(Ciber) Inteligencia (II)

19 de abril de 2021 Por

En el primer artículo de esta serie de Inteligencia, establecíamos una introducción a la disciplina y veíamos algunos detalles de la primera fase del ciclo de inteligencia: la Planificación. Sin embargo, necesitamos ahora contestar a la pregunta:

Cómo identificar la mejor disciplina de obtención de información para cada una de las acciones establecidas durante la planificación

Para ello hemos de hablar primero de las fuentes de obtención de Inteligencia. Veamos algunas de ellas.

Fuentes de obtención de Inteligencia

[Read more…]

(Ciber) Inteligencia (I)

14 de abril de 2021 Por

A nadie sorprende ya que el concepto “Ciberinteligencia” esté en boca de todos los profesionales de nuestro sector. Sin embargo, conviene detenerse un momento y plantearse de dónde proviene dicha disciplina (a todos nos encanta añadir el prefijo “ciber” para hacer las cosas más interesantes), y a eso vamos a dedicar los próximos artículos: a hablar sobre la Inteligencia, y en concreto, de sus diferentes aplicaciones en el ámbito corporativo, para entender así la importancia de incorporarla a nuestro día a día profesional.

Para empezar, tomemos por un momento la definición de inteligencia de la Real Academia Española. Entre sus múltiples acepciones, tenemos las siguientes:

  • Capacidad de entender o comprender
  • Capacidad de resolver problemas

Dichas capacidades son intrísecas a cualquier actividad que requiera de evaluar una situación, analizarla y alcanzar una determinada conclusión.

Este hecho podría aplicarse a todo el espectro de profesionales, que en su día a día requieren de tomar decisiones de diferente calibre. Más allá, son aplicables en nuestro día a día en el momento en el que el semáforo se torna ámbar y evaluamos la situación en décimas de segundo para determinar si aceleraremos o frenaremos.

[Read more…]

RedTeam Ops: Introducción a ejercicios de Red Team

6 de abril de 2021 Por
Esta entrada se ha elaborado conjuntamente con Arturo Navarro Quijada

En esta entrada vamos a ver algunos detalles del curso RedTeam Ops (RTO), ofrecido por zeropointsecurity.co.uk, de la mano de Daniel Rastamouse Duggand, que permite obtener la certificación de Red Team Operator tras aprobar un examen práctico de 48 horas.

A fecha de hoy, el precio de este curso, (que incluye una convocatoria del examen de certificación) varía entre los 442,75€ (399£) y los 720,16€ (649£), según la duración de los laboratorios (30-60-90 días).

Una de las ventajas es que el contenido teórico es accesible de por vida, y suele actualizarse cada poco tiempo.

En nuestro caso, elegimos esta certificación por recomendaciones de amigos y compañeros, ya que después de echar un vistazo al temario nos pareció interesante tanto desde la perspectiva del Red Team como desde Threat Hunting.

Dicho esto, entremos en materia.

[Read more…]

Kroll Artifact Parser and Extractor (KAPE) – II: Utilización con terminal

3 de marzo de 2021 Por

Después de ver la parte más introductoria de la herramienta forense KAPE, en este segundo artículo nos centraremos en su uso mediante la terminal.

Recordemos que KAPE nos permite ejecutar la herramienta por medio de dos vías, con su interfaz gráfica, que correspondería con el ejecutable gkape.exe que hemos visto en el primer artículo al acceder a la carpeta de la herramienta, o mediante la terminal, que la arrancaremos desde el ejecutable kape.exe.

Hoy veremos la ejecución vía terminal.

Procedemos a ejecutar la línea de comandos en nuestro Windows 10 como Administrador, ya que KAPE así lo requiere, y accedemos a nuestra carpeta de KAPE.

Antes de continuar vamos a ejecutar el comando .\kape.exe –sync para sincronizar y actualizar nuestros módulos y targets con los que aparecen en la web de GitHub de Eric R. Zimmerman:

[Read more…]

Compliance en la empresa: ¿coste o inversión?

1 de marzo de 2021 Por

Aunque últimamente se oye hablar mucho de Compliance y cómo integrar un programa de Compliance en el día a día de la empresa, bajo mi punto de vista queda un largo camino por andar. Por desgracia, existe a día de hoy todavía una cantidad elevada de nuestro tejido empresarial, PYMES y no tan PYMES, en las que o bien su Dirección desconoce la materia y la importancia de esta, o directamente no le presta la debida atención.

Es habitual escuchar el término Compliance para referirse a múltiples contextos, tal vez porque suena bien o porque le da más empaque a la frase. Sin embargo, ello puede derivar en confusiones de concepto sobre lo que realmente significa.

En la gran mayoría de las ocasiones, los interlocutores con los que he tenido el gusto de hablar se referían al cumplimiento en materia penal, no obstante, este término también se emplea en otros ámbitos no relacionados con el comúnmente conocido como “Corporate Compliance”, como por ejemplo el “Tax Compliance”.

[Read more…]

Kroll Artifact Parser and Extractor (KAPE) – I: Introducción

10 de febrero de 2021 Por

En este artículo y los siguientes vamos a conocer la herramienta de análisis forense KAPE. Hoy comenzaremos con una breve introducción sobre el desarrollo y funcionalidades de esta herramienta, y en sucesivas entradas entraremos más en detalle.

Resultado de imagen de forensics kape

Kroll Artifact Parser and Extractor, o KAPE, es una herramienta forense para su uso en Windows Microsoft creada por Eric R. Zimmerman, desarrollador de multitud de herramientas forenses e instructor en SANS.

Esta herramienta recopila archivos de un sistema, tanto en imágenes de disco como en sistemas locales, y nos proporciona el plus con respecto a otras herramientas de que puede ser configurada para procesar los archivos recogidos con uno o más programas. KAPE permite acelerar las  primeras fases de una investigación forense, debido a que simplifica el proceso de triaje, en los que recogemos por ejemplo file system, registry hives o EventLogs cada uno con un timestamp asociado.

[Read more…]

Sanciones de protección de datos en 2020

5 de febrero de 2021 Por

En este artículo hemos querido recopilar las principales sanciones que ha resuelto la Agencia Española de Protección de Datos (AEPD) en el año 2020 y las hemos analizado.

¿Cuánto sanciona la Agencia Española de Protección de Datos?

En el año 2020, la Agencia Española de Protección de Datos ha resuelto 391 procedimientos sancionadores, de los cuales 316 han terminado en sanción y 75 han sido archivados, recaudando casi nueve millones de euros (8.865.239€). [Read more…]

Marco Europeo de Ciberseguridad

3 de febrero de 2021 Por

En los últimos tiempos, la Unión Europea está reforzando el marco regulatorio sobre ciberseguridad para hacer frente a la creciente amenaza que nos plantean los ciberataques. Para ello está dotando a los Estados miembros de un marco común especialmente focalizado en la ciberseguridad dirigido a garantizar la ciberresiliencia de los procesos que dan soporte a diferentes servicios esenciales para la sociedad.

La Directiva NIS o Directiva (UE) 2016/1148 fue la primera ley de ciberseguridad de la Unión Europea y ofrecía un marco común para mejorar la resiliencia de las redes y los sistemas de información de la Unión frente a los riesgos de ciberseguridad. Ha demostrado ser una Directiva útil, pero que con el paso de los años también ha evidenciado sus limitaciones ante el incremento de las ciberamenazas y la cada vez mayor dependencia de las soluciones digitales.

Es por ello que, a final del año pasado, la Comisión Europea presentó la nueva estrategia de ciberseguridad de la UE basada en tres aspectos principales: [Read more…]

Ransomware ate my network (V)

22 de enero de 2021 Por
Una breve explicación de esta serie con algunas notas aclaratorias se puede leer al comienzo del primer artículo.
Entradas de la serie:
=> Primera parte
=> Segunda parte
=> Tercera parte
=> Cuarta parte
=> Quinta parte

En el artículo anterior ya habíamos terminado el análisis forense del incidente, por lo que Ángela ya tenía una visión global de todo lo que había ocurrido. Los timelines son una herramienta de análisis sensacional para poder entender lo ocurrido en un incidente, así que construimos una (con las horas en UTC, no perdamos las buenas costumbres):

  • 4/Nov: Los atacantes envían los correos con enlaces maliciosos a personal de la FFP.
  • 9/Nov – 11:37h – dolores.jolgorio abre el correo, descarga y ejecuta el .doc con la macro maliciosa.
  • 11:38h – El equipo se infecta con un agente de Meterpreter.
  • 11:41h – Los atacantes ejecutan diversos comandos para reconocer el sistema.
  • 11:46h – Los atacantes “revenden” el acceso al segundo grupo, cediendo el control con un agente de Empire.
  • 12:01 – Los atacantes elevan privilegios con un exploit de la vulnerabilidad CVE-2020-0787.
  • Entre las 12:01 y las 12:37h: Vuelcan hashes con la funcionalidad Powerdump de Empire.
  • 12:37h – Lanzan SharpHound e identifican W10-PC3 como equipo con una sesión iniciada de administrador de dominio.
  • 13:16h – Con los permisos de administrador local, copian el stager de Empire a W10-PC3 y lo ejecutan con PsExec.
  • Entre las 13:16 y las 13:30h – Obtienen el hash NTLM de la cuenta dom.adm con Mimikatz.
  • 13:51h – Montan el pivot SSH-RDP y acceden al DC con el hash NTLM de la cuenta dom.adm.
  • 13:55h – Copian el fichero temp.zip con las GPO y scripts de Powershell.
  • 13:57h – Despliegan la GPO “All in One”, que erosiona severamente la seguridad de los equipos del dominio.
  • 15:08h – Despliegan la GPO “Scheduler”, que copia el ransomware a los equipos y deja programada una tarea para su ejecución a las 17:15h.
  • 15:13h – Lanzamiento de un agente de Empire.
  • 15:30h – Saltan las alertas en GLORIA.
[Read more…]

Ransomware ate my network (IV)

21 de enero de 2021 Por
Una breve explicación de esta serie con algunas notas aclaratorias se puede leer al comienzo del primer artículo.
Entradas de la serie:
=> Primera parte
=> Segunda parte
=> Tercera parte
=> Cuarta parte
=> Quinta parte

[Nota del editor: Pinchando en muchas imágenes –aquellas cuyo detalle no se ve del todo con el tamaño de la página principal– se muestra una versión ampliada]

En el artículo anterior vimos cómo Ángela había deducido que los atacantes habían entrado en el equipo empleado para conectarse al DC desde otro equipo empleando la herramienta PsExec. Dispuesta a encontrar el PsExec, Ángela empieza convirtiendo a .csv la MFT extraída por CyLR con mftdump.exe, y buscando por actividad alrededor de la la hora en la que vio la conexión en el otro equipo (sobre las 14:16h, 13:16h en UTC que es lo que nos muestra la MFT).

No hay un objetivo claro, pero ese Prefetch de stalin.exe parece sospechoso (recordemos que los Prefetch se crean la primera vez que se ejecuta el software, con un retraso de unos pocos segundos).

[Read more…]