Lee aquí tus blogs preferidos...

Un informático en el lado del mal

• Españoles por el mundo
  
  Hace no demasiado David Barroso (@lostinsecurity) recogía en us blog una lista de los ponentes Españoles que habían participado en las conferencias de BlackHat, donde él fue el pionero que abrió la lista. Desde que él comenzara, poco a poco nos hemos ido animando a participar en este tipo de eventos de seguridad, y ya empieza a ser común que en las conferencias internacionales haya ponentes nacidos en España. 
  
  
  Esto antes no era así, y me da mucha alegría ver a chavales fantásticos como José Miguel Esparza (@eternaltodo), Hugo Teso (@hteso) o Ángel Prado (@PradoAngelo) en las listas de la última Hack In The Box o anunciados para la próxima Black Hat USA 2013. Son jóvenes de una nueva generación de investigadores de seguridad mucho más proclive - tal vez por la situación económica - a salir de nuestro país, pero también mucho más preparada a todos los niveles.
  
  

  Figura 1: Hugo Teso. Aquí su presentación de la HiTB que causó tanto buzz mediático

  
  
  Una generación de ingenieros e investigadores de seguridad.... que está ahora casi toda fuera de nuestras fronteras o pensando en irse, porque tanto Ángel, como Hugo, como José Miguel Esparza han seguido los pasos de otros como Ero Carrera, Dreyer o Fermín J. Serna, por poner solo tres ejemplos del cada vez más largo etcétera de profesionales de primer nivel que se fueron a trabajar al extranjero. Algunos pocos con más suerte han convencido a sus empleadores para que les monten la oficina en Málaga, pero son los menos, y el resto ha tenido que emigrar fuera.
  
  

  Figura 2: CVE de Fermín en la última update de Apple iTunes

  
  
  Retener a gente de tanto nivel suele ser difícil para un país que no tiene un tejido tecnológico como debería tener, pero espero que algún día, todos estos emigrantes tecnológicos, puedan venir a trabajar a su tierra otra vez, que sé que muchos se hubieran quedado, aún sacrificando cosas, en sus lugares de origen si las oportunidades hubieran sido un poco menos malas.
  
  
  Suerte a todos los que abandonáis vuestro país para buscaros la vida. En cuanto a los españoles que estáis en las conferencias enseñando vuestros trabajos al mundo, enhorabuena y seguid así. Los que sois de aquí seguro que ya sabéis lo que diría el Rey... (¡Ouch!)
  
  
  Saludos Malignos!
  
  Un informático en el lado del mal - Google+ RSS Informática 64 Seguridad Apple
  
  
  
  
  
• DreamLab Technologies: Distribuidor de libros en Chile
  
  Como sabéis, estamos trabajando para conseguir tener un distribuidor de nuestros libros de seguridad informática y hacking en todos los países de Latino América. Hoy os anuncio que hemos cerrado un acuerdo con la empresa DreamLab Technologies para que podáis comprar a través de ellos todos nuestros libros en Chile. Ponte en contacto con ellos y solicita los tuyos.
  
  

  Figura 1: Contacto con DreamLab Technologies

  
  
  Ahora mismo, podéis comprar los libros en Colombia a través de IT Forensic, en Ecuador a través de HCK-S, en Argentina a través de Root Secure y en Chile a través de DreamLab Technologies. En el resto de los países aún no hemos podido cerrar acuerdos, pero intentaremos poder hacerlo cuanto antes.
  
  
  Si eres una empresa en alguno de estos países, y te apetece ser distribuidor nuestro, puedes ponerte en contacto con nostros y te damos la información. Si en tu país no tienes distribuidor aún para comprar los libros, ponte en contacto con nostros y te informaremos de cuál es la opción más económica ti.
  
  
  Saludos Malignos!
  
  Un informático en el lado del mal - Google+ RSS Informática 64 Seguridad Apple
  
  
  
  
  
• Metadatos en algunos justificantes de la Banca Online
  
  Supongo que muchos habréis comprado alguna vez online, y recibido un documento por correo electrónico con el justificante de la compra. Si miras con FOCA encontrarás que en esos documentos siempre suele haber algún metadato curioso, y hasta alguna ruta interna de la aplicación web que lo genera.
  
  
  Lo que no había probado nunca es a hacerlo con un justificante de banca online y, como han podido probar algunos compañeros, en ellos también es posible encontrar metadatos. Entre la información que aportan estos metadatos se encuentra el software que utilizan para generar dichos documentos.
  
  

  Figura 1: Metadatos en un justificante bancario de banca online

  
  
  Una curiosa y pequeña fuga de información que muestra información del software que utiliza una compañía tan sujeta a ataques del mundo del e-crime y el fraude online, y que fácilmente se podría evitar con soluciones como nuestro querido MetaShield Protector }:).
  
  
  Si te topas con alguna información curiosa en algún documento que te genere alguna aplicación online, no dudes en pasármelo para mi colección de ejemplos ejemplares de casos con metadatos.
  
  
  Saludos Malignos!
  
  Un informático en el lado del mal - Google+ RSS Informática 64 Seguridad Apple
  
  
  
  
  
• Asegurar tu red WiFi para que no te graben con tu webcam
  
  Esta semana, con la noticia del pedófilo que espiaba a sus vecinos por la webcam se ha creado mucho ruido mediático en televisiones, radios y medios de comunicación. La noticia ha sido que se colaba en las redes WiFi de su vecino, tomaba el control del equipo de la víctima y les infectaba con un troyano para activar la webcam y grabarles en su casa, lo que a muchos les parecía de ciencia ficción. Esto es porque no están al día y no conocen casos como el del técnico de Mac que espiaba a sus clientes por la webcam, que los ladrones de tecnología caen en estas grabaciones y no saben que hasta a los espías les cazan de esta forma, así que quería escribir un poco sobre esto.
  
  

  Figura 1: IndSocket RAT con soporte para grabación de webcam

  
  
  Defenderse contra la grabación en WebCam

  
  

  Respecto al tema del software R.A.T. (Remote Administration Tool) que te graba con la webcam, ya es muy conocido, y las recomendaciones son cuidar de tu sistema operativo. En uno de los libros que más se han vendido de nuestra colección, Sergio de los Santos (@ssantosv) se pasa más de 250 páginas hablando de cómo obtener la Máxima Seguridad en Windows sin necesidad de utilizar un antimalware - el cual es archirecomendable para saber más de seguridad -, pero para resumir todo en una pequeña lista yo os propondría.

  - Actualiza todo el software de tu equipo: No sé ni cuantas veces hemos hablado de esto, pero es que es verdad, hay que hacerlo. Para que el atacante pudiera tener control de tu máquina necesitaría saber las claves o explotar un bug al estilo de un pentester con Metasploit, así que evita que tenga bugs que explotar. Si lees este ejemplo te darás cuenta de que basta con que tengas el Flash sin actualizar y ... adios equipo. Actualiza el software de tu equipo o entrégalo al enemigo.

  - Pon contraseñas robustas: Si no puede explotar un bug, evita que tus claves puedan ser adivinadas porque sean una basura, así que ten una política de claves seguras y cámbialas periódicamente. 

  - Usa un antimalware: Un antimalware reconoce casi todo el software comúnmente utilizado por ciber-acosadores para grabar con la webcam, así que ponte uno bueno con protección en tiempo real. Esto es también para ti que tienes Mac OS X y has oído que no hay malware en Mac OS X. Aquí tienes algunos tips para sobre cómo saber si tienes malware en tu Mac.

  - Tapa la webcam y el micro: Lo mejor en estos casos es la seguridad física, así que como ya os he dicho muchas veces, tapa la webcam o ponte sexy para salir en Internet. Recuerda que las grabaciones tuyas se venden, tanto si estás desnudo como si no, porque muchos acosadores compran vídeos de gente haciendo cosas normales para engañar a sus víctimas. No te fies de un extraño ni aunque lo veas por la webcam.

  - Deshabilitar la webcam en el sistema: Se puede deshabilitar la webcam por software en el sistema operativo, pero si el malware corre con privilegios en el sistema podría habilitar tanto la webcam como el sistema. Ojo, mucha gente se pierde a la hora de volver a habilitar los dispositivos multimedia en Windows. 

  - Usa webcams con tapa y luces: Muchas webcams tienen una tapa de privacidad, y otras tienen luces de aviso. Algunas de estas cámaras con luces de aviso no se iluminan cuando se sacan fotos, pero si el atacante no sabe si tiene luz o no, entonces se verá la luz encendida si alguien se conecta.

  
  

  Asegurar tu WiFi contra la intrusión no deseada
  
  
  Proteger tu red WiFi es algo que debes hacer sí o sí. Para ello, hace ya más de 6 años publiqué una serie de artículos por aquí sobre Cómo proteger tu red WiFi. En esos artículos os hablaba de como funciona WEP, WPA, WPA-PSK y cómo acabar montando WPA-Enterprise con un servidor Radius de Windows. Para que te pongas una red de los más robusta. Para un entorno de usuario doméstico este sería el resumen de cosas que deberías tener en cuenta en cuatro areas diferentes:
  
  
  1) Fortificar la configuración de la red WiFi

  - Establece cifrado WPA/WPA2 - PSK: Es lo más robusto que hay hoy en día, aunque no es ni mucho menos infalible, ya que existen formas de atacar un red con WPA/WPA2-PSK, pero es lo más que podemos tener en cuanto a cifrado de red en entornos domésticos. 

  - Cambia el SSID: El SSID es el nombre de la red, y los SSID son necesarios para poder crackear WPA/WPA2-PSK con ataques de diccionario, así que si pones uno que nadie haya pre-calculado antes, mejor que mejor. 

  - Cambia la clave por defecto: Las redes WPA/WPA2 - PSK también se atacan por el descubrimiento de los algoritmos que usaron los fabricantes para establecer claves por defecto. Herramientas como Liberad a WiFi o el archifamoso e histórico WLanDecrypter se hicieron muy populares por hacer esto, pero hay muchas como WLanAudit, iWep y un largo etcétera para algoritmos de claves de redes WiFi de routers de todo el mundo. 

  Figura 2: WLAN Audit para iOS

  - Oculta el SSID: Al ocultar el SSID de tu red haces que tu punto de acceso WiFi no emita los beacon frames con el nombre de la red. Ocultarlo hace que sea un paso más de trabajo para el atacante descubrir los Probe de los clientes que se conectan, pero evita curiosos. Para ello, asegúrate de marcar la opción de "Conectar a esta red aún cuando no se detecte" en la configuración de la rede WiFi en tu sistema operativo Windows y antes de aplicar la ocultación de red WiFi ten en cuenta que esta medida puede afectar a tu privacidad personal.

  - Cambia periódicamente el SSID y la clave: Aunque no te lo creas, aún así te pueden crackear la red, así que cambia de vez en cuanto estos valores para que no acabe tu configuración publicada en bases de datos de Wardriving. Estas bases de datos comparten las claves de redes WiFi geoposicionadas como WiFiGet, y algunas soluciones hasta usan Four Square, por lo que para cualquier que pase por allí podría venirle bien tu red WiFi. 

  - Desactiva WPS (WiFi Protected Setup): Esta característica permite que un equipo se conecte a la WiFi utilizando un código temporal que simplifica todo el proceso de "enrollment" de un nuevo equipo. Por desgracia las implementaciones de muchos routers no detectan los ataques de fuerza bruta y en unos minutos están en tu red WiFi. Así que desactívalo y evita estos ataques de un tirón. 

  - Filtra por direcciones MAC de conexión: Tampoco es una medida definitiva, pero complica un poco más el trabajo del atacante, y ayuda localizar mejor a los atacantes. Para ello, en el panel de administración crea un filtro por dirección MAC para todos los equipos de tu red doméstica. 

  - WPA/WPA2 - Enterprise: Si quieres quitarte de problemas en la rede tu empresa, pues piensa en utilizar WPA2 Enterprise con EAP-TLS, TLS-EAP-TLS, PEAP-TLS, o PEAP-MSCHAPv2 o algo similar para que tu red sea mucho más difícil de atacar.

  - Apaga la WiFi cuando no la usas: Cuanto menos cómoda sea la red para cualquier atacante mejor. Menos tiempo tendrá para atacarla y menos podrá disfrutarla.

  
  
  2) Fortificar la configuración de tu router WiFi

  - Actualiza el firmware de tu AP: No solo tienes que actualizar el software de tu equipo, sino también el software de tu router o punto de acceso. Para ello busca en la web del fabricante y pon el último que haya disponible para tu hardware. 

  - Cambia la contraseña de administración de tu punto de acceso: Las passwords por defecto son un grave problema en estos dispositivos, así que procura cambiarla. Ya vimos como incluso desde un correo electrónico era posible atacar un router AP aprovechando alguna de las múltiples vulnerabilidades de CSRF que suelen tener. 

  - No permitas la consola de administración en la WAN: Ni la consola de administración WAN, ni la consola de comandos vía Telnet o SSH. Deja que solo alguien conectado a la LAN pueda configurar las características de tu dispositivo. 

  - Configura el Firewall de Internet y Filtra por IP: Evita que desde Internet se puedan conectar a los equipos de tu red a ningún puerto, y sobre todo evita configuraciones en las que envíes todo el tráfico de Internet a un equipo de la red, ya que lo van a brear. Si aparte de filtrado MAC, quitas el servidor DHCP y filtras por dirección IP de cliente, se lo pondrás un poco más difícil al atacante, aunque configurar y administrar tu red se hará un poco más trabajoso.

    
  
  3) Fortificar la conexión desde el cliente

  - Valida el BSSID de tu red WiFi: Los sistemas operativos Windows validan el BSSID, es decir, que no ha cambiado el identificador de la red que depende de la dirección MAC. Esto es así para evitar suplantación de routers y ataques de Rogue AP. En el caso de Mac OS X no se valida el BSSID y tampoco en los sistemas operativos iOS de iPhone o iPad. 

  - Utiliza una conexión VPN: Tanto si la red es tuya como si no, estar en una red WiFi compartida es como "living in the jungle", así que tira una VPN para evitar que alguien te intercepte cualquier comunicación. Recuerda el ejemplo de hackeando al vecino hax0r que me roba la WiFi y todos los ataques en redes IPv4 & IPv6 que se pueden hacer.

  Figura 3: Firewall avanzado de Windows Vista

  - Configura el Firewall de tu sistema operativo: Una vez que abres la VPN, el firewall del tu router no va a ayudarte, así que tienes que tener el de tu sistema operativo activo y restringiendo todos los protocolos de entrada a tu equipo. Si tienes un equipo Windows, selecciona la opción de "Red Pública" en le perfil de la conexión, que es el más restrictivo de todos - si solo vas a conectarte a Internet - y configura en detalle luego tu firewall.

  4) Monitoriza la red periódicamente

  - Revisa los logs del router o punto de acceso Wi-Fi: Revisa las direcciones MAC y las direcciones IP de conexión a tu red. Si tienes filtrado de MAC, y alguien consiguiera entrar en la red, entonces en la red habrá varios equipos con la misma dirección IP sobre la misma dirección MAC. Esto genera alertas en software IDS (Intrusion Detection System). Si no tienes filtrado de dirección MAC, seguramente el atacante usará una falsa y tendrá otra dirección IP para no generar alertas de seguridad, pero será más fácil darse cuenta de que hay un nuevo equipo en la red. 

  - Utiliza escaneo pasivo de conexiones: Uno de los que más me gusta y menos ruido hace porque es pasivo aunque ya es un poco antiguo, es Satori (se puede descargar desde aquí Satori), un scanner de red que detecta los equipos en tu red por medio de las direcciones IPv4, IPv6 y direcciones físicas MAC que se usan en la red. Escanea el tráfico periodicamente de forma silenciosa a ver si tienes algún huésped no deseado. Puedes usar WireShark o lo que quieras para este trabajo.

  Figura 5: Satori Sniffer

  
  
  Por último, no quisiera terminar este artículo sin decir que nada de esto vale si te descargas cualquier cosa de Internet, has desactivado UAC o das clic a cualquier Applet Java que te llega desde esa página que tanto te gusta de cheaters.
  
  
  Saludos Malignos!
  
  Un informático en el lado del mal - Google+ RSS Informática 64 Seguridad Apple
  
  
  
  
  
• Tu privacidad en peligro por culpa de las conexiones WiFi
  
  Hace tiempo que quería escribir sobre este tema que me tiene dando vueltas a la cabeza, y no es otra que la privacidad de las personas y las redes WiFi que frecuenta. En un titular, la idea es que alguien puede saber qué lugares frecuentas - includo dónde vives - gracias las redes WiFi que busca tu dispositivo. Es decir, saber en qué ciudades has estado, en que hoteles, en qué bloques de edificios o en que restaurantes has comido, siempre que te hayas conectado a una red WiFi allí y no hayas tenido la precaución de eliminarla.
  
  
  Esta afirmación tiene muchos detalles importantes, así que voy a intentar ir por partes para no dejarme nada, y poder llevaros a una conclusión final entendible. Comencemos por un fallo de seguridad en los dispositivos iOS, Android y los equipos Mac OS X - seguro que alguno más también, pero no los Microsoft Windows -, como aperitivo.
  
  
  Búsqueda de redes WiFi
  
  
  Cuando una red WiFi expone su SSID (su nombre) mediante la difusión de Beacon Frames, no es necesario que ningún equipo cliente vaya buscándola incansablemente. ¿Qué ganaría?. El equipo sólo podría conectarse a ella si la red está emitiendo Beacon Frames que indiquen que está activa.
  
  
  Sin embargo, aunque la red no esté oculta, los equipos con iOS, Android o Mac OS X, buscan insaciablemente todas las redes a las que se han conectado alguna vez, lo que permite a cualquier atacante que escuche los mensajes Probe de estos dispositivos, saber a qué redes se ha conectado alguna vez ese dispositivo.
  
  

  Figura 1: SSIDs buscados por un iPhone

  
  
  Si a esto le sumamos que ni iOS, ni Android, ni Mac OS X validan el BSSID - y la validación BSSID es importante -, los hacen más que propensos a los ataques de Rogue AP, pero esa es otra historia de la que ya hemos hablado por aquí hace tiempo.
  
  
  En el caso de los sistemas Microsoft Windows esto no es así. Si un equipo con Windows 6.X {Vista, 7 u 8} tiene configurada una red WiFi, este equipo no emitirá un mensaje Probe si la red no está emitiendo los Beacon Frames, con lo que no descubrirá nunca a qué redes se ha conectado en el pasado. Como debe de ser para proteger la seguridad de un cliente.
  
  
  Conexiones a redes WiFi ocultas
  
  
  Pero como en todo, hay dos caras en esta moneda. Si el dueño de la red WiFi, para quitarse curiosos ha decidido ocultar la red WiFi mediante la no emisión de Beacons Frames, entonces los clientes Microsoft Windows no se conectarían nunca a esa red, ya que no emitirían mensajes Probe hasta no recibir un anuncio de la presencia de la WiFi. Para ello, en la configuración de las propiedades de una red inalámbrica es posible marcar una opción que dice: "Conectar aunque la red no difunda su nombre (SSID)".
  
  

  Figura 2: Opciones de conexiones a redes WiFi en Windows

  
  
  En ese caso, los equipos Windows emitirían mensajes Probe para localizar las redes WiFi que están ocultas - solo con estas redes -, pero claro, esto lo harían en cualquier ubicación donde esté el sistema, descubriendo las redes a las que se han conectado en el pasado. La ventaja en Microsoft Windows es que se puede elegir - como en muchos de los ejemplos descritos en Máxima Seguridad en Windows -, y en el peor de los casos se comportaría como un Mac OS X, y solo a cambio de tener el beneficio de poder tener la red WiFi oculta - algo se gana -.
  
  
  Pensando en la privacidad de los clientes
  
  
  No obstante, visto lo visto, creo firmemente que puestos a elegir es mejor no descubrir a qué redes se conecta una persona - para garantizar su privacidad - a costa de no ocultar el SSID de una red WiFi, ya que esa protección solo es para curiosos, y no para atacantes que estén haciendo wardriving en la zona. Cualquier atacante avanzado solo tiene que esperar un poco en la zona para descubrir toda la información de la red, ya que con el primer cliente que se conecte será posible descubrir que allí hay una red WiFi oculta con un SSID que va en el mensaje Probe de establecimiento de conexión.
  
  
  Por otro lado, el que una persona vaya contándole a todo el mundo a qué redes se conecta es como ir contándole a todo el mundo dónde vive, dónde trabaja, dónde veranea y en que lugar vive su amante. Algo que puede afectar seriamente a la privacidad de los clientes.
  
  
  Cómo saber en qué lugar está una red WiFi
  
  
  Hasta el momento yo he dicho que publicar a qué redes te conectas es como enumerar una lista de sitios que frecuentas, y esto es así gracias a las bases de datos de wardriving creadas con el esfuerzo de muchos amantes de esa disciplina. Estas bases de datos no suelen ser abiertas para todo el mundo, y suele haber sistemas de radio para acceder a ellas - es decir, tú colaboras reportando las redes WiFi que descubra tu equipo y te dejamos consular la base de datos -. 
  
  

  Figura 3: Popular herramienta de Wardriving WiFiFoFum

  
  
  Ejemplos de estas herramientas pueden ser WiFiFoFum o WiFiGet Scan, pero si quieres ver un ejemplo funcional de una base de datos grande, Wigle.net tiene una base de datos de los Estados Unidos bien repleta, y permite buscar todas las redes en ubicaciones GPS utilizando el SSID.
  
  

  Figura 4: Ubicación GPS de la red amanda3413 en Wigle.NET

  
  
  Los grandes Wardrivers: Google y Apple
  
  
  Para que la localización de personas se pueda hacer a través del valor SSID de la red WiFi es necesario contar con una buena base de datos de nombres SSID, valores BSSID y ubicaciones GPS, lo que implica muchos amantes del wardriving peinando ciudades. 
  
  
  Para solucionarlo, los grandes wardrivers, a.k.a. Google y Apple, decidieron convertir a todos los clientes de sus terminales iOS y Android - además de utilizar el Google Street Car - en wardrivers, de tal manera que cada vez que un usuario con los servicios de localización activados en su dispositivo detecta una red WiFi, reporta su posición tanto a Google como a Apple.
  
  

  Figura 5: Ejemplo de reporte a Apple de información de red WiFi

  
  
  Esto dio lugar a la famosa charla de "Cómo conocí a tu chica" en BlackHat, en la que se hacía uso de la API de Google para localizar ubicaciones físicas de equipos WiFi basados en su dirección MAC. Pero la API está ahora prohibida. Google ha capado esa conexión.
  
  
  Lo curioso es que el reporte no es inmediato, así que si activas los servicios de localización se reportan las últimas redes WiFi y sus posiciones, lo que lleva a que el propio reporte de las redes WiFi a las que te conectas con un iOS sea también un leak de información que deje claro a que BSSIDs te conectas.
  
  
  Debido a este comportamiento de los dispositivos Apple se ha publicado iSniff-GPS, que permite capturar los mensajes que emite un iPhone/iPad pudiendo localizar las redes WiFi a las que se ha conectado y su ubicación GPS. Adios privacidad.
  
  

  Figura 6: iSniff-GPS mostrando en un mapa las redes a las que se conecta un terminal iOS

  
  
  ¿Cómo protegernos de esto?
  
  
  Tras analizar esto, hay que suponer que, el SSID y el BSSID de nuestra red WiFi, y su ubicación GPS, de una manera u otra ha acabado en una base de datos de Wardrivers, ya sea de aficionados a esta disciplina o de grandes profesionales en esta materia como Google o Apple. Así que, cualquiera que sepa a qué redes nos conectamos acabará por localizar nuestros lugares de hábito, lo que para muchas personas puede ser un grave problema.
  
  
  Para evitar esto, si tienes un equipo portátil, parece que Windows es el que mejor trata la seguridad de las conexiones WiFi, así que no ocultes el SSID de tu red WiFi, fortifica la red para estar más protegido contra los ataques, y listo. Como truco, utiliza SSIDs comunes, aunque no demasiado. Me explico, lo suficientemente comunes para que salgan bastantes redes con el mismo SSID en cualquier base de datos de wardriving, pero no demasiado comunes como para que alguien haya decidido pre-calcularse las rainbow tables de ese SSID para WPA/WPA2-PSK. Aquí tienes un artículo sobre cómo atacar redes WPA/WPA2-PSK.
  
  
  Si tienes la red oculta, o un Mac OS X, o un terminal móvil con iOS {iPhone & iPad} o Android, lo mejor que apagues la WiFi siempre que no sea estrictamente necesario que la tengas encendida, usa conexiones 3G - cuidado con las GPRS - siempre que te sea posible, y borra cualquier red WiFi que hayas usado una vez termines de trabajar con ella - y aún esté en tu ámbito de alcance -.
  
  
  Saludos Malignos!
  
  Un informático en el lado del mal - Google+ RSS Informática 64 Seguridad Apple