Ingeniería social vía memorias USB

mal4c · 19-Aug-2008, 09:29

Ingeniería social vía memorias USB

Durante una auditoría de seguridad informática en una empresa que se dedica a conceder créditos en la que los responsables de ésta se mostraron especialmente preocupados por el factor humano y lo fácilmente que en el pasado sus empleados habían revelado claves o compartido información, así como el riesgo de seguridad que suponen las memorias USB, la gente de Dark Reading, la empresa que llevó a cabo la auditoría, consiguió entrar en los sistemas y averiguar todo tipo de información utilizando un truco la mar de sencillo.

Para ello cogieron veinte memorias USB de propaganda, las llenaron con archivos de varios tipos, incluyendo un troyano que una vez ejecutado en un ordenador empezaría a enviar información a los ordenadores de Dark Reading, y los fueron dejando «olvidados» en el aparcamiento, zonas de fumadores y otros sitios de la empresa bajo auditoría.

De las veinte memorias, quince fueron encontradas por empleados de la empresa en cuestión, y las quince terminaron por ser enchufadas en ordenadores conectados a la red de la empresa, ordenadores que en seguida empezaron a enviar datos a Dark Reading que les permitieron entrar en sus sistemas sin ningún problema.

Y eso que los empleados de la empresa estaban sobre aviso de que estaba teniendo lugar la auditoría de seguridad; parece claro que los responsables hacían bien en estar preocupados por el riesgo que suponen las memorias USB.

La historia completa está en Social Engineering, the USB Way.

Lo más sorprendente del método utilizado es el bajísimo riesgo que supone para el que lo quiera utilizar, ya que basta con dejar algunas memorias de esas por ahí desperdigadas, sin tan siquiera tener que acercarse a un ordenador y si me apuras tan siquiera sin entrar en la empresa, y confiar en que la curiosidad de la gente termine por hacer el resto, como sucedió en este caso.

Hace años el mítico Kevin Mitnick ya había utilizado un truco similar a este para infiltrarse en los sistemas de una empresa, en este caso dejando un diskette con el software malicioso en uno de los baños de ejecutivos… pero es que ya nadie usa diskettes ;-)

:

fuente

28-Oct-2008, 19:17

wow....es increible como el ser humano puede utilizar su potencial para infinitos propositos...
ke wen aporte m4lc...

evingo · 08-Dec-2008, 16:07

Hola:
Lei aquel articulo e inclusive lo colgué a mi Blog y lo critique, inclusive coloque un ejemplo del porque lo critique aquí esta en este link http://tecnopita.blogspot.com/2008/0...cen.html , A mi en lo personal me parece algo ridiculo el caso de las USB-key... o les pregunto mejor esto si van caminando y encuentran una Ubs de 2 o 4 u mejor 8 gigas... entonces ¿pasan por encima? ¿la recogen... pero la queman? ¿la recogen y la verifican si esta en buen estado? ¿la recogen y se la dan a su peor enemigo?... es algo que debemos ver en una forma global ... no podemos hacer que la gente tenga un único pensamiento, lo que si podemos hacer es disminuir el riesgo y hay herramientas que minimizan ese riesgo, asi que ese articulo me pareció "Tonto".

ha! y este es mi primer mensaje en este foro espero ayudar mucho.
gracias por leer

hecky · 08-Dec-2008, 19:33

Hola evingo, tengo unas cuestiones para ti

1.- primero me quise meter a tu blog que promocionaste aqui, yal meterme a tu link, me dijo que el contenido no existia, bueno, pero despues de buscar de articulo por articulo, logre encontrar tu critica

2.- esto lo recogi de tu blog

Cita:

y para despedirme es algo estúpido el ejemplo del experimento que hizo el tipo en el estacionamiento, osea que si me encuentro una USB entonces entro en pánico y la quemo

Bueno me parece que exageras un poco, el no recomienda quemar ni entrar en panico. Yo creo que es muy bueno el articulo y te recomiendo volverlo a leer

3.-Tambien en tu blog mencionas (sarcasticamente) sobre enviar los archivos comprimidos de 10mB en 20 compresiones, por que el mail no aguanta, Pero dejame decirte que hay correos especiales para enviar archivos extremadamente pesados

4.-

Cita:

Iniciado por evingo

que ese articulo me pareció "Tonto".

DIfiero completamente contigo, es un muy buen articulo, pero lo tomamos con diferente enfque y respeto eso

SOlo como consejo, no hay que exagerar las cosas, y hay que ver las cosas desde diferente angulo

Y saludos

evingo · 09-Dec-2008, 07:29

Hola:
Si es verdad me gusta exagerar cuando de asuntos para armar fiesta se tratan "exagerar que usando USB memorias puedes llegar a que tu empresa quiebre o se meta en un lio" eso es principalmente lo que se debe evitar, y para eso esta un departamento de informática, administración de sistemas, o de redes en su efecto, "cosa que aqui en Colombia por lo que veo no existe" conozco muchas empresas "grandes" que escazamente tienen visitas periodicas de un tecnico y solo para que les actualicen el antivirus....

volviendo al tema : La USB como en su tiempo el diskette, y otro medios simplemente han sido medios de propagación, y asi como se idearon soluciones para que los discos magneticos no afectaran el famoso sector de arranque del disco, y de otros diskettes, entonces asi deberian hacer para las USB "ya existen".... pero tratar de convencer a la gente que tienen que enviar todo por mail, esto es algo "in-necesario"... para eso estan las USB,

estas en una reunion y quieres datos que probablemente la persona no quiera tomar la molestia de sacrificar 5 minutos de su tiempo para enviartelos y te lo ahorras pidiendo que los copies a tu USB, es asi de sencillo....

pero NO esa persona utiliza Windows y ademas de eso leyo el articulo y te detiene con un !NO¡ ¿que te pasa... quieres robar mi informacion?

en fin parece que volvi a exagerar... lo que en si resumo es no exagerar que no debemos utilizar cosas que nos facilitan la vida simplemnete por que utilizamos windows....

en mi caso y el caso de mis clientes a los pc de ellos les des-habilito la reproduccion automatica de unidades "todas" asi cuando meten una usb simplemnte no la autocorren.

tambien les creo una carpeta con atributos en todas las unidades llamada Autorun.inf, de esta forma si por alguna razon se ejecuta un virus este no la puede sobre escribir "tiene que ser carpeta ya que un archivo con attributos si lo reescribe"

y para finalizar pues creo un .bat de resane... "en caso de que el usuario" borrro la carpeta
lo que hace es quitar attributos a autorun.inf entre otros archivos comunes eliminarlos de una vez y crear carpetas con los nombres de los archivos que elimino, igualmente les aplica attributos.

esto me ha resultado tanto en pcs como en USB Keys... intentelo...

bueno

gracias por tu critica constructiva

me encantan las criticas... te hacen pensar dos veces "y hasta tres" en lo que escribiste.

hecky · 09-Dec-2008, 12:31

Me gusto tus medidas que tomaste, muy buenas, y asi como tu recomiendas lo del autorin, y lo del .bat; no todos saben como hacer todo eso, y el experto en seguridad, lo que recomienda es mandarlo por mail (pero nunca esta tratando de convencer a todos de hcaer eso), solo es una sugerencia, por que para los que no saben como proteger su equipo,se dan medidas desesperadas, Como sea creo que es un buen articulo y me gusto debatir contigo, me parece bien, por que te pones en el lugar del otro.

Saludos y ya vera cada quien lo que le acomoda

roguer · 09-Dec-2008, 17:38

Bueno antes de todo y pasando esto a nuestro ambiente cultural, creo que se debe tener en cuenta las politicas de seguridad que se maneje en la empresa.
Pues en muchas empresas (por lo general empresas de desarrollo) restringen el uso de este tipo de dispositivos.
A demas a en una empresa los empleados que no hacen parte del departamento de sistemas no tienen porque tener este tipo de conocimientos, pues sino se imaginan la demanda de ingenieros que habria?.

uyuyuyuyuyuyuyyyyyyy. Ahi si ke nos cambiaria la "situa" pues no faltarian los que regalan el trabajo, y tras de eso lo hacen mal, si embargo de ke los hay actualmentre los hay

Es mas a mi parecer aqui lo que realmente se descubrio fue la poca importacia departe del Departamento de Sistemas al trafico de la red, pues en mi criterio al detectar que se esta enviando informacion desde diferentes equipos de la empresa a un sitio especifico, se debe hacer de inmediato un estudio y en un caso tal ejecutar un plan de contingencia...

No se, esta es simplemente mi opinion al respecto

Ahhh y excelente aporte
muy divertido el debate departe de evingo y hecky

09-Dec-2008, 21:47

Mi unica medida es usar GNU/linux jejeje. en Wude 2.0 Sp2 que hace 2 dias actualice a sp3 ni siquera uso el avast jejejeje.

gypal2010 · 26-Feb-2010, 17:02

para los + precavidos
memoria q encuentre.... memoria q formatee antes d usar