Imagen.- El humor de Meltdown

Hoy es la noche especial que es y creo que a quien y a quien menos [Meltdown y su exploit Spectre] le esta haciendo pasar una velada muy larga desde antes de ayer, que mejor que reirnos un poco de ello. 

Sed Buenos ;)

Hobbytruco.- Como explotar una vulnerabilidad Use-After-Free (UAF)

La verdad es que el tipo de vulnerabilidad "para después de la liberación" es uno de los que mas me cuesta de explicar y de entender cuando me preguntan por ella. 

Así que una imagen vale mas que mil palabras y ya que la he localizado también me vale para mi día a día y como no, aplico la norma mágica de este blog que me permite publicar cualquier cosa que me pueda venir bien para un futuro. 

Sed Buenos ;)

HackThis Basic 1.- La Pass y la imagen

Durante todos estos domingos ya nos hemos terminado con el top 10 de retos en HackThis y ahora Kazukun nos trae el primer reto donde un archivo no es lo que parece.

Lo mejor es que ya no estamos de exámenes y podemos disfrutar de estos vídeos comentados.

Sed Buenos ;)

Confía en tu imágenes aboot de Android

Cuando se empezaron a poner de moda los Smartphones, me juntaba con gente a la que le gustaba mucho trastear con imágenes "tuneadas" de Android y recuerdo quedarme con unas ganas locas de jugar con esa tecnología. 

Este proceso ahora se encuentra bloqueado por algunos fabricantes para que no podáis modificar el Software del Smartphone pero si conseguís desbloquearlo que se país que es gracias al aboot (Aplication Bootloader) que es el encargado de dirigirnos a las opciones de recovery para poder cargar nuestra imagen.

Por si queréis una descripción más tecnica:

"aboot is a native ARM binary, which is wrapped by a very thin header, which is usually 40 bytes in length. This header provides metadata which is used by the SBL in the process of validating and loading aboot" 

• Mas info:  http://newandroidbook.com/Articles/aboot.html

Dicho esto, que me impediría a mi, si fuera malo, coger una de estas imágenes y  otorgarle poderes malignos. 

¿Poco verdad? pues gracias al Android bootloader (aboot) parser de [Nikolay Elenkov] podemos extraer los certificados de estas imágenes y comparar las firmas por si han sido modificadas. Por cierto esta herramienta está programada en Python 2.X y si queréis aprender a como estructurar el código de vuestras herramientas leeros el código del script. (Aunque llamadme fino, pero yo no hubiera usado tantos prints seguido. Es la única pega)

La comprobación es tan fácil como usar el siguiente comando:

• python parse-aboot.py nombredelaimagen.img 

Y aquí teneis el enlace a la herramienta:

• https://github.com/nelenkov/aboot-parser 

 Sed Buenos ;) 

Tabla periódica sobre startups de ciberseguridad.

Hoy me he topado de cara con la siguiente tabla periódica donde se clasifican diferentes startups según a lo que se dedican. Me ha hecho gracias ver que hay muchas mas de las que yo pensaba. 

Leedla y buscad las "empresas" por Google la verdad es que está muy interesante ver todas las ideas que ofrecen. La verdad es que dan muchas ideas y ganas de fundar la tuya propia (que es una idea que cada vez mas me va rondando la cabeza xD Así que ya sabéis porque esta imagen es de valor para mi.)

Sed Buenos ;)

Infografia.- La Policía y el Ransomware

Hace unos días que la [policía compartió esta imagen] por su maravillosa cuenta de Twitter. La verdad es que me parece un resumen brutal y sencillo de los tipos de Ransomware y de lo que son así que merece la pena compartirla por aquí. 

Entrada corta pero muy útil.

Sed Buenos ;)

Cronología del Descubrimiento de Ransomware

Hoy es otro día que por motivos familiares no puedo estar 100% por el blog pero, hace unos minutos el equipo de [Hackplayers] a subido a su Twitter una imagen muy interesante sobre la cronología de los Ransomwares. Ya sabéis esa pieza de software malicioso que cifra el contenido de nuestros discos duros y nos pide rescate. 

Pero, si aún tenéis alguna duda sobre los Ransomware, os recomiendo el programa de Snifer en Dame una Shell donde se habló largo y tendido sobre este tema. Aun que yo no crea que los Ransomwares son el futuro y diga que ya es el presente.

Sed Buenos ;)

Infografia.- Top 5 Mejoras de Seguridad

Hace mucho que no os colaba ninguna infografía y es que hoy tengo poco tiempo para dedicarle pero aun así os voy a recomendar que sigáis estos cinco puntos aunque tengáis el sistema mas seguro del mundo. 

Nunca tenemos que olvidarnos de la base. 

Fuente: 

• https://tecnologiaaldia.wordpress.com/2014/03/10/5-mejores-maneras-de-proteger-su-privacidad/

Sed Buenos ;)

¿Se Os Ocurre Como Hackear Este Drone?

Hoy quiero probar una cosa con vosotros, últimamente habéis comentado mucho y eso me encanta (Bueno sobretodo me encantó las muestras de apoyo ... la verdad es que desde este lado no se ve a cuanta gente le gusta lo que escribes). Pueda que no salga nada pero me gustaría intentarlo.

Bueno, hoy en la RSA Conference se ha habla de como hackear un drone policial. Aún no he podido ver el vídeo, ni he tenido acceso al paper ni nada solo se ha publicado la siguiente foto. 

Mi pregunta es ¿Por donde empezaríais a meter la mano?

Yo creo que lo tengo bastante claro. (Of course, corregidme todo lo que sea necesario) Como vemos, la conexión entre la caja de telemetría y el software de planificación de vuelo se hace mediante un enlace Wifi cifrado con una cable WEP. Ya sabemos que este tipo de cables no son para nada seguras y si pudiéramos alterar la planificación, que supongo que va conectado con el link XBee podríamos cambiar los planes de vuelo del drone y hacerlo chocar o mover hasta donde nosotros queramos. 

Esa es mi idea, ¿Cual es la tuya?

Sed Buenos y espero vuestras opiniones.

Discriminación en Internet

Hoy en día los chavales tienen una doble vida a en la red mucho mas extensa de la que tenia yo a su edad donde el messenger  y el CounterStrike ocupaban mis tardes. Ahora puede pasar que ciertos integrante de una clase no solo excluyan a un compañero en las aulas si no en la red social favorita de todos y de esta manera empezar con una discriminación web y es normal emplear este termino ya que a nadie le gusta sentirse excluido de ningún lado. 

Con vos en la web tiene un seguido de imágenes repletas de información  tratando todo los temas que pueden afectar a los chavales de hoy en día y creo que si tenéis un hijo adolescente o que va a entrar en esa fase deberíais echarle un ojo y aprender lo mas posible para que no tenga ningún problema en confiar en vosotros si le pasara algo o al menos a que le ayudéis a configurar su cuenta de usuario de una manera que no le repercuta.

Enlace a la página:

• http://www.convosenlaweb.gob.ar/

Sed Buenos ;) 

Forensic Posters .- Cariño Hoy Toca Empapelar El Piso.

La verdad es que aunque muchas veces os hable de temas relacionados con la seguridad informática tengo un especial cariño por la informática forense y creo que de todas maneras no puede ser malos saber de las dos disciplinas. Así que si hoy os contara que he encontrado un postes para imprimir que resumen el funcionamiento de varios protocolos, volúmenes y atributos a nivel forense, estaréis conmigo cuando os digo que quiero imprimirlos todos y ponerlos por donde pueda. 

Aquí os dejo el Git Hub donde Jared Atkinson y Ange Albertini han publicado estos posters tan chulos. 

• https://github.com/Invoke-IR/ForensicPosters

Si me animo puede que haga una serie destinada a explicar cada uno de estos posters ya que hay algunos que no entiendo del todo y así estudio un poco. 

Sed Buenos ;) 

Imagen.- Algunos Problemas Que Mis Futuros Hijos Nunca Tendrán

Hoy, haciendo un vistazo por diferentes páginas y ya que tenia fiesta me he puesto algo nostálgico al recordar la primera vez que toque un PC. Así que, al ver la siguiente tira en la página de CuantaRazón no me he podido resistir a pensar en las cosas que nuestros futuros hijos se perderán o que ya se han perdido.  Para bien o para mal, ojo.

Bueno, faltarían los pantallazos azules de windows 95, 98 y Xp que ahora los han cambiado. 

¿Los recordáis todos?

Sed Buenos ;)

Imagen.- Tipos de Ataques XSS

Hace mucho en este blog hablamos de los diferentes ataques de Cross-site scripting (XSS) y además fue uno de los puntos que estudiamos con el CEH, pero como nunca esta mal tener una referencia rápida por si acaso. Así que espero que os guste tanto como a mi el siguiente resumen. 

Sed Buenos ;) 

Paper.- Steganografia Para Archivos de Audio.

La Steganografia, el arte de adjuntar información oculta en una imagen, era una practica muy utilizada no solo por los hackers de antaño si no para aquellos que querían hacerse con "copias de seguridad no pagadas" de sus canciones favoritas. Así que, me ha sorprendido mucho encontrarme con documentación de un programa especializado a ocultar y desocultar pistas de audio de una manera rapida y masiva llamada DeepSound. 

Se que algunos nostálgicos les gustará volver a bindear musica en imágenes y se que hay gente como yo que está deseando leer el hexadecimal que del archivo fusionado para ver si puedo distinguir entre la canción y el archivo de imagen.

Así que, mientras voy preparando el experimento os dejo toda la documentación que he encontrado sobre este programa.

•  http://jpinsoft.net/DeepSound/Documentation.aspx

Sed Buenos con esto 0;)

 

Hello World En Varios Lenguajes de Programación.

Hoy como cada domingo toca algún vídeo o foto de digestión rápida para empezar la semana con un poco de entusiasmo. Así que como siempre mirando mis redes sociales y buscando alguna imagen para poder publicar, he visto la siguiente imagen de como crear un Hello World (el típico primer programa de todo el mundo) en diferentes lenguajes de programación. 

Me gusta mucho por que hay algunos lenguajes que ni conocía así que nunca esta mal seguir aprendiendo. 

Sed Buenos ;) 

Un Dibujo, Una Foto.

Ayer fue el día de Sant Jordi una tradición catalana que viene de lejos y que consiste en regalar rosas a las chicas y libros a los chicos. Aunque recibí un regalo inesperado de la creadora de los pingüinos avatares de este blog. No lo subí ayer ya que ya había hecho la entrada pero creo que hoy es un día genial para compartirlo con todos vosotros. 

Los que conozcáis la leyenda ya interpretares que esta pasando en la ilustración pero los que no os invito a leeros la leyenda de Sant Jordi. 

Ilustración realizada por Gisela Garcia Hurtado del blog Salmon's Art: 

• http://salmonsart.blogspot.com.es/

Por otro lado hoy he ganado mi primera CTF quedando como el mejor equipo de la oficina. A que no adivináis como se llamaba el equipo: 

La verdad es que no he puesto yo en nombre pero me ha gustado mucho. Creo que he de darle mas caña a los retos que hay en Internet ya que solo el echo de participar en esta ctf me ha encantado. 

Sed Buenos ;)

¿Suicide Hackers? A Estos No Los Conocía.

Ayer intentando vaciar un poco la carpeta de paper y material sobre seguridad informática me encontré con unas slides de EC-Council donde explicaba la introducción al Hacking y al CEH. La verdad es que me pareció unas slides geniales hasta que di con esta. 

Si os fijáis después de los tres tipos de hacker con diferentes sombreros hay un cuarto. Yo había oído que a los hackers de Windows se les llama bluehats y que hasta tenían unas jornadas para ellos pero aquí aparecen los Suicide Hackers. 

La slide los define así: 

• Suicide Hacker:
• Individuos que intentan hacer caer una infraestructura por una causa y no les preocupa que puedan pasarse 50 años en la carcel por sus acciones. 

La verdad es que me ha parecido un poco rara la explicación al principio pero si que es verdad que aunque muchas veces se toman las precauciones oportunas, hay un gran numero de atacantes que podrían entrar en esta categoría ya que no buscan beneficio sino luchar por una causa. 

Aunque en mi opinion prefiero llamarlos Hacktivistas que Hackers suicidas. No se, como que queda mas bonito. 

¿Vosotros estáis de acuerdo con esta "categoria"?

Sed Buenos ;) 

La Seguridad IT, El Departamento Mas Importante De los Próximos Tres Años.

Supongo que todos los que leéis este blog mas o menos os habréis dado cuenta de la cantidad de empresas que han/están surgiendo en este sector en los últimos años. Aunque esta tendencia ha venido para quedarse durante al menos tres años mas. 

Me gusta saber que las grandes empresas están viendo la importancia de la seguridad informática para sus activos. 

Estudiad mucho que algo me dice que habrán nuevos puestos de trabajo para tres años mas. 

Sed Buenos ;) 

imagen.- Así Es Como Funciona Un Navegador.

Hoy repasando un poco mi Twitter he encontrada la que sea, posiblemente, una de las mejores explicaciones de como funciona un navegador. Ademas me encanta como está explicada y dibujada. 

Bueno, hoy toca una entrada  rápida y hacia mucho que no os ponía una imagen así de curiosa. Espero que a vosotros también os guste. 

Sed Buenos ;) 

Las Infraestructuras Más "DdoSeadas" del 2014.

Los DdoS se han convertido una moda dispuesta a quedarse, ya que es una manera muy fácil de poder bloquear una organización X durante el tiempo que tu elijas y con las manos limpias ya que hasta puedes contratar el servicio online. 

Así que, aquí tenéis las infraestructuras mas comúnmente atacadas durante el año pasado. 

Si estáis al día ya sabréis que el mundo de los videojuegos y sobretodo la infraestructura que utilizan Sony y Xbox fueron atacadas por este tipo de ataques. Ademas de la perdida de dinero y reputación para ambas empresas.  

Fuente: 

• http://www.latesthackingnews.com/2015/01/31/global-ddos-attacks-increase-by-90-percent-on-2014/

Sed Buenos ;)