Pivotar: moverse dentro de una red (seguridad cibernética)

Un exploit es un fragmento de programación, una pieza de información o una agrupación de comandos que explota un error o una debilidad para hacer que ocurra una conducta no intencionada o imprevista en el programa de computadora, el equipo o algo electrónico (generalmente computarizado). Dicha conducta habitualmente incorpora cosas como obtener acceso no deseado a una PC, permitir la escalada de privilegios o un ataque de denegación de servicio (DoS o DDoS relacionado).

Pivotar es la forma excepcional de usar una instancia (también conocida como ‘planta’ o ‘punto de apoyo’) para tener la opción de moverse dentro de una red. Básicamente utilizando el sistema principal comprometido para permitir e incluso guiar en la explotación de otros, en cualquier caso, sistemas bloqueados.

Pivoting alude a una técnica utilizada por los pen-testers que utilizan un sistema comprometido para atacar otros sistemas diferentes en la misma red para eludir las limitaciones, por ejemplo, un firewall, que puede negar la entrada directa a todas las máquinas. Por ejemplo, si un atacante piratea un servidor web en una red corporativa, el agresor podría utilizar el servidor web comprometido para atacar otros sistemas diferentes en la red. Este tipo de ataques se denominan con frecuencia ataques de varias capas. Pivotar también se llama rebote de isla.

Tipos de pivote

El pivote también se puede reconocer en Proxy Pivoting y VPN Pivoting .

1. El pivote de proxy en su mayor parte representa el acto de desviar el tráfico a través de un objetivo socavado utilizando una carga útil intermedia en la máquina y propulsando ataques desde la PC. Este tipo de pivoteo se limita a ciertos puertos TCP y UDP que son mantenidos por el intermediario.

2. El pivote de VPN le permite al pirata informático crear una capa codificada para hacer un túnel en la máquina socavada para dirigir cualquier tráfico del sistema a través de esa máquina de destino, por ejemplo, para ejecutar un escaneo de vulnerabilidad en la red comprometida a través de la máquina socavada, dando adecuadamente al agresor completo acceso al sistema como si estuvieran detrás del cortafuegos.

Por lo general, las aplicaciones intermediarias o VPN que permiten el pivoteo se ejecutan en la PC objetivo como la carga útil (programa) de un exploit.

El pivote normalmente se realiza penetrando un aspecto de la infraestructura de la red (por ejemplo, una impresora débil o un regulador interior) y utilizando un escáner para descubrir diferentes dispositivos conectados para piratearlos. Al explotar un punto débil de la administración de sistemas, un pirata informático podría penetrar la mayor parte de la infraestructura de red y disfrutar de un control total.

¿Cómo pivotan los atacantes?

1. Los atacantes están buscando cualquier ‘planta’ que puedan usar para ingresar a un sistema. El mejor y menos costoso método de acceder a los sistemas hoy en día es a través de algún tipo de phishing.

2. El agresor investiga un objetivo, crea algún tipo de correo electrónico con malware adjunto y luego lo envía con la intención de engañar al cliente para que toque lo que sea que haya agregado.

3. Con el objetivo final de esto, esperamos que el cliente toque el malware y que el atacante ya haya penetrado efectivamente en el sistema de la víctima.

4. Ahora, el ataque comenzará a hacer un hallazgo de certeza adicional. Intentará descubrir otros datos como, los clientes adicionales que se acercan a esta máquina, a qué redes puede acceder fácilmente esta máquina, si hay ofertas en este marco y, tal vez, dónde están los servidores DNS locales.

5. Hacen todo esto porque la persona que han explotado no es realmente su objetivo.

6. Normalmente es algún otro sistema u otro punto de información en el sistema. Cuando aumenten suficientes datos de este cliente, en ese momento comenzarán a intentar mezclarse con el tráfico del sistema normal y tratarán de acceder a estos otros marcos.

Uno de los servicios más conocidos explotados en los sistemas hoy en día es el Protocolo de escritorio remoto (RDP) . Dado que el agresor obtuvo todos los nombres de usuario y contraseñas de la máquina subyacente de la víctima y distinguió servidores importantes, en ese momento usará RDP para posiblemente iniciar sesión en otros sistemas, mientras usa la máquina subyacente de la víctima como su fuente. Este es uno de los tipos más esenciales de pivote. El agresor comenzó enviando un correo electrónico de phishing desde fuera de la asociación. Cuando accedió a la máquina de la víctima, hace su recopilación de datos y luego utiliza esos datos para parecer un cliente común en el sistema que se dirige al objetivo real. Este tipo de hack es muy normal.

Métodos comunes de pivote

Los métodos de pivote más comunes que se utilizan son:

1. Pivote con strings de proxy y SSH: esta técnica influye en SSH con el envío dinámico de puertos para hacer un intermediario de calcetines, con strings de proxy para ayudar con dispositivos que no pueden utilizar intermediarios de calcetines. Puedes usar este pasaje de dos maneras diferentes:

o En un dispositivo, disponer un intermediario SOCKS y dirigirlo hacia el túnel SSH. Esto funciona en herramientas que lo admiten como Burp, etc.

o Ejecutar un comando con strings de proxy, que canaliza información a través del intermediario SSH.

o Esta técnica permite en su mayor parte la admisión total al sistema objetivo, sin muchos impedimentos. Requiere las siguientes condiciones previas para su uso:

• Acceso a la máquina víctima.
• Administración SSH ejecutándose en la máquina víctima y accesible desde la máquina agresora. Una transacción de palabras secretas o la composición de una clave abierta para el paso, a un cliente que permite el inicio de sesión SSH distante.

o Las cuentas que no son de root pueden restringir el funcionamiento completo de algunas herramientas (por ejemplo, Nmap), mientras que la creación de tipos específicos de paquetes son ejercicios solo para root.

2. Pivotar con proxy SOCKS y Meterpreter: Al igual que SSH, meterpreter puede convertirse en un intermediario de calcetines, se ha descubierto que es menos confiable que SSH. Sorprendentemente, los proxies de socks4 solo son compatibles en su mayor parte con las convenciones TCP, y tipos específicos de tráfico no funcionarán de manera admirable, por lo que es posible que no sea concebible el uso completo de Nmap y herramientas comparativas.

3. Pivotar sobre un relé Netcat: si se introduce Ncat o netcat en el objetivo (normalmente se eliminan durante el endurecimiento en los marcos actuales), o si lo introduce usted mismo en el objetivo, tiende a ser utilizado para organizar el paso para pivotar. Ncat es un aparato proxy decente del proyecto Nmap, pero los relés de netcat son la estrategia menos confiable a la que se hace referencia aquí. Pueden funcionar solo para una sola solicitud antes de ser restaurados (o construirlos en un bucle en la máquina objetivo), y no dañarán más de un solo puerto. En cualquier caso, a veces netcat es todo lo que puede utilizar.

4. Introducción de herramientas en el equipo objetivo: si desea introducir herramientas en el equipo objetivo, puede introducir otras herramientas de línea de comandos (o incluso marcos de escritorio visuales como VNC) y utilizar el cuadro dinámico como «otro ” máquina atacante. En algunos casos, este es el mejor enfoque si la introducción de herramientas en un dispositivo de este tipo es aceptable en los estándares de participación. Una herramienta intermediaria adicional a la que podemos hacer referencia es 3proxy. Sorprendentemente, para Linux necesitamos fabricar un binario estático para transmitir (o tratar de ampliar el objetivo), por lo que es un poco más difícil de ejecutar.

La mejor forma de pivotar:

Bueno, en caso de que esté realizando una prueba de penetración o una auditoría de seguridad y tenga que probar la red interna, recuerde solicitar acceso VPN. Las VPN son el enfoque más ideal para canalizar su tráfico a través de sus redes internas sin estar confinado.

Medidas Preventivas Contra el Pivote:

Las medidas preventivas básicas contra el Pivote son las siguientes:

1. Liderar una Evaluación de Ciberseguridad.

2. Estudiar el Elemento Humano en Ciberseguridad.

3. Tenga cuidado con los ataques de phishing.

4. Dotar al Departamento de TI de Herramientas Útiles.

5. Limite el acceso a la información crítica.

6. Perciba los riesgos de BYOD.

7. Mire más allá de sus empleados.

8. Trate de no pasar por alto la importancia de las copias de seguridad de datos.

Y, en concreto:

1. Podemos minimizar la cantidad de contenido de terceros en el sitio web.

2. Examinar el contenido antes de permitir que se sirva.

3. Siga automáticamente todos los enlaces de su sitio web y escanéelos en busca de código malicioso.

4. Sandboxing limitaría el código para acceder solo a objetos o datos en su sandbox y no acceder a todo lo que el navegador web podría acceder. Esto significaría que el código malicioso potencialmente solo podría acceder a los objetos a los que tenía acceso en su sandbox, en lugar del acceso más amplio al que podría tener acceso un navegador web.