SecLists: una buena colección de listas para pentests

SecLists es una colección de varios tipos de listas utilizadas durante auditorías de seguridad. Los tipos de listas incluyen nombres de usuario, contraseñas, URLs, cadenas de datos sensibles, fuzzing payloads, y muchos más.

El objetivo es permitir que un auditor pueda descargar el repositorio en su equipo de pruebas y tener acceso a cualquier tipo de lista que pueda ser necesaria.

git clone https://github.com/danielmiessler/SecLists

Este proyecto es mantenido por Daniel Miessler y Jason Haddix, si quieres contribuir y tienes alguna idea para incluir nuevas cosas contacta con ellos :)

Proyecto OWASP: https://www.owasp.org/index.php/Projects/OWASP_SecLists_Project

Ataque a Yahoo Mail!, cambia tu contraseña

La compañía anunció hoy que "han identificado un esfuerzo coordinado para obtener acceso no autorizado a las cuentas de correo de Yahoo", los nombres de usuario y contraseñas de sus clientes de correo electrónico han sido robadas y se están utilizando para acceder a múltiples cuentas.

Yahoo no dijo cuantas cuentas han sido afectadas y tampoco están seguros sobre el origen de las credenciales de los usuarios filtrados. La información parece provenir de una base de datos de terceros que fue comprometida y no de una infiltración de los servidores propios de Yahoo.

"No tenemos ninguna evidencia de que se obtuvieron directamente en los sistemas de Yahoo. Nuestra investigación muestra que programas informáticos malintencionados utilizan una lista de nombres de usuario y contraseñas válidos para obtener acceso a cuentas de correo de Yahoo."

Por ahora, Yahoo está tomando acciones proactivas para proteger a sus usuarios afectados, "nosotros estamos reajustando las contraseñas de las cuentas afectadas y estamos utilizando la autenticación de dos factores para permitir a los usuarios volver a asegurar sus cuentas. A los usuarios ya afectados se le pedirá para cambiar su contraseña y pueden recibir una notificación por correo electrónico o un texto de SMS si han añadido un número de móvil a su cuenta".

Esta es la segunda vez que pasa con Yahoo! que ya fue atacadi en julio de 2012 y los atacantes robaron 450.000 direcciones de correo electrónico y contraseñas de una red de colaboradores de la empresa.

Fuente: HackerNews

Honey Encryption o la desolación de los crackers de contraseñas

Hoy en día Internet está repleto de múltiples trampas que tienen como objetivo identificar y estudiar la actividad y el comportamiento de los hackers. La mayoría son honeypots o honeynets que simulan ser sistemas reales expuestos, desactualizados o mal configurados de forma intencionada y que esperan como un caramelo en la puerta de un colegio a que un atacante intente abrirlo para registrar todos sus movimientos.

Sin embargo hasta ahora no se había orquestado una trampa para los crackers que intentan descifrar datos mediante ataques de fuerza bruta...

Hemos escuchado muchas veces acerca de robos de base de datos de contraseñas con miles de hashes (md5 por ejemplo). El siguiente paso natural suele ser lanzar un ataque de diccionario para obtener las passwords en texto claro. Imaginad si cada vez que una contraseña o clave de cifrado es descubierto el sistema responde mediante datos falsos al intruso (una putada). La cadena se asemeja a los datos reales hasta el punto de que los atacantes no podrán decir lo que es y no es real. Así que incluso cuando el hacker "adivina" la contraseña real, la información real se pierde por completo entre la masa de datos falsos que lo rodean.

Esto es lo que Ari Juels, ex-RSA, y Thomas Ristenpart, de la Universidad de Wisconsin, han ideado mediante Honey Encryption, un método que añade un mecanismo de seguridad engañoso que promete hacer muy arduo el camino de los crackers. Ambos presentarán su paper "Honey Encryption: Security Beyond the Brute-Force Bound" en la Conferencia Eurocrypt 2014 que tendrá lugar el 11 a 15 mayo en Copenhague, Dinamarca.

Fuentes:
- Honey Encryption Tricks Hackers with Decryption Deception 
- ‘Honey Encryption’ bamboozles hackers with fake data
- Latest encryption trick to thwart hackers is as sweet as Honey
- Sneaky "Honey Encryption" Stops Hackers By Drowning Them in Phony Data

Afirman que Obama nominará a criptógrafo naval al frente de la NSA

El presidente estadounidense, Barack Obama, está considerando al vicealmirante Michael Rogers como sustituto del general Keith Alexander al frente de la Agencia de Seguridad Nacional (NSA), según informaron CNN y The Washington Post.

Alexander, quien ha encabezado la NSA desde 2005, tiene previsto retirarse de su puesto como jefe del espionaje electrónico estadounidense a mediados de marzo, por lo que la Casa Blanca ha iniciado ya contactos con Rogers como posible reemplazo, según los medios.

El vicealmirante es responsable del brazo naval del Cibercomando, la división de ciberdefensa de la inteligencia estadounidense, y trabajó durante más de 30 años en la Armada estadounidense.

Rogers se especializó en criptografía naval de superficie y submarina e inteligencia militar, y dirigió la estación de comunicaciones estadounidenses de la Base Naval de Rota, en España, entre otros destinos.

Su currículum se completa con estudios en el Instituto Tecnológico de Massachusetts (MIT) y un máster en Estrategia de Seguridad Nacional, por lo que desde hace tiempo sonaba como un posible sustituto de Alexander.

Según fuentes gubernamentales consultadas por The Washington Post, el presidente Barack Obama se reunió con Rogers la semana pasada y la Casa Blanca comunicará su decisión "pronto".

Los últimos meses de la carrera de Alexander estuvieron marcados por las revelaciones del exanalista externo de la NSA Edward Snowden, que arrojó luz sobre los masivos programas de espionaje secreto de la agencia en todo el mundo.

Esas revelaciones llevaron a un panel de expertos nombrado por la Casa Blanca a recomendar a Obama separar la NSA y el Cibercomando, y poner al frente de la primera a un civil, para evitar de ese modo concentración de poder y abusos.

No obstante, la Casa Blanca ha rechazado esta posibilidad por el temor a que se entorpezca la coordinación e intercambio de información entre el espionaje contraterrorista y el vinculado a las operaciones militares sobre el terreno.

Fuente: Ambito

CyberGate: troyano que graba webcam (entre otras cosas)

Hace unos días un supuesto hacker (el patético camushackers), supuestamente habría robado y tomado vía webcam, supuestas fotos comprometedoras de distintas personalidades del espectáculo local, para luego postearlas en su cuenta de Twitter. Obviamente luego se probó que nada de eso había pasado pero muchos preguntaban como lo habría hecho. Esta es una de las formas.

En esta oportunidad se envía un correo falso con el asunto "En febrero nuestra aerolínea te obsequia dos tickets ida y vuelta a cualquier destino" simulando provenir de una conocida aerolínea internacional ofreciendo un obsequio espectacular, en el enlace se apunta a un troyano Cybergate RAT (Remote Administration Tool).

Mi amigo Raul me envió esta muestra por lo que le estoy muy agradecido. El iIndice de detecciones es moderado en VirusTotal (14/50).

El malwarre contiene una capa de Crypter en Visual Basic y luego el ejecutable esta compactado con UPX. Para obtener el Dump BP en IsDebuggerPresent / ZwWriteVirtualMemory / ZwResumeThread. Sin la capa del Crypter el número de detecciones obviamente cambia a 45/50.

El malware tiene un keylogger, la habilidad de grabar audio del equipo infectado, listar archivos del sistema, y... utilizar la webcam de la victima:

008B797C MOV EDX,dump3.008BFFBC ASCII "webcaminactive|"
008B7994 MOV EDX,dump3.008BFFD4 ASCII "webcamdllloaded|"
008B79AC MOV EDX,dump3.008BFFBC ASCII "webcaminactive|"
008B79C4 MOV EDX,dump3.008BFFBC ASCII "webcaminactive|"
008B79FD MOV EDX,dump3.008BFFF0 ASCII "webcamsettings"
008B7B01 MOV EDX,dump3.008C0008 ASCII "checkwebcamfile"


En el análisis dinámico podemos hacer una adquisición de la memoria RAM del sistema con Dumpit! para luego buscar strings que nos pueden revelar algo mas.

Por ejemplo aquí podemos ver los datos capturados por el Keylogger antes de ser ofuscados y guardados en el archivo de logging del troyano. También se observa el uso de NO-IP utilizado para contactar al C&C del troyano.

Fuente: Dkavalanche

Cajeros bitcoin serán accesibles para todos en México

En algún punto de su vida, la mayoría de los ciudadanos tendrán la necesidad de utilizar los servicios financieros básicos. Sin embargo, si no cuentan con el respaldo de alguna institución bancaria, esto podría llegar a representar serias dificultades.

Por ello, Pademobile y Novapay han unido esfuerzos y estrategias para que cada vez más personas, a través de los cajeros automáticos (ATMs) puedan realizar el pago de servicios, depósitos, recibir dinero de sus familiares en el extranjero, transacciones financieras básicas y más utilizando sus celulares, y pagando con pesos o Bitcoins –“monedas” electrónicas-.

El CEO de Pademobile Raúl Nogales afirmó que este proyecto está impulsado por la situación de necesidad de más de la mitad de la población de tener acceso a los servicios financieros básicos, así como por el creciente uso de dispositivos móviles.

Por su parte, José Vital CEO de Novapay, declaró que "los dispositivos ya conocidos por gran parte de la población como son los cajeros automáticos ahora podrán ser utilizados no sólo para disponer efectivo sino para efectuar pagos de servicios, depósitos y una infinidad de servicios adicionales que se irán integrando en el corto plazo, intentando con ello llevar más cerca los servicios financieros a los sectores menos favorecidos".

 Fuente: El Semanario

Malware de Windows intenta infectar dispositivos Android

Symantec ha detectado una incidencia que hasta ahora había sido una curiosidad: infección originada en Windows que intenta propagarse hacia dispositivos Android.

Las empresas de seguridad informática están familiarizadas con las incidencias de malware para Android que intenta infectar los sistemas Windows. Symantec cita el caso de Android.Claco, que descarga un archivo en formato portable ejecutable (PE) malicioso junto con un autorun.inf y los instala en el directorio origen de la tarjeta SD. Cuando se conecta el dispositivo móvil afectado a una computadora por medio de USB, y el modo AutoRun está habilitado, Windows automáticamente ejecutará el archivo PE malicioso.

En un hecho que destaca como curioso, Symantec encontró algo que funciona al revés: es decir, una amenaza de Windows que intenta infectar los dispositivos Android.

La infección comienza con un Troyano denominado Trojan.Droidpak. Este troyano descarga un DLL malicioso (también detectado como Trojan.Droidpak) y lo registra como un servicio del sistema. Luego, ese DLL descarga un archivo de configuración desde un servidor remoto. Después, analiza el archivo de configuración para poder descargar el APK malicioso a la computadora afectada:

Así, el DLL obtiene la capacidad de descargar herramientas necesarias como el Puente de Depuración de Android (Android Debug Bridge). Luego, instala el ADB y utiliza el comando que se observa en la Figura 1 para instalar el APK malicioso a cualquier dispositivo Android conectado a la computadora afectada:

Se intenta instalar repetidamente para poder garantizar que el dispositivo móvil se infecte al conectarlo a la computadora. Para una instalación satisfactoria también requiere que el modo de depuración USB esté habilitado en el dispositivo Android. El APK malicioso es una variante de Android.Fakebank.B y se presenta como una aplicación de la tienda de aplicaciones de Google.

Sin embargo, el APK malicioso en realidad busca ciertas aplicaciones de transacciones bancarias coreanas en el dispositivo afectado y, si las encuentra, provoca que el usuario las borre e instale versiones maliciosas. Android Fakebank.B también intercepta mensajes SMS y los envía a un servidor situado en Corea.

Para evitar ser víctima de este nuevo modo de infección, Symantec sugiere a los usuarios seguir las siguientes indicaciones:

• Desactivar la depuración USB de su dispositivo Android cuando no la utilice.
• Ser cauteloso cuando conecte su dispositivo móvil a computadoras no confiables.
• Instalar software de seguridad confiable, como Norton Mobile Security.
• Visitar la página de Symantec Mobile Security para obtener más información sobre seguridad.

Fuente: DiarioTI

Kaspersky cuestiona la seguridad de WiFi en aviones

Según la empresa de seguridad, un hacker sentado en primera clase, cerca de la cabina del piloto, podría comprometer la red WiFi del avión.

Cada vez son más las compañías aéreas que incorporan el servicio WiFi a su oferta y para  los pasajeros supone un gran avance poder acceder a sus datos durante las largas horas de vuelo. Los anuncios más recientes en tal sentido han estado a carto de Delta Airlines y de Aeroméxico. La Administración de Aviación Federal de EE.UU. y la Comisión Europea han aprobado el uso de ordenadores y dispositivos móviles en el avión y los pasajeros ya pueden utilizar WiFi a bordo y enviar y recibir SMS, llamadas o correos electrónicos, excepto en el momento del despegue y el aterrizaje. Las largas horas de vuelo propiciarán que los pasajeros se conecten a Internet durante el trayecto y la duda que surge ahora es si son seguras las redes WiFi de los aviones.

Según Kurt Baumgartner, analista de Kaspersky Lab, "conectarse a una red WiFi siempre conlleva algunos riesgos. Hoy en día, son muchas las técnicas que los hackers utilizan para comprometer la seguridad de las redes wireless y acceder a los dispositivos conectados a ellas. Por esta razón, al conectarse a la red de un avión también será posible que un cibercriminal, que tal vez vaya sentado a nuestro lado o muy cerca, pueda intentar acceder a nuestro dispositivo".

Además, las compañías aéreas no suelen actualizar de forma frecuente sus redes, por lo que es difícil que las vulnerabilidades se solucionen en un periodo de tiempo breve. Esto significa que la seguridad de los dispositivos de los pasajeros que se conectan a esa red podría estar en peligro. El problema es que no es sencillo para las compañías actualizar rápidamente el hardware y software en los momentos cortos en que el avión se queda parado, entre vuelo y vuelo.

Lo más preocupante es la cantidad de usuarios que podrían comprometer estas redes.  Si es posible hackear un coche o un dispositivo médico, también será posible comprometer la red WiFi de una compañía aérea. “Los ataques que hemos mencionado pueden realizarse de forma remota, pero siempre a corta distancia, como la que hay desde la primera clase a la cabina del piloto en un avión. De todas formas, es verdad que los pasajeros de todo el mundo llevan años utilizando las redes WiFi a bordo. Como regla general, por tanto, quizá lo mejor es centrarnos en lo que podemos hacer nosotros en concreto: evitar infecciones, malware y ataques con los instrumentos que tenemos a nuestra disposición. En el futuro las compañías aéreas utilizarán cada vez más dispositivos electrónicos y tenemos que estar preparados”.

De igual modo, Vicente Díaz, Analista Senior de Kaspersky Lab, comenta que también es posible sufrir ataques en los que alguien crea un punto de acceso WiFi falso haciéndose pasar por el de la propia compañía aérea, o por alguna de las que tengamos memorizadas en nuestros dispositivos. "Cuando arrancamos el dispositivo, la WiFi intenta vincularse automáticamente con WiFis que ya conoce, así que si alguna vez hemos visitado un Starbucks y nos hemos conectado a su red, y en el avión alguien crea una red WiFi con nombre “Starbucks” nos conectaremos automáticamente a ella. Si no nos fijamos, veremos que únicamente tenemos acceso a Internet, pero en este caso a través de un tercero que será capaz de ver todo nuestro tráfico y redirigirlo a su antojo".

También alguien puede crear una WiFi con el mismo nombre que la del avión, para un ataque similar. Dado el poco espacio que hay en un avión, es un escenario perfecto para este tipo de ataques.

Fuente. DiarioTI

El FBI incautó toda base de datos del servicio de TorMail

Una noticia muy decepcionante para todos los usuarios de Tormail: en agosto pasado el FBI habría logrado realizar una copia completa de un servidor de Tormail y lo estaría usando en sus investigaciones.

Según los documentos judiciales que surgieron recientemente, el FBI habría clonado la base de datos de correo electrónico completa mientras investigaba a Liberty Hosting.

En agosto de 2013, cuando el FBI tomó control de Liberty Hosting, habría también tenido acceso a todos los registros "anónimos" alojado en el mismo hosting, incluyendo los de TorMail, un servicio que permite enviar y recibir correo electrónico de forma "anónima".

La evidencia descubierta por Wired sugiere que esos archivos ahora se estarían utilizando en investigaciones completamente no relacionadas y posiblemente ahora el FBI pueda realizar minería de datos sobre la información y así rastrear a otros delincuentes.

Por ejemplo, luego del cierre de Silk Road, un hombre fue arrestado presuntamente por vender tarjetas de crédito falsificadas. El administrador del sitio estaba usando la cuenta "platpus@tormail.net" para tomar los pedidos, el FBI obtuvo una orden [PDF] para buscar datos en la base clonada de TorMail y luego, basándose en información obtenida, fueron detenidos los dos propietarios del sitio.

Todavía no hay ningún indicio de que los datos fueron accedidos sin una orden judicial, pero la búsqueda de datos a través de las cuentas de correo electrónico puede ser muy simple para la agencia federal.

Fuente: Hacker News

Microsoft adquiere la franquicia Gears of War de Epic Games

Muchos recordamos el momento en el que Microsoft adquirió los derechos de Halo, y ahora otra gran franquicia acaba en manos de Microsoft, que anuncia hoy mismo la adquisición de la franquicia Gears of War.

Microsoft ha revelado la compra de los derechos al desarrollador Epic Games, y aunque la noticia no ha venido acompañada de ningún anuncio sobre videojuegos nuevos en la saga, sí se ha revelado que serán los estudios Black Tusk de Microsoft en Vancouver los que se encargarán del futuro desarrollo de ésta. Será Rod Fergusson, previo productor de la saga, quien se incorporará a Black Tusk para liderar el proyecto.

Leemos en TheVerge que el acuerdo se ha llevado a cabo de forma similar a la adquisición de Halo por parte de Microsoft al desarrollador Bungie, siendo la franquicia trasladada a un estudio llamado 343 Industries, quien fue responsable del desarrollo de Halo 4.

Leemos la declaración oficial de Epic Games en News XBox, en palabras del CEO de Epic Games Tim Sweeney:

“Epic Games ha llegado a un acuerdo para vender los derechos de propiedad intelectual de ‘Gears of War’ a Microsoft. Estamos muy orgullosos de la franquicia creada junto a Microsoft en esta última década, y felices de que este acuerdo permita a Microsoft seguir forjando el universo ‘Gears’ en sus plataformas mientras Epic concentra sus esfuerzos en nuevos proyectos. [...] Epic sigue totalmente dedicado a XBOX One y se encuentra trabajando en las licencias del Unreal Engine 4 para soportar futuros proyectos.”

Fuente 

Wireshark: Más que una pantalla principal (Parte II)

En el artículo pasado vimos como Wireshark es más que una cara bonita. Uno de los objetivos de la serie es ver funcionalidades que nos puede aporta esta magnífica herramienta, y que en el día a día quizá no utilicemos. 

 

 

Wireshark puede realizar gestión de archivos para las capturas, y esto es interesante para que los ficheros no crezcan de manera indefinida. Para entender esto vamos a ver que opciones tenemos en la interfaz para gestionar archivos. Se puede indicar al sniffer que utilice múltiples archivos para almacenar el tráfico recogido. Las opciones que aporta la opción de múltiples archivos son:

• Se creará un nuevo archivo después de un número determinado de KB, MB o GB. 
• Se creará un nuevo archivo después de un número determinado de minutos. 
• Otras opciones interesantes son la finalización de la captura después de generar un número determinado de archivos o se sobrescribirán después de un número determinado de ficheros. 

Por otro lado, se disponen de los filtros display, los cuales ya nombramos en el anterior artículo. Para utilizarlos se debe indicar, por ejemplo, el protocolo del que se quiere filtrar paquetes: http, tcp, arp, ip, etcétera. Cada protocolo dispone de los denominados atributos, a los cuales se accede a través del punto, por ejemplo http.content_type == “application/pdf”. Este filtro solo mostrará los paquetes del protocolo HTTP que tengan un content_type de PDF, es decir, internamente albergará un archivo PDF o parte de él. 

Los filtros son evaluaciones lógicas, por lo que al final se pueden concatenar con el fin de afinar los filtros o búsquedas de ocurrencias. Los operadores son los siguientes:

• Operador and. Solo se mostrarán los paquetes que cumplan ambas condiciones, por ejemplo http && ip.src == 192.168.1.40. Este filtro de ejemplo mostrará los paquetes que en el nivel de aplicación tenga HTTP como protocolo, y además tenga como dirección IP de origen la dirección 192.168.1.40. 
• Operador or. En este caso se mostrarán los paquetes que cumplan al menos una de las condiciones, por ejemplo arp || http contains “Cookie”. Este filtro mostrará los paquetes de tipo ARP o paquetes de tipo HTTP que contengan el campo Cookie. En este caso no se podría dar las dos condiciones nunca, pero vale con una de las dos.
• Operador not. En este último caso el operador not niega el resultado obtenido de un filtro normal, por ejemplo http.content_type == “application_pdf” && not arp. Este filtro mostrará los paquetes de tipo HTTP que contengan un trozo o un archivo de PDF y que además los paquetes no sean de tipo ARP. Es un ejemplo absurdo pero que ejemplifica claramente la negación.

Los operadores lógicos se encuentran disponibles para los filtros de captura que vimos en el primer artículo. Aunque hay que recordar que los filtros cambian. 

Hasta aquí la segunda parte de Wireshark, en la que vemos que es más que una cara bonita.

 

Fuente

Wireshark: Más que una pantalla principal (Parte I)

En muchas ocasiones nos quedamos con lo superfluo, y podemos pensar que herramientas como Wireshark ofrecen simplemente un análisis de paquetes. Pero, precisamente es eso es un analizador y trae muchas funcionalidades que, a priori, podemos no conocer. En su día, impartí un curso sobre herramientas de auditoría, y cuando llegamos a Wireshark los alumnos quedaron sorprendidos de ver las cosas que tiene esta magnífica herramienta.

Wireshark es probablemente uno de los mejores analizadores de tráfico por su coste y calidad para los usuarios. Es una de las herramientas que se deben utilizar en muchas de las auditorías que se pueden llevar a cabo en un proceso de Ethical Hacking. El objetivo principal de la herramienta es mostrar al usuario todo lo que está circulando a través de su tarjeta de red, conocer que está circulando en el mundo al que estamos conectados.

Algunas características principales son:

• Funciona bajo varias plataformas como Windows, Linux o Mac OS. 
• Captura de paquetes on the fly, es decir, en tiempo real. 
• Información detallada de los paquetes. La gestión de los paquetes se realiza bajo extensiones CAP, PCAP, etcétera.
• Control de sniffing remoto. Esta característica no es muy conocida por muchos de los usuarios de la herramienta, pero se puede colocar un agente en un equipo y dejar escuchando los paquetes que circulan por dicho equipo y reenviarlos, a modo de espejo, a un equipo dónde se encuentre el auditor.
• Importación y exportación de paquetes. 

Algo muy utilizado por los usuarios es el filtro de paquetes, el cual se puede realizar desde la propia interfaz de red capture o de pantalla display. La diferencia entre estos tipos de filtros es que el de capture filtra directamente en la interfaz, por lo que los paquetes que no se quieran almacenar no lo serán, y el de display filtra una vez que los paquetes son almacenados en el buffer de Wireshark, o en el fichero CAP o PCAP. En la imagen se puede visualizar como configurar un filtro de captura para solamente almacenar tráfico TCP que se dirija al puerto 80, vamos a hacer la prueba con nuestro sitio web.

Ahora el filtro actúa directamente como si fuera en la tarjeta, en la siguiente imagen podemos visualizar como no existe un filtro de pantalla, y directamente solo se están mostrando en Wireshark (y en un posible fichero CAP que se almacene después) los paquetes que nos interesen. 

Seguiremos viendo funcionalidades de esta gran herramienta en siguientes partes.

Fuente: flu-project.com

Todos gobiernos espían a todo el mundo en línea

La empresa CrowdStrike ha publicado el "Informe global de amenazas" con un resumen de las técnicas utilizadas por los atacantes y fuertemente centrado en el adversario, buscando las técnica utilizas en cada ataque.

El informe observa la actividad de una variedad de actores relacionados con ataques patrocinados, gubernamentales y hacktivistas. Durante 2013 la empresa dice haber supervisado más de 50 diferentes grupos con diferentes motivaciones y capacidades, culpando a grupos en China, Irán, Rusia, Corea del norte y Siria por los ataques de alto perfil.

En el informe CrowdStrike confirma que los gobiernos de todo el mundo están espiando a todo el mundo en línea [infografía].

 

 Segu-Info

Spoiled Onions: un proyecto para identificar los relays de salida maliciosos en la red Tor

En enero de 2014, la red anónima Tor se compone de 5.000 relays de los cuales casi 1.000 son de salida. Como se muestra en el diagrama de la derecha, los relays de salida cierran la brecha entre la red Tor y la Internet "abierta". Como resultado, los relays de salida son capaces de ver el tráfico de red anonimizado enviado por los clientes Tor.

Aunque la mayoría de los relays de salida son inocuos y dirigidos por voluntarios bienintencionados, hay excepciones: en el pasado, se documentaron algunos relays de salida que han esnifado y manipulado el tráfico retransmitido. Los ataques expuestos en su mayoría son MiTM de HTTPS, inyección HTML y SSL tripping.

Existe un proyecto de investigación bautizado como Spoiled Onions, que ha desarrollado un escáner rápido y modular escrito en Python para detectar estos relays de salida maliciosos: exitmap. Está disponible en GitHub bajo licencia GPLv3:

git clone https://github.com/NullHypothesis/exitmap.git

Desde septiembre de 2013 ha estado monitorizando todos los relays de salida con el fin de exponer, documentar y frustrar los relays maliciosos o mal configurados. En su lista negra también incluyen relays de salida que involuntariamente interfieren el tráfico de red debido a la censura de DNS.
Así que, si utilizas Tor, ¿a qué estas esperando para echar un vistazo a esta lista?

Web del proyecto: http://www.cs.kau.se/philwint/spoiled_onions/
Paper de investigación: Spoiled Onions: Exposing Malicious Tor Exit Relays [pdf, bib]

Fuente: hackplayers

Chrome puede escuchar lo que dices

Un desarrollador ha anunciado una vulnerabilidad en el navegador Google Chrome que podría permitir a un atacante remoto escuchar todas las conversaciones que se produzcan en el entorno del ordenador. Conversaciones, reuniones, llamadas, etc. podrían quedar al alcance de cualquier atacante remoto.

El desarrollador web Tal Ater (@talater) descubrió el problema mientras trabajaba con annyang (una conocida librería JavaScript de reconocimiento de voz). Una página maliciosa puede activar el micrófono del ordenador sin conocimiento del usuario (video) y escuchar cualquier cosa que se diga en su entorno, incluso después de haber cerrado el sitio. 

Cuando un sitio web, necesita acceder al micrófono, Chrome requiere la autorización del usuario. Un cuadro de diálogo aparece sobre el navegador y tras aceptar la petición, se muestra un icono en esa pestaña para mostrar que el micrófono se encuentra activo. Al cerrar la pestaña, visitar otro sitio o incluso cerrar la ventana principal del navegador (no el proceso), se supone que el uso del micrófono queda cortado, pero tal y como ha demostrado Tal Alter esto no es así. Un sitio malicioso podría emplear una ventana pop-under para mantener el micrófono activo incluso después de haber cerrado la ventana principal del navegador.

Las ventanas pop-under, a diferencia de las pestañas normales no muestran el estado del micrófono, y el atacante podrá seguir escuchando todo el tiempo que la ventana pop-under permanezca abierta.

El problema, según explica su descubridor, reside en el uso de los permisos https del sitio. Chrome recuerda cuando se han aplicado permisos de micrófono a un sitio https, por lo que no requiere una nueva aprobación cada vez que se visite dicho sitio. Esto puede permitir a un atacante abrir una ventana pop-under y continuar usando el micrófono sin el permiso del usuario (y sin su conocimiento).

El desarrollador confirma que reportó el problema al equipo de seguridad de Google el 13 de septiembre, el 19 sus ingenieros habían identificado los problemas y sugerido correcciones. El 24 de septiembre, ya tenían disponible un parche para solucionar el fallo y finalmente le reconocen como nominado para el Panel de Recompensas.

Pero cuatro meses después la solución todavía no ha llegado a los escritorios. Según Google, el problema está en que el grupo de estándares no ha decidido cual debe ser el comportamiento correcto del navegador ante este problema. Sin embargo, el W3C, la organización encargada de mantener los estándares web, ya definió el comportamiento adecuado para evitar este problema en su especificación de la "Web Speech API", en octubre de 2012.

Por ello, el descubridor ha publicado sus descubrimientos incluyendo el código del exploit que aprovecha este problema. Como recomendación de seguridad, se puede consultar la configuración de permisos para cada sitio web, desde Chrome accediendo a chrome://settings/contentExceptions#media-stream. También se puede bloquear completamente el acceso al micrófono desde chrome://settings/content, en la sección "Multimedia" seleccionando "No permitir que los sitios accedan a mi cámara ni a mi micrófono".

Fuente: Hispasec

Forensics PowerTools (Listado de herramientas forenses)

Hola lectores,

Suelo hacer habitualmente un 'post' sobre herramientas forenses para no olvidarme de donde descargo muchas de las herramientas que utilizo. Muchas ya están en esta presentación en slideshare, pero en esta ocasión he incluido algunas nuevas y otras actualizadas. Esta lista es producto de recopilación de muchos meses y quiero compartirlas con todos.  Espero que os pueda ser de utilidad.

 

 

ADQUISICIÓN Y ANÁLISIS DE LA MEMORIA 

Set de utilidades que permite la adquisición de la memoria ram para posteriormente hacer un análisis con ella.

pd Proccess Dumper - Convierte un proceso de la memoria a fichero.
FTK Imager - Permite entre otras cosas adquirir la memoria.
DumpIt - Realiza volcados de memoria a fichero.
Responder CE - Captura la memoria y permite analizarla.
Volatility - Analiza procesos y extrae información util para el analista.
RedLine - Captura la memoria y permite analizarla. Dispone de entrono gráfico.
Memorize - Captura la ram (Windows y OSX).

MONTAJE DE DISCOS

Utilidades para montar imágenes de disco o virtualizar unidades de forma que se tenga acceso al sistema de ficheros para posteriormente analizarla. 

ImDisk - Controlador de disco virtual.
OSFMount - Permite montar imágenes de discos locales en Windows asignando una letra de unidad.
raw2vmdk - Utilidad en java que permite convertir raw/dd a .vmdk
FTK Imager - Comentada anteriormente, permite realizar montaje de discos.
vhdtool - Convertidor de formato raw/dd a .vhd permitiendo el montaje desde el administrador de discos de Windows .
LiveView - Utilidad en java que crea una máquina virtual de VMware partiendo de una imagen de disco.
MountImagePro - Permite montar imágenes de discos locales en Windows asignando una letra de unidad

CARVING Y HERRAMIENTAS DE DISCO 

Recuperación de datos perdidos, borrados, búsqueda de patrones y ficheros con contenido determinado como por ejemplo imágenes, vídeos. Recuperación de particiones y tratamiento de estructuras de discos.

PhotoRec - Muy útil, permite la recuperación de imágenes y vídeo.
Scalpel -Independiente del sistema de archivos. Se puede personalizar los ficheros o directorios a recuperar.
RecoverRS - Recupera urls de acceso a sitios web y ficheros. Realiza carving directamente desde una imágen de disco.
NTFS Recovery - Permite recuperar datos y discos aún habiendo formateado el disco.
Recuva - Utilidad para la recuperación de ficheros borrados.
Raid Reconstructor - Recuperar datos de un RAID roto, tanto en raid 5 o raid 0. Incluso si no conocemos los parámetros RAID.
CNWrecovery - Recupera sectores corruptos e incorpora utilidades de carving.
Restoration - Utilidad para la recuperación de ficheros borrados.
Rstudio - Recuperación de datos de cualquier sistema de disco NTFS, NTFS5, ReFS, FAT12/16/32, exFAT, HFS/HFS+ (Macintosh), Little y Big Endian en sus distintas variaciones UFS1/UFS2 (FreeBSD/OpenBSD/NetBSD/Solaris) y particiones Ext2/Ext3/Ext4 FS.
Freerecover - Utilidad para la recuperación de ficheros borrados.
DMDE - Admite FAT12/16, FAT32, NTFS, y trabaja bajo Windows 98/ME/2K/XP/Vista/7/8 (GUI y consola), DOS (consola), Linux (Terminal) e incorpora utilidades de carving.
IEF - Internet Evidence Finder Realiza carving sobre una imagen de disco buscando mas de 230 aplicaciones como chat de google, Facebook, IOS, memoria ram, memoria virtual,etc.
Bulk_extractor - Permite extraer datos desde una imagen, carpeta o ficheros.

UTILIDADES PARA EL SISTEMA DE FICHEROS

Conjunto de herramientas para el análisis de datos y ficheros esenciales en la búsqueda de un incidente.

analyzeMFT - David Kovar's utilidad en python que permite extraer la MFT
MFT Extractor- Otra utilidad para la extracción de la MFT
INDXParse - Herramienta para los indices y fichero $I30.
MFT Tools (mft2csv, LogFileParser, etc.) Conjunto de utilidades para el acceso a la MFT
MFT_Parser - Extrae y analiza la MFT
Prefetch Parser - Extrae y analiza el directorio prefetch
Winprefectchview - Extrae y analiza el directorio prefetch 
Fileassassin - Desbloquea ficheros bloqueados por los programas

ANÁLISIS DE MALWARE

PDF Tools de Didier Stevens.
PDFStreamDumper - Esta es una herramienta gratuita para el análisis PDFs maliciosos.
SWF Mastah - Programa en Python que extrae stream SWF de ficheros PDF.

Proccess explorer - Muestra información de los procesos.
Captura BAT - Permite la monitorización de la actividad del sistema o de un ejecutable.
Regshot - Crea snapshots del registro pudiendo comparar los cambios entre ellos
Bintext - Extrae el formato ASCII de un ejecutable o fichero.
LordPE - Herramienta para editar ciertas partes de los ejecutables y volcado de memoria de los procesos ejecutados.
Firebug - Analisis de aplicaciones web.
IDA Pro - Depurador de aplicaciones.
OllyDbg - Desemsamblador y depurador de aplicaciones o procesos.
Jsunpack-n - Emula la funcionalidad del navegador al visitar una URL. Su propósito es la detección de exploits
OfficeMalScanner - Es una herramienta forense cuyo objeto es buscar programas o ficheros maliciosos en Office.
Radare - Framework para el uso de ingeniería inversa.
FileInsight - Framework para el uso de ingeniería inversa.
Volatility Framework con los plugins malfind2 y apihooks.
shellcode2exe - Conversor de shellcodes en binarios.

FRAMEWORKS

Conjunto estandarizado de conceptos, prácticas y criterios en base a el análisis forense de un caso.

PTK - Busca ficheros, genera hash, dispone de rainbow tables. Analiza datos de un disco ya montado. 

Log2timeline - Es un marco para la creación automática de un super línea de tiempo.

Plaso - Evolución de Log2timeline. Framework para la creación automática de un super línea de tiempo.

OSForensics - Busca ficheros, genera hash, dispone de rainbow tables. Analiza datos de un disco ya montado.
DFF - Framework con entorno gráfico para el análisis.
SANS SIFT Workstation - Magnifico Appliance de SANS. Lo utilizo muy a menudo.
Autopsy - Muy completo. Reescrito en java totalmente para Windows. Muy útil.

ANÁLISIS DEL REGISTRO DE WINDOWS

Permite obtener datos del registro como usuarios, permisos, ficheros ejecutados, información del sistema, direcciones IP, información de aplicaciones.

RegRipper - Es una aplicación para la extracción, la correlación, y mostrar la información del registro.
WRR - Permite obtener de forma gráfica datos del sistema, usuarios y aplicaciones partiendo del registro.

Shellbag Forensics Análisis de los shellbag de windows.
Registry Decoder - Extrae y realiza correlación aun estando encendida la máquina datos del registro.

HERRAMIENTAS DE RED

Todo lo relacionado con el tráfico de red, en busca de patrones anómalos, malware, conexiones sospechosas, identificación de ataques, etc.

WireShark - Herramienta para la captura y análisis de paquetes de red.
NetworkMiner - Herramienta forense para el descubrimiento de información de red.
Netwitness Investigator - Herramienta forense. La versión 'free edition' está limitado a 1GB de tráfico.
Network Appliance Forensic Toolkit - Conjunto de utilidades para la adquisición y análisis de la red.
Xplico - Extrae todo el contenido de datos de red (archivo pcap o adquisición en tiempo real). Es capaz de extraer todos los correos electrónicos que llevan los protocolos POP y SMTP, y todo el contenido realizado por el protocolo HTTP.
Snort - Detector de intrusos. Permite la captura de paquetes y su análisis.
Splunk - Es el motor para los datos y logs que generan los dispositivos, puestos y servidores. Indexa y aprovecha los datos de las generados por todos los sistemas e infraestructura de IT: ya sea física, virtual o en la nube.
AlientVault - Al igual que Splunk recolecta los datos y logs aplicándoles una capa de inteligencia para la detección de anomalías, intrusiones o fallos en la política de seguridad.

RECUPERACIÓN DE CONTRASEÑAS

Todo lo relacionado con la recuperación de contraseñas en Windows, por fuerza bruta, en formularios, en navegadores.

Ntpwedit - Es un editor de contraseña para los sistemas basados ​​en Windows NT (como Windows 2000, XP, Vista, 7 y 8), se puede cambiar o eliminar las contraseñas de cuentas de sistema local. No valido para Active Directory.
Ntpasswd - Es un editor de contraseña para los sistemas basados ​​en Windows, permite iniciar la utilidad desde un CD-LIVE
pwdump7 - Vuelca los hash. Se ejecuta mediante la extracción de los binarios SAM.
SAMInside / OphCrack / L0phtcrack- Hacen un volcado de los hash. Incluyen diccionarios para ataques por fuerza bruta.

DISPOSITIVOS MÓVILES

Esta sección dispone de un set de utilidades y herramientas para la recuperación de datos y análisis forense de dispositivos móviles. He incluido herramientas comerciales dado que utilizo algunas de ellas y considero que son muy interesantes e importantes.

iPhone

iPhoneBrowser - Accede al sistema de ficheros del iphone desde entorno gráfico.
iPhone Analyzer - Explora la estructura de archivos interna del iphone.
iPhoneBackupExtractor - Extrae ficheros de una copia de seguridad realizada anteriormente.

iPhone Backup Browser - Extrae ficheros de una copia de seguridad realizada anteriormente.

iPhone-Dataprotection - Contiene herramientas para crear un disco RAM forense, realizar fuerza bruta con contraseñas simples (4 dígitos) y descifrar copias de seguridad.

iPBA2 - Accede al sistema de ficheros del iphone desde entorno gráfico.

sPyphone - Explora la estructura de archivos interna.

BlackBerry

Blackberry Desktop Manager - Software de gestión de datos y backups.
Phoneminer - Permite extraer, visualizar y exportar los datos de los archivos de copia de seguridad.
Blackberry Backup Extractor - Permite extraer, visualizar y exportar los datos de los archivos de copia de seguridad.

MagicBerry - Puede leer, convertir y extraer la base de datos IPD.

Android

android-locdump. - Permite obtener la geolocalización.

androguard - Permite obtener, modificar y desensamblar formatos DEX/ODEX/APK/AXML/ARSC
viaforensics - Framework de utilidades para el análisis forense.

Osaf - Framework de utilidades para el análisis forense.

PRODUCTOS COMERCIALES

No podían faltar. Disponer de estas herramientas es una maravilla y un lujo el poder utilizarlas. Rápidas y concisas. Lo peor en alguna de ellas es el precio.

UFED Standard (http://www.cellebrite.com)

XRY (http://www.msab.com)
Mobilyze (http://www.blackbagtech.com)
SecureView2 (http://mobileforensics.susteen.com)
MobilEdit! (http://www.mobiledit.com)
Oxygen Forensic (http://www.oxygen-forensic.com)
CellDEK (http://www.logicube.com)
Mobile Phone Examiner (http://www.accessdata.com)
Lantern (http://katanaforensics.com)
Device Seizure (http://www.paraben.com)
Neutrino (www.guidancesoftware.com)

Cómo ganar en el #Candy Crush

Buenas a todos! En este nuevo post vamos a ver cómo sería posible ganar siempre al juego "Candy Crush" en Facebook y vamos a entender cómo funciona esta aplicación por dentro. Hace tiempo leí un artículo sobre esto que después he ido alargando y descubriendo más cosas que se basaban en lo mismo. El artículo sobre el que me base es: http://www.stavros.io/posts/winning-candy-crush/

Bien lo primero, ¿qué es el "Candy Crush"? Pues es un juego al que puedes jugar desde tu cuenta en Facebook o que te puedes descargar para tu smartphone, sincronizarla por ejemplo con Facebook y continuar tu partida. Básicamente el juego trata de hacer combinaciones de colores, cuantos más hagas mejor, y para ello tienes una serie de vidas que se van recuperando (cada partida gasta una vida), y además para cada partida tendremos una cantidad de movimientos máximos. Pero... Descubriremos en este post como hacer este juego muuucho mas fácil para tener resultados como estos...

Así que vamos a empezar, para poder realizar todo es necesario contar con un proxy, yo al igual que en el artículo que os mencione antes voy a utilizar "Charlie" que nunca lo había probado y la verdad que me ha gustado mucho ya que te saca muy en claro las respuestas del servidor en JSON que es lo que vamos a necesitar.

Lo primero que tenemos que hacer es descargar el proxy de la web que sale en la imagen, una vez hecho esto lo arrancamos y directamente se pone a la escucha de todas las peticiones como podemos observar...

Como he dicho este proxy tiene una cosa muy cómoda y es capturar las respuestas que nos devuelve el servidor para poder modificarlas, pero para poder capturar los paquetes y poder modificarlos es necesario que pongamos breakpoints en los dominios de los paquetes que queremos interceptar, para ello hacemos lo siguiente sobre el dominio que queramos (En este caso el del juego)...

Una vez hecho esto comenzara a capturar todos los paquetes que enviemos y recibamos de dicho dominio.

En nuestro caso la mayoría de las veces nos importaran las respuestas del servidor como por ejemplo la siguiente donde podemos ver que el servidor nos está mandando información como la cantidad de vidas que tenemos y demás...

Pues bien, este juego lo que hace son peticiones y con las respuestas en JSON introduce los datos en el juego para que nosotros podamos jugar, por lo que es tan sencillo como cambiar el parámetro "lives" dentro de la respuesta del servidor de 5 por ejemplo a 55 y tendremos 55 vidas. Un detalle importante es que deberemos cambiarlo en cada peticiones que tenga el parámetro vidas ya que si no se produce un error, pero veremos luego como automatizarlo ;)! Como vemos en la siguiente imagen al cambiar el 5 por 55 vemos que...

Pues que tenemos 55 vidas! De esta forma podríamos jugar de forma continua sin necesidad de esperas, pero... El juego seguía siendo un poco aburrido y decidí seguir mirando, tras echar un ojo a las peticiones vi que cuando iniciábamos un nivel nuevo el servidor nos devolvía algunos parámetros interesantes como podían ser la cantidad de colores que había en el nivel, las puntuaciones necesarias para obtener las medallas y algunas cosillas mas, aquí os dejo la respuesta del servidor en un JSON:

{

 "currentUser": {

    "userId": 1660136720,

    "lives":55 54,

    "timeToNextRegeneration": -1,

    "gold": 0,

    "unlockedBoosters": [],

    "soundFx": false,

    "soundMusic": false,

    "maxLives": 5,

    "immortal": false,

    "mobileConnected": true,

    "currency": "EUR",

    "altCurrency": "EUR",

    "preAuth": false

    },

 "levelData": "{\"numberOfStartMovesUntilPiano\":0,\"chameleonCandySpawn\":0,\"pepperCandyMax\":0,\"numberOfPianoStartMoves\":0,\"gameModeName\":\"Classic moves\",\"protocolVersion\":\"0.1\",\"useTotalWeightToTriggerPiano\":false,\"useSplitWeightToTriggerPiano\":false,\"numberOfColours\":4,\"tileMap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licoriceSpawn\":0,\"pepperCandyExplosionTurns\":0,\"licoriceMax\":0,\"mysteryCandyMax\":0,\"mysteryCandySpawn\":0,\"scoreTargets\":[750,2200,3700],\"pepperCandySpawn\":0,\"leftWeightToTriggerPiano\":0,\"moveLimit\":11110,\"randomSeed\":1088126,\"isSpecialColorEnabled\":false,\"weightToTriggerPiano\":0,\"chameleonCandyMax\":0,\"isBalanceModeEnabled\":false,\"rightWeightToTriggerPiano\":0,\"maxDiff\":0,\"portals\":[],\"abTest\":\"true\", \"abTestName\":\"Tutorial_1_a_91136\"}\n",

 "seed": 1385815187810

}

Pues lo que podríamos hacer seria cambiar "numberOfColours" para hacer que en vez de 6 colores nos aparecieran 3 o 4, por otro lado podríamos modificar el "moveLimit" para que en vez de tener solo 10 movimientos podamos tener como vemos en la petición 110. Si modificamos estos parámetros comprobamos que en las pantallas realmente tenemos los colores que queramos y con la cantidad de movimientos que queramos.

Como vemos el juego se ha vuelto mucho más sencillo, pero... Aun tenemos que estar analizando las peticiones y respuestas del servidor, pues vamos a ver cómo podríamos automatiza esto mediante el proxy "Charlie" para que no tengamos que hacer absolutamente nada aparte de encenderlo y "jugar".

Para ello necesitamos habilitar la opción "rewrite" del proxy...

Tras hacer esto nos aparecerán las opciones de re-escribir que tiene el proxy...

Para poner una regla de re-escritura tendríamos que seleccionar "Add", darle el nombre que queramos, y a continuación definir como vemos en la imagen la regla que queramos sobre escribir, en mi caso cuando las vidas sean -1 que las sustituya por 1 por lo que nunca llegaremos a tener 0 vidas, por otro lado siempre le podríamos poner un 5 delante del número de vidas que tengamos, así siempre tendremos entre 50 y 55, es decir ilimitadas ;)

Y de igual forma podríamos sustituir los colores y un largo etc que dejare que busquéis vosotros ya que solo hay que hacer exactamente lo mismo que hemos dicho hasta ahora...

Hasta aquí llega esta PoC donde hemos visto como sería posible cambiar algunos de los parámetros, aunque si probáis veréis que es posible hacer mucho mas como cambiar el tipo de partida, que podemos ponernos la puntuación que queramos al terminar la partida modificando la petición, etc... Pero eso os dejo a vosotros probar!

Espero que os haya gustado y que hayáis visto como es posible modificar la información en aplicaciones de este estilo, ya que he estado investigando y ni mucho menos es el único juego/app que lo hace de esta forma asi que… A probar ;)

Un saludo,

Fuente: Flu-project