Cuidado con lo que imprmís en tu lan! (siempre hay alguien espiando)

A modo de regalo de Navidad, hoy quiero contarles algo que llamó mi atención ayer en el trabajo (se termina el año y uno empieza a dispersarse). Estaba capturando tráfico para ver que comandos eran enviados a la impresora, con el fin de "codear" algo en python que me permita imprimir desde la consola (si si, esas cosas locas que se nos cruzan a veces por la cabeza. Cualquier cosa con tal de no trabajar jeje), y entonces me topé con algo interesante...era posible leer en texto plano un archivo word e incluso un mail! Quizás digan, es algo obvio, si ya lo sé, pero cuantos de ustedes se pusieron a pensar en algo así? Que tal si el texto a enviar contiene información sensible? Bueno, ya se imaginan la respuesta...

Nuestra compañera, Konica Minolta (AKA "Matilda")

Esta impresora (también fotocopiadora/scanner), permite que la configuremos asignándole una dirección de red con lo cual se ve como un host mas:

También nos permite asignarle un código de acceso para evitar que cualquier persona pueda sacar copias:

Este mismo código se debe ingresar en las propiedades de impresora para poder imprimir.

Una pequeña prueba

Lo primero que hice fué imprimir un documento en Word desde mi pc  y luego comencé a mirar el tráfico con Wireshark:

Ahí podemos ver una porción del texto enviado.

Una vez hecho esto quise ir mas lejos y probar interceptando el tráfico que enviaba otra pc a la impresora.

Que empiece la acción!

Para comenzar hice un Man In The Middle utilizando Cain , con el fin de capturar el tráfico entre la pc de un compañero y la impresora: 

Envenenamiento ARP con Cain

Esquema del ataque

Luego le pedí a mi compañero que imprima un documento en Word con la frase "Do not read please" y comencé a mirar el tráfico:

Texto plano capturado de un documento Word

Como podemos ver en la imagen el texto se lee perfectamente.

No tengo el código para imprimir :( , no importa, capturo el tráfico y listo! :)

Al realizar la captura incluso pude ver el código que se utiliza para poder imprimir:

Después le pedí que imprima un correo (a esta altura mi compañero ya se estaba enojando un poco) para ver que sucedía:

Podemos ver la cuenta de correo del remitente y del destinatario

Después, lo sorprendí un poco leyendo lo que había en el cuerpo del mail:

Conclusión

Con esto intento mostrar las posibilidades que tiene un atacante una vez obtenido el acceso a un equipo de la organización. Puede encontrar información sensible, usuarios de correos, aplicaciones que se utilizan y muchas cosas mas. Todo lo que se imprima corre riesgo de ser espiado.

A la hora de protegernos de estos ataques (y de otros), una buena práctica sería detectar ataques de Man In The Middle ---> http://mamaquieroserpentester.blogspot.com.ar/2014/11/man-in-middle-y-sus-consecuencias.html

Bueno, eso es todo por ahora, nos vemos en la próxima entrada.

Saludos, buena Navidad para todos y...

@PJL SET= Happy (Christmas) Hacking!