Cómo geolocalizar una dirección IP que te resulte sospechosa para saber su ubicación
Elígenos como tu fuente preferida en Google.
Geo-Recon permite geolocalizar cualquier dirección IP mediante sus coordenadas, pero también te muestra un análisis para saber si es maliciosa o puedes confiar en ella.
Hacer una cosa y hacerla bien. Es la filosofía detrás de Geo-Recon, un repositorio de código abierto en GitHub que permite geolocalizar cualquier dirección IP que quieras, siempre para pruebas controladas en relación a direcciones de las que sospeches o creas directamente que son maliciosas. De tal forma, te da las coordenadas exactas de una dirección IP y, además, te ofrece un pequeño análisis para ver si es segura o no.
Saber analizar direcciones IP es fundamental en los equipos de seguridad, que ya utilizan equipos con herramientas automatizadas a mayor escala, pero para hacer pruebas en un laboratorio casero Geo-Recon es bastante sencilla de instalar y comprender, también para usuarios menos experimentados tanto en la consola como en herramientas de ciberseguridad.
Esta herramienta open source ha sido desarrollada por el usuario radioactivetobi y, a pesar de que lleva ya varios años sin recibir contribuciones, continúa funcionando de maravilla, con un enfoque minimalista directamente desde la interfaz. Aunque está desarrollado para Linux, lo cierto es que yo la he utilizado en la Powershell en Windows 11 sin ningún tipo de problema, cambiando ciertos parámetros.
Y es un regreso a lo mejor de las herramientas open source antes de que la inteligencia artificial inundara prácticamente todo con plataformas todo en uno que, a veces resultan muy útiles, pero que en su mayoría dependen de servicios de terceros a los que tienen que consultar, sin respuestas claras para los investigadores de ciberseguridad.
Para complementar a esta herramienta yo te recomiendo que tengas abierto Maps, ya que aquí no verás ningún mata, simplemente las coordenadas de la dirección IP que has consultad, además de otras características que te ayudarán a identificar el servidor, la tipología, el dominio, etc.
Te cuento qué puedes hacer con Geo-Recon y cómo puedes probarla fácilmente en menos de 5 minutos.
Qué puedes comprobar con Geo-Recon
La herramienta está basada en Python y, aunque resulte simple, es una excelente combinación de servicios de red y procesamientos de datos en este lenguaje. Al ejecutar el script con la dirección IP objetivo como argumento, la plataforma comienza a realizar consultas para elaborar un perfil detallado.
En el primer bloque, verás que aparece la herramienta Geo-IP, que es la encargada de ubicar la dirección IP a seguir, mediante diferentes características importantes para una investigación, como el país de origen, la región, la ciudad, la organización a la que pertenece, las coordenadas expresadas en longitud y latitud para buscar en un mapa, además del proveedor de servicios de internet (ISP).
En tal caso, Geo-Recon se conecta a bases de datos y servicios públicos de geolocalización mediante peticiones HTTP gestionadas por la librería requests con el objetivo de extraer todo estos metadatos y facilitar la investigación de los analistas. Recuerda siempre que, si lo haces en casa para probar, necesitarás el permiso estricto del objetivo, a excepción de algunas cuantas que te comentaré más adelante.
Con los datos de este primer apartado podrás revisar fácilmente si la dirección IP que estás buscando se corresponde con una organización corporativa con infraestructura propia o alojada, o si por el contrario depende de una residencia personal, un aspecto a tener en cuenta para ver desde el comienzo la gravedad de una IP sospechosa.
También permite la integración con escaneos activos añadiendo python-nmap, que es quizás la herramienta más potente de Geo-Recon, ya que no solo se revisarán bases de datos estáticas, sino que también se realizará un examen activo de puertos abiertos en la máquina objetivo para conocer si hay algo expuesto al exterior.
En el segundo bloque, denominado IP Reputation, podrás ver el nombre del dominio asociado, el hostname donde se aloja, el tipo de uso que se hace de este –por ejemplo, centros de datos o servidores–, el nivel de confianza de abuso –una puntuación para saber si es maliciosa o confiable–, el número de reportes asociados así como la fecha del último realizado y si está en listas blancas. A continuación, verás un ejemplo más claro.
Cómo buscar cualquier dirección IP con Geo-Recon
Para probar la herramienta, lo más importante es que hayas instalado previamente las últimas versiones de Python y Git en tu PC. Yo lo he probado en Windows 11 y, aunque está pensada para Linux, funciona de maravilla cambiando algunos parámetros, así que aquí verás el tutorial para tenerlo en el sistema operativo de Microsoft.
Una vez tengas Git y Python, simplemente tendrás que abrir la PowerShell en Windows y clonar el repositorio con el siguiente comando: git clone https://github.com/radioactivetobi/geo-recon.git. Y ve directamente a la carpeta de la herramienta con el comando cd geo-recon.
Aquí deberás realizar un paso importante si quieres tener python-nmap y evitar errores de rutas con módulos nativos de Python, modificando el archivo de dependencias de Geo-Recon (requirements.txt) o simplemente introduciendo el siguiente comando: pip install requests python-nmap colorama.
En Linux, el comando es mucho más sencillo, pero en Windows para ejecutar la herramienta y realizar una búsqueda rápida de dirección IP tendrás que forzar la codificación UTF-8 mediante el modificador -X utf8. Aquí puedes ver un ejemplo con la dirección IP autorizada de nmap para la realización de pruebas controladas:
De tal forma, si la dirección IP en este caso concreto es 45.33.32.156, que es la oficial perteneciente al dominio scanme.nmap.org, un entorno habilitado públicamente para prácticas educativas y de investigación, tendrás que cambiar tu dirección IP objetivo en el siguiente comando por la de nmap: python -X utf8 geo-recon.py 45.33.32.156.
Si quieres seguir practicando con otras a las que puedes acceder, puedes probar con grandes nodos DNS públicos, como el 8.8.8.8 de Google o el 1.1.1.1 de Cloudflare, para comprobar cómo se ofrecen todos los detalles. Sea como sea, recuerda que siempre la práctica ha de ser con permiso sobre direcciones IP de domicilios personales, etc. ya que lo contrario, además de no ser ético, puede acarrear consecuencias legales.