Así queda una página hackeada

El otro día navegando por Internet, en busca de plugins para nuestra comunidad hacker, me encontré con esta página (www.tkcoms.co.uk) que aparentemente corresponde a "The dynamic portal engine and content management system For Oxford Bus Photography Club", que pertenece en principio a un club fotográfico.

El mensaje "The dynamic portal engine and content management system" es un slogan estándar del conocido sistema de gestión de contenidos Joomla o Mambo en el que está programado también nuestro portal www.diariodeunhacker.com , lo que demuestra provablemente que la página fue hackeada por una de las vulnerabilidades aparecidas en este CMS (Content Management System) recientemente.

Los hackers se dedican a buscar mediante el buscador Google páginas Web al azar que tengan una característica determinada, como por ejemplo que sean vulnerables a un fallo de seguridad publicado en Joomla que sea relativamente fácil de explotar. Para ello, introducen en Google términos como el Slogan que aparece por defecto en Joomla "The dynamic portal engine and content management system". Un programador poco precavido no ha limpiado esas referencias de la página, y por lo tanto, casi seguro que tampoco ha actualizado la versión de su portal para parchear esas vulnerabilidades publicadas. Se debe limpiar cualquier dato que haga referencia directa al sistema que tienes y especialmente a la versión instalada; en Joomla los hackers buscan el directorio "/administrator" de las páginas, para saber si están hechas en este sistema, ya que utilizan esta denominación para el directorio de Administración del CMS. Así que el hacker prueba los exploits para esas vulnerabilidades y vôila... acceso a su contenido.

En el caso de esta página hackeada, han actuado de forma relativamente ética, ya que han sustituido o modificado la página índice “index” original por otro nuevo en el que se simplemente se muestra mediante el comando HTML (HREF="http://i320.photobucket.com/albums/nn332/aamb92/Flagnicaragua.gif") la bandera de Nicaragua y el nick "NHAXERS TEAM by Charly" de forma que en el código, los buscadores no indexan su nick, ya que está incrustado en la imagen. Lo que sí queda en el contenido de la página es una referencia a la foto en photobucket.com y los términos Nicaragua, Managua y hacked. Esta técnica de hackear páginas web y cambiar su portada, sin ser demasiado agresivos, ni introducir malware en ellas, se denomina"deface" o quitar su cara original.

Si buscais NHAXERS TEAM en Google encontrareis un gran número de páginas "defaceadas" como esta "http://defaced.zone-h.net/defaced/2009/05/14/www.proju.com/php/" o como ésta "http://www.zone-h.org/archive/defacer=Nhaxers%20Team" donde se muestran algunas de sus víctimas y de otros hackers. Este portal es una base de datos con capturas de las páginas "defaceadas" (más de 700) de todo tipo de organizaciones públicas y privadas, además de un blog con sus principales logros. Por cierto, el propio Nhaxer tiene su blog en blogspot: http://nhaxers.blogspot.com/ y un foro de amigos en http://nhaxers.co.cc/.

Este tipo de técnicas como el deface, no se consideran en la comunidad del todo dañinas, ya que alertan a los administradores de los portales sobre sus fallos de seguridad, sin dañar su contenido, aunque en este caso el administrador debe de estar de vacaciones todavía. A los administradores de CMS como Joomla, deben estar suscritos a los boletines periódicos sobre seguridad y vunerabilidades que emiten los propios proyectos y mantenerse actualizados para evitar este tipo de cosas que sin llegar a ser tan dañinas, nos dejan con los colores subidos de la vergüenza.

PS: Hay que hacer copias de seguridad, preferentemente programarlas, y guardar el contenido de esas copias fuera del portal. Recomiendo el Jpack para Joomla que tiene una aplicación remota para realizar copias de seguridad. Hay que actualizar el portal y leer los boletines de seguridad, tanto en el software principal como en los plugins. Borrar las referencias al fabricante y versión, además de instalar un software que nos avise de cambios en la estructura y archivos base del sitio.

La fuente de la felicidad

No sé si recordais ese anuncio de Coca-Cola cuyo slogan era algo así como la fuente de la alegría. Pues esta marca de refrescos ha dado un paso más allá y ha fundado hace un año el Instituto Coca Cola de la felicidad que cuenta con un plantel de personalidades de las ciencias y de la psicología. Entre ellos cabe destacar la participación de Eduard Punset que ha participado entre otras cosas con un magnífico programa de su serie Redes en TVE que precisamente trata junto con un prestigioso psicólogo de la Universidad de Nueva York (Gary Marcus) sobre la búsqueda y el camino para hallar la felicidad. Creo que ver este documental es una obligación casi, y en mi caso lo he visto varias veces, y lo volveré a ver.

La forma en que está realizado tecnicamente es fantástica, pero el contenido no merece perder un segundo de nuestra atención. No es hacking...pero divierte. Este y otros documentales los podeis encontrar en el blog de Punset.

Haga click para comenzar

Ya tenemos muy avanzado nuestro nuevo portal

Hemos estado toda la semana trabajando en la creación y puesta en funcionamiento de un nuevo portal de contenidos CMS basado en la estructura de este blog pero con grandes mejoras en cuanto a funcionalidad y contenidos. El trabajo, a pesar de ser muy operativo en este momento, no está más que al principio de sus perspectivas. Pienso introducir un sistema de usuarios tipo red social, que sirva como lugar de encuentro de un grupo de amigos dedicados profesionalmente a estos temas de Seguridad y Hacking ético. Además deberá disponer de un foro de intercambio de información, sobre temas profesionales. Y como tal portal de contenidos, me gustaría (ya está en funcionamiento) establecer una disciplina de publicación de noticias y artículos relacionados con este mundo. El portal dispone también de una agenda de eventos en los que podamos compartir fechas interesantes a nivel profesional (ferias, conferencias, reuniones, cursos, etc...). Compartiremos enlaces, blogs, feeds, referencias importantes, manuales, programas, comentarios, artículos y mensajes entre nosotros. Bienvenidos a nuestro futuro portal.

No dejes de visitar la beta de : http://www.diariodeunhacker.com/

Importantes ataques de DDoS a Twitter, Facebook y Google

En la madrugada del jueves 6 de Agosto se han producido importantes ataques de denegación de servicio contra los portales de Twitter, Facebook y Google en sus principales sedes. En el caso de Twitter, el ataque causó la perdida de servicio completa, impidiendo a los usuarios acceder a sus cuentas durante varias horas. Facebook causaba importantes retrasos a los usuarios que querían acceder a sus perfiles. A pesar de estar ya operativos, al descubrir el ataque e intentar luchar contra él, siguen con ciertos problemas operativos durante el día. Google simplemente ni confirma ni niega estos ataques, pero ofrece su colaboración para descubrir a los culpables de los mismos. Las páginas populares, especialmente las de Web 2.0, están siendo habitualmente víctimas de este tipo de ataques, dificiles de controlar y probablemente causados por redes de zombies como Botnets. Sin embargo existen muchos otros medios para causar DDoS mediante ataques a enrutadores, servidores Web, cortafuegos, servidores DNS, etc.

La lucha contra este tipo de ataques es muy complicada y especialmente cuando se basan en redes zombies como Botnets, ya que los ataques no se realizan de forma localizada desde una IP o grupo de IPs, sino desde muchas partes del mundo. Está claro que ésta será una de las principales amenazas de los próximos años hacia objetivos seleccionados de todo el mundo (desde intereses económicos, redes militares o gubernamentales, etc.

Por cierto, hoy día 7 por la mañana sigo teniendo ciertos problemas para poder entrar en Twitter. Quizás sea otro de estos ataques de DDoS que sufro desde la ADSL de Telefónica que no me deja trabajar a la velocidad que pago...

El periódico El País ha publicado esta notica en su edición impresa y en la digital: leer mas.

La seguridad criptográfica vuelve a temblar

Me causa un nudo en el estómago leer noticias como la que acabo de encontrar publicada en Internet: El sistema criptográfico AES empieza a desestabilizarse ante nuevos ataques matemáticos de un equipo formado por las eminencias Alex Biryukov, Orr Dunkelman, Nathan Keller, Dmitry Khovratovich and Adi Shamir.

Si bién éste no es el primer ataque contra este algoritmo, si que se convierte en uno de los más prácticos que funciona principalmente sobre AES-256 mejor incluso que sobre AES-128, debido a las relaciones matemáticas más intensas sobre tipos de AES utilizados para cifrar datos en bloques que trabajen sobre tipos de AES de 10-11 rounds (iteraciones). Esto hace más vulnerable a datos grabados mediante cifrado, como discos duros, etc... Aunque si se aplica la norma completa de seguridad AES que implica hasta 14 rondas en el proceso e incluso se utiliza AES-128 en vez de 256, se impide el ataque. Aumentando el número de rondas, también se dificulta o impide este ataque (se pueden ampliar hasta 28 rondas).

Otro paso más hacia la ruptura de AES, wow.

Leer más: artículo completo.

Los mejores hackers del mundo casi hackeados

Dicen que si estás entre la élite del hacking debes estar en la Feria DEFCON en Las Vegas. Yo no sé si, es que realmente no estoy entre los mejores, o simplemente que no me alcanza el dinero para llegar a fin de mes, y mucho menos para darme el lujo de asistir a esa reunión. Pero bueno, desde mi tristeza de no estar allí, contemplo con humor la noticia que he podido leer.

Han instalado un falso cajero automático en el Hotel donde se celebra esta reunión anual (Riviera Hotel Casino) con el fin de robar información (número de tarjeta de crédito y PIN code) de los incautos que lo utilizaron para sacar dinero. Este falso cajero (fake) debía imitar muy bien a los reales, ya que casi no se dan cuenta de la estafa, hasta que alguien notó que el color de sus luces y el brillo de su pantalla no eran exactamente como los originales. Por otra parte, habría que felicitar al personal de seguridad del Hotel que no notó ni su existencia, ni el tiempo que debieron utilizar para su instalación, y todo eso a pesar de estar cerca de la oficina de seguridad del Hotel.

Por otro lado, la profesionalidad de los que lo instalaron queda demostrada por no haber sido registrados por la cantidad de cámaras de vigilancia de las que disponen estas instalaciones. Hay que tenerlos bien puestos para hacerlo durante la semana en la que se celebra la mayor conferencia de seguridad del mundo.

Un regalo para los frikis

En conmemoración del 40 aniversario de la llegada del hombre a la luna (o de los hombres, ya que fueron más de uno) se ha publicado aquí el código fuente del programa que controlaba el módulo de mando de la nave Apolo XI y ha sido declarado OpenSource. Para aquellos que están estudiando programación es una joya a estudiar, ya que define la programación que fue avanzada hace cuarenta años. Además disponeis de un emulador del ordenador de a bordo para poder ejecutar el código y probar vuestros propios aterrizajes "lunares?".

A ver quién encuentra algún bug o vulnerabilidad en el mismo. Por cierto los comentarios de los usuarios de la página anterior no tienen desperdicio, creo que son mejores que el propio código fuente.

Un gran sistema operativo en Web para todos

Hablando con un colega de trabajo, me enteré de la existencia del sistema operativo EyeOS que es uno de estos proyectos libres de sistema operativo basado en Web. Si bién no considero que sea totalmente un sistema operativo, sí que se comporta como tal, de forma que los usuarios acceden mediante su propio usuario y contraseña a un escritorio personalizable y disponen de aplicaciones de oficina y de otras muchas utilidades que pueden utilizar, instalar y configurar. Este tipo de sistemas como fueron WebOS o el futuro proyecto Chrome OS son muy prácticos para un perfil de usuario móvil que quiere disponer de su propio entorno operativo con sus documentos y programas disponible desde cualquier ubicación que tenga acceso a Internet. Además EyeOS permite acceder desde cualquier navegador, tanto de escritorio como desde equipos móviles como iPhone. Para todos aquellos que quieran probarlo y jugar un poco con él pueden hacerlo desde la propia Web del proyecto http://www.eyeos.com/ o desde mi página diariodeunhacker.com/eyeOS que estará disponible en línea unos meses.

Este tipo de sistemas se definen por su estructura de red como sistemas "Cloud Computing" ya que permiten crear estructuras descentralizadas tanto públicas como privadas. EyeOs ha sido calificado por la comunidad SourceForge como proyecto del mes por su calidad, premio más que merecido para este desarrollo español gestionado desde Barcelona desde hace ya más de cuatro años.

EyeOS dispone de toolkits específicos para personalizar el sistema para su uso privado o profesional que hacen que sea más facil de integrar y que permiten la programación de nuevas herramientas o gadgets. Además dispone de su propio repositorio de herramientas y traducciones a 20 idiomas, que el nuevo usuario puede seleccionar. Se puede descargar el instalador desde la página web del proyecto e instalarlo muy facilmente en cualquier servidor tipo LAMP privado o en un hosting típico. Gracias a sus desarrolladores y mucha suerte con este proyecto español (Daniel Gil).

Ya tenemos dominio

Aunque todavía no es del todo un gran salto cualitativo en este blog, ya disponemos del dominio "diariodeunhacker.com" que de momento está redireccionado a blogspot (blogger) para que el que prefiera teclear esta dirección pueda acceder directamente a este blog. Tengo planes de futuro para este dominio, que pretende colgar otros contenidos además del propio blog. Pero esto ya se irá viendo en próximas fechas. Proyectos, proyectos y más proyectos... las ideas me fluyen y espero que el tiempo para llevarlas a cabo me acompañe. Gracias de nuevo a todos los visitantes.

No es hacking, pero divierte...

Esta semana, a pesar de que ya no acostumbraba ver este programa en la tele, me quedé (mientras zapeaba) viendo un capítulo de la serie "Camera Café", que a mi parecer ya había ido perdiendo cierto encanto, y sin embargo quedé sorprendido de nuevo por la calidad de este capítulo. Quiero pensar que ya se han vuelto a poner las pilas y vuelven a tener guiones bastante entretenidos, y esto es sólo una muestra. Pero el punto álgido de todo el capítulo fue este rap, que de forma especial dirige y guioniza el grupo rapero SFDK de forma espectacular y divertida. El video que incorporo aquí no tiene desperdicio. No se lo pierdan.