Crónica del CSI 2013 en Pereira - Colombia - Día 2 #CSI2013

Seguimos con la crónica del segundo día del evento CSI 2013 en Pereira - Colombia. Podéis ver la crónica del primer día en este enlace

TUMI: Desde el Fingerprint hasta el informe por Walter Cuestas 

Desde muy temprano, abrió el evento el peruano Walter Cuestas, hablándonos de una herramienta, basada en una interfaz web, que permite hacer pruebas unitarias en todo el proceso de una auditoría. La herramienta se llama Tumi. Está escrita en Python, utiliza Javascript para la interfaz de menús, llama por debajo a herramientas genéricas como nmap o sqlmap. Como ventaja principal es que es totalmente opensource y permite integrar scripts hechos por uno mismo. Se puede descargar la beta desde aquí. 

') UNION SELECT 'Esta_Platica' AS (Nuevas Técnicas de Optimización y Ofuscación') por Roberto Salgado

Esta era una de las charlas que esperaba con mayor expectación. Me habían hablado maravillas de este mexicano afincado en Canadá, socio de la empresa Websec, junto a Pedro Joaquín y Paulino Calderón, y pude comprobar que todo era cierto al 100%.

Fue una charla eminentemente técnica en la que comparó diferentes algoritmos utilizados para hacer Blind SQL Injections, fundamentalmente Bitwise y Bisection.

Además, explicó un algoritmo que descubrió él y que llamó Bin2Pos, mostrando estadísticas y pruebas en tiempo real para adivinar cadenas con todos los métodos, siendo Bin2Pos el que menor número de peticiones enviaba (de media).

Además, mostró diferentes consultas SQL en una sola línea, que permiten acelerar el proceso de una auditoría, enviando una única petición y obteniendo el mismo resultado que al dividirla en N peticiones, así como ofuscación y evasión de WAF en base a caracteres no estándar, además de diversas "rarities"que el servidor SQL sigue entendiendo y ejecutando, pero que el WAF no lo interpreta como un ataque,…  En esta línea dio ejemplos para saltarse la protección de mod_security, GreenSQL o libinjection.

Esta charla, que Roberto dio hace dos semanas en Blackhat, fue brutal. Hasta el día de hoy, la que más me ha gustado! 

RogueAP / SSLStrip por Carlos Betancour…

El colombiano, miembro de la comunidad Buggly, quiso mostrar qué tan fácil era llevar a cabo un ataque en una red wireless, mediante un Man in The Middle utilizando la herramienta SSLStrip de Moxie Marlinspike. Lamentablemente, la red wireless de la Universidad era un jungla ya de por sí, y no fue posible verlo en modo práctico. En cualquier caso, nos lo creemos totalmente!

Actualización: Carlos dijo que ya que no funcionó en ese momento, lo grabaría en un video y lo pondría a disposición de todo el mundo.

  

"Advanced Topics for rootkits in Linux" por Marcos Ricardo Schejtman

Continuamos con otra de las charlas más técnicas del día. El ponente mexicano empezó introduciendo conceptos de arquitectura y privilegios de ejecución de procesos en Linux, estructura en anillos, sistemas de ficheros virtuales, etc,…
Siguió relatando los diferentes sitios donde Linux guarda objetos de los procesos, por lo que serán rutas a tener en cuenta a la hora de construir un rootkit. Además contó el funcionamiento de diferentes componentes del sistema operativo del pingüino, scheduler, tablas de procesos, mapas de memoria, syscalls, etc…
Luego nos deleitó con diferentes maneras para esconder procesos que incluso herramientas como rkhunter ni chkrootkit pudieron detectar.
Acordamos que se pondría en contacto con Yago para validar si Unhide sería o no capaz de detectarlo. El código fuente del rootkit que programó Natas no lo liberará, atendiendo a una política de Responsible Disclosure, esperando primero a que existan formas de detección de este tipo de rootkits, o incluso publicará él mismo una contramedida.

"Pentesting en la era post-pc" por Jaime Andrés Restrepo   

Aunque esta charla se la ví hacer a Jaime en el EHCon de 2012 en Santa Cruz de la Sierra en Bolivia, reconozco que la disfruto cada vez más. En este caso, Jaime enseñó la utilidad de diferentes elementos como keyloggers hardware, micrófonos simulados en pendrives USB, herramientas que se pueden utilizar sobre software de auditoría en dispositivos móviles como teléfonos, tabletas, etc,…  Dispositivos "mini", que llevan internamente un ordenador, con APs wireless levantados que permiten conectarse en remoto, piñas wireless camufladas en libros huecos, y un sinfin de ideas muy interesantes para llevar a cabo ataques basados en ingeniería social/wireless, y otras perversidades. La charla culmina con diferentes videos, en los que Jaime muestra los resultados de diferentes ejercicios, llevados a cabo en lugares públicos, consistentes en simular redes wireless abiertas.

"Software en Tiempos de Espías" por Roberto Olaya

Mi buen amigo ecuatoriano fue el protagonista de una excelente charla sobre un tema que actualmente está en boca de todos: las estrategias de inteligencia de diferentes paises, así como los diferentes sistemas utilizados (al menos los que se conocen). Sistemas de espionaje de comunicaciones como Echelon, Enfopol, Promis, Carnivore, etc,…  Agencias que se unieron en USA como la DEA, FBI, NGA, NRO, NSA, ODNI, US. Air Force, US ARmy, para formar un sistema de comunicación común….  Nos contó igualmente los avances implementados en elementos militares, como lo que llevan en el casco, traductores online, cámaras que emiten vía satélite "lo que el soldado ve", identificación humana a distancia mediante reconocimiento facial (incluso aunque se haya hecho cirugía estética) etc,…

Habló por supuesto de Prism, así como de una página muy curiosa, Prism-Break con herramientas que te resultan más recomendables si quieres mejorar tu privacidad.

"Sé el primero en auditar tu web"  por Jhon Cesar Arango [jcaitf]

Esta charla, la única que dio Jhon César, uno de los organizadores del evento, versó sobre diversas herramientas de auditoría web: Uniscan, W3AF, Nikto, Joomscan, plecost, sqlmap, zap, etc…. 

Hizo varias demos con las mismas, de manera que permite hacer ver de una forma bastante fácil, que con un poco de formación, es posible adelantarse a los "chicos malos", a fin de poder mitigar el riesgo de un montón de vulnerabilidades. Sólo con esto no aseguraremos que la web está segura al 100% pero siempre quedará menos por securizar.

"Robo de identidad digital" por Gustavo Nicolás Ogawa

En esta charla, el compañero Gustavo Ogawa hizo un caso de búsqueda de una persona, desde el principio, encontrando la identidad digital del objetivo a través de internet. A partir de ahí hizo varias demostraciones en las que usaba Facebook como medio de ataque, engañando a la víctima para explotar una vulnerabilidad de algún software (creo que fue un JRE no actualizado) con Metasploit, accediendo a su equipo.

Leer más...

Crónica del CSI 2013 en Pereira - Colombia - Día 1 #CSI2013

Hace ya unos meses recibí un correo del amigo Jhon César Arango de ITForensics, que conocí el año pasado, como uno de los organizadores en el ACK Security Conference 2012, para invitarme a un congreso que estaba empezando a tomar forma en Pereira: el CSI 2013, del que os hablé tiempo atrás

Aunque escribiré mi experiencia personal de este evento para cuando esté en el avión de vuelta a Madrid, os dejo mientras tanto la crónica del primer día.

Facebook como plataforma de Hacking por Gustavo Nicolas Ogawa

El amigo Matías Katz me había hablado maravillas de Gustavo Ogawa en múltiples ocasiones. En esta charla, pude comprobar personalmente, que a nivel técnico el argentino es un crack. A nivel personal, compartí varios días con él junto al grupo de ponentes y, efectivamente, este chico es un filón!

La charla versó sobre la descripción de diferentes "funcionalidades" (según Facebook), que a ojos de cualquiera con dos dedos de frente, son fallos de seguridad/privacidad, a los que estamos expuestos los usuarios de dicha red social.

Entre otras, desarrolló scripts y aplicaciones que interactúan con la API de Facebook de manera que puede impersonar usuarios con los que tiene conexión, e incluso engañar a usuarios redirigiéndoles a una URL, dando lugar a un ataque de phising efectivo…

Línea de comandos Kung-Fu VS Los Frameworks de explotación por Juan Berrio

El paisa Juan Berrío dio una charla que puedo clasificar de EXCELENTE. Sacó a la palestra un tema que todos los que nos movemos en el sector empezamos a considerar: La utilidad de frameworks de explotación como Metasploit, en el que da la sensación que haciendo un curso de Backtrack o leyendo un libro, podemos decir en modo Matrix: "ya sé Kung-fu". 

Quiso dar importancia a que, para ser pentester, hay que tener una base de conocimientos mayor, en vez de utilizar únicamente herramientas de "botón gordo". 

Habló de metodología de auditoría, así como de diferentes herramientas y comandos a utilizar: Hydra, netcat, tftp, etc,… mostrando un ataque "a la antigua", pero perfectamente funcional en tiempos actuales, debido a las malas configuraciones y medidas de protección de los servidores de las organizaciones.

Ciberguerra: Armas y objetivos por Lorenzo Martínez 

En esta charla, hablé de los peligros a los que estamos expuestos como ciudadanos de un país, sólo por el hecho de ser un usuario dependiente de los servicios de electricidad, agua, gas, comunicaciones de un país,... es decir, todos aquellos que vivimos en la civilización. Puse ejemplos de paneles de control de dispositivos como webcams, aire acondicionado, acuarios, etc,... que se encuentran de forma "normal" colgando a Internet.

Entre otras cosas, hablé de sistemas SCADA, ataques APT, 0-days, casos conocidos como Stuxnet, Duqu, Flame, APT1 y RedOctober,... e hice una demo con Metasploit de un ataque basado en una vulnerabilidad de JRE en el lado cliente, y un servidor web con un foro vulnerable a XSS en los comentarios

Informática Forense y manejo de evidencia digital por Álvaro Andrade

En esta charla, el buen amigo boliviano Álvaro, dio una charla muy interesante sobre peritaje forense y derecho informático. Enseñó diferentes informes de peritajes forenses, explicándonos los pasos necesarios en diferentes casos.

Especialmente interesante me resultó el proceso seguido para analizar un ejemplo sobre el compromiso de una máquina con información financiera de un cliente. Se trataba de una máquina Linux en la que habían compilado un keylogger.

A partir de ahí, demostró que las evidencias, parecían inculpar a una persona de forma directa, pero finalmente, todo tenía una explicación. En general una muy buena charla, explicada de una forma exquisita por Álvaro.

Forensics IOS por Jaime Andrés Restrepo

Aunque había visto ya las slides de esta charla, que Jaime había dado en diferentes eventos, y pese a que últimamente doy una charla con temática similar "Análisis Forense en IOS con herramientas Low Cost", he de decir que la charla del colombiano me ha sorprendido muy gratamente.
Aparte de la cantidad de información que Jaime comparte respecto a qué mirar en caso de hacer un análisis forense,  la puesta en escena de la charla fue francamente buena, como era de esperar de un ponente de la talla de Jaime.

Y hasta aquí llegó el primer día.... 

Leer más...