viernes, 17 de octubre de 2014

Stalk all the Whatsapps!

¡Saludos!

              Durante el congreso Navaja Negra se impartió un taller de "Hardware hacking" donde @KioArdetroya y @T31m0 mostraron algunos aparatos que hay en el mercado para poder jugar: wifi pineapple, rubber ducky, etc. Por mi parte no pude asistir porque fui al taller de iniciación al exploiting en windows  y después al de radare2, asi que no saqué tiempo para pasarme a verles. Sin embargo la noche de antes estuvimos cerveceando juntos y me contó una de las demos que tenían preparadas: sacar los números de teléfono de gente que tenga whatsapp y se conecte a la wifi.



              El otro día me volví a acordar de aquello que contaron cerveza en mano, y me puse a indagar. Lo primero que vi fue el módulo que tiene fruity wifi para tal efecto, que no es más que un fork de este script en perl hecho por Deepak Daswani => Whatsapp Discover.pl  . Leyendo el código en diagonal vi que a fin de cuentas lo que hace es analizar un .pcap, filtrar por los puertos 3222, 3223 y 443, y aplicar una expresión regular.


          Como no me creía que fuese tan sencillo ¿de verdad manda whatsapp los números de teléfono y el OS en texto claro? Tocó hacer la prueba: monté un mitm tirando de arpspoof para pescar todos los paquetes y puse en wireshark un filtro para los puertos mencionados anteriormente. Y sí, tras un rato esperando, había paquetes donde aparecían. Acojonante.

         Ultimamente estoy haciendome mi set de troll-herramientas en nodeJS (los que estuvisteis en el Hotel Universidad del navaja quizás visteis algunos miles de APs....), y ésta no iba a ser menos. En primer lugar pensé en que el script hiciera el MITM a través de arp poisoning, pero pensé que eso era dejárselo demasiado en bandeja a la gente. El script ahora mismo permite sniffar el tráfico en tiempo real (a diferencia del script de Deepak Daswani que extraía los números y sistema operativo de los .pcap), asi que para que funcione debeis de hacer vosotros el mitm ;) el script => https://github.com/0verl0ad/architeuthis/blob/master/node-tools/whatsapp.js       


        Ahora bien, ¿qué hacer con los números extraídos? Pues a voz de pronto se me ocurre pasarle esta herramienta que hicieron los de flu-project => http://www.flu-project.com/2014/09/yowsup-aplicaciones-eticas-y-no-tan_16.html  y extraer los avatares que tienen en whatsapp. Después agregamos a quien nos parezca más interesante ;).


        Por ahí me sé de alguien que está haciendo una aplicación de android para esto, Aetsu, cof cof. No es por meter prisa ni nada...


Byt3z!
5 0verl0ad Labs: Stalk all the Whatsapps! ¡Saludos!               Durante el congreso Navaja Negra se impartió un taller de "Hardware hacking" donde @KioArdetroya y @T31...

No hay comentarios:

< >