Enlaces de la SECmana - 223

• Entrevista a nuestro compañero Lorenzo Martínez sobre la vulnerabilidad Heartbleed en Softonic. Heartbleed sigue y seguirá en el candelero por mucho tiempo, pero cabe destacar también este post en el que se recopila la cronología completa del que es uno de los fallos de seguridad más relevantes de los últimos tiempos.
• Un grupo de hackers de Israel publicó el martes imágenes e información personal de miembros del colectivo de Anonymous que perpetró la operación OpIsrael, atacando sitios web israelíes. En dichas imágenes, se pueden ver capturas de pantalla y acceso a las webcams de los afectados.
• En Cyberhades recopilan los videos de la Notacon 2014, celebrada del 10 al 13 de Abril en Cleveland.
• Recopilación información tanto de forma pasiva como activa utilizando Metasploit y sus herramientas incluidas.
• El Departamento de Justicia americano acusa a nueve personas por involucrarse en organizaciones criminales que robaron millones de dólares de víctimas tras infectarse mediante el malware Zeus. 
• Recopilación de write-ups del Capture The Flag de Plaid CTF 2014. En el mismo repositorio de Github encontraréis recopilaciones de otros CTF de este año y del pasado.
• En pwnrules, blog personal de Ibrahim Raafat, explica cómo consiguió ejecución de comandos en Flickr a partir de una inyección SQL. Se incluye un video con las primeras fases y la demostración de la vulnerabilidad
• Nuevo proyecto llamado Belkin4xx, relacionado con una herramienta creada como generador de diccionario de claves WPA y WPA2 por defecto para routers Belkin
• Liberada la versión 1.6 de Burp Suite Free Edition, con muchísimas novedades en comparación con la versión anterior, destacando el soporte para WebSockets, soporte para certificados cliente PKCS#11, nuevas reglas de interceptación, generación de pruebas de concepto para CSRF, etc.
• Nueva versión de ModSecurity 2.8.0 por Spiderlabs, todas las novedades descritas en este enlace.
• El fabricante de hardware LaCie admite que sus sistemas llevan más de un año comprometidos (desde Marzo del año 2013 hasta Marzo de 2014), tiempo en el que se han podido obtener datos de clientes e información financiera. Al parecer, todo ocurrió a raíz de la famosa vulnerabilidad en Adobe Coldfusion.

Etiquetas: secmana