martes, 29 de septiembre de 2009

Así te infecta una Web maliciosa (I)

malware

Tras darnos cuenta de que algo raro está ocurriendo en nuestros ordenadores (lentitud, correos electrónicos tipo SPAM devueltos sin haber sido enviados por nosotros, conexiones a Internet...) y que posiblemente hayamos sido infectados por algún tipo de virus o troyano o malware, nuestro ordenador empieza a realizar sospechosas actividades. Comenzamos a dudar de su integridad: ya no nos obedece solamente a nosotros, ahora también recibe ordenes externas sin nuestra autorización. ¿Qué está pasando? Pero, sobre todo ¿cuándo comenzó a pasar, y cómo nos infectamos sin habernos dado cuenta?

Leer más en diariodeunhacker.com

Hemos actualizado los enlaces Web

bookmarks_list_add-128Acabamos de actualizar todos los enlaces en la sección de Enlaces Web del menú Servicios de este portal. Por supuesto que ésta es una sección viva y que tiene que mantenerse actualizada día a día con nuevas aportaciones nuestras y de los miembros de la Comunidad Diariodeunhacker.com, pero he hecho un primera aportación, en la que simplemente he incluido algunos de los enlaces de los favoritos de mi navegador web, o por lo menos aquellos que considero politicamente correctos para ser publicados. He incluido una breve descripción en cada uno de ellos y el enlace. En un futuro intentaré mejorar el diseño de la presentación, pero el contenido principal ya está. Espero, como siempre, que os guste esta aportación.

Ver los enlaces en diariodeunhacker.com

viernes, 18 de septiembre de 2009

No es hacking pero entretiene


Esta sociedad occidental en la que vivimos, padece graves síntomas de estar perdiendo importantes valores morales, sociales y familiares. Cada día se escuchan sucesos y noticias que no son más que demostración de ello, que simplemente se podrían haber evitado si existieran cierto tipo de valores implícitos en nuestra educación moral. El siguiente vídeo que me han "espameado" presenta ...

Leer más en www.diariodeunhacker.com...

martes, 15 de septiembre de 2009

Los hackers se manifiestan a veces

blogs21sec

Curioso artículo, el que me encontré ayer, hojeando los blogs de otros colegas en busca de información.

La fuente está en el blog de S21sec, empresa dedicada a la seguridad cibernética y a la forénsica, que cuando estaban analizando el código de un troyano bancario (yo suelo hacerlo siempre off-line), se les conectó remotamente mediante una botnet su programador para pedirle explicaciones sobre lo que estaban haciendo, caso que aprovecharon para consultarle sobre su creación y sobre su red o botnet de troyanos.

Leer más... (en diariodeunhacker.com, la comunidad)

Aircrack-ng de estreno

newaircracklogo

La suite aircrack-ng está de estreno completo. Después de casi dos años de desarrollo (1 de ocubre de 2007: primera versión beta 1), se acaba de publicar la versión 1.0 estable con algunas correcciones en el código desde su última release candidate. No cabe duda de que se trata de la única y por tanto, mejor, suite de programas de auditoría de penetración en redes inalámbricas, y nos ha dado a todos los que nos dedicamos a esto muchas horas de estudio y pruebas de concepto.

Leer más... (en diariodeunhacker.com, la comunidad)

domingo, 13 de septiembre de 2009

Todos los programas de Radio en formato Podcast


Desde el año 2007, mis colegas Antonio Ramos Varón y Jean Paul García Morán dirigen un programa de Radio On-Line dedicado a todos los temas relativos al hacking y seguridad en entornos IT. Este programa llamado "Mundo Hacker" ha sido desde sus comienzos grabado y emitido en la emisora de Radio on-line Radiouniverso.es con gran difusión. Desde sus inicios este programa cuenta con otros muchos colaboradores, como Rubén, Maikel, Yanko, Alberto y finalmente yo.

Leer más en diariodeunhacker.com

lunes, 7 de septiembre de 2009

Google se protege contra los hacks

thumb_google1

Durante el último año he estado observando como aparece una página de error de Google en algunos de los ordenadores de mis clientes y amigos. Y me ha extrañado bastante el estilo poco trabajado (casi parece un fake) del logo de Google que incorpora y la poca información que ofrece. Por eso he estado investigando en diferentes foros y blogs, sobre las explicaciones oficiales y las extraoficiales que se dan por Internet.

Leer más en diariodeunhacker.com

miércoles, 2 de septiembre de 2009

Nos hemos adelantado a todos

Ayer martes, publicamos la noticia del fraude del correo electrónico a Hacienda y hoy miércoles me la acabo de encontrar en 20 minutos y ha sido comunicada según ellos por el Ministerio de Hacienda.

Esto significa dos cosas básicamente:

1) que estoy bastante al día con las noticias que recabo.
2) qué desgraciadamente estoy en las listas de correo de todos estos desgraciados.

Procuraremos seguir dando noticias día a día para manteneros informados.

Referencia: http://www.20minutos.es/noticia/508437/0/timo/impuestos/hacienda/

martes, 1 de septiembre de 2009

Hacienda llama a tu correo

Que grata sorpresa, abrir mi correo electrónico y encontrarme un email en la bandeja de entrada de Hacienda (que somos todos), comunicándome que soy "elegible" para recibir una compensación de 186.80 euros.

Vamos mejorando en la composición e imitación de estos correos maliciosos, ya no los escriben monos que no saben ni escribir en castellano, por lo que resultaban totalmente inverosímiles. Pero indicarme que soy "elegible", "elegible" ¿de qué?, no he sido seleccionado para un concurso o algo así. Además si soy "elegible", no he sido elegido, sino que estoy en el bombo simplemente. Bueno, sin darle más importancia al tema, veamos las propiedades del correo, miremos en su interior:

Cabecera de datos:

Delivered-To: asf@sadfaec.com Received: from misiva24.acens.net (localhost [127.0.0.1]) by localhost (Postfix) with SMTP id 382BA296F3D for sadfaec.com>; Tue, 1 Sep 2009 17:44:57 +0200 (CEST) Received: from correo12.acens.net (rs-0-218.acens.net [217.116.0.218]) by misiva24.acens.net (Postfix) with ESMTP id CC32A296F39 for <asf@sadfaec.com>; Tue, 1 Sep 2009 17:44:56 +0200 (CEST) Received: (qmail 21571 invoked from network); 1 Sep 2009 15:44:56 -0000 Received: from unknown (HELO smtp.cantina1511restaurant.com) ([98.21.125.138]) (envelope-sender ) by correo12.acens.net (qmail-ldap-1.03) with SMTP for <asf@sadfaec.com>; 1 Sep 2009 15:44:56 -0000 Received: from User ([72.17.174.90]) by smtp.cantina1511restaurant.com with Microsoft SMTPSVC(6.0.3790.3959); Tue, 1 Sep 2009 11:44:53 -0400 Reply-To: From: "Agencia Tributaria" Subject: Reembolso de Impuestos Date: Tue, 1 Sep 2009 11:44:53 -0400 MIME-Version: 1.0 Content-Type: text/html; charset="Windows-1251" Content-Transfer-Encoding: 7bit X-Priority: 3 X-MSMail-Priority: Normal X-Mailer: Microsoft Outlook Express 6.00.2600.0000 X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2600.0000 Return-Path: impuestos@aeat.es Message-ID: X-OriginalArrivalTime: 01 Sep 2009 15:44:54.0101 (UTC) FILETIME=[2659C850:01CA2B1B] To: undisclosed-recipients:; X-PMX-Version: 5.5.7.378829, Antispam-Engine: 2.7.2.376379, Antispam-Data: 2009.9.1.153318 X-PMX-Spam: Gauge=X, Probability=12%, Report=' CTYPE_JUST_HTML 0.848, HTML_70_90 0.1, CHARSET_CYRILLIC_NO_CYRILLIC 0.05, BODY_SIZE_5000_5999 0, BODY_SIZE_7000_LESS 0, CHARSET_W1251_NOT_CYRILLIC 0, FORGED_MUA_OUTLOOK 0, LINK_TO_IMAGE 0, RDNS_GENERIC_POOLED 0, RDNS_POOLED 0, RDNS_STATIC 0, RDNS_SUSP 0, RDNS_SUSP_SPECIFIC 0, SPF_NONE 0, TO_UNDISCLOSED_RECIPIENTS 0, USER_AGENT_OE 0, __CHARSET_IS_CP1251 0, __CT 0, __CTE 0, __CTYPE_HTML 0, __CTYPE_IS_HTML 0, __HAS_HTML 0, __HAS_MSGID 0, __HAS_MSMAIL_PRI 0, __HAS_XOAT 0, __HAS_X_MAILER 0, __HAS_X_PRIORITY 0, __HTML_BOLD 0, __MIME_HTML 0, __MIME_HTML_ONLY 0, __MIME_VERSION 0, __OUTLOOK_MUA 0, __OUTLOOK_MUA_1 0, __PHISH_SPEAR_STRUCTURE_1 0, __RDNS_POOLED_9 0, __RECEIVED_FROM_USER 0, __RUS_HASHBUSTER_1251 0, __SANE_MSGID 0, __STOCK_PHRASE_7 0, __TAG_EXISTS_HTML 0, __TO_MALFORMED_3 0, __URI_NS , __USER_AGENT_MS_GENERIC 0'

Podemos ver varios detalles en la cabecera. Muy bien lo de envelope-sender (impuestos@aeat.es) o el campo "From" y "Reply". Pero el X-Mailer es Outlook Express 6 y no creo yo que este tipo de correos automatizados se envien mediante este software uno a uno. Lo más simpático es lo de smtp.cantina1511restaurant.com, aquí ya la hemos armado gorda. El SMTP de hacienda se llama cantina1511restaurant (AEAT se dedica a la restauración).

Pero el fin de la cuestión no es el diseño, ni el estilo, ni la cabecera, ni la cantina (por cierto ya he avisado a los de la cantina que tienen un problema de seguridad con el servidor de correo smtp), sino el link, que es a donde se le van los dedos a uno "http://mail.oceanic-fruits.com/", tiene toda la pinta de ser un servidor legítimo pero comprometido.

Miremos en whois a ver de quién es:
[owner-c] handle: 9390906
[owner-c] type: PERSON
[owner-c] title:
[owner-c] fname: Ulrike
[owner-c] lname: Nasri
[owner-c] org: Oceanic
[owner-c] address: Brooktor
[owner-c] city: Hamburg
[owner-c] pcode: 20457
[owner-c] country: DE
[owner-c] state: DE
[owner-c] phone: +49-40-2100790
[owner-c] fax: +49-40-30384399
[owner-c] email:


Además posiblemente el dominio principal no lo esté, sino el subdominio mail. Ahora toca abrir el VMware con mi Windows sin actualizar para ver lo que pasa cuando entro, imagino que es un troyano, pero veamos... Mala suerte, el index no está activo, quizás lo descubrieron y lo borraron o quizás no está todavía activo. Probemos con el teleport. El teleport es un software muy utilizado por los hackers y por los "buenos" para clonar páginas Web, como en este caso la de AEAT. Le pedimos que reciba el contenido de ese dominio y ... ¡Bingo! el contenido del portal malicioso ya está aquí.

No es como pensaba un inyectador de troyano basado en vulnerabilidades, sino un formulario que nos pide datos como el número de la tarjeta de crédito y el PIN y valida el tipo de datos mediante funciones javascript. Tras rellenar el formulario y darle a enviar datos, utiliza una función de envío de datos a un email y nos devuelve una página amable de agradecimiento por parte de Hacienda (http://0126.013624501/ss/submit.php) y nos lleva a la página real de AEAT. Algo muy común para dar en Internet: el PIN de la tarjeta. Esto ya resulta demasiado, pero este tipo de páginas funcionan gracias a la estadística. A millones de envíos de email, alguno pica.

Esto es un ejemplo de como se realiza a groso modo una auditoría de un correo malicioso que nos lleva a descubrir los dominios comprometidos y los receptores de correo del fraude. Estudiando el código fuente de la página o del correo podemos descubrir todos los datos necesarios para abrir una investigación o para alertar a las partes comprometidas, que probablemente el único mal que han hecho es no mantener sus servidores actualizados y seguros.

sábado, 29 de agosto de 2009

Los ordenadores más pequeños del mundo

En este artículos, vamos a repasar los últimos avances en miniaturización para la fabricación de ordenadores. Las posibilidades aplicativas que tienen este tipo de mini-ordenadores son ilimitadas, ya que gracias a su tamaño y su bajo consumo energético se puede implementar en casi cualquier lugar y de forma oculta.

Durante el último año he estado jugando bastante con ordenadores muy pequeños, específicamente estoy trabajando mucho sobre configuración y personalización de Appliances. Un appliance es un pequeño (o no tan pequeño) ordenador que viene preconfigurado para desempeñar una función (normalmente relacionada con el tráfico de red, como cortafuegos, enrutadores, hotspots Wi-Fi, balanceadores de carga, etc.). Este es un mundo muy interesante, puesto que las posibilidades de configuración de un pequeño ordenador con varias interfaces de red, son ilimitadas, sobre todo si lo hacemos sobre sistemas operativos tipo *nix (Linux principalmente).

Se me ocurrió la idea de crear un pequeño appliance, cuya función principal fuera hacer de servidor de RADIUS (basado en FreeRADIUS) para realizar el proceso de autenticación de puntos de acceso inalámbricos Wi-Fi o Wi-Max, o incluso de equipos de una red local cableada, mediante sistema NAC. Este appliance debería funcionar sobre Linux instalado en una tarjeta CF y permitir realizar toda la gestión desde una consola Web segura o mediante SSH. Así lo hice, y quedó perfectamente funcional: éste es uno de esos proyectos que nos mantienen entretenidos y entrenados.
Probé a realizar otros tipos de appliance (algunos sobre los que aún sigo trabajando) para el control e interceptación de tráfico de red inalámbrica, más en concreto sobre una sonda remota de monitorización de redes Wi-Fi. Durante todo este proceso he estado en contacto con un tipo de hardware que hace unos años desconocía, pero que me ha dejado bastante asombrado en cuanto a las prestaciones, precio y calidad. Sin embargo, esto no es más que el principio de lo que se puede encontrar actualmente en el mercado de la microinformática.

Hojeando de vez en cuando el hardware nuevo que va apareciendo, me he encontrado con los ordenadores más pequeños del mundo, y realmente merece la pena dedicarles un artículo aquí. Pero, ¿qué relación tiene esto con el hacking? Pues toda la que se le quiera dar, ya que cuando vean el tamaño de estos ordenadores, se puede ver el potencial de ocultación que tienen. Podemos llegar a meter un ordenador completo en una caja de pared (roseta de un enchufe), con todas las posibilidades que tiene la informática, mediante la construcción de un appliance u ordenador dedicado a tareas de hacking de forma totalmente automatizada mediante scripting.

Encontrar un ordenador en la roseta de un enchufe... hasta allí tendremos que llegar en un cercano futuro para las instalaciones empresariales (e incluso domésticas). Imaginen una empresa con gran cantidad de puestos de trabajo ligeros, de tipo terminal, en la que no existan las típicas torres o semitorres que molestan en todas las mesas o suelo. Todo va conectado a la pared directamente. Resulta un invento que promete un gran futuro. Se llama Jacket PC y está fabricado por una empresa israelí llamada Chip PC Technologies. Sus especificaciones son de las más completas de todos los modelos aquí presentados: Procesador hasta 1,2 Ghz, 4 puertos USBs, conector de audio, microfono y teclado. Su sistema operativo es windows CE .NET 4.2.


Este es el fit-pc y lo que llama directamente la atención de él, es su interface inalámbrica Wi-Fi que siempre es un valor a tener en cuenta a la hora de decidirse por un equipo de este tipo. Se me ocurren mil posibles aplicaciones para este mini equipo. Observe el tamaño de las llaves del coche; impresiona su tamaño. Sus características incluyen un procesador AMD Geode a 500MHz, 512Mb de RAM, disco duro de 60Gb tamaño 2.5 pulgadas, Ethernet, Wi-Fi, tres puertos USB, VGA y entrada y salida de audio para auriculares y micrófono. Se podrá comprar en breve con sistema operativo Ubuntu o Windows preinstalado.


Este es el linutop, un equipo, como su nombre indica, desarrollado sobre y para Linux. Se trata de un equipo totalmente funcional con la versión de Linux Linutop preinstalada con todas las aplicaciones básicas para uso de escritorio (entorno gráfico, navegador de Internet, correo electrónico, calendario, etc.). Es un ordenador transportable, que no portatil, para los entusiastas de Linux.

Especificaciones:
Processor: AMD Geode LX700 (x86) • Memory RAM: 256 MB
• 4x USB 2.0 ports
• Audio in & out
• Network: 10/100baseT Ethernet (RJ-45)
• Video: VGA output (SUB-D15)
• Size: 9.3 x 2.7 x 15 cm (3.66x1.06x5.9 in)
• Aluminum Case
• Power: DC in 9V - 1,5A (5W)
• Voltage Range: DC in 9V - 16V
• Operating temperature 10°-40°C
• Operating humidity 10%-90%
• Weight: 280 gr (9.9 oz)


Este mini cubo de unos cinco centímetros y medio (2,2"") por lado es prácticamente un llavero ordenador con unas características bastante interesantes para cierto tipo de aplicaciones basadas, como siempre en Linux. Se llama Space Cube y es un completo ordenador que utiliza tarjeta CF como disco duro y que puede mostrar por su tarjeta gráfica una resolución de hasta 1280x1024 pixels. Por su tamaño y forma parece más un hub USB que un completo PC, pero dispone de un procesador de 300MHZ, y 16MB de memoria flash, junto con un slot para tarjetas CF y 64 MB RAM. Viene preinstalado con Linux Red Hat.


El cargador de móvil que ven abajo, no es exactamente un cargador de móvil, pero sí que es un ordenador completo en forma de cargador. Su nombre es Marvell SheevaPlug y es un mini ordenador gestionable desde un entorno Web, ya que no lleva salida de pantalla. Sus especificaciones incluyen un procesador de 1.2GHz ARM, 512 Mbytes de memoria flash dedicada al almacenenamiento y otros 512 Mbytes de memoria RAM, puerto Ethernet de 1 Gigabit y un puerto del USB 2.0. En su configuración inicial hace de servidor de almacenamiento, detectando cualquier disco duro o dispositivo de almacenamiento USB que se conecte a él, para compartirlo en red, tanto desde la red interna como desde Internet. Viene precargado con Linux.



Y en último lugar, fíjense como se puede integrar un ordenador de limitadas prestaciones en un conector de red RJ-45. Se llama picotux y como su nombre indica, está basado en Linux. Aunque sus especificaciones son muy limitadas, impresiona el tamaño y su capacidad de ocultación. Su defecto, a mi parecer, es el hecho de que solo incorpora una interface de red. Si tuviera dos, aunque doblara su tamaño, tendría más posibles aplicaciones prácticas.

Especificaciones:
Procesador 32-bit ARM 7 @ 55 MHz
2 MB RAM Flash
8 MB SDRAM
Ethernet: 10/100 Mbit
Serial (TTL): Up to 230.400 bps
uClinux 2.4.27 Big Endian (native)
Shell: Busybox 1.0 and others File Systems: CRAMFS, JFFS2, NFS Applications: Webserver, Telnet
Size of the Linux Systems in Flash: 720 KB and more
Protected Bootloader for Update over Network: 64 KB
Code Development System: GNU Tool chain Compiler GCC 3.4.4 for C/C++ and Fortran Binutils 2.15 Library: uClibc 0.9.26


Personalmente uno de los principales requerimientos que exijo a la hora de buscar un equipo de este tipo, es que esté basado en procesadores x86, ya que son los más compatibles a la hora de personalizar el sistema operativo y aplicaciones que vayamos a utilizar. Si bien muchos de estos equipos se basan en procesadores ARM, Xscale y similares, cuando se precisa de alguna aplicación concreta para ellos en Linux debemos recompilarla mediante técnicas de crosscompiling, y aunque esto no sea lo más complicado del mundo, es bastante tedioso hacerlo. Sin embargo, al estar basados en x86 o tecnología basada en Intel, todo funciona sin necesidad de tanta pérdida de tiempo. Aun así, debo aclarar que hay repositorios en Internet para muchos sistemas operativos basados en Linux, que ofrecen infinidad de programas y paquetes precompilados para estas plataformas.

Otro gran inconveniente todavía hoy, es la interface utilizada para la salidad de video, o VGA. Tener que utilizar ese conector de 15 pines de gran tamaño para conectarse a una pantalla, es un gran inconveniente para la miniaturización de estos equipos. Ahora algunos monitores disponen de HDMI que es más pequeño, pero algún día podremos disponer de salida de video inalámbrica, o eso espero.

Todo esto que hemos visto en este artículo no es real, y se autodestruirá dentro de 15 segundos. No lo piensen. pero realmente parece sacado de una película de James Bond.