Security Art Work

Se acabaron las vacaciones, vuelven los madrugones, las interminables jornadas laborales, los atascos, pero no somos los únicos a los que se les acaban las vacaciones; a los niños también se les termina el chollo y han de volver a los colegios y a las guarderías. A más de uno, esto último será la única parte positiva de la vuelta de vacaciones.

En mi caso, mi “enano” vuelve a la guardería, y este año han decidido “modernizarse” y adaptarse más si cabe a lo que la tecnología les ofrece. Este año ya no habrá agenda en papel; en su lugar utilizaremos una agenda digital. Una aplicación que descargas en tu Smartphone con toda la información de tu hijo y donde diariamente te informan de su actividad en la guardería. Si ha comido bien, cuánto ha comido, cuánto ha dormido, etc.

[Read more…]

En el mes de mayo se llevó a cabo el Tercer Congreso Internacional de Protección de Datos, donde la Súper Intendencia de Industria y Comercio (SIC) realizó el lanzamiento de la Guía para la implementación del Principio de Responsabilidad Demostrada (Accountability).

Como ya sabemos, la reglamentación de la Ley de Protección de Datos en Colombia ha sido un poco ambigua porque da pinceladas de todo, pero sin concluir ninguno de los temas. De este modo, la llegada de la Guía permitió dar un nuevo rumbo ya que estructuró corporativamente la protección de datos personales.

[Read more…]

En este post vamos a ver dos maneras de droppear shells en equipos Windows, no voy a entrar en detalles de cómo llegar a comprometer un equipo, asumo que ya está hecho y que habéis volcado los hashes o credenciales en texto plano utilizando Mimikatz o alguna herramienta similar.

La primera de ellas será utilizando Metasploit y psexec_scanner,un grandioso módulo de Darkoperator, la segunda mediante psexec.py de IMPACKET.

[Read more…]

Hace un par de semanas recibí un WhatsApp de un contacto del que hacía tiempo que no sabía nada. Me enviaba un enlace a seguir y a continuación una frase en la que hacía referencia a un vale descuento para Mercadona. Alguien con quien apenas tengo contacto, ¿me regala un vale descuento?… Llámame desconfiada, pero aunque ese mensaje lo hubiera enviado el mismísimo Juan Roig, habría desconfiado igualmente.

Hoy en día estamos más que acostumbrados a escuchar o leer noticias de este tipo, relacionadas con nuevos fraudes online. Sin embargo, todavía seguimos cayendo.

[Read more…]

En este caso el dicho popular “segundas partes nunca fueron buenas” no se cumplió. Repitiendo el éxito del año pasado la organización de la rooted trajo a tierras valencianas un buen elenco de profesionales de la seguridad para presentar sus últimos trabajos. Como en años anteriores, S2 Grupo ha participado como espónsor del congreso, mostrando así nuestro compromiso con la seguridad.

[Read more…]

Una práctica recomendable cuando se utilizan servidores es cifrar los datos del servidor, especialmente cuando éste se encuentra en un lugar poco protegido o cuya seguridad no controlamos (por ejemplo, la sala de café, el despacho de alguien, un CPD externo, etc.). Esto evita que la información almacenada pueda ser comprometida y expuesta, si alguien roba el equipo o extrae el disco para clonarlo.

Pero (siempre hay un pero), hay un pequeño problema cuando se realiza un cifrado completo mediante LVM y LUKS. Si el servidor necesita ser reiniciado (o falla, que también puede pasar) se necesita que alguien físicamente introduzca la clave de cifrado para arrancar de nuevo. Ni que decir tiene que esto puede ser un problema si no tenemos un 24×7 o acceso físico al servidor (o no queremos compartir la clave de cifrado con el personal 24×7).

[Read more…]

(Este post ha sido elaborado por Joan Balbastre y Jesús Galvez con la colaboración de Maite Moreno en su redacción).

En el pasado SummerCon, celebrado este verano, la comunidad se hacía eco de la investigación sobre vulnerabilidades en algunos productos clínicos para la inyección de medicamentos, llevada a cabo por el investigador Billy Rios, y centrada en la línea de productos fabricada por Hospira, la cual tiene mas de 400.000 bombas distribuidas por hospitales de todo el mundo.

Tras sus primeras investigaciones, Ríos descubrió que un atacante de forma remota podría alterar el funcionamiento de estas bombas de inyección, siendo capaz de administrar dosis letales de fármacos. Una de las vulnerabilidades indica que el software encargado de almacenar los umbrales para la administración segura de las dosis (“biblioteca de medicamentos”) podía ser manipulado para cargar nuevos umbrales debido a la inexistencia de autenticación para su acceso. Esto provocaría que, aunque por un error humano en la inserción de valores se sobrepasara el nivel de la dosis suministrada (o se quedara corto), no le saltaría ninguna alerta al personal clínico.

[Read more…]

“¿Podemos pagar con tarjeta?” Esa fue la pregunta, y parecía bastante clara, pero NO.

Empecemos por el principio, la historia que paso a relatarles ocurrió hace poco más de un mes, y sí, era el mes de agosto. Estábamos en Palma de Mallorca pero trabajando, nada de relax. En fin, esto no es importante para la historia, pero quiero que quede claro, fue duro.

A lo que vamos, cogimos un taxi en el aeropuerto de Palma de Mallorca para dirigirnos a las oficinas del cliente con el que habíamos quedado y al subirnos al mismo hice una de las típicas preguntas que se pueden dar dentro de un taxi: “¿Podemos pagar con tarjeta?” A lo que el taxista me contestó: “SÍ”, sin ningún tipo de pero.

[Read more…]

Estaba hace unos días cambiando las contraseñas de acceso a varias aplicaciones y servicios que utilizo diariamente, cuando al introducir la clave en una de ellas me encuentro con el temido error: “Contraseña incorrecta”.

“Seguro que me ha bailado un dedo al escribir la contraseña” fue el primer pensamiento. Vuelvo a intentarlo. “Contraseña incorrecta” de nuevo. Me empieza a entrar el pánico. “¿Habrá dado error al cambiarla y no me he dado cuenta?” “¿Habré puesto la de otro servicio?”. Estas y otras preguntas me venían a la cabeza, pero todos los intentos manuales que hacía tenían el mismo resultado: “Contraseña incorrecta”.

[Read more…]

El ataque a Hacking Team que se produjo el pasado julio confirmó que Adobe Flash es uno de los objetivos preferido por los ciberdelincuentes, ya que como parte de la información publicada, había diversas vulnerabilidades y exploits. Seguro que no les sorprende. Poco después de la filtración de los datos, ESET divulgó que tras la filtración de datos de Hacking Team detectó que el grupo de ciberespionaje Sednit, también conocido como APT28 había comenzado a utilizar uno de los exploits publicados.

La empresa de seguridad ESET determinó que en el ataque las víctimas recibían un correo dirigido con un enlace que no apuntaba a un dominio legítimo, y que al ser abierto ejecutaba un código JavaScript encargado de recopilar información del equipo atacado. Esto permitía identificar características del sistema y su “aptitud” para ser atacado. Si cumplía con determinados parámetros específicos, se enviaba el archivo bajo el nombre de “flash_video_x86.swf”, que contenía el exploit. El resto ya lo conocen: tras explotar la vulnerabilidad, se realizaba el envío de un backdoor que permitía escalar privilegios, y se pueden imaginar el resto. El análisis realizado por ESET concluyó que se trataba de los mismos exploits publicados en los datos filtrados de Hacking Team con algunos cambios.

[Read more…]