Post escrito en colaboración con Manuel Bermúdez Casado.
El tercer y último día de la Rooted empezó con una interesante charla de Manu Quintans (@Groove) y Frank Ruiz (@francruar) “50 shades of crimeware” que trataba sobre las nuevas técnicas de robo de tarjetas. Contaron cómo los criminales se organizan, venden malware y números de tarjetas. Profundizaron en los nuevos tipos de malware especializados en TPV y como este malware es capaz de infectar un TPV de cualquier establecimiento y enviar directamente los datos de las tarjetas a Internet.
Seguidamente, la ponencia “Profundizando en la seguridad de la aviación” nos mostró las nuevas investigaciones de Hugo Teso (@hteso) sobre la seguridad en la aviación. Hugo Teso lleva unos años investigando sobre la seguridad en aviones comerciales. Nos explicó que los aviones disponen de diferentes ordenadores y nos mostró cómo éstos se actualizan en ocasiones por medios inseguros como redes Wi-Fi o 3g. Esta charla dejó de manifiesto la poca atención que se presta en temas de seguridad informática en la aviación. Aunque sus investigaciones no han sido probadas en entornos reales por los peligros que esto conlleva, sí que se han realizado pruebas con drones, simulando casi a la perfección entornos reales.
Tras un pequeño descanso los ponentes José Pico y David Pérez, cofundadores de la empresa layakk, (@layakk) exponen un tema desconocido para muchos: “atacando 3G”. A través de una meticulosa investigación y una gran explicación con muchos detalles técnicos relatan las inseguridades de la comunicación por UMTS, o tecnología 3G. A pesar de que esta tecnología es mucho más segura que la tecnología 2G anterior, sigue heredando las deficiencias de GSM, por lo tanto forzando a que el usuario solo use 2G, se puede volver a conseguir efectuar diversos ataques como denegación de servicio o la localización de un dispositivo (si el atacante se encuentra en un radio no mayor a 3 km) o la interceptación de la comunicación.
En la siguiente charla “Handware hacking: Si hay un ‘input’ hay peligro” Borja Berástegui (@Bberastegui) nos muestra cómo acceder a los sistemas operativos de los paneles de información que se encuentran expuestos al público. Estos paneles son cada vez más populares y están localizados en multitud de lugares públicos como aeropuertos y oficinas de turismo. Los paneles disponen de una pantalla táctil y una aplicación que corre a pantalla completa impidiendo así que cualquier usuario pueda acceder al sistema operativo. Las técnicas de Borja Berástegui consisten en provocar excepciones en la aplicación para acceder al sistema.
Después de comer Juan Vázquez(@_juan_vazquez_) y Julián Vilas (@julianvilas) con su ponencia “Tú a Boston Barcelona y yo a California Tejas. A patadas con mi SCADA!”, explican las deficiencias en la seguridad de sistemas críticos SCADA y PLCs. Muchos de estos sistemas de carácter industrial se implantan en zonas de vital importancia como el sector energético, por ejemplo. En este caso la demostración se hace emulando el modelo del fabricante yokogawaCETUM CS 3000 R3. Sistemas donde se usan versiones del sistema operativo Windows XP SP2 o en algunos casos incluso Windows 2000, con fallos en las configuraciones como directorios compartidos con todos los permisos, firewalls desactivados, vulnerables a varios tipos de exploit. Para terminar se hace una demostración usando metaexploit sobre uno de estos sistemas.
Seguidamente Aladdin Gurbanov, en su ponencia “Magnetic Road” nos enseña la facilidad para clonar tarjetas con banda magnética. Lo hace de una manera divertida y amena y además su acento ruso y los vídeos que expone grabados con su propio móvil, en situaciones cotidianas (pagando el desayuno o el parking con una tarjeta clonada), consiguen hacer sonreír a todos los asistentes. Aladdin explica la facilidad que existe para comprar un clonador de tarjetas ya que se puede conseguir en ebay por unos 50 euros. Incluso las pegatinas holográficas de las tarjetas bancarias se pueden pedir a China por un precio muy barato. En conclusión la falsificación de tarjetas es un juego de niños.
Tras un pequeño descanso Raúl Siles (@dinosec) continúa deleitándonos con los fallos de seguridad de los sistemas IOS, este año con la ponencia “iOS: Regreso al futuro”. Raúl pone en entredicho el sentido de las actualizaciones obligatorias en un sistema IOS, donde explica la manera de evadir esas actualizaciones. Referenciando la película “Regreso al futuro”, hace un símil con la manera de engañar a un dispositivo, y hacerle creer que ya está actualizado cuando en realidad no lo está. Esto plantea inseguridades tan relevantes como, por ejemplo, el poder aprovechar un fallo de seguridad en un dispositivo por no estar actualizado desde hace mucho tiempo; y el usuario ni siquiera lo sabe porque su propio dispositivo le indica que si lo está. Para ello Raúl usa un script hecho en python llamado Iproxy con dos técnicas, una temporal y otra persistente, llamadas “StarWars” y ”Matrix”. A pesar de que estos fallos han sido reportados a Apple, no hay confirmación de su solución a día de hoy.
La última ponencia del día fue a cargo de Jaime Sánchez (@segofensiva) y Pablo San Emeterio (@psaneme), la charla “WhatsApp: mentiras y cintas de video” trataba sobre las inseguridades de WhatsApp, Snapchat y Viber. Sobre WhatsApp cabe destacar la inseguridad en sus comunicaciones y lo fácil que es suplantar la identidad en diferentes mensajes. Snapchat es una aplicación muy usada en EEUU y consiste en compartir imágenes con otros usuarios. En la investigación de esta aplicación Jaime Sánchez y Pablo San Emeterio demostraron cómo se podía suplantar la identidad de los usuarios, llegando incluso a suplantar la identidad del propio CEO de Snapchat.
Por último y ya que se cumplía el quinto aniversario de la Rooted se repartieron premios a los ponentes mejor valorados:
1º NighterMan (muy recomendable su charla Live Free or Die Hacking de la Rooted de 2012).
2º David Pérez y José Picó
3º Raúl Siles
4º Juan Antonio Calles y Pablo González
5º Roberto Baratta
Muy interesante, lástima no haber podido acudir, porque lo que allí se discute es conocimiento de primer nivel. Me llama la atención especialmente el tema de las “pseudo-actualizaciones” de iOS, creo que podría llevar a muchos usuarios al lado oscuro, si no se le da la importancia que merece.