Seguridad Informática en Latinoamérica

Mitos, Leyendas y Fantasías - Parte 2b

2015-11-02T21:49:00.000-08:00

En el artículo anterior de esta serie, examinamos la famosa técnica del "executable dropper", usualmente empleada en Windows, pero adaptada para Linux, específicamente a la distribución Tails. En aquella demostración nos enfocamos meramente en el aspecto técnico de la implementación de este ataque, sin prestar demasiada atención a sus aspectos acompañantes de ingeniería social. En consecuencia,

En Windows o en Linux, el “hacking” es el mismo. (Mitos, Leyendas y Fantasías - Parte 2)

2015-10-26T16:46:00.000-07:00

En el artículo anterior de esta serie argumentamos las razones por las que la supuesta vulnerabilidad de los sistemas Windows están basados más en sus operadores que en el sistema operativo en sí. Sin embargo, es difícil demostrar explícitamente este tipo de afirmaciones cuando hay tan

Tor, Proxies y demás imprecisiones.

2014-10-31T21:21:00.000-07:00

Tenía tanto tiempo sin escribir en mi blog que ya me estaba poniendo nostálgico. Sin embargo, hoy se presentó una oportunidad interesante y decidí separar un poquito de tiempo de mi apretada agenda (la verdad es que pude arreglar el aire acondicionado más rapido de lo que tenía programado, sólo se daño el capacitor esta vez) y escribir un poco sobre unos temas que veo recurrentemente

Inseguridad Bancaria Online. Parte IV

2012-09-08T04:38:00.009-07:00

Dicen que cuando estamos más ocupados es el mejor momento de darnos más trabajo. En consecuencia, decidí escribir este artículo que está más que en deuda y recuperar un poco mi blog que ha estado en el olvido por demasiado tiempo ya. En otros artículos de esta serie hemos escrito sobre el "teatro de seguridad" que tanto gusta a las organizaciones que ofrecen servicios de banca en linea. Este

DEFCON20 CTF QUALS /urandom 300

2012-06-04T07:10:00.009-07:00

En un ajetreado fin de semana con un monton de asuntos pendientes adicionales, finalmente pude dedicar unas pocas horas de tiempo a las conocidas clasificatorias para el DEFCON20 CTF. Es como una maldición, siempre que he querido participar, sale algo imprevisto y quedan los deseos insatisfechos. Este año casi sucede lo mismo: propuestas urgentes para clientes, preparativos de viaje, etc. Menos

OWASP Venezuela Latam Tour 2012

2012-04-24T07:11:00.023-07:00

Es para mí un placer haber sido invitado a participar en el OWASP Latam Tour 2012 por el capítulo Venezuela. En mi ponencia de este evento: "WebApp Penetration Testing" estaré abordando distintos temas sobre las pruebas de penetración en aplicaciones web. El siguiente es un temario tentativo: WebApp Penetration Testing: - ¿Qué es? - ¿Qué no es? - ¿Para que? - Vulnerabilidades obvias pero

Diversión con CRC. Parte I

2012-04-15T13:43:00.000-07:00

En el anterior artículo de esta serie describimos las bases de los algoritmos CRC para verificar errores de transmisión. Adicionalmente, dimos un ejemplo de cómo intentar usarlos para detectar modificaciones maliciosas intencionales sobre nuestras comunicaciones protegidas. Es importante destacar que la anterior discusión es bastante independiente al método de cifrado utilizado. Lease cualquier

Inseguridad Bancaria Online. Parte III

2012-04-15T10:55:00.003-07:00

Ha pasado considerable tiempo desde que escribí en esta serie de artículos sobre inseguridad bancaria a pesar de ser de los más populares de mi blog. Sorpresivamente, mis lectores más asiduos de esta serie provienen de Rusia y Ukrania lo cual debo confesar fue algo inesperado. Mi ingenuidad me hizo pensar que los administradores de bancos en Latinoamerica serían los más preocupados en leer estas

Más sobre Passwords y Contraseñas

2012-04-14T21:27:00.001-07:00

En el artículo anterior de esta serie comentábamos que la contraseña más fuerte de todas es aquella que no se la dices a nadie. Sin embargo, queda todavía la pregunta en el aire: ¿Pero como hago para no decirle a nadie mi contraseña? A pesar que parezca tonta, la pregunta es muy pertinente. Muy pocas personas se han puesto a pensar que no importa lo que hagan, su contraseña tiene que ser

Diversión con CRC. Introducción

2012-04-14T18:51:00.002-07:00

Una de las áreas probablemente menos trabajadas por los "pentesters" de hoy en día es la criptografía. Sin embargo, poseer habilidades básicas en este tema será cada vez más y más obligatorio para hacer nuestro trabajo de forma adecuada. Este artículo es el primero en una serie dedicada a la criptografía y su aplicación en las pruebas de penetración modernas. El algoritmo de CRC (Cyclic

Pero en realidad, ¿Qué es un Hacker?

2011-09-20T21:21:00.000-07:00

Si existiera un record Guiness para el término menos comprendido y peor usado de todas las culturas en toda la historia de la humanidad, en mi no tan humilde opinión, la palabra "hacker" se llevaría todos los premios y reconocimientos. Sólo por completitud y con la esperanza de que algún día la comunidad "no-hacker" logre entenderlo, repito aquí la definición más aceptada entre los verdaderos

La certificación Cyber Guardian

2011-09-20T17:15:00.000-07:00

Continuando la serie de artículos relacionados a certificaciones de seguridad informática, decidí comentar un poco sobre una certificación relativamente nueva pero por demás interesante y pertinente. Se trata de la certificación "Cyber Guardian" del SANS Institute. Esta certificación está dirigida a una comunidad muy específica. De acuerdo al sitio web del SANS Institute, el objetivo es: "...

La puerta bien blindada, pero la ventana bien abierta.

2011-07-15T08:54:00.000-07:00

Durante mis evaluaciones de seguridad informática, rutinariamente me encuentro con implementaciones que intentan eliminar con mucho esfuerzo una determinada vía de ataque sin darse cuenta que al mismo tiempo dejan otras rutas completamente desprotegidas. Este tipo de "errores" es usual cuando la seguridad informática se construye a posteriori en lugar de incluirse desde la más temprana

Mitos, Leyendas y Fantasías - Parte 1

2011-06-19T12:15:00.000-07:00

Este artículo está inspirado en un breve intercambio que sostuve por el google buzz con una persona de extenso recorrido y experiencia con sistemas *nix. El post que lo inició todo es el que sigue: Richzendy: No hay nada como la sensación de seguridad que da el navegar por cualquier sitio sabiendo que no te vas a contagiar de algún virus #usalinux En un principio estoy de acuerdo: es una "

Haciendo una fortuna a costa del Dr. Knuth

2011-06-14T23:57:00.000-07:00

Hace unos días leí un twitt que me hizo recordar mis años de universidad donde pasaba incontables horas sumergido en los misterios del mundo académico. Ejem, no tan así pero es una buena linea de inicio para este post. El twitt hacía referencia a la siguiente caricatura: El chiste es particularmente gracioso, pero sólo para un pequeño grupo de personas especializadas en el mundo de la

ALL YOUR AV STILL ARE BELONG TO US - Parte 2

2011-06-05T16:03:00.000-07:00

Una de las habilidades más importantes para un pentester profesional es la capacidad para modificar sus herramientas de tal forma que logren evadir su detección por parte de los sistemas antivirus y otros sistemas de protección de usuario final. Esta habilidad está muy bien desarrollada dentro de los círculos del crimen informático, y por tanto, un servicio de pruebas de penetración que no

ALL YOUR ANTIVIRUS ARE BELONG TO US - parte 1

2011-06-04T13:32:00.000-07:00

Primer GSE en América Latina

2011-06-02T18:50:00.000-07:00

Es para mi un gran orgullo el convertirme en el primer Latinoamericano recipiente de la prestigiosa certificación GIAC Security Expert (GSE). Para los que no la conocen, la certificación GSE es considerada, desde su creación en el año 2003, la certificación más prestigiosa en el área de la seguridad informática. Hasta la fecha, solo 35 personas en el mundo han logrado cumplir los requisitos

Implementando ataques de fuerza bruta.

2011-04-24T19:47:00.000-07:00

"En teoria, la práctica y la teoría son iguales. En la práctica, no lo son." Bruce Schneier. Y en efecto, en algunos casos, la teoría y la práctica, llegan a ser muy distintas. Especificamente, por ejemplo, muchos clientes de mis pruebas de penetración consideran que los ataques descritos en artículos anteriores son imprácticos pues: "cualquier firewall/IPS es capaz de bloquear tu dirección

Cuando tu atacante se ataca a sí mismo.

2011-03-22T20:27:00.000-07:00

Los casos en donde atacantes de muy baja sofisticación cometen errores son tan viejos como la Internet misma y adicionalmente son siempre jocosos. Mi favorito es el caso de un individuo que lo convencen de atacar la dirección IP 127.0.0.1 haciendole creer que era la dirección IP de la persona con quien sostenía un altercado por chat IRC. La conversación original sucede en alemán, pero se puede

Los Poderes que nos acechan.

2011-03-21T10:36:00.000-07:00

"Las computadoras son las armas y la trinchera no tiene limites"James Adams, The Next World War. 1998 Muchos tienden a calificar el "Cyber Warfare" como simple prensa amarillista. Sin embargo, la última telenovela de cyber espionaje protagonizada por HBGary Federal y conducida por el grupo de hacktivistas "Anonymous" parece dejar asomar una macabra amenaza global. Los acontecimientos preliminares

Nuevos Cursos de Seguridad Informática

2011-02-20T07:00:00.000-08:00

Si estas interesad@ en cursos de seguridad informática del SANS Institute en el formato de "Local Mentor", dictados en español y para la región de latinoamerica, revisa el siguiente link: Cursos de Seguridad Informática del SANS Institute La lista de cursos ha sido actualizada para incluir capacitación adicional. Si tienes alguna duda, no dejes de escribir tus comentarios a través del enlace de

Recuperando Archivos Borrados. Parte I.

2011-02-07T17:28:00.000-08:00

Nos ha pasado a todos. Borramos el archivo equivocado, en el momento menos apropiado. ¿Cómo recuperarlo? Existen muchos programas con interfaz gráfica para recuperar archivos eliminados para el sistema operativo Windows. Sin embargo, no existen tantos programas similares para el sistema operativo Linux. Esta situación, aunado a los últimos cambios en los sistemas de archivos de Linux puede

Amenaza Inminente. Parte II.

2011-01-30T16:25:00.000-08:00

En el artículo anterior de la serie Amenaza Inminente, obtuvimos muy fácilmente una lista de direcciones IP que nos atacaban inclementemente. Un paso casi inmediato en cualquier respuesta a incidentes de este tipo es tratar de ubicar la localización geográfica de nuestro atacante(s). Para lograr esto con verdadera precisión se requiere correlacionar información de diversas fuentes. Sin embargo,

Inseguridad Bancaria Online. Parte II.

2011-01-28T12:39:00.001-08:00

En artículos anteriores hemos elaborado superficialmente sobre lo devastador que puede ser la vulnerabilidad de nombres de usuario predecibles. Especificamente señalamos que el alcance del objetivo de nuestro atacante se hace significativamente más sencillo cuando tiene disponible esta vulnerabilidad. Los objetivos pueden ser tan variados como ejecutar un ataque de denegacion de servicios total y