En el post de hoy vamos a tratar de una herramienta software de análisis forense de sistemas, muy potente que puede ser utilizada (como todo en materia tecnológica) para los más diversos fines dentro del mundo del hacking.
Como siempre en todos nuestros post, queremos dejar claro que:
- Este es un foro de conocimiento y que cada cual es responsable del uso que le da a la información que compartimos aquí.
- Igualmente, cabe recordar, que toda tecnología es neutra. Es la utilización que se hace de dicha tecnología lo que la convierte en dañina.
Con estas aclaraciones que siempre nos vemos obligados a hacer, especialmente en artículos dedicados al hacking y a la seguridad informática, podemos empezar.
Osforensics el programa para obtener todas las contraseñas
Bien, como sabemos, el análisis forense de sistemas, es un disciplina informática especializada en la investigación y descubrimiento de vulnerabilidades dentro de sistemas complejos, precisamente, para proveer el mejor asesoramiento y la óptima seguridad para usuarios y empresas legítimas que contratan estos servicios, justamente, para protegerse de ataques.
Pero claro, es inevitable que las herramientas avanzadas que se emplean a menudo en análisis de seguridad y en la protección de los sistemas, puedan ser empleados igualmente por quienes practican el hacking (en sus más diversas acepciones). Al fin y al cabo, las aplicaciones y los programas que nos informan de vulnerabilidades en el sistema se pueden utilizar igualmente para solventar esos agujeros o para explotarlos. Que cada cual elija el bando en el que quiere participar.
De modo que hoy hablaremos de OSFORENSICS una excelente herramienta que cuenta con una versión de prueba gratuita que nos ofrece todo lo que necesitamos para el objetivo que analizamos hoy aquí: obtener todas las contraseñas de un usuario.
Una sofisticada herramienta forense como ésta nos ofrece: Información valiosísima sobre el equipo, el usuario, sus archivos (especialmente si éstos han sido adulterados o manipulados) y un largo etcétera de funciones de localización de vulnerabilidades que son de gran ayuda para poder montar una adecuada protección. Pero hoy nos centraremos en la extracción de todas las contraseñas que el usuario del equipo maneja, porque desde el punto de vista de un hacker/cracker, este detalle del programa es una auténtica mina.
Accediendo a la máquina en cuestión, la instalación de esta herramienta no lleva más de 45 segundos (medido) y puede ser portado su instalador en un pen drive convencional. Con lo que en menos de un minuto tenemos acceso al sistema del que deseemos extraer todas las contraseñas de un determinado usuario. Así que nuestra primera recomendación es evitar todo lo posible que terceras personas tengan acceso físico a nuestro ordenador y mucho menos que tengan acceso con nuestra sesión abierta.
A partir de ahí, y de todas las herramientas de OSFORENSICS, nos centramos en la opción PASSWORDS. Con esta utilidad, y en unos 3 minutos aproximadamente, este software nos indica, de manera ordenada, las cuentas de correo del usuario con sus contraseñas, así como los servicios de Facebook, Twitter y demás redes sociales, indicándonos igualmente la dirección de email que el usuario emplea para acceder a ellas, junto con la contraseña correspondiente.
Imagen de una sesión real de extracción de contraseñas de un ordenador.
Contraseñas vulneradas: Cuentas de email (tanto Gmail como servicios webmail), cuentas de Amazon y Facebook.
Y ya podéis imaginaros, por tanto, la importancia de este software (inicialmente pensado para detectar vulnerabilidades y proceder a corregirlas) de cara a precisamente todo lo contrario: La explotación de vulnerabilidades de seguridad.
En menos de 5 minutos, partiendo de cero y contando en ese tiempo la propia instalación del software en el equipo a dinamitar, nos hacemos con todas las claves, direcciones de email y contraseñas del usuario. Con un solo click.
Como no podría ser de otra manera nuestro siguiente consejo es evitar todo lo posible guardar las contraseñas, ya sea con la funcionalidad de recordar en nuestros navegadores o con otros programas.
Saludos.
2 comentarios en “Cómo obtener todas las contraseñas de un usuario”
claudio4
La herramienta es bastante interesante, sin embargo en el asunto de las contraseñas se esta aprovechando de que la DB de contraseñas de la mayoria de navegadores se guarda en texto plano (incluso en Firefox pasa esto por defecto, aunque manualmente se le puede configurar una), sin embargo si el usuario guarda las contraseñas en una aplicación tipo KeePass veo complicado que este programa las extraiga, ya que por ejemplo KeePass cifra la DB en disco con AES-256-CBC (aunque ahora tiene opción de chacha20) y en RAM cuando esta abierta en el único momento en el que esta en texto plano es cuando el usuario le da a la opción para visualizarla (pero no se encuentra junto a los otros datos, esta algo más oculta) y obviamente cuando la copias que pasa al portapapeles del S.O., por lo que lo veo muy complicado que las pueda extraer.
Buen articulo igualmente.
Ahiezer Alvarez
Interesante herramienta