Análisis mediante PoC de la dificultad para explotar vulnerabilidades utilizando distintas herramientas de hardware y de software

Abstract

Existen multitud de herramientas para efectuar ataques que comprometan la seguridad de los dispositivos TIC (smartphones, tablets, portátiles, servidores, cámaras de seguridad,...). Además, recientemente se ha incrementado la puesta a disposición del público general (sobre todo a través de Internet) de herramientas tanto de tipo hardware como software a un precio muy reducido o directamente de forma gratuita. En este TFM se analiza mediante pruebas de concepto distintos tipos de ataques (robo de credenciales, obtención de privilegios de administrador, hosts file poisoning, man-in-the-middle, password cracking,...) mediante diferentes herramientas hardware/software que han aparecido en los últimos años: USB Rubber Ducky, WiFi Pineapple Nano y Kali Nethunter, indicando asimismo su potencial, posibles implicaciones en el mundo de la seguridad y medidas para evitar estos vectores de ataque. Se concluye que las herramientas anteriores permiten realizar ataques sin necesidad de conocimientos técnicos en la materia y con bastante sencillez. Algunos de estos ataques se ven limitados por el hardware portable que sirve de soporte, pero la mayoría tienen plena eficacia e incluso varios de ellos son transparentes para la víctima. Esto unido al continuo incremento de los dispositivos conectados a Internet así como al aumento de la actividad online hace presagiar un aumento de los ataques, lo cual resalta la necesidad de utilizar software actualizado y debidamente configurado/protegido.

Nowadays there are myriads of tools aimed at attacking the security of IT devices (such as smartphones, tablets, laptops, servers, security cameras,...). Moreover, the public availability of affordable or even free hardware and software tools has recently increased (mostly thanks to the Internet). In this work several types of attacks (stealing of credentials, getting of administration privileges, hosts file poisoning, man-in-the-middle, password cracking,...) are analyzed by performing proofs of concept. In order to do so we use both hardware and software tools that have appeared in the last years: USB Rubber Ducky, WiFi Pineapple Nano and Kali Nethunter, also indicating their potential, possible implications on the security world and measures to prevent these attack vectors. As a conclusion, these tools allow anybody to launch attacks easily, even if they do not have technical knowledge about the topic. Some of these attacks are limited by the portable hardware used, but most of them have full efficacy and some of them are even imperceptible for the victim. Together with both the continuous growth in Internet connected devices and the increase in online activity, it can be presaged that a rise of common attacks is about to come. Consequently, there is a need for using updated software and configure it properly in order to be protected.

Existeixen multitud d'eines per a efectuar atacs que comprometin la seguretat dels dispositius TIC (telèfons intel·ligents, tauletes, portàtils, servidors, càmeres de seguretat,...). A més, recentment s'ha incrementat la posada a la disposició del públic general (sobretot a través d'Internet) d'eines tant de tipus maquinari com programari a un preu molt reduït o directament de manera gratuïta. En aquest TFM s'analitza mitjançant proves de concepte diferents tipus d'atacs (robatori de credencials, obtenció de privilegis d'administrador, hosts file poisoning, man-in-the-middle, password cracking,...) mitjançant diferents eines maquinari/programari que han aparegut en els últims anys: USB Rubber Ducky, Wifi Pineapple Nano i Kali Nethunter, indicant així mateix el seu potencial, possibles implicacions en el món de la seguretat i mesures per a evitar aquests vectors d'atac. Es conclou que les eines anteriors permeten realitzar atacs sense necessitat de coneixements tècnics en la matèria i amb bastant senzillesa. Alguns d'aquests atacs es veuen limitats pel maquinari portable que serveix de suport, però la majoria tenen plena eficàcia i fins i tot diversos d'ells són transparents per a la víctima. Això unit al continu increment dels dispositius connectats a Internet així com a l'augment de l'activitat en línia fa presagiar un augment dels atacs, la qual cosa ressalta la necessitat d'utilitzar programari actualitzat i degudament configurat/protegit.