⭐Cyberdefenders – Lespion Lab⭐

Información del Laboratorio

Nivel: Easy
Categoría: Threat Intel
Herramientas: Google Maps, Google Dorks, Google Image Search, TinEye, Sherlock

Escenario

Un cliente nos ha contratado para investigar un incidente de seguridad que comprometió su red y la dejó fuera de línea. Los investigadores forenses digitales han realizado una investigación preliminar que muestra que el ataque se originó desde una única cuenta de usuario, probablemente un insider. Nuestra misión es investigar el incidente, encontrar al infiltrado y descubrir las acciones del ataque.

Archivos Proporcionados

Al descargar y descomprimir el archivo, encontramos:

• Github.txt: Contiene el enlace https://github.com/EMarseille99
• office.jpg: Imagen de un edificio
• WebCam.png: Captura de cámara web

---

Pregunta 1: ¿Qué API key añadió el insider a sus repositorios de GitHub?

Pasos:

1. Accedemos al perfil de GitHub: https://github.com/EMarseille99
2. Observamos que tiene 14 repositorios públicos
3. Revisamos el repositorio Project-Build—Custom-Login-Page
4. Dentro del repositorio, abrimos el archivo Login Page.js
5. En la primera línea del código encontramos la API Key expuesta

 

Respuesta: aJFRaLHjMXvYZgLPwiJkroYLGRkNBW

---

Pregunta 2: ¿Qué contraseña en texto plano añadió el insider a sus repositorios de GitHub?

Pasos:

1. En el mismo archivo Login Page.js, encontramos una contraseña codificada en Base64
2. Localizamos la línea:

<div class="wrap-input100 validate-input" data-validate = "Password is required">

3. La contraseña en Base64 es: UGljYXNzb0JhZ3VldHRlOTk=
4. Utilizamos CyberChef (https://gchq.github.io/CyberChef/) para decodificarla
5. Aplicamos la operación «From Base64»

Respuesta: PicassoBaguette99

 

---

Pregunta 3: ¿Qué herramienta de minería de criptomonedas utilizó el insider?

Pasos:

1. Desde el perfil de GitHub, realizamos una búsqueda con el término «crypto»

   

2. Revisamos todos los repositorios relacionados
3. Encontramos un repositorio llamado XMRIG
4. XMRIG es un conocido software de minería de criptomonedas

   

Respuesta: XMRIG

---

Pregunta 4: ¿En qué sitio web de juegos tenía cuenta el insider?

Pasos:

1. Utilizamos la herramienta Sherlock para buscar el nombre de usuario en múltiples plataformas
2. Ejecutamos el comando:

sherlock EMarseille99 --print-found

3. Obtenemos los siguientes resultados:
   • Envato Forum: https://forums.envato.com/u/EMarseille99
   • GitHub: https://www.github.com/EMarseille99
   • Steam Community (User): https://steamcommunity.com/id/EMarseille99/
   • YouTube: https://www.youtube.com/@EMarseille99

Respuesta: Steam Community

---

Pregunta 5: ¿Cuál es el enlace al perfil de Instagram del insider?

Pasos:

1. Utilizamos Google Dorks para encontrar el perfil
2. Realizamos la búsqueda: site:instagram.com EMarseille99

   

3. Google nos devuelve el perfil de Instagram

Respuesta: https://www.instagram.com/emarseille99/

---

Pregunta 6: ¿Qué país visitó el insider en sus vacaciones?

Pasos:

1. Revisamos las publicaciones de Instagram del usuario
2. Encontramos una publicación con el texto: «Once in a lifetime holiday here, love me some slings x»

   

3. La publicación incluye una imagen característica
4. Realizamos una búsqueda inversa de imágenes con Google Images
5. Los resultados confirman que la ubicación es Singapur

Respuesta: Singapore (Singapur)

---

Pregunta 7: ¿En qué ciudad vive la familia del insider?

Pasos:

1. Continuamos investigando el perfil de Instagram
2. Encontramos una imagen con la descripción: «Nice to meet friends & family Photo 1/2»
3. Esta pista indica que es la ciudad donde vive su familia
4. En la imagen se observa una casa con la bandera de Dubái

Respuesta: Dubai (Dubái)

---

Pregunta 8: Se te proporciona una imagen del edificio donde la empresa tiene una oficina (office.jpg). ¿En qué ciudad se encuentra la empresa?

Pasos:

1. Analizamos la imagen office.jpg cuidadosamente
2. Observamos varios elementos clave:
   • En el fondo hay un centro comercial llamado «Grand Central»
   • Las señales están en inglés
   • Hay un cartel con «Chinese Quarter»
3. Buscamos en Google Maps: «Chinese Quarter»

   

4. Aparecen opciones en París y Birmingham
5. Como toda la señalización está en inglés, descartamos París
6. Buscamos la ruta de «Chinese Quarter» a «Grand Central» en Birmingham

   

7. Confirmamos la vista desde Google Maps Street View
8. La ubicación coincide perfectamente con Birmingham

   

Respuesta: Birmingham

---

Pregunta 9: Con la información proporcionada, nuestra unidad de vigilancia terrestre está vigilando la dirección sospechosa de la persona de interés. Los vieron salir de su apartamento y los siguieron hasta el aeropuerto. Su avión despegó y aterrizó en otro país. Nuestro equipo de inteligencia detectó al objetivo con esta cámara IP (Webcam.png). ¿En qué estado se encuentra esta cámara?

Pasos:

1. Tomamos la imagen WebCam.png
2. En lugar de usar Google Images, decidimos utilizar TinEye para la búsqueda inversa
3. Subimos la imagen a TinEye (https://tineye.com/)
4. TinEye nos devuelve resultados que identifican la ubicación
5. Los metadatos y coincidencias indican que la cámara está ubicada en Indiana

Respuesta: Indiana

---

Conclusiones

Este laboratorio demuestra la importancia de la OSINT (Open Source Intelligence) en las investigaciones de amenazas internas. El insider cometió varios errores de seguridad operacional:

• Expuso credenciales sensibles en repositorios públicos de GitHub
• Utilizó el mismo nombre de usuario en múltiples plataformas
• Compartió información personal y de ubicación en redes sociales
• No ocultó su rastro digital

Lecciones aprendidas:

• Nunca subir credenciales a repositorios públicos
• Utilizar nombres de usuario diferentes para cuentas personales y profesionales
• Ser consciente de la información que se comparte en redes sociales
• Las herramientas OSINT pueden correlacionar fácilmente identidades digitales

Herramientas utilizadas:

• Sherlock: Para encontrar perfiles en múltiples plataformas
• Google Dorks: Para búsquedas avanzadas
• TinEye: Para búsqueda inversa de imágenes
• Google Maps: Para geolocalización
• CyberChef: Para decodificación de datos

---

Este writeup es con fines educativos y de aprendizaje en ciberseguridad.