Ayer estalló por todas partes y en todos los lugares aparecieron los chavales de Doomlabs. Al final, depués de lo de Jazztel, de lo de izquierda unida y de miles de otros sitios les han cazado.
Al final, les han cazado. Era dificil que en algún sitio no se hubieran dejado una ip sin encubrir, una conexión en un log o un mail enviado por el sitio equivocado. Se habían prestado ya a hacer una entrevista para contar por qué lo hacían y era cuestión de tiempo que los trincaran.
Cuando a un grupo de chavales tan jovenes los trincan en una de estas me da bastante pena, pues, cuando te dedicas a esto sabes que todos, más o menos, andan en el límite de lo legal y lo ilegal, porque hay cosas que son dificiles de probar si no son en real. Al final, la mayoría somos "hijoputas pero poco", es decir, se enreda en real, pero sin llegar a hacer daño. No hacer el último clic.
Este grupo de chavales son hacktivistas, se dedican a reivindicar hechos a través de la seguridad informática y ahora se enfrentan a penas de entre 1 y 3 años. Si salen culpables, automáticamente se les van a cerrar muchas puertas en Seguridad Informática aunque seguramente se les abra alguna en empresas privadas, pero supongo que no es lo que más le importa a un grupo de hacktivistas.
No sólo las penas de cárcel se encuentran de por medio, están los daños y perjuicios que reclamarán las empresas afectadas. Esto puede ser mucha pasta y ya he visto como acaba esto en otros casos. Declararse insolvense, la multa que perdura, salarios mínimos.... una putada de cojones. Por suerte para ellos, un par son menores de edad y en este país para los menores hay leyes especiales y un tratamiento distinto.
No son los primeros, ya tuvimos el caso del hackeo del IRC Hispano, el caso de hacienda (dónde al final se salvó límpio), o la famosa operación Kronen dónde cogieron a un gurpo de chavales que se habían cepillado la web de la COPE, Telemadrid y Menéame (no te pierdas el debate). Sé que algunos de la operación Kronen leén este blog, así que, si nos contáis vuestra experiencia os lo agradeceré.
Personalmente creo que a estos grupos de chavales, que con 16 años ya despuntan en seguridad habría que acogerles en las empresas, en horarios de verano para que disfruten de su pasión. Nosotros el año pasado nos trajimos a Sirw2p, de 16 años entonces, para que jugara con nosotros durante 1 mes. El jugó con nosotros, nosotros aprendimos de él y fue muy divertido y por supuesto, nuestra idéa es repetir este verano con más gente que venga a jugar con nosotros.
Hay una frase que está metido en el refranero popular de este país: "La policía no es tonta". Pueden que funcione la burocracia de forma lenta, que no sean técnicamente tan potentes como algunos hackers o que tengan pocos recursos que destinar, pero... las brigadas tecnológicas trabajan y obtienen resultados.
Además, en todas las empresas tecnológicas siempre estamos buscando técnicos, así que, si te gusta esto... ¿por qué no ganarte la vida con ello en lugar de jugartela?. En vez de ir al talego, mejor a ganar unos talegos. ¿no?
Definiciones de Talego
Saludos Malignos!
Al final, les han cazado. Era dificil que en algún sitio no se hubieran dejado una ip sin encubrir, una conexión en un log o un mail enviado por el sitio equivocado. Se habían prestado ya a hacer una entrevista para contar por qué lo hacían y era cuestión de tiempo que los trincaran.
Cuando a un grupo de chavales tan jovenes los trincan en una de estas me da bastante pena, pues, cuando te dedicas a esto sabes que todos, más o menos, andan en el límite de lo legal y lo ilegal, porque hay cosas que son dificiles de probar si no son en real. Al final, la mayoría somos "hijoputas pero poco", es decir, se enreda en real, pero sin llegar a hacer daño. No hacer el último clic.
Este grupo de chavales son hacktivistas, se dedican a reivindicar hechos a través de la seguridad informática y ahora se enfrentan a penas de entre 1 y 3 años. Si salen culpables, automáticamente se les van a cerrar muchas puertas en Seguridad Informática aunque seguramente se les abra alguna en empresas privadas, pero supongo que no es lo que más le importa a un grupo de hacktivistas.
No sólo las penas de cárcel se encuentran de por medio, están los daños y perjuicios que reclamarán las empresas afectadas. Esto puede ser mucha pasta y ya he visto como acaba esto en otros casos. Declararse insolvense, la multa que perdura, salarios mínimos.... una putada de cojones. Por suerte para ellos, un par son menores de edad y en este país para los menores hay leyes especiales y un tratamiento distinto.
No son los primeros, ya tuvimos el caso del hackeo del IRC Hispano, el caso de hacienda (dónde al final se salvó límpio), o la famosa operación Kronen dónde cogieron a un gurpo de chavales que se habían cepillado la web de la COPE, Telemadrid y Menéame (no te pierdas el debate). Sé que algunos de la operación Kronen leén este blog, así que, si nos contáis vuestra experiencia os lo agradeceré.
Personalmente creo que a estos grupos de chavales, que con 16 años ya despuntan en seguridad habría que acogerles en las empresas, en horarios de verano para que disfruten de su pasión. Nosotros el año pasado nos trajimos a Sirw2p, de 16 años entonces, para que jugara con nosotros durante 1 mes. El jugó con nosotros, nosotros aprendimos de él y fue muy divertido y por supuesto, nuestra idéa es repetir este verano con más gente que venga a jugar con nosotros.
Hay una frase que está metido en el refranero popular de este país: "La policía no es tonta". Pueden que funcione la burocracia de forma lenta, que no sean técnicamente tan potentes como algunos hackers o que tengan pocos recursos que destinar, pero... las brigadas tecnológicas trabajan y obtienen resultados.
Además, en todas las empresas tecnológicas siempre estamos buscando técnicos, así que, si te gusta esto... ¿por qué no ganarte la vida con ello en lugar de jugartela?. En vez de ir al talego, mejor a ganar unos talegos. ¿no?
Definiciones de Talego
Saludos Malignos!
¿Conoceis alguna página donde se recojan una lista de hechos similares? Una especie de recuento
ResponderEliminarAnónimo, te refieres a una página donde digan el recuento de webs hackeadas y por quien? No se si buscas esto Zone-h
ResponderEliminarMe acuerdo Maligno cuando hiciste un post sobre la web defaceada de Jazztel y en uno de los comentarios dijeron que no los pillaban ni de coña a lo que yo dije que si les denunciaban y la policía los buscaba tenían todas las de acabar en chirona. Así ha sido, ayer comentaba en mi blog cutre salchichero esta noticia, argumentando un poco que esta gente podría estar en el lado del bien y en cambio están en el lado del mal solo por tener un nombre en Internet o ser conocidos como los que defacearon la web de IU o Jazztel.
A mi sinceramente me da mucha pena que gente con este talento se desperdicie de esas maneras, como tu has comentado Chema podrían hacer cursos en verano, enseñar a la gente, aprender nuevas cosas e incluso vivir de la seguridad. En fin, una penica.
P.D: ¿sirw2p tiene 16 años? Joer, bravo que con esos años seas un genio :)
No quiero encender un flame pero los neninos estos se lo han buscao..
ResponderEliminar1. Por muy genios de la seguridad informática que sean a esos años les falta algo que se gana uno con la mayoría de edad (supuestamente) que es la responsabilidad moral de su acciones..
2. Conozco a gente que es capaz de tirar abajo cualquier cosa que se pongan como meta echándole horas y horas, pero que no son capaces de mantener una conversación seria en ninguna otra cosa que no sea informática, o expresar cosas para las que tienen que sacarse sus símiles informáticos..
3. La sanción que les pueda caer al ser menores de edad es de risa, y dependiendo de la respuesta pública que reciban de todo esto marcará su forma de comportarse cuando vean otros objetivos a huevo en el futuro.
Así que menos vitorearles y mas ser todos un poco mas responsables con todos estos temas..
Wi®
Yo "personalmente" conocía a 3 de los 5 detenidos en esta operación, en muchos lados se les esta tildando de kiddies (véase menéame) que solo conseguían root en un server con 1000 webs y de hay los 21.000 defaces que tenían en zone-h. Pero esto no es así, porque yo he estado jugando con algunos de sus exploits priv8 y no son ninguna tontería.
ResponderEliminarEs lo que tiene, nunca te metas con una empresa gorda que puede ir a por ti y no va a escatimar en recursos para encontrarte.
Yo tambien escribi sobre ello en mi blog porque alguna vez hable en alguna conversacion multiple con uno de sus antiguos miembros y la verdad, que despues de lo de IU que dijeron que iban a buscarles, no iba a ser dificil encontrarles, ya que habia mucho rastros de en que zona se movian y demas, yo mismo encontre bastantes cosas y la policia que tiene mas recursos aun pues les es mas facil.
ResponderEliminarAhora mismo seran famosos y les contrataran algunas empresas pero eso mancha para toda la vida, sobretodo lo que decis, si les hacen pagar pasta a las empresas..
Pero bueno para los que cambiaron de lado y no les han pillado un hurra pa ellos jeje.
PD:No olvidar utilizar tor + alguna otra proxy, que si te quieren buscar tengan que gastar mas tiempo y dinero xD
Estoy de acuerdo contigo, espero que al final estos chavales acaben bien, que paguen lo que le corresponda y se reinserten, que gente con talento no sobra. Tal vez, cuando tengan el doble de edad sean buenos profesionales.
ResponderEliminarPor cierto, si detectas un problema de seguridad en una web, por ejemplo, de un ayuntamiento o algo así que es vulnerable a inyeccion de sql, ¿como y a quien se reporta? Lo digo porque no se si reportarlo te puede crear algún problema legal, es decir, poner algo en una url y que de un pete y te enseñe media bd, hacer una select o algo así (con lo que pruebas que hay un fallo pero no rompes nada), ¿eso es ilegal?
Creo que la linea que separa un acto legal de uno ilegal es demasiado difusa.
Un saludo.
Como bien has dicho, algunos de los detenidos en la operación kronen te leemos (casi todos).
ResponderEliminarAunque mucha gente no lo crea y pese a lo que digan los medios, a este gente no se la va a vitorear. Se la va a perseguir, amenazar, asustar, van a tener que gastar grandes cantidades de dinero en abogados, van a tener problemas con su familia por esto y si alguno trabaja en una empresa de informática, seguramente será despedido, etc etc etc...
La vida no es tan fácil, esto ha sido un duro golpe para estos chicos, yo solo espero que hagan lo que hay que hacer, es decir, reinsertarse y trabajar como personas honradas, contribuyendo así a la sociedad.
En el fondo, cuando un chico de estos es detenido, lo bueno es que no entre a la cárcel (normalmente no entran) sino que del susto, aprenda que sus actos, tienen consecuencias, y que lo mejor en esta vida, es ser honrado.
Yo conozco bastantes reformados solo con el susto, y creerme, que funciona. A fin de cuentas, los piratas informáticos (o como queríais llamarlos) no son navajeros o asesinos, no son personas que se han salido de la sociedad, sino personas con un enfoque distinto de la moralidad, que deben entender, que no todo el mundo comparte.
Saludos chema!
Ufff, no puedo estar mas de acuerdo con lo que has dicho anónimo. Realmente a esta gente la carcel no les va a servir de nada, con el susto seguramente muchos ya cambien de opinión y vean las cosas de otra manera. También hay que tener en cuenta que son chavales jóvenes, que seguramente no sean conscientes al 100% de lo que conlleva hacer 20.000 defacements, no creo en ningún momento que se esté vitoreando a esta gente, al revés, se les está condenando por lo que han hecho.
ResponderEliminar@sirw2p: ¿qué tipos de exploits priv8? ¿Algo decente de verdad? (quitando sql injections en los típicos programas php)
ResponderEliminarMe suena que dijeron (¿quizás en la referida entrevista?) que podían hackear cualquier servidor que se le pusiera delante. Decir eso es, cuanto menos, irresponsable (es imposible, hasta para 20 "hd moore"'s en paralelo :)).
Es verdad que es una pena lo que ha pasado pero hay que tener cabeza... ir defaceando webs a saco, armando ruido, dejando pistas (hasta el correo de algunos era conocido)... ¿alguien dudaba de verdad que no los fueran a pillar?
Me temo que ahora todo el ruido que han armado se les va a volver en su contra...
-r
bueno, como suelen decir, el que juega con fuego se acaba quemando.
ResponderEliminarsinceramente, no apoyo el hackivismo (por normal general), una cosa es encontrar fallos, incluso divertirte con ellos, y otra aprovecharlos para desfacear la web. por mucho que digan que su intención es la de "avisar al administrador". si quieres avisar, envía un correo.
la mayoría de los que andamos por estos lares hemos hecho cosas parecidas, hemos encontrado fallos en páginas "conocidas" y nos hemos sentido "dioses" por un momento. pero cuando te dedicas a ser famoso por ello obviamente acabas así.
suerte para ellos aún así, estoy seguro de que nunca pretendieron hacer daño, aunque obviamente, siempre hay que tener un poco de ética.
Lo de los exploits, no los conozco pero segun vi en uno de los blog, tenian uno de los rooteadores de linux de los ultimos(no creo que se pongan ellos a descubrir ese tipo de fallos aunque podria pasar), pero es lo k dice romantsoft ni 10 hd moore juntos con su lote de metasploit jeje xD
ResponderEliminar