Blogroll

El conocimiento pertenece al mundo.

martes, 30 de septiembre de 2014

Stinson, Un polémico cazador de pederastas publica sus casos en su perfil de Facebook


El cazador Stinson, así se hace llamar un expresidiario británico en paro que ha grabado un documental, cuyo objetivo era contactar con pedófilos para obtener pruebas contra ellos y condenarlos. De momento, ha logrado la condena para 10 de ellos. El trabajo de Stinson, que cuenta con la colaboración de dos personas más, podrá verse mañana en el canal Channel 4. La táctica de este cazador es hacerse pasar por una menor de edad con el fin de atraer a los hombres a una casa, hablar con ellos y grabarlos para obtener pruebas que luego entrega a la Policía. El sistema utilizado por Stinson, que se autodenomina periodista de investigación, ha sido muy criticado en Reino Unido pero ha logrado contactar con más de 60 delincuentes sexuales, con un grado de eficacia mucho mayor que el de la Policía. Durante el documental se pueden ver distintas reacciones de los supuestos pederastas. Algunos directamente huyen y otros intentan justificarse, suplican clemencia, incluso entre lágrimas.

El canal anuncia que en el documental se podrán ver los impactantes mensajes, fotos y vídeos enviados por hombres de 20 a 40 años a supuestas chicas de 11 años. Además, el director del canal, Nick Mirsky, anunció ayer que es el documental más importante del año para su televisión.

Las críticas a este tipo de trabajo están fundadas porque el fin no justifica los medios. Y es que Stinton publica las pruebas en Facebook, lo que ha provocado que uno de los supuestos pederastas Michael Parkes, de 46 años, se quitara la vida después de que fuera "pillado" tratando de organizar una cita con un niño de 12 años para mantener relaciones sexuales con él. La viuda indicó que el trabajo de este cazador es totalmente válido, pero pidió que dejara de publicar las historias en Facebook para evitar que más niños crezcan sin su padre. Su perfil tiene más de 133.000 seguidores.

Stinton justifica la labor policial e indica que no obtienen los resultados esperados debido a problemas de burocracia. "Mi intención es conseguir financiación para seguir trabajando. Me alegraría poder trabajar como voluntario con la Policía y poder aportar mi experiencia, informa "Mirror". En enero, la Policía de Warwickshire lo amenazó con emprender acciones legales contra él si no abandonaba sus actividades porque comprometía sus investigaciones. Pero hizo caso omiso. Stinton afirma que a sus 31 años es la primera vez que hace algo que le satisfaga. A los 13 años ya tenía problemas con la bebida y con las drogas y a los 17 provocó un incendio grave que le llevó a prisión.

Detenido en Córdoba un Cyberdelincuente tras robar fotos de 300 actrices y modelos españolas


Agentes de la Policía Nacional han detenido en la provincia de Córdoba a un hombre de 27 años, que presuntamente accedió al equipo informático de 300 personas mediante técnicas de ingeniería social, entre ellas modelos, actrices y fotógrafos relacionados con el mundo de la moda. 

Según informa el Cuerpo Nacional de Policía, el joven supuestamente usaba páginas web simuladas e idénticas a las de inicio de sesión reales para obtener las contraseñas de cuentas de correo electrónico o de perfiles en redes de sociales. 

Posteriormente, se comunicaba con contactos de las cuentas usurpadas haciéndose pasar por el propietario real y las engañaba para que instalaran aplicaciones de control remoto de manera que obtenía el control total de los equipos. De este modo, conseguía acceder y copiar los archivos personales almacenados en los mismos. 

Las pesquisas comenzaron a raíz de la denuncia presentada por una menor de la capital malagueña que había observado que la cámara web de su ordenador portátil se encendía sola y que «el ordenador parecía tener vida propia». Además pudo observar cómo se copiaban sus fotografías.

Tras examinar el dispositivo de la perjudicada se determinó que se había instalado un programa de control remoto de los ordenadores. La víctima relató que todo había comenzado después de que hubiera mantenido una conversación a través de un 'chat' con una conocida suya a la que resultó que le habían usurpado la cuenta y la estaban usando en su nombre sin que la denunciante lo supiera.

Así, la víctima relató a los agentes que en el transcurso de una conversación con la que suponía su amiga le había sugerido instalar un programa mejor y más seguro para chatear. La denunciante lo instaló sin saber que en realidad se trataba de un programa de control remoto que le permitía al ahora detenido acceder al equipo de la víctima e incluso a descargar las fotos que guardaba en el mismo. 

Varias pesquisas condujeron a los investigadores hasta un equipo informático instalado en un domicilio de la provincia de Córdoba. Tras proceder al registro del mismo, en el que fue intervenido un disco duro del ordenador, los agentes averiguaron que existían unas 300 víctimas más, entre las que se encontraban jóvenes modelos y actrices de diferentes puntos de la geografía española, así como fotógrafos del mundo de la moda.

ZyXEL NWD6505: Adaptador Wi-Fi AC600 con interfaz USB 2.0

El fabricante ZyXEL ha lanzado al mercado un adaptador Wi-Fi de muy pequeñas dimensiones y buen rendimiento inalámbrico. El nuevo ZyXEL NWD6505 es doble banda seleccionable (como todos los adaptadores Wi-Fi del mercado) y permite obtener una velocidad de hasta 150Mbps en la banda de 2.4GHz gracias a su única antena interna en configuración MIMO 1T1R, en la banda de 5GHz podremos conseguir hasta 433Mbps gracias a la incorporación de la tecnología Wi-Fi AC y su antena interna en configuración MIMO 1T1R.


La característica principal de este adaptador Wi-Fi es su tamaño, ya que tiene unas dimensiones muy reducidas de tan sólo 58 x 21 x 11 milímetros. Este tamaño es perfecto para usar el dispositivo en ordenadores portátiles y de esta forma actualizar la tarjeta inalámbrica que incorporan, aunque los nuevos portátiles ya incorporan la tecnología Wi-Fi AC, los portátiles de hace un año y medio hacia atrás no lo incorporan. Si queremos usar este adaptador Wi-Fi en un ordenador de sobremesa y dotarle de conectividad inalámbrica, podremos hacerlo fácilmente ya que incorpora un alargador USB que nos permitirá ponerlo encima de la mesa de trabajo.
Además de estas características, el ZyXEL NWD6505 incorpora un botón WPS (Wi-Fi Protected Setup) para conectarnos de forma rápida y fácil al router principal, sin necesidad de introducir difíciles contraseñas de paso.


Este adaptador Wi-Fi incorpora una interfaz USB 2.0, en este tipo de equipos con Wi-Fi AC600 no es necesario incorporar el estándar USB 3.0 porque el estándar USB 2.0 permite tasas de transferencia de hasta 480Mbps, algo que nunca conseguiremos con este adaptador (150Mbps en 2.4GHz y 433Mbps en 5GHz).
En cuanto al software incorporado, es compatible con los sistemas operativos Windows (desde XP hasta Windows 8.1 en sus versiones de 32 y 64 bits), también es compatible con Mac OS X 10.6 y posteriores. ZyXEL no ha incorporado ninguna utilidad para facilitar la configuración de una red en modo ad-hoc, únicamente en modo cliente Wi-Fi ya sea con un router o con otro dispositivo en modo ad-hoc.

Distribuyen el malware Dyre como un mensaje de voz

La distribución de malware haciendo uso del correo electrónico sigue siendo la tónica habitual del día a día de los usuarios, y lo seguirá siendo hasta que este servicio deje de ser tan utilizado. Este forma parte de la vida de las personas y se ha convertido en otra forma más de comunicación, sin embargo, aún hay gente que no conoce los peligros que posee utilizar este, pudiendo utilizar como prueba la última oleada de spam que distribuye el malware Dyre.

La primera vez que este virus fue descubierto nos encontrábamos en el mes de junio y llamó la atención a los expertos en seguridad porque podía saltarse la comunicación SSL entre equipos. Es decir, una vez llegaba al equipo, este era capaz de redirigir y controlar la navegación del usuario, provocando que este crea que se encuentra en una determinada página cuando en realidad es una copia muy similar y con un certificado SSL, por lo tanto, el navegador no avisa de que se haya roto este cifrado, evitando levantar las sospechas de los usuarios.

A mediados de agosto tuvimos nuevamente una nueva toma de contacto con el troyano, el cual era distribuido utilizando un correo electrónico spam de JP Morgan.

Y ahora tenemos de nuevo noticias de este malware, utilizando en esta ocasión una oleada de spam indicando al usuario que posee un mensaje de voz.



Un correo electrónico falso con todo tipo de detalles

En el cuerpo del correo se puede ver como se indica la longitud del mensaje, un identificador del mismo y otro para la máquina donde se ha producido la supuesta grabación del mensaje. Al usuario se le indica también una dirección URL donde a priori se podría realizar la descarga del mensaje, sin embargo, el archivo que se descarga no es un audio sino que se trata del instalador del malware.

Cuando el usuario ejecuta el archivo VoiceMail.scr, en el caso de disponer de una herramienta de seguridad esta detectará el intento de ejecución del virus y bloqueará cualquier actividad, evitando su instalación.

Cómo cifrar nuestro tráfico DNS para evitar que nos rastreen

Normalmente estamos acostumbrados a utilizar servidores DNS conocidos, por ejemplo, los propios de nuestros operadores o incluso los de Google debido a su fácil memorización (8.8.8.8,8.8.4.4). Estos DNS en la mayoría de las ocasiones brindan un rendimiento óptimo a nuestra red y nos permiten navegar sin problemas, sin embargo, es muy probable que terceros sistemas (servidores de nuestro ISP o empresas como Google) monitoricen nuestra actividad y nos rastreen gracias a las solicitudes DNS las webs que visitamos.

Al igual que podemos utilizar conexiones cifradas HTTPS, hay distintas formas de cifrar completamente las solicitudes DNS para evitar que terceros servidores puedan acceder a ellas y registrarlas. Antes de proceder al sencillo proceso de cifrado vamos a comprobar qué servidores intermedios acceden a nuestros datos. Para ello simplemente debemos acceder a la página web dnsleaktest.com y realizar un test básico o extendido.

Nuestros resultados son los siguientes:
           DNSCrypt_adslzone_cifrar_dns_foto_1


Como podemos ver, hay bastantes servidores que reciben nuestras solicitudes DNS y que rastrean nuestros resultados. Al haber utilizado las DNS de Google, los servidores que nos rastrean son de esta compañía, aunque si hubiéramos utilizado otros, los resultados serían acordes a los DNS que utilicemos.

Para cifrar las conexiones DNS vamos a utilizar DNSCrypt. Esta aplicación ha sido desarrollada y mantenida por la empresa OpenDNS que ofrece servidores DNS públicos alternativos a los servidores privados que la mayoría de usuarios suelen utilizar.

Para descargar DNSCrypt debemos acceder a su página web principal y descargar la versión correspondiente a nuestro sistema operativo. DNSCrypt es una aplicación de código abierto, por lo que cualquier usuario puede acceder a él sin problemas para revisarlo y comprobar la fiabilidad de ella.

Una vez descargado DNSCrypt no necesita instalación, simplemente debemos descomprimirlo y copiar la carpeta a la ubicación donde queramos guardarlo. Una vez allí ejecutaremos el archivo dnscrypt-winservicemgr.exe que será el encargado de configurar el cliente y establecer la aplicación como un servicio de Windows para que se ejecuta en segundo plano.
DNSCrypt_adslzone_cifrar_dns_foto_2

Lo primero que debemos marcar en este sistema es la tarjeta de red a la que vamos a aplicar el cifrado. En nuestro ejemplo vemos varias tarjetas. En nuestro caso la nuestra es la “Intel” pero esto puede variar en función del hardware.

A continuación configuraremos el servidor DNS a usar. Por defecto, DNSCrypt trabaja con los propios servidores DNS de DNSCrypt.eu que garantiza tráfico cifrado, DNSSEC y no almacena ningún tipo de registro de las solicitudes. Podemos elegir otros servidores DNS de la lista que nos ofrece el programa.

Para finalizar pulsaremos sobre el botón “Enable” y automáticamente se configurará nuestro sistema para empezar a enviar solicitudes DNS cifradas.
DNSCrypt_adslzone_cifrar_dns_foto_3

Con esto ya tenemos todo listo. No tenemos que volver a ejecutar este programa salvo para desinstalar el servicio o cambiar la configuración.

Repetimos el test que hicimos al principio y podemos ver cómo los servidores que nos rastrean han desaparecido quedando únicamente el servidor de DNSCrypt como receptor de los paquetes cifrados.
DNSCrypt_adslzone_cifrar_dns_foto_4

Una sencilla aplicación que nos permite, en pocos pasos, mejorar notablemente nuestra privacidad en la red.

miércoles, 24 de septiembre de 2014

Infeccion en la RED



Vivimos inmersos en las redes sociales, móviles, tablets, banca online, correo electrónico, compras a través de Internet y conexión wi-fi en cualquier lugar del mundo. No cabe duda de que nos encontramos en un mundo informatizado que ha mejorado enormemente nuestra calidad de vida y nuestras posibilidades de comunicarnos pero, ¿estamos seguros ante las nuevas tecnologías? En la red existen individuos con los conocimientos necesarios para realizar fraudes digitales y delitos que generan en la actualidad tanto dinero como el narcotráfico mundial. Disponen de un mercado perfectamente abonado de posibles víctimas: los usuarios y las empresas. Solo algunos datos: en la actualidad, Facebook cuenta con más de 1.000 millones de usuarios, Twitter con más de 500 y Linkedin supera los 200 millones; cada año las ventas de productos en Internet crecen un 19% y cada día se crean más de 73.000 nuevos virus informáticos y se envían más de 142.000 millones de correos 'spam'.

Ante esta creciente necesidad de conocer los nuevos riesgos que existen en el mundo digital en el que vivimos y, sobre todo, aprender a defendernos de ellos nace 'Mundo Hacker'. A lo largo de ocho episodios, esta serie producida por GlobbTV pone sobre la mesa nuevos peligros digitales y, ante todo, nos enseña cómo defendernos de ellos a través de casos prácticos tal y como un ciberdelincuente los llevaría a cabo. De la mano de los mejores expertos en seguridad informática y de auténticos 'hackers' conoceremos cómo actúa el cibercrimen, las mafias organizadas en Internet, los acosadores digitales, sus técnicas y medios disponibles.

Pero, sobre todo, aprenderemos como estar seguros en la red con estos expertos que han decidido trabajar para hacer nuestras vidas digitales más seguras en una batalla donde el equilibrio de fuerzas es totalmente desproporcionado en su contra.

'Mundo Hacker' contará con dos presentadores de excepción y con demostrado prestigio en el campo de la seguridad informática, el profesor universitario Antonio Ramos y la periodista especializada Mónica Valle. Ramos, es un reconocido experto en seguridad informática y hacking de sistemas que combina su labor docente en las madrileñas universidades Complutense, Alfonso X el Sabio y Rey Juan Carlos con su colaboración como consultor y formador de fuerzas de seguridad del estado, ministerios de Defensa de diferentes países en materias de 'cibercrimen' y delitos informáticos. Además, ha publicado nueve libros especializados sobre las técnicas que se utilizan para comprometer sistemas informáticos y redes de ordenadores y como protegerlos, y es asiduo ponente de seminarios y talleres sobre sistemas de seguridad informática y hacking en España e Iberoamérica. Por su parte, Mónica Valle es una periodista especializada que ha desarrollado la mayor parte de su carrera en el ámbito audiovisual, especialmente la televisión.


Crear una JavaScript Botnet con dispositivos Android

El día 1 de Septiembre se hizo noticia la vulnerabilidad publicada por el investigador Rafay Baloch detectada en dispositivos Android previos a la versión 4.4, que había sido identificada con el CVE-2014-6041. En ésta se reporta que el componente WebView de versiones anteriores al framework 4.4 permiten la evasión de su mecanismo de seguridad SOP (Same Origin Policy o Política del Mismo Origen), que es un control que deben implementar los clientes web para limitar que sólo ante determinadas circunstancias un documento web pueda cargar o modificar código en otro si estos están ubicados en orígenes diferentes.

                                                        Figura 1: Dispositivos Android vulnerables a bug del XSS Universal

El alcance de esta vulnerabilidad es notable ya que se estima que actualmente en torno al 75% de los dispositivos Android se encuentran en versiones anteriores a la 4.4, y en estos dispositivos suele estar instalado de serie el cliente Web Android Open Source Browser, el cual implementa este componente WebView vulnerable, y además el bug no se reduce únicamente a este componente, ya que como se ha hecho público en otros estudios realizados existen más clientes web vulnerables como Maxthon Browser o CM Browser.
Figura 2: Cuota de mercado de versiones de Android

En cuanto a la vulnerabilidad reportada, cabe destacar lo simple que es realizar una explotación como Prueba de Concepto ya que lo único que hace falta para evadir el SOP en este componente es incluir un byte nulo en un manejador con el código que queremos ejecutar en el contexto del origen de destino: 
                                               Figura 3: Inserción del null byte \u0000 para lograr el salto de SOP

Si accedemos a la página con el código anterior desde un navegador que contenga este componente vulnerable veremos cómo somos capaces de ejecutar el script insertado en el manejador onclick.

                                                     Figura 4: Código ejecutado saltándose la política SOP

Este método podría ser usado tanto para extraer información como el contenido HTML de una página web desde la sesión de un usuario, el envío de formularios sin el consentimiento del usuario, o  ataques de session hijacking, entre otros. 
                                      Figura 5: Explotación del bug desde Metasploit sobre una distribución Kali Linux

Sea como sea la historia de esta vulnerabilidad no acabó en su publicación y desde el día 7 de Septiembre disponemos de un módulo para Metasploit que en su configuración por defecto extraerá la cookie y el contenido HTML que el usuario ve al acceder a la página web.
                                                  Figura 6: Extracciíon de la cookie de sesión con el módulo de Metasploit

Es interesante destacar las opciones adicionales que incluye el módulo, ya que nos permitirán jugar con certificados, ejecutar nuestro propio código script si lo definimos en la opción del módulo CUSTOM_JS. Es en este punto donde los más juguetones están aprovechando para mediante una campaña, por ejemplo de spam enviado a usuarios de versiones Android vulnerables, cargar otros scripts tan interesantes como BeEF para hacerse una JavaScript Botnet de dispositivos Android, además de ofrecer otros mecanismos menos sutiles para hacer por ejemplo evasión de las cabeceras X-Frame-Options.

                                                    Figura 7: Inyección de scripts personalizados de control

Si a este grave fallo de seguridad le sumamos la fragmentación de la plataforma Android y el abandono por parte de proveedores de dispositivos y adaptaciones del sistema operativo, nos damos cuenta de que estamos ante una situación muy complicada ya que aunque se han publicado parches para corregir este fallo (aquí y aquí) un alto porcentaje de dispositivos no serán actualizados y mantendrán esta vulnerabilidad. 

viernes, 19 de septiembre de 2014

NMAP: EJEMPLOS DE USO

Hace algún tiempo, mi compañero Alejandro publicó un exitoso cheat sheet sobre Nmap, hoy me gustaría compartir unos cuantos comandos útiles a la hora de realizar un pentesting. Mucha gente asocia Nmap = Scanner de puertos, pero la verdad es qué, Nmap, permite hacer un montón de cosas mucho más avanzadas que únicamente barrer puertos






                                           Scanning básico

# nmap -sP 192.168.1.* (Ping a toda una clase C)
# nmap -sT 192.168.1.179 (Connect)
# nmap -sS 192.168.1.179 (SYN)
# nmap -sF 192.168.1.179 (FIN)
# nmap -sU -p 0-100 192.168.1.179 (UDP)

                                        Scanning avanzado 

# nmap -sO 192.168.1.179 (Procotolos)
# nmap -sV 192.168.1.179 (Servicios)
# nmap -O 192.168.1.179 (Fingerprint)
# nmap -sS -T insane 192.168.1.179 (Agresivo)
# nmap -sS -oN resultado.txt 192.168.1.179 (Logging a fichero)
# nmap -n -D192.168.1.5,10.5.1.2 192.168.1.179 (Con hosts fake)

                                     Tipos de scripts NSE

Auth --> (Procesos de autenticación)
Broadcast --> (Descubrir hosts en red local)
Brute --> (Ataques de fuerza bruta)
Default --> (Juego de tests ‘por defecto’)
Discovery --> (Descubrir nuevos hosts con pruebas avanzadas)
Dos --> (Ataques de tipo DoS)
Exploit --> (Sacar partido de vulnerabilidades)
External --> (Uso de servicios externos como ‘Whois’)
Fuzzer --> (‘Fuzzing’ de aplicaciones)
Intrusive --> (Puede causar daños al host remoto)
malware --> (Para detectar equipos infectados)
Safe --> (No hay riesgo para el host remoto)
Version --> (Detectar versiones de servicios)
Vuln --> (Búsqueda de vulnerabilidades explotables)

                           Ejemplos de Scripts NSE

# nmap --script-help "*"
# nmap -sC 192.168.1.179 (audit default)
# nmap --script "http-*" 192.168.1.179 (tests vulnerabilidades HTTP)
# nmap --script ftp-anon 192.168.1.179 (Test FTP anónimo)
# nmap --script banner 192.168.1.179 (Captura banners de servicios)
# nmap --script "not intrusive" 192.168.1.179 (Audit no agresiva)
# nmap --script "intrusive" 192.168.1.179 (Audit agresiva)
# nmap --script mysql-brute 192.168.1.179 (Fuerza bruta Mysql)

Descarga NMAP desde el sitio oficial.