Y ahora que soy CEH...

Han pasado varias semanas desde que tuve el examen de Certified Ethical Hacking en uno de los muchos centros Prometic que hay en España y, por fortuna para mi, pude aprobarlo. Tal y como os contaba en Agosto del año pasado esta certificación está bastante bien para no perder de lado el área más técnica de la Seguridad Informática, en sus 67 (al final son 67) módulos ves desde SQL Injection hasta las nociones básicas del desarrollo de exploits, como y en que consisten los buffer overflow (y como aprovecharlos para inyectar código propio), fingerprinting, detección de vulnerabilidades, XSS, cyberterrorismo, bluejacking, etc. etc. El temario como digo es bastante atractivo, pero como ocurre con todas las certificaciones no es necesario ser un verdadero experto para sacársela, de hecho hay una vía rápida:

1. Pida usted el temario del CEH (versión 6.1, la última por favor) a alguno de sus miles de amigos mediante programas bittorrent o similares.
2. Ignore el susodicho temario.
3. Acuda a www.examcollection.com, realice una búsqueda de CEH Exam Test.
4. Memorice las preguntas.
5. Pague el examen, preséntese a hacerlo, el 80% de las preguntas coincidirán.

Que como pueden imaginar no es muy gratificante intelectualmente pero obtiene el mismo resultado que:

1. Obtenga el temario.
2. Comience por el tema 1, muera usted en el tema 2 cuando repase la legislación internacional sobre seguridad informática.
3. Anímese, ya le quedan 65 temas.
4. Pruebe las más de 2000 herramientas referenciadas en el material, móntese su laboratorio, aprenda, aprenda, aprenda, aprenda, vuelva al paso 3 y temas --;
5. Hago los test disponibles en Internet. Descubra que no sabe realmente mucho ya que no pasa de un 65%, memorice.
6. Preséntese al examen y obtenga su título.

No os diré que camino seguí yo, pero lo cierto es que el título está bastante chulo (subiré una foto en cuanto pueda), tras aprobar y acreditar tu experiencia de 2 años en seguridad de la información (necesitaréis que vuestro responsable realice un escrito a EcCouncil) te mandarán una carpetita desde Hong Kong (menuda cara puso el cartero de mi pueblo) con vuestra merecida recompensa. El examen requería de un 70% de aciertos para aprobar, en la media de todas las certificaciones, se hace por ordenador y aunque tienes 4,5 horas para terminarlo en 2 te da tiempo repasando. Todo en perfecto inglés, eso sí.

Y ya está, con la alegría y gozo que proporciona el conocimiento lo siguiente que uno tiene derecho a preguntarse es, ¿le puedo sacar provecho económico a esto?, recuerdo que en EcCouncil, en la sección FAQ había una pregunta,,, ¿cuanto puedo cobrar por tarea?,,, donde respondían que dependiendo del trabajo entre 15.000 y 45.000 $, que no está mal, pero esto es España y bueno,,, somos distintos (aquí hay muchos dires y diretes que nos alejarían de lo interesante), volvamos al tradicional método de búsqueda y comparemos de paso con otras certificaciones:

Infojobs

• CEH: 3 ofertas encontradas.
• CISA: 32 ofertas encontradas.
• CISM: 24 ofertas encontradas.
• CISSP: 21 ofertas encontradas.
• CHFI: 2 ofertas encontradas.
• Lead Auditor: 3 ofertas encontradas.
• ITIL: 221 ofertas encontradas.
• COBIT: 23 ofertas encontradas.

Tecnoempleo:

• CEH: 0 ofertas encontradas.
• CISA: 10 ofertas encontradas.
• CISM: 10 ofertas encontradas.
• CISSP: 5 ofertas encontradas.
• CHFI: 0 ofertas encontradas.
• Lead Auditor: 0 ofertas encontradas.
• ITIL: 126 ofertas encontradas.
• COBIT: 9 ofertas encontradas.

Monster:

• CEH: 0 ofertas encontradas.
• CISA: 2 ofertas encontradas.
• CISM: 2 ofertas encontradas.
• CISSP: 4 ofertas encontradas.
• CHFI: 0 ofertas encontradas.
• Lead Auditor: 1 ofertas encontradas.
• ITIL: 8 ofertas encontradas.
• COBIT: 2 ofertas encontradas.

Bueno parece que el CEH no es la certificación más famosa en España, a pesar de que la demanda de servicios de hacking ético ha subido (aunque esto es una opinión personal),,, eso sí, el movimiento se demuestra caminando. En el Top 3 se mantienen CISA, CISM y CISSP, que muchas veces son solicitadas de forma similar cuando no tienen nada que ver, pero esa es otra historia..

¿Como véis el mercado de la Seguridad en España?, ¿Igual, mejor, peor que el año pasado? En el 2009 nos hicimos la misma pregunta.. podéis comparar.

Salu2

Warcraft DiscHack (y el Falso Positivo) I/II

El por qué de la idea

Todo comenzó a finales de Agosto, un poco cansado de que mi viejo K8 3000+ no diera mucho rendimiento con juegos relativamente viejos (Bioshock, Alone In the Dark 4, etc.) volví a instalarme el Warcraft III: The Frozen Throne. Hacía ya bastantes meses que no me ponía a “ownear” así que no sabía como estaba el percal en Battle.net, cual fue mi sorpresa cuando me di cuenta que estas batallas cibernéticas ya no son lo que eran, era muy habitual cruzarse con “hackers” que se valían de cheats como desactivar la niebla de guerra (que te permite ver las unidades enemigas) o simplemente desconectarlo, el llamado disc Hack:

Aunque a mi siempre me gustó más el video del guiry flipao que, tras padecer los sufrimientos de un demon hunter y su “Mana Burn”, lo desconecta:

El caso es que, desanimado como estaba por la ausencia de fair play decidí investigar en que consistía el dischack, que era el que más me preocupaba, por lo que podía ver el proceso del juego “war3.exe” crecía exponencialmente desde que se lanzaba el ataque, la desconexión no era instantanea, más bien el juego se ralentizaba en lo que parecía un envío de paquetes con un TTL incrementando al máximo (o al menos eso es lo 1º que pensé).

Investigación

Ni corto ni perezoso me dispuse a descargar un par de herramientas muy útiles en estos casos, el WinSock y el CheatEngine, esta última está especialmente diseñada para alterar parámetros de las partidas. Winsock es muy útil para analizar la actividad de los procesos y sus flujos de comunicaciones TCP/IP. También permite establecer filtros para parar determinados tipos de paquetes, lo que puede ser útil si queremos detener el dischack ;-)

Entonces ocurrió algo que personalmente odio, ante la descarga de Winsock el Avast saltó como loco y borró el .rar que lo contenía, dando una alerta por troyano, pensando que esto suele ocurrir con las herramientas de hacking lo subí a virustotal para conocer terceras opiniones, con este resultado : 37/43 positivos con muchos Generic.WinTrojan de por medio o W32/Trojan, etc. (deberían hacer un chiste con estas alertas: Tienes menos personalidad que un Generic.WinTrojan), en mi espíritu paranoico cesé mis actividades de investigación en Warcraft y las sustituía por otras, ¿Qué hacíar realmente WinSock?, ¿me podía fiar?

Lo que realmente investigué

Como laboratorio personal tengo una pequeña máquina virtual con Windows XP SP2 , ideal para hacer un destrozo y luego volver a la normalidad como si nada, en estos casos la función de snapshot de VMWare Workstation viene de perlas. Utilizaré solo dos herramientas para averiguar que hace WinSock:

- Regshot

- Process Monitor

Con regshot obtendré rápidamente una instantánea del registro de sistema, después instalaré y ejecutaré WinSock, tomando una nueva instánea. Regshot comparará ambas imágenes y me dirá los cambios. El programa es muy sencillo e intuitivo de utilizar así que no tiene pérdida:

Tras todo ello vemos bastantes cambios en el registro, aunque muchos están relacionados con cosas que no son WinSock, las únicas entradas relevantes son las siguientes:

HKU\S-1-5-21-1935655697-764733703-839522115-1003\Software\Microsoft\Windows\ShellNoRoam\MUICache\C:\Documents and Settings\GigA\Escritorio\WPE PRO.exe: "WPE PRO"

HKU\S-1-5-21-1935655697-764733703-839522115-1003\Software\WinRAR\ArcHistory\0: "C:\Documents and Settings\GigA\Escritorio\wpepro09x.zip"

La primera parece que ha incluido en el listado de software de Windows la aplicación WPE PRO, con la ruta que tiene en el sistema, y la ha cacheado para futuras llamadas. La segunda cambia el histórico de WinRar para que figure el zip de Winsock. Nada extraño por ahora.

Tras esto lanzamos process monitor, esta herramienta de Microsoft combina las bondades de Filemon y Regmon, que formaban parte de SysInternals y han sido combinadas en este nuevo producto. Es perfecto para monitorizar la actividad de un proceso, las librerías de las que depende, las llamadas que realiza, el tráfico de red que genera, los archivos que crea, etc. etc. En este caso vemos que WinSock genera bastante actividad en el sistema, que además mezclada con el resto de procesos puede generar bastante confusión, por suerte con un botón derecho “Hightlight WPE-PRO” nos resaltará en verde lo que nos interesa.

Hay bastantes líneas, muchas de ellas son sencillamente utilización de fuentes de Windows (para lo cual tiene que leer muchos archivos), hay otras en las que llama a la librería que adjunta, WpeSpy.dll.

El programa comienza como es obvio cargándose en memoria, después pasa a añadir a la carpeta prefetch de Windows varios un archivo con la aplicación, en el mismo se han encontrado referencias a entradas de registro del mismo WPE, por lo cual entendemos que quiere que Windows tenga cacheada la aplicación para próximas sesiones. Después realizar varias consultas al sistema, mapeando la unidad raiz “C:\” así como otras de Windows, System32, etc. Después pasa a generar varios archivos en la carpeta fantasma de Windows, la odiada, enigmática y poco comprendida desde el punto de vista de los usuarios WinSxS, así que podemos suponer correctamente que tenemos varios hard-links nuevos para la posteridad.

Tras perdernos durante varios minutos por el registro de actividades de WinSock comenzamos a sospechar que todo es terriblemente normal, no hay conexiones a Internet, no hay creación de ficheros extraños, vemos múltiples llamadas a principalmente dos archivos del core de Windows, kernel32.dll y ntdlm.dll, uno para realizar llamadas al sistema (recordemos que este software sirve para monitorizar procesos) y otro para el gestor de archivos. También hay llamadas a otras librerías y drivers (como wsock32.dll) que entiendo muy necesarios para su ejecución:

Conclusión

Si, ha sido una falsa alarma, lo cual puede dejar a uno más perplejo que anteriormente, ¿37 antivirus dando un falso positivo?, al menos podrían limar un poquito las alertas y que solo fuese un Warning: Hacking Tool, pero no veo el Trojano por ningún lado, e imagino que ellos tampoco. Mi teoría es la que todos estaréis pensado, alguien lo clasifica así una vez por alguna razón y los demás copian la firma. Recuerdo el caso de una casa de antivirus que generó un falso positivo “adrede” solo para comprobar que 24 horas después todas las demás habían hecho lo mismo, sin pararse a investigar claro qué era aquel positivo.

Bueno, y ahora que tenemos una cierta confianza en nuestras herramientas vamos a analizar el famoso, “dischack” de Warcraft, pero será en otra entrada ;-)

Hacking y publicidad: Kawasaki

Desde que Angelina Jolie protagonizara la película “Hackers” allá en 1995, (enganchándome definitivamente en el mundillo de la informática - quien iba a decir que 15 años después, sería considerada una de las mujeres más bellas del mundo), la utilización de los piratas informáticos en la gran pantalla ha sido una tónica habitual, nunca olvidaré como nos salvó la vida un virus informático en la película de Will Smith “Independence Day” o como utilizaban el Nmap para desenvolverse por los mundos de Matrix:

Y es que los hackers siempre han sido esas personas misteriosas y extrañas, a las cuales das la mano mientras se vuelcan la agenda de tu teléfono y piratean la tragaperras del bar. La historia desde los tiempos de Kevin Mitnick hasta el Zar de Internet de Obama no ha desvelado ese halo místico que sigue rodeando a los hackers. Eso quieras que no siempre nos ha venido bien a los que nos dedicamos a esta profesión (en mayor o menor medida), nos hace sentirnos como John Wayne y decir de vez en cuando un, “no te preocupes nena, yo te rompo ese candado y tienes Interné gratis”, (para acabar haciendo un downgrade de Windows Vista o peores, ejem, pero esa es otra historia).

La publicidad y el marketing no son ajenas a esta moda, surgiendo términos como urban hacking que viene a ser algo así como utilizar la ciudad para cosas que no fue diseñada (yo siempre lo entendí como ser de mente abierta, o creativa...). Si bien las grandes marcas de Seguridad deben emplear la publicidad para hacerse mercado, normalmente los resultados son bastante pobres y no suelen atraer al consumidor medio (en mi humilde opinión), más bien provocar risillas o comentarios entre el personal del sector (todavía recuerdo el video de SOPHOS de kill a zombie, por que al fin y al cabo todos los antivirus te venden un 100% de seguridad (já).

Fuera de nuestra industria hoy os traigo un ejemplo de publicidad + hacking que nos brinda Kawasaky en su aniversario, lo podéis ver aquí http://www.kawaniversario.com/

Donde un supuesto hacker se carga la web conforme entramos,, yo me he quedado con las ganas de ver motos :-(

Curiosidad matinal, un saludo!

Gadget de Seguridad: WIFI ROBIN

Estupefacto me he quedado al encontrarme con este curioso aparato que, por qué no decirlo, roza la ilegalidad. Al menos tal y como la publicidad nos lo muestra:

"WifiRobin le permitirá utilizar Internet de manera gratuita y así ahorrar cuotas mensuales de suscripción. WifiRobin sólo necesita decodificar la contraseña de cada conexión con una vez y la recuerda. La gente no sabrá que alguien está compartiendo con la conexión!"

Es decir, Wifi Robin es un router que permite crackear automáticamente las redes inalámbricas protegidas con WEP con solo darle un botón, también promete intentarlo con WPA, aunque las probabilidades de éxito son bastante bajas.

En fin, un gadget bajo el eslogan "¡No vuelva a pagar por utilizar Internet! que realmente dice, ¡que paguen otros por usted!, sale al módico precio de 123 €, pero como no vas a pagar más por utilizar Internet supongo que no sale caro,, :-S

Salu2

PD: Sobre que los usuarios no sabrán que está utilizando su red no haremos comentarios :)

TCP Split Handshake

Que mejor forma de retomar el blog que mandando un afectuoso salud a mis apreciados lectores, si los tuviera delante haríamos algo tal que así:

GigA --------->Hola:Lector

GigA:Hola + Mano<----------Lector

GigA:Mano<---------------->Mano:Lector

Etc.

Esto por si no lo habéis entendido es un saludo normal y corriente, que da paso a una conversación. Los humanos, fieles copiadores de lo que vemos en el mundo real decidimos trasladar esta forma de saludo a la informática, para que dos ordenadores pudieran iniciar su conversación lo harán de la misma forma. Es lo que conocemos como ThreeWay-Handsake , que originales somos:

Lo gracioso es que en el mundo virtual, al igual que en el real, pasamos del saludo a 3 bandas y pillamos a alguien desprevenido y le damos una colleja diciéndole: ¡ay maestro agujas!, ¡como vá capataz! (resto de saludos José Mota©), sin dejarle hablar ni nada. Esto entre colegas e incluso desconocidos puede ser gracioso, pero entre frías máquinas sin corazón es desastroso, tanto como que pueden reaccionar de formas raras, reiniciándose, parándose, ignorándote o accediendo a un nivel superior de funcionalidad (muchas veces esto también puede ocurrir con las mujeres), así una máquina se queda algo confusa cuando se le intenta abrir una conexión por ejemplo un SYN SEQ 1000, te responde con un SYN ACK 1000+1 SEQ 1500, y tu ignoras completamente su respuesta y vuelves a hacer otro SYN, y otro, y otro, y vas cambiando puerto, o le saturas un servicio a intentos de conexión, etc. Son muchas de las variedades de handshake que se pueden hacer en un escaner de puertos (para lo que vendría bien recordar esta entrada).

Sin embargo parecía que estaba todo inventado en lo que a saludos se refiere, cual es mi sorpresa cuando ayer me encontré esta interesante investigación de la gente de Macrothink, el TCP Split Handshake. Trasladado al lenguaje humano sería como realizar el saludo de forma normal, pero definir y recalcar cada una de las fases sin hacer nunca 2 cosas a la vez (¿?¿?), vale. Os pongo la imagen y me explico:

¿Qué es lo que se ha hecho?, separar el SYN, ACK que hace el servidor en dos pasos bien diferenciados, en dos paquetes distintos, algo que recoge perfectamente la RFC 793 en su página 27. Algo tan inocente como esto se ha probado con IDS/ IPS, routers, servidores, etc. con resultados más que soprendentes, y es que un servidor que tenga el protocolo de establecimiento de conexiones TCP alterado puede comprometer a sus clientes en una infinidad de casos. Veamos como reacciona el cliente cuando el servidor hace el split:

Lo que era un ThreeWay Handshake acaba convirtiéndose un FiveWay,,, de esto no decía nada la RFC 793. Otras curiosidades de esta particular forma de saludarse son que algunos IPS (lo probaron con un Juniper) no detectaron el ataque, sirviendo el splits tcp como técnica de evasión ya que, al no detectar la conexión como establecida no detectaba ataque alguno. En caso de NAT se encuentra de todo, desde un PIX-515 que era incapaz de hacer NAT y salir hacia otras redes con el splits TCP a un Cisco 2631 que se metía hasta Internet, luego parece que dependiendo del caso el NAT a priori no nos protegerá de este tipo de intentos de conexión. Finalmente, si estás ofreciendo un servicio en un puerto cualquiera, digamos el 22, y tu máquina es sometida a un escáner de red con un NMAP o similares no reaccionará tampoco de la forma habitual, pudiendo quedar oculto ese servicio o mal identificado:

Efectivamente esto para un atacante persistente no es un problema pero por ejemplo, para un barrido de un virus puede ser una “medida de seguridad”.

En resumen, este comportamiento anómalo en el establecimiento de conexiones por Split Handshake va a obligar a todo tipo de proveedores de equipos de comunicaciones, servidores, appliances de seguridad, etc. a añadir una excepción más o a contemplar que el ThreeWay Handshake no es la única forma de establecer una conexión TCP. Parece mentira que algo que lleva tantos años usándose no haya sido evaluado por muchos fabricantes en el 2010.

Ah, si queréis jugar tenéis scripts de ejemplo y capturas de Wireshark aquí, está hecho en Ruby y necesitareis las librerías libpcap para poder ejecutarlo.

Salu2

Simulacro de Tempest

Tengo que reconocer que con la entrada de hoy me he emocionado. Cuando hace unos años me hablaron del ataque TEMPEST me sonó a ciencia ficción. La idea era sencilla, por nuestros monitores circula electricidad, la electricidad genera un campo electromagnético, pero ese campo no es algo constante, puede diferir según el contenido del monitor. Según este principio tan sencillo los americanos se dieron cuenta, en un pequeño puesto desplegado en Japon, de que alguien estaba escuchando sus emisiones. La NSA lo acuñó como ataque TEMPEST (que no responde a ninguna sigla en particular) y a partir de ahí se descubrió en laboratorio la forma de recomponer la imagen que los monitores “radiaban”. Si queréis leer un poco de historia tenéis los origenes de Tempest publicados en la propia agencia de seguridad norteamericana.

Con este conocimiento me encontré el Tempest Show Room , una ISO que mostraba para todos los públicos una reconstrucción de ataque Tempest. Tras abrirla con VMWare (other Linux 2.4 Kernel), selecciono la resolución:

Arranca:

Seleccionamos con “p” la “radiación” por defecto, de Beethoven para Elisa, cogemos esa radio olvidada en el cajón, frecuencia AM 1500 Hz:

Y efectivamente suena, los parpadeos de los cuadraditos radian un pitido con el cual nuestra radio capta música. Curioso, ¿verdad?, lo he probado en un monitor LCD por lo que me he tenido que acercar a 5 cm del mismo para escucharlo claramente, si lo hacemos en uno CRT con nuestro tosco equipamiento podremos alejarnos más.

Por profundizar un poquito más en la literatura TEMPEST e imaginarnos si está a la orden del día solo os diré que el Centro Nacional de Inteligencia certifica contra este tipo de ataques, cuando lo hace será por que alguien lo demanda, ¿no?, pero para llegar un poco más lejos y poneros los pelos de punta (ahora que parece que se va el frío) os dejo estas Slides de la presentación de Pablo Garizar en el Asegur@IT III, os recordarán la paranoia.

Tempest, mitos y realidades

View more presentations from Pablo Garaizar.

Seguro que os sorprende,,, comprenderéis por que Terminator lleva siempre gafas de sol :),,, y es que todo ataque tiene su contramedida, Tempest también B-)

Salu2!

Cajeros ATM "Inseguros"

Hoy os traigo una pequeña curiosidad, si cuando os acercáis a los cajeros automáticos os gusta practicar la seguridad extrema:

Tengo una mala noticia para vosotros, no es suficiente. Como sabéis las autoridades siempre recomiendan cubrir el teclado con una mano u objeto al introducir vuestro PIN, he encontrado unas imágenes del departamento de policía de la Universidad de Texas en EE.UU. (si, yo también me he quedado a cuadros) que definen muy bien el por qué:

Metemos el lector de tarjetas de crédito...

Hay que fijarse bien para notar la diferencia, pero como nunca llevamos prisa no hay problema.

Unos pocos folletos informativos siempre ayudan.

Y ya estamos preparados para comenzar a capturar PINs.

Cuidado en estas fechas de alto consumo ^^

Salu2

Safe Destroy

It's has been said that destroy is easier than create.
Response: It was until the security consultants come to the world.

Últimamente solo veo datos, los datos de nuestra organización (comenzando por el puesto de trabajo, siguiendo por los servidores y acabando con las cintas de backup), los datos de nuestro equipo en casa, de la cámara de fotos, del GPS o del móvil, ver tanto dato junto sin contar con el que generemos cada día en Internet te puede hacer pensar qué clase de control tenemos sobre ellos. Le dejas un pen-drive a un conocido, ese viejo equipo que no usas lo vendes en el Cast-Converter y te olvidas de el, o sencillamente hay una de estas rotaciones de plantilla donde en un departamento hacen recorte de personal y en otro aumento, con el consiguiente traslado del puesto de trabajo y media vida tuya por ahí.

Que el dato tiene ciclo de vida propio de todos es sabido, que el soporte que lo alberga, también. Sin embargo esos ciclos no coinciden ni está alineados así que, ¿como controlamos cuando un disco duro va a ser reciclado? O sencillamente destruido. Es aquí cuando entra lo que nosotros llamamos Borrado Seguro, los angloparlantes se refieren a el como “Data Sanitization ”. Si vamos a destruir el dispositivo de turno hay que ir al grano: degaussing.

Como sabemos a grosso modo los discos duros están compuestos por una serie de platos divididos en pistas, sectores, etc. y del que los cabezales leen/escriben. Este proceso de escritura consiste en irradiar energía electromagnética sobre el disco de tal forma que esa posición queda “magnetizada”, a medida que la tecnología ha evolucionado este trocito de disco se ha hecho más pequeño y por consiguiente ha aumentado la capacidad de los discos duros sin aumentar el tamaño (esto se nota especialmente a raíz de la grabación perpendicular recientemente introducida en el mercado). Sin embargo este campo magnético es muy sensible, un cambio de presión, un aumento o descenso de temperatura puede hacer que la información se pierda (el 1, o el 0). La técnica de degaussing se basa precisamente en alterar ese campo magnético, desmagnetizándolo, eh aquí un producto comercial que lo hace:

El producto irradia una cantidad de “gauss” (maxwell x cm, para los que recuerden las clases de física) que alterará definitivamente el campo magnético haciendo imposible de recuperar la información.

¿Pero y cuando hay que volver a utilizar el dispositivo de almacenamiento? Bueno, a partir de esto hay muchos estándar internacionales, uno de los más conocidos (sino el que más) es el DoD 5220, publicado por el Departamento de Defensa de EE.UU. Y que incluye hasta 7 ciclos de sobre escritura, el 1º deja todo a 0, el 2º todo a 1, luego se establecen una serie de escrituras aleatorias que hacen casi imposible de deshacer el proceso, estas técnicas combinadas con otras como el fragmentado aleatorio hacen que ni tan siquiera a nivel laboratorio sea posible rehacer la información (cuanto menos las habituales herramientas forenses como enCase, etc.) por algo es un estándar del ejército que perfectamente podemos recomendar y que, como no, muchas de las herramientas de hoy en día incorporan y cumplen. Yo me he instalado el Active Eraser y efectivamente no deja títere con cabeza (nunca mejor dicho):

Además entre sus opciones incluye elegir el estándar internacional de borrado seguro, generar un disco de inicio para poder borrar todo el disco físico en el equipo que queramos y lo que es más importante,,, implementa el “método gutmann”, que incluye hasta 35 sobre escrituras de valores aleatorios (muy indicado para el tipo de personas que vimos en esta entrada.

Para terminar dos últimos apuntes, hay un montón de herramientas para hacer “Safe Destroy” con nombres muy sugerentes, Active Kill Disk, File Eraser, Ss Data Eraser, etc. Pero hoy os voy a recomendar una que viene especialmente bien para vuestro hogar / puesto de trabajo, se llama “Eraser”, se integra en nuestro Desktop a la perfección y encima es gratuito:

Además podemos crear nuestro propio método de “Safe Destroy” :)

Y por otro lado, ¿no tienen nada que hacer las técnicas forenses contra estos borrados que al fin y al cabo son software? Bueno, “software” entre comillas por que hay un cabezal de disco duro irradiando energía ;-) pero, ¿se puede hacer algo?

“Si”, y lo pongo entre comillas por que es excepcionalmente complejo. Seguramente conozcais la técnica de resonancia magnética aplicada en los hospitales, en ella someten a partes del cuerpo a un campo magnético del que se es capaz de formar una imagen, bien, pues esto llevado a su máximo exponente es el “Magnetic Resonance Force Microscopy”, algo así como resonancia magnética fuerte y microscópica, evidentemente también tiene aplicaciones médicas, aunque en este caso también informáticas. Para daros un dato impactante esta técnica permite una precisión 10 billones de veces superior a la anterior, trabajando a nivel cuántico sobre la placa del disco duro o una cinta es capaz de detectar el spin de los electrones (de forma similar a lo que nos ocurría con la criptografía cuántica, ello junto con otros muchos cálculos puede decirnos que donde hay un “0” había un “1”, o al revés:

Os dejo un pequeño pero complejo artículo para extender la información.Y esto ha sido todo por hoy, feliz semana a todos :)

Salu2!

PD: Para hacer el post un poco más completo os dejo una herramienta para entornos Linux / Unix, no habíamos puesto ninguna, se llama Wipe.

Flash Cookies

Que a todos nos gusta mantener la privacidad no es ninguna novedad, que ignoramos hasta que punto nuestra actividad queda registrada en nuestro sistema operativo muchas veces si. Todos sabemos que una cookie es (literal de Wikipedia) “un fragmento de información que se almacena en el disco duro del visitante de una página web a través de su navegador, a petición del servidor de la página. Esta información puede ser luego recuperada por el servidor en posteriores visitas. En ocasiones tambilén se le llama huella”. Esto está bastante bien ya que ayuda a los servidores a reconocer a los clientes y decir, ¡ey! Tu ya estuviste aquí, y la ultima vez te interesó esto, así que te voy a ofrecer información de eso, y de esto otro que seguro que también te gusta. Y miel sobre hojuelas.

No obstante muchas veces tenemos que compartir nuestro PC con familiares, amigos y quizás no nos gusta que vean “nuestras cosillas”, por ello de forma periódica decimos, ¡limpieza de historial”, ¡limpieza de contraseñas!, ¡limpieza de cookies!, incluso muchas veces miramos con curiosidad que guardan los servidores de nosotros y nos vamos a la carpeta de las cookies a indagar, al fin y al cabo nunca dieron buena espina y son susceptibles de múltiples ataques como robo de cookies, cookie spoofing o cross-site cooking (de los cuales por cierto, tengo que hablar un día).

Una vez realizada la limpieza que todos los navegadores permiten respiramos más tranquilos, ¿verdad?, ¡no, error! Todavía quedan cookies, y son las relativas a las paginas que utilizan objetos flash (léase, más de la mitad de las 100 páginas más visitadas de Internet), también conocidas como “Local Share Object” o Flash Cookies . Podemos buscar archivos .SOL en nuestro equipo que no encontraremos ninguno, sin embargo se encuentran aquí (en XP y Vista):

%APPDATA%\Macromedia\FlashPlayer\#SharedObjects\\\\.sol

Lo más curioso de todo es que la forma que han habilitado en Adobe para que las veamos, configuremos y demos permisos es a través de su página Web, desde donde de forma dinámica serán cargadas. Estas cookies además tienen poderes “especiales “ (recuerdan a las galletas de la tontuna del Facebook (...parecidos razonables)) y pueden “regenerar” cookies http que habíamos eliminado, tienen un tamaño por defecto de 100 KB y encima no tienen por qué expirar, así que si las miráis probablemente encontréis páginas de vuestra adolescencia.

Por suerte existen editores de archivos SOL como “soleditor” que permiten explorarlas todas y ver que guardan de nosotros, en la mayoría de los casos información relativa al volumen y poco más, en otros como esta de Terra Mitica hay objetos más chulos, aunque las posibilidades son muy variadas:

Ya sabéis, cuidado qué desayunáis ;-)

Salu2!

Sys Internals

Hagamos un Kit Kat en esta semana intensa de vuelta a la normalidad para presentaros un pack de herramientas de Windows, si con las Net Tools teníamos casi todo lo que hace falta para trabajar a nivel de red (como vimos aquí ) con Sys Internals tendremos un control mucho mayor sobre lo que pasa en nuestra máquina Windows (preferiblemente XP, algunas de ellas no se llevan bien con WVista y W7, otras sí) a nivel de procesos, registro de Windows, arranque del sistema operativo, conexiones de red e incluso un detector de Rootkits!, Merece la pena:

Process Explorer (): Un básico con unos añitos del que ya se oyó hablar cuando vimos el Svchost Analyzer. Procesos padres, hijos, consumo de CPU, hilos lanzados, consumo de CPU, etc. Una gozada:

PSTools : Pack de herramientas de gestión de procesos, con las que podremos jugar todo lo que queramos en nuestros sistema (o en otros xD) incluye:

- PsExec: Ejecuta procesos de forma remota.

- PsFile: Muestra archivos abiertos de forma remota.

- PsGetSid: Muestra el SID de un equipo o un usuario.

- PsInfo: Muestra información acerca de un sistema.

- PsKill: Elimina los procesos por el nombre o Id. de proceso.

- PsList: Muestra información acerca de procesos.

- PsLoggedOn: Averigua quién ha iniciado sesión de forma local y a través de recursos compartidos (origen completo incluido).

- PsLogList: Vuelca los registros de eventos.

- PsPasswd: Cambia las contraseñas de cuenta.

- PsService: Muestra y controla los servicios.

- PsShutDown: Apaga y reinicia opcionalmente un equipo.

- PsSuspend: Suspende los procesos.

- PsUptime: Muestra el tiempo durante el que se ha ejecutado un sistema desde el último reinicio (la funcionalidad de PsUptime se ha incluido en PsInfo).

AutoRuns: El comando msconfig nos permite editar el boot.ini, ver que servicios se arrancan con nuestro Sistema Operativo y que programas se ejecutarán sin necesidad de que estén en la carpeta de “Inicio”, todo eso está muy bien y es básico, pero con AutoRuns alcanzaremos una granularidad mucho mayor, librerias, drivers, tareas del scheduled, ¡codecs!, de todo lo que os podáis imaginar. Muy útil para entender como funciona nuestro sistema operativo:

RootkitRevealer: ¿Crees que tu antivirus no lo detecta todo? Entonces crees bien, si quieres echar un vistazo rápido a tu registro de Windows y detectar inconsistencias, buscar el gato encerrado que hay en tu sistema operativo y alimentar tu paranoia, esta es tu herramienta:

TCPView: Yo creo que si los millones de Script Kiddies del mundo que buscan en los foros el Puerto del messenger conocieran esta herramienta saldrían hackers como setas. No, en serio, con TCPView tendremos un conocimiento casi total sobre todos los flujos TCP y UDP que llegan y salen de nuestra máquina, su estado, el proceso que los inició (algo parecido al netstat –ban pero más profundo) así como la posibilidad de matar los procesos o cerrar las conexiones que no tengan buena pinta, muy util:

Poco a poco vamos ampliando nuestro kit de herramientas, ¿verdad?

Espero que tengáis una vuelta “amable”, ¡salu2!

Secure Updates

Es de conocimiento general que a pesar de las innumerables medidas de seguridad que aplicamos en servicios, bastionado máquinas, redes, etc. El estado de riesgo conseguido es solo momentáneo, de ahí el viejo dicho de “la seguridad es un proceso”. Como tal debe ser dinámico y adaptarse a las circunstancias del momento, eso también se incluye para las actualizaciones que aplicamos sobre el software con que trabajamos (esté en la capa que esté). Un correcto protocolo de actualización de software es vital en cualquier organización hoy en día, y a las pruebas me remito:

Esto que hoy ha ocurrido para una actualización de BlackBerry en Dubai podría representar que todos nuestros agentes comerciales (y unos cuantos Directores) con sus flamantes BB se quedasen sin teléfono durante varios días. ¿Está este riesgo contemplado en nuestro análisis de riesgos? Es probable que no para los teléfonos, pero si para nuestros servidores, workstation, dispositivos de red, etc.

La política de aplicación de parches es sin duda una de las más importantes para nuestros sistemas de información, si bien los informáticos tenemos tendencia a tener la “ultima moda” tendremos que controlarnos un poco, aunque eso signifique tener nuestros servicios expuestos unos días más a ciertas vulnerabilidades. Es importante mantener una horquilla de tiempo desde la publicación del parche hasta su aplicación, en ese tiempo tampoco debemos estar de brazos cruzados esperando que alguien reporte posibles problemas. Como administradores podemos aprovechar para probar las actualizaciones en entornos controlados, por ejemplo uno donde se Certifique que el cambio no provoca impactos no deseados en los servicios que soportan el sistema parcheado. Una vez que se certifica que la aplicación de un parche es segura (en todos los sentidos) hay que generar un proceso de gestión del cambio apoyado en nuestra Base de Datos de Gestión de la Configuración (CMDB) que contemple un proceso de marcha atrás en caso de que algún incidente no contemplado, de igual forma debe hacerse de forma escalada y controlada. En líneas generales, estas son algunas recomendaciones que no debemos olvidar:

- Todo el software debe estar inventariado.

- Debe existir una política de actualización y control de software.

- Las actualizaciones se obtendrán directamente desde el fabricante, nunca desde terceros.

- Todo parche y actualización debe ser probado en entornos controlados y aislados antes de su aplicación.

- En caso de que la aplicación de un parche genere un riesgo mayor que la exposición a las vulnerabilidades, no se aplicará. No obstante se deberán estudiar medidas compensatorias.

- Las actualizaciones se aplicarán de forma escalada y controlada.

- Se creará un procedimiento de marcha atrás.

Los parches y actualizaciones son importantes para mantener e incrementar el nivel de seguridad de nuestros servicios y sistemas, y al fin y al cabo de nuestro negocio. Pero también pueden ser un riesgo si no se aplican correctamente (ya sea por exceso o por defecto).

Actualizad con moderación! :-)

ioSafe: Hard Hard Drive

Habría que darle un disco duro de estos a la gente de Brainiac para comprobar que funcionan aunque después de ver el video me quedan pocas dudas:

Este “cacharro” es toda una maravilla para informáticos “descuidados” o para aquellos que no diferencian el tostador del microondas. Es un disco duro externo que va desde los 500 GB a 1.5 TB capaz de aguantar durante 30’ temperaturas de 800 º o varios días en remojo (agua saluda incluida) a una profundidad de 3 metros). Todo con garantía mínima de 3 años por unos 150$ (110 €). Interesante artilugio, de esos que esperas nunca tengan que demostrar sus capacidades :-)

Por que la disponibilidad es una de las piedras angulares de la Seguridad.

Salu2!

Spider 0.01

Lo bueno de estas fechas es que te puedes pirar 1 semana de vacaciones, volver, y comprobar que todo sigue más o menos donde lo dejaste aunque el centenar de correos almacenados de distintas listas de correo, buzones, amigos que comparten extrañezas y similares se empeñen en llevar la contraria.

Al fin y al cabo 1 semana no es mucho tiempo (de ahí que se pase rapidísima cuando uno tiene los pies en remojo en aguas levantinas), no obstante incluso en vacaciones surgen conversaciones de seguridad o al menos se te ocurren ideas para la vuelta. Así ocurrió cuando tras pasar por Terra Mitica decidimos comprar una de esas fotos que te tiran cuando llevas cara de "Speed". En este caso la compra se tradujo en un ticket con un código donde te metes en un sitio web y tras meterlo te puedes bajar la foto. La estructura del código era la siguiente:

Nombre del Parque: TM (Terra Mitica)

Atracción: Cataratas del Nilo (CN)

Mes: X

Dia: YY

Codigo de imagen: JZZZZ (ZZZZ à [0-9999]

Así por ejemplo TMCN707J1384 será la foto 1384 disparada el 7 de Julio en Cataratas del Nilo en Terra Mitica, ahora bien solo se suben las fotos que son adquiridas, el resto se eliminan (supongo). Al final este código se traduce en una URI que te adentra en un árbol de directorios hasta tu foto:

http://www.sitioweb_empresafotos.com/RIDES/TMCN/702/FullRes/codigofoto.jpg

Entonces me dije, estaría bien ver las fotos de toda la gente que pasó por allí ese día, ya sabes, solo por ver las caras, curiosidad felina, llámalo X. ¿Cómo hacerlo? Lo primera idea que me vino fue preguntarle al malvado Google, que tiene sus arañas por ahí explorando la red de redes, una búsqueda para el sitio con filetype:jpg no me proporcionó nada. Alternativa, listar el contenido de las carpetas: no tengo permisos. Alternativa, bajarme todos los ficheros con un pequeño Script. Problema: llevo sin programar 2 años, ¿me acordaré? Ahora que recuerdo estuve trasteando con el TargetSearch de pentester en PERL hace unas semanas, parece que PERL puede ser un buen lenguaje. Asi es como surgió este pequeño Spider:

#!/usr/bin/perl

#Spider by GigA#

use LWP::Simple;
use LWP::UserAgent;
my $ua = LWP::UserAgent->new;
$ua->timeout(1);
$ua->env_proxy;
use ExtUtils::MakeMaker;

print "Spider 0.01 by GigA\n";
print "We start the download series, $i\n";
my $user = prompt "Proxy user:";
my $password = prompt "Proxy password:";
$ENV{HTTP_PROXY} = 'http://proxy.local:8080';
$i = $i -1;

for($i=1000;$i<2000;$i++){
   $string = '0' x ( 4 - length($i) ) . $i;

my $status = getstore("http://www.sitio_empresa.com/RIDES/TMCN/704/FullRes/J$string.jpg", "J$string.jpg");

if ( is_success($status) )
{
   print "File downloaded correctly\n";
}
else
{
   print "Error downloading file J$string.jpg: $status\n";
}
}

Y con esto nos podemos descargar todos los archivos que sepamos hay en una carpeta de un sitio Web (siempre que tengamos acceso claro):

Le he incluido autenticación por Proxy aunque te funcionará igualmente si no pones nada, viendo la potencia y sencillez de PERL pillarme un librito para aprender realmente será obligación este verano.

¿Cómo mejorar este pequeño script? Ocultando o cifrando los caracteres mostrados en pantalla, permitiendo que detecte y busque en subcarpetas, acelerando el tiempo de las busquedas, etc. Etc. Vamos, todo lo que puede hacer un programa para hacer “site download” pero sin realizar búsquedas en el código de la pagina Web.

¿Sugerencias?

Salu2!

Phish or No Phish, It's the Question

Con la ola de calor que estamos sufriendo no hay nada como irse al rio un poquito de pesca. Sacar la caña meter los pies en el agua y esperar que pique alguien o algo :-p

En esas estaba cuando me he encontrado este curioso sitio de Verisign con un pequeño test para ver lo bien que eres capaz de diferenciar los sitios reales de los fraudulentos. Una vez más he podido comprobar la retórica de "Todo es seguro", fallé una pregunta :-(

¿Y vosotros, habeis hecho pleno al 15?

Salu2!

PD: Como corolario por si quereis refrescaros más os dejo aquí el enlace al informe de Symantec de phishing 2009 (Abril), España no goza de gran protagonismo en este escenario, USA como siempre en cabeza:

Curiosidad adicional, ¿falta un 30% de mundo o está tan bien distribuido entre los paises en blanco?

Proxy Joking

Mum! Bart is making faces!!

Response: Lisa, it’s your father… I guess

A raiz de la entrada de URL OFUSCATION de Eduardo Abril me picó la curiosidad sobre alternativas para “engañar” o echar una mentira piadosa a esos Proxy que siempre nos están filtrando el tráfico. No me refiero a saltarnos la autenticación, para eso se supone que estamos enchufados en la Intranet de nuestra universidad, empresa, etc. Y si tienes conectividad y no tienes usuario para salir a Internet seguramente ya sabes donde conseguirlo y como.

Hoy hablamos de saltarnos los filtros del Proxy para que naveguemos en esas páginas de construcción de explosivos que tan poco nos gustan, o en megaupload, youtube, facebook y lo que tengáis censurado. Las técnicas que comentaba Eduardo, más orientadas para el engaño a un IDS o a un servidor de aplicaciones, también nos valdrán. Trabajaremos con la misma base, www.milw0rm.com. Repasemos:

1.- Añadir parámetros absurdos à http://www.milw0rm.com/index.php?hola=1&adios=2

2.- Sustituir URL por IP à http://76.74.9.18/index.php?hola=1&adios=2

3.- Traducir a hexadecimal (por ejemplo desde aquí el nombre de archivo solicitado y los parámetros: à http://76.74.9.18/%69%6e%64%65%78%2e%70%68%70?hola=1&adios=2

4.- Utilizar un “anonimizador” (patada a la RAE) à http://anonym.to/?http://76.74.9.18/index.php?hola=1&adios=2

¿Gracioso verdad? Pues todavía hay muchas más posibilidades y casi todas se traducen en pedir lo mismo, pero de otra forma, como cuando te dan una mala noticia con buenas palabras, o cuando ponemos cara de poker. Ahí van mis alternativas:

1.- Utilizar “anonymouse”, es similar al anonym.to pero te enseña por ejemplo cual es la información con que te presentas a Internet. En ocasiones este funciona y el otro no, y al revés: à http://anonymouse.org/cgi-bin/anon-www.cgi/http://www.milw0rm.com

2.- Utilizar Google Translator: ¿cómo?, ¿traducir una pagina web?, SI, con este absurdo se puede engañar a un Proxy à http://translate.google.es/translate?hl=es&sl=en&u=http://www.milw0rm.com

3.- Quizás el anterior no os funcionó, que decepción, un momento, ¿qué tal si probamos con el traductor del nuevo buscador de Microsoft? à http://www.microsofttranslator.com/bv.aspx?ref=SERP&br=ro&mkt=es-S&dl=es&lp=en_es&a=http://milw0rm.com/

4.- Utilizar la caché de google, hay veces que nos tendremos que conformar con páginas obsoletas desde hace 1 hora à http://74.125.77.132/search?q=cache:UB9G4tPVbxoJ:www.milw0rm.com/+milw0rm&cd=1&hl=es&ct=clnk&gl=es

5.- Ah que la página que queremos ver no se actualiza cada mucho tiempo, pues existe otra página para recuperar el historial de casi cualquier sitio que además es ideal para estudio de “Presencia en Internet”, sobretodo al permitirnos ver web obsoletas (con posibles fallos de diseño que pueden haberse trasladado a las actuales), se llama archive.org à http://web.archive.org/web/*/http://www.milw0rm.com

6.- ¿Todavía no lo has conseguido? Hay veces que hay que tirar de lo más obvio, el ataque tradicional por absurdo también “cuela” à Web Dumper

7.- Está bien, vuestro Proxy es de los duros. Habría que dar un premio a su Administrador, ¿o no?, seamos prácticos. Servicios como logmein.com también están por ahí. A las malas podemos montarnos un Proxy local que salga a un Proxy publico, montarnos una VPN, probar con VNC, etc. etc.

La pregunta es, ¿sigue teniendo sentido restringir el tráfico a Internet a los trabajadores?

Salu2!

Anexo: Quizás os venga bien visitar http://zly.me/, sobretodo cuando queremos visitar páginas web con una URL más grande que las zapatillas de Romay… ¡ah! Y si nuestro Proxy no hace filtrado por IP, también valdrá.