ARG Mediavida: como Mr. Robot pero de verdad

Parte 0 - Paso 0

Antes de que comience el ARG, encontramos la web con la fecha de inicio del juego, el 01/03/2017 y un GIF.

Abrimos el código fuente y guardamos la página y la imagen GIF que muestra, de modo que podamos buscar cambios respecto a la web actual con versiones que haya más adelante.

Según las indicaciones del texto iremos recibiendo diferentes IDs a lo largo del juego, por lo que recopilamos las medidas de los IDs de diferentes webs:

IMGUR.COM usa ID de 7 Caracteres
PASTEBIN.COM usa ID de 8 Caracteres
YOUTUBE.COM usa ID de 11 Caracteres
MEDIAFIRE.COM usa ID de 11 Caracteres

A parte, en el código fuente que hay ahora mismo encontramos 4 datos valiosos.

Parte 0 - Paso 1:

Al abrir el código fuente encontramos un usuario y una contraseña codificados:

    user = ee10c315eba2c75b403ea99136f5b48d
    pass = 3fc0a7acf087f549ac2b266baf94b8b1

Tras comprobar el tipo de hash, parece MD5, así que entramos en HashKiller.co.uk y lo desciframos:

    user: ee10c315eba2c75b403ea99136f5b48d -> nimda
    pw: 3fc0a7acf087f549ac2b266baf94b8b1 -> qwerty123

Parte 0 - Paso 2:

En la columna derecha del arte ASCII del código fuente de la web, hay un ID de 7 caracteres,
1Jf8wur -> Imgur.

Accedemos a Imgur y se trata de una imagen con una rejilla 7x5. Cuando se ajustan los niveles de la imagen al máximo, se muestra solo la cuadrícula con algunas celdas destacadas en verde, que usaremos más tarde en el paso 4-1.

Parte 0 - Paso 3:

Link a mediafire:

<br><br><br>Important file? http://www.mediafire.com/file/vpudkjna99wiz4u/r.zip</p>

En el código fuente la web encontramos una anotación con un link a Mediafire, este contiene un archivo r.zip, que en su interior contiene el archivo "r".

Lo abrimos y un padding con == delata un cifrado BASE64. La decodificamos y vemos un header de un fichero que indica "Rar!".

Decodificamos el archivo desde BASE64 (https://www.base64decode.org/) y obtenemos un archivo "r.txt" que renombramos como "r.rar".

Al abrirlo encontramos un archivo "f", que descomprimimos y al abrirlo de nuevo muestra una codificación BASE64. Decofidicamos la sentencia y encontramos un header "PDF".

Decodificamos el archivo "f" en BASE64 y obtenemos un archivo "f.txt", que renombramos como "f.pdf". Al abrirlo encontramos un libro de Alan Poe, El gato negro (The Black Cat).

Buscamos el mismo libro por internet, lo descargamos, y generamos un hash MD5 que es coincidente en ambos ficheros, por lo que el archivo que hemos obtenido no está modificado de ninguna manera respecto al original.

Parte 0 - Paso 4:

En los metadatos del código web encontramos una entrada que indica "palabra clave" y nos da un ID:

El ID es de Mediafire:

http://www.mediafire.com/file/958hc9ju3ubrs30

Contiene un archivo de audio "a1.wav" el cual más adelante, en el paso 5-4, descubriremos que se trata de una señal SSTV, y la usaremos en el paso 10-4.

Parte 1 - Paso 1

El 01/03/2017 a las 00.01 abrimos de nuevo el código fuente de la web y lo comparamos con la referencia que habíamos tomado antes del comienzo del ARG.

En la comparación, detectamos algunos cambios sin importancia en la explicación, la retirada del texto indicando la fecha de inicio y un cambio en la URL del GIF.

Descargamos el nuevo GIF y comprobamos el tamaño respecto al que teníamos guardado, el cual es diferente, luego se ha modificado algo.

Lo abrimos en Photoshop y lo separamos en fotogramas, encontrando en uno de ellos un ID:

oYuIdZ6 -> ID de Imgur

Parte 1 - Paso 2

La imagen a la que accedemos contiene un link deformado e invertido. Corregimos los efectos en Photoshop y cogemos el link:

Parte 1 - Paso 3

https://soundcloud.com/user-85261946/sad-song

El link nos lleva a una canción en SoundCloud.

[audio]https://soundcloud.com/user-85261946/sad-song[/audio]

La canción es "La Comédie by Kris Wilson", y al escucharla detectamos en el 02:00 una parte con el sonido distorsionado.

Abrimos la canción con un editor de audio y comprobamos el espectro de sonido:

Con un pequeño ajuste conseguimos un ID de 7 caracteres

Código obtenido:
G9ksWLm -> ID de Imgur

Parte 1 - Paso 4

Accedemos a la nueva imagen y esta muestra unas secuencias:

9385211055596446229489##9303819
4210067510334671###14126711
1415926535897932384626433832795028841971693##
93936###1029161615288138
40##32000568127145263560827
076601047###8194295559619894
28##67764657573962413890865832

Comprobamos que son secuencias de decimales de Pi.
http://www.geom.uiuc.edu/_{huberty/math5337/groupe/digits.html}

Al comprobarlas en serie, detectamos que los pares de secuencias separados entre sí por corchetes en los decimales de Pi, tienen tantos corchetes como cifras los separan, por lo que recogemos las cifras que ocuparían el lugar de los corchetes:

Conjunto de cifras:

54 - 103 - 99 - 103 - 51 - 101 - 74

Transformamos los valores de Decimal a ASCI:

6 - g - c - g - 3 - e - J

Obtenemos el código:
6gcg3eJ -> ID de Imgur

Parte 1 - Paso 5

Aparece nueva imagen con símbolos extraños, abajo se muestra un cubo del juego Cubikahd de StarWars, lo que nos da una pista sobre la procedencia de los símbolos.

Buscando entre los alfabetos de StarWars, vemos que es Mandalorian.

Entre las diferentes variantes de Mandatorian, solo una contiene el símbolo 1 como se
muestra en la imagen del ARG:

Traducimos el mensaje según el alfabeto:
qzdmqgauopweo7a -> ID de Mediafire

Parte 2 - Paso 1

http://www.mediafire.com/file/qzdmqgauopweo7a/

Descargamos el RAR que contiene una canción y un archivo de texto con un link:
http://www.mediafire.com/file/k852o6x2482dwtk

El link es un archivo RAR (m van buren.rar) que contiene una imagen con lo que parece una letra Ancient del universo StarGate.

El nombre del RAR hace refernecia al 8º presidente de USA, Martin Van Buren.

Analizamos la canción, Gloomy Sunday interpretada por Billie Holiday, famosa canción del compositor Rezső Seress cuya leyenda urbana decía que inspiraba al suicidio, y encontramos información oculta en una secuencia de 5 milésimas de segundo.

Ampliamos el espectro y detectamos código morse montaña oculto en la onda:

Transcribimos desde código Morse:
K12Q15VH -> ID de Pastebin

http://pastebin.com/k12q15vh

[code]

7aevnny

http://www.mediafire.com/file/782t7ddtvdzuyc1

[/code]

El pastebin nos muestra un ID de 7 caracteres (Imgur) y un link a Mediafire.

http://www.mediafire.com/file/782t7ddtvdzuyc1 -> j madison.rar

Parte 3 - Paso 1

El link a MediaFire contiene un RAR con otra letra Ancient y una referencia al presidente James Madison.

La imagen nos muestra:

· Una matriz de caracteres (6x6).

· Un código "5UZVN2ye", que parece algún tipo de clave.

· Un código "fvTZWh7", que es un ID de Imgur.
La imagen contiene una foto de una tumba con el nombre pixelado.

Buscamos con Google Images la imagen de la tumba y rescatamos el nombre que aparecía pixelado en la otra foto:

La tumba pertenece a Lyon Playfair. Existe un cifrado al que hace referencia este personaje, el cifrado Playfair.

Paso 3 - Parte 2

Con el cifrado Fairplay, desciframos la cuadrícula 6x6:

Cuadrícula:
p e U 9 D K
O A T 4 F w
8 J 1 h G 6
2 y b S Z 5
Q 7 L V C M
i R 3 N 0 X

Código:
5UZVN2ye

Resultado:
BKSCISJR -> ID de Pastebin

http://pastebin.com/BKSCISJR

[code]

yTy5JFK & SQaPZx3

www.mediafire.com/file/69bcu2ux8kh60vu

[/code]

Parte 4 - Paso 1

En el pastebin encontramos dos ID de Imgur que corresponden a dos imágenes:

Contiene matriz de caracteres 7x5 (coincide con la encontrada en el paso 0-2)

Clave 337666766733663 de 15 caracteres (La usaremos más adelante en el paso 10-3)

También encontramos un link de Mediafire que contiene Archivo RAR con referencia a presidente John Quincy Adams, y otra letra Ancient.
www.mediafire.com/file/69bcu2ux8kh60vu

La primera imagen muestra:

Matriz:
a 3 L k D s 6
Q b 1 T g U o
x 2 v W 4 f M
y n 8 c J i 5
E 9 Z h 7 P r

Combinamos la imagen encontrada con la rejilla encontrada anteriormente:

Recogemos los valores por columnas y obtenemos:
Q2LT7i6 -> ID de Imgur

Parte 4 - Paso 2

Encontramos una imagen con dos secuencias de texto y en la parte superior oculta una secuencia morse:

Secuencia Morse
..... ----- --... ....- ....- .---- ....- -.-. ..... ----- -.... ----. ...-- .....

Traducimos el morse:
5074414C506935

Son caracteres de tipo Hexadecimal:
50 74 41 4C 50 69 35

Lo codificamos a ASCII -> PtALPi5 -> Es un ID de Imgur.

Accedemos a la imagen de Imgur y encontramos una foto del químico Stanislao Canizzaro, el cual fue famoso por resolver el problema de la confusión de las masas moleculares y atómicas. Esto nos da una pista sobre química.

Secuencia escrita, 2 líneas de 19 caracteres:
sninsbpdsnsnlapdinx
ecspdincsxeagesmtfm

Analizamos la secuencia y nos damos cuenta de que todos los pares de letras, formando el par restante con la última y primera letra de cada línea, son todos elementos de la tabla periódica:

Dividimos las 2 líneas por pares de letras y las concatenamos para añadir el Xe (Xenón):

sn in sb pd sn sn la pd in xe cs pd in cs xe ag es mt fm

Hallamos el numero atómico de los diferentes elementos:

sn estaño 50
in indio 49
sb antimonio 51
pd paladio 46
sn estaño 50
...

sn in sb pd sn sn la pd in xe cs pd in cs xe ag es mt fm
50 49 51 46 50 50 57 46 49 54 55 46 49 55 54 47 99 109 100

Transformamos la cadena resultande de decimal a ASCII y encontramos una dirección:

50 49 51 46 50 50 57 46 49 54 55 46 49 55 54 47 99 109 100
 2  1  3  .  2  2  9  .  1  6  7  .  1  7  6  /  c   m   d

Parte 4 - Paso 3

Accedemos a la direción 213.229.167.176/cmd por vía web y se presenta un terminal Linux al que logeamos con las credenciales obtenidas en el paso 0-1:

`
    user: ee10c315eba2c75b403ea99136f5b48d -> nimda
    pw: 3fc0a7acf087f549ac2b266baf94b8b1 -> qwerty123

Comprobamos los comandos disponibles y leemos el fichero security_info.txt:

Este nos indica que hay un archivo llamado memorydump.exe que tiene el atributo oculto, por lo que no lo habíamos visto al listar los ficheros con ls.

Como es un fichero ".exe", no lo podemos ejecutar tal cual en un entorno Linux como el que muestra la consola, así que lo lanzamos mediante wine y nos devuelve un volcado de memoria. Realizando varias pruebas detectamos que cada volcado de memoria que nos devuelve es diferente en cada ejecución.

You are authenticated
wine memorydump.exe
 
3fa8b9b4b582df1f857a
f04959e7d181c030f97c
3947c4df5ea0a51285cc
4ab474f46929774839ed
b32936fc10f77dc12777
3e51aff230fd93c5ff18
914abd44444a76415264
f63e2620a55f49931262
b9fe63b07b24c8e35219
9245398fc8ef8fd081c9
 
Memory dump completed
wine memorydump.exe
 
f3e7a276987ad4df6ce5
6051ed11172e517ea59b
ef30f54ec32fb8e4937d
ee876491ededfbc2cc67
a72da8952eb0b3702e58
fc1d79f15c3c211420a4
81ff2c44444a76415264
d59119c38dcc8fe473ad
8df8cc3eac3c5cf4386a
6d2ab69a3bbaabd03caa
 
Memory dump completed
wine memorydump.exe
 
2995fe8a67234b766155
19dc11495b25f4b27ef8
73e744444a764152643c
58f1f59172a73deac0c3
e84b2afc86915dcb9b39
cdd485e3c93861c19b48
ede33ae3749c8aa2874b
666f86806bfd11b9c99c
e29671687a3a90cbeb2c
14d9ff3fbc74cc471753

Buscamos algún dato común en todos ellos y encontramos:

44444a76415264

Codificamos la secuencia de Hex a ASCII:
DDJvARd -> ID de Imgur

Parte 4 - Paso 4

Ajustamos los niveles de la imagen y muestran varias palabras:

dead blood pain night mistake oW0cTz6 soul

Una de ellas es un ID:
oW0cTz6 -> ID de Imgur

Se trata de un orden de pulsaciones de teclado en layout americano, interpretando amarillo como mayúscula y naranja como minúscula:

ILBZ7lg -> ID de imgur

Parte 4 - Paso 5

Encontramos una imagen con muchos píxeles sin ningún orden:

Tras analizarse se descubre que los colores de cada pixel en la escala RGB muestran valores únicos (no hay 2 pixels con el mismo valor Rojo Verde Azul).

La imagen es de 256 caracteres, y cada uno de los 3 colores que conforman la mezcla del color cada pixel, tiene unos valores entre 0-255

Realizamos script PHP que reordena pixels usando como coordenadas XY los valores GB de RGB:

encontramos una foto de un gato con un ID:

UQ3KAGO -> ID de Imgur

Parte 4 - Paso 6

Encontramos una foto del Apostol Juan.
En ella hay un código escondido en la parte superior izquierda: 7:38

Se trata de un versículo:
Juan 7:38 - El que cree en mí, como dice la Escritura, de su interior correrán ríos de agua viva.

Tras varios análisis de los niveles de la imagen en los que creímos encontrar a Darth Vader, buscamos la misma imagen en Google y la descargamos.

Comparamos el peso de la imagen descargada con la imagen original y el de esta última es excesivo, unas 10 veces superior, luego contiene información oculta:

Renombramos la imagen UQ3KAGO.png como UQ3KAGO.rar y encontramos un rar enmascarado.

Darth Vader solo fué una casualidad, no era nuestro padre.

Parte 5 - Paso 1

Abrimos el archivo RAR y encontramos una imagen y archivo de texto clue.txt con un ID de Mediafire: 94mnx01d1b467fz

http://www.mediafire.com/file/94mnx01d1b467fz -> j adams.rar
El archivo RAR tiene otra letra Ancient y una referencia a Jhon Adams.

Parte 5 - Paso 2

La imagen parece algún tipo de alfabeto, al ajustar sus niveles se descubre el casco de Skyrim y algunas de llas letras marcadas para suponemos dar alternancia mayusculas minúsculas:

El código resultante es:
SuWiGQJ -> ID de Imgur

Parte 5 - Paso 3

Encontramos una imagen con cuatro cuadrículas y un código, pero se muestra algo borrosa.

Para trabajar con ella, enfocamos las letras de las cuadrículas, destacamos algunas letras de la clave gracias a la información oculta en niveles y ampliamos un código morse que encontramos oculto a tamaño 1 pixel en la parte inferior derecha de la imagen:

Transcribimos el morse interpretando un pixel solo como punto, dos pixel juntos como raya, y dos pixels vacíos como espacio entre letras:

..-.  .  .-..  ..  -..-  -..  .  .-..  .-  ...  -  .  .-..  .-..  .
   F  E     L   I     X    D  E     L   A    S  T  E     L     L  E
 

Buscamos información sobre Felix Delastelle:

https://es.wikipedia.org/wiki/Cifra_de_Delastelle
https://en.wikipedia.org/wiki/F%C3%A9lix_Delastelle
https://en.wikipedia.org/wiki/Bifid_cipher
https://en.wikipedia.org/wiki/Four-square_cipher

Ninguno de los cifrados coincide exactamente con las cuatro cuadrículas que se nos presentan, así que hacemos una adaptación del algoritmo de cifrado trífido de Dellastelle.

En la imagen encontramos 4 matrices de 4x4 numeradas de izq. a der. y de arriba a abajo:

  1 2 3 4
1 I 1 8 E 
2 X A . V 
3 $ K 2 / 
4 * W ! Q 

  1 2 3 4
1 : B , P 
2 3 U H _ 
3 9 % j { 
4 \ C € 0 

  1 2 3 4
1 6 ; M ? 
2 D 7 N [ 
3 & Y ( < 
4 O ´ } T

  1 2 3 4
1 S Z 4 ) 
2 @ G F > 
3 L ¿ ¡ = 
4 5 # + R

Abajo, se muestra una clave, en la cual al modificar los niveles de color se muestran algunos caracteres destacados, marcados a continuación con *

7A¡HDHD,
  *  ***

Calculamos posiciones según número de tabla y cordenadas realizando una adaptación del cifrado trífido. Por ejemplo, el primer caracter de la clave, el 7, lo buscamos en su tabla, y generamos un código según sus coordenadas:

7 -> Tabla: 3 -> Posición Eje X 2: -> Posición Eje Y: 2

Colocamos las cifras en columnas:

7

3
2
2

Generamos matriz siguiendo este método con el resto de caracteres de la clave:

7 A ¡ H D H D ,

3 1 4 2 3 2 3 2
2 2 3 2 2 2 2 1
2 2 3 3 1 3 1 3

Reordenamos de vertical a horizontal la secuencia obtenida:

322 122 433 223 321 223 321 213

Generamos de nuevo matriz repartiendo la secuencia en 3 filas de 7 caracteres y generamos contraclave:

3 2 2 1 2 2 4 3
3 2 2 3 3 2 1 2
2 3 3 2 1 2 1 3

Y H H K 9 U S N

Tras alternar las mayúsculas y minúsculas según información de niveles marcada con *, el código resultante es:

YHHK9USN
  *  ***

YHhK9usn -> ID de Pastebin

Parte 5 - Paso 4

http://pastebin.com/YHhK9usn

[code]

aHR0cDovL3d3dy5tZWRpYWZpcmUuY29tL2ZpbGUveXk1MWt2NXFiNWVleDd6

What is this?

eqqm://fjdro.zlj/x/qy4rG

[/code]
Encontramos un pastebin cuyo nombre es SSTV.
Buscamos en Google las siglas, y descubrimos que se trata de un método de transmisión de imágenes utilizando radiofrecuencia.
https://es.wikipedia.org/wiki/SSTV

El primer código se trata de un link encriptado en BASE64, así que lo desencriptamos:

aHR0cDovL3d3dy5tZWRpYWZpcmUuY29tL2ZpbGUveXk1MWt2NXFiNWVleDd6 
http://www.mediafire.com/file/yy51kv5qb5eex7z

El link desencriptado corresponde a una descarga de Mediafire, que contiene un sonido llamado "UFO.wav", cuyo sonido es muy similar al que encontramos en el paso 0-3.

Como el nombre del pastebin indica "SSTV", descargamos un decodificador de señal radiofónica SSTV a imagen:
http://hamsoft.ca/pages/mmsstv.php

Llevamos a cabo el proceso de decodificación:

Obtenemos una imagen:

En ella se muestran dos ID:
uueshufa5rhff3a -> ID de Mediafire
CYmVajC -> ID de Imgur

En cuanto al código en el pastebin:

What is this?
eqqm://fjdro.zlj/x/qy4rG

En base a que su inicio "eqqm" parece "http", deducimos que se trata de un cifrado por sustitución.

Analizando el resto de caracteres, su posible formato sería:

http://imgur.com/a/XXXXX

Con estos datos, realizamos un desencriptado por sustitución y obtenemos:

http://imgur.com/a/tb4uJ -> Album de Imgur

Llegamos con 3 datos del anterior paso:

1) Link a album de Imgur: http://imgur.com/a/tb4uJ
Se trata de la explicación sobre como resolver Nonogramas.
Lo usaremos más adelante en el paso 8-1

2) http://imgur.com/CYmVajC
Imagen de 1x20 píxeles

3) http://www.mediafire.com/file/uueshufa5rhff3a/
a jackson.rar

Parte 6 - Paso 1

Descargamos el archivo de Mediafire conseguido y es un nuevo presidente con una nueva letra Ancient:
http://www.mediafire.com/file/uueshufa5rhff3a/ -> a jackson.rar

La imagen de imgur tiene un solo pixel de alto y 20 de ancho (muestra ampliada):

Analizamos los pixeles y descubrimos que solo hay los siguientes valores RGB combinados de diferentes formas: 00, 01, 16 y 17. Estos valores decimales, son los correspondientes en hexadecimal a 00, 01, 10 y 11.

Con esos 4 valores binarios, se puede formar cualquier secuencia binaria, ya que se contemplan todas las combinaciones posibles. Mediante un script PHP realizamos una sustitución de decimal a hexadecimal, y como resultado obtenemos una secuencia binaria:

Resultado en hexadecimal (aunque lo interpretemos luego como binario):

01 10 00 10 00 11 00 11 01 10 10 11 00 11 00 01 01 10 10 11 
00 11 01 01 01 10 00 01 01 10 10 01 01 10 10 00 01 10 10 01 
01 10 00 10 01 10 01 01 01 10 00 11 00 11 00 11 01 10 01 01

Reordenamos los bits en grupos de bytes (8 bits), y traducimos de binario a ASCII:

01100010 00110011 01101011 00110001
       b        3        k        1
01101011 00110101 01100001 01101001
       k        5        a        i
01101000 01101001 01100010 01100101
       h        i        b        e
01100011 00110011 01100101
	   c		3 		 e

El código obtenido es:
b3k1k5aihibec3e -> ID de Mediafire

Parte 6 - Paso 2 - Poe

http://www.mediafire.com/file/b3k1k5aihibec3e

Descargamos un RAR con dos imágenes de Alan Poe. Parecen el mismo archivo, pero uno de los dos se encuentra corrupto, mostrando aberraciones en la imagen.

Realizamos una comparación de ficheros en la web Diffnow y nos indica que hay 8 bytes modificados en la segunda imagen:

Realizamos una búsqueda diferencial con codificación ASCII en el fichero y encontramos 8 caracteres a lo largo de la primera imagen que han sido sustituidos en la segunda imagen por símbolos de admiración:

Recogemos los valores donde estarían las admiraciones en la imagen inicial y obtenemos un ID:

AXzv0fE1 -> ID de Pastebin

Parte 6 - Paso 3

http://pastebin.com/AXzv0fE1

El pastebin muestra una secuencia binaria:
0000000110111011010000000
0111110100100000010111110
0100010110001101110100010
0100010100101011110100010
0100010111010101010100010
0111110101011100110111110
0000000101010101010000000
1111111111110110011111111
0000010000010010001010101
1100011100111101001110110
1001010100100110110101100
1101101000001110010101111
0110000110101000000110010
0111101000010101111111101
0100000001111010101010010
0100101010010111011000101
0111110100010011000001000
1111111100011100011101100
0000000101000111010100100
0111110110101101011101110
0100010100000000000001011
0100010101010011000110100
0100010100011011111111110
0111110100101101001100110
0000000101011011110111000

Nos encontramos ante 25 caracteres y 25 filas por lo que lo recolocamos en una cuadrícula:

0  0  0  0  0  0  0  1  1  0  1  1  1  0  1  1  0  1  0  0  0  0  0  0  0 
0  1  1  1  1  1  0  1  0  0  1  0  0  0  0  0  0  1  0  1  1  1  1  1  0 
0  1  0  0  0  1  0  1  1  0  0  0  1  1  0  1  1  1  0  1  0  0  0  1  0 
0  1  0  0  0  1  0  1  0  0  1  0  1  0  1  1  1  1  0  1  0  0  0  1  0 
0  1  0  0  0  1  0  1  1  1  0  1  0  1  0  1  0  1  0  1  0  0  0  1  0 
0  1  1  1  1  1  0  1  0  1  0  1  1  1  0  0  1  1  0  1  1  1  1  1  0 
0  0  0  0  0  0  0  1  0  1  0  1  0  1  0  1  0  1  0  0  0  0  0  0  0 
1  1  1  1  1  1  1  1  1  1  1  1  0  1  1  0  0  1  1  1  1  1  1  1  1 
0  0  0  0  0  1  0  0  0  0  0  1  0  0  1  0  0  0  1  0  1  0  1  0  1 
1  1  0  0  0  1  1  1  0  0  1  1  1  1  0  1  0  0  1  1  1  0  1  1  0 
1  0  0  1  0  1  0  1  0  0  1  0  0  1  1  0  1  1  0  1  0  1  1  0  0 
1  1  0  1  1  0  1  0  0  0  0  0  1  1  1  0  0  1  0  1  0  1  1  1  1 
0  1  1  0  0  0  0  1  1  0  1  0  1  0  0  0  0  0  0  1  1  0  0  1  0 
0  1  1  1  1  0  1  0  0  0  0  1  0  1  0  1  1  1  1  1  1  1  1  0  1 
0  1  0  0  0  0  0  0  0  1  1  1  1  0  1  0  1  0  1  0  1  0  0  1  0 
0  1  0  0  1  0  1  0  1  0  0  1  0  1  1  1  0  1  1  0  0  0  1  0  1 
0  1  1  1  1  1  0  1  0  0  0  1  0  0  1  1  0  0  0  0  0  1  0  0  0 
1  1  1  1  1  1  1  1  0  0  0  1  1  1  0  0  0  1  1  1  0  1  1  0  0 
0  0  0  0  0  0  0  1  0  1  0  0  0  1  1  1  0  1  0  1  0  0  1  0  0 
0  1  1  1  1  1  0  1  1  0  1  0  1  1  0  1  0  1  1  1  0  1  1  1  0 
0  1  0  0  0  1  0  1  0  0  0  0  0  0  0  0  0  0  0  0  0  1  0  1  1 
0  1  0  0  0  1  0  1  0  1  0  1  0  0  1  1  0  0  0  1  1  0  1  0  0 
0  1  0  0  0  1  0  1  0  0  0  1  1  0  1  1  1  1  1  1  1  1  1  1  0 
0  1  1  1  1  1  0  1  0  0  1  0  1  1  0  1  0  0  1  1  0  0  1  1  0 
0  0  0  0  0  0  0  1  0  1  0  1  1  0  1  1  1  1  0  1  1  1  0  0  0 

Detectamos ciertos patrones, que vistos desde lejos revelan lo que parece un código QR:

Generamos a partir de los datos binarios un código QR mediante una herramienta de bahamas10 que encontramos en GitHub:

Escaneamos el código QR generado y obtenemos:

W2Af4q2
0nlwn4tko40r1k7

Los comprobamos y son:
W2Af4q2 -> ID de Imgur
0nlwn4tko40r1k7 -> ID de Mediafire

Obtenidos del QR anterior tenemos:
· http://imgur.com/W2Af4q2
Imagen con texto de Alan Poe

· http://www.mediafire.com/file/0nlwn4tko40r1k7
Referencia al presidente Thomas Jefferson y letra Ancient

Parte 7 - Paso 1

La imagen se trata de la página 11 completa del libro que descargamos en el paso 0 - 4:

Analizando la imagen, el canal de color rojo contiene el texto nada mas, lo extraemos y lo digitalizamos con una web OCR para transformarlo a texto ASCII:

Copiamos el mismo texto desde el libro de Alan Poe y los comparamos:

Detectamos algunos cambios:

P-T
3-e
w-d
Z-B
k-d
S-M
1-I

Generamos código a partir de lo caracteres modificados en el texto de la imagen:
P3wZkS1 -> ID Imgur

Parte 7 - Paso 2

Estrechando la imagen conseguimos un ID:

ipxLajb -> ID de Imgur

Parte 7 - Paso 3

La imagen muestra una cuadrícula, modificando los niveles algunos puntos están destacados.

En la parte superior se muestran 16 partes de caracteres, las convertimos de hexadecimal a ASCII:

31 33 42 51 41 50 34 52 32 50 4d 4b 4e 57 53 45
 1  3  B  Q  A  P  4  R  2  P  M  K  N  W  S  E

Según el orden indicado en el eje Y, ordenamos los caracteres resultantes de los valores del eje X, y aplicamos las mayúsculas según la información en niveles.

Obtenemos un código:
sPR3pkq -> ID de Imgur

Parte 7 - Paso 4

Modificamos el tamaño de la imagen a 800x800 para que se aplique correrctamente el filtro "Swirl" y recogemos el código:

WVilKh4 -> ID de Imgur

Parte 7 - Paso 5

Obtenemos una secuencia de símbolos. Buscando en Google descubrimos que se trata de un allfabeto Atlantean.

Traducimos los dos códigos:
kf565am4a7l854h -> ID de Mediafire
AKaixiT -> ID de Imgur

De la parte anterior tenemos los siguientes datos:
· http://i.imgur.com/AKaixiT.png
Cuadrícula de Nonograma.

· http://www.mediafire.com/file/kf565am4a7l854h/j+monroe.rar
Referencia a presidente y foto de letra Ancient.

Parte 8 - Paso 1

Completamos Nonograma según lo indicado en el tutorial de 6-0

Conseguimos un código:
jUr7Lkb -> ID de Imgur

Parte 8 - Paso 2

Tras analizar la imagen, detectamos que solo hay una letra de cada color, luego hay 7 colores, tantos como tiene el arcoiris.

Ordenamos las letras según el orden de colores en el arcoiris:
1º Rojo
2º Naranja
3º Amarillo
4º Verde
5º Cian
6º Azul
7º Violeta

El código resultante es:
RBeVNWj -> ID de Imgur

Parte 8 - Paso 3

Al abrir el link del paso anterior, encontramos una imagen codificada con GMask:

Mediante prueba y error, desencriptamos las dos partes codificadas

Efectos aplicados:
· Parte Izquierda -> Flip Left-Right -> Máscara FL
· Parte Derecha -> Invertir -> 3 x "M-" -> Máscara QO -> Flip Up-Down

Código resultante:
Fb50LGN6 -> ID de Pastebin

Parte 8 - Paso 4

http://pastebin.com/Fb50LGN6

En pastebin encontramos un script VBS.

Lo ejecutamos y nos solicita una contraseña, al introducir cualquier secuencia obtenemos un error:

El error nos indica que "No miremos en el código fuente" así que nos disponemos a mirarlo pero está encriptado.

El encriptado, se basa en llamadas a la formación de un caracter en base a un valor decimal que es el resultado de una operación sencilla.

Para desencriptarlo, recogemos los valores de cada caracter encriptado:

argData = [
  (138-26), (42+77), (9700/97), (2528/79), (89-28), (-10+42), (95-22), (140-30), (7392/66), (3627/31), (189-73), (133-67), (5772/52), (3240/27), (40*1), (95-61), (135-66), (98+12), (190-74), (7171/71), (114*1), (1376/43), (8932/77), (142-38), (909/9), (94-62), (171-56), (6565/65), (183-84), (170-56), (12+89), (213-97), (1632/51), (4*28), (155-58), (141-26), (180-65), (10234/86), (4440/40), (73+41), (115-15), (121-63), (340/10), (116-75), (1131/87), (260/26), (64-51), (-81+91), (126-53), (34*3), (-24+56), (1008/9), (6902/58), (8000/80), (-22+54), (1952/32), (121-89), (120-86), (175-78), (30+78), (155-47), (6111/63), (770/7), (5600/50), (5217/47), (5757/57), (90-56), (3168/99), (5712/68), (9568/92), (133-32), (9130/83), (20-7), (26-16), (720/80), (11*7), (156-41), (68+35), (30+36), (1332/12), (3840/32), (32*1), (-29+63), (4623/69), (168-57), (85+25), (7107/69), (5244/46), (92+5), (29*4), (171-54), (26+82), (32+65), (180-64), (4725/45), (160-49), (21+89), (65+50), (-45+78), (-40+72), (46+24), (176-65), (134-26), (12+96), (47+64), (6783/57), (17+15), (9744/84), (190-86), (1919/19), (116-84), (8568/72), (52*2), (46+59), (133-17), (160-59), (129-97), (81+33), (59+38), (178-80), (140-42), (5*21), (196-80), (44+14), (-42+74), (78+40), (90+7), (192-81), (146-57), (94+28), (182-97), (8364/82), (544/16), (4356/99), (2144/67), (68+50), (153-55), (62+11), (3080/28), (179-77), (116-5), (38*3), (176-67), (69+28), (106+10), (92+13), (188-77), (25+85), (-4+36), (2752/64), (93-61), (94+24), (137-39), (12+67), (113-6), (59+20), (208-98), (58+50), (5687/47), (30+14), (105-73), (8+26), (38+27), (162-57), (152-45), (5661/51), (144-34), (4690/70), (6525/75), (1*68), (-47+81), (78/6), (-4+14), (-26+95), (39+69), (920/8), (8+93), (260/20), (-59+69), (51-42), (107-30), (4140/36), (5+98), (136-70), (5661/51), (26+94), (4*8), (-48+82), (1+72), (31+79), (196-97), (57+54), (6612/58), (2052/18), (172-71), (133-34), (3712/32), (112-80), (76+36), (72+25), (139-24), (156-41), (5712/48), (144-33), (38+76), (9800/98), (37-3), (416/13), (137-99), (960/30), (9912/84), (2352/24), (51+16), (3*38), (117-41), (3*34), (106-74), (456/12), (32*1), (191-73), (3430/35), (2144/32), (178-64), (88-12), (9690/95), (60-28), (1178/31), (1888/59), (5428/46), (47+51), (71-4), (4560/40), (7296/96), (17*6), (93-61), (-28+66), (2240/70), (2822/83), (136-94), (2272/71), (-10+78), (44+67), (181-71), (585/15), (24+92), (16*2), (18*6), (83+28), (1332/12), (157-50), (21+11), (7308/63), (5512/53), (27+74), (2*16), (10350/90), (89+22), (210-93), (8550/75), (1584/16), (179-78), (2208/69), (33*3), (89+22), (138-38), (5959/59), (118-86), (1176/28), (26+8), (-32+76), (1920/60), (78+40), (160-62), (-28+95), (126-12), (62+43), (82+34), (122-17), (49+50), (114-17), (37+71), (-35+67), (67-24), (-66+98), (10148/86), (45+53), (5451/69), (84+23), (75+4), (107+3), (6912/64), (44+77), (30+14), (7+25), (107-73), (17+52), (1558/19), (135-53), (81-2), (170-88), (123-89), (1261/97), (420/42), (97-28), (22*5), (900/9), (118-86), (23+50), (125-23)
];

Usamos un motor de cálculo para operar este array de datos y recogemos el resultado:

Resultado:

argData = [
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
];

Transformamos la secuencia obtenida de decimal a ASCII y obtenemos el código fuente:

pwd=InputBox("Enterthesecretpassword:")

Ifpwd="allanpoe"Then

  MsgBox"Congratulations!Followthewhiterabbit:vaoYzUf",vbInformation+vbOkOnly,"AikonCWD"

Else

  MsgBox"Incorrectpassword"&vbCrLf&vbCrLf&vbCrLf&"*Don'tlookthesourcecode*",vbCritical+vbOkOnly,"ERROR"

EndIf

Del código fuente obtenemos la contraseña y también el ID que necesitamos, pero como queda más chulo meter la contraseña en el script y que aparezca el "Follow the white rabbit" lo compilamos de nuevo y lo hacemos:

Obtenemos código:
vaoYzUf -> ID de Imgur

Parte 8 - Paso 5

Se encuentra imagen con 7 columnas de 3 cifras.

Ajustando los niveles de la imagen obtenemos 2 coordenadas ocultas en la parte superior e inferior de la imagen:

Coordenada Azul:
50.82726811420644, 11.822726726531982

Coordenadas de Schönheitspflege Kahla.
En la imagen se observa un edificio llamado Ottendorf.

Coordenada Verde:
54.34053271965683, 10.049797296524048

Coordenadas de Ottendorf

Buscamos Ottenford y encontramos un cifrado conocido como tal:
https://es.wikipedia.org/wiki/Ottendorf (Cifrado)

Aplicando el cifrado descubierto sobre el libro El gato negro, teniendo en cuenta los símbolos y las cabeceras del libro, pero no los espacios:

https://www.ibiblio.org/ebooks/Poe/Black_Cat.pdf

Página: 13 - Fila: 03 - Letra: 43 -> b
Página: 02 - Fila: 03 - Letra: 25 -> 9
Página: 07 - Fila: 18 - Letra: 01 -> W
Página: 07 - Fila: 01 - Letra: 14 -> 7
Página: 05 - Fila: 28 - Letra: 43 -> x
Página: 11 - Fila: 29 - Letra: 14 -> d
Página: 10 - Fila: 22 - Letra: 11 -> D

Obtenemos un código:
b9W7xdD -> ID de Imgur

Parte 8 - Paso 6

Reordenamos imagenes y ajustamos niveles para descubrir mayúsculas:

Buscamos un caracter en Google Images y descubrimos que el alfabeto es de Aurebesh, un lenguaje de StarWars:

Traducimos desde el Aurebesh y colocamos mayúsculas y minúsculas en función de los datos encontrados en niveles:

Código obtenido:
jbJB6AP_jhs -> ID de Youtube.

Parte 8 - Paso 7

[video]https://www.youtube.com/watch?v=jbJB6AP_jhs[/video]

En el vídeo, se muestra un mensaje de corte de emisión muy antiguo.

El título está codificado en BASE64 (lo vemos por el = usado para el padding), así que lo decodificamos:

Zm9sbG93IHRoZSB3aGl0ZSByYWJiaXQ=
follow the white rabbit

Descargamos el vídeo y lo cargamos en un editor, en el que descubrimos que en dos fotogramas determinados en dos puntos diferentes del vídeo durante momentos de interferencias, hay ocultas lo que parecen dos mitades de un código QR, aunque está incompleto.

Para reordenarlo, a base de prueba y error:

Invertimos horizontalmente la primera mitad (la que contiene el marcador de alineamiento)
Invertimos verticalmente la segunda mitad (la que cocntiene los dos huecos para los marcadores de posición)
Invertimos el color de ambas partes y las alineamos según el estandar:

Proceso:

Completamos los datos restantes del QR gracias a la información del estandar, el cual nos indica que hay ciertos bits invariables en el QR, y luego lo escaneamos.

El código QR desvela un link:
http://www.mediafire.com/file/c8x2arw9rc32kkg/

http://www.mediafire.com/file/c8x2arw9rc32kkg/
g washington.rar

Descargamos el archivo RAR con la referencia al presidente Whasington y otra letra Ancient. En este paso, se acaba el hilo de pistas, por lo que llega el momento de continuar con los datos y archivos que hemos ido recopilando durante el juego, los cuales ahora mismo son 3:

· El archivo a1.wav del paso 1-3.
· La imagen con la clave 337666766733663 de 15 caracteres del paso 4-1.
· Las 8 letras Ancient correspondientes a los primeros 8 presidentes de USA.

10 - Presidentes

Parte 10 - Paso 1

Tenemos 8 imágenes correspondientes cada a una a un presidente, que muestran una letra en Ancient, un alfabeto de Stargate usado por los Alterans.

Ordenamos las letras según el orden de los presidentes:

Volteamos las imágenes las veces necesarias para que todos los fondos coincidan, y luego traducimos:

r Recta
w Tumabada
n Tumabada
a Recta
e Recta
h Recta
x Recta
h Tumabada

Obtenemos un código:
rWNaehxH -> ID de Pastebin

Parte 10 - Paso 2

http://pastebin.com/rWNaehxH

El pastebin contiene un link a Mediafire:
mediafire.com/file/7p88v8g61j4ad42

Descargamos desde Mediafire un archivo fractal.rar, que contiene una imagen, fractal.jpg

La imagen, muestra un dibujo fractal, y un código:

1561700231
978-1561700233

El código tiene un formato de ISBN-10 / ISBN-13, identificador único de libros.

Lo buscamos y encontramos las siguientes referencias:
ISBN-10: 1561700231
ISBN-13: 978-1561700233
The Power Is Within You de Louise Hay
https://www.amazon.es/Power-Within-You-Louise-Hay/dp/1561700231

El título del libro es:
The Power Is Within You
El poder está dentro de tí

El archivo llamado fractal, el título del libro "El poder está dentro de tí" y el fondo de la imagen que muestra un dibujo fractal, hacen referencia en todos los casos a "algo en el interior de algo".

Analizamos el archivo "fractal.jpg" con foremost en búsqueda de archivos ocultos y encontramos parte de una imagen:

Con foremost no logramos recuperar la imagen al completo, ya que aparece corrupta, por lo que decidimos llevar la operación a cabo manualmente.

Abrimos el archivo con un editor hexadecimal, y copiamos desde el archivo "fractal.jpg" toda la información entre la cabecera del GIF que habíamos conseguido parcialmente, y la última secuencia hexadecimal del mismo:

Desde cabecera:

47 49 46 38 39 61
G  I  F  8  9  a

Hasta final:

00 3b
    ;

Hexeditor:

Lo compilamos en un nuevo fichero GIF y esta vez ya tenemos acceso a la imagen completa:

Envíamos un correo en blanco a la dirección obtenida "secretmail903@gmail.com":

Recibimos como respuesta el código:
SIOjVNi -> ID de Imgur

Parte 10 - Paso 3

Obtenemos una segunda clave como la que encontramos en el paso 4 - 1 y que aun no habíamos usado:

Combinamos ambas:

Transformamos de hexadecimal a ASCII:

35 33 72 6f 69 62 78 64 6c 76 32 34 64 69 34
 5  3  r  o  i  b  x  d  l  v  2  4  d  i  4

Obtenemos un código:
53roibxdlv24di4 -> Mediafire

Parte 10 - Paso 4

http://www.mediafire.com/file/53roibxdlv24di4

Descargamos a2.wav, que también parece una emisión radiofónica SSTV.

Junto con a1.wav del paso 1-3, los interpretamos con la herramienta SSTV:

· av1.wav

· av2.wav

Combinamos ambas partes y generamos código QR:

Escaneamos y nos lleva a:
http://pastebin.com/jHxbnEam

Enviamos un MP a AikonCWD con el código "aikon<>nokia" y listo! Hemos acabado el ARG!

Espero que os haya gustado la guía y que os anime a participar en futuros eventos, si tenéis cualquier pregunta sobre algún proceso no dudéis en contactar conmigo!