Passwords en claro con Procdump y Mimikatz Alpha

En este post me gustaría hablaros de una técnica que leí este verano y que no había podido poner en práctica hasta hace poco en un test de intrusión.

La técnica consiste en obtener las contraseñas en claro de un servidor sin ejecutar código “malicioso” en el mismo. De esta forma nos evitamos tener que lidiar con evasiones de antivirus y demás dolores de cabeza.

Herramientas necesarias:

[Read more…]

Feliz día de Internet

Hoy 17 de mayo celebramos el Día de Internet. Esta festividad relativamente joven, tiene como objetivos dar a conocer las posibilidades que ofrecen las nuevas tecnologías para mejorar el nivel de vida de los pueblos y de sus ciudadanos.... Leer Más

Gimp para pentesters

En el post de hoy me gustaría compartir algunos de los trucos que he ido aprendiendo con el tiempo a base de escribir muchos informes de auditoría y pasar muchas horas con el Word abierto. Para ponernos en situación, imaginemos que acabamos de realizar un test de intrusión sobre la red de servidores de una organización con aproximadamente 100 servidores dentro del alcance. Como resultado de este test, hemos conseguido acceder a la gran mayoría de los servidores, hemos recopilado las evidencias e incluso hemos descubierto alguna nueva vulnerabilidad.... Leer Más

Casino Royale, ¿dónde están mis datos?

Esta entrada y la información que se referencia está basada en el Informe sobre Seguridad en Juegos Online 2012 [PDF, 2.4MB] publicado por S2 Grupo.

Siguiendo con las entradas relacionadas con el Informe sobre Seguridad en Juegos Online, hoy toca hablar sobre casinos online. Para ser más exactos, vamos a hablar sobre uno de los puntos que suele preocupar a los jugadores como es la privacidad de sus datos: los jugadores se enfrentan al problema de no saber dónde están almacenados los datos, ni qué medidas se están tomando para protegerlos.

En el caso de que los datos se encuentren en España, estas medidas están reguladas y determinadas por la Ley Orgánica de Protección de Datos (LOPD), que garantiza unos controles mínimos. El “problema” viene cuando una empresa sin domicilio social en España tiene los sistemas de almacenamiento y tratamiento fuera del territorio nacional, ya que ese caso no le es de aplicación la LOPD (en otro ámbito, este es el caso de multitud de servicios online gestionados por empresas estadounidenses).

[Read more…]

Vulnerabilidades en Steam

Hoy martes comenzamos con una serie de entradas sobre videojuegos, que desarrollaremos a lo largo de estos días, y cuya información está basada en el Informe sobre Seguridad en Juegos Online 2012 [PDF, 2.4MB] publicado hace unos días.

Steam es una plataforma de videojuegos desarrollada por Valve Corporation mediante la cual la compañía pone a disposición de los usuarios servicios tales como compra digital, actualizaciones instantáneas, listado de servidores disponibles, logros, servicio de mensajería instantánea entre jugadores, ofertas exclusivas, información de última hora, etc., todo de forma gratuita.

Para poder disfrutar de todos estos servicios es necesario estar registrado en el servicio mediante la creación de una cuenta gratuita a la que se vinculan los videojuegos comprados por el jugador. Estos juegos pueden ser aquellos que se ofrecen para la compra en el propio programa, como ciertos juegos comprados en tiendas físicas. La plataforma de Valve posee un total de 40 millones de cuentas activas y un catálogo de juegos que supera los 1500 títulos.

[Read more…]

Los 7 pecados tecnológicos de la Navidad

Ya ha llegado, sin avisar y sin pedir permiso al igual que todos los años. Ha llegado la época de las cenas de empresa, la de las comidas copiosas y los excesos con la bebida. Ha llegado el momento del año destinado a los reencuentros, al turrón, al belén, al árbol y al frío.

Como habréis imaginado, hablo de la Navidad y de los eventos y reuniones que están a la vuelta de la esquina. Desde S2 Grupo queremos aprovechar estas entrañables fechas para mandar nuestra especial felicitación navideña.

Esta felicitación está llena de buenos propósitos, pero también contiene lo que hemos definido como los 7 pecados tecnológicos de la Navidad.

[Read more…]

Securizando tu Android en redes Wi-Fi abiertas

Hace un par de meses, nuestro compañero Jose Vila habló sobre la potencia de los túneles SSH y mostró cómo evitar firewalls y eludir los diferentes filtros usando tráfico tunelizado.

En esta entrada voy a mostrar un enfoque diferente.

Hoy en día es peligroso conectar el smartphone sin protección a una conexión Wi-Fi libre. No es descartable que alguien está capturando el tráfico o que podamos sufrir un ataque de envenenamiento ARP. Entonces ¿cómo se puede estar seguro en una red Wi-Fi? Una vez más, con túneles SSH. ¿Y cómo construir túneles SSH con mi Android? Con túnel SSH.

[Read more…]

Instalando Touchatag en 2012

En septiembre de 2010, realizamos entre Roberto y yo una serie de entradas que profundizaban en la seguridad de las tarjetas RFID Mifare Classic. Han pasado los años, y los visitantes siguen intentando seguir el manual al pie de la letra. Como es normal, actualmente las cosas han cambiado y las versiones utilizadas ya no son compatibles en 2012.... Leer Más

Curioseando tráfico HTTPS en aplicaciones Android

En la pasada Rooted, estuve hablando unos minutos con Sebastián Guerrero y le pregunté como hacía él para descifrar el tráfico cifrado que enviaban las aplicaciones. Me comentó que la forma más fácil para él, era modificar la aplicación para que mostrara las peticiones que se estaban enviando. Esta me parece una buena opción cuando se está analizando una aplicación en concreto, pero me parece un poco engorrosa si solo quieres curiosear que es lo que están enviando tus aplicaciones.... Leer Más

Crónica de la RootedCON · Día 3

Llegamos al último día de la RootedCon con el cuerpo cansado pero con ganas de disfrutar las últimas charlas de esta edición.

Durante la primera charla, tocó apagar los teléfonos móviles ya que José Picó y David Pérez presentaron los Nuevos escenarios de ataque con estación base falsa GSM/GPRS. Para los que no hayan visto una charla de los compañeros de Taddong, decir que siempre traen consigo una jaula de Faraday para evitar que los ataques se produzcan sobre los móviles de los asistentes y mantener el escenario controlado. Durante la charla mostraron como se puede realizar una denegación de servicio contra un teléfono móvil mediante una estación base falsa. El ataque consistía en devolver la misma respuesta que devuelven los operadores cuando la tarjeta ha sido bloqueada, de esta forma el teléfono entendía que su tarjeta no era válida y desistía de conectarse a cualquier estación base hasta que reiniciara el móvil.

Después de esta charla llegó Sebastián Guerrero con Pimp Your Android, que hizo un repaso de la seguridad en Android y explicó cuáles son los pasos a seguir para analizar aplicaciones en Android y para hacer un análisis forense. Además de la metodología, también apuntó diversas herramientas para llevar el análisis a buen puerto, como son Understand, dex2jar, JD-GUI y un largo etcétera. También mostró el problema de perder el móvil y la cantidad de información que se puede sacar de él. La frase que usó el mismo Sebastián y que creo que resume muy bien lo que intentaba transmitir fue “Si pierdes el móvil, te llevas un huevazo en la cara”. Por último, explicó cuales son las características que incluyen los nuevos malware, como por ejemplo exploits para convertirse en root, módulos de conexión al C&C…

[Read more…]