Saltar al contenido principal

Lab 2.3: Boot Alternativos y Ataques de Acceso Físico

Objetivos de Aprendizaje​

Al finalizar este laboratorio, usted será capaz de:

  • Bootear desde diferentes medios (USB, ISO)
  • Acceder a los archivos de un sistema Windows sin contraseña
  • Comprender los ataques Evil Maid
  • Configurar Secure Boot y protección de firmware
  • Evaluar la importancia del cifrado de disco

Duración Estimada​

35 minutos

Prerrequisitos​

  • VM Windows 10/11 funcional
  • ISO de recuperación de Windows o Hiren's Boot CD
  • Comprensión del Lab 2.1 (bypass de contraseña)

Contexto Profesional​

El acceso físico a una máquina representa un riesgo de seguridad mayor. Este laboratorio explora las técnicas utilizadas por:

  • Analistas forenses (con autorización)
  • Técnicos de recuperación de datos
  • Atacantes con acceso físico temporal
  • Auditores de seguridad

Casos de uso legítimos:

  • Recuperación de datos en máquina dañada
  • Investigación forense autorizada
  • Pruebas de seguridad física
  • Demostración de riesgos a los usuarios

IMPORTANTE:

Las técnicas de este laboratorio permiten acceder a los archivos de una computadora sin conocer la contraseña. Esto es LEGAL únicamente:

  • En su propia máquina o VM
  • Con autorización escrita explícita del propietario
  • En el marco de una investigación autorizada por orden judicial

ILEGAL:

  • Acceder a archivos de otros sin permiso
  • Robar datos personales o confidenciales
  • Instalar backdoors en máquinas ajenas

Consecuencias: Prisión y multas importantes (Código Penal, art. 342.1, 430)

Parte 1: Comprender el Proceso de Boot​

Paso 1.1: Secuencia de Arranque Normal​

Recordatorio del proceso:

  1. Presionar botón de encendido → La corriente alimenta la placa madre
  2. BIOS/UEFI se ejecuta → Firmware en la placa madre
  3. POST (Power-On Self Test) → Prueba del hardware
  4. Búsqueda del bootloader → En el orden de boot definido
  5. Bootloader inicia → Por ejemplo, Windows Boot Manager
  6. El SO se carga → Windows inicia

Orden de boot típico:

  1. Disco duro interno (C:)
  2. CD/DVD
  3. USB
  4. Red (PXE)

Paso 1.2: Modificar el Orden de Boot​

Por qué es importante:

Si un atacante puede bootear desde USB ANTES que el disco duro:

  • Inicia SU propio sistema operativo
  • Puede acceder a TODOS los archivos del disco duro
  • ¡Sin pasar nunca por la pantalla de login de Windows!

Acceder al BIOS/UEFI en su VM:

VirtualBox:

  1. Inicie la VM
  2. Apenas la VM arranque, presione rápidamente F2 (o Del)
  3. Ingresará al BIOS/UEFI

VMware:

  • Igual, usualmente F2 o Del

Preguntas:

  1. ¿Qué tecla permite acceder al BIOS de su VM?
  2. ¿Cuál es el orden de boot actual?

Paso 1.3: Cambiar el Orden de Boot​

En el BIOS/UEFI:

  1. Busque la pestaña Boot o Arranque
  2. Encuentre Boot Priority u Orden de arranque
  3. Modifique para que CD/DVD o USB esté EN PRIMER LUGAR
  4. Save and Exit (generalmente F10)

Orden modificado:

  1. CD/DVD (o USB)
  2. Disco duro

Implicación: ¡La VM intentará ahora bootear desde el CD antes que el disco duro!

Parte 2: Boot desde ISO de Recuperación​

Paso 2.1: Montar una ISO en la VM​

Va a bootear Windows desde una ISO en vez del disco duro.

Opciones de ISO:

Opción A: ISO oficial de Windows

  • Descargue desde Microsoft
  • Tamaño: ~5 GB
  • 100% legal

Opción B: Hiren's Boot CD (recomendado para este laboratorio)

  • Más pequeño
  • Contiene herramientas de administración
  • Legal y gratuito

En VirtualBox:

  1. VM apagada
  2. Configuración → Almacenamiento
  3. Bajo "Controlador IDE", haga clic en el ícono de CD vacío
  4. A la derecha, haga clic en el ícono de CD
  5. Elija un archivo de disco
  6. Seleccione su ISO
  7. OK

¡La ISO ahora está "insertada" en la unidad de CD virtual!

Paso 2.2: Iniciar desde la ISO​

Inicie la VM:

  1. La VM debería bootear desde la ISO (ya que el CD tiene prioridad)
  2. Verá la pantalla de la ISO (¡no el login de Windows!)
  3. Si es Windows RE (Recovery Environment): Elija "Reparar el equipo"
  4. Si es Hiren's: Verá el menú de Hiren's

¡Ahora está en un sistema completamente diferente!

  • NO es el Windows del disco duro
  • Un mini-OS que corre desde el CD
  • PERO puede ver el disco duro

Preguntas: 3. ¿Logró bootear desde la ISO? 4. ¿Qué sistema ha booteado (Windows RE, Hiren's, otro)?

Paso 2.3: Acceder a los Archivos de Windows​

Desde Windows RE o Hiren's:

Abra el explorador de archivos o una consola de comandos

Si es consola de comandos:

diskpart
list volume
exit

Identifique el volumen de Windows (busque NTFS con ~20-30 GB)

Navegue hacia los archivos de usuario:

dir D:\Users
dir D:\Users\SuNombreDeUsuario\Documents
dir D:\Users\SuNombreDeUsuario\Desktop

¡BOOM! ¡Puede ver TODOS los archivos!

¡Sin conocer la contraseña! ¡Sin siquiera bootear Windows!

Paso 2.4: Copiar Archivos​

Ahora podría:

  1. Copiar archivos a una memoria USB:
copy D:\Users\SuNombre\Documents\secret.docx E:\
  1. Modificar archivos:
notepad D:\Users\SuNombre\file.txt
  1. Eliminar archivos:
del D:\Users\SuNombre\suspicious.exe

¡Todo esto SIN la contraseña de Windows!

Preguntas: 5. ¿Pudo ver los archivos de su usuario de Windows? 6. ¿Pudo copiar un archivo? 7. ¿Cuánto tiempo tomó toda la operación (desde la inserción de la ISO hasta el acceso a los archivos)?

Parte 3: Implicaciones de Seguridad​

Paso 3.1: Escenario de Ataque Evil Maid​

"Evil Maid Attack" = Ataque con acceso físico temporal

Escenario típico:

  1. La víctima deja su laptop en la habitación de hotel (5 minutos)
  2. El atacante entra (empleada de limpieza cómplice, agente especializado)
  3. Bootea desde USB (30 segundos)
  4. Copia archivos sensibles (2 minutos)
  5. O instala un bootkit/backdoor (1 minuto)
  6. Reinicio normal (30 segundos)
  7. El atacante sale, la víctima regresa

Tiempo total: ¡Menos de 5 minutos! Víctima: ¡No nota NADA!

Datos comprometidos:

  • Documentos personales
  • Correos electrónicos
  • Credenciales guardadas por el navegador
  • Claves SSH/GPG
  • Historial
  • ¡TODO!

Preguntas: 8. ¿Le parece realista este escenario? 9. ¿En qué situaciones podría usted ser vulnerable a este ataque?

Paso 3.2: Casos de Uso Reales​

Esta técnica es utilizada por:

Agentes gubernamentales (legalmente):

  • NSA, FBI, CSIS
  • Órdenes de allanamiento
  • Investigación criminal

Criminales:

  • Robo de secretos industriales
  • Espionaje empresarial
  • Chantaje (acceso a datos personales)

Usted mismo (legítimamente):

  • Recuperación de datos si olvidó la contraseña
  • Recuperación de archivos en disco dañado
  • Investigación forense autorizada

Preguntas: 10. ¿Puede pensar en otros casos de uso legítimos? 11. ¿Cómo podría una empresa protegerse?

Paso 3.3: Demostración - Robo de Datos Simulado​

Ejercicio de concientización:

  1. Antes del boot alternativo, cree un archivo en su VM:

    • C:\Users\SuNombre\Desktop\confidencial.txt
    • Contenido: "Esto es un secreto importante"

  2. Bootee desde la ISO

  3. Localice y lea el archivo:

type D:\Users\SuNombre\Desktop\confidencial.txt
  1. Cópielo "fuera de la máquina":
copy D:\Users\SuNombre\Desktop\confidencial.txt D:\stolen_data.txt

  1. Reinicie normalmente (retire la ISO)

  2. Verifique: El archivo stolen_data.txt ahora existe en la raíz de C:

¡Acaba de simular un robo de datos!

Preguntas: 12. ¿Habría notado la intrusión en un sistema real? 13. ¿Existen logs de este acceso?

Parte 4: Protección - Secure Boot​

Paso 4.1: Comprender Secure Boot​

Secure Boot es una funcionalidad UEFI que:

  • Verifica que el bootloader esté firmado digitalmente
  • Rechaza bootear sistemas operativos no firmados o modificados
  • Protege contra bootkits y rootkits

Cómo funciona:

  1. Microsoft (y otros) tienen claves en el firmware
  2. Los bootloaders de Windows están firmados con estas claves
  3. Al bootear, UEFI verifica la firma
  4. Si es válida: boot autorizado
  5. Si es inválida o ausente: ¡boot bloqueado!

Protege contra:

  • Boot desde USB no autorizado
  • Bootkit
  • Rootkit a nivel de boot
  • SO modificado

Paso 4.2: Activar Secure Boot​

ATENCIÓN: Secure Boot requiere Windows instalado en modo UEFI (no Legacy BIOS)

En el BIOS/UEFI de su VM:

  1. Reinicie e ingrese al BIOS (F2)
  2. Busque Security o Boot
  3. Encuentre Secure Boot
  4. Enabled
  5. Save and Exit

Ahora pruebe:

  1. Intente bootear desde la ISO de recuperación
  2. ¡Secure Boot debería BLOQUEAR el boot!
  3. Mensaje de error: "Secure Boot Violation"

¡Ya no puede bootear desde la ISO no firmada!

Preguntas: 14. ¿Secure Boot bloqueó el boot desde la ISO? 15. ¿Windows normal sigue iniciando?

Paso 4.3: Límites de Secure Boot​

Secure Boot protege contra:

  • Boot desde USB/CD no firmado
  • Bootkit

Secure Boot NO PROTEGE contra:

  • Acceso a los archivos si el disco no está cifrado Y Secure Boot está desactivado
  • Atacante que desactiva Secure Boot en el BIOS (si no hay contraseña de BIOS)
  • Ataques hardware (extracción del disco)

Para protección completa, también se requiere:

  • Contraseña de BIOS
  • BitLocker (cifrado de disco)
  • Vigilancia física

Parte 5: Protección - Contraseña BIOS/UEFI​

Paso 5.1: Tipos de Contraseñas BIOS​

3 tipos de contraseñas:

  1. Supervisor Password (Contraseña de supervisor)

    • Requerida para modificar los parámetros del BIOS
    • Requerida para desactivar Secure Boot
    • ¡La más importante!

  2. User Password (Contraseña de usuario)

    • Requerida para BOOTEAR la máquina
    • Solicitada antes incluso de Windows

  3. HDD Password (Contraseña de disco duro)

    • El disco mismo está bloqueado
    • Incluso extrayéndolo, es inutilizable

Paso 5.2: Configurar una Contraseña de Supervisor​

En el BIOS:

  1. Ingrese al BIOS (F2)
  2. Security → Set Supervisor Password
  3. Ingrese una contraseña: AdminBIOS123!
  4. Confirme
  5. Save and Exit

Reinicie y vuelva a ingresar al BIOS:

  • ¡Contraseña solicitada!
  • Sin la contraseña, ¡imposible modificar los parámetros!

Ahora, un atacante ya no puede:

  • Cambiar el orden de boot
  • Desactivar Secure Boot
  • Modificar los parámetros de seguridad

Paso 5.3: Configurar una Contraseña de Boot (Opcional)​

ATENCIÓN: Si olvida esta contraseña, ¡la VM es INUTILIZABLE!

En BIOS:

  1. Security → Set User Password
  2. Contraseña: BootPass123!
  3. Save and Exit

En el próximo arranque:

  • Contraseña solicitada ANTES de Windows
  • Sin la contraseña: la máquina no arranca en absoluto

Protección:

  • Incluso con acceso físico, imposible bootear
  • ¡Ni Windows, ni USB, ni nada!

Preguntas: 16. ¿Ha configurado una contraseña de supervisor? 17. Pruebe: ¿Puede modificar el orden de boot sin la contraseña?

Parte 6: Protección Definitiva - BitLocker​

Paso 6.1: Por Qué BitLocker es Crucial​

Con Secure Boot + Contraseña de BIOS:

  • Protección contra boot alternativo
  • Protección contra modificación de parámetros

PERO: Si un atacante extrae el disco duro:

  • Lo coloca en SU computadora
  • Bootea desde SU SO
  • ¡Lee todos los archivos!
  • Secure Boot y contraseña de BIOS inútiles

Solución: BitLocker (cifrado completo de disco)

Paso 6.2: Comprender BitLocker​

BitLocker cifra TODO el disco:

  • Imposible leer los archivos sin la clave
  • Incluso extrayendo el disco
  • Incluso booteando desde USB

Clave de descifrado almacenada en:

  • TPM (Trusted Platform Module) - chip en la placa madre
  • O contraseña al inicio
  • O llave USB física

Sin la clave:

  • Archivos = galimatías incomprensible
  • Sistema = inutilizable

Paso 6.3: Verificar BitLocker (Información)​

En su VM o PC real:

Método 1 - Explorador:

  1. Abra el Explorador
  2. Clic derecho sobre C:
  3. Si ve un candado cerrado = BitLocker activo
  4. Si candado abierto = No activado

Método 2 - PowerShell:

Get-BitLockerVolume

En la mayoría de las VMs: BitLocker no disponible (requiere Windows Pro + TPM virtual)

Preguntas: 18. ¿BitLocker está activado en su VM? 19. ¿En su computadora personal? 20. ¿En su computadora de trabajo/escuela?

Paso 6.4: Activar BitLocker (Si Disponible)​

Si tiene Windows Pro en la VM:

  1. Panel de control → BitLocker
  2. Activar BitLocker para C:
  3. Elija cómo desbloquear:
    • Contraseña
    • O llave USB
  4. Guarde la clave de recuperación (¡CRUCIAL!)
  5. Elija: Cifrar disco entero o solo el espacio usado
  6. Inicie el cifrado

Duración: 30 min - 2h según tamaño

Después de activar:

  • Al inicio: Se solicita contraseña (si eligió esa opción)
  • Datos cifrados en tiempo real
  • Rendimiento ligeramente reducido (~5%)

Parte 7: Defensa en Profundidad​

Paso 7.1: Las 5 Capas de Protección​

Protección física completa:

Capa 1: Vigilancia física
    ↓
Capa 2: Contraseña BIOS (impide modificar boot)
    ↓
Capa 3: Secure Boot (impide boot no firmado)
    ↓
Capa 4: BitLocker (cifra los datos)
    ↓
Capa 5: Contraseña de Windows (autenticación)

Si FALTA UNA capa:

  • El atacante puede potencialmente evadirla

Con TODAS las capas:

  • Protección máxima
  • Incluso con acceso físico: datos protegidos

Paso 7.2: Matriz de Protección​

AtaqueSin protecciónSecure BootPass BIOSBitLockerTodas
Boot USB✅ Exitoso❌ Bloqueado❌ Bloqueado❌ Bloqueado❌ Bloqueado
Bypass password✅ Exitoso✅ Exitoso✅ Exitoso❌ Bloqueado❌ Bloqueado
Extracción disco✅ Legible✅ Legible✅ Legible❌ Cifrado❌ Cifrado
Evil Maid✅ Exitoso⚠️ Parcial⚠️ Parcial❌ Bloqueado❌ Bloqueado

Paso 7.3: Configuración Recomendada​

Para laptop personal:

  • ✅ Secure Boot activado
  • ✅ Contraseña de BIOS supervisor
  • ✅ BitLocker activado
  • ✅ Bloqueo automático (1 minuto)
  • ✅ Cable antirrobo (si está en lugar público)

Para servidor empresarial:

  • ✅ Todo lo anterior +
  • ✅ Rack cerrado con llave
  • ✅ Vigilancia por video
  • ✅ Acceso con tarjeta a la sala de servidores
  • ✅ TPM obligatorio
  • ✅ Detección de intrusión física

Preguntas: 21. ¿Cuántas capas de protección tiene actualmente en su VM? 22. ¿Cuántas en su computadora personal?

Parte 8: Ejercicios Prácticos​

Ejercicio 8.1: Prueba de Penetración Física​

Escenario: Usted es auditor de seguridad. Le dan 10 minutos de acceso físico a una VM.

Tarea:

  1. Documente todos los datos que pueda extraer
  2. Mida el tiempo para cada paso
  3. Identifique las protecciones presentes (o ausentes)

Entregable: Informe de auditoría (2 páginas)

Ejercicio 8.2: Configuración Endurecida​

Tarea: Configure una VM con protección máxima:

  1. Secure Boot activado
  2. Contraseña de BIOS configurada
  3. BitLocker activado (si es posible)
  4. Orden de boot: solo HDD
  5. Boot por USB desactivado

Entregable: Capturas de pantalla de cada configuración

Ejercicio 8.3: Comparación Temporal​

Experiencia:

VM A (Sin protección):

  • Mida el tiempo para acceder a un archivo vía boot USB

VM B (Protegida):

  • Secure Boot + Pass BIOS + BitLocker simulado
  • Intente los mismos ataques
  • Documente los bloqueos

Preguntas: 23. ¿Cuál es la diferencia de tiempo? 24. ¿Qué ataques son bloqueados por cada protección?

Entregables​

A entregar:

  1. Documento de respuestas (Word/PDF):

    • Respuestas a las 24 preguntas
    • Tiempo medido para acceder a los archivos
    • Análisis de los escenarios de ataque

  2. Capturas de pantalla (mínimo 6):

    • Boot desde ISO (menú de recuperación)
    • Acceso a los archivos de usuario
    • Configuración de Secure Boot
    • Configuración de contraseña BIOS
    • Intento de boot bloqueado por Secure Boot
    • Estado de BitLocker

  3. Informe de auditoría (Ejercicio 8.1, 2 páginas):

    • Metodología
    • Datos extraídos
    • Tiempo necesario
    • Recomendaciones

  4. Matriz de protección completada:

    • Sus configuraciones probadas
    • Resultados de cada prueba

Criterios de Evaluación​

CriterioPuntos
Comprensión de los ataques de acceso físico25%
Configuración de protecciones (Secure Boot, BIOS)25%
Análisis de escenarios Evil Maid20%
Informe de auditoría (Ejercicio 8.1)15%
Calidad de la documentación10%
Matriz de protección5%

Comandos de Referencia Rápida​

diskpart
list volume
exit
dir D:\Users
dir D:\Users\Username\Desktop
type D:\Users\Username\file.txt
copy D:\Users\Username\file.txt E:\

Verificación de BitLocker​

Get-BitLockerVolume
Get-BitLockerVolume -MountPoint C:

BIOS vía Línea de Comandos (Info)​

# Verificar si Secure Boot está activado
Confirm-SecureBootUEFI

# Información de firmware
Get-ComputerInfo | Select-Object BiosFirmwareType

Solución de Problemas​

Problema: La ISO no bootea​

Solución:

  • Verifique que la ISO esté bien montada (Configuración → Almacenamiento)
  • Verifique el orden de boot (CD/DVD primero)
  • Si Secure Boot está activado: Desactívelo temporalmente

Problema: No puede ver los archivos​

Solución:

  • El disco de Windows probablemente no es C: en modo recuperación
  • Use diskpart → list volume para identificar el volumen correcto
  • Usualmente D: o E:

Problema: Contraseña de BIOS olvidada​

Solución VM:

  • VirtualBox: Elimine la contraseña por línea de comandos (ver documentación de VirtualBox)
  • En último recurso: Recree la VM desde cero

Físico (DIFÍCIL):

  • Retirar la pila CMOS (reinicia el BIOS)
  • Jumper de reset del BIOS
  • O contactar al fabricante

Ir Más Allá (Opcional)​

Challenge 1: Ataque Hardware​

Investigue "Cold Boot Attack" - recuperación de claves de cifrado mediante congelación de RAM.

Documente:

  • Cómo funciona
  • Contramedidas
  • Eficacia contra BitLocker

Challenge 2: Forense​

Bootee con una distribución forense (CAINE, DEFT) y:

  • Cree una imagen de disco
  • Analice los artefactos
  • Recupere archivos borrados
  • Documente la cadena de custodia

Challenge 3: TPM y Attestation​

Si su VM soporta TPM:

  • Configure TPM virtual
  • Active BitLocker con TPM
  • Pruebe la attestation
  • Documente la diferencia con contraseña simple

Recursos Adicionales​

Conclusión​

Este laboratorio le ha enseñado:

  • Cómo acceder a archivos sin contraseña mediante boot alternativo
  • Los ataques Evil Maid y su impacto
  • Configuración de Secure Boot
  • Protección mediante contraseña de BIOS
  • La importancia de BitLocker

Lecciones clave:

  1. Acceso físico = Acceso completo (sin cifrado)
  2. Boot alternativo evade Windows completamente
  3. Secure Boot bloquea boot no autorizado
  4. Contraseña de BIOS impide modificar parámetros
  5. BitLocker = Única protección real contra extracción de datos
  6. Defensa en profundidad = Múltiples capas de seguridad

Mensaje final:

  • En laptop: BitLocker OBLIGATORIO
  • En servidores: Seguridad física CRÍTICA
  • Nunca deje la máquina sin supervisión
  • Bloqueo automático tras 1 minuto

¡Ahora sabe por qué la seguridad física es tan importante como la seguridad lógica!

Laboratorio desarrollado en el marco del curso Sistemas Operativos - MÓDULO 2