viernes, 31 de enero de 2014

Process Explorer.- Con Virustotal

Hace muchísimo que os hable de una herramienta de [sysinternals] llamada [Process Explorer] la cual era de mucha utilidad para ver si habían procesos no conocidos o de procedencia sospechosa. Pero también hace mucho mas tiempo que os hablé de la archi-famoso [Virustotal] el cual fue comprado por Google y que ahora gracias a sysinternals podremos disfrutar de el fusionado con la nueva actualización para Process Explorer. Lo cual me encanta y creo que le viene como anillo al dedo a esta herramienta. 

"Gracias a la colaboración con el equipo de Virus Total, esta actualización de Process Explorer introduce la integración con VirusTotal.com, un servicio de análisis online de antivirus. Cuando se encuentre habilitado, Process Explorer envía los hashes de las imágenes y ficheros mostrados en el proceso y las vistas DLL a VirusTotal y si hubieran sido previamente analizadas, informaría cuantos motores de antivirus lo identificarían como supuestamente maliciosas. El resultado (que incluye enlace) nos dirigiría al informe en la propia VirusTotal.com e incluso se podría enviar ficheros para su análisis."
 Me muero de ganas de tener un hueco para probar esta actualización. Os dejo el enlace a la pagina de Windows Sysinternals para que podáis darle caña antes que yo.

Visto en:
Sed Buenos ;) 

jueves, 30 de enero de 2014

HackSchooling.- Una Nueva Manera De Enseñar (Opinión)

Hoy después de un día productivo lleno de ideas nuevas creo que este vídeo viene muy a lo que ha sido mi día de hoy. La verdad es que seguimos anclados en un modelo de educación basado en las notas y en el que ser bueno en matemáticas, física, economía, etc se ven como cosas normales mientras, que si eres bueno en plástica o música te miran como el raro.  

Solo hace falta ver el cachondeo que hay en las universidades si dices que estas estudiando Bellas Artes, Filosofía, Historia, etc. Realmente desde que empece la universidad todas las carreras me han parecido importantes, en teoría a la edad que entramos a estudiar en ellas ya somos lo suficientemente inteligentes o hemos desarrollado el mínimo grado de empatía como para saber que ninguna carrera es mejor que otra, que este mundo tiene que haber de todo y que estudiar una carrera o estudiar otra no te define a ti como profesional ni como persona. 

Si estas en una carrera de las que la sociedad de hoy en día considera "raras" será, posiblemente, por que te gusta, porque quieres y seguramente que la idea del dinero y tu futuro ya te ha pasado mas de una vez por tu cabeza paro aun así, le has echado ganas y has seguido adelante piense el resto. Es lo que te gusta y haces lo que te gusta, eso te hace superior, al menos desde mi punto de vista, a la gran multitud de gente que esta en una carrera por el dinero o por estar. 

Por eso creo que ese modelo tiene que cambiar, estamos anclados y videos como el siguiente hacen que te pienses realmente si merece la pena inculcar el método "Hacker" a los mas pequeños para que no aprendan a valorar el dinero sino a saber lo que le gusta y explotarlo desde el principio.   


Siento si he divagado un poco pero es mi opinion personal y estaré encantado de discutirlo con cualquiera con una buena cerveza o una buena conversación. Pero primero miraros el vídeo si no lo habéis hecho ya. 

Sed Buenos ;) 

DVWA.- Damn Vulnerable Web Application

Hace ya bastante tiempo os hable de [Metasploitable] una distribución para reventarla como quisieras utilizando Metasploit, pues hoy os voy ha hablar de una aplicación web para que podáis darle fuerte y duro con todo lo referente a seguridad web. Esta aplicación me ha ayudado mucho a entender la seguridad que debería tener una web y ha sido mi banco personal de probas durante bastante tiempo. 


Advierto que la instalación es algo complicada, os dejo un video-tutorial por si tenéis algún problema. 


Si os atrevéis a descargarlo os dejo el enlace aquí abajo:

Sed Buenos ;) 

martes, 28 de enero de 2014

Spoiled Onions.- Lista Relays Malintencionados

Hace tiempo que mi desconfianza hacia los últimos nodos/relays de TOR se vio truncada por culpa de los rumores de que el FBI los monitorizaba. Cuyos rumores al final resultaron ser ciertos. Hace unos días que me sorprendió ver la noticia a través de un tweet de la exposición de nodos con instintos malignos. 

Ya sabéis que cualquiera es libre de montarse un nodo TOR y ofrecer sus servicios a la red pero aunque, TOR haga sus escaneos, hay algunos que se le escapan. 


"In this research project, we are monitoring all exit relays for several months in order to expose, document, and thwart malicious or misconfigured relays. In particular, we monitor exit relays with a fast and modular scanner we developed specifically for that purpose. Since September 2013, we discovered several malicious or misconfigured exit relays which are listed below. These exit relays engaged in various attacks such as SSH and HTTPS MitM, HTML injection, and SSL stripping. We also found exit relays which were unintentionally interfering with network traffic because they were subject to DNS censorship."
Podéis ver todo el proyecto entero en la siguiente pagina donde tenéis la lista de nodos expuestos. Pero ya os adelanto que aquí en España también había alguno malicioso.

En mi opinion y aunque existen otras redes, al final lo mas seguro se rá crearse un proxy propio o con 4 colegas de suma confianza y fiarte de que el host no se vuelva "bueno". Pero lo que es TOR ahora por ahora esta en el ojo de mira de toda institución. Os recomiendo leer el siguiente enlace.

lunes, 27 de enero de 2014

Infografia.- 2013 y Los Ataques de Gobiernos a Gobiernos

La entrada de hoy tenia que ir sobre la exposición de nodos malignos de TOR por parte de esta misma empresa, pero dando la ruta por las noticias de hoy me he encontrado con esta infografia. La verdad es que me esperaba esta cantidad de ataques o mas y con los targets adecuados. Pero me va de perlas para justificar que no estoy loco ni me invento las cosas cuando os hablo de ciberguerra. 


Sed Buenos ;) 


domingo, 26 de enero de 2014

Canal Pirata de Snifer III - Violent Python

Otro domingo y esta vez para los amantes de Python con la recomendación de este excelente libro para los desarrolladores en Python el cual es Violent Python, lei un par de paginas del mismo, pero es un libro invidiable para la bilioteca, el que llego a leer todo si mal no recuerdo es Sanko.

Portada




PD: Si cae el link avisar, para solucionarlo.

Regards,
Snifer

sábado, 25 de enero de 2014

Proyecto.- 1 Hora De Codigo Al Día

Hace mucho tiempo que os vengo advirtiendo de que en el próximo mes de febrero empezare a dedicar 1 hora para crear código de cada día laboral (Los fines de semana me los reservo). Esta hora de código será subía a otro blog y la podréis ir comentando dándome ideas, consejos, etc. Creo que es una manera de aprender a programar en serio y de una manera que a mi me gusta mucho.


Una vez explicado esto, me gustaría que me aconsejarais un lenguaje de programación. Por eso, he abierto unas votaciones en la pagina de [Straw Poll] para que podáis votar el lenguaje. os dejo la dirección abajo.

Espero que me podáis ayudar ^^ Sed Buenos ;) 

BlackPhone.- Porfin No Me Espiaran Desde Mi Smartphone.

En este blog me he desahogado tanto con el tema de la NSA que hasta me puse escribir [un paper al respeto] de un sistema operativo anti NSA. El sistema operativo aun tienen que ser cocinado pero me lo guardo para cuando disponga de un poco mas de tiempo. Pero no todo ha sido malo, el tremendo espionaje que han llevado a cabo estos señores ha dado a relucir un montón de ideas muy buenas y a que la sociedad tome conciencia de su privacidad en la red de redes.

Una de las ideas que mas me ha llamado la atención y ha hecho tiemble mi firme convicción de tener un Windows Phone como smartphone, es la presentación del Blackphone un smartphone que pone nuestra privacidad por delante de todo.


"En la era del espionaje y la NSA, un nuevo proyecto liderado por el conocido criptógrafo Phil Zimmermann aspira a crear un móvil seguro, un smartphone en el que nuestra privacidad esté completamente a salvo. Su compañía, Silent Circle, se ha aliado con la española Geeksphonepara fabricar el teléfono Blackphone basado en una versión segura de Android que denominan PrivatOS. Lo veremos a partir del 24 de febrero."


viernes, 24 de enero de 2014

Ghost-Phisher.- Como Asustar A Tu Vecino.

Ayer hicimos hincapié en como detectar de forma fácil a un vecino que se esté conectando a nuestra red de una forma ilícita pero, no me pare a explicaros la forma de hacerlo en un Ubuntu o en cualquier otra distribución Linux. Así que, la entrada de hoy va dedicada a esto y a darle un susto al ladrón de tu vecino. 

Para los que ya tengáis experiencia sabréis que lo mas rápido es tirar de [nmap] y destinarlo al descubrimiento de Host con la opcioón -sP. Lo cual hará un sondeo de ping a todos los host de la red que se le indique. El comando quedaría de la siguiente manera: 
  • nmap -sP 192.168.0/24
Pero para aquellos que quieras una forma mas atractiva, aunque menos rápida, de ver este tipo de reportes mi sujerencia es para Ubuntu y cualquier distro linux que supere la versión GTK+ 2.8 o superior es [SoftPerfect WiFi Guard]

Una herramienta muy parecida aunque a la que hablamos ayer, mucho mas simple. 

Así que, suponiendo que hay un equipo conectado que no conozcamos y que no disponemos de la distribución WifiSlax donde ya contiene un script para hacer esto de forma automatica llamado el [Cazador Cazado], vamos a montar un Servidor Http fake en nuestra red local al cual alojaremos una pagina en html donde ponga algo chungo. 

Ejemplo de chorri-codigo.
<HTML>
<HEAD>
<TITLE>ACCESO DENEGADO</TITLE>
</HEAD>
<BODY BGCOLOR=”BLACK” TEXT=”RED”>
<TABLE WIDTH=”100%” HEIGHT=”100%”>
<TR>
<TD VALIGN=”MIDDLE” ALIGN=”CENTER”>
<H1><B>TE ESTOY VIGILANDO, NO ME ROBES EL WIFI.</B></H1>
</TD>
</TR>
</TABLE>
</BODY>
</HTML>
Para esto utilizaremos ghost-phisher una suite para fishing y pentesting de la cual ya hablaremos en otras entradas pero por ahora nos centraremos en la pestaña de Fake Http Server. 



Fácil de configurar, fácil de ejecutar. Ahora cuando el vecino vuelva a conectarse le saldrá una web esta y así, deshacernos del vecino de forma "pacifica" sin derramar sangre de ningún tipo.  


Fuente: 

Mas información sobre Ghost-Phisher: 

Sed Buenos Con Esto ;) 

miércoles, 22 de enero de 2014

Who Is On My Wifi.- ¿Cómo Lo Utilizo?

Hace ya mucho tiempo os [hablé del programa Who Is On My Wifi] el cual, como su nombre indica, es capaz de analizar tu red y avisarte cuando haya un equipo no conocido dentro de tu red Wifi. Es bastante útil y como veo por las búsquedas que aun no han quedado del todo claro como instalarlo aunque sea fácil y guiado nunca esta de mas hacer un tutorial y daros de regalo algunos consejos para pasároslo bien con el intruso. Es para Windows. 


Empezamos por descargar la versión Free del programa desde su pagina oficial. 

Lo Instalamos dando doble clic y le decimos que si que queremos que nos ejecute el programa. 


El Programa se abrirá. En el caso de que no se haya bugueado el asistente síguelo, pero si no te aparece vas a tener que darle al botón "Scan Page" 


Acto seguido nos aparecerá una nueva pagina nos dirigimos a "Scan Now" y empezaran a aparecer todos los equipos que están conectados a nuestra red. No hace falta decir que hemos de estar nosotros conectados previamente a nuestra red por lo cual hemos de contar con que los datos de nuestro equipo y los del router. 

Marcamos como conocidos "Known" los son de confianza y volvemos a dar a "Scan Now" por si hay algún otro dispositivo que haya entrado en la red. 


Ahora podemos cerrar esta ventana y Who's On my Wifi se quedara en segundo plano y te notificara de cada intrusión que no hayas marcado como confiable "Known"  


Sed Buenos ;) 



martes, 21 de enero de 2014

Steve Wozniak Habla Claro en Google Plus

Hoy curioseando en twitter muchos se habían dado eco de un post en la red social Google Plus de [Steve Wozniak] se quedaba a gusto. Os la dejo a continuación aunque no dice nada diferentes de lo que muchos pensamos desde hace tiempo. 




Fragmentos extraídos de la conversación original en Google plus:  https://plus.google.com/+CarmsPerez/posts/GnVTvQNgvpf

No voy a dar mi opinion sobre esta, que cada uno piense lo que quiera y en se ponga en la situación que quiera pero hace mucho que quería que este hombre hablara claro.

Sed Buenos ;)

Rezando 2 Ave Marías a la Virgen del Santo Internet

Hace mucho me encontré con la imagen que define a la perfección ese momento en que algo no funciona  y queremos que se arregle por arte de magia. Ya sabéis que el apagar y volver a encender funciona muchas mas veces de las que debería, ademas hace mucho que no ponía ninguna imagen divertida así que al ataque. 


Unos rezos a la virgen del Santo Rack nunca vienen mal xDDDD

Sed Buenos ;)  

domingo, 19 de enero de 2014

Canal Pirata de Snifer II - The Rootkit Arsenal

Hola otra semana que venimos la segunda esta vez mas que todo es un regalo al señor dueño del blog, ya que por mucho tiempo andaba con una serie de entradas relacionadas a los Rootkits, lo cual no es porque quiera idolatrarse :$ me encanta este mundo con decirles que ando preparando entradas relacionados a ello para el blog, pero no serán muy extendidas ya que me falta mas que todo tiempo para realizar pero si o si son y estarán realizadas por algo, pero que nos va para que y porque Rootkits simple un paquete para obtener mantener acceso Root!!!!!!..

Se que la explicación no tiene nada que ver, para ello si quieren saber mas del tema dense una vuelta por las siguientes entradas:

Peleándonos con los RootKits
Herramientas

Y para terminar con todo ello, ahora si la recomendación es el libro The Rootkit Arsenal lastimosamente solo vi un capitulo :(, mas que todo por la vagues.. y antes tenia la primera edición recién di con esta segunda  la cual tienen que descargar y darle una mirada.
:) Albert te agradara!!!
Descargar

Regards,
Snifer


sábado, 18 de enero de 2014

Raspberry PI.- DIY WiFi Raspberry Pi Touchscreen Camera

Ya sabéis los que me seguís des de hace tiempo que otra de mis debilidades son las Raspberry PI, (ya sabéis lo que me podéis regalar algún día guiño guiño XD) y  mas cuando cada vez  que busco información me sorprendo con todas las cosas que pueden hacer con ella. Hoy navegando, me he encontrado con que [Philip Burgess] a subido en [Learn.Adafruit] un modelo de Camara digital tactil hecha con una Raspberry Pi la verdad es que es muy curioso y de tener una me pondría a montarla.

"This project explores the Adafruit PiTFT touchscreen and the Raspberry Pi camera board to create a simple point-and-shoot digital camera. One can optionally use WiFi and Dropbox (a cloud file storage and synchronization service) to automatically transfer photos to another computer for editing."


Ha sido todo un hallazgo encontrar esta pagina hay un monton de "inventos" hechos con Rapsberry Pi y Arduino que seguramente me ira de perlas poder curiosear en ella cuando disponga de una de las dos maquinas.

Sed Buenos ;) 

viernes, 17 de enero de 2014

Bye Bye Biblioteca StateX

Ya puse en los [pronósticos de este año] que iba a darle un cambio drástico a mi biblioteca. La verdad es que hace mucho que no me gustaba como la iba llevando hasta que hablando con [El Doctor Bugs] decidimos reconvertir esta biblioteca en un nuevo proyecto que esta por venir y en al que quiero dar caña ya.


Por otro lado, la biblioteca tal y como lo conocemos va a desaparecer, pero gracias a [Snifer] mi proyecto de biblioteca no caerá en saco roto ya que empezare a subir contenido a la biblioteca de este señor. Esta biblioteca empezó antes que la mía y creo que deshacer la mía, juntarme con Snifer y darle duro al nuevo proyecto que que esta por venir será clave, bueno aprender de estos grandes y provechoso para los dos lados. 

Os dejo el enlace a la biblioteca de SniferLabs y espero que entendáis mi decisión.  

jueves, 16 de enero de 2014

ExplainShell.- Aprendiendo Sobre La Marcha

Hace mucho que no entraba a tocar temas de Shells en ubuntu ya que hasta ahora no lo había necesitado y la verdad nunca me ha apasionado (a no ser que nos refiramos a los Batch de Windows). Pero, por fin he encontrado una pagina que me alegrará la existencia a la hora de lidiar con Shells. Explainshell un buscador destinado a extraer y explicar cada uno de los argumentos de un script.


"This site contains 29761 parsed manpages from sections 1 and 8 found in Ubuntu's manpage repository. A lot of heuristics were used to extract the arguments of each program, and there are errors here and there, especially in manpages that have a non-standard layout."


Os dejo el enlace abajo y la verdad es que vale mucho la pena tener esta pagina abierta mientras estas cacharreas con el código, se aprende un montón.
Sed Buenos ;)

miércoles, 15 de enero de 2014

Ingenieria Social.- Ser Majo Puede Tener Ventajas Parte 2

La verdad es que hace que no hablo de ingeniería social [en este blog eones] y es que hay muchas veces que ser majo puede tener muchas ventajas (Para ligar es imprescindible xD). Ayer, mientras estaba curioseando mis redes sociales y blogs, un amigo colgó un video muy curioso sobre trucos en bares, calles, etc y curioseando un poco mas por el canal la verdad es que voy a recomendarlo aquí. 


El Canal de youtube se llama [Scam School] y en seña un montón de trucos para engañar a gente. Algunos de estos trucos se basan en algoritmos y se juega por dinero como en este. 


Y otros que, de hacerse bien, no son considerados delito por bien poco. 


Espero que os gusten y ya sabéis que la Ingenieria Social sirve para bastante, pero se ha de saber como usarla. Os dejo el canal de Youtube aquí abajo.
Aprended y Sed muy buenos con esto 0;) 


martes, 14 de enero de 2014

Kali Linux.- Instalando Kali Con LVM Cifrado

Hace unos días hablaba sobre la nueva versión de Kali Linux y lo que apodé aquí como el "Panic Button" no es un botón pero es un sistema de cifrado de emergencia por si las moscas. Este sistema solo funciona si previamente hemos instalado Kali en un LVM cifrado.

¿Que es LVM y como hago para cifralo?

LVM son las siglas de Logical Volume Manager este se encarga de administrar los volúmenes lógicos para el kernel Linux. Cifralos no es complicado así que vamos a ello. 

Primero después de quemar la iso en un cd o usb y después de haber configurado el idioma del teclado y la hora, nos aparecerá una ventana como esta: 


Le decimos que si, que queremos configurar un LVM cifrado. Ahora tocara seleccionar que unidad vamos a utilizar.


Como solo tengo una unidad aparece esa unidad. Ahora toca seleccionar como queremos estas particiones. 


Acto seguido confinamos las particiones.


 Seleccionamos una contraseña segura, le damos a continuar, el se pondrá a trabajar y ya tendremos nuestro Kali Linux dispuesto para poder salir corriendo si nos pillan.


Para mas información:
Sed Buenos ;) 

RootedCON 2014.- Ya Podemos Comprar Nuestra Entrada

Otro de los temas mas hablados en este blog aparte de la [NocONName] son las noticias que salen del, ya conocido por la comudidad, congreso [RootedCON] o mas cariñosamente apodado La Rooted. La verdad es que como cada año me hubiera gustado acudir o entrar como voluntario, pero dudo poder conseguir el dinero suficiente en el tiempo que se van a agotar las entradas.  Así que, [siempre me quedarán sus videos] de las ponencias. 


"Hoy 13 de Enero iniciamos el proceso de registro de asistentes para Rooted CON 2014, que se celebrará los días 6, 7 y 8 de Marzo en el Centro de Congresos Principe Felipe del Hotel Auditorium de Madrid."

Laa verdad es que son unos precios muy ajustados tanto para estudiantes como para profesionales y ademas tienen [descuento] en hoteles donde yo no me conectaría a la Wiffi del hotel por si acaso. Os dejo la pagina para que os informeis mas y os registréis/inscribáis al congreso. 
Me encantaría asistir algún día, aunque también tengo pendiente ir a [Navaja Negra]. No se cuando trabaje de esto espero no fallar ningún año a todos los congresos que pueda. 

Sed Buenos ;) 

domingo, 12 de enero de 2014

Canal Pirata de Snifer I - Una al dia a leer cada dia

Hola a todos como estas a partir de hoy, cada semana me tendrán con una entrada en el blog de Albert porque Canal Pirata de Snifer porque cada domingo tendremos algún documental, pelicula, charlas,  o recomendación de algunos libros de seguridad para leer.


Esta primera entrega les hablare sobre Una al Día, una noticia de seguridad informática todos los dias para leer es un libro de Sergio de los Santos. Un libro para todos, para poder entender y comprender lo que sucedió en internet desde 1998 el trabajo que realizaron la gente de Hispasec en estos años, que ya van muchos, en esta entrega podremos conocer 11 años de historia, esta versión la podemos descargar desde el portal de Hispasec, Una al día descarga existe una versión actualizada pero no andamos por aquí para promocionar la de paga xD na mentira, pueden entrar al portal y ver a mas detalle.

Espero les agrade esta sección, nos vemos en el canal pirata de Snifer la proxima semana..

PD: Traemos libros de paga? free? que opinan..

Regards,
Snifer

Anubis.- Footprinting y Fingerprinting

Muchas veces hemos hablado de lo sumamente importante que son las técnicas de Footprinting y Fingerprinting para hacer un Pentest con cara y ojos, muchas [metodologías] hablan largo y tendido sobre estas técnicas y puestos a que hoy he estado jugando con mas de una herramienta os voy a presentar la que, de tener yo un top 10 de herramientas, estaría entre mis favoritas. Estoy hablando del [Anubis de Flu-project] la cual ayuda un montón a la hora de recopilar información.


"Entre otras funcionalidades, Anubis permite buscar dominios mediante técnicas basadas en Google Hacking, Bing Hacking, ataques de fuerza bruta contra el DNS, transferencias de zona, etc. Permite identificar el sistema operativo de las máquinas que hay tras los dominios mediante análisis del banner, búsqueda de errores y la integración de la herramienta nmap. Por otro lado contiene otras herramientas útiles como un fuzzer Web, la búsqueda del registrador de un dominio mediante consultas Whois, o la identificación de software utilizado en la organización y personal existente en la misma mediante el análisis de metadatos en los ficheros PDF."
Una Herramienta muy completa que ademas te va haciendo un reporte a medida que vas analizando toda la información. Me gustaría que por un día aparcaras a la FOCA (la cual ya sabéis que me encanta) y le dediquéis un tiempo. 

Os dejo el enlace para que os la descarguéis: 

sábado, 11 de enero de 2014

KALI Linux.- 1.0.6 Y Su "Panic Button"

Hace un par de días me volví a preparar mi maquina virtual de Kali linux para enseñaros una prueba de concepto del [URL Redirection de Facebook] pero preferí esperarme al oír rumores de que la 1.0.6 estaba por salir. Ademas tenia ganas de probar el llamado Emergency Self Destruct o como yo le llamo el "Panic Button".


"Full disk encryption is expected to be the top security technology to be adopted this year. Take a moment to think about the information that is present on your personal computer, ie Photos, passwords, emails, Important documents from work or Financial data and trade secrets".

Espero poder traeros esa prueba de concepto lo mas pronto posible y ya que estamos por gravar me gustaría también enseñaros como funciona este "Panic Button" porque, le tengo muchas ganas a esta nueva versión de KALI.

Descagar KALI Linux:
Para mas información sobre esta herramienta en español:
Fuente:

jueves, 9 de enero de 2014

OASAM.- Metodologia Para Analisis En Android

Hoy (por si alguien lo pregunta, si que he tenido tiempo para estudiar como he querido) me ha sorprendido encontrarme con esta esta nueva metodología,  aunque solo conocía la [OWASP] la cual me ayudó a organizarme mucho mejor mi trabajo en Friendsandjob. Así que encontrar otra metodología y que dedicada al mundo de los smartphones con Android viene perfecto. Ademas esta hecha [Daniel Medianero] y [Victor Villagrá].


"Actualmente los dispositivos portables están copando el mercado, la consumerización los está llevando al apartado empresarial, dejando obsoleta la idea del uso exclusivamente ocioso. Por un lado Android se está revelando como el sistema operativo más extendido en este apartado debido a diversos motivos, entre ellos la facilidad de crear y distribuir masivamente aplicativos. Sin embargo desde el punto de vista de seguridad no se está difundiendo ningún tipo de información acerca de las nuevas vulnerabilidades que puede acarrear la programación insegura en esta plataforma, que tiene una considerable superficie de ataque (la tradicional añadiendo la que la propia arquitectura Android incorpora)." 
"Por otro lado, aunque hay algunos trabajos concretos al respecto, no existe una taxonomía completa y consistente de vulnerabilidades en aplicaciones específicas de Android que permita catalogar estas vulnerabilidades." 
"El objetivo del proyecto OASAM es elaborar una taxonomía completa y consistente de vulnerabilidades en aplicaciones Android, que sirva de apoyo no solo a los desarrolladores de aplicaciones, sino también a los encargados de buscar vulnerabilidades en las mismas."

Me la he leído un poco por encima esta mañana y realmente esta muy completa, os dejo ruta a la pagina.


Sed Buenos ;)

Google.- Reported For Spammer

Hoy, aunque tenia que haber empezado a estudiar (eh que lo he hecho al final eh xD) me ha pedido ayuda un amigo para que le mirara el porqué cuando el buscaba la pagina en Google este le respondía en completo ruso. Si, estamos hablando de un caso de BlackHat Seo. Habían conseguido crear entradas con enlaces que apuntaban a otras paginas con mas enlaces, lo cual hace que, de no ser visto por ningún buscador, suba el posicionamiento de los enlaces en el buscador. 

Así que he pensado que esta información podría ayudar a mas de uno que se encuentre en la misma situación. Hoy hablaremos de como reportar un spam a Google. 

La verdad es que el sistema es muy facil nos dirigimos a este enlace. 
Primeramente tenemos que asegurarnos que no es ninguna otra opción de las que parecen en esa pagina. cuando lo tengamos claro haremos click en "Reportar de Spam Web". 


Así solo tendremos que rellenar un sencillo formulario y ya tendremos la web reportada. 



Sed Buenos ;)  Reporta lo que veas y generoso no seas xD 

martes, 7 de enero de 2014

Url Redirection Vulnerability.- Facebook con PoC

Hace tiempo que no hacia experimentos en este blog pero después de la bronca del señor [Snifer] en los comentarios de [la entrada de hace dos] días me he puesto manos a la obra.  Hoy os traigo una vulnerabilidad de Url Redirection para Facebook con una prueba de concepto que aun a día de hoy esta vigente. 


Una vulnerabilidad de Url Redirection es una técnica para hacer que una página web esté disponible en más de una URL de direcciones. Cuando un navegador web intenta abrir un URL que ya ha sido redirigida, se abre una página con una URL diferente.

En este caso Facebook tiene un par de vulnerabilidades tanto en su apps.facebook.com como facebook.com



Prueba de Concepto: 



Sed Buenos con esto ;)

Fuente: http://www.blackploit.com/

lunes, 6 de enero de 2014

Infografia.- Symatec y Sus Predicciones Para Este 2014

Hoy en el dia regalos y de la ultima comida familiar de las navidades tenia muchas ganas de [ponerme a ver algunos videos de la 30c3] una charlas sobre Seguridad Informática en Alemania. Pero, entre el rápido repaso a los videos, esbozos de proyectos y a demás casi no he tenido tiempo para mirar todo los blog y artículos que me gustaría.

Aunque, en un día tan mágico como hoy me ha hecho gracia encontrarme con la perdición sobre el 2014 de Symatec con la que comparto mucho su juicio y me parece mucho mas acertada que la de [Windows]. 


Muchos sabres que esto es algo peligroso, pero aun cuesta mas no entrar en el "bucle de la muerte" cuando tienes un smartphone. Tener cuidado con este "Social Malware". 


Espero que hayáis sido buenos este año 0;) 


domingo, 5 de enero de 2014

Angry State 18.- Timing y la Iniciativa

Hace mucho que no publicaba ninguno de mis dibujetes. Hoy después de volver a ver [la ponencia de Román Ramirez sobre el mundo hacking] el la cual acababa la ponencia con una ronda de preguntas donde se lanzaba la siguiente ¿Porqué lo hace el Maligno y tu no? 

La verdad es que he estado pensando durante ayer y hoy sobre esto y la verdad es que muchas veces no me he puesto a crear contenido por que pensaba que era demasiado sabido por todos, por pensar que que tendría para enseñaros y/o por pereza. Por eso he querido dedica esta tira ha hacerme una auto-critica. 


Ya les he pedido a los Reyes Magos un poco mas de iniciativa y vista para este 2014 espero que me lo traigan. 

Esta noche mas que nunca Sed Buenos ;) 

sábado, 4 de enero de 2014

SnapChat.- En el Lado Oscuro Oscuro De La Fuerza

Hace un par de semanas que conozco la aplicación de SnapChat y lo primero que se me paso por la mente es hacerle que algún día le tendría que hacer un forense para averiguar si realmente las fotos eran eliminadas del smartphone o al menos para saber como funciona la aplicación que para aprender nunca viene mal. 

"Todo contacto deja un rastro" Teoria de [Edmond Locard]


Como ya sabréis tampoco es buena época para la empresa que hay detrás de esta aplicación [al aparecer la pagina SnapchatDB] con, supuestamente, información de sus usuarios. 

Pues no es por hace leña pero la verdad es que SI, Si que quedan guardas las fotografías en el smartphone mas concretamente en la tabla "StoryImageThumbnailsFiles" si no se ha borrado la cache, cosa que hacemos todos ¿No?

Si queréis ver como llegar al .db donde esta esa tabla os dejo a manos de un Perito Forense de los grandes y ya sabéis lo que pienso yo de publicar "experimentos" ya hechos. 
Espero que os guste y en cuanto tenga tiempo tengo que reproducir este Forense. 

Sed Buenos con esto ;) 

Pack.- Android Forense "Rapido"

Hace ya bastante tiempo di un viaje por los mundos de Android para saber cuanta información podría sacar de un Android con ADB (Android Debug Bridge)  después de leer el genial la serie de artículos de [Jesus] en su blog [Things Up Security donde explicaba con pelos y señales como realizar un forense en Android].  Me animé un poco y busque toda la parte de teoría que me podía servir y después me dispuse ha hacer mi experimento para DoubleReboot. 


//////////////////////////////////////////////////////////////////////////////////////////////////////////////////

Teoria: 
Experimento: 
//////////////////////////////////////////////////////////////////////////////////////////////////////////////////

Espero que os gusten, la verdad es que yo me lo paso muy bien cuando me toca cacharrear con smartphones. No se, tienen algo especial. 

Sed Buenos con esto ;) 

jueves, 2 de enero de 2014

Creepy.- Regalo de Reyes, Nueva Versión.

Hacia mucho que conocía esta herramienta y fue un reboot cuando la vi en acción en el libro del [El Hacker Epico]. Creepy es una herramienta para la localización de usuarios a través de ciertas redes sociales, la verdad es que es muy divertida para saber donde han estado tus amigos realmente de fiesta y esas cosas. Así que cual ha sido mi sorpresa al ver que [Marc Rivero] ha publicado en el famoso blog de [DragonJar] un tutorial bastante chulo de como usar esta nueva versión. 

Si, es una foto de la versión antigua xD.

Os dejo los el enlace al articulo de DragonJar donde os lo explicara mucho mejor que yo: 
Sed Buenos con esto ;) 

miércoles, 1 de enero de 2014

Análisis de Malware.- Colección de Archivos PCAP.

Hoy día oficial de la resaca en España he estado curioseando las redes sociales como cada día pero, hoy ha sido una alegría encontrarme con la entrada del blog [Contagio] el cual ha compartido la mayoría de volcados de memoria provenientes de análisis de Malware. la verdad es que me lo voy a pasar como un crío analizando toda esa información y algo me dice que muchos de vosotros también. 


"All of them show the first stage with the initial callback and most have the DNS requests as well. A few pcaps show extended malware runs (e.g. purplehaze pcap is over 500mb)." 
"Most pcaps are mine, a few are from online sandboxes, and one is borrowed from malware.dontneedcoffee.com. That said, I can probably find the corresponding samples for all that have MD5 listed if you really need them. Search contagio, some are posted with the samples."
Os dejo la pagina a continuación y espero aprender mucho de estos Dumpeados.


Sed Buenos ;)

2014.- Propósitos Para Este Año

A una hora y algo de haber entrado bien el nuevo año es el momento de darle caña a proyectos y a los nuevos propósitos para este año. ¿Qué me propondré ha hacer este año? ¿Qué proyectos voy a abarcar? ¿Con quien quiero colaborar? Son muchas las preguntas que ahora rondan mi mente y quiero despejarlas cuando antes en el recorrido de este 2014. Si hace un año me hubieran dicho cuando llegara 2014 estaría anhelante a empezar proyectos no me lo hubiera creído. Pero por el momento empecemos por los propósitos para este año. 


Lista de Propósitos: 

  • Empezar con mi propia pagina para the hour of code.
  • Cambiar la apariencia de este blog. 
  • Buscar un trabajo remunerado en el mundo de la seguridad informática.
  • Empezar a dar charlas para institutos. 
  • Acabar de leer muchos papers. 
  • Acabar el proyecto que esta por venir, espero que en este me de enero podáis ver algo
  • Empezar a impartir una actividad extra-escolar para que los chavales puedan aprender a programar.
  • Volver a empujar el proyecto de la Biblioteca junto a Doctor Bugs. 
Bueno y esto para empezar el 2014 no esta mal, ¿Llegaré ha hacerlos todos en este 2014? chan chan chaaaaaaaaaaaaaaaaaan xD. 

Sed Buenos en este 2014 ;)