Comedor

Laptop o Sobremesa

Sigo con las publicaciones sobre este ransomware de código abierto, si no has leído la anterior, te recomiendo que lo hagas, You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login.

Para comenzar a configurar este malware, debemos descargar su código source, podemos hacerlo desde su repositorio oficial en github: You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
Mirror: You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

Para poder modificarlo y compilarlo, necesitaremos Visual Studio. Abriremos el proyecto que hay en el directorio "hidden-tear-offline", no tendremos problemas para entenderlo y modificar las cosas que queramos, pues el código está perfectamente comentado y muy bien estructurado.

Lo primero con lo que nos encontraremos, será donde se guardará la contraseña dentro del pc o usb, ya que el método que emplearemos es offline, en próximas publicaciones, explicaré en online.


A continuación, nos encontraremos con esta línea, en la que deberemos de escribir el nombre del fichero pdf que queremos que se abra, haciendo creer a la víctima, que realmente ha ejecutado el pdf.


En ese paso, podremos modificar la contraseña que queremos que cree aleatoriamente, aunque se puede modificar para dejarla fija.


Extensiones que se encriptarán, podemos suprimir alguna o bien, añadir más.


Este será el mensaje que dejaremos al usuario en el escritorio, dentro del fichero Read_it.txt


El método de cifrado de ficheros y la extensión que se utilizará.


Una vez sabemos como funciona, lo compilamos y comenzamos a probarlo.


Justo cuando lo ejecutamos, se nos abre nuestro fichero pdf (se me abre en el navegador pues en la virtual no tengo ningún visor.)


Una vez el malware hace su trabajo (dependiendo de los ficheros que tengamos, tardará más o menos), podremos comprobar que tenemos nuestros ficheros cifrados.


Puesto a que este es el método offline del ransomware, iremos al directorio de nuestro usuario, en mi caso: C:\Users\Pentesting y ahí encontraremos un txt con la contraseña que necesitamos para recuperar nuestros ficheros.


Utilizando otro proyecto llamado hidden-tear-decrypter (también en github), podremos recuperar los ficheros, utilizando esta contraseña.

Nota: Si alguien le editó la extensión .locked, deberá modificar esta línea escribiendo la extensión que utilizó.



Y tenemos nuestros ficheros de nuevo!


Agradecimientos: Windux por haberme pasado el enlace de github de este proyecto.

Ver post en el blog: You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

En la siguiente entrega, explicaré como modificar y configurar el malware con su método Online.

¿Qué es un ransomware?

El ransomware es el tipo de malware más peligroso de los últimos tiempos.

Cuando este malware infecta un ordenador genera una clave única que envía a los servidores del ciberdelincuente y comienza a cifrar los archivos del usuario. Cuando finaliza muestra un mensaje que indica que los archivos se han cifrado y que se debe pagar un rescate para recuperarlos o, de lo contrario, se perderán para siempre.

El código de los ransomware suelen ser privados y de código cerrado, estando sólo controladas por los los ciberdelincuentes, a diferencia de los demás, este, se distribuye como código abierto y sólo para fines educativos.

Como dice en el repositorio oficial del software: You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login sus principales características de Hidden Tear son:

• Utiliza un cifrado AES para secuestrar los archivos del usuario.
• Muestra un mensaje similar al que muestran las piezas de malware más peligrosas cuando la infección y el cifrado se completan.
• Envía la clave de cifrado a un servidor remoto.
• Genera un archivo de texto en el escritorio con el correspondiente mensaje.
• Ocupa tan sólo 12KB.
• Es indetectable por algunos antivirus actuales.
• Además, este ransomware cuenta con dos versiones, online y offline.

Vídeo de su funcionamiento (Online):

Vídeo de su funcionamiento (Offline):

En las siguientes entregar veremos como configurarlo.


Ver post en el blog: You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

Post de como configurar y modificar su método Offline:  You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
Crees que necesite un servidor cloud para hostear las imagenes de esta web que estoy iniciando?
Esta es la web --> You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

Eso depende de ti, wordpress maneja más o menos bien las imágenes, necesario no es.

saludos.

You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
pues parecia bueno, lo he instalado ya en muchas otras computadoras y solo en la mia tuve ese problema, gracias por tu respuesta Snifer reinstale y sucede lo mismo.

Utilizas el mismo fichero iso? o es uno diferente?

Saludos.

Citar

Hi!
The solution to this problem is written in psexec.rb (opt/metasploit/msf3/modules/exploits/windows/smb/psexec.rb)

"Windows XP systems that are not part of a domain default to treating all
network logons as if they were Guest. This prevents SMB relay attacks from
gaining administrative access to these systems. This setting can be found
under:
        Local Security Settings >
         Local Policies >
          Security Options >
           Network Access: Sharing and security model for local accounts"

Go there and change your settings. I'am using russian Win, it must be "Обычная, локальные..."

Good luck!

Revisa este enlace: You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

Saludos.

You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
Buenas

Evidentemente se corrompio el sistema, yo te recomiendo que lo reinstales de nuevo.

Ya que estás instala Kali 2.0 desde 0 jajaja

Comprueba también, que te has descargado correctamente el iso y no está dañado, aunque si eso ocurriese, debería haberte dado algún error antes.

Saludos.

You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
En el action debes especificar una hoja ( en la mayoría de los casos PHP) en tu caso hay un "#" lo que el formulario no tendrá ningún efecto.
Por otro lado la hoja a la que llames con el Action debe poder recibir los parámetros por el método POST ( como está definido en tu form) y posteriormente procesarlos.

Espero que te sirva !

Saludos!

Igualmente aunque pongas # no debería de hacer nada y no sacar el error 405

Saludos.

You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

Revisa esto.

Saludos.

You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login


Ahí debes introducir tus DNS.

Recuerda que tardan 24-48h en propagarse y en funcionar correctamente.

Saludos.

El del servidor al que quieras reedirigir tu dominio.

Saludos.

Pero que DNS tengo que poner?

NO sé que DNS tengo que poner ahí.

El del servidor al que quieres que redirija tu dominio...

Ej:

Dominio You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

Pones los dns del servidor de underc0de para que al poner el dominio, te lleve al servidor (en vez de poner la IP).

Saludos.

You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login


Ahí debes introducir tus DNS.

Recuerda que tardan 24-48h en propagarse y en funcionar correctamente.

Saludos.

El del servidor al que quieras reedirigir tu dominio.

Saludos.

Pero que DNS tengo que poner?

You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
Algo para agregar solo disponible para dominios blogspot y no para personalizados .

Regards,
Snifer

Lo pone al final del post...

CitarVolviendo a la noticia, Google comentó que sus propios blogs también tendrán HTTPS y que, por ahora, los excluidos serán los de usuarios que tengan dominios personalizados.

You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
Revisa las cabeceras del correo.

Regards,
Snifer

Ya lo he hecho, y las IPs son las de los servidores de hotmail. No sé si se cifra la IP origen o directamente la omiten.

Gracias!

Si el "usuario" está enviando esos mensajes de spam desde el servidor de hotmail, no podrás sacar ninguna IP diferente a esta, ya que es desde donde se envían.

Saludos.

Ahí debes introducir tus DNS.

Recuerda que tardan 24-48h en propagarse y en funcionar correctamente.

Saludos.

You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
me refiero al Try Conect eso es, pero si los puertos los abro bien y el firewall esta totalmente desactivado que problema puede ser?

CitarHost ingresado: You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
Puerto ingresado: 2000
Checkeando si IP externa es igual a la IP del DNS
IP Externa recibida: 87.218.136.119
IP del HOST/DNS recibida: 87.218.136.119
Las IPS coinciden, se descarta un error de IPS...
Intentando Escuchar en el puerto 2000 ...
Escuchando correctamente en el puerto 2000 ...
Intentando Conectar...


ERROR DE PUERTOS O FIREWALL.

Alguna solucion?
Modificar mensaje

Por casualidad, revista si tu router tiene firewall

Saludos.

You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
Conseguí terminar, lo único es que no se me conecta, instalo la apk pero en el panel no aparece nada.
Soy muy novato si me pueden ayudar lo agradecería enormemente

Seguramente no esté bien configurado el RAT.

Saludos.

You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
Pobrecitos los miembros del staff, los van a volver locos, la idea es cojonuda pero viendo cómo va la gente por el mundo...

Como ampliación al post inicial, diré también, que los trolls también se arriesgan a ser baneados 

Saludos.

You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
Coño de verdad cada vez es mas interesante las entradas, de verdad Antrax ,Baku, Blackdrake, Gabriela, Metal Kingdom, 79137913 (numerito) los felicito, soy estudiante inicial de Ing. de Sistemas en Venezuela y de todos los blogs y paginas que e visitado y visito día a día, ninguna se les compara.

FELICITACIONES.... Hasta el sueño me o quitan con las ganas de seguir leyendo...

Muchas gracias, si te ha gustado la 1º entrega, te recomendamos que sigas con la 2º: You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

Saludos.

Solucionado por IRC, se cierra el tema.

You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
Aun sigue subiendo el .txt en blanco

Pero y el txt que te crea esta en blanco tambien?

Si, solo se genera el archivo .txt en el ftp pero sin contenido

Pues la verdad es que lo acabo de testear y como te dije funciona, con poner ipconfig /all>testip.txt en el OTRO archivo justo al principio.

ftpsubida.bat

open ftp.server
user
password
put "testip.txt"

Ejecutar.bat

ipconfig /all>testip.txt
ftp -s:ftpsubida.bat
exit

Si no te funciona es por otra cosa, pero los códigos rulan bien.

Entonces supongo que es el servidor FTP el que no me permite.
Estoy usando Hostinger, me pudieras recomendar de favor otro para hacer la prueba?

Prueba con 000webhost