Hola amigos, bienvenidos a esta clase, la cual va a ser, a mi consideración, sinceramente, bastante
divertida, muy buena.
Por qué?
Porque vamos a practicar.
Vamos a ver cómo podemos detectar con herramientas cuándo podemos llegar a ser infectados por un virus
VARRA, un laboratorio aparte del que estamos utilizando, donde tiene tareas automatizadas para poder
realizar las evaluaciones.
Si no perdamos más tiempo y vamos a ello, vamos a recordar estos tres virus que yo tengo en mi computadora.
En este caso uno es el punto rar, el otro el punto X Y.
En este caso, fíjense que inclusive acá yo le puse la extensión punto Doc.
Este es un famoso virus mamÃs que famoso sí.
La metodología es muy conocida y por eso hay que tener mucho cuidado, porque dentro de los archivos
que se llaman ofimática.
Así que para ponerlo en términos de común entendimiento naturalizados.
Cuando nosotros nos referimos a archivos o herramientas ofimática, etcétera, nos estamos refiriendo
en este caso, por ejemplo, a un Word One Excel.
No estamos refiriendo a herramientas de la cotidianeidad lo más natural que se pueden vienen unas junto
de un mail, sea un PDF, etcétera.
Bueno, partiendo de ese principio, lo justamente este vector de ataque es popular porque justamente
es muy común que todo el mundo lo use hoy.
Que yo te mande a ustedes, a cada uno de ustedes que están del otro lado, les mando un archivo adjunto
de un gor y la probabilidad de que lo vayan a abrir es alta, muy alta.
Entonces, obviamente los ciberdelincuentes lo saben y lo que hacen es a través de un wor.
Colocar un macro que en este caso este Word lo tiene y con el macro pueden ejecutar muchas instrucciones.
Lo importante a tener en cuenta a los macro es cuando nos aparece lo amarillo acá arriba, un mensaje
donde tenemos que habilitar la macro.
Eso ya es lo primero que tienen, que se le tiene que llamar la atención cuando las macro trabajan y
cuando nos atacan a través de este factor.
Uy, perdón.
Este no era uno más abajo.
Me fallan moves el mouse.
No, no mi, no mi pulso, sino el mouse.
Entonces vamos a abrir dos aplicaciones que nos van a tener una máquina virtual ustedes.
Que son sumamente interesantes, que ayudan y sirven a esto que estábamos hablando.
Vamos a darle unos minutos, lo que es justo.
Adry los dos.
Nadie va.
Estas herramientas, fíjense que hoy se reincorporó estas dos herramientas, nos permite que inevitablemente,
a simple vista, insisto, todavía no llegamos a lo más entretenido.
Increíble esta clase, pero estas herramientas como complemento se los dejo porque me interesa que las
conozcan, fuera de que uno a simple vista ve este proceso de El Joost y no sabe que quizás es un proceso
paralelo del sistema o el sistema operativo Windows.
Sobre todo se ejecuta en algunos casos cuando estábamos hablando de actualizaciones o utiliza los registros,
pero está bueno conocer, es mejor saberlo y no necesitarlo.
Necesita menos saberlo porque aparte a ustedes les va a quedar para siempre en este video, en este
curso que han adquirido.
Y es que justamente esta herramienta sirve para ver en detalle los procesos.
Fíjense que inclusive los va registrando por por horario en la medida que pasa el tiempo.
Una muy buena forma de inclusive tener una auditoría el process monitor.
Imagínense lo útil que es al momento de ejecutar un virus, poder analizar que qué archivos nos han
volcado de memoria, que se está ejecutando por atrás.
Así es.
Jorge fue un DLL, un bat, etcétera.
Y luego también tenemos este programa que es el auto run, que justamente lo que nos permite es evaluar
los el.
Para quien no sepa un auto run es ese auto ejecutable que viene adjunto en su momento para los más antiguos
cuando utilizábamos Iris o hoy en día un pendrive en donde vos ingresas dependiendo Butte configurado
el pendrive se está Butt-Head, Vle o no, bueno, etcétera.
El archivo auto run lo que hace es ejecutar algo de manera automática un instalador, un programa,
etcétera.
Bueno, imagínense el festín que se pueden llegar a ser los ciberdelincuentes con un auto run justamente.
Bueno, por eso es la utilidad de este de este programa que les dejo donde vemos que tenemos muchas
pestañas logo en Explorer, dependiendo el uso que le estemos dando, una computadora nos puede servir
o no a una de las pestañas y obtendras y tendrá la información o no al respecto.
Pero vamos a una de las cosas más interesantes y es esta herramienta que están viendo en pantalla se
llama App Any Round.
Esta herramienta que es lo que nos permite es un Johnny Pott.
Es un un escenario en donde nos sirve como escenario de prueba allá virtualizado a través de Internet.
Esto empieza por acá.
En realidad a ustedes cuando creen una cuenta, no van a ver nada de esto.
Crearse la cuenta es totalmente gratuita.
Dependiendo las funciones que ustedes quieran utilizar, se puede convertir en pavoneo.
Lo que yo les voy a mostrar es funciones totalmente gratuitas.
Una vez que ustedes se crean la cuenta, se registran, lo cual, insisto, es gratuito.
Lo que van a hacer es New Task en New Task.
Van a ver que en este caso nos da la opción de diferentes sistemas operativos.
Justamente esto nos permite evaluar en voz representar su sistema operativo en base a lo que estén utilizando.
Y acá en Type Burell 8/9 a file turron lo que tenemos que hacer es justamente el virus que tenemos duda.
En este caso yo voy a ir por él.
Punto Doc que está acá.
Lo elegir y le voy a dar run.
Vamos a ver cómo hace todo el proceso, por más que fíjense que yo ya tengo dos máquinas virtuales.
No importa, se los voy a mostrar y les quiero explicar en detalle qué es lo que va a suceder en este
caso.
Lo que está sucediendo es que está creando una máquina virtual, el escenario, cargando en este caso
el archivo que yo le acabo.
Y fíjense qué va a pasar.
Está abriendo el Word porque era un punto doc.
Efectivamente, lo reconoció perfectamente y nos empieza a dar mucha información, información interesante.
Es más, fíjense como en este caso nos da una orre l de Macross Pasio apunta a Haití, que inclusive
nos dice el país, este caso Italia.
Obviamente sacando fíjense ahora Estados Unidos se haga, parecería China, Japón, etcétera.
Bueno, estaría un poquito preocupado y nos abrió Lugor.
Naturalmente esto sería la experiencia de usuario no 1 desde el front end.
Se llama, o sea, desde lo visual diría bueno, hasta acá todo normal.
No hay nada raro.
Qué problema puede haber?
Bueno, en realidad estamos viendo como todavía esto no terminó, no está en proceso de análisis.
Fíjense que acá dice que está finalizando allá arriba.
Bueno, fíjense, finalizó.
Termino y vamos a ver y entender que es lo que acaba de suceder.
Fíjense que acá no se dice que a través de internet se detectó un ataque y acá lo que hace la herramienta
está esta página web es darnos unos screenshot de diferentes momentos de cuando se estaba cargando el
virus.
Para justamente su a posteriori análisis y fíjense como acá nos da un reporte exhaustivo, detallado,
es no vamos a aprovechar las otras imágenes que yo tengo acá.
Fíjense como acá podemos leer las arregle en cuestión que atrás del macro estaba utilizando, acá pueden
suceder.
Empezó a suceder muchas cosas, pero antes de adelantarnos les voy a seguir mostrando resultados.
Quiero ver cuál fue que obtuvo mejores resultados.
Fíjense que acaba estas pestañas vamos a la que usan recién.
No hay problema.
Tenemos el HTTP, el repuesto, en donde justamente son las peticiones que se hacen a través de internet.
En este caso, denme un segundo.
En este caso
estamos HETA Esto lo podríamos medir también a través de Word Sak, que también lo van a tener acá.
En algún segundo mandaban a tener acá.
Fíjense en la máquina virtual y qué sucede?
Lo que podrían hacer de manera local.
El uerza clone es tan simple como filtrÃ http o https con https suficiente y de última pueden poner
los dos valores.
Y fíjense justamente cómo realiza las peticiones y podríamos medirlo de forma local en la red a través
de whatssap.
Por ejemplo, acá en otra pestaña nos dicen las conexiones que se estaban realizando, cómo se establecieron
y etcétera.
Siempre Kord macro pattie es Macross pasio punto a Haití los DNS puest que taponando a las páginas en
cuestión.
Fíjense qué interesante cómo tenemos la evidencia de cada cosa.
Pero además, también esta herramienta nos permite hacer un análisis no sólo más exhaustivo, sino que
inclusive lo podrían plantear como un servicio.
Por qué?
Porque la información que nos devuelve también es mucho más detallada.
Fíjense que acá, fuera de que ustedes pueden descargar, exportar, exportar, fíjense acá de Peckham,
pueden export descargar la máquina, por así decirlo, inevitablemente por el formato.
Seguramente solo le va a funcionar en esta plataforma, pero también y les permite trasladarlo de esa
manera.
Y lo que les decía el tex export, que en realidad yo ya tengo abierto acá.
Fíjense que nos devuelve en este caso, fíjense que me está diciendo malisimos activity.
O sea que hay una actividad maliciosa, por ende estamos hablando de un malware y nos devuelve mucha
información.
Bueno, Windward se refiere a justamente el Word de Excel y nos da información de esta tíc.
Informes son las capturas si quieren ir viviéndola.
Bueno, uno puede ir presionando la flechita con acá por acá y lo va a poder visualizar los procesos
monitoreando los procesos, bueno, etcétera.
Y acá fíjense como nos muestra los eventos y los cambios o las cosas que va haciendo.
Fíjense la cantidad de información y lo completo que ustedes pueden hacer un informe al respecto.
Fíjense como acá nos sigue dando todo y cuáles son los eventos maliciosos y la IP.
Sea esto y esto ya se lo has mencionado anteriormente porque tiene mucho que ver, pero esto a nivel
forense es sumamente útil para la recopilación de evidencias para poder identificar a al ciber delincuente,
en este caso con el malware.
Me explico.
Por eso es tan importante y tan útil esta convergencia de conocimientos y conocer las cosas.
Por eso siempre es bueno ir vinculando la información en que todo tiene que ver con todo acá y también
usted inclusive brindar un servicio o para su propia protección.
Acá Se Motley que también nos volveríamos información.
Depende.
El Marwat acá nos marca el comportamiento del CPU de la RAM.
Cuando creamos una máquina por primera vez también nos van mostrando esos procesos, pues muchas veces
dependiendo del mal lugar, es justamente el ataque a la RAM, a la CPU o diferentes vectores de ataque.
Bueno amigos, espero que le haya gustado la clase.
Les dejo un abrazo digital.