[Paper].- Riesgos del hacking de robots

Mientras la moda es el hacking de coches ya se empiezan a ver los primeros robots "mascotas" o aquellos capaces de escribir novelas.  Cuando estos robots empiecen a estar a disposición de las empresas o de la gente corriente existirán varios vectores de ataque a tener en cuenta. 

Algunos de ellos son los típicos que nos encontramos en nuestros portátiles o smartphones: 

• Micrófonos y cámaras:
• Dicho hasta la saciedad pero no siempre sabrás si solo la máquina está analizando las imágenes y el audio que captura.
• Conexión de red
• Ya sabes que ponerle una IP a cualquier máquina la convierte en un blanco. 
• Interacción con servicios externos
• Se deberá monitorizar las interacciones fuera de nuestra red para saber donde va nuestra información o por quien está siendo recogida. 
• Control de manera remota por aplicaciones 
• Si además podemos controlar la máquina de manera remota deberemos ver como se genera esta petición y asegurarla correctamente para que nadie de la misma red o fuera de ella pueda controlar al robot. 
• Sistemas operativos conocidos:
•  Android, Linux, Unix o incluso Windows embedded pueden ser los que den vida a nuestro mayordomo personal. Así que se arrastrarán vulnerabilidades conocidas.
• Backups accesibles. 
• Si existen algún tipo de backup de la "alma" del robot que sea accesible por los malos, la copia de seguridad podrá ser alterada con lo que al descubrir que hemos sido vulnerados no podremos disponer de el ya que arrastraríamos el agujero de seguridad. 

En el paper se explican muchos mas, pero estos son lo que, en mi opinión, me parecen mas sonados.  Tambien se explica el impacto que puede tener que nos hacken al robot en casa, en la oficina, en la industria o en el campo de la sanidad. 

Una lectura ligera, fácil de entender, recomendable para los tiempos que corren y ademas el titulo mola muchísimo:

• http://www.ioactive.com/pdfs/Hacking-Robots-Before-Skynet.pdf

Sed Buenos  ;) 

SHA1.- Colisión de documentos en Python

Python se esta consolidando como el lenguaje predominante en el campo de la seguridad informática y cada vez me cuesta encontrar herramientas que no tengan parte de este lenguaje de programación en ellas. Como sabéis, esto me gusta mucho y me asusta ya que creo que debería estar aprendiendo a programar en otro lenguaje antes de que obsesione mas por el. 

Dicho esto y como hace [un par o tres de días] hablamos sobre la "primera" colisión de SHA1, hoy podemos jugar con sha1collider. Una herramienta de [Robert Xiao], que dándole dos archivos PDFs diferentes (Aunque deben tener el mismo tamaño de página y numero de páginas) nos genera dos PDFs diferentes con el mismo Hash y sí, lo hace mediante la manipulación de los archivos tratándolo como JPGs

Ademas, como siempre, el comando a usar es muy sencillo, aunque tendremos que instalar algunas dependencias:

• python3 collide.py PDF1.pdf PDF2.pdf

Enlace a la herramienta: 

• https://github.com/nneonneo/sha1collider

Sed Buenos con esto 0;) 

[Slides].- Cazando Malware con Sysinternals

Hace mucho tiempo ya hablamos sobre [esta ponencia de Mark Russinovich] sobre como encontrar y cazar software malicioso gracias al paquete de herramientas para Windows, Sysinternal. a integración de estas herramientas con virus total se ve que ha dado sus frutos y ahora muchas utilizan este servicio para verificar si un archivo esta lanzando procesos maliciosos en cualquier punto en el que se encuentre el sistema. 

De esto tratan estas slides y son muy recomendables junto con la ponencia que os comentaba anteriormente: 

• https://www.rsaconference.com/writable/presentations/file_upload/hta-t07r-license-to-kill-malware-hunting-with-the-sysinternals-tools_final.pdf

Sed buenos ;) 

HackThis Basic 4.- La magia de las imágenes

Domingo día de reto y hoy toca darle caña al HackThis Basic 4. Muchas veces las cosas no son lo que parecen y menos en el mundo de la informática. Para superar este reto tendremos que revisar las entrañas de una imagen para poder superar este reto.

Dicho esto os dejo con el vídeo donde Kazukun nos muestra como solucionarlo. 

Sed Buenos ;)

La "primera" colisión de SHA1

Hoy Google ha anunciado la primera colisión de la función de Hash SHA1. Bueno, la primera colisión pública desde que se [anunciara la vulnerabilidad teórica] en el año 2005. Me acuerdo que en la certificación sobre peritaje telemático forense ya teníamos como recomendación no usar SHA1 y nos prohibían el uso de MD5.

Para empezar, SHA1 es una función de hash muy famosa. Cuando pasamos una entrada (una cadena de caracteres por ejemplo) por dicha función ella nos devuelve un digest o salida en forma de cadena de caracteres que debería de ser única y de una longitud determinada.

Pues si al generar este digest con dos cadenas o documentos diferentes, el resultado es el mismo. Se dice que ha habido una colisión, que por definición en una función de hash segura no debería de pasar.

Pues eso es lo que ha conseguido Google aunque les ha costado un año conseguir. La verdad es que la entrada que han publicado al respecto es muy entretenida así que os recomiendo echarle un ojo ya que SHA1 no solo se usa para verificar documentos:

• https://security.googleblog.com/2017/02/announcing-first-sha1-collision.html

Sed Buenos ;) 

Kaspersky.- Top4 del Cibercrimen

Hoy es jueves, día de inforgrafía y hoy rebuscando por la redes me he encontrado con un top 4 de los incidentes de seguridad relacionados con el cibercrimen que, a mi opinión me parece muy acertado. Siempre va bien haceros sentir un poco de miedo, que si no os olvidarais de lo básico y ocurren incidentes.

Sed Buenos ;) 

Blockchain.- Mas allá del Bitcoin

Hace bastante tiempo que os hice un resumen de que era blockchain y de como funcionaba esta magia nueva y extraña, la verdad es que me quede con las ganas de saber mas y cuando me vi el 11PathsTalks dedicado a esta tecnología ya me petó la cabeza. 

Siendo blockchain una base de datos distribuida donde "eventos digitales" donde gran parte de los integrantes verifican cada transacción que se realiza, Me queda mas claro que podemos almacenar toda información hecha hash sin pasar por un tercero que tenga que verificar la autenticidad de esa transacción, manteniendo así la seguridad y la privacidad de ambas partes

Así que os voy a recomendar el siguiente paper que me ha hecho ver algunos ejemplos fuera del bitcoin y de las transacciones monetarias, ademas de ser bastante técnico y llegar al terreno arenoso que son las matemáticas y que tanto influyen en nuestro trabajo.

• http://scet.berkeley.edu/wp-content/uploads/BlockchainPaper.pdf

Sed Buenos ;) 

DataSploit.- Believe in OSINT

Si ayer hablábamos de la RogueSploit, una herramienta muy chula para montar un Rogue Ap tuneado, hoy toca hablar de DataSploit, un script que nos ayuda en nuestras tareas de OSINT cuando queramos saber mas sobre una Web en concreto o sobre una dirección de correo electrónico. 

¿Que hace esto?

• Realiza un análisis OSINT de un dominio / correo electrónico / nombre de usuario / teléfono y obtiene información de diferentes fuentes. 
• Correlaciona y corrobora los resultados y los muestra de forma consolidada. 
• Trata de averiguar credenciales, api-claves, fichas, subdominios, historia del dominio, portales heredados, etc. relacionados con el objetivo. 
• Utiliza scripts específicos (Si echais un vistazo en el GitHub veréis que todo lo que hace está dividido por scripts)/ lanza OSINT automatizado para datos consolidados. 
• Dispone de una GUI y consola.

Ademas el uso es sencillo: 

• python domainOsint.py example.com 
• python domain_subdomains.py example.com

Ya sabéis que yo tengo una debilidad muy grande por el tema de OSINT  y que esté dividido por scripts en Python me ha maravillado. Ademas, cuenta con una documentación muy detallada de como instalarlo y lo que nos vamos a encontrar. 

Enlace a la documentación: 

• http://datasploit.readthedocs.io/en/latest/#welcome-to-the-datasploit-documentation

Enlace a la herramienta: 

• https://github.com/DataSploit/datasploit

Sed Buenos ;) 

RogueSploit.- Un Rogue AP con navaja suiza

Como ya os hemos advertido mucho nunca confiéis en una wifi publica ya que montar un AP y extraer toda la información que queramos de ella no nos llevará mucho tiempo y menos con RogueSploit de Francesco Grotti.

RogueSploit es un script creado para crear un punto de acceso falso, con un servidor dhcpd, spoofing de dns, redirección de host, browser_autopwn1 o autopwn2 o beef + mitmf.

El script ejecutará lo siguiente:

• Aircrack-ng Suite
• Dhcpd server
• Metasploit Framework
• Browser Exploitation Framework
• dnsmasq
• GNU / Linux based Operating Sistem 
• External Wireless Interface like TP-Link TL-WN722N
• Zenity
• MITMF 

Es muy bonito, tiene una pizca de Python y tiene pinta de que quieren actualizarlo y mantenerlo durante bastante tiempo, Ademas de agregar funciones tan divertidas como BeEF.

Enlace a la herramienta: 

• https://github.com/B4ckP0r7/RogueSploit

Sed Buenos ;) 

HackThis Basic 3.- Tu pide tu pide

Domingo día de vídeo y hoy Kazukun nos muestra como, manipulando peticiones POST, podemos conseguir acceder a ciertas paginas. Con estoy ya tenemos el Basic 3 de HackThis pasado. 

Sed Buenos ;)

Migrando a Tonto con 2to3

Hace un poco menos de tiempo hablamos de [como migrar código de Python 2.X a 3.X  gracias al script] que viene con la instalación por defecto de Python, 2to3.py. Es bastante fácil de utilizar y te ahorra mucho tiempo de quitar y poner caracteres. 

Pues como hoy es viernes y quiero trastear con la [CTF de  FWHIBBIT] me he dedicado a usar este sencillo script con Tonto mi asistente virtual que ya necesitaba una migración en condiciones.

Os dejo con el vídeo que ya os lo explica él. 

Sed Buenos ;)

[Inforgrafia].- Spyware y como protegernos

Spyware ese software que no deja de ser un virus pero no es tan maligno, ese software que normalmente viene con descargas de programas desde ciertas páginas y que como no molesta nos da igual pero puede ser un gran enemigo. Con esta inforgrafia aprenderemos  a como protegernos y sobretodo de como evitarlo.

Fuente y mucha mas información:

• https://www.europol.europa.eu/newsroom/news/anyone-spying-you-through-your-webcam

Sed Buenos ;)

Ojo Que Windows ya no publicará sus famosos boletines.

Ayer por la noche estuve revisando Twitter a ver si veía algún atisbo de los boletines de seguridad de Windows. Pero mi gozo en un pozo. 

A partir de este mes de febrero Microsoft no publicará los famosos boletines de vulnerabilidades cada segundo martes de cada mes y pasará a un sistema mas directo para publicarlas en su portal Microsoft Security Response Center (MSRC) 

Así que, aquí tenéis el enlace donde podréis ver las nuevas vulnerabilidades: 

• https://technet.microsoft.com/es-es/security/bulletins

Aunque yo aconsejo hacerlo desde esta pagina ya que podremos hacer consultas un poco mas elaboradas: 

• https://portal.msrc.microsoft.com/en-us/security-guidance

Sed Buenos ;) 

Atari portfolio y Terminator 2

¿Os acordáis de la mítica escena de Terminator 2 donde John Connor y su amigo hackean un cajero automático con un Atari Portafolio? Pues un grupo de Hackers esta intentando reproducirlo gracias a la magia de RFID y una Raspberry Pi. 

El proyecto está subido a la pagina de [Hackaday.io] una página para compartir proyectos dedicados al desarrollo de hardware y en grandes rasgos, Atari portafolio se convierte en una shell para Raspberry Pi (gracias a la adaptación de su puerto paralelo) con la cual se controla el RFID,

Además parece que funciona: 

Enlace al proyecto y a mas información, yo lo seguiré de cerca: 

• https://hackaday.io/project/927-terminator-2-portfolio-pin-cracking-prop

Sed Buenos ;) 

Trump2cash.- Trump, Python y la Bolsa

Os acordáis que hace años jugamos a [extraer información de Google Finance] y [publicar los valores del IBEX] en Twitter al segundo. (Lo cual, provoco que me cerraran la cuenta de Twitter con la que trasteaba al superar el limite de tweets permitidos.) Pues Max Braun le ha dado la vuelta a esto y lo a juntado con los Tweets de Trump.

Trump2Cash está escrito en Python y utiliza la API de Twitter para recibir notificaciones cada vez que Trump publica  un Tweet. Le hace un análisis del tono en el que va dirigido utilizando la API de Google Cloud Natural Language y el Servicio de consulta de Wikidata para proporcionar los datos de la empresa que es mencionada. Ademas, con la API de TradeKing realiza el comercio (venta o compra) de las acciones.

Enlace a la herramienta:

• https://github.com/maxbbraun/trump2cash

Más información sobre la historia de como se gestó esta herramienta (La verdad es que es muy curiosa): 

• https://medium.com/@maxbraun/this-machine-turns-trump-tweets-into-planned-parenthood-donations-4ece8301e722#.bvzu48hdl

Sed Buenos ;) 

HackThis Basic 2.- Maldito User-Agent

Todos hemos trasteado a veces con el User-Agent, en mi caso casi siempre por privacidad pero como nos muestra Kazukun en este vídeo, también se pueden utilizar para acceder a páginas limitadas por tu User-Agent y así solucionar retos (O ver el contenido limitado para tu país).  

Más información sobre el User-Agent: 

• https://en.wikipedia.org/wiki/List_of_HTTP_header_fields
• https://en.wikipedia.org/wiki/User_agent#User_agent_identification

Ahora se que os dejo con el vídeo: 

Sed Buenos ;)

Nueva vulnerabilidad en ...¿Pokémon Rojo/Azul?

Si, hoy la moda está en la vulnerabilidad de TicketBleed para f5 Big-IP pero ya me ha tocado pelear con ella esta mañana, así que ahora quiero mostraros algo un poco mas divertido. Ademas de esta vulnerabilidad ya [ha hablado largo y tendido el maligno] en su blog.

Cuando era pequeño me dio muy fuerte por el tema Pokémon y me acuerdo que siempre había una persona que iba por el patio fanfarroneando que tenia a Mew, que se había pasado no se que parte del juego o que había ido a un torneo y había ganado. Seguro que también lo habéis sufrido, pues con esta nueva vulnerabilidad podríamos haber borrado su partida.  Os dejo con el vídeo. 

Es un Glitch difícil de conseguir pero si se consigue acceder al offset F928 podremos ejecutar el siguiente código para borrar la partida de nuestro rival. Por lo que nos permitiría ejecutar código arbitrario. (En el vídeo lo explican mucho mejor que yo no llego a tanto)

Código:

• http://pastebin.com/raw/jcRmZM28

Sed Buenos ;) 

[Infografia].- Identificar correos fraudulentos

La verdad es que muchas veces no hay pararse ni a mirar [cabeceras de correos electrónicos] para si ver si vienen de una fuente fiable o no. Por es OSI (Ya no me paro a describir las siglas) ha creado unos consejos muy simples y prácticos para, al menos empezar a sospechar. 

Os dejo con la imagen:

Fuente:

• https://www.osi.es/es/actualidad/blog/2016/10/25/aprende-identificar-correos-fraudulentos-mediante-una-infografia

Sed Buenos ;)

credmap.- OSINT en estado puro.

Hace tiempo que tenia en mente programar un script que pudiera buscar la pass de un correo electrónico a través de todas las fuentes públicas de contraseñas o en el mismo pastebin donde cada día se filtran muchas contraseñas y correos.

Aunque Roberto Garcia se me ha adelantado con credmap, una herramienta de código abierto que se creó para concienciar a los peligros de la reutilización de credenciales. Es capaz de probar las credenciales de usuario suministradas en varios sitios web conocidos para probar si la contraseña se ha reutilizado en cualquiera de estos.

Y ademas es facil de usar: 

• Usage: credmap.py --email EMAIL | --user USER | --load LIST [options]

La verdad es que mola un montón y si tienes suerte puedes llegar a crear magia probandolo con algunas cuentas. Ademas, será que no hay miles de correos y users públicos en Internet para probar.

Enlace a la herramienta:

• https://github.com/lightos/credmap

Sed Buenos ;)

XSSPOSED Digievoluciona en OpenBugBounty

Hace mucho mucho tiempo, en la ahora parte oscura de este blog, os hable sobre una página dedicada a [recopilar vulnerabilidades del tipo Cross-site Scripting] en el cual si reportabas una vulnerabilidad eras recompensado con una imagen muy graciosa. 

Pues ahora, siguen manteniendo la mima imagen, pero no solo han cambiado de nombre a Open Bug Bounty sino que ahora hasta nos permite realizar una comprovación al certificado SSL/TLS de la pagina y ver si cumple con las medidas de seguridad oportunas. 

Así que esta entrada es solo para actualizaros la página y para animaros a revisarla de tanto en cuando que es muy divertida. No tanto como ZoneH pero si igualmente recomendable.  

Enlace a OpenBugBounty: 

• https://www.openbugbounty.org/

Sed Buenos ;) 

Exploit para CVE-2017-0016 el 0'day de Windows

El viernes por la noche se liberó la vulnerabilidad CVE-2017-0016 la cual, por un fallo al tratar adecuadamente las respuestas de un servidor que contengan demasiados bytes de un server SMB permite a un atacante remoto provocar una denegación de servicio. 

Mas información acerca de la vulnerabilidad: 

• https://www.kb.cert.org/vuls/id/867968

Es un problema que seguramente se resolverá en las actualizaciones periódicas de Windows de la semana que viene y que afecta a Windows 8.1, 10, Server 2012 y Server 2016. Pero, también se ha liberado una prueba de concepto mas que un exploit público, así que vamos a poder jugar mucho con él. Ademas esta hecho en Python así que nada mejor para aprender. 

Enlace a la prueba de concepto programada por Laurente:

• https://github.com/lgandx/PoC/blob/master/SMBv3%20Tree%20Connect/Win10.py

Sed Buenos ;) 

HackThis Basic 1.- La Pass y la imagen

Durante todos estos domingos ya nos hemos terminado con el top 10 de retos en HackThis y ahora Kazukun nos trae el primer reto donde un archivo no es lo que parece.

Lo mejor es que ya no estamos de exámenes y podemos disfrutar de estos vídeos comentados.

Sed Buenos ;)

Proyecto.- Programemos juntos a Tonto

Tonto es una PoC de asistente virtual que programe en una semana santa, en el blog de [Mi hora de código]. Bueno, la verdad es que subí un vídeo a youtube y la gente está respondiendo muy bien ayudándome un montón. Así que como había bastante gente que quería participar en la creación de este programa, hemos decidido abrir un foro típico para organizar los objetivos y hacer push a partes del código que nos parezcan mas chulas. 

Aquí tenéis un vídeo con una sorpresa: 

Y aquí tenéis el link del al foro por si queréis participar vosotros también: 

• http://tonto.foroactivo.com/

Sed Buenos ;) 

Confía en tu imágenes aboot de Android

Cuando se empezaron a poner de moda los Smartphones, me juntaba con gente a la que le gustaba mucho trastear con imágenes "tuneadas" de Android y recuerdo quedarme con unas ganas locas de jugar con esa tecnología. 

Este proceso ahora se encuentra bloqueado por algunos fabricantes para que no podáis modificar el Software del Smartphone pero si conseguís desbloquearlo que se país que es gracias al aboot (Aplication Bootloader) que es el encargado de dirigirnos a las opciones de recovery para poder cargar nuestra imagen.

Por si queréis una descripción más tecnica:

"aboot is a native ARM binary, which is wrapped by a very thin header, which is usually 40 bytes in length. This header provides metadata which is used by the SBL in the process of validating and loading aboot" 

• Mas info:  http://newandroidbook.com/Articles/aboot.html

Dicho esto, que me impediría a mi, si fuera malo, coger una de estas imágenes y  otorgarle poderes malignos. 

¿Poco verdad? pues gracias al Android bootloader (aboot) parser de [Nikolay Elenkov] podemos extraer los certificados de estas imágenes y comparar las firmas por si han sido modificadas. Por cierto esta herramienta está programada en Python 2.X y si queréis aprender a como estructurar el código de vuestras herramientas leeros el código del script. (Aunque llamadme fino, pero yo no hubiera usado tantos prints seguido. Es la única pega)

La comprobación es tan fácil como usar el siguiente comando:

• python parse-aboot.py nombredelaimagen.img 

Y aquí teneis el enlace a la herramienta:

• https://github.com/nelenkov/aboot-parser 

 Sed Buenos ;) 

Dame un Exploit para el Kernel de Linux.

Existen miles de vulnerabilidades al año y por muy al día que estemos en este mundo, no creo, al menos yo, poder deciros de cabeza las 5 últimas vulnerabilidades con exploit público. Menos incluso si nos centramos solamente en Linux. 

Mariusz 'mzet' Ziulek ha "reprogramado" la herramienta linux-exploit-suggester un buscador de exploits que cuya idea principal fue de PenturaLabs en 2014. Marius lo ha modernizado y actualizado a 2017 con los nuevos exploits y vulnerabilidades. 

Muy útil y muy fácil de usar:

• Usage: linux-exploit-suggester.sh [OPTIONS]

Enlace a la herramienta de Marius con muchísimas mas información y los puntos de mejora respecto a la versión de PenturaLabs:

• https://github.com/mzet-/linux-exploit-suggester

Sed Buenos ;) 

[Vídeo].- Peligrosas decisiones con las SmartCitys

El título es un poco engañoso pero deja entrever el futuro próximo que nos espera y la verdad es que, en mi opinión, seguimos igual.  Las gana por tener productos nuevos hace que dichos productos no estén acabados, no se hayan testeado correctamente y no se ha pensado en la seguridad. Esto se ve muy claro en las vulnerabilidades que hay en coches nuevos o en los sistemas SCADA que están a tiro de query. 

Este documental viene a explicar mas o menos eso, que si bien los objetos inteligentes molan un montón, pero con ojo y con todo el trabajo de seguridad echo. 

Bueno, aunque esto también puede aplicarse a los routers de casa. Viene el señor de "telefónica" nos instala el router, lo configura y cuando queremos conectarnos vemos que se ha dejado el WPS sin desactivar, que usa un cifrado WEP, etc. 

En resumen, aun nos queda mucho camino para andar. 

Sed Buenos ;) 

[Podcast].- Talk Python to me

La verdad es que desde que Python en Español dejó de publicar sus podcast, me había quedado un poco huérfano en lo que novedades en Python se refiere. Así que buscando buscando encontré Talk Python to me, un podcast bastante técnico sobre novedades en este lenguaje de programación que tanto nos encanta y como no, en ingles, aunque un ingles asequible hasta para mi que no me viene nada mal oir y practicar este idioma. 

Aquí tenéis el enlace y suben uno nuevo cada semana. Muy recomendable: 

• https://talkpython.fm/episodes/all

Como no, otro día de entrada corta pero estoy intentado adelantar otros proyectos que espero poderos anunciar en breve. 

Sed Buenos ;) 

HackThis 10.- We know your hash

Hoy es domingo y toca vídeo, claro que no comentado ya que seguimos de exámenes. Aun que este se entiende mas o menos por si solo, El problema de utilizar contraseñas poco seguras es que el Hash (El resultado de someter tu contraseña a una función de hash) puede haber sido encontrado por los grupos que se dedican a sacarlas. Lo mejor es que estos Hashes son fácilmente comprobables desde herramientas Online. 

Espero que os guste: 

Sed Buenos ;)

Nogotofaill.- Comprueba tus conexiones TLS/SSL

La vulnerabilidades en OpenSSL están a la orden del día y la verdad es que muchas de estas se puede arreglar teniendo cuidado de que certificado instalas por defecto. ¿Como puedes saber si tu certificado cumple las expectativas?

Pues Google nos deja una herramienta en su GitHub que puede ayudar a los desarrolladores o testes a comprobar los errores mas comunes en SSL o TLS llamada nogotofail y ademas tiene mucha documentación.

• https://github.com/google/nogotofail/blob/dev/docs/getting_started.md

La verdad es que me gusta bastante y para hacer comprobaciones rápidas con una lines de comando como la siguiente es bastante funcional:

• python -m nogotofail.mitm --mode socks --port 8080 --serverssl server.crt

Aunque dista mucho de ser un escaneo de vulnerabilidades, merece que le echeis un ojo ya que su funcionamiento es contra menos curioso.

Enlace a la herramienta:

• https://github.com/google/nogotofail

Sed Buenos ;) 

Inforgrafia.- Que no hacer en infraestructuras críticas.

Trabajar en sistemas críticos no debe ser ninguna broma, pero la verdad es que molaría muchísimo, trabajar bajo estrictos protocolos de seguridad que gente muy brillante ha diseñado y pensar que si fallas puede irse todo al cuerno debe molar un montón. La verdad es que si se han tomado tanto tiempo en diseñar protocolos de seguridad es porque la información con la que tienes que trabajar también debe ser igual o mas interesante. Por eso me encantaría tanto trabajar en un lugar de estos. 

Pero si algún dia no nos ponen en contexto del SGSI de la empresa donde trabajamos, recordad lo que no debéis hacer en una simple imagen:

Sed Buenos ;)

Paper.- Google Infrastructure Security Design Overview

Ya sabéis que el Cloud ha venido para quedarse y ya muchas compañías como Amazon o Google ya venden máquinas en la "nueve" pero, os habéis parado a pensar que políticas de seguridad utilizan. Yo si, y me encantaría lanzar un escaneo de vulnerabilidades en alguno de estos. Así que podéis imaginar lo contento que estoy de tener este paper en mis manos. 

Google ha lanzado un paper explicando, a vista de águila, el diseño de su infraestructura de seguridad. Una lectura muy recomendable aunque corta como esta entrada. Pero que aun me tengo que releer para poder entender algunas decisiones. 

Enlace al paper:

• https://cloud.google.com/security/security-design/resources/google_infrastructure_whitepaper_fa.pdf

Sed Buenos ;) 

Video.- No querias Ruby pues toma tres tazas

Aún no me he puesto a aprender tanto Ruby como me había propuesto el año anterior pero ya sabéis que me encanta las aplicaciones que tiene este lenguaje de programación por lo que respecta a Metasploit. Así que, hoy os voy a recomendar este "mini-curso" de Metasploit muy orientado al uso de Ruby. 

Muy interesante, yo me propongo en este 2017 ir mejorando mi Ruby día a día y voy a ir siguiendo muy de cerca estos vídeos, me han encantado.

Sed Buenos ;) 

Cheat Sheet.- Que hacer si detectamos una intrusión

Aunque sea un poco viejo, siempre vale la pena tener un chuleta cerca por si algún día un malo consigue penetrar en nuestros equipos. ¿Qué deberíamos revisar? ¿Qué comandos debería usar? todas esas preguntas que cuando estas nervioso por la cantidad de alertas que te están llegando y las quejas del jefe te desbordan, te puedes hacer. 

Chuleta, si os la imprimís por delante y por detrás queda genial: 

• https://jordanpotti.com/wp-content/uploads/2017/01/windows-cheat-sheet.pdf

Revisar logs, logs borrados, tareas programadas que no estaban antes, archivos y claves de registro que no estaban previstas, etc.  Muy recomendable. 

Sed Buenos ;) 

TLS/SSL un link para que dejes de usar SSLv3

Hoy estamos un poco malos por aquí  y no hemos podido subir el vídeo que tocaba para hoy. Así que, puestos a  asustaros un poco mas, os voy a recomendar el siguiente enlace que contiene un gran resumen de vulnerabilidades en el protocolo SSLv3 y algunas de TLS 1.1. Con esto quiero haceros pensar en la cantidad de páginas que estamos visitando y no nos están ofreciendo un certificado adecuado.

Enlace al cheat Sheet de vulnerabilidades en SSL:

•  https://www.gracefulsecurity.com/tls-ssl-vulnerabilities/

Pensad en lo que ganaríais si comprobarais los certificados de las paginas a las que os conectáis.

Sed Buenos ;) 

Activar los chats secretos de Facebook

Ayer me sentí fatal por no poder hacer la entrada diaria, así que aunque hoy sea día de descanso seguro que utilizáis el chat de Facebook de smartphones para quedar para salir esta noche, fiesteros.

Así que, que mejor manera de que dar que a través del chat secreto de Facebook el cual utiliza el mismo sistema de cifrado que Signal del que ya hemos visto que tiene problemas, pero menos da una piedra.

Para activarlos, tendremos que ir chat de un amigo, i tocar el icono de información y allí podremos activar los chats secretos, os pongo una imagen: 

Mas información y fuente: 

• https://hipertextual.com/2016/07/chats-secretos-de-facebook-messenger
• https://www.genbeta.com/paso-a-paso/ya-puedes-cifrar-tus-conversaciones-en-facebook-messenger-te-explicamos-como-hacerlo 

Sed Buenos ;)

Infografía.- ¿Qué es el BlackSEO?

Ya sabéis, es este noble artes de subir el rate en las posiciones de los buscadores a la hora de mostrar una query a trabes de malas artes.  Cuantas técnicas existen para esto y cual es cada una, es lo que muestra esta infografía.

Fuente:

• https://ticsyformacion.com/2016/10/18/que-es-el-black-hat-seo-infografia-infographic-seo/

Sed Buenos ;) 

Fallible.- Destripa las APPs de Android

¿Confiáis en todas las aplicaciones que instaláis en vuestros smartphones desde Google Play? Pues muy mal echo. Hoy os voy a recomendar Android Fallible una herramienta que nos permite buscar o subir una App y la destripa para que sepamos que dependencias tiene que strings raros en XML utiliza, etc.  Todos esos datos curiosos que nos pueden hacer sospechar de la actividad de una APP

Pongamos por ejemplo que nos gusta mucho el Clash Royale y queremos hacernos con una guía. Así que buscamos una cualquiera la instalamos y funciona, no pasa nada raro solo un poco de publi pero podemos consultar cartas y mazos. Ahora la pasamos por Fallible y vemos lo siguiente: 

¿Una API Key para el servicio Baidu Maps? ¿Para un servicio Chino de geolocalizacion y planificación de rutas? ¿En una guía de un videojuego? Aquí tenéis mas info:

• https://en.wikipedia.org/wiki/Baidu_Maps

Como veis a veces hay muchos secretos dentro de las App de Google Play. Aquí tenéis el enlace a la herramienta y espero que la uséis un montón: 

• https://android.fallible.co/

Sed Buenos ;) 

McDonals, Contraseñas, XSS y AngularJS

Mucho tenemos en la cabeza que un  [Cross Site Scripting] esta catalogado entre las 10 los ataques mas frecuentes y por eso creo que se ha hecho una con nosotros y hemos ido perdiendo la noción de lo importante que puede ser esta vulnerabilidad si no la defendemos como es debido. 

Por ejemplo tenemos el caso de [Tijme Gommers] que al conectarse a la Wifi de un McDonals no se pudo quedar quieto y tubo que trastear. De esta manera encontró que la aplicación web donde nos redirigen la primera vez que nos conectamos, estaba hecha con AngularJS y sabiendo que utiliza una versión anterior a la 1.6, una versión que por lo que se ve tiene varios fallos de seguridad en su sandbox y que algunos se arrastran hasta las versiones mas nuevas (1.6.1 creo recordar), consigue bypassear la sanbox y ejecutar un .js a través de un Cross Site Scripting reflejado. 

Como datos curiosos: 

• Comando para ver la versión de AngularJS:
• angular.version
• Payload con el que consigue el ataque en el parametro q: 
• {{x = {'y':''.constructor.prototype}; x['y'].charAt=[].join;$eval('x=alert(1)');}}

No voy adelantaros mas sobre el Diclosure y os recomiendo muchísimo que leáis la entrada y al menos yo, me voy a apuntar este workaround porque puede ser muy instructivo.

• https://finnwea.com/blog/stealing-passwords-from-mcdonalds-users

Sed Buenos ;) 

WhatsApp y su Backdoor

Desde ayer la comunidad, mas o menos, está revolucionada con el "backdoor" de Whatsapp que Tobias Boelter explico en su vídeo. La verdad es que [yo estaba muy contento con el cifrado de punto a punto de WhastApp] y hasta le dedique una entrada. 

Aquí tenéis el vídeo:

Este fallo de seguridad es bastante curioso. Os recordáis que hablamos de que WhatsApp utilizaba una clave privada y otra publica y que esta esta pública la que se distribuía entre tus contactos. Pues, si alguien es capaz de duplicar tu tarjeta SIM puede llegar a ver todos los menajes que tengas no recibidos. Esto es debido a que al registrar un nuevo dispositivo, se genera otra clave publica y WhatsApp obliga a los emisores a reenviar los mensajes pendientes con la nueva clave publica. Así que el mensaje nos llegará en los dos equipos a la vez. 

Muchas mas información en el Blog del Maligno: 

• http://www.elladodelmal.com/2017/01/el-bug-de-whatsapp-que-permite-que-te.html

Yo voy a replantearme si seguir utilizando WhatsApp.

Sed Buenos ;) 

HackThis 9.- Edita el código y entra

Volvemos con la solución de estos retos, nos vamos a acabar la página a este paso, pero mola y es una forma fácil de practicar. También a la larga esta es la manera de que podamos subir vídeos mas chulos, paro ahora no que tengo a Kazukun secuestrado estudiando por su bien. 

Algunas veces vale mas editar tu mismo el código para poder deslizarte en una aplicación web. Claro que solo será de manera temporal pero esta muy chulo como reto.

Os dejo con el vídeo:

Sed Buenos ;) 

Cybrary.- Cursos de seguridad online

Formarse siempre esta bien y cuando empezamos en este mundo se nos aparecen un montón de certificaciones con muchas siglas raras y la verdad es que al principio estas bastante perdido  y no sabes que probar ya que todo cuesta dinero. 

Pues Cybrary nos ofrece bastantes cursos gratis y la posibilidad de hacerlos desde su App, lo cual mola mucho.

Aquí tenéis algunos ejemplos:

• Comptia Security+
• Security Awareness
• Curso de criptografía
• Curso de Ethical hacking y pentesting
• Curso de hacking e informática forense
• Comptia Advanced Security Practitioner
• ISACA Certified Information Systems Auditor (CISA)
• Certified Information Systems Security Professional (CISSP)
• Curso de post Explotación
• Social Engineering and Manipulation
• Python para profesionales de ciberseguridad
• Curso de Metasploit
• Curso de ingeniería inversa y Análisis de Malware
• Advanced Penetration Testing por Georgia Weidman

Fuente:

• https://protegermipc.net/2017/01/12/cursos-de-seguridad-informatica-gratuitos-cybrary/ 

Yo ya tengo un par o tres de cursos que quiero empezar este año y si he conseguido que os pique la curiosidad de formaros, este es el enlace a Cybrary: 

• https://www.cybrary.it/

Sed Buenos ;) 

Inforgrafia.- ¿Cuanto vales para un Cibercriminal?

Una imagen vale mas que mil palabras y mas si te la da Kaspersky, pero lo que vale mas de mil euros eres tu para un cibercriminal.  ¿Por qué? Bueno, la información a día de hoy es dinero y tus cuentas pueden aportar a un cibercriminal el sueldo de un mes. A parte de todos los dolores de cabeza que vas a tener y reza por no tener información de tu empresa en tu pc. Os dejo con la infografia:

 

Siento que la entrada sea corta, pero hoy es el primer jueves después de vacaciones y no doy para mas.

Sed Buenos ;)

Incibe y su guias para PyMes

Hoy, navegando por la página de INCIBE ya que sus notificaciones de vulnerabilidades ayudan, me he dado cuenta que existe una sección de Guías para PyMes donde me sorprendido al ver guías que hemos recomendado en este blog. 

¿Que aprenderemos en estas guías?

• Borrado seguro de la información. 
• Tecnologías biométricas aplicadas a la ciberseguridad. 
• Almacenamiento seguro de la información. 
• Ciberseguridad en la identidad digital y la reputación online.
• Cómo gestionar una fuga de información. 
• Gestión de riesgos. 
• Ciberseguridad en comercio electrónico. 

Tengo algunos amigos emprendedores y siempre me preguntan de todo cuando están en modo paranoico y yo siempre les hago una mini-clase para asustarlos un poco mas, como hace INCIBE en su vídeo de concienciación.  

Ahora ya tengo material para recomendarles por si me preguntan. (O si estáis leyendo esto, ya sabéis guiño guiño ;))

Enlace a las guías: 

• https://www.incibe.es/protege-tu-empresa/guias

Sed Buenos ;) 

Bluefluff .- Los Furbys destruirán el mundo.

Los juguetes cada vez me sorprenden mas, pero los que de verdad me llaman la atención son los fabricantes que, con el fin de sacar un producto nuevo para la campaña de Navidad, se les olvida la seguridad. Hoy me ha llamado la atención el siguiente vídeo de Furby Connect que hasta donde yo se, es la última versión de estos aparatos.

Furby aprendiendo Kungfu

Si, se ha encontrado el punto débil de estos invasores y es el Bluetooth Low Energy. Mirad, mirad que pasada.

La verdad es que para cacharrear a nosotros nos encanta, pero estarés conigo que esto no puede venir así de fabrica. Aquí tenéis mucha pero que mucha información y hasta una herramienta . Lectura casi obligada si tenéis tanta curiosidad como yo por estas cosas.

• https://github.com/Jeija/bluefluff 

Sed Buenos ;) 

KickThemOut.- Échalos a todos

K4m4 [Nikolaos Kamarinakis] siempre se sorprende con sus herramientas. La verdad es que son ideas sencillas pero a las que nadie hemos caído o si lo hemos hecho nunca nos ha dado por programarlo. 

Después de [ONiOFF] un script para comprobar si tus sitios favoritos de la deepweb están activos, nos presenta KickThemOut un programa y Python (Dios mio que de buenas alegrías me ha dado saber programar en el <3 ) que nos permite echar a quien queramos de nuestra red.  Hasta aquí genial, es fácil de usar, pesa poco, poquitas dependencias. Guay muy guay.  Pero lo que de verdad me apasiona de este script es la manera que tiene de echar a la gente. 

Lo hace mediante un ARP Spoofing. ¿Que os parece? ¿Se os había ocurrido? ¿En serio podemos echar a alguien de la red con este tipo de ataques?

Pues si, solo hace falta enviarlo a la victima a una IP que no este en nuestro rango de Ips de nuestra red local por lo que no podrá conectar. Fácil, cómodo y con Python. 

Aquí tenéis una demo sobre esta herramienta: 

Y aquí tenéis el enlace para descargar e instalar la herramienta además de fuente:

• https://github.com/k4m4/kickthemout

Una herramienta muy chula que me ha hecho tener que volver a repasar mis nociones de ARP Spoofing y si os he de ser sincero. Nunca me había parado a pensar en una aplicación para esta para un ataque como este.

Sed Buenos ;)  

Router Comtrend y su contraseña Harcodeada

En los vídeo de HackThis estamos viendo la importancia de mirar siempre el código fuente de la página ya que nos podemos encontrar con mas de una sorpresa. Como por ejemplo en la página web de configuración de los routers Comtrend. 

Si, se que teníamos que seguir con los HackThis pero con las fiestas se nos ha echado el tiempo encima para poder traeros el siguiente grabado con la aterciopelada voz de Kazukun. Pero creemos que esto lo compensa de sobras.

En el panel de configuración web le los Comtrend, (Una vez estamos dentro de la wifi) en la /passwords podemos encontrar tanto el nombre de usuario como la pass por defecto del router y de esta manera hacernos con el control del dispositivo. 

Gracioso, pero esto no tendría que estar así por defecto ya que la misión de las "telefónicas" debe ser ofrecernos un sistema mas o menos seguro por defecto y no una página de configuración echa en 5 minutos pensando en que nadie reparará en este tipo de fallos...

Sed Buenos ;)

Hackea tu SmartWatch para que sea 100% OpenSource

¿Los reyes magos os han traído un smartwatch? pues ahora podéis instalarle un SO 100% open source del cual Richard Stallman estaría orgulloso.  Todo esto es posible gracia a la magia de adb (Android Debug Bridge) del que ya hemos hablado mucho en este blog.

Si, hoy también he jugado un poco con vuestra ilusión al poner ese titulo ya que este sistema operativo solo esta disponible para: 

• LG G Watch
• Sony Smartwatch 3
• Asus Zenwatch 2
• Si sabéis de mas SmartWatches en que funcionen  por favor, ponerlo en los comentarios. 

Ok, si sois de los afortunados que poseen este tipo de Smartwarches os presento AsteroidOS

Aquí tenéis toda la documentación, que da para estudiar un rato pero bueno, si tenéis ganas de que vuestro dispositivo sea opensource ya estaréis familiarizados con este tipo de información: 

• https://asteroidos.org/wiki/documentation/

Y por si lo queréis probar, aquí tenéis la guía para instalarlo en cada uno de los smartwatches compatibles:

• https://asteroidos.org/install/#collapseaccordion-586fdcb767793-1

 Sed Buenos y espero que los reyes magos hayan sido buenos con vosotros.  ;)  

Pass the Hash & PowerShell

Cada vez tengo mas claro que con PowerShell se puede hacer de todo es mas ya la estoy substituyendo por la consola típica de Windows. Pues ahora y gracias a [Kevin-Robertson] podemos utilizar esta shell para realizar ataques de Pass the Hash. Que, en mi opinión siempre es un Win si accedemos a un servidor con poderes.

Para los que no sepáis de lo que va esta técnica aquí tenéis mas info: 

Es una técnica de hacking que permite a un atacante autenticarse en un servidor / servicio remoto mediante el hash NTLM y / o LanMan de la contraseña de un usuario, en lugar de requerir la contraseña de texto el caso.

Enlace a la herramienta:

• https://github.com/Kevin-Robertson/Invoke-TheHash

Sed Buenos ;) 

Project Springfield.- Busca vulnerabilidades en tus binarios.

Ayer me sorprendí viendo el siguiente episodio de Channel9 sobre seguridad en cloud y como con el lenguaje F (el cual era la primera vez que lo veía) Microsoft había conseguido una plataforma de fuzzing para binarios alojada en la nube llamada Project Springfield.

Lo cual mola mucho y lo del lenguaje F me pica mucho la curiosidad, pero para los que no sepáis que el fuzzing aquí tenéis este extracto de la Wikipedia que os lo explicará mucho mejor que yo: 

"Fuzzing es una técnica de pruebas de software, a menudo automatizado o semiautomatizado, que implica proporcionar datos inválidos, inesperados o aleatorios a las entradas de un programa de ordenador."

Así que gracias a eso podemos tener un ciclos de vulnerabilidades muy chulo funcionando el la nube. Siempre y cuando queramos pasarle nuestros binarios a Microsoft. 

Si tenéis curiosidad acerca de este proyecto podéis pedir una prueba en la siguiente página:

•  https://www.microsoft.com/en-us/springfield/

Y prometo mirarme mas en profundidad a ver de que va este lenguaje F y a ver si podemos hacer un par de entradas al respecto. 

Sed Buenos :) 

Vídeo.- Console Hacking 2016

¿Os creíais que no iba ha decir nada del hackeo a la PS4? Pues no, la verdad es que si algo tiene este congreso en especial es que se habla muchísimo del hacking en consolas y este año le ha tocado a PS4. Aunque tengo que aprender mucho mas de lenguaje máquina para poder saber que está haciendo en cada momento.

Así que, aquí tenéis el vídeo: 

• https://media.ccc.de/v/33c3-7946-console_hacking_2016#video&t=11

Y aquí las Slides: 

• https://fail0verflow.com/media/33c3-slides/#/

Yo voy ha hacerme unas palomitas, y a aprovechar un poco la tarde aprendiendo lenguaje ensamblador que voy muy cojo con ello y creo que dentro de poco tiempo va a ser el futuro para la seguridad informática.

Sed Buenos ;)

HackThis 8.- Binario tenía que ser binario

Seguimos con los vídeos y a partir de hoy Kazukun ha preferid dar un plus y poner su voz para los vídeos e ir explicando como solucionarlos. La verdad es que nos gusto bastante grabarnos para el [reto de Navidad de SANS] y estas son las consecuencias.

Os dejo con el vídeo y solo remarcar que ya va siendo hora de hablar de bases de datos y cifrados que, aunque HackThis cambie de lenguaje los nombres de usuario y las contraseñas, aun podemos encontrarlas y loguearnos. Esperamos que os guste: 

Sed Buenos ;)

Objetivos para el 2017

La verdad es que este año no iba ha haber una entrada "remeber" de todo lo que ha sido 2016 ya que no ha habido grandes cambios, es mas como mucho ha habido menos tiempo para dedicarle a las entradas pero si que hay gente a la que se la ha de agradecer el tiempo que han perdido y perderán con mis tonterías para este blog. Así que Bragaman y KazuKun muchas gracias por este 2016.

Por otro lado, también reconocer que os he timado un poco con el titulo y es que los objetivos que tenia para este blog ya se cumplieron hace un par de años así que, ahora es tiempo de sentarnos a meditar hacia donde vamos a tirar y espero a finales de 2017/2018 poder tener las idas mas claras.  Aunque seguimos creando contenido para la comunidad como son los vídeos que cada domingo os ofrecemos y que cada vez queremos hacerlos mejor.

Dicho todo esto, espero que este 2017 sea mejor que el 2016 

Sed Buenos esta noche ;)

 

Top 10 de productos mas vulnerados en 2016

Como mañana estaremos todos ocupados y hoy tenéis tiempo de ver infinidad de entradas tópicas sobre 2016 yo voy ha plantear la mía. 

Todo esto empieza hace unos meses cuando escuche decir a un Youtuber (esto es lo que tenemos los jóvenes que nos ha dado fuerte esto del Youtube) que Android e iOS estaban igualados en cuanto a seguridad se refiere ... permítanme discrepar.

Vamos a coger el top10 de vulnerabilidades publicadas por la National Vulnerability Database del NIST y nos encontramos en primera posición a Android con 523 vulnerabilidades encontradas. Mientras que iOS estaría en la decimoquinta posición con 161 vulnerabilidades encontradas.

Top 50 de las vulnerabilidades publicadas en 2016: 

• http://www.cvedetails.com/top-50-products.php?year=2016

Estos números son debidos a varios factores: o bien Android tiene mas vulnerabilidades que iOS o Apple no es tan transparente como Google y no hace tantas vulnerabilidades publicas. Sea como sea, no son iguales y no están alineados el uno con el otro por mucha doble autenticación que tengan... Aix 

Bueno, ya me he desfogado un poco con esto y entro en 2017 mas tranquilo, si os fijais no esta Windows en el top 10 y eso es por que se cuentan por versiones por lo tanto Windows Vista, Windows 7 y Windows 10 cuentan las vulnerabilidades por separado. Eso tiene parte de razón pero es curioso ver que si las sumásemos, rivalizarían con la suma de todas las vulnerabilidades en todos los productos Adobe. 

Después de este rápido repaso a las vulnerabilidades publicadas en 2016 espero que tengáis como propósito de año nuevo actualizar todos vuestros equipos y sistemas.

Sed Buenos ;) 

[Vídeo].- Por si no puedes seguir la 33c3 en directo

Si estos días estáis tan liados como yo, quizá no hayáis tenido tiempo de seguir el Chaos Communication Congres en directo. Así que 33c3 el nombre en clave del congreso, dispone  de una página donde podemos ver las retransmisiones y que a mi me irá genial esta tarde. 

Para los que no sepáis nada del Chaos Communication Congres solo os diré que allí fue donde geohot hizo su [ponencia sobre como hackear la PS3] por lo que ya os podéis imaginar el nivel de las charlas.

A día de hoy aun quedan algunas charlas en vivo y las podéis encontrar aquí, junto al calendario: 

• http://streaming.media.ccc.de/33c3/

Pero si sois un desastre como yo aquí podréis encontrarlas todas resubidas: 

• https://streaming.media.ccc.de/33c3/relive

Sed Buenos ;)