Ekoparty 6th - Speakers & Trainings

Ayer se hizo pública la lista de speakers que van formar el cartel de la Ekoparty 6th, una de las conferencias más chulas del mundo y tengo la suerte de estar allí, pero lo importante es el pedazo de lista que han formado estos pájaros en la tierra del comer mucho y bien. De flipar:

Cedric Blancher - Hacking, an activity of Public interest?
Nicolas Bareli - Sandboxing based on SECCOM for Linux kernel
Cesar Cerrudo - Token Kidnapping\'s Revenge
Cesar Cerrudo History 0days, Disclosing y otras yerbas
Claudio Criscione - Virtually Pwned: Pentesting VMware
Giovanni Cruz - Atacking VoIP…a paradise!
Nicolas Economou - 2x1 Microsoft Bugs: 'Virtual PC hyper-hole-visor' + 'Windows Creation Vulnerability (MS10-048)'
Gary Golomb - Network-based detection of PE structural anomalies and linker characteristics
Michael Hudson - Wrong Way, the true story of a Black Hat
Barnaby Jack - Jackpotting Automated Teller Machines
Leando Meiners & Diego Sor - WPA Migration Mode: WEP is back to haunt you...
Eric Monti - iPhone Rootkit? There's an App for That!
Mariano Nuñez Di Croce - SAP Backdoors: A ghost at the heart of your business
Hernan Ochoa - Understanding the Win SMB NTLM Weak Nonce Vulnerability
Hernan Ochoa -Transferring files on isolated remote desktop environments
Deviant Ollam - Distinguishing Lockpicks: Raking vs Lifting vs Jiggling and More
Alfredo Ortega & Oren Isacson - Exploiting Digital Cameras
Andres Riancho - Lucas Apa Web Application Security Payloads
Juliano Rizzo & Thai Duong - Padding Oracles Everywhere
Pablo Sole - Hanging on a ROPe
Roelf Temmingh Your life online: No more secrets Marty
Chris Valasek - Understanding the Low Fragmentation Heap: From Allocation to Exploitation

A esto, hay que añadir los 11 tranings que hay organizados que son de todos los tamaños y colores. ¿Todavía no tienes tu entrada para la Ekoparty? Si no puedes venir, no te olvides que Alejandro Eguía de SpamLoco.net será el blogger oficial de la Eko, y que podrás enterarte de lo que pasa allí desde él, desde el blog de la Eko o siguiente los escritos de Leo Pigñer en Kungfoosion.com. Nos vemos en la EkoParty.

Saludos Malignos!

Minería de datos con Maltego (1 de 3)

********************************************************************************************
- Minería de datos con Maltego (1 de 3)
- Minería de datos con Maltego (2 de 3)
- Minería de datos con Maltego (3 de 3)
Autor: Manu "The Sur"
********************************************************************************************

Maltego es una aplicación de minería y recolección de información utilizada durante la fase de ‘Data Gathering’, proceso en el cual se trata de obtener el mayor número de información posible sobre un objetivo para su posterior ataque.

Maltego es una aplicación de pago en su versión completa, pero dispone de una versión gratuita llamada ‘Community Edition’ en su última versión V3 con algunos límites, que es la que se va a utilizar en este artículo de introducción.

Antes de empezar a utilizar Maltego, es necesario registrarse en la web, ya que cuando se inicie Maltego por primera vez, nos pedirá que introduzcamos nuestra cuenta de usuario a través de un asistente. Si no realizamos estos pasos, no se nos cargará la paleta de entidades, por lo que no podremos utilizar adecuadamente el software.

Para iniciar un nuevo proyecto (Graph), se debe hacer clic sobre el icono marcado en la siguiente captura de pantalla.


Figura 1: Creación de un nuevo proyecto
En el lateral izquierdo de la interfaz, se encuentra un panel con la paleta de componentes. Para agregar una entidad desde esta paleta, basta con arrastrarlo al ‘Graph’. En la siguiente captura se ve como se ha agregado una entidad ‘Domain’.

Si hacemos clic sobre la entidad una vez agregada, en el lateral derecho se nos mostrará el panel de propiedades, pudiendo personalizar y modificar las propiedades del mismo. Para este ejemplo se ha configurado la propiedad ‘Domain Name’ como ‘fbi.gov’.


Figura 2: Configuración de propiedad Domain Name
Para iniciar el proceso de minería de datos, hay que comenzar con la recogida de información sobre una entidad. Para ello es necesario hacer clic derecho sobre la misma, y expandir el menú ‘Run transform’, donde aparecerá una lista con las distintas transformaciones aplicables a dicha entidad.

Si dejamos el puntero del ratón situado encima de una de ellas, se nos mostrará una pequeña descripción sobre ella.

Una vez se inicie la búsqueda, se irá pintando el mapa de los datos obtenidos. Dicho mapa será representado mediante diferentes iconos dependiendo del tipo de entidad de que se trate. Por supuesto, cada una dispondrá de sus propias transformaciones.


Figura 3: Expansión de la información por medio de transformadas
********************************************************************************************
- Minería de datos con Maltego (1 de 3)
- Minería de datos con Maltego (2 de 3)
- Minería de datos con Maltego (3 de 3)
********************************************************************************************

Entrando Cruzado

En el Viñarock de hace ya unos años, Fito Cabrales, el alma, corazón y voz de Fito & Fitipaldis, presentaba su segundo disco. Allí, antes de comenzar una canción dijo que se la dedicaba a una chiquilla con la que había estado chateando por Internet. Y se le veía contento por la experiencia. Sin embargo, unos años atrás cantaba con Platero y Tú una canción que demostraba cierto descontento con las nuevas tecnologías e Internet.


Hoy me acordé de ella al hablar sobre la aceptación que han tenido que sufrir algunos en sus vidas quisieran o no., y como es domingo y aún no he conseguido tener mi propio Bannk of Maligno más que en retos, no como Fito, que debe tener el BankofFito del éxito que ha tenido, creo que entre músico e informático.... se liga más de músico. Si estas en la edad de decidir y sabes programar en C# y tocar la guitara... ¿estás seguro de querer entrar de programador?

Saludos Malignos!

Reto Hacking en el Asegur@IT Camp 2

Sí, habrá un reto hacking, pero no el que esperas, pues lo que vamos a tener es el "peazo" de 1er Campeonato de Futbolín Internacional para Hax0Rs en el Asegúr@IT Camp 2.

Para tal acto se utilizará el increible modelode futbolín conocido como Madrid que Informática64 ha encargado ya para amenizar todas las fiestas. Tú reto será ganar el campeonato y llevarte, además de todo el respeto de los congéneres allí reunidos, la fama internacional de ganarnos.


El autentico mejor futbolín del mundo mundial
Ah, y no están permitidas las excusitas esas de "..es que yo juego con el de dos patitas de hierro y que es enormemente grande y pesado". ¿No eres un hax0R ''='? Pues nada de lloriqueos.

Si tienes pensado venir, recuerda que el registro super-reducido acaba el próximo día 5 de Septiembre.

Saludos Malignos!

Hacking FOCA [2 de 3]

*********************************************************************************************
- Hacking FOCA [1 de 3]
- Hacking FOCA [2 de 3]
- Hacking FOCA [3 de 3]
*********************************************************************************************

Con la salida de la versión 2.5.1, vamos a continuar con esta serie para sacarle un poco más de partido a la FOCA de lo que se puede sacar con las opciones por defecto.

Forzado de escaneo de PTR interno

La segunda parte de este artículo va dedicada al uso de otra parte que necesita convertirse en un apartado de la FOCA en el futuro. El escaneo de PTR de un servidor DNS a rangos internos de la red, a pesar de que no se haya descubierto ninguna dirección IP interna.

¿Y esto que quier decir? Pues hasta el momento, el algoritmo de búsqueda DNS que aplica FOCA está pensado para escanear automáticamente, usando los registros PTR de un servidor DNS, todos los segmentos de red de los que se haya encontrado una dirección IP interna.

Ahora bien, supongamos el caso de que estamos escaneando una organización, de la que sabemos, o suponemos, el rango de direcciones IP. Si FOCA no es capaz de encontrar ninguna IP interna no va a escanear el rango. ¿Solución?

Pues forzar a que la FOCA la encuentre. Para hacer que FOCA encuentre alguna dirección del rango que queremos escanear, lo único que hay que hacer es crearse un documento OpenOffice o Microsoft Office que tenga hipervínculos a direcciones IPs de rangos internos.


Figura 1: Fichero xlsx con un link a un rango interno
Bastará después con añadir este fichero manualmente al proyecto. Teniendo en cuenta que FOCA busca la información de los links almacenados en documentos ofimáticos, FOCA descubrirá los rangos que nos interesa.


Figura 2: IP encontrada tras analizar metadatos
Por último, ya se podrá lanzar el algorítmo de búsqueda contra el sitio seleccionando sólo la opción de IP Range, que hará un escaneo de PTR sobre 1 o todos los DNS, según las opciones seleccionadas.


Figura 3: Configuración de IP Range en el DNS Search Panel
Y listo, basta a dar al botón de Start y FOCA analizará todo el rango.

Figura 4: Resultados
Saludos Malignos!

*********************************************************************************************
- Hacking FOCA [1 de 3]
- Hacking FOCA [2 de 3]
- Hacking FOCA [3 de 3]
*********************************************************************************************

Informe X-Force Seguridad Semestral 2010

Hace unos años, cuando IBM se hizo con ISS, se llevó entre otras buenas cosas, el equipo X-Force que tantos papers e información de seguridad habían publicado a lo largo de años. Continuamente hacen trabajar a los equipos de seguridad de Microsoft, Google u Oracle con el descubrimiento de nuevas vulnerabilidades en el sistema, y es fácil encontrarlos en BlackHat presentando cosas nuevas.

Como la mayoría de los laboratorios, periódicamente sacan un informe de seguimiento y estado de la seguridad. El informe que ellos han hecho público, y puedes descargarte si tienes o te sacas una cuenta en IBM, es relativo al estado de las vulnerabilidades descubiertas en estos primeros 6 meses de 2010. Y los datos son curiosos.

Según el informe, aunque a día de hoy se desarrolla código mucho más seguro, cosa que tendríamos que revisar cuando seguimos encontrándonos con demasiada frecuencia advisories de seguridad de este tipo [Cisco SQL Injection], el número de vulnerabilidades descubiertas en 2010 durante estos primeros seis meses ha alcanzado el escalofriante número de 4.396. Es decir, que salen algo así como más de 730 vulnerabilidades al mes.

Este número supone un incremento de más de un 35% con respecto al peor de los años en los primeros seis meses. Y eso debe ser porque hay mucha más gente interesada en encontrarlas, por lo tanto más dinero en el negocio, y más gente con ganas de coger la caravana e irse a agitar el agua de los ríos en busca de pepitas.

Respecto a los mecanismos de parcheo de las vulnerabilidades, la cosa está fatal. Más de la mitad de ellas están aún sin parchear, y si se mira a las críticas o más peligrosas, el número alcanza el 71 % aun sin parchear. En este caso, el que peor lo hace es Google, que tiene el 33% de las críticas sin parchear. Si se mira quién tiene más vulnerabilidades, de todos los niveles, sin parchear, el ganador es SUN.


Gráfico porcentual de vulnerabilidates totales y críticas sin parchear
Por sistemas operativos, Microsoft se lleva la palma en vulnerabilidades críticas, pero si se miran todas las vulnerabilidades, este está siendo el peor año en seguridad para Apple y va muy cerquita de él Linux.

Como se puede ver, el tema de las protecciones de software necesita mejorarse, y a marchas agigantadas, o dentro de poco vamos a pasar 23 horas al día parcheando los sistemas, y 1 hora conectados a Internet acojonados perdidos.

Saludos Malignos!

Google - y Yahoo- no tienen la culpa

Siguiendo mi tradicíon de hablar de Google, voy a a hablar de... Google. Esta historia está lejos de tener algo que ver con el caso del Google Street View, la demanda de Oracle o el famoso tema de la neutralidad en la web tras el acuerdo con Verizon. Bueno, no tan, tan, tan lejos, ya que también tiene que ver con los tribunales, pero de otra manera.

En este caso es sobre los contenidos que indexa. Esto ya ha sido tema de debate durante mucho tiempo. El caso es que una modelo Argentina había demandado a Yahoo! y Google por indexar contenido dañino referido a ella. Y en primer instancia había ganado el juicio e iba a ganar unos 10.000 dolares. Vamos, el chocolate del loro comparado con lo que ha sacado la amiga Larisa Riquelme vendiendo sus fotos a una revista "como Dios manda".

El caso es que Google y Yahoo! apelaron y, por supuesto, han ganado. La sentencia dice que mientras que no sean negligentes a la hora de eliminar los contenidos cuando se les avise legalmente no hay problema y que a otra cosa mariposa.

Ahora, haciendo de Maligno, vamos a suponer algún otro punto de vista. Que los buscadores como Google, Bing, Yahoo! y el mismo Youtube viven del contenido es evidente. Que todos ellos se han convertido en sistemas donde habitan datos sensibles de organizaciones, exploits para atacar a usuarios o son una forma fácil de encontrar contendio con copyright, es un hecho. ¿Quién no ha visto un capítulo de una serie de DVD volcado en partes en Youtube? Yo me chupé un día, en 7 partes la peli de "Y si no nos enfadamos".


Si estos buscadores buscan a una velocidad brutal, aunque tengan mecanismos para eliminación de contenido... ¿cuánto tiempo tardará ese contenido en estar otra vez disponible a través del buscador en otra ubicación? ¿Qué es un mecanismo fiable? ¿Debería existir alguna protección contra la reentrada de contenido? Hay sistemas de reconocimiento de fotografías, firmas de textos, sistemas heurísticos, etc... para detectar la reentrada. ¿Alguna inspección de las URLs que se dan de alta para evitar que lleguen a la base de datos links con exploits? ¡Que las pasen por Virus Total!

He de decir que, como usuario, y dedicándome a lo que me dedico, es genial que los buscadores funcionen así, pero... ¿y si estás en el otro lado del cañón? La verdad es que no tengo una opinión 100% formada, pero creo que los motores de búsqueda se han convertido en una parte muy importante de la sociedad de hoy como para replantearselo.

Recuerdo un debate aquí en España sobre la manipulación de la información en el que se debatía sobre si es sólo el pagerank el que decide el orden de las noticias o hay un mano editora. ¿Qué pasaría si todas las noticias que salen sobre un tema son de una única tendencia política?

Saludos Malignos!

PD: No vuelvo a postear sin desayunar primero.

Publicada la FOCA versión 2.5.1

Acaban de anunciar mis compañeros que ya está publicada la versión 2.5.1 de la FOCA. Esta nueva versión ha reparado un fallo muy feo de estabilidad que ha costado encontrar y ha arreglado unos detalles que notaréis a la hora de hacer el escaneo de DNS ya que encontrará mucha más información. Además, se ha aumentado el número de descargas en paralelo para que sea mucho más rápida la descarga de ficheros.

Aprovecho para agradecer a Sorian este pedazo de dibujo en A3 que me ha llegado ayer. Sorian... eres una artísta. Darth "Pink" Foca instruida por el malvado Emperador Josemaricariño... }XD Tienes una imaginación espectacular.


Saludos Malignos!

El mercado de la identidad: Vales menos que un Azerbajiano

En el blog de McAfee - ¿o debo decir Intel? - han publicado un sorprendente catálogo con un auténtico mercado de la identidad. Parece el supermercado donde compraba las identidades nuestro amigo Bourne.

En él se puede ver que ser Ruso, Ukraniako o de Arerbajian es lo que menos vale. Hay que suponer que esto es así por uno de los dos siguientes motivos que regimen el libre comercio capitalista:

1) O no hay demanda: Nadie quiere comprar esas identidades.
2) O hay demasidad oferta: Tienen demasiadas identidades que vender.


Como se puede ver en la imagen, ser Frances marca un nivel, no como ser Español, que a pesar de superar los 5.000 USD cotizamos menos que los italianos. Y eso aunque seamos los campeones del mundo de futbol.

Por supuesto, una vez que tienes un pasaporte comprado, nada mejor que tener unas cuantas tarjetas clonadas, a elegir el tipo de tarjeta y el saldo de la misma.


Por último, ya que te pones, una licencia de conducir, pero sin pasar por los pesados exámenes teóricos y prácticos. Si total, con las horas que le has metido al Need For Speed o el GTA ... ¿quién necesita ir a la autoescuela?


En fin, que así está el mundo de la gestión de identidades. Por cierto, a principios de Octubre, los días 5 y 6, hay un evento de esta temática en la Universidad de Sevilla, y o yo, o mi compañero Silverhack, estaremos allí, para comentar todas estas bonitas jugadas. Más información : Jornadas sobre identidad digital 2010

Saludos Malignos!

Calendario Tórrido 2011: Beta 2

Tras diversas negociaciones, tenemos nuevas confirmaciones, cancelaciones y revelaciones. El estado actual del Calendario Tórrido 2011 es el siguiente.

[C] : Confirmado
[O] : Se ofreció así un poco de gallito así que ahora que cumpla
[L] : Los que tengo que liar

Enero: Càrles Martín [C] & Quest Team [L]

Enero sigue esperando a que Càrles convenza a los compañeros de Quest, pero conociendolos... esto está hecho.

Febrero: Marcelo Rivero [C] & InfoSpyware people [L]

Marcelo Rivero está confirmado, así que InfoSpyware tendrá febrero. Estará él sólo con compañía, pero hay mes.

Marzo: Raúl Benito [C], Vierito5 [C]

El mes de Marzo les tocará a Raúl Benito y Javier Moreno (Vierito5) para hacer llenar un mes con dos cerebros muy bien amueblados.. ¿como será el resto? Raúl Benito, para triunfar en Google, sabe que hay que estar en forma. Vierito5... ponte las pilas!!! }:))

Abril: Lorena “Burbuja” [C] , Cristian Borghello de Segu-Info [C], Alexav8 [C] & Luciano Bello [C]

Abril sigue siendo para Argentina, Alexav8 confirmó y Don Luciano Bello, el criptógrafo argentino más sexy de Debian, se pondrá a lucir cuerpo.

Mayo: Mario Berdonces [C] y Emilio Casbas [C]

El mes de Mayo se va a para Navarra. Mario, de la Fundación Dédalo y Emilio Casbas de S21Sec están machacándose en el gim para demostrar que en Navarra, que salga un Indurain, no es ninguna casualidad.

Junio: DISPONIBLE

Julio: Niko “T-1000” [C], Nico Castellanos (NCN) [C], SeiFreed [C] y Tyler [C]

El mes de Julio sigue siendo el mes para Barcelona, todos están confirmadísimos.

Agosto: Rubén Santamarta [C]

Rubén Santamarta ha prometido que será capaz de sujetar el sombrero sin manos, sin cabeza y sin photoshop... Yo, que me lo creo todo, quiero verlo }:))

Septiembre: Ekoparty [L] & Cosmic Kites [L]

Septiembre sigue esperando a la Ekoparty: Amato, Fede, Claudio, Nico Waissman, Ezequiel, Leo, Hernán, Martín [OWASP], Riancho, Mariano... No se van a escapar....

Octubre: I64 [L]

Aún tengo que convencer a compañeros de I64, pero esto sigue adelante....

Noviembre: Pedro Sánchez [C] y Juan Garrido “Silverhack” [C]

El mes de los forenses, todo sigue adelante....

Diciembre: Frikiñeka [C] y Andor [C]

Frikiñeka y Andor están confirmados en una foto grupal, para demostrar porque las comunidades Open Source son... - ¿por dónde iba?, vaya, ya he vuelto a perder el hilo...

Así está actualmente el calendario, como podéis ver, hay más de 13 (12 meses + portada) confirmados, pero he preferido agruparlos. No obstante, si no salieran más voluntarios, los redistribuiría para llenar todos los meses.

Sigo esperando más voluntarios. Las fotos se comenzarán a hacer en Septiembre. Vierito5 me ha prometido los servicios de unos amigos fotógrafos profesionales, así que, a lo mejor buscamos alguna fechas para ir juntándonos todos. A los de la lista... ya os iré coordinando.

¿Algún voluntario más?

Saludos Malignos!

Abierto el periodo de inscripción

Como hay muchas cosas abiertas a las que te puedes inscribir, he decidido ponerlas todas juntas en este post, así que revisa con cuidado a qué te vas a apuntar, no sea que se te pase la fecha:

Lo más próximo que tienes es la semana que viene, los Virtual HOLs que dará Silverhack dedicados a Análisis Forense que se pueden seguir online. Luego el día 10 de Septiembre comenzamos con la sexta edición del FTSAI, para todos lo que quieran "gastar" sus viernes por la tarde enredando con la seguridad informática, para que después de comienzo el calendario regular de Hands On Lab en Madrid y Virtual HOLs que ya está publicado.

Ekoparty 6th: Conferencias y Trainings en Buenos Aires

La fecha de la sexta edición de la Ekoparty ya está aquí. Será en Buenos Aires, la semana del 14 al 17 de Septiembre, y ya puedes reservar tu entrada tanto para las conferencias, como para alguno de los Trainings que se van a impartir.

- Opensource intelligence gathering for pentesting
- Using Network Forensics for Incident Response and Malware Analysis
- Modern Malware Reverse Engineering
- Breaking Windows
- Introduction to cracking and anti-cracking
- Lockpicking & Physical Security - from novice to master in two days
- SAP Security In-Depth
- Web Testing & Exploiting Workshop
- Cracking WIFI, for real
- Hacking y Seguridad en VOIP
- Python for hackers

Yo impartiré el primero de ellos, es decir, el de OpenSource Intelligence gathering for pentesting.

Madrid: Internet es Tuyo

El día 1 de Octubre tendrá lugar el evento Internet es tuyo, dedicado a los que se ganan la vida con Internet. Allí yo daré una charla sobre seguridad, dentro de una florida agenda del mundo del SEO, el negocio en Internet y demás. La "culpa" de todo la tiene Ismael Elqudsi.

Master Universitario Oficial de Seguridad en las Tecnologías de la Información y las Comunicaciones de la Universidad Europuea de Madrid

Este Master, donde participamos entre otros Alejandro Ramos "dab", Juan Luís G. Rambla y yo, dará comienzo a finales de Octubre, principios de noviembre. Tiene caracter oficial, y se realiza los viernes por la tarde y los sábados por la mañana en Villaviciosa. Para los que quieren seguir con sus estudios académicos centrándolos en Seguridad. Más información en el siguiente Link: Master Seguridad Informática Madrid.

NoCONName: Conferencias y Trainings en Barcelona

En Octubre, la semana del 18 al 21 de Octubre, en Barcelona, tendrá lugar la reaparición de las conferencias NCN. Allí, durante los dos primeros días habrá trainings y los dos últimos presentación de trabajos. Allí, Silverhack dará un training de Forense, yo uno de Inyección Web y Anelkaos, de WifiWay dará uno de Seguridad WiFi. Ya está abierto el periodo de inscipciones.

Asegúr@IT Camp 2: De la NCN a pasar un fin de semana en el Escorial

Ya lo sabéis, desde hace 1 semana está abierto el registro para el fin de semana más campestre-tecnológico del año: Asegúr@IT Camp 2. El día 5 de Septiembre acaba el periodo super-reducido de registo. El acto tenrá lugar el día 22,23 y 24 de Octubre.

BugCON: Workshops y conferencias en México DF

Para los días 27,28 y 29 de Octrubre está preparada la BugCON en México DF, ya se han publicado los precios de los workshops y de las charlas magistrales. En esa conferencia yo participaré junto con Pedro Sánchez que volaremos desde el Asegúr@IT Camp 2 para México de la manita.

XIV Simposium de Informática en Toluca

Los días 27 y 28, Pedro Sánchez y yo, más Diego Ferreiro (que está trabajando actualmente con Palako en Yahoo!) iremos a Toluca, para participar en el ciclo de conferencias del XIV Simposium de Informática. El día 29 de Octubre, viernes, yo daré un taller sobre Seguridad Web que aún no está publicado, pero que os avisaré

Y eso es todo, que como véis hay para elegir bien elegido.

Saludos Malignos!

BlueFinder en la OSWC 2010 de Málaga

Seguro que a algún que otro webmaster, lo de las “Técnicas SEO para gente de moral relajada” le dejó con mal cuerpo. ¡Había que hacer algo! Pero era complicado.

Eso de que te digan que tus páginas están infectadas con contenidos poco apropiados es ya para tirarse de los pelos. Pero vas a visitarla y no ves nada raro. Sin embargo, buscas en Google y sí que aparecen cosas raras. Y haces clic en el resultado, que te lleva a la misma página que miraste antes, y ahora sí que sí: enlaces a pastillas de todo tipo, pornografía (también de todo tipo), etc., etc., etc. En ocasiones, los “contenidos extra” están ocultos mediante scripts y/o CSS y hay que mirar el código fuente de la página para detectarlos...

A estas alturas, comienzas a desear que tu locura sea transitoria. ¡Y de repente todo tiene sentido! Es que los ciberdelincuentes hacen que tu página responda de forma distinta dependiendo de si accedes directamente, o si tu petición lleva en el referer una búsqueda en Google, o si el user-agent de la petición se corresponde con un buscador. A veces, incluso dependiendo de tu IP.

Así que realiza búsquedas de cosas sospechosas en tu dominio. Cosas como “cheap viagra” o “free porn” - suponiendo que no te dedicas a la venta de fármacos o a la pornografía, claro - y visita los resultados. Mira bien el código fuente. Si no ves nada, prueba cambiando el valor de tú User-Agent y poniendo los de los robots de los buscadores. Sigue probando con referers y, finalmente y si aún no tienes nada, mira la cache del buscador y mira bien la fecha. Y repite estos pasos para cada resultado que te dé el buscador.

Puedes hacerlo a mano. Ya sabes: si salen muchos resultados, ve cancelando la cena con la familia, que tienes para rato.

BlueFinder

Pero no te eches a llorar. Hemos presentado una propuesta de ponencia para la próxima Open Source World Conference que se celebrará en Málaga los días 27 y 28 de octubre. Su nombre es “Hacking para el posicionamiento en buscadores y cómo controlarlo desde la línea de comandos”. Y en ella tenemos intención de presentar en sociedad una herramienta que automatiza todas estas tareas y alguna más. Por ahora se trata de un prototipo construído con bash, awk, curl y otras herramientas de las que se puede encontrar uno en un Linux. Pero un prototipo bastante resultón, eso sí.


Figura 1: Resultados encontrados en MIT.edu con BlueFinder
Si quieres que, por segunda vez consecutiva, expongamos en la OSWC de Málaga, puedes aportar tu granito de arena. Regístrate en la web de la OSWC 2010 de Málaga y danos tu voto - los votos del público también cuentan -. Una vez te logues en el sistema, puedes votarnos en la dirección “Hacking para el posicionamiento en buscadores y cómo controlarlo desde la línea de comandos”.


Figura 2: Detalle de uno de los casos del MIT con BlueFinder
A cambio sólo podemos prometeros un rato de charla, algunos ejemplos llamativos, una nueva herramienta y toda nuestra gratitud. Pero digo yo que peor es nada...

Enrique Rando

Fingerprinting SharePoint

Se anunció ya le semana pasada que, desde Informática64, estabamos trabajando en un libro de Seguridad en SharePoint que saldrá publicado este septiembre. La parte de Pentesting, Fortificación y Publicación Segura nos ha tocado a Silverhack, Juan Luís G. Rambla y a mí, y hemos estado jugando bastante con ello.

Una de las discusiones que hemos tenido ha sido como descubrir un SharePoint desde fuera, que a priori puede no parecerlo, como sucede con la página de Ferrrai que tiene una estética que para nada recuerda a SharePoint.

Sin embargo, tiene características que le delatan, como el uso de directorios _layouts, que vaya en aspx y, por supuesto, que en el código fuente se identifique que el contenedor en los metadatos indique que está hecho con SharePoint.


Figura 1: Código fuente de Ferrari.it
Para descubirlos con Google Hacking se pueden crear diferentes dorks para encontrarlos, conociendo la estructura de ficheros que tienen y las páginas que siempre quedan.

Shodan

Para descubir los SharPoint publicados de una organización, se nos ocurrió que podíamos usar SHODAN con el parámetro net: para acotar las IPs de la organizaicón (como hace la FOCA) y buscar la firma de MicrosoftSharePointTeamServices.


Figura 2: Banner SharePoint con SHODAN
Como se puede ver, ne la firma aparece también la version de la Build. Esto no parece lo más inteligente que se diga, ya que esa firma identifica con exactititud la versión en concreto y el nivel de parcheo. En la imagen es una versión de 12.0.0.4518 que marca la versión RTM sin parchear de WSS 3/ MOSS 2007. Para el libro nos hemos tenido que currar una lista con todas las builds, que esto es muy interesante.

NTLM

Por supuesto, ya que estamos, podríamos descubir, si el parámetro WWW-Autheticate identifica que se ha utilizado el sistema de autenticación basado en NTLM, el dominio contra el que está autenticando ese servidor.

Para ello, basta con que usemos un proxy, como Odysseus o Burp, e intentemos autenticarnos. En la respuesta de error, en el parámetro WWW-Autenticate del Reply, vendrá la información del dominio.


Figura 3: Intercepción de respuesta con Odysseus
Viene en formato Base64, así que basta con decodificarlo y acceder a la info del dominio interno contra el que se está autenticando a los usuarios.


Figura 4: Decodificación del dominio en WWW-Authenticate
Espero que el resultado final de todo lo que incluyamos en el libro de Seguridad en SharePoint que vamos a sacar os guste al final, pero ya os digo que para nosotros está siendo divertido escribirlo.

Saludos Malignos!

OpenSolaris: Y esto es to..to..todo amigos

En el año 2006 se especulaba con la liberación como GNU del kernel de Solaris, después de un montón de tiempo discutiendo sobre la famosa GPL2/GPL3 y todo lo que aconteció en aquella guerra. Después, a principios del año 2007 se anunció el fichaje de Ian Murdock para OpenSolaris.

El señor Ian Murdock, aparte de tener un apellido que a los más fanáticos de la serie del Equipo A os sonará a cachondeo, es famoso por dos cosas principalmente. La primera de ellas, y más importante, por ser uno de los fundadores de Debian Linux. La segunda de ellas, por haber montado un lio en España dando su charla de un congreso de Hispalinux con un Tablet PC con Windows XP, de lo que tuvo que responder al final públicamente.

He de reconocer que mis gustos por Solaris me hizo pensar que OpenSolaris iba a ser una buena alternativa para algunos servidores, ya que parecía que Sun estaba apostando por él. Sin embargo... las cosas no iban a ir bien.

En Septiembre de 2007 Sun Microsystems anunciaba su gama de servidores con Windows Server, tal y como ya hacía IBM tiempo atrás. El mercado se lo demandaba, y ellos acabaron entrando en las plataformas Windows de servidores.

Sin embargo, el proyecot OpenSolaris tendría su oportunidad en Mayo de 2008, cuando salió su primera gran versión a ver si había suerte y se ganaban la confianza de los clientes. Y a muchos gustó, pero no consiguió generar sufientes dinero para una compañía como SUN que, metidos ya en la crisis, en Noviembre de 2008 anunciaba 6.000 despidos.

Meses después, con la compañía a la deriva, durante el mes de Abril de 2009, Oracle toma el control de la compañía y ya se olisqueaba, "con malicia" a ver lo que podía pasar con los proyectos menos rentables de la compañía y aquellos que podían serlo más. James Gosling, conocido como el padre de Java, abandonaba el barco a las primeras de cambio.

Y ahora... le toca el turno a OpenSolaris. Steven Stallion, uno de los miembros del equipo de OpenSolaris lo anuncia en su blog con un aplastante título: OpenSolaris is Dead. En ese post ha publicado un mail enviado a los trabajadores internos donde se les explica que todo lo que hay hecho habrá que realinearlo con el negocio y enfocarlo en Solaris 11. La wikipedia ya recoge el proyecto OpenSolaris como descontinuado. Lástima.

Saludos Malignos!

Pass the Ticket: Kerberos authentication bypass POC

Las técnicas Man-In-The-Middle se están convirtiendo en las estrellas de este mundo hiper-mega-conectado. En este caso, la técnica Mitm se utiliza para realizar ataques a Kerberos en entornos de dominio Windows.

Kerberos es el mecanismo de autenticación y autorización utilizado en los dominios Micrososft Windows y se acaba de publicar un paper, con una prueba de concepto funcional, que demuestra como es posible realizar ataques MitM para acceder a recursos por parte de usuarios no autenticados.

En el 2008 Emmanuel Bouillón había alertado de la posibilidad de enlazar ataques de spoofing al KDC (Key Distribution Center), unidos a un ataque de Replay en un entorno de Man In The Middle para hacer esto.

La conferencia, bajo el título de "Gaining access through Kerberos" se presentó en la PacSec 2008. En BlackHat Europe de 2009 amplió el trabajo y presentó un paper en el que especificaba más todas las fases necesarias para implementar dicho ataque: "Taming the beast : Assess Kerberos-protected networks"

Ahora, desde Venezia, Italia, Tommaso Malgherini, como trabajo de su Thesis Doctoral "Pass The Ticket", ha realizado una implementación completa del ataque y ha sacado unas herramientas que permiten realizar un bypass de la autenticación en una red con Kerberos en cualquiera de sus versiones. En sus pruebas, se ha puesto en contacto con Microsoft que ha confirmado que solucionará este problema en el próximo service pack de los productos.

Las herramientas pueden ser descargadas desde la página del proyecto en http://secgroup.ext.dsi.unive.it/kerberos/. Estas herramientas y este ataque ha demostrado funcionar en entornos de Kerberos sobre Windows y no sobre Linux.

¿Y cómo arreglas esto si tienes un dominio Windows?

Este no es el primer ataque al protocolo kerberos que sufren las plataformas Microsoft Windows. De hecho, la popular herramienta Cain lleva un módulo para hacer romper las claves de los usuarios cuando se autentican por Kerberos en un entorno de Man In The Middle.

La solución que propone Microsoft, desde hace años, es utilizar IPSec en las máquinas del dominio. Si tienes instalado un Dominio Microsoft puedes utilizar IPSec en varias formas.

La más sencilla es utilizar IPSec sólo para cifrar y autenticar el tráfico Kerberos. De esta forma todo el tráfico que implique autorización y/o autenticación kerberos ira protegido contra ataques Man In The Middle.

Si quieres evitar cualquier tipo de ataque Man In The Middle en tu red, puedes utilizar IPsec para todos los protocolos. Aquí tienes un webcasts para usar IPSec para autenticar Kerberos en Windows Server 2003. Aquí tienes una guía sobre como aislar los dominios Windows 2008 escrito por nuestro compañero "Silverhack" y coomo evitar ataques MitM con IPSec y en Windows Técnico tienes como implantar IPSec punto a punto a través del Firewall avanzado.

Saludos Malignos!

Jugar gratis en Android para ser espiado

Una de las funciones que más me llamó la atención es el Google Latitude. Esa maravillosa función que informa a tus amigos de dónde estás en cada momento. Bueno, a tus amigos y si no tienes especial cuidado a los no tan amigos o a esos amigos 2.0 que un día terminan por convertirse en un psicótico que empieza poniendo mensajes rarunos con indirectas en el twitter, luego ponen videos extraños en su wall de facebook y un día entran en un burger y ... la lían parda.

El tema es que ya es suficiente con que te pueda triangular el gobierno por llevar un determinado teléfono móvil encendido, como para encima que lo que pueda hacer hasta Rita The Singer sólo porque te gusta jugar en el móvil.

Con el auge de la expansión de las redes sociales a casi todo el mundo y su llegada a los terminales móviles. Mucho malware se está trasladando allí. Esto no está echando para atrás a los fashion victims que se descargan la última tool de moda o se compran la última aplicación en el top de las más descargadas, o que le ha comentado su colega que es más freak que él.

Para los sistemas con Android en concreto ya ha habido casos de troyanos, como el del amigo que se dedicaba a enviar SMS que analizó Jaime Blanco de Alien Vault (la empresa de OSSIM) hace pocos días.

En esta ocasión, la idea es mucho más simpática ya que los creadores del sistema ganan pasta de los que quieren espiar y generan una base de datos de personas regalándoles un jueguecito. Para ello, primero regalan un juego clásico recreado para Android llamado TapSnake para todo el mundo. Esta aplicación aún está disponible para descarga, pero ten cuidado si la instalas porque cada 15 minutos informa de tu posición GPS.


Figura 1: El "juego gratuito"
Por otro lado, el espía compra GPSSpy por 4.955$ y sólo necesita convencer a la víctima de que "juegue" con la herramienta gratuita. Después, sólo tiene que monitorizar la posición de la víctima.


Figura 2: La herramienta de espionaje
El esquema es sencillo, pero funcional, pero lo que es especialmente curioso que aún cuando se sabe que esta herramienta tiene objetivos encubiertos de espionaje, ya que el texto de GPS Spy así lo informa, y pese a que Symantec ha levantado la liebre, todavía se encuentre en la web de Androidlib para que todo el mundo se la descargue, como si fuera un juego más dentro de la sección Games.

Saludos Malignos!

Asegúr@IT Camp 2 : Registro abierto

Hola campistas freaks, ya tenemos confirmado y avanzado el evento anual en las cabañas que estabas esperando, el http://www.informatica64.com/aseguraitcamp2/. La agenda no está acabada del todo, pero como tenemos las plazas limitadas al número de cabañas contratadas, ya tenemos abierto el plazo de registro.


No hemos acabado la agenda aún - habrá 1 o 2 charlas más -, pero ya tenemos el tronco principal de ella, así que os desgrano los puntos principales.

Iñaki Ayucar y SIMAX

Este pájaro un día dejo su trabajo para perseguir su sueño como emprendedor: Crear una empresa en Pamplona que exportara tecnología de simuladores de conducir a nivel mundial. Hoy en día es una realidad. Con dos cojones y un palito, el gran Iñaki Ayucar construyo SIMAX,- sí, aquella cosilla - el simulador de conducción que hoy utiliza, entre otros TOYOTA. Se lo programó el solito con su Visual Studio, con nocturnidad y alevosía.

En el http://www.informatica64.com/aseguraitcamp2/2 vendrá él "in person", que ha sido nombrado MVP en .NET (como para no serlo) para dar una charla y nos traerá un simulador para que lo pruebes. Aquí estoy yo haciendo el gamusino con una versión en desarrollo hace un par de años.


Pedro Sánchez de Conexión Inversa

Pedro Sánchez es uno de los analistas forenses más reputados en España. Acostumbrado a dar mil conferencias a nivel nacional e internacional (también estará en México en la BugCon y en el Simposium de Toluca), vendrá a dar una charla sobre... ya veremos qué. Lo importante es que vendrá a contarnos algo chulo seguro.

José Bonnin de Spectra

José Bonnin es uno de esos MVP que acabó siendo "absorbido por la fuerza" por estás Mad about .NET. Hoy en día es el manager de los evangelistas en Spectra, y cuesta sacarle de las oficinas de la empresa matriz del mal más que ganar a la Selección Española de fúbol, pero tras suplicar, llorar, y dos años de espera, va a venirse a dar una charal en la que se pringará y nos contará todos los secretos del nuevo y flamante Internet Explorer 9.

BitDefender y el Taller de Malware

La gente de Bitdefender nos propone una charla novedosa, la idea es que veas como funcionan algunas muestras del malware actual y te lleves las muestras para que puedas analizarlas tú solito. Pero ojo, ten cuidado porque:

a) Infectar a otros es delitos.
b) Auto-infectase es de gilipollas.

Niko T-1000

Nikotxan,nuestro flamante creador del logo de la FOCA, sí vale, y de Cálico Electrónico, vendrá a salir de fies... digo a dar una charla sobre como ganarse la vida animando con el ordenadorico. Va a dar una charla que en la que enseñará los entresijos de una animación en Flash (sí, con casques de seguridad y todo). Además, en su honor, Todos los asistentes tendrán una camiseta de la FOCA gratis por el registro.

Ataques XSS Google Persistentes y FOCA 2.5.1

Yo aprovecharé para repetir la charla que daremos por primera vez en la Ekoparty sobre como realizar ataques de XSS a través de Google. Además, daremos la charla que hemos realizado en Defcon 18, que usaremos en el training de la Ekoparty y que repetiremos en la BugCon de México sobre como usar FOCA 2.5.1 para hacer un pentesting.

Inclye

El precio de la entrada incluye, además de la camiseta de la FOCA, la cena del viernes, la pensión completa del sábado y el desayuno del domingo. Sí, todo será rancho, pero no te morirás de hambre. Además, el alojamiento será en cabañas de 4 plazas. Si vas en grupos de 4, podrás elegir dormir con ellos, si no, la gente de Eventos Creativos se pondrá en contacto contigo para buscar tu mejor compañía. Si necesitas asesoramiento sobre como llegar al Camping, ellos te ayudarán.

Además, para premiar a los que se registren cuanto antes hemos establecido varios tramos de pago. Así que los que se registren antes del 5 de Septiembre tendrán un coste de 100 €, los que lo hagan durante el mes de Septiembre pagarán 120 € y los que lo hagan después 150 €.

Así que nada, apúntate ya. Toda la info en http://www.informatica64.com/aseguraitcamp2/

Saludos Malignos!

Microsoft parchea TLS-Renegotiation. Ahora hazlo tú con tus certificados

En Noviembre de 2009 una noticia dio la vuelta al mundo. Era la informaicón relativa al fallo publicado por Marsh Ray y Steve Dispensa, de PhoneFactor, sobre la forma en que se gestionaba la renegociación en el protocolo TLS. La vulnerabilidad se conoce como TLS Renegotiation y ha sido presentada en muchas conferencias alrededor del mundo. Yo tuve la suerte de estar con este par de pájaros en la Troopers 2010, realizada en Marzo del 2010 en Alemania, donde grabaron la sesión y puede verse toda la información y la historia del fallo en ella:


Con Marsh comenzó todo el debate sobre ¿quién es responsable?, en el que hablamos sobre la cantidad de tiempo que debe darse a un fabricante para arrelgar el fallo... Y es que la suya se las traía.

El funcionamiento de un ataque MITM, usando esta vulnerabilidad, es bastante sencillo. Supongamos una aplicación web con un canal Http-s seguro, autenticado y correcto con la vulnerabilidad del TLS-Renegotiation. Un atacante que realice un ataque MITM no podrá ver ningún dato de la conexión (si no quiere levantar niguna alerta de seguridad) pero podría forzar una renegociación TLS modificada y, a partir de ese momento, inyectar comnados a la aplicación get. Si esta tiene comandos como https://server.com/app?cmd=create_user&pwd=mierda se podría controlar la aplicación. Este ejemplo de ataque lo que realizó Ben Feinstein en la últim Blackhat con un Firewall CISCO en la conferencia "The emperor has no clothes".

La vulnerabilidad fue catalogada con el CVE-2009-355 y todos los fabricantes afectados debían solucionarlo. El caso es que este fallo, que no sólo afectó a las plataformas Microsot, dio lugar a la creación de un grupo en el IETF para el diseño y proposición de un nuevo estandar que solventara esta debilidad de una forma coordinada.

Así, en Febrero de 2010 se publicó el RFC 5746, títulado "Transport Layer Security (TLS) Renegotiation Indication Extension" que propone una extensión al modelo de regonociación para hacerlo de forma segura.

Esta semana Microsoft publicó una actualización de seguridad de SChannel para Microsoft Windows [MS10-49] que arregla esta vulnerabilidad, además de solución una vulnerabilidad crítica catalogada con el CVE-2010-2566 que afecta al Schanel de la que no se había hecho full-disclosure del exploit.

La historia está en que no basta sólo con actualizar el software (de servidor y cliente) para arreglar el fallo, sino que hay que hacer que los certificados lo soporten. Esto no suele ser trivial y así, a día de hoy, basta con usar cualquier herramienta de evaluación de certificados, como la de Qualys, y comprobar que esto aún va despacio.

Yo he probado con el certificado de Microsoft.com y, como se puede ver, aun soporta el mecanismo inseguro de renegociación TLS. Más trabajo para los informáticos si queréis mantener la plataforma lo más segura posible.


Por último, no quería cerrar este artículo sin hacer notar dos cosas:

1) Marsh y Steve, que a parte de ser dos tipos superdivertidos, y vecinos de Superman, oyeron muchas críticas a su trabajo porque se pensaba que no podía ser utilizado para atacar sistemas, pero al final... ahí están las cosas. Microsoft ha reconocido su trabajo en los créditos del advisory.

2) Gracias al trabajo de investigación y divulgación de muchos investigadores independientes como ellos se consigue ir mejorando las tecnologías, así que nada, poneos todos a romper cosas porque si se pueden romper es que son defectuosas.

Saludos Malignos!

Calendario Tórrido 2011: First Line UP

Al más puro estilo de CON os paso los primeros avances del Calendario Tórrido para el 2011. Como hay más gente que meses ya confirmada, y más si sumamos las personas a "las que quiero liar", la primera planificación es la siguiente. Utilizo una leyenda para que estéis informados de como avanza esto:

[C] : Confirmado
[O] : Se ofreció así un poco de gallito así que ahora que cumpla
[L] : Los que tengo que liar

Con esta leyenda, el primer First Line UP en tentativa es:

Enero: Carles Martin [C] & Quest Team [L]

Después del anuncio y la publicación del "Quest me more", Carles me dijo que no le importaba, así que le reservo el mes de Enero para que líe a sus compañeros de Quest: César, Alejandro, José Romero, etc... Por favor, en el etcétera no te olvides de Alexandra y el resto de tus compañeras }:))

Febrero: Marcelo Rivero [C] & InfoSpyware people [L]

Marcelo Rivero, este uruguayo afincado en los USA, y alma de InfoSpyeare se me ofreció a hacerse la foto en su faceta más sexy. Como él está lejos, necesito que me envíe la foto, pero para darle el mes necesito que me líe a algún compañero de curro por allí, para que nos quede un mes lindo. };)

Marzo: Raúl Benito [C], Vierito5 [C], Deese [O] & RootedCON [L]

Marzo es el mes de la RootedCON, y Deese se ofreció a hacerse la foto con sólo la camiseta de Internet Explorer de josemaricariño, así que... ¡que cumpla y engatuse al resto de la RootedCON! Como Javi Moreno [aka Vierito5] fue ponente de la RootedCON, se hará la foto con ellos, que él sí ha confirmado.

Abril: Lorena “Burbuja” [C] , Cristian Borghello de Segu-Info [C] & Alexav8 [L]

Abril es para Argentina, así que Don Cristian Borghello, alma y creador de Segu-info.com.ar, y Burbuja, que aunque es colombiana está afincada en Buenos Aires, ya han confirmado su participación. Me queda engatusar a Alexav8, esta "linuxera del demonio" para que se anime a participar.

Mayo y Junio: DISPONIBLES

Julio: Niko “T-1000” [C], Nico Castellanos (NCN) [C], SeiFreed [C] y Tyler [C]

El mes Raúl va para la gente de Barna. Niko T-1000, nuestro creador del logo de la FOCA - sí, vale, y Cálico Electrónico también, pero eso es menos importante - confirmó por twitter, Nico Castellanos, alma, corazón y vida de la NoCONName lo hizo por mail, SeiFreed, de Caminando entre bits y activo miembro de la comunidad Dragonjar también confirmo. Por último Tyler, informático de pro afincado en Cataluña, que también se pondrá "sezy". Bonito planteal grupal catalán para el mes Raúl.

Agosto: Comunidad Dragonjar [C]

El mes de Agosto, el más cálido en estos lares, será para la Comunidad Dragojar, entre ellos el propio Dragón [O], SamuraiBlanco [C], 4v4t4r [O] y Echavarro [L]. Vamos, que en la Ekoparty (que sé de buena tinta que ellos vienen) les haré la foto.. ¿o será que no hay valor? }:))

Septiembre: Ekoparty [L] & Cosmic Kites [L]

En Septiembre se realiza la Ekoparty, así que llega la hora de que demuestren que ese mes es suyo de una vez por todas, así que, los argentinos - si es que tienen lo que hay que tener - tendrán que demostrar que pueden hacerlo mejor que nadie. Amato, Fede, Claudio, Nico Waissman, Ezequiel, Leo, Hernán, Martín [OWASP], Riancho, Mariano... ¿cuento con vosotros o no?

Octubre: I64 [L]

En Octubre del año 1999 nació Informática64, así que ese mes tiene que ser para nosotros. Yo he decidido que dejaré paso a las nuevas generaciones, así que tendré que liar a la guarida del SOCTano, pero... seguro que aceptarán "gustosos". }:))))

Noviembre: Pedro Sánchez [C] y Juan Garrido “Silverhack” [C]

Mes para los forenses. D. Pedro Sánchez, de Conexión Inversa, y Juan Garrido "Silverhack", han hecho team up alguna vez para participar en retos Forensics. Esta vez se vendrán al Asegúr@IT Camp 2 para hacer team up en una foto tórrida de lo menos sexy que puedes imaginar al principio: Un forense.

Diciembre: Raúl Benito [C], Frikiñeka [O] y Andor [O]

Estos tres afincados en proyectos OpenSource tendrán la obligación de cerrar el año. Raúl ha confirmado y Frikiñeka y Andro se ofrecieron por mi facebook, así que será un placer ver acabar el año con estos tres cuerpazos }:))

Como véis, me quedan los meses de Mayo y Junio, que tengo reservados para ver si alguno tira adelante. Por ejemplo, Mario "The Fucker" de la Fundación Dédalo estuvo muy gallito por el Facebook, así que tal vez pueda formar un equipo allí en Tudela/Pamplona y ganarse el mes de Mayo.

Y para Junio,... pues me queda hueco para los SexyPandas, los de 48bitx, los de SexcurityByDefault, un grupo de S21SEX, Sexgio de los Santos y compañeros de Hispasecx Systemas, para los PainSEX o el que se deje líar. Todo aquel que quiera participar tendrá su hueco... y no olvidéis que queda la PORTADA }:)) ¿Quién creéis que debería ser nuestra Security Pr0n Star?

Saludos Malignos!

¡Suelten a los Abogados!

Cambiando un poco el tercio de los posts, por petición expresa de un fiel anónimo, he decidido dejar el tema del Google Street View para hablar de teléfonos móviles. En concreto de Android.

Según se informa en Yahoo! News, Oracle ha confirmado que ha interpuesto una demanda a Google por infringir la licencia de Java en su sistema operativo Android. La cosa se pone fea porque según el interlocutor autorizado de Oracle, Google ha hecho esto sabiendo que lo hacía mal. Según la noticica, cada día se venden unos 200.000 teléfonos basados en Android y claro, Oracle quiere su parte en el business.

Parece que la gente de Oracle está dispuesta a hacer business con Java, "mucho más mejor" de lo que supo hacer Sun Microsystems (ya echo de menos a SUN - sniff! -) y que la cosa va a ser una autententica guerra en los tribunales. Vamos, una pelea de gallos de corral.

Así que, como diría el señor Barns: "Suelten a los abogados!".

Google se está volviendo una profesional en la disputas legales y Oracle no es una hermanita de la caridad delante de un juez y un jurado, así que será divertido ver en que termina todo esto.

Lo que está claro es que es un poco carajal todo el tema de las licencias y la no existencia de legislación mundial hace que esto sea la corrala del tio Paco, haciendo que cada día tengamos noticias de este tipo.

Además, visto lo visto, parece que en la actualidad, y en el futuro, es y será más fácil acabar en una multinacional de tecnología siendo abogado que informático. En fin.

Saludos Malignos!

La policia de Corea hace una redada en las oficinas de Google por el caso del Google Street Car

Así se la están gastando algunos paises con el "error" de Google a la hora de capturar datos del WiFis sin haber pedido permiso. Este martes, la polia de Corea asaltó las oficinas de Google en Seoul con una orden judicial para investigar y coger información relativa a este caso.

Para los nuevos en este culebrón, todo empezó cuando Google confirmó que además de tomar fotos, había capturado datos de conexiones WiFi y el contenido de tramas en redes que iban sin cifrado. Lo curioso es que sólo guaradaba tramas de las redes sin cifrar, mientras que las cifradas las tiraba. Google dijo que fue un error, pero un despacho de abogados en Oregon dijo que de error nada, que se trataba de un intento de sacar adelante un producto comercial relativo a una patente que había solicitado, la patente 776. Esto llevó a que, actualmente 36 estados en USA y media Europa - España también ha abierto investigación - estén en los tribunales, o a punto de estarlo contra Google.

Google intentó hacer una demostración "técnica" de que había sido sin querer, pero parece que no ha convencido absolutamente a nada y en Corea se ha autorizado a realizar una intervención en las oficinas de Seoul según informa la msnbc.

La policía investigó el coche y los datos capturados, bajo la suposción de que se podía haber violado la intimidad de los ciudadanos capturando correos electrónicos y contraseñas de aquellas redes que no iban cifradas, como ya confirmaron otros paises.

La cosa se pone fea, y parece que hacer Wardriving con el coche del Google Street Car le va a costar muy caro a Google en abogados, sanciones e imagen pública, más si esta política de investigación se hace "popular" en otros paises.

Saludos Malignos!

Calendario Tórrido 2011

Muchos ya sabíais que andaba tras esta idea. Volver a juntar a freaks informáticos para hacer un Calendario Tórrido para 2011 y sacar pasta para alguna ONG. La idea, básicamente, es hacer algo similar a lo que hicimos para el año 2008. El resultado fue espectacular y durante el mes de Junio de 2008 muchos suspiraban al ver mi cuerpo y mis melenas al viento. [aún tengo alguna copia por casa por si no lo tienes y estás dispuesto a suplicar por ella].

Este año quiero hacer algo similar, para lo cual ayer empecé a solicitar modelos informáticos, es decir, hombres y mujeres de-mal-vivir (quiero decir, de vivir pegado a un aparatejo con conexión a Internet). Para ello, ayer ya conseguí algunas cosas claras y algunos nombres propios.

De Colombia, como van a ir a la EkoParty, aprovecharé para tomar alguna instantanea para algún mes de DragonJAR, SamuraiBlanco, 4v4t4r y algunos más, que seguro que triunfan. En la Eko tengo que conseguir que los miembros del Cosmic Kites también me llenen una gloriosa página del calendario. Para diciembre tengo la petición de Raúl Benito y Frikineka (y no tengo claro como solucionar este dilema). También Lorena, la chica informática Colombiana afincada en Buenos Aires me ha propuesto el mes de Abril.

Nico Castellanos, alma, corazón y manos de la NCN, se me ha ofrecido también a cerrar una página gloriosa del calendario. Deese, uno de los organizadores de la RootedCON dijo que él se la hacía con la camiseta de la e de Inernet Explorer que lleva josemaricariño, así que habrá que ver como encajarlo en el calendario.

Estaría muy chulo contar con alguno de mis mitos sexuales, como "dab" de SecurityByDefault, Sergio "Pajarraco" de los Santos de Hispasec, Gonzalo Álvarez Marañón de el arte de presentar, o Pedro Sánchez de Conexión Inversa.

También espero conseguir que alguno de los sex symbols del SOCtano de i64 se animen a lucir cacha y pechuga para que se vea que en la guarida también hay glamour. Silverhack, que es el que más invierte en ropa sexy tal vez se anime a esta dura tarea.

Alguien de los SexyPandas, para dejar claro el glamour que tienen, debería cubir el mes de Agosto (mes tradicional de la Defcon). Así que Fermín J. Serna, Dreyer, Uri, Sha0, Ero, etcétera... tenéis el mes reservado por si os interesa.

Nikotxan, el gran Niko, nuestro creador del logo de la FOCA, se ha pedido Julio, el mes 7 que ha dicho que le gusta ese número - normal, es el de Raúl, el gran capitán - y se lo vamos a conceder. Así que, aprovechando que se vendrá al "Asegúr@IT Camp 2", le tendremos que tirar alguna foto de lo más sexy.

Bernardo Quintero, Julio Canto, Sergio Hernando, David Barroso, Hernán Racciatti, Ezequiel, Claudio, Amato, Fede, Mariano, Riancho, Rubén Santamarta, Guachi, RoMaNSoft, Vierito5, José Selvi, Yago, Alexav8, miembros de la RootedCon, Iñaki Ayucar, Tarasco Brothers, el Staff de la NCN, Segu-info, todos los MVP de la otra vez, y cualquiera que me olvide... esta invitación va también para vosotros, así que... sólo pedid un mes.

Y para los demás, podéis pedir que aparezca alguno que ya me encargo yo de intentar convencer a ese Security Ninja, IT Professional, o Hax0r, de que lo haga.

Y sí, se que queréis que yo vuelva a salir luciendo palmito, pero ya salí en el otro Calendario Tórrido y no creo que sea justo para con el resto dejarlos tan mal en la comparación.

¡Anímate y sé tórrido!

Saludos Malignos!

Semana de Forense con Silverhack

Ya esos años donde en España durante el mes de agosto no curraba ni el tato han quedado sólo para curas, maestros y políticos. Los demás seguimos trabajando. ¡Echo de menos cuando viajaba en la Nissan Vannete tumbado sobre unos colchones con mi hermano, el perro y los gatos, camino de Huelva para bañarme en el Portil!

Así que, este mes de agosto, en Informática 64, estamos preparando muchas cosas para el curso que viene. Cada uno de ellos con su película, como ya vísteis ayer con los chicos de Apple. Yo estoy ultimando los preparativos del FTSAI 6 y el Asegúr@IT Camp 2, pero antes, la cuarta semana de Agosto. Nuestro amigo el Forense del SOCtano ha prepadado unas sesiones de formación para impartir en formato Virtual HOL sobre análisis forense. Algunas de ellas las impartirá por primera vez.

VHOL-SEG03 Análisis forense I: Malware en entorno Windows
Lunes, 23 de Agosto, de 09:00 a 14:00 [GMT+2]
En este Virtual Hands On Lab repasaremos las técnicas más utilizadas por un atacante para infectar un sistema, desde el punto de vista del Malware. Analizaremos las distintas técnicas para ocultar malware y aplicaremos técnicas forenses para analizar un sistema comprometido.

VHOL-SEG35 Análisis forense de Red [NUEVO]
Martes, 24 de Agosto, de 09:00 a 14:00 [GMT+2]
Finalizado este laboratorio, el asistente dispondrá de conocimientos y capacidades para poder llevar a efecto un análisis forense digital en red. Para ello, se analizarán diversos protocolos, estructurados en diferentes capas.

VHOL-SEG05 Análisis forense III. Análisis de logs en Windows
Miércoles, 25 de Agosto, de 09:00 a 14:00 [GMT+2]
En este Virtual Hands On Lab repasaremos la arquitectura de un sistema basado en Windows, centrándonos en los logs del sistema, así como en su interpretación para extraer el máximo conocimiento de ellos.

VHOL-SEG36 Prepara tu empresa ante un forense [NUEVO]
Jueves, 23 de Agosto, de 09:00 a 14:00 [GMT+2]
Finalizado este laboratorio, el asistente dispondrá de conocimientos y capacidades para poder implementar una solución efectiva y escalable que le permita recuperar información valiosa de un equipo o grupo de equipos, en el caso de que se vea afectado ante un ataque. Esta información, le será de gran utilidad para poder llevar a cabo un análisis forense posterior.

VHOL-SEG37 Análisis de memoria RAM en entornos Windows
Viernes, 23 de Agosto, de 09:00 a 14:00 [GMT+2]
Finalizado este laboratorio, el asistente dispondrá de conocimientos y capacidades para poder llevar a efecto un análisis forense digital a volcados de memoria Windows. Para ello se le hará conocedor de la arquitectura interna de Windows, así como información relativa a como éste maneja e implementa la memoria RAM.

Además, como estamos en verano y hay poca gente por estos lares, el segundo VHOL va a mitad de precio y para todos los asistentes que se apunten a 3 o más se les enviará gratis [en territorio nacional] el libro de "Análisis Forense Digital en Entorno Windows" osea que, una ocasión única para meterse de lleno con las técnicas forenses este veranito.

Saludos Malignos!

SeguridadApple.com un blog más en casa

Cuando uno se hace mayor, al final le comen por las patas. Ese es el resumen de lo que me hacen los descarriados del SOCtano: Darme caña y comerme por las patas. Así, cuando llego a la oficina me encuentro a estos que usan Firefox, los que enredan con el Chrome - espero que para seguir rompiéndolo - los que tienen el Ubuntu en su portátil y los de la dichosa manzana.

Aunque muchos se puedan pensar que yo me como a todo el que no utiliza Windows 7 - lo siento por ellos - al contrario cada uno puede hacer lo que le plazca en el SOCtano. Está para eso, para enredar y trabajar con lo que quieras.

Así, tras una charla hace un par de meses, en el SOCtano se decidió dedicar tiempo y recursos a la seguridad en los sistemas Apple, pues ya nos había tocado realizar algún análisis forense o integrarlos en el Directorio Activo o en el sistema de publicación segura a través de VPN-SSL con Forefront UAG. Y como no, al final, los más radicales han abierto un blog llamado SeguridadApple.com.

Este blog aun está en pañales, pues se está configurando aún la plantilla del blog y arreglando detalles, pero, como ya se han empezado a publicar posts en él, he pensado que para aquellos que leéis los blogs como yo, por medio de RSS, la estética os la iba a traer un poco al pairo.

A parte de este blog, desde I64 mantenemos varios sitios más, como muchos ya sabréis. En suma, todos los blogs son:

- SeguridadApple.com: Dedicado a tecnologías Apple.
- WindowsTecnico.com: Dedicado a tecnologías y herramientas para sistemas Windows.
- Seguros con Forefront: Todo sobre Forefront en español.
- PuntoCompartido: Escrito por Rubén, MVP de SharePoint.
- ExchangeSpain: Escrito por Joshua Saénz, MVP de Exchange.
- Legalidad Informática: Lo lleva Juan Luís G. Rambla, MVP de Seguridad.
- El blog de Thor: Escrito por Francisco Oca.
- WindowsTips: Del inclito Juan Garrido "Silverhack".
- El SOCtano: De los chicos de auditoría.

Vamos, que te puedes aburrir leyendo este verano.

Saludos Malignos!

Pánico

Creo que ya os lo he contado muchas veces, pero hoy, tras hablar el viernes con un compañero, me ha venido a la mente este tema recurrente. El pánico a hablar en público.

Tras casi 15 años dando cursos, charlas y conferencias, hay quién pueda pensar que yo no pasé - y aún de vez en cuando paso - por esta fase. No es miedo lo que pasé cuando me tocó impartir mi primera clase en un curso de informática fue, como os he dicho, pánico. Creo que de los nervios fui incapaz de ingerir alimentos el día antes. Todo lo que comía lo vomitaba. La noche antes resulto completamente inútil intentar dormir, y pasé las horas dando vueltas en la cama, repasando al infinito todo lo que iba a contar y todo lo que podía salir mal.

Y eso sólo fue cuando daba mis primeras clases a grupos de 6 o 10 personas. Cuando ya iba consiguiendo que hablar a grupo de hasta 20 personas fuera normal y empezaba a sentarme como en mi salsa, me tocó dar una conferencia para Spectra. Sí, mis primeras charlas con Microsoft Technet. Primero en Valencia, durante la gira Microsoft Technet, para hablar de Office XP y SharePoint Server 2001, después en Barcelona, para hacer las demos en el lanzamiento de Windows XP, cuando aún contábamos con la versión Beta del producto.

Las historias las he contado mil veces, pero en Valencia tuve que irme a dar vueltas por la ciudad a partir de las 2 de la mañana. Los nervios eran tales, que no podía estar encerrado. En Barcelona, al hacer la maleta me olvidé de meter los calcetines y el cinturón del traje. Por aquellos entonces iba con traje, corbata y afeitado. Todo, a causa del pánico.

Después empecé a disfrutar de lo lindo, y llegó el momento de hablar en público en inglés. Y volví a tener pánico. Muchos de vosotros habéis seguido mis peripecias en este blog para ser capaz de dar una charla en inglés, con mi cutre-inglés. Tenía tanto pánico a hablar en inglés que me mudé a Londres, escribí la charla entera, se la hice grabar a mi profesor de inglés, la llevé en el coche durante meses y la canté entera más de 20 veces. La noche antes, en Amsterdam, estaba acojonado perdido.

El pánico a hablar en público es una putada al principio, pero creedme. Cuando ha pasado, lo que queda detrás es una experiencia cojonuda. Siempre me he acordado del anuncio de los juegos paralímpicos, en el que un atleta con sindrome de Down contaba su experiencia, con sus nervios, todo el mundo mirándole, y acababa diciendo: "Es genial" [ si alguien lo encuentra, please que ponga el link]

Es así, mola. Es genial cuando la gente te escucha, se ríe, aprende y te dice al final: “Gracias, me lo he pasado muy bien y he aprendido cosas”. Es algo reconfortante.

Sé que muchos de vosotros habréis estado o estaréis frente a esta sensación de pánico un día u otro. Será dando una clase, exponiendo en el aula delante de tus compañeros, presentando una oferta a un cliente, pasando un examen oral, dando una conferencia técnica o presentando los resultados de un proyecto ante clientes, compañeros y jefes. No pasa nada si tienes pánico las primeras veces, es normal.

Pero si consigues que tu pánico no te derrumbe y sigues trabajando para hacerlo lo mejor posible, seguro que llegas a fase 2 y disfrutas.

Para todos los que queráis aprender como se hace una charla antes de tiraros al barro, os voy a recomendar el blog de El arte de presentar. Es de nuestro amigo, y compañero de profesión, Gonzalo Álvarez Marañón que, con disciplina, arte y trabajo, consigue hacer que hasta la criptográfica cuántica sea fácil y divertida.

Saludos Malignos!

Discurso de Steve Jobs en Stanford

Tiene ya cierto tiempo, y no es el lado del mal un lugar habitual donde encontrar cosas de Apple o Steve Jobs, pero este discurso que dio hace más de un año es muy chulo. Además, como está subtitulado al español lo podréis disfrutar todos. ¡Feliz Sábado!

Figura 1: Discurso de Steve Jobs en la universidad de Stanford en Español

Saludos Malignos!

Medida de responsabilidad

La cuantificación de medidas cualitativas siempre es un problema en cualquier métrica. Nos enfrentamos a él cuando estuvimos trabajando en la creación de una métrica de seguridad para usuarios conectados a una red WiFi. En ese proceso fuimos pasando por todos los estados posibles, que si el método Delphi, que si sistemas de scoring tipo CVSS, que si sistemas de valoración tipo DREAD, etc… Es complejo, pero… había que pringarse y elegir alguna forma de medir algo que a priori es difícil por ser un valor cualitativo.

En el tema de la publicación de vulnerabilidades se eligió el término de “responsable” para indicar cuando una vulnerabilidad se había hecho pública de forma “responsable” según los fabricantes de software. Como en muchos casos, la palabra tiene implícito un tizne tramposo en ella, pues parece que sólo hay una forma responsable de liberar una vulnerabilidad y es a través del fabricante de software.

Sin embargo, ¿Cuándo hace un fabricante de software una corrección responsable? Estas cosas ya venían rondando mucho el debate público de los investigadores de seguridad y todos los que en alguna vez nos hemos encontrado en una tesitura similar nos hemos topado con algún comportamiento pasota. ¿En esos casos es o no responsable publicar la vulnerabilidad? ¿Quién es responsable?

Muchos fabricantes, como Spectra, criticados por el uso del calificativo de “responsable” han empezado a hablar de “coordinación” entre el investigador de seguridad y la solución. Así, en muchas conferencias se libera la vulnerabilidad al tiempo que la compañía pone a disposición de los clientes un parche, una artículo con workarounds o similares.

Pero la cosa se ha revolucionado con el anuncio de TippingPoint, empresa que se dedica a la compra de vulnerabilidades a través de Zero Day Inititative, de poner un plazo para la liberación coordinada - o responsable - de vulnerabilidades de 6 meses. Ese es el tiempo que, según ellos, marca la diferencia entre parcheo responsable por parte de un fabricante y pasotismo constatado.

Sé que hay entornos que son muy complicados de parchear, pero también entiendo que 6 meses es un tiempo muy largo para que no haya una filtración de algún tipo y la vulnerabilidad llegue a oídos de “gente equivocada” creciendo el riesgo de los usuarios.

Personalmente creo que el establecimiento de algún plazo con sentido común aceptado por toda la industria, como pueden ser esos meses, haría que este debate sobre la liberación de vulnerabilidades se normalizase y que las empresas de software se tomen un poco más serio su trabajo. El establecimiento de periodos de tiempos más cortos puede ser poco realista a día de hoy, pero tal vez se debería aplicar un sistema en progresión e intentar, en un tiempo, reducir esos 6 meses de plazo poco a poco. La seguridad de los sistemas es muy importante como para que los fabricantes de software no le dediquen todo el esfuerzo que puedan.

¿Y tú qué opinas?

Saludos Malignos!