Quantcast
Channel: Un informático en el lado del mal
Viewing all 4223 articles
Browse latest View live

iPhone 6 & 6 Plus, iOS 8.algo, el Bendgate, el Celebgate, el Watch, el Pay, las colas y todos los líos de Apple

$
0
0
Sin duda este pasado mes de Septiembre si hay una empresa tecnológica que ha copado, "wows", "ays", "tomas", "uffes" y "joderes" ha sido la de la manzana mordida: Apple.  Un mes en el que la empresa no ha parado de tener guerras en los medios, lo que deja claro que estar en el equipo de comunicación y prensa debe ser de todo menos relajado.

Figura 1: La víde de trabajar en el departamento de Press Relationships de Apple

CelebGate

Este mes estuvo marcado, sin duda, por el Celebgate. Un escándalo provocado por la publicación 4Chan de una colección de fotos robadas en paños menos - y a veces en ausencia de dichos paños - de famosas que habían sido sacadas de sus backups de iCloud. Entre los fallos de Apple y la facilidad de hacer ataques dirigidos a las famosas, parece que al final la responsabilidad era divida entre fallos de seguridad en iCloud - alguno conocido hasta con más de seis meses de anterioridad por Apple - y las famosas que pusieron sus passwords con ligereza.


Figura 2: Demo de cómo bajar fotos de iCloud con un robo por Phishing

Esto no pararía durante todo el mes, y ayer mismo hubo la tercera oleada de fotos robadas a famosas, con nuevas instantáneas de la vida privada que aparecieron en la red. Además, ha habido que sumar otro cosa similar en España, donde otro coleccionista hacía algo similar con famosas españolas y fue detenido en Córdoba

El iPhone 6 y el iPhone 6 Plus

Durante la primera quincena del mes, Apple tuvo su keynote de presentación de nuevos productos, donde para conseguir mantener la expectación y que no se filtrara ni una sola fotografía en la red, a todo el personal que entraba y salía en el evento se le censuró la cámara del smartphone con una pegatina que cambiaba de color si era despegada por el contacto con el aire. Si la pegatina tenía ese color, entonces no podría salir ese smartphone hasta después del evento.

Figura 3: iPhone 4/4S, iPhone 5/5S/5C, iPhone 6 & iPhone 6 Plus. Hazte una idea.

En él se anunció el iPhone 6 grandote y el iPhone 6 aún más grandote. Este último sobre todo, ya que por mucho que insistan en decir que es un smartphone, la cosa tira más a phablet que a otra cosa, que cuando he estado jugando con él ha sido casi imposible tenerlo en las manos y manejarlo con una sola. Eso sí, la posibilidad de grabar en Full HD con el iPhone 6 más grandote ha atraído a los aficionados del vídeo amateur. Y es que como ha cambiado iPhone, desde aquel iPhone Original que era un dispositivo para escuchar música, hacer llamadas y navegar por Internet y que no permitía ni grabar vídeo. Ya veis, ahora habrá avalancha de CelebGate con vídeos en HD, para que quede toda la intimidad bien documentada. Id comprando palomitas.

Lo mejor de todo en los mentideros de las redes sociales, sin duda, fue ver caer el iPhone 6 plus del primer comprador nada más sacarlo de su caja. Trending Tronching en la red, que diría Leo Harlem, cuando todo el mundo pensó a la vez lo mismo. Si ya hubiéramos desarrollado la telequinesis como forma de comunicación de nuestra especie, seguro que le habría llegado un D.o.S. con un mismo pensamiento global.


Figura 4: Vídeo del primer iPhone 6 cayendo

Y es que los iPhone grandotes en su lanzamiento se han vendido como rosquillas e incluso en países acosados por la crisis pusieron el sold-out de ambos modelos durante el primer día. Bueno, no del todo, si te pateabas las tiendas en España podías llegar a conseguir el iPhone 6 de 16GB, es decir, el más pequeño. Claro está que, teniendo un sistema operativo iOS que ocupa ya unos cuantos de Gigabytes, y teniendo en cuenta que las actualizaciones del sistema ocupan otro puñado de Gigabytes cada vez que salen, tener uno con 16Gb es pasarse todo el tiempo borrando los vídeos que has grabado, quitando las apps que has descargado y contando los megas que has liberado para poder aplicar el parche.

El CDNGate de la Keynote

Si te conectaste a ver el evento en streaming verías que no iba muy allá, y es que a la hora de montar la CDN (Contente Delivery Network) para la distribución del streaming de vídeo la liaron parda. Parece ser que no distribuyeron el tráfico correctamente y todos los usuarios eran enviados al mismo punto de distribución, además de que el diseño de la página no fue muy acertado, al meter el streaming social en la misma web y pedir la actualización cada muy poco de todo el hilo. Un fallo de sistemas gordo que hizo que las críticas a la retransmisión fueran muchas. 

El bendgate

Eso sí, otra de las crisis de media en Apple fue el famoso "se me ha doblado el iPhone 6 Plus", un escándalo donde los compradores del smartphablet se quejaban de que sin quererlo podrían ver el vídeo en Full HD y con pantalla curva, lo que llevó a Apple a tener que responder a las quejas.

Figura 5: Un iPhone 6 Plus doblado de uno de los que se quejó

Nueve dijo la compañía que fueron los clientes que presentaron quejas de esto, y para demostrar que sus pruebas de QA de hardware son robustas, publicaron vídeos de cómo retuercen los dispositivos para medir su grado de resistencia en la vida real dentro de los bolsillos de los humanos más difíciles.

Figura 6: Test de resistencia en iPhone

De nuevo, lo mejor en la red fueron los chistes, y, como no, los trolleos de otras marcas que aprovecharon el hashtag para hacer su trending topic y pescar followers. Algunos muy currados.

Figura 7: El Bendgate visto por Heineken

El iOS 8.algo

Y es que en cuanto actualizaciones la cosa ha sido, cuanto menos, movidita. La cosa comenzó con el lanzamiento de iOS 8 con los nuevos teléfonos y una actualización masiva para todos los terminales soportados, es decir, el iPhone 5, el iPhone 5S, el iPhone 5C - si hombre, ese de colores que llevan los que no podían comprarse el iPhone 5S (o eso dicen) - el iPhone 6, y los iPod Touch, iPad Air, iPad mini y Apple TV ... y algo más que seguro que me dejo. Esa actualización eran unos 4Gb de nada que obligaba a limpiar cosas y hacer hueco.

Pero, con la actualización de iOS 8 la cosa se empezó a torcer con un buen montón de bugs de gente que se quejaba de que le dejaba de funciona el Touch ID, que se comía la batería, bugs de crasheos varios, etcétera. Por suerte, aún se podía descender la versión a la iOS 7.1.2, así que se promocionó el manual del downgrade para los más descontentos y se empezó a trabajar con urgencia en la iOS 8.0.1, que salió la semana pasada.

Figura 8: Bug en iOS 8.0.1 no permite hacer llamadas

Con la versión iOS 8.0.1 se cepillaron del smartphone la parte de phone en muchos de los terminales, así que hubo que abortar a lo bestia. Se paró la distribución de iOS 8.0.1 y se lanzó un procedimiento de downgrade a la iOS 8.0, al tiempo que se cancelaba el downgrade a la iOS 7.1.2, por lo que ya estabas en iOS 8 sí o sí. Por supuesto, al día siguiente ya había nueva actualización a la iOS 8.0.2 que solucionaba el bug ese de poder llamar por teléfono. Eso sí, por el camino restablecieron las preferencias de iCloud y se cepillaron montones de documentos de lo usuarios. Ouch!

Cada vez que llega una de esas actualizaciones, ya sabes, gigabytes van, gigabytes vienen para instalar en tus terminales, y un poco de tiempo para ello, lo que no deja muy contento a los usuarios pero.. como aún no va fino, ya se está preparando la versión iOS 8.1 que parece que va a llegar a nuestras manos junto a los nuevos iPad Air & iPad Mini que van a ser lanzados este mes. 

El Pay y el Watch

Las novedades que Apple presentó, dejando al margen a los iPhone grandotes y el iOS 8.algo de los que se sabía prácticamente todo con anterioridad, fue el poder pagar con Apple Pay - merced a la integración con NFC, los acuerdos con compañías de medios de pago y la distribución de dispositivos de pago por las principales tiendas de USA - y el reloj. El Apple Watch, cuyo objetivo es meterse en el mundo de la moda y los amantes de los relojes, por lo que se aleja mucho del formato de smartwatches que teníamos hasta el momento.

Lo habrá hasta hecho en oro, por eso de satisfacer a los amantes del "colorao" que ahora podrán usar Apple Pay con un giro de muñeca. Eso sí, con una protección basada en un sensor de muñeca que detecta si te han quitado el reloj. Aún no están a la venta, pero seguro que los van a vender como churros para llenar aún más las arcas de la empresa.

Figura 9: El Apple Watch de colorado

Como era de esperar, la preocupación popular fue si Apple tendría ahora también la información de los pagos y los datos de salud de sus compradores al ponerse el reloj, por lo que el equipo de comunicaciones tuvo que salir a la palestra para decir esa frase de "Nosotros vendemos grandes productos (y caros, se olvidaron de decir), no tus datos".

Ha sido un mes muy movido para la compañía, pero aun queda octubre con el nuevo OSX Yosemite, los nuevos tablets y los nuevos escándalos, que está claro que esta compañía ahora mueve el mundo de la tecnología junto a Google y pocas más. Y es que hasta un hecho tan de buena voluntad, como regalar a todo el mundo el nuevo disco de U2 generó polémica, ya que muchos usuarios pidieron poder borrarlo y Apple tuvo que sacar una herramienta para hacerlo. Ah, sí, y al final también parchearon ShellShock este mes para los sistemas operativos con soporte. ¿Es o no es interesante seguir el mundo de la tecnología con Apple de por medio?

Saludos Malignos!

Estados Unidos tumba el servicio del troyano StealthGenie

$
0
0
Hace ya un año evaluamos un troyano para espiar Android - también tenía versiones de troyano para iPhone o BlackBerry - llamado StealthGenie. Este fue el que usé para explicar cómo funcionan los troyanos que se usan para espiar en Android la vida y la intimidad de las personas infectadas, pero no quise poner el nombre del mismo en el artículo.

Figura 1: Panel de control de StealthGenie para controlar las llamadas

También fue el mismo que usé para la demostración en la entrevista que me hicieron en el programa de televisión de Salvados a partir del minuto 9 y 5 segundos.


Figura 2: Entrevista en Salvados. Demo de StealthGenie desde el minuto 9:05

Este troyano permite saber en todo momento dónde está una persona, robar absolutamente todos los datos de las apps del terminal, como espiar WhatsApp, Skype, el correo electrónico, Viber, etcétera, e incluso grabar las conversaciones telefónicas o activar el micrófono y usarlo como grabadora bajo el envío de comandos SMS. En Internet es posible encontrar tutoriales de cómo funcionaba Stealthgenie.


Figura 3: Vídeo Tutorial del funcionamiento de StealthGenie

Los servidores del panel de control de este troyano se encontraban en Amazon Web Services, en el estado de Virginia (USA) y el gobierno de Estados Unidos ha actuado con una acusación formal contra la empresa y el dueño de la misma, de origen pakistaní. La acusación formal ha sido puesta en Internet y se puede leer completamente.

Figura 4: Acusación formal al CEO de StealthGenie

En ella se deba claro que se le acusa de ciber-crímenes y se ha procedido a tirar abajo los servidores que estaban en Amazon, por lo que se ha descabezado temporalmente a todas los espías que se han quedado sin forma de poder utilizar este troyano.

Figura 5: Argumentos iniciales de la acusación.

Por desgracia, no es este el único troyano que se comercializa para espiar iPhone o Android, y por supuesto, los creadores de StealthGenie solo moverán sus servidores a otra ubicación menos controlada para volver a empezar de cero, así que ten mucho cuidado con tu terminal, no sea que quién menos te lo esperes te esté espiando y controlando.

Saludos Malignos!

Ataques de Phishing con código Punycode: This is Espaarta

$
0
0
Cuando hemos tenido que hacer algún test de intrusión con una prueba de phishing a una compañía para testear cuantos de sus empleados están preparados contra un ataque dirigido - del mismo modo que nos contaba hace poco un amigo con la prueba de phishing que hizo en su propia empresa - no hemos escatimado en la compra del dominio más adecuado para que el ataque fuera más creíble.

Figura 1: Dominios de phishing visualmente similares con PunyCode

Para ello se compra un nombre de dominio que sea visualmente similar y se monta en él es servicio de prueba. Los trucos habituales es jugar con la representación visual de los dominios, por ejemplo cambiando letras similares como la I "i mayúscula" y la l "l minúscula" que dan bastante juego. Con ellas es fácil visualmente engañar al usuario en la barra de direcciones, que puede creer que está en linkedin cuando realmente está en Iinkedin.

Figura 2: En ese dominio la "ele" es una "i mayúscula"

Uno de los trucos que se pueden utilizar para esto son los nombres de dominios internazionalizados codificados en Punycode, donde se permiten cosas como Lïnkedin o Linkédin o Linkedîn, que a unos ojos cansados o no acostumbrados a fijarse en los detalles puede colar fácilmente. En el ejemplo que me pasó un compañero de Eleven Paths se puede un nombre de una web en la que se ha utilizado una tilde en el nombre fideuá, [que luego en la web se han saltado, ironías de la vida].

Figura 3: El dominio fideuá.net con tilde en la a

Estos nombres de dominio siguen un formato de codificación bastante curioso, ya  que utilizan un prefijo que comienza por xn- y termina con un sufijo que va indicando en qué posición se deben ir insertando los caracteres extendidos y qué caracteres van incrustados. Para que sea mucho más fácil, puedes utilizar algún conversor en la web, como este Conversor Unicode-PunyCode que te permite ver cuál sería la codificación de algunos dominios como hötmail.com o elévenpaths.com.

Figura 4: Codificación Punycode de hötmail

Figura 5: Codificación Punycode de elévenpaths

Si vas a hacer alguna prueba de phishing contra tu empresa, seguro que se te ocurren algunos nombres curiosos para hacer la prueba, donde puedes utilizar hasta la ñ en el ataque. Por ejemplo, para poner un dominio con españa, la codificación sería la que ves.

Figura 6: Códificación punycode de españa

Ya sabes, en la guerra del phishing el sentimiento que hay que tener es que te pueden hacer el lío por cualquier sitio, ya que como has visto Esto es xn-espaa-rta!.

Saludos Malignos!

No me indexes que me cacheo

$
0
0
Ayer tuve el honor de estar en las conferencias Navajas Negras 4ª Edición, donde me habían invitado a dar una charla. Para ese día preparé una charla sencilla, junto con una herramienta que hemos trabajado en Eleven Paths, llamada Google Index Retriever que permite sacar el contenido que almacena el índice de Google sobre una URL concreta, haciendo un ataque de diccionario y fuerza bruta. La herramienta estará disponible en cuanto le hagamos una revisión de QA, así que tened un poco de paciencia.

Figura 1: Google Index Retriever

Las diapositivas las he subido a SlideShare, desde donde las podéis descargar para ver las animaciones que llevan. Cada una de las partes lleva el enlace a un artículo que profundiza más sobre el tema, por si quieres leer en detalle lo que ahí se cuenta.



Tenía en mente escribir un artículo resumen de esta presentación que haré más adelante, pero para la parte de los XSS Google Persistentes he recuperado también la presentación que hice en el año 2010 sobre ese tema. Podéis ver la presentación en el siguiente vídeo.


Figura 3: Ataques XSS Google Persistentes

Nada más, me llevo de Navajas Negras muy buena impresión, un selfie con todos vosotros y ganas de poder volver más adelante con más tiempo a disfrutar de esta conferencia con amigos.

Saludos Malignos!

Fulfix Complex: Investigando la estafa del crecepelo

$
0
0
Este viernes por la noche salió en televisión un programa de Equipo de Investigación en que se intenta localizar a quién está detrás de una estafa de crecepelos. Me pidieron ayuda para intentar sacar algo de información directamente desde la página web del producto, llamado Fullfix Complex, así que le eché un ojito con cuidado a ver qué salía. En el programa no queda claro qué es lo que hice, pero como me guardé todas las capturas de todos los pasos, os lo explico por aquí.

Figura 1: El dominio de la estafa Fulfix Complex

Paso 1: Investigar el dominino Fulfixcomplex.com

La web de la estafa era Fulfixcomplex.com, una página web que podéis ver en el programa y en donde se anuncia el producto con un montón de bonitas fotografías y falsos estudios clínicos. Para ver quién está detrás de ese dominio basta con hacer una búsqueda del Whois Histórico para toparse con una empresa en Panamá.

Figura 2: Registro Whois de Fulfixcomplex.com

Lógicamente eso es vía muerta, pero ni mucho menos es el final de la investigación, ya que como veréis al final hay más hilo del que tirar para ver quién está detrás. 

Paso 2: Investigar la dirección IP del servidor

La página web del servidor estaba en un servidor web con la siguiente dirección IP que puede verse en la resolución de la consulta DNS.

Figura 3: Dirección IP del servidor web de www.fulfixcomplex.com

Con una sencilla búsqueda con el comando IP: de Bing se puede descubrir que en esa misma dirección solo hay dos servidores web. Uno de ellos Fullfixcomplex.com y un segundo llamado trynidora.com, que incita a "Try Nidora", un sorprendente sistema para perder peso.

Figura 4: Fulfixcomplex.com y Trynidora.com en el mismo servidor

Como podéis ver en la web, tiene exactamente la misma estética y los mismos estudios clínicos contrastados por ellos en los que se basan para decir que con este sistema es posible perder peso de forma rápida.

Figura 5: La web de Trynidora.com

Parece que estos tipos estaban diversificando el negocio con nuevas estafas. No solo con crecepelos, sino también con productos milagrosos para perder peso.

Paso 3: Investigar el dominio Trynidora.com

Con un nuevo dominio, hay que repetir la investigación. Inicialmente te topas con registros que apuntan a Panama, y a otros lugares, pero tirando del Whois Histórico se llega a una entrada en la que se apunta a una dirección concreta de una oficina concreta de Los Ángeles, California.

Figura 6: Un registro de 2012 de trynidora.com apunta a una oficina en Los Ángeles

En concreto la Oficina 200 del 11400 West del Olympic Boulevard de Los Ángeles que puede verse en Google Street View. Es un centro de negocios, con distintas empresas por cada oficina, pero en la Oficina 200 está el dueño.

Figura 7: Edificio de negocios en 11400 W. Olympic Boulevard, Los Angeles.

Paso 4: Investigar la dirección de la oficina

Al buscar esa dirección de oficina, para saber qué empresa está allí, aparece un despacho de un abogado, A. Liberatore P.C., que tiene justo en esa oficina su centro de operaciones.

Figura 8: Despacho en la misma oficina que el dominio de la estafa

Tirando de los registros históricos de ese dominio salen empresas que tienen que ver también con la informática e internet y una serie de direcciones de correo que permiten llegar a este tipo, que parece que o bien es el dueño, o tenga algo que ver con el registrador, o sea el responsable de tapar legalmente a quién está detrás, al estilo de "Better Call Saul". Un rol fundamental en todos los negocios de fraude online que se creen en países que legislen contra estas estafas, aunque sin más información de campo en Estados Unidos queda sin poder resolverse.

Figura 9: Saul Goodman, el abogado de Mr. Heisenberg que puede hacerlo legal.

En el corte final del programa se saltaron partes de esto, supongo que porque mucha gente no sabrá que es un registro Whois o para que sirve el comando IP de Bing, pero para los que hayáis visto el corte quizá pasar de una entrada en Panamá a una dirección en Los Ángeles es difícil de entender sin un poco más de información, y quería dejaros por aquí los datos que le dimos al periodista.

Saludos Malignos!

20 de Octubre: Tercer Curso Online de Especialización en Seguridad Informática para la Ciberdefensa

$
0
0
El próximo 20 de Octubre dará comienzo una nueva edición, en concreto la tercera, del Curso Online de Especialización en Seguridad Informática para la Ciberdefensa. Un curso de 40 horas de duración que se da a través de Internet utilizando sistemas de vídeo conferencia. Los horarios se han puesto de tarde para que los asistentes de latinoamérica puedan participar también de esta formación.

Figura 1: Curso Online de Especialización en Seguridad Informática para la Ciberdefensa

El curso lo organiza Criptored, y entre los profesores están Pablo González, Antonio Guzmán, Sergio de los Santos, David Barroso y yo de Eleven Paths,  también está la gente de Layakk - autores del libro de Seguridad y Hacking de comunicaciones móviles -, el Doctor Jorge Ramió, Alejandro Ramos "dab" de Security By Default, Javier Rascón de Hispasec Sistemas, Pepelux - autor del libro de Hacking VoiP -, Pedro Sánchez de Conexión Inversa y el gran Raúl Siles de DinoSec.

En total, el curso de 40 horas está repartido en 20 sesiones de 2 horas de duración que podéis ver en el siguiente temario publicado en la web de Criptored. Además, se han publicado unas F.A.Q.s para resolver las dudas más frecuentes sobre el curso, así que léelas por si pueden aclararte algo más cómo es la formación.


Los asistentes del curso se podrán apuntar en modalidad individual o en modalidad de grupos, y además por cada inscripción se recibirá un pack de libros de 0xWord, en concreto los ejemplares siguientes:
- Protección de comunicaciones digitales. De la cifra clásica al algoritmo RSA.
- Esteganografía y estegoanálisis.
- Linux exploiting.
- Máxima Seguridad en Windows: Secretos técnicos.
Además, si alguien quiere apuntarse solo a una sesión, puede hacerlo por medio de un registro puntual. Todas las opciones para apuntarse al curso se encuentran en el temario del curso, y lo podréis hacer vía correo electrónico tal y como se explica en la guía del curso.

Saludos Malignos!

Black SEO, Cloacking, Viagra y Google Index Retriever

$
0
0
Las Técnicas de Cloaking son utilizadas en la industria del fraude online dedicada al Black SEO para ocultar a los usuarios los contenidos inyectados en una web infectada. La idea es que se infecta un servidor web con contenido para robar el SEO de un sitio y se oculta para que solo sea mostrado a las arañas de búsqueda, haciendo mucho más complicado para un administrador localizar la infección de su sitio web. La única forma de localizar que se está infectado, es hacerlo usando Google para saber si estás "jodido por la viagra".

Para ocultar los contenidos y mostrárselos solo a Google o a los visitantes que vienen desde Google se pueden utilizar varias Técnicas de Cloaking. La primera de ellas es detectar el USER-AGENT utilizado por los bots de los buscadores, la segunda el campo HTTP-Referer para saber que es un visitante que viene desde un buscador en concreto, y la tercera y última, ocultar el contenido inyectado si no viene por una de las direcciones IP que utilizan los bots

Figura 2: Lista de direcciones IP usadas por los bots

Preparando la charla de No me indexes que me cacheo, salió un ejemplo con el equipo de fútbol de la ciudad, ya que el Albacete Balompié está infectado por Técnicas de Black SEO de viagra que parece que están usando cloaking para ocultar la inyección. Si buscamos por "viagra" o por "cheap viagra" aparecen resultados en el índice de Google con ellos.

Figura 3: Resultados del Albacete Balompié infectados con Black SEO

Si vamos a las noticias infectadas, podemos ver que no hay ninguna referencia a la viagra en el contenido de la web, ni en el código fuente, ni en los ficheros incluidos, así que o la infección se limpió o se está haciendo Cloacking por IP o por USER-Agent, ya que por HTTP-Referer quedaría descartado al no aparecer cuando haces clic en el enlace para visitar la página desde los resultados de Google.

Figura 4: La noticia parece limpia cuando se visita

Probando con USER-Agent Switcher en Firefox para probar una conexión con el nombre del bot de Google tampoco muestra nada, así que las alternativas que nos quedarían sería que la infección usara cloaking por IP de conexión o que ya estuviera limpia.

Figura 5: User Agent del Bot de Google

No obstante, con Google Index Retriever - que pronto estará publicada - se puede extraer por un ataque de palabras que aparecen en los resultados más un ataque de diccionario, una gran parte del contenido inyectado en el índice de Google.

Figura 6: Gestión de keywords en Google Index Retriever

La herramienta primero prueba con las palabras que van saliendo en los resultados, luego las combina para intentar sacar más resultados, y por último prueba con un diccionario de keywords que puede ser configurado.

Figura 7: Volcado de contenido de índice de Google asociado a uno de los resultados

Al final el resultado es que se consigue sacar bastante información de la almacenada y, en este caso, se puede ver la URL del sitio web detrás del ataque de BlackSEO al Albacete Balompié. Si se visita la web, por supuesto, aparece uno de los famosos doctores de la viagra.

Figura 8: Web que está robando el SEO al Albacete Balompié

En este caso, si el Albacete Balompié ha limpiado la inyección en su servidor web, sigue aún infectado en el índice de Google, así que debería tomar medidas para evitar esto.

Saludos Malignos!

Malware para cajeros bancarios: Right to the source

$
0
0
Durante años los criminales focalizados en robar dinero a la banca se han estado centrando en robar las credenciales bancarias, hacer esquemas de infección de los terminales móviles para robar el OTP que valida la operación en el móvil, preparar esquemas de ataque de man in the browser cambiando las cuentas bancarias, haciendo carding en los cajeros para robar los números de las tarjetas de crédito, montando cajeros falsos como el que se montón en la DEFCON o robándolas de las webs donde los usuarios las habían introducido. Esquemas de fraude online pensados en robar el dinero al cliente del banco en lugar de directamente al banco.

Figura 1: El camino para robar el banco ya no es la ventanilla

Pero.. ¿por qué no robarla directamente al banco? Hace tiempo el desaparecido Barnaby Jack mostró que era posible, jugando con el cajero, acceder a determinados modos de operación para acceder al dinero que tenía un cajero, así que parece que el camino estaba claro. Aquella charla fue de lo más sonado del momento. Si controlas el sistema operativo del cajero automático, controlas la caja. 


Figura 2: Barnaby Jack en Black Hat USA hackeando un cajero ATM

Eso debió ser lo que pensaron los creadores del malware que ha sido descubierto por Kaspersky, llamado Tyupkin Trojan, instalado en múltiples cajeros automáticos por todo el mundo. Según su informe, han aparecido 31 copias, la mayoría de ellas en Rusia, por lo que parece que el origen del mismo es de allí.

Figura 3: Países en los que se ha localizado Tyupkin Trojan

Los atacantes fueron capaces de tener acceso físico al arranque del sistema operativo de los cajeros, que corre Windows Embedded Edition y correr un malware que desactiva el antivirus del equipo. A partir de ese momento se queda residente y cuando se introduce un determinado código de acceso al mismo, toma el control de la pantalla mostrando un menú de gestión del cajero, tal y como puede verse en el siguiente vídeo.


Figura 4: Vídeo demostración de Tyupkin Trojan

Lo siguiente es gestionar operaciones directamente con el cajero, para poder sacar dinero - hasta un total de 40 billetes por transacción -, desactivar la red para que no molesten los equipos de seguridad mientras están realizando la operación de vaciado del cajero, o forzar un borrado y autodestrucción del malware instalado en la máquina. Al final, un paso más allá en la en el robo de dinero, en lugar de quitárselo a las víctimas, directamente quitárselo a los cajeros automáticos.

Saludos Malignos!

¿Dónde acaban los "patinazos" de los políticos en Twitter?

$
0
0
Twitter es una herramienta cada vez más importante para que los representantes políticos se comuniquen con el público, con la ciudadanía. Se ha convertido en una pieza más del sistema democrático. Es también público casi siempre, ya que son pocos los que tienen su time-line protegido, así que esos tweets que escriben nuestros políticos aparecen en directo y pueden ser vistos por cualquiera en twitter.com o en otras plataformas durante un tiempo determinado.

A veces, nuestros políticos se arrepienten de la publicación del tweet. Tal vez se dejó llevar por un momento controlado bajo los efectos de alguna emoción y eso le llevó a emitir un comentario en la red que más tarde juzgó mejor eliminar. Pero se emitió y está en Internet.

Figura 1: ¿Dónde van los tweets borrados de nuestros políticos?

Leer esos mensajes borrados de nuestros representantes políticos depende de que alguien se encuentre delante de su equipo en el tiempo que pasa entre que el tweet se publica y el tweet se borra. Si además es impactante, se podría conseguir una captura de pantalla o una evidencia del tweet para siempre con eGarante que certificase la publicación de dicho mensaje para siempre.

Figura 2: Un tweet firmado con eGarante

Esta semana saltaba en los medios de comunicación la noticia de un tweet escrito y posteriormente eliminado por el número dos del PSOE en el Senado,Óscar López. El político se lanzó a enviar un tweet que apuntaba a la venganza con un posible rival interno. La venganza, vino a decir, se sirve en plato frío, pero utilizando la retórica. A la vista del revuelo que estaba organizando, borró el tweet un poco después. "Fue un pequeño desahogo, borrado a la hora, nada comparable con lo que han dicho y hecho otros. Todos somos humanos y tenemos sentimientos”. Diría más tarde.

Figura 3: El tweet borrado de Oscar López Agueda

Es cierto que si se visita el perfil de este político, el tweet ya no aparece, pero no hay que perder de vista que una vez que dejas algo en Internet, es prácticamente imposible borrarlo. Como la transparencia, también en Internet, es un valor que debiera de estar presente en todas las formaciones políticas, existe una herramienta que permite obtener los tweets borrados de nuestros políticos, Politwoops.

En el caso del Óscar López, se puede comprobar cómo el tweet sigue estando presente y accesible por cualquiera en Internet, incluso se puede retwittear: Además esta herramienta permite saber hace cuánto que se ha borrado el tweet y desde qué dispositivo se mandó el tweet.

Figura 4: Politwoops monstando el tweet borrado y la información del mismo

Personalmente creo que es bueno que existan este tipo de herramientas para promover la transparencia de este tipo de comunicaciones públicas, al tratarse de nuestros representantes políticos, deberían estar disponibles para cualquiera que los quisiera ver. Pero por mucho que noticias de este tipo pueda hacer que nuestros políticos sean más mecánicos que nunca hay algo que nunca se podrá perder por completo y eso es el error humano.

Autor: Amador Aparicio
Twitter: (@amadapa)

Crear tu módulo de Metasploit para ShellShock

$
0
0
La vulnerabilidad ShellShock ha traído un nuevo caos a Internet, miles de servidores se ven comprometidos por esta vulnerabilidad, la cual dispone de diversos CVE. Si echamos un ojo por Internet podemos observar como la vulnerabilidad ha sido explotada en diversos entornos, para explotar servidores web y meter shels, a través de VMWare Fusion en los OS X de Apple, o para distribuir malware como Kaiten.

Figura 1: Crea tu módulo de Metasploit para Shellshock

En el congreso de seguridad informática Navaja Negra, celebrado en Albacete, yo quería que la gente que asistía al workshop de Metasploit pudiera entender y ver como se corresponden los módulos que ellos pueden configurar con el código que podemos desarrollar. Para esto quise tomar como base la vulnerabilidad, con el primer CVE, de ShellShock.

Mi idea fue desarrollar un módulo en vivo para explotar dicha vulnerabilidad, ya que era realmente sencillo realizarlo, y los asistentes podrían fácilmente guiarse, tal y como se pudo ver en el artículo de RetroMalware para controlar NetBus desde Metasploit. Es cierto que la gente de Rapid7 ya tiene sus módulos sobre esta vulnerabilidad realizada, pero mi idea era hacerlo un poco más sencillo para que cualquiera de los asistentes con nociones cero de Ruby pudieran seguirlo.

Figura 2: Cosas básicas para hacer un módulo de tipo exploit remoto

¿Qué necesitamos para llevar a cabo el módulo? En la imagen se puede ver que al menos la función de inicialización y la función exploit son necesarias. El objetivo de estos módulos son las de conseguir una sesión para controlar el equipo o realizar alguna acción sobre él, tras aprovechar una vulnerabilidad. Opcionalmente, podemos definir la función check, con la que podemos chequear que una vulnerabilidad existe en la máquina remota, siempre y cuando el módulo no sea client-side, ya que en este escenario no tiene sentido realizar un chequeo.

La función: initialize(info={})

Esta función permite inicializar valores al módulo y actualizar información que es heredada por el propio framework. Podemos entender que la información de ayuda e informativa que debemos proporcionar en los módulos de Metasploit debemos configurarla en esta función. Por ejemplo, cuando nosotros ejecutamos el comando info la información proporcionada por la consola se corresponde con el atributo description que previamente hemos definido, o la información sobre el autor, las referencias a los CVE, etcétera.

A continuación se presenta el código, cuya descripción corresponde con la del módulo de Rapid7. Simplemente es importante ver que en esta parte del código son datos a rellenar, y que estos datos son informativos. Hay que recordar que la función de inicialización puede tener más instrucciones relevantes, como veremos después.

Figura 3: Función de inicialización

Hasta aquí, no hemos tocado nada. Existe un método denominado register_options con el que podemos modificar los atributos configurables que tendrá mi módulo. Recordemos que por ser un módulo de tipo exploit remoto se heredan atributos propios del módulo, como por ejemplo RHOST, pero en muchas ocasiones nosotros querremos añadir atributos configurables para que un usuario pueda realizar otro tipo de acciones con esos parámetros.

Nosotros queremos varias cosas en nuestro módulo:
- El usuario pueda indicar cuál es la URI. Al atributo lo llamaremos TARGETURI.
- Que el usuario pueda seleccionar el método HTTP a utilizar (GET | POST). El atributo se llama METHOD.
- Que el usuario pueda indicar al exploit el path remoto que debe utilizar mediante el atributo RPATH.
- El usuario puede indicar el comando que quiere lanzar mediante el atributo COMMAND.
- Mediante la configuración del atributo TIMEOUT se indica el número de segundos para obtener respuesta de una petición HTTP.
- El atributo FULL es algo especial. Lo que queremos hacer es que si el parámetro FULL vale false, el módulo se comporte como una consola remota en la cual sólo se ejecutará la orden que se introduzca en COMMAND. Pero si el atributo FULL vale true, el módulo estará programado para lanzar una secuencia de acciones sobre el servidor remoto con el que se conseguirá subir una shellcode y obtendremos el control remoto de la máquina.
- El atributo NAMESHELLBIN será utilizado en caso de que FULL sea true, y proporciona el nombre que utilizaremos para crear el binario en la máquina remota.
Figura 4: Opciones nuevas en el módulo

En la imagen podemos ver que cada atributo aparte del nombre tiene una serie de información extra introducida en un listado. El primer campo true o false indica si el atributo será requerido para ejecutar el módulo o no. Cuando se ejecuta un show options vemos una columna denominada required, dónde los atributos tienen valor yes o no. El segundo campo del listado es la descripción del atributo, mientras que el tercero es el valor por defecto que tiene ese parámetro.

Figura 5: Atributos del módulo visto con show options

La función: request(command)

Antes de empezar a destripar las funciones check y exploit vamos a necesitar una función request para agilizar y no repetir código en el envío de peticiones. Esta función será utilizada para explotar la vulnerabilidad de ShellShock en su versión para Apache mod_cgi.

La función tiene una implementación básica, utiliza el método send_request_cgi para enviar la petición HTTP. Se le pasa un parámetro a la función que es el comando que se quiere ejecutar en remoto, si la vulnerabilidad está presente en el servidor remoto. A continuación se muestra el código sencillo de la función.

Figura 6: Código de request

El atributo TARGETURI, METHOD y TIMEOUT, explicados anteriormente, son utilizados para la generación del paquete.

La función: check()

La función check permitirá comprobar si el servidor remoto es vulnerable sin necesidad de dañar o aprovecharse del sistema remoto. Es cierto que check lo que está realizando es una ejecución de comandos remota, pero lo que ejecutaremos será un simple echo hola, que intentaremos ver reflejado en el body de la respuesta.

Figura 7: Código de check

Como puede verse en la función se llama a request con el comando echo hola. Si la respuesta incluye hola en el cuerpo es vulnerable. Tenemos que tener cuidado, porque si, lógicamente, la respuesta incluyera el texto “hola” porque la web tuviera dicha palabra nos aparecería como vulnerable. Lo ideal sería generar un hash o un texto que fuera “imposible” encontrar en la respuesta.

La función: exploit()

Esta función la tenemos pensada para dos cosas en esta prueba de concepto. La primera es que nos permita ejecutar comandos, por así decirlo línea a línea o petición a petición con el servidor. El segundo modo de funcionamiento se tiene pensado para que automáticamente genere las peticiones necesarias realizando lo siguiente:
1. Generar una shellcode, que definirá el usuario en el atributo PAYLOAD antes de lanzar el módulo, es decir, antes de lanzar el método exploit. 
2. Esta shellcode se transforma a base64 con la intención de poder “pegarla” con un echo en un archivo del servidor remoto. La instrucción a ejecutar en remoto sería algo tal que así echo shellcode_en_base_64 > /var/tmp/fichero_almacena_shellcode_base64. 
3. Una vez se dispone de la shellcode en un fichero en base64 se realiza su transformación a binario y se le cambia los permisos para que el nuevo binario pueda ejecutar. 
4. Por último, se realiza una petición para ejecutar ese binario, el cual lanzará la shellcode. En función del tipo de shellcode se realizará unas acciones u otras. Automáticamente el módulo de Metasploit nos lanzará por debajo el handler con el que podremos gestionar de forma trasparente las conexiones con las shellcode.
Figura 8: Generación, subida y ejecución de Shellcode, Toma de control

En el código se puede ver como se genera el payload mediante la instrucción payload.encoded_exe. Este payload se codifica en base64 almacenándolo en la variable enc. Es importante realizar el cambio de los“\n” en el base64 para que la shellcode no se rompa.

Después podemos observar las 4 peticiones que se realizan con lo comentado anteriormente. Una vez se termina la cuarta petición la shellcode se genera y se obtiene el control remoto de la máquina, si el payload seleccionado es para tomar el control, por ejemplo un meterpreter.

Configuración y ejecución

Ahora vamos a probar el módulo programado, cuyo código se puede encontrar en mi github. La configuración para probar el código en modo FULL a true, será el siguiente:
- FULL = true.
- NAMESHELLBIN = poc.
- RHOST = dirección IP servidor remoto, en este caso 192.168.56.102.
- TARGETURI = URI remota, en este caso /cgi-bin/vuln.cgi.
- PAYLOAD = linux/x86/meterpreter/reverse_tcp.
- LHOST = dirección IP máquina del atacante.
Tras lanzar el módulo con la configuración podemos obtener el control remoto de la máquina, tal y como se puede ver en la imagen.

Figura 9: Configuración y obtención del control remoto a través de ShellShock

Si elegimos la opción FULL = false, realmente podemos seleccionar en COMMAND que binario lanzar, y con RPATH cuál es la ruta remota dónde se encuentra. En el taller de Navaja Negra lo estuvimos viendo, y con las prisas las cosas no quedaron del todo claras, por eso decidí hacer este post.

Autor: Pablo González Pérez (@pablogonzalezpe)
Escritor del libro "Metasploit para Pentesters" 3ª Ed.

Todas las Conferencias de Hacking que quedan en Octubre

$
0
0
El próximo día 16 de Octubre es el día que elegimos en Eleven Paths para contaros todas las cosas en las que hemos estado trabajando durante este año, El Innovation Security Day del 2014, donde espero que os sorprendan las cosas que tenemos listas.

Figura 1: Security Meets Innovation

El registro ya está cerrado porque hemos tenido un registro masivo, y las 600 plazas de que contábamos están ocupadas, así que si quieres una plaza deberás ponerte en contacto con nosotros para que te apuntemos en la lista de espera o puedes seguirlo por streaming a través de Internet. Lo anunciaremos todo en Twitter (@elevenpaths) con el hashtag#SID2014. Donde además contaremos alguna cosa que esperemos que os guste. Gracias a todos por mostrar tanto interés.

Figura 2: Algo pasa en Eleven Paths

La semana siguiente, como ya os dije, comenzará el 3er Curso Online de Especialización en Seguridad Informatica para la  Cibersdefensa. Será el día 20 de Octubre y yo daré un par de sesiones por vídeo conferencia para España y Latinoamérica.

Figura 3: Curso Online de Especialización en Seguridad Informática para la Ciberdefensa

Y justo después comienza una buen calendario de conferencias de hacking por España y Latinoamérica que tal vez te interese ir. Aquí te dejo la lista de ellas. En muchos estarán los compañeros de Eleven Paths, y a alguna de ellas iré a ver al personal, espero que con un poco más de tiempo.

Figura 4: Talentum Startups Madrid 22 de Octubre

Sin ser de hacking, el día 22 de Octubre se hará el Talentum Tour en la ETSISI de la Universidad Politécnica de Madrid, para dar nuevas plazas a nuevos futuros Talentum, y lo más probable es que yo me pueda pasar por allí.

Figura 5: B-Sides Chile el 22 de Octubre

En Chile estarán las B-SIDES Chile durante el día 22 de Octubre. Charlas con ponentes internacionales en el Auditorio de la Universidad Andres Bello de Santiago de Chile. Merece la pena que no lo dejes escapar.


Figura 6: ConectaCON en Jaen los días 23 y 24 de Octubre

La primera de ellas por calendario es la Conecta CON que tendrá lugar en Jaen, la que empuja con todo amor Raimundo, RoMaNSoFt y el resto de compañeros y amigos, para llevar un plantel de ponentes inmejorables a esa provincia de Andalucía. Este año no puede ser, pero espero poder estar por allí en futuras ediciones ya que tengo ganas de degustar las maravillas que oigo de ella. 

Figura 7: 8.8 el 23 y 24 de Octubre en Santiago de Chile

En las mimas fechas está la 8.8 en Chile, que tendrá lugar los días 23 y 24 de Octubre en Santiago de Chile y donde estarán mis compañeros Pablo González y Claudio Caracciolo dando un par de sesiones. Además, la lista de expositores es fantastica. Si estás en Chile o por la región no deberías perdértela.

Figura 8: G-SickMinds del 29 al 31 de Octubre en A Coruña

La semana siguiente toca otra esquina de España. En esta ocasión la G-Sick Minds en A Coruña, donde Miguel Gesteiro, Diego Ferreiro, Ángel Prado y compañía han conseguido una agenda de ponentes de nivel internacional. La lista es fantástica. Yo voy a ver si puedo pasarme por allí a saludar a los amigos aunque sea, que merece la pena.

Figura 9: NoConName 31 de Octubre y 1 de Noviembre

Al mismo tiempo, en la otra esquina de España, en la Ciudad Condal tendrá lugar la mítica NoConName, donde sí que voy a pasarme seguro a estar por allí. Hay muchos amigos que ver y alguna cosa hacer, así que estaré allí para charlar o tomar una cerveza.

Figura 10: Ekoparty 10th en Buenos Aires, los días 29, 30 y 31 de Octubre

Y para terminar, la inigualable Ekoparty que llega a su décima edición. Un evento único e inigualable en la preciosa ciudad de Buenos Aires donde podrás ver una lista de ponentes de altísimo nivel. Me hubiera encantado estar allí, pero este año no fue aceptada mi charla debido a la gran competencia que había allá este año entre los expositores. Compromisos laborales posteriores no me van a dejar pasarme como asistente así que tendré envidia máxima de todos los que podáis estar allí.

Y eso es todo,  que como ves no es poco, para que cada vez el conocimiento en hacking y seguridad sea mayor. Disfruta de tu conferencia como lo haré yo con las que vaya y no te olvides de ¡conseguir tu entrada hoy mismo!

Saludos Malignos!

The Snappening: Guardar las fotos de sexting de SnapChat en una web de terceros en beta no es muy inteligente

$
0
0
Tras el monumental lío que se montó con The Celebgate, ahora el lío se ha montado con The Snappening, un nuevo escándalo que recoge todos los alicientes morbosos que tanto gustan al público. Sexting, hacking y filtraciones en Internet en el popular foro /b/ de 4Chan, cuna de tantos titulares en la red. En esta ocasión, el asunto es la filtración de 15 GB material y unas 200.000 imágenes enviadas entre cuentas de Snapchat, entre las que hay de todo tipo de material y de mucha gente que no sabe que está allí.

Figura 1: Captura de fotos filtradas en The Snappening

La gracia de Snapchat es que cuando se envía un mensaje con una imagen, esta tiene un tiempo de vida durante el cual es mostrado al usuario, lo que hizo que se convirtiera en la herramienta perfecta para enviar fotos de tetas, culos, y demás instrumentos utilizados en el juego del sexting. Es decir, sitio perfecto para atraer a los amantes del material amateur robado.

Figura 2: Las fotos se supone que tienen una duración y se eliminan

Con estos alicientes, Snapchat se convirtió en objetivo de Mark Zuckerberg y llegó hasta a ofrecer 2.000 millones de dólares para comprar dicha plataforma, pero la oferta fue declinada por considerarla insuficiente. Esto llevaría después a la compra de WhatsApp - plataforma que genera también mucho interés a los amigos del espionaje amateur - por parte de Facebook, pero esa es otra historia.

Claro está, no solo atrajo la atención de usuarios, morbosos e inversores, y los investigadores de seguridad también le dedicaron su tiempo. De hecho, hubo un robo masivo de identidades que acabó publicado en Internet. Hoy en día, las cuentas que se filtraron de Snapchat están en Have I been Pwned?, donde está en quinta posición de las filtraciones en la red más importantes.

Figura 3: La filtración de Snapchat dejó 4.6 milllones de identidades expuestas

Ahora la filtración es distinta, ya que no se ha atacado directamente a los servidores de Snapchat, sino a un servicio que usa la gente para conseguir guardar las fotos que le envían con tiempo de expiración. El servicio se llama Snapchat Saved [caído actualmente] y se conecta a los servidores de Snapchat, baja la foto que se ha recibido desde cualquiera de sus contactos y se guarda en sus propios servidores. Es decir, funciona como un cliente de Snapchat para las fotos.

Figura 4: La web de Snapsaved (ahora caída) avisa que es un servicio en beta

Por supuesto, el servicio está expuesto en Internet, por lo que las fotos que se reciben en las cuentas que se han dado de alta en ese servicio también pasan a estar en Internet, y un fallo de seguridad en él, que además informa que está en beta, ha permitido que todas las fotografías allí guardadas pasen a estar en manos de todo el mundo. A día de hoy en su página Facebook han puesto una nota reconociendo que les habían hackeado por un fallo en la configuración de su servidor Apache que da soporte al sitio web. 

Figura 5: El post de Snapsaved reconociendo el hackeo por un bug en Apache

Lo peor es que el sitio pide las cuentas de Snapchat para funcionar, por lo que pueden que se hayan llevado también las identidades completas de todo el mundo, lo que haría que la cosa pudiera ir a mayores aún este escándalo. Y sobre todo, mucha gente no sabe ni que sus fotos están entre esas filtraciones, porque basta que esté dado de alta en ese servicio el destinatario de tus fotos, así que el que las envía no es consciente de eso.

Saludos Malignos!

Latch en Active Directory, Latch en GNU/Linux, Latch en OSX, Latch en IPTables, Latch para BlueTooth & more

$
0
0
Esta semana es la semana en la que vamos a presentar un buen número de cosas en el Security Innovation Day 2014 que podréis seguir por streaming a través de Internet o con el hashtag #SID2014 en Twitter, incluida alguna sorpresa con Latch que esperemos que os guste mucho a los amantes de jugar con la tecnología, pero antes de eso aprovecho para haceros un repaso de todo lo relativo a este proyecto que se ha hecho público durante el último mes y medio.

Figura 1: Algo pasa con Latch

A finales del mes pasado impartí una conferencia dentro del marco del Máster de Seguridad de la UEM - que comienza en unas semanas - titulada "Seguridad Empresarial Frente a Insiders" en la que explico cómo utilizar Latch para Windows en su versión Stand Alone y en su versión para Active Directory para crear escenarios de seguridad de Verificación de 4 Ojos o Supervisión. La charla completa, junto con las demos, la puedes ver online:


Figura 2: Seguridad empresarial frente a Insiders

Además de esto, durante este periodo hemos sacado una nueva versión de Latch para sistemas GNU Linux, UNIX y OS X que te permite controlar desde Latch tanto el proceso de Login interactivo gráfico, como el desbloqueo del protector de pantalla o el uso del comando su por parte de la cuenta de administración, además de por supuesto las conexiones al sistema mediante SSH.

En el blog de Eleven Paths tenéis un ejemplo paso a paso de cómo configurar el nuevo plugin de Latch en un GNU Linux Ubuntu y os dejaremos esta semana un paso a paso completo para sistemas OS X Mavericks y OS X Yosemite en cuanto que salga la versión final.

Figura 3: Fichero de configuración de Latch para Ubuntu

También durante este periodo nuestro compañero David Barroso (@lostinsecurity) se puso a resolver el problema que había dejado yo planteado como un posible trabajo de fin de estudios de controlar el Firewall de un sistema GNU Linux por medio de Latch, usando para ello el evento NFQUEUE de IPTables para tomar una decisión de bloquear o permitir el paso de una conexión basándose en los estados de Latch. El paso a paso lo tenéis publicado en "Cómo proteger los servicios en Linux con Latch y NFQUEUE" e incluso un código en Python sobre cómo hacerlo en sólo 26 líneas.

Figura 4: Integración de Latch en nfqueue e IPTables usando Python

Para que tengáis todas las novedades desde que os hice el último resumen de los avances en Latch, ya sabéis que a finales de Agosto os dejé información de una integración - hay realmente ya un par de ellas - de Latch para frameworks PHP Laravel, y en ese mismo periodo en HackPlayers sacaron la integración de Latch para controlar conexiones BlueTooth en un trabajo de hardware hacking en "Empujando a Latch fuera de Matrix".

 
Figura 5: Controlando conexiones Bluetooth con Latch

Si quieres ver más vídeos, he creado una lista con recursos y vídeos de Latch donde puedes ver cómo integrar Latch en Joomla, WordPress, Windows o cómo usarlo en múltiples sitios. Esa lista irá creciendo continuamente, así que será un buen sitio para ir a buscar información.

Saludos Malignos!

Reflected File Download with JSON Command Injection

$
0
0
Desde ayer que vi en Segu-Info la técnica de Reflected File Download publicada presentada en Black Hat Europe 2014 he estado jugando con ella. La verdad es que me parece un truco genial para ataques a clientes utilizando una inyección de comandos reflejada, en este caso, en las respuestas de un JSON o JSONP.

Figura 1: Reflected File Download presentada en BH EU 2014

Descripción del bug

La idea del bug inicialmente es sencilla, se pueden inyectar comandos en una URL que van a ser inyectados en una respuesta dada a través de un fichero JSON o JSONP. En ese entorno tendríamos ya inyectados los comandos en el cliente, conseguir la ejecución es otro truco añadido que os paso a contar cómo se hace.

El lugar donde se quieren ejecutar los comandos es en el propio sistema operativo, no en el navegador, para lo que es necesario que ese JSON inyectado salte del navegador al sistema operativo para lo que el investigador y descubridor de esta técnica se aprovecha de Content-Type especiales que fuerzan descargas directas de archivos. 

Figura 2: Inyección de un JSON más Content-Type de attachment

Por ejemplo, si desde Google Chrome haces clic en un enlace a una URL con extensión .bat y el Content-Type lo cataloga como un attachment, entonces el fichero pasa automáticamente a ser descargado al sistema operativo. Esto sucede en muchos tipos de extensiones y en casi todos los navegadores.

El último paso es sencillo - o no - y es conseguir la ejecución del fichero BAT dentro del sistema operativo. Digo que esto es sencillo o no, porque realmente depende del sitio que sea vulnerable y en qué contexto de seguridad tenga catalogado el navegador ese sitio. Si lo tiene en un lugar de confianza, entonces lo ejecutará automáticamente.

Resumiendo, si tienes un fichero .BAT que se genera a partir de parámetros que puedes inyectar en un fichero JSON y que se encuentra en una ubicación de confianza, entonces puedes hacer este ataque de Reflected File Download

¿Qué podría ser inyectar?

El truco es que cuando se ejecuta el fichero BAT se aprovecha del operador OR, escrito || en el interfaz de comandos Windows. Si pones el comando "mierda||calc.exe" resulta que el primer comando da FALSE así que se ejecuta el segundo, y como resultado tienes la calculadora.

Figura 3: Ejecución del segundo comando porque el primero da FALSE

Si por el contrario ejecutas "calc.exe||mierda" resulta que tienes la calculadora sin que se intente siquiera ejecutar el segundo comando.

Figura 4: Ejecución de Calc.exe porque la primera parte del JSON da FALSE

En el caso de que se lance la ejecución de un JSON con comandos inyectados directamente en el fichero, algo como lo siguiente, al usar el operador || hace que se ejecute el segundo comando gracias a que el primero ha fallado.

Figura 5: Ejecución de un exploit con inyección en un JSON vulnerable

Lo mismo en el caso de un exploit completo con varios OR por medio. Este es un exploit complejo utilizando esta técnica para arrancar Google Chrome sin protección alguna.

Conclusiones

La técnica es muy curiosa y efectiva, en ataques a JSON y JSONP que habitualmente se quedan fuera de muchas auditorías. Ya con el ataque Rosetta se hacía abuso de este tipo de inyecciones, en este caso para generar ficheros SWF maliciosos y hacer un Cross-Site SWF Injection que se saltara todas las protecciones. Estos bugs de RFD para conseguir ejecución en el sistema en un entorno de Intranet tienen mucho peligro, ya que el contexto seguro que es alto en todos ellos.

Saludos Malignos!

La extraña filtración de las 400 cuentas de Dropbox

$
0
0
Hoy la noticia es Poodle, la nueva vulnerabilidad en SSL localizada en sslv3 que permite, usando un padding, descifrar una sesión SSL con un JavaScript inyectado en cliente, pero yo quería hablaros del supuesto hackeo de las cuentas de Dropbox, ya que tiene tintes de ser una historia en la que los media se han dejado llevar por la emoción y las cosas se han ido de madre.

Figura 1: ¿400 o 7 Millones de identidades de Dropbox?

Cronología del Buzz

Ayer por la mañana leí muy temprano por la mañana la primera noticia sobre la filtración de Cientos de cuentas de Dropbox, pero ya había decido que iba a hablar en mi artículo diario iba a hablar de Reflected File Download, así que lo marqué en mi RSS para leer más tarde. 

Pasaron unas horas en las que estuve trabajando en otras cosas y me olvidé un poco del asunto. En medio de una reunión en Eleven Paths un compañero me dijo... "¿Has visto lo de las identidades de Dropbox?". "Sí, han filtrado unos cientos de ellas, parece que ha sido como lo de Snapchat por una app de terceros", contesté. "No, no, dicen que se han filtrado 7 millones." 

Figura 2: Titulares sobre la filtración

En ese momento flipé, miré noticias en Internet y es verdad la mayoría de los medios hablaban en sus titulares de casi 7 Millones de identidades filtradas.

Buscando la fuente

Con más calma, por la noche, me dediqué a buscar por Internet la fuente de la filtración, y resulta que es un pastebin en el que hay 400 identidades de Dropbox con usuarios y contraseñas. Eso sí, la nota dice que tiene casi 7 Millones de cuentas en su poder y que según reciba pagos en BitCoins irá liberando más, para lo que deja su cuenta. Cuando más dinero gane más filtrará, dice.

Figura 3: El pastebin con las identidades de Dropbox

Ese volumen de identidades filtradas hubiera sido la segunda filtración más grande en Have I been Pwned?, donde solo la filtración de Adobe supera esa cantidad de cuentas. A día de hoy no se han filtrado, por supuesto, así que asumo que no ha cobrado lo suficiente por ahora.

Dropbox dice

El equipo de Dropbox, supongo que sobrepasado por el buzzha confirmado que no ha sido hackeado en un post en su blog que puedes leer.

Figura 4: El post de Dropbox contestando a la supuesta filtración

Lo más curioso es que, en una actualización, ellos mismos confirman que las cuentas filtradas no funcionan porque estaban expiradas, así que parece que es una situación similar a las de las cuentas de Gmail, que podrían haber sido robadas con malware o con una app maliciosa.

Figura 5: Actualización confirmando que las nuevas filtraciones eran falss

Aún así, apareció por Internet una nueva remesa de cuentas de Dropbox, pero parece que eran un autentico fake, tal y como ponen en su post.

Pon un segundo factor de autenticación en Dropbox

El mensaje al final de toda esta historia es, además de ten cuidado con leer solo los titulares, que no debes preocuparte por esta filtración, sino por todas tus identidades. Pon un segundo factor de autenticación a todas las que puedas, tal y como dice también el post de Dropbox.

Figura 6: Cómo poner un 2FA en Dropbox

Google Authenticator, Verificación en 2 Pasos en Apple, Latch en todas las cuentas que puedas y en el caso de DropBox hay un segundo factor basado en SMS y en la app de de Dropbox para el móvil. No funciones de susto en susto, gestiona tu identidad online de forma segura y evita los sobresaltos.

Saludos Malignos!

X-XSS-Protection HTTP Header y los filtros Anti-XSS

$
0
0
Cuando salió el filtro Anti-XSS en Internet Explorer 8 - el primer navegador de Internet que lo aplicó - se generó mucha polémica. El que un filtro del lado del cliente pudiera modificar el contenido que venía mostrado desde el servidor - pese incluso a que pudiera ser mediante un ataque de XSS Reflejado - levantó muchas opiniones a favor y en contra. De hecho, rápidamente los investigadores buscaron formas de saltarse el filtro e, incluso, de utilizar la manipulación del filtro para convertir páginas no vulnerables en páginas vulnerables.
Hoy en día Google Chrome, Apple Safari e Internet Explorer lo implementan por defecto, pero queda en manos del usuario el poder deshabilitarlo en caso de así desearlo, sobre todo por si le da problemas al trabajar con alguna web que, más que probablemente, está mal diseñada. En un ataque de XSS, saltárselo siempre es un paso que hay que hacer, por lo que los bugs de estos filtros de seguridad se hacen también muy populares, como los casos que os he publicado por aquí en algunos artículos:
Por otro lado, al mismo tiempo que se da al usuario la posibilidad de controlar el filtro Anti-XSS, los servidores web también tienen un HTTP header que pueden enviar al navegador para habilitar o deshabilitar dicho filtro, en caso de que el usuario haya deshabilitado el filtro y el servidor web no quiera que así sea, o viceversa, es decir, en caso de que el filtro esté habilitado en el cliente y el servidor web desee que se deshabilite. Ese HTTP header es el X-XSS-Protection.

Figura 2: Filtro Anti XSS en Internet Explorer 8 modificando la web

Los HTTP headers que empiezan por X- son variables extendidas que no se encuentran dentro del estándar, pero que se pueden popularizar más o menos dependiendo de quién las utilice. De estos hay muchos, como el famoso X-Frame-Options para evitar ataques de Clickjacking, o como alguna que otra política de contenido que ya os contaré más adelante en algún post. En este caso, el HTTP header X-XSS-Protection se entendido tanto por Google Chrome, Apple Safari como por Internet Explorer desde la versión 8 hasta la actual y permite configurar el filtro Anti-XSS del navegador por medio de esta política.

Figura 3: Google Chrome permite deshabilitar el filtro Anti-XSS,
llamado XSS Auditor, por parámetros en el arranque de la aplicación

Cuando el valor del HTTP Header X-XSS-Protection de una web tiene un valor 1; mode=block, está forzando a que el filtro Anti-XSS esté habilitado en el navegador - incluso si el cliente lo ha deshabilitado -, mientras que si se configura con valor 0 se está deshailitando incluso si el cliente lo tuviera habilitado. Si no se pone el HTTP Header X-XSS-Protection con ningún valor, entonces es elección del cliente habilitar o deshabilitar el filtrado Anti-XSS, aunque por defecto casi todo el mundo lo tiene activo en Google Chrome, Apple Safari e Internet Explorer.

Figura 4: X-XSS-Protection:1 en un servidor de Google

Dicho esto, la recomendación de seguridad es forzar la activación del mismo, consiguiendo una mejor fortificación del entorno, ya que un ataque de XSS puede afectar a la seguridad de los clientes y por tanto a la seguridad del servidor web completo. Sin embargo, puede pasar que, como se ve en este caso de Facebook, temporalmente hayan forzado deshabilitarlo.

Figura 5: X-XSS-Protection 0 en un frontal de Facebook

Hacer esto tiene unos riesgos que se asumen por problemas de compatiblidad, pero que son un mal menor en un proceso de continuidad de negocio. Este HTTP Header de X-XSS-Protection = 0 en Facebook está dejando sin protección Anti-XSS a los clientes de Google Chrome, Apple Safari e Internet Explorer que se conecten a estos frontales, por lo que se deben extremar la protección contra este tipo de ataques dificultándolos con algunas otras medidas, como las Content Security Policies, algo que Facebook sí que utiliza.

Saludos Malignos!

Latch Plugin Contest: Gana 10.000 USD en BitCoins

$
0
0
Ayer durante la segunda edición del Security Innovation Day 2014 desvelamos muchas cosas de Latch, MetasShield Protector, Faast y Path 5, así como la incorporación de las tecnologías y el equipo de SmartAccess dentro de la familia de Eleven Paths. Fue un evento para el que habíamos trabajado mucho, e intentamos dosificar la información, pero ahora intentaré durante estos próximos días ir resumiendo por aquí todo lo que allí contamos, y hoy toca comenzar por el Latch Plugin Contest.


Figura 1: Chema's Ocean's Eleven

Desde que lanzamos Latch hace sólo 10 meses, lo que más nos ha gustado ha sido comentar las integraciones y hacks que la gente hacía con la tecnología. Algunos son plugins hechos para entornos que nosotros no tenemos dentro de los plugins y SDK oficiales, otros son hacks mucho más curiosos que incluso implican la integración de hardware. En la siguiente lista os dejo algunas de las cosas que la comunidad ha hecho con la plataforma Latch.
Tanto nos gusta esto, que decidimos hacer un concurso-competición para premiar las mejores ideas, que hay mucho que se puede "Latchear". ¿Tú SmartTV? ¿Tus XBOX? ¿Un sistema para controlar el volumen de tu portero para evitar que te molesten por la noche? ¿Un hack para controlar las sesiones de Facebook? ¿Desconectar sesiones de una web matando cookies con Latch? ¿Controlar la publicación de secretos en la web con Latch? El límite lo pones tú, pero queríamos premiarlo, por eso lanzamos Latch Plugin Contest.
Se podrá presentar cualquier trabajo realizado, no importa si es tu Trabajo Fin de Carrera, Trabajo Fin de Máster, si es un hack que has hecho en tu casa, un plugin que necesitabas para una integración, el uso de Latch con un producto comercial, o similares. También puedes trabajar en equipo, aunque solo habrá una candidatura para el premio, pero puedes hacer algo con tus compañeros para que sea más sorprendente. Desde Eleven Paths solo queremos premiar a los mejores con 10.000 USD, 5.000 USD y 1.000 USD que serán pagados en BitCoins.

Figura 3: Premios del Latch Plugin Contest

Todos los SDK de Latch son Open Source, el 99% de los plugins también son Open Source, toda la API de Latch está documentada en la web de developers y en los artículos que te he publicado tienes ejemplos de código, con lo que sumando todos los recursos tienes información suficiente para comenzar a integrar Latch. Además tienes un artículo que explica en detalle el concepto de Latch con arquitecturas y casos de uso posibles y una lista de vídeos con ejemplos de uso de Latch.

Figura 4: Fecha límite para entrega de los plugins & hacks con Latch

Además, si eres un estudiante, o no tienes empleo, podrás tener una beca de 6 meses trabajando en Eleven Paths con nuestro equipo y... luego quién sabe. Tal vez seas parte del equipo que desarrolle el nuevo Path 6 al fin y al cabo. Toda la información del concurso lo tienes en la web de Latch Plugin Contest.

Saludos Malignos!

Una mirada Faast a Apple buscando a Poodle

$
0
0
Los dominios de Apple han sido tradicionalmente un buen sitio donde buscar ejemplos de vulnerabilidades y debilidades. No es casualidad que desde hace mucho tiempo fuera donde probábamos los trucos de Foca para después reportarles los bugs que íbamos localizando en sus servidores. Hoy en día sigue siendo un buen sitio para ello. El volumen de servidores y tecnologías es muy alto, y siempre es fácil ejemplos de cosas nuevas en ellos.

Figura 1: Buscando un caniche en Apple

Buscando a Poodle

En este caso, quería probar el plugin de detección de Poodle que habíamos construido para nuestro servicio de pentesting persistente Faast, así que lo lancé sobre el dominio de Apple.com a ver si alguno de los certificados digitales era vulnerable a esta nueva técnica de ataque. Ya sabía yo que lo más probable era que sí, como se demostraría al poco de comenzar el escaneo, así que configuramos la plataforma para hacer la parte de descubriento y análisis pasivo, es decir, solo leyendo configuraciones de cliente sin lanzar ningún módulo de explotación. Para descubrir si algún servidor es vulnerable a Poodle solo hace falta analizar la configuración del certificado y comprobar si se puede hacer el downgrade de la negociación.

Figura 2: Un par de ejemplos vulnerables a Poodle descubiertos con Faast

La discusión en la red es que al fin y al cabo, no parece que sea extremadamente fácil explotar Poodle para alguien sin gran control en la red, pues al igual que en ataques similares en el pasado en los que hay que controlar un padding, hace falta encajar un entorno de man in the middle con una inyección client-side de JavaScript que permita al atacante controlar el relleno en el flujo de datos en el CBC para poder descifrar después la información que se envía detrás del padding.

Content Security Policies

Pensando en ello, la mejor forma de fortificar la plataforma frente a Poodle sería hacer una fortificación de todas las conexiones a los servicios web mediante un HTTPs - para evitar una inyección con el mismo ataque man in the middle en las conexiones que no lleven esa protección y, a ser posible, sacar partido de las Content Security Policies para evitar inyecciones en client-side no deseadas dentro de las webs.

El uso de las CSP no está demasiado extendido aún en todos los servicios de Internet, pero nosotros en Faast lo buscamos y alertamos a nuestros clientes de que su sitio podría estar un poco más seguro si fortifica la plataforma añadiendo unas políticas de contenido ajustadas a la estructura del sitio, evitando la carga de contenido script inline o la carga de plugins desde ubicaciones terceras, etcétera. 

Figura 3: Algunos dominios sin fortificación CSP en Apple.com

En el caso de Apple, no aparecen demasiados sitios con CSP activado, y por supuesto, los dos ejemplos de certificados vulnerables a Poodle no están en la lista de los que la aplican, con lo que las inyecciones client-side están un poco menos protegidas que en otros que sí lo aplican. Por supuesto, a pesar de eso seguiría siendo difícil inyectar en el cliente si no hay un bug, pero siempre se puede sumar alguna debilidad extra.

Contenido Mixto HTTP & HTPPS

Otra de las cosas que mira Faast es si en una sesión HTTPs algún contenido se envía por HTTP, rompiendo la privacidad de la conexión y permitiendo a un atacante que esté haciendo man in the middle inyectar en el cliente algún código. Apple no tiene demasiado cuidado de esto, y basta con ir a cualquier app de la App Store para ver cómo las imágenes se cargan desde la caché en la CDN bajo conexiones inseguras, haciendo que salten las alertas en el navegador.

Figura 4: Contenido mixto HTTP - HTTPs en iTunes

En el caso del servidor de imágenes, podemos ver que a pesar de que permite una conexión HTTPs, luego carga contenido por HTTP, lo que permitiría esa inyección en un entorno de man in the middle. Al final no estoy diciendo que sea fácil la explotación de Poodle en Apple, ni mucho menos, sino que en los grandes entornos es fácil encontrar puntos débiles en los servidores.

Figura 5: Contenido HTTP servido en algunas conexiones HTTPs

En este caso se han dado unas características curiosas porque al final, el certificado que esta en el servidor images.apple.com no está creado para ese dominio, ya que lo único que sucede es que comparten el mismo servidor www.apple.com e images.apple.com con un certificado emitido para la CDN de Akamai en Reino Unido, que es el CPD que me está sirviendo tanta la web de www.apple.com como images.apple.com a mí en España.

Figura 6: El certifiado que ser sirve en https://images.apple.com

Al final, como se puede ver, cuando sale un bug tipo Poodle, el que la seguridad de tu infraestructura esté fortificada en todos los puntos o no ayudará a que sea más fácil explotar esa vulnerabilidad...o no. Así que la recomendación es siempre la misma, aplica las reglas de la fortificación de sistemas siempre que puedas: Mínimo Punto de Exposición, Mínimo Privilegio Posible y Defensa en Profundidad. La seguridad de tus sistemas te lo agradecerán.

Saludos Malignos!

You Leak IT: La info de tu empresa vale dinero

$
0
0
Figura 1: You Leak IT, la empresa que te da dinero por lo que viste y oíste en tu trabajo
- You Leak IT, dígame. 
- Hola, buenas, ¿es ahí donde pagan por información de las empresas? 
- Por información técnica de las empresas, sí.  
. ¿Y pagan mucho? 
- Depende. 
- ¿A qué se refiere? 
- Depende de la cantidad, la calidad, la fiabilidad y la demanda de la misma. 
- ¿Y eso cómo se sabe? 
- A ver que le explico: Usted ha estado trabajando en una empresa largo tiempo. En ese tiempo ha podido ver cosas como la marca y el modelo de la impresora o el de su monitor. Eso no es demasiado importante y valdría poco. Pero si ha sido avispado ha podido aprender cuál es el direccionamiento de la red, los nombres de los servidores o las versiones de software que hay instaladas en los servidores. Si aún ha tenido más contacto con los equipos de IT o seguridad, tal vez podría contarnos cosas de sus hábitos, sus usuarios, sus nombres, sus alias en la red, o información de contacto fuera del trabajo. Los detalles son importantes y pueden llegar a valer mucho dinero. 
- ¿Y si dudo en algunas cosas? 
- Pues entonces la información será menos valiosa. Con cada pieza de información que nos de deberá catalogarla con un grado de certeza que ira de Totalmente Seguro a No estoy seguro. Cuando mayor sea su grado de certeza más valdrá la información. 
- ¿Entonces si digo que el grado de certeza es 100% en todo cobro más? 
- Por supuesto... pero no lo cobrará todo hasta que uno de nuestros clientes o expertos lo verifique - que podrías ser más o menos tarde - y si resulta que ese Totalmente Cierto no es del todo Totalmente Cierto, entonces podríamos tener... ¿cómo lo diríamos? ... un contratiempo en los negocios. 
- Ya, entiendo. ¿Y sabe si los datos de mi empresa son valiosos? 
- A ver, las empresas las tenemos catalogadas en grupos. El grupo A está formado por aquellas empresas que tienen demanda de información actualmente. El grupo B son las empresas que nuestros analistas han catalogado siempre como de primera necesidad, ya que se encuentran... cosas importantes que nuestros clientes siempre acaban demandado. Las del grupo C son, digamos, de casuística general. Las del grupo D son empresas de poco valor, pero... si nadie nos ha vendido esa información antes, puede que le hagamos una oferta. ¿Quiere saber en qué grupo está su empresa para que empecemos a hablar? 

- Sí, claro. La empresa de la que me han echado y en la que he estado trabajando 18 meses es NosotrosVendemosCosas S.A. ¿Qué me dice? 

- Pues tiene suerte, es una empresa de tipo A. tenemos una petición permanente de información sobre ella. Parece que alguien está interesado en su empresa. 

- No me extraña que le interese a alguien, con la de proyectos que estamos llevando y los trapos sucios que hay ahí, cualquiera pagaría para acabar con los que están en el consejo. 

- Bueno, podemos empezar entonces con el cuestionario, pero tendría que venir a nuestras oficinas. Ya sabe, estas cosas requieren cierta confidencialidad. 

- Entiendo, pero preferiría quedar en el anonimato. 

- Ah, en ese caso la información se pagará en varios plazos, según vayamos confirmando que no nos está engañando con los datos. Como es una empresa de tipo A, lo permitimos.  

- No me importa, creo que las cosas que les voy a decir valdrán suficiente como para duplicar el sueldo que cobre de estos y además mantenerme a salvo de todos.
- Como usted quiera, se le ve confiado en la calidad de la información que tiene. Eso me gusta. 

- Y que lo diga. ¿Pagan mucho por los trapos sucios también?¿Amantes de directivos? ¿Vícios del personal? 

- Bueno, nosotros estamos más interesando en la parte técnica, ya sabe, servidores, usuarios, contraseñas, terminales móviles, tablets, etcétera, pero por supuesto toda la información relativa a directores y managers técnicos que pueda ser de utilidad para nuestros clientes será bienvenida y cotizada como merece. 

- Genial. Pues dígame cómo comenzamos que estoy dispuesto a ganarme un buen dinerito. 

- Por supuesto que sí, le paso con nuestro departamento técnico que le explicará cuáles son los procedimientos que usamos para garantizar su anonimato al máximo. A nosotros nos preocupa mucho la privacidad de nuestros clientes y nuestras fuentes. Mucha suerte. 
- Vamos a ello, que tengo ganas ya de empezar a cobrarme lo que me han hecho.
Saludos Malignos!

¿Quieres saber si tu conexión a Internet está en una botnet?

$
0
0
Durante el último Security Innovation Day 2014, una de las cosas que contamos es el acuerdo que hemos llegado desde Eleven Paths y Telefónica con la Digital Crime Unit de Microsoft para compartir información. Bajo ese acuerdo nosotros desde Telefónica compartiremos información desde el Big Data que utiliza el servicio de Vigilancia Digital y les daremos acceso a nuestra plataforma de investigación de malware para smartphones "Path 5", además de colaborar en la respuesta ante incidentes.

Figura 1: Cómo saber si una dirección IP está en una botnet detectada por Microsoft

Por otro lado, Telefónica & Eleven Paths se convierte en la primera empresa privada que firma con Microsoft un acuerdo como éste y estamos recibiendo ya un feed con los incidentes de malware que están siendo detectados por la Digital Crime Unit. El objetivo final de este acuerdo es mejorar la seguridad de los clientes conjunto de Microsoft y Telefónica a nivel mundial y para ello vamos a comenzar un trabajo de análisis de datos y cruce de información para ver qué puntos podemos unir en esta lucha.

 
Figura 2: Acuerdo entre Microsoft Digital Crime Unit & Telefónica - Eleven Paths

Otra de las entidades que está recibiendo este feed de información es INTECO desde hace tiempo. En su feed, ellos reciben todos los incidentes que tienen que ver con botnets en equipos detrás de conexiones desde direcciones IP de España y para conseguir que los usuarios tomen medidas, se ha creado un servicio desde la Oficina de Seguridad del Internauta, que permite consultar si tu conexión IP a Internet ha aparecido dentro de las redes detectadas como infectadas.

Figura 3: Servicio AntiBotnet de la OSI 

El servicio es muy sencillo, basta con Aceptar las condiciones del servicio y recibirás si desde la dirección IP desde la que te estás conectando Microsoft tiene información de algún equipo infectado o no.

Figura 4: Comienzo de acceso al servicio

Recibirás una respuesta que te dirá, además, qué información relativa a ese incidente hay disponible y enlaces con más detalles sobre la dirección IP y la infección detectada para tomar acciones al respecto.

Figura 5: Resultados. Mi conexión no aparece en ese feed.

Otra de las opciones que hay disponibles es la de llevar la consulta a esta información mediante un plugin de navegador que te permita tener una alerta en cualquier conexión en la que te estés conectando.

Figura 6: Plugin OSI AntiBotnet para Google Chrome

Esto es útil para entender cuándo una red a la que te estás conectando no es lo segura que debería y tomes las medidas oportunas. Si la conexión aparece en el feed, además se podrá tener información del sistema operativo en concreto que estaba infectado, por lo que si eres una empresa deberás comenzar a tomar medidas.

Figura 7: Información del plugin para Google Chrome

Nosotros ahora, desde Eleven Paths vamos a comenzar a analizar esta maravilla de información para ver qué podemos construir que desde que cerramos el acuerdo estamos analizando los detalles concretos para sacar el máximo de ella. Además, gracias a un acuerdo de este año con Kaspersky contamos con otra fuente de información a cruzar que seguro que nos ayuda a entender mejor las amenazas.

Saludos Malignos!
Viewing all 4223 articles
Browse latest View live