2012/01/28

Cómo configurar las opciones de privacidad en el nuevo Timeline de Facebook


Se acerca la hora. A finales de enero todos los usuarios de Facebook tendrán habilitado el Timeline en su perfil, un esquema en el que se destacan fotos y publicaciones con el que se elabora una “historia” cronológica para cada persona activa en la red social. Un nuevo avance pero seguro que aún con el nuevo perfil, seguimos recibiendo las típicas actualizaciones de nuestros contactos cada vez que juegan a Farmville y demás juegos sociales de la red. Pero eso ahora puede cambiar.
Este nuevo perfil incluye aplicaciones que cada usuario puede instalar. Sin embargo, si no se configuran bien las opciones de privacidad, las empresas que desarrollan estos programas pueden tener acceso a mucha información que, se supone, no deberían ver. Y no sólo ellos, otras personas que las utilicen también podrían hacerlo.

Por este motivo conviene tener en cuenta los pasos para configurar la privacidad en el nuevo perfil de Facebook; así sabremos con absoluta certeza lo que estamos compartiendo y con quien lo compartimos. Lo primero es trabajar con el apartado que esta red social ha destinado para estos efectos:
  • Se accede con el nombre de usuario y la contraseña.
  • Pinchar sobre “Configuración de privacidad”.
  • Ingresar a “Aplicaciones y sitios web”.
  • Pulsar sobre “Editar configuración”.
  • Ingresar a “Aplicaciones que utilizas”.
  • Pinchar otra vez sobre “Editar configuración”.
En este punto el usuario verá aparecer el listado de aplicaciones que utiliza. Cada una de ellas cuenta con la opción “Editar”. Si lo que se quiere es desechar algunas opciones adicionales incluidas en las aplicaciones, basta con hacer click sobre la opción “Eliminar”.

Por el contrario, si lo que se desea es dejar de utilizar por completo una aplicación determinada, se tiene que ir directamente sobre ella. Lo que hay que hacer es observar la parte superior de la página específica y pinchar sobre la opción “Eliminar aplicación”. De esta manera desaparecerá del listado y las empresas responsables de su creación no podrán acceder a los datos personales. Al pulsar sobre “Cerrar” los cambios quedarán guardados.
Y volviendo a las aplicaciones “pesadas”, las nuevas funciones de privacidad de las aplicaciones nos permitirán poder darle a cada aplicación una privacidad única y distinta de las demás aplicaciones. Por ejemplo, si no queremos que nuestros compañeros de trabajo vean que jugamos al juego de bandas de mafia, o al de construir una ciudad (por no mencionar de nuevo a la pesada granja) podemos asignarle permisos para que únicamente nuestros familiares lo vean. Y si tenemos la aplicación de Linkedin, esa podemos restringirla a nuestros contactos del entorno laboral.

De esta manera, se podrá disfrutar de todas las posibilidades que ofrece el nuevo muro de Facebook, con tranquilidad y seguridad. Y sobre todo, sin tener que agobiar con actualizaciones a todos nuestros contactos.

2012/01/27

Curso III. ChntPw Vs SAM

Los Viernes que ya todos estamos cansados me gusta variar un poco la temática de la semana, sobre todo si pasamos los días entre ips y mascaras de subred. En esta ocasión instalamos en un pendrive una distro de seguridad que personalmente me gusta mucho utilizar BackTrack 4R2.


Una vez instalado, decidimos probar un poco la seguridad física atacando la contraseña de los equipos, en entornos Windows (siempre referido a Usuario Local, no de Dominio), cuando lees como se trata de forzar de distintas maneras para obtener la contraseña te das cuenta que muchos ataques se hacen sin conocimiento del Sistema y esto es poco practico.

Realmente es mucho mas rápido y sencillo modificar el archivo SAM, del propio sistema para acceder al equipo, utilizando chntpw. Reiniciamos el Equipo para arrancar desde nuestra Live BackTrack 4R2.

Una vez en el Sistema se pasa al entorno gráfico con el comando StartX .

Hay varias opciones para montar los discos de la maquina objetivo, de forma gráfica o mediante el comando que puedes ver en la imagen .........mount -a /dev/hda1 /root/dd/
mount -a [ruta al disco][ruta a una carpeta creada para montar dicho disco]

En BT4R2 al acceder donde esta el ejecutable, el modo gráfico falla. (Hoy nos ocasiono bastantes problemas).
La ruta es /pentest/passwords/chntpw/

Desde esa ubicación tienes que ejecutar el comando e indicarle la ruta exacta para acceder al archivo SAM, que previamente habíamos montado. Recuerda para ejecutar comandos empezar por ./


./chntpw -i Ruta completa hasta el archivo SAM (configuracion de contraseñas).

Click para aumentar imagen.


El parámetro -l con la ruta completa nos mostrara todos los usuarios del sistema. Teclearemos el nombre del usuario que deseamos modificar.


Opciones
1 Dejar la contraseña en blanco (vacía).
2 No recomendable (cambiaría la contraseña).
3 Elevar los privilegios de ese Usuario (convertir en Administrador).
4 Activar una cuenta creada (pero que no este activa).

Todas estas opciones nos pedirán confirmación del nombre del Usuario, por defecto se aplicarían a la cuenta del administrador.


Una vez realizadas todas las modificaciones deseadas solo queda salir y guardar todos los cambios, la nueva configuracion del archivo SAM.


Ya tenemos nuestra cuenta activada, sin contraseña y con permisos de administrador, encendemos normalmente y a disfrutar de nuestro Windows !!!!

2012/01/26

Logs de seguridad, la verdad está ahí fuera...

Este verano pude dedicar un rato a leer el manual de operaciones de información del ejercito americano (Information warfare) al que había llegado a través de un post del blog Aerópago. Me resultó curioso y a la vez muy relevante estudiar cómo se manejan en situaciones de guerra las operaciones del campo de batalla de la información/desinformación.
Es imprescindible leer el Capitulo I, de Introducción porque aporta una nueva perspectiva al concepto de "información" y sus dimensiones. Y tal como deja claro el manual, la información esencial, la importante donde se pueden perder batallas, es aquella que se emplea en la toma de decisiones. Este fue el mensaje que quedó en mi mente tras leer el documento.

Hace unos días publicaba en twitter (@javiercao) una entrada sobre el top en los informes de logs de seguridad que debería tener una organización. Aparqué ese tweet para extenderme hoy más en un post sobre el tema.

Es curioso que todas las organizaciones, grandes o pequeñas, disponen de esta materia prima para poder establecer un puesto de vigilancia y conocer de primera mano qué ocurre en sus sistemas de información. En algunos casos por tiempo, en otros por desconocimiento sobre las problemáticas a analizar, esos datos no sirven para tomar decisiones que en un momento dado pueden luego costar una factura muy cara. El ejemplo en el mundo físico es como quien coloca cámaras de vigilancia y sensores volumétricos en todos los rincones a vigilar de su empresa, centralizando toda esa información en un cuarto de control y luego no pone vigilantes las 24 horas del día para que monitoricen lo que sucede en esas pantallas y centrales de alarma. 

A mi mente vino de nuevo la idea de que no podemos llamar "información" sino "datos" a aquello que no sirve para tomar decisiones. Y ese es el verdadero problema/drama de los logs, que no llegan a ser información sino datos sobre la situación de seguridad de la empresa que son guardados o borrados sin que de ellos se extraigan conclusiones o decisiones que pueden evitar o mejorar en mucho la seguridad de los sistemas. El post con los datos del top 7 de informes de seguridad los tenéis en este enlace de Anton Chuvakin, un "security warrior".

Juntando esto con las diferentes áreas que aparecen en ese top  de informes de seguridad se puede construir el siguiente escenario de vigilancia e inteligencia de red. 

Tal como establece el maestro Sun Tzu, "La tierra puede ser alta o baja, ancha o estrecha, lejana o cercana, desnivelada o plana, propicia para la muerte o para la vida".  Todo  general debe estudiar el contexto en el que se plantea el conflicto y tratar de moldearlo o dirigirlo para que le proporcione las mejores opciones y decisiones. El terreno tiene ciertas restricciones que no pueden alterarse, pero se debe ser consciente de todas estas limitaciones a la hora de plantear la táctica de combate. En nuestro caso, el terreno viene condicionado por la infraestructura TI de nuestra organización, pero también por los eventos y servicios que ésta suministra. En este sentido, una de las fuentes que mejor describen el campo de batalla son los eventos del sistema o logs. Como decía el agente Mulder de Expediente-X, "la verdad está ahí fuera". Todo administrador de sistemas o responsable de seguridad debería adecuar esa frase a "la realidad de lo que pasa en nuestros sistemas está en los logs".

Para empezar también me parece interesante comentar, tal como establece la norma  "ISO 27035 sobre gestión de incidentes" publicada el año pasado, la separación entre evento de seguridad e incidente. Todo incidente es generado por un evento de seguridad pero no todo evento de seguridad se transforma en un incidente. En el terreno de los logs nos movemos básicamente sobre el análisis de eventos que posteriormente hemos de decidir si son clasificados como incidentes. Ahora veamos los diferentes campos de batalla a gestionar. Los he separado en tres grandes áreas como ilustra este gráfico que atiende también a los diferentes tipos de escenarios y su hostilidad:

Personas:
  • Escenario de la gestión de usuarios: en este terreno los eventos a vigilar de cerca están relacionados con el ciclo de vida del usuario (alta, baja y modificación de permisos), los registros de acceso fallidos y con éxito, la elevación de privilegios y las conexiones con usuarios con los máximos privilegios.
  • Escenario de accesos a recursos: en este terreno los eventos a vigilar tienen que ver con los registros de auditoría de acceso del personal legítimo o interno sobre elementos muy protegidos que deben notificar cada intento de acceso a ellos para disponer de trazabilidad sobre el uso del recurso.

Recursos:
  • Escenario del cambio en recursos TI:en este escenario los eventos más relevantes son los relacionados con la instalación de software, la actualización, los cambios relevantes para la seguridad sobre parámetros de configuración, la modificación de las directrices de auditoría y la deshabilitación de las medidas de seguridad instaladas. También se pueden controlar desde este escenario el funcionamiento de las medidas de seguridad como pueden ser la actualización de las firmas de patrones del antivirus, la aplicación de parches sobre los sistemas y los resultados de los chequeos de vulnerabilidades.
  • Escenario de los problemas detectados: los eventos vinculados con este escenario están relacionados con la monitorización del funcionamiento de los recursos, su disponibilidad, incidencias de caída o fallo de componentes, errores en los sistemas, errores en sistemas de copia de seguridad, alertas sobre la gestión de la capacidad, eventos de reinicio y parada de sistemas, etc.
  • Escenario de la actividad interna de nuestra red: en este terreno, los eventos a vigilar están relacionados con los patrones de comportamiento de nuestra red y nuestros usuarios, los protocolos más utilizados, el consumo de ancho de banda, el volumen de tráfico demandado y recibido, la carga de nuestras conexiones, etc.

Enemigos:
  • Escenario del malware detectado: en este escenario, los eventos a vigilar deben provenir de las medidas de protección perimetral y antivirus. Se debe vigilar el número de infecciones recogido, los archivos en cuarentena, las estadísticas sobre el tipo de malware que se detecta (gusanos, troyanos, virus, hacking tools) así como la fuente de infección (descargas en la red, dispositivos USB, correo electrónico).
  • Escenario de la actividad externa sobre nuestra red: en este terreno, la información relevante proviene de las medidas de protección perimetral que inspeccionan el tráfico y que detienen aquellas peticiones que no superan la política de filtrado de tráfico y contenido. Sirve para poder detectar intentos de ataque, abusos sobre recursos accesibles desde el exterior, vulneración de las medidas de seguridad. Es necesario también atender a los volúmenes de información recibidos y salientes para detectar si hay elementos en la red interna comprometidos y que están siendo controlados desde el exterior.
Sobre todos ellos campos de batalla debe trabajar una pieza esencial en la linea de defensa de toda organización: la monitorización y gestión de eventos de seguridad.


Fuente: http://seguridad-de-la-informacion.blogspot.com

Cómo hacer una contraseña segura [Infografía]


01-Cómo hacer una contraseña segura [Infografía]-dotpod.com.ar
Las contraseñas son un tema que para muchos es un gran problema, una molestia con la que no les gusta lidiar, y que equivocadamente dejan de lado, despreocupándose de la seguridad de un equipo o una cuenta cuya información almacenada es sin dudas muy valiosa.
Abandonarse a la vagancia y memorizar una clave débil y fácil de descubrir es un acto fatídico del cual sólo nos curamos cuando somos víctimas de un hackeo. Tal vez, puede que pensemos que nuestro password es realmente fuerte, cuando en realidad lejos está de serlo.
Pero entonces ¿Cómo hacer una contraseña segura y fuerte? En esta productiva infografía podemos encontrar una guía simple sobre cómo evitar contraseñas tontas y cómo obtener una realmente segura que no olvidemos.
Se recomienda evitar lo siguiente:
  • No reutilizar contraseñas, al menos por un año
  • No usar la misma clave para múltiples cuentas
  • No duplicar un buen password que servía de ejemplo; crear uno propio
  • No usar una contraseña con información personal (nombre, cumpleaños, DNI, etc)
  • No usar palabras de diccionario
  • No usar patrones de teclado (qwerty) o secuencias de números (12345)
  • No repetir caracteres (2222tt)
  • No hacer un pasword solo con números o letras; mezclarlos.
Luego, recomiendan que a la hora de crear un buen password:
  • incluir reemplazos fonéticos
  • Mezclar letras mayúsculas y minúsculas
  • Usas sustituciones, como la o por el 0, y la S por $.
  • Usar una frase de 2 o 3 palabras
  • Mezclar el orden de las palabras de la frase
En todo caso, se puede hacer uso de un generador de contraseñas, como How Secure is my Password? o Pass Creator. Luego agrega información muy interesante sobre estadísticas y datos, como un listado de las peores contraseñas del año pasado. Merece una leída, tengas o no problemas con la seguridad de tus cuentas.
Cómo hacer una contraseña segura [Infografía]-dotpod.com.ar

Configurar para que Windows actualice los controladores automáticamente [Windows 7]

Los controladores son programas que permiten que los dispositivos, como una placa de audio, de video, impresora y hasta un mouse, conectados a un equipo funcionen correctamente. En este artículo te voy a explicar cómo configurar Windows 7 para que actualice los controladores automáticamente desde internet.

¿Para qué debo tener los controladores actualizados?

Cuando los programadores escriben los programas que controlan un dispositivo, muchas veces dejan errores, pongamos el ejemplo de una placa de audio cuyo chip permite la conexión digital pero cuando la conectamos “misteriosamente” no funciona en alguna versión de Windows. Bueno, este tipo de errores son corregidos “en la marcha” y para ello los programadores lanzan actualizaciones de drivers.
Por lo citado anteriormente, además de cuestiones asociadas a la estabilidad del sistema, es ideal tener habilitada la opción para que Windows 7 baje los drivers de manera automática, para ello debemos ir al panel de control y en la parte de Hardware y sonido seleccionar Dispositivos e impresoras.
Una vez abierta la ventana, hacemos clic derecho sobre nuestro equipo y clicamos en Configuración de la instalación de dispositivos (1)

Actualizar controladores automáticamente Windows 7
Se abrirá una nueva ventana, en la cual debemos seleccionar lo que ves en la imagen, y luego hacer clic en Guardar cambios.
Actualizar controladores automáticamente Windows 7
Listo, las actualizaciones de los controladores aparecerán junto con las actualizaciones de sistema en “Windows Update”, así que ya sabes, habilita esto y tendrás una cosa menos de qué preocuparte.

Fuente: laguiadewindows.com

2012/01/24

¿Cómo trabaja un spammer y cómo funciona Canadian Pharmacy?

Hoy vamos a analizar cómo un sitio web vulnerable puede ser utilizado a favor de un spammer y cómo la imagen del sitio puede verse seriamente afectada por la publicidad que el delincuente coloca en el mismo. Básicamente mostraremos cómo funcionan los negocios fraudulentos, pero no necesariamente ilegales según el país, como Canadian Pharmacy y otros socios de negocios igualmente repudiables.

En el artículo "Vigra.gob.ar" describo en profundidad las distintas vulnerabilidades que sufren los sitios gubernamentales y nos valdremos de un ejemplo de allí para comenzar este artículo (clic para agrandar).

Si bien la página web que visualiza el usuario originalmente no muestra nada sospechoso, al acceder al código fuente, se descubren cientos de enlaces a sitios con publicidad fraudulenta y estos enlaces serán indexados por los buscadores, sirviendo de puntapié para posicionar sitios web delictivos. Estas actividades se conocen como Spamdexing y Black Hat SEO y consisten en una serie de métodos, como los explicados a continuación, para manipular buscadores y por lo tanto al usuario que llega a los resultados del mismo.

¿Cómo alguien agregó esos enlaces a las páginas web de un sitio?

El siguente diagrama muestra la relación que existe entre los delincuentes y el procedimineto que se sigue para lograr que un usuario llegue desde un simple buscador a una página fraudulenta:

Esto se logra a través del encadenamiento de sitios vulnerados, a los cuales un delincuente ha logrado acceder en forma ilegítima, siguiendo un procedimiento similar al siguiente:
  1. Inicialmente el delincuente registra dominios a su nombre (utiliza nombres falsos y tarjetas de crédito robadas) y adquiere hosting que son brindados por otros delincuentes (C2C - Criminal To Criminal Service) y son servicios a prueba de balas en distintos países que son paraísos digitales (en teoría "nadie" puede darlos de baja). Los nombres de dominios registrados no tienen importancia y generalmente son letras mezcladas en forma aleatoria. Como el delincuente sabe que estos servicios no estarán mucho tiempo disponibles (de 1 a 10 días), simplemente debe ocuparse de registrar miles de sitios y tener un stock siempre disponible.
  2. Luego, se encarga de encontrar sitios vulnerables, es decir que se pueda ingresar a ellos y modificar su contenido, ya sean archivos o bases de datos. Esta búsqueda se hace en forma automatizada y general, sin un objetivo establecido previamente. Como se verá posteriormente, en este caso cuanto más popular sea el sitio mejor serán los réditos económicos del delincuente.
  3. Se ingresa (sin autorización) a los sitios vulnerables, también en forma automática y masiva a través de bots programados para ese objetivo y en cada sitio se aloja distinto material que puede ser:
    • nuevas páginas con contenido dañino (malware, páginas rogue, etc.)
    • nuevas páginas con publicidad de productos fraudulentos
    • nuevas páginas con redirectores a otros sitios del mismo delincuente o de sus asociados de negocio
    • modificación de páginas del sitio con enlaces a las páginas anteriores (este es caso de la primera imagen)
  4.  Una vez alojado el contenido, cada sitio vulnerado será una puerta de entrada a las páginas del delincuente ya que los buscadores indexarán el contenido legal del sitio y también el agregado por el delincuente, logrando que la página sea posicionada en los primeros lugares del buscador (Black Hat SEO) y, como consecuencia, tarde o temprano el sitio vulnerado será marcado por el buscador como dañino, perjudicando con mala reputación a su propietario. Por supuesto, esto último al delincuente no le importa porque ya logró su objetivo y, aunque sea por corto tiempo (pocas horas), pudo comercializar sus productos ilegales en forma gratuita, abusando de un tercero inocente y del buscador.
Ahora analizaremos el tercer y cuarto punto en profundidad. La imagen a continuación pertenece a un sitio muy popular de contenido Flash, que ha sido vulnerado y en donde el delincuente alojó una serie de archivos PHP maliciosos utilizados para los objetivos planteados.

Si se busca cualquiera de esos archivos, puede verse que existe una serie de sitios que los alojan, lo cual ya indica por sí mismo la efectividad de los delincuentes para encontrar sitios vulnerables y para alojar su contenido dañino.
También indica la gran cantidad de sitios vulnerables y de organizaciones (públicas y privadas) irresponsables que nunca se han planteado la necesidad de analizar su seguridad y tampoco les importa que sus activos, y el de sus clientes, pueda verse afectado. Para tener un contexto general basta leer la gran cantidad de sitios en los cuales hay fuga de información todos los días.

Al analizar los archivos PHP maliciosos mencionados se puede encontrar algunas de las alternativas mencionadas en el punto 3.
El primer caso corresponde a un sitio vulnerado, de una empresa que desconoce que las páginas dañinas se encuentran alojadas en sus servidores. Una de las páginas alojadas por los delincuentes en el sitio vulnerado es una farmacia en línea, que ofrece cientos de productos farmacéuticos.
Como puede verse en la imagen en este caso se utilizan dos servidores vulnerados (pueden ser más): el primero almacena las páginas estáticas (HTML) y dinámicas (PHP) y el segundo almacena las imágenes. Este modelo es altamente dinámico y le permite al delincuente una gran independencia para crear una mayor cantidad de sitios fraudulentos.
A continuación se puede ver el código fuente de los archivos PHP involucrados y cómo se manipula el contenido de los distintos sitios vulnerados:

La siguiente alternativa es almacenar archivos dinámicos que sólo redireccionan al usuario a un asociado de negocios del delincuente. A continuación se puede ver uno de esos archivos PHP:

En este caso lo que se posiciona en el buscador es está página con los redirectores a los sitios dañinos o fraudulentos de forma tal que, cuando el usuario ingrese a la página, será automáticamente dirigido al sitio dañino. Como puede verse cada redirección está asociado a un número que identifica a un asociado de negocio y cada uno de ellos ganará una cantidad de dinero asociada a la cantidad de visitas que envíe al sitio dañino.

En este caso el usuario puede ser engañado para comprar los productos ilegales ofrecidos y además, en algún momento el sitio real, que aloja el contenido, será penalizado por los buscadores, ocasionando pérdidas económicas y de imagen corporativa a la empresa vulnerada. A continuación puede verse el reporte de Google Safe Browsing respecto a un popular sitio argentino que propagaba archivos dañinos de la forma descripta.

Dependiendo de la criticidad del caso y de si la situación se ha repetido en el tiempo, los buscadores pueden bloquear el sitio web e incluso informar a los navegadores para que no muestren el contenido del mismo, como pasó con el diario Clarín.

La última alternativa es que la redirección anterior dirija al usuario a un sitio de descarga de malware y, principalmente rogue, es decir crear una página que simula un scaneo del sistema del usuario en busca de amenazas y que le informe que ha sido infectado.
En este caso cuando el usuario haga clic, se le ofrecerá la descarga de una "solución" que será un archivo ejecutable que, efectivamente ahora infectará al usuario. En este caso los asociados de negocio ganarán una cifra proporcional a la cantidad de usuarios infectados.

Las infecciones pueden tener como objetivo reclutar PCs víctimas como miembros de una botnet, que posteriormente también serán utilizadas por delincuentes. Normalmente los usuarios de esos sistemas no se dan cuenta de la situación y tampoco notan nada extraño.

Con respecto a las ganancias de cada delincuente involucrado, las mismas estarán relacionadas a la cantidad de visitas, ventas e infecciones o que logre cada página fraudulenta y por supuesto esto será directamente proporcional al grado de exposición de cada sitio en los buscadores. Si un delincuente logra modificar el contenido de un sitio popular, como un diario por ejemplo, seguramente tendrá mucho mayores ingresos que si logra el mismo objetivo en un sitio desconocido.

Como puede verse, la cantidad de alternativas para vulnerar un sitio web son muchas y todas ellas llevan a que detrás existe una serie de delincuentes que se benefician de dichas vulnerabilidades y perjudican a los dueños de los sitios afectados.

Fuente: http://blog.segu-info.com.ar

2012/01/23

De 0x90 a 0x4c454554, un viaje dentro de la explotación

Hoy vamos a rescatar una entrada un poco antigua pero genial para todos aquellos que quieren aprender a desarrollar exploits.
'From 0x90 to 0x4c454554, a journey into exploitation' contiene una lista de recursos ordenados que describen el camino que se ha de seguir para llegar a ser un auténtico ninja en este arte, una estructura jerárquica en la que habrá que ir entendiendo y profundizando en cada sección antes de saltar a la siguiente.

Además se incluyen temas de aprendizaje paralelos para evitar la monotonía.
Parte 1: Programación
Aprendizaje paralelo # 1: (completa esta sección antes de llegar a la lectura del libro "Hacking Art of exploitation")
Aprender a programar es fundamental para escribir exploits. Es imprescindible dominar algún lenguaje de scripting. A continuación se enumeran algunos de los lenguajes de programación más populares y que se consideran más útiles.

- Python: uno de los lenguajes que más popularidad está ganando. Es potente, fácil de usar y está bien documentado.

- Ruby: si lo que quieres es trabajar fundamentalmente con Metasploit entonces debes empezar con Ruby.


- Perl: aunque es más antiguo continua siendo uno de los lenguajes de scripting más extendidos y por lo tanto utilizados en numerosos exploits.

- C y C++: tener un buen conocimiento de estos lenguajes es muy importante para entender como funcionan muchos exploits.
- Ensamblador x86: conocer el lenguaje máquina nos ayudará a comprender lo que el ordenador lee a la hora de compilar C y C++.

- Programación en Windows: para explotar los sistemas de Microsoft es necesario entender la estructura y las bibliotecas del sistema operativo.


- Desensamblado: más que programación se trata de comprender lo que el ordenador entiende y la forma que es interpretado por la CPU y la memoria. Aquí empieza lo bueno.


Parte 2: Iniciación

Ahora que tenemos una buena comprensión de los lenguajes de programación y de lo que la máquina está haciendo podemos empezar a trabajar en la tarea que nos ocupa, la explotación.


(
Aprendizaje paralelo# 1 terminado: ahora deberías tener un buen conocimiento de uno de los tres lenguajes de scripting listados)

Aprendizaje paralelo # 2: (completa esta sección antes de finalizar la parte 2)

(lee primero algunas entradas de este blog)


(este blog contiene información muy útil para empezar con fuzzers)


(el siguiente enlace es una demo, pero en este blog también encontrarás muchas cosas interesantes)


(papers de overflowedminds recomendados por Borja Merino)
(Aprendizaje paralelo# 2 terminado)

Parte 3: Herramientas comerciales
A continuación se listan algunas herramientas útiles



Parte 4: Networking y Metasploit(Networking)

(Metasploit)


Parte 5: Shellcode

Parte 6: Ingeniería inversaAprendizaje paralelo # 3: (sitios de referencia y uso para reversing)



Parte 7: Profundizando un poco en desbordamientos de buffer (BOF)Aprendizaje paralelo # 4: (para el final del curso y para después)
Encontrar exploits antiguos en Exploit-db, descargarlos, probarlos, reescribirlos y entenderlos.

(Parte A: contramedidas)


(Parte B: BOF Avanzado)


Parte 8: Desbordamientos de cabecera (heap overflow)



Parte 9: Lista de sitios de exploiting

(bonus: sitio que lista los tipos de vulnerabilidad e info)


Parte 10: Para añadir...1. Fuzzing
2. Formato de ficheros
3. y más


Y hasta aquí llega el camino. ¿Conocéis algún otro enlace de interés? ¿habéis seguido alguno una senda distinta? ¡Comenta por favor!.


Fuente: http://www.hackplayers.com

Dos ejemplos de phishing Hotmail y Gmail 2012, cuidado!

Aunque ya he comentado varios casos similares en el blog, nunca viene mal publicar más ejemplos para aprender y evitar caer en estos engaños. Los siguientes son dos correos falsos que intentan robar las contraseñas de Hotmail y de Gmail, presten atención sobre todo al segundo ejemplo que se ve muy real.
Correo falso de Hotmail:
ingles-hotmail-phishing
El mensaje se encuentra en inglés y hace referencia a una supuesta confirmación de la cuenta que se debe realizar, al pasar el puntero sobre el enlace claramente se puede ver que el destino es una página extraña, esto sumado a lo sospechoso del mensaje en sí claramente indica que estamos antes un ataque de phishing.
Al momento de escribir este post la página de destino ya no estaba operativa, pero pueden ver otro ejemplo aquí.
Correo falso de Gmail:
En este caso el mensaje se encuentra en español y se ve más convincente aunque la redacción no es buena, hace referencia a una desactivación de la cuenta y explica como reactivarla, simplemente hay que hacer clic en Activar Cuenta:
gmail-cuenta-desactivada
Si la víctima no detecta el engaño y hace clic terminará en una página como la siguiente:
phishing-gmail-2012
Noten el diseño, es una copia exacta de Gmail que perfectamente podría engañar a cualquiera. Sin embargo al prestar atención a la URL (algo que siempre hay que hacer al ingresar contraseñas), se puede ver que el dominio real es un .info y no gmail.com como a primera vista lo parece.
Así de simple se puede perder la contraseña y comprometer la información, por eso hay que tener cuidado con los mensajes recibidos y no dejarse llevar por las apariencias de las páginas.
Gracias Rodrigo y Neri por los envíos.

Ver también:
Denunciar phishing desde Gmail y Hotmail.
Códigos QR con troyanos y también phishing.
Investigadores falsos que dicen robar contraseñas.

Fuente: http://spamloco.net

2012/01/21

Diez alternativas a Megaupload

Hace unas horas el cierre de Megaupload a consecuencia de una investigación del FBI caía como una bomba en Internet y muchos han sido los que han comentado este suceso a través de las redes sociales. Como parte de nuestro compromiso por informar a los lectores, os traemos hoy un recopilatorio de diez alternativas para este servicio de alojamiento de archivos.
  • Bitshare: un sistema muy sencillo para cargar y compartir archivos. No exige registro, los usuarios Pro pueden obtener espacio de hasta 10.000GB y pueden subir hasta 2GB cada vez. En el caso de las cuentas gratuitas la página elimina el archivo a los 190 días de no ser usado. El precio de la cuenta Pro es de 9,99 dólares al mes o 54,99 al año.
  • MediaFire: permite subir archivos de hasta 200MB sin registro y nos devuelve una dirección web para compartirlo si lo deseamos. El servicio premium elimina el límite de los 200MB. Su precio es de 9 dólares mensuales o 130 anuales.
  • Rapidshare: el más parecido al desaparecido Megaupload, Rapidshare permite subir archivos del tamaño que queramos y luego nos ofrece una URL para compartirlo. Requiere registro. El servicio premium mejora la velocidad del servicio y nos garantiza que los archivos nunca expirarán. Su precio es de 13 dólares mensuales o 130 anuales.
  • FileServe: subida de archivos de hasta 1GB de manera gratuita, en las cuentas premium aumenta hasta 2GB, obtienen más velocidad y les permite almacenamiento para siempre de los documentos subidos. Su precio es de 9,99 dólares mensuales o 69,99 anuales.
  • FileSonic: Ofrece a todas las cuentas almacenamiento ilimitado, con un tiempo de almacenamiento de 30 días y a velocidad limitada. Los archivos no pueden ser de más de 1GB. PAra desbloquear estos límites debemos pagar 9 dólares al mes.
  • Wupload: Un rival serio a considerar. Se trata de un servicio que ofrece cargas ilimitadas a todos los usuarios con archivos de hasta 10GB pero da un servicio de alta velocidad para los de pago por 9 dólares al mes o 55 al año.
  • HotFile: Junto a RapidShare uno de los más conocidos. Con la versión premium que cuesta 9 dólares al mes (55 al año) obtenemos descargas ilimitadas a gran velocidad. En estos casos permite hotlink o enlaces en descarga directa de 100GB mensuales.
  • videobb: Si buscamos una alternativa directamente orientada al mundo de las películas, vídeos y series videobb puede ser una gran alternativa. Requiere registro pero los usuarios gratuitos no tienen limitados el espacio, en cambio los premium por 10 dólares al mes obtendrán la máxima velocidad posible para subir o descargar vídeos y la eliminación de publicidad.
  • videoZer: Muy parecida a la anterior, al mismo precio, pero con condiciones algo más restrictivas. No requiere registro, los usuarios gratuitos tienen limitados el espacio a 500GB y 2GB de tamaño máximo de archivos, en cambio los premium por 5 dólares al mes obtendrán la máxima velocidad posible para subir o descargar vídeos de hasta 5GB.
  • Megashare: Cerramos la lista con este servicio web de bastante calidad, pues ofrece algunas funciones extra. En primer lugar los usuarios gratuitos obtiene alojamiento ilimitado de archivos de hasta 1GB de tamaño. Los premium no obtienen ningún tipo de restricción y el servicio anual es bastante barato, 39,99 dólares. Permite protección de archivos con contraseña y la generación de enlaces personalizados para compartir.
Por supuesto estas diez alternativas no son todas las existentes, son las que más se le parecen. Y está claro que algunos encontraremos otras alternativas a las funciones que Megaupload nos ofrecía a través de sistemas diferentes, al estilo de los sitios de descarga de torrents o los servicios de pago por streaming (Netflix, etc).
¿Qué alternativa pensáis usar vosotros?

Fuente: http://bitelia.com

Utilidades: 5 programas ideales para garantizar tu privacidad en la red

Hoy comenzamos una nueva sección en Bitelia que trata de presentaros programas y utilidades enfocadas a un determinado tema. Para empezar hemos decidido hacer una pequeña recopilación en torno a uno de los aspectos más importantes de la informática personal: la privacidad.
Por eso os presento algunas utilidades que podéis utilizar diariamente en vuestros ordenadores y que os ayudarán a comunicaros, codificar vuestros archivos, almacenar vuestras contraseñas, o navegar de forma segura.

TrueCrypt

TrueCrypt es una de las aplicaciones más conocidas a la hora de codificar nuestros archivos de cara a que solamente nosotros o quien queramos pueda acceder a sus contenidos. Lleva muchos años en el mercado y esta avalado por una gran comunidad de usuarios y de desarrolladores, ya que esta completamente basado en código abierto.
Su utilización es realmente sencilla, y entre otras cosas puede ayudarnos a codificar nuestros archivos, hacerlo con una partición o unidad de disco entera, o denegar el acceso en caso de que se haya detectado la entrada incorrecta de la contraseña.

KeePass

KeePass es un gestor de contraseñas que nos ayudará a almacenar nuestros passwords de forma segura y sencilla. Con esta aplicación podemos guardar todas nuestras contraseñas en una base de datos que se cerrará y sólo se abrirá introduciendo una clave maestra. Es decir, únicamente tendremos que recordar una contraseña para poder acceder al resto de ellas. Además, permite que nos llevemos las bases de datos con nosotros allá donde vayamos, manteniéndolas lejos de peligros o de personas ajenas.
Particularmente soy más de no escribir este tipo de datos ni usar estos servicios, pero se trata de una aplicación muy segura, y además, con los tiempos que corren, en los que la cantidad de datos que almacenamos en la red es cada vez mayor y el número de servicios que usamos aumenta día a día, se trata de una muy buena idea.

Skype

Pese a que hace poco fue comprado por Microsoft y se anunciaban cambios importantes, la verdad es que a día de hoy tener una conversación por Skype sigue siendo una de las mejores forma de comunicarnos de manera totalmente privada a través de Internet.
Su versatilidad y el hecho de que esta disponible para un amplio número de plataformas hace ideal y casi indispensable que todos tengamos una cuenta de Skype, desde la que además no nos costará nada hablar con nuestros contactos, pese a que ellos se encuentren en la otra punta del mundo.

TorChat

En un post sobre privacidad no podíamos dejar de hablar de TOR. Como todos sabéis, se trata de un sistema que trata de proporcionarnos anonimato a la hora de conectarnos a la red a través de una serie de enrutamientos que nos permiten llegar donde queremos pasando por una serie de sitios que nunca sabrán quienes somos. De hecho, TOR significa The Onion Router, y como si de una cebolla se tratase nuestra conexión pasará por muchas capas antes de alcanzar el otro extremo.
Son muchos los programas que funcionan con TOR, y aquí os mencionamos unas cuantas. La primera de ellas es TorChat, una aplicación de la que ya os hablamos hace algunos meses y que es ideal para chatear de forma totalmente segura y anónima. Se distribuye para sistemas Windows, Mac y Linux, y su utilización se basa en un identificador de 16 caracteres que hará las veces de ID y que podremos compartir con nuestros amigos para hablar con ellos.

Privoxy

Privoxy es otra utilidad que se basa en TOR para garantizar nuestra privacidad, y que esta vez se centra en ofrecernos un avanzado web proxy desde el que podemos entre otras cosas, controlar los accesos o administrar las cookies.
Se trata de un programa bastante popular, ya que su licencia GNU hace que este disponible de forma multiplataforma, y podamos descargar compilaciones especiales para Windows, Mac OS X o Linux. Su instalación y configuración son bastante sencillas, aunque en la página oficial podemos encontrar abundante documentación si tenemos algún problema.

Fuente: http://bitelia.com/

El Pentágono planea probar códigos militares en videojuegos

El Departamento de Defensa de los Estados Unidos planea convertirse en desarrollador de videojuegos casuales con el fin de aprovechar el conocimiento colectivo testeando códigos que utilizarán en sus sistemas armamentísticos. La propuesta fue desarrollada por la Defense Advanced Research Projects Agency (DARPA), una agencia encargada de todo lo referido a investigación y financiación proyectos militares con carácter tecnológico.
El Pentágono está en la búsqueda de poder hacer revisiones por fallas en sus sistemas de software sin tener que incurrir en los altos costos y limitando la necesidad de especialistas en materia de programación. Para eso planean empezar a preparar juegos divertidos apuntando a que un amplio público pueda dedicar horas de entretenimiento mientras colabora con su causa. El proyecto no apunta a videojuegos de disparos en primera persona (no esperen nada parecido a America´s Army) sino que apuntan a los pequeños juegos casuales. Por su descripción queda claro que realizarán principalmente títulos de ingenio.
El documento con la propuesta explica:
La verificación formal del software es demasiado costosa para que el Departamento de Defensa lo pueda aplicar en códigos largos y requieren mucho talento especializado. Este método no se puede escalar al complejo software disponible en el armamento actual.
Entre las investigaciones de DARPA podemos encontrar un repertorio bastante variado, desde el vehículo volador llamado Transformer hasta el Falcon HTV 2 que tuvo su segundo vuelo fallido el año pasado.
El desarrollo que se presenta en la publicación se conoce como Crowdsourced Formal Verification busca tener juegos disponibles para disfrutar a partir del tercer año de actividad, para ello gastarán más de 30 millones de dólares. No es el primer caso donde se utilizan videojuegos para realizar parte de una investigación, aunque en anteriores casos respondía a otros fines, Fold.IT y EteRNA son dos ejemplos recientes de trabajos científicos encarados con crowdsourcing. Habrá que ver cuántos usuarios están dispuestos a dedicar tiempo a un juego cuando saben que el mismo será utilizado por el ejército de los Estados Unidos.

2012/01/20

El futuro: computadoras cuánticas compatibles con la nube

Mecanica cuántica
Las computadoras cuánticas empleadas en laboratorios todavía tienen que dar el salto a versiones domésticas.
Las computadoras cuánticas se perfilan como potenciales sucesoras de las actuales computadoras electrónicas y un estudio reciente sugiere que serían compatibles con la computación en nube, cuya popularidad va en aumento en internet.
Este tipo de computadoras emplean los llamados "estados cuánticos" de la materia para realizar cálculos que, a gran escala, superan con creces las capacidades de una computadora convencional.
Más rápidas y seguras, su uso podría extenderse a servicios como la nube de Google, según indicó un reporte publicado en la revista Science.

Mecánica cuántica

Una de las peculiaridades de esta rama de la física llamada mecánica cuántica es que los objetos pueden estar en más de un estado a la vez, con estados de distintos objetos unidos de un modo que Albert Einstein famosamente calificó de "espeluznante".
En lugar de los bits 0 y 1, tradicionalmente empleados por al computación digital, la computación cuántica ansía hacer uso de estos estados entrelazados para realizar cálculos a una velocidad que quita la respiración.
Otros trucos de la mecánica cuántica tienen que ver con la criptografía, el arte de encriptar datos. Los datos son codificados en estados determinados, usualmente en partículas de luz llamadas fotones, y estos no pueden ser leídos sin ser destruidos.
La criptografía cuántica emplea este medio para enviar "claves" para desencriptar mensajes de una forma muy segura.
Sin embargo, la computación cuántica todavía está en su etapa de desarrollo, y por ahora sólo es capaz de elaborar cálculos simples, mientras que la criptografía cuántica está en su mayoría relegada a experimentos en laboratorios.

Nuevos avances

Hasta el momento, parecía distante un futuro en el que ambos sistemas fueran accesibles a los consumidores.
Sin embargo, un nuevo trabajo llevado a cabo por el pionero en computación cuántica Anton Zeilinger de la Universidad de Viena y un equipo de científicos internacionales, logró combinar ambos elementos: criptografía y estados cuánticos.
Fotones
La criptografía cuántica emplea elementos como partículas de luz.
Demostraron que la tecnología del futuro tan sólo necesita diseñar modos de fabricar bits cuánticos (también conocidos como qubits) en casa, mientras que el groso de la computación cuántica podría realizarse en la nube de forma completamente segura.
De este modo, el usuario podría enviar qubits perfectamente seguros a una computadora remota, junto con una especie de instrucciones sobre qué hacer con ellos.
El proceso es completamente claro para el usuario; por ejemplo, encontrar todos los números que multiplicados darían como resultado el número 2.012. Pero el número 2.012 estaría encriptado y las instrucciones darían la impresión de ser una serie de pasos al azar o un número desconocido.
La computadora remota de algun modo "entrelaza" los bits desconocidos, ejecuta los pasos, y envía los qubits de vuelta resolviendo el problema sin siquiera decodificar el contenido.
El equipo construyó un sistema demostrando que la idea funciona, empleando una serie de pasos computacionales que podría definir el futuro de la computación.
No obstante, queda mucho que hacer para desarrollar la computadora de nube cuántica del futuro.

Obstáculos

En primer lugar diseñar un sistema para "fabricar" estos qubits en los hogares, que podría hacerse con tecnología existente si hubiera una demanda por por parte de los consumidores.
En cuanto a la criptografía cuántica a larga distancia, ésta ya ha sido probada en aplicaciones reales: esta tecnología se empleó en las elecciones de Suiza en 2007, usando una red adaptada de fibras.
Recientemente, investigadores del University College de Cork, en irlanda, demostró que la información cuántica puede enviarse a través de las mismas fibras que se utilizar para proporcionar servicios de banda ancha en hogares de todo el mundo.
Lo que todavía falta, y preocupa a los físicos cuánticos, es la computadora cuántica en si misma.
La complejidad de las computadoras va en aumento; a principios de este mes se sugería la capacidad de 84 qubits de hacer malabarismos simultáneamente.
Pero igual que sucedió con la computación que hoy conocemos, todavía tendrá que darse una mayor simplificación, miniaturización y un bajón en el coste para que pueda emplearse en la computación en nube.

Fuente : http://www.bbc.co.uk

Mac OS X tuvo 58 variantes de malware en 9 meses

La empresa F-Secure ha publicado un resumen de las amenazas malware que ha sufrido la plataforma Mac OS X desde Abril a Diciembre de 2011. Durante este año MacDefender, FlashBack o DevilRobber han copado las portadas de muchos medios de comunicación dedicados a seguridad informática, tecnología Apple o informática en general.

Figura 1: Total de muestras por tipo y mes

Las cantidades que aparecen en la Figura 1 no recogen el repaquetado del malware para evitar las firmas de XProtect o las generadas por compañías antimalware, sino sólo las que son nuevas variantes del malware. Si se analiza la distribución temporal, se puede ver como la campaña de MacDefender de Mayo a Julio genera un fuerte pico, así como la campaña en Septiembre a Noviembre con DevilRobber y FlashBack.

Figura 2: Distribución de malware por meses

En cuanto a tipo de malware, los Rogue AV son la mayoría y el resto se lo reparten entre troyanos, backdoors y droppers de malware.

Figura 3: Distribución por tipos

Por útlimo, la Figura 4 recoge la distribución por meses del tipo de malware que se ha ido detectando.

Figura 4: Distribución por meses y tipo de malware

A día de hoy el malware en Mac OS X no es aún tan importante como en otras plataformas, pero evidentemente negar su existencia y no estar preparado para luchar contra él es un grave error.

Fuente: http://www.seguridadapple.com/2012/01/mac-os-x-tuvo-58-variantes-de-malware.html