Marketing para Técnicoless

Recuerdo a mi amigo Fonte alegre y apresurado con su grabadora de tarjetas de códigos para ver los canales porno. Bueno, sí, él dice que para ver las películas y el fútbol, pero como ya sabéis, uno siempre reconoce a sus iguales (lo que yo no he visto nunca es ese curioso canal XY que tenía en la lista. ¿será de matemáticas?). Le recuerdo hablándome largo y tendido sobre los modelos de decos y como piratear los distintos hardware. Tarjetas que se caen, las que no se caen, etc…

Hablando con un colega de Vía Digital, me explicaba que la fusión/compra estaba cerca, que había una guerra por ver el ratio, que la batalla se iba a librar en el número de clientes y que el factor que marcaría la diferencia no podía ser otro que el que fuera más fácil de piratear.

Recientemente, charlando mientras papeabamos, con un amigo, del cual, para aquellos que hiléis fino sabréis porqué, no puedo decir su nombre, me explicaba como fluctuaban las ventas de las consolas de juegos en función de si se puede piratear para ver películas en DVD, DIVx y juegos piratas o no. De hecho, yo tengo una bonita XBOX por algo.

“¡Coño!”, dije yo, con una iluminación clarividente de marketing, “¿por qué no sacamos las consolas con codecs divx?”. La idea es buena, ¿eh? Consolas con divx sin necesidad de chipearla ni falsearla ni na de na. Pero “él” me lo explicó:

No podemos, imagina, que permitimos que una consola cualquiera no trajera un sistema de comprobación sobre los juegos originales y que tú, desarrollas juegos. ¿Los programarías para nuestra consola? Vale, si no hay juegos, tú comprarías un “reproductor DIVX” por 400 leuros? Vale, pero ahora piensa, ¿hay alguna consola que no se haya pirateado? Luego, si tú ofreces una consola con medidas de seguridad, que convence a los especialistas antipiratería de las compañías que venden juegos, estos harán muchos juegos y luego, cuando tienes, gracias a la calidad de los juegos, muchos clientes van y se saltan el sistema de protección. ¿es culpa tuya? Y … ya que está pirateada ¿Te comprarías una consola dabuti con mogollón de juegos y que además permite juegos piratas, ver divx, fotos, etc… vamos, como el XBOX MediaCenter?

Bueno, así lo fui pillando. Y ahora, fíjate tú ¡qué casualidad! el mismo día que sale el Windows Vista a la calle, alguien va y les hace un regalo, y va y dice que se puede eliminar ese ligero problemilla del Día del Rico Marketing que a muchos técnicoless tenía preocupados. Y estos, contentos, disfrutan de poder ¿hundir? a Spectra y a Vista.

Creo que, el tipo del anuncio éste, debería estar agradecido a los Técnicoless por ayudarle a promocionar el producto.


Gracias nilp0inter por el video
Por cierto, la explicación del porqué del Día Romantico a Mogollón por el equipo de Vista. ¡Viva el Marketing! Saludos Malignos!

20 Mb a los 8 Mhz

He de reconocer que yo he visto correr el Windows Server 2003 R2 en Pentium MMX a 233 Mhz con 128 Mbs de RAM en una empresa que decía que tenía que actualizar el hardware y además con pruebas de estress como servidor de ficheros para estaciones de trabajo Windows XP y sacándole los colores a un servidor de ficheros Linux Debian con pruebas de estrés.

Ya se, ya se, esto seguro que estaréis pensando que es una trola que me estoy tirando, pero me vais a permitir que no saque los datos porque los test se hicieron en Spectra y el truco fue, un Windows Server 2003 R2 configurado por la propia Spectra contra un Debian Linux con Samba configurado por los administradores de una empresa muy grande, muy grande que negocia con mucho dinero, mucho dinero. Los datos saldrán a su tiempo (cuando me lo permitan sin cortarme las orejas). Sí, el estudio era Samba contra SMB Server, no era SMB Server contra NFS y ambos, con clientes Windows XP SP2, pero este no es el objeto del post de hoy, ya dejamos los rendimientos de servidores de ficheros para otro día, que hay más que panes.

El tema, es que yo pensé que después de haber visto los clusters más insólitos de la historia, como el de Xbox, PlayStation 2 y el de losFurbys, que iba a ser difícil ver rarezas que me llamaran la atención. Pues no, resulta que unos tipos dicen que han instalado Windows XP en equipos downclockeados hasta 8 Mhz y con 20 Mb de memoria RAM y… Joder, yo no me lo puedo de creel. Mi logró más grande fue meter en un 486 DX2 a 66 MHz un Windows 95 con 16 Mb de RAM e iba ya como para levantante de la cama, encender el ordenador, desayunar, comer y después de cenar abrir el buscaminas. Por lo visto con el kernel de XP y Windows Server es más fácil y consumen menos que los diesel. ¿será cierto que lo han hecho?

XP Minimal-Requirement-Test

Bies, Bies.

Se buscan Profesionales

La vida te da sorpresas y ayer me dio dos sorpresas la mía en forma de cambio de fechas de exámenes, es decir, originalmente las fechas era 2 y 10 de Febrero, pero han pensado que mejor si eso los hacemos el 30 de Enero y el 1 de Febrero, con lo cual me he pasado un domingo divertidísimo, pero… como soy muy responsable (XD) no quería faltar a mi cita de publicar los posts en los blogs correspondientes. Sí, porque como ya muchos sabéis, a parte de pegarme aquí con vosotros casi una vez al día, escribo el blog de un amigo sobre Tests de Intrusión (con calma y cuando puedo) y ahora me he liado a escribir con unos compañeros en un blog sobre las cosas técnicas de Windows Vista. (¡Si te apetece colaborar dilo!). Así que, elegí el tema de las tecnologías de protección contra los desbordamientos de buffer y estuve documentándome un poco sobre los canarios, el tema del NX o DEP (Data Execution Prevention) por hardware, la diferencia con DEP por software y el famoso ASLR (Address Space Layout Randomization) y como no, buscando también como se implementa en Linux. Me llamó la atención, al leer que ASLR llevaba tiempo incluido dentro de las funciones PAX en grsecurity pero que la mayoría de las principales distribuciones no lo llevaban incluido de serie. ¿Por qué?

No lo se, la verdad, ¿tal vez sea la falta de una comunidad para dar soporte?No tengo ni idea, lo que sí es cierto es que hacer comunidades para cosas complejas empieza a ser bastante dificil. Al leer la historia de PAX me llama la atención que después de una vulnerabilidad de seguridad que permitía elevar privilegios se intentara buscar un nuevo líder del proyecto, pero no se encontrara a nadie y tuviera que seguir el original. ¿Tal vez por falta de motivación? ¿o por falta de conocimientos? No se, pero a veces conseguir gente buena es bastante complicado. Otra ejemplo de esto que lleva tiempo rayándome es el tema de la documentación. Estoy enfrascado en una nueva apirolada que consiste en montar el IPSec con autenticación LDAP, una de las novedades que vienen en Windows Vista y Longhorn y me fui a ver si lo podría hacerlo integrando un Linux (que es la idea, de hecho, la idea es usar el Open-Ldap si se puede) y al ver el proyecto de documentación se me cayó un poco el alma a los pies.

The Oficial IPSec HowTo for Linux es un documento de 30 hojas (la última es en blanco y las tres primeras son créditos, índice y versiones de cambio, luego nos quedan 25 hojas) y cuya última actualización es de Septiembre de 2005. Joder. Sí, ya se, lo bueno si breve dos veces bueno, pero vamos, que le faltan mil cosas.

Escuchando a Linus Torvalds en una entrevista grabada se ve lo complicado que resulta mantener toda la tecnología que hay hoy en día desarrollada. Como dice él: “ya no quedan problemas obvios con soluciones obvias”.

Lo de que los programadors del kernel no son "friedliest" es un chiste de LT. ;)

En fin, lo dicho, si eres bueno, el mundo de las oportunidades se abre para ti.

Con Ganas de Pelea

Bueno, ya pasó una de las tres semanas mortales que tengo por delante. Después de hacer el examen el jueves y viajar a Barna y hacer mil cosas, no tenía muchas ganas el viernes de nada, así que directamente, me autoflagelé un poquito con las críticas de mis amigos. Hoy, ya descansado (caí en la cama a las 9 de la noche de puro agotamiento) me levanto con ganas de pelea, así que primero a por mi amigo Mr Fud.

El tema es que yo escribí un post diciendo que "Cool" Google es una empresa grande, como Spectra, que en esto no hay mágia que si quieres que salgan las cosas bien, hay que hacer mucho trabajo y que se le acusa a Spectra de cosas que al resto de las empresas no se les acusa.

Julieta (voy a seguir con ese nombre, que me da mucho morbo) jugó a escribir una analogía de mi texto. No quise contestarlo, porque después de todo lo que llevo escrito durante este año, pensé que no hacía falta, pero ... como el capuyo se lo ha pasado fetén a mi costa (XD) pues ahora, que tengo ganas de guerra, te pongo unos comentarios.

Dice:

Bueno, Bueno. Ya descansado, me encuentro más recuperado y con ganas de guerra, así que voy a decirte un par de cositas sobre el comentario:

En un país como España, donde el uso de Windows es el mayor del mundo, y donde otros servicios como freebsd, MacOsX, Linux, son meras rarezas.

[Bronxtolita]
Sí, de hecho son las rarezas más grandes del mundo, pq la imnplantación en Extremadura de Linex y la de Guadalinex son de las más grandes del mundo lo que le llevo a lucir portadas de revistas a nuestros políticos de el españa cañí
[/Bronxtolita]

La seguridad de los servicios de Windows se convierte en un asunto de primera magnitud.Pensando solo en que tienen el 95 % de cuota de mercado en sistemas operativos podrían ser capaces de gestionar la información que llega a los usuarios y mediatizarla. Si quisieran, que no quieren. (no empecemos con teorías conspiratorias)

[Bronxtolita]
¡cierto!! Totalmente cierto!! Por eso, los Cuerpos de Seguridad del Estado tienen acceso al 100 % (perdón, ¿he dicho el 100 %? sí, sí, he dicho el 100 %, porque es el 100 %) del código fuente de Office y Windows, NO como decía yo en mi artículo, del código de Google!. De hecho, un amigo nuestro común, en una reunión en las oficinas de Google en Madrid se le ocurrió hacer en diciembre TAN ESTUPIDA PREGUNTA.
[/Bronxtolita]

Los problemas de Microsoft con la seguridad han ido parejos al crecimiento de la compañía en todas las áreas. En el pasado quedan los fallos que han permitido tomar el control de las cuentas de los usuarios, los agujeros de IE, la nunca jamás tan divertida cagadita de los ficheros WMF, que rápidamente fue tomado por un amiguete que pasaba por allí o la publicación accidental del código de windows en el emule.

[Bronxtolita]
De hay, hasta el nacimiento de la Trustworthy Computing Iniciative, en la que, tras fichar a personas como Michael Howard o Don Box y la creación del SDL, hizo que los fallos de los productos de Microsoft descendiera radicalmente en comparación con los fallos de sus competidores. Tanto es así, que la forma de gestionar los fallos de seguridad está siendo seguida por compañías competidoras (incluidas algunas de SL).
[/Bronxtolita]

En cuanto a mi amigo "Pajarraco" de los Santos y sus mensajitos al Spectra Office.

[Bronxtolita]

La gestión de los fallos de seguridad, como tu ya sabes tiene en Micro.., perdón, en Spectra una triple aproximación. Primero la mitigación con el SDL, segundo lugar la remediación por medio de una política de actualizaciones de seguridad que aune rapidez y calidad, esto a veces no es posible, como bien sabes, ya que, como hemos hablado muchas veces en privado, Spectra tiene firmados compromisos de prueba con multiples fabricantes de aplicaciones de Software que se realizan sobre el API de sus productos (por eso vienen siempre con el SDK). Así un parche de Office, debe ser probado en todos los sistemas operativos, en todos los idiomas y con todos los productos que tiene firmado. Luego vienen las pruebas de funcionamiento unitario, el test de integración, las de compatibilidad, las pruebas de regresión y, si afecta a componentes de E/S las pruebas de impresión. Es decir un parche se realiza en 3 cuartos de hora, porque, como ya sabes, todo el código de los productos de Spectra, está identificado y se conoce a su programador, pero las fases de prueba y despliegue se hacen con mucho cariño.

Sí, siempre podríamos utilizar la filosofía de tu OO (OtroOffice) de entregar las cosas WITHOUT WARRANTY "AS IT" y luego cobrar, no se, en lugar de una licencia, por servicios, que contrataran un mantenimiento mensual o anual obligatorio (¿o crees que se pueden tener productos en las grandes empresas sin mantenimiento contratado?) No, los parches que entrega Spectra llevan WARRANTY, ¿qué tontería verdad?

O podemos jugarnos la vida e instalar parches no oficiales, como uno que llegaron a recomendar muchas empresas y que luego daba un error muy tonto en ciertos sistemas operativos en ciertos idiomas, con el modulo de impresión (y no quiero señalar). Luego se recomendaba también desinstalar y aplicar el oficial, pero...., ¿habrían hecho todas las pruebas de regresión adecuadas en todos los sistemas operativos, idiomas, etc... o sería también jugar a la ruleta rusa?

La tercera aproximación es una que conoces bien tú, por el tema del Phising, consiste en localizar y cerrar los servidores que atacan a sus clientes con el equipo del MSRC (Spectra Security Response Center) y del MIIST (Spectra Internet Investigation Security Team) y entregar a la gente de seguridad los listados con todos los sitios, reportados a Spectra (bquintero), atancando (vamos, ese excel que te enseñe el día de la charla.

[/Bronxtolita]

Bueno, venga, un poco de caña, que esto ya parece barrio sesamo de, como dicen en Pulp Fiction, "chuparnos las pollas". Esto es El lado del Mal por algo, coño.

Pillando cacho

Hace ya algún tiempo Gabino Diego representaba una obra que se llamaba “Una noche con Gabino”. En ella, además de disfrazarse de Elvis Presley con su pelucón y su traje blanco, contaba historias de su vida mientras iba cantando, imitando a sus amigos y riéndose de si mismo. Yo tuve la suerte de asistir a tres representaciones por eso de que me invitaban y me gustó mucho una cosa que hacía: Recitar sus críticas, pues de ellas se aprende.

Hace ya unos días me pusieron una crítica en un blog y la quiero poner aquí también, por que me parece un buen comentario digno de debate, así que lo pongo.

Mr. Fud

No os hagáis ilusiones de poder ligar con Julieta, pues a pesar de su bonito nombre y de lucir larga cabellera, en la casilla de sexo de los cuestionarios, el redactor del post, marca la H.

Bueno, pos lo dicho, para que conste lo dejo, ya que como dice un amiguete, las opiniones son como los culos, todo el mundo tiene uno. El resto de derivaciones de esta metáfora os la dejo a vuestra elección.

PD: Nos conocemos personalmente y hemos charlado antes (no mucho, es cierto) y hemos cambiado correos después, no hagamos de esto una guerra, solo quiero que conste su comentario, aunque difiera de él, por supuesto!.

PD2: Vaya, el pajarraco de los Santos, también me deja una dedicatoria

PD3: ¡¡Cabrones, que bien os lo pasais a mi costa!!. Esto va por "tocas" ¡¡ya os la devolveré perros!! ;)

Examen de con Ciencia

Tienes 1 hora para contestar estas 10 preguntas. Cada una puntua 1 punto sobre 10. Para aprobar es necesario obtener más de un 5. Cada respuesta erronea resta 0.5. Suerte.

1.- ¿Sabes en qué consiste la disputa entre los “abacistas” y los “algoristas”?

Respuesta

2.- ¿Sabes qué es un “suan-pan”?

Respuesta

3.- ¿Sabes qué es el mecanismo de Antykithera?

Respuesta

4.- ¿Sabes qué es EDVAC?

Respuesta

5.- ¿Sabes quién enunció el examen que realiza el Blade Runner al replicante?

Respuesta

6.- ¿Sabes qué compañía se llamaba Tabulating Machine Company?

Respuesta

7.- ¿Sabes quién escribió una versión de BASIC para el Altair 8800?

Respuesta

8.- ¿Sabes cuál era la notación numérica usada en Mesopotamia (2000 AC)?

Respuesta

9.-¿Sabes cuánto dura el ciclo “Metónico”?

Respuesta

10.- Describe cómo funciona el sistema de los huesos de Napier

Respuesta

¡Si has aprobado por favor, ven a hacer el examen que estoy haciendo yo ahora!

Saludos Malignos!

PD: ¡¡Deseadme suerte!!

No follarás en vano

La cena con el señor Julio Canto y Sergio de los Santos fue más que gratificante con el shushi (o chuhi), también fue educativa. Allí nos desgranaron los objetivos de los phisers y como se pagaban las cuentas de usuarios. Ahora me entero que se está difundiendo un un nuevo troyano similar a los bancarios, pero enfocado solo en el robo de contraseñas de Messenger y por ahí sí que no paso. Ya se había hecho antes, pero ¿gastar todo el intelecto y tecnica de los phisers en hacer otra vez otro capuyo de estos pero más moderno para volver a jodernos el messenger?.

Me pueden joder el ordenata, me puden robar la pasta, pero ¿quitarme el sistema de ligoteo???? ¡Eso ni de coña!, con lo más sagrado no se juega joder, que bastante es ser hombre, feo y encima informático como para que ahora nos quiten nuestra única salvación. Menos mal que no lo difunden junto con el porno porque si no, me hacen un siete. Ya tuve que elegir entre usar el ordenata para transacciones electrónicas o bajar porno (a riesgo de infectarme) y joder, no me ha venido mal el ejercicio de ir a visitar a mis cajeros/cajeras.

Me contaba el bueno de Virgilio como su amigo tenía un Excel asociado a las cuentas del Messenger en el que iba anotando las conversaciones y las características físicas y de disposición de cada una de sus contertulianas, la dirección geográfica, etc... Vamos, que ya no tendremos que sacar plugins para poner emoticones o cositas así, sino directamente colguemos los Reporting Services y los Analysis Services de SQL Server 2005 del Messenger para controlar enfermedades venéreas, distancias para calculo de rutas, etc…

En fin. Triste vida.

Si a mi me mangan todos esos datos una vez recapitulados ya me jodería. Si es que no respetan nada estos delincuentes!

MSN Password Stealer

¿Cómo lo haremos sin Messenger (o cualquier otro servicio IM)? ¿Bajando a los bares?
Bies

Solucionario al Reto Hacking

Bueno, ya lo voy a dar por cerrado el primer reto, lo dejaré puesto para que el que quiera practique. A Dani K. que fue el segundo ganador ya le di su libro de Writting Secure Code en Valencia a David le entrego los gallumbos (calzoncillos) el 26 de Febrero en el Training Day de Madrid, a Romansoft espero verle pronto, al igual que a Dani Alonso, Xergius y Mandigo, que si no fuera por mis examenes ya estaría quedando con ellos.

En Valencia le pedí a Dani K. que me escribiera un solucionario explicativo para publicarlo, y el tipo se lo ha currado, así que os lo publico hoy en el siguiente Post.

Todos me enviaron su solución e incluso Xergius publicó su script.

http://pastebin.com/861245

Pasadlo bien!

Solución al 1er Reto Hacking Web por Daniel Kachakil

Introducción

Este documento describe una posible solución al primer Reto Hacking Web de Informática 64 que se publicó a finales de 2006 en la siguiente dirección web:

http://www.informatica64.com/retohacking/

El reto consistía en acceder a una hipotética zona privada a través de una página de autentificación. Para ello se podía utilizar cualquier elemento de la web, respetando siempre las reglas establecidas para ello.

Reglas del juego

Entrando en la página principal del reto nos encontramos con el siguiente texto que contiene la descripción y las reglas. Literalmente teníamos este texto:

Lo que os propongo aquí es un pequeño reto, sobre técnicas de hacking en aplicaciones web. La idea es sencilla, para entrar en una zona privada se nos pide una contraseña, no hay gestión de usuarios, solo se necesita una contraseña. Esta contraseña podría ser cambiada cada semana y enviada a los que tienen privilegios por mail cifrado o dicha de voz, o como nos de la gana, sólo es un juego.

La zona privada a la que se tiene acceso con la contraseña está ubicada dentro de una página web que tiene más información y que en este caso está representado por todos los elementos que se ven en la Web. Cualquier elemento que esté en ese mini-web puede ser utilizado para encontrar la palabrita de paso. La Web está en un servidor aislado detrás de un firewall en Informática64, asín que, cualquier escaneo con scanners de vulnerabilidades o similar provocará que se bloqueen ips. Si la tocada de webs es mayor, entonces cortaré el juego y listo calisto.

Para pasar el reto solo se necesita "la herramienta más poderosa jamás creada" y... un juguetito que sabréis cual es cuando lleguéis a ese punto, observar, repasar un poco los deberes y pensar. Pensar es la clave para este juego. No es trivial pero ni mucho menos es imposible. No me creería que no lo sacase NADIE. El juego está montado a partir de varias auditorias de seguridad que hemos realizado, de dos en concreto que me gustó mucho resolver y que las he fusionado en una sola, así que si Rodol y yo pudimos, vosotros también.

Iré regalando cosas a los que lo vayan sacando (gall..., camisetas, etc...) pero si alguien detecto que se lo han chivoteado (y lo hace solo por ganar la camiseta) entonces le daré la camiseta y lo pondré en la lista de "copiotas".

Maligno.

PD: Gracias a Alex que se curró la programación del juego.

Pistas

Los participantes del reto teníamos a nuestra disposición dos pistas accesibles directamente a través de la página principal. Este era el texto de las pistas:

PISTA 1
Lázaro, engañado me has. Juraré yo a Dios que has tú comido las uvas tres a tres.
No comí -dije yo-; mas ¿por qué sospecháis eso?
Respondió el sagacísimo ciego:
¿Sabes en qué veo que las comiste tres a tres? En que comía yo dos a dos y callabas

PISTA 2
Access denied. Insert contraseØa

Solución al reto

Ahora que estamos plenamente ubicados en el contexto, vamos a ponernos manos a la obra, teniendo siempre presentes las reglas y las dos pistas del juego.

Análisis inicial

Basta con echarle un vistazo a la página principal para diferenciar cuatro zonas bastante típicas en la web. Arriba vemos una cabecera, a la izquierda un menú de navegación, en medio está el contenido de la página en la que estamos y a la derecha un poco de publicidad con los próximos eventos.

Lo primero es lo primero, así que le echamos un vistazo al código HTML de la página y observamos que las zonas comentadas anteriormente coinciden con cuatro marcos (frames).

[FRAMESET rows="184px, *%" border="0"]
[FRAME src="titulo.htm" border="0"]
[FRAMESET cols="200px, *%, 246px" border="0"]
[FRAME src="indice.htm" border="0"]
[FRAME id="contenido" src="inicio.htm" border="0"]
[FRAME src="publicidad.htm" border="0"]
[/FRAMESET]
[/FRAMESET]

Al estar programada con marcos, normalmente al navegar por la web no veremos la URL de la página en la que estamos, así que tendremos que analizar un poco más a ver dónde nos lleva cada uno de los enlaces del índice.

Si pasamos con el ratón sobre el menú de navegación, observamos que cambia la barra de estado del navegador, mostrando una serie de funciones JavaScript, lo que nos incita a ver el código HTML de la página “indice.htm”. De esta forma, vemos lo que pasa cuando pulsamos sobre cualquier elemento del índice:

[script type="text/javascript" language="javascript"]
function Entrada() {
parent.frames[2].location = 'login.aspx';
}

function Pista(num) {
parent.frames[2].location = 'pista.aspx?id_pista='+num;
}

function Ganadores() {
parent.frames[2].location = 'ganadoresReto.aspx';
}
[/script]


ENLACE ACCIÓN DESTINO
---------------------------------------------------------
Entrada - javaScript:Entrada()- login.aspx
Pista 1 - javaScript:Pista(1) - pista.aspx?id_pista=1
Pista 2 - javaScript:Pista(2) - pista.aspx?id_pista=2
Ganadores - javaScript:Ganadores() - ganadoresReto.aspx

Llegados a este punto solamente nos queda ir analizando cada una de las páginas, a ver si encontramos algún “despiste” que nos permita dar con la solución. Siguiendo con el planteamiento, lo lógico sería intentar buscar un punto de entrada con el que se pueda hacer algo. En principio parece que tenemos dos sitios:

- En la página “login.aspx”, el campo de texto “contraseña”
- En la página “pista.aspx”, el parámetro “id_pista”

Página de autentificación

Empezaremos por lo que parece más evidente, es decir, por la página de autentificación. Observamos el código HTML y vemos que aparenta ser un tanto complejo a primera vista. Varias funciones y varios ficheros de script con unos parámetros bastante crípticos. Estoy seguro de que más de uno le habrá dedicado unas cuantas horas a analizar esos ficheros sin llegar a ninguna conclusión. Es lógico, puesto que son scripts generados automáticamente por la plataforma ASP.NET 2.0 y no parece muy razonable que alguien se haya dedicado a cambiarlos. La única conclusión que podríamos extraer de ellos es que el campo de la contraseña es obligatorio para enviar el formulario, lo cual no nos aporta gran cosa, aunque también observamos que tampoco hay más validaciones sobre dicho campo (ni longitud, ni rango de caracteres, etc).

Podemos ir haciendo pruebas con ese campo, a ver si logramos entrar directamente, o al menos que nos aparezca algún mensaje de error que nos ayude a conseguir nuestro objetivo. Podemos jugar a adivinar la contraseña, a desbordar el campo, colarnos usando inyección SQL o meter caracteres extraños, pero hagamos lo que hagamos al final parece que siempre nos encontramos con el mismo mensaje: “Contraseña Incorrecta. Vuelva a intentarlo”.

Todo indica que la puerta principal parece bastante bien protegida, así que tendremos que intentar colarnos por alguna ventana, es decir, la página de las pistas.

Página de pistas

Recordemos que teníamos un parámetro llamado “id_pista” al que se le pasaba un valor numérico (1 ó 2). ¿Y si metemos 3, 4, 5, etc? ¿nos aparecerá la pista secreta que nos permita superar la prueba? Jeje, más quisiéramos, pero nada más lejos de la realidad… simplemente nos aparece el texto de la pista 1.

Parece bastante razonable deducir que las pistas salen de alguna tabla de una base de datos. También sería lógico deducir que dicha base de datos podría ser la misma que almacena la tabla de usuarios o la contraseña, así que de momento mantendremos estas suposiciones.

Asumiendo que estamos ante una consulta SQL, hacemos algunas pruebas más con el parámetro, por ver si aparece algún mensaje de error que nos ayude:

http://www.informatica64.com/retohacking/pista.aspx?id_pista=3
http://www.informatica64.com/retohacking/pista.aspx?id_pista=1'
http://www.informatica64.com/retohacking/pista.aspx?id_pista=2'
http://www.informatica64.com/retohacking/pista.aspx?id_pista=abc

En todas las pruebas anteriores (y en muchas otras que se nos podrían ocurrir), aparece el texto de la pista 1. Esto nos lleva a pensar que existe algún tratamiento de errores que establezca por defecto el valor 1 en caso de fallo. Pero cuidado que aún no podemos asegurar que se trate de una sentencia SQL, ya que podría ser un simple bloque IF-ELSE metido directamente en el ASPX.

Para poder seguir con el razonamiento, tenemos que asegurarnos que detrás de ese parámetro hay una instrucción que suponemos similar a esta:

“SELECT * FROM pistas WHERE id_pista=” + [parámetro]

Por ahora también asumiremos que todo lo que pasamos en el parámetro está concatenándose con la consulta anterior, así que ahora solo nos falta demostrar ambas suposiciones. Para ello vamos a probar añadirle al parámetro una condición tautológica (que siempre es cierta). Como hemos comprobado que cualquier error nos lleva por defecto a la pista 1, probaremos con la pista 2:

SELECT * FROM pistas WHERE id_pista=2 AND 1=1

Vemos que haciéndolo de esta forma, efectivamente nos aparece el texto de la pista 2, por lo que no se ha producido ningún error y parece que podemos concluir que las suposiciones anteriores eran correctas. De todas formas, comprobaremos que añadiendo una condición falsa, que no devuelva ningún resultado, nos encontraremos de nuevo con el texto de la pista 1:

SELECT * FROM pistas WHERE id_pista=2 AND 1=0

Estamos ante un caso típico en el que podemos aplicar técnicas de inyección ciega de SQL (blind SQL injection). ¿Ahora se entiende la pista de Lázaro y el ciego?

Ahora el juego consiste en construir una sentencia SQL que nos permita deducir más información, asumiendo que las preguntas que hagamos solo pueden tener dos posibles respuestas: verdadero o falso (es decir, pista 2 o pista 1, respectivamente).

Determinando la estructura de la tabla

Ya sabemos que detrás de todo esto se esconde un motor de base de datos que está ejecutando las sentencias SQL, por lo que ahora trataremos de averiguar cual es, basándonos en las peculiaridades de cada uno de los más extendidos. Para ello usaremos la siguiente sentencia, que nos permitirá saber si existe una determinada tabla (de aquí en adelante sustituiré la parte inicial de la URL por unos puntos suspensivos):

http://www.informatica64.com/retohacking/pista.aspx?id_pista=2
… AND (SELECT Count(*) FROM Tabla) >= 0

En caso de existir la tabla, no se producirá ningún error y la condición que hemos añadido será verdadera, por lo que aparecerá el texto de la pista 2. En otro caso, se habrá producido un error (la tabla no existe o no tenemos permisos para leerla), por lo que veremos el texto de la pista 1.

La mayoría de los gestores de bases de datos representan la información acerca de las bases de datos que contienen en unas tablas y vistas especiales que son bien conocidas. Por ejemplo, en SQL Server tendríamos “sysobjects”, en Access “MSysObjects”, etc.

Desgraciadamente, ninguna de las pruebas para acceder al catálogo de la base de datos nos lleva a ningún sitio. Parece que técnicamente es imposible determinar el nombre de la tabla que buscamos, salvo que usemos la fuerza bruta probando todas las posibles combinaciones. Es una opción que está ahí y podría ser factible, al igual que podríamos haber hecho con la contraseña en la página de entrada, pero de momento vamos a dejarla como ultimísimo recurso. Sigamos con razonamientos más lógicos…

Ya que nos encontramos en un punto muerto, intentaremos sacar más información sobre la tabla de pistas, a ver si tuviera algo interesante. Pongámonos en la mente del programador o diseñador de la base de datos. ¿Cómo llamaríamos a la tabla que contendrá las pistas? Probamos con “pistas” sin éxito y “pista” con éxito. De momento ya tenemos una pequeña pista más: parece que el que diseñó la base de datos opta por poner los nombres de las tablas en singular y no utiliza ningún prefijo.

Por curiosidad, determinamos que la tabla de pistas solamente contiene dos filas, por lo que no vale la pena seguir buscando más por ahí.

… AND (SELECT Count(*) FROM pista) = 2

Aplicando el mismo criterio, vamos a ver si somos capaces de determinar más información útil. ¿Cómo llamaríamos la tabla de usuarios? Aunque sabemos que no hay gestión de usuarios, probamos con “usuarios”, “usuario”, “login” y lo que se nos ocurra hasta probar con “contraseña”, momento en el que nos salta un error 500 de validación de filtro HTTP del ISA Server. Parece que no le ha gustado la “ñ”, así que probamos sustituyéndola por otras letras hasta que casualmente damos con una tabla existente llamada “contrasena”. Vale, ha sido cuestión de suerte (basada en la lógica), sí, pero ¡¡ahora ya tenemos el nombre la tabla!!.

¿Cuál es el siguiente paso? Bueno, digo yo que habrá que conocer la estructura los campos y filas que tiene la tabla, así que adelante con ello. Ya sabemos cómo determinar el número de filas que contiene así que vamos a probar con esto:

… AND (SELECT Count(*) FROM contrasena) = 1

Vemos que solamente hay un registro, lo cual es razonable teniendo en cuenta que en la página de login no había nombre de usuario ni nada por el estilo. Bien, ahora podemos aplicar otras técnicas de inyección de SQL para determinar el número de campos de la tabla y el tipo de datos de cada uno de ellos, aunque tampoco nos servirá de mucho. Otra opción es ir probando nombres de campos, sustituyendo el asterisco de la consulta anterior. Como siempre, si el campo no existe veremos el texto de la pista 1.

… AND (SELECT Count(campo) FROM contrasena) >= 0

Hacemos varias pruebas sin éxito hasta dar con el campo, que resulta llamarse también “contrasena”. Vaya, parece que hoy la suerte está de nuestro lado, aunque tampoco debemos olvidar que los pasos que hemos seguido son bastante lógicos y que el factor humano siempre suele ser importante en estos casos.

Obtención de la contraseña

Ahora que tenemos el nombre de la tabla y el campo, solamente nos queda leer el campo, meterlo en la página de login y ya está (bueno, o eso parece). Para ello, añadiremos una condición que nos permita ir adivinando la contraseña. Asumiendo que la contraseña es de tipo texto, podríamos empezar por algo como esto:

… AND (SELECT Count(*) FROM contrasena WHERE contrasena LIKE ‘%’) > 0

Lógicamente, la condición anterior se evalúa a cierto. Ahora es cuestión de paciencia ir sacándola haciendo preguntas como un niño pesado: ¿la contraseña empieza por A? ¿y por B? ¿y por C? ¿y por D? Al final daremos con el primer carácter, que resulta ser un cero.

… AND (SELECT Count(*) FROM contrasena WHERE contrasena LIKE ‘a%’) > 0
… AND (SELECT Count(*) FROM contrasena WHERE contrasena LIKE ‘b%’) > 0
… AND (SELECT Count(*) FROM contrasena WHERE contrasena LIKE ‘c%’) > 0
… AND (SELECT Count(*) FROM contrasena WHERE contrasena LIKE ‘0%’) > 0

Ahora que tenemos el primer carácter, vamos a por el segundo con el mismo procedimiento:

… AND (SELECT Count(*) FROM contrasena WHERE contrasena LIKE ‘0a%’) > 0
… AND (SELECT Count(*) FROM contrasena WHERE contrasena LIKE ‘0b%’) > 0
… AND (SELECT Count(*) FROM contrasena WHERE contrasena LIKE ‘0c%’) > 0

Acertamos a la tercera, ya que el segundo carácter es una “c”, así que continuamos con el procedimiento, obteniendo un “9”, luego un “4”, etc.

Como parece que la cosa se alarga y hacer esto a mano es un poco pesado, vamos a automatizar el proceso, asumiendo que la contraseña está en formato hexadecimal. Para ello utilizaremos un pequeño programa desarrollado en Visual Basic.NET (en este caso la versión 2.0 de .NET Framework).

Dim url As String = "http://www.informatica64.com/retohacking/pista.aspx?id_pista=2"
url += " and (select count(*) from contrasena where contrasena like'{0}%')=1"
Dim resultado As String = "0c94"

For i As Integer = 1 To 30
For Each caracter As Char In "0123456789abcdef".ToCharArray
Dim pruebaUrl As String = String.Format(url, resultado + caracter)
My.Computer.Network.DownloadFile(pruebaUrl, "c:\temp.txt")

Dim fichero As New IO.FileInfo("c:\temp.txt")
Dim tamaño As Long = fichero.Length
fichero.Delete()
If tamaño < 800 Then
resultado = resultado + caracter
Continue For
End If
Next
Next
MessageBox.Show(resultado)

La idea no era desarrollar un algoritmo eficiente, sino que nos cueste menos escribir el programa que ir haciendo las pruebas a mano. De ahí que esta solución no sea muy elegante, aunque resulta efectiva. Como el texto de la pista 2 es más corto que el de la pista 1, una forma muy rápida de obtener la respuesta era descargarla como archivo y comprobar su tamaño, sin necesidad de leer el contenido ni usar streams.

Un último comentario a tener en cuenta es que esta solución no obtiene el último carácter, ya que si ponemos la contraseña completa y el comodín “%” detrás, no se cumplirá la condición. Por tanto, este último carácter lo sacaremos a mano o modificando ligeramente el código anterior.

Por fin, después de todo este proceso, hemos obtenido el contenido del campo contraseña (omitiré los últimos caracteres):

0c9474f07a2a009e8594adde********

La contraseña que hemos obtenido parece un poco rara como para hacer esto, pero lo primero que haremos es probar a introducirla tal cual en la página de login, a ver si hay suerte, aunque ya adelanto que de poco sirve intentarlo. Siguiendo con el símil anterior, si la página de login era la puerta y la de pistas era la ventana, ésta última solamente nos ha servido para echarle un vistazo a lo que hay dentro (¡que no es poco!)

El paso final

La contraseña tiene pinta de estar cifrada o codificada de alguna forma. Son exactamente 32 caracteres en hexadecimal, es decir 128 bits. ¿No estará almacenada también en forma de texto en claro? No lo mencioné antes, pero con una consulta de unión ya había comprobado que la tabla no tiene más que dos campos (id, contrasena), así que por ahora poco más podemos hacer.

Vamos a ver qué algoritmos típicos producen un resultado de 128 bits. Podría ser un algoritmo de hash o algún cifrado. Lo más típico sería aplicar una función de hash (algoritmo de dispersión), entre los que tenemos por ejemplo los siguientes algoritmos estándar: MD2, MD4, MD5 o SHA.

Descartamos la familia SHA porque ninguno de ellos genera 128 bits. Nos quedaría la familia de algoritmos Message Digest, en la que todos ellos generan precisamente los 128 bits que buscamos. De los mencionados, en .NET Framework solamente está implementado el MD5, así que asumiremos que se ha usado este.

Si tuviéramos detrás un SQL Server, podríamos pensar en inyectar una sentencia para insertar una nueva fila, aplicando el MD5 a cualquier palabra que usaríamos para entrar. Lo intentamos con una instrucción “insert” detrás de un punto y coma, pero no funciona. Ningún indicio nos ha llevado a pensar que es SQL Server, sino más bien Access (Microsoft Jet), que no permite ejecutar dos instrucciones a la vez.

Descartados todos los supuestos anteriores, solo nos queda intentar reventar la supuesta hash MD5, a ver si obtenemos nuestra tan deseada contraseña. Para ello tenemos a nuestra disposición bastantes programas que aplican algoritmos para romper una hash, como ataques de diccionario o de fuerza bruta. ¿Será este el juguetito que hace falta cuando lleguemos a este punto? Buscando en Google, no resulta complicado encontrar alguno. En mi caso el que utilicé está en el siguiente enlace:

http://www.milw0rm.com/cracker/

Vamos a intentarlo a ver lo que pasa, ¿qué podemos perder? Total, solamente se trata de meter la hash ahí y esperar. Con un poco de suerte, alguien habrá buscado esa cadena antes y nos dará directamente la contraseña. Si no tenemos esa suerte, no pasa nada, ya que podemos apagar el ordenador e irnos a dormir tranquilamente. De nuevo, con un poco de suerte, a la mañana siguiente tendremos nuestra preciada contraseña y así fue. Ahora metemos esa contraseña en la página de login y… ¡reto superado!

Como curiosidad final, si buscamos en Google la hash del reto encontraremos la contraseña directamente, ya que la URL anterior estaba bastante bien posicionada.

Agradecimientos

No quería terminar este documento sin antes agradecer al lector el tiempo invertido en leerlo, esperando que haya resultado ameno y, sobre todo, útil y didáctico.

Por otro lado, quería también mostrar mi agradecimiento a todo el equipo de Informática 64 que haya participado en el reto, especialmente al gran Chema Alonso por esas charlas tan divertidas a las que nos tiene acostumbrados y, cómo no, por el pedazo de libro “Writing Secure Code” (de Microsoft Press) que me ha regalado por haber superado el reto.

Saludos,
Daniel Kachakil

Más información

Hoy en día resulta bastante fácil encontrar mucha información en Internet acerca de los temas aquí tratados, por ello mencionaré solo algunos documentos que podrían servir como guía de iniciación:

http://es.wikipedia.org/wiki/Inyección_SQL
http://es.wikipedia.org/wiki/Blind_SQL_inyection
http://www.spidynamics.com/papers/SQLInjectionWhitePaper.pdf
http://www.spidynamics.com/whitepapers/Blind_SQLInjection.pdf
http://es.wikipedia.org/wiki/SHA
http://es.wikipedia.org/wiki/MD5

Publicando Aplicaciones

Como sabéis, todos los meses publico uno de estos en la revista Windows TI Magazine. Este es el que ha salido en la revista de Enero, a partir de Febrero quiero centrarme en cosas de Seguridad en Windows Vista. ¡Saludos!

Windows TI Magazine

***********************************************************************

Publicando Aplicaciones con la ballena

A Microsoft Subsidary, así reza el logo de Whale Comunications en su página web. Y es que la tecnología que ofrecían no era como para dejarla escapar, o eso debió pensar alguno de los analizadores de tecnología de Microsoft que, como ojeadores de fútbol en busca de jóvenes estrellas, se encargan de estudiar a esas empresas con tecnología brillante o con posibilidades de serlo.

En el caso de Whale el acoplamiento de su tecnología era algo que le estaba faltando a la compañía dentro de la estrategia de creación de ese equipo de fútbol orientado a jugar en las ligas de la seguridad Informática. Y es que visitar la web de los “forefrones” (permitidme que quite la t en pro de la castellanización más bronxtolita del término) es encontrar a un montón de fichajes estrellas como Forefront for Exchange y Forefront for SharePoint, ex jugadores ambos de Sybari, Forefront Client, ex GeCat, Microsoft Antyspyware, ex Giant, y ahora Intelligent Application Gateway, ex WhaleComunications.

¿Y que aporta?

La tecnología que trae IAG es el tipo de VPN que le faltaba a ISA Server 2006 (este procedente de la cantera). ISA 2k6 ofrece la posibilidad de crear Redes Privadas Virtuales Site-to-Site, para establecer conexiones entre redes, y crear Servidores para permitir conexiones a clientes remotos de forma segura a la red de la compañía. Este tipo de servicios desde el punto de vista IT tiene “el problema” de la gestión de la infraestructura de red, ya que obliga a la apertura de puertos en los firewalls perimetrales de la compañía. Esto no quiere decir que sean malas soluciones pero gracias a IAG ahora en ISA 2k6 podemos utilizar sistemas de creación de VPNs a nivel de aplicación montando una pasarela de comunicación entre los clientes y las aplicaciones sobre nuestro firewall.

¿Cómo funciona esto?

La idea es sencilla, al final una VPN ofrece básicamente dos servicios: Autenticación de los participantes de la comunicación y cifrado de los mensajes en transito por una red pública (vale sí, y el enrutamiento, y la compresión de datos y el encapsulamiento de protocolos,…) Pero todo esto nos lo puede ofrecer el protocolo SSL, y ¿qué mejor cliente para acceder a todo que un navegador de Internet? Así nacen las VPNs basadas en http-s. En estos entornos lo que tenemos es una aplicación web que recibe comandos desde el cliente encapsulados de forma segura con el protocolo http-s. Nuestro IAG, que lógicamente es dicha aplicación frontal, desencapsula los datos que vienen desde el cliente y los transmite a la aplicación. Una pasarela según la definición de elementos de interconexión del estándar OSI (Open System Interconection) de ISO (Internationat Standard Organization).

¿Qué ventajas ofrece?

En primer lugar las aplicaciones se comparten en un portal que permite a un empleado conectarse a todo el repositorio de aplicaciones de su organización de forma segura desde cualquier conexión únicamente conectándose a un servidor web. Una vez allí puede abrir cualquier aplicación que se haya publicado (Cliente de Terminal Server, aplicación web, ficheros compartidos, aplicación propia cliente/servidor basada en sockets, etc…) Además, al tener un servidor que nos autentica podemos realizar servicios de Single Sign-On ya que el propio IAG es el que gestiona las conexiones.

De esta forma no está expuesta directamente ninguna aplicación ni tan siquiera para los propios clientes expuestos. La gestión no obliga a abrir ningún puerto en la infraestructura de red más que el de SSL 443 o 565 (los estándar) o cualquiera que nos dejen para el https.

La última característica importante que me gustaría destacar sobre el último fichaje, al igual que un orgulloso presidente que presenta a su nueva figura, es la posibilidad de establecer políticas de seguridad de acceso para los clientes a la similitud de una red de cuarentena. Llegado el momento de establecer la conexión, nuestro servidor examina la política de salud de la máquina, es decir, nos comprueba lo que el administrador ha marcado como de obligatorio cumplimento para conectarse a la red (firewall activado, actualizaciones de seguridad al día, software instalado o actualización de antivirus). Si el cliente no cumple la política de salud la conexión se puede denegar evitando la vulneración del perímetro por un cliente de una VPN inseguro.

¿Encajará en el equipo?

Toda la solución de Intelligent Application Gateway corre sobre ISA 2k6 aprovechándose de las posibilidades que ofrece la solución firewall de filtrado a nivel de aplicación, luego podemos decir que es casi un add-in (muy gordo) del firewall. Hasta el momento la solución la comercializaba Whale en un appliance de con una linda ballenita en el frontal en el que corría Windows Server, ISA Server y Whal… digo… Intelligence Appplicaction Firewall. No están definidos los planes de la comercialización de futuro (o no son públicos aún), pero a día de hoy se puede obtener de la solución en el appliance. Lógicamente toda la solución IAG está totalmente integrada en la estructura de software Microsoft y ya está planeado incluso el lanzamiento de un Mom Pack para IAG que permita al “médico” del equipo comprobar las evoluciones en el devenir diario de la alta competición de este nuevo jugador.

¿Os imagináis si después de toda la inversión que está realizando Microsoft en productos y tecnologías de Seguridad dejaran de existir las amenazas? Sería gracioso, ¿no?

./ligar.sh -v | grep disponibles >> citas.o

La vida del IT Pro es dura. Siempre trabajando entre hierros, en lugares fríos, arrastrado por el suelo y cargando cacharros. Instalaciones, desinstalaciones, monitorizaciones, copias de seguridad, … Lo peor es que esta profesión, y no se bien porqué, es que sigue teniendo un índice muy pequeño de participantes de la comunidad femenina. Sí, con lo que me alegra a mi una mujer (la naturaleza es profunda en mi). Qué le vamos a hacer, sigo siendo un troglodita.

En el departamento de IT de Spectra conocí a dos mujeres IT que eran la caña de currantas pero pocas así me he encontrado. Siempre hay alguna, pero en las charlas que damos suelen ser inferiores al 20 por ciento siempre.

Pensaba regresar a la comunidad Linuxera, que tiene más glamour, eso de colaborar, juntar lazos, estrechar, confraternar y demás, para ver si se liga un poco más, pero veo que está chungo el tema. En una encuesta que se está haciendo online, de más de 2650 respuestas, solo el 12 % eran mujeres. Un 12 %, con lo que casi somos 10 hombres por mujer. En la encuesta dicen otras cosas, pero de menor relevancia, como que más del 35 % piensa que lo peor es la ausencia o, que sean malos, los drivers para dispositivos modernos o que RedHat les parezca la mejor distribución a solo un 1 % mientras que Ubuntu sea la que más gusta con un 26 %. Curiosidades al margen de lo más importante. Se liga menos en la profesión de informático que en un funeral. O por lo menos aquí, con estas tecnologías.

Encuesta

Creo que definitivamente me paso a MAC, he visto su nueva ergonomía y su nuevo interfaz y creo que me voy a comprar este modelo. En fin. ¿Tendrán versión tablet?

MAC G4

Chuchi

“Te voy a llevar a cenar Chuchi”. ¿Chuchi? ¿Qué cojones es chuchi?. Así empezó la tarde cuando bajamos a Málaga a pegarnos con el “pájaro” Sergio de los Santos, miembro de Hispasec y redactor en los últimos tiempos de la newsletter de “Una-al-día”. En ella, nuestro querido pajarraco a veces me pone bonitos mensajes que sólo él y los que conocen nuestra linda relación de amor, descubren. Algo así, como: “Hay un fallo en el Paint Brush -> Pásate a Open Office".

En la cena acudieron también el abuelo y Julio (responsable de Virus Total, friki compañero de Las Aventuras de Ford Fairlane dónde nacio el termino de tecnicoless)

De ahí, a saldar cuentas y partirle las piernas por una noticia de una al día a pajarraco de los santos y luego a ablandarle el higado a base de cubatas hasta que se malignizó. (Se puede ver el rojo del veneno que nos echaron en las copas -auqneu el puertas insistió en que no era garrafón y me llevó al almacén y todo a verlo- en esa mirada “sexual” de tanto redactar una al día.

Saldando cuentas
Malignizado
El día siguiente, el evento fue normal. El pajarraco y Julio se pasaron de su tiempo, pero es que se enrollan como las persianas, nos contaron la historia de los virus (barrotes y Viernes 13 incluidos) (jajaja) y Sergio (que no le dejaba meter baza a julio) tenía la boca seca y el cerebro lento (ajajaj) Pero lo hicieron de puta madre, la verdad, además nos dieron cañita para que les respondieramos,

Después de comer, con la resaca ya subida, me confesó que tiene 2 libros por ahí publicados de su época de escritor en Arrba, y ahora los he localizado. ¡Pero no los puedo comprar!. Por favor si tenéis alguno de estos dos libros, vendedmelos!! Quiero leer esas cosas que dice el pajarraco “que no quiere que lea”.












. .. ¿sabéis que coño era el chuchi?

El Rigurosamente Brutal

El Riguroso

“Riguroso y Brutal” estudio Académico sobre el Software Libre, así cita la publicación en blogs (no los linko, y jugamos a que lo encontráis, ¿vale?) del estudio que han realizado para la Unión Europea varios grupos académicos de varios países. El estudio sí que lo linko.

Bene, bene, bene. A pesar de que estoy de exámenes, me he dicho, ¡coño!, vamos a leerlo, que no se diga que yo no hago los deberes. Qué si alguien publica este documento como riguroso y/o brutal, es porque se lo ha leído ¿no? Porque vamos, eso de recomendar un libro sin habérselo leído ya está mal, pero encima, calificarlo como riguroso, será porque además, lo ha evaluado. Curiosamente el grupo elegido en España es… de mi universidad (Je,je,je)., así que me he dicho, no te quedan más huevos maligno, tienes que leerte el riguroso y brutal estudio. Joder y yo de exámenes y ahora a leerme este tocho de casi 300 páginas y ¡en inglés! Ale, a por ello.

Reconozco que no lo he terminado… aun, pero prometo hacerlo, aunque sea página a página en diagonal. Me he quedado en un viejo topic, que ya he comentado varias veces, pero … me ha llamado la atención verlo en un riguroso estudio académico, así que lo repito:

Página 33:


Digo yo, ¿Cómo es posible que en un riguroso estudio de 20 de Noviembre de 2006 nos pongan los datos de Mayo de 2005? A lo mejor es que Netcraft no tenía más, ¿no?

Bueno, pues a comprobarlo (vale, hago trampas, ya sabía que había datos más recientes) de hecho hay:

Mayo de 2006.
Junio 2006

… Vale, seguro que ya habéis cogido el chiste, ¡HAY UN INFORME MENSUAL! Y el último, … de Enero de 2007.

En el informe se explica claramente como diferenciar entre servidores activos y servidores no activos. Oye, ¿cómo saben que servidor web corre en un servidor No activo? Fácil, el estudio de Netcraft se basa en hostnames, es decir, se consultan DNS y luego te tira contra el nombre de un dominio y puede ser que no exista allí un servidor. Y la pregunta clave..si tira contra nombre de DNS, ¿Cómo sabe si es uno o dos servidores web? Es decir si corren en el mismo servidor (hosting) ¿Suma 1 o suma 2? O si están detrás de un firewall 10 dominios que corren sobre 10 servidores iguales ¿Cómo sabe el estudio si son 1 o si son 10? Lo cierto es que no se sabe, de hecho aplican un factor de corrección en las estadísticas. Esto está bien explicado en este link.

Bien, en resultados activos, es decir, comprobados IIS ha crecido y Apache ha decrecido en los últimos tiempos. Curiosamente desde Mayo-Junio de 2005 (esto es el lado del mal, ¿vale?).

En parte debido a una Migración que hizo a Mic.. Spectra un hoster, y curiosamente en dominios no activos.

Además, la media de dominios en el mismo Web Server suele ser mayor en Apache que en IIS (y lo digo sin datos) ¿por qué? Pues pq cuando vas a dar hosting gratuito o barato ¿quieres pagar?

Bueno, ya lo he dicho, pero, para tener “otro” punto de vista en esta cuenta, se realiza una comprobación de los servidores Web que tienen las empresas de la Fortune 1000 US, es decir, las 1000 empresas que más pasta ganan en los US. Donde, curiosamente está Google y acaba de ser elegida como la mejor compañía para currar. El chico maravillas me ha comentado algunas cosas que hacen que me lo crea. (En palabras del abuelo, sería un upgrade a Business)

Bueno, pues eso que en el dichoso Estudio, IIS ha crecido el doble que Apache y los datos son:

http://www.port80software.com/surveys/top1000webservers/


Bueno, a ver si apruebo y termino de leerme el “riguroso”.

Pingües Pingüinos

Volviendo de Sevilla de las últimas sesiones nos trajimos bastantes cosas. Un pedazo de papeo el lunes, más de 100 comics que me compré después, un montón de amigos y un nuevo ganador del Reto Hacking, además de una noche divertida con Penyaskito, Silverhack, el cervi, el abuelo, Damisela Salgado, Marcos y un etcetera de bandarras. Ví a Miguel y Marcelo de Huelva, a Pedro Laguna, Miguel Angel,.... bueno, bajar a Sevilla siempre mola.
A la vuelta el Abuelo y el Cervi cambiaron los billetes para venirse en el mismo AVE que yo y como no había sitio pues volvieron en Primera. Club AVE, toma ya. En ese lugar David de rompió el cuello y el abuelo leyó el periodico. El Mundo. Cuando llegué de mi plaza de turista este es el recorte que me dieron. Habla un profesor de instituto de Sevilla sobre el Guadalinex. Es solo una opinión, pero esto es el lado del mal ¿no? y yo creo que por merito propio merece estar aquí.

Bies malignos!

****************************************************************
Anuncios breves: Txipi, Gura. ¡Ponedme un mail que os necesito!
****************************************************************

Buscando una Luna

Últimamente he escrito varios posts hablando de google, y no se porque, supongo que me ha salido así, pensando en que quiero ir a visitar a mi googlelizado favorito, el chico que maravillas, que últimamente está perdido 100 %.

Lo último es esta curiosidad de los mapas. Parece ser que no le ha gustado a Google que en los resultados salieran mapas a otros servicios y ha decidido quitarlos de los resultados. ¿Todos? No, solo los que tenían más fuerza, como los de yahoo o mapquest. En el google en castellano siguen los de Michelin, CAMPSA y Map24.

Aquí tenéis un post con capturas de Antes y Después en el .com

Google Removes Links to Competing Map Systems

Y aquí tenéis la demostración de que Bronxtolex existe!

Robe, ¿qué mapa vas a usar para Buscar esa luna?

Buscando una Luna

Buscando una Luna en Google

Bies Malignos!

Gluck en Debian

Ya hablé de esto hace mucho tiempo, solo que como ha vuelto a salir el nombre de Debian por aquí, pues he decidido sacar este artículo que publiqué en una revista en el verano pasado. Asi que nada, lo dejo aquí por si acaso os apetece leerlo. Nada más.

Seguridad. ¿Qué pasó con Gluck?

Estar a salvo de un ataque hacker es imposible, las alternativas son dos: Te van a atacar sí o sí. No te vas a salvar ni por ser Microsoft (já, eso sí que sería divertido) ni por ser una distribución del “lado del bien” o por ser cualquier otro. Así durante estos últimos meses hemos vivido el hackeo de http://experts.microsoft.fr, un servidor gestionado con DotNetNuke en el dominio de Microsoft Francia que levanto todas las alarmas porque pudiera ser debido a un exploit de día 0 en Internet Information Services 6.0 (que resultó ser un exploit de DotNetNuke), el hackeo de los servidores web de Kevin Mitnick con mensajes “poco elegantes” hacia él y los consultores de seguridad, pero quizás el hackeo más impactante ha sido el que se produjo en gluck.debian.org, un servidor de desarrollo de la propia Debian, reconocida por todo el mundo como una de las mejores distribuciones de Linux.

El pasado 12 de Julio nos encontramos con un mensaje en la lista de correo de desarrollo de Debian con el siguiente texto que nos dejaba a todos expectantes:

Hi,

Early this morning we discovered that someone had managed to compromise gluck.debian.org. We've taken the machine offline and are preparing to reinstall it. This means the following debian.org services are currently offline:

cvs, ddtp, lintian, people, popcon, planet, ports, release

Based on the results of our initial investigation we've locked down most other debian.org machines, limiting access to DSA only, until they can be fixed for what we suspect is the exploit used to compromise gluck.

We're still investigating exactly what happened and the extent of the damage. We'll post more info as soon as we reasonably can.

Vaya, ¿qué habrá pasado? Que ataquen Debian tiene muchas implicaciones tecnológicas, sociales (si atendemos al origen hacktivista – motivados por ideales políticos - de muchos ataques) y sobre todo marketinianas. En primer lugar, la rápida conclusión que se extrae es que no se salva nadie por la tecnología que use de intentar ser atacado y eventualmente ser vulnerado. En segundo lugar, la pregunta para los trabajadores de la seguridad informática es, ¿Dónde estuvo el fallo? En algún lugar se ha tenido que producir una brecha de seguridad. Como Gluck es una máquina que se utiliza para desarrollar en Debian, tiene muchas cuentas de usuario que se conectan desde todas las partes del mundo, ¿habrá algún traidor? Este mensaje parecía el comienzo de un libro de Agatha Christie.

Especulaciones

La gente de Zone-h, una de los sitios web de referencia mundial en la comunidad de defacers y hacktivistas, especulaba sobre un exploit de 0-days para el kernel de Linux, pero para utilizar ese exploit es necesario poseer una cuenta de usuario del servidor que se ataca.

Ante este panorama hay dos cosas a tener en cuenta, primero: si es un exploit de 0-días, ¿quién fue el primero que lo hizo público? ya que el que hace pública una vulnerabilidad de esas características, es decir, sin estar arreglado, deja a todos los clientes sin protección alguna, y en segundo lugar: si por el contrario, no es un exploit de 0-días, es decir, que ya hay solución por parte del fabricante, en este caso de kernel.org, lo que habrá fallado habrá sido la política de actualizaciones de la organización/empresa, que en este caso sería Debian.org.

¿Qué pasó realmente?

Tras mirar el exploit que se utilizó, podemos comprobar que es correcta la información que ofrecían en Zone-h y no solo eso, sino que estaba publicado el expediente de seguridad desde el 6 de Julio de 2006, es decir, 6 días antes de que se produjera el ataque ya se había hecho público para todo el mundo. Además, en el expediente de seguridad vemos que el fallo fue descubierto por el equipo de seguridad de Red Hat, los cuales hemos de suponer tienen un especial interés en proteger a sus clientes.

Vaya, 6 días antes y descubierto por RedHat. ¿Habrá dejado RedHat a los usuarios de los kernels afectados al descubierto publicando un expediente de seguridad sin que existiera aún una solución por parte de kernel.org? Bueno, mirando el expediente de seguridad vemos que la solución se ofrecía en linux-2.6.17.4 o en la 2.6.16.24, que fueron publicados los días 6 de Julio de 2006.

Respectivamente:

06/06/2006: http://www.kernel.org/pub/linux/kernel/v2.6/ChangeLog-2.6.17.4
06/06/2006: http://www.kernel.org/pub/linux/kernel/v2.6/ChangeLog-2.6.16.24


Entonces, ¿qué paso realmente?

Parece ser que en todo caso la brecha se produjo en la administración del servidor en Debian.org. ¿Qué rama de kernel usaba dicho servidor? Si el proceso de actualización de software de seguridad conlleva una fase costosa de pruebas e implantación 6 días es un tiempo razonable, pero durante ese periodo se deberían haber implantado algunas contramedidas mitigadoras en sistemas Firewall y/o en los Sistemas de Detección de Intrusos (IDS).

Para sacarnos de dudas se mandó una actualización de información en forma de mensaje en la lista de correo de Debian, el día 13 de Julio con la siguiente información:

“Short version: A developer's debian.org account was compromised some time ago. This account was then used to exploit the recent prctl vulnerability (CVE-2006-2451) on gluck and gain root privileges.”
[…]
“gluck was running Linux 2.6.16.18. Unfortunately it had not yet been updated to 2.6.16.24 or 2.6.17.4 both of which were released on 2006-07-06.”

Bien, cómo se puede observar en estos dos párrafos extraidos del mensaje completo, el problema fue, claramente, de la administración del servidor, ya que el sistema no estaba actualizado, pero… ¿desde cuándo estaban así?

Si nos paramos a mirar con detenimiento todas las actualizaciones que le faltaban desde la versión 2.6.16.18 hasta la 2.6.16.24 mirando los ficheros de cambio que nos ofrece kernel.org podremos extraer alguna conclusión:

30/05/2006: http://www.kernel.org/pub/linux/kernel/v2.6/ChangeLog-2.6.16.19
05/05/2006: http://www.kernel.org/pub/linux/kernel/v2.6/ChangeLog-2.6.16.20
20/05/2006: http://www.kernel.org/pub/linux/kernel/v2.6/ChangeLog-2.6.16.21
22/05/2006: http://www.kernel.org/pub/linux/kernel/v2.6/ChangeLog-2.6.16.22
30/05/2006: http://www.kernel.org/pub/linux/kernel/v2.6/ChangeLog-2.6.16.23
06/06/2006: http://www.kernel.org/pub/linux/kernel/v2.6/ChangeLog-2.6.16.24

Reflexiones

O sea, nos encontramos con un sistema que lleva un mes y medio sin que se le aplique ninguna actualización de seguridad. Además, se puede ver que las actualizaciones que se nos ofrecen del kernel, mirando las fechas de publicación de cada una de ellas, así como del resto de los paquetes que tiene un servidor GNU/Linux, no tienen una periodicidad clara y definida, ya que la política de actualización en muchos paquetes/proyectos que se utilizan en un sistema GNU/Linux es “en cuanto esté” para dejar el menor tiempo sin información ni protección a los clientes. Esto conlleva que sea, casi imposible, conseguir que un día no haya un parche/actualización de seguridad que aplicar en alguno de los múltiples paquetes que corren un servidor lo que nos lleva a una administración de actualizaciones de seguridad “al día”. Si tenemos un servidor un mes y medio sin actualizar software (solo se reconoce que estaba sin actualizar el kernel) ¿cuántos otros paquetes habrá con alguna vulnerabilidad dentro de ese mismo servidor?

Además, en este caso concreto, para lanzar el exploit se necesitaba una cuenta de usuario del sistema y según se desgrana de la conversación posterior, no existía una política férrea de gestión de contraseñas lo que permitió que no fuera complicado para el atacante conseguir una. No había un traidor como se especulaba. En Gluck había cuentas de usuario que utilizaban contraseñas triviales como el nombre de usuario como contraseña o dejando passwords de diccionario. Tras la intrusión en el sistema se decidió aplicar e incluso se especulaba sobre utilizar sistemas de certificación para conseguir un sistema más robusto.

Para terminar toda esta disertación me gustaría hacerlo con un mensaje que le envían al administrador del servidor y su equipo, después de tener a Gluck un mes y medio sin actualizar, después de no tener una política fortificada de contraseñas y después de ser hackeado: “You do an Excellent Job”[7]

Hombre, vale que nadie está libre de ser hackeado en este Internet de hoy en día, pero tanto como estar haciendo un “excellent job”…. (Tal vez en otras partes de su trabajo sí, pero en seguridad no se ha hecho un excellent job.

Técnico-Less Anónimos (TTAA)

Qué injusta es la vida, perder adeptos y fieles. Pobre. Pero es lo que tiene el éxito, que a veces, alguno se queda en el camino. Ahora que se ha mudado, cuando más necesita la ayuda, ahora que su Ferrari (vale, sí, un Ferrari antiguillo pq ponerse un a
Apache 1.3.33…) ¿no deberíamos haber actualizado cuando la Apache Software Foundation recomienda actualizar por problemas de seguridad?

Sí, el Changelog recomienda la 1.3.37. En fin, tonterías de Informáticos, ¿qué le importa a un técnico-less estas tonterías nuestras?.

Pero, como iba diciendo, que se me va la almendra, Ahora que ha migrado y necesita alguien que le ayude a actualizar la versión de apache (ya no hablo del SO…) ahora mismo,… bueno, justo ahora que también necesita un administrador que sepa configurarle la protección contra el listado de directorios, y los mensajes de error, no vaya a ser que se deje alguna foto con información EXIFF no deseada, o algún fichero que no deba….

http://www.enriquedans.com/wp-content/uploads/
http://www.enriquedans.com/wp-admin/images/

Esto.. qué me lío, … como iba diciendo, justo en este momento de necesidad de ayuda por parte de algún NO Técnico-less que le asesore.. (ja,ja,ja. Asesorar a un asesor. Si supiera más lenguaje seguro que encontraba la palabra para denominar a esto). Cómo iba diciendo, justo en este momento descubro que hay un tipo que no le lee.

http://yonoleoaenriquedans.blogspot.com

Esto no puede ser. ¿Qué será lo próximo? ¡Todo son desgracias!. En fin, menos mal que siempre quedamos subnormales para ayudarle, y como yo, me leo todos los días sus post que me dan una fuente única de información. De hecho, suele ser información única, como el grande, el mejor, el yuhuyuhuyuhu… Y servía para algo!.

(TTAA) Técnico-Less Anónimos: “Te leemos profesor”

Nota: Esto ya había desestimado totalmente publicarlo, pero después de leer el comentario que pone sobre Windows Home Server no he podido ocultarlo (claro, pq todos tenemos que estar de acuerdo, empresas como Apple, son un dechado de interoperatibilidad, apertura, etc..., y además cool, que es lo que tiene que ser). De hecho, estaba pensando hacer un MBA, pero visto lo visto voy a dejarlo o buscar bien donde hacerlo y seguir siendo un técnico. Nunca saldré del pozo. Aunque... si tengo una calculadora, tal vez busque curro de Economista-Less. Seguro que hay masters para Informáticos que tienen asisnaturas de estas pero en economía. Mmmm ser profesor.....

Training Days

Si todo va bien esta semana vamos a publicar el segundo Reto Hacking sobre seguridad en web. El primero va a seguir abierto hasta el día 25 de Febrero de de 2007, bueno, realmente lo dejaremos allí más tiempo, pero con una pequeña sorpresa: “¡cambiaremos la password!” ¿por qué? Pues esto será debido a que el día 26 comienzan los tres Training Days que vamos a hacer este año. El año pasado los hicimos en Madrid, Barcelona, Vigo y Huelva y este año hemos elegido Torrelavega (Santander), Getafe (Madrid) y Noain (Pamplona).

Nota: En Zaragoza no va a haber Training Day, pero sí el único Hands On Lab de esto que vamos a hacer en España, que será el día 20 de Febrero.

¿Qué coño es esto del Training Day?

Es un día dedicado a la seguridad en aplicaciones web, pero, como la gente siempre se queda con ganas de tocar máquina y probar lo que contamos en las charlas pues le hemos metido algunas cositas nuevas. El formato es el siguiente:

1.- Hacemos una charla sobre las principales técnicas en la intrusión de aplicaciones web: SQL Injection, Blind Sql Injection, XSS, Hijacking, RFI, Webtrojans, …. Con unas bonitas demos en un entorno “controlado”. En esta parte se resolverá el Reto Hacking en directo, para que la gente vea como se hace.

Nota: Publicaré un solucionario aquí, en el blog.

2.- Nos tomamos un desayuno por el careto que lo paga la gente de Spectra

3.- Nueva charlita, pero en este caso sobre código seguro. .NET, firma de código, cifrado de mensajes, etc… vamos de cómo programar algunas cosas de forma segura.

4.- Preguntas, respuestas, debate, amos a lo que es una charlita entre todos.

5.- Los que se vayan a quedar por la tarde (el número de plazas de por la tarde es un tercio aproximadamente del número de plazas de por la mañana por cuestiones obvias de número de ordenadores necesarios y número de personas que puede controlar un técnico) comen por la patilla un catering de papeo con nosotros en el sitio que pagan otra vez los malos malosos.

6.- Hands On Lab. Cada oveja con su pareja, es decir, todos a los mandos del PC a realizar 6 prácticas que lleváis guiadas sobre lo que se ha visto por la mañana con nosotros cerca para poder ayudaros.

7.- Conclusiones. Ideas, preguntas, respuestas, soluciones, nuevas acciones, vamos, charlamos sobre todo el día.

8.- Cada uno a su puta casa y nosotros a otra city.

Bueno, las plazas, sobre todo las de papeo y Hols (las de tarde) se están acabando ya, así que sí alguien quiere venir que no tarde en apuntarse. Los links:

Getafe(Madrid): 26 de Febrero Mañana

Getafe(Madrid): 26 de Febrero Tarde

Noain(Pamplona): 27 de Febrero Mañana

Noain(Pamplona): 27 de Febrero Tarde

Torrelavega(Santander): 28 de Febrero Mañana

Torrelavega(Santander): 28 de Febrero Tarde

Saludos!

Seguridad Nacional

En un país como España, donde el uso de google es el mayor del mundo, y donde otros servicios como yahoo, altavista, aol, son meras rarezas la seguridad de los servicios de Google se convierte en un asunto de primera magnitud. Pensando solo en que tienen el 95 % de cuota de mercado en buscadores podrían ser capaces de gestionar la información que llega a los usuarios y mediatizarla. Si quisieran, que no quieren. (no empecemos con teorías conspiratorias)

Los problemas de Google con la seguridad han ido parejos al crecimiento de la compañía en todas las áreas. En el pasado quedan los fallos que han permitido tomar el control de las cuentas de los usuarios, postear en blogs, la nunca jamás tan divertida cagadita de borrar el blog oficial, que rápidamente fue tomado por un amiguete que pasaba por allí o la publicación accedentarl de Platypus.

TimeLine.

En mi recuerdo siempre está el hackeo de Anelkaos, que tiene una historia muy curiosa. Primero lo publicó en el foro interno de una web, luego lo quitó por peligroso a las horas, avisó a la gente de google, le dieron las gracias y le enviaron un mail de “que guay!”, luego chateando el amigo Anelkaos tuvo unas conversaciones “graciosas” (je, cuéntalo tú si quieres que a mi me da la risa!) y al final no reconocieron el fallo ni na de na.

Pero…. La historia se repite, otra vez. En Diciembre, dicen las malas lenguas que gracias a un fallo de Firefox 2.0, a muchos usuarios les limpiaron el buzón, tanto es así que hasta en Google se saltaron la política y se comprometieron a restaurar los correos.

Dice en Gmail:

“No elimina nada
Más de 2804.681206 megabytes (y sigue en aumento) de almacenamiento gratuito, así que nunca tendrá que volver a borrar otro mensaje.”

A principios de Enero se hizo público un fallo de XSS en blogspot para navegadores Safari y Conqueror y se publicó una Prueba de Concepto.

Ayer viernes se anunció otro fallito que permite hacer un hijacking de las cuentas y mangarles el acceso a todos los servicios Google.

Bueno, yo creo que no hay que darle más importancia, total es un Servicio BETA. ¿Cuándo es el fin del periodo Beta? ¿No es más largo el desarrollo de Gmail que el de Vista?

Y ya para terminar, ¿para cuando el Google Desktop para Linux?

Palos a la Vista

La verdad es que desde que he leído la noticia, he estado dándole vueltas al tarro y estaba recordando un poco la historia de estas cosas desde hace un año. Recuerdo que estábamos hablando de la venta del exploit de WMF para IE6 antes de que se hiciera público, por un valor de 5.000 USD, si no recuerdo mal. Más triste aún fue la sentencia a 2 años de cárcel, del hombre que vendió parte del código de Windows, “Por un puñado de Dolares”.

En el mes de Diciembre, salió la noticia por todas partes de la venta de un exploit para Windows Vista que se estaba vendiendo por 50.000 USD y ahora la compañía iDefense, que es parte de Verisign, ofrece pasta por las vulnerabilidades y/o exploits para Windows Vista e IE7.

Dice que su objetivo es conocer cuanto antes los fallos de los sistemas para poder protegerlos y se gasta hasta 50.000 USD por los seis primeros fallos/exploits, para que los que los descubran se los den a ellos y no a otros. No parece esta tarea fácil más cuando ya en mes de los fallos del kernel hubo gente buena intentando encontrar fallos en Vista y no sacaron ninguno. Esto no quiere decir que no los tenga, seguro que al final acaban saliendo fallos, pero no va a ser fácil encontrarlos.

Noticia en Techworld

Como tengo vicio con el Ciclismo desde que corrían Álvaro Pino, Pepe Recio, Vicente Belda, Laguía, los hermanos arroyo, etc… me encanta poner cronómetros. Voy a poner uno a esperar a ver si han aparecido en idefense los 6 primeros exploits y lo vemos.

Lo que sí parece es que la gente empieza a valorar más toda esta información, pues yo se me de alguna gran compañía de servicios online que le hackearon el webmail y a mi amiguete solo le dijeron: “thanks!” y a correr, mientras que las mafias intentan hacerse con estas informaciones, pagando mucha pasta, para seguir delinquiendo vía Inez ya sea comprando estas informaciones, formando a hackers a partir de delincuentes o formando delincuentes a partir de hackers.

Al final, los mejores hackers de Vista, en Thailandia.

Hacking Etílico

Próximamente vamos a estar por allí, como ya sabéis, el día 16 de eventos en Sevilla, el 19 en Málaga (donde participe con traje y corbata, afeitadito y pelo corto, en una de mis primeras conferencias presentando una cosa que se llamaba Data Analyzer). El tema es, que después de eso vamos a estar realizando los Hands On Lab durante dos semanas con ABD y luego, para terminar la fiesta, el 9 de Marzo me han invitado a participar en la Alcolea Party. Esta party, todo el dinero que saque lo va a destinar a una ONG, así que nada, Gospel, que también ha sido invitado, y yo, encantados hemos aceptado ir. Es un jueves, viernes, sábado y domingo. Por 12 pavos!¡Vamos! que me gasto yo más en enjuagarme cuando voy a salir a muerte con el señor Ballantines y no te cuento con los cigarrillos de la risa y… vale, queda claro que es poca pasta. Está a 55 kilómetros de Sevilla, así que puede ser un finde divertido. Yo voy a bajar el Viernes, 8 de Marzo, a Sevilla, y el sábado 9 estaré en Alcolea. Me da igual donde hagamos la fiesta, elegid, Sevilla con las guiris o Alcolea con los frikis, los dos entornos tienen su encanto. Y ya que estamos allí, con la ip de nosabemosquien, podíamos hacer una visita a alguna web de esas a las que tengamos mucho “cariño” y … a ver que pasa. Pero siempre ético, eh? Aunque … el alcohol y las drogas son atenuantes ante la ley, ¿no? Entonces podríamos hacer hacking etílico. (pero, oh pero,.... si estamos pedetes tal vez no se nos ponga dura y no saquemos nada… en fin, malditas drogas).

Bueno, poseso, que nos vemos en Sevilla, ¡perros y perras!

Saludos desde Valencia!

Fraude en Internet

Todos los años me invitan a participar en varios master en los temas de Seguridad. Suele ser o seguridad en tecnologías Microsoft, en técnicas hacking o en un cariñoso, “haz lo que más te guste”. Entre los masters últimos, el año pasado participe en el Master de Asimelec, siendo el niño malo de los profes (este año voy a participar también Dios reparta suerte). El caso es que en el master del año pasado me encontré con un excompañero de la Uni. “Coño, ¡que haces tú aquí? ¿Pues anda que tú? Capullo, que feo estás, tu si que eres una golfa, etc…” Lo normal, que para algo estudiamos los dos en donde estudiamos. Al finalizar mis horas me piré dejándoles un examen, que por lo visto se me fue de las manos, je. Pero en fin, al tiempo (cuando acababa el master) me dijo que si yo podía ser su tutor. Perfecto. El caso es que no hice nada, de nada. Él se lo curró y me lo envió el domingo por la noche un documento de 100 páginas sobre fraude en Internet que tenía que entregar a las 9 de la mañana del lunes. Como yo suelo cortar pronto, lo leí el día que tenía que estar entregado. Así que nada, me lo leí cagando leches y… me descojoné. El capullo se había convertido en un “Honey man” dejándose “estafar” por Internet y luego lo había plasmado todo con su peculiar estilo. Je. Llevo tiempo pidiéndole a la Universidad Pontificia de Salamanca, participante de este master, que me deje publicar unas partes que son divertidas, pero no saben si pueden o no porque los derechos pertenecen a la Universidad y tal y tal y pascual. Así que, como yo soy el tutor, también tengo cierta autoría (joder, que pedazo de careto tengo!), como yo no quiero ganar nada, y creo que si esto no lo ve la gente se va a pasar de moda y no tendrá sentido, y como no es una vacuna contra el cáncer o el bronxtoloxtixmo, he decidido publicar unas paginillas (menos del 5% por si acaso como google) para que lo veáis. He elegido lo que más gracioso me ha parecido. El mulero y como ganar pasta. Gracias señor Daniel Gonzalez.

Nota, para no llenar su texto con esta parrafada lo he puesto en el post siguiente

Fraude en Internet por Daniel González: El Mulero

Para esta estafa de la que debes estar atento, mostramos un ejemplo típico y después se analizan sus características particulares.

Ejemplo tipo.
Asunto: Trabajo!
Somos compania internacional financiera.
Ofrecemos el trabajo solamente para los habitantes DE ESPANA.

• Basta con 2-3 horas del tiempo libre por la manana!
• Debeis tener o abrir la cuenta en el banco!
• Debeis ser 18+.
Ganareis 150-600 Euros por dia.

Para recibir instrucciones escriban a XXXxx@xxXXX.COM

Ejemplo tipo de Mulero

¿Cómo reconocerlos?

- El remitente suele ser un desconocido.
- Frecuentemente llegan en inglés, y en caso de hacerlo en español, suelen tener errores ortográficos y/o gramaticales. Como se suelen distribuir por spam, emplean el inglés para aumentar sus posibilidades de ser comprendido por el receptor, ya que el inglés, como es sabido, es el idioma de Internet.
- Normalmente son correos muy breves, que se limitan a exponer una serie de condiciones laborales más que tentadoras. Mucho dinero y poco trabajo,… igualito que el mío, vamos.
- También pueden exponer los requisitos que deben cumplir los candidatos, que son sorprendentemente bastante asequibles. El currículum no es lo más importante, es el hecho de tener cuenta corriente lo que más les importa.
- No explican mucho más. Dejan el resto a la curiosidad de la gente, y para ello, al final del mensaje indican la forma de ponerse en contacto con ellos (teléfono, correo, sitio web,…).

Proceso.

En este tipo de estafa no es necesaria una inversión inicial, lo que la hace aún más apetecible. El ‘ciclo de vida’ de este timo es el siguiente:

1. La víctima, interesada en el asunto, contacta con el estafador por el canal que este indicó en el mensaje.
2. El estafador pide el número de cuenta a la víctima. Sólo el número, no las claves de acceso, y esto da tranquilidad a la víctima.
3. El estafador realiza ingresos en la cuenta de la víctima y le avisa cada transferencia que reciba.
4. La víctima saca el dinero recibido, y tras quedarse con una comisión (5% - 10%), envía el resto del dinero a su socio a través de compañías que no exigen una autenticación fiable del receptor del dinero.
¿Y dónde está el problema?. No se hace daño a nadie ni se engaña a nadie, y todos ganan, ¿no?. Fácil, rápido y legal,… ¿o tal vez no?.

¿Dónde está el fraude?

El problema esta en el origen del dinero que el estafador ingresa en la cuenta de la víctima. En la mayoría de los casos proviene del phishing y es por tanto un dinero sucio, e ilegal, que posiblemente está denunciada su desaparición, y por tanto, siendo investigado por las Fuerzas y Cuerpos del Estado.

Cuando la víctima saca el dinero de su cuenta para enviárselo al estafador, lo que está haciendo es blanquear ese dinero y hacer que se le pierda la pista. El nombre de mula (o mulero) viene del hecho de que se utilizan esas personas para transportar cosas (en este caso el dinero) para otros.

Sabiendo que la última vez que el dinero dejó rastro fue en nuestra cuenta bancaria (asociada a nuestro nombre, DNI, dirección, etc.), a nadie debería extrañarle que la investigación policial acabase en su casa.

La víctima, creyendo haber encontrado el trabajo de su vida, se encuentra ante un juez por blanqueo de dinero, mientras el mafioso se encuentra protegido por su anonimato y con su 95% - 90% del dinero limpio de polvo y paja.

Vale, quizá esta sea una visión un poco peliculera del asunto, pero puede pasar.
Experiencia personal.

A continuación se expone el intercambio de correos producto de un intento de fraude de tipo mulero. Como es lógico, el primer correo es de los malos, llegado como spam a la cuenta de correo creada como cebo. En este caso el intercambio es en idioma español, aunque se puede notar que no es su lengua materna.

Se mantiene el remitente y el asunto sólo en los primeros correos, más adelante, por no repetir datos (ni que se me pueda decir que uso malas artes para rellenar hojas), se deja sólo la fecha y la hora de los mismos.

Entre correo y correo, puede haberse incluido algún comentario para hacer notar situaciones curiosas que acontecen en la conversación.


Correo recibido 1 – Experiencia Mulero

Asunto: Detalles adentro
Fecha: mar 25/07/2006 10:18
De: 198brennan@regiomontano.com en nombre de Caroline Mcconnell

Es usted una persona responsable y esta buscando un trabajo de medio tiempo muy bien pagado?
Somos una compania familiar especializados en varias operaciones con antiguedades y joyeria Antigua, somos “Tollis Ltd” , y estamos buscando gente honesta y responsable para que se nos una..
No te pierdas esta oportunidad – somos exactamente lo que estas buscando!
Ganaras mas de EUR 1500 por mes, utilizando solo 3-4 horas de tu tiempo. Es real con nosotros!.
Nosotros no hacemos conversacion de venta que requiera que pagues cargos de inscripcion o inscribirte a una lista de correo. No queremos que inviertas dinero. Este trabajo requiere solo un monto limitado de tu tiempo..
Te pagaremos en la primera semana de trabajo
No requerimos ninguna experiencia ni habilidad especial. Trabajaras como un contratado independiente desde tu hogar.
Si estas interesado, por favor sientete libre de pedir informacion adicional y las provisiones generales.
Escribenos ahora, te responderemos al instante.
Por favor responde a este mail: support@t-antiquesupportx.com


Comentario: No me digáis que no tiene buena pinta.

Correo enviado 1 – Experiencia Mulero

Fecha: Wed, 2 Aug 2006 05:24:08 -0500 (CDT)
De: "Severo Quesada Samaniego"
Asunto: Re: Detalles adentro

Estimados señores,
Actualmente me encuentro en una situacion con mucho tiempo libre y me intersa lo que me proponen. Me gustaria saber en que consiste el trabajo que dicen a ver si soy capaz de hacerlo. El dinero que dicen es mucho y ahora mismo tengo cierta necesidad de dinero. ¿Que tengo que hacer?, me lo indiquen pronto, por favor.
Gracias por su oferta.
Saludos.

Comentario: Recuerdo que la redacción de mis correos tiene una calidad baja. La mía natural es algo mejor, aunque posiblemente tampoco sea para tirar cohetes.

Correo recibido 2 – Experiencia Mulero

Fecha: Fri, 4 Aug 2006 07:40:42 +0200

Estimado Aspirante, buenos días.
Muchas gracias por su tiempo y atención a nuestra oferta
Somos una compañía familiar creada en 1994, en Polonia.
Somos agentes registrados para las negociaciones y certificaciones de
joyas y antigüedades valiosas
Principalmente consultamos y asistimos como intermediarios entre los
vendedores y los compradores de estos artículos.
La mayor parte de nuestros clientes están situados en Europa, pero
también recibimos consultas de otras regiones del mundo.
A pesar de que somos una agencia que negocia registrada en el arte,
tenemos nuestra propia colección de antigüedades, de arte, y de joyería
valiosa.
Puedes aprender más sobre las antigüedades más valiosas de nuestra
colección en nuestro Web site:-http://www.tollisantiques.com/es
Nuestra vacante en España:
Necesitamos emplear agentes para recibir pagos y para remitídnoslos,
dado que el volumen de ventas de España es demasiado bajo para el
registro de nuestra compañía como agentes que negocian el arte en España ,
siendo improductivo para nosotros en este momento abrir una sucursal.
No garantizamos onerosas sumas de dinero ni un rápido ascenso dentro de
la empresa, como otras compañías, pero garantizamos honradez absoluta y
transparencia en nuestras relaciones comerciales , estructura ,
excelente clima laboral y trabajo de equipo.
Al mismo tiempo exigimos a nuestros empleados responsabilidad y
honradez que es uno de los pilares fundamentales de nuestra empresa,
Buscamos en los aspirantes ambas virtudes y las personas con estas
aptitudes tendrán mayores posibilidades de ocupar las distintas vacantes
en nuestra compañía.
Requisitos para aspirantes:
Operador de PC
Manejo de Internet,
E-mail y msn.
1-4 horas por día libres disponibles.
Teléfono o teléfono móvil.
Responsabilidad y honradez.
Residentes de España e Islas Canarias
Éste no es un truco que requiere pagar honorarios para postularse o
firmar una lista que se envía.
No necesitáis invertir ningún dinero - es un trabajo por horas
verdadero (consumaremos el contrato).
Éste es un negocio que requiere 1 a 4 horas de tu tiempo al día.

DESCRIPCIÓN DE LAS FUNCIONES:
Deberá entrar en contacto con la compañía y recibir los pagos de
nuestros clientes, informar a nuestro encargado regional
(se incluirán a cada aspirante en la lista de su encargado de la
región), los pagos antes recibidos
luego de las instrucciones que nuestro encargado le proporcionará (vía
E-mail y teléfono).

SUELDO:
Pagamos 200USD cada operación acertada durante el primer mes del
empleo, (período de prueba) durante los meses siguientes la suma
incrementara hasta 250USD por cada operación acertada.
¡Si tienes otras consultas, sentíos libres de escribidnos!
Si te encuentras interesado solicita el formulario de inscripción

Sinceramente, Tollis Co., Ltd.,

Comentario: Bueno, si dicen que garantizan honradez y transparencia, ya me fío más. También se ve que inciden en lo de que no se necesita ningún dinero previo, para intentar desmarcarse de los otros timos.

Correo enviado 2 – Experiencia Mulero

Fecha: Fri, 4 Aug 2006 05:01:24 -0500 (CDT)

Buenos días de nuevo,
tras recibir su correo, sigo interesado en la oferta y creo que cumplo todos los requisitos que piden: soy responsable y honrado, vivo en España, tengo ordenador, correo y tiempo libre,...
También tengo alguna duda,
¿Tengo que buscar yo los clientes o ya se me indican?
¿Cuantas operaciones acertadas se pueden hacer en un mes?
Como les digo, estoy interesado en la oferta y me gustaria saber que es lo siguiente que debo hacer.
Saludos y gracias.

Comentario: Venga, que empiece la fiesta.

Correo recibido 3 – Experiencia Mulero

Fecha: Fri, 4 Aug 2006 21:46:59 +0200

Buenos días.

SI ESTÁS INTERESADO POR FAVOR LLENAR EL FORMULARIO ADJUNTO:

COPIAR Y PEGAR EN EL
BROWSER:http://www.tollisantiques.com/esdoc/aplicacion.doc

El Microsoft Word se requiere para abrir el doc. de Microsoft.
Completar por favor este formulario cuidadosamente pues eres
completamente responsable de la información que has sometido a nosotros.
Puedes imprimir, llenar y enviarnos el formulario por fax o como
archivo adjunto del E-mail.
Aquí está una descripción corta de las funciones, así está todo claro
para ti.
Sin embargo, te llamaremos y explicaremos cualquier pregunta después de
que llenaras y nos envíes con éxito los formularios de
inscripción.

TAREA DEL TRABAJO:

La tarea del empleado consiste en la recepción del dinero del cliente y
de transferir el dinero a nuestras jefaturas o de los agentes en
regiones especificadas.

DESCRIPCIÓN DE LAS FUNCIONES:

1) Recibes el pago de nuestro cliente (por el cheque, orden de dinero o
directamente en tu cuenta bancaria).
2) Tienes que deducir honorarios del banco de esta suma.
3) Nos envías esta suma (tienes que deducir honorarios de WU y tu
200$USD de la cantidad enviada a nosotros).
4) Después de que hayas transferido el dinero necesitas el email
nosotros la información occidental de la unión: el nombre completo del
remitente, el número del control de la transferencia del dinero (MTCN)
y la cantidad total del dinero enviaron.
5) Llenas el expediente del contador especial de la “PF-forma” -
requerido para las cuentas de la compañía (es absolutamente simple;
nosotros consejo de la voluntad tú por E-mail o el teléfono).
6) Esperas una nueva orden (1-2 pagos a la semana, a veces más).
También, notificar por favor por lo que pagamos el dinero absolutamente
bueno tal trabajo (podemos permitir que éstos proyecten porque
según la legislación polaca nuestra compañía obtiene ventajas
considerables) que te estamos esperando haremos tu mejor.
Por favor, notificarme que has recibido este E-mail.

Sinceramente, Tollis Co., Ltd.,


Comentario: Pues ya sé lo que hay que hacer, hala, a por ello.

Correo recibido 4 – Experiencia Mulero

Fecha: Sun, 6 Aug 2006 16:53:05 +0200

ULTIMO MAIL ANTES DE SACARLO DE NUESTRA BASE DE DATOS !
NO HEMOS RECIBIDO SU APLICACION CORRECTAMENTE, ASI PODEMOS ANALIZAR
SU INFORMACION PARA SELECCIONAR LAS PERSONAS PARA EL CARGO DE ENCARGADO
REGIONAL

Buenos días.

SI ESTÁS INTERESADO POR FAVOR LLENAR EL FORMULARIO ADJUNTO:
COPIAR Y PEGAR EN EL
BROWSER:http://www.tollisantiques.com/esdoc/aplicacion.doc

El Microsoft Word se requiere para abrir el doc. de Microsoft.
Completar por favor este formulario cuidadosamente pues eres completamente responsable de la información que has sometido a nosotros. Puedes imprimir, llenar y enviarnos el formulario por fax o como archivo adjunto del E-mail.
Aquí está una descripción corta de las funciones, así está todo claro para ti. Sin embargo, te llamaremos y explicaremos cualquier pregunta después de que llenaras y nos envíes con éxito los formularios de inscripción.

TAREA DEL TRABAJO:

La tarea del empleado consiste en la recepción del dinero del cliente y de transferir el dinero a nuestras jefaturas o de los agentes en
regiones especificadas.

DESCRIPCIÓN DE LAS FUNCIONES:

1) Recibes el pago de nuestro cliente (por el cheque, orden de dinero o directamente en tu cuenta bancaria).
2) Tienes que deducir honorarios del banco de esta suma.
3) Nos envías esta suma (tienes que deducir honorarios de WU y tu
200$USD de la cantidad enviada a nosotros).
4) Después de que hayas transferido el dinero necesitas el email nosotros la información occidental de la unión: el nombre completo del remitente, el número del control de la transferencia del dinero (MTCN) y la cantidad total del dinero enviaron.
5) Llenas el expediente del contador especial de la “PF-forma” - requerido para las cuentas de la compañía (es absolutamente simple;
nosotros consejo de la voluntad tú por E-mail o el teléfono).
6) Esperas una nueva orden (1-2 pagos a la semana, a veces más).
También, notificar por favor por lo que pagamos el dinero absolutamente bueno tal trabajo (podemos permitir que éstos proyecten porque según la legislación polaca nuestra compañía obtiene ventajas
considerables) que te estamos esperando haremos tu mejor.
Por favor, notificarme que has recibido este E-mail.

Sinceramente, Tollis Co., Ltd.,


Comentario: Se me han puesto nerviosos. Este mensaje es repetición del anterior pero insistiendo que les envíe el formulario relleno. Me lo mandaron el viernes por la noche y el domingo por la mañana me lo vuelven a pedir,… ¿es que esta gente no descansa los fines de semana?

Correo enviado 3 – Experiencia Mulero

Fecha: Tue, 8 Aug 2006 05:33:06 -0500 (CDT)

Aqui estan mis datos para poder participar con ustedes en el negocio.
Espero noticias suyas.
Gracias.

Comentario: Se anexa el documento con los datos rellenos: Anexo A. Solicitud de Empleo. Es el mismo que enviaron ellos pero cumplimentado con datos, obviamente ficticios.

Correo recibido 5 – Experiencia Mulero

Fecha:
Tue, 8 Aug 2006 13:00:19 +0200
Asunto: Vacante

Buenos días.

Hemos recibido tu formulario de aplicación. Bienvenido al Equipo.
Estamos muy interesados en tu entrenamiento así puedes comenzar a
trabajar cuanto antes!
Ahora tienes que llenar el formulario de Addendum y el Contrato
Laboral.

SI ESTÁS INTERESADO POR FAVOR LLENAR EL FORMULARIO DEL LINK:

*Requiere tener instalado Microsoft Word para poder completar el
formulario.
Descargar Formularios y reenviarlo con sus detalles a nuestro sector
de RRHH.

COPIAR Y PEGAR EN EL
BROWSER:http://www.tollisantiques.com/esdoc/contrato2006.doc
TAMBIEN ESTE
FORMULARIO:http://www.tollisantiques.com/esdoc/addendum.doc

Completar por favor estas formas cuidadosamente pues eres completamente
responsable de la información estas suministrando a nosotros.
Los pagos serán hechos a la cuenta especificada, es por ello que todas
las características de la información y de la cuenta se deben
proporcionar correctamente.
Puedes utilizar tu cuenta existente o abrir una nueva.
Si decides abrir una nueva cuenta, por favor avísanos y podremos
esperar la nueva información de la cuenta por 10 días hábiles.
Puedes imprimir, llenar y enviar formas por fax o como accesorios del
E-mail.
Nuestro número de fax es: 34-93-396-18-54
Después de esto nosotros te enviaremos los contratos y las formas
firmados por nuestra área de RRHH.

IMPORTANTE:

*Nosotros nunca pediremos que nos deis el acceso a tu cuenta bancaria
personal.
*Requerimos estos datos solo para los propósitos de verificación
solamente.

Por favor, envíanos un mail avisando de tu fax si deseas enviarlo por
este método.
Así nosotros podremos asistirte en tu primer día del trabajo para
nuestra compañía así puedes comenzar cuanto antes.
¡Si envías el contrato hoy, puedes estar listo para trabajar en 2 días
y las transferencias listas para ser enviadas a tu cuenta bancaria en 3
días!
También, darme una respuesta rápida hoy.
Notificarnos Apenas recibas este E-mail.
Atte.

Sinceramente, Tollis Co., Ltd.


Comentario: ¡Que suerte!, ya tengo trabajo. Por cierto, este mensaje me llegó por duplicado, para que me enterase bien de que he sido aceptado en el trabajo, que mi perfil es el ideal. Esos si que son criterios de selección de personal estrictos, y lo demás tonterías. Me ha bastado con ser ‘tratante’ durante 40 años. Y yo me pregunto, ¿tratante de qué?, ¿sabrán lo que es ser tratante?.

En el mensaje se pueden ver varias cosas:

- Insisten en que no quieren las claves de la cuenta del banco, sólo en número.
- El número de fax que facilitan es de Barcelona (+34 93), que para no tener sede en España, es un poco raro.
- No se mucho polaco, pero me parece que el sello del final del contrato es de Estonia, o al menos, eso interpreto yo.
Envían el enlace a dos documentos, que se añaden como adjunto:
• Anexo B. Contrato Laboral
• Anexo C. Detalles de Cuenta Bancaria

Correo enviado 4 – Experiencia Mulero

Fecha: Mon, 21 Aug 2006 06:34:14 -0500 (CDT)

Buenos días,
Gracias por su respuesta y por su aceptación en su empresa.
Ante todo, disculpas por no responder antes de 10 dias, pero estuve de vacaciones sin poder leer el correo electronico.
La verdad es que tengo ganas de empezar a trabajar con ustedes, pero antes, tengo algunas dudas sobre el contrato que me enviaron.
Les comento a continuacion mis dudas:
1. Despues del periodo de pruebas, ¿que clase de contrato es (temporal, fin de obra, indefinido,...)?
2. En caso de que no haya ningua transferencia hecha (por cuestiones del mercado), ¿hay algun sueldo minimo o se cobra solo por transferencias hechas?.
3. ¿tengo que estar dado de alta en el paro?, ¿hay Seguridad Social?. (la española o la de Polonia).
4. ¿Se pueden pedir vacaciones?
5. ¿Hay alguna oficina a la que se deba ir a ver a los jefes, o es todo desde casa?.
No creo que ninguna de estas cuestiones sea ningun problema, pero me gustaria saberlas antes de firmar, comprendanlo.
Gracias y espero noticias suyas.
Cordiales saludos, compañeros.

Comentario: El siguiente paso hubiera sido darles los datos de mi cuenta, pero eso se enfrenta al planteamiento inicial de la investigación, así que debo empezar a alargar el tema sin revelar ningún dato mío.

Correo enviado 5 – Experiencia Mulero

Fecha: Tue, 12 Sep 2006 13:03:07 -0500 (CDT)

Buenas tardes,
Soy Severo Quesada Samaniego, candida a un puesto de trabajo ofrecido por ustedes. Nuestro acuerdo estaba bastante avanzado y hace un par de semanas les escribi con algunas dudas sobre el contrato a las cuales no he recibido respuesta. Les reenvio mi mensaje anterior por si por algun casual no les ha llegado. Informarles que sigo interesado en el traabjo si ustedes aun quieren contar conmigo.
Saludos.

Comentario: Parece ser que les han sentado mal mis vacaciones y que no quieren jugar conmigo al gato y al ratón. El anterior es un ejemplo de los varios que les he enviado para tratar de recuperar el contacto, pero todos ellos han sido infructuosos. Bueno, pues hasta aquí hemos llegado en este caso.

Variante de ‘última hora’.

Existe un nuevo tipo de estafa que puede asimilarse a este de los muleros y que se ha detectado muy recientemente y ya sin tiempo de intentar estudiarlo en profundidad.
En este caso, el proceso es el siguiente:
1. Los estafadores buscan particulares que esté realizando ventas en portales especializados. Lo más frecuente es dirigirse a venta de cosas de segunda mano.
2. Se ponen en contacto con el vendedor y le hacen llegar el dinero, pero no el que pide el propietario del objeto a vender, sino una cantidad mucho mayor.
3. Después se vuelven a poner en contacto con el vendedor diciendo que han cometido un error, que quieren que el vendedor les devuelva el exceso de dinero.
4. La devolución del importe, ¡oh, sorpresa!, se solicita a través de una compañía de envío de dinero de las antes analizadas.
El dinero del pago original suele proceder del phishing y los estafadores encuentran en este método una forma de blanquear el dinero y hacer que se pierda su rastro.