ataque a android · 2017. 11. 29. · 4.2. Android en virtual box Antes de intentar hacer el ataque...

ATAQUE A

ANDROID Seguridad y Alta Disponibilidad

DESCRIPCIÓN BREVE En esta práctica voy a hacer un ataque a un sistema

operativo Android desde una máquina kali.

Josué Martínez Estaún 2º ASIR

Josué Martínez Estaún Seguridad y Alta Disponibilidad

1 28 de Noviembre de 2017

Contenido 1. Introducción .......................................................................................................................... 2

2. Preparación laboratorio virtual ............................................................................................ 2

2.1. Atacante ........................................................................................................................ 2

2.2. Víctima........................................................................................................................... 2

3. Comenzando el ataque ......................................................................................................... 3

4. Troubleshooting.................................................................................................................... 7

4.1. Conexión ........................................................................................................................ 7

4.2. Android en virtual box ................................................................................................... 8

4.3. Correo ............................................................................................................................ 8

5. Conclusión ............................................................................................................................. 8



1. Introducción En esta práctica voy a realizar un ataque a mi propio dispositivo móvil (Huawei), que tiene como

sistema operativo un Android (4.4.4.), para ello realizaré un virus desde la máquina kali, lo

pasaré al móvil mediante un correo electrónico y después explotaré la vulnerabilidad para tener

acceso al sistema. Una vez entre, tendré control total del móvil y podré incluso acceder a la

cámara.

Necesitaré tener ambos dispositivos en la misma red Wifi para poder tener conexión entre los

dos.

2. Preparación laboratorio virtual 2.1. Atacante

Para preparar el laboratorio virtual en esta práctica voy a utilizar una máquina virtual kali (la

misma que las anteriores prácticas) para realizar el ataque. Usaré la siguiente configuración de

red:

Muy importante para poder tener conexión es poner el modo de red en Puente:

2.2. Víctima Como víctima voy a utilizar mi propio dispositivo móvil que está conectado a la red de mi

residencia. Para ello compruebo la dirección ip que tengo:



Una vez tengo configurada la dirección ip de ambos equipos voy a comprobar que tengo

conexión, para ello hago un ping desde kali al móvil:

3. Comenzando el ataque Voy a comenzar el ataque creando el virus desde la máquina de kali. Para ello hago uso del

msfvenom, (el lhost realmente es 192.168.1.192, ya que el de 10.0.2.15 es de otro intento de

conexión). Por tanto abro una consola y escribo:

Una vez creada la aplicación Android.apk la visualizo:

Ahora toca enviarla a mi dispositivo Android. Para enviarlo me creo un email en gmx, y me envío

un mensaje a mí mismo (posteriormente lo abriré desde el móvil) con el Android.apk adjuntado:



Ahora vamos a abrir otra consola y ejecutar el msfconsole, aquí incluiremos nuestro payload:

A continuación vamos a seleccionar el lhost y el lport (como antes el lhost realmente es

192.168.1.192):

Una vez hecho eso lo explotamos mediante “exploit”, y se quedará en escucha:

Ahora vamos a ir a nuestro dispositivo móvil, aquí vamos al correo que creamos antes y nos

descargamos el archivo que habíamos adjuntado (el virus):

El siguiente paso es instalar el archivo, antes tendremos que permitir la instalación de

aplicaciones de terceros o no nos dejará.



Cuando le demos a instalar nos dirá que es un archivo peligroso, le damos a más detalles e

instalar de todas formas:

Cuando lo instalemos nos saldrá la aplicación en el escritorio del móvil, ahora toca abrirla:

Una vez la abrimos, volvemos a la máquina kali y observamos que ha establecido conexión:

Utilizo el comando “help” para ver las opciones que tengo, veo que hay muchas:



Utilizo el comando record_mic para realizar una grabación con el micrófono.

Observo que se me ha guardado:

Ahora voy a listar las cámaras del móvil:



Observo que tengo la 1 para la cámara trasera y la 2 para la cámara delantera.

Ejecuto el comando webcam_stream:

Cuando ejecuto el comando se me abre automáticamente esta ventana, pero no me muestra

nada:

Aquí me deberían salir las imágenes grabados por la cámara del móvil, pero no me funciona.

Observo en kali que me da el error “NoMethodError: undefined method `value’ for nil: NilClass”

he buscado el error en internet pero no encontraba nada.

4. Troubleshooting 4.1. Conexión

Al principio no conseguía tener conexión, tenía la dirección ip para kali así:

Y al hacer el ping al móvil le llegaban:



Pero al ejecutar el virus desde el móvil kali se quedaba escuchando y no establecía ninguna

conexión. Esto se debía a que tenía el modo de red en “NAT”, para solucionarlo lo cambié a

modo “Puente”.

4.2. Android en virtual box Antes de intentar hacer el ataque a mi propio dispositivo me baje una iso de Android 7.0

(Nouget) especialmente hecha para Virtual Box. Tardé bastante para instalarlo ya que tenía que

hacer la tabla de particiones y formatearlo. Una vez instalada voy a la terminal del Android y no

conseguí establecer conexión entre ambas máquinas. Probé todos los modos de red (por

supuesto estaban en la misma red lógica) pero nada.

4.3. Correo Otro error que tuve es que al principio intenté pasar el archivo (virus) mediante mi correo

ordinario, que se trata de GMAIL, pero al intentar adjuntar el archivo me daba un error porque

lo detectaba como virus y no pude enviarlo.

Para solucionarlo me cree otro correo en gmx. Parece ser que Gmail tiene mejor seguridad para

detectar los virus en los mensajes.

5. Conclusión En esta práctica se ha visto como he podido atacar a mi propio dispositivo Android (Android

proviene de Linux), desde mi máquina kali.

La ingeniería social es este tema es importante, ya que por ejemplo si envías el correo a una

persona diciendo que le estás pasando la aplicación de un juego es bastante creíble y podría

caer en la trampa.

Consejos:

Decir que para tener más seguridad utilizar el correo ordinario GMAIL ya que tiene

bastante seguridad para detectar virus (desde mi experiencia).

Otra cosa es no descargarse aplicaciones desde el móvil de lugares que no conoces o

son sospechosos, siempre es mejor descargar las aplicaciones desde el propio Google

Play.

Evita que cojan tu móvil sin tu permiso ya que perfectamente pueden incluirte este tipo

de aplicaciones para después tener conexión remota a tu dispositivo.

Actualiza el sistema operativo (Android) a versiones más recientes.

ataque a android · 2017. 11. 29. · 4.2. Android en virtual box Antes de intentar hacer el ataque...

Documents

Transcript of ataque a android · 2017. 11. 29. · 4.2. Android en virtual box Antes de intentar hacer el ataque...