Lo más visto del 2010 en Hackplayers

Bueno, este es sin duda el último post del 2010 y queríamos despedirlo mostrando las 50 páginas y entradas más vistas de Hackplayers durante el mismo, según las estadísticas de Google Analytics.

Muchas gracias a todos por leernos y participar con vuestros comentarios, soluciones a los retos y colaboraciones. No dudéis en contactar con nosotros si estáis interesados en algún tema en particular o si queréis participar con vuestro artículo. Nos vemos en el 2011. ¡Feliz y próspero año nuevo!

Reto 9: Android crackme#1

Tal y como os anunciábamos a través del blog y nuestro twitter, he estado preparando un pequeño crackme para Android.

Se trata de una aplicación con una simple pantalla de login que contiene un usuario y una contraseña hard-coded y el objetivo del reto es conseguirlos. El paquete apk podéis descargarlo desde aquí.

Para los que os iniciáis en tareas de ingeniería inversa en Android os recomendamos comenzar instalando Android SDK y utilizar el emulador para probar la aplicación (también puede instalarse en un dispositivo físico).

¡Ánimo y suerte!


Por favor, si consigues el usuario y la contraseña del reto no los publiques en los comentarios. Mándanoslos junto con el procedimiento seguido a nuestra cuenta de Yahoo:



Captan el movimiento de un fantasma con Kinect

Desde su aparición, el revolucionario sensor de movimientos de Microsoft está continuamente siendo investigado a fin de que pueda usarse en otros proyectos y no solo en la consola de videojuegos Xbox 360. De hecho, muchos programadores ya han logrado usarlo para controlar películas, reproducir música o incluso interactuar con Facebook.

No obstante el caso más curioso nos llega desde Rusia. El hacker Nicolai Klitschko ha anunciado y publicado vídeos captando el movimiento de una presencia invisible aparentemente inteligente: “Realicé ciertas modificaciones en el código fuente de unos drivers experimentales propios para Kinect cuando de repente el sensor comenzó a registrar los movimientos de un supuesto segundo jugador virtual a mi lado. Al principio pensé que se trataba de un error de programación pero poco después me di cuenta que sus gestos no podrían ser causa de un simple fallo. No logro que funcione siempre, sólo cuando aparece intento comunicarme con él y continúo investigando”.


Este caso ha llamado especialmente la atención en diversos medios (sobre todo en los más sensacionalistas) que ya hablan de la posibilidad de captar presencias ectoplasmáticas a través de Kinect, aunque también se ha realizado un llamamiento a la prudencia por un posible fraude.

Actualización de última hora: llegan nuevas y espeluznantes imágenes del supuesto fantasma. Observen la horrenda aparición:

Un regalo de Navidad inesperado

La mañana de Navidad muchos se despertaron antes para ver qué les había traído Papá Noel.
Unos pocos además recibieron un regalo inesperado: el grupo de hackers creadores de "Owned and Exposed" publicaron la segunda edición de su ezine con los detalles de sus actividades para comprometer seis sitios web reales: offsec, incluído backtrack y exploit-db (qué irónicamente publica el ezine en su sección de papers), la página sourceforge de ettercapNG, inj3ct0r, carders.cc (otra vez) y free-hack. ho ho ho!

Ganador de la encuesta: ¿Cuál es el S.O. de tu smartphone?

Allá por el mes de octubre os planteábamos una pequeña encuesta a propósito de un artículo sobre los smartphones y el malware que se avecina. El resultado confirma el espectacular crecimiento y expansión de los terminales con Android:

  1. Android 54 (44%)
  2. iPhone 22 (18%)
  3. Symbian 20 (16%)
  4. BlackBerry 11 (9%)
  5. Windows Mobile 7 (5%)
  6. Samsung Bada 4 (3%)
  7. Otros 2 (1%)
  8. Palm / Web 1 (0%)

No obstante y
a escala mundial, Android todavía es el segundo S.O. de los teléfonos inteligentes detrás de Symbian, aunque ya posee más del 25% de cuota de mercado.

¡Felices fiestas!

Desde Hackplayers os deseamos a todos unas felices fiestas y un feliz año 2011.
¡Ser buenos! ;)



Liberada Secunia PSI 2.0

Recientemente se ha liberado la versión 2.0 de Secunia PSI, la herramienta libre de escaneo tanto de versiones obsoletas de software como de sus vulnerabilidades en nuestros equipos y de la cual ya habíamos hablado hace ya algún tiempo con su versión 1.5.0.0.

Una de las novedades de esta nueva versión es que introduce actualizaciones automáticas para muchos de nuestros programas, lo cuál permite obtener los últimos parches de seguridad con poca o ninguna interacción por parte del usuario, todo ello dependiendo de nuestras preferencias.

Junto a esta novedad de actualizaciones automáticas, se ha añadido una nueva interfaz totalmente rediseñada para hacerla mucho más simple y sencilla de usar de cara al usuario.

D0z.me: el acortador de URLs malicioso

Ben Schmidt (supernothing), un estudiante de Universidad de Tulsa, ha creado D0z.me, un acortador de URL que además permite realizar ataques DDoS basándose en los métodos de los vectores HTML5 Cross Origin Requests & WebWorkers y la famosa herramienta utilizada por Anonymous JS Loic.

Los atacantes ingresan una dirección que quieran acortar y también introducen la dirección de un servidor que desean atacar. Luego, comparten la URL corta con tantas personas y en tantos lugares como sea posible.


Cuando los usuarios hagan clic en el enlace corto, parecerá que son redirigidos normalmente al contenido solicitado aunque en realidad estarán viendo la página en un iframe incrustado.
Mientras los usuarios están ocupados viendo la página se lleva a cabo el DoS. Si estos clientes siguen navegando por la página, se mantiene la denegación de servicio en segundo plano todo el tiempo.

Enlace al sitio: http://d0z.me
Código fuente bajo GPLv3: http://spareclockcycles.org/downloads/code/dosme.tar.gz

Más información: http://d0z.me/6Uhq

Primera Copa Hacker de Facebook

Hoy se abre la inscripción para la primera Copa Hacker de Facebook, un concurso anual que pretende desafiar a los hackers de medio mundo con una serie de retos para demostrar todos sus conocimientos y habilidades.

El concurso se compone de cuatro rondas eliminatorias, la primera de las cuales se llevará a cabo del 7 al 10 de enero del 2011 y en la que habrá que resolver al menos uno de los tres problemas propuestos para pasar a la siguiente ronda.

En total de las 4 eliminatorias tres de ellas serán online, mientras que la ultima se realizará en las oficinas de Facebook, en California, donde los 25 finalistas competirán por un premio en metálico de 5.000 dólares.

Mientras tanto y para ir calentando motores, Facebook nos ofrece una serie de puzzles para practicar.

Format String Attack III de III



Seguimos con la serie de entradas dedicadas a la técnica Format String Attack

Direct Parameter Access (DPA)


En las entradas anteriores hemos podido comprobar como para explotar este tipo de vulnerabilidades necesitabamos introducir un número secuencial de parámetros de formato como %x acompañados de palabras de 4 bytes para conseguir de forma exitosa sobreescribir una dirección de memoria en una zona arbitraria de la memoria.

Con el DPA conseguimos simplificar todo este trabajo y tener acceso a la dirección de forma directa usando el signo del dólar '$'.

Ravan: Hash Cracking distribuido en JavaScript

Ravan de Attack & Defence Labs es un crackeador de hashes distribuido que corre en JavaScript. Con esta herramienta cualquiera puede subir un hash para crackearlo y utilizar su navegador web compatible con HTML5 para buscar por fuerza bruta basándose en un charset configurable.

Además otros usuarios o workers pueden contribuir con su CPU para asistir en el proceso de cracking de tu hash, todos ellos manejados por supuesto por un servidor o master a través de un backend web. Esto es especialmente interesante si tienes múltiples equipos o un montón de amigos que quieran ayudarte ;-).

Actualmente soporta versiones plain o salted de los algoritmos MD5, SHA-1, SHA-256 y SHA-512.

Más información aquí.

Metasploit 3.5.1

Ayer se publicó la versión 3.5.1 de Metasploit cuyos aspectos más destacados son:

- Muchos más exploits: SAP BusinessObjects, servidores de correo Exim, ProFTPD, despliegues SCADA (BACnet, Citect, DATAC), Novell NetWare servers, Microsoft Internet Explorer y plugins para el navegador y para Adobe Flash y Oracle Java.

- Acceso a dispositivos Cisco: Metasploit añade también exploits para Cisco que automáticamente se aprovechan de fallos para saltarse la autenticación o realizar ataques de fuerza bruta a través de los protocolos HTTP, SNMP y Telnet. Si se consigue acceder con éxito, Metasploit descargará los ficheros de configuración de forma automática y extraerá las contraseñas, las claves VPN y las credenciales wireless. Adicionalmente en las versiones Metasploit Express y Metasploit Pro se añade auditoría de dispositivos de red y otras características de explotación.

- Descubrimiento silencioso de redes: Metasploit puede importar los logs del tráfico de red desde ficheros de captura pcap, identificando hosts, servicios y contraseñas en texto plano. Esta información podrá ser luego usada para planear otros ataques de red activos. Esta nueva versión también acelera el descubrimiento de hosts y los escaneos de puertos.

- Modernas técnicas de evasión de IPS/IDS y antivirus

- Fuerza bruta contra VNC, SNMP y servicios UNIX "r" (rshell, rlogin, rexec).

- Posibilidad de adjuntar ficheros maliciosos en emails, por ejemplo PDFs o MP3s que pueden llegar a tomar el control de la máquina de la víctima y que permiten ataques de ingeniería social más sofisticados.

Introducción a Format String Attack II de III


Seguimos con la serie de entradas dedicadas a la técnica Format String Attack

Advertencia


Para realizar las pruebas y obtener los resultados esperados se ha utilizado úna versión desactualizada del compilador gcc, concretamente la 3.4, debido a que la última versión no respetaba los flag para evitar las protecciones de pila.

Cuando vayas a compilar alguno de los códigos vulnerables asegúrate antes de hacerlo poniendo el flag -fno-stack-check.

Nuevo número de la revista "El Derecho Informatico"

La revista electrónica "El Derecho Informático" creada por la Red Iberoamericana del derecho y las nuevas tecnologías, acaba de anunciar el lanzamiento de su 5ª entrega.

Recordaros que el cometido de dicha revista es tratar diversos temas en lo que al derecho informático se refiere.

Los contenidos de este nuevo número son:

- Global Online Dispute Resolution (ODR) para casos provenientes del eCommerce transfroterizo B2B y B2. Por Abog. Gabriela Szlak
- Encontrándonos. Por Abog. Jorge Yunes
- Google y sus acuerdos con a los autores y titulares de derechos. su situación actual (Google Book Settlement) - Parte 2. Por Abog. Wilson Rios
- Panorama del combate contra el ciberdelito. Por Abog. Ricardo Saenz
- Impacto de las Nuevas Tecnologías en los distintos modelos o escuelas de negociación y mediación. Por Abog. Jose Arce
- Nuevas tecnologías en la educación: beneficios, contradicciones y desafíos. Por Estud. Pablo Salguero
- Cloud Confusmputing: la realidad detrás del humo. Por Lic. Cristian Borghello
- Adecuación de la Ley de Protección de Datos Personales Nº 25.326: a 8 años del Dictamen 4/2002 UE. Por Abog. Fátima Cambronero
- Novedades y Eventos: Octubre / Noviembre de 2010.
- Entrevista al Dr. Horacio Fernandez Delpech


Aquí tenéis el enlace de descarga:

Revista El Derecho Informático Nº 5 - Mayo 2010

LOIC: la herramienta DDoS utilizada por Anonymous

LOIC (Low Orbit Ion Cannon o Cañón de Iones de Órbita Baja) es una aplicación de pruebas de estrés en red de código abierto, escrita en C# y desarrollada por Praetox Technologies.

Ejecuta ataques de denegación de servicio distribuidos (DDoS) sobre el sitio objetivo inundando el servidor con paquetes TCP, UDP o peticiones HTTP, con la intención de interrumpir el servicio de un host. El nombre de la herramienta proviene de un arma ficticia de la serie de videojuegos de Command & Conquer.

LOIC fue utilizado por los hacktivistas de Anonymous primero durante la "Operación Chanology" para atacar a los sitios web de la Iglesia de la Cienciología, posteriormente contra la web de la Recording Industry Association of America y sobretodo y actualmente está siendo utilizada para tumbar los sitios web de las compañías y organizaciones que se oponen a Wikileaks durante las famosas "Operación Payback" y "Operación vengar Assange", donde se llegaron a registrar más de 30.000 descargas entre el 8 y el 10 de diciembre.

Puerta trasera oculta en Windows

Hoy me gustaría comentaros un error en el procesamiento del Microsoft Windows SAM que permite acceso administrativo continuo a través de un usuario oculto.
El impacto del mismo afecta a todas las versiones de Windows puesto que permiten modificaciones en tiempo real del Security Accounts Manager (SAM), con lo cuál un atacante puede crear una puerta trasera mediante una cuenta administrativa oculta para acceso continuo a un sistema una vez que el mismo ha sido comprometido.
Una vez que el atacante ha comprometido el sistema puede secuestrar una cuenta conocida o bien crear una cuenta regular oculta usando el caracter de espacio en blanco (ALT+0160). En cualquier caso dicha cuenta tendrá todos los permisos de la cuenta integrada de administrador local de la máquina compartiendo a su vez el escritorio y el perfil del mismo.
De cara al resto de usuarios de la máquina el usuario oculto no aparecerá dentro del grupo de administradores locales sino dentro del de usuarios.

Introducción a Format String Attack I de III


Serie de entradas que servirán de ejemplo para explicar los Format String Attack.
  • Format String Attack I de III
  • Format String Attack II de III
  • Format String Attack III de III

Introducción


Los Format String son simples cadenas, caracterizadas por el formato que se les aplica. Si has programado anteriormente en cualquier lenguaje estarás familiarizado con la función printf().

Dicha función toma como primer parámetro la cadena a mostrar, y una serie de variables que permiten formatear la salida por stdout.

Los formatos más comunes que se pueden utilizar son:
  • %d Formato de enteros.
  • %i Formato de enteros (igual que %d).
  • %f Formato de punto flotante.
  • %u Formato sin signo.
  • %x Formato hexadecimal.
  • %p Muestra el correspondiente valor del puntero.
  • %c Formato de carácter

Primer aniversario de Hackplayers

Hoy hace exactamente un año que nos movimos desde nuestro antiguo blog a Hackplayers, desde el "punto es" de Hispavista al "punto com" del gigante Google, desde el blog con nombre que huele a novela de Ken Follett al blog actual de niños grandes jugando a ser hackers.
Siempre con un origen y objetivos comunes: crear un espacio donde compartir conocimientos y experiencias sobre seguridad informática, fomentar la participación para aprender todos juntos y tener un repositorio de información para cubrir la volátil y frágil memoria.

Haciendo balance del año, es innegable que el 2010 ha sido apasionante. Dejando al lado la difícil situación que atravesamos con la crisis económica, este ha sido el año de Aurora, de Stuxnet y de los 0-day, de buenísimas conferencias de seguridad, de la liberación de interesantes magazines incluida la vuelta de Phrack, de la enorme proliferación de cacharritos como el iPad, el iPhone 4 y los smartphone Android, del final del vuelo de la Mariposa, de la aparición de explosivas herramientas como FireSheep, de las botnets rusas y los troyanos bancarios Zeus y SpyEye y del actual cablegate de Wikileaks.

Anonymous y las operaciones de castigo

Botnets "voluntarias" y a la cabeza el grupo conocido como 'Anonymous' ha tirado la página principal de Visa en nombre de Wikileaks mediante un ataque DDoS (Denegación de Servicio distribuido).

Además, dentro de lo que ha sido llamado "Operation Payback", también hay otros objetivos que seguro pronto irán cayendo: Mastercard, el banco suizo PostFinance y PayPal entre otros.


Sin duda Wikileaks ha desatado la primera gran guerra virtual de la era de la información.


"La primera guerra de la información ha empezado. Envía por Twitter y coloca esto en cualquier lugar", proclamaba uno de los ciberpiratas...


¿Pero que sabemos del grupo de ciberpiratas 'Anonymous'?

Se trata de un colectivo que se reúne habitualmente a través de la página web 4chan.org, un simple sitio de Internet que es utilizado por sus usuarios para colgar mensajes, fotografías o simplemente discutir de política.

Este no es el primer ataque lanzado por Anonymous. Se considera que el grupo ha facilitado la identificación y arresto de varios pederastas, pero quizá una de sus acciones más conocidas fue el llamado Proyecto Chanology iniciado en el 2008 para protestar contra la Iglesia de la Cienciología.
A raíz de esa protesta, que incluyó ataques de denegación de servicio (DDoS) como los que está realizando ahora, el grupo adoptó la estética del cómic V for Vendetta, en el que miles de ciudadanos utilizan una máscara idéntica para evitar ser identificados por las autoridades. El año pasado, Anonymous también se unió a las protestas contra las elecciones iraníes.

En sus protestas, Anonymous ha calificado sus ataques como "Operation Payback" (Operación Venganza) pero desde que Wikileaks empezó a publicar los "cables" de la diplomacia estadounidense y la página de Internet empezó a sufrir el acoso de empresas y gobiernos, Anonymous decidió lanzar "Operación Vengar Assange"...

Zero Wine 2.0: herramienta de análisis de malware

Zero wine es un interesante proyecto open source bajo licencia GPLv2 destinado al análisis dinámico de malware.

Básicamente se trata de una imagen de una máquina virtual QEMU con Debian y todo el software necesario para subir y analizar el malware: usando WINE en un sandbox virtual seguro (en un entorno aislado) recolectará la información sobre las llamadas a la API que realiza el programa malicioso.

El pasado 2 de diciembre se publicó la versión 2.0 así que, si quieres probarlo, sólo tienes que descargarlo, subir el ejecutable de Windows (fichero PE) a través del interface web y dejar que analice el comportamiento del proceso.

Las vulnerabilidades más notables del año

La revista SC Magazine ha publicado un interesante artículo con una compilación de lo mejorcito de este año con respecto a la seguridad informática. A continuación destacamos las vulnerabilidades más importantes del 2010:
  1. Vulnerabilidades de Stuxnet: hasta cuatro fallos de tipo 0-day en Microsoft Windows fueron usados por los peligrosos ataques de Stuxnet.
  2. "Operación Aurora": una vulnerabilidad en Microsoft Internet Explorer permitió a los atacantes difundir troyanos espía a Google, Adobe y una docena más de organizaciones.
  3. Fallo XSS en Twitter: En septiembre un fallo de Cross Site Scripting permitió a un gusano propagarse a través de la famosa red social, afectando a un número estimado de 500.000 usuarios.
  4. Vulnerabilidad en el Centro de Ayuda y Soporte de Windows: primero fue dado a conocer de una manera bastante polémica para luego llegar a explotarse de forma masiva.
  5. Fallo en la ejecución de Adobe PDF Reader: fue explotado para propagar el famoso troyano Zeus.
  6. Defectos en VxWorks: se espera que dos vulnerabilidades críticas que afectan a este difundido y embebido sistema operativo permanezcan de forma indefinida.
  7. Fallo en 'Autocompletar': afectó a varios de los más populares navegadores web, incluido Safari e Internet Explorer.
  8. Vulnerabilidad de día 0 en Firefox: usado a finales de octubre para distribuir malware en el sitio web del Nobel de la Paz.
  9. El 'jailbreak' de iPhone e iPad: salió a la luz después de que un grupo llamado Dev-Team diera a conocer un hack en la página web JailbreakMe.com que permitía a los usuarios hacer jailbreak de sus iPhone, IPAD e iPod Touch.
  10. Fallos en ATM: en la conferencia BlackHat de Las Vegas el investigador Barnaby Jack se aprovechó de ciertos fallos en el diseño y autenticación de los cajeros para que 'escupieran' dinero.

Directory Path Traversal

El objetivo de un Directory Path Traversal Attack es el de conseguir acceso a ficheros o directorios que se encuentran fuera del directorio web raíz y en los que en condiciones normales un usuario sin privilegios no tendría acceso alguno.

Normalmente una aplicación web tiene restringido el acceso a usuarios no autorizados a la porción del sistema conocia como los directorios "CGI root" o "Web Document Root". Albergando ahí todos los recursos accesibles por el usuario y necesarios para hacer funcional el portal.

Para acceder a ficheros o ejecutar comandos en cualquier parte del sistema un atacante hará uso de secuencias de caracteres especiales, comúnmente conocidas como "dot-dot-slash" o "../".

Esto permitiría a un usuario malintencionado comprometer el sistema y navegar por toda la estructura de directorios de este, ganando el acceso a ficheros del sistema, códigos fuente, y cualquier cosa que se nos ocurra.

Solución al reto 8 de la nave perdida

La semana pasada os planteábamos el reto de la nave perdida, nuestro octavo reto de este año y el primero que utiliza el API de Google Maps.

El objetivo era obtener las coordenadas exactas de la ubicación de una nave alienígena perdida en la Tierra a partir de la observación del recorrido de una sonda de búsqueda.

El código del reto se basa en epoly.js de Mike Williams, una extensión que añade siete métodos extra para las clases GPolygon y GPolyline.
Gracias a esta extensión podemos mover fácilmente la sonda (marker) a través del mapa mundi de Google, siguiendo una poli línea "invisible" que primero tenemos que decodificar para poder obtener cada uno de los puntos del itinerario por donde la sonda de búsqueda va pasando. Una vez conseguidos, debemos observar la sucesión matemática de las coordenadas para obtener el lugar exacto dónde la nave alienígena se estrelló...

Pero veamos la forma de resolverlo a través de la perspectiva del ganador del reto: Brixton Cat, que nos ha enviado el siguiente y fantástico solucionario:

Nuevo número de Hakin9: Botnets, Malware, Spyware – cómo contratacar

Comenzamos diciembre con un nuevo e interesante número del magazine gratuito Hakin9 (Vol.5 No.11). Este mes podremos encontrar los siguientes contenidos:

Habituales

En general
-Últimas noticias desde el mundo de la seguridad IT [Armando Romero, eLearnSecurity]
Herramientas
-Flexcrypt [Shyaam Sundhar]
El experto en fraude dice...
-
Un análisis de las amenazas de ciber seguridad [Julian Evans]
Amenazas emergentes
-Cyber State-Bullying
[Matthew Jonkman]

Básico
-El software espía dentro de ti [Rajat Khare]
-El oído de Sauron [John Aycock]
-dasbot: controlando IRC vía bash [Israel Torres]
-Conociendo VoIP Parte II - profundizando en la configuración [Winston Santos]

Ataque
-
Completa divulgación de la botnet TDSS [Andrey Rassokhin y Dmitry Oleksyuk]

Defensa
-Seguridad y privacidad en motores de búsqueda – Parte 2 [Rebecca Wynn]

Armitage v.11.25.10


Con anterioridad en este blog hemos hablado del famoso framework de explotación Metasploit. Hoy queremos presentaros su herramienta amiga Armitage y su nueva versión.

¿Que es Armitage? Armitage es una herramienta gráfica de administración de ataque cibernético para Metasploit que visualiza sus objetivos, recomienda hazañas y expone las capacidades avanzadas del framework.

Armitage está licenciado bajo GNU GPLv2 y BSD.

Cambios en versión:

- El botón de inicio MSF ahora mata la sesión msfrpcd si falla el db_connect
- Establece las opciones de BBDD predeterminada a mysql con la configuración de
BackTrack 4 R2.
- Armitage - Salir del menú ahora mata msfrpcd, si el botón "Start MSF" está siendo usado.
- Añadida la capacidad para crear un multi / controlador de diálogo desde un Payload

Puedes descargar esta versión y obtener más información de la misma en
http://www.fastandeasyhacking.com/

Y si es la primera vez que la usas no dudes en consultar su manual en
http://www.fastandeasyhacking.com/manual

Fuente:
http://security-sh3ll.blogspot.com/2010/11/armitage-v112510-released.html

Liberado "Nemesis" BackTrack 4 R2

¡Acaba de publicarse "Nemesis", la nueva versión de BT4 R2!.

Las novedades más importantes son:

- Kernel 2.6.35.8 - mac80211 stack mejorado
- Soporte para USB 3.0
- Compatibilidad con nuevas tarjetas inalámbricas que permite inyección sobre las mismas
- Entorno de escritorio más rápido
- Se mejoró el ambiente Fluxbox para KDE.
- Metasploit fue reescrito desde cero con MySQL db_drivers trabajando desde la instalación
- Se actualizaron paquetes antiguos, se agregaron otros nuevos, y se eliminaron los obsoletos.
- Nuevo BackTrack Wiki con más documentación y apoyo.
- Para aquellos que quieran actualizar desde versión anterior de BT4, apt-get update && apt-get dist-up

Ya podemos empezar a descargarlo:
BackTrack 4 R2 Release ISO

Fuente: http://blog.segu-info.com.ar/2010/11/backtrack-4-r2.html

Auditoría de contraseñas en Oracle

Sebastián Guerrero Selma nos envía una magnífica contribución sobre auditoría de claves en base de datos Oracle.
En concreto es un paper donde se trata el mecanismo de almacenamiento y cifrado de claves en determinadas versiones de productos Oracle, se hace un repaso al tema de auditar las contraseñas con el objetivo de perpretar ataques de fuerza bruta combinados con palabras de diccionario observando además los tiempos de respuesta obtenidos, y se finaliza con una serie de pautas a modo de recomendación para mejorar y fortificar la seguridad en nuestro sistema:
auditoría-oracle

Nuevo 0-day UAC bypass

Si el pasado 20 de noviembre se hizo público en Exploit Database una vulnerabilidad utilizada por Stuxnet para elevar privilegios mediante un fallo en el programador de tareas de Windows, ahora acaba de salir a la luz un nuevo 0-day que elude el control de cuentas de usuario (UAC) para conseguir privilegios de 'system'.

El exploit se aprovecha de la forma en la que el controlador win32k.sys procesa ciertos valores del registro. En concreto, el exploit manipula el valor SystemDefaultUEDCFont del registro y activa el soporte para EUDC (End-User-Defined-Characters) a través de la función EnableEUDC.

Esto quiere decir que el atacante crea una clave en el registro donde un usuario no-administrador tiene privilegios para hacerlo. Luego intenta leerla, provoca el fallo en el driver y obtiene los privilegios.

Reto 8: la nave perdida

"24 de noviembre de 2010, testigos de numerosos países informan del avistamiento de una gran bola de fuego cruzando el cielo desde el oeste. Cientos de medios cubren la noticia y las autoridades debaten si se trata de un meteorito o de los restos de algún satélite.

Mientras tanto en el espacio exterior una señal rastrea la señal de una nave perdida, una nave que parece haberse estrellado en un minúsculo y pequeño planeta: la Tierra.

Una sonda extraterrestre es programada con las últimas coordenadas registradas y es enviada a gran velocidad hacia nuestro mundo. El objetivo: seguir la última ruta de la nave siniestrada para calcular e identificar su localización exacta..."

Para ver el mapa pincha aquí.

Por favor, si has conseguido las coordenadas con la ubicación de la nave perdida no las publiques en los comentarios. Mándanoslas junto con el procedimiento seguido para conseguirlas a nuestra cuenta de Yahoo:

Y ahora, ¡más comentarios y pistas también en nuestro Twitter!

A punto de emerger Ares, el nombrado sucesor de ZeuS

Expertos de G Data advierten de la aparición de un nuevo troyano, de nombre Ares, con un diseño modular similar a ZeuS.

La configuración de Ares permitirá a los ciberdelincuentes propagar el malware, modificarlo y adaptarlo a diversos escenarios de ataque. Ralf Benzmüler, responsable de G Data SecurityLabs, explica que “Ares ofrece a los recién llegados al mundo del cibercrimen amplias posibilidades de distribución a través de cualquier página web y, como tiene muchas variantes, puede ser utilizado para prácticamente cualquier tipo de ataque, por lo que actuará no sólo en forma de troyano bancario”. El troyano se multiplicará vía web.

El responsable de Ares ha explicado en un foro que “no está focalizado en ataques contra la banca. Cada copia de Ares puede ser única y puede configurarse en función del comprador, aunque tiene las mismas capacidades como troyano bancario que ZeuS y SpyEye


En estos foros, donde los ciberdelincuentes comparten información e intercambian código, está disponible no sólo el troyano Ares, sino también un kit de desarrollo que puede conseguirse de forma gratuita, aunque aparentemente sólo para “desarrolladores de confianza”, según apuntan desde la firma de seguridad G Data. Para hacerse con el código del malware, hay que pagar un canon al creador de Ares por cualquiera de sus módulos vendidos a terceros. Para cualquier otra persona, los precios pueden llegar hasta los 6.000 dólares. También se puede adquirir un “paquete de inicio” con funciones reducidas por 850 dólares. El pago puede hacerse mediante servicios anónimos, como WebMoney.

Los expertos de seguridad de G Data anticipan que, después de su lanzamiento en los foros underground, Ares empezará a circular en un gran número de variantes. Sobre su alcance, difusión, objetivos (si los hay) y mecanismos de ataque sólo se puede especular, pero el troyano es potencialmente muy peligroso, advierten.

Autor: IDG.es

Solución al reto 7 de la caja fuerte

Sin duda una de las cosas que más me gusta cuando desarrollo retos es que siempre recibimos (y aprendemos) varias formas de solucionarlos. El reto de la caja fuerte no fue una excepción y esta vez voy a intentar mostrar un recopilatorio de las distintas soluciones enviadas por todos los que habéis participado activamente.

Para comenzar vamos a diferenciar el reto en dos partes: la primera consiste en abrir virtualmente una caja fuerte y la segunda obtener la solución dentro del archivo zip obtenido.

1. Abriendo la caja fuerte

El primer desafío que nos encontramos consiste realmente en desofuscar el actionscript de un login en flash representado por una caja fuerte electrónica. En ese código encontraremos la password que necesitamos, algo que en la vida real entraría dentro de las peores prácticas..., recordar que nunca debemos añadir ninguna información sensible en un código expuesto, ¡¡¡por muy ofuscado que esté!!!

El flash podemos obtenerlo de la URL: http://sites.google.com/site/h4ckpl4y3s/hpyslogin20.swf y la escena es bastante sencilla: varios frames que incluyen una pantalla de login y un contador, una pantalla de bloqueo de sistema, otra que indica que la caja ha sido abierta y una última dedicada a los 'listillos' que intentaron avanzar a lo largo de flash en busca de la solución ;):

Phrack celebra su 25 aniversario con un nuevo número

"El mayor truco del Diablo fue convencer
al mundo de que nunca existió"
--- Verbal Kint


Hablar de Phrack es hablar de uno de los ezines más importantes del panorama underground, una publicación con nada más y nada menos que 25 años de historia y que hoy celebra tan especial cumpleaños con la publicación de un nuevo número.

Y es que por fin y después de esperar más de un año desde el anterior, ya podemos descargar/leer/disfrutar el número 67:

Introduction
Phrack Prophile on Punk
Phrack World News
Loopback (is back)
How to make it in Prison
Kernel instrumentation using kprobes
ProFTPD with mod_sql pre-authentication, remote root heap overflow
The House Of Lore: Reloaded ptmalloc v2 & v3: Analysis & Corruption
A Eulogy For Format Strings
Dynamic Program Analysis And Software Exploitation
Exploiting Memory Corruptions in Fortran Programs Under Unix/VMS
Phrackerz: Two Tales
Scraps of notes on remote stack overflow exploitation
Notes Concerning The Security, Design and Administration of Siemens DCO-CS
Hacking the mind for fun and profit
International Scenes

Sangria, tapas and hackers

Esta vez el curioso título del post es debido al nombre de un artículo dentro del nuevo número de la revista (IN)SECURE Magazine donde Berislav Kucan cubre la conferencia SOURCE que este año se celebró en Barcelona, ¡toma ya! para que luego digamos que se no siguen llevando ciertos estereotipos X-).

Si queréis leer este artículo y otros interesantes ya sabéis: el nuevo número 28 sigue siendo gratuito y ya se puede descargar:

Tabla de contenidos:
Security world
Database protocol exploits explained
Review: MXI M700 Bio
Latest additions to our bookshelf
Measuring web application security coverage
Inside backup and storage: The expert's view
Twitter security spotlight
Combating the changing nature of online fraud
Book review: CISSP Study Guide
Event around the world
Successful data security programs encompass processes, people, technology
Sangria, tapas and hackers: SOURCE Barcelona 2010
Security software spotlight
What CSOs can learn from college basketball
Network troubleshooting 101
Malware world
America's cyber cold war
RSA Conference Europe 2010
Security podcasts
Book review: Dissecting the Hack: The F0rb1dd3n Network
Bootkits - a new stage of development

Katana 2.0: suite de seguridad portable y multi-arranque

Recientemente se ha publicado la versión 2.0 de Katana, una suite de seguridad multi-arranque que incluye las mejores distribuciones y aplicaciones portables actuales para ejecutarlas desde un único dispositivo extraíble.

Podremos encontrar distribuciones de seguridad enfocadas en pentesting, auditoría, forense, recuperación de sistemas, análisis de red y eliminación de malware y además alrededor de 100 aplicaciones de Windows portables como Wireshark, Metasploit, NMAP, Cain & Abel y más.

Continúa la campaña Zeus

Continuamos recibiendo nuevos correos electrónicos con el infame troyano. En esta ocasión un mensaje de una atractiva candidata que nos solicita que revisemos su CV con un dudoso uso del castellano...

Si bien el gancho para caer en este engaño no está demasiado "trabajado", tenemos que decir que el malware sigue siendo objeto de admiración: instala el bot, modifica el registro, descarga otros archivos de Internet (software rogue) y tiene capacidad de propagarse a través de SMTP.

Pero veamos de nuevo un pequeño resumen de lo que hace el binario.

Reto 7: la caja fuerte

Si habéis visto Operación Swordfish (2001), recordaréis la escena en que Stanley Jobson fue obligado a hackear una computadora del NSA en menos de un minuto y con una atractiva señorita "desviando su atención". En esta ocasión nuestro séptimo reto es algo parecido, aunque eso sí, sin distracciones añadidas ;-):

Simplemente, tenéis 10 segundos para abrir la caja fuerte electrónica y obtener lo que se encuentra oculto en su interior.




Por favor, no añadas la solución en los comentarios. Envíanosla, así como el procedimiento seguido a:

¡Ánimo y suerte!

"DEP" Disponibilidad y políticas

Tras las últimas noticias sobre el nuevo 0day de Internet Explorer, una de las opciones para protegernos es activar DEP (Data Execution Prevention).
¿Cuáles son los requisitos para usar DEP forzada por hardware?

1. El procesador del equipo debe admitir forzada por hardware DEP.
2. DEP forzada por hardware debe habilitarse en el BIOS.
3. El equipo debe tener Windows XP con Service Pack 2 o Windows Server 2003 con Service Pack 1 instalado.
4. DEP forzada por hardware debe estar habilitado para los programas en el equipo.

Primero deberemos consultar al fabricante de nuestro procesador. Lo siguiente será habilitarla en BIOS, dicha opción vendrá referenciada por "Prevención de ejecución de datos", "XD", "Ejecutar deshabilitar" ó "NX".
Con referencia al sistema operativo debemos contar con WXP SP2 ó W2K3 SP1.
Y por último a nivel del sistema operativo podremos verificar la disponibilidad y políticas de DEP consultando al
WMI con los siguientes parámetros:

wmic OS GET DataExecutionPrevention_Available
wmic OS GET DataExecutionPrevention_SupportPolicy


La primera instrucción nos devolverá TRUE en caso afirmativo de que podamos utilizar DEP y la segunda nos dirá el tipo de política que tenemos habilitada:

0-AlwaysOff-DEP no está habilitado para los procesos
1-AlwaysOn-DEP está habilitado para todos los procesos
2-OptIn (default)-Sólo los componentes del sistema de Windows y servicios tienen DEP aplicada
3-OptOut-DEP está habilitado para todos los procesos. Los administradores pueden crear manualmente una lista de aplicaciones específicas que no tienen DEP aplicada

Así que ya podéis ir comprobando...

Pastores vs. Ovejas

Recientemente se ha armado cierto revuelo por la aparicion de FireSheep, al que nuestro querido vmotos ha dedicado su atencion.

Para tener bajo control una "oveja de fuego" (firesheep) lo mejor es tener un "pastor de fuego", o FireShepherd.

Es un programa que, lanzado desde la consola de M$-DOS, inunda la red inalambrica con paquetes diseñados para desactivar FireSheep en 0.5 segundos de media...
Sigue explicando la web de FireSheep que, pese a esta medida de defensa, el usuario final no esta a salvo de otros mecanismos de ataque, por lo que se recomienda hacer uso de contramedidas adecuadas.

Finalmente, decir que este FireShepherd es una solucion temporal hasta que se solventen las vulnerabilidades reveladas con FireSheep. Por otro lado, FireShepherd aprovecha una vulnerabilidad de FireSheep, por lo que tan pronto alguien publique un parche que anule la tecnica del primero habra que volver a las andadas...

Nuevo 0-day en IE: corrupción de memoria manejando tags CSS


Microsoft publicó ayer un aviso de seguridad sobre un nuevo 0-day descubierto recientemente en su navegador y que podría permitir la ejecución remota de código arbitrario.
Las versiones vulnerables de Internet Explorer son la 6, 7 y 8 (queda excluída la beta de Internet Explorer 9).

Aunque inicialmente se observaron como ataques selectivos mediante el envío de correos electrónicos a un "grupo selecto de individuos" dentro de diversas organizaciones (blog de Symantec), Microsoft reconoce que la vulnerabilidad se está explotando activamente.

El problema reside en la incorrecta asignación de memoria que realiza Internet Explorer al procesar determinadas combinaciones de hojas de estilo. Concretamente en el módulo "mshtml.dll" al procesar el atributo "clip" con una posición determinada de las CSS (Cascading Style Sheets). Esto podría permitir a un atacante remoto la ejecución de código arbitrario a través de una página específicamente manipulada.

Microsoft se encuentra desarrollando las actualizaciones necesarias para corregir este problema, mientras tanto como contramedida se recomienda anular las hojas de estilo con una CSS definida por el usuario, asignar las zonas de seguridad del navegador a un nivel Alto, implementar el Enhanced Mitigation Experience Toolkit (EMET) o habilitar Data Execution Prevention (DEP) para Internet Explorer 7.

¿Por dónde se mueve Pamela Anderson?

Hace dos semanas se puso en marcha el sitio JustSpooted ("recién visto" en castellano), una red social que orienta a fans y paparazzi sobre la localización física de famosos en tiempo real y que ha reabierto la enésima polémica sobre los límites de privacidad.


Su funcionamiento es sencillo: cualquier persona se encuentra a un famoso en la calle, le hace una foto y la sube a la red, sitúa su localización a través del GPS de su móvil y lo cuenta en el Twitter. El resultado un mapa de Google en el que se muestra en qué sitio y hace cuánto tiempo se ha visto una celebrity, y así para un conjunto de más de 7.000 "monitorizados"...

¿Y tú? ¿A qué famoso sigues? ;-)

Nuevo número de Hakin9: Spyware, siempre hay alguien observando...

Llega noviembre, el frío, la lluvia... momento para estar tranquilamente en el sofá de casa y echar un vistazo al nuevo número de Hakin9 (Vol.5 No.10). Este mes podremos leer:

Habituales
En general
-Últimas noticias desde el mundo de la seguridad IT [Armando Romero, eLearnSecurity]
Herramientas
-Wuala - almacenamiento seguro en línea [Michael Munt]
Revisión del libro
-Una guía de hacking ético para principiantes [Shyaam Sundhar]
El experto en fraude dice...
-Un análisis de la amenaza del spyware y como proteger un PC [Julian Evans]
Amenazas emergentes
-La guerra fría electrónica [Matthew Jonkman]

Básico
-Desplegando y utilizando detección de intrusiones con Snorby [Joshua Morin]

Ataque
-Respuesta a incidentes con malware - escenario de epidemia [Rajdeep Chakraborty]
-
Completa divulgación de la botnet TDSS [Andrey Rassokhin y Dmitry Oleksyuk]

Defensa
-Cuando XOR es tu amigo...[Israel Torres]
-Defensas proactivas y herramientas libres [Gary S. Miliefsky]

Evilgrade 2.0: ha vuelto el framework de explotación de actualizadores

Con este título Infobyte anuncia hoy un nueva versión de Evilgrade, un framework modular de Francisco Amato que sirve fundamentalmente para comprometer equipos a través de actualizaciones falsas.

Eso sí, este framework funcionará sólo cuando el atacante sea capaz de redireccionarse el tráfico de la víctima, ya sea modificando las entradas DNS, envenenando el caché DNS, falseando ARP, impersonando el punto de acceso WiFi, secuestrando DHCP o a través de cualquier otro medio o manera.

De esta forma, es posible tomar el control de un máquina completamente parcheada en un test de intrusión. La idea principal es demostrar los fallos que existen hoy en día en los procesos de actualización de la mayoría de las aplicaciones.

Podéis ver una demo con una falsa actualización Java o instalarlo y jugar con hasta 63 módulos para Safari, iTunes, Quicktime, Cygwin, Java, Bsplayer, Winamp, Virtualbox, Vmware, etc.

Mozilla parchea el 0-day de Firefox en menos de 48 horas

Menos de 48 horas después de recibir el aviso de un nuevo 0-day en Firefox, Mozilla ha liberado una actualización de emergencia que parchea el problema: Firefox 3.6.12 y Firefox 3.5.15.

El 0-day, que fue explotado por malware en la web del Nobel de la paz, se basa en un fallo al intercalar las funciones document.write y appendChild que puede llevar a desbordamiento del texto que está ejecutándose y a duplicar frames.

Ya existen pruebas de concepto en Exploit Database y también podéis encontrar un gran detalle técnico sobre los comentarios del Bug 607222 en Bugzilla.

Extendiendo el uso de Firesheep

A estas alturas ya os habréis enterado de la controversia que ha causado Firesheep, una extensión de Firefox escrita por Eric Butler y presentada en la conferencia ToorCon 12 que facilita el secuestro de sesiones de Facebook, Twitter, Flickr, Windows Live, Yahoo, Google y Wordpress entre otros.

Digamos que podría llamarse 'sidejacking for dummies' y es una extensión que automatiza la captura de las cookies de usuario que son transmitidas en HTTP claro, poniendo en evidencia a multitud de sitios que sólo utilizan HTTPS o SSL durante el login inicial. No es un problema nuevo, pero esta extensión facilita enormemente el trabajo.

Smartphones y el malware que se avecina

Acabo de empezar a leer las presentaciones de la conferencia Virus Bulletin de Vancouver y he comenzado con una que me ha llamado enseguida la atención: 'Dialers are back, and this time they're on smartphones!' del conocido Mikko Hypponen.

La razón es que dentro de poco me llegará un flamante Samsung Galaxy S (¡hay que ver lo que se consigue con los amagos de portabilidad!) y estoy introduciéndome poco a poco en todo lo que rodea a Android y especialmente a su seguridad.

Evidentemente, el título de la presentación lo dice todo. Con los nuevos teléfonos inteligentes se crea la necesidad de tarifas de datos y el incremento del uso de Internet móvil será proporcional a la avalancha de malware que se avecina.

Dentro de poco empezaremos a hablar de botnets para móviles, de drive-by-exploits y sobretodo de la peligrosa vuelta de los dialers, que de nuevo serán una grave amenaza para nuestros bolsillos.

¿Pero cuál será el sistema operativo para teléfonos móviles más seguro? Un asunto difícil de evaluar. Lo que si parece claro es que el sistema operativo con más virus será casi seguramente el más utilizado. Según la presentación de Mikko (datos de Canalys), el año pasado predominaba Symbian con el 47% de cuota de mercado y con 463 familias de malware. Hoy en día esta situación se está revirtiendo a favor de Android e iOS (RIM debe extenderse y llegar al usuario doméstico) por lo que pronto veremos un incremento de malware espectacular para estas plataformas, incluidos los temidos dialers...

Entramos de lleno en el mundo de la in-seguridad en los smartphones... Y tú, ¿tienes también un teléfono inteligente? ¿cuál es el sistema operativo que utilizas? ¡Cuéntanoslo en nuestra nueva encuesta!

Libro: Rootkits - Subverting the Windows Kernel

Los rootkits son backdoors que dan a un atacante el acceso permanente y prácticamente indetectable a los sistemas que explota. Ahora, dos de los principales expertos mundiales, Greg Hoglund y James Butler, han escrito su primera guía completa sobre rootkits: qué son, cómo funcionan, cómo construirlos y cómo detectarlos. En este libro revelan lo que nunca antes se dijo sobre los aspectos ofensivos de la tecnología rootkit. Con su lectura, podrás aprender cómo un atacante puede llegar a entrar y permanecer en un sistema durante años sin ser detectado.

Hoglund y Butler muestran exactamente cómo destripar los kernels de Windows XP y Windows 2000, enseñando conceptos que también se pueden aplicar a prácticamente cualquier sistema operativo moderno, desde Windows Server 2003 hasta Linux y Unix. Usando una gran cantidad de ejemplos, se enseñan técnicas de programación de rootkits que pueden ser utilizados por un amplia gama de software, desde herramientas de seguridad hasta drivers y depuradores.

Después de leer este libro podrás:

- Comprender el rol de los rootkits con los comandos/control remoto y el espionaje de software.
- Construir rootkits de kernel que puedan hacer invisibles procesos, ficheros o directorios.
- Aprender las técnicas clave de programación de rootkits, incluyendo hooking, runtime patching y manipulación directa de los objetos del kernel.
- Trabajar con drivers de capas para implementar sniffers de teclado y filtros de fichero.
- Detectar rootkits y construirs HIPS para resistir sus ataques.

Otra campaña Zeus mediante correos de DHL falsos

Como ya pasó anteriormente con FedEX, UPS o el mismo DHL, Zeus nos vuelve a bombardear con nuevos scams por correo electrónico.

Como podéis ver en la imágen de la derecha, el mensaje con asunto 'DHL Servicios. Recoja su paquete postal NR60218', intenta convencer al usuario para que ejecute un programa que supuestamente imprime una etiqueta postal para poder recoger un paquete en Correos.

El ejecutable 'DHL_etiqueta.exe' se presenta con un icono de tipo excel. Ayer el ratio de detección de los antivirus rondaba el 30% y hoy ya ha aumentado hasta el 55,8%.

La hacker más sexy del mundo podría ser condenada

La estudiante rusa Kristina Svechinskaya de 21 años de edad, acusada de participar en el intento de robo de 220 millones de dólares, podría ser condenada hasta con 40 años de cárcel.

Svechinskaya, considerada la hacker más sexy del mundo, fue acusada por el juez del caso de formar parte de una banda de estafadores cibernéticos, conspirar para cometer fraudes bancarios y del uso de pasaportes falsos, informó el diario británico Daily Mail.


Durante su audiencia, Kristina aseguró que fue utilizada para abrir algunas cuentas pero su intención nunca fue robar tal cantidad de dinero.

La Fiscalía sostiene que Svechinskaya abrió al menos cinco cuentas en Nueva York, por lo que recibió 35.000 dólares del dinero robado.

Se presume que la banda estaba formada por al menos 37 personas en Nueva York y 11 en Gran Bretaña todos originarios Europa del Este.

Su manera de operar era utilizando el troyano Zeus con el que conseguían desviar el dinero de cuentas en internet de pequeños negocios y particulares.