Forense (XVIII): Solución Reto 10 CyberOlympics 2017

En esta entrada la solución a uno de los retos de "Forense" de la edición de 2017 de CyberOlympics, competición en modalidad 'on-line', estilo 'Capture the Flag' y formato 'Jeopardy', dirigida a centros educativos y organizada por el Instituto Nacional de Ciberseguridad (INCIBE) en el marco de la actividad llamada CyberCamp.

Este desafío, en mi opinión, presenta un nivel de dificultad medio (★★★☆☆).

Enunciado: Se ha detenido un sospechoso de haberse infiltrado en una gran empresa en España, desde la que ha estado enviando un código a un asociado para informar sobre ciertas acciones previamente establecidas. Se necesita encontrar indicios de la supuesta clave que ha enviado.

Hemos obtenido una captura de tráfico de su ordenador. Analízala para ver si existe algún tipo de mensaje o palabra clave que haya intentado ocultar con especial cuidado.

Introduce el mensaje oculto en mayúsculas.

Recursos asociados al reto: archivo 10_CapturasDeOtraEpoca.pcap.

Solución: abro con 'Wireshark' el archivo asociado al reto y veo que se trata de una captura de tráfico con gran variedad de protocolos implicados.

Dentro de éstos veo el protocolo SMTP (protocolo para transferencia simple de correo. En inglés, 'Simple Mail Transfer Protocol') y los mensaje de correo electrónico pueden ser la vía por la que el sospechoso habría enviado el mensaje o palabra clave a su asociado:

Por tanto, lo primero que hago es filtrar los paquetes de la captura para ver sólo aquellos con contenido relacionados con el citado protocolo ('smtp.data.fragment'):

Y veo que hay siete mensajes de correo electrónico enviados desde una misma cuenta (no se ve en la figura anterior, pero en cinco de ellos hay sendos ficheros de imagen adjuntos).

Analizando esos paquetes se ve que todos ellos van dirigidos a una misma dirección de correo electrónico y, por tanto, aquella que podría corresponderse con la de la persona que sería su asociado, y además que:

En el primer mensaje de correo electrónico (asunto: Re: Hola), el sospechoso le dice a su asociado: "..., durante los próximos fines de semana iré visitando restos arqueológicos de cada una de las divisiones administrativas que llevó a cabo Diocleciano durante la época romana, aunque, en esa época, la innovación más importante que hizo fue la creación de las llamadas diócesis. Ya sabes que soy un fanático de la historia romana. Te mandaré un correo con distintas fotos de lo más destacado de cada una, contándote un poco su historia, pero no te olvides de apreciar la maravilla de los monumentos...".

En el segundo mensaje de correo electrónico (asunto: GALLAECIA), el sospechoso le dice a su asociado: "... Este fin de semana he ido a A Coruña, donde lo que más me llamó la atención fue el Faro Romano Torre de Hércules. Es el faro romano más antiguo del mundo que continúa en funcionamiento. Con origen en el siglo II, su función del pasado era el de faro de vigilancia y orientación de los marinos...".

Y hay un fichero de imagen 'jpg' adjunto que viaja codificado en base64:

Para extraer este fichero: selecciono y copio todo el código base64 de la imagen, y utilizo la herramienta 'online' 'Cyberchef' para ver y grabar la imagen:

Repito lo mismo para el resto de mensajes de correo electrónico (con asunto: TARRACONENSIS, LUSITANIA, CARTAGINENSIS, BAETICA y Fwd: BAETICA, respectivamente, y en cuyos textos se comentan las visitas realizadas a las respectivas zonas):

Y fijándome bien en las imágenes extraídas veo que en todas ellas hay una marca de agua, y que juntando todas ellas, como en un puzle de cinco piezas, se vería una palabra que podría ser la clave que el sospechoso le ha enviado a su asociado:

Para verlo mejor, resalto en color rojo la marca de agua resultante de juntar las cinco imágenes:

Por tanto, la solución a este reto es: HISPANIA.

Y para finalizar y como me gusta la historia, me quedo con la curiosidad: ¿Cuáles fueron las divisiones administrativas que Diocleciano estableció para Hispania?

Por lo que, además, me queda claro que al referirse a esto, el sospechoso le estaba mandando a su asociado el orden en el que tenía que juntar las imágenes para ver la clave:

Y ya he aprendido una cosa más :)