Navaja Negra & ConectaCon #NNC5ED

Ya esta aquí!

Uno de los congresos de seguridad informática en España más esperados por todos/as!

Este año, se celebra la quinta edición del congreso Navaja Negra y deciden celebrarlo conjuntamente con la ConectaCon, otro congreso bien conocido por los lectores de Security by Default!

Por si alguien todavía no se ha decidido a comprar la entrada para la Navaja negra, os pego los objetivos a los que se mantienen fieles desde la primera edición:

Realizar el Congreso de Seguridad Informática #nnc5ed aprovechando el V aniversario de “NAVAJA NEGRA” junto con "ConectaCON" de Jaén, donde unimos esfuerzos y objetivos comunes que celebraría su cuarta edición.

Nos permitirá difundir, compartir y transmitir el conocimiento de los investigadores de seguridad o “hackers” a la comunidad, empresas del sector privado y público y a la propia Universidad, los avances, investigación e innovación que se han producido en el panorama español e internacional.

Impulsar el espíritu de “comunidad técnica de seguridad” fomentando la colaboración entre el público asistente, ponentes, empresas de los sectores privados y públicos y a la propia Universidad.

Consolidar y posicionar el evento dentro del panorama público nacional de Conferencias, Jornadas y Congresos de Seguridad como uno de los eventos “técnicos” más importantes.

Tenemos ya algunas de las sorpresas que nos pondremos encontrar si asistimos al congreso:

Ponentes Internacionales:

La primera de las novedades de las que disfrutaremos los asistentes será una charla de Marc Heuse (Van Hauser). Fundador del proyecto The Hacker's Choice (http://www.thc.org ) @hackerschoice

Reputado profesional de la seguridad informática a nivel internacional y del que tendremos la suerte de contar en esta quinta edición del congreso.







Otra de las celebridades de la que podremos disfrutar es Miroslav Stampar. Archiconocido por una de sus creaciones SQLMap, utilizada por todos/as en nuestras auditorias.
Nos enteramos de la noticia gracias al Twitter de la organización

Ponentes nacionales

Como no, en Navaja Negra & ConectaCon, se promociona el talento nacional y es por eso que la organización ya anunciado que contaremos con talentazo local con nombres como

thPoPe

SkUaTeR

Selvi

Pepelux

Barroso

Talleres de la mano de Jaime Peñalba Y Sergi Álvarez (pancake)

Algunos de los talleres anunciados por parte de la organización vendrán de la mano de estos dos cracks Jaime y Sergi.

Sobre los talleres de Jaime y Sergi, como os imaginaréis, podremos ver alto contenido técnico relacionado con Radare, desarrollo, reversing etc..

No os lo podéis perder tampoco

¿Que precios hay este año?

En la web de Navaja Negra podemos encontrar los precios para poder asistir, pero si todavía no lo has visto, aquí los tienes:

LEGAL HACK DAY

En paralelo a tendremos el "LEGAL HACK DAY" (30/09) y X1RedMasSegura (02-03/10) completamente gratuitas. No tenemos mas noticias todavía, pero en breve podrán ofrecernos mas información al respecto:

Estaremos atentos a estas novedades!

Descuento en Camisetas Frikis

Otra de las cosas de las que nos podemos aprovechar es de un descuento en camisetas frikis

En el proceso de compra, podremos introducir el código proporcionado por el STAFF de Navaja Negra y ConectaCon

¿Que cómo podéis venir?

Fácil!!! Sólo has de adquirir tu entrada aquí: https://nnc5ed.palbin.com/

Si necesitáis mas información sobre alojamiento y transporte, lo podéis encontrar en la web de Navaja Negra

No hay excusa, espero veros y saludaros en el congreso!!

Manteneos informados en los twitter de Navaja Negra y ConectaCon

Marc Rivero @Seifreed

Leer más...

Jornada de seguridad - ConectaCon (Jaén)

Reproduzco un documento que me ha hecho llegar Raimundo Alcazar, organizador del evento ConectaCon y que describe su anatomía.

¡Qué luego nadie diga que todos los eventos se hacen en Madrid!

----
¿Qué es?

ConectaCon son unas jornadas de seguridad informática celebradas en Jaén, cuyo objetivo es  a través de ponencias y talleres concienciar a los empresarios de la importancia de utilizar medidas de seguridad cuando se pretende tener presencia en Internet. Además pretende dar un enfoque técnico sobre la materia a los estudiantes y profesionales de este sector.

¿Quién lo organiza?

ConectaCon está organizado por la Asocicación Técnológica Jiennense sin ánimo de lucro EnRed 2.0 (web) con la colaboración de la Universidad de Jaén y con el patrocinio de Panda Security, Caja Rural de Jaén, Unicaja, Diputación de Jaén, Open-Phoenix, Fortalezas Formación, A2 Informática y Seguros Barruz.

¿Cuándo y dónde se celebra?

Las jornadas de seguridad informática ConectaCon se celebrarán los días 17 y 18 de Abril de 2012. Las ponencias y talleres tienen un carácter totalmente gratuito.

¿A quién está dirigido?

ConectaCon está dirigido a empresarios, estudiantes, profesionales del sector y público en general.

Ya está abierto el periodo de inscripción en: web www.conectaconjaen.org

El evento se compone de la siguiente agenda

Leer más...

ConectaCON 2013 en Jaen #conectacon

Seguro que ya lleváis tiempo oyendo hablar de que se va a celebrar una nueva edición del evento de seguridad ConectaCon, del que ya hemos tenido experiencias de ediciones anteriores en este blog.

La localización de estas jornadas de seguridad, que además son gratuitas, se llevarán a cabo esta semana, los días jueves 9 y viernes 10 de Mayo, en la andaluza ciudad de Jaen.

Además, en esta edición, acompañaré como ponente a un montón de amigos y colegas del sector, grandes profesionales de la seguridad todos ellos. Entre otros, estaré con Juan Garrido "Silverhack", Daboblog, Jose Selvi, el gran Pepelux (que además forma parte de la organización del evento), etc,... compartiendo mucho más que conocimientos de seguridad. El ambiente y la camaradería que se respira en este tipo de CONs, es algo incomparable y es por eso que me encanta estar entre todos ellos.

En mi caso, tras la inauguración del evento, daré una charla sobre "Análisis forense en IOS con herramientas Low Cost" que espero que resulte interesante a los más de 250 asistentes inscritos que ya tiene el evento. 

Si estás cerca de Jaen en esos días no puedes dejar de perderte estas jornadas de seguridad, que, además de charlas por las mañanas, incorporan por las tardes, talleres impartidos por profesores de excepción: "Análisis forense" por Juan Garrido y "Hacking web"por Román Medina-Heigl, Dani Kachakil y Pepelux. 

La agenda del evento la tenéis bajo estas líneas, pero mi recomendación es que no os lo perdáis de principio a fin...

Finalmente agradecer el esfuerzo e ilusión que han puesto Raimundo Alcázar, Román Medina-Heigl, Isabela Malo y Pepelux en la organización de este año para que Conectacon resulte un éxito.

Para más información respecto al evento y registro del mismo, podéis consultar en la web oficial www.conectaconjaen.org

Leer más...

Mi experiencia personal en Conectacon 2013 #conectacon

Sucedió hace unos meses, cuando recibo un whatsapp, el método de comunicación universal desde hace unos años hasta ahora, del gran Pepelux. Me comentaba que si me apetecía participar como ponente en la próxima edición de la Conectacon, que se realizaría en Jaen, el 9 y 10 de Mayo. Entre que no sé decir que no, y que la crónica que nos mandó de la primera edición tenía una pinta envidiable, acepté encantado la propuesta. Según fueron pasando el tiempo y me fueron poniendo al día del resto del cartel, sabía que me lo pasaría genial junto a un montón de amigos, esta vez de España.

Mi compañero de viaje en tren a Jaen, fue el genial y dicharachero Juan Garrido "Silverhack" con quien llegamos, entre risas, a la estación. A los pocos minutos, apareció en la estación el comité de bienvenida, formado por los organizadores Antonio Cruz y Raimundo Alcázar, "el presi y el vice", para recogernos. Desde este minuto (e incluso en días previos) hasta el día de hoy, la hospitalidad y el trato por su parte ha sido inmejorable. En todo momento, estuvieron pendientes de los ponentes, ofreciendo lo que fuese necesario para asegurar nuestra comodidad.

Después de dejar el equipaje en el hotel nos llevaron a una cena de bienvenida en la que no faltó la cerveza y la comida en abundancia, siempre precedida de unos cuantos platos de olivas de la zona. Dejando a un lado discusiones puntuales con algún "elemento", el ambiente de la cena fue espléndido, dando lugar a multitud de "situaciones inexpugnables en el camino del guerrero con herramientas low cost" (internal joke) que perdurarán en la cabeza de los asistentes durante, espero, muchos años.

Jueves 9 de Mayo, comienza la Conectacon!

Tras una breve charla de inauguración por parte del Vicerrector de TIC de la Universidad de Jaen y Antonio Cruz (como presidente de la Asociación EnRed 2.0) tuve el honor de ser el primer ponente. En este caso, el tema de la charla fue "Análisis forense de IOS con herramientas Low Cost", en el que hablé de diferentes herramientas, tanto comerciales como libres para analizar y presentar los datos que se pueden extraer de un dispositivo con IOS (ya sabéis, el sistema operativo de los iCacharros), así como liberar una herramienta que, próximamente, pondré a disposición del público lector de Security By Default. 

La siguiente de las charlas fue a cuenta de los geniales Pepelux y Juan Garrido, que nos contaron de una forma bastante amena, y muy alarmante por cierto, las interioridades de la red Tor, las aberraciones que esconde la Deep Web y un montón de estadísticas extraídas en base a los resultados devueltos por herramientas desarrolladas por ellos mismos, con fines académicos e investigativos, para llevar a cabo clasificaciones respecto a los tipos de páginas encontradas. Ambos investigadores trabajan con total transparencia ante los cuerpos y fuerzas de seguridad del estado, cediendo incluso el fruto de su trabajo al Grupo de Delitos Telemáticos de la Guardia Civil, a fin de ayudar, en la medida de lo posible, contra algunas de las ilegalidades que se puedan encontrar en la Deep Web.

La siguiente charla, venía de la mano de uno de los profesionales más encantadores, carismáticos y apreciados por mí, de todo el panorama español de este sector: el bilbaino afincado en Asturias, Dabo. Atención al título de su presentación: "Seguridad y optimización, el camino del guerrero hacia la paz interior del GLAMP". Esta ponencia, tenía la peculiaridad de ser una demo continua, y el ponente habitual de los "podcasts con voz de locutor", explicó en vivo, con conexión directa a servidores en la nube diferentes herramientas para optimizar la ejecución y proteger la integridad de los datos alojados en servidores LAMP. Sin duda, la charla fue todo un éxito, puesto que la profesionalidad de Dabo en su día a día en Apachectl, así como su amplia experiencia, son garantes de ello. 

Lamentablemente, no pude quedarme a verla completa puesto que Raimundo Alcázar "el vice", me llevó corriendo a los estudios de radio de Canalsur Jaen, en los que nos esperaba una locutora de un programa local, que quiso concienciar sobre seguridad a sus oyentes, con Raimundo y conmigo. Podéis escuchar el corte del fragmento de la radio a partir del minuto 12 en Hora Sur Jaen de Canal Sur Radio

Según llegamos de vuelta, ya se encontraba en el escenario Jose Selvi, autor del blog de seguridad Pentester.es hablando de "Offensive Man-in-the-middle". Este gran profesional mostró de una forma muy comprensible para todos los públicos, las posibilidades de ataques que se pueden llevar a cabo en situaciones Man-in-the-middle. Habló de herramientas tan potentes como the middler, por supuesto el conocido y utilizado framework Metasploit, en el que Jose implementa habitualmente sus propios scripts.

Por la tarde, se llevaron a cabo dos sesiones de dos talleres diferentes: "Análisis Forense en entornos Windows" por parte de Juan Garrido; y "Hacking web" por Pepelux, Dani Kachakil y Roman Medina, que fueron muy bien valorados según la crítica de los asistentes.

Cabe destacar el gran despliegue de repercusión mediática conseguida por Raimundo Alcázar, que dejó claro que a un movimiento de un dedo, Jaen se vuelca con él.

Mientras transcurrían los talleres, una unidad móvil Canalsur Televisión, se acercó a la Universidad de Jaen, y realizó una entrevista al propio Raimundo y a Jose Selvi, en la que explican los peligros de privacidad que esconden los dispositivos móviles. Bajo estas líneas podréis ver el corte del programa que ha hecho público la organización de Conectacon. Por cierto, que encontraréis a algún actor extra que os resultará conocido :D

Una vez terminada esta jornada, nos llevaron al hotel, y tras una merecida ducha, la organización nos obsequió con una opípara cena junto a los patrocinadores del evento. 

Viernes 10 de Mayo: Día 2

El encargado de dar comienzo a la segunda jornada fue Daniel Medianero. Arrancó con pequeñas modificaciones con el título inicial de su charla "Desarrollo Inseguro en Android". Por aquello de adaptarlo a la terminología utilizada en el evento, lo sustituyó por "De cómo tu aplicación Android no es tan inexpugnable como creías y cómo puedes descubrirlo siguiendo el camino del guerrero utilizando herramientas low cost"… (sí, como bien podéis imaginar, lectores, hubo momentos repetitivos de cachondeo entre nosotros con esto de las herramientas low cost, la inexpugnabilidad y el camino del guerrero… a lo largo de los dos días de jornadas). Dani nos contó, e incluso demostró, cómo utilizando aplicaciones de Android existentes, que disponen de permisos "de más", otras programadas con malas intenciones, se pueden aprovechar de dichos permisos extra de las anteriores, para fines no previstos inicialmente.

El siguiente ponente fue Alejandro Nolla que habló sobre diferentes vulnerabilidades existentes en diferentes servicios CDN, y cómo mediante su explotación, resulta posible, en algunos casos, atacar de forma directa a los clientes que dicen proteger. Esta charla tuvo un componente importante de arquitectura de redes, que es un tema que personalmente me motiva bastante, por lo que puedo decir que me resultó especialmente interesante.

Como cierre de fiesta, Dani Kachakil, uno de los integrantes de la representación española en CTFs a nivel mundial, del grupo "Int3pids", dejó con la boca abierta a todos los que asistimos a su charla, en la que detalló la resolución de 16 pruebas de criptografía que había recopilado de diferentes lugares, y que por supuesto, había resuelto. Estoy seguro que todos los asistentes nos quedamos con la sensación de decir: menudo crack es este tío!!! Si bien es cierto que muchas de las pruebas son "solucionables" con herramientas existentes (no sé si serán low cost o no ;D), hay otras en las que predomina la idea feliz por encima de todo y quedas en estado de shock analizando los procedimientos explicados por Dani. 

Por lo demás, ha sido un placer compartir un par de días con el resto de los ponentes y amigos, aprender de las charlas y disfrutar de la increible hospitalidad de Raimundo Alcázar y Antonio de la Cruz. Felicitar a Juan Cobo y Pedro Barrio, también de la organización del evento, por el apoyo mostrado y el trato brindado, que han hecho de este evento, unos días inolvidables.



Una lástima que la única nota discordante del evento, el único lunar, haya venido dado precisamente por otro miembro de la organización, que parece no aprender de errores pasados, no siendo capaz de dejar de lado sus fobias personales, intentando predisponer al mal rollo a una gran comunidad de personas. 

Quiero agradecer también a Goldrak por acercarnos a Juanito y a mí, en el inexpugnable camino de los guerreros hacia el aeropuerto de Granada, desde donde enfilamos el rumbo hacia lo que sería nuestro siguiente destino, Reus… Pero esto, es otra historia.

Leer más...

Crónica de ConectaCon Jaen

El lunes a las 2 de la tarde dejé el buen clima alicantino para dirigirme en coche hacia Jaén, al esperado evento de seguridad informática ConectaCon, que organizó la gente de @enred20. Llegué a tierras jiennenses allá sobre las 18:30, donde me dispuse a aparcar en una no demasiado señalizada zona de carga y descarga. 

Tras dejar las cosas en el hotel, vinieron a recogerme Raimundo Alcázar (@ralcaz) y Encarni Moreno (@maminen), de la asociación, junto con otros ponentes, Daniel Medianero (@dmedianero) y Alejandro Nolla (@z0mbiehunt3r), dos verdaderos cracks. Como se respiraba algo de tensión, ya que era la primera CON que celebraban, nos relajamos con unas cervezas de bienvenida. Más tarde, fuimos a ver la sede de la asociación, donde conocimos a Antonio Cruz (@acruzgomez), actual presidente y, a partir de ese momento, nuestro chofer personal, y a Pedro (@knrl64), otro miembro de la asociación y padre del CTF que saldrá en breve online para que todo el mundo pueda disfrutar.

He de decir que Antonio se ha portado genial con todos nosotros (al igual que el resto de organizadores) y que lo hemos llevado loco durante todo el congreso.

Luego, tras una cena donde no faltó el marisco y la cerveza, seguida de unos chupitos de orujo, nos fuimos (mejor dicho, nos llevó Antonio) Daniel, Alejandro y yo al hotel, a descansar, no sin antes hacer una parada en el bar para tomar 'la última'.

Como anécdota, comentar que es cierto eso de que un buen hacker nace, y no se hace. Resulta que al entrar en el ascensor, había un bonito monitor colgado dentro y, como buenos hackers, Dani y Alex se dedicaron a buscar un Ethernet Exposed para SbD mientras subíamos a las habitaciones. El caso es que al día siguiente, quedamos para desayunar en el buffet pero me vi desayunando sólo. Resultó que mientras ellos analizaban el monitor, yo lo leía, y ponía que el desayuno era en el entresuelo, así que mientras yo me ponía ciego de bollería, zumos y demás, ellos se pagaron un café con tostadas en el bar de abajo :)

Tras el desayuno, cómo no, teníamos al pobre Antonio esperando abajo para llevarnos a la Universidad. Y por fin comenzaron las charlas, en una sala llena hasta la bandera, donde hasta había gente sentada en las escaleras por falta de sitio.

Recuerdo que le comenté a Rai que poner un día de charlas orientado a empresarios y otro a estudiantes iba a ser una locura, y que era mejor mezclar las ponentes. Pero evidentemente, viendo la cantidad de gente que había ambos días, me equivoqué. Y además, al contrario de lo que pensaba, todas las charlas estuvieron geniales, incluso aquellas que no venían relacionadas con la seguridad.

El primer día de charlas se habló de la LOPD, de los certificados electrónicos, de lo bonito que es Panda Antivirus y finalizando por una charla muy divertida de la Guardia Civil.

He de decir que no me disgusta Panda en absoluto, de hecho tengo buenos amigos trabajando allí, pero sí que me dan mucha grima las charlas comerciales y no las que da un técnico, ya que muchas cosas que dice, además de meter gambazos, tira por los suelos el prestigio de muchos profesionales de la informática.

A mitad de la jornada, en medio de una charla, entró Encarni y me hizo un gesto para que saliera un momento y yo, todo confiado bajo las escaleras, salgo y me encuentro a una reportera de Canal Sur arrimándome el micro y con el cámara enfocando (Encarni, esta te la debo xDD). Me preguntó que quién era y de qué iba a hablar, y le dije que de VoIP. Tras poner cara de poker me preguntó, ¿y eso qué es? … Y bueno, al rato salieron Dani y Alex que tras verse el percal, se hicieron los locos ... 

Y después de una mañana muy amena, comimos, y comenzó el taller que impartí de Seguridad en Redes Inalámbricas. La verdad es que me sorprendió muchísimo la acogida que tuvo, ya que se llenó la sala e incluso se quedó gente a verla, en un lateral del aula, sin ordenador. Aprovecho para mandar un saludo a todos los asistentes y espero que disfrutaran con el taller.

Otra persona que asistió al taller y que a pesar de conocer hace mucho, aún no había puesto cara, fue mi amigo Luis (@streaming10) que al parecer lo habían echado de Sevilla por altercados públicos y nos lo mandaron para Jaén un par de días. Con él era imposible llegar puntuales, pues se paraba a hablar con todas las mujeres que se cruzaban.

Luego, para terminar bien el día, nuestro querido Antonio nos llevó al hotel para ducharnos y cambiarnos en 15 minutos y, nos fuimos a seguir disfrutando de la gastronomía de Jaén, donde cenamos Rai, Dani, Alex, Luis y yo. Tras dejar a Rai volver a casa con la familia, nos fuimos a recoger a otro conocido crack, Sebastián Guerrero (@0xroot), que también la lió nada más llegar a Jaén. Pues partió la llave de la habitación al intentar abrir la puerta.

Y como yo estaba un poco griposo, me fui a descansar, dejando a mis 4 compañeros (Dani, Alex, Luis y Sebas) peleándose mano a mano con una botella de Ron, en la habitación de Sebas.

Al día siguiente, tras desayunar todos juntos en el hotel (esta vez si) nos llevó Antonio de nuevo a la Universidad para comenzar la segunda jornada de charlas. Comenzando por Manuel Lucena (@mlucena), Doctor en informática y profesor de Criptografía en la Universidad, que dio una charla muy interesante sobre seguridad en comunicaciones electrónicas, seguido por Alejandro, que nos mostró, de forma muy amena y divertida, cómo se realizan las auditorías de seguridad, y finalizando con mi charla de seguridad en entornos de VoIP y la genial charla de Sebas sobre Android.

Tras llenar de nuevo el estómago con la estupenda comida que nos dieron, Sebas finalizó el congreso con un taller de Reversing y Malwares en Android, al cual no nos pudimos quedar por falta de espacio ya que, al igual que el resto de charlas, estaba lleno hasta la bandera.

Para finalizar el día, tuvimos una cena con otros ponentes y patrocinadores en un lugar exquisito donde, de nuevo, nos pusimos hasta arriba de buena comida. Y ya, estábamos tan casados que nos fuimos directamente a dormir.

Al día siguiente, tras darme cuenta de que un policía muy simpático había llevado mi coche al 'parking municipal', a las afueras de Jaén, donde permaneció seguro y resguardado de vándalos y delincuentes, de nuevo Antonio nos llevó a recogerlo.

Y como Sebas se fue de madrugada hacia Barcelona (recorriendo media Andalucía por problemas de temporal :) nos fuimos Alex (el Lego-adicto), Dani y yo a comer. Siguiendo los instintos, no muy fiables, de Alex, entramos al garito más cutre de toda Andalucía, donde comimos unas patatas bravas congeladas (no es que las cocinaran congeladas, sino que nos las sirvieron así), acompañadas con pan de hace 2 días y un buen vaso de agua del grifo con mosquitos flotando.

Como nota final, comentar que lo he pasado genial y me he reído muchísimo con Dani y Alex, que son unos fenómenos! Y por supuesto, me ha encantado conocer a Sebas, que aún no había visto en persona.

También agradecer a toda la organización de enred2.0 todo su trabajo organizativo y lo bien que nos han tratado. No es que haya asistido a muchos congresos pero este realmente ha sido sorprendente. Teniendo en cuenta que es el primero que realizan, han conseguido salir en la radio, en la televisión y en todos los periódicos de Andalucía. Además de conseguir patrocinadores que han colaborado económicamente, confiando en un proyecto totalmente desconocido para ellos y que, finalmente ha resultado ser todo un éxito.

Estoy totalmente convencido de que el año que viene habrá una ConectaCon 2, con una sala mucho más grande para dar cabida a toda la gente que ha venido y a los que se han quedado fuera por falta de espacio.

Y aprovecho para recordar a todos los amantes de los CTFs que en breve publicarán online los retos que ha estado Pedro preparando y que podrá participar todo el mundo. Además, habrá premio para los ganadores; eso sí, como requisito para optar a premio hay que residir en España.

Un saludo y hasta el año que viene.

----------------------------------------

Contribución por Pepeluxx

Leer más...

Octubre: Un mes repleto de eventos de seguridad

El otro día, Nico Castellano nos dejaba sus reflexiones sobre la cantidad de eventos de seguridad que han ido surgiendo en el panorama español, así como la importancia que tenía la exclusividad de las charlas para algunos Congresos de ámbito nacional.

En cualquier caso, es un hecho que en este mes de Octubre, se han aglutinado un montón de ellos en España, y también por coincidencia, en el otro lado del charco.

Al igual que he hecho en otras ocasiones, quiero en este post enumerar cronológicamente todos los que tengo constancia que existirán y, como participaré en unos cuantos de ellos, indicaré mi participación en los mismos.

• 2, 3 y 4 de Octubre, Albacete: Navaja Negra. Uno de los eventos más esperados del año, organizado por gente cuyo nivel de humanidad cada día me sorprende más y en el que Securízame regalará, a quien gane el CTF, la matrícula al curso "Reversing y Exploiting Avanzado en Windows y Linux". A nivel personal, Participaré el viernes 3 dando por la mañana (tocará madrugar) el taller “Securízate! Buenas prácticas de configuración de sistemas de seguridad perimetral” en el que explicaré durante un par de horas las bases sobre diversas herramientas que permiten mejorar la seguridad por capas de una organización, utilizando como base un dispositivo UTM de Cyberoam. Por la tarde, estrenaré la charla de "CSI Madrid S13E37: спасению” que versa sobre un caso de peritaje forense que me resultó de lo más interesante.

 

• 8, 9 y 10 de Octubre, Bogotá: B-Sides Colombia. Uno de los eventos que me consta que más dedicación e ilusión está poniendo mi amigo Giovanni Cruz, es B-Sides Colombia. Los dos primeros días estarán cargados de trainings, y el tercer día es cuando se desarrollarán las charlas. Como podéis ver, conocidos ponentes, como Jaime Andrés Restrepo o Alejandro Hernández, mezclados con speakers menos populares pero que seguro que traen materias muy interesantes. Me quedo con las ganas de haber podido participar en esta edición, pero me reservo para el próximo año! 

• 23 y 24 de Octubre, Santiago de Chile: 8dot8. El evento de seguridad del año en Chile. Cada vez categorizado con una temática, este año va de superheroes. Ya tuve el año pasado la oportunidad de ir a mi segunda tierra y tenía claro que este año, era uno de los que quería repetir sí o sí! De momento, está por confirmarse si la charla que daré será “CSI Madrid S13E37: спасению” o “Cooking an APT in the Paranoid Way” (que estrené en la pasada edición de RootedCON Satellite en Valencia y de la que me llegó muy buen feedback por parte de los asistentes). Además sé que la organización de 8.8 me tienen preparada alguna que otra sorpresa para atender otros eventos previos en esos días, por lo que me iré con algo de tiempo.

• 23 y 24 de Octubre, Jaén: ConectaCON. En 2014, Raimundo Alcázar y Antonio Cruz han vuelto a hacer el milagro. Si el año pasado me contaban que habían sido capaces de montar un evento gratuito a los asistentes, con unos recursos económicos limitadísimos, este año aunque han contado con más sponsors, lo que denota que el evento va evolucionando y que la comunidad andaluza demanda la existencia de eventos locales relacionados con seguridad informática. Así, si el año pasado ya fue un evento con una repercursión importante, estoy seguro que en 2014 se multiplicará en varios órdenes de magnitud. 

• 29, 30 y 31 de Octubre, La Coruña: GSICKMinds. Unos de los eventos más populares en la comunidad gallega, que cuenta con organizadores como Jesus Pérez, y Ángel Prado y cuyo plantel de ponentes pinta a que será un evento brutal.

• 29, 30 y 31 de Octubre, Buenos Aires: Ekoparty. Sin lugar a dudas: EL evento de seguridad de Latinoamérica. Si ya en pasados años han superado de largo los 1.200 asistentes, este año, siendo la décima edición, han tirado la casa por la ventana y lo celebrarán con una nueva ubicación en la que caben muchísimas más personas. Por mi experiencia en 2012, este es el evento que, si tienes oportunidad, NO te puedes perder. En esta ocasión tendré el placer de participar con un Workshop de un par de horas relacionado con análisis forense (partiendo de la base de la charla CSI Madrid S13E37: спасению) a la que añadiré más contenido sobre otros peritajes posiblemente, y el jueves 30 daré la charla “Cooking an APT in the paranoid way".

• 31 de Octubre y 1 de Noviembre, Barcelona: No cON Name. El evento con más solera de la comunidad de seguridad en España, comandado por Nico Castellano celebra una nueva edición. Contará con talleres en los días previos, un par de coloquios y la ya propia Keysigning Party exclusiva de NocONName. Este año han querido diferenciar charlas de talleres, por lo que las primeras tendrán una duración de media hora y los talleres de 50 minutos. Tengo el placer de participar este año, dando una charla por primera vez en NcN, con “CSI Madrid S13E37” con lo que intentaré resumir en 30 minutos los contenidos para explicar el caso lo mejor posible. Podéis ver aquí la agenda de ponencias de No cON Name

Como veis, una agenda repleta de Congresos de seguridad, en la que, personalmente, me va a tocar hacer más kilómetros que “El Fugitivo” y cuadrar billetes de avión, tren y coche, para poder enlazar conferencias de seguridad y hacking, para mí imprescindibles, en Latinoamérica y en España

Si me he dejado algún otro evento que se de en Octubre, os ruego me disculpéis, pero si lo indicáis en un comentario o en un correo, estaré encantado de incluirlo en la lista.

Leer más...

MorterueloCON 2014: EL evento de seguridad en Cuenca

Parece que fue ayer cuando Rafael, un encantador conquense loco por los bits, en la ConectaCON 2013 de Jaen, se ofreció voluntario para llevarnos a Juan Garrido y a mí al aeropuerto de Granada para continuar nuestro camino de eventos (y Fórmula 1) a Barcelona. Por el camino, Rafa nos contó que el año siguiente quería hacer un evento de similares características en Cuenca, y que le gustaría contar con nosotros. Como el andaluz y yo nos apuntamos a todas las guerras en las que haya cerveza y cachondeo, dijimos ambos que sí encantados. 

Así pues, la fecha ya está decidida. El 13 y 14 de Febrero de 2014, lo que inicialmente Rafa preveía como la primera edición de un evento bastante moderado, ya ha logrado llenar hasta los topes una de las salas de actos de la Universidad de Cuenca. Con un aforo de unas 170 personas, el evento va a contar con un plantel de gente muy interesante y profesional, de los que muchos de ellos además (a los que conozco) considero buenos amigos.

• El gran Dabo estuvo hablando en el podcast KernelPanic que hizo con Yago sobre la charla que dará, en la que hablará de securización y optimización de servidores web en entornos GNU/Linux. Sin duda un experto en la materia al que estaré encantado de escuchar con papel y boli (o iPad) en mano.    
• Juanito y Pepelux, la pareja TOR de moda, que nos hablarán del lado oscuro de la Deep Web, con experiencias personales que siempre dejan con la boca abierta.
• Dani Medianero, cuya charla tuve oportunidad de disfrutar en Jaen también, hablará de Inseguridades en Android. No quiero espoilear nada, pero la charla me gustó bastante, tanto por su contenido como por lo bien que se explica el ponente, por lo que preveo que en Cuenca será muy bien valorada.

A Jesús Perez Rubio no tengo el placer de ponerle cara ahora mismo, aunque ha colaborado en Security By Default ahora mismo y seguro que en anteriores ediciones de RootedCON hemos hablado incluso. La charla que dará en MorterueloCON será sobre su herramienta Bluebox-NG, así que todos los que os guste bucear en los internals de VoIP no podéis faltar a esta conferencia.

A Oscar Tebar "Cirin" que será quien abra el evento tampoco le conozco personalmente, pero escucharé atentamente lo que tenga que contar sobre Malware, virus y otras malas hierbas que seguro que aprendo cosas nuevas.

Por mi parte espero poder ir con una nueva versión de LIOS #FF: a Tool for IOS Forensics, de cuya novedad no puedo aún contar nada, puesto que estoy justo destripando algo nuevo, que quiero poder incluir en esta charla, aportando una interesante novedad en Cuenca.

Como siempre que voy a estos eventos, estoy seguro que será un ambiente de risas, historias y encuentros con amigos del sector,… así que será garantizado que pasaremos una experiencia genial.

Podéis ver toda la info sobre estas jornadas de seguridad en la web del evento: www.morteruelo.net

Os veo en la ciudad de las casas colgadas este jueves!!

Leer más...

En 2015, la 8.8 se multiplica por dos!

Nada más y nada menos que cinco son ya las ediciones que lleva el evento de seguridad informática anual más importante de Chile. He tenido la oportunidad de participar en dos de ellas en los últimos años, y si Dios quiere lo haré en su próxima edición, que se celebrará en la ciudad de Santiago los días 22 y 23 de Octubre. Los que me conocéis, sabéis que es un total placer viajar a eventos en Latinoamérica, pero Chile además tiene para mí un significado especial. No sólo porque el ambiente de 8.8 es una auténtica pasada, sino porque al tener raíces chilenas, aprovecho para visitar a familiares y amigos.

En esta ocasión, el cartel de ponentes es impresionante. Desde Chema Alonso que dará la keynote del evento, hablando sobre fallos de programación en aplicaciones Android disponibles en Google Play (tuve la oportunidad de ver esta charla en Navaja Negra ConectaCON en Albacete y es sorprendente la cantidad de fallos que se cometen). 

Otra charla que me consta muy interesante es la Hugo Bayona, que ví en DragonjarCON, sobre PNL. Igualmente será instructiva la que dará Daniel Echeverri (Adastra), que sacará a la luz los internals de TOR. Fraph, otro de los colegas que conocí en Colombia este año, dará una charla sobre vulnerabilidades que ha encontrado en pasarelas de pago. 

Además, vendrá mi buen amigo Claudio Caracciolo que seguro que trae algo interesante para contarnos (y en la que seguro que aprovecha para trollearme :D) 

Por mi parte, continuaré con la saga de "Memorias de un Perito Informático Forense Vol. II", en la que contaré la experiencia en un par de peritajes que me tocó defender y que espero que guste al público chileno.

Como dice el título del post, la 8.8 este año se multiplica por dos. Y es que resulta que este año se celebrará en La Paz, capital de en Bolivia, la primera edición de este evento. Gracias al apoyo de la organización de 8.8 de Chile, pero a través de organización local de Bolivia, se llevará a cabo un evento que pretende ser el más importante del país en materia de seguridad.... Se celebrará el lunes 26 y martes 27 de Octubre.

Así, viajaré desde Santiago a La Paz para participar en la primera edición de este evento. Por lo que se puede ver en el cartel, esta primera edición estará genial. Ponentes como Jaime Andrés Restrepo, Diego Bruno (que dará una charla sobre las diversas vulnerabilidades en la historia de SSL, que pude ver en Colombia por parte de Javier Antunez), Gabriel Bergel, etc,... Además, espero ver una charla que dará el boliviano Elvin Mollinedo, al que conocí como alumno en el taller de Seguridad en Entornos Corporativos que dí en Colombia, y de la que me dio un adelanto allí, sobre creación de BTS falsas mediante Linux. 

Será todo un honor participar en esta primera edición, y además por partida doble, puesto que daré el keynote y el cierre del evento. En ambos casos, las charlas serán de Análisis Forense y Peritaje Informático, en las que expondré diversos casos en los que me he visto implicado.

Serán dos semanas de viajes y aventuras en CONs por Latinoamérica, en las que espero disfrutar como siempre de un continente y un público que me encanta por su hospitalidad y humildad, así como sus ganas de compartir, aprender y generar comunidad.

Os dejo los enlaces a las webs de ambos eventos bajo estas líneas:

[+] 8.8 Chile 23 y 24 de Octubre

[+] 8.8 Bolivia 26 y 27 de Octubre

Nos vemos en Chile y Bolivia!

Leer más...

Enlaces de la SECmana - 116

• Post de Chema Alonso en El Lado del Mal, en memoria del gran Hugo Castellano, al que tuvimos algunos la suerte de conocer en la pasada Rooted CON 2012. Descanse en paz.
• Todavía estás a tiempo para inscribirte en la ConectaCon Jaén, evento de seguridad informática que se celebra los días 17 y 18 de Abril. En la web hay más información acerca de los ponentes y ponencias.
• Nueva versión de RIPS 0.53, el analizador estático de código PHP. 
• Tras la publicación del exploit para FreePBX/Elastic que permite la ejecución remota de código por muts, en el canal de vimeo de Offensive-Security podemos ver un video con la explotación mediante Metasploit.
• Anonymous 'entra' en el PP balear y difunde los datos de miles de afiliados. No tengamos muy en cuenta la frase del artículo "Es la primera vez que este grupo internacional de 'hackers' actúa en las Islas"...
• Disponible en PDF el informe del X-Force de IBM para el 2011 sobre tendencias y riesgos tecnológicos.
• Mientras seguimos con el drama de principios de 2012 con lo ocurrido con la vulnerabilidad del RDP MS12-020, ya se encuentra disponible en Metasploit un módulo para poder realizar denegaciones de servicio en los sistemas afectados por la vulnerabilidad.
• La herramienta peepdf de José Miguel Esparza estuvo en la sección Arsenal de la última BlackHat EU 2012, y en este post podréis ver todas las novedades que se presentaron en la versión v0.1 r92.
• Recopilación con las seis iniciativas presentadas en RootedForge de la Rooted CON 2012.

Leer más...

Mi experiencia personal en Navaja Negra 2013 #nn3ed

Hace ya un tiempo anunciábamos la existencia de la tercera edición de uno de los congresos de seguridad del panorama español que más inercia ha ido cogiendo. Nos referimos al popular evento  "Navaja Negra" celebrado en Albacete a primeros de Octubre. 

Sus principales promotores, Pedro Candel y Dani García, contactaron conmigo antes del verano para que participase como ponente en Albacete. Después de haber oído excelentes referencias de las ediciones anteriores de este evento, me animé a ir.  

Para ser un evento que se lleva a cabo con apenas presupuesto, con patrocinadores que disponen de recursos bastante humildes, os prometo que es sorprendente la calidad y medios del sitio dispuesto, la casa de cultura Jose Saramago de Albacete, al que hubo que migrar a última hora, por causas de fuerza mayor.

Gustoso haría una crónica de las diversas charlas que se hicieron, pero por motivos de agenda, no pude asistir a todo el evento, llegando en el ecuador del mismo, con tiempo suficiente eso sí, para disfrutar de la alegría que me supone encontrarme con un montón de colegas y amigos. Sois tantos que si os nombro a todos, no termino, así que hacemos un @* y solucionado. 

Mi charla era la que cerraba la jornada del viernes, por lo que aún tuve tiempo de escuchar a la de Pancake sobre bitcoins y otras monedas virtuales, el divertido David Melendez haciendo volar un quadcopter hecho por él con el cerebro de una Fonera, y Manu Quintans y Frank Ruiz sobre diversas arquitecturas de Botnets.

En mi caso, quise presentar en Navaja Negra, una vez enumeradas las funcionalidades y carencias de diferentes herramientas existentes, una herramienta llamada LIOS #FF (Lawwait IOS Forensic Framework).

Tuve el placer de presentar una versión muy prematura de LIOS, meses atrás, en ConectaCON en Jaen, y precisamente me dí cuenta que la herramienta podía dar para mucho más. El objetivo de la misma es ayudar a un investigador o perito, en un análisis forense de un dispositivo IOS, clasificando los ficheros disponibles en un backup del mismo, así como mostrando en un interfaz web con pestañas la información extraída de diferentes bases de datos existentes en el mismo, de aplicaciones nativas del dispositivo (las llamadas, SMS, notas, agenda, etc,...), así como de aplicaciones de uso extendido como Whatsapp, Viber, Line,... entre otras, siendo esto una novedad y diferencia respecto a las herramientas existentes actualmente. Sin embargo, la capacidad que me parece más interesante es la de mostrar una línea temporal o timeline de todo el dispositivo, pudiendo mostrar la actividad del usuario en modo cronológico, indicando la interacción de todas las aplicaciones soportadas, ordenadas en el tiempo, para un periodo especificado.

El día 3 comenzó con Pepelux hablándonos de la Deep Web.

Continuó David Pérez como representante de la BIT de Policía Nacional contándonos el trabajo que llevan a cabo.

En la siguiente cambiamos el color del uniforme y Javier Rodríguez y César Lorenzana del GDT de Guardia Civil hablándonos de "troyanos policiales" y su imposibilidad de aplicación tras la reforma de la ley de enjuiciamiento criminal o LECRIM.

Al final, hubo una mesa redonda, moderada por Dani García, en la que participó Pepelux, representantes de los FCSE existentes en la sala y el abogado tecnológico Pablo Fernández Burgueño.

Tras un sorteo de libros con una función "random" pythonera, se dio fin al evento y nos fuimos a comer. 

El ambiente del evento fue inolvidable. Tanto en el papel de ponente como de asistente, no puedo hablar más que maravillas. Hubo risas, cervezas (algunas hasta sin alcohol), buena compañía, interminables discusiones filosóficas sobre dudas existenciales en la aplicación de la justicia ante una actuación pericial (esto en sí da para un post, que consultaré con mi abogado si lo puedo o no publicar xD), e incluso terminamos haciendo geocaching en Albacete con uno de nuestros componentes completamente entusiasmado por la originalidad del mismo.

Sin embargo, contamos con varias bajas. A todos nos habría encantado haber podido contar con colegas y amigos como David Barroso y Juan Garrido, que por causas de fuerza mayor tuvieron que cancelar su participación en el evento.

Ponemos el contador a cero esperando la cuarta edición de un evento, que siendo totalmente low cost, y pese a la distancia, fue capaz de congregar a unos 300 locos por la seguridad informática en la manchega ciudad de Albacete. Si ha tenido el éxito que ha tenido, ha sido sin duda, por el esfuerzo, empeño e ilusión de la organización, voluntarios y colaboradores, volcados con la idea de hacer un evento con temática atractiva y posicionado a la altura de otros congresos de la geografía española.

Leer más...