Incident Response, Security and Forensics"

.

jueves, 8 de abril de 2010

HOSPITAL (Parte 1 - Ingeniería social)

 


DISCLAIMER:

Hola esta serie de entradas que veréis en las próximos días han sido aceptados para su difusión por parte del Hospital que nos contrato para esta auditoria.

Como veréis han sido eliminados nombres y datos que consideramos confidenciales, de todas formas agradeceremos que si nos colamos en algo nos lo hagáis saber.

La utilidad de este post y los siguientes creo que viene dado porque hemos realizado algo que es muy poco común en las auditorias entre ellas Ingeniería social y otros métodos poco comunes, eso si, todo ello con objeto de que aprendamos todos, yo también incluido.

***************

EMPEZAMOS

**************

Hola lectores,

Tal y como comente en el post anterior vamos a mostrar en diferentes entradas del blog la revisión del estado del arte de la seguridad de un Hospital .

Todo nace hace aproximadamente a mediados de Enero cuando el Consejo de Administración de este hospital (entenderéis que no de nombres) se da cuenta de una fuga importante de datos de pacientes y robo de material informático.

Tras una somera revisión por parte de los informáticos del centro se concluye que la desaparición consiste en diversos discos duros (pendrives), cintas de backup y dos portátiles. Ni que decir tiene que prácticamente se llevaron la información de la empresa.

Tras hablar con los responsables técnicos y el presidente del Consejo de Administración, se nos da vía libre para realizar una revisión que yo la clasifico como 'brutal' por el alcance que tiene dado que entre las revisiones típicas de seguridad, en esta ocasión vamos a emplear técnicas de ingenieria social.

Nuestro objetivo en esta primera parte de la auditoria consistía en tres elementos básicos:

1.- Obtener el máximo de información, de forma telefónica, suplantando la identidad de un conocido doctor del centro, esto incluye obtener perfiles, y contraseñas

2.- Obtención de accesos reservados solo para empleados, es decir acceso a diversas partes del portal de empleado (web)

3.- El paso más importante y divertido de la revisión, hacernos pasar por médicos del centro y acceder a zonas reservadas, entre ellas el CPD. Evidentemente queríamos comprobar los elementos de seguridad física del centro.

Para ello lo más sencillo y tras disponer de la autorización del consejo (en contrato y por escrito) nos disponemos a comenzar buscando en Google. En este ejemplo (que no es el caso que estamos tratando) proporciona tanta información a un supuesto atacante, que básicamente tiene todo el mapa de red. Cuidado con lo que se publica por internet

Ejemplo de google:

http://www.networkworld.es/La-sanidad-camina-con-Wi-Fi:-Hospital-de-La-Morale/seccion-/articulo-177043

 Casi el 100% tiene publicado en su web la lista de médicos especialistas en la propia web corporativa de la empresa. Nosotros la obtenemos de otra web con objeto de no dejar rastro de IP's.


Nuestro objetivo es disponer de personalidades importantes dentro del hospital, para ello y no complicarnos la vida seleccionamos un conocido psicólogo del centro, (al cual ya pedimos perdones y excusas cuando finalizamos el trabajo.)

He aquí que me hago pasar por el excelentísimo Doctor Juan Aguirre (nombre falso en este post) ( por cierto Eduardo será el doctor en persona quien se persone en el centro, pero eso en la siguiente entrada)

Lo primero es llamar desde una cabina de teléfono (no vamos a dejar rastro de centralitas ni números personales ni nada de nada), también pensamos hacerlo desde un locutorio de esos que tantos existen.

NOTA: Tenemos la conversación grabada

Vamos a llamar al 'call center'  902 34 XX XX XX...

.- (operadora) Hola buenas tardes le atiende María, ¿en que le puedo atender?

.- (Yo) Humm. Hola buenas tardes soy el doctor Aguirre, responsable del área de psicología del centro.

.- (operadora) Ah, esto, hola Sr. Aguirre, ¿que desea?

.- (yo) Mira estoy en un congreso en aquí en Madrid en el  San Antonio Breast Cancer Symposium, necesito recuperar un fichero del portal web y no recuerdo la contraseña.

http://www.congresos-medicos.com/congresos/conclusiones-del-32nd-san-antonio-breast-cancer-symposium-4380

.- (operadora) Ya ¿y no lo tiene anotado? (empiezo a alucinar, ¿anotado?),

.- (Yo)  estooo ¿debería?, lo siento pero no. ¡¡ Señorita es muy urgente empiezo la conferencia en 35 minutos!!

.- (operadora) Es que no le puedo dar esta información por teléfono, lo siento

.- (Yo) (un poco borde lo se) ¡¡ Oiga, no se quien es usted pero necesito la contraseña YA!!, el éxito del centro depende de los datos que de y si usted no me lo proporciona, tendré que hablar con su responsable, por favor pongámonos al habla con el ahora mismo, ya!!

.- (operadora), Escuche señor, es imposible, no le puedo dar esos datos.

.- (yo) (mas borde), Mire ¿como dijo que se llama? ¿María?, me caguen la hostia si no me da ahora mismo esa contraseña, le hago culpable si no puedo tener esos datos ahora mismo, mire mi curriculum y mis datos dentro de portal, si quiere le digo mi DNI (ahí fue arriesgado, pero dudo que esos datos estén en el portal), si quiere le digo mi número de colegiado (ahí si que me pase).

.- (operadora) (muy compungida...pobre), Espere que pongo el manos libres y le paso con la responsable del servicio...(unos 40 segundos de espera)...

.- (responsable) Hola Doctor Aguirre, perdone por la espera, mi nombre es Lucia ¿donde dice que esta?

.- (yo) Señorita, estoy desesperado estoy en en el  San Antonio Breast Cancer Symposium, compruébelo en mi agenda personal. (Aquí se acabo todo ,pensé)

.- (responsable) Lo siento, perdone no tengo acceso a su agenda, pero lamento todo y no se preocupe tome nota (¿que tome nota?) . La contraseña de su acceso a la red (vpn) es 'aguirre5656' y el acceso al portal es '5656aguirre'. De todos modos le informo que la conversación ha sido grabada por nuestros sistemas informáticos y que a su vuelta le será verificado por el sistema. (por cierto contraseña muy rebuscada)

.- (yo) (sin entender nada de lo que ha dicho)..uhmm gracias, señorita ha sido muy amable, da gusto el servicio prestado.

.- (responsable) Gracias buenas tardes.

Llegados a este paso solo nos queda configurar el acceso a la VPN (cosa muy sencilla dado que en su página web pública (craso error)  explica como se realiza para todos los médicos interinos, y médicos asociados)

Una vez configurado el acceso por SSL con Open VPN, esto es lo que tenemos...

Pero esto lo vereis en el blog de eduardo

14 comentarios:

Jod..er Pedro, estarías de ver vestido de médico.

Un saludo,
Guillermo

Mi dios, ahora entiendo por lo de "Estaros atentos!!!", se han pasado!

En fin, espero con ansias la siguiente entrada :)

Saludos

Hola compañeros, buen post !
Ojo, a partir del listado de médicos (si no está falsificado) se puede llegar a concluir el centro auditado (Clínica ******).
Un saludo!
.ju

Parecen historias sacadas historias de los libros de Mitnick, viendo esta, me imagino como serán las otras, sobre todo las de acceso físico al hospital, :)

NaClu 2

Jaja! Me estoy imaginando a Eduardo con la bata blanca y las muletas rollo Dr. House.

Saludos

PD: Muy instructiva la entrada, como siempre.

Esto lo único que demuestra es que la gente (en este caso la operadora y su supervisora) tienen más miedo a una queja de un médico que a que les metan una multa por vulnerar la LOPD (si es que saben lo que es) o a comprometer la seguridad de algo tan "inocente" como un hospital.

Me parece que para evitar estas barbaridades la unica solución es primero la formación y luego que los jefes directos de esos "gestores telefónicos" (yo pertenezco al gremio) apoyen el respeto a las leyes y no se arruguen por amenazas de hablar con la "Dirección".

P.D: un saludo al pobre teleoperador que vio en riesgo su sueldo por un "Doctor" enajenado ;)

Qué cara puso el auténtico Juan Aguirre cuando le contastéis lo que habíais hecho?? xD

Saludos ;-)

Madre mia... No entiendo como esto puede funcionar!

En fin, se nota que no son teleoperadoras de empresas como telefónica, porque ya te digo que a la que le metas un grito te cuelga el teléfono ipso facto!

Saludos!

Newlog

Es Dr.EBHOSE le ebhodaghespell@gmail.com puede enviar por correo electrónico si usted necesita su ayuda en su relación,
prometen you.Your problemas se resuelven de inmediato. Después de estar en
relación con él durante siete años, él me dejó, yo hice todo
posible traerlo de vuelta atrás, pero todo fue en vano. Quería volver él
por el amor que siento por él, le suplicó, pero él se negó hasta que
explicado mi problema a alguien en línea y ella me sugirió que debería
más bien por correo un lanzador de hechizos que podrían ayudarme a un hechizo que le trajera
espalda, pero yo soy el tipo que nunca creen en hechizos, no tenía más remedio que
Pruébalo, envié el lanzador de hechizos, me dijo que no había problema que
todo va a estar bien antes de tres días, que mi ex volverá a mí
antes de los tres días, él lanzó el hechizo y, sorprendentemente, en el segundo día,
que fue alrededor de las 4:00 de la tarde. Mi ex me llamó, yo estaba tan sorprendido, me contestó el
llaman y lo único que dijo fue que estaba tan mal por todo lo que pasó,
que quería volver a mí, que me encanta tanto. Yo estaba tan feliz y
sorprendido. Desde entonces he hecho una promesa de que todos los que conozco lo hará
nunca tienen un problema de relación, que me voy a referir a el hechizo
lanzador para ayudarlos. Cualquiera podría necesitar la ayuda del hechicero, su
email ebhodaghespell@gmail.com
También echó tantos hechizos como,

(1) quiere que su ex atrás.
(2) Usted siempre tiene pesadillas.
(3) Para ser promovido en su oficina
(4) ¿Quieres un niño.
(5) ¿Quieres ser rico.
(6) ¿Quieres mantener tu marido / esposa para ser tuyo solo para siempre.
(7) la necesidad de asistencia financiera.
8) ¿Quieres estar en control de que el matrimonio
9) ¿Quieres que atraerán a la gente
10) La falta de hijos
11) ¿NECESITA UN MARIDO / MUJER
13) CÓMO GANAR SU LOTERÍA
14) PROMOCIÓN HECHIZO
15) HECHIZO DE PROTECCIÓN
16) HECHIZO DE NEGOCIO
17) HECHIZO DE TRABAJO BUENO
18) necesita un bebé de ADOPCIÓN INICIO
19) cura para cualquier enfermedad / h.i.v.
20) ¿Quieres unirte ILLUMINITI
Póngase en contacto con él hoy en: ebhodaghespell@gmail.com

Mi nombre es Jessica de Estados Unidos. Deseo
compartir mi testimonio con el público en general acerca de
Un gran lanzador hechizo llamado (Dr KAKUTA) han hecho por mí, este templo
solo han traído de vuelta a mi ex perdida
amante a mí con su gran obra hechizo, yo estaba saliendo con este hombre llamado
Steven estuvimos juntos durante mucho
tiempo y nos encantó, pero de nuestro ser cuando he podido
para darle un hijo varón de 5 años me dejó y le dijo
yo no puede seguir más entonces yo era ahora
buscando la manera de traerlo de vuelta y quedar embarazada, hasta que un amigo
mío me habló de este templo y me dio su correo electrónico de contacto,
entonces no vas a creer esto cuando me puse en contacto con mis problemas que
preparado los elementos y lanzar el hechizo para mí y traer a mi marido perdido
espalda, y después de un mes que me perdí mi flujo mensual y voy para una prueba y
el resultado indicó que yo estaba embarazada, soy feliz hoy soy una madre de
un par de gemelos de un niño y una niña, yo agradezco el templo una vez más por
lo que han hecho por mí, si estás por ahí pasar por ningún
de estos problemas puede ponerse en contacto con este gran doctor en busca de ayuda se enumeran a continuación:

Póngase en contacto con ellos ... kakutaspellz@gmail.com

(1) Si usted quiere que su ex atrás
(2) si usted siempre tiene pesadillas.
(3) ¿Quieres ser promovido en su oficina.
(4) ¿Quieres mujeres / hombres para correr tras de ti.
(5) Si usted quiere un hijo.
(6) ¿Quieres ser rico.
(7) ¿Quieres atar su marido / esposa sea
tuya para siempre.
(8) Si necesita ayuda financiera.
(9) La atención a base de plantas
(10) Si usted no puede ser capaz de satisfacer a su esposa
deseo sexual debido o
acción bajo err.
(11) si su menstruación se niegan a venir
el día que suponga o más flujos.
(12) si su trabajo se niegan a pagar, gente
debido usted ?.
(13) resolver un problema de la tierra y recuperarla.
(14) ¿Su familia Denny usted de su
¿verdad?
(15) Deja que la gente obedece mis palabras y hacer mi
desear
(16) ¿Tiene un bajo conteo de esperma?
(17) Caso a resolver
(18) ¿Necesita ayuda para ganar la lotería? E.T.C

Póngase en contacto con ellos en su correo electrónico en

kakutaspellz@gmail.com

Y obtener todos sus problemas resueltos

Gracias.


Es Dr.KAKUTA usted puede email él si necesita ayuda en su relación Kakutaspellz@gmail.com
Te prometo que sus problemas se resuelven de inmediato. Después de estar en
relación con él durante siete años, me dejó, yo hice todo
¿Podré yo hacerle volver atrás, pero todo fue en vano. Quería
por el amor que siento por él, suplicó, pero él se negó hasta
explicado mi problema con alguien en línea y ella me sugirió que debería
más bien por correo un lanzador de conjuros que me podría ayudar a un hechizo que le trajera
espalda, pero soy el tipo que nunca creyó en hechizos, no tenía más remedio que
Pruébalo, enviado al taumaturgo, dije no hay problema
todo estará bien dentro de tres días, mis ex vuelven a mí
dentro de los tres días, el hechizo fue lanzado y, sorprendentemente, en el segundo día,
que fue alrededor de las 4:00 pm. Mi ex me llamó, yo estaba tan sorprendido, respondió el
llaman y todo lo que dijo fue que estaba tan mal por todo lo que pasó,
quería volver a mí, que me encanta tanto. Yo estaba tan feliz y
sorprendido. Desde entonces, he hecho la promesa de que todos los que conocemos la voluntad
nunca tienen un problema de relación, que me voy a referir al hechizo
lanzador para ayudar. Cualquier persona puede necesitar la ayuda de la máquina de colada, su
email Kakutaspellz@gmail.com
También hizo muchos hechizo-like,

(1) quiere que su ex atrás.
(2) Usted siempre tiene pesadillas.
(3) Para ser promovido en su oficina
(4) ¿Quieres un niño.
(5) ¿Quieres ser rico.
(6) quieren mantener su esposo / esposa a ser solo tuya para siempre.
(7) la necesidad de asistencia financiera.
8) ¿Quieres estar en control de que el matrimonio
9) ¿Quieres ser atraído a la gente
10) La falta de hijos
11) ¿NECESITA UN ESPOSO / ESPOSA
13) Cómo ganar su LOTERÍA
14) HECHIZO DE PROMOCIÓN
15) HECHIZO DE PROTECCIÓN
16) HECHIZO DE NEGOCIO
17) BIEN TRABAJO HECHIZO
18) cura para cualquier enfermedad / H.I.V.
Póngase en contacto con él hoy en: Kakutaspellz@gmail.com

Mi nombre es Angela, soy de México y he estado en relación con mi novio desde hace 2 años y estábamos planeando casarnos pronto y de repente me dejó por otra chica, realmente me encanta este chico y nunca puede Imagina mi vida sin él. Intenté todo lo posible para recuperarlo, pero todo mi esfuerzo por recuperarlo en mi vida no funcionó. Fue en este día fiel, me encontré con algunos comentarios en un sitio web acerca de este gran lanzador de hechizos llamado Dr. ISIKOLO, por lo que muchas personas afirmaron que él les ayude a renovar su relación y llevar a su ex de vuelta, tuve que contactarlo porque él era Mi última esperanza Me puse en contacto con él a través de su correo electrónico y me aseguró que en cinco días mi novio va a dejar a la otra chica y volver a mí y fue una gran sorpresa para ver a mi novio regresar a mí después de cinco días. Estoy muy feliz hoy que él volvió a mí y lo conseguí con la ayuda del Dr. ISIKOLO, y yo consejo si usted necesita su ayuda también, usted puede enviarle por correo electrónico en su email directo isikolosolutionhome@gmail.com o su línea directa +2348133261196
También tiene una cura herbal para el VIH,
CÁNCER,
ASMA,
IMPOTENCIA,
BARENESS / INFERTILIDAD

 También puede enviarle un correo electrónico a través de;
Isikolosolutionhome@gmail.com O whatsapp +2348133261196

Este es mi testimonio sobre el buen trabajo de un hombre que me ayudó .. Mi nombre es Mary Clifford, y baso en Londres.Mi vida está de vuelta! Después de 8 años de matrimonio, mi marido me dejó y me dejó con nuestros tres hijos. Sentí que mi vida estaba a punto de terminar, y estaba cayendo a pedazos. Gracias a un lanzador de hechizos llamado DR Ogbo que conocí en línea. En un día fiel, mientras yo estaba navegando
a través de Internet, estaba buscando un buen conjurador que solucionara mis problemas. Me encontré con una serie de testimonios sobre este hechicero en particular. Algunas personas testificaron que él trajo de vuelta a su amante Ex, algunos testificaron que él restaura el vientre, algunos testificaron que él puede lanzar un hechizo para detener el divorcio y así sucesivamente. Había una
testimonio que vi, se trataba de una mujer llamada gracia, ella testificó acerca de cómo el Dr. Ogbo trajo de vuelta a su amante Ex en menos de 72 horas y al final del testimonio de dejar caer la dirección de correo electrónico del Dr. Ogbo. Después de leer todo esto, decidí darle una oportunidad al DR Ogbo. Lo contacté por correo electrónico y le expliqué mi problema. En sólo 3 días, mi marido volvió a mí. Resolvimos nuestro
cuestiones, y estamos aún más felices que antes. El Dr. Ogbo es realmente un hombre talentoso y dotado y no dejaré de publicarlo porque es un hombre maravilloso ... Si tienes un problema y estás buscando un lanzador de hechizos real y genuino para resolver ese problema para ti. Pruebe el gran Dr Ogbo hoy, él podría ser la respuesta a su problema. Aquí 'su contacto: drogbohighspiritualspellcaster@gmail.com Gracias Ogbo grande. Póngase en contacto con él para lo siguiente:

(1) Si desea que su ex de vuelta.
(2) si siempre tienes malos sueños.
(3) Usted quiere ser promovido en su oficina.
(4) Usted quiere que las mujeres / hombres corran detrás de usted.
(5) Si usted quiere un niño.
(6) [Quieres ser rico.
(7) Usted quiere atar a su esposo / esposa para ser suyo para siempre.
(8) Si necesita ayuda financiera.
(9) Cuidado de hierbas
10) Ayuda a sacar a la gente de la prisión
(11) Conjuros de Matrimonio
(12) Conjuros de Milagro
(13) Hechizos de Belleza
(14) CHARME DE LA PROFECIA
(15) Hechizos de Atracción
(16) Hechizos de malvado
(17) El hechizo de besos
(18) Eliminar hechizos de enfermedad
(19) ELECCIÓN GANADORES
(20) EL ÉXITO EN LOS EXAMENES
(21) Encanto para conseguir que te amo.
(22) Conjuros de negocios
(23) Eliminar los episodios de enfermedad por VIH

Póngase en contacto con él hoy mismo en: drogbohighspiritualspellcaster@gmail.com +2348057586216 También puede ponerse en contacto con él en whatsapp en el mismo número de teléfono.