Hola amigos bienvenidos a esta clase especialmente les traigo un demo que tengo en mi canal de YouTube
donde muestro lo que les explicaban en la clase anterior lo que enseño en el máster en espionaje y cursos
en los que Jacint y bueno en este video puedo hablar con media hora pero les garantizo que les va a
gustar si quieren pueden avanzar los primeros 15 minutos esto es teoría explico lo que Josín marco legal
los alcances etcétera y después les muestro como en la práctica a eso me refiero con demo cómo acceder
a la información de perfil de Facebook.
Cómo puedo rastrear a una persona a raíz de por ejemplo su correo qué redes sociales tiene y todas estas
herramientas para ustedes pueden ser muy útiles para un trabajo de testing ya que justamente a lo largo
del curso seguirán dando cuenta de que la vulnerabilidad más grande que tiene cualquier entidad son
las personas Capacho.
Así que de hecho fíjense cuánto hay para trabajar en eso que es justamente el curso en materia de espionaje
dura casi cinco horas así que no les hago perder el tiempo los dejo con el demo.
Hola amigos cómo están.
Primero que nada quería aprovechar la oportunidad para agradecerle a Fidel por el espacio y la oportunidad
y bueno contarles un poco en un principio sobre mí de mi perfil como pueden estar viendo en la pantalla
en mi página web en donde yo tengo en parte más o soy instructor de mí.
También tengo un canal de YouTube acá en mi página web que también pueden ver los títulos y las certificaciones
que yo tengo.
Yo hace más de 12 años que me dedico al rubro de la informática pasando por diferentes rubros tanto
en infraestructura redes soporte desarrollo de aplicaciones Seguridad Informática Informática Forense
etcétera acá son lo que he tenido la oportunidad de estudiar tengo una certificación internacional en
la teoría de sistemas y redes en cuestiones de forense también en Desarrollo Emprendedor delitos informáticos
y análisis forense digital de hecho en la empresa de seguridad Sameh talleres de cibercrimen y delitos
que también aprovecho en contarles que yo soy policial en donde vivo trabajo para las Fuerzas Armadas
para seguridad donde realizo justamente trabajos de informática e implementación de nuevas tecnologías
informática forense investigación digital.
Justamente uno de las razones por las cuales la idea de este video es que pueda yo contarles un poco
de cinta en un ratito vamos a empezar con eso yo también les comenté recién que soy instructor en Yudy
en donde justamente tengo un máster en espionaje que justamente habla de estas cuestiones de cómo a
través de Ozick se pueden obtener y acceder a la información de fuentes abiertas a través de Internet.
En mi página web al final también están todos diferentes redes sociales tanto mi canal de Youtube Linkedin
Twitter Instagram Facebook por cualquiera de esos medios ustedes se pueden comunicar conmigo ante cualquier
duda que tengan yo encantado de ayudarlos.
Y bueno ahora empezamos con voy a hablar un poquito de cinta para ir adelantando un poco de que vamos
a charlar vamos a desarrollar estas siguientes diapositivas que Josín que se pueda hacer conocida.
Vamos a ver el marco legal y también la seguridad informática y Osim cómo están fuertemente relacionados.
También después que expliquemos esto vamos a hacer una demo que con demos yo me refiero a volcado a
la práctica cómo hacemos la obtención de dicha información así que empecemos.
Josín es la inteligencia en fuentes abiertas ahora en unos minutos les explico a qué me refiero con
fuentes abiertas o si es parte del proceso de reconocimiento que consiste en utilizar cualquier fuente
de información pública que pueda proporcionar la información de una empresa organización o individuo.
Nosotros como investigador podemos utilizar esta información para responder determinadas preguntas variando
un poco el contexto de si es una persona en la empresa o una organización depende del contexto laboral
o el objetivo personal utilizando técnicas de Osim se puede obtener información y empresas.
Hoy en día con la expansión de Internet y las redes sociales existe una gran cantidad de información
pública compartida por los propios usuarios y a través de la obtención de esta información y realizando
inteligencia con la misma podemos identificar personas y organizaciones como así también anticipábamos
a determinadas situaciones.
Ahora bien respondiendo a lo que decía en un principio de fuentes abiertas cuántas fuentes abiertas
existen existen multitudes de fuentes abiertas a partir de las cuales se puede obtener información relevante
entre las cuales podemos destacar medios de comunicación revistas periódicos radio información pública
de fuentes gubernamentales conferencias sinopsis bibliotecas online foros redes sociales blogs wikis
archivos biblioteca boletines oficiales buzones páginas amarillas blancas de cementerios todo lo que
esté digitalizado nosotros.
Yo les voy a enseñar con estas herramientas siempre hablando desde la perspectiva de fuentes abiertas
o sea públicas cómo conocí podemos acceder a dicha información.
Ahora bien qué se puede hacer con o sin se puede decir que obtener información personal de personas
empresas y organizaciones en Internet sería el aspecto relevante más sencillo de lo que se puede conseguir
conocimiento.
Existe poca conciencia de la gran exposición que hacemos de nuestros datos personales en Internet.
Compartimos desde lo que comemos hasta dónde vamos de vacaciones.
Incluso las fotos de nuestros hijos en ocasiones hasta cuestiones más graves de aspectos más íntimos
por así decirlo que eso muchas veces deriva al sexting Nueno un montón de otros aspectos que trascienden
un poco de la utilidad de Osim pero les puedo decir que con tres datos se puede identificar a una persona
completamente con su sexo la fecha de nacimiento y el código postal de la persona.
Podemos armar un perfil bastante completo y de hecho como así esto tiene bastante sentido justamente
con un poco de paciencia se puede armar un perfil de una persona lo suficientemente detallado como para
saber de esta.
Incluso más que ella de sí misma.
A ello hay que sumar el analfabetismo tecnológico que casi todos prácticamente tenemos motivo por el
que ante la falta de conocimiento dejamos expuestos multitud de datos personales a nivel policial.
Esto nos sirve para identificar al autor de actos delictivos para prevenir para prevenir los mismos.
Para llevar a cabo un seguimiento en tiempo real de sucesos a través del monitoreo de las redes sociales
así como para llevar a cabo complejos análisis de redes sociales con el objeto de encontrar conexiones
dentro del grupo de personas Bueno ahora les voy a dar un par de ejemplos de lo que se puede hacer conocimiento
conocido se puede anticipar acontecimientos atentados terroristas realizar robos y fugas de información
de empresas gobiernos investigar a personas organizaciones objetivos eventos monitorizar lo que se habla
en redes sociales foros chat blogs analizar relaciones entre personas empresas asociaciones partidos
y detectar fallos de configuración que impliquen la exposición de información.
Acá como paréntesis tenemos cuestiones de seguridad informática de monitorizar e investigar páginas
fraudulentas y phishing y monitorizar tendencias sobre lo que se habla en internet de una organización
producto o persona.
Conocer la reputación online de un usuario o empresa realizar estudios sociológicos psicológicos lingüísticos
realizar auditoría de empresas y diferentes organismos con el fin de evaluar el nivel de privacidad
y seguridad y evaluar tendencias de mercado.
Identificación y prevención de posibles amenazas en el ámbito militar y de la seguridad o de la seguridad
nacional pero o cinta.
Como todo tiene un punto negativo que hay que tener en cuenta que los ciberdelincuentes también usan
estas técnicas para cometer los delitos.
Por lo tanto es necesario conocerlas no sólo para llevar a cabo investigaciones sino para evitar ser
víctimas de delitos.
Ahora justamente vamos a hablar un poco del marco legal y a qué me refiero con marco legal porque muchos
dirán bueno pero si mi perfil de mi red social es privado yo tengo derecho a mi privacidad y esta es
la primera mentira.
La primera gran mentira que nos hacemos a nosotros mismos o por ignorancia o por falta de comunicación
o información errónea que se divulga.
Yo les voy a explicar por qué cuando ustedes se registran en una red social como Facebook vieron esa
instancia en la que uno pone.
Estoy de acuerdo que por lo general es muchísimo texto con un escrito muy largo y que por lo general
no leemos ponemos estoy de acuerdo siguiente porque lo que queremos es entrar a la red social porque
para eso nos registramos.
Bueno ustedes al darle.
Estoy de acuerdo están firmando un contrato con todo lo que eso implica es un contrato legal donde Uds.
están avalando que la información que ustedes suben puede ser utilizada por cualquier persona.
Obviamente a raíz de la controversia que hubo en Facebook en este tiempo con el tema de la información
hubo todo un escándalo pero les aviso y lo van a ver en los demos que mucha información de Facebook
sigue siendo pública pero por elección propia negligencia propia analfabetismo tecnológico propio.
Porque nosotros elegimos las opciones que vienen preconfigurados para que lo que subimos o lo que hacemos
sea público y todo lo que es público de acceso público es legalmente accesible porque a raíz de nuestra
propia ignorancia tecnológica estamos permitiendo que eso sea así.
Por eso dentro de las técnicas que vamos a ver los demos el 100 por ciento de la información no es pública
pero nosotros no vamos a agarrar de esa información pública para poder sacar deducciones y armar un
perfil de la persona sea con el objetivo que sea justamente.
De hecho con parentesis hay algo que no les mencioné antes que es quiénes se utilizan o sint hoy en
día o si lo utilizan recursos humanos por qué.
Porque pueden armar un perfil a priori ante una entrevista y saber qué preguntas precisamente le pueden
hacer o hasta descartarlo a raíz de justamente la obtención de información de fuentes abiertas investigadores
privados es más que ver por qué cuerpos y fuerzas de seguridad también ámbito militar ingenieros sociales
por lo que acabo de mencionar periodistas a raíz de ocio también se puede detectar la FEUC o sea las
noticias falsas.
Analistas de Seguridad abogados la abogacía.
Esto es útil para la obtención de evidencias.
Gobiernos hacen ingeniería con reingeniería social cuerpos de fuerzas seguridad buenos periodistas etcétera.
Realmente el espectro de rubro su ámbito en lo que se puede aplicar sint es muy amplio.
Pero bueno volviendo al tema que estábamos charlando en el marco legal como les digo la evidencia que
se pueda recolectar a través de Dosil es hoy en día usada en juzgados en juicios a abogados utilizan
la evidencia de que se consiga tanto para usarlo como evidencia o contra evidencia para hacerle caer
al otro la evidencia que está utilizando por ejemplo y luego como para cerrar antes de pasar al demo
la seguridad informática y o sint qué pasa o si es el primer paso y más importante en una auditoría
de seguridad informática en un pen testing.
Por qué.
Porque es el proceso a través del cual nosotros recolectamos la información que vamos a necesitar para
acceder a la empresa que estamos auditando a quien sea.
El primer paso y lo más importante cuál va a abrir el abanico de posibilidades y de vulnerabilidades
que tiene nuestro objetivo.
Así que he hecho el paso más importante porque sin el paso conocimiento no va a existir un paso adelante
bueno vamos a empezar con lo divertido primer demo lo vamos a hacer sobre Facebook.
Lo que vamos a ver ahora tampoco es un secreto militar.
De hecho si se busca a través de internet se pueden encontrar.
Aún así es un dato que yo incluyo en mi curso para ilustra cómo acceder a la información de perfiles
de Facebook.
En este caso vamos a utilizar el perfil de Fidel donde en este caso soy amigo de él así que para esta
demo de imitarnos y lo vamos a ver como si lo vería una persona desde afuera.
Vamos a sacar esto si no nos molesta.
Y como verán vamos a explicar ciertas cuestiones cómo hacer que a esto yo me refiero con información
pública todo lo que tenga al mundito es información pública en Facebook justamente por eso de hecho
nosotros la podemos ver a pesar de no ser amigos.
Vamos a la foto y vamos a ver todas las fotos de las cosas que cualquier persona.
Ustedes también accederían a ella pero llegamos ataca y nada más.
Lo que yo voy a enseñarles cómo acceder a mucha más información de la que se ve acá así que vamos a
eso por ejemplo vamos a empezar con ver las fanpages a las que Fidel le ha dado like en la actualidad.
Yo a casa hice todo el proceso por el cual enseño en el curso y baka podemos ver a la fanpage que Fidel
la delegada oleico.
Ahora bien usted no puede decir yo para qué quiere este tipo de información.
De hecho esta información es bastante útil por cuestiones de ingeniería social perfil y perfil de la
persona.
Por ejemplo acá yo veo que tienen una tendencia o es del software que conozco pero si no usuario derrochón
sería esta página vería que tiene bastante tendencia a cuestiones de Linux acá con Ubuntu digital hojean
con cuestiones de virtualización volvemos a Linux OpenStack Red Red Stack fijos.
Parecería que tienen una tendencia al uso de este tipo de hosting o lo tuvo en algún momento Linux ya
así sin mucho esfuerzo en un minuto de lo que me tomó hacer esto veo que tiene una fuerte tendencia
hacia Linux podría armar una campaña de phishing en relación a cuestiones de Linux sea con él por ejemplo
y si no también perfil perfilar ciertos gustos tendencias como para darle tema de conversación etcétera.
Toda esta información no es accedida de manera sencilla.
Navegando a través de su perfil podemos ver también las fotos a las que le ha dado like.
Por ejemplo que esto también nos puede permitir conocer su entorno social preferencias gustos.
A raíz de su entorno social nosotros podemos llegar a él también a raíz de analizar los perfiles de
su entorno y seguir obteniendo información además de decir que está prohibido el uso de esta metodología
para espiar a sus parejas para eso no vale para saber a qué foto le ha dado like si le dan a hombres
o mujeres.
Para eso está prohibido este método.
Podemos también ver las fotos a las que comenta por ejemplo de esta manera nosotros podemos verlo si
hacemos clic en una foto que él comentó cuál es otra ventaja de esta metodología no lo filtra de una
manera ordenada.
O sea quizás esta foto nosotros bueno las comentarios no porque te acceder a fotos de terceros por ejemplo
esta persona no es de él pero él comentó entonces yo puedo acceder a esta foto.
Claramente también es pública.
A esto me refiero con la legalidad de esto si esta foto estuviese en privado yo no podría acceder en
un análisis de perfil de investigación.
No vamos a tener una herramienta en la cual nosotros podamos dar siguiente siguiente siguiente y nos
devuelva el resultado que nosotros queremos.
Nosotros tenemos que conocer el abanico de herramientas que encima todos los meses surgen nuevas son
todos los meses estoy actualizando el curso por esta razón y nosotros tenemos que tener la conocer la
herramienta adecuada para un momento determinado o un caso determinado.
No existe la herramienta que hagamos que tenga una interfaz gráfica y que sea siguiente siguiente siguiente
y nos devuelva lo que nosotros queremos no existe.
Por eso les digo en este caso está esta herramienta sirve para determinadas cosas y solo le va a servir
para determinados casos.
Por ejemplo acá debe estar Fidel comentando vamos a darle un segundo a Internet.
Ven ven acá se ve que responde en inglés acá yo tengo otro sobre Fidel y su entorno social por ejemplo
podemos también ver en videos que haya subido donde acá nos seguimos armando un perfil de él justamente
más que claro en relación a RHC Ansible bueno etcétera relacionado con una tendencia más que clara a
cuestiones de tecnología virtualización servidores etcétera.
Bueno vamos a dejarlo a Fidel tranquilo.
De hecho puede haberlo ahora.
Le voy a volver a mandar la solicitud de amistad.
Voy a mandársela antes de mandarle este video porque capaz que este video no quiere hacer más no es
mío y vamos a la silla al siguiente demo que es más interesante todavía en este caso lo voy a mostrar.
A raíz de una herramienta que se llama Kali Linux se tienen conocimientos de seguridad informática.
Es obligación que conozcan esta herramienta.
Les cuento que en el curso enseño justamente cómo instalar esta herramienta y también otra herramienta
que es dedicada a cuestiones de 2000 que es la propia máquina virtual de OSI.
Lo primero que vamos a ver que es interesante como demo es cómo nosotros podemos obtener las direcciones
de correo de un dominio o sea de una página web.
Esto lo vamos a hacer con una herramienta que se llama dejar Wester que es una herramienta propia de
Kali Linux o pensión de hecho dato importante que creo que no lo mencioné en un principio todas las
herramientas de Josín y todo lo que yo enseño en el curso y lo que estoy hablando acá es o pensión o
sea de uso libre y gratuito.
Esta herramienta de vestir sirve para analizar dominios para hallar direcciones de correo y subdominios
en este caso voy a usar un ejemplo de una petrolera de San Antonio internacional puntocom en donde el
comando es bastante sencillo es dejar ver términosde para citar a al dominio menos l 500 para que no
nos devoran más de 500 resultados y menos de Google para que lo busque a través de Google y nada más.
Esta herramienta tiene un montón de opciones de hecho se los voy a mostrar ven acá les explica todo
la cantidad de dominio en Ven acá está lo que yo decía en menos de los buscadores uno puede escribir
algo y lo va a buscar en todos los buscadores para la cuestión práctica lo vamos a usar sólo en Google
porque si no va a estar mucho tiempo y esta herramienta esto es útil claramente y más que obvio para
cuestiones de ingeniería social.
La vulnerabilidad más factible que tiene cualquier empresa justamente son sus empleados por eso siempre
en la seguridad informática se recomienda la constante capacitación.
Ahora como verán esto también se utiliza para marketing pero bueno usar spam a través de emails no siempre
es mejor recibido pero es una opción más acá tenemos las direcciones de correo no sé si Gaber por si
acaso vamos aunque era un poquitito después lo voy a tener que ampliar por las otras herramientas.
Este es el comando acá se puede dar un poco más grande y nos devolvió todas estas direcciones de correo
de correos internos y esto subdominios tanto para hacer pruebas de penetración hallar vulnerabilidades
etcétera.
Esta es una herramienta que justamente enseño en el curso que es muy útil para estas cuestiones se puede
usar obviamente para auditorías en cuestiones de seguridad informática.
La siguiente herramienta que es propia de o 5 es la siguiente mail merfi punto Pí menos jeme y la dirección
de correo que queremos analizar.
Con esto nosotros lo que vamos a lograr es analizar y saber todas las redes sociales y plataformas que
están asociadas a este correo.
Por ejemplo vamos a utilizar a nuestro amigo Fidel otra vez y acá podemos ver que Fidel por teoría sea
conciente o no esta tiene un Dropbox acá volvemos a ver lo que habíamos visto en el análisis de Facebook.
Acá tenemos una coincidencia interesante pero también obviamente podemos también analizar los análisis
de DNS si es que Fidel tiene una página web oye House Ruth.
Por ejemplo que tenga una página web para seguir sacando datos de él.
Se acusa también las explico en el curso.
Y bueno tenemos estas otras redes sociales en este caso a raíz de su propio chisme.
Con esto nosotros podemos hacer muchísimas cosas más.
Ni hablar de perfilarlo y de saber dónde encontrarlo y etcétera.
Luego la otra herramienta interesante que tiene es un punto Happy donde acá entra un poco de teoría
importante.
Por qué wayuus Sofi va a buscar los usuarios que se encuentren en las plataformas.
Y por qué yo estoy usando Fdez balero.
Porque si yo utilizo la parte de adelante del correo desde antes de pasar la arroba antes de la Roja
por lo general la mayoría no todas las páginas web deducen o generan el usuario de forma automática.
Entonces por ingeniería inversa nosotros podemos deducir que es muy probable que nuestro dato de inicio
fue el mail de Fidel.
Podemos deducir podemos probar total y no está cobrando nada que F de balero puede ser factible mente
un usuario que suele usar frecuentemente o lo deduce de manera automática.
A esto me refiero con ingeniería social inversa ya que si f de balero lo utilizó para crear su correo
es muy factible que lo siga utilizando para crear su usuario en otras redes sociales.
La duda que nos vamos a sacar ahora aparte que F de balero muy nombre de dominio vieron cuando las empresas
le genera el usuario o dirección de correo de forma automática se utilizan las dos siglas de su nombre
más o apellido y dado que tiene un perfil muy volcado a servidores y a esa índole de si Sammy es muy
factible que lo haya utilizado conscientemente o no en otros o en otras plataformas.
Así que yo ahora voy a pasar el video como para que ustedes no se queden mirando en la espera del análisis
ya que esta magnífica herramienta lo que hace es analizarlo en 279 plataformas así Oteyza relax.
O sea que va a demorar tiempo y una vez que no me haga la devolución yo vuelvo al vídeo y seguimos charlando.
Bueno acá podemos ver lo que nos devolvió.
Además aclarar que todas estas herramientas nos pueden devolver falsos positivos con falsos positivos
me refiero a herramienta que no sea del todo real o sea verosimil con la realidad.
Pero bueno podemos ver que a raíz de la implementación de ingeniería inversa obtuvimos muchísima información.
Luego hay que ponerse a analizar cuantos esta información es real.
Por ejemplo podemos desde el propio Kali a ver si me lo permite
un segundo
que no importa tenemos un navegador Firefox donde podemos ingresa esto y vemos si efectivamente esto
es real o no. Claramente esto es real.
Acá tenemos un aspecto positivo por así decirlo.
Luego bueno tenemos muchísima información interesante para analizar qué es lo importante tener la capacidad
de llegar a dicha información.
Ahora bien ustedes me pueden preguntar a raíz de ver todas estas cosas cómo podemos tener una imagen
saneada digitalmente hablando cómo podemos cuidarnos de que nuestra información no que publica.
Cómo lograr el anonimato.
Primero a raíz de la capacitación constante a raíz de estar leyendo todo el tiempo sobre cuestiones
de tecnología en relación a de qué manera no quedar publica qué me refiero por ejemplo en Facebook a
las publicaciones no dejar la opción predeterminada de público por ejemplo y para hacer un barrido para
atrás aplicando la metodología que vimos anteriormente para ver el contenido de Facebook aplicárselo
a ustedes mismo aplicando ingeniería inversa digamos pero y y sacarle el AIK eliminando a las fotos
que tienen publica cambiando del Estado dejando lo que ustedes quieren que sea público.
A eso se llama tener una imagen Sania luego para aplicar estas metodologías de investigación es importante
lograr anonimato niño gato se logra actualizando la máquina desde la cual estamos haciendo el análisis.
Utilizar un navegador Tor utilizar una VPN no utilizar los perfiles reales de ustedes ya que la propia
indexación a través de internet hace que por ejemplo si te están investigando un perfil de Facebook
y lo visitan seguido Facebook identifica que hay una amistad entre ustedes dos y luego a esa persona
le sugiere su amistad.
O sea los está mandando al frente que estuvieron en su perfil.
Eso es sumamente peligroso y es importante tenerlo en cuenta.
Así hay muchísimas cosas de hecho por eso yo creé este curso el máster en espionaje digital en donde
hoy enseño esto y muchísimas cosas más.
El curso está muy bien valorizado tiene escasos tres meses y ya lleva 182 curso 182 alumnos donde ya
tenemos el programa donde tenemos una introducción tenemos Jakin en buscadores en los metadatos importante
práctica a los yagregó de ejercicios para también practicar la máquina virtual sin herramientas en Twitter.
Twitter de hecho es un tema que no hemos tocado en esta charla.
Pasa que realmente el tema mucho para hablar y ya llevamos 31 minutos casi 32 herramienta Kali Linux
herramientas extras.
Cómo crear un perfil anonimato y también una bonificación extra.
Yo dejo acá como Vista Previa usted acá puede encontrar muchos cupones para también otros cursos que
yo tengo y mis redes sociales.
Acá hasta acá estoy yo.
La calificación promedio que tengo de Los Saicos o que tengo 79 reseñas 700 477 alumnos en total.
Y bueno espero no olvidarme de nada ha sido un gusto compartir este espacio vuelvo a agradecer a Fidel
por el lugar por darme la oportunidad de hacerle llegar a ustedes el mensaje y permitirme hacerme conocer
a ustedes a través de él yo hace cuatro meses que empecé año de mí así que todas las cuestiones sobre
todo en Youtube de redes sociales recién empiezo.
Así que siempre agradecido por estos espacios se pueden comunicar conmigo a través de diferentes redes
sociales y entran a mi página web o por lo que he charlado en un principio pueden comunicarse conmigo
para lo que necesiten consultas lo que fuere pueden contar conmigo definitivamente así que muchas gracias
y hasta luego.