Ataque TCP Session Hijacking ¿Qué es, cómo funciona y cómo protegernos del ataque de secuestro de sesión?

Una amenaza de seguridad importante que existe en la actualidad es el secuestro de sesión informática. Consiste en interceptar el flujo de datos para extraer información de la víctima y usarla en beneficio de un intruso.

Es difícil darse cuenta si una persona está siendo atacada por medio de esta modalidad. Esto se debe a que el software que se instala en el ordenador es pequeño e imperceptible.

Si quieres conocer cuáles son los síntomas de esta actividad los podrás leer a continuación. También hablaremos de los métodos que se usan y los ataques más conocidos de los últimos años.

¿Qué es un “secuestro de sesión” y cómo funciona en informática?

El secuestro de sesión, también conocido como “session hijacking”, es una técnica que utilizan los hackers para adueñarse, de manera sutil, de datos e información confidencial de una persona. Estos pueden ser cookies, conexión por IP, páginas webs, sesión en un módem, tema de discusión en un foro y también la navegación en Internet.

De esta manera el intruso secuestra los elementos que desea para obtener un beneficio propio. Logra, entre otras cosas, establecer comandos no deseados por el usuario, realizar un ataque de negación de servicios o DDOS o también introducir publicidades de modo pop ups cuando la persona está navegando.

Síntomas del secuestro de sesión ¿Cómo saber si soy víctima de uno?

Una de las características principales que tiene el secuestro de sesión es que el programa que se instala en el dispositivo es muy pequeño, por lo que no es fácil detectarlo. Para saber si estás en presencia de un ataque de hijacking tendrás que conocer algunos comportamientos anormales en tu ordenador. Por ejemplo, cada vez que navegas en Internet la página de inicio se sobrescribe de forma automática y te conduce a una dirección URL para que realices una compra o vuelques tus datos privados.

Otra forma de saber es cuando realizas una búsqueda y los resultados no condicen con los que deberían ser los correctos. Si tienes que cerrar ventanas publicitarias de modo popups de forma permanente, es una señal que puedes tener un secuestro de sesión. También te darás cuenta de que estás siendo víctima de esta situación si no puedes acceder a plataformas en las cuales estabas registrado, en especial en tiendas ecommerce y sitios bancarios.

En cuanto a las redes sociales, es muy común que el hacker haya secuestrado tu ID cuando envía mensajes a tus contactos como si lo hicieras tú. De esta manera, te darás cuenta de forma rápida que estás haciendo víctima de un secuestro de sesión. Si tienes una página web y no puedes acceder al servidor como lo haces de forma habitual, piensa que alguien pudo haber realizado un hijacking session.

¿Cuáles son los métodos utilizados para realizar un session hijacking?

Se conocen en la actualidad cuatro métodos para realizar un “session hijacking”. Siendo el más común cuando el atacante envía un link, por medio de un correo electrónico, para que la víctima pulse sobre el mismo y así el hacker pueda tener acceso al ordenador. Otro método es la técnica llamada “man in the middle”. En la cual el intruso intercepta un tráfico de datos para secuestrar cookies de sesión.

Esto genera que en aquellos sitios en donde no existe una encriptación en los contenidos, luego de haber ingresado la contraseña la víctima, el atacante puede hacerse pasar por el usuario para obtener una nueva clave de acceso. La secuencia de comandos en páginas webs cruzadas, o “cross site scripting” es el tercer método. Esta técnica la usan los atacantes para poder ejecutar un código informático en el ordenador de la víctima.

Esto trae como consecuencia obtener toda clase de información para llevar a cabo operaciones malintencionadas. Por último, se encuentra el método de secuestro por medio de malware. Estos son un conjunto de programas que se usan con diversos fines para espiar, de forma silenciosa, las actividades del usuario. También permiten incorporar códigos para robar cookies de sesión para que el atacante pueda obtener las claves de acceso de sitios financieros y privados.

Lista de los ataques de secuestro de sesión más conocidos de los últimos años

Te mostraremos a continuación una lista con los ataques de secuestro de sesión que ocurrieron en los últimos años y que tomaron interés público:

Firesheep

Se llevó a cabo a finales del año 2010 mediante la extensión “Firesheep” para el navegador Firefox. Este programa permitía que los atacantes pudieran secuestrar la sesión cuando el usuario se conectaba a redes de WiFi públicas.

Esto generó una gran revolución de seguridad. Redes sociales como Twitter o Facebook que tenían preferencias establecidas con anterioridad por el usuario, no generaban oposición para que se secuestren las cookies de acceso a la información privada. Por lo tanto, la víctima que usó las redes públicas de WiFi era amenazada de forma frecuente hasta que se establecieron protocolos HTTPS dichas redes.

Sniffer de WhatsApp

La tienda de aplicaciones de Google subió en mayo de 2012 la herramienta WhatsApp Sniffer. La cual estaba disponible para todos los móviles con sistema operativo Android y su diseño permitía acceder a los mensajes de otras cuentas de la mensajería instantánea de aquellos usuarios que estaban conectados a la misma red de WiFi. Para solucionar este problema WhatsApp tuvo que cambiar su infraestructura de protocolo abierto y basado en XML por texto plano.

DroidSheep

DroidSheep también estuvo presente en Google Play Store. Es una aplicación que se dedica a intervenir la comunicación cuando existen protocolos no seguros de navegación, o sea los HTTP. Esta herramienta permitió secuestrar las cookies de inicio en aquellas redes de WiFi abiertas, con encriptación WEP y WPA2 (PSK). De esta manera el atacante podría acceder de forma remota a dispositivos conectados en la misma red para obtener las cookies de sesión y así conocer todos los datos confidenciales de la víctima.

Cookie Cadger

Esta aplicación logró que se fugara información privada de sitios en los cuales se realizaban transacciones comerciales y financieras por medio de apps que usaban protocolos HTTP GET inseguros. Se ejecutaban los comandos sin importar si la red era inalámbrica o por cable.

Su sistema de trabajo es realizar peticiones reiteradas al navegador para atacar sitios inseguros HTTP GET. De esta manera, cuando el usuario ingresa sus datos personales, el atacante puede secuestrar la cookie de inicio de sesión para realizar las actividades que desee.