Hola y bienvenidos nuevamente a una clase y más si estamos agregando a este curso Kali Linux.
Bien en la clase anterior habíamos creado el archivo de Excel infectado llamado Mega 20:20 Y habíamos
obtenido una sección de meter Pretel que habíamos creado desde carilindo.
Bien vamos a continuar con este video con el mismo ataque y como dice acá siempre recuerden que yo les
voy a ir enviando todo el material nos dice que hagamos una consulta para ver qué tipo de comando podemos
utilizar.
Así que
si no mujer nos va a dar una cierta cantidad de comandos que podemos realizar como Dum System Sísifo
Chel podemos abrir una remota Quil para montar procesos una variedad de comandos repe Route remover
Power para saber dónde estábamos su descarga para descargar archivos.
Como ven acá yo tengo un archivo que dice privado este archivo tiene algunas credenciales de tarjetas
falsas.
Obvio no documento que Trello hecho como ejemplo para que vean cómo lo podemos descargar y cómo lo podemos
editar y volver a subirlo si así igual con el comando.
Vemos las ayuda de
comandos de la ayuda de todos los comandos que tenemos acá Shipley.
Si me salió la sección vamos a iniciar de vuelta.
Ahora me dice que tengo tres secciones abiertas pero en realidad de la misma en la misma máquina que
atacamos y con el mismo archivo me abrió otra sección nada más porque se cayó
llevamos hace un tiempito
que nos vuelva a dar el intérprete.
Hoy tenemos la sección abierta con el comando que nos da las opciones.
Después nos dice que aunque seguíamos nos dice que averigüemos que
con qué privilegio o sea con qué nombre accedimos y disculpen o Sarney.
Win 8 dice acá y como administrador entonces vamos a pegar acá para preguntarle cuál es.
Acá no está diciendo que Luis Enrique ya es autoritario y existen están insisten.
Por qué pasó esto porque yo ya había haciendo prácticas ya había obtenido el control de la máquina.
Después nos dice que averigüemos con qué Pāṇini estamos asociados es cierto.
Hacia la máquina así que vamos a copiar.
También yo debo copiar y pegar para que vean que ejecuto los mismos comandos todo con GPa y pedí.
No está diciendo ahora que estamos accediendo con el PAI di 15:24 bien.
Ahora sí le damos el comando que sigue a continuación que el PC no va a listar los procesos que está
ejecutando Windows.
Entonces ponemos PC y nos va a tirar una variedad
de procesos todos los procesos que se están ejecutando dentro de Windows.
Cómo se darán cuenta acá si buscamos el proceso que nos había mostrado acá el 15:24 tiene que ser el
archivo mega .20.
Así que vamos a buscar el Tedy.
Este es el Peabody y este es el padre del PP ahí sí para que tengan una noción más o menos de la arquitectura
la sección el usuario y el lugar.
Entonces si nosotros buscamos el 15:24 y 15:24 No debería decir que es mega ven acá está el proceso
43 15:24 es el que ejecutó el archivo punto x el mega 20:20 la arquitectura 86.
Quién lo ejecutó.
Acata el nombre de quien lo ejecutó y en donde se encuentra la ruta del archivo que se ejecutó en Mega
punto 20:20.
No dice que se encuentra dentro dentro de la carpeta User Administrador y en descargas.
Entonces esto es novedad ya para empezar a sospechar de que por una descarga de mega mega mega 20:20
Se ejecuta ese proceso.
Esto es muy importante que ustedes lo guarden y lo vayan anotando vayan creándose un archivo y vayan
tomando nota de estos procesos.
Porque para hacer un análisis de memoria RAM es muy necesario saber la fecha el tipo de proceso qué
proceso se ejecutó de dónde y cuándo.
Así que esto es importantísimo saber quién lo ejecutó que Qué privilegios tenía etcétera.
Después de ejecutar este comando nos dice que sigamos con el proceso con el vamos a crear una Txelis
que levantemos una ye'l remota.
Entonces esto qué es lo que va a ser prácticamente lo que va a hacer ese estudio le va a decirle a Windows
que le abra esto una ye'l y desde acá desde un H.L uno puede hacer muchas cosas así que bueno vamos
a ponerle.
Fíjese que acá la máquina víctima no se va a abrir la ye'l se va a abrir en Cali la víctima no va a
ver absolutamente nada.
Vamos con el ser y ahí nos abrió una sección de Chel con el proceso 28 20.
Recuerden vayan arrendando todos estos números de proceso porque son importantísimos nos dice la versión
de Windows.
Si la versión de Windows está ejecutando importantisimo para poder crear otro otro archivo malicioso
más la versión del Microsoft 2013.
Así que bueno si ustedes se darán cuenta acá yo estaba como meter Pretel EPROM me decía que era meter
Pretel pero lo ejecutarla Chel ya no me dice Mamá interpretador y me dice que estoy dentro de un deseo
del Dicose Windows System 32
acá porque yo ya estuve haciendo otras cosas sino el prom que le tendría que haber dado acá era descarga.
Así bueno acá vamos a ir a Chiri
y vamos a decir vamos a gritar acá donde estamos y vamos a hacerle el Windows la carpeta de Windows
si no que hasta la carpeta System 32 System fíjense como podemos acceder a cualquier lado no vamos a
darle un sí.
Nuevamente para atrás vamos a alistar las carpetas que tenemos acá y acá tenemos uno que dice computación
Nueva Carpeta Raffi y user.
Sí ahora sí vamos así y user
y users listando ahora vamos a tener administrador y público.
Vamos a ir a Administrador y administrador.
Vamos a alistar y acá es donde van a aparecer ustedes en descarga.
Si yo aparecí insiste en 32 porque estaba haciendo algunas prácticas y estaba todo bien.
Así que ahora vamos a hacer y a descargar
Dolores
un detalle.
Acá no se puede usar el tabulador si no puede completar las palabras tienen que escribir todas una por
una letra por letra así.
Bueno ahora estamos le ponemos Odir repite en mayúsculas y minúsculas si ponemos Ibid dice que está
el archivo Omega apuntó.
Un texto que dice privado de élite que es exactamente lo que tenemos acá en descargas
Mega y privado de archivo.
Vamos de vuelta acá me voy si ahí no listó todas las carpetas que había.
La ye'l Net User lo que va a hacer no va a decir qué tipo de usuarios somos como como dice hacker habría
enema de régimen disculpa déjeme cerrarlo bien con el siguiente comando.
Vamos a ver los usuarios actuales dentro de la máquina Windows sí.
Así que ponemos Net User vamos a copiar algo para que vean los mismos comandos y vamos a pegar user
y nos dice que tenemos un usuario administrador otro computacion 20:10 y otro computacion 20:21.
Si el invitado que ataca el comando se ha completado con uno o más errores.
Bueno eso no importa.
Después nos dice que luego vamos a crear nuestro usuario OK.
Así que vamos a crear un usuario que no tengamos administrador o computaciãn pretendía 20:21 que dice
que creemos que el usuario computacion solo así que vamos a copiar nuevamente y a pegarle le pegamos
y le ponemos ok.
Este es el comando que le va a decir que agregue al usuario.
Ahora si vamos a Nek y de vuelta como copiar.
Recuerden que no se puede usar la flecha acá y como verán tenemos administrador computacion 20 20 10
computacion que es el que acabábamos crear.
108 20:21 y el invitado vieron bueno ese es el usuario nuevo que agregamos.
Luego vamos a ver los grupos que conforman dentro de la víctima.
Esto nos va a ayudar a la hora de dar privilegios.
En qué idioma está el sistema operativo y si tiene grupo de administrador etcétera.
Entonces vamos a decirle Net local Grug con este comando nos va a decir qué tipo de grupo que sí existe
en grupo y qué tipo de grupo existen.
Si lo que Grub no dice hay un error en el sistema local borojó y una sesión de inicio de especificaban
no existe es posible que se haya finalizado Nakano no tiró un error vamos a pegar de vuelta no local.
Ese comando por el momento está fallando local.
Ahora sabiendo los grupos que tienen los administradores vamos a registrar nuestro usuario dentro del
grupo admit vamos a ver si nos deja registrar el usuario nuestro computacion al grupo de administradores.
Ahora vamos a verificar por qué no no anduvo el comando local tecleamos en el local de administradores
computacion adicionar se ha completado el comando correctamente.
Es cierto bien ahora habíamos visto Naver acá Cervelli el computacion
a ver si no nos deja ver Ussher a ver si nos deja ver ahora
invitado.
Los errores que nos muestra Acadé son los privilegios que tenemos no bien adicionamos el usuario nuestro
computacion al grupo de administradores local Group.
Ahora veremos cómo crear carpetas dentro de la máquina víctima.
Vamos a crear una carpeta acopian presten atención que acá en el lugar que estamos ubicado dentro de
la hiel de Windows que la descarga nos va a crear una carpeta.
Nosotros no podemos mover por todos los directorios que queramos siempre y cuando lo tengamos buenos
privilegios.
Entonces ahora por el momento a modo de práctica como estamos dentro de descarga yo voy a agregar una
carpeta en descarga del Windows.
Si esto va a ser remotamente si le pongo BBM Kadir computacion y automáticamente se crea una carpeta
acá y en esa carpeta no puede servir para ocultarla dentro de cualquier directorio y guardar archivos
maliciosos ahí poder ejecutarlos remotamente bien.
Agregamos el usuario agregamos una carpeta y ahora vamos a ver qué otros comandos mano dice Bueno nos
dice que vayamos así di computación a la carpeta en si no estamos en descarga.
Si computación
y ahora ya estamos dentro de la carpeta y no hay nada bien entonces nos dice que remover para remover
la carpeta.
Decidí computacion con el siguiente comando vamos a eliminar una carpeta erré medir 1 2 3 el ejemplo
acá pero vamos a crear otra carpeta más con el nombre 1 2 3 y después la vamos a eliminar así que dijimos
que m Kadir y vamos a crear una carpeta que se llame 1 2 3.
Si bien ahí la tenemos
ahora vamos a y esto está dentro de computación.
Si entramos acá tenemos que tener la carpeta 1 2 3.
Ahora nos dice que para removerla tenemos que colocar el comando RM dir así que vamos a cobrar con erré
medir el nombre de la carpeta que queremos eliminar.
Bien vieron que automãtico que es que velocidad que tienen es instantáneo al instante y créase o sea
si es rápido para trabajar puede hacer infinidad de cosas bien después de éste dice que coloquemos el
siguiente comando G System vamos a copiarlo
en la consola Begar que existen.
No se reconoce comando interno o externo programa o el archivo para ejecutarlo en lote.
Esto significa que dentro de la acción no podemos ejecutar comandos hay comandos que se ejecutan dentro
de la serie de comandos que.
Esto nos va a servir para saber el tipo de sistema.
Vamos a hacer una cosa vamos a darle éxito vamos a salir de la vez que ya volvía a caer el intérprete.
Salimos de la consola ye'l de Windows así que acá sí podemos pegar el jet System y nos va a dar información
del sistema.
O sea que qué privilegios tenemos si estamos como administrador después nos dice
y le interese user user para la consola para los usuarios a ver qué otro más teníamos acá.
Acá lo que vamos a hacer es crear una persistencia para que para que en caso de que se caiga como se
calla recién la sesión Windows no contacte automáticamente.
Qué fue lo que pasó cuando iniciamos.
Fue eso.
Como ya tenía una persistencia creada apena toqué Windows que se habilitó me creó una sección nueva
se conectó automáticamente.
Esto es buenísimo porque en caso de que se caiga la sección apague la máquina o no se vaya a dormir
la pongan descanso cuando active la máquina de vuelta.
Windows Server automáticamente nos lleva a intentar buscar a nosotros por este puerto o por el seleccionemos.
Ok.
Run Run es el comando principal que tienen que colocar cuando van a ejecutar este tipo de comandos hijo
o quieren ejecutar otros comandos que ayúdale les muestra tienen que colocar siempre comando Run bien.
Entonces como dice acá
vamos a copiar como lo hacíamos normalmente.
Le vamos a decir que se conecte con un intervalo de 30 segundos al puerto 4 4 4 y con menos le decimos
que nuestra IP
vamos a ir sola vamos a pegar y vamos a crear esa puerta trasera.
Si está creando bien perfecto la creó.
Con qué Heydi con el 4 88 si con el PP ahí 4 88.
Bueno todo esto es registro hay que guardarlos hay que ir anotando lo recuerden como les había dicho
ya que hay que guardar todos con el comando vaqueiro.
Recuerdo que volvemos salimos para atrás de una sección de meter Prete y salimos para atrás con el comando
backlog.
Si esto nos sirve para seleccionar
podemos seleccionar otro otro payload otro
otro archivo podemos buscarnos otro esplai y seguir atacando.
Ataques de contraseña.
Crearon un backdoor infinidad de cosas podemos seguir haciendo si Halabi y maduraron lo que hace nos
sale de la sección pero no la cierra si nosotros le damos sección acá nos va a mostrar que tenemos las
tres secciones acá abiertas prácticamente y lo único que tenemos que hacer para entrar a cada una de
ellas ponemos sección menos y le damos el número.
Por ejemplo el 1 le ponemos en 1 y entramos.
Bueno en este caso esta caída de esa sección le ponemos el 3 en la que estaban y ahí estamos ya nuevamente
dentro de meter Pretel.
Bueno eso es todo por esta clase.
Espero que les haya gustado.
Y bueno nos vemos en la próxima si la hay y para este curso de Cali y si quieren aprovechar voy a invitar
a que estén pendientes al nuevo curso que va a salir que es que
sería un análisis forense a una memoria RAM que es lo que vamos a hacer en ese curso es investigar todos
estos procesos que se han ejecutado dentro de esta clase lo vamos a investigar todos.
Paso por paso vamos a detectar quién lo hizo como lo hizo de dónde y cómo cuándo todo si vamos a ver
cuál fue el archivo que infectó la máquina dato etc. Así que bueno eso es todo.
Con esta clase los invito a que estén pendiente para el nuevo curso y para los que están haciendo el
curso porque este video va a pasar el tiempo y va a quedar para que lo que estén haciendo el curso.
Nos vemos en la próxima clase.
Bueno chau chau.