martes, 31 de diciembre de 2013

Compendio 2013

Durante este  año 2013 hemos aprendido que la seguridad es algo primordial en cualquier entorno sea este empresarial o no y que es necesario preocuparse por cada detalle que involucra la seguridad de la información, debiendo de fortificar nuestro correo electrónico, así como unas buenas practicas que te permitirán evitar que alguien acceda a tu correo electrónico, porque si un atacante accede a tu correo, puede que acceda a tus sistemas mas fácilmente, y que es necesario tener cuidado con nuestros datos personales, aun cuando vendas un dispositivo tienes que cerciorarte de hacer un borrado seguro de datos  y por supuesto tener cuidado al utilizar un ordenador ajeno como en los ciber cafés

También es bueno recordar que la Ingeniería social es una técnica muy peligrosa y por eso debemos evitar desde los engaños mas comicos, como ataques mas especializados, ya que alguien puede estar regalando malware

Y comprendimos que el malware existe para todas las plataformas, y la discrepancia radica en la popularidad de una plataforma, los ordenadores personales, es mas atacado un sistema Windows, aunque claro, los sistemas GNU/Linux son mas atacados cuando son servidores, porque son los mas utilizados, por su potencia, flexibilidad y claro ahorro de recursos económicos. Aunque para mitigar los ataques puedes elegir un sistema antimalware y dejar por un lado las malas costumbres al trabajar con los ordenadores.    

No hay que olvidar hacer un copia de seguridad de la información, pues muchas veces ocurre algún desastre y es necesario recuperar la información dañada o robada, y si te han robado tu dispositivo con tu información, podrás recuperarlo y denunciar el robo gracias al sistema sistema prey.

Así mismo ahora ya sabes que tienes que auditar tu red inalámbrica, porque puedes tener un intruso aprovechando una vulnerabilidad en tu router o porque este aprovechando la inseguridad de la red inalámbrica y podrás sacarlo de tu red.

Y como olvidar los múltiples fraudes que existen a dia de hoy en el internet en los cuales hay un factor predominante que es dinero fácil es la moda, con lo cual puedes ganar fácilmente  100,000 Euros  con el ciber crimen y comprarte un deportivo, aunque si piensas hacer esto, cuida tu identidad, no vaya a ser que alguien utilice el doxing para dar con tu verdadera identidad y termines en la cárcel.      

Nota personal:
Estoy muy satisfecho, pues este 2013 lo he cerrado con muchos éxitos, volviendo atrás, con una gran sonrisa puedo afirmar que cumplí mis metas de este año, llegaron nuevas amistades, algunas finalizaron, aprendí nuevas cosas y quizá olvide otras, pero en definitiva no cambiaria nada de lo vivido y espero que tu hayas cumplido también todas tus metas.    

      Finalizando este 2013!

Saludos.
Lexer Pars. 

lunes, 30 de diciembre de 2013

Borrado seguro de informacion

Existen muchos casos en los que debemos vender algún dispositivo de almacenamiento que hemos utilizado, quizá por alguna necesidad económica o porque la capacidad de almacenamiento ya no es suficiente y debemos migrar a nuevo dispositivo de almacenamiento. En los casos de las empresas, suelen hacer cambios e innovaciones tecnológicas tienen a vender computadoras que ya han sufrido un desgaste por nuevas. 

Bajo cualquier circunstancia en que suceda que debamos trasladar un dispositivo a otra persona, es necesario eliminar toda la información. Muchos usuarios y empresas recuren formatear el dispositivo de almacenamiento, sea este una memoria usb, un ordenador formateando y reinstalando, etc. Pero en realidad la información sigue presente, aunque no podamos verla.

    Formateando USB

Cuando se borra la información de forma no segura, lo único que sucede es una ocultación de esta. El borrado seguro consiste en sobre escribir los sectores del dispositivo de almacenamiento con datos sin sentido un numero determinado de veces de tal forma que la información no pueda recuperarse. Existen diferentes métodos de borrado seguro y se diferencian por el numero de sobre escrituras que tienen en el dispositivo de almacenamiento desde 1 a 35 pasadas y la información que sobre escribe siendo 0,1 o aleatoria.

Algunos métodos de borrado seguro son:
 
  • Super Fast Zero Write. Sobreescritura del soporte con un valor fijo (0×00) en cada tercer sector.
  • Fast Zero Write. Sobreescritura del soporte con un valor fijo (0×00) en cada sector.
  • Zero Write. Sobreescritura del soporte con un valor fijo (0×00) en todo el área al completo.
  • Random Write. Sobreescritura del soporte con valores aleatorios. Su fiabilidad aumenta con el número de pasadas.
  • Random & Zero Write. Después de sobreescribir el soporte con valores aleatorios, se vuelve a sobreescribir de nuevo con un valor fijo (0×00), sobreescribe con valores aleatorios y termina con escritura de valor cero; este método es más seguro que Zero Write.
  • US Navy, NAVSO P-5239-26 – MFM. Estándar de la Armada estadounidense (US Navy) NAVSO P-5239-26 para discos codificados con MFM (Modified Frequency Modulation). El método consiste en la escritura de un valor fijo (0xffffffff) sobre el soporte, después un valor fijo (0xbfffffff), y finalmente una serie de valores aleatorios. El área de datos se lee para verificar la sobreescritura. El método suele ser aplicado sobre disquetes.
  • US Navy, NAVSO P-5239-26 – RLL. Estándar de la Armada estadounidense (US Navy) NAVSO P-5239-26 para discos codificados con RLL (Run Length Limited). Este método aplica la escritura de un valor fijo (0xffffffff) sobre el soporte grabado, un valor fijo (0x27ffffff), y finaliza con valores aleatorios. El área de datos se lee para verificar la sobreescritura. El método es aplicable a discos duros y soportes ópticos como el CD, DVD o el disco BlueRay.
  • Bit Toggle. Sobreescritura de toda la zona de datos cuatro veces, primero con el valor (0×00), sigue con el valor (0xff), luego (0×00) y finaliza con (0xff).
  • Random Random Zero. Sobreescritura del soporte dos veces con valores aleatorios, una vez más con un valor fijo (0×00). Vuelta a sobreescribir dos veces con valores aleatorios y una última vez con ceros; el método es más seguro que Random & Zero Write.
  • US Department of Defense (DoD 5220.22-M). Este método de borrado fue introducido por el Departamento de Defensa de los EE.UU. (Pentágono) y es conocido como “DoD5220.22-M”. El método consiste en la sobreescritura del soporte con un valor fijo determinado una vez (por ejemplo 0×00), seguidamente se escribe su valor complementario (0xff) una vez, y finalmente se repasa con valores aleatorios una vez. El disco se verifica para comprobar la escritura correcta de los valores.
  • US Air Force, AFSSI5020. Estándar de las Fuerzas Aéreas de los EE.UU. (US Air Force) AFSSI5020. Este método de borrado primero sobreescribe el soporte con un valor fijo (0×00), después otro valor fijo (0xff), y finalmente un valor aleatorio constante. Se comprueba al menos un 10% del disco para verificar la sobreescritura.
  • North Atlantic Treaty Organization – NATO standard. Estándar de borrado de la OTAN (North Atlantic Treaty Organization). Sobreescribe el soporte siete veces. Las primeras seis pasadas son de sobreescritura con valores fijos alternativos entre cada pasada (0×00) y (0xff). La séptima pasada sobreescribe con un valor aleatorio.
  • Peter Gutmann Secure Deletion. El método fue creado por Peter Gutmann en 1996. Probablemente sea el método de borrado de datos más seguro que existe sin combinación con otros métodos. La sobreescritura del soporte se realiza grabando valores aleatorios cuatro veces sobre cada sector. Seguidamente se sobreescribirá todo el soporte con valores pseudoaleatorios sobre cada sector durante veintisiete pasadas. Para terminar, se escribirán valores aleatorios durante cuatro pasadas sobre cada sector. En total, se realizan treinta y cinco pasadas de sobreescritura.
  • US Department of Defense (DoD 5220.22-M) + Gutmann Method. Método de alta seguridad consistente en 35 pasadas, complementables con iteraciones de Mersenne, para agilizar los procesos de borrado seguro mediante la generación de números pseudoaleatorios. Combina el Grado 13 y el 10.
En lo personal, siempre he optado por el método de Gutmann con 35 pasadas, pues aunque suele ser muy tardado, es mucho mas seguro que la información no podrá recuperarse. Una herramienta que puede ayudarte para estas labores es eraser, que es gratuita y es una muy buena opción que te permitirá hacer un borrado seguro de datos. 

Saludos.
Lexer Pars.

domingo, 29 de diciembre de 2013

Accediendo a todos tus sistemas facilmente

Hoy como un buen Domingo de descanso había pensado pasarme un buen tiempo en el dia descansando, disfrutar de algo de televisión, pero se me complica mucho el hecho de dejar de estar tecleando. Estaba observando algunos comerciales, en los cuales se publicitaba dicha institución. Me llamo un poco la atención y decidí dejar la televisión por un lado y echar un vistazo sobre que había de esta empresa en la red. 

Tras investigarlo un momento decidí hace un pequeño análisis, para determinar si el sitio web era vulnerable a un ataque en especifico. El resultado fue que el sitio de esta institución si era vulnerable, así que le deje a sqlmap hacer su trabajo.     

Vulnerabilidad de inyección SQL en el sitio XXXX.

Dentro de una de las bases de datos había un tabla que almacena información de empleados y voluntarios que trabajan para dicha organización, entre esa información se encuentra el correo electrónico, numero telefónico, dirección de residencia, usuario, contraseña, etc. Una medida primordial de seguridad cuando se trata información como contraseñas es almacenarlas cifradas, en el caso de que un atacante acceda a esta información le sea complicado obtener el la contraseña descifrada. Esta organización no se preocupo por esto, ya que toda la información, incluyendo las contraseñas fueron almacenadas sin ser cifradas.

             Estructura de la tabla con Password.

Acceder al sistema de la web fue una tarea muy sencilla, ya que no fue necesario realizar algún ataque para descifrar las contraseñas. Como muchos de los usuarios no tienen contraseñas seguras, y suelen utilizar la misma contraseña para acceder a todos los servicios, fue fácil relacionar correos corporativos a contraseñas del sistema de la pagina web.   

Dentro de los correos corporativos, basto con hacer unas búsquedas por palabras claves, cpanel, ftp, password, contraseña, ssh, etc., para identificar servicios, dentro de los servicios, se encontraba acceso a múltiples web de la organización, servicios ftp, acceso a un sistema CRM en salesforce.com, etc.
Como esta organización aun es vulnerable, ya que hoy les he reportado esto, no puedo dar muchos detalles al respecto de algunos servicios. 

Como era de suponer al acceder a los servicios encontrados en el correo corporativo e ingresar la contraseña utilizada en ambos servicios de correo y sistema web, fue fácil acceder a los demás sistemas con la misma contraseña. Dentro de los correos, que por cierto la mayoría era de directivos, había información como manuales sobre los sistemas, planillas con los trabajadores, cuanto gana cada empleado entre otras informaciones bastante interesantes.

Si tu no quieres pasar por algo como esto, verifica tu todas tus contraseñas son almacenadas cifradas y que tus aplicaciones web no son vulnerables a ataques de cualquier índole. También establece unas políticas que garanticen que las contraseñas sean seguras, es decir, complicadas de adivinar, no sean utilizadas para múltiples servicios, se cambien cada cierto tiempo, y no pueda utilizarse una contraseña antigua.

Saludos.
Lexer Pars.        

sábado, 28 de diciembre de 2013

Cuidate del doxing(III de III)

Como ya tienes una idea de lo peligroso que puede resultar dejar tus datos de un lado a otro sin control, sabrás que es bueno gestionar la forma en que estas distribuyendo tu información por la red, para que esta no pueda representar un problema futuro.

Algunas recomendaciones para evitar un doxing, es que evites dejar tanta información en la red para que puedan crear un perfil exacto de tu vida y tus preferencias y si vas a navegar por alguna red rara o hacer comentarios anónimos, asegurate de que estés navegando por un proxy y habilites una sesión en tu navegador que evite que te puedan rastrear. También puedes seguir una guía para gestionar tus datos personales.      

Y procura no estar haciendo cosas malas por la red, pues puede que alguien te deje al descubierto y te haga pasar un mal rato, y si vas a hacer cosas malas, hazlo cambiando de identidad, nombre de usuario, correo, navega de forma anónima, etc. Pues puede que ha alguien le interese dar contigo y aprovechara cualquier información, metadato o fuente de información, para cumplir su objetivo.

  Busca el anonimato en la red cuando sea necesario.


Saludos.
Lexer Pars.

***************************************************************************************************************************************
***************************************************************************************************************************************
 

viernes, 27 de diciembre de 2013

Cuidate del doxing(II de III)

En ciertos países hay sitios que pueden brindar mas información, que puede jugar en tu contra, aunque muchas veces esa información es vendida, puede ser consultada para ir creando un doxing, en Guatemala esta la pagina infor.net, que puede brindar mucha información valiosa, desde donde has vivido en los últimos tiempos, tus números de teléfono, correo electrónico, en donde trabajas, quien es tu Jefe, en algunos casos, tus números cuentas bancarias, que deudas has tenido., en definitiva no es nada bonito que todo eso pueda consultarlo cualquier persona. Si bien es cierto, a veces suele ser descuidos de terceras personas al proteger nuestra información, como lo puede ser una tienda online, una entidad financiera, gubernativa, educativa., etc.    

También están los metadatos que pueden revelar información sobre ti, como que dispositivos usas, que tipo de marca es tu ordenador, cual es tu nombre de usuario en tu ordenador, que sistema operativo utilizas, cuando creaste un documento, cuando y donde te tomaste una fotografía. Y a muchos usuarios les fascina estar marcando los puntos que visitan como por ejemplo el servicio de foursquare o publicar cada cosa y lugar en facebook o twitter.

Y existe la variedad de casos, desde las personas que tratan de buscar algún trabajo, pero se les es negado, porque hay información que indica que cometió algún error y como los que han cometido alguna falta y les niegan el empleo. También hay quienes que pasan divirtiéndose en la red, sin tomar todas las precauciones del caso, como el caso de un chico defacement y quedo en descubierta su identidad por otro usuario.

Publicación de doxing


Aunque puede ser una ardua labor el hecho de ir tras una identidad, si un atacante quiere dar contigo para fastidiarte o alguien quiere ganar dinero vendiendo tu información o bien que quieran extorsionarte  ten por seguro que hará de todo, utilizando todas las técnicas que estén a su alcance para dar con tu información   

Saludos.
Lexer Pars.

***************************************************************************************************************************************
***************************************************************************************************************************************
 

jueves, 26 de diciembre de 2013

Cuidate del doxing (I de III)

Usualmente estas de un lado al otro de la red dejando información que a simple vista pareciera irrelevante, pero toda esta información puede acarrear grandes problemas que puede ir desde que te roben la cuenta, hasta que sufras una extorsión con el fin de quitarte tu dinero.    

El doxing es el proceso para obtener información de una persona a través de la red utilizando diversas técnicas informática, como el email harvesting, así como valiéndose de la ingeniería social y otras técnicas de ataque. Aunque el doxing es utilizado para múltiples causas buenas, como puede ser dar con algún criminal, algún pedófilo, etc,. También puede ser usado para extraer tu información y acceder a tus datos bancarios, cuentas de los diversos servicios que utilices o para que te extorsionen a ti o a tu familia.

Algunos de los sitios usados para el doxing son:
Aunque hay mas sitios, estos tienen una mayor afluencia al momento de recolectar la información, independientemente de que sitios utilices, el resultado suele ser el mismo. Hay ya varios casos registrados donde algunos hackers han sido victimas de este tipo de ataque, aunque en definitiva la cantidad de usuarios comunes que ha sufrido este tipo de ataque sobre pasa de forma exponencial. Si no se tiene cuidado con la información que se publica por la red, seguro que alguien le interesara esa información, como el caso en que algunos agentes sufrirían el robo de identidad, por un ataque de doxing  efectuado por antisec.

Alguien mas podría estar usando tu identidad.. piensalo!  

Aunque para algunos usuarios quizá suene a paranoia el hecho de estar cuidado que información se sube a internet, y por el hecho de representar algo tan restrictivo en el hecho de que la mayoría de usuarios suele dejar montones de información cada dia que cambiar algo tan cotidiano, no es nada fácil para algunos. Pero vale la pena hacer el esfuerzo y no lamentarse en un futuro cuando puedas sufrir algún ataque por esos descuidos y peor aun, alguien mas tenga un backup de toda tu información a salvo, en caso de que tu la borres de la red.     

Saludos.
Lexer Pars.

***************************************************************************************************************************************
***************************************************************************************************************************************
 

miércoles, 25 de diciembre de 2013

Feliz navidad 2013

En este dia puedes aprovechar para compartir con tus amigos y familiares, disfrutar de una comida tradicional como son los "tamales" chapines y por que no, un buen "ponche", yo por mi parte he decido escribir en el blog parte de la madrugada y después ya compartir con mi familia y amigos y dejar descansar un poco a mi ordenador.

Espero tu disfrutes a todo dar estas fiestas y que tengas un bello árbol de navidad que decore tu habitación.

  Un árbol navideño al estilo informático.

Feliz Navidad!!.
Saludos.
Lexer Pars.

martes, 24 de diciembre de 2013

Ganar 100,000 Euros en el negocio del cibercrimen

En la actualidad hay muchas formas de ganar dinero, pero suele ser bastante difícil ganar el dinero suficiente como para consentirte y satisfacer todos esos caprichos que tienes, como una lujosa casa o el auto deportivo que tanto te gusta.  En un trabajo normal esto puede llevar mucho tiempo, para llevarlo a cabo, aunque en el mundo del ciber-crimen esto es algo que solo te lleva algunas semanas, pues los beneficios económicos son muy grandes y puedes conseguir todas esas cosas que deseas, sin acudir a un largo periodo de tiempo.

Aunque claro, esto lleva un gran riesgo, pues el dinero fácil, puede llevarte a la cárcel si no tomas las precauciones debidas. El modelo de negocio en el ciber-crimen siempre esta a la ofensiva y busca a toda costa mantener al margen de la ley al autor intelectual, mientras el mayor riesgo lo llevan los muleros. Este es un negocio muy popular en la red, que le ha llenado los bolsillos a muchas personas y a otras se los a vaciado.  Aca tenes un un video sobre como se puede ganar 100,,000 euros en poco tiempo con el negocio del ciber-crimen.

  




Saludos.
Lexer Pars.

lunes, 23 de diciembre de 2013

Repasando un poco de Ingenieria Social

Hoy después de un largo dia me he puesto de lo mas cómodo para disfrutar de una conferencia sobre Ingeniería Social impartida por David Shekaiban, que esta de lo mas linda, analizando como el factor humano es el mas susceptible a ataques y siempre es caracterizado por el eslabón mas débil dentro de la cadena de la seguridad.

Hay una serie de tácticas, ejemplos prácticos sobre como detectar estos ataques y prevenirlos para mantener tu información y sistemas resguardados, pues como siempre se ha dicho en la seguridad, no sirve de nada invertir en tecnología, sistemas de detección de intrusos, corta fuegos, políticas de seguridad estrictas, si no se educa a los usuarios para evitar este tipo de ataques.

Te dejo esta conferencia espero que la disfrutes y que pongas mucho énfasis ya que tiene mucha información relevante que puede ayudarte a gestionar mejor la forma en has venido trabajando con tus empleados.

      Conferencia sobre Ingeniería Social.

Saludos.
Lexer Pars.

domingo, 22 de diciembre de 2013

Un forense llevado a juicio.

En estos días previos a finalizar este 2013, he estado disfrutando una buena lectura que me ha capturado mucho la atención, el libro, Un forense llevado a juicio , pues abarca temas muy interesante sobre el análisis forense, que sin duda es un área de la informática bastante amplia y compleja que merece ahondar en ella. El autor de este libro es el Director del departamento de seguridad TIC de Sidertia, Juan Luis Garcia Rambla, quien ha tenido muchos reconocimientos en el área de seguridad y no cabe duda que el conocimiento que brinda en este libro es de gran utilidad para iniciar en el maravilloso mundo del área forense.       

Portada Un forense llevado a juicio

Es un libro que vale la pena leerlo y que merece un espacio en tu biblioteca personal, si estas interesado en el mundo forense, es una lectura que no tienes que dejar pasar, yo por mi parte ya me voy leyendo el 50% del libro y espero terminarlo antes de finalizar este 2013.

Saludos.
Lexer Pars.

sábado, 21 de diciembre de 2013

Ataque por SQL Injection

Una de las técnicas usadas comúnmente para comprometer información en bases de datos, es el ataque mediante SQL Injection, en la cual se trata de ingresar código SQL, en cualquier aplicación que tenga un consulta no elaborada de una forma segura y que permita a un atacante extraer toda la información almacenada. 

Una forma clara de ver esto, es mediante el modelo de 3 capas establecido para prestar algún servicio en una red.
    Modelo 3 capas

El ataque se perpetra desde la capa de cliente donde se estable la alteración de la consulta SQL, en la capa del cliente se encuentra la aplicación por medio de la cual se visualizan los resultados, como por ejemplo el navegador web. Después de esto, la consulta SQL se analizada y preparada en la cama intermedia, para posteriormente ser lanzada a la capa del servidor, para ejecutar dicha consulta y devolver los resultados.

Este tipo de vulnerabilidades es muy común y suele detectarse en muchos de los casos con pocos esfuerzos, y suele utilizarse en muchas ocasiones para comprometer cuentas de usuarios, por ejemplo en tiendas online,  permitiendo hacer compras y cargarlas a cuentas de otros usuarios. En otros de los casos, muchos atacantes realizan un defacement.

Hoy en dia existen muchos programas que automatizan este tipo de ataques, entre todos los programas que hay disponibles en la red, hay uno que me encanta y es el sqlmap, el cual tiene ya un largo historial de vida y es muy potente, te dejare una pequeña demo del funcionamiento de este maravilloso software, para ello utilizaremos una pagina web vulnerable de un partido político.

 Lanzando un ataque contra gana.com.gt

Sqlmap te ayudara a descubrir toda la información almacena en la base de datos, para ello lanzamos el comando "sqlmap -u www.sitioweb.com/index.php?variable=1 --dbs"
Para obtener el listado de bases de datos disponibles.

 Listando bases de datos disponibles

 Una vez que tengamos las bases de datos disponibles, podremos solicitar que nos recupere todas las tablas disponibles en una determinada base de datos, para ello lanzamos el comando "sqlmap -u www.sitioweb.com/php?variable=1 -D basededatos --tables".
Listando las tablas en la base de datos.

Luego hay que determinar cuales son las columnas que tiene la tabla, para ello ejecutamos el comando "sqlmap -u www.sitioweb.com/index.php?variable=1 -D basededatos -T tabla --columns".   
Listando las columnas en una tabla.

Llegados a este punto, queda recuperar la información almacenada en las tablas, para ello tenemos dos opciones. Recuperar la información de determinadas columnas, para ello lanzamos el "sqlmap -u www.sitioweb.com/index.php?variable=1 -D basededatos -T tabla -C columna1,columna2 --dump". O bien podemos recuperar la información de completa de la tabla ocupando cada columna en la tabla, para ello lanzamos el comando "sqlmap -u www.sitioweb.com/index.php?variable=1 -D basededatos -T tabla test --dump".  

 Recuperando información de la base de datos.

Te dejo la DEMO en youtube para que la veas con mas detalle.
Video de ataque SQL injection con sqlmap

Así que si no le has realizando una prueba a tus aplicaciones para determinar di padecen de una vulnerabilidad de este tipo, es mejor que te preocupes en hacerla, pues no vaya a ser que alguien mas se ocupe de ello y te haga una mala jugada con la información que almacenas.

Saludos.
Lexer Pars. 

viernes, 20 de diciembre de 2013

Una noche de fiesta

Bueno ya por estas fechas el ambiente mas que frio, tiende a calentarse con tantas fiestas y parrandas, en la que todo mundo trata de dejar de un lado la rutina y liberar sus instintos. Yo saldré hoy a festejar con algunos buenos amigos y liberarme un poco del ordenador y ya necesita un descanso.

Aunque quizá deje lo trabajando un poco John the ripper , que tengo unos hash que se me han puesto inconformes y no quieren cooperar con la causa.
Pero bueno ya estando cerca de terminar este 2013 quiero aprovechar para hacer algunas cosilla diferentes a lo que hacemos casi todo el tiempo los informáticos, ya sabes, estar ligando con chicas y ir de fiesta en fiesta y portarme mal. 

Seguro que a mas de alguno se le apetece un elemento informático en la oficina. 

De todos sabores y colores

Bueno, los dejo porque aun debo de preparar algunos scripts como últimos trabajos antes tomar la decisión de dejar descansar a mi ordenador o no, así que venga ya deja un poco también tu el ordenador y ve a disfrutar con tus amigos o familiares, que siempre es bueno de disfrutar de una reunión amena. Aun si la reunión es con el grupo de la Universidad o escuela.
 
 Reunión pacifica de informáticos 

Saludos.
Lexer Pars.

jueves, 19 de diciembre de 2013

Un poco de historia en Linux

Hoy ha sido un dia exageradamente frio y me he quedado disfrutando de un buen documental que trata sobre el código Linux. Unas buenas palomitas de maíz y una bebida caliente, y gozar de estas evolución que ha tenido durante el tiempo, desde que ha surgió, hasta nuestros días y el auge que esta teniendo tanto en las empresas como en los usuarios finales.

 

Que lo disfrutes!
Saludos.
Lexer Pars.

miércoles, 18 de diciembre de 2013

Estamos en epocas navideñas, y por eso te tengo un regalito!

Hoy que estamos en épocas navideñas el consumismo nos ha llevado aludir que el nacimiento de Jesús y el compartir con la familia debe de estar acompañado de un buen regalo y sin esto mismo tienen presente los ciber delincuentes en internet, cuando te ofrecen algo "gratis". 
Como la economía no esta muy bien, se suele muchas veces acudir a software pirata, con el fin de utiliza todas las funciones o evitar las limitaciones de tiempo expuestas por el creador de un software, libro, etc., y claro hay multitud de soluciones que te ayudan a obtener de todo sin pagar en teoría nada. 

Por ello quiero dejarte un consejo al momento de bajarte algo de internet, y es que verifiques que el sitio de donde estés bajando el software sea confiable, si lo bajas de foros, paginas como youtube, o comunidades, verifica la reputación del usuario que comparte el contenido. Y bueno asegurate de analizar el contenido con tu antivirus.
Si bajas algún tipo de keygen o crack, que en su mayoría te traerán un regalo sorpresa, no importándole si estés o no en época navideña, puedes apoyar de dos servicios que te permitan verificar la confiabilidad del archivo y que pueda realizar en caso de que lo ejecutes.
Me he bajado un crack, llamado Steam Key Generator.exe el cual te ayuda a generar claves validas para todos los juegos, como no quieres infectarte, en caso de que este pueda contener algo anómalo, pues bueno, lo primero es analizarlo en virustotal.com .

        Detección de 23 antivirus como troyano  

Con esto, yo estaría mas que convencido para no ejecutarlo en mi maquina, pero seguro que habrá mas de algún malware que seguro se los saltara, y si llegaras a caer en esta situación, pues bueno, también puedes analizar todo lo que el programa realice, una vez se ejecute en el ordenador, para ello solo hay que subir el archivo ejecutable o apk(que son los formatos que permiten de momento) que se desee analizar y esperar los resultados de las acciones que este realiza.

cargando el fichero a analizar

Reporte del análisis del software

Y con tan un par de segundos tendrás un informe detallado de que acciones a realizado el programa al momento de su ejecución, desde el mapeo de la memoria, los archivos del control de comunicación, los valores del registro leídos y escritos, las librerías cargadas, etc. Así que aprovecha estas servicios que son gratuitos y que te ayudaran a evitar posibles infecciones en tu ordenador y perdida de dinero e información

Saludos.
Lexer Pars.

martes, 17 de diciembre de 2013

Dinero facil es la moda

Los fraudes por internet parecieran interminables, hoy en una publicación de la pagina Guatemula en facebook, habían unas quejas sobre una "tienda" que había estafado a varios usuarios, ofreciendo productos, solicitando un pago por adelantando, posteriormente al pago, el producto nunca era entregado.
 Publicacion en Guatemula

Esto no es mas que un claro ejemplo de como con un poco de ingeniería social o engaños se puede conseguir que un usuario realice alguna acción, en este caso, robarle el dinero, hacer que deposite un dinero, a una cuenta, a cambio de nada. 

Un consejo sano antes de comprar por internet, es asegurarte que la entidad a la cual le compraras un producto exista y tenga un historial de confiabilidad que la respalde, es mejor tomarse un tiempo en indagar sobre que pasado a tenido y no sufrir alguna perdida, como le ha sucedido a varios usuarios por la red, con esta empresa.

Saludos.
Lexer Pars.

lunes, 16 de diciembre de 2013

Dime cual es tu contraseña y no se la digo a nadie

Una de las técnicas mas odiadas y por desgracia con mucho éxito en el mundo del hacking es la ingeniería social. Y digo que una de las mas odiadas, porque la vulnerabilidad en los sistemas, sino el usuario que opera con los sistemas.  

Aunque a dia de hoy existen muchas soluciones a problemas de seguridad informática, es lamentable que muchas empresas no inviertan en capacitar al personal, para evitar este tipo de ataques, que aun cuanto tengas muchas medidas de protección como un buen antivirus, un sistema operativo actualizado, una DMZ, y una serie de políticas que garanticen la seguridad, no servirá de mucho si el personal es sensible a engaños.

Los ataques pueden realizarse por distintos medio y de distintas formas, pero el objetivo siempre sera el mismo, obtener un acceso a base de engaños sufridos por el usuario. Hoy me encontré con una publicación muy graciosa en facebook, donde por medio de una imagen se incitaba a los usuarios a escribir su contraseña de facebook y esta aparecería en  asteriscos. Para un usuario normal, con pocos conocimientos y sobre todo curioso, le parecerá algo interesante, pero cualquiera que haya tenido contacto con la seguridad informática, sabrá que es una farsa.

      imagen en publicación 

Algo tan sencillo como esto, es un ataque de ingeniería social aunque para muchos de ustedes esto resultara tonto caer en algo así y hasta gracioso, es una realidad que las empresas y cada uno tiene que empezar a afrontar, pues no puedes quedarte de brazos cruzados, ya que esto puede traer enorme consecuencias negativas para la empresa que trabajas. El resultado de esta publicación es inminente, algunos usuarios, que saben del tema, en broma escribian "****** epa, esto si funciona" en forma sarcástica, pero muchos otros brindaban su contraseña, la cual por supuesto no salia en asteriscos.

          Resultados obtenidos con la publicación

Si eres un usuario, pues no te fíes de todo, no estés dejando en todas partes tu información y menos estés brindado datos como tu contraseña, datos bancarios, etc., porque lo mas probable es que sufras un ataque de este tipo, y luego te lamentes porque te roben tus cuentas o tu dinero.  

Y si tienes a cargo una empresa, esta muy bien que inviertas en tecnología para proteger la información, pero siempre toma en cuenta que al usuario, es necesario educarlo para evitar que sufra ataques de este tipo, y por un descuido de estos, toda tu seguridad se venga a bajo.

Saludos.
Lexer Pars.

domingo, 15 de diciembre de 2013

Fraude por Internet(III de III)

Hoy por la madrugada termine un pequeño demo de un Bot para Linkbucks, al que bautice como Linkbucks Tor, pues me inspiro la red tor en su realización, aunque no tuve mucho tiempo para liarme en aspecto chulos de los gráficos, el programa ha cosechado buenos resultados.  
 
Interface de Linkbucks Tor

El programa necesita un listado de enlaces, los cuales debe visitar, y un enlace de una pagina con listado de proxys, donde el programa mismo se encargara de extraer los enlaces y enviar las peticiones http, para generar las visitas.   Durante las primeras pruebas con el programa, es fácil ver como se pueden generar ganancias fraudulentas, y cabe mencionar que no es un programa de mucha relevancia y que por la red habrán otros mucho mas efectivos.

Las primeras pruebas realizadas con el programa, te las dejo en un video que dura 24 minutos, un poco extenso, pero se puede ver como en tan poco tiempo se puede ganar dinero haciendo un doble fraude.

Primeras pruebas con Linkbucks Tor.

Después de 3 horas haciendo pruebas, genere la cantidad de $10 USD, asumiendo que trabajaras las 24 horas, podrías generar $80 USD al dia, lo que en promedio te dejaría $2480 USD mensuales. Sin duda es una perdida que ni las empresas dedicadas a este negocio de la publicidad, ni las empresas que pagan porque vean sus anuncios quieren tener.

Ganancias obtenidas en linkbucks en 3 horas

Aunque hay mas métodos, quizá unos mas efectivos que otros, estas empresas deberían de implementar algunas medidas menos flexibles, aprendiendo un poco del grande en este negocio, google adsense, que se toma muy en serio el asunto, utiliza bots, que se encargan de identificar un conjunto de patrones, como la ubicación de la visita, el sistema operativo, el tipo de letra, el idioma, etc,  de tal forma que se garantice una visita real y no la visita de un programa.

Saludos.
Lexer Pars.
***************************************************************************************************************************************
***************************************************************************************************************************************

sábado, 14 de diciembre de 2013

Fraude por Internet(II de III)

Hay incluso mas formas de como hacer un fraude a paginas que se dedican al negocio de la publicidad, pero depende mucho de la creatividad del criminal al hacerlo. Lo que conlleva a un doble fraude, un fraude voluntario y otro involuntario.

El fraude voluntario es cometido por aquellos usuarios que buscan lucrarse  de una forma fraudulenta, violando los términos estipulados e impuestos en los acuerdos de la pagina de las empresas que se dedican a este negocio. Cada vez que un usuario viola dichos términos y condiciones, genera un perdida económica para los anunciantes, pues en muchos casos su publicidad nunca llega ser vista, y claro también empieza a surgir una degradación a la imagen de la empresa que se dedica al negocio de publicitar.   

Términos y condiciones impuestas por linkbucks.

Como se pude apreciar, dentro de las restricciones esta no utilizar bots, proxy, técnicas de hacking, etc. Y al incumplir estas normas, te banean la cuenta y claro perderás las ganancias que tengas, esto claro si llegaran a darse cuenta de esto.

Algunas técnicas que se me ocurren para saltar las restricciones impuestas por estas paginas, evadiendo los scripts que ponen a palo a los que quieran atentar contra esta integridad, son ip spoofing, con el objeto de enviar muchas visitas de distintas ip o hacer un programa que filtre cada visita por un proxy, y para cerrar con broche de oro, darle una pagina al programa y que este extraiga la ip y puerto y se auto-configure, claro eso para evitar liarte a cada momento.  

Estoy trabajando en un mini demo de un programa como este, así que no te pierdas la tercera parte de "Fraude por internet", que seguro aprenderás algo mas y bueno ya veremos que reacciona las paginas. Como se puede atacar y crear un fraude, asi como protegerse ante estos hechos.

Saludos.
Lexer Pars.

***************************************************************************************************************************************
***************************************************************************************************************************************

viernes, 13 de diciembre de 2013

Fraude por internet (I de III)

Navegando por la red se encuentran todo tipo de fraudes, archivos que te ayudaran a tener un programa de pago, teóricamente gratuito, aunque en este mundo nada es gratis. Basta con navegar un poco por la red para darse cuenta de la cantidad de fraude que existe y en definitiva, hay personas que esta haciendo mucho dinero con esto.

Algo que me ha llamado la atención son las paginas que pagan por acotar enlaces, y por cada visita o click que tengas, recibes una comisión de aproximadamente $0.0001 USD que con una suma de dinero así, cualquiera se ocuparía de algo diferente. Pero si recibieras un promedio 100,000 visitas, obtendrías $10 USD. Pero claro conseguir esta cantidad de visitas diarias es algo complicado y requiere de mucho tiempo y sin duda consistencia para alcanzar ese objetivo.

Hay varias paginas que tienen este negocio, entre ellas muy conocidas adfoc.us, adf.ly, linkbucks.com entre otras, que tienen un  historial de pagos a muchos usuarios que las respaldan.

Existen múltiples programas bots, que realizan el trabajo sucio por ti, visitan y dan clicks sobre los enlaces monetizados, basta con buscar en google, para encontrar una serie de resultados exorbitantes.
 Resultado de búsqueda de bots para Linkbucks

Pero no todo es tan cierto como parece, pues aunque algunos programas son funcionales, algunos otros no lo son. Pues no faltaran los usuarios que publican malware ofreciendo un programa que te ayudara a tener muchas visitas, pero la realidad es otra. 
            Usuario denunciando la distribución de malware con un supueto bot.

Así que no estés instalando lo primero que encuentres en internet, investiga primero, y toma muy en cuenta los comentarios que otros usuarios han realizado sobre el programa que están brindando.

Saludos.
Lexer Pars.


***************************************************************************************************************************************
***************************************************************************************************************************************

jueves, 12 de diciembre de 2013

Retos Hacking

Por estas fechas ya muchos habrán finalizado los estudios en la escuela o universidad e incluso muchos ya estarán disfrutando las vacaciones de navidad libres del rutinario trabajo. Seguramente estarás buscando algo que hacer en tus tiempos libres, pues muchas veces el no hacer nada es mas que aburrido.

Pues para ese aburrimiento, te sugiero que aprendas un poco de hacking ético, actualmente hay muchos retos en la red donde puedes practicar desde cosas muy simples como programar unos scripts, hasta resolver problemas complicados de criptografía. En mas de una ocasión me han llegado consultas sobre, como hackear una cuenta de alguien, o como acceder a un ordenador e incluso como convertirse en un hacker, y la respuesta es siempre la misma. Olvidate de tu vida social, lee mucho sobre tecnología, practica y pon a prueba esos conocimientos, que con el paso del tiempo , podrás llegar lejos. Así que aca tienes una plataforma en donde puedes iniciar con ese camino, para aprender sobre el maravilloso mundo del hacking, www.retoshacking.es es un sitio donde aprenderás técnicas que te permitirán ampliar tus conocimientos y aprovechar tu tiempo de una mejor forma.

Plataforma de retoshacking.es

Saludos.
Lexer Pars.

miércoles, 11 de diciembre de 2013

En busca de hackers

Hoy navegando un poco por youtube me encontré un documental sobre hackers, donde definen su clasificación, ética, fines y demás que caracteriza su forma de actuar, expresarse y desenvolverse en la sociedad. Así que si aun no puedes conceptualizar bien el termino hacker y aun no puedes identificar o desconoces del tema, te vendrá muy bien informarte del tema y salir de esa tajante idea que la sociedad a utilizado para enmarcar a los hackers de forma general como todos unos delincuentes.



Saludos.
Lexer Pars.

martes, 10 de diciembre de 2013

Email harvesting

Cuando tienes que hacer una auditoria de seguridad informática, el primer paso es recolectar la mayoría información sobre la empresa o sistema que vayas a auditar, y una técnica que siempre tienes a la mano es el email harvesting , que te permitirá obtener una colección de los correos electrónicos que estén colgados en la red.     

Aunque suele tomarse para otros fines en muchos casos, estando a la cabeza el spam, pero para los fines de una auditoria, traerá mucha información jugosa. En muchas empresas asocian los usuarios de sistemas al usuario de correo electrónico, con lo cual puede ser un gran paso. Aunque también puede servirte para un vector de ataque y evaluar cuan maduro es el personal ante un ataque de ingeniería social. 

Utilizando técnicas de la vieja escuela, utilizarías google hacking, navegando en las paginas, sin duda es una opción muy tediosa, ya que puede que la lista de información sea muy extensa y te lleve mucho tiempo obtenerla de esta forma. Para ello hay múltiples opciones que te facilitan el trabajo, como el modulo search email collector de metasploit.

 google hacking a mindef.mil.gt     

Un método tradicional seria buscar en google "@mindef.mil.gt" para buscar correos del ejercito de Guatemala. Utilizando el modulo de metasploit, podemos ahorrarnos este trabajo, no del todo, pero permite obtener mucha mas información en un menor tiempo.
Buscando emails con metasploit en mindef.mil.gt

Elegimos el modulo en metasploit con "use gather/search_email_collector" luego, por medio de "set DOMAIN ejemplo.com" establecemos el dominio. Y por ultimo lanzamos el comando "exploit".

Resultados obtenidos con search_email_collector

El modulo realiza búsquedas por medio de google, yahoo y bing, teniendo como resultado 25 correos electrónicos. Aunque es una forma muy eficaz de obtener información, nunca esta demás utilizar un poco los operadores en el navegador, pues, estos bots se saltan en algún momento alguna información que pueda ser relevante al momento de hacer la auditoria.

Saludos.
Lexer Pars.

domingo, 8 de diciembre de 2013

WikiLeaks para descansar un Domingo

Hoy tras un dia cansado y haciendo algunas pruebas de seguridad y bastante deporte, ya sabes para mantener un poco mas de energía en el dia, que como todo buen informático, es contra nuestra naturaleza, decidí ver un documental sobre Wikileaks que no cabe la menor duda que son los revolucionarios que han tenido un gran renombre contra la censura de la información y que ahora ya cuentan con la película en su honor El Quinto Poder .

No estaría nada mal que te vieras este documental si aun no conoces lo que ha hecho Wikileaks, para crear un gran cambio en la sociedad e internet, ademas de visitar el sitio, quizá te apetezca echarle un ojo a los miles de documentos confidenciales filtrados de los gobiernos.  

 
Documental Wikileaks

Saludos.
Lexer Pars. 

sábado, 7 de diciembre de 2013

WikiLeaks llega el cine

WikiLeaks es el sitio donde están alojados muchos documentos filtrados de gobiernos, que ha llevado a su creador Julian Assange a solicitar un asilo en Ecuador, para evitar cualquier extradición a Estados Unidos donde se le acusa por delitos informáticos y espionaje. 

Hay una película que trata sobre el caso, es interesante y sobre todo entretenida si quieres pasar un buen Domingo, ya que nunca esta de mas dejar a una lado el ordenador y disfrutar de una buena película de informática. En definitiva no se que opines, pero El Quinto Poder, me ha dejado de nuevo la sensacion de que aun hay muchos secretos que tendrán  que salir a la luz. Sin duda cada dia saldrán mas a luz, tomando en cuenta los documentos filtrados por Edward Snowden.

 
Trailer El Quinto Poder

Saludos.
Lexer Parser.

viernes, 6 de diciembre de 2013

Inseguridad en redes inalambricas por tradicion y cultura

Una costumbre muy arraigada en  los usuarios de hoy en dia, es la despreocupación y falta de atención en la seguridad de las redes inalámbricas, pues puede verse que muchas redes acceder a estas es tan sencillo, como la configuración por defecto incluida en algunos routers de Turbonett que trae grandes riesgos, ya que alguien podría realizar un ataque man in the middle y con este hay un abanico de opciones, como un ataque de sesion hijacking.

Otra opción para acceder a una red inalámbrica es utilizando la suite de aircrack, siempre y cuando tu tarjeta sea compatible con esta suite, basta colocar la tarjeta en modo monitor con el comando: 
 airmon-ng start Interface  

Seguidamente utilizamos el comando airodump-ng mon0 o interface modo monitor, con lo cual podremos tener un detalle de las redes disponibles, el tipo de seguridad que esta posee y los clientes que están ligados a estas.

airodump-ng mon0

Una vez hecho esto, queda elegir cual red disponible atacar y capturar el trafico de dicha red, para ello complementamos el comando anterior con las siguientes opciones adicionales.

airodump-ng -c (canal) --bssid (bssid de la red) -w (archivo donde se capturara el trafico) interface

Después es necesario utilizar los siguientes comandos: aireplay-ng -1 0 -a MAC del dispositivo de red interface , aireplay-ng -3 -b MAC del dispositivo interface, después de esto, queda lanzar aircrack-ng Nombre del archivo.

Aca hay una practica realizada en Kali Linux que efectué ayer.
 
Obtencion de clave WEP con suite aicrack

Aunque desde hace ya mucho tiempo se conoce que el cifrado WEP es vulnerable, aun se sigue utilizado en muchos entornos, así que no te arriesgues ha tener invitados no deseados y aun peor, a sufrir algún tipo de ataque, en el cual puedan robar tus credenciales. Cambia tu tradicional WEP, utiliza un cifrado tipo WPA2, que si bien es vulnerable, es mucho mas seguro que el clasico WEP.

Saludos
Lexer Parser