Investigación de un ataque de Ingeniería Social - Veamos en etapas Hoy veremos la etapa 5 y 6

5. DESCUBRIENDO LA VERDAD

Luego de realizar el proceso anterior, y con los datos ya recolectados, basta realizar nuevamente OSINT para aclarar dicha información e ir entendiendo poco a poco el modus operandi de dicho ataque.

Lo primero que se realiza es una búsqueda en sitios especializados donde se pueda revisar el nombre y estado de la compañía registrada en el dominio.

Luego de este proceso, encontramos lo siguiente:

A.     Los datos:

• Datos de la compañía: Incorporate On: 25 March 2010, 9 años
• Estado de la compañía: DISSOLVED
• Ubicación de la compañía: London

6. ¿EXISTE ALGO MÁS?

Luego de realizar una búsqueda utilice la herramienta Maltego para analizar a profundidad cualquier asociación con respecto al correo y al dominio. De lo anterior pude obtener lo siguiente:

Se puede observar que la información encontrada en internet por medio de OSINT, se expone particularmente en dicha herramienta, pero ¡me causa curiosidad un dato en particular, un correo electrónico que por cierto es bastante particular!

Tengamos en cuenta la descripción del corre, pues este puede brindar información relevante. Así que se procede a realizar la búsqueda de este en internet:

Se procede a revisar el registro de dominios que tengan relación con el dato en mención (correo) para hallar más información relacionada al ataque.

Teniendo en cuenta la información encontrada, se procede a ingresar al dominio seleccionado que contiene una fecha reciente y una terminología peculiar (Dominio similar al Departamento del Tesoro de los Estados Unidos).

Pero indagando en el porqué de la situación del correo, los dominios registrados y por qué la relación con Asia procedí a realizar OSINT de los ex propietarios de la compañía NAVILIVE PRIVATE LIMITED

en esta oportunidad me enfocare en SHAO HUI GONG.

Luego de este proceso, encontramos lo siguiente:

A.     Los datos:

• Cuenta de correo electrónico correlacionada con diferentes dominios-plataformas de vectores de ataque.
• Estado de las compañías asociadas al dominio: DISSOLVED
• Varios dominios utilizados para ataques de Phishing
• Propietarios de la compañía disuelta en correlación con más compañías de Asia que desarrollan actividades de TI.
• Los dos propietarios de la compañía en estado Dissolved, aparecen en los resultados luego del proceso OSINT.
• Dominios online publicados aproximadamente hace 3 meses con la misma estructura que la del ataque.
• Correo electrónico con una sintaxis bastante peculiar, puede usted si desea, desglosar su estructura gramatical.

Dominio con sintaxis similar a la página gubernamental del departamento del Tesoro de los estados unidos.