Seguridad Ofensiva

Hoy estaré de ponente en el "RegTech egambling international Workshop" (slides)

2019-06-17T00:21:00.000-07:00

El próximo 17 de Junio por la mañana se celebrará la primera edición del "RegTech egambling international workshop" organizado por la Dirección General de Ordenación del Juego, en el Auditorio CaixaForum de Madrid.

Durante el evento, que se desarrollará en la ciudad de Madrid, se realizarán distintas sesiones prácticas relacionadas con el uso de la tecnología en el sector del juego online: identificación biométrica; se realizarán aproximaciones prácticas relacionadas con el fraude en los medios de pago o la geolocalización en internet; y por último, y en lo que se refiere propiamente a la actividad de juego, se efectuarán ponencias relacionadas con el seguimiento y análisis de los patrones de juego de los participantes a los efectos de detectar conductas de juego problemáticas.

Yo estaré de ponente y abordaré la problemática de la identificación de los participantes en las plataformas de juego online a través de procesos de "digital onboarding".

Podéis acceder a la agenda completa del evento en el siguiente enlace:

Por si alguien no ha podido acudir al evento y quiere conocer algo más sobre el tema, a continuación tenéis disponibles las slides:

Si alguien va a asistir y quiere tomar un café y charlar un rato, que me avise }:)

OS fingerprinting: a brief history

2019-05-29T02:21:00.000-07:00

In this post I will show some historical techniques, tools and countermeasures I will be showing in Derevolutionizing OS Fingerprinting: The Cat and Mouse Game at Defcon China.

OS fingerprinting describes the method of utilising gathered information of a target host to find out what OS the machine is running on.

Wikipedia describes it as:

“ TCP/IP stack fingerprinting is the passive collection of configuration attributes from a remote device during standard layer 4 network communications. The combination of parameters may then be used to infer the remote machine's operating system (aka, OS fingerprinting), or incorporated into a device fingerprint ”

There are multiple approaches for finding out the OS of an unknown host without having an account, or any way of logging on the machine:

Banner Information & Manual Reconnaissance
Active Fingerprinting
Passive Fingerprinting
Timing Analysis Fingerprinting

BANNER GRABBING / MANUAL

Other services that send back ‘free’ useful information include IMAP,POP2, POP3, SMTP, SSH, NNTP and FINGER. This technique is reasonably reliable even now and automated tools exist to make the process simple and painless.

Even, with access to remote host, you could play with the following commands until you get what you want:

uname -a, or uname -o or uname -v
lsb_release -a
cat /proc/version
cat /etc/*-release
cat /etc/issue*

A more primitive approach is to port scan the machine using any of the common port scanners freely available and examine the returned list of listening ports for patterns common to a particular OS. 

Banners can also be revealed in an indirect way too, for example email headers often contain the version string of the client that is used by a user, and sometimes the OS version also. 

Another example could be the SYST commando in FTP; a SYST request asks for information about the server's operating system. The server accepts this request with code 215. For example:

Examples from other servers: 

215 UNIX Type: L8 Version: BSD-44 
215 NetWare system type. 
215 MACOS Peter's Server 
215 AmigaOS

Another way to get more information is analysing offered files, like trying to download:

compress
ls
tar
gzip
gunzip
compress
zcat
etc.

Then, use the file command to determine the file type:

Finally, it may be possible to determine the OS of a system by a non-technical solution, such as social engineering. Learning about the target through phone calls, chatting to the System Administrator, or even a public site tour are all possibilities

ACTIVE OS FINGERPRINTING

Active fingerprinting is the process of transmitting packets to a remote host and analysing corresponding replies.

This allows the scanner to obtain more accurate results than a passive scanner, and in a shorter amount of time. The traditional approach is to examine the TCP/IP stack behaviour of a targeted network element when probed with several legitimate packets

Nmap is a free and open source utility for network discovery and security auditing. Many systems and network administrators also find it useful for tasks such as network inventory, managing service upgrade schedules, and monitoring host or service uptime. Nmap uses raw IP packets in novel ways to determine what hosts are available on the network, what services those hosts are offering, what operating systems they are running, what type of packet filters/firewalls are in use, and dozens of other characteristics. It was designed to rapidly scan large networks, but works fine against single hosts.
Xprobe2 is an active operating system fingerprinting tool with a different approach to operating system fingerprinting. Xprobe2 relies on fuzzy signature matching, probabilistic guesses and multiple simultaneous matches, and a signature database.
Queso: Hispanic shortcut to “Que Sistema Operativo”, with translates into "Which Operating System". Sends different types of packets to open ports on targets hosts, each one with different TCP headers, and compares the responses with the config file, where the different Ones are described

PASSIVE OS FINGERPRINTING

Passive fingerprinting is the process of analysing packets from a host on a network. In this case, the fingerprinter acts as a sniffer and doesn’t put any traffic on a network. It is called passive because it doesn’t involve communicating with the host being examined.Based on the sniffer traces of these packets, you can determine the operating system of the remote host. Passive scanners are generally and inherently less accurate than active scanners, due to the fact they have less control over the data they are analyzing.

p0f is a tool that utilizes an array of sophisticated, purely passive traffic fingerprinting mechanisms to identify the players behind any incidental TCP/IP communications (often as little as a single normal SYN) without interfering in any way. Version 3 is a complete rewrite of the original codebase, incorporating a significant number of improvements to network-level fingerprinting, and introducing the ability to reason about application-level payloads (e.g., HTTP).
Ettercap is a comprehensive suite for man in the middle attacks. It features sniffing of live connections, content filtering on the fly and many other interesting tricks. It supports active and passive dissection of many protocols and includes many features for network and host analysis.

DHCP FINGERPRINTING

A device will generally issue a DHCP request on the network upon connection. It is the DHCP client of the operating system that issues a DHCP request on the network. When doing so, it asks for DHCP options (like DNS Server, WINS server, default gateway, etc.).

The order in which the DHCP client asks for those options is relatively unique and identifies the specific operating system version. The same principle applies to DHCPv6.

There is a great paper from Eric Kollmann, called Chatter on the Wire: a look at DHCP traffic that explains this technique.

Also, Satori performs passive OS identification on any packets it sees. It can parse and utilize the following packet types: DHCP, TCP (syn and syn/ack), ICMP, SMB, CDP, plus many others.

COUNTERMEASURES

IP PERSONALITY

The Linux IP Personality patch adds to Linux 2.4 kernel the ability to have different 'personalities' network wise, that is to change some characteristics of its network traffic, depending on different parameters (anything you can specify in an iptables rule: src/dst IP address, TCP or UDP port, etc.)

The characteristics that can be changed are:

TCP Initial Sequence Number (ISN)
TCP initial window size
TCP options (their types, values and order in the packet)
IP ID numbers
answers to some pathological TCP packets
answers to some UDP packets

They are deeply configurable. This patch relies on the framework created by Rusty Russel: netfilter. More precisely, the patch adds a new iptables target (in a kernel module) that can be used in the mangle table with a (patched) iptables.

STEALTH PATCH

Stealth patch works for Linux kernels of version 2.2.19 through 2.2.22 and of version 2.4.19. When this patch is applied, all packets with both FIN and SYN flag set are discarded. Furthermore, all packets with one specific reserved bit set and all packets that match nmaps probe 2 (this means the ACK, FIN, RST and SYN flags are not set) are dropped

Though the Stealth Patch does not enable a host to fein being some other operating system, it still can confuse a fingerprinting application by droping specific packets that are typical for a OS detector. The downside of an unmodified Stealth Patch is, since only a few kernel versions were supported, this behaviour could give away valuable info to a fingerprinter again.

IPlog

In contrary to the described methods up to now, IPlog is not a kernel module but a standalone application. Although mainly written for detecting port scans, it includes the ability to try to fool nmap. It detects TCP Null and FIN scans, UDP and ICMP ”smurf” attacks, bogus TCP flags, TCP SYN and ”Xmas” scans.

FINGERPRINT FUCKER

Kernel module available for version 2.2 that also tries to hide original OS and act as a different one. Per default, it will emulate the behaviour of a VAX device, but it can be configured by parsing a nmap signature file and hands over the values to the module.

MORPH

Morph handles inbound and outbound packets and change TCP, UDP, ICMP and IP headers to reflect selected OS. Worked under Linux, and under development for OpenBSD, FreeBSD and NetBSD. Built on Packet Purgatory Library (relies on libpcap and libdnet libraries), that acts as a wedge between OS kernel and network interface running in user land.

The key variable in these functions is the variable packet. This is a buffer that contains the contents of the packet. If the packet handler functions returns zero, whatever is in the buffer at that time will be reinjected to the network. So by modifying the buffer, it modify the packet that will be sent/received.

The inbound packet handler will be called for each packet heading out from the system running Packet Purgatory, before that packet reaches the network, and the inbound packet handler will be called for each packet inbound to the system, but before the system's kernel starts processing it. The State Table works when ever host sends packet by generating a “random” sequence number based on emulated OS. State table maintains session sequence number offset information. Hence, Sequence number gets modified on the way to remote OS.

EVOLUTION: OSfooler-ng

OSfooler-ng has been complete rewriten from the ground up, being highly portable, more efficient and combining all known techniques to detect and defeat at the same time:

Active remote OS fingerprinting: like Nmap
Passive remote OS fingeprinting: like p0f v2
Commercial engines like Sourcefire’s FireSiGHT OS fingerprinting

Some additional features are:

No need for kernel modification or patches
Simple user interface and several logging features
Transparent for users, internal process and services
Detecting and defeating mode: active, passive & combined
Will emulate any OS
Capable of handling updated nmap and p0f v2 fingerprint database
Undetectable for the attacker

In future posts, we will see more in detail the operation of nmap and p0f v2, and how OSfooler-ng can defeat both tools and their analysis techniques.

OSfooler-ng v1.0 released

2019-05-27T00:52:00.001-07:00

Take a look a the oficial repository of OSfooler-ng at Github.

An outsider has the capability to discover general information, such as which operating system a host is running, by searching for default stack parameters, ambiguities in IETF RFCs or non-compliant TCP/IP implementations in responses to malformed requests. By pinpointing the exact OS of a host, an attacker can launch an educated and precise attack against a target machine.

There are lot of reasons to hide your OS to the entire world:

Revealing your OS makes things easier to find and successfully run an exploit against any of your devices.
Having and unpatched or antique OS version is not very convenient for your company prestige. Imagine that your company is a bank and some users notice that you are running an unpatched box. They won't trust you any longer! In addition, these kind of 'bad' news are always sent to the public opinion.
Knowing your OS can also become more dangerous, because people can guess which applications are you running in that OS (data inference). For example if your system is a MS Windows, and you are running a database, it's highly likely that you are running MS-SQL.
It could be convenient for other software companies, to offer you a new OS environment (because they know which you are running).
And finally, privacy; nobody needs to know the systems you've got running.

OSfooler was presented at Blackhat Arsenal 2013. It was built on NFQUEUE, an iptables/ip6tables target which delegate the decision on packets to a userspace. It transparently intercepted all traffic that your box was sending in order to camouflage and modify in real time the flags in TCP/IP packets that discover your system.

OSfooler-NG has been complete rewriten from the ground up, being highly portable, more efficient and combining all known techniques to detect and defeat at the same time:

Active remote OS fingerprinting: like Nmap
Passive remote OS fingeprinting: like p0f v2
Commercial engines like Sourcefire’s FireSiGHT OS fingerprinting

Some additional features are:

No need for kernel modification or patches
Simple user interface and several logging features
Transparent for users, internal process and services
Detecting and defeating mode: active, passive & combined
Will emulate any OS
Capable of handling updated nmap and p0f v2 fingerprint database
Undetectable for the attacker

Install

To get the latest versions, with bugfixes and new features, but maybe not as stable, use the the Github repository:

$ git clone https://github.com/segofensiva/OSfooler-ng.git

You need to install python-nfqueue (v0.5-1build2) linux package. Download from Ubuntu Packages:

$ wget http://mirrors.kernel.org/ubuntu/pool/universe/n/nfqueue-bindings/python-nfqueue_0.5-1build2_amd64.deb
$ dpkg -i python-nfqueue_0.5-1build2_amd64.deb

Install OSfooler-ng in the standard way:

$ sudo python setup.py install

Usage

Active Fingerprinting: nmap

To get the full list of OS to emulate, just use the flag '-n':

$ osfooler-ng -n
 [+] Please, select nmap OS to emulate
    + "2N Helios IP VoIP doorbell"
    + "2Wire BT2700HG-V ADSL modem"
    + "2Wire 1701HG wireless ADSL modem"
    [...]
    + "ZyXEL Prestige 660HW-61 ADSL router (ZyNOS 3.40)"
    + "ZyXEL Prestige 660HW-D1 wireless ADSL router"
    + "ZyXEL ZyWALL 2 Plus firewall"

To emulate an specific OS, just use the flag '-o' with the OS you want to emulate:

$ osfooler-ng -m "Sony Ericsson W705 or W715 Walkman mobile phone"
 [+] Mutating to nmap:
      Fingerprint Sony Ericsson W705 or W715 Walkman mobile phone
      Class Sony Ericsson | embedded || phone
      CPE cpe:/h:sonyericsson:w705
      CPE cpe:/h:sonyericsson:w715
      SEQ(CI=RD%II=I)
      OPS(R=N)
      WIN(R=N)
      ECN(R=N)
      T1(R=N)
      T2(R=Y%DF=N%T=3B-45%TG=40%W=0%S=Z%A=S%F=AR%O=%RD=0%Q=)
      T3(R=N)
      T4(R=Y%DF=N%T=3B-45%TG=40%W=0%S=A%A=Z%F=R%O=%RD=0%Q=)
      T5(R=Y%DF=N%T=3B-45%TG=40%W=0%S=Z%A=S+%F=AR%O=%RD=0%Q=)
      T6(R=Y%DF=N%T=3B-45%TG=40%W=0%S=A%A=Z%F=R%O=%RD=0%Q=)
      T7(R=Y%DF=N%T=3B-45%TG=40%W=0%S=Z%A=S+%F=AR%O=%RD=0%Q=)
      U1(DF=N%T=3B-45%TG=40%IPL=164%UN=0%RIPL=G%RID=G%RIPCK=G%RUCK=G%RUD=G)
      IE(DFI=N%T=3B-45%TG=40%CD=S)
 [+] Activating queues
      [->] Process-1: nmap packet processor

Passive Fingerprinting: p0f v2

To get the full list of OS to emulate, just use the flag '-l':

$ osfooler-ng -p 
Please, select p0f OS Genre and Details
        OS Genre="AIX" Details="4.3"
        OS Genre="AIX" Details="4.3.2 and earlier"
        OS Genre="AIX" Details="4.3.3-5.2 (1)"
        [...]
        OS Genre="-*NMAP" Details="OS detection probe w/flags (3)"
        OS Genre="-*NMAP" Details="OS detection probe w/flags (4)"
        OS Genre="-*NAST" Details="syn scan"

To emulate any p0f OS, just use the flag '-o' with the OS Genre. This will choose the main OS and custom version will be randomly loaded when a SYN packet is detected. For example:

$ osfooler-ng -o "PalmOS"
 [+] Mutating to p0f:
      WWW:S9|TTL:255|D:0|SS:44|OOO:M536|QQ:.|OS:PalmOS|DETAILS:Tungsten T3/C
      WWW:S5|TTL:255|D:0|SS:44|OOO:M536|QQ:.|OS:PalmOS|DETAILS:3/4
      WWW:S4|TTL:255|D:0|SS:44|OOO:M536|QQ:.|OS:PalmOS|DETAILS:3.5
      WWW:2948|TTL:255|D:0|SS:44|OOO:M536|QQ:.|OS:PalmOS|DETAILS:3.5.3 (Handera)
      WWW:S29|TTL:255|D:0|SS:44|OOO:M536|QQ:.|OS:PalmOS|DETAILS:5.0
      WWW:16384|TTL:255|D:0|SS:44|OOO:M1398|QQ:.|OS:PalmOS|DETAILS:5.2 (Clie)
      WWW:S14|TTL:255|D:0|SS:44|OOO:M1350|QQ:.|OS:PalmOS|DETAILS:5.2.1 (Treo)
      WWW:16384|TTL:255|D:0|SS:44|OOO:M1400|QQ:.|OS:PalmOS|DETAILS:5.2 (Sony)
 [+] Activating queues
      [->] Process-1: p0f packet processor

You can also emulate the full p0f OS, using '-' with the OS Genre and '-d' with custom details:

$ osfooler-ng -o "Windows" -d "XP bare-bone"
 [+] Mutating to p0f:
     WWW:65520|TTL:128|D:1|SS:48|OOO:M*,N,N,S|QQ:.|OS:Windows|DETAILS:XP bare-bone
[+] Activating queues
     [->] Process-1: p0f packet processor

Active and Passive Fingerprinting: nmap & p0f

OSfooler-ng is also capable os emulating both OS to defeat nmap and p0f. Just combine the parameters above:

$ osfooler-ng -m "Microsoft Windows 2000 SP4" -o "Windows" -d "2000 SP4"
 [+] Mutating to nmap:
      Fingerprint Microsoft Windows 2000 SP4
      Class Microsoft | Windows | 2000 | general purpose
      CPE cpe:/o:microsoft:windows_2000::sp4
      SEQ(SP=7C-86%GCD=1-6%ISR=95-9F%TI=I%II=I%SS=O|S%TS=0)
      OPS(O1=NNT11|M5B4NW0NNT00NNS%O2=NNT11|M5B4NW0NNT00NNS%O3=NNT11|M5B4NW0NNT00%O4=NNT11|M5B4NW0NNT00NNS%O5=NNT11|M5B4NW0NNT00NNS%O6=NNT11|M5B4NNT00NNS)
      WIN(W1=FFFF%W2=FFFF%W3=FFFF%W4=FFFF%W5=FFFF%W6=FFFF)
      ECN(R=Y%DF=N%T=7B-85%TG=80%W=0%O=%CC=N%Q=U)
      T1(R=Y%DF=Y%T=7B-85%TG=80%S=O%A=O|S+%F=A|AS%RD=0%Q=|U)
      T2(R=Y%DF=N%T=7B-85%TG=80%W=0%S=Z%A=S%F=AR%O=%RD=0%Q=U)
      T3(R=Y%DF=N%T=7B-85%TG=80%W=0%S=Z%A=O%F=AR%O=%RD=0%Q=U)
      T4(R=Y%DF=N%T=7B-85%TG=80%W=0%S=A%A=O%F=R%O=%RD=0%Q=U)
      T5(R=Y%DF=N%T=7B-85%TG=80%W=0%S=Z%A=S+%F=AR%O=%RD=0%Q=U)
      T6(R=Y%DF=N%T=7B-85%TG=80%W=0%S=A%A=O%F=R%O=%RD=0%Q=U)
      T7(R=Y%DF=N%T=7B-85%TG=80%W=0%S=Z%A=S+%F=AR%O=%RD=0%Q=U)
      U1(DF=N%T=7B-85%TG=80%IPL=38%UN=0%RIPL=G%RID=G%RIPCK=G%RUCK=G%RUD=G)
      IE(DFI=S%T=7B-85%TG=80%CD=Z)
 [+] Mutating to p0f:
      WWW:40320|TTL:128|D:1|SS:48|OOO:M*,N,N,S|QQ:.|OS:Windows|DETAILS:2000 SP4
 [+] Activating queues
      [->] Process-1: nmap packet processor
      [->] Process-2: p0f packet processor

Searching for Operating Systems

You can search inside nmap/p0f database for a specific OS, instead of getting the whole list. Just use the flag '-s' and enter the keyword you want to search for (case insensitive). You'll get any match found, and if it belongs to nmap or p0f databases:

$ osfooler-ng -s playstation
 [+] Searching databases for: 'playstation'
      [nmap] "Sony Playstation 4 or FreeBSD 10.2-RELEASE"
      [nmap] "Sony PlayStation 2 game console test kit 2.2.1"
      [nmap] "Sony PlayStation 3 game console"
      [nmap] "Sony PlayStation 3 game console test kit"
      [nmap] "Sony PlayStation 2 game console"
      [p0f] OS: "Sony" DETAILS: "Playstation 2 (SOCOM?)"

Update nmap database

Use the flag '-u' to check if there's a new version of nmap's database avaiable and to download it

$ osfooler-ng -u
 [+] Checking nmap database... latest!

Custom flags

There are other interesting flags:

'-v': Show info about every modified packet
'-i ': Choose network interface (eth0 by default)
'-V': Show OSfooler-ng banner and current version installed

Authors

Jaime Sánchez (@segofensiva)

License

This project is licensed under the The GNU General Public License v3.0 - see the LICENSE.md file for details

Acknowledgments

Defcon China, for leting me show this tool on Demo Labs
All those people who have worked and released software on OS fingerprinting (attack and defense), specially nmap & p0f, but also Xprobe, IP Personality etc.
OSfooler-ng makes use of the Scapy Project and The netfilter.org "libnetfilter_queue" project

Next Stop, Defcon China: Derevolutionizing OS Fingerprinting: The cat and mouse game (slides)

2019-05-06T04:16:00.002-07:00

Great news!! I will be speaking at Defcon China (31 May - 02) about “Derevolutionizing OS Fingerprinting: The Cat and Mouse Game”.

With the explosive growth and distributed nature of computer networks, it has become progressively more difficult to manage, secure, and identify Internet devices. An outsider has the capability to discover general information, such as which operating system a host is running, by searching for default stack parameters, ambiguities in IETF RFCs or non-compliant TCP/IP implementations in responses to malformed requests. By pinpointing the exact OS of a host, an attacker can launch an educated and precise attack against a target machine.

There are lot of reasons to hide your OS to the entire world:

Revealing your OS makes things easier to find and successfully run an exploit against any of your devices.
Having and unpatched or antique OS version is not very convenient for your company prestige. Imagine that your company is a bank and some users notice that you are running an unpatched box. They won't trust you any longer! In addition, these kind of 'bad' news are always sent to the public opinion.
Knowing your OS can also become more dangerous, because people can guess which applications are you running in that OS (data inference). For example if your system is a MS Windows, and you are running a database, it's highly likely that you are running MS-SQL.
It could be convenient for other software companies, to offer you a new OS environment (because they know which you are running).
And finally, privacy; nobody needs to know the systems you've got running.

This talk aims to present well-known methods that perform classification using application-layer traffic (TCP/IP/UDP headers, ICMP packets, or some combination thereof), old style approaches to defeat remote OS fingerprinting (like tweaking Windows registry or implement patches to the Linux kernel) and why this doesn't work with nowadays and could affect TCP/IP stack performance.

I'll also present a new approach to detect and defeat both active/passive OS fingerprint with OSfooler-NG, a completely rewritten tool, highly portable, completely undetectable for the attackers and capable of detecting and defeating famous tools like nmap, p0f, Xprobe, pfsense and many commercial engines:

Sorry guys, OS fingerprinting is over ...

Kratos (una historia de Password Cracking): especificaciones técnicas y montaje

2019-04-22T12:05:00.000-07:00

Desde hace ya muchos años, he pasado la mayoría de mis días hackeando sistemas, investigando servicios / aplicaciones / protocolos o creando nuevas herramientas. Como parte de este trabajo, descifrar hashes es algo con lo que he tenido que enfrentarme frecuentemente. Sé que hoy en día es sencillo alquilar una instancia en la nube con varias GPUs, pero cuanto más avanzábamos en nuestra charla de Kaonashi, más me daba cuenta de que necesitaba acceso casi constante, por lo que decidí montarme mi propio sistema.

Esta es la historia de Kratos.

Una de las decisiones a las que tienes que enfrentarte al montar estos sistemas es el tipo de ventilación que se va a utilizar, donde tenemos dos opciones: refrigeración líquida o un buen flujo de aire utilizando ventiladores. A pesar de que es más una decisión personal, prefiero mantener un buen flujo de aire en la caja del equipo y me siento más tranquilo sabiendo que una posible fuga de líquido no acabará dañando las piezas :)

Aprovechando que Roma pasa por Santiago, opte por unas especificaciones técnicas más completas y poder utilizar el equipo para otras tareas que requirieran de algo de potencia. También he incluido ventilación adicional. y un SAI que proteja el equipo frente a posibles picos de tensión o apagones (más vale prevenir que curar).

La configuración final quedó así:

Montaje

Trabajar con una carcasa mATX como la Thermaltake Core V21 a veces puede ser complicado por los temas de espacio, pero realmente merece la pena cuando has acabado, ya que consigues un equipo compacto, con buena ventilación y con un tamaño reducido. Comenzamos desmontando las diferentes tapas de la caja, e instalando la fuente de alimentación del sistema con el ventilador orientado hacia abajo, de tal forma que podamos expulsar directamente el calor generado por ésta:

Ahora nos ponemos manos a la obra con la placa base, instalando con cuidado la CPU en el socket correspondiente, después de la sorpresa anterior con un intento de fraude con un i9. Debemos prestar atención a las muescas y los indicadores que vienen sobre el chipset, para alinearlo correctamente y no dañar ningún componente:

Instalamos los soportes inferiores y superiores del ventilador del procesador, y añadimos la memoria RAM, ya que si lo hacemos posteriormente lo tendremos más complicado por temas de espacio, ya que el disipador nos lo complicará:

Por las características de este equipo, he decidido prescindir de los discos duros en formato 2.5 o 3.5, a pesar de que la caja permite el montaje de varios de cada tipo. Para reducir la cantidad de calor gestionado, he optado por un disco en formato NVMe como se aprecia a continuación:

Ahora es momento de montar disipador y ventilador de la CPU. Dependiendo de la caja que hayáis escogido, es posible que debáis orientar el ventilador hacia un lado u otro. En mi caso lo he orientado a uno de los laterales de la caja, ya que si ponía el disipador en perpendicular, no había espacio para instalar la primera RTX 2080ti y hacía contacto con el circuito, posiblemente creando cortos y estropeando el componente:

Montamos y atornillamos la placa sobre el interior de la caja, montamos el ventilador posterior, y comprobamos que ningún elemento interno obstaculiza la ventilación, ni produce ningún contacto no deseado:

Ahora conectamos los diferentes cables de alimentación de la caja, botones de encendido, reset, ventilador de CPU etc. y finalmente instalamos las RTX 2080ti y les proporcionamos alimentación directa desde la fuente:

Ahora solo queda comprobar que todas las conexiones están correctas, agrupamos los cables y los organizamos para facilitar el flujo de aire, y cerramos la caja:

Para ponerle la guinda al pastel, he creado un sticker con el logo y el nombre de nuestra nueva máquina:

Conclusiones

Siendo honesto, no podría estar más contento con el rendimiento de este equipo. El flujo de aire está bastante conseguido en este modelo, manteniendo unas temperaturas aceptables cuando se encuentra a pleno rendimiento. En los siguientes posts veremos los diferentes pasos de instalación del SO y drivers, así como configuración y optimización de hashcat...

Espero que os haya gustado!

Examen del Master in Cybersecurity (IE School of HST) 2018 / 2019

2019-04-10T22:31:00.001-07:00

Como ya sabéis muchos de vosotros, soy profesor del Master in Cybersecurity del IE School of HST. Todos los años por estas fechas, toca poner a prueba los conocimientos adquiridos por mis alumnos durante las diferentes sesiones que hemos pasado juntos. De forma directa o indirecta, se repasan todos los conceptos que les he proporcionado a través de las slides, sesiones prácticas y ejercicios que debe realizar cada semana.

A continuación veréis la parte tipo Test del examen de este año, que tienen que realizar en papel, durante un examen de de una hora y media en el que, además, también deben completar una parte práctica con ejercicios de XSS, SQLi, OSINT, Criptografía o Password Cracking entre otras muchas cosas...

Si os animáis, también podéis hacerlo vosotros y saber como andáis de conocimientos. El master se imparte en inglés, por lo que os dejo el examen directamente con alguna pequeña variación }:)

QUESTIONS

What is the primary goal of an Ethical Hacker?

A. Avoiding detection

B. Determining return on investment (ROI) for security measures

C. Resolving security vulnerabilities

D. Testing security controls

An ethical hacker is hired by an organization to gain remote access to their internal network. He has not received any information about the internal network of the organization. What kind of test is carried out here?

A. black box testing

B. grey box testing

C. white box testing

Mary has added an apostrophe after an ?id= parameter within the URL of a webpage. She now sees an error, saying there was a syntax error. What did Mary find?

A. Cross-Site Scripting vulnerability

B. PostgreSQL database exploit

C. SQL Injection

A site uses dynamically generated content. By making use of a specific technique, it is possible to steal login credentials of the user. Which technique is meant here?

A. Session Hijacking

B. SQL injection

C. Cross Site Scripting (XSS)

You have found a live system on IP address 192.168.10.113. Which nmap command lets you detect the Operating System of a target?

A. nmap -O 192.168.10.113

B. nmap -Os 192.168.10.113

C. nmap -os 192.168.10.113

A service scan including fingerprint showed that a target machine is running Apache 2.2.14. What could be the next step to check if this service is vulnerable?

A. Check online resources such as Exploit-DB, OSVDB for known vulnerabilities.

B. Use nslookup to determine Apache configuration and patch level.

C. Use burp to gain access to the machine through this service.

You know the table and column names from a database, you can expand your SQL Injection to retrieve data. What should you use?

A. UNION GET

B. UNION SELECT

C. UNION CONCAT

Before beginning the ethical hack at a client, a penetration tester should always be prepared for any legal issues. What should the penetration tester do to prevent legal liability?

A. Analyze the environment of the client to see if there are any vulnerabilities that might cause issues before the actual ethical hack.

B. Sign a contract with the client before performing the ethical hack.

C. Talk to the client before the test and make sure whether the test has to be a black, grey or white box test.

At what point in the Ethical Hacking process is the attacker most likely to use a port scanning tool?

A. Attack execution

B. Attack preparation

C. Information gathering

D. Report writing

A penetration tester wants to know what IP addresses are currently active on the network. He uses nmap to do so. What nmap switch does he need to perform this test?

A. -sU

B. -sO

C. -sP

A client has said that he created a case-insensitive filter for 'script' from being inserted in any forms to prevent an XSS PoC. How can you bypass this?

A. <sCrIPt>alert(1);</ScRiPT>

B. <javascript>alert(1);</script>

C. <img src=x onerror=alert(1)>

A hacker managed to find an XSS vulnerability. Now she wants to take over sessions.Where does she need the data retrievable from?

A. document.session

B. session.cookie

C. document.cookie

When creating an XSS PoC, what is the function that provides a pop-up?

A. popup()

B. alert()

C. window.popup()

A penetration tester is asked to scan a machine, but is only allowed to check if TCP/IP ports 21, 22, 80 and 443 are open. What should she use?

A. nmap -vv -A -p 21,22,80,https <target>

B. nmap -vv -p 21,22,80,443 <target>

C. nmap -sV ftp, ssh, http, https <target>

An Ethical Hacker is asked to perform a penetration test for a client and all he has received is a URL. What kind of test is this?

A. Black box penetration test

B. Black hat hacking test

C. White box penetration test

A penetration tester is testing a web application. To check for vulnerabilities she decides to check if SQL injections are possible. Which character is typically used first by the penetration tester?

A. Dollar sign

B. Semicolon

C. Single quote

An ethical hacker is trying to breach a website through SQL Injection. He also changed his UserAgent HTTP header, sent by his browser. What can he achieve with this action?

A. He acquires a matching SSL connection.

B. He obtains better performance of the website so that it responds faster to his requests.

C. He prevents forensics from revealing his real browser that was used during the attac

When looking at webserver log files, Pete wants to know what browser was used during the attack against his website. Pete should look for information that is generally being sent through the <answer> header. Which <answer> header does it concern?

A. Accept-Language:

B. Host:

C. User-Agent:

A company has suffered from a DDoS attack. They have the IP address of the attacker and want to contact their Internet Service Provider to report an abuse. What must they perform?

A. DNS Lookup

B. GeoIP Location Lookup

C. WHOIS Lookup

A penetration tester is scanning the network environment of his client with a tool. This tool has the following properties:

- It uses a ranking to show the impact of a vulnerability.

- It detects all sorts of vulnerabilities on various operating systems such as Windows, Linux and Mac OS.

- It is able to detect bots, trojans and other malware that might be installed on the computers connected to the network.

What is the name of the tool the penetration tester is using?

A. Nessus

B. Nmap

C. Nikto

What will an open port return from an ACK scan?

A. Nothing

B. SYN/ACK

C. RST

D. FIN

Port scanning can be used as part of a technical assessment to determine network vulnerabilities. The TCP XMAS scan is used to identify listening ports on the targeted system. If a scanned port is open, what happens?

A. The port will ignore the packets

B. The port will send an RST

C. The port will send a SYN

D. The port will send an ACK

Passive reconnaissance involves collecting information through which of the following?

A. Social engineering

B. Network traffic sniffing

C. Man in the middle attacks

D. Publicly accessible sources

What is the default Password Hash Algorithm used by NTLMv2?

A. MD4

B. DES

C. SHA-1

D. MD5

Which property ensures that a hash function will not produce the same hashed value for two different messages?

A. Collision resistance

B. Bit length

C. Key strengt

D. Entropy

This method is used to determine the Operating system and version running on a remote target system. What is it called?

A. Service Degradation

B. OS Fingerprinting

C. Manual Target System

D. Identification Scanning

Which of the following is designed to identify malicious attempts to penetrate systems?

A. Intrusion Detection System

B. Router

C. Proxy

D. Firewall

PGP, SSL, and IKE are all examples of which type of cryptography?

A. Hash Algorithm

B. Secret Key

C. Public Key

D. Digest

NTP allows you to set the clocks on your systems very accurately, to within 100ms and sometimes-even 10ms. Knowing the exact time is extremely important for enterprise security. Various security protocols depend on an accurate source of time information in order to prevent "playback" attacks.

These protocols tag their communications with the current time, to prevent attackers from replaying the same communications, e.g., a login/password interaction or even an entire communication, at a later date.

One can circumvent this tagging, if the clock can be set back to the time the communication was recorded.

An attacker attempts to try corrupting the clocks on devices on your network.

You run Wireshark to detect the NTP traffic to see if there are any irregularities on the network.

What port number you should enable in Wireshark display filter to view NTP packets?

A. TCP Port 124

B. UDP Port 125

C. UDP Port 123

D. TCP Port 126

You can find XSS vulnerabilities in which of the following?

A. Search fields that echo a search string back to the user

B. HTTP headers

C. Input fields that echo user data

D. All of the above

Software developers should escape all characters (including spaces but excluding alphanumeric characters) with the HTML entity &#xHH; format to prevent what type of attack?

A. DDoS attacks

B. XSS attacks

C. CSRF attacks

D. Brute-force attacks

Which of the following tools is used to perform a credential brute force attack?

A. Hydra

B. John the Ripper

C. Hashcat

D. Peach

Jason, a penetration tester, is testing a web application that he knows is vulnerable to an SQL injection but the results of the injection are not visible to him.

He tried waitfor delay command to check the SQL execution status which confirmed the presence of the SQL injection vulnerability.

Which type of SQL injection Jason is attempting on the web application?

A. Blind SQL injection

B. Error-based SQL injection

C. UNION SQL Injection

D. Simple SQL Injection

What are the limitations of Vulnerability scanners? (Select 2 answers)

A. There are often better at detecting well-known vulnerabilities than more esoteric ones

B. The scanning speed of their scanners are extremely hig

C. It is impossible for any, one scanning product to incorporate all known vulnerabilities in a timely manner

D. The more vulnerabilities detected, the more tests required

E. They are highly expensive and require per host scan license

In order to compromise or to hack a system or network the hackers go through various phases of the hacking. What is the first hacking phase that hackers perform to gather information about a target prior to launching an attack?

A. Reconnaissance

B. Scanning

C. Gaining Access

D. Maintaining Access

E. Clearing Track

Which of the following tools performs comprehensive tests against web servers, including dangerous files and CGIs?

A. Nmap

B. John the Ripper

C. Snort

D. Nikto

Which tool queries publicly available databases that contain domain name registration contact information?

A. burp

B. nikto

C. whois

D. nslookup

Which type of scan does NOT open a full TCP connection?

A. Stealth Scan

B. XMAS Scan

C. Null Scan

D. FIN Scan

What is the best description of SQL Injection?

A. It is an attack used to gain unauthorized access to a database.

B. It is an attack used to modify code in an application.

C. It is a Man-in-the-Middle attack between your SQL Server and Web App Server.

D. It is a Denial of Service Attack.

What techniques would you use to evade IDS during a Port Scan? (Select 4 answers)

A. Use fragmented IP packets

B. Spoof your IP address when launching attacks and sniff responses from the server

C. Overload the IDS with Junk traffic to mask your scan

D. Use source routing (if possible)

E. Connect to proxy servers or compromised Trojaned machines to launch attacks

TCP SYN Flood attack uses the three-way handshake mechanism.

1. An attacker at system A sends a SYN packet to victim at system B

2. System B sends a SYN/ACK packet to victim A

3. As a normal three-way handshake mechanism system A should send an ACK packet to system B, however, system A does not send an ACK packet to system "B". In this case client B is waiting for an ACK packet from client A

This status of client B is called _________________

A. "half-closed"

B. "half open"

C. "full-open"

D. "xmas-open"

Descubriendo la estafa de un Intel® Core™ i9

2019-04-08T03:01:00.000-07:00

Como ya sabréis, hace poco dimos una charla en RootedCon sobre técnicas avanzadas de Password Cracking que puedan surgir en tu Red Team o Blue Team. Como consecuencia de esto, decidí actualizar laboratorio, incluyendo una máquina propia y no tener que depender de instancias en la nube. La configuración era como la publicada en el siguiente tweet:

Building a small and well suited password cracking rig: 2x2080ti, i9 9900k, MSI Z390m, 64Gb DDR4 & 1Tb NVMe PCIe 😈 #weekendfun #passwordcracking #2x2080ti #Kratos #codename pic.twitter.com/S2EkppSsyh

— Jaime Sanchez (@segofensiva) April 6, 2019

Estoy seguro de que todos conocéis ya de sobra la gama de procesadores Intel, con sus diferentes variantes y velocidades. Al igual que cualquier otro producto conocido, están abocados a tener falsificaciones y a la picaresca de unos cuantos. Las falsificaciones de un producto como un iPhone, MacBook e incluso procesadores Intel son adecuadas para generar fraude y dinero de forma sencilla, ya que es un producto con mucho mercado. Sin embargo, el proceso para falsificar/realizar un fraude con un procesador Intel es un tanto curioso.

Os voy a contar la historia de lo que me encontré recientemente mientras montaba mi nueva máquina 'Kratos' durante el fin de semana... }:)

Como iba diciendo, estaba en medio del proceso de montar mi nueva máquina, que os explicaré más adelante en otro post. Cuando llegó el momento de montar el CPU y el disipador sobre la placa, me di cuenta que algo no estaba bien. A pesar de que compré el i9 9900k como producto nuevo, había algunas pegatinas que claramente habían sido recolocadas de nuevo sobre la caja, y el producto parecía que había sido reempaquetado cuidadosamente.

La sorpresa viene cuando al sacar el procesador, toca montarlo sobre el socket de la placa. Vaya! Algo no está bien, parece que las muescas de no encajan con las que deberían ser. Compruebo que la placa que he comprado, una MSI Z390m, soporta el socket 1151 que lleva el i9, y sí, sí que lo hace. Así que voy a buscar a Google una foto del mismo para ver que está ocurriendo, por si hubiera algún defecto de fabricación, encontrándome esto:

Empiezan las sospechas, ya que las muescas que mi procesador lleva no son exactamente iguales, es decir, se encuentran en la parte izquierda y derecha de la placa, cuando el original las lleva sobre el lado izquierdo y derecho. La cuestión es que esa disposición ya la había visto antes, así que acudo de nuevo a Internet y reviso la gama de procesadores Intel desde hace unos años hasta ahora y Bingo! encuentro una posible coincidencia:

Spot a fake CPU!! Someone is taking and delidding old core2duo, buying and delidding a brand new i9, swapping lids, reglueing and then returning the old one with the new lid to @AmazonESP. Take a look at pictures. On the left, i9 9900k I’ve just received... #scam #fakecpu pic.twitter.com/O3MixquKn6

— Jaime Sanchez (@segofensiva) April 7, 2019

Como se puede apreciar en la imagen, el supuesto i9 que he recibido es el de la izquierda, mientras que a la derecha nos encontramos un Core2Duo e8400, que encajan perfectamente en la descripción, en la falta de 'wings' o pequeñas alas características en la parte superior, así como en la colocación de las muescas (notches), que existen para que no puedas encajar la CPU en la placa de una forma incorrecta.

El paso siguiente es comprobar los números de serie originales, cosa que podemos hacer en la correspondiente etiqueta de la caja. Veréis algo similar a esto:

Con esa información, vamos a contrastarla con la que viene sobre la superficie de nuestra CPU, que tiene varios números de serie:

Número de lote (FPO): se encuentra en la parte superior del procesador.
Número de serie parcial (ATPO parcial): se encuentra en el borde exterior del procesador. El número de serie parcial contiene los últimos tres a cinco dígitos del número de serie completo del procesador. Se imprime en formato legible por humanos en los bordes exteriores del procesador.
Matriz 2D: contiene el número de serie completo del procesador. Esta matriz debe leerse utilizando una herramienta de terceros y ciertas cámaras smartphones.

Vea el ejemplo a continuación en las ubicaciones de cada marca:

Con todos esos datos, que además coincidían entre el procesador y la caja que había recibido, me dirigí a la página oficial de soporte y garantía de Intel (https://supporttickets.intel.com/warrantyinfo?lang=en-US) y comprobé la CPU que había recibido con esos números de serie:

Si el número es correcto y además todo coincide... ¿Qué está pasando aquí? ¿Un fallo en la cadena de producción de Intel que afecta al diseño? Pues la respuesta es bastante más sencilla que todo eso...

El truco radica en la pegatina y la parte superior del procesador. Se puede ver claramente que la etiqueta pone Intel i9-9900k, pero después de despegar la etiqueta, nos encontramos otra CPU con la inscripción superior eliminada. Los estafadores, en la mayoría de los casos, hacen un delid de dos CPU (una antigua como este Core2Duo y una nueva como el i9 9900k):

"Esta práctica tiene cosas buenas, ya que permite reducir unos 10ºC de media la temperatura del procesador, cuando cambiamos la pasta térmica interna que mejora la superficie de contacto entre el silicio de los núcleos y la superficie metálica que lo protege."

Hay estar atentos a estas prácticas, ya que podemos encontrarnos diferentes variantes. Lijar la parte superior, colocando una pegatina falsa o directamente la de la CPU nueva, para hacerla pasar por ésta, (cono en el caso que me ha ocurrido), o intercambian la parte superior, el IHS (del inglés Integrated Heat Spreader) para que los operadores al realizar las comprobaciones de número de serie en la devolución no se percaten, y realizan un reembolso de la CPU comprada, que realmente es el Core2Duo, de tal forma que se quedan con el i9 y el dinero que deberían haber pagado:

En mi caso he recibido un Core2Duo cuyo socket LGA775 es bastante diferente del LGA1151 que llevaría el i9, pero si los estafadores quisieran intentar pasar más desapercibidos, podrían utilizar un Celeron G3930 que lleva el mismo tipo de socket, en cuyo caso sólo nos daríamos cuenta al arrancar el equipo y obtener información de la CPU de nuestro sistema, ya que el rendimiento sería tremendamente inferior, además de tener menor número de cores etc.

Sold and sent by Amazon. Supposed to be brand new 🤷🏻‍♂️ take a look at the notches... pic.twitter.com/D0MR8Ak88Q
— Jaime Sanchez (@segofensiva) April 7, 2019

Así que tened cuidado al realizar estas compras, ya que podéis tener algún problema como el que os he comentado. Yo por el momento ya he informado a Amazon y mañana me enviarán un i9 9900k nuevo, que esperemos que no tenga el mismo problema y pueda acabar de montar mi nueva máquina Kratos! }:)

Ese proceso se convertirá en un nuevo post en el que os mostraré el proceso y el rendimiento, y espero poder finalizarlo pronto.

¿Alguien más ha sufrido este intento de estafa por parte de terceros al comprar componentes en tiendas online? Para ser que en Reddit algún usuario ha sufrido este intento en EEUU, incluso ya se realiza con las GPU 1080ti que se venden por eBay, pero no conocía ningún caso en España...

Disponibles las Slides de 'I know your P4$$w0rd (and if I don’t, I will guess it)'

2019-04-06T06:29:00.000-07:00

Ya están disponibles las slides de la charla que Pablo Caro y yo dimos en RootedCon 2019, titulada 'I KNOW YOUR P4$$W0RD (AND IF I DON’T, I WILL GUESS IT)'.

En breve publicaremos las wordlist, reglas, mascaras etc. de forma pública }:)

Como sabéis, tratamos muchas formas de afrontar una sesión de password cracking, utilizando conocimiento a través de distintos análisis conductuales y estadísticos para, utilizando redes neuronales y otras técnicas avanzadas, obtener patrones que nos permitan crackear hashes cuya resistencia suele ser bastante alta utilizando otras técnicas.

Puedes descargar también las máscaras, reglas y las wordlists que presentamos desde el repositorio oficial de Github.

Happy password cracking! }:)

I know your P4$$w0rd (and if I don’t, I will guess it) - Rootedcon 2019

2019-03-23T12:18:00.001-07:00

La conferencia de seguridad informática Rooted CON nació con el propósito de promover el intercambio de conocimientos entre los miembros de la comunidad de seguridad. La edición de este año 2019 tendrá lugar del 28 al 30 de marzo en Kinépolis (Madrid).

Para mi Rooted es un congreso al que tengo mucho cariño. A pesar de haber hablado en muchas otras grandes conferencias, como Blackhat, Defcon, Shmoocon, Derbycon o Nuit du Hack, por nombrar algunas, podríamos decir que esta conferencia fue la que me vio nacer y me brindó una oportunidad durante los inicios.

Por eso, me gustaría anunciaros con orgullo que vuelvo a las andadas }:) y este Viernes 29 a las 10.00 am estaremos en la Sala Cibeles mi compañero Pablo J Caro y yo dando un charla que hemos llamado "I know your P4$$w0rd (and if I don’t, I will guess it)", y compartiendo espacio y un buen rato con otra gran cantidad de profesionales que también estarán allí presentes

En ella hablaremos de temas relacionados con el password cracking, conceptos válidos para Red / Blue Teams, de nuestro desarrollo privado Kaonashi y un montón de cosas interesantes.

Cuando un usuario tiene que elegir una contraseña, tiende a construirla de la misma forma, con la misma información personal como base, y usando las mismas ideas para añadir complejidad a la misma. En este estudio que os mostraremos , nos hicimos con varios miles de millones de contraseñas reales, con el fin de hacer un análisis a gran escala de esos comportamientos comunes, extrayendo conclusiones que nos permitan crear procedimientos y herramientas específicas para mejorar las técnicas actuales de Password Cracking.

Finalmente, usaremos este conocimiento obtenido a través de distintos análisis conductuales y estadísticos para, utilizando redes neuronales y otras técnicas avanzadas, obtener patrones que nos permitan crackear hashes cuya resistencia suele ser bastante alta utilizando otras técnicas.

Quiza dentro de poco volvamos a vernos más frecuentemente, os mantendré informados...

Espero veros a todos allí!

Visita a Black Hat USA 2014

2014-08-05T16:37:00.001-07:00

Buenos días a todos desde Las Vegas! Después de un intenso viaje, no sin alguna complicación técnica gracias a las aduanas de EEUU que me hicieron perder la conexión con mi vuelo, ya estoy listo y con las demos funcionando al 100% para mañana Black Hat USA 2014.

Los que vayáis a asistir, estaré en el Arsenal de 12:45 p.m. a 3:15 p.m mostrando WhatsApp Privacy Guard, con las últimas modificaciones para que sea completamente funcional con el nuevo protocolo de autenticación WAUTH-2.

Además, de 2:15 p.m. a 2:45 p.m daré una charla sobre su funcionamiento, en la que hablaré también de todos los descubrimientos que hemos ido descubriendo Pablo y yo a lo largo del último año.

Ya iré contando... }:)

WhatsApp Authentication: profundizando en WAUTH-1 y WAUTH-2

2014-06-10T01:39:00.000-07:00

En esta segunda entrada voy a profundizar en los mecanismos de autenticación de WhatsApp WAUTH-1 y WAUTH-2, ya que el mecanismo de MD5 se dejó de utilizar el 24 de diciembre de 2012.

EN QUÉ CONSISTE WAUTH-1

En WAUTH-1 en el momento de registrar el teléfono en el servicio, cuando recibimos un SMS con un código, se genera un password en los servidores de WhatsApp que será un secreto compartido entre el teléfono y los servidores.

Cuando el teléfono trata de logarse en WhatsApp para recibir o enviar mensajes, los servidores de WhatsApp le envían un challenge de 20 bytes, que junto con el password (secreto compartido) generarán las claves RC4 y HMAC de la sesión. La forma de autenticarse es que el teléfono cifre con la clave de sesión su número de teléfono concatenado con el challenge enviado por el servidor y concatenado con el timestamp. Los servidores de WhatsApp descifraran el mensaje y verificaran que se compone del numero de telefono, el challenge enviado y un timestamp.

Las claves de sesión RC4 y HMAC son el resultado de usar PKDBF2, con el password (secreto compartido), utilizando el challenge del servidor como salt y SHA1 como función de hash. Se utilizan 16 iteraciones de este algoritmo y los 20 bytes mas significativos del resultado son empleados como clave RC4 (para cifrar la comunicación) y HMAC-SHA1 (para validar la integridad de los mensajes) durante la sesión establecida entre el teléfono y los servidores de WhatsApp.

Al usar la misma password para cifrar los mensajes enviados desde el teléfono hacia los servidores y desde los servidores hacia el teléfono se produce la vulnerabilidad que comentamos en NocOnName 2013, que permitiría revelar las conversaciones de WhatsApp.

Cuando hicimos nuestra presentación en RootedCON 2014 se empezó a formar un gran revuelo en las redes sociales por que WhatsApp "obligaba" a los usuarios de Android a actualizarse a una nueva versión. En nuestra charla explicamos que es lo que creíamos que se perseguía con esa actualización, que no era otra cosa mas que finalizar el soporte de WAUTH-1 como autenticación y utilizar exclusivamente WAUTH-2 para todas las plataformas.

EN QUE CONSISTE WAUTH-2
WAUTH-2 sigue basándose en un secreto compartido entre el teléfono móvil y los servidores de WhatsApp, el cual se genera en el momento de registrar el teléfono en WhatsApp, pero la forma de generar las claves de sesion de RC4 y de HMAC varía para solventar el problema de usar la misma clave para cifrar las comunicaciones en el cliente y en el servidor. Se sigue utilizando PKBDF2, con el secreto compartido y el challenge enviado por el servidor como salt y también se sigue utilizando como resultado los 20 bytes más significativos. Hasta aquí las partes que continuan igual que el algoritmo anterior.

Lo que cambia es que se utiliza PKBDF2 cuatro veces en lugar de una vez, para generar 4 claves diferentes, se utilizan solo 2 iteraciones del algoritmo en lugar de las 16 anteriores. Cada vez que se llama a PKBDF2 se concatena al final un byte al challenge, la primera vez se concatena el byte 0x01, la segunda 0x02 y así sucesivamente hasta completar las 4 llamadas.

De esta forma se generan cuatro claves diferentes:

La primera clave se utiliza para cifrar y descifrar, mediante RC4, las conversaciones desde el teléfono hacia los servidores de WhatsApp.
La segunda clave se utiliza para validar la integridad de los mensajes enviados desde el teléfono hacia los servidores de WhatsApp mediante HMAC-SHA1.
La tercera clave se utiliza para cifrar y descifrar, mediante RC4, las conversaciones desde los servidores de WhatsApp hacia el teléfono.
La cuarta clave se utiliza para validad la integridad de los mensajes enviados desde los servidores de WhatsApp hacia el teléfono mediante HMAC-SHA1.

Otro punto que cambia es que a la hora de calcular el HMAC-SHA1 de los mensajes, se concatenan cuatro bytes al final del mensaje con el número de mensaje. Esto es si el mensaje que vamos a mandar es el tercero que intercambiamos se concatenan los bytes 0x00 0x00 0x00 0x03 al final del mensaje antes de calcular el HMAC-SHA1.

Pablo San Emeterio

@psaneme

WhatsApp Authentication: MD5 vs WAUTH-1 vs WAUTH-2

2014-06-03T01:49:00.000-07:00

Este es mi primer artículo en el blog de mi compañero de conferencias y amigo Jaime Sánchez. Nos habéis visto participar conjuntamente en distintos congresos y ahora me sumo al blog de Seguridad Ofensiva. En este caso voy a hablar de los mecanismos de autenticación que ha utilizado WhatsApp, sus características y consecuencias.

La primera vez que empecé a trastear con WhatsApp fue a mediados de 2012, y desde entonces el username no ha cambiado hasta ahora. El nombre de usuario que se utiliza para logarse en WhatsApp es el número de teléfono del terminal. Esto tiene sus partes positivas y negativas. La parte positiva y creo que el motivo principal de esta decisión por parte de los desarrolladores de WhatsApp es que te aseguras que cada cuenta creada pertenece a un número de teléfono móvil. La parte negativa es que una vez conoces el número de teléfono móvil de una persona sabes cual es su username en WhatsApp.

El password en cambio ha sufrido tres modificaciones desde mediados de 2012, cuando el password era el resultado de una función hash, MD5 concretamente, sobre un elemento ligado al terminal. La dirección MAC en el caso de IOS y el IMEI para terminales Android, Windows Phone y Symbian.

Cuando esto fue público se publicaron varios ataques como el Espía WhatsApp y el Rompe-parejas que se podían realizar al juntar este tipo de autenticación con APIs como yowsup o WhatsAPI. Con un escaneo de una red Wifi se podía obtener resultados como los de la imagen inferior, con las direcciones MAC de los iPhone a los que los usuarios les suelen poner el nombre del propietario.

WhatsApp decidió cambiar la forma de autenticarse y el 24 de Diciembre de 2012 dejó de dar soporte a la autenticación basada en MD5 y se forzó a todos los usuarios de WhatsApp a actualizar la aplicación y migrarse al nuevo sistema de autenticación. Esta autenticación la llamamos WAUTH-1, por que en la última actualización de WhatsApp se envía un texto que indica WAUTH-2 como se puede ver en la imagen inferior.

En ninguna parte hay documentación técnica a este respecto. Sin embargo en WAUTH-1 no hay ningún texto, como se puede ver en la siguiente imagen:

En WhatsApp se generan 4 claves. Dos son para la sesión del teléfono y otras dos para la sesión del servidor. Las dos claves son una la clave RC4 utilizada para cifrar los mensajes y la otra la clave empleada para generar un HMAC del mensaje a enviar.

En la próxima entrega entraremos más en detalle sobre el funcionamiento de WAUTH-1 y WAUTH-2. Mientras tanto si queréis conocer más detalles, os recomiendo echar un vistazo a nuestra presentación de RootedCON 2014, llamada WhatsApp: mentiras y cintas de vídeo.

Pablo San Emeterio

@psaneme

Seguridad en dispositivos móviles y smartphones: la gran preocupación de las empresas

2014-05-28T00:43:00.000-07:00

En las últimas semanas he tenido la oportunidad de hablar en un par de charlas acerca de la seguridad en smartphones y aplicaciones móviles, y de como hemos vivido una revolución de tecnología sin precedentes. Se trata de una revolución que comenzó con los primeros teléfonos móviles multimedia y los denominados netbooks, aunque no ha sido hasta la aparición de los smartphones y tables cuando los usuarios han comenzado a aprovechar e incluir en su vida cotidiana el enorme potencial de estas tecnologías.

Estos dispositivos móviles han evolucionado, respondiendo a la demanda de cantidad y calidad de funcionalidades, servicios y aplicaciones, convirtiéndose en pequeños y sofisticados ordenadores, que almacenan información privada y confidencial acerca de nuestros hábitos de vida, nuestras relaciones personales y nuestro trabajo.

¿Piensas que el caso del robo de las fotos a Scarlett Johansson, en las que aparece desnuda, es un hecho aislado? Muchas otras actrices como Mila Kunis, Vanessa Hudgens o Miley Cirus han sufrido este tipo de ataques donde los delincuentes han logrado acceder a sus teléfonos móviles y los datos que tenían almacenados. No se trata sólo de fotos, sino también documentos, direcciones y muchos datos personales y de acceso a contenidos sensibles, como entidades bancarias, lo que podría estar expuesto.

El auge de estos dispositivos, los han convertido en el principal objetivo de los cibercriminales a la hora de dirigir sus ataques desde la aparición del primer código malicioso en 2004, y esta tendencia no parece que vaya a variar a medio o largo plazo. Según las últimas estadísticas publicadas, solamente en 2013 se detectaron 143.211 programas maliciosos para smartphones y tableta.

Esto no es de extrañar, dado que el tráfico generado por estos dispositivos en Internet supera los 86 exabytes al año y al aumento del comercio electrónico a través de Internet, y por extensión a los smartphones, desde donde el consumidor realiza cada día más transacciones comerciales. Sólo en 2010 se calculaba que el volumen de operaciones y transacciones comerciales rondaba los 170 millones, y se estima que esta cifre alcance los 630 millones de operaciones y transacciones a lo largo del año en curso.

Pero, ¿qué tipo de ataques son más comúnmente realizados por estos ciberdelicuentes? Las actividades más comunes incluyen lo siguiente:

Envío de mensajes de texto (SMS) a números Premium
Descarga o instalación de archivos o aplicaciones no solicitadas
Geolocalización en segundo plano de la ubicación del usuario
Presuntos antivirus móviles que en realidad carecen de funcionalidad alguna
Conexión a portales web, sin interactuación de la víctima, para aumentar tráfico
Monitorización de las actividades y el sistema para realizar fraudes bancarios
Robo de información personal como archivos, contactos, fotos y otros datos privados

Aunque más de 98% de aplicaciones maliciosas y malware tienen como foco el sistema Android, no debemos olvidar que iOS o Blackberry pueden también sufrir este tipo de ataques, y también están expuestos a los mismos riesgos. No olvidemos también que vulnerabilidades como Heartbleed pueden conllevar un impacto global, afectando tanto a dispositivos móviles, como a sistemas de almacenamiento, mensajería y servidores públicos en Internet.

Cuota de mercado correspondiente a Diciembre de 2013

Además, debemos tener en cuenta un factor que reforzará esta tendencia de crecimiento vertiginoso de amenazas y malware móvil: BYOD (Bring Your Own Device). Un fenómeno que está creciendo en varias regiones del mundo y que tiene directa relación con el desarrollo de dispositivos móviles cada vez más avanzados. De hecho, siete de cada diez empresas españolas ya soportan alguna modalidad de BYOD.

Dado que BYOD permite a los empleados de una compañía llevar consigo y utilizar equipos personales como portátiles, teléfonos inteligentes y tabletas dentro de un entorno corporativo, podríamos enfrentarnos en un corto espacio de tiempo a un serio problema de seguridad si no se adoptan las medidas necesarias.

Los planes de seguridad globales de vuestra empresa, la estrategia y el marco legal deberán adaptarse a este nuevo escenario para afrontar la era Post-PC.

Cómo obtener actualizaciones oficiales de seguridad para Windows XP hasta Abril del 2019

2014-05-26T00:55:00.001-07:00

Como todos sabéis, después del 8 de abril de 2014 ya no hay más actualizaciones de seguridad para Windows XP, ni parches para errores no ligados a la seguridad, ni opciones de soporte, gratuitas ni de pago tampoco, ni actualizaciones de contenido técnico en la Web.

Esto se debe a que en 2002 Microsoft presentó su política de Ciclo de Vida de Soporte, desarrollada a partir de los comentarios de clientes con el fin de ofrecer una mayor transparencia y previsibilidad a la hora de explicar las opciones de soporte para nuestros productos. Siguiendo esta política, los productos para Empresa y Desarrolladores, entre los cuales se incluyen los sistemas operativos Windows y Microsoft Office, disponen de un mínimo de 10 años de soporte (5 de soporte estándar y 5 más de soporte extendido) en el nivel de service pack soportado.

Lo ideal sería dejar de usar Windows XP y pasar a alguna versión más actual que todavía tenga soporte, aunque no sea la más reciente, o incluso dar una oportunidad a otros sistemas operativos, pero como todos conocemos, XP está instalado en gran diversidad de máquinas cuya migración supondría un gran coste, como con cajeros automáticos bancarios, de los que afectará a casi a un 95%, según NCR.

Pero existe una excepción para este fin de soporte: Windows Embedded POSReady, que mantendrá el soporte hasta el año 2019, y Windows Embedded for Point of Service, que aguantará hasta 2016.

Lo interesante de este tema es que Windows Embedded POSReady 2009 está basado en Windows XP Service Pack 3, por lo que acpedtualizaciones de seguridad que están publicando son las mismas que Microsoft hubiera publicado para Windows XP. Si lograramos obtener este tipo de actualizaciones, podríamos ganar otros cinco años de actualizaciones oficiales para nuestros sistemas, pero no podemos directamente descargarlas y tratar de instalarlas, dadas las comprobaciones que se realizan previamente.

Utilizaremos un truco que funciona para sistemas de 32 bits de Windows XP SP3 (por el momento no se puede realizar para 64 bits). A pesar de las similitudes entre POSReady y Windows XP, es recomendable realizar una copia de seguridad de nuestros datos, por si ocurriera alguna incompatibilidad.

Lo único que necesitaremos hacer es añadir los siguientes valores al registro de Windows XP:
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\WPA\PosReady]

"Installed"=dword:00000001

Si lo preferís, podeis descargar un fichero de registro que incorporará ese valor a nuestro sistema: xp-security-updates.zip

Quizá esta no sea una solución oficial, pero es mejor que tener un sistema desactualizado y vulnerable en nuestra organización :)

Estaré de ponente, otro año más, en Nuit du Hack

2014-05-22T01:07:00.000-07:00

Por segundo año consecutivo, tengo el placer de anunciar que estaré como ponente para dar una charla en Nuit du Hack. El evento se desarrollará los días 28-29 de Junio en el Disney's Hotel New York® Convention Center, que se encuentra en Disneyland París.

Para quien no lo conozca aún, la Nuit du Hack comenzó sus andaduras en el 2003 por un equipo de personas, que se unieron bajo el nombre de "HackerzVoice", e inspiraron en el famoso y más grande evento de hacking de EE.UU., llamado Defcon. Es uno de los eventos hacker franceses más antiguos, que reune todos los años a profesionales y aficionados de todos los niveles, en torno a conferencias y diversos desafíos.

Para todos aquellos que quieran conocer como se desarrolló el congreso el año pasado, podéis leer mi post Mi experiencia en Nuit du Hack 2013. La verdad es que es bastante complicado mejorar los ratos que pasé allí, así como la gente que conocí, y estoy encantado de poder repetir de nuevo.

Las charlas anunciadas para esta edición son las siguientes:

FR - Break, dump & crash - Virtualabs

FR - Retro-arcades protections & hacking - CrashTest

EN - Around the world in 80 Cons - Jayson Street

EN - Defeating Memory Corruption Attacks by Replication and Diversification - Marc Nimmerrichter

FR - Use CNC and 3D to cut your own mechanical keys - Mr Jack

EN - Take care of your inputs - Zakaria Rachid & Borja Berástegui

FR - A common weakness in RSA signatures: extracting public keys from communications and embedded devices - Renaud Lifchitz

EN - Combating Evasive Malware - Marco Cova

FR - Coucou, tu veux voir ma domotique ? - Vorex

EN - Security Threats for Instant Messaging Platforms - Jaime Sanchez

FR - Using a basic bathroom scale to remotly follow a behive production - Electrolab

FR - La tête dans les nuages - Matthieu Bouthors

FR - Keynote - Benjamin Bayart

Este año espero poder sentarme de nuevo a jugar al CTF durante unas horas después de dar mi charla. Además, me han comentado que también se realizará un Bug Bounty durante la conferencia, con una bolsa de premios de 5.000€.

Si alguien está por allí, que no dude en acercarse a saludar }:)

Entrevista personal en el blog del equipo de ESET

2014-04-30T02:05:00.000-07:00

Como todos sabéis,mantengo una muy buena relación con mi amigo y compañero Josep Albors, que conozco de viaje el año pasado en las Vegas, cuando me hizo una pequeña entrevista para el blog de ESET sobre mi charla en Defcon Building an Android IDS on Network Level, que podéis leer aquí.

Unos meses más tarde, tuve la suerte de participar en el II ESET Security Forum, un foro de carácter meramente informativo y social donde se reune a lo mejor de este país en cuanto a seguridad informática se refiere y que día a día trabajan y lidian con estas temáticas desde sus respectivas responsabilidades.

En la primera parte se habló de las filtraciones y revelaciones de secretos realizadas por miembros de Anonymous o el excontratista de la NSA, Edward Snowden. La segunda parte empezó tras un breve descanso, que los ponentes aprovecharon para reponer fuerzas y hacer un poco de networking con los asistentes, para luego hablar de las amenazas que afectan a todo tipo de dispositivos conectados a lo que se conoce como el Internet de las cosas. Podéis ver ya los vídeos del evento.

Después del evento, y antes de dejarnos disfrutar de esos catering que dejan huella a la gente :), nos propusieron una entrevista más personal, sobre nuestros inicios en el mundillo de la seguridad informática y lo que más nos gusta de nuestro trabajo.

Os dejo el vídeo:

A vueltas con la localización: Viber, WhatsApp y sus leaks

2014-04-20T23:12:00.000-07:00

Continuando con los últimos errores descubiertos en la aplicación de WhatsApp, unos unos investigadores de la Universidad de New Hampshire han detallado paso por paso el procedimiento que realizada WhatsApp cada vez que compartimos una ubicación, mostrando que al compartir una ubicación entre dos usuarios, la aplicación necesita en primer lugar ubicarlos en Google Maps dentro de una ventana de la propia aplicación.

WhatsApp obtiene la ubicación y miniaturiza una imagen del propio Google Maps para compartirlo como el icono del mensaje, pero desafortunadamente WhatsApp descarga esta imagen a través de un canal no seguro, sin utilizar SSL, lo cual implica que podría ser descubierto durante un ataque man-in-the-middle:

Este mismo error también lo comete la gente de Viber. Durante nuestra charla de WhatsApp: mentiras y cintas de vídeo, que mostramos Pablo y yo en RootedCON 2014, mostramos que también era posible capturar los datos de localización y los ficheros que se comparten entre dos usuarios, debido a que se envían en claro sin utilizar ningún canal seguro.

Esto, de la misma forma que en el caso de WhatsApp, nos permitiría interceptar esta información con un sencillo ataque man-in-the-middle o utilizando un Rogue AP:

Si queréis conocer más detalles del funcionamiento de este tipo de ataques y el funcionamiento interno de aplicaciones como Viber, Snapchat, WhatsApp o cualquier otra mensajería, os recomiendo echar un vistazo a las diapositivas de nuestra charla:

Crash remoto de WhatsApp para iPhone en versiones < a 2.11.7

2014-04-14T00:13:00.000-07:00

Como todos sabéis, el los últimos meses, tanto Pablo como yo, hemos estado investigando sobre diferentes clientes de mensajería instantánea para móviles, y poniendo el foco sobre WhatsApp.

Entre los diferentes descubrimientos que hicimos, nos dimos cuenta de las inseguridad que presentaba el uso de RC4 en el cifrado de mensajes, la posibilidad de poder modificar el remitente de forma transparente, y mucho más, así que nos planteamos diseñar un programa, que bautizamos como WhatsApp Privacy Guard, que fuera capaz de añadir diferentes capas de seguridad a la aplicación, usando cifrado más seguro, opciones de anonimato o servidores propios de mensajería XMPP.

Mientras estábamos haciendo las diferentes pruebas con el cifrado adicional, además, nos dimos cuenta de que el podíamos generar un crash en la aplicación si el destinatario final de los mensajes con cifrado no estaba conectado al sistema.

Dentro de nuestra presentación WhatsApp: mentiras y cintas de vídeo, del congreso RootedCON, mostramos una prueba de concepto del funcionamiento del programa, en el que podemos observar el intercambio de mensajes a través de nuestra plataforma.

Nuestro programa detecta el envío de un texto en claro en WhatsApp, y utilizando la clave de sesión de RC4, descifrará el mensaje y extraerá el texto. Una vez tenemos este texto, lo cifraremos de nuevo utilizando el algoritmo que hayamos implementado, y lo vuelve a encapsular en el formalo de WhatsApp, utilizando RC4 y su clave correspondiente. Para ello también recalcularemos el HMAC del mensaje:

El proceso en la parte del receptor será el inverso del que acabamos de explicar, para que pueda visualizar el mensaje original. Veámoslo en una demostración real:

El resultado de la recepción de estos mensajes cifrados por parte de un cliente que no esté conectado al sistema, y que por tanto no es capaz de descifrar el contenido del mensaje, inicialmente nos devolvía algo así:

Pero un día nos dimos cuenta que WhatsApp nos es capaz de representar por pantalla la codificación de algunos caracteres no imprimibles, por lo que el cliente sencillamente tendrá un crash cuando abramos alguno de estos mensajes. Esto implica que cuando el receptor intente abrir la conversación donde existe un mensaje de este tipo, el programa automática se cerrará, impidiéndole ver la conversación, por lo que finalmente tendrá que borrarla para recibir mensajes que sea capaz de procesar la aplicación (quizá has puesto un mensaje anteriormente del que te arrepientes y no quieres que finalmente vea :P).

Una muestra de lo que os estoy explicando la podéis ver en el siguiente mensaje:

He publicado el código necesario para enviar este tipo de mensajes en mi repositorio de GitHub, y en la sección de Proyectos de la página.

Necesitaréis tener instalado yowsup, una interfaz de línea de comandos que permite enviar y recibir mensajes de WhatsApp como un cliente de móvil, configurado con una cuenta válida, para poder enviar los mensajes.

Que os divirtáis }:)

Más allá de Heartbleed y HTTPS

2014-04-10T02:59:00.002-07:00

Como todos conoceréis, hace un par de días se hacía pública una vulnerabilidad sobre OpenSSL, una de las bibliotecas de criptografía más usadas, descubierta por uno de los expertos en seguridad de Google y la compañía de seguridad Codenomicon, que ha sido catalogada con el código CVE-2014-0160 y bautizada como Heartbleed, al estar vinculada a un error en la funcionalidad heartbeat de dicha librería.

Esta vulnerabilidad afecta desde la versión 1.0.1 (Marzo 2012) a la 1.0.1f (Enero 2014), y existen gran cantidad de sitios web que permiten comprobar si un sitio Web es vulnerable, como Heartbleed test page, creada por Filippo Valsorda.

Lo realmente preocupante es la extensión que ha podido y puede tener esta vulnerabilidad, ya que OpenSSL es utilizado, entre otros muchos, por servidores web como Apache o nginx, que de forma conjunta abarcan el 66% de los sitios activos en Internet (de acuerdo con la Encuesta de Netcraft sobre Servidores Web para Abril de 2014). Por otro lado, tambien tiene su punto entretenido, ya que es como jugar a una especie de ruleta rusa proque no sabes a ciencia cierta que se expondrá en los siguientes 64kb :)

Pero existe una parte que la gente parece que está obviando... OpenSSL también se utiliza para proteger servidores de email (SMTP, POP3 e IMAP), servidores de mensajería (XMPP), SSL VPNs, y muchos otros servicios.

Podemos localizar gran cantidad de servidores XMPP públicos, como por ejemplo aquí, con detalle de los diferentes servicios que prestan, algunos registran el tipo de autenticación etc. buscando a través de Google.

Si prestamos atención a las listas, veremos que hay algunos que podemos deducir que podrían haber sido parcheados, fijándonos por el uptime que han sido reiniciados en los dos últimos días.

Utilizando las diferentes pruebas de concepto que han sido publicadas, no tardaremos en encontrar algún servidor XMPP con TLS activado que sea vulnerable a Heartbleed:

También se ha incorporado un módulo de Metasploit que permite comprobar la vulnerabilidad para SMTP/IMAP/POP3/XMPP dentro de su repositorio oficial.

Recordad que es posible que algunos de estos servicios hayan sido atacados en los últimos meses, por lo que el atacante podría haber tenido acceso a claves privadas, credenciales, información sensible de navegación sobre VPN SSL o direcciones de memoria y contenido para evadir mecanismos de mitigación, con los riesgos que ello conllevaría.

Debido a que la explotación de esta vulnerabilidad no deja rastro en los logs, será complicado averiguar si ha existido algún tipo de compromiso de forma retroactiva.

A partir de ahora, si queremos monitorizar los diferentes intentos de explotación de esta vulnerabilidad, podemos utilizar diferentes reglas de detección para:

Si quieres comprobar si tus servicios podrían estar afectados, puedes utilizar los módulos que se han publicado hasta el momento:

Muchos proveedores de servicio se han visto afectados después de la publicación oficial del aviso y las diferentes pruebas de concepto del ataque, por lo que no sería mala idea cambiar tus credenciales de acceso, por seguridad, si en los últimos días has estado utilizando sus plataformas:

Como hemos visto, Hearbleed no sólo puede afectar a nuestro servidor web 'seguro' }:)

Participaré el 4 de Abril en la tercera edición de HighSecCON

2014-03-31T03:01:00.000-07:00

HighsecCon es un proyecto de seguridad informática, que nace con la intención de enseñar a todo aquel que quiera aprender, las principales técnicas de hacking y seguridad.

Las jornadas tendrá lugar el próximo 4 de Abril, en el Salón de Actos de la Escuela Politécnica Superior de la Universidad Autónoma de Madrid, a las 15:45 y durará hasta las 20:00, aproximadamente. Cuenta con un aforo de más de 600 plazas, así que si queréis asistir solo tenéis que registraros en https://www.ticketea.com/highseccon/.

Por mi parte, participaré con una charla llamada “From Kernel Space to WhatsApp nightmare“, donde hablaré un poco de las diferentes ramas de investigación utilizando el módulo nfqueue de iptables, y sus aplicaciones prácticas.

También se ha habilitado una web para el evento (highseccon.es) donde tenéis toda la información. A continuación podéis ver el gran cartel de ponentes y los horarios de las diferentes charlas:

16.15 Samuel Linares (@InfosecManBlog) con su charla “¿Ciberseguridad Industrial? ¿Ein?“: Director y Fundador del Centro de Ciberseguridad Industrial (CCI), External Independent Evaluator en European Comission. CIIP Expert para la asistencia en la implementacion del ENISA Work Programme en ENISA (European Network and Information Security Agency).
17.00 Chema García (@sch3m4) con su charla “Troyanización de módulos PAM“: Consultor de Seguridad en Ecix Group, Investigador de seguridad en Thiber y colaborador de Security By Default.
18.15 Simón Roses (@simonroses) con su charla “Algo sobre Ciberseguridad“: Practical Security Research en VULNEX donde es CEO y Fundador. Dicha empresa ha sido la única del mundo ajena a EEUU que ha conseguido ganar el DARPA. Anteriormente ha trabajado en Microsoft como Security Technologist y en PWC. Ponente en conferencias internacionales de seguridad y hacking como BlackHat, RSA y OWASP entre otras.
19.00 Jaime Sánchez (@segofensiva) con mi charla “From Kernel Space to WhatsApp nightmare“

Nos vemos el Viernes. Mientras tanto, podéis disfrutar del cartel que se han currado :)

Gracias por hacer Rooted Warfare posible

2014-03-17T02:08:00.000-07:00

Ya ha pasado una semana desde que finalizara la V edición de RootedCON, y como todos sabéis, había estado preparando desde hace tiempo un evento dentro del congreso, llamado Rooted Warfare.

Me gustaría dedicar este post a todos los que lo habéis hecho de esta primera edición un éxito.

En primer lugar, al equipo de Toolswatch. Para los que no les conocéis, ToolsWatch es un servicio interactivo y gratuito, diseñado para ayudar a auditores, pentesters y expertos en seguridad a mantener su caja de herramientas de hacking ético actualizada hasta a la fecha. Son los responsables desde hace años de organizar el celebrar el BlackHat Arsenal, y en gran parte responsables de la organización y calidad de las herramientas con las que hemos contado este año. Muchas gracias a Maxi y Nabil, sin vosotros no hubiera sido posible :)

También hay que mencionar el nivel de herramientas y gente con la que hemos podido contar, tanto nacional como internacional. Podéis obtener más información y ver el listado de herramientas que se mostraron en la web oficial.

No perdáis de vista la web de Rooted Warfare, porque poco a poco iremos publicando guías informativas, detallando el uso de cada una de las herramientas que se pudieron ver. Además, haremos un reportaje gráfico de las tres sesiones y publicaremos algunos videos en los que entrevistamos a cada uno de los ponentes.

Muchísimas gracias al equipo de ESET, por confiar en la iniciativa y patrocinar el evento, y al equipo de RootedCON, por confiar en una apuesta como ésta y por hacerme sentir como en casa. Felicidades por esos cinco años dando guerra y apoyando a la comunidad!

Todo ellos son los principales culpables de que hayamos disfrutado momentos como este:

Nos vemos en la siguiente edición! :)

Slides de nuestra charla "Whatsapp: mentiras y cintas de video" en RootedCON 2014

2014-03-10T02:28:00.000-07:00

Ya ha finalizado la edición de RootedCON 2014, el congreso más importante en España sobre seguridad informática.

Tanto Pablo San Emeterio como yo hemos tenido la suerte de poder acudir a esta imprescindible cita para compartir detalles sobre nuesta investigación en los sistemas de mensajería instantánea para telefónica móvil, una charla titulada WhatsApp: mentiras y cintas de vídeo.

Os dejamos las slides de la charla con los vídeos de las diferentes pruebas de concepto que preparamos para esta ocasión:

En cuanto nos recuperemos de la semana que hemos vivido, intentaremos hacer un post más completo, explicando con detalle cada uno de los puntos y las demos que mostramos :)

Agenda y horarios definitivos de Rooted Warfare

2014-03-04T06:01:00.002-08:00

Ya está disponible la agenda con los horarios definitivos para las tres sesiones de Rooted Warfare que se llevarán a cabo este año durante el congreso RootedCON.

Si este año eres de los que no te vas a perder el congreso, no lo dudes un segundo y pásate a ver las herramientas que se presentan. Yo desde luego no lo haré, así que si alguno queréis que nos conozcamos en persona, allí me encontraréis :)

Aprovecho también para agradecer a nuestro patrocinador oficial ESET por todo el apoyo prestado para esta primera edición. Gracias a gente como ellos, este evento es posible

Viernes 7 de Marzo, 14:00 - 15:00

 DRADIS FRAMEWORK
Dradis es un framework de código abierto trabajar de manera eficiente mediante la recopilación de información de diferentes herramientas, presentándola en una gran variedad de formatos.

Actualmente, se admiten Burp , Nessus, NeXpose, Nikto, Nmap, OpenVAS, OSVDB, Retina, SureCheck, HQ VulnDB, w3af, WXF y Ataque Zed Proxy pero con lo que aprenderás en este taller, podrás conectar Dradis a cualquier otra herramienta y presentar la información de la forma que necesites.

FAVII
Favii es una plataforma multi-usuarios para la adquisición, representación y gestión del conocimiento siguiendo el principio KISS.A la gestión del conocimiento con tecnologías de Web Semántica , Favii integra políticas de seguridad obligatorias y basada en roles (RBAC/MAC) para el acceso y manipulación de dicho conocimiento, así como un potente motor de búsquedas.

Tanto las políticas de seguridad, como las consultas para las búsquedas son tratadas como cualquier otro conocimiento, pudiendo ser manipuladas por el usuario. En paralelo, se han desarrollado varias ontologías para la adquisición de conocimiento en el campo de la seguridad informática: software, hardware, direcciones IP, puertos, administradores de las máquinas,... todo lo cual es gestionado por Favii.

FRUITWIFI
FruityWifi es una herramienta de código abierto para auditoria de redes wireless. Permite desplegar rápida y fácilmente ataques avanzados utilizando la interfaz web o enviándole mensajes. Inicialmente la aplicación fue creada para utilizarse con una Raspberry-Pi, pero puede ser instalada en cualquier sistema basado en Debian. FruityWifi se compone de modulos para darle más flexibilidad.

Estos modulos pueden ser instalados para agregar nuevas funcionalidades.Algunos de los modulos disponibles son URLsnarf, DNSspoof, Kismet, mdk3, ngrep, nmap, Squid3 y SSLstrip (con funcionalidades para inyectar código), Captive Portal, y más. La muestra se focalizará en como utilizar la FruityWifi para auditar redes wireless, desplegar ataques avanzados, como utilizar y crear modulos, como combinarlos entre sí y con otros dispositivos. Se mostrará como utilizar la herramienta en diferentes escenarios y situaciones, como controlarla remotamente a través del panel web o enviando mensajes por ejemplo, utilizando Twitter. Además, se mostrara en exclusiva el lanzamiento del nuevo WSDL + el cliente con panel LCD y Keypad para RaspberryPi.

SINFONIER
"Sinfonier: Sinfonier: Storm Builder for Security Intelligence" es un servicio web creado por Telefónica Digital que simplifica la integración de datos open source paraa deducir metadatos de inteligencia.

En el mundo actual estamos consumiendo una variedad cada vez mayor de los flujos de datos para su procesamiento y análisis. La integración y el uso de nuevos, o modificados flujos de datos, es un proceso que consume tiempo y que requiere una herramienta diferente en cada etapa de captura de datos, procesamiento, análisis, y el almacenamiento. Se necesita una solución que simplifique y automatice la integración de datos en aplicaciones, y permita a los desarrolladores compartir en la comunidad los algoritmos de integración .

Sinfonier de Telefónica Digital proporciona una nube humana de analistas, con un entorno seguro y abierto, para construir de forma gráfica topologías Apache Storm, ejecutarlas y compartirlas por un período de tiempo definido.

Viernes 7 de Marzo, 20:00 - 21:00

GOLISMERO
GoLismero es un framework y herramienta de seguridad open source destinada a realizar auditorias de seguridad. Su principal característica es la capacidad de llamar a herramientas externas (como nmap, OpenVAS, sqlmap, XSSer, Wfuzz, dnsrecon, Shodan, Punkspider, Theharvester, Spiderfoot, sslscan...) importar los resultados, normalizarlos, unificarlos, mezclarlos, detectar vulnerablidades repetidas (encontradas por herramientas diferentes) y, lo más importante, reatroalimentarse con esa información.

Además, también dispone de numerosas pruebas y tests propios.GoLismero está pensado, no solamente pare el pen-tester, también está pensado para que cumpla los ciclos y necesidades de una auditoría a un cliente real, ya que tiene scopes bien definidos y configurables, se puede definir el nivel de intrusión de las pruebas, todo el proceso de la auditoría y pruebas realizadas queda logeado en base de datos, con marcas temporales, y cualquier auditoría hecha con golismero es reproducible. Soporta numerosos formatos en los que mostrar los resultados. Actualmente en el que más se ha trabajado es el HTML portable (sin dependencias de ningún tipo, ni imágenes. Toda la información está empotrada en un único fichero HTML). En un futuro se incorporarán informes en word y pdf. Extender golismero con plugins propios extremandamente sencillo.

HTTPAUTHCRACK
HttpAuthCrack es una herramienta desarrollada en Python para probar credenciales en sitios y dispositivos que utilizan Autenticación HTTP de tipo Basic.

Para indicar los sitios y dispositivos a probar, se le puede pasar una lista de direcciones IP en un fichero, o puede utilizarse el resultado de una búsqueda en Shodan pasando un "shodan dork" como argumento.

PARAMETERFUZZ
ParameterFuzz es una herramienta de auditoria web, destinada a comprobar mediante un diccionario, la existencia de parámetros en aquellas páginas, donde el código HTML de las mismas no los contiene.

Tras la recolecta de parámetros, se trata de explotar vulnerabilidades de varios tipos con el añadido de herramientas que ParameterFuzz ofrece al auditor, para identificar con mayor facilidad fallos de seguridad.

ROBOTS RIDER
Robots Rider es una aplicación de línea de comandos que unifica múltiples herramientas externas con el objetivo de identificar una superficie interesante con la que comenzar un pentest sobre un dominio o un listado de URLs públicas.

Para ello, utiliza 'theHarvester' para obtener un listado completo de dominios relacionados con el dominio que tenemos como objetivo. En caso de no especificarle un dominio, sino un listado de URLs concretas explorará exclusivamente estas.

Sábado 8 de Marzo, 14:00 - 15:00

PEEPDF
peepdf es una herramienta escrita en Python para explorar los archivos PDF, con el fin de averiguar si el archivo puede ser dañino o no. Su objetivo es proporcionar todos los componentes necesarios que un investigador de seguridad podría necesitar en un análisis de PDF, sin usar 3 o 4 herramientas para hacer todas las tareas.Con peepdf es posible ver todos los objetos en el documento, así como los elementos sospechosos.

Soporta todos los filtros y las codificaciones más utilizadas, se puede analizar diferentes versiones de un archivo, arrays de objetos y archivos cifrados. Con la instalación de PyV8 y Pylibemu proporciona Javascript y análisis de shellcodes también. Aparte de esto, es capaz de crear nuevos archivos PDF y para modificar / ofuscar los existentes.

K0SAP
K0sap es un paquete de instalación para sistemas Mac OS X capaz de compilar y dejar instalados todos aquellos programas que son necesarios para las auditorias de seguridad y hacking ético. Organizandolos en categorías, sin necesidad de compilar ningún software y haciendo muchas de las herramientas compatibles con Mac OS X. Ahorrándonos tiempo en instalación y compilación.

De esta manera podemos tener instalado de una sola vez un gran número de herramientas al estilo Kali Linux.

OSUETA
OSUETA es el acrónimo de OpenSsh User Enumeration Timing Attack, es un pequeño script escrito en Python para explotar un bug, que hasta donde yo se aún no corregido, presente en las versiones 5.* y 6.* de OpenSSH. En estas versiones durante el proceso de autenticación, es posible obtener una lista de los usuarios presentes en el sistema discriminando por el tiempo que tarda el sistema en evaluar una contraseña arbitrariamente larga.

Si el usuario esta presente el tiempo que tarda el servidor en responder es mayor, en un orden de magnitud, que con respecto a un usuario no presente. Por ejemplo, al permitir conocer los usuarios presentes en un sistema, este herramienta puede ser de utilidad dentro de tests de penetración para acortar los tiempos en los ataque por fuerza bruta. Por otra parte el script también tiene la capacidad, debido a la carga a la que se le somete al servidor y bajo ciertas circunstancias, de establecer una condición de Denegación de Servicio en servicio ssh.

ZAP
ZAP Proxy es una herramienta gratuita y de código abierto en continua mejora. Un aspecto muy interesante de ZAP es una API que permite manipular la herramienta con nuestros propios scripts.

Además de mostrar las capacidades más novedosas de ZAP Proxy, se liberará la herramienta desarrollada, denominado getzapdata.py, que haciendo uso de la API de ZAP extrae todos los puntos de entrada (parámetros GET, POST, Cookies y Headers) y los pone en un CSV para su análisis posterior.

Entrevistados para Radio3W. Román Ramírez y yo hablamos de RootedCON 2014, RootedWarfare y mucho más...

2014-03-03T02:23:00.000-08:00

A falta de una semana para la celebración de la RootedCON 2014, Román Ramírez presidente de la Rooted y yo hemos estado de visita por Radio3W para hablar de algunas de las novedades para el congreso de este año.

Repasamos distintos aspectos del congreso, ponentes, en qué consiste, Rooted Panel, etc. y como no, hablaremos mucho sobre la nueva iniciativa Rooted Warfare.

Podéis descargar o escuchar online la entrevista pulsando el icono

Toda la información de la Rooted CON la podéis encontrar en: Web de RootedCON, Twitter (@rootedcon) o en Facebook.

En el punto de mira: Snapchat, 'in'seguridad bancaria, WhatsApp, RootedCON, RootedPanel y RootedWarfare

2014-02-26T01:46:00.000-08:00

Hacía ya tiempo que no volvía a escribir en el blog. Tenía preparados unos post sobre 'in'seguridad bancaria para publicar y compartirlos con todos vosotros, pero parece que finalmente no podrán ver la luz por el momento, hasta que estén solucionados. Cosas del directo, ya sabéis... Pero prometo que en breve volveré a la carga con más cosas interesantes relacionadas con el sector banca y la seguridad!

Han ocurrido muchas cosas estas últimas semanas. He estado ocupado trabajando con el equipo de seguridad de Snapchat para solucionar el problema que provocaba que el móvil acabara prácticamente tostado. Os hablaré un poco más de todo esto en cuanto tenga algo más de tiempo libre, y de como ha llegado un nuevo actor a este tema, como la gente de Product Security de Apple.

Pero ya quedan menos de 15 días para que de comienzo la primera edición de Rooted Warfare, y se me ha hecho complicado escribir cosas nuevas en el blog, con tanto lío y tareas para la organización del evento.

Estoy especialmente contento con los resultados y las herramientas que han sido seleccionadas para el Warfare. Habrá muchas cosas interesantes, desde herramientas gratuítas en la nube, frameworks conocidos, otros por conocer, herramientas para pentesting para entornos Web, incluída alguna imprescindible de la gente de OWASP etc.

Os agradezco a todos la inmensa colaboración, y espero ver muchos rostros conocidos allí.

Parece que también ha sido noticia la compra de WhatsApp por parte del gigante Facebook. Esta sorpresa, además de con una caída sin precedentes del servicio el fin de semana, ha venido acompañado de la noticia de que WhatsApp ofrecerá servicios de llamadas a través de la aplicación este mismo verano. Estoy ansioso por poder jugar con este nuevo servicio y ver qué somos capaces de hacer como nos dejen algo de margen para jugar.

Otra duda que me surge es: ¿se incluirá WhatsApp dentro del bug bounty de Facebook? Porque en ese caso voy a descorchar ya una botella para celebrarlo :P

Si no te quieres perder nada de la actualidad de WhatsApp y su seguridad, el Sábado 8 de Marzo tienes una cita con nuestra charla "WhatsApp: mentiras y cintas de vídeo", que daré en compañía de mi amigo y compañero Pablo San Emeterio en RootedCON.

Finalmente, también estaré presente en el RootedPanel del Jueves 6 de Marzo "Colaboración público-privada en la ciberdefensa nacional: el papel de la comunidad hacker". Los moderadores serán Luis Fernández y José de la Peña y se contará con la participación de los ilustrísimos:

Miguel Ángel Abad: Jefe del Servicio de Ciberseguridad del Centro Nacional para la Protección de Infraestructuras Críticas, CNPIC. Secretaría de Estado de Seguridad. Ministerio del Interior.

Jorge Dávila: Director del Laboratorio de Criptografía de la UPM y Director de I+D de EnCifra.

Javier Candau: Jefe del Área de Ciberseguridad del Centro Criptológico Nacional, CCN. CNI.

Néstor Ganuza: Teniente Coronel. Mando Conjunto de Ciberdefensa. MCCD. Ministerio de Defensa.

Román Ramírez: cofundador de RootedCON.

Os animo a atender a esta mesa redonda/RootedPANEL puesto que se tratarán temas muy importantes para el sector.