07 · Arsenal red team
El arsenal moderno: HackRF, Rubber Ducky y el hardware de red team
Todo lo de esta mesa cabe en una mochila y cuesta, junto, menos que una laptop de gama media. Son las herramientas con las que se ejecutan hoy las pruebas de intrusión con presencia física.
Todas estas piezas están disponibles comercialmente, y esa es exactamente la razón por la que hay que conocerlas.
HackRF One: escuchar y transmitir en casi todo el espectro
Un radio convencional está construido en silicio para una función: una radio FM demodula FM y nada más. Un SDR hace lo contrario: digitaliza la señal cruda y deja toda la interpretación al software. El HackRF One cubre de 1 MHz a 6 GHz con hasta 20 millones de muestras por segundo, en modo half-duplex —recibe o transmite, no ambos a la vez—.
Ese rango incluye prácticamente todo lo que emite en un edificio corporativo: mandos de portón y garaje, llaveros de automóvil, sensores de alarma inalámbricos, telemetría industrial en 433 y 915 MHz, buscapersonas, GSM, Wi-Fi y Bluetooth. El hallazgo típico en una evaluación es incómodo por lo básico: mandos de código fijo que transmiten siempre la misma trama y pueden grabarse y reproducirse, o sensores de alarma que no autentican al receptor.
El NESDR SMArt que se exhibe en la mesa es un receptor basado en el chip RTL2832U, originalmente fabricado para sintonizadores de televisión digital: en 2012 se descubrió que ese chip podía entregar la señal en crudo, y de un accidente de diseño nació el SDR de 25 dólares que democratizó la radio.
USB Rubber Ducky: el dispositivo que la computadora nunca desconfía
Parece una memoria USB. La computadora no lo ve como una memoria: lo ve como un teclado.
Ese es todo el truco, y es un problema de confianza en el propio estándar USB. El sistema operativo pregunta al dispositivo qué es, y el dispositivo responde. No hay verificación posible. Los sistemas restringen fuertemente el almacenamiento extraíble —bloqueo de ejecución, análisis antivirus, políticas de grupo—, pero ningún sistema operativo desconfía de un teclado: si desconfiara, no podrías escribir la contraseña para desbloquearlo.
El Rubber Ducky de Hak5, comercializado desde 2010, se conecta y “escribe” una secuencia programada a más de mil pulsaciones por minuto: abrir una consola, descargar una carga útil, establecer persistencia y cerrar la ventana. Todo en menos de diez segundos, mientras el usuario está en el baño. La familia de ataques se conoce como HID injection, y su versión más grave —BadUSB, presentada por Karsten Nohl y Jakob Lell en Black Hat 2014— demostró que el firmware de memorias USB comunes puede reprogramarse para hacer lo mismo, sin necesidad de hardware especial.
Bloqueo de nuevos dispositivos HID mientras la sesión está bloqueada, listas blancas por identificador de proveedor y producto, y USBGuard o equivalentes. Existen, funcionan y son incómodas. La mayoría de las organizaciones no las tiene configuradas.
Key Croc y Screen Crab: los implantes que esperan
El Key Croc se instala entre el teclado y la computadora. Es un keylogger, pero con Linux completo adentro: además de registrar pulsaciones, puede reaccionar a patrones. Se le configura una palabra clave —por ejemplo, que el usuario escriba sudo o el nombre de un portal interno— y en ese momento activa una carga útil o comienza a exfiltrar por Wi-Fi. No hay que volver por él.
El Screen Crab es su equivalente en video: se intercala en un cable HDMI, entre la computadora y el monitor o proyector, y captura imágenes o video de lo que se muestra. Lo instalás en la sala de juntas y recibís capturas de cada presentación.
Ambos son intercepciones pasivas en la capa física. Ningún antivirus, EDR o control de aplicaciones los detecta, porque no ejecutan nada en el equipo objetivo. La única defensa real es el control de acceso físico y la inspección periódica de puestos de trabajo: exactamente el control que casi nadie audita.
Bombercat: la credencial de proximidad como texto plano
El problema que expone es estructural. Una enorme cantidad de instalaciones sigue usando tarjetas de 125 kHz tipo EM4100 o HID Prox, diseñadas en los años ochenta y noventa. Esas tarjetas no cifran ni autentican nada: transmiten un número fijo cada vez que se acercan a un lector. Leerlo desde medio metro de distancia y grabarlo en una tarjeta virgen cuesta unos pocos dólares. La credencial que abre el centro de datos es, técnicamente, una contraseña que se grita en voz alta cada vez que se usa y que nunca cambia.
La alternativa existe desde hace años: MIFARE DESFire EV2/EV3, HID Seos o iCLASS SE, todas con autenticación mutua y criptografía real. La migración es cara y por eso se pospone. Es uno de los hallazgos más frecuentes en nuestras evaluaciones de seguridad física.
El buscapersonas: el protocolo que nadie se molestó en cifrar
El beeper negro con pantalla LCD parece la pieza más inofensiva de la vitrina. Es la que peor envejeció.
Los buscapersonas usan POCSAG y FLEX, protocolos de los años ochenta y noventa que transmiten en texto plano, sin ningún tipo de cifrado, por radiodifusión a toda una región. Cualquiera con un receptor de 25 dólares —como el NESDR que está a pocos centímetros en esta misma mesa— y software libre puede leer todos los mensajes de una ciudad en tiempo real.
Y siguen en uso. Hospitales, servicios de emergencia e infraestructura industrial mantienen redes de buscapersonas porque la cobertura es excelente, el consumo mínimo y el equipo funciona cuando la red celular está saturada o caída. Investigaciones publicadas en Canadá y Europa han demostrado repetidamente la interceptación de información médica de pacientes —nombre, diagnóstico, número de habitación— simplemente escuchando. Es el recordatorio más claro de esta vitrina: la tecnología obsoleta no desaparece, se vuelve invisible, y lo invisible no se audita.
Una nota sobre por qué esto se vende abiertamente
Todo lo que hay en esta vitrina se compra por internet con tarjeta de crédito. Esa disponibilidad genera una pregunta legítima, y la respuesta es la misma que en el resto de la seguridad: quien tiene intención criminal y presupuesto ya los tiene. Prohibir su venta no le quitaría el HackRF a un atacante con recursos; se lo quitaría al equipo de seguridad que necesita demostrarle a su dirección que el sistema de acceso del edificio se clona en veinte segundos.
La diferencia entre una prueba de intrusión y un delito no está en el equipo. Está en el alcance escrito, la autorización firmada por quien tiene autoridad para darla, las reglas de enfrentamiento y el informe que se entrega al final. La herramienta es idéntica; el marco legal y ético es lo que cambia todo.
