Creación de un sistema de títeres eficaz para las
investigaciones OSINT:
Introducción y filosofía
En vista del fracaso épico de
Surefire Intelligence al intentar incriminar a Robert Mueller por acusaciones
de agresión sexual, creo que es importante analizar y analizar cómo fabricar
un buen títere para las operaciones de OSINT. Si no está familiarizado con
el asunto, busque en Google Jacob Wohl o Surefire Intelligence y probablemente
se verá inundado de información sobre el escándalo. Para obtener más detalles
sobre el desenlace de los calcetines que fabricó Wohl, consulte la amenaza de
Aric Toler en Twitter @arictoler de Bellingcat .
Ahora, sin más preámbulos,
comencemos a construir un títere de calcetín para investigaciones OSINT. Para
empezar, quiero definir correctamente qué es un títere
de calcetín y qué no es. Internet (ya escéptico) define un títere de
calcetín como "una identidad en línea utilizada con fines de
engaño". Esto claramente se refiere al títere de calcetín
tradicional, con un "maestro de títeres" desconocido. Sin embargo, me
gustaría agregar un poco de claridad a esa definición. Los títeres de calcetín
no son exclusivos de las operaciones de engaño, también se pueden usar para
la privacidad y la OPSEC para un investigador, periodista, evaluador de
penetración, etc. La OPSEC en línea no solo protege al investigador, sino que
también protege al objetivo en el caso de que la evidencia proporcionada no
lleve a ninguna parte. Entonces, ¿cómo
se hace un títere de calcetín que no lo avergüence como a Jacob Wohl y Surefire
Intelligence?
Lo primero que tienes que hacer
es definir claramente tu intención. Puedes elegir crear una persona falsa o puedes
crear un avatar que sea claramente falso con la excusa enmascarada
de OPSEC como su origen. Déjame explicarte. Digamos que eliges la opción 1.
Quieres crear un títere de calcetín llamado "Eugene Shoemaker".
Eugene Shoemaker no existe. Por lo tanto, tienes que crear una identidad
completa en torno a Gene para que la cuenta parezca auténtica.
Esto lleva mucho tiempo, es muy difícil y tiene una mayor probabilidad de
fracaso. Además, si se descubre este calcetín, todo tu trabajo debe eliminarse
y debes comenzar de nuevo. Si puedes lograrlo, esta es la forma más efectiva de
operar. Pero no todos son pacientes. Es por eso que existe la opción 2.
La opción
2 es crear un avatar que se centre en una idea en lugar de en una
identidad única. Algunos ejemplos de esto son @ShakiraSecurity en Twitter o @DutchOSINTGuy. Todos saben que Shakira no está involucrada
en la comunidad de seguridad de la información. También saben que esa cuenta no
es Shakira. Pero esa cuenta sigue siendo una fuente confiable en Twitter cuando
se trata de OSINT y conversaciones de seguridad de la información. Esa cuenta
tiene más de 500 seguidores. Esa cuenta tiene una función y ha generado
confianza. Esa cuenta fue más fácil de crear que una pizarra en blanco.
Para ambas opciones se recomienda
crear contenido, agregar medios (fotos, videos), interactuar con otros en línea
de manera auténtica, crear múltiples perfiles sociales, convencer a otros para
que respondan por usted, tener un número de teléfono, IP única, dirección de
correo electrónico, etc. Pero más sobre eso más adelante.
Pero basta de teoría y filosofía.
Ambas opciones son viables y, una vez más, depende
de tu intención y del alcance de tu proyecto. Si tienes una
operación a gran escala, puedes crear una comunidad de títeres que interactúen con otros
y entre sí para crear influencia que les permita ejercer
influencia. Veamos los detalles sobre cómo configurar esto.
La configuración
Dependiendo de a quién le
preguntes, hay una lista interminable de cosas que puedes hacer para mantener el
anonimato mientras llevas a cabo investigaciones en línea. Puedes ir
más allá y lanzarte por la madriguera de Michael Bazzell, o puedes prestar un
poco menos de atención a los detalles y aun así hacerlo bien. Si te interesa un
sistema casi a prueba de todo, consulta su libro Hiding from the Internet
(Esconderse de Internet).
Esconderse de Internet: eliminar información personal en
línea Tapa blanda – 6 Julio 2014
El autor Michael Bazzell ha sido muy conocido en los círculos
gubernamentales por su capacidad para localizar información personal sobre
cualquier persona a través de Internet. En Hiding from the Internet:
Eliminating Personal Online Information, expone los recursos que transmiten sus
datos personales a la vista del público. Ha investigado cada fuente e
identificado el mejor método para eliminar sus datos privados de las bases de
datos que almacenan perfiles sobre todos nosotros.
Este libro servirá como guía de referencia para cualquier persona que valore la
privacidad. Cada técnica se explica en pasos simples. Está escrito en un estilo
práctico que anima al lector a ejecutar los tutoriales a medida que avanzan. El
autor proporciona experiencias personales de su viaje para desaparecer de la
vista del público.
Gran parte del contenido de este libro nunca se ha discutido en ninguna
publicación. Siempre pensando como un hacker, el autor ha identificado nuevas
formas de obligar a las empresas a eliminarlo de sus sistemas de recopilación
de datos. Este libro expone lagunas que crean oportunidades únicas para quienes
buscan la privacidad.
Aquí
tienes la regla 80/20
sobre lo que necesitas para empezar.
a)
Una
computadora dedicada que solo se utiliza para investigaciones.
b)
Correo
electrónico cifrado: utilice Proton Mail
c)
Un
número de teléfono quemador (caro) o un número de teléfono wifi (barato o
gratuito)
d)
Un
perfil de redes sociales donde tu público objetivo sea más activo (elige la
opción 1 o 2)
e)
Un
par de máquinas virtuales diferentes
f)
Un
blog o sitio web (puedes usar un blog gratuito como WordPress, Blogger o
Medium)
g)
Una VPN (de todas formas,
probablemente deberías tener una)
Esto es solo el comienzo, pero te
ayudará al menos a empezar. Tendrás que personalizar tu avatar a medida que
avanzas para mantener o aumentar la credibilidad.
Computadora dedicada
Es absolutamente necesario contar
con un ordenador dedicado. No querrás que nada de lo que hagas con tu avatar se
vincule de algún modo con tu cuenta personal real. Esto no solo revelará que tu títere
es en realidad un títere, sino que puede vincular tu identidad real con él (ver el
error de Surefire Intelligence). Puedes utilizar algo tan sencillo como una
Raspberry Pi o un portátil barato. Si utilizas otras herramientas que comentaré
a continuación, tu ordenador dedicado no debería poder vincularse a otro
ordenador de tu red.
Correo electrónico cifrado
En general, esta es una práctica
recomendada en la comunidad de OSINT y de seguridad de la información. Si bien
puede resultar tentador utilizar Gmail debido a la gran cantidad de
herramientas gratuitas que ofrece y su integración perfecta, no lo haga. Google lo está
rastreando. Incluso si proporciona información falsa, sabrán que es usted en
algún momento. Proton Mail es
una marca reconocida en la industria del correo electrónico cifrado.
Hay otras opciones, pero yo elegiría Proton Mail si no ha experimentado con
ellas antes. La interfaz de usuario es fácil de entender y no requiere
ninguna configuración avanzada.
Número de teléfono
Si puedes, intenta conseguir un
plan de telefonía muy barato que esté dedicado a tu avatar. Los planes baratos
como Mint te proporcionarán lo más básico
por casi un dígito al mes (movistar prepago). Si no quieres escatimar dinero, considera la
posibilidad de obtener un número de teléfono basado en wifi en un sitio web que
no recicle números de teléfono todos los meses. Google Voice es una buena opción. Ten en cuenta
que muchos de estos sitios web solicitan tu número de teléfono principal
(Google) al registrarte. Si te preocupa mucho la privacidad, busca uno que no
lo haga.
VPN
Es importante enmascarar tu IP cuando
haces una investigación OSINT en línea. La mejor manera de hacerlo
es usar
una VPN. La VPN número uno cambia con frecuencia, por lo que,
según cuándo leas esto, podría ser diferente. He usado ProtonVPN, Windscribe, NordVPN y
Private Internet Access. Elige una que valore tu privacidad y tenga una
interfaz de usuario que sea fácil para ti. Asegúrate de obtener una VPN que
cambie constantemente tu IP para que no establezcas un patrón durante los
inicios de sesión o durante la interacción.
Perfiles de redes sociales
Ahora que tienes una computadora
dedicada, un correo electrónico encriptado, un número de teléfono y una VPN.
Puedes usar toda tu información (correo electrónico, número de teléfono) para
crear los perfiles de redes sociales que elijas. Dado que estás empezando
desde cero, es importante que comiences a interactuar de manera orgánica.
Esto podría incluir seguir a personas, publicar enlaces, hacer actualizaciones
de estado, interactuar con personas del mismo nicho que tu objetivo,
etc. Este proceso llevará mucho tiempo si lo haces bien. Si eres realmente
hábil, tu objetivo vendrá a ti. Te recomiendo crear varios avatares con
varios correos electrónicos y números de teléfono para disminuir el riesgo y
utilizarlos de diferentes maneras. Más sobre esto más adelante.
Máquinas virtuales
Las máquinas virtuales son
una excelente manera de crear una capa adicional de privacidad.
También puedes usarlas para herramientas específicas en tu investigación OSINT.
Te recomiendo comenzar con Buscador, ya que ofrece una amplia variedad de
herramientas OSINT. También puedes experimentar con máquinas virtuales de
Windows para acceder a herramientas como FOCA y otras herramientas específicas
de Windows. Experimenta con emuladores de Android para aprovechar las
aplicaciones móviles. Nox es
un excelente emulador para comenzar.
Blog
Si quieres profundizar un poco
más en tu avatar, crea un blog gratuito en WordPress, Medium o Blogger y
vincúlalo con tu perfil en las redes sociales. Genera contenido tanto en las
redes sociales como en tu blog para aumentar la credibilidad. Después de un
período de desarrollo, tendrás un personaje complejo, creíble y valioso.
Extensiones de Chrome
Parte de permanecer anónimo en la
web es bloquear todas las formas de seguimiento. Las dos extensiones que
recomiendo son AdBlock y Disconnect Me. Estas evitarán que los anuncios lo rastreen, así como todas las
solicitudes de extracción de los sitios de redes sociales.
Combinadas con una VPN, debería tener lo que necesita para buscar de forma
segura.
Prima
Una vez que haya desarrollado
todo lo anterior, es posible que desee verificarse en Keybase y
participar en otras oportunidades como los canales de Slack o Rocket Chats.
Esto le brindará la oportunidad de abrir un diálogo con su objetivo o asociados
en un entorno separado de las redes sociales.
Cosas a tener en cuenta
Es importante recordar que debes
tener mucho cuidado antes de utilizar tu títere de calcetín. Si lo utilizas
demasiado pronto, perderás credibilidad ante tu objetivo o tus asociados y es
posible que no te recuperes. Recomiendo establecer objetivos como una determinada cantidad de
tweets, seguidores, publicaciones en el blog o meses, etc. antes
de crear un plan para usarlo. Dicho esto, la intención de tu títere de calcetín
debe estar dictada por la influencia que crea de forma orgánica. No guíes a tu
títere de calcetín en una dirección poco natural. Deja que crezca de forma
orgánica e impleméntalo en la dirección en la que se desarrolle por sí solo.
Por eso es importante tener varias cuentas.
Otra cosa a tener en cuenta es la
lingüística forense. Intenta que el contenido que crees en tu cuenta
de títere de calcetín sea lo más exclusivo posible (o al menos diferente de tu
cuenta personal). Dicho esto, siempre que no
estés haciendo nada increíblemente controvertido, la gente no cuestionará tus
motivos ni investigará tu identidad de todos modos. Recopila
constantemente OSINT en tu títere de calcetín y aplica ingeniería
inversa a tu propia creación. Haz que un amigo o colega le eche un
vistazo y vea si puede encontrar una forma de entrar. Haz todo esto antes de
implementar el calcetín.
Algunos de los errores que
cometió Wohl fueron utilizar imágenes de archivo que se podían rastrear
fácilmente mediante una búsqueda de imágenes, no
utilizar la protección Whois durante el registro de dominios, utilizar
sus calcetines demasiado pronto y no recopilar OSINT ni investigarse a sí mismo
antes de la implementación. Lea el artículo de Aric Toler sobre esto para
conocer las lecciones aprendidas.
Crear un sistema de títeres (sock puppets)
eficaz para investigaciones OSINT (Open Source Intelligence) requiere una planificación
cuidadosa y el uso de varias herramientas y técnicas.
Aquí tienen algunos pasos y
recomendaciones para hacerlo:
1. Planificación y Objetivos
Define claramente los objetivos
de tu investigación. ¿Qué información necesitas
obtener y por qué? Esto te ayudará a diseñar perfiles de títeres que
sean creíbles y efectivos.
2. Creación de Identidades
Falsas
ü Generadores
de Identidades: Utiliza herramientas como Fake Name Generator para
crear identidades completas con nombres, direcciones, números de teléfono, etc.
ü Fotos
Realistas: Usa servicios como This Person Does Not Exist para
obtener fotos de personas que no existen.
3. Configuración de Perfiles
ü Redes
Sociales: Crea perfiles en varias plataformas de redes sociales (Facebook,
Twitter, LinkedIn, etc.) utilizando las identidades generadas. Asegúrate de
que los perfiles sean consistentes y tengan actividad para parecer auténticos.
ü Correo
Electrónico: Configura cuentas de correo electrónico para cada títere.
Servicios como ProtonMail pueden ofrecer mayor privacidad.
4. Herramientas de OSINT
ü Reconocimiento:
Utiliza herramientas como theHarvester para recopilar información sobre
tus objetivos.
ü Análisis
de Redes Sociales: Herramientas como Maltego pueden ayudarte a
mapear conexiones y relaciones en redes sociales.
5. Mantenimiento y Actividad
ü Interacción
Regular: Mantén los perfiles activos interactuando regularmente con otros
usuarios y publicando contenido relevante.
ü Diversificación:
No uses los mismos perfiles para todas las investigaciones. Crea varios títeres
con diferentes personalidades y antecedentes.
6. Seguridad y Anonimato
ü VPN
y Proxies: Utiliza VPNs y proxies para ocultar tu ubicación
real y evitar ser rastreado.
ü Navegadores
Seguros: Navega utilizando navegadores seguros como Tor para
mantener el anonimato.
7. Documentación y Seguimiento
ü Registro
de Actividades: Lleva un registro detallado de las actividades de cada
títere para evitar inconsistencias y mantener la coherencia en tus
investigaciones.
Implementar estas prácticas le
permitirá crear un sistema de títeres eficaz y seguro para sus investigaciones
OSINT.
1. OSINT:
Definición, Aplicaciones y Herramientas | Ciberso - MTP
2. ¿Qué
es OSINT (Inteligencia de código abierto)? | IBM
3. OSINT
Open Source Intelligence o Inteligencia de Fuentes Abiertas
4. Técnicas
y herramientas OSINT para la investigación en Internet
5. ¿Qué
Es OSINT? Guía Básica Para Entender Inteligencia De Fuentes ...
Verificación
de límites de entrada: Validar el tamaño de los datos que se ingresan.
