Análisis forense de un servidor

Abstract

El presente informe pericial forense se ha realizado a solicitud de Gangas SL, ante la sospecha de un incidente de seguridad en su servidor web alojado en AWS, que tuvo lugar entre diciembre de 2018 y enero de 2019. Este servidor contenía el sitio web de la empresa, construido con WordPress 4.9.9 y el plugin Reflex Gallery 3.1.3, ambos con vulnerabilidades de seguridad conocidas. La finalidad de este informe es determinar la naturaleza y alcance del incidente, identificar los datos comprometidos y los movimientos sospechosos relacionados con el incidente. La metodología empleada incluyó la revisión de imágenes de la memoria RAM y del disco duro del servidor, junto con sus hashes de verificación. Se utilizó herramientas forenses para el análisis, asegurando que la integridad de los datos se mantuviera durante el proceso forense. Los resultados revelaron la explotación de vulnerabilidades conocidas, un intento de inyección de código malicioso a través de comentarios y la subida de un archivo PHP que permitió un ataque más severo, incluida la modificación de archivos clave de WordPress y la inserción de un script de minería de criptomonedas. Las conclusiones indican un compromiso significativo de la seguridad del servidor, con la implicación de múltiples direcciones IP en los ataques. Se recomienda a Gangas SL actualizar sus sistemas, realizar auditorías de seguridad regulares y fortalecer sus políticas de control de acceso para evitar futuros incidentes.

The forensic expert report was conducted at the request of Gangas SL due to suspected security incidents on their AWS-hosted web server, which occurred between December 2018 and January 2019. This server hosted the company's website, built with WordPress 4.9.9 and the Reflex Gallery 3.1.3 plugin, both with known security vulnerabilities. The purpose of this report is to determine the nature and extent of the incident, identify the compromised data, and the suspicious movements associated with the incident. The methodology used included reviewing images of the server's RAM and hard drive, along with their verification hashes. Forensic tools were used for analysis, ensuring that the integrity of the data was maintained throughout the forensic process. The findings disclosed the exploitation of known vulnerabilities, an attempt to inject malicious code through comments, and the upload of a PHP file that allowed a more severe attack, including the modification of key WordPress files and the insertion of a cryptocurrency mining script. The conclusions point to a significant compromise of the server's security, involving multiple IP addresses in the attacks. Gangas SL is advised to update their systems, conduct regular security audits, and strengthen their access control policies to prevent future incidents.