1.
Hidden Networks:
¿Controlas todas las redes
de tu organización?
Pablo González
@pablogonzalezpe
Fran Ramírez
@cyberhadesblog @cybercaronte

2.
Whoami
Ingeniero Informático & Máster Seguridad Informática
Co-fundador de Flu Project
2009 – 2013 Informática 64
2013 - ?? Eleven Paths (Telefónica)
Security MVP Microsoft 2017-2019
Algunos libros (0xWord):
Metasploit para pentesters
Pentesting con Kali
Ethical Hacking
Got Root
Pentesting con Powershell

3.
Whoami
Fundador y escritor del blog
www.cyberhades.com (nick: cybercaronte)
sobre Seguridad Informática entre otros
temas geek.
Co-autor del libro "MicroHistorias:
anécdotas y curiosidades de la
Informática" y “Docker:SecDevOps” ambos
de la editorial 0xWord.
Ingeniero/Grado en Informática de Sistemas, Técnico Superior en Electrónica
Digital y Máster en Seguridad Informática con más de 15 años de experiencia
como Administrador de Sistemas en una multinacional española, realizando
múltiples proyectos internacionales sobre todo en EEUU y Canadá. Desde el año
2017, trabajo como Security Researcher en Telefónica y ElevenPaths.
Fran Ramírez@cyberhadesblog@cybercarontecybercaronte@cyberhades.com

4.
Eugene “Gene” Howard Spafford
dijo …
“El único ordenador seguro es
aquel que está apagado, en el
interior de un bloque de
cemento, en una habitación
sellada y protegido por
guardas de seguridad
armados. Y aún así tengo mis
dudas...”

5.
USB (Universal Serial Bus)
https://www.seguridadapple.com/2018/09/como-el-imac-g3-impulso-el-usb-y-se.html

6.
Memoria USB (Flash Memory)

7.
Incidentes relacionados con
dispositivos USB
Stuxnet
Brutal Kangaroo
Rubber Ducky USB Killer

8.
Todos estos equipos no estaban
conectados a la red …

9.
Idea: Hidden Networks

10.
Concepto: Hidden Networks

11.
Registro de Windows

12.
Primer paso: HN PowerShell

13.
https://gephi.org/

14.
DEMO
PowerShell

15.
https://gephi.org/

16.
Versión actual: HN PoC (Python 3.4)

17.
setupapi.dev.log

18.
DEMO
HN PoC

19.
Grafos: visualizando la red

20.
WMI
SMB

21.
Recorrido ramas del Registro

22.
Dibujo del grafo: matplotlib (pyplot)

23.
Análisis forense con HN
• Automatización, registro y almacenamiento de todo el proceso de análisis
• Detectamos una red oculta (interconexión entre equipos incluso separados
físicamente) creada con pendrives donde se puede haber traspasado
información, infectado el equipo, etc.
• Identificamos el pendrive (modelo, imagen, id, etc)
• Dibujamos la red con los datos de los equipos por los cuales ha pasado (grafo
dirigido), como dirección IP, FQDN, etc.
• Obtención de la fecha y hora de la primera inserción del pendrive (timeline)
• Con el timeline podemos acotar eventos e incidentes (fechas de acceso a
ficheros, infección de equipos, etc)

24.
Trabajo futuro: nuevas características
Obtener más
información
Perfil del usuario (a partir del
GUID del dispositivo) que
insertó el USB
Detección de otros
dispositivos
Discos duros externos,
modem USB, etc.

25.
Más fechas relacionadas con el
USB
No sólo la primera inserción,
también los diferentes accesos
(timeline individual del usb en el
equipo). En definitiva registrar todos
los movimientos y franjas de acceso
al USB. Con este timeline podríamos
comprobar los datos MAC
(Modificación, Acceso y Creación) del
fichero para ver si encajan dentro de
dicho timeline individual.
Trabajo futuro: nuevas características

26.
Ubicación geográfica
Analizando las redes (WiFi) desde
donde el ordenador auditado se
conecta. Geolocalización por IP.
Existen bases de datos como:
https://www.ip2location.com/
%SystemRoot%System32winevtLogsMicrosoft-Windows-WLAN-AutoConfig/OperationalSource.evtx
Trabajo futuro: nuevas características

27.
Más información:
whitepaper

28.
Gracias
Pablo González
@pablogonzalezpe
Fran Ramírez
@cyberhadesblog @cybercaronte

29.
Enlaces
https://www.thesslstore.com/blog/air-gapped-computer/
https://www.pcworld.com/article/2896732/dont-trust-other-peoples-usb-flash-
drives-they-could-fry-your-laptop.html
https://hakshop.com/products/usb-rubber-ducky-deluxe
https://www.adslzone.net/2017/06/22/brutal-kangaroo-el-malware-de-la-cia-
para-infectar-las-redes-mas-seguras-del-mundo/
https://www.extremetech.com/computing/200898-windows-pcs-vulnerable-to-
stuxnet-attack-five-years-after-patches
http://collections.vam.ac.uk/item/O158296/imac-g3-personal-computer-ive-
jonathan/
https://en.wikipedia.org/wiki/Gene_Spafford