hackplayers: diciembre 2013

Volvemos a despedir el año con las 50 entradas de Hackplayers más vistas, según Google Analytics.

Como siempre, daros las gracias por leernos y participar con vuestros comentarios, soluciones a los retos y colaboraciones. No dudéis en contactar con nosotros si estáis interesados en algún tema en particular o si queréis participar con vuestro artículo. Nos vemos en el 2014. ¡Feliz y próspero año nuevo!

Me gustaría despedir el año con lo que a mí me ha parecido la mejor idea de este 2013, os presento a Latch...

A primeros de junio Telefónica lanzaba Eleven Paths, una filial de seguridad a la cabeza de la cual colocaba a Chema Alonso (el de la foto ;D).

El pasado 13 de diciembre Alonso presentaba en sociedad Latch, una propuesta con la que Telefónica quiere proteger la identidad digital de los usuarios.

Latch se basa en la idea de que los diferentes servicios online a los que accede el usuario no tienen por qué estar “encendidos” de manera constante.

Poder “encender y apagar” esos servicios de la misma manera que se echa el pestillo a una puerta es, según Chema Alonso, una manera de garantizar la seguridad digital de los usuarios en una época “en la que se hackea todo”.

Del lado del usuario Latch es una aplicación que el usuario se instala en el móvil con un manejo sencillo y no necesita ningún tipo de conocimiento experto...

Normalmente en las empresas los firewalls perimetrales sólo permiten el tráfico HTTP(s) hacia Internet. Hoy vamos a ver otra herramienta para poder evadir esta restricción y poder ejecutar un terminal SSH a través del navegador: Shell In A Box (o ShellInABox).

ShellInABox es un emulador de terminal web basado en ajax para cualquier navegador que soporte Javascript y CSS sin necesidad de disponer de ningún plugin adicional.
Existen otros emuladores para navegador mediante complementos como NaCl o FireSSH, si bien necesitarás acceso al exterior por el puerto 22/TCP. Con ShellInABox accederás directamente al puerto 443/TCP de HTTPS.

Ahora bien, ¿por qué no cambiar el puerto del demonio SSH del 22/TCP al 443/TCP y dejarnos de tanta historia? Pues principalmente porque no tendrás necesidad de utilizar otro cliente como Putty y porque muchos firewalls con inspección de paquetes detectarían el intercambio de claves al menos que lo ofuscemos con ossh y Potty.

Para terminar esta semana seguiremos por donde lo dejamos en la primera parte de esta serie de artículos sobre Tcpdump.

La captura de paquetes es una de las formas más poderosas y fundamentales para analizar las redes. Y de la mano viene el filtrado.

Hoy nos ocupa el filtrado de las cabeceras de los datagramas. Si recordáis, ya vimos un pequeño ejemplo en la entrada anterior, concretamente la manera de hacer filtros para los paquetes por el estado de sus flags...

Filtrado avanzado de encabezado

Tal y como os comento, anteriormente vimos como filtrar las banderas en el protocolo tcp según su posición en el octeto correspondiente en la cabecera.
Como no, hay varias maneras de hacer esto...

Si para filtrar los paquetes con el ACK activo era " tcp[13] & 16 == 16 " , en realidad hay una manera mas fácil de hacer esto y sería: tcpdump-i eth1 'tcp [tcpflags] == tcp-ACK'

De esta misma manera podemos filtrar los paquetes tomando como referencia cualquier parte del Header del paquete y podemos aplicar los siguientes operadores >,<, >= <=, = y !=

tcpdump "udp[0:2] < 1024"

El Chaos Computer Club (CCC) nació en Berlín en 1981 y hoy en día es la mayor asociación de hackers de Europa. Todos los años, entre Navidad y Nochevieja, organizan el Chaos Communication Congress que este año llega a su trigésima edición: 30c3.

Entre el 27 y el 30 de diciembre se impartirán en Hamburgo 130 charlas y 360 presentaciones, habrá talleres y se presentarán interesantes proyectos de código abierto.
Uno de los temas principales de la conferencia será la seguridad del hard y el software. Un enfoque especial del programa será por supuesto para la información filtrada por Edward Snowden y los sistemas de vigilancia de las agencias de espionaje y sus lacayos de la política y la industria, así como contramedidas contra ellos.

Además, como nota curiosa, este año la conectividad a Internet del congreso se realizará mediante un enlace récord de 100 Gbit, que ha sido posible gracias a las donaciones de los ISP y proveedores de equipos de red.

El 30c3 es un evento no comercial, con precios bajos para sus entradas, que sólo es posible gracias a la incansable labor de innumerables voluntarios del CCC.

Puedes seguir los vídeos de las charlas en directo por streaming en: https://events.ccc.de/congress/2013/wiki/Streams

Grabaciones disponibles: https://events.ccc.de/congress/2013/wiki/Static:Documentation#Recordings

Por si alguien no lo conoce... Snapchat es una aplicación de mensajería instantánea para iOS (iPhone) o Android que te permite enviar fotos y videos a uno o más amigos con una duración definida. Es decir, cuando las fotos o videos que has enviado alcanzan su duración límite (hasta 10 segundos) se borrarán (supuestamente) del teléfono de la persona que los recibió de manera automática.

Se calcula que actualmente hay más de 8 millones de usuarios activos y... bueno... Snapchat tiene la reputación de ser la aplicación que utilizan (sobretodo los más jóvenes) para compartir contenido sexual... uséase... sexting...

En agosto, los australianos de Gibson Security avisaron a Snapchat de varias vulnerabilidades pero la empresa se mantuvo en silencio y no las solucionó. El día de navidad (toma regalo), cansados de su indiferencia, han decidido publicar el API no documentada y dos exploits totalmente funcionales:

- el primero de ellos permite con una sola petición (/ph/find_friends) saber si un número de teléfono está o no asociado a una cuenta de Snapchat. No hay que ser un lumbreras para saber que si se automatiza el proceso podemos obtener una base de datos de cuentas de Snapchat y se cree que, con una conexión de 1gb, se podría obtener una total en unas 20 horas.

perl -e '$n="\e[0;40;32m";for(1..10){print"\ec$n\n".$"x(15)."\e[1;35mY$n" .$"x15;for(1..8){print$/.$"x($a=16-$_);$c=int rand($d=2*$_);for(2..$d){$f=31+int rand(3);print($_-$c?"X":"\e[$f;1m*$n")}print$"x$a}print $/.$"x(31)."\e[0m\n".$"." Merry Xmas !!!".$/x2;select$q,$q,$q,0.5}'

En una entrada anterior un lector anónimo comentaba: "Muy interesante sería una entrada para desvelar los misterios de tcpdump. En muchos tutoriales solo se araña la superficie de esta herramienta"... lo intentaremos.

La verdad es muy difícil decir algo de esta herramienta que no esté ya dicho, pero voy a intentar hacer un artículo en varias entregas con lo que creo que se debería saber sobre este magnifico sniffer.

En esta serie de entradas (creo que serán unas 3) intentaremos abarcar todos los aspectos de esta herramienta, por favor si me dejo algo decirlo.

Para quien no sepa lo que es Tcpdump echaremos mano de Wikipedia... a modo de introducción: Tcpdump es un herramienta en línea de comandos cuya utilidad principal es analizar el tráfico que circula por la red.

Permite al usuario capturar y mostrar a tiempo real los paquetes transmitidos y recibidos en la red a la cual el ordenador está conectado. Tcpdump funciona en la mayoría de los sistemas operativos UNIX: Linux, Solaris, BSD, Mac OS X, HP-UX y AIX entre otros. En esos sistemas, tcpdump hace uso de la biblioteca libpcap para capturar los paquetes que circulan por la red.

Existe una adaptación de Tcpdump para los sistemas Windows que se llama WinDump y que hace uso de la biblioteca Winpcap.

ToolsWatch es una de esas páginas imprescindibles para mantener al día tu arsenal de herramientas de seguridad. El siguiente Top 10 es una lista de las herramientas del 2013 más votadas y valoradas por sus usuarios y lectores:

1.- OWASP Zed Attack Proxy (ZAP): herramienta de fácil uso para encontrar vulnerabilidades en aplicaciones web. Está diseñada para ser utilizada tanto por desarrolladores y probadores funcionales (que son nuevos en tests de intrusión) como por personas con una amplia gama de experiencia en seguridad. Permite automatizar las pruebas y también facilita un número de herramientas para hacerlas manualmente.

2.- BeEF (The Browser Exploitation Framework): marco modular que utiliza técnicas pioneras que proveen la posibilidad de realizar pruebas de intrusión y poder experimentar varios vectores de ataques de carácter práctico. La herramienta se centra en el aprovechamiento de las vulnerabilidades del navegador web para abarcar la seguridad desde un punto objetivo.

3.- Burp Suite: herramienta que permite realizar test de intrusión en aplicaciones web, permitiendo combinar técnicas manuales y automáticas para enumerar, analizar, atacar y explotar aplicaciones Web. Puede funcionar como proxy entre nuestro navegador e Internet, pero además tiene otras muchas funcionalidades como un spider, un escáner o un repetidor por ejemplo.

4.- PeStudio: herramienta gratuita para realizar análisis estáticos de binarios ejecutables de Windows. Un fichero analizado con PeStudio no se ejecuta por lo que puede evaluarse sin riesgo aunque sea malware. Además tiene entorno gráfico y es portable.

Recientemente han conseguido comprometer con éxito uno de los algoritmos de cifrado más seguros - RSA de 4096 bits - y, lo más sorprendente, es que lo han hecho simplemente escuchando con un micrófono el ruido que emite el procesador del ordenador al descifrar los datos (10 a 150 KHz).

Los investigadores extrajeron con éxito las claves de descifrado a una distancia de cuatro metros y en menos de una hora con un micrófono parabólico de alta calidad. Sin embargo, también se las arreglaron para atacar a un smartphone a 30 centímetros del portátil atacante y llevaron a cabo (con distinto éxito) pruebas contra diferentes ordenadores portátiles y de sobremesa.

Este criptoanálisis acústico, realizado por Daniel Genkin, Adi Shamir (co-inventor de RSA) y Eran Tromer, utiliza lo que se conoce como un ataque de canal lateral (no convencional e indirecto) sobre la implementación 1.x del criptosistema RSA de de GnuPG y, a muy grandes rasgos, lo que hacen es obtener las claves RSA interpretando la señal acústica que se genera realmente por el regulador de voltaje de la CPU al ejecutar las correspondientes instrucciones para el descifrado de datos.

¿Estás pensando en obtener una certificación profesional en seguridad y hacking ético? Hoy queríamos compartir con vosotros un reciente artículo de EFYTimes se hace un breve repaso a las principales certificaciones de la actualidad:

1. Certified Ethical Hacker por EC-Council

CEH ofrece un amplio programa de hacking ético y de formación de seguridad en redes para cumplir con los más altos estándares para profesionales. Cientos de pymes y autores han contribuido al contenido que se presenta en el material pedagógico del CEH. En cada pack se ofrecen las últimas herramientas y exploits descubiertos en la comunidad underground. Sus investigadores han invertido miles de horas analizando las últimas tendencias y descubriendo las técnicas secretas utilizadas.

Otras certificaciones de EC-Council:

Licensed Penetration Tester - LPT
EC-Council Certified Security Analyst - ECSA
EC-Council Network Security Administrator - ENSA
EC-Council Certified Incident Handler - ECIH
Computer Hacking Forensic Investigator - CHFI
Chief Information Security Officer - CCISO

2. Gerente Certificado de Seguridad de la Información (CISM) por ISACA

El CISM es el estándar aceptado globalmente para las personas que diseñan, construyen y gestionan los programas de seguridad de la información empresarial. CISM es la principal certificación para administradores de seguridad de la información. El último índice trimestral de valoración de Habilidades y Certificaciones IT (ITSCPI) de Foote Partners clasificó a CISM como la más codiciada y la que más se paga de las certificaciones de seguridad.

Otras certificaciones de ISACA:

Certified Information Systems Auditor (CISA)
Certified in the Governance of Enterprise IT (CGEIT)
Certified in Risk and Information Systems Control (CRISC)

El modelo de permisos de las aplicaciones de Twitter es bastante sencillo:

Es decir, si creamos una aplicación que tenga permisos sólo de lectura y escritura no debería acceder a los mensajes directos ¿verdad?

Pues no, Egor Homakov descubrió un bug en Twitter que permite a las aplicaciones enviar mensajes directos sin tener permisos específicos y sin que ni siquiera el usuario que tiene autorizada la aplicación se de cuenta.

Apodado "la Tía Catalana", el "NCI catalán", "el NSA de Cataluña"....

Nació sin hacer ruido y sin llamar la atención y ante la necesidad de velar por la seguridad de las telecomunicaciones de la Generalitat y de sus instalaciones.... algo así como lo que hace INTECO (grandes profesionales) por el estado español.

Hasta que el pasado 27 de Octubre Anonymous hizo saltar la liebre, filtrando unos documentos —previamente robados por un extrabajador—.

La cosa tiene miga, estrecha colaboración con Mossos d'Esquadra, supuestos contactos con el mossad israelí, espionaje a ciudadanos sin antecedentes, seguimientos de hacktivistas en la red, listas negras... todo apunta a que se estaban tomando su trabajo de agencia de seguridad informática demasiado a pecho, abarcando competencias de los grupos de seguridad del estado sin ningún tipo de orden judicial...

Como a dicho el abogado Hibai Arbide, cuyo perfil ha sido seguido por Cesicat... “aunque no sea espionaje, la recopilación de datos con criterios ideológicos está prohibida”. También argumenta “Una de las hipótesis con las que trabaja CiU es que, una vez Catalunya se declare independiente, haya servicios secretos y cloacas del Estado", Arbide recuerda, además, que en noviembre de 2011 Felip Puig dijo que los Mossos irían “más allá de la ley” en el combate a la disidencia."

La Agencia de Seguridad Nacional (NSA, por sus siglas en inglés) de Estados Unidos recurre a las «cookies» de Google para consultar la actividad previa del usuario y conocer sus gustos —como hacen los anunciantes de Internet—, con el fin último de identificar los objetivos a espiar.

Según una investigación del diario estadounidense «The Washington Post», unas diapositivas de la NSA proporcionadas por el excontratista de la NSA Edward Snowden confirmarían que la agencia está utilizando estas técnicas de rastreo para identificar objetivos a «hackear» y reforzar la vigilancia.

Durante años, los defensores de la privacidad en Internet han expresado su preocupación por el uso de las herramientas de seguimiento comerciales que se usan para identificar y dirigirse a los consumidores con determinados anuncios. La industria, por su parte, responde que supone un beneficio para los consumidores al proporcionarles anuncios de su interés.

Según los citados documentos, la NSA y el GCHQ (la agencia de inteligencia del Reino Unido) han encontrado «un uso particular» para un mecanismo de seguimiento específico de Google, conocido como la «cookie» PREF, que no suele contener información personal, como el nombre de una persona o su dirección de correo electrónico, pero que incluye códigos numéricos que permiten identificar el navegador de un usuario.

Además del seguimiento, esta «cookie» permitiría aislar las comunicaciones de una persona entre el mar de datos de Internet con el objetivo de enviar un software capaz de «hackear» la computadora de esa persona. Unos ataques específicos que, sin embargo, no estarían detallados en los documentos filtrados.

Según ha resaltado el diario, la NSA utilizaría esta técnica para seguir a personas bajo sospecha o, incluso, para localizarles a través de la conexión a Internet de su terminal móvil, rastreando la ubicación de cada dispositivo. Los expertos consultados por este medio afirman que en las diapositivas no se especifica si existe un cooperación por parte de Google, aunque advierten de que si la NSA obtiene los datos de esa manera y las empresas conocen sus movimientos, están legalmente obligadas a denunciarlo.

Para aprender cómo funciona la GPIO (General-purpose input/output) de Raspberry Pi he montado un pequeño rover motorizado que captura vídeo en tiempo real mediante una cámara USB y que puede ser controlado remotamente.

Quiero advertir que ya existen trabajos similares y productos prefabricados mejor acabados y seguramente con mayor rendimiento, pero si te interesara diseñar y hacer funcionar tu propio robot casero entonces te invito a que sigas leyendo :D

Eligiendo el hardware y conectando todo

La base es un viejo coche de control remoto por radiofrecuencia que compré hace años en un bazar chino. Sobre éste gira el proyecto: dos motores de corriente continua (DC) moviendo dos ejes para las ruedas de marcha adelante/atrás y dirección derecha/ izquierda:

Para mover los motores necesitamos un controlador H-Bridge o puente en H que no es más que un circuito electrónico que permite aplicar un voltaje a través de una carga en cualquier dirección, es decir, invertir la polaridad a nuestra elección para mover el motor en una dirección u otra. Además estos puentes en H permiten cortocircuitar para frenar en seco el motor o desconectar hasta su detención libre (free-run).

En este caso he elegido el módulo L298N, un controlador dual H-Bridge bastante popular y económico (4,35€) pero lo suficientemente potente como para impulsar motores de 5 a 35V y de hasta 2A.

Hace poco se publicaron en un foro de 4chan instrucciones falsas para que la nueva consola Xbox One pueda cargar los juegos de la antigua 360.

En el mensaje (ya eliminado) se adjuntaba la imagen de la izquierda y básicamente indicaba cómo poner la Xbox One en modo desarrollo mediante una secuencia que fue descubierta de forma independiente a principios de diciembre y compartida a través de un vídeo de YouTube.

Cualquier usuario que haya seguido estos pasos sin disponer de un ID real de desarrollador no podrá volver a arrancar la consola en modo normal y, por lo tanto, habrá convertido su flamante nueva consola en un bonito y caro "pisapapeles".

"Para ser claro, no hay manera de hacer que su Xbox One sea compatible y realizar los pasos para intentarlo podría hacer que la consola sea inoperable", escribió en un tweet Larry Hryb , director de programación de la red Xbox Live de Microsoft.

No está claro cuántas personas han seguido el falso consejo, pero es un claro ejemplo de lo dañino que puede llegar a ser un bulo (hoax o prank) en Internet...

Fuentes:
Xbox One backwards-compatibility prank breaking consoles
Warning over 4Chan Xbox One prank
Xbox One: Gamers DESTROY their own consoles in cruel hacking prank

Hoy 9 de diciembre cumplimos cuatro años y no queríamos dejar pasar la ocasión para agradeceros el seguir soportándonos ;)

Este año hemos superado los 10.000 seguidores en Twitter y hemos conseguido un meritorio séptimo puesto en los premios Bitácoras 2013 (llegando incluso a alcanzar un tercer puesto en las votaciones parciales), pero sobretodo hemos vuelto a disfrutar con la (in)seguridad informática y el hacking ~~a veces~~ ético con cosas tan alucinantes que son hasta difíciles de enumerar.

Sirvan de ejemplo un supuesto malware capaz de enviar datos a través de sonidos inaudibles, un ataque DDoS contra Spamhaus que llegó a los 300 Gps, una cadena de caracteres en árabe que hacía fallar a las aplicaciones de iOS 6 y Mac OS X 10.8, drones que secuestran a otros drones, televisores LG que "espían" las costumbres de sus dueños, robos de grandes cantidades de Bitcoins y, quizás lo más importante y sonado, el escándalo del espionaje masivo de la NSA y algunos gobiernos afines...

Para el próximo año sólo esperamos que sea igual o más divertido y que podamos seguir compartiéndolo con todos vosotros. Nuestra asignatura pendiente: conseguir algún autor más que escriba regularmente en nuestro blog, ¿te animas?

Seguro que habéis leído y os ha llamado la atención una noticia reciente en la que se decía que Amazon estaba pensando utilizar drones para repartir paquetes pequeños a sus clientes. La perspectiva de un enjambre pequeño de aviones no tripulados plantea sin embargo una nueva gama de problemas de seguridad...

Samy Kamkar, creador del famoso gusano que noqueó a MySpace en 2005, ha creado un drone de bajo coste que es capaz de encontrar y secuestrar de forma inalámbrica otros drones. La plataforma del proyecto bautizado como SkyJack se compone de:

- Parrot AR.Drone 2: 289,00€
- Raspberry Pi: 38,95 €
- Batería USB (DigiPower 1100mAh: 16,90€)
- Adaptador inalámbrico Alfa AWUS036H: 27,99€
- Adaptador inalámbrico Edimax EW-7811Un: 14,25€
- Software aircrack-ng, node-ar-drone, node.js y el código fuente de SkyJack (perl/js)

Básicamente lo que hace es ejecutar aircrack-ng para poner su tarjeta de red en modo monitor, detecta las redes y clientes cercanos, reconecta los clientes al Parrot y utiliza Node.js con node-ar-drone para controlar los drones (ciertos tipos, eso sí).

Es decir, por unos 400€ cualquiera podría tener un cuadricóptero capaz de interceptar y secuestrar otros drones para por ejemplo llevarse sus envíos y/o convertirles en drones zombies.

Interesante ¿verdad? http://samy.pl/skyjack/

Seguro que os acordáis del misterioso malware badBIOS porque según se decía era capaz de transmitirse a través del sonido. Lejos de ser una fantasía de Dragos Ruiu ahora parece demostrarse que, en teoría, si es posible...

Michael Hanspach y Michael Goetz, investigadores del Instituto Fraunhofer de Alemania para la Comunicación, tratamiento de la información y ergonomía, han publicado recientemente un documento sobre los canales de comunicación encubiertos que utilizan señales de audio para transmitir datos de un sistema informático a otro.

Según Ars Technica, los expertos han desarrollado un prototipo de malware que es capaz de transmitir pequeñas cantidades de información, tales como las pulsaciones de teclado, a través de señales de audio inaudibles.

La prueba de concepto realizada por los investigadores tiene un alcance de 19,7 metros a través del aire mediante el uso de altavoces y micrófonos conectados en los ordenadores. Si bien puede no parecer mucho, se podría diseñar una red de malla acústica encubierta para permitir la transmisión de datos a través de múltiples hosts de nodos infectados.

Nadie puede negar que en la mayoría de las redes empresariales se utiliza Directorio Activo para proporcionar control de acceso a los puestos de usuario, los servidores y a las aplicaciones. Sin duda, el Directorio Activo juega un papel crítico en el entorno de TI.
En este contexto y para ayudar a las empresas a proteger sus entornos de Directorio Activo, Microsoft IT publicó en junio un documento técnico que os aconsejamos descargar y tener a mano como referencia: "Buenas prácticas para proteger el Directorio Activo" (en inglés: "Best Practices for Securing Active Directory").

Los principios fundamentales de este documento son cuatro estrategias interrelacionadas que Microsoft IT recomienda tener en cuenta en un entorno de Active Directory típico, entre ellos:

    - La identificación de las vulnerabilidades
    - La reducción de la superficie de ataque
    - La monitorización de los indicadores de compromiso
    - El desarrollo de un plan de seguridad a largo plazo

Los métodos que se discuten en el documento se basan en gran medida en la experiencia de la Organización de Microsoft de la Seguridad de la Información y Gestión de Riesgos (ISRM), la cual es responsable de la protección de los activos de TI de Microsoft , de otras divisiones de negocio de Microsoft y de asesorar a 500 clientes globales.

Descarga del documento: http://download.microsoft.com/download/D/1/8/D1866CDE-9824-40F4-836A-4C8C233693F1/Best%20Practices%20for%20Securing%20Active%20Directory.docx

Lo más visto del 2013 en Hackplayers

Latch: una aplicacion para dominarlas a todas

Cómo acceder a un terminal SSH desde el navegador web

Qué deberíamos saber sobre Tcpdump (parte II)

#30c3: Comienza la edición 30 del congreso anual del CCC

Publican el API y dos exploits funcionales para Snapchat

¡Feliz navidad!

Qué deberíamos saber sobre Tcpdump (parte I)

Top 10 de las mejores herramientas de seguridad del 2013 de ToolsWatch

Obtienen claves de cifrado RSA escuchando el sonido de emite la CPU

Lista de las principales certificaciones de seguridad informática y hacking ético

Vulnerabilidad en Twitter permite enviar mensajes directos sin permiso de los usuarios

¿Desmontan el CESICAT?

NSA utiliza las cookies para espiar

Construye tu propio rover teledirigido con Raspberry Pi y WebIOPi

Usuarios inutilizan sus propias Xbox One al seguir las instrucciones de un bulo en Internet

Cuarto aniversario de Hackplayers

SkyJack: un drone de bajo coste capaz de "secuestrar" a otros drones

Desarrollan malware capaz de transmitir datos a través de sonidos inaudibles

Guía de buenas prácticas para proteger el Directorio Activo

Hackplayers Social Media. Contact!

Publicidad

Número de visitas

h-c0n - La CON de Hackplayers

Comentarios recientes

Entradas populares del mes

Visita el foro de la Comunidad

Archivo del blog

Newsletter

Etiquetas

Top autores activos

Publicidad

Visitas recientes

Licencia