30 dic 2015

Lo mejor del año 2015, por Juan Antonio Calles. Parte 2

Muy buenas a todos, en el post de hoy continuaré con el resumen del presente año 2015 desde el mes de Julio, donde lo dejamos el pasado lunes :)

Julio fue un mes muy largo laboralmente hablando, tuvimos bastante trabajo por la fusión de Zink Security y KPMG, y no tuve mucho tiempo para dejarme ver por los eventos de este mes, pero aún así pude sacar tiempo para pasarme por la siguiente edición de Hack&Beers, donde se habló de ofuscación de malware en PHP, del uso del super pato, Rubber Ducky, y de como hacer DLL Hijacking, de la mano de Miguel Ángel Arroyo, J.M. Fernández y Jaime Álvarez.

En Septiembre y tras la vuelta de vacaciones volví de nuevo a un programa de radio online, en esta ocasión a HoyStreaming, para hablar de la edición especial de X1RedMasSegura que realizamos en las Jornadas NavajaNegra+Conectacon 2015, y cuyo podcast podréis descargar desde AQUÍ.



Ya en Octubre, tuvieron lugar las jornadas X1RedMasSegura edición Navaja Negra-Conectacon, en las que tuve el placer de dar una charla de una hora sobre seguridad en Internet y en Dispositivos móviles. Para los que no pudisteis venir, os comparto la presentación a continuación. Como siempre, ¡tenéis total libertad para utilizarla en vuestras charlas! :):


En el mes de Octubre hubo bastantes eventos en el sector de la seguridad, y tuve que distribuirme con mis compañeros de KPMG todos ellos. En esta ocasión tuve el placer de estar por primera vez en las IV Jornadas Isaca Barcelona impartiendo una charla sobre ciberamenazas titulada "Técnicas avanzadas para la prevención de Ciberamenazas". 


Ya había estado anteriormente en las Jornadas de Isaca Madrid, y salí muy contento, por lo que si en próximos años me lo permiten, intentaremos estar de nuevo hablando de las novedades que vaya demandando el sector :).


En Noviembre y Diciembre estuve en varios eventos empresariales, como las IX Jornadas STIC CCN-CERT celebradas los días 10 y 11 de diciembre, en Kinépolis, y en las que tuve el placer de estar en el stand de mi compañía hablando sobre nuestras últimas tecnologías. En el siguiente enlace encontraré el podcast de radio que me grabaron en el evento:


Y acabamos el año, como viene siendo tradición desde los últimos 5 años con la cena de Flu Project, en el que ha sido nuestro V Aniversario. Sin duda un año cargado de grandes acontecimientos, emociones, y recuerdos que sin duda no olvidaremos, y que nos van aportando año a año nuevas experiencias para ir mejorando :)


Gracias a todos... ¡¡¡y a por el 2016!!!

Saludos!

28 dic 2015

Lo mejor del año 2015, por Juan Antonio Calles. Parte 1

Muy buenas a todos, en el post de hoy he querido hacer un resumen con algunos de los acontecimientos principales de este año 2015, al igual que hizo la pasada semana mi compañero Pablo, con el ánimo de hacer un ejercicio de reflexión de aquellas cosas que me han acontecido y que me han dejado alguna huella y merecen ser recordadas desde el blog de Flu Project.

Comenzaremos por el mes de Enero, un gran mes cargado de "saraos" que iniciamos con la participación de Pablo y mía en los antiguos #HangoutON (que han sido sustituidos por nuevos retos personales de sus fundadores, ¡mucha suerte en vuestras nuevas aventuras!), en concreto participamos en el HangoutON referente a "Seguridad en dispositivos Android", y el cual podréis ver en el siguiente video:



En enero tuvo lugar  además la segunda Hack&Beers organizada en Madrid por Flu Project, con un nuevo lugar de celebración situado en Madrid ciudad, y con interesantes ponentes de la talla de David Meléndez, Eduardo Sánchez y Valentin Martín. El próximo 8 de enero tendrá lugar nuestra última Hack&Beers, en la que mi compañero Pablo pasará el testigo, y en la que también estaré con él de ponente. Prometemos dejar el listón bien alto :)

También en enero tuvo lugar la publicación en Voz Populi de un completo reportaje sobre bots en el que tuve el placer de participar como entrevistado por el conocido periodista Antonio Martínez Ron, conocido por sus interesantes reportajes en programas como Orbita Laika o diarios y medios de comunicación como Voz Populi-Next, entre otros muchos. Podréis ver el artículo completo AQUÍ.

Finalizamos el mes de enero con las II Jornadas de Seguridad y Ciberdefensa de la Universidad de Alcalá organizadas por el grupo de Ingeniería de Servicios Telemáticos del Departamento de Automática, la Cátedra Amaranto de Seguridad Digital e Internet del Futuro y las Delegaciones de Estudiantes de la Escuela Politécnica Superior y donde tuve el placer de impartir la charla "Ciberinteligencia, cruzando datos en la red".

En  el mes de Febrero tuve la oportunidad de participar en varios eventos en Universidades españolas relacionados con la Ciberseguridad, como el 4º URJC Tech, donde junto a mi brother Pablo impartimos la charla Wargames in your University: Looking for an approved, dónde mostrábamos un ficticio hackeo a una universidad que un alumno con peculiares intenciones podría haber realizado para aprobar una asignatura.  También en el Tech Fest impartí junto a mi compañero de Zink Security por aquel entonces, y actual compañero en KPMG, Jesús, una charla sobre ciberinteligencia con el software de Vigilancia Digital Zink-IT (actual K-IT).



En Febrero, y al igual que en enero, imapartimos desde Zink numerosas formaciones online (Security Labs), con temas tan diversos como hacking, APTs, malware, etc. etc.

Marzo fue un mes complicado, mucho trabajo, proyectos fuera, un gran listado de formaciones que impartir, y poco tiempo para eventos, pero aún así quise aportar mi granito de arena en Rooted CON edición X1RedMasSegura, impartiendo una serie de talles para ayudar a comprender por gente menos técnica los peligros de la red.

En Marzo tuve también el placer de estar en Radio Nacional hablando en el programa de Gente Despierta con @PaulaAllerRNE@CarlesMesa. Podéis escuchar el podcast de la entrevista en el siguiente enlace:
En el mes de abril tuvimos una nueva edición de Hack&Beers, y la primera edición de las jornadas QurtubaCon, cuyos videos podréis ver desde AQUÍ. En esta ocasión tuve la oportunidad de impartir junto con Pablo un taller conjunto de Pentesting con Metasploit y Ciberinteligencia, que no fue grabado, pero cuyas diapositivas tenéis disponibles en la red.

Al igual que los últimos 3 años, Mayo fue el mes de X1RedMasSegura, con numerosos talleres y con las jornadas como gran final, en las que tuve el orgullo de formar parte de nuevo del acto de inauguración.


Una experiencia inolvidable que año tras año va cobrando más importancia.  En esta ocasión realicé una charla conjunta con mis amigos Ángel, Longi, Blanca y sus peques, sobre seguridad básica en Internet, y en mi parte di 10 consejos básicos para sentirnos más seguros en la red (obviamente no son todos los que existen, pero es una buena base para poder ilustrar a público no técnico el camino a seguir). Os las comparto a continuación por si las queréis utilizar en alguna charla en colegios, AMPAS, etc.




Cómo todos los años hemos subido los videos del evento a Internet, los cuales podréis volver a ver desde los siguientes videos :):

Jornada X1RedMasSegura 2015 - VIERNES



Jornada X1RedMasSegura 2015 - SÁBADO



En Mayo estuve también en Globb Security, dentro del recorrido que hicimos por distintos medios hablando de X1RedMasSegura:



Junio fue el mes más importante para mí personalmente de este año, porque en este mes se hizo oficial la fusión de Zink Security en KPMG España, compañía en la cual trabajo actualmente y para la cual dirijo el Laboratorio de Ciberseguridad dentro de IT Advisory. Sobre la fusión se han hecho eco numerosos medios especializados como los siguientes:

Esto es todo por hoy, en el próximo artículo finalizaré lo mejor del año 2015 con la parte final del artículo y mis conclusiones.

Saludos!

27 dic 2015

Informe Flu - 233


Buenas a todos, como cada domingo os dejamos con nuestros “Enlaces de la semana”:

Lunes 21 de Diciembre
Martes 22 de Diciembre
Miércoles 23 de Diciembre
Viernes, 25 de Diciembre
Saludos!

    25 dic 2015

    ¡Feliz Navidad!

    Buenas a todos, hoy día de Navidad queríamos recuperar esta felicitación de navidad de nuestro primer año de Flu Project para desearos unas felices fiestas y todos nuestros mejores deseos para el próximo año 2016.


    Vesele Vianoce. A stastlivy Novy Rok Vesele bozicne praznike in srecno novo leto Gajan Kristnaskon Rõõmsaid Jõulupühi Zorionak eta Urte Berri On Cristmas-e-shoma mobarak bashad Hyvää Joulua or Hauskaa Joulua Zalig Kerstfeest en Gelukkig nieuw jaar Joyeux Noël et Bonne Année Nollaig chridheil agus Bliadhna mhath ur Nadolig LLawen a Blwyddyn Newydd Dda Bo Nadal e feliz aninovoKala Christougenna Kieftihismenos O Kenourios Chronos Mele Kalikimaka Mo'adim Lesimkha. Shana Tova Vrolijk Kerstfeest en een Gelukkig Nieuwjaar Kellemes Karacsonyiunnepeket & Boldog Új Évet Selamat Hari Natal Merry Christmas and Happy New Year Idah Saidan Wa Sanah Jadidah Nollaig Shona Dhuit Gledileg Jol og Farsaelt Komandi ar Buon Natale e Felice Anno Nuovo Shinnen omedeto. Kurisumasu Omedeto Natale hilare et Annum Nuovo! Prieci'gus Ziemsve'tkus un Laimi'gu Jauno Gadu Linksmu Kaledu Streken Bozhik Selamat Hari Natal Nixtieklek Milied tajjeb u is-sena t-tabja Kung His Hsin Nien bing Chu Shen Tan Meri Kirihimete Zul saryn bolon shine ony mend devshuulye God Jul og Godt Nyttår Polit nadal e bona annada Bikpela hamamas blong dispela Krismas na Nupela yia i go long yu Wesolych Swiat Bozego Narodzenia i Szczesliwego Nowego Roku Boas Festas e um feliz Ano Novo Mata-Ki-Te-Rangi. Te-Pito-O-Te-Henua Sarbatori vesele Pozdrevlyayu s prazdnikom Rozhdestva is Novim Godom ciid wanaagsan iyo sanad cusub oo fiican Wilujeng Natal Sareng Warsa Enggal God Jul och Gott Nytt År ºKrismas Njema Na Heri Za Mwaka Mpyaº Suksan Wan Christmas lae Sawadee Pee Mai Nathar Puthu Varuda Valthukkal Noeliniz Ve Yeni Yiliniz Kutlu Olsun Veseloho Vam Rizdva i Shchastlyvoho Novoho Roku! Chuc Mung Giang Sinh Sinifesela Ukhisimusi Omuhle Nonyaka Omusha Onempumelelo

    Feliz Navidad y Próspero Año Nuevo

    Flu Project Team

    22 dic 2015

    Lo mejor del año 2015, por Pablo González

    Otros 365 días han pasado y por tercera vez (lo cual empieza a ser tradición) hago mi resumen del año. Siempre he dicho que hacer balance de lo que te ha traído el año es algo interesante y sano. La vida en 365 días puede cambiarte mucho, incluso me cuesta visualizar cómo empecé el año. Es más, he tenido que leer mi resumen de 2014 para recordar algunas cosas. Creo que es bueno. Que te ocurran un montón de situaciones, cosas y la vivencia de experiencias hacen que vayamos apilando esto en nuestra cabeza y no podamos ver lo que había debajo, que no es más que todo lo del año pasado. 

    Este año decidí apuntar los viajes, poder contar los kilómetros y el TXT creció hasta los 3,17 KB. Es una buena forma de medir los viajes en un año, las charlas, los eventos, las cosas que querías recordar al final de año. Y todo esto solo en el ámbito profesional. En lo personal, como siempre me lo guardo para mí, aunque ha sido un gran año. Eso sí, ya me caen 29.

    En Enero el año nos traía un Hangout On en el que participé junto a otros conocidos sobre seguridad en dispositivos Android. Grandes recuerdos de los Hangout On, una pena que hayan finalizado. El primer congreso del año al que tuve la suerte de asistir fue Sh3llcon, una CON que se celebró en Santander y que fue muy especial. La charla llamada Wargames in your Office explicaba el caso de un insider y cómo extraía datos de la organización sin controles internos. Otro evento que pude visitar en Enero fue el CiberSeg celebrado en la UAH. La charla denominada bugs, exploits y otras chicas del montón fue el prólogo para la de Hackron. No quiero olvidar alguna charla interna en Telefónica, en mi papel de difusión, sobre Latch y la protección de la identidad digital. Tampoco quiero dejar pasar mi aventura en Córdoba dónde participé en el Hack & Beers vol. 5 con Eduardo y Miguel Ángel. Este fue el segundo viaje del año…


    En Febrero siempre hay varios eventos en Universidades españolas. Para mí fue un orgullo estar en el URJC Tech por 4 vez consecutiva. Pude dar mi charla denominada Los súper héroes ponen el pestillo a su identidad digital y, junto a mi amigo y compañero Juan Antonio Calles, la de Wargames in your University: Looking for an approved, dónde mostrábamos un ficticio hackeo a la Universidad para aprobar una asignatura. Sin duda fue una charla amena y graciosa, con historia de amor incluida. Poco después llegó uno de los que para mí ha sido uno de los eventos del año Hackron. ¿Por qué? Es fácil, Carnavales. No hay mucho más que añadir, y hasta aquí se puede leer. La charla de Hackron era OSB Rastreator: Easy way for looking for bugs in Open Source. A la vuelta de la charla pasé por la UPM para dar un martes de la ciberseguridad, con un par de charlas: Los súper héroes volvían a poner el pestillo y Wargames in your office. Además, antes de que mi amigo Juan Antonio vendiese la empresa a KPMG, de nuevo le felicito desde aquí, celebramos un nuevo Security Lab sobre Ethical Hacking. Grandes recuerdos como siempre. Por último, tengo el grato recuerdo de que en Febrero comencé mi actividad docente en la Universidad Europea de Madrid, y parece que no se dio mal :)


    Marzo es mes de Rooted CON. El congreso más grande a nivel nacional y al que tuve la suerte de asistir, esta vez para dar, por tercera vez, un Lab. Metasploit Lab fue el elegido y  pude compartir el día con 12 personas con mucha inquietud con Metasploit. Grandes! En este mes de Marzo, un poco más calmado de viajes tuve la suerte de salir en A fondo, el programa de Antena 3 y un podcast de unos chavales que se lo curran mucho, como son los del gato de Turing.

    Sin darnos cuenta el año avanza, y seguro que se me olvidan cosas, pero en el cuaderno anual tengo una fecha marcada. El mes de abril me llevó de nuevo a Córdoba para dar una charla en Qurtuba Security Congress. La charla fue Give me a Powershell and i will move your world. Además, tuve la suerte de dar un taller con mi amigo Juan Antonio Calles. El taller denominado Los niños y los pentesters nunca mienten: Use Metasploit no dejó indiferente a nadie.


    En Abril me mandaron a un evento en Valladolid que se celebraba en Las Cortes. Cuando uno va con sudadera por esos lares puede recibir alguna mirada. Pasado el tema de las miradas di la charla Phishing, Rats & Bad Boys: Navegar seguro está en tu mano. Recuerdo a los chavales de algunos colegios de la zona inquietos y motivados con la charla. Esto es algo que hace que todo esto valga la pena. Volví a Valencia para dar un curso sobre Ethical Hacking en TAES. Ida y vuelta en el mismo día, sábado intenso, pero gratificante. Volví a Telemadrid para hablar en Aquí Madrid sobre el robo de coches, sería que vieron de Móstoles, pero de nuevo otra experiencia más. Cerré Abril inaugurando los HackMeets (al cual puse nombre, guiño a Cristina!) de Telefónica en A Coruña. La charla fue Pentesting estratégico: Detección persistente de vulnerabilidades. Gran viaje con mi amigo Rafa Sánchez.


    Los meses de Mayo, Junio y Julio la cosa se relaja. Aunque aun así, este año he tenido cosas gratificantes. Telefónica me brindó la oportunidad de ir a Leading Self, un curso que recomiendo a todas las personas. Intenso y real. Te encuentras. Barcelona y retiro espiritual, ¿Qué más puedes pedir? Además, de la mano de Jorge Ramió y Alfonso Muñoz hicieron la 4 Edición del curso de Ciberdefensa, con el que contaron conmigo. Tuve la suerte de estar al lado de los mejores en este curso. Además, comencé a participar de forma más activa en 0xWord. Criptored montó un curso de especialización en Metasploit, con parte esencial y avanzada del framework.


    Agosto es un mes para tener vacaciones y desconectar. Yo tuve la suerte de que en este período me invitasen a la Tomatina CON, dónde además entras a la Tomatina. Estuvimos Olfateando tomates con OSB Rastreator. Además, en este mes publiqué un nuevo libro Pentesting con Powershell. Powershell ya es un imprescindible en la etapa de post-explotación.


    En el mes de Septiembre, por lo general se vuelve a la carga, y volvemos a hacer de todo. Este mes y el de Octubre es el mes de las CON en este país. Este año tuve la suerte de volver a impartir un Lab en Rooted Satellite, en Valencia. El Lab era de Ethical Hacking junto a 29 personas. De nuevo este tipo de eventos son gratificantes para el formador, y creo que también para los asistentes. Alfonso y yo presentamos un trabajo de investigación para las Jornadas Nacionales de Investigación en Ciberseguridad, JNIC 2015, para los que fuimos cogidos. El paper Detección de funciones inseguras en repositorios de software libre presenta nuestro trabajo.



    Las jornadas se celebraron en León. Todo ha sido vertiginoso desde Septiembre, llegando a Navidades en un abrir y cerrar de ojos. Comencé mi aportación docente en la UOC en el Máster de Seguridad de las TIC dónde dirijo algunos TFM y aporto en la asignatura de Seguridad en Sistemas Operativos. Al final la cabra tira al monte, y lo que nos gusta… nos gusta! Volví a Valencia para dar un curso de Pentesting con Kali en Taes. 17 alumnos con ganas de aprender hicieron que de nuevo un día de ida y vuelta y 750 km. A las espaldas merezcan la pena. Hacia finales de Septiembre volví a Antena 3 para salir en las Noticias, esta vez para hablar de malware en Android y hacer una pequeña prueba de concepto. No es fácil el tema de la tele, pero al final no es incómodo ;) También pasé por Albahaca CON en Huesca, la CON de mi amigo Rafa Otal, al que le agradezco su hospitalidad. La charla fue Cómo los más malotes pueden gobernar el mundo. Además, ya que estaba en Huesca aproveché para dar una charla en el Hack & Beers de allí, si me invitas, me lías :) En esta charla estuvimos olfateando tomates. Además, se publicó la charla que di en Chile en 2014.


    Y llegamos a Octubre. Repasando Septiembre, uff… En Octubre tuve que parar, ya que durante 2 semanas tuve que pasar por el hospital para un poco de chapa y pintura. Esto hace que te des cuenta que hay veces que no se puede hacer todo, y que hay más cosas en la vida. Que le importas a más gente de lo que puedes pensar, y que es cierto que es nuestra pasión y lo que queremos hacer, pero debemos tener cabeza. 


    Criptored celebró la segunda edición del curso de Metasploit en Profundidad, de nuevo tuvimos una buena acogida. Volví a Telemadrid para hablar en Aquí Madrid sobre malware en Android. Volví a casa, a mi querida URJC, para dar una asignatura en el Máster de Ingeniería Informática. El reto fue dar una asignatura de seguridad que llegase a la gente de este Máster. Para mí la experiencia ha sido positiva, y creo que el objetivo fue cumplido. Grandes ratos… los jueves y viernes por la tarde. 


    Por último, Alfonso y yo fuimos cogidos en la 8dot8 de Chile. La posibilidad de volver a Santiago de Chile dónde el año anterior estuve dando charla me gusta, pero por diversos temas no pude acudir. Tuvimos la suerte de que nuestro compañero Claudio Caracciolo impartió la charla, dónde se mostró la idea de OSB Rastreator, grande Claudio! Te debemos una! Me hubiera haber estado con mis amigos chilenos y argentinos, espero que haya una próxima vez. Ah, y haber sumado 21.000 km de vuelo también está bien :)


    Llegamos a Noviembre. Esta vez tocó hablar de phishing en Aquí Madrid. Al final uno se siente como en casa :) Durante un par de fines de semana estuve yendo a Coruña para impartir un curso en la Universidad Da Coruña y estar en la GSick Minds con la charla Pentesting con Powershell. Justo esa misma semana estuve en GSick Minds Madrid con la charla Battlefield hackers & exploits wins! 


    Por último, tuvimos una cita por segunda vez con el Cybercamp. Tuve la suerte de impartir un taller denominado IPv6: Challenge Accepted con mi amigo Rafa Sánchez. Al día siguiente di una charla denominada How can (bad boys or even u) rule the world?




    Por último, llegamos a Diciembre. Fin de año. Parada obligada para volver a cargar las pilas, aunque no ha sido un mes precisamente parado. Comencé mi colaboración en la UNIR en el Máster de Seguridad Informática, en la asignatura de Análisis de Vulnerabilidades. Volví por 4 vez a la No cON Name, y por tercera vez impartí el taller de Metasploit, con 19 alumnos. De nuevo, y como siempre, una grata experiencia que espero volver a repetir, gracias Nico, Pedro, Jordi y cia! El último viaje del año, en el ámbito profesional ha sido para ir a Sevilla a la SecAdmin 2015. En este evento impartí un taller llamado Have Fun & Pentesting with Powershell. Casi perder un Ave, pero llegar a tiempo a la cena de Flu Project, en su V Aniversario. Orgullo. Por último, y como traca final… participé en un reportaje en el programa de Ana Rosa para hablar de Sexting y captura de imágenes. Era la traca final a un año cargado de emociones, vivencias y grandes recuerdos. Todo esto me hace sentir vivo.


    Más de 20.000 kilómetros recorridos en viajes por España, ya que no fui a Chile este año, veremos el que viene. Kilómetros que saben a vida y que saben a satisfacción por hacer lo que nos gusta, por nuestra pasión. Se me olvidan cosas, seguro, pero todos estos recuerdos con este artículo ya no se me olvidarán. No sé si 2016 será mejor, pero espero seguir haciendo lo que me gusta, lo que me llena y lo que hace que me sienta vivo. Nos vemos en 2016!

    21 dic 2015

    Regala estas navidades “Atención mamás y papás” un nuevo libro para romper brechas

    Atencion papas(1)Buenas a todos, en el post de hoy me gustaría recomendar a nuestros lectores un libro escrito por dos grandes amigos, Angelucho y Kepa, titulado “Atención mamás y papás”.
    No es un libro de hacking en el que aprenderás a usar el Nmap, o a realizar un pentest con Metasploit, como ya os tenemos acostumbrados en éste blog. Se trata de una guía muy interesante de ayuda a adultos con menores ciberconectados.
    Sin duda un gran regalo para hacer estas navidades a vuestros amigos, primos, hermanos, etc. los cuales por apenas 15€, podrán aprender de una forma rápida y muy accesible, seguridad en Internet sin utilizar tecnicismos y con un lenguaje comprensible para cualquier lector, incluidos los “profanos digitales“. Y regalo con el cual, una parte de los beneficios, de cada una de las ventas, son destinados a UNICEF.
    El libro estará disponible en librerías y venta online desde el pasado día 15 de diciembre:banner_atencion_mamas&papas_600x300
    El libro lo puedes encontrar en la tienda online de Aranzadi, en librerías, etc.
    Yo ya tengo el mío firmado, ¿y tú... a qué esperas? :)

    17 dic 2015

    Seminario gratuito: Seguridad en la empresa en la URJC

    El próximo viernes 18 de Diciembre a las 17.00 tengo la suerte de volver a casa, a mi querida URJC, Universidad Rey Juan Carlos. Después de  haber estado impartiendo algunas clases en el Máster de Ingeniería Informática me pidieron dar un seminario abierto a todo el mundo y que trate sobre la Seguridad en el entorno empresarial. Aquí se hablarán de muchas cosas, entre ellas, los falsos mitos y los grandes errores. Por supuesto también se hablará de cómo mejorar el proceso, y que existe en nuestro mundo para que la Seguridad sea un pilar primario e importante y no un proceso reactivo. 

    El lugar dónde se realizará el seminario será en el Campus de Móstoles, Aulario I, aula 002, a las 17.00. Además, os dejo el extracto del documento difundido por la Universidad.


    El ciclo de seminarios intenta hacer una visión de los contenidos que se pueden estudiar en el Máster de Ingeniería Informática que puede ser estudiado en dicha Universidad. Varios de los profesores van pasando por estos seminarios mostrando a los estudiantes y personas interesadas en el tema qué cosas pueden verse.

    Por otro lado recordaros que el próximo Hack & Beers que se celebrará el próximo 8 de Enero de 2016, ya no tiene plazas libres, por lo que si algún rezagado quiere asistir os recomendamos poneros en contacto con info@flu-project.com para ver qué se puede hacer. Este será el último HB que haremos, para dar el relevo a otros, os esperamos.

    Nos vemos!

    13 dic 2015

    Informe Flu - 231


    Buenas a todos, en estos momentos (00:01), estaremos de fiesta celebrando el V aniversario de Flu Project. Cinco años con vosotros compartiendo la friolera de 1.581 artículos, hablando de herramientas, de metodologías, de eventos, de nuestras vivencias y en definitiva de todo aquello que consideramos interesante compartir con todos vosotros :). Gracias a todos por leernos cada día y por impulsarnos a que cada semana estemos con vosotros compartiendo nuevas experiencias.

    Y... cómo no podía ser de otra manera, como cada domingo os dejamos con nuestros “Enlaces de la semana”:

    Lunes 7 de Diciembre

    Martes 8 de Diciembre
    Miércoles 9 de Diciembre
     Saludos!

      9 dic 2015

      Hack & Beers V: Madrid... y despedida!

      Todo en la vida tiene que terminar y ha llegado el momento de finalizar mi dinamización de Hack & Beers Madrid. Este proyecto lo cogí en Junio de 2014 cuando Miguel A. Arroyo me preguntaba si estaría interesado en hacer un evento cervecero con toques de hacking para todos los públicos. Siempre he sido un loco, y acepté sin dudarlo. Ha sido más de año y medio de diferentes Hack & Beers Madrid, pero es el momento de echarse a un lado y que otros cojan el relevo. Ya hay sustitutos, por lo que pronto Eduardo y Miguel os comentarán.

      Quiero agradecer a Juanan, Dani, Marta, David toda la ayuda que me han dado para llevar a cabo esta dinamización. Para muchos Madrid era un sitio fácil dónde llenaríamos los bares, pero tuvimos la suerte de que de verdad los llenamos. Comenzamos en Móstoles, para luego mudarnos a Madrid, en 3 ediciones. Ha llegado el momento de cerrarlo en Móstoles, dónde todo empezó. También agradecer a Edu y Miguel por la confianza y a los que vienen detrás que seguro que lo hacen igual o mejor de lo que nosotros hemos podido hacerlo.

      La fecha indicada Viernes 8 de Enero. La hora 16.15 a 19.30. Lugar: Auditorio del Vivero de empresas de Móstoles, situado en el parque empresarial "Móstoles Tecnológico". C/ Federico Cantero Villamil, 2 bis, 28935 - Móstoles, Madrid. 



      El listado de ponentes para este mi último HB Madrid será:
      Habrá sorpresas. No te las pierdas!


      ¿Cómo registrarse? Como sabéis las plazas son limitadas, por desgracia. Podéis hacerlo a través del Meetup (Here!). 

      REGISTRO MEETUP

      8 dic 2015

      Listados de contraseñas por defecto, una manera rápida de controlar un sistema

      Buenas a todos. Cuando realizamos auditorías de seguridad solemos encontrarnos con una infinidad de cacharros conectados a la red:
      • Impresoras
      • Switches
      • Routers
      • Cámaras
      • Sistemas de control
      • etc.
      Todos ellos tienen, o suelen tener, contraseñas por defecto que si un administrador precabido no ha eliminado previamente en el proceso de bastionado, quedarán ahí hasta el final de los tiempos.
       
      Pues bien, en Internet existen infinidad de sitios web que han hecho el trabajo de recopilar estas contraseñas, para que en nuestras labores de auditoría nos sea sencillo encontrar una puerta trasera para acceder a todos estos activos. Un ejemplo es http://www.defaultpassword.com/, donde encontraremos casi 2.000 contraseñas distintas:
       
       
      No dispone de buscador, pero con una sencilla búsqueda en Google Hacking podremos comprobar si nuestros activos se encuentran en este listado:
       
       
       
      ¿Y vosotros que otros listados conocéis?
       
      Saludos!

      7 dic 2015

      Almacena tus contraseñas de forma segura en Android: KeePassDroid

      Buenas a todos. La semana pasada un buen amigo me llamó para consultarme si conocía algún sistema para almacenar sus contraseñas de forma segura. Naturalmente, y como muchos de vosotros habréis pensado, la primera herrramienta que se nos viene a la cabeza es KeePass, y esa fue mi recomendación. Tras explicarle un poco su funcionamiento me preguntó si era posible exportar las bbdd de contraseñas a dispositivos móviles Android. Sabía de la existencia de varias herramientas para esta tarea, ¿pero cual elegir?
       
       
       
      Me dispuse a investigar como estaba este nicho de mercado y vi varias opciones, todas igualmente válidas, y me decanté por recomendarle KeePassDroid, por ser una de las más compatibles con los archivos de KeePass, ser Open Source (ver código en la cuenta de GitHub de bpellin: https://github.com/bpellin/keepassdroid), y  estar bien valorada en Google Play: https://play.google.com/store/apps/details?id=com.android.keepass
       
      A continuación os dejo varias capturas de la herramienta:





      Su uso, al igual que el de KeePass es muy sencillo, por lo que no tendréis problemas a la hora de gestionar vuestras claves con este sistema. Ahora ya no tienes excusa para perder tus contraseñas, ni para poner la misma contraseña en todos vuestros servicios "para poder recordarla".

      Saludos!

      6 dic 2015

      Informe Flu - 230


       
      Buenas a todos, como cada domingo, os dejamos con nuestros “Enlaces de la semana”:
       
      Lunes 30 de Noviembre
      • El lunes iniciamos la semana publicando los Videos de Cybercamp 2015, que fue celebrada la pasada semana en Madrid. 

      Martes 1 de Diciembre
      • El martes publicamos una nueva edición de la cadena Analizando software malicioso en Android con PHP. Parte 8, donde desvelamos el nombre de nuestra futura nueva aplicación Open Source para análisis de malware "Acube3". Y en la que os animamos a aportar nuevas ideas y códigos.
      Miércoles 2 de Diciembre
       Saludos!

        2 dic 2015

        IX Jornadas de seguridad TIC del CCN-CERT


        Los próximos días 10 y 11 de diciembre, en Kinépolis Ciudad de la Imagen (Madrid) se celebrará una nueva edición de las Jornadas STIC CCN-CERT, en la que se desarrollarán diversos módulos con diferente temática y talleres.

        La Estrategia de Ciberseguridad Nacional fija como Objetivo IV “sensibilizar a los ciudadanos, profesionales, empresas y Administraciones Públicas españolas de los riesgos derivados del ciberespacio”. Precisamente, las Jornadas STIC CCN-CERT, que este año celebran su novena edición, se enmarcan dentro de este objetivo. Un objetivo dirigido, en este caso, al ámbito de competencias que la distinta normativa confiere al CERT Gubernamental Nacional: la gestión de ciberincidentes que afecten a sistemas clasificados, de las Administraciones Públicas y de las empresas y organizaciones de interés estratégico para el país, es decir, aquellos que son esenciales para la seguridad nacional y para el conjunto de la economía española.

        Año tras año, el CCN-CERT ha ido volcando todos sus esfuerzos en contribuir a la mejora de la ciberseguridad española, cooperando y ayudando a responder de forma rápida y eficiente a los ciberataques y afrontando de forma activa las ciberamenazas, cada vez más numerosas, de mayor complejidad y con mayor impacto.

        Este esfuerzo ha ido encaminado a mejorar las capacidades de detección en todos los ámbitos y a favorecer la coordinación y la comunicación entre todos los agentes implicados (instituciones y organismos del Estado, empresas y ciudadanos). Sabedores de que sólo con un intercambio de información sobre amenazas y ciberincidentes ágil y flexible y con un alto grado de confianza y reciprocidad entre las organizaciones se puede preservar la información, resolver los ciberincidentes y prevenir ataques futuros.

        Fuente: CCN-CERT

        A continuación os mostramos la agenda del evento:




        Disponéis de más información sobre las jornadas en el siguiente enlace: https://www.ccn-cert.cni.es/pdf/documentos-publicos/1111-ix-jornadas-informacion-general/file.html

        Saludos!

        1 dic 2015

        Analizando software malicioso en Android con PHP. Parte 8

        Buenas a todos, en el post de hoy de la cadena "Analizando software malicioso en Android con PHP", me gustaría compartir con vosotros una nueva evolución del programa, en la que añadiremos una página inicial para facilitar el análisis de los APKs, a través del script que implementamos en anteriores artículos.

        El software lo he bautizado como Acube3 "Android APK Analyzer" y esta es su página inicial:


        Para analizar un archivo basta con pulsar sobre Browse, y hacer clic en el botón "Upload":

        Código del archivo "index.php":

        <!DOCTYPE html>
        <html lang="en">
            <head>
                <meta charset="UTF-8"/>
                <link href="https://maxcdn.bootstrapcdn.com/bootstrap/3.3.4/css/bootstrap.min.css" rel="stylesheet">
                <link href="theme/css/fileinput.css" media="all" rel="stylesheet" type="text/css" />
                <script src="http://ajax.googleapis.com/ajax/libs/jquery/2.1.1/jquery.min.js"></script>
                <script src="theme/js/fileinput.js" type="text/javascript"></script>
                <script src="https://maxcdn.bootstrapcdn.com/bootstrap/3.3.4/js/bootstrap.min.js" type="text/javascript"></script>
            </head>
            <body>
                <div class="container kv-main">
                    <div class="page-header" style="text-align:center">
                        <img src="theme/img/acube.png" style="width:700px" />
                    </div>
                    <form enctype="multipart/form-data" method="post" action="analyze.php" >
                        <div class="form-group">
                            <input id="file-2" type="file" name="file" multiple class="file" data-overwrite-initial="false" data-min-file-count="1">
                        </div>
                    </form>
                </div>
            </body>
        </html>

        Código del archivo "analyze.php":

        <?php
           

            //******** GLOBAL VARIABLES ******************************************
            $rutaTemp="";$html_img="";$html_url="";$html_perm="";$html_manifest="";$extensiones=array();$bin="";$ext="";$name="";
            $x=0;

            //******** LOAD ******************************************************
            $obj_file=$_FILES["file"];
            if ($obj_file["error"] == 0)
            {
                    $tmp_name = $obj_file["tmp_name"];
                    move_uploaded_file($tmp_name, $obj_file["name"]);
                $name=$obj_file["name"];
                $parts_name = explode(".", $name);
                $bin=$parts_name[count($parts_name)-2];
                $ext='.'.$parts_name[count($parts_name)-1];
            }

            //******** REPEAT EXTENSIONS *****************************************
            function repeatExt($array, $returnWithNonRepeatedItems = false)
            {
                $repeated = array();
                foreach( (array)$array as $value )
                {
                    $inArray = false;
                    foreach( $repeated as $i => $rItem )
                    {
                        if( $rItem['value'] === $value )
                        {
                            $inArray = true;
                            ++$repeated[$i]['count'];
                        }
                    }
           
                    if( false === $inArray )
                    {
                        $i = count($repeated);
                        $repeated[$i] = array();
                        $repeated[$i]['value'] = $value;
                        $repeated[$i]['count'] = 1;
                    }
                }
           
                if( ! $returnWithNonRepeatedItems )
                    foreach( $repeated as $i => $rItem )
                        if($rItem['count'] === 1)
                            unset($repeated[$i]);
                sort($repeated);
                return $repeated;
            }

            //******** EXTRACT IMAGES ********************************************
            function showImages($ruta)
            {
                $extensions_img=array("png","jpg","jpeg","bmp","tiff","gif");
                global $rutaTemp,$x,$html_img,$extensiones;
                if (is_dir($ruta))
                {
                    if ($aux = opendir($ruta))
                    {
                        while (($archivo = readdir($aux)) !== false)
                        {
                            if ($archivo!="." && $archivo!="..")
                            {
                                $ruta_completa = $ruta . '/' . $archivo;
                                if (is_dir($ruta_completa))
                                {
                        $rutaTemp=$rutaTemp.$ruta_completa . "/";
                                    showImages($ruta_completa . "/");
                                }
                                else
                                {
                        //Extensiones
                        $porciones = explode(".", $archivo);
                        array_push($extensiones,$porciones[count($porciones)-1]);

                        foreach($extensions_img as $extension)
                        {
                            if(strpos($archivo, $extension)!==false)
                            {
                                            $html_img.='<img src="' . $rutaTemp."/".$archivo . '" style="width:50px;height:50px;"/>';
                                $x++;
                            }
                        }
                                }
                            }
                        }
                     $rutaTemp="";
                        closedir($aux);
                    }
                }
            }

            //******** SHELL COMMANDS *******************************************
            $com1='mkdir -p android';
            $com2='d2j-dex2jar '.$bin.$ext.' --force ';
            $com3='java -jar jd-core.jar '.$bin.'-dex2jar.jar android/apk ';
            $com4='find android/apk -type f -print0 | xargs -0 grep -1 "https:"';
            $com5='find android/apk -type f -print0 | xargs -0 grep -1 "http:"';
            $com6='apktool d -f '.getcwd().'/'.$bin.$ext.' '.getcwd().'/android/manifest';
            $commands=array($com1,$com2,$com3,$com4,$com5,$com6);
            foreach($commands as $com)
            {
                $output=array();
                exec($com, $output);
                foreach($output as $valor)
                {
                    //http/s extract
                    $pos = strpos($valor, '"http');
                    if ($pos !== false)
                    {
                        $valor = substr($valor, $pos+1);
                        $html_url.='<li>'.$valor.'</li>';
                    }
                }
            }

            //******** EXTRACT IMAGES *******************************************
            showImages("./android/manifest");

            //******** EXTRACT MANIFEST *****************************************
            $a = getcwd().'/android/manifest/AndroidManifest.xml';
            $fp = fopen($a,'r');
            $html_manifest = fread($fp, filesize($a));
            $xml=simplexml_load_string(str_replace(":", "", $html_manifest));
           
            //******** EXTRACT PERMISSIONS **************************************
            $c=0;
            foreach ($xml->children() as $node)
                if($node->attributes()->{'androidname'}!="")
                    {
                        $prm=$node->attributes()->{'androidname'};
                            $html_perm.='<li>'.$prm.'</li>';
                        $c++;
                    }
            //******** CLEAN TEMP FILES *****************************************
            unlink($name);
            unlink($bin.'-dex2jar.jar');
            function rmdir_recursive($dir)
            {
                foreach(scandir($dir) as $file) {
                    if ('.' === $file || '..' === $file) continue;
                    if (is_dir("$dir/$file")) rmdir_recursive("$dir/$file");
                    else unlink("$dir/$file");
                }
                rmdir($dir);
            }
            //rmdir_recursive('android');
        ?>


        <html>
        <head>
        </head>
        <body>
            <h1>General information</h1>
            <ul>
            <?php
                echo '<li>Package: '.$xml->attributes()->{'package'}.'</li>';
                echo '<li>Version code: '.$xml->attributes()->{'androidversionCode'}.'</li>';
                echo '<li>Version name: '.$xml->attributes()->{'androidversionName'}.'</li>';
                echo '<li>Size:'.filesize($bin.$ext).' bytes</li>';
                echo '<li>MD5:'.md5_file($bin.$ext).'</li>';
                echo '<li>SHA1:'.sha1_file($bin.$ext).'</li>';
                echo '<li>Permissions:'.$c.'</li>';
                echo '<li>Images:'.$x.'</li>';    
            ?>
            </ul>
            <h1>Files</h1>
            <ul> <?php foreach(repeatExt($extensiones) as $k) echo '<li>'.$k["value"].': '.$k["count"].'</li>'; ?> </ul>
            <h1>URLs</h1>
            <ul> <?php echo $html_url;?> </ul>
            <h1>Permissions</h1>
            <ul> <?php echo $html_perm; ?> </ul>
            <h1>Images</h1>
            <?php echo $html_img; ?>
            <h1>Android Manifest</h1>
            <textarea cols="100" rows="25">    <?php echo $html_manifest; ?> </textarea>
        </body>
        </html>


        Cuando hayamos finalizado la herramienta la compartiremos con vosotros de forma completa. Por el momento falta mucho código por pulir, y funcionalidades que desarrollar. Así que nos vemos en el próximo post.

        Saludos!