Contribuciones de SbD: Muchas gracias a TOD@S!!

Que SbD es lo que es gracias a nuestros lectores, no es nada que no hayamos dicho en anteriores ocasiones. Sin embargo, en la aventura que iniciamos hace ya más de tres años, y con nuestro compromiso de intentar sorprenderos todos los días con nuestros inventos, herramientas, noticias, etc,... hemos ido contando con diferentes colaboradores que, con su contenido y su tiempo, han aportado un gran valor añadido a este blog.

Desde SbD queremos agradecer, a todos estos colaboradores, el esfuerzo dedicado a lo largo de este año, con este post recopilatorio que sumariza todas las contribuciones que hemos publicado en 2011.

• Ataques Visuales: Detectando patrones en el caos por Alfonso Muñoz

• Steampunk, el siglo XIX acude al rescate de los hackers por Jorge Bermúdez

• Sniffando conversaciones de Facebook con Borogove por Vdo

• A vueltas con la ley Sinde por María González Moreno

• Cinco aspectos para mejorar la seguridad en las empresas por Mariano del Río

• Presentando Metasploit Express por Jesús Moreno

• Reversing Android.Geinimi.A por Sebastián Guerrero

• Evolución del malware en dispositivos Android por Sebastián Guerrero   

• La Responsabilidad Penal de las Personas Jurídicas en los Delitos de Descubrimiento y Revelación de Secretos por Gonzalo Salas Claver

• Malditos spammers por Pepelux

• Fundamentos para la protección de Servicios Esenciales por Mariano del Río

• Cookies sí, pero credenciales mejor por Luis Delgado

• Crear y montar imágenes en Raw (2ª parte) por David Montero

• USB con unidad de sólo lectura: caso práctico INTECO por David Reguera aka Dreg

• Nuevo Rootkit ataca el sector de arranque por Sergi Roselló

• Monitorizando nuestra reputación por Sergi Roselló

• Auditoría de sistemas con Bellator por Ricardo Ramos

• A Android le gustan los "tallalines" por Sebastián Guerrero

• F*cktool: Herramienta de fortificación y configuración de kioskos por (Sergio Adrián, Santiago Álvarez, Ernesto Corral, Joaquín Pano)

• Hashing de ficheros con MD5dheep y hashdeep por Jhnmarie

• Que no hacer al de gestionar incidentes de seguridad por Mariano del Río

• Ágora ciudadana, el parlamento virtual por Eduardo Robles

• Android y el uso de la SD Card por Luis Delgado

• Hacia un nuevo modelo de auditoría de protección de datos por Gonzalo Salas Claver

• Paneles de control de acuarios con SHODAN por Miguel Angel Bernabé Cruz

• Androide 007: Licencia para ejecutar por Sebastián Guerrero

• Búsqueda automatizada de cuentas Facebook asociadas a un correo electrónico o teléfono por Fernando Lagos

• Seguridad en Instalaciones Parte 1: Seguridad física por Ricardo Ramos

• Diario de una botnet por Daniel Martinez

• Concursos online, un peligro para nuestros datos por Luis Delgado

• Deficiencias más comunes en los SGSI basados en ISO27001 por Mariano del Río

• Análisis de un PDF malicioso con Peepdf por Jose Miguel Esparza

• Seguridad en Instalaciones - Parte 2: Seguridad Electrónica por Ricardo Ramos

• Tuentidump, descargando cuentas de Tuenti por Luis Delgado

• Dispositivos IPS vs DDoS de Anonymous por Manuel Bermúdez

• Pimp my Android por Sebastián Guerrero

• Seguridad en redes wireless por Ricardo Ramos

• 8.8 Computer Security Conference Chile por Fernando Lagos

• De Don Quijote a Oficial de Seguridad por Mariano del Río

• Uso de Burp intruder para ataques de diccionario y fuerza bruta por Beatriz Portela

• Bypassing Captchas, más fácil de lo que parece por Luis Delgado

• Ejemplo de arquitectura wireless con WPA2 por Ricardo Ramos

• Banca electrónica y SSL ¿quién aprueba en España? por Emilio Casbas 

• Vende-motos: Fraude a través de Internet por Francisco Losada

A los que aún no nos habéis enviado nada: No seáis tímidos y contactad con nosotros en contacto@securitybydefault.com. Prometemos no morderos!

A todos nuestros colaboradores y a nuestros lectores:

¡¡Muchas gracias y Feliz Año 2012!!

Leer más...

[inocentada] Cross-Site Scriptings en Google, Nasa y CIA

----------- INOCENTADA 28-Dic-2012 -----------

Como muchos adivinasteis (y otros ¿siguieron la broma?), esta contribución se trataba de una inocentada.

-----------------------------------------------------------------------------------------

Quiero dar las gracias a Security By Default por dejarme publicar aquí esta técnica, en la que llevo meses trabajando y que espero poder presentar en diferentes congresos a lo largo de todo el mundo. Yo creo que nadie antes se había dado cuenta, pero creo que he descubierto una forma de poder conseguir Cross-Site Scriptings no persistentes (de momento :-D) en casi todas las páginas web, y ¡saltándose todos los filtros anti-XSS!

No quiero enrollarme mucho sobre cómo llegué a la sentencia final, pero si que os proporcionaré el truco para que así podáis llenar las bases de datos de webs con XSS, como  XSSed y demás.

Para probarlo en entornos reales, he decidido aplicar dicho ataque en las webs de Google, de la Nasa y de la CIA, cuyos departamentos de seguridad siempre se han jactado de tener sus sistemas más seguros del mundo...¡pues no lo parece!

Adjunto las siguientes capturas, en primer lugar de un XSS en el propio buscador de Google!

El siguiente, ¡en el buscador principal de la NASA!

Y finalmente, en el de la CIA:

He probado sobre las últimas versiones sobre Windows de Google Chrome, Internet Explorer y Mozilla Firefox, y en este último no me ha funcionado, así que quizás siga investigando para que así este método sea como Java, ¡que funcione en todas partes!

Si queréis probar vosotros mismos, no tenéis más que realizar los siguientes pasos:

1) visitar una web cualquiera que tenga un buscador

2) poner la siguiente cadena de texto (es una de las técnicas mostrada en la cheatsheet de XSS en ha.ckers.org): <XSS STYLE="xss:expression(alert('Security By Default'))"> como valor a buscar.

3) La búsqueda no ofrecerá resultados, y aunque parezca que escapa carácteres, a continuación, en la barra de direcciones del navegador, hay que escribir lo siguiente, tal cual:

javascript:alert('Security By Default')

¡Tachán! Así veréis como esto no se trata de ningún montaje, ¡las imágenes que os había mostrado eran reales! He contactado tanto con Google como con Microsoft, y de momento no he obtenido respuesta alguna (supongo que por las vacaciones de Navidad), y también he escrito a Mozilla para felicitarles por su seguridad.

Espero que os haya sido de utilidad, y si mejoráis la técnica, ¡dejad comentarios!

------------------------------

Contribución por Inn0-cent Hacker

Leer más...

Exploit para vulnerabilidad de ejecución remota de código en telnetd para FreeBSD

El pasado domingo enlazábamos en nuestro post recopilatorio "enlaces de la SECmana - 103", con lo mejor de la semana, un mensaje en la lista del sistema operativo freebsd.org en el que se anunciaba una vulnerabilidad crítica en el servicio telnetd que permitiría ejecución remota de código como usuario con privilegios máximos (ya que normalmente es ejecutado como usuario root).

La vulnerabilidad residía en la librería encrypt.c, ya que cuando se proporcionaba una clave de cifrado mediante el protocolo telnet, su longitud no era validada antes de que dicha clave se copiase dentro de un búfer de tamaño fijo. Se puede ver mejor en el parche que se puso a disposición de todos para solventar dicha vulnerabilidad, en donde se establece que si la longitud (variable len) es mayor que MAXKEYLEN, entonces se fuerza a tomar su valor:

Parche para el demonio telnetd

Ayer mismo, Jaime Peñalba "Nighterman" del grupo Painsec, al que pudimos ver en la pasada Rooted CON 2011 dando una charla sobre qué protecciones tomo él y su grupo para participar en el CTF de la Defcon 18 (aquí el video, 100% recomendado), publicaba un exploit que permitiría aprovechar esta vulnerabilidad en FreeBSD 8.0, 8.1 y 8.2:

Según se ha notificado desde el momento que se anunció esta vulnerabilidad, se tenía constancia de que estaba siendo explotada.

[+] FreeBSD Security Advisory FreeBSD-SA-11:08.telnetd
[+] Exploit telnetd-encrypt_keyid.c por Jaime Peñalba "Nighterman" de Painsec

Leer más...

Lo mejor de SbD en 2011

2011, otro año que ya nos deja. El fin de año es el momento en que nos toca hacer balance de lo bueno y de lo malo que hemos hecho, a nivel personal, o que ha sucedido a lo largo de todo el periodo.

Otros años en SbD, hemos querido recopilar, en materia de seguridad, aquellos incidentes o noticias relevantes que han sucedido este año, y que hayamos compartido aquí. Sin embargo, y ya que Jose Antonio hace ese gran trabajo con periodicidad semanal, resumiendo noticias de seguridad, tanto de nuestro blog como de otros, quizá sería redundante hacerlo en modo anual.

En esta ocasión vamos a proponeros aquellos posts que más han gustado en general a nuestros lectores (al menos, según mi criterio)  

• Enero: Después de haber organizado varios Wargames para diferentes ediciones de Campus Party, tuvimos el placer de estrenar El primer Wargame SbD a nivel mundial. Otro de los posts que guardo con especial cariño, gracias a que vosotros lectores, me recordáis siempre que me encontráis por algún sarao es el de Hacking Roomba!

• Febrero: Por cortesía de uno de nuestros colaboradores, Sebastián Guerrero, publicamos Evolución del Malware en dispositivos Android. Otra contribución muy reconocida, por parte de Luis Delgado, otro de nuestros colaboradores habituales, fue Wifi Auditor: Mostrando la Inseguridad, herramienta que incluso llegó a estar en el Top de las más descargadas de Softonic 

• Marzo: Buscándole las cosquillas a una TV con pila TCP/IP, presentamos Hacking LG TV for fun and profit. Además, echamos un vistazo a todos los servidores web pertenecientes al país completo en Mi España, un vistazo rápido a sus servidores web. Iniciamos nuestra curiosidad sobre cómo funciona la aplicación de moda en Whatsapp y su seguridad pwn3d

• Abril: Ayudamos a hacer la navegación más segura gracias a Mitos de HTTPS y la navegación segura y seguimos en nuestra línea de hardware hacking con Trasteando con una alarma de Securitas

• Mayo: El post del mes a destacar tiene que ver con una de las noticias más preocupantes para la comunidad Internauta: Monitorizando la Ley Sinde - ¿hasta donde pueden llegar? 

• Junio: Fue cuando publicamos los artículos con el mayor éxito indiscutible del año. Una vez más sobre la aplicación de moda, destripamos el protocolo utilizado por Whatsapp, y así os lo contamos en Lo que no te cuenta Whatsapp y Cómo registrar cualquier número de teléfono en Whatsapp  

• Julio: Jugamos una pequeña broma con mucha repercusión en la red, a través de Ricardo Galli, gracias a un "inocente iFrame Injection" en Fundación Autor + iFrame Injection + gallir + meneame! = Movida 

• Agosto: Nuestro compañero Yago, invitado al primer capítulo de la aventura en Telecinco de MundoHacker TV en la gran pantalla. Gracias a un par de vulnerabilidades en el diseño de la web de páginas amarillas, creamos nuestro propio Infobel   

• Septiembre: Empezamos el mes con una noticia que podría haber puesto en jaque montones de equipos: Kernel.org comprometido. Además, mostramos cómo se entretuvo "alguien" trasterando con una TV ofrecida por una agencia de viajes en un supermercado en: ¿Dónde quieres viajar? Al botón de Inicio. Una reflexión que suscitó bastante polémica fue La obsolescencia del modelo UNIX 

• Octubre: Quisimos compartir con vosotros una metodología de Cómo diseñar una política de cortafuegos. Además, una de las herramientas de seguridad más populares en entornos UNIX para descubrir procesos ocultos, ha sido portada a Windows. Os presentamos Winunhide

• Noviembre: Este mes os contamos un curioso método para la Obtención del fichero SAM y SYSTEM sin necesidad de apagar el sistema en Windows 2003. Una de hackeos memorables muy curiosos, llevados a cabo por ex-personal de TI a modo de venganza: Hackeos Memorables: IT Crowd

• Diciembre: Una contribución, propuesta por Emilio Casbas, que tuvo mucho éxito como revisión de un post del año anterior en SbD, fue Banca Electrónica y SSL ¿Quién aprueba en España?

Estamos seguros que el año que viene os sorprenderemos con más y mejores entradas sobre seguridad. 

Desde SbD queremos daros las gracias a vosotros fieles lectores, por todo vuestro apoyo, comentarios, correos, twitts,...

Por supuesto una mención y agradecimiento especial a todos nuestros colaboradores, que han enriquecido el blog con sus contenidos, ideas, desarrollos,... en resumen, por su tiempo!

Porque SbD es nuestro hobby y nuestro orgullo gracias a todos vosotros: MUCHAS GRACIAS!

Leer más...

Enlaces de la SECmana - 103

• ¡Bienvenidos otra vez a los 90! Papa Noel trae una vulnerabilidad en el servicio telnetd en FreeBSD que permitiría ejecutar comandos como root (CVE-2011-4862). Explotándose in-the-wild, ya se está creando un exploit que permitiría aprovechar dicha vulnerabilidad.
• Afectados casi 2 millones de usuarios a causa de un nuevo hack a la empresa de videojuegos Square Enix. Tras una rápida investigación, se determinó que se había conseguido acceder a un servidor perteneciente a una red que ofrecía servicio a Norte América y Japón.
• Nueva técnica de inyección, llamada Server-Side Javascript Injection (Inyección Javascript en el lado del servidor), consistente en el ataque de aplicaciones que utilizan NoSQL y Node.js.
• Añadido nuevo lab para RootedLabs 2012, impartido por Raúl Siles, sobre cómo realizar pentesting web con el framework Samurai-WTF.
• El usuario en twitter w3bd3vil publicó un tweet en el que mostraba una prueba de concepto que permitía explotar una vulnerabilidad en Safari para Windows 7, únicamente estableciendo una altura concreta a un iframe. El error residía en win32k.sys. En Secunia ya se puede visitar la nota de seguridad sobre esta corrupción de memoria.
• Curioso cuanto menos, k0st publica cómo instalar la última versión de Metasploit en un Kindle de Amazon.
• Actualizados los bundles de Tor Browser, paquetes de Tor que incluyen navegador, actualizando Firefox a la 9.0.1.
• Post en El Lado del Mal en el que Chema muestra el listín de teléfonos LDAP de la Nasa, usando diferentes trucos en motores de búsqueda.
• Ya se ha anunciado el listado de ponentes que formarán parte de la próxima SchmooCon 2012.
• Exploit de Java encontrado en la página de Amnistía Internacional de Reino Unido, mediante un iframe que enlazaba a un servidor de orígen brasileño.

Leer más...

Professional Penetration Testing (Libro)

Cuando uno piensa en 'pentesting', lo primero que viene a la mente son un montón de herramientas tipo metasploit o Nessus, y lo cierto es que para la gente mas técnica, buscar un enfoque mucho más orientado a la gestión, resulta un tanto difícil.

Professional Penetration Testing es un libro en el que vas a aprender mas bien poco sobre como 'romper' sistemas, no va mas allá de ligeras nociones y enlaces para buscar más información.

En este libro las aptitudes técnicas son tan solo un actor secundario al servicio de un objetivo final: presentar un buen informe.

Y es que muchas veces importa tanto el contenido como su presentación, la forma en la que se categoriza la información y el saber expresar lo encontrado en una auditoría con un doble lenguaje ejecutivo / técnico.

Lo mejor: Te permite obtener una visión bastante mas amplia de lo que es una auditoría en el mundo profesional

Lo peor: A veces resulta bastante denso y tiene varios capítulos 'paja' que cuesta leer sin pasar las páginas.

Professional Penetration Testing en Amazon

Leer más...

Juniper vs. Palo Alto Networks: Bypassing Firewall Copyrights

No, lo que os contamos hoy no pretende ser una comparativa técnica entre dos modelos de cortafuegos comerciales. El enfoque de la noticia viene por el conflicto "a tortas" como indican en la revista TCN por un tema de patentes tecnológicas... aunque dado el nombre de uno de los contrincantes yo habría indicado "a palos".

Nir Zuk y Yuming Mao, eran dos ejecutivos que trabajaban en Netscreen Technologies, allá por 2004. Sin embargo, al tiempo de haber sido adquirida la mencionada compañía por parte de Juniper, estos dos individuos se marcharon (o fueron invitados a irse, desconozco ese detalle). A la salida de Juniper, tuvieron una idea emprendedora: formar otra compañía de seguridad con una solución innovadora y rompedora.

Sin embargo, actualmente, Juniper reclama en una demanda interpuesta judicialmente, que los citados ejecutivos ex-Netscreens, utilizan en su innovadora solución 6 tipos de tecnología patentada que, por la adquisición de Netscreen Technologies por parte de Juniper por 4000 millones de dólares, no les es posible utilizar. Además, en la demanda se indica que precisamente, tras dejar Juniper, los nuevos empresarios propusieron a otros empleados cambiarse para la nueva aventura, a fin de generar una empresa capaz de competir en la misma liga de Juniper.

Abstrayéndonos de la parte legal del asunto, que queda en manos de jueces, las preguntas que surgen aquí son: ¿Dónde está el límite ético para un empleado que deja una compañía a la hora de utilizar "sus inventos o desarrollos" para siguientes aventuras? ¿Se puede comprar una idea? ¿NO a las patentes de software?

Cuando firmas un contrato con una empresa, precisamente una de las cláusulas que no suelen faltar en el mismo, hace referencia a qué pasará en caso que la relación contractual termine. Muchas de las cláusulas de este tipo, casi te exigen el derecho a ser lobotomizado y que tu memoria sea borrada para evitar que te lleves secretos profesionales a la siguiente aventura.

Más allá de lo que digan las leyes que respaldan ese contrato, aquí ya entra la moral y los valores de cada uno, a la hora de tener en cuenta sobre qué es lo que puedes y lo que no puedes hacer.

En el caso de la compra de Netscreen por parte de Juniper, imagino que de los 4.000 millones de dólares, a los cofundadores de Palo Alto Networks, siendo ejecutivos en Netscreen, un buen pico les tocaría, por lo que podrían haber considerado que lo recibido era pago suficiente (o no) por sus desarrollos e inventos. De esta manera, tendrían que haber diseñado su nueva solución utilizando algún otro mecanismo que no se basase en algo que ya no les pertenecía.

Desde un punto de vista técnico, conozco en profundidad Juniper (en concreto la parte de firewalls/IPS/UTMs que venía de Netscreen) y desde siempre me han parecido unas soluciones fabulosas: robustas, con un excelente rendimiento,... aunque, con unas herramientas gráficas de administración que, por su apariencia espartana, no eran de mis preferidas.

No he tenido la oportunidad de meterme a conocer "los internals" de Palo Alto. Sin embargo, por lo que se escucha en partners del mercado, les sustenta una base técnica más que competente. Por el contrario, por lo que he oido también, a veces la prisa por publicar actualizaciones de firmware, penaliza la estabilidad completa de la solución, pero supongo que siempre, las buenas prácticas recomiendan no instalar una versión de un firmware de cualquier dispositivo en producción, sin haber pasado antes una batería de pruebas y tiempo en un entorno menos crítico. Cabe destacar además que Palo Alto Networks ha sido el principal impulsor de lo que bautizaron como el NG-Firewall (o Cortafuegos de Siguiente Generación) y que invierten grandes sumas de dinero en una gran labor de márketing para terminar de "matar" al IPS convencional e insuflarle vida al concepto NG-FW.

A nivel personal, no siento simpatía ni apatía por ninguna en especial. Conozco personalmente a grandes profesionales que trabajan actualmente en ambas empresas. Y como ya dije anteriormente, no pretendo juzgar en este post a cuál de las dos compañías le asiste la razón, sobre todo, sin tener información de primera mano y basándome sólo en lo leído en una escueta noticia.

Sin embargo, en el caso de Juniper, de momento, han sido capaces de enumerar las 6 tecnologías supuestamente "pagadas" y patentadas por ellos a la hora de adquirir Netscreen Technologies. En el caso de Palo Alto Networks, no han querido hacer declaraciones al respecto ¿Será verdad eso de que quien calla, otorga?

Leer más...

Todas las PHRACK en formato mobi y epub

albino, del blog Skeleton Scribe, ha realizado la conversión de todas las ezines de PHRACK publicadas hasta la fecha (más de 25 años...) en formatos compatibles con los lectores portátiles, Kindle (formato .mobi) y el resto de lectores (formato .epub).

Si bien ha habido diferentes épocas en la vida de esta ezine cuyo primer número data de 1985, se puede seguir considerando una de las más importantes publicadas relacionadas con la seguridad informática, con artículos que incluso deberían ser enmarcados, como el Smashing The Stack For Fun And Profit de Aleph One del número 49. Multitud de cambios editoriales, algún que otro hackeo memorable, ahora mismo los números salen con cuenta gotas sin una fecha de publicación cerrada, siendo el último número el 67. El Call-For-Papers para la edición 68 es de hace casi un año, así que...

Podréis descargar esta genial contribución de albino en los siguientes enlaces:

[números de phrack en .mobi || mirror] [números de phrack en .epub || mirror]

Permaneced atentos al post donde ha realizado el anuncio, por si incluye más mirrors de estas publicaciones.

Leer más...

El supermercado underground de Internet

¿Te imaginas un sitio en Internet solo accesible mediante la red TOR, donde solo puedas pagar con Bitcoin y puedas seleccionar traficante por su reputación?

Todos sabemos que en Internet, por su naturaleza 'incontrolada' se puede adquirir cualquier cosa ilegal si sabes buscar bien, hay cientos de foros mas o menos abiertos donde mucha gente ofrece drogas, armas y otra clase de mercancías imposibles de obtener por una vía convencional.

Paralelamente en Internet se ha desarrollado una cultura de la privacidad nunca antes vista (al menos en cuanto a herramientas y protocolos), y estaba claro que en algún punto una cosa y otra se darían la mano para generar una 'industria de lo prohibido' que imite el funcionamiento de sus hermanas legítimas.

En gawker han publicado un artículo fascinante sobre un supermercado llamado 'Silk Road' donde se pueden adquirir toda clase de drogas (marihuana, cocaína, anabolizantes, éxtasis ...) que funciona única y exclusivamente a través de TOR y que sólo admite como moneda Bitcoin

Se supone que este formato es 'beneficioso' para el cliente final ya que puede adquirir una mercancía de mejor calidad y con ciertas garantías frente a la opción de comprarla en la calle. Esto es así ya que, análogamente a otros servicios como Ebay, Silk Road funciona con un sistema de reputación sobre los vendedores.

Independientemente de lo moral / inmoral que resulte la actividad, el concepto técnicamente hablando supone un ejercicio de madurez para las tecnologías pro-privacidad.

Leer más...

28th Chaos Communication Congress - Behind Enemy Lines

Como cada año por estas fechas navideñas, quedan pocos días para que de comienzo el congreso Chaos Communication Congress en Berlín. Este año toca la edición vigésimo octava del 27 al 30 de Diciembre, llevando el subtítulo o slogan "Behind Enemy Lines".

28 años han pasado ya desde que la comunidad creara este congreso, de 4 días de duración, que sigue teniendo lugar en bcc Berliner Congress Center.

Una de las principales ventajas es el poder disfrutar de todo lo que ocurra durante el congreso mediante streaming, debido a estas fechas tan señaladas y complicadas para casi todo el mundo (no todo el mundo puede quedarse 4 días en Berlín en plena Navidad...), con una calidad más que aceptable y cuyos canales de video y audio se irán anunciado.

Este año sigue habiendo diferentes tracks, dedicados a temáticas Hacking, política y sociedad, ciencia, comunidad, etc. De momento, se puede consultar la agenda en los siguientes enlaces: [Día 1] [Día 2] [Día 3] [Día 4], así como el listado de ponentes.

Se han dado lugar charlas estelares, como por ejemplo la aparición del team fail0verflow con su charla Console Hacking 2010 en el 27c3, explicando el FAIL de la PS3 que daría la vuelta al mundo, así como la ponencia de miembros del iphone-dev "Hacking the iPhone" explicando los entresijos y vulnerabilidades de iOS en el 25c3.

Seguiremos todo lo referente al 28c3, y os iremos informando tanto en el blog como por nuestro twitter. El hashtag es #28c3, os recomendamos seguirlo con atención.

Enlaces de interés:
[+] Wiki del 28c3

[+] Blog del CCC
[+] Twitter del CCC

Leer más...

Enlaces de la SECmana - 102

• En SeguridadApple, el bug en iMessage (el Whatsapp de Apple) en iOS 5 que envía tus SMS a los ladrones y que Apple dice que NO es un fallo de seguridad.
• Nueva versión 0.4.2.12-alpha de Beef, el framework de explotación de navegadores.
• Genial investigación de Rubén Santamarta de los dispositivos NOE771 de la compañía Schneider Electrics y los entresijos de su firmware con credenciales incluídas en el código para FTP, telnet, etc. Ya se ha publicado la alerta por el ICS-CERT.
• Vulnerabilidad en PuTTY, ya corregida, que permitía obtener información sensible de la memoria del proceso. La versión 0.62 queda por tanto como la última disponible.
• Kingcope sigue a la carga, y publica información en la lista Full-Disclosure sobre ejecución remota de código en vsFTPd. En el mensaje de la lista se incluye el código fuente una prueba de concepto así como el pertinente análisis.
• Bernardo Damele A. G., programador de la herramienta sqlmap, publica dos posts (parte 1 y parte 2) sobre todo lo que se necesita saber para volcar hashes de contraseñas Windows de manera eficiente. 
• Incidente de seguridad detectado en otra entidad certificadora, GlobalSign. Parece ser que se atacó alguno de los servidores de la periferia de la compañía, pero no se ha detectado la emisión de certificados.
• Apple publica la versión 5.0.1 de iOS, y MuscleNerd del iphone-dev reporta que el sistema de ficheros estaba completamente abierto, por lo que se podrían copiar funcionalidades y programarlas para otros sistemas sin necesidad de piratearlas.

Leer más...

Vende-motos: fraude a través de Internet

Puede que con esto que llaman «Crisis» los mercados de segunda mano estén cobrando mayor protagonismo que hace unos años o, simplemente, puede que la gente esté perdiendo el miedo a comprar por Internet. La realidad es que cada vez se encuentran en la Red más referencias sobre gangas que resultan ser estafas.

Los últimos datos del Observatorio Nacional de las Telecomunicaciones y de la Sociedad de la Información (ONTSI), confirman que el comercio electrónico viene experimentando un aumento constante durante los últimos años, tanto en las transacciones entre particulares, C2C, como en aquellas en las que participan empresas y particulares, B2C.

El crecimiento del comercio electrónico viene acompañado de un incremento en el número de intentos de fraude. Según un Estudio sobre fraude a través de Internet del Observatorio de la Seguridad de la Información de INTECO, «un 53,1% de los usuarios de Internet españoles declaran haber sido víctimas de un intento (no necesariamente consumado) de fraude en los últimos tres meses.»

Este caso sucedió hace unos meses, cuando un compañero de trabajo estaba buscando su primera moto y una de segunda mano era su elección favorita. La búsqueda comenzó en una conocida página de anuncios de vehículos usados y el modelo concreto que buscaba era una Yamaha T-Max cuyo precio en el concesionario oscila los 10.000-11.000€.

Una búsqueda en alguno de estos portales muestra entre los primeros resultados algunas ofertas a unos precios más que interesantes. En este caso aparecieron dos motos que reunían las características deseadas.

La moto que ofrecía el primer vendedor tenía solo unos meses de antigüedad, menos de 3.000 kms. y un precio de 6.400€. Nos ponemos en contacto con él y al cabo de un tiempo recibimos la respuesta a nuestra solicitud en la que se nos facilitaba más información.

La moto de nuestro segundo vendedor tenía unos 3 años de antigüedad, unos 12.500 kms y un precio de 4.000€. La respuesta que recibimos fue, cuanto menos, sorprendente:

¿Qué tendrá Nottingham para que todos los españoles se vayan para allá?

Dada la curiosa situación y las coincidencias entre ambos correos, decidimos interesarnos por esta última moto y solicitar a este vendedor de nombre Fernando y apellidos, digamos, XXX YYY que nos haga llegar la documentación del vehículo escaneada y que lleve la moto a un taller oficial para una revisión.

Amablemente, este vendedor nos responde de nuevo, proporcionando algo más de información, asegurando que es una persona seria pero haciendo caso omiso a las peticiones que le hacemos sobre la documentación del vehículo.

El método de entrega tampoco ofrecía excesiva confianza. Una empresa que se dedica a realizar o custodiar este tipo de transacciones debería, al menos desde mi punto de vista, ofrecer una imagen y unas garantías. Su página web se encuentra alojada en un proveedor de hosting gratuito, sus referencias en Google hacen alusión a una dudosa reputación

Pese a que las madres siempre digan que no hay que fiarse de la gente que no conocemos, decidimos hacer caso a este amable vendedor y cotejar con la DGT la información que nos proporcionaba.

En primer lugar, observamos que la matrícula y el número de bastidor coinciden, sin embargo, el titular actual del vehículo resulta ser un tal Gabino PPP RRR que, aparentemente, no parece tener ningún tipo de vínculo con nuestro Fernando XXX YYY.

Los demás datos nos indican que la moto fue transferida en el año 2010 y, siguiendo la pista del número de DNI del anterior propietario aparece el señor Fernando XXX YYY.

Decidimos tirar un poco más del hilo y comprobar las cabeceras de los correos que habíamos recibido del señor Fernando y en ambos, las diferentes direcciones del servidor de origen nos llevaban a la capital de Rumanía:

A pesar de carecer de interés sobre la transacción, decidimos enviar un último correo al vendedor para ver hasta donde estaba dispuesto a llegar.

Después de este último correo no obtuvimos más respuestas, por lo que no pudimos profundizar más. En cualquier caso, existen decenas de anuncios fraudulentos como estos y cualquiera con un poco de interés puede seguir las pistas y verificar su autenticidad.

Si analizamos este caso vemos que nos ofrecen fotos reales de la moto, el número de bastidor coincide con la matrícula y el vendedor dice llamarse igual que el anterior propietario del vehículo. Existe también una entidad involucrada en la transacción que guarda algún tipo de relación con la persona que intenta vender el vehículo. Toda una serie de elementos que se relacionan para dar mayor credibilidad a los potenciales compradores o víctimas.

Las recomendaciones en todos los casos son seguir las guías de seguridad que ofrecen estos portales de compra-venta como segundamano.es y coches.net, alertar de los casos fraudulentos en los propios portales y, en caso de haber sido víctimas de la estafa, contactar con las autoridades:

• Grupo de Delitos Telemáticos (GDT) de la Guardia Civil.
  
• Brigada de Investigación Tecnológica (BIT) de la Policía Nacional.
• Mossos d'Esquadra
  
• Ertzaintza
  

Artículo cortesía de Francisco Losada

Leer más...

Vuestros "ETHERNET EXPOSED" - VIII

Nueva edición de nuestra sección Vuestros ETHERNET EXPOSED, posts en el que pretendemos recopilar aquellas imágenes que realizáis a tomas ethernet que se encuentren expuestas en lugares curiosos y que posteriormente nos enviáis a nuestra dirección de contacto. Se acerca la navidad, así que ahora que tendréis la posibilidad de salir por ahí, recordad que nuestro buzón siempre está abierto.


Empezamos por la primera de las contribuciones. kifo, participante habitual de wargames de seguridad, nos manda las siguientes fotografías de una toma de red al descubierto:

"Una toma de red de la upv, supongo que a ella estará conectado algun router de los quedan acceso wifi a toda la facultad. La de cosas que se podrían hacer enganchandose ahi jejeje."

La siguiente imagen nos llega de parte de Marc Rivero López, "Seifreed", en la que únicamente nos comentó que se la encontró en un restaurante chino:

Curioso el invento/puente que tienen montado, pero si lo han hecho los chinos, ¡seguro que funciona!

El siguiente ETHERNET EXPOSED nos lo manda Juan Antonio Calles, miembro de Flu-Project, mientras disfrutaba de unas vacaciones en Escocia. Dejamos directamente sus comentarios, así como las fotos en cuestión:

"Hola amigos,

 

Soy Juan Antonio, de Flu Project. Estoy de vacaciones por Escocia, y me he encontrado un Hotel en Glasgow que es una mina de Ethernet Exposed :) El hotel tiene Wifi gratuito, te dan un ticket con una clave que es válida durante 24 horas para una única máquina. Si te paseas por el edificio no es difícil encontrar los routers Wifi Dlink, uno en cada planta, y los enchufes donde están conectados. 

Además, la señal de teléfono que va a los routers Wifi sale de un cajetín que hay en la habitación más cercana al router. Me tocó de hecho una de estas habitaciones y pude comprobar como los cajetines salen de detrás de las mesillas, imagino que porque antes tendrían teléfonos en las habitaciones,

un saludo!"

Y ya para finalizar esta edición, os dejamos unas imágenes de algo que realmente no serían un ETHERNET EXPOSED, si no más bien un EXPOSED a secas de lo que se encontró un visitante de nuestro blog, y que nos lo hizo llegar a nuestra dirección de contacto. Sobran las palabras, este escenario fue encontrado en un Cajero Banesto instalado en el Aeropuerto de Sevilla junto a una cervecería Gambrinus:

Parece como si hubiese prisas por instalar este cajero...¿verdad?

Como siempre os decimos, nuestra dirección de correo sigue abierta a todas aquellas contribuciones de ETHERNET EXPOSED que os encontréis, ¡muchas gracias a todos!

---------------

[+] ETHERNET EXPOSED: Encuentra tomas de red al descubierto
[+] Vuestros "ETHERNET EXPOSED" - I
[+] Vuestros "ETHERNET EXPOSED" - II
[+] Vuestros "ETHERNET EXPOSED" - III
[+] Vuestros "ETHERNET EXPOSED" - IV
[+] Vuestros "ETHERNET EXPOSED" - V
[+] Vuestros "ETHERNET EXPOSED" - VI
[+] Vuestros "ETHERNET EXPOSED" - VII

Leer más...

Scalparser: Estadísticas para Scalp

En uno de nuestros primeros post en SbD, hablábamos sobre Scalp, una gran herramienta pensada para analizar los logs de peticiones (típicamente access.log o ssl_access.log) realizadas al servidor web Apache.

A la hora de realizar un análisis forense sobre dichos logs, Scalp, utiliza el fichero utilizado por PHPIDS (otra herramienta que también comentamos en SbD) "defaultfilter.xml", que contiene firmas y expresiones regulares referentes a ataques web. Scalp procesará el fichero de logs de apache que seleccionemos, y elaborará un informe detallado con los resultados con las peticiones que han sido, con alta probabilidad, un ataque web.

La forma en la que Scalp, después de una alta variedad de flags por línea de comandos, es capaz de generar dicho informe, es en texto sin formato o en XML.

Si el fichero analizado es de un servidor web con una alta densidad de tráfico, producirá un informe que puede tener varios cientos de Megabytes, lo cuál, hará prácticamente imposible su análisis.

Con la idea de facilitar el mismo, y en la línea de ser capaz de evaluar el impacto repercutido en un servidor web, he desarrollado una herramienta en Perl, que he bautizado como Scalparser.

Para ello, previamente deberemos haber ejecutado Scalp con el flag -x para que la salida la genere en formato XML. El resto de los flags pueden haberse o no habilitado. Esta entrada, no pretende ser un tutorial sobre Scalp, por lo que, dejamos a criterio del lector, las opciones a utilizar. La recomendación, sin embargo sería algo así como: ./scalp-0.4.py -f default_filter.xml -e -u -x -l access_log.



¿Qué genera Scalparser?
La herramienta, produce en modo texto un resumen del fichero generado con lo siguiente:

• Número total de ataques detectados en todo el fichero
• Porcentaje de ataques por tipo de ataque e impacto, ordenados por porcentaje de mayor a menor.
• Top 10 (por defecto) de direcciones IP más atacantes, con número de ataques por cada IP, ordenadas de mayor a menor número de ataques
• Top 20 (por defecto) páginas web, con número de ataques recibidos, ordenadas de mayor a menor número de ataques

Los resultados pueden ser utilizados en conjunción con una hoja de cálculo para producir vistosos gráficos que muestren porcentajes, tablas con TOP atacantes/atacados, etc,… pudiéndose entregar como complemento a un informe forense o ser un factor más de enriquecimiento de un cuadro de mandos de seguridad.

Como opción de configuración, hay una variable al principio del script llamada "my @whitelist". Como indica el comentario, podemos indicar direcciones IP "blancas" que no queremos que la herramienta tenga en cuenta en sus estadísticas. Así, se permite no "manchar" o adulterar las estadísticas obtenidas con análisis hechas desde determinadas direcciones IP blancas, o de auditoría. 
 Asimismo, por defecto vienen definidos en dos variables, $cuantas_ips y $cuantas_webs, los valores sobre cuántas IPs y páginas, atacantes y atacadas respectivamente, tendremos en cuenta en el script. Por defecto son 10 y 20 respectivamente.


Las opciones a tener en cuenta con el script son las siguientes: 

• -f fichero_XML -> el fichero XML generado por Scalp. Habrá que editarlo y eliminar las primeras 4 líneas del fichero, dejando como primera línea la que empieza por:
• [-a attack1,attack2] -> (Opcional) En caso que queramos que nos muestre con detalle el contenido de determinados ataques, podemos especificar con el flag -a y separados por comas los ataques en los que queramos profundizar nuestro análisis. Ejemplos de ataques a indicar pueden ser por ejemplo: xss (Cross-site Scripting), csrf (Cross-site Request Forgery), spam, lfi (Local file Inclusion), sqli (SQL Injection), rfe (Remote File Execution), dos (Denial of Service), id (Information Disclosure),...
• [-p 1] -> (Opcional) Por defecto, Scalparser tendrá en cuenta direcciones IP públicas y privadas. En caso que queramos que no cuente los ataques que se detecten desde direcciones IP privadas, habría que ejecutadlo con el flag "-p 1". 

Me queda pendiente en mi cada vez más largo To Do: 

• Implementar scalp de forma más óptima. Para procesar un access_log de 40GB se ha demorado más de 3 días en un servidor potente.
• Poder mostrar los ataques ejecutados por una única dirección IP. Ahora mismo se puede hacer con un "grep direccion_IP fichero_XML", pero puede ser interesante tenerlo en con un único flag -i

Por supuesto, quedo a vuestra disposición para que propongáis ideas para mejorar o criticar (constructivamente, por favor) la herramienta, en comentarios, correos, tweets o tomando unas cañas ;D 

Podéis descargar Scalparser desde aquí para vuestro libre albeldrío y ejecución

Leer más...

Banca electrónica y SSL ¿quién aprueba en España?

Este es la segunda parte del artículo Bancos y SSL ¿quién aprueba? escrito por Yago hace más de un año, he creído conveniente realizar una actualización de ese artículo que tanto me gustó. En este estudio se analizan las diferentes cajas y bancos surgidos en España tras las fusiones hasta el momento. El listado se ha sacado de CECA y se han añadido algunos bancos más que no pertenecen a dicha entidad. Además, hace más de un año del primer estudio y han surgido nuevas vulnerabilidades a tener en cuenta como criterios a valorar.

Como ya indicaba Yago en el primer estudio, la banca online debería ser un ejemplo a la hora de implantar SSL en sus servicios por dos motivos:

1. Son entidades que manejan mucha inversión
2. El tipo de actividad a que se dedican requiere todas las garantías

Yo añadiría un tercer motivo:

3. Por cumplimiento normativo (PCI DSS, SGSI) e imagen.

Pero ni el cumplimiento normativo, ni la inversión, ni las garantías necesarias indican de forma clara que características debe cumplir el servicio SSL. Sin pretender ser una guía detallada pero que sirva como pequeño referente a la hora de proporcionar un servicio SSL a la banca online, estos son los criterios que se han evaluado en el estudio que se muestra a continuación:

• Soporte SSL v2.0: Este criterio ya estaba en el estudio inicial, pero todavía hay entidades que lo soportan.
• Certificado SSL EV: Este tipo de certificado es en la actualidad la mayor confianza visible para los usuarios de que quién está detrás de una web es una organización que ha pasado una serie de requisitos estrictos. La barra del navegador se muestra de color verde para mostrar que no se trata de phishing. Toda la banca electrónica debería usar este tipo de certificados.
• Vulnerable a un ataque MitM: La vulnerabilidad de la renegociación ya se trato aquí. La entidad financiera elegida al azar en el estudio de Yago sigue siendo vulnerable a este ataque.
• Longitud de certificado: Sigue el mismo criterio que el estudio inicial: 1024 mal, 2048 o más bien.
• Vulnerable al ataque BEAST: En la EkoParty de este año se anuncio el ataque BEAST. Aunque complicado de llevar a cabo, a día de hoy no hay una solución pero se puede mitigar.
• Soporte de algoritmos de cifrado débiles: Sigue el mismo criterio que el estudio inicial.
• Vulnerable a ataques DoS: Con o sin renegociación SSL. Defenderse de ataques DoS es complicado y caro, pero se puede reforzar SSL contra esta conocida técnica.
• CA confiable: Aquí nos referimos a que ninguna CA de la banca sea una autoridad comprometida.

Este es el resultado en la banca española (click en la imagen para verlo completo):

(extracto del análisis)

De las 38 entidades analizadas sólo 6 cumplen correctamente con todos los criterios anteriores, 2 de ellas tienen una configuración SSL muy deficiente, y todas las demás aprobarían el test SSL de qualys con el que se ha realizado este estudio pero tendrían alguna debilidad que podría solucionarse.

Algunos datos curiosos encontrados durante el análisis son:

• Sólo 5 entidades tienen un sello de la ISO 27001 en su banca electrónica.
• Todas las entidades tienen el certificado SSL del mismo proveedor menos una.
• Una entidad tenía un certificado SSL EV para un dominio que tan sólo realizaba una redirección y el certificado de la página de login destino no era SSL EV.
• Unas pocas entidades contienen enlaces externos en su página principal apuntando a sitios de terceros.
• El software de los servidores web es muy diverso y entre ellos hay versiones antiguas con vulnerabilidades públicas.

Falta aún mucha concienciación en los departamentos de sistemas y tecnología en cuanto a la seguridad, pero también es necesario desarrollar guías de buenas prácticas cómo las de OWASP, en las que se detallen procedimientos o checklists a cumplir como en este caso, más allá de las vagas recomendaciones de normativas anteriormente citadas. Qué no sea por desconocimiento el que nuestros sistemas sean vulnerables.

Artículo cortesía de Emilio Casbas

Leer más...

Enlaces de la SECmana - 101

• Sin duda el enlace de la SECmana es el post de Fyodor, creador de NMAP, en la lista nmap-hackers acerca de el pack de nmap creado para C|Net que contenía malware. Tenéis toda la información sobre este hecho en este post de Lorenzo.
• La página MySQL.com de nuevo vulnerable a inyección SQL, según reporta el usuario D35M0ND142 en pastebin.
• Excelente post en Offensive-Securite con un extenso análisis de la vulnerabilidad en AFD de Microsoft Windows, correspondiente con el boletín MS11-080.
• En el ISC de SANS informan de dos vulnerabilidades con CVE ya asignado para Adobe Flash Player, de la que todavía la propia Adobe no se habría pronunciado.
• Adelanto del Patch Tuesday de Microsoft para este próximo martes, en la que se publicarán 14 parches de seguridad incluyendo aquellas referentes a las vulnerabilidades explotadas por BEAST y Duqu.
• Edición de Diciembre de la revista digital (IN)SECURE Magazine, número 32. Se puede descargar en PDF desde este enlace.
• Presentación de la tecnología DNSCrypt por parte de OpenDNS (con herramienta para Mac incluida de momento...) que permite el cifrado del tráfico DNS, promoviendo la privacidad y seguridad.
• Nuevo bug en Facebook que permitió la obtención de fotos privadas del propio creador, Mark Zuckerberg, y que posteriormente las publicó un usuario de la red social.
• Gemnet, perteneciente a KPN, ya forma parte del listado de entidades certificadoras con problemas de seguridad y que se ve obligada a cerrar su página web temporalmente. Tenían un PHPMyAdmin sin contraseña. Sin comentarios...
• Ryan Dewhurst, también conocido como @ethicalhack3r, actualiza su WPScan añadiendo la opción --force para evitar la comprobación de que el objetivo sea realmente un sitio Wordpress.

Leer más...