El pendrive de la muerte

He creado un dispositivo, basado en Arduino Micro, que hace totalmente imposible el control de un ordenador al que se conecta mediante USB. Al conectarse, crea un teclado y un ratón virtual a través del puerto usb. Luego, envía caracteres aleatorios por el teclado seguidamente de un Intro después de cada uno, mueve el ratón en direcciones aleatorias girando también la rueda del ratón y por último da un click con el botón derecho, izquierdo o el del medio (la rueda) (aleatoriamente también) después de cada movimiento del ratón. 

He probado su potencia en VirtualBox: se empiezan a abrir ventanas de todo tipo tan rápido que no le da tiempo a mostrar una antes de que salgan unas cuantas más. También se abren archivos con el bloc de notas y, claro, se les mete un montón de m*ier*a con el teclado virtual. Después de un rato, en la pantalla ya se para el festival viendose ventanas a trozos. Entonces decido desconectar el dispositivo. Bueno, ya lo veréis en el video que grabé. 
 



Este dispositivo, si se hace con Arduino Micro, es relativamente fácil de encapsularlo en una carcasa de un pendrive y soldarle un conector usb de tipo A macho....
Así que ya sabes, si alguien te presta un pendrive y no es un pendrive normal... 

Bueno, para que no sea tan incontrolable, le he puesto unos pines de configuración que, si pones un puente entre el pin 2 y tierra debes enviar un "10" por el puerto serie para que empiece; y si lo pones entre el 2 y el 3 hay simplemente cuenta atras de 60 segundos. 

El código está distribuido bajo licencia GPL v3 y yo NO ME HAGO RESPONSABLE DE TODAS LAS MALDADES QUE HAGAIS CON ESTO.

Repositorio github del código: https://github.com/Aztemat/DoS-over-Mouse-Keyboard/

pd. El código es solo compatible con placas arduino que tienen el puerto USB nativo, que si no recuerdo mal son: Arduino Leonardo, Micro, Due y alguna más.

Saludos de Aztemat

Cómo hacer una campaña de phishing paso a paso con Phishing Frenzy

Phishing Frenzy es una aplicación de código abierto en Ruby on Rails que pueden adoptar los pentesters para gestionar campañas correo de electrónico de phishing. El proyecto lo inició en 2013 Brandon "zeknox" McCann para hacer más eficiente el proceso haciendo las campañas de phishing lo más realistas posibles a través de su gestión, reutilización de plantillas, generación de estadísticas y otras características.

Vamos a hacer una campaña de ejemplo para que os hagáis una idea del uso de la herramienta y de sus posibilidades. Para ello, vamos a idear un phishing falsificando la página de login de LinkedIn, recopilando las direcciones de correo de una empresa y enviando como gancho un mensaje con un enlace a una supuesta oferta de empleo.

Empezaremos instalando Phishing Frenzy en una máquina virtual Kali Linux pero, en lugar de invertir más de una hora en instalar paso a paso lo necesario, vamos a aprovechar Docker para bajarnos directamente el contenedor y empezar a usarlo en tan sólo unos minutos.

Para ello nos traemos e instalamos directamente el repositorio:

vmotos@kali:~$ sudo docker pull b00stfr3ak/ubuntu-phishingfrenzy

Confirmamos que la imagen se ha instalado correctamente:

vmotos@kali:~$ sudo docker images
REPOSITORY                         TAG                 IMAGE ID            CREATED             VIRTUAL SIZE
b00stfr3ak/ubuntu-phishingfrenzy   latest              3863078923b4        3 months ago        1.24 GB

Y ejecutamos:

vmotos@kali:~$ sudo docker run -d -p 80:80 b00stfr3ak/ubuntu-phishingfrenzy
c8c31f9e4979ab6e272cc816ad021da2f88d8ce3095c98403001a02529b03fd8            3863078923b4        3 months ago        1.24 GB

Recopilatorio de aplicaciones y sistemas vulnerables para practicar

Aman Hardikar recopila en su web un interesante recopilatorio de aplicaciones y sistemas vulnerables para practicar. No os perdáis tampoco su mindmap. Bon Appétit!

Aplicaciones web vulnerables
OWASP BWA http://code.google.com/p/owaspbwa/
OWASP Hackademic http://hackademic1.teilar.gr/
OWASP SiteGenerator https://www.owasp.org/index.php/Owasp_SiteGenerator
OWASP Bricks http://sourceforge.net/projects/owaspbricks/
OWASP Security Shepherd https://www.owasp.org/index.php/OWASP_Security_Shepherd
Damn Vulnerable Web App (DVWA) http://www.dvwa.co.uk/
Damn Vulnerable Web Services (DVWS) http://dvws.professionallyevil.com/
WebGoat.NET https://github.com/jerryhoff/WebGoat.NET/
PentesterLab https://pentesterlab.com/
Butterfly Security Project http://thebutterflytmp.sourceforge.net/
Foundstone Hackme Bank http://www.mcafee.com/us/downloads/free-tools/hacme-bank.aspx
Foundstone Hackme Books http://www.mcafee.com/us/downloads/free-tools/hacmebooks.aspx
Foundstone Hackme Casino http://www.mcafee.com/us/downloads/free-tools/hacme-casino.aspx
Foundstone Hackme Shipping http://www.mcafee.com/us/downloads/free-tools/hacmeshipping.aspx
Foundstone Hackme Travel http://www.mcafee.com/us/downloads/free-tools/hacmetravel.aspx
LAMPSecurity http://sourceforge.net/projects/lampsecurity/
Moth http://www.bonsai-sec.com/en/research/moth.php
WackoPicko https://github.com/adamdoupe/WackoPicko
BadStore http://www.badstore.net/
WebSecurity Dojo http://www.mavensecurity.com/web_security_dojo/
BodgeIt Store http://code.google.com/p/bodgeit/
hackxor http://hackxor.sourceforge.net/cgi-bin/index.pl
SecuriBench http://suif.stanford.edu/~livshits/securibench/
SQLol https://github.com/SpiderLabs/SQLol
CryptOMG https://github.com/SpiderLabs/CryptOMG
XMLmao https://github.com/SpiderLabs/XMLmao
Exploit KB Vulnerable Web App http://exploit.co.il/projects/vuln-web-app/
PHDays iBank CTF http://blog.phdays.com/2012/05/once-again-about-remote-banking.html
GameOver http://sourceforge.net/projects/null-gameover/
Zap WAVE http://code.google.com/p/zaproxy/downloads/detail?name=zap-wave-0.1.zip
PuzzleMall http://code.google.com/p/puzzlemall/
VulnApp http://www.nth-dimension.org.uk/blog.php?id=88
sqli-labs https://github.com/Audi-1/sqli-labs
Drunk Admin Web Hacking Challenge https://bechtsoudis.com/work-stuff/challenges/drunk-admin-web-hacking-challenge/
bWAPP http://www.mmeit.be/bwapp/
http://sourceforge.net/projects/bwapp/files/bee-box/
NOWASP / Mutillidae 2 http://sourceforge.net/projects/mutillidae/
SocketToMe http://digi.ninja/projects/sockettome.php

Se acerca la II edición de BSides Colombia

En su segundo año, BSides Colombia sigue buscando proponer un evento diferente en Colombia que logre reunir a entusiastas, profesionales, novatos, estudiantes y todos los involucrados en seguridad de la información en un espacio dedicado al conocimiento y la innovación sobre este tema.

El 1 y 2 de Septiembre se abrirá este espacio con 3 entrenamientos; botnets 102, auditoria de contraseñas y pentesting con python, las cuales serán un espacio para que los asistentes puedan aprovechar al máximo entrenamientos de la más alta calidad a un valor especial creado para atraer a los seguidores de BSides Colombia.

El 3 y 4 de Septiembre empiezan las charlas, donde por medio de un CFP que estará abierto hasta el 31 de Julio, se esperan propuestas de investigación, nuevas herramientas, experiencias frente a seguridad de la información, que puedan generar el mejor ambiente de conocimiento, dentro de un evento informal, donde la investigación y el desarrollo de nuevas ideas inspire a los asistentes a vivir la seguridad como se debe... con pasión.

En la página principal de Security BSides se define el evento como un framework creado por la comunidad para construir eventos para y por los miembros de la comunidad de seguridad. Donde su objetivo sea expandir el espectro de la conversación mas allá de los confines tradicionales del tiempo y el espacio.

Bajo esta filosofía, este año BSides Colombia quiere ofrecer a todos los asistentes retos, espacios interactivos que permitan  una discusión real de cómo debe ser la seguridad dentro del entorno especifico del país y hacia donde se deben generar los nuevos desarrollos que permitan dar solución a problemáticas reales.

Este año el evento espera convertir a los asistentes de consumidores a practicantes de seguridad de la información generando una conciencia más amplia frente al sentido que tiene vivir la seguridad y no solo entrar a un consumo de productos de seguridad sin la claridad de las necesidades y amenazas que deben apoyar la decisión de ese consumo.

Con todas estas ideas los esperamos en BSides Colombia 2015 del 1 al 4 de Septiembre, toda la información se puede encontrar en www.b-sides.co.


El twitter del evento es: https://twitter.com/BSides_CO

¿Cuál es la normativa actual para volar drones en España?

Recientemente publicaron en Youtube un vídeo en el que se mostraba disparando a un dron casero multirotor con una pistola semiautomática integrada. Podéis imaginar el gran impacto y repercusión que tuvo este vídeo con el que (por fin) empezaron a vislumbrar los peligros del uso de drones en el plano civil. Seguramente cualquiera que acople un arma a un dron de menos de 100€ y lo eche a volar tendrá problemas pero, ¿qué es exactamente lo que podemos hacer de forma legal con los drones?
 
En España hace solo un año que el Gobierno aprobó de forma acelerada un decreto ley temporal. Concretamente desde julio de 2014, la Agencia Estatal de Seguridad Aérea (AESA) contempla los drones como aeronaves pilotadas por control remoto y regula su uso civil para fines comerciales. Eso sí, si el dron pesa más de 150 kg, deberemos remitirnos a la normativa de la EASA (European Aviation Safety Agency)


La siguiente infografía de la agencia EFE resume perfectamente la legislación actual en España hasta que se actualice la norma (antes de 2016):
  

Eso sí, si simplemente vamos a pilotar un dron para divertirnos, sin ningún fin comercial, legalmente no es un dron, sino un vehículo de radiocontrol, y está bajo la jurisdicción de la Real Federación Aeronáutica de España y de cada comunidad autónoma. Aunque en ese caso también hay restricciones. El aparato no puede volar a altitudes superiores a los 100 metros de altura, ni sobre núcleos urbanos o lugares habitados. De hacerlo, podríamos enfrentarnos a sanciones si alguien te denuncia. El uso deportivo o lúdico de drones será también regulado en la nueva normativa.

Fuentes:
- 'Drones' sí, pero seguros: el Gobierno aprueba una ley para regular su uso
 -Proyecto de Real Decreto por el que se regula la utilización civil de las aeronaves pilotadas por control remoto
- BOE del sábado 5 de julio de 2014
- Drones para dummies
- El ataque de los drones piratas
- La Normativa española de drones en la UE
- De territorio sin ley a tener tres: así están regulados los drones en España 
- Nueva normativa de drones – Abril 2015
- Nueva ley sobre el uso de drones en España
- ¿Está prohibido volar drones en España? Esta es la normativa
- La nueva normativa sobre drones estudia permitir su vuelo en zonas urbanas
- Drones: La legislación en España sobre sus vuelos

- Europa apuesta por los drones – legislación europea de drones 

Instalando Docker en Kali Linux y echando un vistazo a su seguridad por defecto (Docker Bench for Security)

Docker nació en 2013 y básicamente es una plataforma para crear, distribuir y administrar aplicaciones Linux en contenedores. Utiliza la capacidad del kernel de Linux de crear entornos aislados como si fuera un "chroot con esteroides" y lo hace principalmente mediante:

- cgroups (desde la versión 2.6.29) que limita, controla y aísla el uso de los recursos (CPU, memoria, disco E/S, red, etc.) de un conjunto de procesos.
- namespaces que "envuelve" los procesos de una instancia aislada en espacios de nombres para abstraerlos de los recursos globales.

Las últimas versiones han introducido drivers y una librería llamada libcontainer, que ayuda a que Docker sea totalmente multiplataforma, teniendo compatibilidad con Windows y Mac OS X e incluso distintos servicios en la nube:


https://docs.docker.com/installation/

¿Por qué Docker mola tanto?

Piensa ¿para qué levantar una máquina virtual para ejecutar una determinada aplicación si podemos hacerlo simplemente desde un contenedor en nuestro sistema operativo de una forma mucho más transparente, rápida y liviana?

Docker además simplifica el despliegue y distribución de aplicaciones. Imagina la posibilidad de tener todo el entorno para la aplicación y publicar los cambios que se realicen fácilmente, además de hacer todo el despliegue en producción de una manera bastante fácil y profesional.

Las ventajas son claras y por eso Docker es tan popular. El uso de contenedores se está extendiendo poco a poco y cada vez más entre la comunidad TI así que nosotros también vamos a empezar a usar Docker y algunos contenedores interesantes...

'Zero Days', el documental

VPRO (el organismo de radiodifusión pública holandesa) produjo un documental de 45 minutos sobre hacking y el comercio de los 0-days. El documental ha sido publicado en Inglés en Youtube.

El documental cuenta con Charlie Miller, Joshua Corman, Katie Moussouris, Ronald Prins, Dan Tentler, Eric Rabe (de Hacking Team), Felix Lindner, Rodrigo Branco, Ben Nagy, El Grugq y muchos otros. ¿Subtítulos en español?

Un unicornio y powershell para evadir antivirus

Ya en 2010, en la conferencia BlackHat, David Kennedy ("ReL1K") y Josh Kelley ("Winfang") hablaban de Powershell como un vector de ataque con el que podían implementar un shell directo o inverso difícil de detectar por AV y HIPS, incluso FUD.

Microsoft Windows 7 SP1 y Windows Server 2008 R2 fueron las primeras versiones en incluir PowerShell (versión 2.0) instalado por defecto y desde entonces se ha ido siempre incluyendo en las versiones posteriores. Hoy, Windows Server 2012 R2 y Windows 8.1 incluyen la versión 4.0 de PowerShell. Por lo tanto usar PowerShell para atacar a una máquina Windows es buena idea.

En esta entrada vamos a ver Unicorn, un script en Python escrito precisamente por David Kennedy (Trustedsec) y que se basa en una técnica que presentó junto con Josh Kelley en la Defcon 18: un downgrade en Powershell para inyectar un shellcode en memoria.

En la última release 2.0 de la herramienta se incluyen distintos tipos de ataque (macro, html/hta, crt, ps1) y para llevarlos a cabo sólo tenemos que descargarnos el script y tener instalado por defecto Metasploit.

$ wget https://raw.githubusercontent.com/trustedsec/unicorn/master/unicorn.py

Commix: herramienta todo-en-uno para explotar vulnerabilidades de inyección de comandos

Commix ([comm]and [i]njection e[x]ploiter) es una herramienta de Anastasios Stasinopoulos (@ancst) que te permitirá encontrar y explotar de forma muy fácil y rápida vulnerabilidades de inyección de comandos en ciertos parámetros y cadenas vulnerables de un servidor web. 


Está escrito en Python (2.6.x o 2.7.x) y está incluida en los repositorios oficiales de:

Pre-instalada en:
O puedes clonar directamente el repositorio Git:

git clone https://github.com/stasinopoulos/commix.git commix

Para obtener una lista de todas las opciones disponibles:

python commix.py -h

Realiza ataques de phishing en un santiamén con SPF (SpeedPhish Framework)

¿Estás en el chiringuito de playa y sientes la necesidad de juakear a algo o a alguien?, ¿sientes la llamada de la ingeniería social? ¿qué tal un phishing rápido?. Déjame decirte primero que estás enfermo... y luego hablarte de SPF (SpeedPhish Framework), una herramienta escrita en python diseñada para realizar un rápido reconocimiento y desarrollo de phishings. Así que levanta la tapa de tu netbook y empieza a teclear...

Requisitos & instalación

apt-get update
apt-get upgrade -y
apt-get install build-essential python-dev python-pip phantomjs -y
pip install dnspython
pip install twisted
git clone https://github.com/tatanus/SPF.git

Ejecución

cd spf
python spf.py --all -d dominio.com (si has configurado previamente la pasarela SMTP y no quieres mandar los correos a las víctimas usa mejor --test)

[!] A CONFIG FILE was not specified...  defaulting to [default.cfg]

/home/vmotos/SPF/spf/dominio.com/
/home/vmotos/SPF/spf/dominio.com/spf.sqlite
/home/vmotos/SPF/spf/dominio.com/spf.sqlite