Pinterest soluciona una vulnerabilidad que permitía conocer el email de sus usuarios

El uso de las redes sociales se ha convertido en algo esencial para muchos usuarios de Internet. En ellas compartimos datos con nuestros amigos, familiares y conocidos, y son precisamente estos datos el objetivo de los ciberdelincuentes. No es de extrañar pues que constantemente estemos hablando de cómo se descubren y solucionan agujeros de seguridad en aquellas redes sociales con mayor número de usuarios, puesto que la información que en ellas se almacena es muy atractiva y puede ser utilizada en posteriores ataques personalizados con mayor probabilidad de éxito.

Pinterest-logo

Uno los últimos agujeros de seguridad de los que hemos tenido constancia afectaba a Pinterest, una de las redes sociales con mayor crecimiento en los últimos años. El investigador Dan Melamed comentaba en su blog cómo, simplemente reemplazando una corta cadena de caracteres en una URL en concreto de Pinterest por un nombre de usuario o ID, podría conseguir el correo electrónico de ese usuario. Una vez obtenido el correo, un atacante podría realizar ataques personalizados con estos usuarios haciéndose pasar por Pinterest y redirigiéndolos a páginas web falsas.

Por suerte, este investigador se puso en contacto con el equipo de seguridad de esta red social y solucionaron esta vulnerabilidad rápidamente. De no haber sido así, ahora mismo las direcciones de correos de alrededor de 70 millones de usuarios de Pinterest serían fácilmente obtenibles por los ciberdelincuentes y podrían ser usadas para todo tipo de acciones maliciosas.

Queda claro que los usuarios de redes sociales se encuentran entre las víctimas favoritas de los delincuentes. Es por ello que debemos tener esto en cuenta y no bajar la guardia. Podemos empezar por limitar la información que compartimos en ellas y evitar pulsar en enlaces sospechosos aunque nos los envíen conocidos. Si seguimos estos y otros sencillos consejos evitaremos tener disgustos desagradables con nuestra información privada.

Josep Albors



Lo difícil que es ganarse la vida para un hacker de sombrero blanco reportando un problema de seguridad a Facebook

Categorias: Facebook,General,Vulnerabilidades | | Sin comentarios » |

Sinceramente, tras leer las peripecias del hacker de sombrero blanco palestino y desempleado Khalil Shreateh intentando sacarse unos durillos reportando un fallo de seguridad a Facebook, me parece haberme transportado a los años 70 y estar viendo un argumento malo de película española de Alfredo Landa, porque la historia tiene tela.

Resulta que Facebook tiene un programa para premiar a todos aquellos que contribuyan a mejorar la seguridad de la plataforma reportando bugs o errores. Y si el investigador tiene razón, Facebook le paga unos 500$, que tampoco es que sea un gran alarde, pero al menos es un dinerillo. Para los que no lo sepan, hay muchos –y muy buenos- expertos en seguridad que se dedican a investigar problemas y a reportarlo a las compañías, ganándose de esta manera un sueldo y haciendo una gran labor social. Es lo que hacen los llamados hackers de sombrero blanco o hackers éticos.

Pues bien, nuestro protagonista de hoy descubrió una vulnerabilidad que permitía a cualquiera publicar información en el muro de cualquier perfil incluso si no se le tenía como amigo y tenía privada la información. Así que ni corto ni perezoso publicó un vídeo (por cierto, un vídeo de YouTube con un tema de Enrique Iglesias) en el muro de Sarah Goodin, amiga de Mark Zuckerberg, y le envió a Facebook el reporte de su hazaña explicando cómo funcionaba el exploit:

Ashampoo_Snap_2013.08.12_02h52m42s_001_

—–Original Message to Facebook—–
From: kha****@hotmail.com
To:
Subject: post to facebook users wall .

Name: Ḱhalil
E-Mail: khal****@hotmail.com
Type: privacy
Scope: www
Description: dear facebook team .

my name is khalil shreateh.
i finished school with B.A degree in Infromation Systems .

i would like to report a bug in your main site (www.facebook.com) which i discovered it .

repro:
the bug allow facebook users to share links to other facebook users , i tested it on sarah.goodin wall and i got success post
link – > https://www.facebook.com/10151857333098885
—–End Original Message to Facebook—–

A lo que los señores de Facebook contestaron con un parco: “No vemos nada cuando hacemos clic en el link porque da un error”:

Hi Ḱhalil,
I dont see anything when I click link except an error.
Thanks,

Emrakul
Security
Facebook

Evidentemente, él contestó que no lo veían porque el muro de Sarah Goodin estaba cerrado y ellos no eran sus amigos, y que ese era el problema. Pero ignoraron su explicación diciendo que no era ningún bug:

Hi Ḱhalil,

I am sorry this is not a bug.

Thanks,

Emrakul

Security

Facebook

—–Original Message to Facebook—–

From: khali***@hotmail.com

To:

Subject: urgent : post to non friends facebook users wall .

Name: Ḱhalil

E-Mail: kh***@hotmail.com

Type: privacy

Scope: www

Description: dear facebook team .

my name is khalil shreateh.

i finished school with B.A degree in Infromation Systems .

i would like to report a bug in your main site (www.facebook.com) which i discovered.

i’am reporting this bug for the second time.

repro:

the vulnerability allow’s facebook users to share posts to non friends facebook users , i made a post to sarah.goodin timeline and i got success post

link – > https://www.facebook.com/10151857333098885

of course you may cant see the link because sarah’s timeline friends posts shares only with her friends , you need to be a friend of her to see that post or you can use your own authority .

this is a picture shows that post :

https://fbcdn-sphotos-h-a.akamaihd.net/hphotos-ak-ash4/q71/s720x720/999429_10151857336258885_2061448780_n.jpg

—–End Original Message to Facebook—–

Así que ni corto ni perezoso, como no le hacían caso, utilizó la misma vulnerabilidad que había descubierto para publicar el problema en el propio muro de Mark Zuckerberg, que en este caso sí era público y estaba abierto:

Ashampoo_Snap_2013.08.15_12h07m59s_002_

Ashampoo_Snap_2013.08.15_12h54m04s_004_

Solo unos minutos después, un ingeniero de Facebook se puso en contacto con él pidiéndole más detalles acerca de la vulnerabilidad.

vulnerabilidad-en-facebook

Y a continuación, le suspendieron la cuenta, notificándole que lo habían hecho como medida de precaución. Y que, además, que no le iban a pagar por esta vulnerabilidad, dado que había violado los Términos del Servicio al hacer uso del agujero de seguridad en su demostración:

Dear Khalil,

Facebook disabled your account as a precaution. When we discovered your activity we did not fully know what was happening. Unfortunately your report to our Whitehat system did not have enough technical information for us to take action on it. We cannot respond to reports which do not contain enough detail to allow us to reproduce an issue. When you submit reports in the future, we ask you to please include enough detail to repeat your actions.

We are unfortunately not able to pay you for this vulnerability because your actions violated our Terms of Service. We do hope, however, that you continue to work with us to find vulnerabilities in the site.

We have now re-enabled your Facebook account.

Joshua

Security Engineer

Facebook

Su cuenta está restablecida, y Khalil todavía tuvo tiempo, antes de que la historia circulara, de hacer una cosa más: un vídeo en el que, por enésima vez, demostraba cómo aprovechar la vulnerabilidad de Facebook:

Bien… Al final la jugada a este joven ingeniero le ha salido redonda, porque Facebook no le ha pagado los 500$ que prometía de recompensa, pero está siendo mundialmente conocido gracias a que la historia ha saltado a los medios de comunicación de todo el mundo. Y… aprovechando que el Pisuerga pasa por Valladolid, este chaval ya está pidiendo visitas a un sitio que le comisiona por llevar tráfico.

Si Facebook hubiera jugado justamente, no se hubiera visto envuelto en un escándalo que no ha hecho más que evidenciar que intentar timar a los que intentan ayudar no es buena política. No entramos a valorar si el bug de seguridad es o no –aunque parece que sí-, dado que no hemos tenido la oportunidad de evaluarlo, pero un poco más de amabilidad hubiera bastado para que la historia no hubiera corrido como la pólvora.

Por supuesto que Facebook no ha hecho ninguna alusión al respecto en sus blogs oficiales, pero sí ha hecho un comentario en un foro de desarrolladores en el que, a su manera, confirman el error y justifican el porqué han actuado como lo han hecho: “Hacer explotar errores para impactar a los usuarios no es un comportamiento que entre dentro de lo que se denomina ‘sombrero blanco’. En este caso, el investigador usó el error que descubrió para poner mensajes en los muros de varios usuarios sin su consentimiento”.

En estos casos es cuando, al final de la peli, Alfredo Landa aparece en escena y con su cara de “aquí no ha pasado nada” pregunta aquello de… “y la familia, ¿bien?” ;-). That’s life!

Yolanda Ruiz



Vulnerabilidad en Joomla afecta a sitios con versiones obsoletas

Categorias: actualizaciones,Vulnerabilidades | | Sin comentarios » |

El conocido gestor de contenidos (CMS) Joomla es usado por muchos usuarios para crear, modificar o eliminar contenido de un sitio web. Es por ello que el reciente descubrimiento de un exploit que permite inyectar código malicioso en aquellas webs con versiones obsoletas de Joomla supone un importante riesgo de seguridad si no se toman las medidas adecuadas y se actualiza este software a las versiones más recientes.

En un parche publicado el pasado día 31 de julio se solucionaba una importante vulnerabilidad que permitiría a un atacante inyectar contenido malicioso en webs que utilicen una versión vulnerable de Joomla, permitiendo así que estas web legítimas descargasen malware o se convirtieran en sitios de phishing. No obstante, a día de hoy aún son muchas las webs que no han aplicado este parche y, por lo tanto, siguen siendo vulnerables.

eset-nod32-españa-joomla-vulnerabilidad

Las versiones de Joomla que se ven afectadas son la 2.5.13 y versiones 2.5.x anteriores, así como también la 3.1.4 y versiones 3.x anteriores. Según la empresa de seguridad Versafe, descubridora de este fallo de seguridad, un usuario sin privilegios podría ser capaz de subir cualquier tipo de fichero .PHP a una web vulnerable con tan solo añadir el símbolo “.” al final del nombre de los ficheros PHP.

La facilidad con la que es posible subir ficheros maliciosos al gestor de medios de una web que utilice Joomla depende de la versión utilizada. Aquellos sitios con versiones vulnerables 2.5.x o 3.x necesitan que un usuario sin privilegios con una cuenta registrada en el servidor añada, como hemos señalado, un punto al final del nombre del fichero que desee subir. En cambio, en versiones obsoletas como la 1.5.x, no es ni siquiera necesario contar con una cuenta de usuario para conseguir aprovecharse de esta vulnerabilidad.

La popularidad de Joomla hace que el número de webs susceptibles de verse afectadas por este agujero de seguridad sea relativamente elevado. Es por ello que los administradores de estas webs deben solucionar cuanto antes esta vulnerabilidad, instalando el parche de seguridad para evitar que su web sea comprometida por un atacante y suponga un riesgo para sus visitantes.

Josep Albors



Hackeo de automóviles al estilo español

Ha sido, sin duda, uno de los temas estrellas de esta edición de la feria de seguridad Defcon, celebrada este fin de semana. Desde Charlie Miller con su presentación acerca de cómo tomar el control total de los sistemas de un Toyota Prius y de un Ford Escape, hasta la charla ofrecida por Jaso Staggs sobre cómo hackear un Mini Cooper. Pero sin duda, la charla sobre este tema que más nos ha gustado ha sido la de Alberto García Illera y Javier Vázquez Vidal, tanto por la información proporcionada como por el amplio número de vehículos que se ven afectados, por no mencionar el hecho de que han puesto a disposición de toda la comunidad de investigadores los planos de construcción de uno de los modelos de dispositivos de control del automóvil junto con el software.

hackingcoches

Alberto es un viejo conocido, ya que el año pasado tuvimos la oportunidad de asistir a una de las charlas más importantes, donde demostró varias vulnerabilidades en el sistema de transporte ferroviario en España. Este año repetía con un tema no menos polémico: la manipulación de los ordenadores que utilizan los automóviles actuales para controlar todos sus sistemas. En su charla explicó junto a su compañero cómo consiguieron interceptar las comunicaciones que las unidades de control (ECU por sus siglas en inglés) emplean para comunicarse entre ellas y modificarlas para conseguir que el automóvil realizara lo que ellos quisieran sin importar las órdenes dadas por el conductor.

Las ECU de los coches son responsables de toda la gestión de los múltiples sistemas electrónicos que incorporan los automóviles actuales, así como también de almacenar grandes cantidades de información como, por ejemplo, los fallos producidos. Contienen unas unidades de memoria flash o EEPROM con un firmware que puede ser modificado si así lo cree oportuno el fabricante. No obstante, la seguridad de las comunicaciones que realizan las diferentes ECU presentes en un automóvil no es todo lo robusta que debería y estas comunicaciones pueden ser interceptadas.

Es importante saber que muchos de los parámetros de un automóvil, como la potencia o el consumo, pueden modificarse al alterar valores en estas ECU: es lo que ocurre cuando llevamos el coche al taller y lo conectan a un ordenador para ver la diagnosis. Asimismo, los fabricantes suelen emplear dos tipos de protocolos de comunicación entre ECU: el más moderno CAN BUS y el antiguo K-LINE. También es habitual que lancen actualizaciones de firmware de estos sistemas de control que solucionan errores o mejoran el rendimiento.

Tanto Alberto como Javier afirmaron en la charla que están trabajando en un firmware universal capaz de manejar todos los tipos de ECU y permita también añadir nuevos modelos sin tener que actualizar el firmware.

Actualmente, existen varias herramientas que permiten modificar parámetros de ECU individuales pero son caros (a partir de mil euros) y necesitan de conexión obligatoria a un PC. Ellos presentaron su propio dispositivo con un coste de fabricación de tan solo 20 euros, portátil y que no necesita de conexión a un PC para funcionar, además de no estar atado a ningún modelo en concreto de vehículo, lo que les permite abarcar cientos de modelos diferentes en el mercado.

Alguna de las características que enseñaron incluían la gestión remota desde dispositivos Android sólo con añadir un módulo de comunicación por Bluetooth (con un coste de solo 60 céntimos más). Además, se comentó la posibilidad de añadir conexión 3G al dispositivo y conectarlo al puerto ODB, situado normalmente en las ruedas, por lo que, teniendo acceso físico al vehículo e instalando uno de estos dispositivos, en teoría se podrían llegar a controlar remotamente muchas de las funciones del mismo.

Esta pareja de jóvenes investigadores quisieron destacar la ayuda que supondría un dispositivo de este tipo a la hora de analizar accidentes de tráfico, ya que también permite acceder a los datos almacenados en los sensores y ECU (incluyendo la velocidad, RPM, frenos y ABS, etc.) y que, desde 1994, incorporan todos los vehículos en el sistema CDR (Crash Data Retrieval) y que normalmente se almacenan en la ECU del airbag.

El hecho de disponer de un dispositivo tan barato como el presentado permitiría ahorrar muchos costes a las unidades encargadas de investigar los accidentes de tráfico ya que las unidades de análisis existentes (principalmente las CDR Premium Tool del fabricante BOSCH) tienen un precio elevado (unos 7.000 euros). Tan sólo debería conectarse el dispositivo al puerto ODB situado en las ruedas, al ECU del airbag o leer directamente las memorias EEPROM que poseen los automóviles y que actualmente almacenan esta información sin cifrar.

hackingcoches2

Los jóvenes investigadores españoles terminaron la charla comentando las múltiples conexiones inalámbricas (bluetooth, infrarrojos, Wi-Fi) que incorporan varios modelos actuales, lo que abriría un nuevo vector de ataque que ya ha empezado a ser estudiado por algunos investigadores y que eliminaría la necesidad de acceder físicamente al automóvil para hackearlo.

Ofrecemos aquí un extracto de la charla que mantuvimos con Alberto García Illera y Javier Vázquez Vidal.

¿Qué os motivó a empezar esta investigación?

Todo empezó por hacerle un favor a un amigo. Javier es especialista en hardware y lleva tiempo modificando sistemas de control integrados en los coches para conseguir, por ejemplo, mas potencia, una práctica habitual entre los aficionados al tunning. Uno de sus conocidos le pedía constantemente que modificara varios de esos parámetros, algo que resultaba engorroso puesto que tenía que trasladarse hasta donde tenía el coche, conectar el ordenador a uno de los puertos disponibles de los que disponen los automóviles para realizar tareas de diagnóstico y modificar aquellos parámetros que pedía.

Es entonces cuando surgió la idea de fabricar un sencillo y barato dispositivo que permitiera a cualquier persona, sin necesidad de contar con muchos conocimientos, modificar estos parámetros a voluntad y sin tener que utilizar un PC.

En ese momento comentamos el proyecto a Alberto y a partir de aquí empezamos a descubrir que todos los componentes electrónicos de los automóviles se encuentran conectados.

¿Os sorprendisteis con los resultados de esta investigación?

No esperábamos obtener tanta información y nos asustamos al contemplar la posibilidad teórica de que alguien pueda controlar remotamente nuestro automóvil. También nos sorprendimos al ver la gran cantidad de datos que almacenan las ECU de los automóviles actuales y enseguida pensamos en cómo esta información podría llegar a ayudar a resolver casos de accidentes. Incluso contactamos con un experto en los Estados Unidos conocido por sus estudios sobre estos sistemas de control pero no fue capaz de interpretar la información que habíamos obtenido en nuestra investigación.

hackingcoches3

Con toda la información que se ha ofrecido estos días en la Defcon alrededor de este tema, ¿creéis que supone un riesgo para los conductores?

Siempre existe el riesgo de que pueda utilizarse de forma maliciosa para provocar accidentes y quitarse de en medio a alguien molesto. En teoría, la posibilidad está ahí y hay incluso quien afirma que el accidente de automóvil que terminó con la vida de Lady Di podría haber sido consecuencia de un sabotaje, pero nosotros no conocemos ningún caso en los que se hayan aplicado las técnicas que hemos desarrollado para provocar un accidente.

¿Habéis contactado con los fabricantes de los vehículos afectados?

De momento no, porque no vamos a liberar la parte del código que permite manipular y realizar ataques a los sistemas de control de los vehículos. No obstante, sabemos que hay otra gente que ha investigado este tema o lo está investigando (solo hay que ver la cantidad de charlas que se han producido en la Defcon) y los fabricantes deberían realmente mejorar las comunicaciones y la seguridad entre las ECU. Si sólo aplican parches menores no será difícil volver a encontrar fallos de seguridad.

Asimismo, los fabricantes de automóviles deberían hablar con los investigadores que han hecho públicos sus descubrimientos y colaborar con ellos para conocer cuáles son los fallos presentes en los sistemas de control integrados en los automóviles y poder solucionarlos. Hay que tener en cuenta que el principal problema reside en un fallo de diseño de estos sistemas.

¿Qué información vais a entregar a la comunidad de investigadores?

Vamos a liberar los planos de diseño y el código del modelo de caja de control más básico, aquélla que sólo intercepta y modifica las comunicaciones realizadas con el protocolo K-LINE. Posteriormente pondremos a la venta el kit de construcción y la versión lista para utilizar del modelo más avanzado que permite analizar e interferir en las comunicaciones de los protocolos K-LINE y CAN BUS.

Hay que recordar que nosotros somos investigadores y estamos a disposición de cualquier fabricante de automóviles que quiera plantearnos consultas o necesite ayuda para solucionar este problema. Asimismo quisiéramos recordar los beneficios de contar con un dispositivo de este tipo tan barato, como por ejemplo en el análisis de accidentes de tráfico, ya que puede ayudar a determinar puntos clave como la velocidad a la que iba el vehículo antes del accidente o comprobar si fallo alguno de los sistemas de seguridad del automóvil.

Alberto y Javier son un ejemplo de los importantes descubrimientos en materia de seguridad informática aplicados a cada vez más áreas de nuestra vida diaria. Esperamos que sus investigaciones hayan atraído la atención de los fabricantes de automóviles y ayude a mejorar sus seguridad. Por nuestra parte, esperamos encontrárnoslos pronto en algún otro evento para saber en que andan metidos.

Josep Albors

@JosepAlbors



Crónica desde la Defcon: Día 3 y último

Empezábamos la mañana a una charla/debate sobre la percepción que tiene la sociedad de los hackers, como son vistos de forma radicalmente diferente dependiendo de a quien se le pregunte. Las persecuciones de hackers e informadores como Snowden o Assange ha puesto en el punto de mira de las autoridades a estos investigadores, considerados por ellos mismos y parte de la sociedad como necesarios para mejorar la seguridad del mundo digital. Se nos ha invitado a los asistentes a apoyar esta causa para así permitir que eventos como Defcon se sigan celebrando.

A continuación hemos podido asistir a la charla ofrecida por los investigadores Brian Gorenc y Jasiel Spelman, quienes han analizado las múltiples vulnerabilidades aparecidas en Java en los últimos tres años. Java se ha convertido sin duda en el blanco preferido de muchos atacantes como se ha podido demostrar en los datos mostrados en esta charla, datos que además incluían información obtenida del programa Zero Day Initiative, donde se recompensa económicamente a aquellos investigadores que reporten vulnerabilidades.

defcon12

Tras repasar la arquitectura de Java y de sus subcomponentes hemos comprobado que muchos de los problemas vienen debido a al manejo de los privilegios en la “sandbox” que implementa Java. Además, el proceso de publicación de parches de seguridad sigue resultando demasiado lento (cada tres meses) y esto permite que los atacantes dispongan del tiempo suficiente para sacar partido a sus exploits.

Por si fuera poco, los usuarios tampoco ponen de su parte y el tiempo que  tardan en actualizar sus instalaciones de Java puede fluctuar mucho, llegándose incluso a superar el año en algunos casos, algo que deja expuesto nuestros sistemas demasiado tiempo para que un atacante aproveche este agujero de seguridad. Solo hay que ver los resultados de concursos como el Pwn2Own, donde las vulnerabilidades en Java coparon los cuatro primeros puestos del ranking para darse cuenta del peligro que suponen tener instalada una versión vulnerable de Java.

Ante este panorama, los investigadores han propuesto a Oracle, propietaria de Java, que lance parches de seguridad más frecuentemente, evite la superficie de ataque de su software y mejore la seguridad de su sandbox para que no sea fácilmente esquivable. Tampoco hay que olvidar a los usuarios, quienes han de tomar conciencia del riesgo de seguridad que supone tener instalado una versión obsoleta de este software.

A continuación, el investigador Remy Baumgarten, ha comentado la creciente variedad de amenazas que afectan a sistemas MAC OS e iOS y el riesgo que esto supone tanto para usuarios domésticos como corporativos. Aquellos que quieren analizar binarios Mach-O (formato de ficheros ejecutables en Mac) se encuentran con la dificultad de no disponer de una herramienta que ayude a analizar estos ficheros, algo necesario para identificar rápidamente contenido malicioso.

Por eso, este investigador ha presentado Mach-O Viz, una herramienta interactiva de visualización de datos que ayudará a los investigadores a detectar archivos Mach-O potencialmente peligrosos en una red, estaciones de trabajo o dispositivos móviles de sus usuarios. Esta herramienta cuenta con una interfaz gráfica sencilla y accesible desde una web y permite obtener gran cantidad de información como la actividad que ese fichero sospechoso genera en la red, un visor hexadecimal del código, un desensamblador, etc. Sin duda, una utilidad que será muy apreciada por los analistas de malware en sistemas Mac OS e iOS.

Una de las charlas sobre privacidad que más esperábamos es la que han presentado Drea London y Kyle O’Meara sobre el funcionamiento de ciertas aplicaciones que dicen garantizar la destrucción de los mensajes enviados pasado un tiempo establecido por el usuario. En esta presentación hemos podido observar como la información enviada y recibida por aplicaciones como Snapchat puede ser recuperada siempre que se cumplan una serie de condiciones, algo que debería hacer reflexionar sobre su privacidad a aquellos usuarios que las utilizan.

Tras tomarnos un rápido tentempié hemos acudida a la charla ofrecida por el investigador Amr Thabet donde nos ha presentado un sistema que se encuentra desarrollando y que responde al nombre de Explotation Detection System. Este sistema pretende ser la evolución lógica de los IDS e IPS actuales y entre sus finalidades encontramos alguna tan útil como la detección de ataques que utilicen exploits desde los ordenadores de la propia empresa hacia sus servidores.

defcon14

Este novedoso sistema no tiene como finalidad detectar malware mediante firmas si no que se centra en detectar si se está utilizando un exploit para atacar a nuestro sistema analizando la memoria del mismo. Para ello utiliza varias técnicas como la mitigación cooperativa, una capa adicional de monitorización del sistema, alerta ante comportamientos sospechosos de algunos procesos o un sistema de puntuación para marcar aquellas actividades potencialmente peligrosas.

Según su creador es capaz también de detectar todo tipo de Shellcodes, incluyendo aquellas que se pueden encontrar en el conocido framework Metasploit. Entre las futuras mejoras que ha prometido implementar encontramos la inclusión de un servidor central que se encargaría de recibir alertas y avisos y monitorizar la actividad de posibles exploits en las máquinas cliente.

En la charla sobre análisis forense ofrecida por John Ortiz hemos podido ver cómo un malware puede ocultar información en archivos legítimos del usuario o del propio sistema operativo. Usando la aplicación Footprint hemos visto como se comparan diferentes estados del sistema, anterior y posterior a la infección para averiguar que archivos han sido modificados. Otra herramienta que hemos visto en acción ha sido Writte Bitmap Histogram, la cual permite averiguar si un fichero ha sido alterado por un malware comparando el histograma antes y después de la infección.

Y para cerrar esta sesión de charlas, hemos asistido a la ofrecida por el investigador Alejandro Cáceres que versaba sobre la posibilidad de realizar ataques de forma masiva usando para ello mecanismos de computación distribuida de código abierto. Usando plataformas como Apache Hadoop y un cluster de no necesariamente muchos ordenadores, el investigador ha comentado como se pueden atacar grandes cantidades de sitios web en un corto espacio de tiempo, llegando a comentar un proyecto en el que están trabajando y que pretende revisar la nada despreciable cifra de 250 millones de sitios web con agujeros de seguridad.

defcon15

Para ello han utilizado la herramienta de desarrollo propio Punk Spider, que a su vez está compuesta por varios módulos. Por una parte tenemos Punk Scan, responsable de localizar direcciones web en busca de vulnerabilidades en las mismas. Se trata de una herramienta sencilla y con pocas líneas de código pero que, gracias a la computación distribuida, se convierte en algo realmente potente. En la demostración que nos ha ofrecido ha analizado y registrado 65 dominios web vulnerables en solo 45 segundos, usando para ello únicamente 10 nodos con 10 hilos de proceso cada uno.

Esta técnica permitiría revisar grandes cantidades de direcciones web en busca de vulnerabilidades para realizar ataques a gran escala (p.ej. a países), aunque no es su única utilidad. Usando otro módulo conocido como Punk Crack, se pueden utilizar los sistemas de computación distribuida de Amazon, por ejemplo, para conseguir averiguar contraseñas complejas en poco tiempo. Obviamente, cuantos más recursos económicos destinemos a alquilar servidores, menor será el tiempo necesario para averiguar la contraseña.

Entre las utilidades que una herramienta tan poderosa como esta puede tener, el investigador ha querido destacar su gran utilidad en tareas de pentesting a gran escala utilizando hardware antiguo y prevenir así ataques a gran escala.

Cabe destacar que este investigador ha tenido el mérito añadido de realizar su charla tras ingerir en directo grandes cantidades de alcohol y recibir varios golpes de remo por parte de los voluntarios de la Defcon. Y es que hay una norma no escrita que dice que si eres presentador por primera vez en la Defcon has de beber obligatoriamente durante tu charla. En su caso ha tenido que beber dos veces por haber realizado dos charlas en su primer año y tomar un trago más en solidaridad con otra presentadora. Una costumbre divertida que añade algo más de diversión a estas charlas y que hemos grabado en un video que publicaremos próximamente.

defcon16

Y por nuestra parte eso es todo desde la Defcon. Ha sido un placer participar en un ambiente tan abierto y dispuesto a compartir información como es la Defcon un año más y esperamos volver el año que viene para ofrecer más información interesante. Durante los próximos días y semanas iremos ampliando la información sobre aquellas charlas que nos han parecido más interesantes, complementadas con fotos y videos que hemos tomado a lo largo de estos días.

A nosotros solo nos queda disfrutar de nuestras últimas horas en Las Vegas y prepararnos para el largo viaje de regreso a España que nos espera. Muchas gracias a todos por seguir nuestras crónicas en este blog. Os esperamos en el próximo evento de seguridad que cubramos.

 Josep Albors

 David Sánchez



Crónica desde la Defcon: Día 2

Empezábamos el segundo día de la Defcon con una charla muy esperada sobre uno de los temas más recurrentes de estos días. Las vulnerabilidades presentes en los sistemas de control de muchos automóviles actuales y de cómo un atacante podría interceptarlas y modificarlas para obligar al vehículo a realizar operaciones peligrosas.

Nadie mejor para explicarnos estas vulnerabilidades y como se podrían modificar las ordenes que los sistemas de control (ECU) de los coches reciben que Alberto Garcia Illera  y Javier Vazquez Vidal, dos investigadores españoles que han conquistado a la audiencia desde el primer minuto de su charla.

defcon6

Complementando la información que proporcionó Charlie Miller en la charla del primer día, esta pareja de jóvenes investigadores han explicado como pasaron de “trucar” chips de control en vehículos a requerimiento de amigos aficionados al tunning a descubrir todo un nuevo mundo poblado por sensores, activadores y ECU  comunicándose entre sí. Como no podía ser de otra forma, estos investigadores consiguieron averiguar como se transmitía la información entre estos componentes y como interceptar y modificar esta información.

Tras un duro trabajo de investigación de hardware y software consiguieron desarrollar un dispositivo con un coste de apenas 26 dólares en contraposición de los caros dispositivos usados por profesionales cuyo coste se cifra en varios miles de dólares. Este dispositivo permite modificar parámetros de configuración o las comunicaciones del automóvil sin necesidad de disponer de un PC y ya han anunciado que pondrán a disposición de la comunidad los planos de uno de los modelos más básicos así como también el software que lo gestiona.

Es importante destacar la relevancia de esta investigación puesto que no cubre solo un modelo en concreto sino que puede aplicarse a cientos de ellos. Además la publicación de los planos para construir el dispositivo junto con su software es algo que abre todo un nuevo campo de investigación y que podría ayudar, por ejemplo a determinar las causas de un accidente analizando los datos almacenados en las ECU. Por eso ampliaremos la información de esta charla en un post posterior complementado con una entrevista a esta pareja de brillantes investigadores españoles.

Seguidamente, uno de los ponentes españoles más internacionales como es Chema Alonso presento a la audiencia de las vegas su herramienta Evil Foca. Debido a que los sistemas Windows funcionan con IPv6 por defecto, aunque muchas de las redes aun no están preparadas para ello, Chema ha mostrado como realizar varios ataques del tipo Man-in-the-middle, SLAAC o Web Proxy Autodiscovery bajo IPv6 y utilizando Evil Foca de forma sencilla e intuitiva.

defcon7

En otra de las charlas de uno de los temas de moda como es la seguridad en automóviles, el investigador Christie Dudley ha hablado del sistema DSRC, pensado para enviar información desde automóviles en intervalos de uno a 10 segundos. En primer lugar ha comentado el asunto de la privacidad de estas comunicaciones, empezando por la identificación del conductor y sus formas de autentificarse en el sistema. No obstante sigue existiendo el problema de saber quien accede a estos datos, poniendo el investigador el ejemplo de si la policía podría acceder a esta información si cometiésemos alguna infracción de tráfico.

Siguiendo con este tema, el investigador Jason Staggs ha analizado la manera de interferir en los sistemas de un Mini Cooper a través del ya familiar para nosotros CAN Bus. Se ha vuelto a poner en manifiesto la carencia de seguridad tanto de las unidades de control (ECU) presentes en cada vehículo como de las comunicaciones entre estas ECU, los sensores y los activadores que todos la mayoría de coches actuales poseen. Una vez más, se ha demostrado con otro modelo como un atacante podría interferir en estas comunicaciones y enviar órdenes maliciosas a un vehículo que lo pusieran en peligro.

A continuación hemos enlazado una serie de charlas que giraban alrededor de la seguridad en Android. Primero, el investigador Craig Young ha demostrado como, a través de una aplicación maliciosa que el mismo creó y que estuvo disponible cerca de un mes en Google Play conseguía robar los datos de autenticación en cuentas de Google a través de los tokens. Una vez conseguida en la información ha demostrado cómo de fácil resulta acceder a los todos los datos (que no son pocos) que Google almacena en sus múltiples servicios e incluso cambiar muchos de los permisos u opciones.

A continuación, Jaime Sánchez, otro investigador español conocido entre otras cosas por su trabajo en la web Seguridad Ofensiva, ha hablado del desarrollo de una herramienta para Android que está desarrollando y que puede ser de gran ayuda para detectar la mayoría de ataques conocidos y amenazas en el sistema Android.

defcon9

Esta herramienta, que podría considerarse tanto un IDS e IPS de red permite analizar, procesar y modificar los paquetes de datos que se envían y reciben en un terminal Android en tiempo real. Además se pueden realizar filtrados de paquetes y descartar aquellos que resulten sospechosos, incluyendo aquellos originados por el uso de otras herramientas como Metasploit para Android. Incluye también bases de firmas para detectar aplicaciones maliciosas que se conecten a centros de mando y control aunque, siguiendo el patrón y las comunicaciones de muestras de malware se pueden detectar y bloquear estas amenazas sin mayores problemas. Este es, sin duda, un desarrollo que hemos de seguir muy de cerca y por eso le hemos pedido a Jaime que nos lo explique en una entrevista detallada que publicaremos en los próximos días.

Siguiendo con la representación española en la Defcon, le tocaba ahora el turno a Pau Oliva con su charla donde describía las características del sistema de SEAndroid para mitigar el daño realizado por aplicaciones maliciosas pero también de sus vulnerabilidades. Esto es debido a que la implementación de este sistema por parte de los fabricantes de dispositivos Android presenta fallos que pueden ser aprovechados por atacantes.

defcon10

Pau ha enumerado varias de estas vulnerabilidades y ha realizado demostraciones de cómo se puede desactivar el modo “enforced” que se obtiene con SEAndroid, pasando a un modo “permisivo” que hace más vulnerable el dispositivo. Utilizando una herramienta bautizada como SEAKiller ha demostrado cómo, simplemente reiniciando un terminal con esta medida de seguridad implementada, esta puede ser desactivada durante el arranque al haber un espacio de tiempo en el que el terminal se encuentra en modo permisivo. Otro tanto más para los investigadores españoles que tanto han dado que hablar en esta jornada de la Defcon.

Por último y para despedir el día, hemos asistido a una charla realizada por Hunter Scott donde ha explicado a la audiencia qué son las redes de radio cognitivas, cómo funcionan, sus beneficios y sus vulnerabilidades. Estas redes de radio poseen características interesantes puesto que cada nodo puede informar a los demás y a la torre de control de su situación para que así se tomen decisiones acertadas. Además y viendo el estado saturado y mal aprovechado del espectro de audio (problema que se acrecentará en próximos años por el incremento de dispositivos conectados a redes inalámbricas) es más que probable que este espectro de ondas sea aprovechado para dar paso a nuevos canales de transferencia de datos.

defcon11

Sin embargo, tal y como ha comentado este investigador, hay que tener en cuenta una serie de problemáticas que pueden afectar al correcto funcionamiento de estas redes, como son, por ejemplo, todos los ataques derivados de nodos maliciosos en una red. Estos nodos maliciosos podrían hacer, por ejemplo, que una información no llegase a su destino o que lo hiciese de forma incorrecta. Por eso es necesario mejorar este sistema para poder utilizar de forma segura este espectro de radio y evitar la saturación de las redes inalámbricas en un futuro cercano.

Una vez terminada esta jornada de conferencias en la Defcon, los corresponsales de ESET España nos hemos dirigida ver que pasa en alguna de las fiestas o actividades nocturnas que se celebran en la Defcon, aunque sin abusar ya que mañana hay que estar despierto temprano para no perderse ninguna de las charlas a primera hora.

Josep Albors

David Sanchez



Crónica desde la Defcon: Día 1

Una vez terminada la BlackHat era hora de empezar otra de las convenciones de seguridad más esperadas. Hablamos, como no, de la Defcon que, desde hoy hasta el domingo estará celebrándose en Hotel Rio de las Vegas. Tal y como hicimos en BlackHat, cada día ofreceremos un resumen de las charlas a las que hayamos asistido para que nuestros lectores puedan hacerse una idea de los temas que se tratan.

 La primera Charla de la mañana prometía y es que Charlie Miller nunca defrauda. Junto con su compañero Chris Valasel ha expuesto los resultados de una dura, a la par que divertida investigación, sobre dos modelos de coches con muchas funciones automáticas entre las que se incluyen el aparcamiento automático, control de crucero o frenado automático, entre otros. Los coches elegidos fueron dos modelos de 2010 del Toyota Prius y Ford Escape.

defcon1

 Tras una primera fase donde se identificaron las ECUS o unidades de control electrónicas (encargadas de controlar todos los aspectos del automóvil a través de sensores y activadores) se pasó a analizar que tipo de código utilizaban estas unidades de control y cómo se comunicaban entre ellas. Para ello tuvieron que adquirir varias piezas de hardware, o incluso construir alguna, y seguidamente, aprender a utilizar el software apropiado.

No obstante, todo este esfuerzo mereció la pena puesto que, a continuación, esta pareja de investigadores nos mostró una serie de divertidos vídeos donde nos mostraban (con accidentes incluidos) como conseguían engañar a la mayoría de sensores del coche, incluyendo el velocímetro, el sistema de frenado, sistema de dirección, aceleración, bocina, luces e incluso el ajuste del cinturón. Sin duda una de las mejores charlas de lo que llevamos de Defcon tanto por su contenido como por su puesta en escena.

De un tema similar se ha hablado a continuación en la charla titulada “Hackeando dispositivos no tripulados”. En esta charla hemos repasado varios de estos vehículos, desde drones militares hasta repartidores automatizados de pizzas o proyectos tan conocidos como el Google Car. Se han analizado los diferentes sistemas de navegación y control de los que disponen estos vehículos y que incluyen cámaras, sensores de movimiento, radar por laser o LADAR, radar de ondas o brújulas, entre otros.

En cada uno de estos sistemas, el investigador se ha detenido a comentar sus pros y contras, explicando como llegar a engañarlos con técnicas sencillas y fallos sufridos por varios de estos vehículos. Ha cerrado la charla animándonos a todos los presentes a colaborar en la construcción de vehículos no tripulados más eficaces y seguros, porque según este investigador, este tipo de vehículos son el futuro más cercano.

defcon2

Seguidamente hemos asistido a una charla donde se ha presentado una investigación empezada en el Tor Camp 2012 y donde se ha analizado la información almacenada en las tarjetas SIM, que, como ya pudimos comprobar en BlackHat, contienen mucho más que nuestro número de teléfono o agenda de contactos. Estos investigadores decidieron analizar la posibilidad de instalar aplicaciones en estas tarjetas y averiguaron que era posible ejecutar aplicaciones usando solamente el propio chip de la SIM sin que el teléfono intervenga para nada.

Las aplicaciones pueden ser instaladas remotamente de forma transparente al usuario y son soportadas por la mayoría de SIM actuales, pudiendose instalar varias aplicaciones. Tal y como vimos hace un par de días  en BlackHat, esto puede ser aprovechado de forma maliciosa por un atacante e instalar aplicaciones con malware e incluso conseguir formar una botnet a partir de teléfonos infectados a partir de la tarjeta SIM. Sin duda un nuevo vector de ataque orientado a la telefonía móvil que tendremos que seguir muy de cerca.

Siguiendo con la temática de dispositivos móviles, hemos asistido a una charla con un tema que le sonara a más de uno de nuestros lectores por las veces que lo hemos tratado en este blog. Investigadores de la empresa de seguridad para móviles Lookout han analizado como está estructurado todo el fraude alrededor de aplicaciones maliciosas que envían mensajes SMS a números Premium de alto coste sin aprobación del usuario.

Para ello han analizado varias familias de malware para Android con esta característica y desgranado toda la estructura montada alrededor de los mismos. Empezando por los desarrolladores y sus programas de afiliados, pasando por aquellos que participan de estos programas y promocionan este tipo de malware a través de enlaces en sus webs o en redes sociales, hasta llegar a las víctimas y las formas que tienen de infectarse. Si duda un análisis muy detallado y de gran interés para todos aquellos que nos dedicamos a luchar contra este tipo de amenazas.

defcon3

Tras el sugerente título de “Permisos para ocultar tu porno” hemos asistido a una charla donde se ha vuelto a demostrar que la seguridad por oscuridad no es para nada segura. En esta charla se ha hecho un repaso a la seguridad de diferentes tipos de archivos de Windows, realizando a continuación una serie de demostraciones donde se ha saltado esa supuesta seguridad. Conocíamos de antemano las técnicas de esteganografía, técnica que permite ocultar, por ejemplo, datos en imágenes y aquí hemos podido ver varios ejemplos, mostrándose además como ocultar datos dentro de volúmenes NTFS a través de una herramienta que lo permite.

Tras la comida nos hemos dispuesto a encarar la sesión vespertina empezando por nuevas técnicas de ataque al protocolo IPv6. Los dos jóvenes investigadores encargados de dar esta charla han repasado cómo en Windows Vista  y 7, el uso de este protocolo viene activado por defecto, pudiéndose realizar ataques del tipo SLAAC. En Windows 8 este tipo de ataques solo funcionan parcialmente.

No obstante con un script desarrollado por estos investigadores es posible replicar este tipo de ataques también en Windows 8, siendo los requisitos para que se produzca bastante sencillos. Esto es, conocer el nombre de una de las interfaces (p.ej. eth0) y tener disponible IPv4 en la red de la víctima. Gracias a la herramienta SuddenSix desarrollada por esta pareja de investigadores han conseguido reducir notablemente el tiempo para interceptar y descifrar los paquetes enviados bajo IPv6 en sistemas Windows actuales.

A continuación nos hemos dirigido al escenario Pen&Teller dentro del mismo hotel para asistir un par de charlas. Empezando por la ofrecida por el grupo GoogleTV Hackers, este grupo de investigadores nos han puesto al día en lo que respecta  a técnicas de hacking de los diversos modelos disponibles de Google TV disponibles en el mercado americano, incluyendo tanto los de la primera y segunda generación de una amplia variedad de fabricantes. Siguiendo estos procedimientos se consigue liberar el dispositivo, instalar un firmware personalizado e incluso añadir funcionalidades que no vienen de fábrica.

Entre estos dispositivos también se incluyen Smart TV de fabricantes como LG o Sony que también pueden ser modificadas para ver su lista de funciones aumentada y con un firmware libre y abierto que permite tener el control total del dispositivo. No podía faltar en esta charla el recientemente lanzado Google Chromecast, al cual los investigadores ya han tenido acceso y han conseguido analizar, detectando que tiene muchas similitudes con modelos anteriores de GoogleTV y, por lo tanto, vulnerabilidades parecidas. Un grupo de investigadores a tener en cuenta por el trabajo que ofrecen de forma gratuita a todos aquellos usuarios inquietos que buscan maneras de aumentar las funcionalidades de este tipo de dispositivos.

defcon4

En la misma sala hemos podido asistir a una charla en la que se han mostrado varias técnicas para poder tener acceso a la información almacenada en nuestro sistema aunque este se encuentre cifrado. Y es que, aunque la criptografía haya avanzado mucho en los últimos años, aun es posible  obtener los datos de un ordenador atacándolo físicamente (congelando la memoria RAM, por ejemplo) o, como es más normal y suele tener más éxito, atacando al usuario.

Para evitar estos que se robe información de nuestro sistema utilizando este tipo de técnicas, el investigador ha propuesto el uso de varias técnicas como el cifrado de la memoria RAM, algo que, según algunos estudios citados en esta charla, solo reduciría su rendimiento en un 10% de media. Asimismo, también se ha comentado la necesidad de comprobar la integridad del sistema para revisar que no se esté actuando de forma maliciosa contra el mismo. Para ello ha propuesto el uso del TPM (Trusted Platform Module), un chip integrado en varias placas base y que se suele usar bastante en de consolas de videojuegos.

Para terminar el día hemos podido asistir a una charla de uno de los hackers más veteranos en Defcon, en la que nos ha explicado la estrategia que siguió hace seis años para construir una botnet de voluntarios que le permitiera obtener a uno de sus clientes ventajas a la hora de adquirir coches usados en un portal de venta de automóviles de segunda mano. Con una sencilla implementación de esta botnet se consiguieron resultados de éxito cercanos al 100% e incluso se consiguió mejorar una estrategia similar que empezaron  a realizar un grupo de hackers rusos. Este investigador ha cerrado su charla explicando que hubiera hecho hoy en día para mejorar la eficacia de esta botnet, aprovechando sus conocimientos y técnicas actuales.

 Y esto ha sido todo en nuestro primer día de la Defcon. Os recordamos que nuestros compañeros de ESET Latinoamérica publican resúmenes ampliados de algunas de las charlas más interesantes en su blog, por si alguien desea ampliar la información. Para cuando se publique este artículo nosotros estaremos reponiendo fuerzas para encarar un nuevo día de charlas aunque posiblemente también hayamos podido disfrutar del ambiente festivo que se respira en este evento y es que hay nada menos que 21 fiestas organizadas para celebrar esta vigesimoprimera edición. Por si acaso, dejaremos los móviles en la habitación ya que, como bien dice el dicho “lo que pasa en Las Vegas, se queda en Facebook”.

 Josep Albors

David Sanchez



ESET España en Black Hat: Resumen del segundo día

Hoy nos ha tocado madrugar a los corresponsales de ESET España que estamos en Las Vegas y es que se ponían a la venta las entradas para la Defcon. Como sabemos que la cola que se forma para comprar estas entradas es muy grande, hemos preferido madrugar y a las seis de la mañana ya estábamos guardando nuestro sitio. Dos horas después han abierto las taquillas, hemos comprado nuestras entradas y nos hemos dirigido al Ceasar’s Palace para asistir al segundo día de charlas de BlackHat.

Hemos llegado con tiempo suficiente para encontrar un buen sitio y asistir a la “keynote” ofrecida por Brian MuirHead, Ingeniero Jefe de la NASA. Ha sido una charla de lo más interesante, inspiradora e incluso emotiva donde ha desvelado los retos a los que se enfrenta la NASA en sus misiones espaciales, especialmente en las que tienen a Marte como objetivo. Brian ha destacado la importancia de contar con un equipo formado por personas especiales, donde haya buena comunicación y usando sistemas y tecnología de confianza que estén preparados para cualquier contratiempo, algo que también se puede aplicar perfectamente al mundo de la seguridad informática.

blackhat9

Seguidamente hemos empezado con las charlas, empezando por una protagonizada por varios fabricantes de antivirus donde se analizaba el estado actual de las tecnologías usadas frente a las amenazas. En esta charla se ha hablado de cómo resulta realmente difícil gestionar la cantidad de malware generado a diario y de cómo métodos clásicos como la heurística o las listas blancas de aplicaciones podrían no dar los resultados esperados en algunos casos. Es por ello que varios investigadores se han aliado para desarrollar un sistema que proporcione información sobre archivos limpios de forma eficaz y sin errores, recopilando una serie de metadatos del fichero y permitiendo a los creadores de ese archivo subirlo a el sistema para se que verifique su legitimidad. Sin duda algo de lo que estar pendiente.

blackhat10

A continuación hemos presenciado una charla sombre malware en dispositivos móviles, explicando tanto el funcionamiento clásico de un antivirus como de las amenazas en estos dispositivos. Se ha destacado el problema existente debido a la fabricación de la mayoría del hardware en países que no proporcionan mucha confianza, lanzando el presentador la interesante pregunta sobre como saber si una pieza de hardware ha sido modificada para incluir malware de fábrica, algo que ya se ha producido con anterioridad. Sabiendo de las limitaciones de las protecciones antimalware existentes actualmente en móviles, muchas de ellas provocadas por temas de hardware o por limitaciones del propio sistema operativo, se ha presentado una nueva técnica que permite realizar análisis periódicos del dispositivo y detectar aquellas amenazas presentes.

En otra de las charlas a las que hemos acudido, un equipo de investigadores presentó una investigación en la que hablaban de una botnet operativa desde 2007 que tenía como objetivo al gobierno y entidades privadas de Taiwán. Esta botnet ya se ha extendido a otras partes del mundo como Europa o Estados Unidos. El objetivo de esta botnet es recopilar información clasificada de estas empresas y gobiernos y actualmente está compuesta por más de 5.800 ordenadores y controlada por 25 personas según los investigadores. Se utilizan cuatro familias diferentes de malware para infectar a los usuarios y se suele utilizar el correo electrónico para propagar estas amenazas.

blackhat11

Casi sin tiempo entre charlas nos hemos dirigido a una de las más esperadas, al menos por nuestra parte. Esta charla no era otra que la que mostraba como hackear Smart TV (aunque era extrapolable a otros modelos), especialmente algunos modelos ES8000 de la serie 2012 de Samsung. Viendo el éxito que tienen este tipo de televisores últimamente, la expectación creada estaba más que justificada. Durante la presentación, los investigadores analizaron el sistema de seguridad implementado por Samsung en el sistema operativo que maneja estos televisores y los fallos que presenta.

Durante la hora que ha durado esta presentación hemos podido ver los vectores de ataque que se pueden usar para conseguir obtener el control de la televisión y conseguir, por ejemplo, capturar imágenes a través de la cámara que incorpora. Especialmente interesante ha sido la conclusión en la que se afirmaba que cualquier aplicación que se instale en estas televisores puede estar infectada, permitiendo que un atacante tome el control de la misma. Asimismo, utilizando aplicaciones de redes sociales como Skype o Facebook que también pueden instalarse en estos televisores se puede llegar a propagar estas infecciones a otros usuarios con modelos de Smart TV similares, lo que podría ser considerado como un gusano informático pero para televisores. Para evitar que esto suceda, el fabricante ya ha lanzado parches que mitigan buena parte de estos fallos aunque el usuario también ha de cumplir con su obligación de aplicarlos.

blackhat12

Ya en las charlas de la tarde, no hemos querido perdernos el emotivo homenaje al conocido hacker Barnaby Jack, recientemente fallecido y que iba a dar una esperada presentación sobre como manipular remotamente dispositivos  médicos como bombas de insulina o marcapasos. Sin duda, Barnaby ha sido un ejemplo a seguir por muchos investigadores y estamos seguros de que su legado perdurará a lo largo del tiempo por haber sido alguien que, con sus investigaciones ha ayudado a salvar muchas vidas.

blackhat13

A la misma hora también hemos podido asistir a una charla sobre la ofuscación de código en la que se han hablado de varios puntos. Entre ellos métodos de cifrado más eficientes como BIN2POS, que destaca por su velocidad y eficiencia. Seguidamente se han mostrado maneras de saltarse la protección del cortafuegos e inmediatamente después se han mostrado ejemplos de inyección de código en varios tipos de bases de datos. Por último se ha hablado de una aplicación conocida como Leapfrog para probar la eficiencia de un cortafuegos y averiguar que vulnerabilidades tiene.

Otra de las charlas que no queríamos perdernos por nada del mundo ha sido la ofrecida por dos investigadores argentinos que iban a  presentar como interferir en las comunicaciones entre varios sensores presentes en sistemas de control de infraestructuras críticas (SCADA). En esta presentación se han analizado los dispositivos de tres importantes fabricantes (sin revelar los nombres)  y sus vulnerabilidades. El punto fuerte de la presentación ha llegado cuando han demostrado como se podía engañar a un sensor de para que mostrase lecturas erróneas de temperatura y hacer que finalmente estallase el sistema que estaba controlando. Algo llamativo y con muy buenos resultados a la hora de captar la atención de la audiencia.

blackhat14

Una de las charlas más curiosas a las que hemos podido asistir era la que trataba las vulnerabilidades en todo tipo de dispositivos domésticos. Los investigadores a cargo de esta charla han conseguido explotar vulnerabilidades en varios tipos de dispositivos que suelen estar presentes en muchos hogares, desde juguetes, pasando por hubs hasta llegar a una taza de váter controlada por bluetooth. Poniendo como ejemplo el juguete con forma de conejo Karotz Smart Rabit, los investigadores han podido controlar remotamente la cámara que lleva integrada a través de un navegador. Pero no se han detenido ahí puesto que también han demostrado cómo pueden controlar remotamente todas las funciones del juguete pudiendo llegar a tener un ejército de conejos robot a nuestras órdenes. Sin duda un toque de atención para tener en cuenta las vulnerabilidades que pueden afectar a muchos dispositivos que solemos tener en casa pero a los que no prestamos la suficiente atención a la hora de protegerlos frente a ataques.

Y para terminar la jornada, nada mejor que una charla de conocido, periodista e investigador Brian Krebs quien, de forma animada nos comentaba sus experiencias tratando con los conocidos como booters, proveedores de servicios de DDoS principalmente compuestos por adolescentes con no excesivos conocimientos informáticos pero que consiguen mucho dinero prestando sus servicios a terceros. En esta charla se ha comentado la paradoja de que estos servicios se atacan entre sí para eliminar la competencia y es por ello que muchos de ellos contratan servicios de empresas como Cloudfare para protegerse precisamente de este tipo de ataques.

El broche final a esta charla lo ha puesto precisamente el CEO de CloudFare, el cual estaba presente entre el público y ha salido a defender la postura de su empresa. Según el mismo afirmó, no quieren censurar a nadie pero que si hubiera algún medio para identificar este tipo de actividades los darían de baja de forma inmediata.

blackhat15

Y hasta aquí llegó nuestra cobertura de la BlackHat que ampliaremos con artículos detallados en las próximas semanas. Mientras tanto, nuestros compañeros de ESET Latinoamérica han preparado una serie de posts adelantando la información que hemos obtenido de algunas de las charlas más interesantes.

Por nuestra parte esto es todo desde BlackHat, ahora toca descansar y prepararse para la Defcon que empezaremos a cubrir en solo unas horas y desde la cual ofreceremos las noticias más interesantes que se comenten.

Josep Albors

David Sánchez



ESET España estará un año mas en BlackHat y Defcon

Durante esta semana se celebran en Las Vegas dos de los eventos de seguridad más importantes del mundo. Estamos hablando, como no, de Black Hat USA y DEFCON. ESET España estará de nuevo presente cubriendo estos eventos gracias a los corresponsales que ha desplazado hasta esta ciudad y que se encontrarán con el equipo de ESET Norteamérica y nuestros compañeros de ESET Latinoamérica.

En estos eventos tendremos la oportunidad de atender en persona a muchas presentaciones de lo más interesante, como la que explicará las vulnerabilidades presentes en un número importante de tarjetas SIM o la que mostrará como tomar el control de nuestro coche utilizando las vulnerabilidades en los sistemas que manejan varios modelos de automóvil.

blackhat1

Pero no todo son presentaciones ya que, en este tipo de eventos tenemos la oportunidad de hablar en persona con investigadores de todo el mundo a los que seguimos durante todo el año. Es en estas conversaciones distendidas donde compartimos conocimiento y aprendemos un poco más acerca del mundo de la seguridad informática. Todo ello rodeado de un ambiente de lo más distendido que nos permite hablar sobre nuevas vulnerabilidades y amenazas mientras compartimos una cerveza en el bar de un casino.

Por supuesto, nuestro objetivo será informar a través de nuestro blog, Facebook, Twitter o Google + de todas aquellas novedades que se produzcan en estos eventos, así que no dejéis de seguirnos por si llegamos a poder ofrecer algo en primicia.

Además, ESET tendrá presencia en el pabellón de patrocinadores con un stand desde el cual podremos informar a los visitantes de todas  nuestras soluciones  de seguridad sin olvidar la parte lúdica del evento. Esta estará presente en forma de un concurso de tiro al blanco en el cual todos los participantes optan a llevarse un premio. Os prometemos que pondremos más fotos cuando ya tengamos el stand completamente montado pero de momento podéis ir viendo como va tomando forma en esta foto.

Josep Albors

 



Investigadores explicarán en Defcon cómo interferir en los sistemas de nuestro coche

Categorias: Eventos,Hacking,Vulnerabilidades | | Sin comentarios » |

Desde luego, no podemos quejarnos de la cantidad de charlas interesantes a las que vamos a poder acudir en las conferencias Black Hat y Defcon que están a punto de celebrarse en Las Vegas. Además de desvelar nuevas herramientas o ataques que se aprovechan de vulnerabilidades en nuestros ordenadores o dispositivos móviles, hay también otra serie de “dispositivos” que se salen de esta tónica habitual.

Si el año pasado pudimos comprobar como el acceso a los sistemas de comunicación entre los aviones y torres de control era algo que se podía realizar de forma más sencilla de lo que parece, este año los investigadores Charlie Miller y Chris Valasek acuden a la Defcon con una interesante charla sobre las investigaciones recientes que les han permitido averiguar como controlar alguno de los sistemas que incorporan muchos coches actualmente.

miller_car_hack

Charlie Miller y Chris Valasek con las manos en la masa

Fuente: Forbes

No cabe duda de que la electrónica y la informática son partes importantes en los coches actuales. Solo hay que echar un vistazo a todos los sistemas de navegación, ayuda a la conducción, frenado automático en situaciones de emergencia o incluso aparcamiento automático que incorporan muchos coches actualmente. Incluso tenemos proyectos muy avanzados como el de Google, que permite que un coche se conduzca solo sin necesidad de que intervenga un conductor.

Estas características junto a la adopción de otras tecnologías como el bluetooth, Wi-Fi y la navegación GPS hace nuestra conducción mucho más cómoda pero también pueden suponer un vector de ataque si no se toman las medidas de seguridad adecuadas.

Precisamente esto han decidido demostrar este par de investigadores que, ni cortos ni perezosos, han cogido un Toyota Prius y han conseguido interferir en las órdenes que envía el conductor, ocasionando, por ejemplo, que la orden de frenado no llegue al sistema de frenos por mucho que el preocupado conductor pulse sobre el pedal.

coches_hack

En la información e imágenes proporcionadas hasta el momento vemos como este par de investigadores se conectan a los sistemas de su coche de manera física varios cables. No obstante, estudios anteriores ya demostraron que se podía acceder a algunos de estos sistemas críticos mediante infrarrojos o incluso Wi-Fi. Además, los sistemas de conexión que proporcionan los fabricante para, por ejemplo, abrir las puertas cuando nos acercamos también pueden ser vulnerados, por no hablar del Bluetooth (o incluso un simple CD) que nos permite conectar dispositivos a los sistemas de audio y vídeo.

Está claro que quedan muchas cosas por mejorar en las seguridad lógica de los automóviles modernos y esperamos que este tipo de investigaciones sirvan para llamar la atención a los fabricantes ante la importancia de implementar de serie la seguridad frente a ataques malintencionados de este tipo. Por nuestra parte os emplazamos a seguir las actualizaciones de este blog ya que os ofreceremos, en directo desde Las Vegas, esta y otras noticias que se produzcan tanto en Black Hat como en Defcon.

Josep Albors

 

 

 



« Artículos PosterioresArtículos Anteriores »

Atención: nuestra página utiliza cookies Al utilizar nuestro sitio web, consiente nuestra política de uso.

Aceptar y ocultar este mensaje