Auditoría de leaks usando hunter.io, EO-ripper y Cr3dOv3r

Mañana justamente hablaré en la Sec/Admin de 2018 sobre esto. He actualizado mi charla, ahora se llama “OSINT, OSANT, cada día te quiero más… 1.2”. La idea es exponer un tipo de auditoría que hemos estado trabajando durante un tiempo y me gustaría enseñarla. Una de las fases de una auditoría OSINT y NO-SINT* (abajo más info sobre el concepto), que es más completa y tiene más procesos; es analizar si una empresa puede ser comprometida porque algún trabajador aparezca en algún leak, con su clave, se haya registrado en varias plataformas web y no haya cambiado la contraseña. Un esquema sería el siguiente:

1- Crear una lista de emails

Usaremos la aplicación web hunter.io. Deberemos registrarnos para poder ver los resultados al completo. Para obtener todos los datos tendremos que pagar, sin embargo si dispones de tiempo. Es posible hacer el scroll varias veces, tener paciencia, ir a “inspeccionar elemento” y en la consola de JS scrapear para obtener todos los divs que contienen los emails.

Quizás luego tengas que ordenar la lista para que cada email esté en una linea. Para ello, recomiento reemplazar el dominio y añadir al final “\n”.

PD: esto es un método pero se deberán usar más para tener el listado más completo posible.

2- Email OSINT Ripper

Ya disponemos de una lista de los trabajadores de una empresa. Ahora ejecutaremos EO-ripper y veremos que información encuentra de cada uno de los emails ¿Qué hará?

• Verificar si el emails existe
• Verificar si existe cuentas asociadas a ese email en: Netflix, LinkedIn, WordPress, Tumblr, etc
• Comprobar si el email se encuentra en algún leak a través de la API de hesidohackeado.com (OFF)
• Buscar el email en Pastebin
• Dorks con DuckDuckGo para buscar redes sociales

Parece que varias cuentas aparecen en diferentes leaks donde podremos encontrar sus contraseñas.

3- Buscando los leaks

Para buscar los leaks podemos usar la aplicación Cr3dOv3r. Su uso es mu fácil:

-$python3 cr3dOv3r.py {email}

4- Buscando plataformas webs con las credenciales

En el año 2015 desarrolle una pequeña aplicación en python llamada SocialPass. Sin embargo, la web ya no existe pero tirando de archive he recuperé los artículos.

¿Qué hacía SocialPass? Basicamente comprobar en una lista de más de 15 redes sociales y páginas webs si las credenciales que nosotros le dabamos permitia hacer login.

Pero Cr3dOv3r es una aplicación muy potente que no solo nos dirá los leaks, sino también, la misma funcionalidad de SocialPass.

5- Informe

Por último, tenemos que hacer un entregable para el cliente. ¿Por qué es útil este tipo de auditoría? Debemos de recordar que es parte de una auditoría OSINT más completa. No obstante, si los empleados o directiva de una empresa tienen emails que pueden ser comprometidos, la provabilidad de una intrusión es muy grande, y la empresa estará en peligro.

---

• NO-SINT: lo contrario al OSINT. Obtener información y crear inteligencia con datos no abiertos.