¿Cómo hacer un ciberataque de fuerza bruta?

El siguiente tutorial sobre cómo hacer un ciberataque de fuerza bruta está realizado con fines académicos. El propósito de la técnica, que explicaremos a continuación, es poner a prueba la seguridad de los sistemas informáticos y solo debe hacerse con la autorización de sus dueños.

El pentesting o hacking ético consiste en usar las mismas técnicas que emplea un ciberdelincuente para obtener acceso al sistema de un usuario. Para ello, uno de los ciberataques más utilizados es el ataque de fuerza bruta.

¿Cómo hacer un ciberataque de fuerza bruta?

Para aprender cómo hacer un ciberataque de fuerza bruta, te explicaremos el paso a paso para llevar a cabo un ejercicio de laboratorio y observar cómo funciona.

1. Crea dos máquinas virtuales. Una de ellas, con el sistema operativo para pentesters, Kali Linux; la otra, con un sistema operativo Windows 7 (la versión más antigua posible). También puedes optar por una máquina virtual desarrollada intencionalmente con vulnerabilidades, como Metasploitable 1, 2 o 3.
2. Crea dos diccionarios: uno para usuarios y otro para contraseñas. Los puedes descargar en internet o construirlos tú mismo por medio de generadores de diccionarios de contraseñas.
3. Abre Hydra en tu máquina con Kali Linux, por medio del comando «xhydra», que puedes ejecutar en una terminal del sistema.
4. Al ejecutar el comando «xhydra», se abrirá la interfaz gráfica de Hydra, el programa estándar para hacer ataques de fuerza bruta en auditorías de seguridad.
5. Para usar Hydra y entender cómo hacer un ciberataque de fuerza bruta debes:
   1. Establecer la dirección IP de tu máquina Windows 7 o Metasploitable. Para conocer la dirección IP de tus máquinas, ejecuta el comando «ipconfig» desde sus consolas.
   2. Ahora, escoge el puerto donde se encuentre el servicio que deseas poner a prueba. Por ejemplo, si quieres dirigir el ataque al protocolo SSH, elige el puerto 22.
   3. Escoge el protocolo al que desees dirigir el ataque. Si has elegido el puerto 22, selecciona el protocolo correspondiente, que es el SSH.
   4. Habilita la opción SSL para que el sistema no detecte el ataque.
   5. Habilita la opción «Show attempts» si deseas ver los intentos hechos por el programa.
   6. Dirígete a la pestaña «Password«.
   7. Elige el archivo de texto con el diccionario de nombres de usuario en el campo «Username list«.
   8. Elige el archivo de texto con el diccionario de contraseñas en el campo «Password list«.
   9. En la opción «Tuning«, reduce el número de tareas «Number of tasks» a 5, para que el sistema soporte las peticiones.
   10. Finalmente, ejecuta el proceso con el botón «Start«.

¿Cómo aprender más sobre los ciberataques de fuerza bruta?

Ya hemos visto cómo hacer un ciberataque de fuerza bruta. Si quieres aprender más técnicas de hacking ético, en KeepCoding te ofrecemos nuestro Ciberseguridad Full Stack Bootcamp, una formación intensiva e íntegra en la que te formarás con la guía de expertos para impulsar tu carrera y destacar en el mercado laboral. ¡Solicita información e impulsa tu perfil profesional!