DroneTinder: Sistema de Espionaje Continuo en Redes Sociales

¿QUÉ ES TINDER?

“Tinder es la nueva forma de conocerse. Es como la vida real, pero mejor”. Este es el eslogan de la popular aplicación Tinder. Una red social en la que utilizamos nuestro perfil de Facebook (y nuestro GPS) para conocer gente sin necesidad de movernos de casa.

Su uso, cada vez más extendido, está cambiando la forma de relacionarnos. Sin embargo, desde el punto de vista de un analista de ciberseguridad, ¿qué peligros puede tener una aplicación como esta para nuestra privacidad?

Con el proyecto DroneTinder, como parte del programa Universidades de ElevenPaths, en colaboración con el Máster en Ciberseguridad de la Universidad de Sevilla, hemos estudiado esta aplicación durante los últimos meses.

DESCUBRIENDO LA API DE TINDER

Después de instalar la app, iniciamos sesión con nuestra cuenta de Facebook e inmediatamente tenemos nuestro perfil listo para ligar en internet. Aparece una chica. Esta me gusta. Esta no… ¡Vaya! ¡Un match! Podemos empezar a intercambiar mensajes para finalmente conseguir una cita.

Si nos ponemos nuestro gorro de hacker, podemos repetir el proceso anterior preguntándonos qué está sucediendo realmente para que hayamos conseguido una cita y si en algún momento hemos puesto en peligro nuestra privacidad. Para ello, usaremos un proxy http con el que estudiar qué información intercambia nuestro dispositivo móvil y el servidor de Tinder. Esta es una técnica muy común para auditar aplicaciones móviles y servicios web. El tráfico va cifrado (menos mal), por lo que además necesitaremos instalar un certificado en nuestro dispositivo para hacernos un ataque man in the middle en toda regla.

Empezamos nuestro estudio a ciegas. Con algo de conocimiento sobre el protocolo HTTP, rápidamente aparece en nuestro proxy la primera pista, peticiones a la dirección https://api.gotinder.com. Si filtramos los mensajes intercambiados con este servidor, vemos que existe una API rest con la que nuestro teléfono se comunica.

Estudiando estos mensajes en formato JSON, vemos cómo podríamos utilizar la API de Tinder para realizar al menos las siguientes acciones:

Actualizar nuestro perfil (biografía, edad, género, género de interés y radio de búsqueda).Actualizar nuestra coordenada GPS.Obtener perfiles recomendados.Obtener detalles de un perfil concreto.
Así, podríamos repetir nuestra visita guiada por la aplicación de la siguiente forma:

Instalamos la App.Iniciamos sesión en Facebook y conseguimos un token que enviamos al servidor de Tinder, dándole acceso a nuestro perfil, fotos, edad, etc. A continuación el teléfono envía nuestra posición GPS. Solicitamos recomendaciones y Tinder nos envía una ráfaga de perfiles en formato JSON.

Hagamos una pausa aquí. En la aplicación se nos muestran fotos y una breve biografía de cada usuario. Sin embargo, ¿qué información nos está enviando Tinder realmente de esos usuarios?

ENCANTADO DE CONOCERTE, USUARIO DE TINDER.

La petición a https://api.gotinder.com/user/recs, debidamente firmada con nuestro token de acceso, nos da la respuesta. A continuación podemos ver un ejemplo de la misma, con algunos campos modificados, porque nosotros sí respetamos la privacidad de los usuarios de Tinder.

{ "status": 200, "results": [ { "distance_mi": 12, "common_connections": [], "connection_count": 12, "common_likes": [], "common_interests": [], “Instagram”: “XXX”, "uncommon_interests": [], "common_friends": [], "content_hash": "2o4igQta6H37C7jtgu1jIQasl1HMlI1riYNFr4FPptRpcX1", "_id": “XXX”, "badges": [], "bio": "", "birth_date": "1993-01-29T19:04:05.660Z", "name": “XXX”, "ping_time": "2017-01-26T17:19:50.017Z", "photos": [ { "id": “XXX”, "url": "http://images.gotinder.com/XXX.jpg", "processedFiles": [ { "width": 640, "height": 640, "url": "http://images.gotinder.com/XXX.jpg" }, { "width": 320, "height": 320, "url": “XXX.jpg" }, { "width": 172, "height": 172, "url": "http://images.gotinder.com/XXX.jpg" }, { "width": 84, "height": 84, "url": "http://images.gotinder.com/XXX.jpg" } ] } ], "is_traveling": false, "jobs": [], "schools": [ { "id": "1087351381344781", "name": "Yildiz Technical University" } ] "hide_age": false, "hide_distance": false, "s_number": 60819127, "gender": 0, "birth_date_info": "fuzzy birthdate active, not displaying real birth_date" }, ... ] }
Pero empezamos a preocuparnos. Analizando esta respuesta, conseguida con tan solo abrir la aplicación, podemos saber la siguiente información de un usuario:

Fecha de nacimiento aproximada (birth_date)Cuenta de InstagramDistancia a la que se encuentra de nosotros (distance_mi)La última vez que usó la aplicación (ping_time)Si está moviéndose (is_traveling)ID de usuarioY lo más sorprendente. ¡Todas las fotos están accesible desde direcciones 100% públicas en Internet!
Además, conociendo el ID de usuario, descubrimos que podemos obtener su perfil actualizado en todo momento (incluida la distancia a la que está de nosotros) con una petición a https://api.gotinder.com/user/id

LLEVANDO A CABO NUESTRO PLAN

Una vez que sabemos qué información nos puede dar Tinder y cómo conseguirla, podemos diseñar una herramienta con la que conseguir los objetivos de este proyecto.

Geolocalizar a un usuario de Tinder en todo momento
Para conseguir este objetivo, nos planteamos usar algoritmos de triangulación. Sin embargo, Tinder nos indica una distancia mínima de una milla, ya estemos al lado de nuestro objetivo o a 1.5 millas, por lo que existiría demasiado error.

No obstante, sí podríamos mantenernos siempre a una milla de nuestro objetivo, moviéndonos con cierto sentido en el radio al que Tinder nos indica que está el usuario para acercarnos hasta esa distancia mínima.

De esta forma, aunque no consigamos una precisión del 100%, sí podemos conocer en qué zona se encuentra nuestro objetivo, por ejemplo, cuándo va a trabajar, qué ruta sigue, si se encuentra en la ciudad, etc.

Enriquecer perfiles 
Gracias a los compañeros de ElevenPaths, Félix Brezo y Yaiza Rubio, podemos utilizar OSRFramework para obtener más información de nuestros objetivos. Esta herramienta se apoya en la idea de que un usuario suele utilizar un mismo seudónimo en múltiples redes sociales y sitios de Internet, por lo que lo utilizaremos para realizar una búsqueda en más de 200 plataformas usando la cuenta de Instagram que aparece en cada perfil de Tinder.

Estudiar una zona concreta 
Con la API de Tinder podemos movernos a donde queramos y saber qué usuarios están allí. Podríamos plantearnos monitorizar una superficie durante meses para después estudiar qué usuarios pasaron por allí, conocer qué directivos de tu compañía están en Tinder, sus fotos, cuándo vienen, cuándo se van, etc.

Para ello hemos desarrollado un bot con el que automatizar las peticiones a Tinder, así como una aplicación Web sobre la que poder almacenar y estudiar los datos obtenidos.

Esta aplicación nos permite filtrar usuarios de Tinder en una zona concreta, para así obtener el ID de nuestro objetivo y comenzar su geolocalización continua. Además, podemos añadir coordenadas para monitorizar los usuarios que aparecen, realizar búsquedas en todos los perfiles añadidos a nuestra Base de Datos, etc.

En el siguiente vídeo podemos ver la herramienta DroneTinder en funcionamiento. Hemos ocultado imágenes y datos personales para proteger la privacidad de los usuarios.

Apple patenta una pantalla capaz de leer huellas dáctilares sin sensor dedicado

La noticia de hoy está relacionada con las patentes de que Apple va logrando. En este caso, llama mucho la atención, la concesión de una patente que sugiere que la compañía está mirando para aprovechar su adquisición de LuxVue, con el objetivo de integrar la tecnología capaz de leer la huella dactilar de un usuario sin un sensor dedicado, es decir, sin Touch ID. Esta característica ya se rumorea para el lanzamiento del iPhone 8. La patente estadounidense con número 9570002 tiene como nombre "Panel de visualización interativo con diodos IR" y detalla una pantalla táctil que incorpora tecnología de detección de micro-LED, en lugar del hardware de matriz activa omnipresente, visto en la mayoría de dispositivos móviles.

La patente de hoy presenta un diseño para incorporar sensores de panel táctil y huellas dactilares utilizando hardware en gran parte similar. Todo apunta hacia el botón invisible de inicio que podría verse con la aparición del iPhone 8. La tecnología actual de detección de huellas digitales de Apple requiere un anillo de accionamieto capacitivo para estar en contacto con el dedo de un usuario durante el funcionamiento. Es posible que Apple esté buscando cerrar el Touch ID o evolucionarlo hacia un nuevo sistema más avanzado. Por ejemplo, una pantalla táctil capaz de actuar como un dispositivo de entrada y escáner de huellas dactilares ahorraría espacio y aportaría mayor flexibilidad de diseño.

Figura 1: Resumen de la patente

La empresa LuxVue cree que ha resuelto el rompecabezas o, que por lo menos, está cerca de hacerlo. De acuerdo con la patente, los micro-LED se pueden utilizar como un sustituto para las matrices táctiles capacitivas. Específicamente, los diodos emisores y sensores IR independiente se conectan a los circuitos de conducción y de selecció para crear un circuito subpixel. Debido al pequeño tamaño, estos diodos IR se pueden embeber o incrustar en un substrato de pantalla junto con LED RGB o en un microchip montado.

Figura 2: Sistema esquematizado del panel
Apodado"Píxeles interactivos", los subpíxeles podrían incorporar LED rojo, verde, azul, IR, e IR, es decir, RGBIRSIR, así cómo otras matrices de colores en un panel de alta resolución. En la patente también se describen características más avanzas como la detección de contacto y la determinación del perfil de superior de un objetivo, es decir, reconocimiento de huellas digitales.

Si Apple tiene la intención de llevar la tecnología de micro-LED a iPhone u otro producto en el futuro sigue siendo algo desconocido. Se rumorea que podría aparecer en el próximo iPhone, pero no se sabe a ciencia cierta si esto ocurrirá o tendremos que seguir esperando la tecnología que sustituya al Touch ID.

Pueden controlar tu Mac a través de GarageBand

macOS  tiene un parche para paliar y solucionar un defecto crítico en la aplicación de música conocida como GarageBand. Apple ha publicado que tiene un agujero de seguridad en la aplicación GarageBand, el cual podría permitir a un potencial atacante ejecutar código de forma remota en un Mac. La actualización de GarageBand 10.1.6 está siendo enviada a todos los equipos que ejecutan OS X Yosemite y posteriores. Esto es debido a que la aplicación tiene dicha vulnerabilidad, por lo que se debe prestar especial atención en este hecho. 

El fallo, el cual se aborda en el CVE-2017-2374, permite, a través de un fileformat, a un atacante ejecutar código remoto, cuando la víctima ejecuta el archivo creado de forma maliciosa, es decir, que contiene el exploit en su interior. Apple utiliza el formato .band para todos los archivos del proyecto GarageBand. En otras palabras, un atacante podría convencer a un usuario para que ejecute un archivo con extensión .band, el cual al ser abierto con la aplicación vulnerable proporcionase el control de la máquina al atacante. El investigador que se encuentra detrás de la investigación que ha dado como resultado este fallo, publicó hace muy poco tiempo otra vulnerabilidad relacionada. En la ocasión anterior, se encontró el CVE-2017-2372, solucionado en una actualización anterior.

Figura 1: GarageBand vulnerable a fileformat

Esta vulnerabilidad es el resultado de una mala gestión y validación a la hora de analizar el formato y la composición del archivo, según indica el investigador. El formato se divide en trozos con un campo longitud para cada uno. Esta longitud es controlada por el usuario y puede ser utilizada para crear una condición explotable. Apple no ha comunicado que esta vulnerabilidad se pueda estar utilizando en alguna campaña de malware, aunque podría llegar a ser un vector para infectar multitud de equipos. Se recomienda parchear la vulnerabilidad lo antes posible, llevando a cabo una actualización de GarageBand.

Nuevo malware a través de Microsoft Word para Mac

Un nuevo malware se ha descubierto para los equipos Mac. En menos de una semana, se descubre un segundo ejemplo de malware dirigido, ya que la semana pasada hablamos del malware MacDownloader dirigido a activistas iraníes. Este segundo malware está orientado a la utilización de Microsoft Word y permite al atacante apoderarse del control de la máquina, cuando el usuario ejecuta una macro, la cual descarga un payload que permite infectar el Mac objetivo. El archivo de Word se denominada "Aliados de los EE.UU y rivales de Trump", según ha indicado el equipo de Objective-See.

Cuando se abre el archivo, las potenciales víctimas reciben el típico aviso de que la ejecución de macros podrían hacer que el equipo se dañara o infectara. Si el usuario acepta la ejecución de las macros, tendría el control de la máquina, ya que en ese momento se ejecutaría la macro y ésta descargaría el payload con el objetivo de infectar el equipo. Una de las cosas que la macro comprueba es si Little Snitch se está ejecutando en la máquina, ya que habría que evitarla. El código de la macro se puede encontrar en el proyecto EmPyre, un derivado del famoso Powershell Empire.

Figura 1: Mensaje de advertencia sobre ejecución de macros
Los investigadores creen que el payload podría persistir en el Mac ejecutándose automáticamente después de un reinicio de la máquina. Además, se cree que podría realizar funciones basadas en uno de los muchos módulos de EmPyre. Estos módulos ofrecen una multitud de opciones para que los atacantes puedan adquirir y recopilar informacion, incluyendo keyloggers, volcado de llaveros, monitorización del portapapeles, capturas de pantalla, acceso a iMessage o, incluso, a la webcam. El malware, como ha indicado Patrick Wardle, no es particularmente avanzado debido a que los usuarios deben interactuar con el mensaje de las macros, pero una vez habilitado el malware es eficaz  y funciona bien.

Google soluciona 58 vulnerabilidades en Android

Google ha publicado el boletín de seguridad Android correspondiente al mes de febrero en el que corrige un total de 58 vulnerabilidades, 10 de ellas calificadas como críticas.

Como es habitual, Google divide las vulnerabilidades corregidas en dos bloques principales en función de los componentes afectados. En el nivel de parches de seguridad 2017-02-01 ("2017-02-01 security patch level") se encuentran los que afectan al núcleo de servicios Android, controladores y componentes que todos los fabricantes de smartphones Android deberían incluir con mayor prioridad.

En este bloque se solucionan 23 vulnerabilidades, dos de ellas se consideran críticas y podrían permitir la ejecución remota de código a través de Surfaceflinger o de mediaserver. Otras 16 de ellas son de gravedad alta y otras cuatro de importancia moderada.

Por otra parte en el nivel de parches de seguridad 2017-01-05 ("2017-01-05 security patch level") se incluyen vulnerabilidades en controladores y componentes incluidos solo por algunos fabricantes en sus versiones de Android. En este bloque se solucionan 35 fallos en subsistemas del kernel, controladores y componentes OEM. Siete de las vulnerabilidades están consideradas críticas, 23 de gravedad alta y cinco de riesgo medio. Cabe destacar que los componentes Qualcomm son los más afectados.

Los problemas críticos podrían permitir la ejecución remota de código a través del controlador crypto de Qualcomm, o elevaciones de privilegios en el sistema de archivos del kernel, en el controlador GPU NVIDIA, en el subsistema de red del kernel o en el controlador Wi-Fi de Broadcom.

A pesar de las actualizaciones de Google para Android, estas solo llegan puntualmente a los dispositivos Pixel y Nexus, los propios de Google. Es destacable el esfuerzo realizado por otros fabricantes, como Samsung o Blackberry, que también están aplicando las actualizaciones con periodicidad. En otros casos, la actualización también incluye a las operadoras de telefonía, lo cual alarga aun más el proceso de actualización. Lamentablemente esto no ocurre con todos los fabricantes. En la mayoría de los casos, que la actualización llegue al usuario, si llega, puede alargarse muchos meses desde su publicación por parte de Google. Por ello, como ya hemos comentado en múltiples ocasiones las actualizaciones siguen siendo uno de los puntos débiles de Android.

Utilizan malware de Mac para espiar a activistas iraníes

Cada día vemos como muchos usuarios cambian sus hábitos y se adentran en el mundo Mac. Por esta razón, estamos viendo como, supuestamente, muchos activistas o personas influyentes son espiadas a través de software hecho para sistemas Mac, ya que estos activistas utilizan estos equipos. La noticia de hoy es que activistas iraníes pueden estar siendo espiados y trackeados a través de malware para Mac, según se indica en el informe publicado. Este hecho pone de relieve el flujo constante de gobiernos que interrumpen y rastrean movimientos activistas. 

Collin Anderson, uno de los investigadores de seguridad detrás el informe comentó que la utilización de plataformas alternativas, como el caso de OS X, hacen que también se busquen nuevas formas de espionaje orientadas a las plataformas alternativas. Los investigadores encontraron por primera vez un malware denominado MacDownloader en un sitio web que se hacia pasar por la empresa aeroespacial estadounidense United Technologies Corporation. Los investigadores ya habían vinculado este sitio a las campañas de malware iraní y sabían que era un sitio de ensayo para desplegar malware de Windows. El malware MacDownloader viene como una actualización falsa de Flash, siendo descargada por los objetivos. El malware se conecta a un servidor externo, con la intención de descargar código externo para el malware. Al mismo tiempo, MacDownloader transfiere información del sistema a un servidor controlado por el atacante, incluyendo el contenido del keychainy una lista de aplicaciones instaladas. También se solicita credenciales a la víctima, de manera fraudulenta.

Figura 1: Actualización falsa de Flash

Mientras que Chrome y Firefox no almacenan credenciales en el keychain, Safari y macOS si lo hacen.Esta informaciónes jugosa para los atacantes. A partir de aquí, los atacantes pueden entrar en cuentas de correo electrónico y redes sociales. Cuando se publicó el informe, VirusTotal no marcaba el malware como tal, por lo que se puede decir que el malware pasaba desapercibido. Por último, en el informe se subraya que los usuarios de Mac pueden sentir una falsa sensación de seguridad, por el simple hecho de utilizar Mac y esto deben vigilarlo, porque como se puede ver, estos son usuarios son objetivo.

Una investigación de ElevenPaths junto con Kaspersky destapa varias apps maliciosas en Google Play

Kasperksy ha hecho pública una investigación conjunta realizada por ElevenPaths y su equipo GReAT (Global Research and Analysis Team) en la que se desvela cómo están operando las últimas campañas de apps fraudulentas en Google Play que suscriben a usuarios a números de tarificación especial. Se analiza qué tipo de aplicación utilizan para llamar la atención de las potenciales víctimas, qué tácticas de difusión han utilizado, el código e incluso la infraestructura y paneles de gestión usados.

Hace algunos años era bastante sencillo subir un "dialer" (o algún tipo similar de aplicación maliciosa) a Google Play, pero ahora subir estas aplicaciones es cada vez más difícil ya que se han mejorado los mecanismos de detección. Esto ha provocado que muchos grupos se centren en otros repositorios de aplicaciones no oficiales aunque, esto no quiere decir que los repositorios oficiales estén exentos de estas amenazas. De hecho, no hace tanto, un grupo español consiguió subir con éxito una aplicación no oficial del conocido programa de televisión "Gran Hermano".

Su éxito de aparecer en Google Play se basa en usar un viejo truco. En primer lugar, subieron una versión limpia que por supuesto pasó los controles de seguridad de Google Play. Algunos días después, actualizaron la aplicación añadiendo nuevas funcionalidades, entre ellas la suscripción a servicios de pago. Este truco es extremadamente simple pero ha resultado ser muy provechoso, ya que la aplicación permaneció alrededor de dos meses disponible en Google Play (desde mediados de Septiembre hasta mediados de Noviembre de 2015).

Esta app utilizaba técnicas interesantes y novedosas para gestionar la suscripción fraudulenta y monetizar la infección de víctimas.
  
Este grupo de "programadores" también han intentado algo similar empleando otras fuentes de difusión además de Google Play. Uno de los servicios web usados por esta aplicación exponía un panel de control que mostraba información sobre los "usuarios". En septiembre de 2016, volvieron a intentarlo en Google Play de nuevo, siempre con el reclamo del popular programa de televisión.

Este grupo ha tenido bastante éxito subiendo aplicaciones a Google Play, utilizando un tema atractivo como puede ser el programa de televisión "Gran Hermano". España y Polonia han sido dos países tradicionalmente objetivo de este tipo de aplicaciones. Sin embargo, no habíamos visto en estos últimos años ningún grupo que fuera capaz de subir aplicaciones en repositorios legítimos con tanta facilidad. Este tipo de aplicaciones cuyas funcionalidades se encuentran muy cerca de la frontera entre lo que se consideraría un negocio legítimo y una actividad fraudulenta ponen a prueba a los sistemas de detección automática. Esto ocasiona que dichas aplicaciones lleguen a estar disponibles en Google Play, aunque acaben por ser retiradas algún tiempo más tarde.