Hola amigos, bienvenidos a esta clase en donde vamos a aprender dentro de lo que veníamos aprendiendo
relación al análisis de malware.
Justamente el arte del ocultamiento a un nivel un poco más avanzado y además de ver la práctica que
ahora les voy a compartir.
Vamos a ver.
Perdona la parte de la teoría que vamos a ver.
Te vamos a dar práctica que una de las cosas que más les gusta de ustedes, en donde un archivo cualquiera,
en este caso un ejecutable, lo vamos a infectar con un virus, con lo cual nos va a permitir justamente
realizar un ataque y lo vamos a hacer todo el ciclo.
Así que no perdamos más tiempo y empecemos primero.
Cuando estamos hablando del arte del ocultamiento avanzado en lo que Mal War, estamos hablando de polimorfismos
y metamorfismo dos términos que están viendo en pantalla en este momento.
Él metamorfismo es similar al polimorfismo que lo vamos a ver ahora, pero es más avanzado.
Este justamente se trata de cómo se pueden modificar a sí mismos y a otros procesos.
Sobre todo, qué se diferencia con el polimorfismo que ahora lo vamos a dar?
A qué me refiero con a otros procesos?
Bueno, los hemos metamorfismo.
Por ejemplo, un virus puede atacarlos a ustedes, buscaron procesos de los cuales ya se encuentra en
ejecución y a ese proceso infectado y ustedes de esa manera no darse cuenta.
Bien.
Uy, perdón, me pasó una diapositiva y polimorfismos, justamente la capacidad que tiene modificar
su código sin que afecte su funcionamiento.
Y estos dos términos realmente son importantes dentro de lo que hace Anormal War, porque esto significa
que un malware con metamorfismo o polimorfismo en la capacidad de detectar inclusive cuando queremos
ejecutarlo en una máquina virtual.
Una de las medidas de seguridad que estamos utilizando ahí virus avanzados que tienen la capacidad de
detectar esto o el comportamiento y reaccionar en consecuencia.
Por eso dice que tiene la capacidad de modificarse asimismo sin que afecte su funcionamiento y de esa
manera esquivar, por así decirlo, los antivirus, por ejemplo.
Pero de todas maneras, esto lo vamos a a ver ahora en la práctica un poco.
Recordemos y pasemos en limpio.
Entonces que polimorfismo la capacidad de mutar el código original del malware sin que se dañe a sí
mismo y metamorfismo es la capacidad de generar código y reescribirse a sí mismo y alterar inclusive
muchas veces su comportamiento en cada en cada infección por así decirlo, como le mencionaba en el
ejemplo de el procesamiento.
Entonces.
Y de esta manera puede detectar si es un azam box o una máquina virtual.
Por ejemplo.
En estos punto también recordamos un concepto que se llama Entry Point Oculta Matson, donde lo vamos
a ver también en Cali, que es justamente encontrar un espacio vacío en la shellcode para ingresar el
fragmento de malware.
En este caso era real mencionado encontrar el proceso, pero vamos ahora a avanzar ahora con la máquina
virtual ejemplos de herramientas con las cuales nosotros podemos utilizar para ocultar ocultar el malware,
por así decirlo.
El MSF Venom ahora vamos a utilizar Shelter y también está la esteganografía, cosas que vamos a ver
más adelante.
También en el curso vamos a dedicar un espacio bien, vamos a empezar a trabajar.
Primero vamos a usar el Kali Linux que ustedes pudieron haber importado y también vamos a utilizar nuestra
máquina víctima.
En este caso vamos a utilizar un ejecutable que acá está a puro limpio, sin virus, que ahora igual
les voy a mostrar eso y lo voy a ejecutar intencionadamente para que vean que soy conciente que devuelve
un error, no importa que devuelve un error.
Inclusive a pesar de que vuelve un error, van a ver como el malware que vamos a crear ahora va a funcionar.
De todas maneras, a pesar de que el ejecutable está devolviendo un error, ustedes pueden utilizar
ejecutar lo que ustedes gusten.
No es problema a este caso.
Tengo la máquina virtual que va a ser la víctima y vamos a usar nuestro Kali Linux para empezar a trabajar
bien.
Primero mostrarles que acá tengo el archivo en cuestión que vamos a infectar.
Les voy a dejar la copia para que ustedes, si quieren practicar, pueden utilizarla también y yo ni
infectar ésta.
Primero veamos que justamente esta es una página web virus scan se llama donde podemos escanear.
Es pública la.
Encontrar en internet existen otras no era realmente saber tratar porque deja registro de lo que escanean,
en cambio esta no, entonces yo acabo de escanear, me lo juego cartas en cuestión y vean como efectivamente
lo recorrió con todos estos antivirus y no encontró nada.
Inclusive nos da el jazz MD5 Llaguno.
Entonces este archivo que pudieron haberlo descargado de internet como hice yo y.
Y verificarlo de esta manera y ver que no tiene nada.
Ok, entonces lo que vamos a hacer ahora es voy a poner un poco de zum para que sea más claro para ustedes
verlo y vamos a ejecutar Schell.
Lo que voy a hacer ahora es abrir la ventana y lo primero que nos pregunta es si lo que deseamos hacer
la operación sea automático o manual.
Yo voy a elegir automático.
Es más práctico la ubicación, el archivo objetivo.
En este caso el archivo se encuentra en esta ruta.
La voy a copiar, la voy a pegar y lo que tengo que agregar es juego cartas punto X y empieza a trabajar
Shelter en el proceso que está trabajando.
Justamente va a crear el archivo, lo va a pisar.
O sea que por eso le decía recién que les dejo una copia, porque en realidad va a ser este el mismo
archivo infectado.
No es que me crea uno aparte en un lugar distinto.
Ahora también nos debería pedir algunos datos, por eso yo ya no voy a anticipar, voy a abrir una nueva
pestaña.
Rehacer son para que te puedan ver y config nos va a pedir la IP.
Así que yo ya lo voy a tener acá desde cero, sin cuenteros y vamos a esperar a que esto siga trabajando.
Como les decía.
Recuerden que entonces el virus se va a pisar el archivo directamente lo voy a insertar acá.
No es que me voy a quedar uno nuevo.
Por eso yo les dejo la copia y este mismo lo vamos a volver a escanear en el en esta página web popular
conocida en donde lo vamos a recorrer con estos antivirus, vamos a darle unos minutos que termine y.
Y vamos a justamente lo que va a suceder ahora una vez que termine.
Fíjense, acá nos está preguntando si queremos colocarle el modo encubierto, lo cual yo voy a poner
que si.
Y acá lo que me pregunta es si quiero, lo quiero al pueblo, a local, osea que funciona de manera
local, lo cual va a ser así porque es el laboratorio que hemos creado yo personalizado.
En este caso yo lo voy a poner local y me pregunta ahora que elija en que tipo de ataque?
En este caso un reverse TCP, o sea la opción uno.
Ahora me pregunta Lippe local como le había mencionado antes, hacemos 052 y el puerto un típico siepre
el cuadro 1444 de los sesenta y cinco mil quinientos treinta y cinco opciones que tenemos de puertos.
Y fíjense que efectivamente acá terminó.
Me cierra la consola directamente.
Yo voy a cerrar acá y fíjense la diferencia.
Ahora lo voy a volver a escanear y vamos a ver qué tan probable es que un antivirus pueda encontrar
el malware que acabamos de crear.
Vamos a darle unos segundos.
Y mientras tanto también me adelanto en mencionarles que la forma fíjense que ya empezó a alargar los
resultados.
La forma a través de la cual me voy a mandar este archivo a mi otra máquina virtual es con win transfers.
Ustedes lo pueden hacer de la manera que gusten.
Me pasaron práctico with transfers.
Fíjense como Zappos encontró que era un malware, un troyano, en este caso este antivirus scam y a
pesar de que ESET es un excelente antivirus no gano nada por tener nada.
Avast nada si.
Oh y trend micro nada.
O sea que si ustedes tienen alguno de estos antivirus, este malware hubiese pasado igual.
Bien.
Ahora lo que vamos a hacer es yo voy a poner un transfers y transferir.
Acá está y lo que voy a hacer es mandarme el archivo en cuestión.
Voy a ponerme este mismo correo.
Y es tan sencillo como.
Arrastrado y poner otra cerca de casa, una pedir un código de verificación, lo cual no es problema.
Denme un segundo.
Esto le va a pedir a ustedes lo mismo si ustedes se mandan el archivo también por muy transfers personal
me molesta que lo vean.
Me pareció más práctico.
Este valor va a cambiar en base a a cada envío, así que eso tampoco es problema que lo vean al número
y en este caso ya lo mandó al archivo en cuestión.
Entonces lo que yo voy a hacer es.
En esta otra máquina lo voy a correr para acá para descargar el acciono.
La verdad que está todo bien con ustedes, me quería amigos, pero no voy a mostrarle mis correos electrónicos
y etcétera.
Y ahí me llegó muy transfers.
Voy a descargarlo de un segundito y ahora se los voy a mostrar.
Es más, se lo podría mostrar.
Ya ven acá, yo estoy descargando algo en el modo, no sé si se justifica, obviamente, a pesar de
que me daba la opción de conservarlo.
Fíjense que me lo estaba guardando, me advierte.
Es un ejecutable.
Es muy normal que un krom advierta siempre ante un ejecutable y en este caso ir acá, mostrar voy a
sacar esto.
Y vamos a este caso no voy a dejar aparte, fíjense que este es el archivo juego de cartas entre paréntesis
2.
Yo lo voy a. primero antes de ejecutarlo, obviamente, previo al ataque que estamos haciendo, yo tengo
que poner en modo escucha mi imagen, mi Kali Linux para poder recibir una información.
Cómo hacemos esto?
Ya lo hemos visto con anterioridad cuando hemos trabajado con metas plait, pero nunca viene mal.
MSF Consol Y lo que vamos a hacer ahora es vamos a poner en modo escucha para poder recibir el la el
meter pretar en este caso que nos va a permitir continuar con el ataque.
Bien, una vez que estamos acá, fíjense metas plaid le voy a decir un poquito más de su hilo que yo
voy a utilizar.
Es la herramienta de multi handler para recibir, para poner en modo escucha mi Mikal Linux algo le
escribí decimosegundo como es el Iuz multi.
Jaw Telera.
Bien, perfecto, así lo escribiría.
Ok.
Ahora que estamos acá, lo que tenemos que setear es qué pelotas vamos a usar.
Qué es lo que hemos elegido en Shelter?
Cuando lo utilizamos recién.
Cómo hacemos eso?
Hacemos un set pelo.
Recuerden que hay sensitivas en mayúscula.
Windows Varra.
Por qué estamos atacando un Windows?
Meter pretender que elegimos elegimos el de Reverse TSP ok show options para ver las opciones, recuerden.
Y en este caso me está pidiendo el lejos en cuestión.
Hacemos un set lejos.
Dijimos que era simplemente 868 052.
Hacemos un show options para confirmar y el puerto está.
Fíjense que el viejo y legendario predecible cuatrocientos 1444.
Qué pasa?
Podemos hacer un rong o un exploit para ejecutar y ponerlo en modo escucha a nuestra máquina.
Bien, fíjense que ahí se ejecutó.
Entonces ahora lo que vamos a hacer es algo tan sencillo como yo descargué el archivo.
Bueno, lo ejecuto porque quiero jugar a las cartas u me volvió un error.
Bueno, no hay problema.
Voy a quedar con las ganas de jugar.
No hay drama.
Y qué pasó del otro lado?
Fíjense cómo está con la sesión, en este caso abierta.
Vamos a esperar a que me devuelva el meter Prater.
En este caso le voy a dar aceptar.
No hay problema.
Y bueno, fíjense que obviamente en este caso vamos a intentarlo una vez más.
Vamos a ver.
Reguló segundo.
En este caso, claro, porque se salió.
Yo tendría que permanecer en el juego, utilizar otro archivo en cuestión para que lo mantenga para.
Mientras esté jugando al juego las cartas, utilizarlo es conservar la conexión.
Obviamente en virus, fíjense como inclusive ahora me marca dos sesiones abiertas en virus en donde
podemos hacer persistencia, que seguramente lo estar viendo más adelante y de esa manera,
de esa manera podemos conservar la conexión o poner un auto run, cosa que ya hemos visto.
También el concepto y cuando cae que se inicie el sistema operativo poder justamente e iniciar la conexión.
Y de esta manera, fíjense cómo efectivamente la conexión se establece estaría funcionando y ustedes
han podido con un archivo cualquiera.
En este caso, un juego de cartas puede realizar un ataque y obtener una conexión en cuestión.
Todas maneras, lo vamos a seguir practicando en otros ejemplos.
En próximas clases.
Pero que les haya gustado.
Les dejo un abrazo digital.