FBHT - Facebook Hacking Tool - Parte II - Hacking Land

Continuando con la herramienta creada por Gustavo Nicolas Ogawa, FBHT (Facebook Hacking Tool), La cual como regalo de inicio de año 2015, el autor hace una actualización se hace segunda entrega de los estudiantes de la Especialización en Seguridad Informática de la Universidad Autónoma de Occidente.

Antes de continuar con la lectura de este articulo, recomiendo a los que no han instalado o actualizado la herramienta; ver el primero articulo:

FBHT - Facebook Hacking Tool - Parte I

Logout Facebook

Esta herramienta permite envenenar una nota de Facebook con un código malicioso que cierra sesión a las personas que te tengan en la lista de contactos, más específicamente a las personas que puedan ver la nota compartida en la sección de noticias del Facebook.

PRECACUCION: cabe aclarar que este programa sacara sin excepción a los contactos conectados, así que debes tener cuidado con el uso de esta herramienta, en el caso de que las personas que utilizan Facebook desde un Tablet o SmartPhone; se hace necesario su re instalación).

Para hacer esto debemos seguir una serie de simples pasos que mostraremos a continuación.

Lo primero que debemos hacer es iniciar sesión en Facebook con nuestro usuario, después ir a la sección de notas del Facebook.

Al ingresa a la sección de notas, en la esquina superior derecha hay un botón para agregar una nueva nota, damos clic y creamos una nota, su contenido es irrelevante ya que después será modificado por la herramienta FBHT, recuerden dar publicar en la parte de debajo de la nota.

Al publicar la nota Facebook automáticamente asigna un número a esa nota, abrimos la nota y copiamos el número que le fue asignado.

Cuando ya tenemos la nota publicada y el número de la misma podemos proceder a trabajar con el FBHT, para ello utilizamos la opción # 27 del programa, inicialmente se nos va a pedir el email y la contraseña de la persona que creo la nota, después se nos pide el número de nota, si la nota es pública o privada y también si la nota ya está infectada o no, el 0 sería No y el 1 sería Sí.

En nuestro caso como la nota es publica ingresaremos el número 0, y como la nota aun no la hemos infectado ingresaríamos también 0 en esa pregunta.

Después de esto ponemos un nombre cualquiera y publicamos la nota, ahora podemos volver a la sección de notas de Facebook y verificar el contenido de la nota antes publicada, para ello vamos a www.facebook.com/notes y damos clic en el cuadro de la esquina superior derecha que dice editar nota. Ahora la nota se ha modificado y debería verse de esta forma:

Después debemos compartir la nota que ya está infectada, para ello volvemos a el fbht, seleccionamos de nuevo la opción 27 y llenamos los datos básicos, lo único que debe cambiar es que en el parámetro share and existent infected note? En lugar de poner 0, vamos a poner 1 ya que la nota ya está infectada.

Ya en este momento a tus contactos les debe estar saliendo algo como esto:

Creación de cuentas

Una de las funcionalidades de la herramienta FBHT es que se pueden crear cuentas de test users, estas cuentas son una herramienta especial en Facebook y con la herramienta que estamos evaluando podemos crear tantas como queramos. Estas cuentas son invisibles para las cuentas reales de Facebook y su propósito es hacer pruebas de las aplicaciones desarrolladas para Facebook.

Imagine un escenario donde quiere subir su popularidad a través de los "Me Gusta" de Facebook, pues bien; esta utilidad permitirá entre otras funciones, precisamente esto.

Lo primero que debemos tener es una cuenta creada en Facebook, con la sesión iniciada ir a la página https://developers.facebook.com, entrar al menú Apps e inscribir un numero celular al cual te llegara un código de confirmación necesario para poder realizar el proceso.

Después de realizar la inscripción volvemos al menú apps y damos clic en crear nueva app, va a salir una imagen como la siguiente:

En nuestro caso escogimos la opción de crear una aplicación web para Facebook, después de esto le damos un nombre a la app como se muestra en la imagen.

Al crear la aplicación se nos entregara un número que corresponde al ID de la App, este número es necesario para la utilización del FBHT.

Después de obtener el ID de la App podemos ir al FBHT, escoger la opción 1, aquí se nos preguntaran una serie de datos, se deben llenar teniendo en cuenta la cuenta de Facebook con la cual nos hemos inscrito al Facebook Developers, después se nos pedirá el ID de la App que obtuvimos anteriormente y posteriormente nos pedirá el número de test users que queremos crear, como mínimo deben ser 4.

Después de realizar lo anterior podemos comprobar en la sección roles, en la pestaña test users las cuentas que creo el FBHT.

Link previamente Hackeado (YouTube)

Esta capacidad de la herramienta lo hace muy poderoso, es muy simple pero puede causar un gran daño si es utilizada para fines no educativos, por ejemplo puede programar un enlace con PAYLOAD que le de una sesión remota a través de MetaSploit

Básicamente lo que se hace con esta opción es compartir un video de YouTube en las publicaciones de Facebook, pero bajo esta fachada al dar clic en para reproducir el video se realizara una petición a la página que tú quieras inclusive sin que el usuario que está abriendo el video se percate de esto.

Para realizar este proceso solo debes tener una cuenta de Facebook activa y tener instalado el FBHT, para empezar debes loguearte en Facebook, después de esto buscar un video que quieras compartir y copiar su URL y escoger la opción # 7 del FBHT.

Después ingresar el correo electrónico y la contraseña de la cuenta asociada a Facebook, escoger si la publicación va a ser publica, para los amigos de Facebook o solo para el usuario lo cual no tendría sentido pues solo lo podría ver el, después hay que ingresar una descripción del video, la URL del video que deseas publicar y la URL infectada a la cual quieres que se redirija el tráfico. Por último el título del video y el ID que lo encuentras fácilmente en YouTube y por último el comentario de la publicación para el video.

Habiendo realizado lo anterior podemos observar en nuestras publicaciones que el video se ha compartido con éxito, y que cuando un contacto haya hecho clic en el video para verlo, por debajo de esto se realizara una petición al link infectado esta petición sale directamente del subdominio de Facebook “static.ak.facebook.com”, esto lo podemos observar con ayuda de un Sniffer como Wireshark o Fiddler free web debugging.

Mensaje privado Hackeado

El FBHT no solo permite hacer envenenamiento en publicaciones, también lo puede hacer con mensajes privados a algún contacto, es muy similar al anterior punto que investigamos, pero todos sabemos que un mensaje en Facebook es mucho más privado y si te despierta el interés puedes dar clic con mucha más facilidad que en una publicación, además con esta herramienta puedes hacer un ataque dirigido, puedes investigar los gustos de la persona y enviar un video que despierte el interés de la misma para que haga clic en el video del mensaje.

Para realizar esta acción debes escoger la opción 10 del FBHT, ahí te pedirá el email y la contraseña de la cuenta desde la cual quieres atacar, después te pedirá el user ID de la víctima, para hallar este número entras a el perfil de la persona que quieres atacar y en la URL está el ID de ese usuario.

Después de esto se piden datos básicos como el asunto del mensaje, el contenido del mensaje, el titulo para el video que deseas enviar, el resumen del video, después el link del video y a continuación pedirá la URL a la cual quieres que se haga una petición al dar clic para reproducir el video, ya realizado esto se solicita el ID del video que se obtiene fácilmente de YouTube.

Ya con todos los datos los ingresas al FBHT.

Habiendo realizado todo lo anterior le llegara un mensaje a la víctima con el vídeo y los parámetros introducidos en el FBHT, pero al dar clic realizara una petición al link que introdujiste en la parte de evil link, Esta herramienta tiene mucho potencial y debe ser utilizada con mucha precaución.

Con la opción 8 de FBHT, puede hacer pensar a alguien que dará click a un vídeo, pero en realidad le mostrara otro. un claro ejemplo de Hijacking

Sobre Saltando la Privacidad de un Amigo

La opción 13 de FBHT nos permite acceder a la información de un contacto que no nos tiene en su lista de amistades, utilizando el ID o el Usuario de alguien que si pertenece a los nuestros, con esto
podemos obtener la información registrada de aquella persona sobre la cual deseamos obtener los datos restringidos en su perfil,

La opción 14 de FBHT, hace algo parecido a la opción anterior con la diferencia de que crea un archivo de tipo TXT donde se muestra la gráfica de como están relacionadas las amistades

Para terminar y con el fin de ver la potencia de la herramienta FBHT, miremos lo que puede hacer por ejemplo la opción 22 siempre y cuando hubieran instalado el paquete de graficación explicado en la primera entrega de este articulo.

Esta opción crea una carpeta dentro de DUMPS con el nombre de la victima, adentro encontraremos 2 archivos, un TXT con los nombres de los amigos encontrados y un DOT que contiene el grafo, es decir las relaciones entre los amigos encontrados.