La semana pasada hacíamos algunas reflexiones sobre la fase de estrategia dentro del ciclo de vida de la continuidad de negocio, y como ejemplo, nos planteábamos qué estrategias utilizar en el caso hipotético de que nuestra oficina en Madrid no estuviese disponible y tuviésemos que recuperar el proceso en 24h.... Leer Más
EternalBlue vía IoT (PoC)
25 de Mayo de 2017 by Leave a Comment
Introducción
No cabe duda de que el mundo está en estado de alerta tras los últimos acontecimientos relacionados con la infección masiva del Ransomware WannaCry2.0, y la adición de características de gusano a una variante de ransomware nos lleva directamente a una nueva era para la ciberseguridad. Sin embargo, muchas veces las medidas que se toman son simplemente parches para la contención inmediata de la amenaza, sin llevar a cabo aquellas que subsanen la vulnerabilidad de forma total.
En el siguiente post se especifica el modo de unir los dos ataques de las amenazas más conocidas, las cuales han tenido incidencia a nivel mundial durante estos últimos meses. Por un lado, la vulnerabilidad en los dispositivos IoT, y por el otro el CVE-17-0144 asignado al exploit EternalBlue.
[Read more…]
Oleada de ataques con keyloggers –> keybase & Hawkeye
24 de Mayo de 2017 by 3 Comments
La semana pasada fuimos testigos de una oleada de documentos office con macros maliciosas y que revisaremos en esta entrada. Los hashes de los documentos son:
- md5: d98680e6e410392687f4f90e89aa0219
- md5: 6d071548627b5ddc42b9b6c991a5be1f
- md5: a4b39127e501b1ab9c667d45b9b600c0
- md5: b343fcfdff4be29b7a2e7f78da85505a
Si ejecutamos 1) se produce el siguiente comportamiento en el sistema (pinchar en las imágenes para ver la versión ampliada – se abren en una pestaña nueva):
Estrategia de Continuidad de Negocio – I
18 de Mayo de 2017 by Leave a Comment
En este artículo se hacen algunas reflexiones sobre la fase de estrategia dentro del ciclo de vida de la continuidad de negocio.
Es más que habitual que los clientes, y no pocos consultores, a la hora de mejorar la resiliencia de las organizaciones, propongan un “Plan de Continuidad de Negocio”. En realidad, se debería hablar de implantar una “Gestión de la Continuidad de Negocio”, ya que de lo que se trata es de poner en marcha una serie de procesos, actividades y capacidades interrelacionadas. De aquí en adelante usaremos las siglas BCM para referirnos a dicha Gestión.
Sí, hay que reconocer que uno de los posibles resultados del BCM puede ser la elaboración de uno o varios planes que definan cómo actuar ante un evento inesperado y recuperar una funcionalidad de negocio o una capacidad TIC. No obstante, dichos planes no son, por supuesto, los únicos “outputs” del BCM, aunque sí es cierto que son los más visibles y, por desgracia, los auditores suelen limitarse a verificar la existencia de los mismos cuando evalúan las capacidades de recuperación de la organización (el clásico de poner la marca de “cumple” en la casilla de verificación).
Nukin’ Zaragoza: a cyberwar exercise (IX). Conclusiones.
17 de Mayo de 2017 by 1 Comment
(Puedes consultar todas las partes de esta serie en los siguientes enlaces: 1. Apagón, 2. Esto no puede estar pasando, 3. Silencio sepulcral, 4. La hora de la verdad, 5. Daños colaterales, 6. La verdad está ahí fuera, 7. Lo que sabemos que no sabemos, 8. De vuelta al mundo real, 9. Conclusiones. Esperamos que hayan disfrutado con ella tanto como nosotros escribiéndola y publicándola).
¿Qué podemos hacer?
A lo largo de este ficticio (pero lejos de ser imposible) ensayo se ha pretendido demostrar lo intrincadas que están las TIC en el desarrollo de nuestras vidas. El tan famoso como manido “fallo informático” que afecta a veces nuestros quehaceres diarios no es más que un fallo de seguridad, afortunadamente no intencionado en la mayoría de los casos.
La ciberseguridad es un componente fundamental de las TIC. Y dado que, como hemos hablado, las TIC son una parte instrumental de nuestras vidas, es lógico (nunca mejor dicho) asociar transitivamente la ciberseguridad con nuestras vidas.
Esta serie de artículos se escribió antes de WannaCry, pero este incidente ejemplifica a la perfección el objetivo pretendido. Si el malware hubiera usado además del 445 (SMB) el puerto 3389 (Escritorio Remoto), la tasa de infección se habría incrementado en un orden de magnitud. Pero si el fallo explotado correspondiera al conjunto de parches de Mayo, que había salido el Martes por la noche (y que nadie tenía aplicado)… prácticamente todo el mundo habría sido víctima del ataque. Un verdadero armageddon para Internet.
Nukin’ Zaragoza: a cyberwar exercise (VIII). De vuelta al mundo real.
16 de Mayo de 2017 by Leave a Comment
(Puedes consultar todas las partes de esta serie en los siguientes enlaces: 1. Apagón, 2. Esto no puede estar pasando, 3. Silencio sepulcral, 4. La hora de la verdad, 5. Daños colaterales, 6. La verdad está ahí fuera, 7. Lo que sabemos que no sabemos, 8. De vuelta al mundo real, 9. Conclusiones. Esperamos que hayan disfrutado con ella tanto como nosotros escribiéndola y publicándola).
(Después del fin de semana movidito que hemos tenido, volvemos con el penúltimo post de la serie de Antonio Sanz sobre un potencial escenario de ciberguerra en la ciudad de Zaragoza. En breve, las conclusiones finales).
0. De vuelta al mundo real
A primera vista, podría parecer que el relato anterior sería más que adecuado como argumento de una película de Tom Clancy. Sin embargo, vamos a volver a repasar todos los puntos de la investigación del relato ficticio, pero desde otra óptica: la del mundo real.
Fallo del suministro eléctrico
Las redes eléctricas podrían ser sin muchas dudas la infraestructura crítica más importante de un país: la dependencia de otros muchos sistemas de la electricidad lo hace indispensable para la sociedad moderna.
Es por ello por lo que estas redes son objetivos claros de acciones de ciberguerra: un ejemplo claro es el ataque sobre la red eléctrica Ucraniana en 2015 y 2016, que dejó sin energía eléctrica a más de 200.000 personas durante varias horas. Otro ejemplo, aunque sin confirmar, sería el apagón de prácticamente todo el sudeste de Turquía en 2015, que dejó a 40 millones de turcos sin suministro eléctrico durante 12h.
Un viernes movidito con ransomware
12 de Mayo de 2017 by
Poco a poco se consume la mañana del viernes: responder unos cuantos correos, revisar la planificación del proyecto PROY_123, seguimiento de imputaciones, etc. Aprovecho uno de estos cambios de contexto para hacer un “break” y buscar algún plan para el fin de semana. ¿Qué se cuece por ahí?, ¿qué planes me propondrá Twitter?
Unas rápidas búsquedas sobre las tendencias de #FelizFinde me ponen los dientes largos: playas paradisíacas, rutas de senderismo, gastronomía, etc. Vamos, un sinfín de planazos cada cual más apetecible que el anterior. Sin embargo, lo que llama mi atención es la escalada de otro topic: Telefónica. ¿Telefónica trending topic?. Muy bien debe ir la bolsa –es lo primero que me viene a la cabeza– para que llegue al primer puesto rebasando las otras propuestas que os comentaba. :)
Nukin’ Zaragoza: a cyberwar exercise (VII). Lo que sabemos que no sabemos.
12 de Mayo de 2017 by Leave a Comment
(Puedes consultar todas las partes de esta serie en los siguientes enlaces: 1. Apagón, 2. Esto no puede estar pasando, 3. Silencio sepulcral, 4. La hora de la verdad, 5. Daños colaterales, 6. La verdad está ahí fuera, 7. Lo que sabemos que no sabemos, 8. De vuelta al mundo real, 9. Conclusiones. Esperamos que hayan disfrutado con ella tanto como nosotros escribiéndola y publicándola).
Fake news & Social Media
La campaña masiva de noticias falsas sobre el atentado fue fácilmente desmontada gracias a la colaboración tanto de Facebook como de Twitter: cientos de cuentas falsas elaboraron una estrategia coordinada, emitiendo y promoviendo docenas de noticias falsas, apoyadas en algunos casos de pantallazos falsificados de sitios de noticias e incluso de artículos de blogs generados de forma previa al ataque.
Destaca la participación involuntaria en el ataque de agencias de noticias tan prestigiosas como EFE o Reuters. La investigación indica que fueron víctimas de ataques de ingeniería social, ya que recibieron varias llamadas anónimas que se hicieron pasar tanto como por mandos de la OTAN como de altos cargos del gobierno español. Haciendo uso de toda la información falsificada (IGN, AEMET, etc…) lograron engañarlos por completo.
Ataque militar marruelí
Esta parte de la investigación la realiza el gobierno marruelí en colaboración con España. Los resultados indican que el gobierno marruelí fue convenientemente desinformado por “fuentes de confianza”, que indicaban que España iba a realizar un ataque nuclear contra Marruelia desde el “Juan Carlos I” en represalia por el atentado de Zaragoza. De ahí la carrera desesperada de la flota marruelí por evitar ese ataque que afortunadamente nunca se produjo.
Nukin’ Zaragoza: a cyberwar exercise (VI). La verdad está ahí fuera.
11 de Mayo de 2017 by Leave a Comment
(Puedes consultar todas las partes de esta serie en los siguientes enlaces: 1. Apagón, 2. Esto no puede estar pasando, 3. Silencio sepulcral, 4. La hora de la verdad, 5. Daños colaterales, 6. La verdad está ahí fuera, 7. Lo que sabemos que no sabemos, 8. De vuelta al mundo real, 9. Conclusiones. Esperamos que hayan disfrutado con ella tanto como nosotros escribiéndola y publicándola).
(Recordamos que esta historia se basa en el género literario de la ucronía, una reconstrucción de la historia basada en datos y hechos hipotéticos. Es por tanto ficción, y debe ser considerada como tal en todos los aspectos excepto en aquellos relacionados con la ciberseguridad. Toda la información empleada para realizar este ensayo ha sido obtenida a través de fuentes abiertas, e interpretada por el (mejor o peor) criterio del autor. Esta anotación debe aplicarse especialmente a todos los protocolos de respuesta a situaciones de crisis, que pueden diferir sensiblemente de la realidad.
Aunque quede claro que es una ficción, se estima necesario recordar que en ningún caso se pretende desmerecer la innegable labor de todos los actores (FFCCSE, fuerzas armadas, servicios de inteligencias, servicios de emergencia, etc…) que velan por la seguridad de los españoles. Nuestro objetivo es claro y común: la seguridad de todos).
La investigación dura varios meses, y engloba a equipos de investigación de multitud de organismos: Policía Nacional, Guardia Civil, CNI y CNPIC en primera instancia dejan lugar a los técnicos de CCN-CERT y CERTSI, dada la obvia vertiente que va teniendo el incidente a medida que la investigación sigue su curso.
A continuación se muestra buena parte de las conclusiones a las que llegaron el más de un centenar de investigadores partícipes de la investigación. Por desgracia, estas conclusiones no constituyen toda la verdad, no siendo capaces de explicar todo lo sucedido.
Fallo del suministro eléctrico
Dos meses antes del incidente, varios empleados de REE recibieron un correo electrónico con una encuesta del Grupo de Trabajo de la UE de Smart Grids. O eso parecía a primera vista. El correo era en realidad un ataque de spear-phishing muy elaborado, que contenía un adjunto de Excel con una macro maliciosa que lanzaba a su vez un Powershell. Este malware se ejecutaba únicamente en memoria (lo que se denomina un fileless attack), lo que dificultaba en buena parte su detección.
Las contraseñas han muerto, larga vida a las contraseñas
10 de Mayo de 2017 by Leave a Comment
Desde hace muchos años se viene hablando de la muerte de las contraseñas: Bill Gates afirmaba en 2006 que iban a morir en 3 o 4 años, IBM vaticinaba en 2011 que en menos de 5 años iban a ser sustituidas, y en el mismo sentido se pronunciaban en 2013 en la BBC cuando Apple añadía sensor de huellas a su iPhone.
Como veis a día de hoy, ninguno de esos presagios se ha cumplido y seguimos utilizando contraseñas para acceder a nuestros servicios digitales cada día. Pero aunque no se hayan cumplido totalmente, sí que están cogiendo fuerza varios mecanismos, herramientas y políticas que estoy seguro que en los próximos años darán mucho que hablar y “enterrarán” la concepción actual de las contraseñas en favor de métodos nuevos -o complementarios- de autenticarse con el número creciente de servicios digitales que utilizamos a diario.
