Cómo cubrir las pistas y no dejar rastro detrás en el sistema de destino

DISCLAIMER: Honeysec no se hace responsable de cualquier uso que se le pueda dar a las herramientas que aparecen en el siguiente artículo, incluidos ataques a cualquier dispositivo móvil o tablet. Estas herramientas han sido publicadas con propósitos educativos y sin ninguna garantía.

Consultar los archivos de registro es el primer paso que un administrador de sistemas revisará para ver  qué ha ocurrido en su sistema. Cada inicio de sesión sin éxito, inicio de sesión correcto y evento de seguridad se registra en los archivos de registro. Por lo tanto, lo primero que debemos hacer es asegurarnos de que no hay rastro de nuestras actividades maliciosas en esos archivos de registro.

Eliminación de registros de eventos con Metasploit/ Meterpreter

En las versiones más recientes de meterpreter de Metasploit, hay un script llamado clearev para borrar todos los registros de eventos. Este programa entrará en los registros de eventos en un sistema Windows y borrará TODOS los registros. Esto podría parecer un poco sospechoso para el administrador del sistema, pero la mayoría de los administradores del sistema no están vigilantes.

Como mínimo, eliminará nuestra conexión y / o intento de conexión de los archivos de registro. Por supuesto, puede haber otra evidencia dejada detrás tal como registros del router y registros del IDS.

En primer lugar, utilizar Metasploit para comprometer el sistema y obtener una  sesión de meterpreter.

Una vez que obtenemos una sesión de meterpreter en el sistema, escribimos lo siguiente:

• meterpreter > clearev

Como se puede ver en esta captura de pantalla , todos los registros de eventos de Aplicación, Sistema y Seguridad se han borrado de los archivos de registro del objetivo.

Eliminación de registros de sucesos en equipos Linux

En los sistemas Linux, los archivos de registro se almacenan en el directorio /var /log. Podemos abrir y ver ese archivo de texto plano que contiene mensajes de registro abriéndolo con cualquier editor de texto.

• kwrite /var/log/messages

Antes de abandonar el sistema comprometido, abriremos este archivo en nuestro editor de texto favorito, revisaremos y borraremos cuidadosamente  las entradas relacionadas específicamente con nuestra actividad en el equipo comprometido.

Borrado del historial de comandos

Finalmente, antes de abandonar el equipo linux comprometido, queremos asegurarnos de que nuestro historial de comandos se borra. Recordar, que la  shell de bash en la que estamos escribiendo guardará nuestros últimos 500 comandos. Un administrador del sistema podría rastrear todos nuestros comandos y detectar  nuestras actividades en el sistema y potencialmente utilizarlas como evidencia.

Para ver nuestro historial, podemos usar el comando more:

• more ~/.bash_history

El tamaño de nuestro archivo de historial está determinado por la variable de entorno HISTSIZE. Podemos comprobar el tamaño de la variable HISTSIZE escribiendo:

• echo $HISTSIZE

Entonces podríamos ponerlo a cero escribiendo:

• export HISTSIZE=0

Ahora, nuestra shell no almacenará nada de nuestro historial. Recordar, hacer este cambio a cero antes de iniciar el ataque y para que no se almacenen ningún comando, pero si ya han escrito algunos comandos, tendremos que  cerrar sesión y volver a iniciar la sesión para borrar el historial después de establecer el HISTSIZE en cero.

Machacar el archivo del historial

A veces no tendremos tiempo suficiente para borrar el archivo de historial o cambiar la variable HISTSIZE. De prisa, podemos simplemente destruir nuestro archivo del historial escribiendo:

• shred -zu root/.bash_history

Para comprobar si nuestro historial ha sido machacado, podemos ver el archivo de historial escribiendo:

• more /root/.bashhistory

Happy Hacking.