueada después de cinco intentos, lo que significa, o todo hace indicar, que la secuencia marcada desde el script trata de atacar el servicio, pero Apple ha solventado el agujero.

Figura 3: Cuenta bloqueada

Según ha comentado el creado de la herramienta: "este error es común para todos los servicios que tienen muchas interfaces de autenticación". Cuando se le preguntó si el método podría haber sido utilizado para llevar a cabo el ataque contra las celebrities, él contestó que no ha visto ninguna evidencia hasta ahora, pero que admitía que alguien puede usar dicha herramienta para ello. No está claro el tiempo que el agujero lleva abierto dejando a los usuarios que tienen contraseñas fáciles de adivinar o sin segundo factor de autenticación expuestos a esta debilidad. 

iRET: iOS Reverse Engineering Toolkit

A través de nuestros amigos de Cyberhades hemos conocido iOS Reverse Engineering Toolkit, un paquete con un conjunto de herramientas comúnmente utilizadas para analizar la seguridad de apps para iOS que han sido paquetizadas para ser usadas de forma cómoda.

Figura 1: Página de inicio de iOS Reverse Engineering Toolkit

El toolkit permite analizar de forma cómoda una serie de operaciones sobre cualquier app, como son:

- Binary Analysis (basado en otool)
- Keychain Analysis (keychain_dumper)
- Database Analysis (sqlite3)
- Log Viewer
- Plist Viewer
- Header Files
- Crear, editar, guardar y construir tweaks para theos
- Display screenshots cacheadas

La herramienta permite analizar, por ejemplo, los keychains de una app, o ver cómo se realiza la gestión de datos en las bases de datos SQLite, todo de forma automatizada.

Figura 2: Análisis de Keychains con iRET

Para poder hacer funcionar este toolkit, además de bajarte el paquete iRET necesitas instalar las siguientes dependencias:

Python (2.5.1 or 2.7)
adv-cmds
Bourne-Again Shell
iOS Toolchain (coolstar version)
Darwin CC Tools (coolstar version)
An iOS SDK (de iOS 6.1 or 7.x) instalado en /theos/sdks

Aquí en Seguridad Apple, ya os hemos hablado de algún otro framework automatizado para el análisis de apps para iOS, como por ejemplo iNalyzer, y lo importante es que el auditor sepa qué es lo que busca y se sienta cómodo con él.

Latch para iOS en español y guías de uso

Ya está disponible en la App Store la nueva versión de Latch para iOS, cuya principal novedad es que se ha traducido completamente la app a Español para que todos los usuarios que quieran la puedan tener así. Además se ha añadido un pequeño menú de configuración para configurar algunos tipos de mensajes que se quieren recibir o no en cada momento. La app se puede descargar desde iTunes.

Figura 1: Latch 1.1.0 para iOS disponible en el App Store

Además se han publicado los plugins de Latch para más frameworks que se han publicado en el repositorio de código oficial de Eleven Paths. Todos los proyectos son Open Source y puedes descargarlos, usarlos y modificarlos a gusto.

Figura 2: Canal de Eleven Paths en GitHub

La lista queda de la siguiente forma:

- Plugin de Latch para WordPress
- Plugin de Latch para PrestaShop
- Plugin de Latch para Drupal 6
- Plugin de Latch para Drupal 7
- Plugin de Latch para SSH
- Plugin de Latch para Squirrelmail
- Plugin de Latch para RoundCube
- Plugin de Latch para RedMine
- Plugin de Latch para DotNetNuke
- Plugin de Latch para Moodle
- Plugin de Latch para Joomla

Y se puede integrar en cualquier aplicación o script con los siguientes SDK y plugins.

- Plugin de Latch para PowerShell
- Plugin de Latch para .NET Membership Provider
- SDK de Latch para Java
- SDK de Latch para .NET
- SDK de Latch para C
- SDK de Latch para Python
- SDK de Latch para Ruby
- SDK de Latch para PHP

Además, para aprender a manejarlo mejor se han publicado las guías de instalación y uso, que pueden ser consultadas online como referencia en el canal oficial de Eleven Paths en SlideShare.

Figura 3: Guías en el canal en SlideShare de Eleven Paths

- Guía de instalación de Latch en WordPress
- Guía de instalación de Latch en PrestaShop
- Guía de instalación de Latch en Joomla
- Guía de instalación de Latch en Drupal 7
- Guía de instalación de Latch en Drupal 6
- Guía de instalación de Latch en RoundCube
- Guía de integración de Latch en aplicaciones Asp.NET

Y a nivel de usuario podéis consultar la Guía de configuración y uso de Latch en Acens y la Guía de configuración y uso de Latch en 0xWord.

OS X Auditor: Framework de análisis forense de Mac OS X

Ya hemos hablado sobre análisis forense a equipos Mac OS X, como por ejemplo la herramienta Pac4Mac con la que se podía llevar a cabo un forense desde una unidad USB conectada al equipo o cómo realizar un análisis forense de  la memoria RAM de OS X a través de Volatility Framework. 

Hoy hablaremos de la herramienta OS X Auditor, la que proporciona ciertas funcionalidades interesantes para llevar a cabo un análisis forense en un equipo Mac OS X. Esta aplicación se encuentra implementada en el lenguaje Python y permite realizar una instantánea de algunos datos de interés para poder realizar un análisis forense de un equipo Mac OS X en funcionamiento.

Es posible que queramos realizar una copia de dicha información para su posterior análisis, pudiendo llevar a cabo dicha funcionalidad también. Algunos datos de interés a tener en cuenta que se pueden recolectar son las cookies, el historial de los formularios, inicios de sesión almacenados, bases de datos de configuración y en general casi todos los datos lo que podamos imaginar del navegador de Internet auditado.

La herramienta permite extraer las cuentas almacenadas localmente de las redes sociales y correo electrónico con las que se ha conectado cualquier usuario desde ese equipo. También obtener información de las redes WiFi para poder verificar y señalar a qué puntos de acceso se ha conectado el sistema que además se intentarán geolocalizar. El siguiente gráfico describe todas sus capacidades en la versión 0.3.

Figura 1: Descripción de capacidades de OS X Autitor

En la parte de sistema la herramienta OS X Auditor, intentará enumerar los servicios de terceros (daemons) y las extensiones del kernel. Puede verificar la reputación de cada archivo en varios sistemas de evaluación de malware para poder conocer si alguno de esos servicios es peligroso o no. La presentación de los documentos de resultado se llevará a cabo en formato similar a un archivo LOG, es decir, un TXT sencillo, o incluso pasarlo a formato HTML para una mejor presentación.

Esta herramienta se encuentra en la versión 0.4 actualmente, aunque por lo que podemos ver en su repositorio GIT, puede haber cambios en breve. Para poder lanzar la aplicación debemos tener Python versión 2.7.2 (2.7.5 OK) o superior. No se ejecutará con una diferente versión de Python, y la herramienta está escrita para trabajar en OS X Mountain Lion. Para poder recolectar las distintas evidencias del sistema se debe ejecutar python file como root, vía sudo por ejemplo. Si no ejecutamos de esta manera no podremos extraer toda la información del sistema a analizar.

OSX/Flsply malware para Mac OS X y Windows en Python

Desde Naked Security informan de un malware multiplataforma, es decir, que afecta a sistemas Microsoft Windows y Mac OS X, que está escrito en Python y que está siendo distribuido activamente a través de sitios web vulnerados. El visitante sólo tiene que navegar por una de estas webs para que un exploit del bug de Java aprovechado por OSX/FlashBack u OSX/SabPab, lance script de instalación de un supuesto Flash Player.

Este programa, el dropper, está script en Python. Su nombre es install_flash_player.py, y es el encargado de descargar el resto de los ficheros que utiliza este malware, principalmente un backdoor que permite, como se puede ver en la siguiente sección de código, listar ficheros, ejecutar comandos en el sistema, etcétera.

Figura 1: Código en Python del bacdoor de OSX/Flsply

El backdoor se instala en la ruta /Users/Shared o /Usuarios/Compartido si tienes la instalación en Español, y allí pueden localizarse dos ficheros que puedes eliminar.

Figura 2: Ficheros del malware en un equipo Mac OS X infectado

Lo más curioso es que analizando el código se puede ver cómo están preparando partes para nuevas versiones del malware - esta es la versión A -, como por ejemplo para saltarse los filtros de detección que comiencen a crear las empresas de seguridad.

Figura 3: Código de OSX/Flsply con comentarios para futuras versiones

Para evitar este malware se recomienda tener el software del sistema actualizado, especialmente las versiones de Java, y un antimalware actualizado con protección en tiempo real. El ataque lo hemos podido ver desde Seguridad Apple en bastantes sitios legítimos que han sido comprometidos, tanto visitando el sitio con máquinas Windows como con sistemas Mac OS X.

Aquí tienes un enlace sobre "Cómo saber si hay malware en tu Mac OS X" para ayudaros a revisar el sistema. No obstante, si tenéis un antimalware lo mejor es actualizar su base de datos de firmas y escanear el sistema de manera completa.