Análisis forense de la herramienta de tunelado de puertos Ngrok

Abstract

Las herramientas de tunelado, como Ngrok, permiten publicar a Internet puertos de interés camuflados en protocolos frecuentes y habitualmente permitidos en infraestructuras corporativas. Usando servidores proxy se evita realizar acciones en sistemas de red perimetrales y configuraciones adicionales en equipos finales. Esta funcionalidad es aprovechada porThreat Actors de ransomware para usar protocolos de control remoto, comoRDP, o protocolos de exfiltración, como FTP, en sus ataques, evadiendo las políticas de seguridad de red. En este artículo se realiza una investigación de los rastros que esta técnica evasiva deja en los equipos a fin de mejorar el análisis forense de incidentes de ransomware, proponiendo mecanismos de identificación y subrayando los artefactos útiles para su análisis