jueves, 31 de marzo de 2016

Para tener Instagram privado, tus fotos son muy bonitas

Es frecuente encontrarse con perfiles de Instagram privados, de los cuales no puedes ver ninguna foto hasta que no le envíes una solicitud de seguimiento y la persona con el perfil privado te acepte, pero ahí está la gracia, te tiene que aceptar la solicitud o sino, no ves sus fotos...¿O sí las puedes ver sin seguir a esa persona?


Hay una cosa que me hace mucha gracia cuando hablo con gente poco experta en informática, pero que siendo poco experto/a, creen tener una verdad absoluta de todo. Y con todo esto, hace ya unos 2 años, me llegó el caso, de una persona que creía que otra le estaba suplantando la identidad-cuando la suplantación de identidad en el código penal no existe, lo que existe es usurpación del estado civil, que es muy diferente- y fue a denunciar a esa persona, con las siguientes pruebas:

-Ha creado un perfil falso con mi nombre, le dije que lo pillé y a las horas, se borró.
-Hay fotos mías en ese perfil que NO HE SUBIDO YO a NINGUNA RED SOCIAL y que no dispongo de ese material, ni en ordenador ni móvil.
-Sé que es esa persona, porque el perfil falso, a la primera persona que sigue es al que estoy culpando

A mí, e preocupó el segundo punto sobre todo, ya que si han subido una foto que no ha subido ella a ninguna red social, es que se han metido en su ordenador o móvil y podrían estar sacando más que fotos, pero claro, leyendo después que es que tampoco las tenía ni en ordenador ni móvil, pensé que era un mago. eso, o que era un tipo como el criminal que desnudó a las famosas.

Antes de continuar, hay que decir que como la suplantación de identidad NO EXISTE en el código penal y si la usurpación del estado civil, hay que explicar este matiz. Pues bien, la usurpación del estado civil es falsificar TODO, y cuando digo todo es todo, incluido árbol genealógico, aspecto físico, todo.

Después de esto tocó mirar sus redes sociales a ver si ea verdad que ella no subió ninguna foto de las que hay en el perfil simulando ser la víctima, bueno, pues menos mal que ella no subió ninguna de esas fotos, porque en 3 minutos ya las encontré todas, en el perfil de la "supuesta víctima", y otras, en los perfiles de sus amigas, así que el segundo punto desmontado, esto podía ser una trampa al supuesto malo.

Y bueno, ni hablo del primer y tercer punto que le valía como prueba, ya que sí, se lo dices y a las horas lo borra, pero puede ser que no sea él, sino un conocido que se lo contó una vez. Y el tercero...si esa regla de 3 se cumple siempre, yo en realidad soy Nike que e hago pasar por Manu Alén.

El caso es que ayer me empecé a interesar de nuevo en este caso y e puse a buscar a la demandante por redes sociales y vi que se quitó el Facebook, lo que me hizo sospechar un poco. Me tiré la tarde buscándola por redes sociales y di con que seguía teniendo Twitter y descubrí que  en estos 2 años se hizo Instagram. Lo mejor es que en aquella época entre fotos de Facebook, Twitter y Tuenti, acuuló 12.096 fotos, normal que no sepa ni qué foto publica.

Pero lo interesante comienza cuando veo que su cuenta personal de Instagram, es privada y por consecuencia, no permite a la gente ,que ella no acepte, que vea sus fotos. Esto me hizo darme cuenta de que aprendió la lección de que si dejas tu vida expuesta para que todo el mundo vea tu vida y subes contenido que no te gustaría que nadie más vea, tienes un problema grave.


Como veis he censurado datos como su nombre de usuario y su nombre en sí por motivos de privacidad, pero veis que la persona cuyo nombre empieza por "E", es privado y no podemos ver ninguna foto, sólo que tiene 203 publicaciones.


Todo parecía ir bien, pero mi fe en el ser humano, desapareció cuando dando con su Twitter PÚBLICO, podemos ver entre todos sus Tweets, algunos en los que aparece un enlace a Instagram, esto es mala idea ¿y por qué? Pues porque lo más más normal y lógico, es que si tienes Instagram privado para que solo vean la foto aquellas personas que tú se lo consientas, no publiques el enlace de tus fotos a tu Twitter o Facebook público, que ocurre lo siguiente.


Como veis, podemos observar la foto, hacer captura, ver los comentarios, ver los me gustas, e incluso la localización desde donde se tomó la foto. Todo esto sin necesidad de seguir a esta persona en ninguna de sus redes sociales. Y si os lo preguntáis, la demandante es la del en medio, os lo he indicado con una flecha.

Lo que más me llama la atención, es que está estudiando criminología, y que se le pase detalles como éstos, ya que si esta persona demanda lo que demandó y ahora un tío como yo metido en el mundo de la seguridad, muestra al señor juez que las fotos que dice no tener subidas realmente si tiene subidas o que si reclamase que el "presunto criminal" ha entrado en su cuenta para así ver sus fotos, desbloquearlo o quita ese perfil de ser privado por un momento o lo que sea, y le muestra lo siguiente, le muestra lo sencillo que es ver sus fotos que ella "no consiente ver a todo el mundo", y que gracias ella, puede ver todo el mundo.

Además, si conociésemos si nuestra víctima, usa hastaghs, podríamos buscar sus fotos de esta manera, o mejor todavía, utilizando los trocitos de información que podemos sacar de sus diferentes  redes sociales, podríamos crear una cuenta de Instagram falsa con un nombre como "Criminologos Sin Fronteras"....bueno, y sin seguridad ¿irónico verdad?

Bueno, también podríamos irnos cerca de donde ella viva, que si suele dejar la ubicación en las fotos no será muy complicado, eso, o bien, como en su descripción, ella dice que estudia en la Universidad tal, podríamos ir allí, crear un red wifi cualquiera y cuando creamos tener a la víctima, le podríamos enviar (con ingeniería social, ya sea que por ejemplo, por Twitter decirle que entre en un sorteo de criminología, o que se descargue la app "Criminólogo Hackeado" etc, etc, para así si se registra y da la casualidad que usa la misma contraseña para todo para que no se le olvide o usa un método para recordarla podríamos entrar en su cuenta, o bien, que esa app nos de la contraseña directamente, o una app simulando ser Instagram y le enviamos un correo simulando ser Instagram y le decimos que actualice,etc. Para ingeniería social, colores) un tweet coo este que he creado en 3 segundos.


Por desgracia, comprometer la vida de una persona utilizando diferentes métodos para suplantarle la identidad, sacarle datos, etc. es sumamente sencillo, y todo porque en los colegios o institutos no se forma adecuadamente a la gente. Y esa es mi pelea con el sistema actual. Y claro, es volver al tea creer que algo es cierto o falso-en este caso la suplantación- basándose solamente en puras creencias y en no comprobar, y para más inri, siempre es la causa la ala formación en seguridad informática.

Hasta la Próxia alvados!

miércoles, 30 de marzo de 2016

Riot Games es inseguro y lo sabes


Ayer ya hablé algo sobre videojuegos, y salió en una de las capturas, un tío jugando al League of Legends, y eso me motivó para ir a investigar cómo llevan la seguridad la gente de Riot, que es la empresa de League Of Leaguends, además tengo sabido que los servidores de Riot Games, tienden a caerse con facilidad, pues ahí ya está la primera vulnerabilidad, se les puede realizar DDOS.

Así que me puse a investigar un poco, ya sabéis, un poco con sus metadatos y me encontré cosas curiosas y que me llamaron bastante la atención.


Para empezar, me encontré con un usuario que había escrito todos los documentos que la FOCA había encontrado, pues lo busqué en redes sociales, y di con su Twitter, con lo que si lo investigo y veo que cosas le gusta, podría preparar un Phishing bastante bonito. Pero eso no es lo importante, lo importante es que me puse a leer su biografía y en la primera línea leí "Support Main" y yo "No, no pude ser que este tío sea de soporte y se deje metadatos en sus documentos", hasta que después caí que eso es una forma de jugar a este juego y que los jugadores lo llaman a así, Main Support, el susto que me metí no fue normal.


Aún así, muy mal,  ya que su biografía dice que es "Especialista de Contenido en Riot Games, y vemos que usa un sistema desactualizado, de esos que no dan buena imagen . Con lo que se le podría preparar un malware específico y empezar a atacar a su organización.


Y después, pues hice algo que me encanta hacer siempre, que es pasar una web por Archive y escribir "/*", detrás de la web que esté auditando, para que me devuelva todos los resultados históricos, tales como PDFs, archivos de texto...o bases de datos claro.


Y después, ya me quedé sin más tiempo y miré que tenía unos cuantos Juciy Files y fui a ver y di con un sitio de login que iba en HTTP, algo bastante malo ya que obtener contraseñas de una persona que se meta en la zona de soporte -en este caso-, sería tan sencillo como conectarse a su misma red wifi y abrir un analizador de tráfico de red tipo Wireshak y quedarse a la espera, o sino, un Phishing y listo.


Así que también vemos que no hacen uso del protocolo HSTS, lo que nos hace más secillo los vectores de ataque hacia esta empresa o un usuario que quiera entrar en su cuenta. Por eso, hay que estar con mil y un ojo y atento a ver si te pueden atacar o sino lo están haciendo ya.

Hasta la Próxima Malvados!

martes, 29 de marzo de 2016

¿Me dejas que vea cómo juegas y chateas o uso Shodan?



Normalmente no suelo tener tiempo para ponerme a jugar a videojuegos, que me encantan, sobre todo The Legend of Zelda, que tengo casi todos los videojuegos, pero como digo, no suelo tener tiempo para tirarme un día entero jugando a Zelda, Hearthstone, TCG Pokemon, a sagas de Pokemon, Metal Gear, Batman,etc y etc. Y eso hace que pierda bastante vida social con colegas míos que son tan amantes de los videojuegos como yo. Pero yo como no sea que me ponga a jugar cuando termine de todo a las 2 de la mañana, no hay manera, y evidentemente, tengo que dormir por lo menos algo.

Por eso, y si tengo algo de rato libre, lo cual no suele suceder, pero de vez en cuando se da, veo a gente jugar a este tipo de videojuegos ya sea en Youtube, Twitch o donde sea, sino le dedico 10 minutos a jugar yo mismo.

Pero estaba yo hace unos días y se alinearon todos los planetas para que tuviese un poco de tiempo y dije "¿ Y si directamente busco si hay gente con los VNC abiertos y los veo a ellos jugar en directo sino puedo y me meto yo?".


Así que era tan sencillo como entrar en Don Google y pedir que me lleve al Lord Shodan y me muestre el camino de un jedi, aunque sea un Lord Sith, pero todos amamos a Darth Vaider y al final es más bueno que nadie.


Bueno, sí, este VNC Holandés está muy bien, pero yo lo que quería era buscar a ver si hay gente jugando y puedo informarme de las novedades en videojuegos para socializar. Hay que continuar la búsqueda.


Que sí, que sé que este VNC de Corea es interesante porque este tío tiene el Android Studio descargado, lo que nos puede hacer pensar que es desarrollador o Hacker que lo tiene descargado para auditar mejor las apps de Android, si se da que es lo primero, típico, el programador que se preocupa más del código que de la seguridad, si por consiguiente se da que es lo segundo, que alguien me sujete. Pero no te despistes de tu objetivo, yo venía a ver si hay gente jugando.


A ver, es cierto que los Coreanos son buenos en juegos de estrategia, pero si me sacas servidores VNC de Corea, ponme a un tío que esté jugando, que lo quiero ver yo o carrylearle un poco y que se piense que es un fantasma.


Aquí casi caigo en quedarme mirando a esta persona que estaba en su Facebook y donde se le ve bastante enamorado, pero me di cuenta que se me estaba terminando el tiempo libre y me puse a buscar como loco, hasta que al final, lo encontré.


¿Escucháis eso? es el We are the Champions sonando de fondo, finalmente encontré a un tío jugando, en este caso al League of Legends, pero por desgracia ya sólo me quedaba 1 minuto de tiempo libre y además tampoco me iba a quedar más tiempo espiando, ya que solamente quería invertir ese rato libre en responder a mi pregunta. Y así terminó mi tiempo libre, este es el problema de que te apasione la seguridad, que aprovechas en este mundo hasta 10 míseros minutos en responderte dudas. Me encanta.

Hasta la Próxima Malvados

lunes, 28 de marzo de 2016

Viva er Beti manque no Pague

Vanos hoy con un poco de hacking para olvidarnos de tantas cosas malas que hay en este mundo. Sabéis que cada vez que puedo, le dedico un poco de tiempo a buscar en webs a ver si tienen los listings abiertos o ver sus juicy files para ver si se puede sacar algo interesante.

Esto lo suelo hacer porque normalmente si buscas en Google, Bing, etc, no te aparecen todos los documentos, pero incluso utilizando herramientas tampoco tienes todos los documentos. Por eso la experiencia me ha hecho ver que debo rebuscar y después, volver a rebuscar, ya que cada día, hay información nueva, y para hacer una buena auditoria, hay que estar al tanto de toda o sino casi toda la información que sale pública y que es esa información la que finalmente utilizan los malos.


Pero que no os engañe el título, no sé si el Betis paga o no paga, eso se lo dejo a los señores de Hacienda, que cuando se terminen el café, se pondrán a pedir otro café y ya después, ven que es hora de volver a casa, pobres.

Así que como ayer domingo creo que se terminó la Semana Santa, y en Andalucía, donde tiene mayor importancia este acontecimiento es en la Capital de Andalucía, en Sevilla, pues pensé que serían unas buenas risas buscar los listings del Betis, y si os digo la verdad, no tengo ni la menor idea de por qué pensé antes en el Betis que en el propio Sevilla, pero bueno, como sé que Béticos y Sevillistas se llevan tan bien, sé que no les importará que busque los listings de sus vecinos.


Así que había que buscar un poco a ve qué podía encontrar que fuese merecedor de una entrada en el Blog, así que buscando en el baúl de los recuerdos, uUu, después buscando en el mar, en las montañas y en el cielo, fue cuando en el corazón de sus webs, encontré el mapa de los documentos, y como veis, cuando hice la captura ya había abierto unos cuantos.




Y me encontré con muchos documentos, y mirando entre "puntos del día", con lo que podrías ver si de verdad se preocupan por lo que pide la afición, entre "pliegos" , me llamó la atención los documentos llamados "Presupuestos" y "cuentas".


Pues lo abrí y no sé por qué, en el documento que pone cuentas, me aparecen el dinero que invierten en...perdón, en el riñón y cinco cuartos del otro que invierten en su equipo. Y yo que en cuentas me esperaba que me saliesen la tabla del 2, sumas, restas, raíces. Pero volviendo a la tesis principal, esto es interesante para, por ejemplo, ver si en la Declaración de la Renta, pusieron esas cantidades, si pusieron menos, o si directamente no pusieron ninguna, yo sé que declararon todo ese dinero, ya que los equipos de fútbol y sobre todo futbolistas como Xabi Alonso o Messi, declaran todo lo que hay que declarar, ahora, su padre...de eso no estoy tan seguro. Pero bueno, cuando se terminen el trigésimo cuarto, elevado a 64 café de la mañana los señores funcionarios que trabajan en Hacienda, sé que se pondrán a trabajar....uy ¿y esta risa que me acaba de entrar?

P.D: Si esto lo gasta el Real Betis, no quiero imaginar el Tito Floren

Hasta la Próxima Malvados!

domingo, 27 de marzo de 2016

PAZ por favor, llega ya

Quiero que quede marcada esta frase en todos vosotros mientras leéis el siguiente artículo, "Soy pacifista, no comprendo que se termine con vidas humanas y de animales", dicho esto, quiero que quede claro, que las siguientes líneas que vais a leer, es la opinión de una persona, y que podéis estar o no estar de acuerdo, y si estáis en este segundo caso, podéis decirme que estoy equivocado de manera razonada, ya que yo, no soy empirista, yo creo en la física y en las matemáticas que son las que te dan la verdad, una vez que tengáis esto claro, y en este orden por favor; primero que os quede claro esto y ya después, continuáis leyendo. Pues bien, vamos con el artículo.



Quiero decir, que no comparto para nada cuando por ejemplo, llegan los yihadistas y se creen con razones suficientes como para terminar con vidas humanas, lo he dicho antes, soy pacifista. Pero es que comparto todavía menos, cuando países como Francia, una vez que ocurren estos atentados, responde diciendo que lo que han hecho está muy mal-cierto, es así- y que como ellos son más civilizados, les van a mostrar cómo de equivocados están en su actitud, lanzando bombas.


NO, eso también está muy mal, fatal, y es que lo he dicho antes, no quiero muerte, estoy en contra de que se maten a seres humanos y animales, ya sean franceses, españoles, alemanes,etc u organizaciones como el estado islámico, todos son personas , y todos se merecen que se les conceda el derecho a la vida, no se responde a la violencia con más violencia, a la guerra con más guerra, el ojo por ojo, nos deja a todos ciegos, como dice Rosendo "No se equilibra la balanza, a base de venganza".


Evidentemente estas personas, yihadistas en este caso, están erradicando, creyéndose que son quiénes para terminar con una vida humana, hacen mal, pero estos yihadistas, también son personas, como t´y yo, también tienen derecho a la vida, como todos, y también aman a sus hijos, sus esposas, sus madres, etc. y en otro sentido, serán unas personas brillantes, aunque erradiquen en matar a unas personas, simplemente son personas equivocadas y a las qe se le debe corregir antes de qe vayan a peor.


Yo soy de los que piensan que la educación es un pilar importante en la vida de las personas y lo que marca la diferencia de nos países respecto a otros, pero cando hablo de educación, no me refiero a las reglas marcadas por la sociedad, me refiero a los colegios y universidades, que son las que primero deben orientar a las personas a ser buenas personas y actuar correctamente con la sociedad, enseñando a la gente que tienen derechos y sobre todo deberes, enseñándole los derechos y cómo deben de tratar de conseguir ser civilizados.

Pero creo que hace falta definir lo que es para mí una sociedad civilizada, repito, para mí. Y es que yo considero que una sociedad civilizada, es aquella la que consigue cumplir con todos los derechos, conviviendo como hermanas y hermanos, amándose los unos a los otros, y cuando digo amar, es buscar lo mejor para el prójimo, y si necesita algo, atenderlo. Y es eso lo que yo considero que debe ser lo primero que se enseñe en los colegios, antes que unos comentarios de textos estúpidos, antes que cuentas y ojo, a mí me encantan las matemáticas y la física, pero hay cosas que van antes y que considero que sin que esas cosas queden claras, no se puede conseguir comprender la belleza del cosmos.

Yo pido una sociedad pacífica, donde se puedan resolver conflictos con debates y no con violencia ni guerras, pido que la educación en este país, nos enseñe a los ciudadanos a debatir y a razonar y que lo que digamos, sea lógico, sin caer en las falacias del consecuente, que si p implica q y se da q, ergo es p. No, yo no quiero ese sistema, ese sistema que no nos enseñan a nada.

Por todo esto, considero que lo que se debe hacer con los yihadistas en este caso que estoy tratando, debido a las noticias ofrecidas en esta semana sobre el ataque terrorista en Bélgica. Considero que a esas personas, se les debe educar y se les debe enseñar que lo que hacen, no está bien, pero en esta sociedad mundial, solo enseñamos algo si nos sirve para crear n imperio como el romana, cando se encargaron de romanizar el mundo, o cando Cristóbal Colón, colonizó las américas, pero esto se hace solo, si nos interesa econonómicamente, y pienso, que no debería ser así.

Evidentemente, hay que educarlos, pero además, hay que mejorar la seguridad de sitios en los que el cúmulo de gente es bastante grande, mejorar la seguridad de lugares públicos como aeropuertos, bares, hoteles,etc, y hacer controles en las entradas de dichos lugares públicos para cumplir con el derecho principal, el de la vida.

Pero claro, aquí se abre otro debate, ya que con esto, mucha gente puede decir que se estaría terminando con su libertad, pero yo quiero recordar que las libertades de cada uno, nunca debe comerse la libertad de los demás, y recuerdo que el derecho a la vida, es fundamental. Pero aún así, hay gente que mantiene su postura, pues bien, ahora quiero hablaros de un programa que salió hace ya bastante tiempo, el programa se llama PRISM. Este programa fue creado por el gobierno de Estados Unidos y que pueden espiar a servicios como Microsoft, AOL, Apple, Skype ,etc, si queréis más información, aquí os podéis entretener en informaros. Sin duda esto también va en contra de las libertades de las personas.

Pero también podemos hablar del Acta de Patriotismo Americano, que no es más que na carta legal que permite al gobierno de Estados Unidos, espiar y quedarse con datos personales de personas, es decir, que si compras un producto de Apple por ejemplo, ellos se quedaran con tus datos, datos como tu usuario y contraseña, tus mensajes,etc. Esto se hizo después de los atentados del 11 de septiembre del 2001, y se sometió a votación y se aprobó por abrumadora mayoría. Evidentemente, tiene como objetivo combatir contra el terrorismo, o eso dicen. Esto, también va en contra de las libertades de las personas, pero no veo que la gente deje de comprar productos de Apple por ejemplo. Cada vez parece que a la gente le importa menos la privacidad.

Sin duda, hay que aumentar la seguridad, porque qué más da pasar un control de lo que llevas encima en la puerta de un aeropuerto, si vas a pasar el mismo control 10 metros después. Hay que aumentar la seguridad, por supuesto, cuando dijeron que se tenían que pasar controles en los aeropuertos, hubo gente indignada, pensando que iba en contra de sus derechos, pero hay que proteger tu aldea, porque sino, la atacarán y claro que como algunos dicen,si los malos quieren hacer daño, lo harán y se buscarán otras maneras para poner la maldita bomba, yo ahí no les quito razón, pero hay que poner muros para que los malos los tengan más complicado y hay que tener muros más seguros, para que si hacen daño a 20 personas, mejor que a 30, y si hacen daño a 10, mejor que a 20, hay que acercarse a 0, y eso no es algo que se vaya a conseguir en 2 minutos, es algo que lleva tiempo, porque como dice Albert Einstein. "hay una fuerza motriz más poderosa que el vapor, la electricidad y la energía atómica, la voluntad", la voluntad de querer lo mejor por tus ciudadanos. Ya sabéis que Einstein es importante para mí.


Otro punto en contra de los que encuentran mi opinión errónea, es que realizar todos esos controles, conllevaría contratar a más gente-fíjate que desgracia, zagal- construir más máquinas -el movimiento ludita parece no terminar- para esos controles, y que eso supone unos gastos económicos que serían imposibles de mantener, bueno, pues punto primero, "los que dicen que algo es imposible...no deberían molestar a los que lo están haciendo".


Punto segundo, podríamos caer en la argumentación sencilla y ganar el partido en el primer tiempo y por goleada, comentando todos los temas de corrupción que azotan día sí y día también este país, pero precisamente porque eso sería ganar el partido rápido y sería sencillo, también les digo que en este país llamado Espalemania (90% Alemania, 10% España), se pagan impuestos para "el espectáculo" de TORTURAR y MATAR a un animal, y sí, me estoy refiriendo a las corridas de toros. Pero además de podemos entrar en los sueldos vitalicios de los políticos, cuando yo considero, que un porcentaje de sus sueldos, por ejemplo el 20%-por decir algo- deberían tenerlo congelado hasta que se jubilen y posteriormente, solo posteriormente, se les da...si han cumplido correctamente con su trabajo, si han hecho las cosas bien, es decir, que si trabajas y trabajas bien, tienes recompensas, sino no, soy más explicativo, tiene ese porcentaje de tu sueldo si has hecho méritos, de lo contrario no. Y para mí, tal y como estamos ahora, que reciben todo su sueldo de na tacada, sería para mí, un comunismo ocultado, es decir, aunque no te lo merezcas, te pagamos todo tu sueldo. Pues todo este poquito de aquí y de allá, hacen un muchito, y podríamos hacer sistemas más seguros.

Después, los ciudadanos de cada país, deberíamos elegir, de manera razonada y con cierta información, nuestras leyes y si una ley no la vemos justa o correcta, se cambia, pero dentro de la propia ley, porque la ley, hay que cumplirla, todos los españoles por igual, independientemente del poder empresarial o poder dentro de ese país que se tengan.

Ahora, qué más hacer; porque está claro que con esto solo, no basta, hay que trabajar y trabajar y trabajar y trabajar y trabajar y volver a trabajar, trabajar, y trabajar y trabajar y volver a trabajar-grande Luis Aragonés). Ahora lo que estamos pensando desde SoftCrim, es sustituir a ANA, ya que se ha cancelado el proyecto, y sustituirla por la herramienta PAZ, de la cual mi mano derecha Emilio hizo la coña de decir, eso de PAZ es por Proteger ANA y la Z....a lo que le contesté con risas y le dije, la Z, pues de Z....agal, sí, zagal. Así que me da que se queda así. La herramienta lo que queremos que haga, es predecir cuándo se puede producir un ataque como el que se realizó en Bélgica, ya que a día de hoy, simplemente sabiendo los sitios a los que un individuo navega, puedes saber cuáles son sus gustos e intenciones, pues sería hacer como en Minority Report e intentar adelantarnos a los malos para intentar garantizar la Paz, es decir, sacar toda la información de todas las bandas terroristas que hay en Internet, investigarlos y ganarles. He llegado hasta tal punto de cansancio con estas guerras, que he conseguido que organizaciones importantes-no diré más, colaboren. Así que Adiós ANA, Hola PAZ.

En este vídeo hay más info.



No pude dejar de escuchar el día que conocí la noticia que fue la gota que colmó el vaso, escuchar la canción de No dudaría, pero cantada por Rosendo.





Paz, llega ya por favor.

sábado, 26 de marzo de 2016

Ha sido divertido ANA, pero todo llega a su fin


Lo que os voy a anunciar en esta entrada, fue anunciado por SoftCrim el 19 de este mes, pero yo he tenido que tomarme mi tiempo, he tenido que darle a mi max-age unos cuantos segundos más, porque  o alguien ha usado un Delorean para llevarme a un tiempo en el que el max-age llegase a cero, o han acelerado mi corazón para que toda la masa de mi corazón, convertirla en energía, cumpliendo con E=mc2 para así hacer que explote mi coranzocito y mi cuerpo no sepa configurarse correctamente con las peticiones "Alegría" , y es que sí, la Herramienta ANA,  se ha cancelado, ya no se continuará trabajando en ella.

Y es que lleva unos meses rondando por mi cabeza la canción de Fito y Fitipaldis de Me equivocaría otra vez, porque es que cómo decir que se acabó la función, y es que en todo lo que estábamos trabajando, se tira ahora, todo ese trabajo se perderá en la memoria como lágrimas en la lluvia.


El motivo, porque la persona a la que le dediqué la herramienta y que quería que mi pequeña herramienta, fuese tan perfecta como esa persona, contactó conmigo y me dijo que todo esto le estaba doliendo mucho, así que solamente tenía que decir eso, para que no cambiase el nombre a la herramienta, sino que la herramienta de por sí, la cancelaría, no quiero hacer más daño a esa persona, que quisiera haber querido lo que no he sabido querer, y no habrás perdón o paz para los malvados, así que virgen de la locura, nunca más te voy a rezar, que me he enterado de los pecados que me quieres quitar.

El problema reside en que me jugué a una carta la felicidad, y yo nunca pensé que la pudiera perder, y a la carta también, y es que ya oigo la tormenta, ya la veo venir, derechita hacía aquí, haciendo boom boom boom boom, pero es que si me concedieras un deseo para hacerme feliz, me gustaría cortar todo lo que sobra de mi, y es que ahora sé que el cielo no está lejos, pero nosotros sí, ha sido demasiado tiempo, huyendo conmigo de mí.



Pero tranquilos, toca remar, porque llantos y alegrías que puedas entonar, a remar, no hay límite ni fin ni condición, toca remar y seguir investigando sobre seguridad, que es lo que mantiene mi cabeza ocupada, pensar en seguridad, en física y eso juntarlo con la seguridad, tocaremar y remar.


En cuanto si sacaré otra herramienta, no lo sé, lo dejo en corchete y lo dejo abierto, no sé si las ideas se las pasaré a una empresa con la capacidad para hacer de mi pequeña ANA, la gran herramienta que es, o lo mismo habrá nueva herramienta, no lo sé, lo que sé, es que ahora toca cancelar todo lo pensado, como lo de grabar un vídeo con un chaval bailando el Smoosh Criminal y diciendo "ANA, are you ok?".



Pero supongo que ya lo sabréis, ya sabréis que soy bastante deficiente, pero también me gustaría ser feliz, no tengo cuenta corriente, pero dime, qué puedo hacer por tí.


Hasta la Próxima Malvados!

viernes, 25 de marzo de 2016

Suélta la Seguridad, Suéltala


El pasado 16 de marzo estuve en mi antiguo colegio Trinitarios dando una charla sobre Seguridad Informática a los chavales de 4º de ESO. Era una charla especial para mí, ya que volvía no solo a mi colegio, sino que volví a la que fue mi clase en 4º de ESO y recordé muchos momentos vividos en esas aulas y en la de al lado, donde conocí a la que fue mi primera pareja y le dediqué la herramienta ANA.

El caso es que cuando me dijeron que iba a dar la charla en una clase y me llevaron a mi antigua clase, se me pasó por la cabeza todos los buenos momentos que viví en ese año, donde conocí y salí con la que aún a día de hoy, considero la mejor mujer del mundo, aunque ya no estemos juntos.

A mayores, antes de asistir a dicha charla, yo estaba viviendo una mala época a título personal, precisamente por la ruptura con la que fue mi primera pareja en el mes de octubre del año pasado 2015. No me encontraba bien anímicamente y la que es mi actual pareja trata de mejorar mi estado de ánimo pero ella entiende que esta chica, es muy especial para mí y sabe y ha entendido que siga queriendo a mi ex, así que Lucía, gracias por todo, y gracias por aguantarme.

Pero vi llegar a los actuales alumnos de 4º de ESO de mi antiguo colegio y ver cómo el jefe de estudios me presentaba como "Hacker positivo" y casi por arte de magia, ese estado iba cambiando. Conforme hablaba, soltaba mis bromas, hacía las demos ante los chavales, vivía dicha charla como nunca antes he vivido una conferencia, y es que por primera vez después de mucho tiempo, volví a vivir, allí, en mi antigua clase. Por esto, gracias Trinitarios, esa charla me volvió a la vida. A continuación os dejo unas fotos de la charla.



Terminé de dar la charla muy contento, ya que aún no sé muy bien por qué, pero volví a disfrutar, volví a ser feliz, y es que la tecnología es mi pasión y lo que me hace ser feliz ante la ausencia de personas importantes en mi vida.


Para concluir, os dejo las diapositivas de la charlas.



Las demos realizadas, fueron la de encontrar cámaras de seguridad en Google, el de detectar correos spoofeados, de hacer uso del Delorean para robar contraseñas, demo con la web de Blas Infante y de la UCO, Metadatos en Trinitarios, malware en Android y la prueba de la viagra.

Y no me dio tiempo, pero me hubiese encantado poner esta canción de los Pink Floyd xDD. La próxima será.


jueves, 24 de marzo de 2016

2, Hoy Black Network Hacking cumple 2 años ¡GRACIAS!

Hoy me alegro haceros saber que hace ya 2 años desde que escribiese la primera entrada de este blog, con otro nombre, pero fue la primera entrada, y ya han pasado 347 entradas desde aquel día, pero no son solamente entradas, también son momentos.


Mi intención era escribir un artículo diario, al igual que comenzó a hacer Una Al Día y que ha servido a muchos amantes de la Seguridad a escribir todos los días noticias, técnicas, etc. sobre hacking.

Cierto es que yo lo he intentado ya que supuestamente debería llevar 730 entradas, en cambio, llevo 348,  es decir, que no llevo ni un año de entradas, pero esto, se debe a algo. Para empezar, en verano de 2015, iba a empezar 1º de Bachillerato, y eso, empezó a ocupar más y más tiempo de mí, haciendo que me resultase imposible poder escribir, con lo que pasé de escribir todos los días, a escribir cada vez que podía, aunque eso no significase que estaba dejando a un lado la seguridad y dejase de estudiar seguridad, no; seguía todos los días aprendiendo algo nuevo.

Pero antes de eso, en abril del 2015, concretamente el 13 de abril, me enamoré de una chica, y aaaaaaay, cómo me alteró mi código, esa chica, pudo ejecutar código arbitrario en mi y hacer que perdiese la cabeza, y que mi concentración la perdiese también y quisiera centrárme  solamente en ella. Si os digo la verdad, nunca he conocido a nadie igual, nunca me he enamorado igual, nunca he sentido lo mismo por una persona, esa chica...aaaaaay esa chica "She was a fast machine, She Kept her motor clean, She was the fastes woman that  ever seen" Y ella, sí ella, Shooks me all night long.


Y no exagero cuando digo, que pasé junto a ella, los mejores momentos de mi vida, pero todo tiene un fin, por lo menos todo lo bueno, y cortamos nuestra relación y eso, me afectó, mucho, hasta tal punto que llegué a plantearme seriamente cerrar todas mis redes sociales, cerrar el blog y cancelar todas las charlas que tenía hasta que me apeteciese hablar públicamente, es más, por eso he estado sin escribir desde octubre, porque en octubre de este año pasado 2015, me empecé a plantear cerrar el blog, porque además fue esa persona que por un correo no tan falso, me sentenció a que no la volviese a hablar, y eso, fue lo que casi sentenció mi decisión de cancelar las charlas por mi estado de ánimo tan bajo que tenía.


Y todo porque la relación se terminó ya que salíamos poco a la calle ya que cuando tenía tiempo libre, yo, no quería salr por si me encontraba con gente que me hablase sobre trabajo,etc, casi siempre que salgo, ocurre esto, no exagero. Y me apetecía estar en una casa, tumbado en la cama con la mujer de mi vida, y ya, eso no lo tengo; me puedo tumbar con otra mujer como actualmente, pero no es la mujer de mi vida, y eso, lo sabe ella, así que debo pedir perdón públicamente a mi pareja actual por todo lo que me aguanta, y sobre todo, pedir perdón públicamente a mi ex, la persona por la cual "cada canción que escribo corazón, eres tú el acento" .


Pero tocaba salir adelante como se pudiese, era hora de seguir trabajando en ANA, la que quiero que sea la herramienta más completa que exista y que facilite la seguridad a la gente, y sí, esta herramienta, ANA, está pensada en mi ex, ya que quiero que mi herramienta sea como mi ex, perfecta. Aunque eso en seguridad sé que es muy complicado, pero se intentará.


Y mientras seguía trabajando con ANA, tenía que reanudar las charlas que había cancelado y aceptar nuevas charlas y seguir como hasta ahora y, gracias Informática y gracias a todos vosotros,  por vuestro apoyo y por vuestros mensajes tan positivos, aquí dejo algunos.

Mil gracias a todos, gracias por apoyar el trabajo que realizo, gracias y simplemente gracias a todos los que me leéis desde hace 2 años, y a los nuevos que me leéis desde hace poco tiempo, gracias a todos.



Y ya sabéis, os estoy muy, pero que muy AGRADECIDO.


Hasta la Próxima Malvados!

miércoles, 23 de marzo de 2016

Institutos que no se preocupan por la seguridad |Parte 10| La UCO

*********************************************************************************
Trinitarios NO se preocupe-lo que encontré en 5 minutos-
Instituto Blas Infante Tampoco se preocupa
Maristas no se preocupa tanto como parece
Góngora no es muy seguro tampoco
Lope de Vega de los más seguros pero aún así inseguro
Salesianos no quiere mucha seguridad
Trinitarios ha sido hackeado por el "diablo"
En Londres muestran el nombre de sus profesores
Las fugas de Información de la Universidad de Valencia
La Universidad de Córdoba despide esta Temporada con unos cuantos fallos
*********************************************************************************


Con este artículo, el décimo, pongo fin a la primera temporada de Institutos que no se preocupan por la seguridad, y es que todo tiene su final, y hoy, con esta entrada, paro en el camino, en lo que dura un cigarrito-como dirían los Plateros-, así que voy a tomar una bocanada de aire para escribir este último artículo sobre los Institutos...por ahora.

Como bien todos sabéis, he redactado esta serie de artículos para hacer ver, si me leen, a los Institutos, que también deben tener en cuenta la seguridad en sus proyectos educativos, ya que a día de hoy, es una cosa bien importante en la vida de cada persona que estén conectada a este mundo cada vez más y más globalizado y que muchos de sus datos, pasan por esas redes que si no están bien fortificadas, supondría perder parte de tu vida, perder parte de ti.

Así que lo primero era mirar si la Universidad de Córdoba, víctima de hoy, tenía algún lugar en que se diesen de alta y que vaya bajo HTTP, para eso siempre es mejor consultar los robots para ver qué es lo que "no quieren que se vea" pero que se acaba viendo.


Así que efectivamente, tienen una zona de login y que va en HTTP, con lo que si un profesor se conecta desde la red wifi de la universidad y desde la cafetería, un alumno solamente tendría que conectarse a la misma red y analizar el tráfico de red para encontrar el post del login y robar su usuario y contraseña.


Así de sencillo sería, además, si os fijáis donde os he resaltado lo de max-age, veis que es igual a 0, ya que no usa HSTS y no tendríamos que hacer uso del Delorean o explotar un reloj atómico en base a la fórmula de Albert Einstein para romper la seguridad. Así de sencillo.

Posteriormente, lo siguiente es buscar la fuga de información a través de los metadatos en los documentos ofimáticos, y como era de esperar, la parte de limpiar los documentos, se la saltan.

Y vemos que nos aparecen 2 mails, bastante útil para lanzar un Phishing pidiendo que restablezca la contraseña en cualquiera de las muchas redes sociales que hay, o directamente que la restablezca en el sitio de login de su universidad.

O sino, también podemos simplemente seguir usando la FOCA y encontrar un porrón y medio de usuarios que podríamos probar.


Y si la seguimos usando, podemos encontrar unos Insecure Methods en la web de la Universidad de Córdoba, más en concreto métodos TRACE, bastante útil por si queremos hacer un Cross Site Tracing.



Ya hemos calentado, ahora toca ver si podemos seguir haciendo algún roto más gordo a la Universidad de Córdoba, así que mejor buscamos si ya la han roto con el truco de la viagra .


Una vez que ya hemos visto que a la UCO le están haciendo Cloacking, podríamos apuntar nuestro ataques ahí y hacer otra gran diversidad de ataques, pero aquí voy a comentar solamente los fallos más básicos que he encontrado, y los más gordos, me los he callado y los he unido el informe que he pasado a todos los institutos pero que ninguno a llegado a contestar y mucho menos, corregir.

Ahora tendríamos que pasar a jugar con los Juicy files que tanto me entretienen últimamente, y jugando siempre ocurren cosas, en este caso, que te encuentras un archivo .ica, que corresponde a un escritorio remoto usando Citrix, con lo que nos lo debemos descargar y ver cómo nos dejan el acceso sin introducir usuario ni contraseña.


Poco a poco vamos subiendo el nivel, así que ahora nos toca jugar con los códigos de error, pero como no me mostró mucho, simulé realizar un ataque de LFI a la web de la Universidad de Córdoba.


Hasta aquí, tenemos esto sin modificar, pero vamos a inyectar algo como ./



Sería ir inyectando comandos hasta que nos mande a la clase padre y desde ahí, podamos hacer otras mil posibilidades de ataque. Esto lo he probado después también en el Instituto Blas Infante y tienen el mismo fallo de seguridad, no sé por qué no me sorprende que ellos tengan aún más fallos, desde luego, como funcionan todos los que están allí.

Pero como jugar es gratis, vamos a seguir jugando y enredando con lo que nos salga, y un resultado que me chocó bastante en un primer momento, fue encontrarme un archivo index.php y que debía descargarme, pero después vi otro, y otro, y otro, y bueno, me los descargué para ver si se podría atacar a la conexión sql, y me encontré analizando el código con Notepad++ cosas muy interesantes y que os dejo en las dos siguientes capturas.



Y con esto, doy por terminado este artículo y esta primera temporada de Institutos que no se preocupan por la Seguridad, no sé cuándo volveré a subir algo sobre más Institutos, pero si algo habéis podido aprender de esta serie de 10 artículos, es que debéis preocuparos por la seguridad sí o sí, es necesario y más cuando tienes datos de más gente, por favor, preocuparos por la seguridad.



Hasta La Próxima Malvados!

martes, 22 de marzo de 2016

Cierra la Ventana de tu vida digital para luchar contra los malos

Hoy os traigo algo con lo que hace ya 7-8 meses, nos pusimos a trabajar desde SoftCrim pesando en crear un 2FA, y desde hace unas semanas, tenemos ya casi terminado, y es que hoy, os traigo la herramienta que inicialmente se iba a llamar ANA, una subherramienta-ahoa- dentro de lo hoy en día sí que es ANA.  Así que sentaros, y a ver si podéis disfrutar, aún así, en SoftCrim ya lo explicaron hace unos 9 días.



Así que añadimos una subherramienta más dentro de ANA, que día a día sigue creciendo y sigue siendo más potente. Comencemos.

¿Qué es la VentANA?

Simplemente un 2FA, que se configura con PasA (Password ANA) cuando te decía aquello de "Alguien te ha robado la contraseña déjame que te ponga un 2FA", pero que ya explicaré en otro post sobre el funcionamiento sobre PasA.

PasA detecta si te han robado la contraseña
Y funciona como si de una ventana normal y corriente se tratase, si está abierta, deja entrar a todos, si está cerrada, lógicamente no.

¿Qué diferencias hay con lo que ya hay?

Muchas, y es que en SoftCrim tenemos la mentalidad de si no podemos crear algo nuevo, vamos a lo que ya hay y vamos a tratar de mejorarlo. Pues aplicando esto, la VentANA (Nombre super original que se me ocurrió en uno de mis momentos lúcidos) funciona como si fuese Google  Authenticator-para los administradores webs- es decir, que al igual que Google tiene una opción que es activar el segundo factor usando una aplicación o mediante SMS, nosotros pasaos del pareado, simplemente es que cada web en la configuración de seguridad de cada cuenta de cada usuario, tengan la opción de activar 2FA con VentANA- hacer eso, supone 8 líneas de código en tu web si quieres implementar nuestro 2FA, demasiado código eh- y que el usuario que ya debe tener descargado ANA, se irá a la subherramienta VentANA y será el usuario si quiere tener la ventana de su seguridad abierta.


Con lo que si uno de mis empleados-Emilio en este caso, que es un trabajador de puta madre- quiere entrar en SoftCrim para escribir una entrada o para dar de alta a nuevos trabajadores, al tener la VentANA abierta de par en par, puede entrar sin problemas 





Evidentemente, nosotros ya tenemos implementada la VentANA en nuestra web-anda que no mola el logo de SoftCrim, las letras y el diseño en general de la subherramienta-. E cambio, por consiguiente, si Emilio tuviese la VentANA cerrada.


Se quedaría a las puertas y le aparecería un mensaje diciendo que no es posible entrar a la cuenta.


Además, estamos trabajando aún en mejorar más todavía la VentANA, metiéndole algo que tiene toda ventana, una PersiANA-sigo con la originalidad-,  Y esto es útil ya que, imagínate que tú abres la ventana para entrar a tu cuenta, y en ese mismo momento un atacante te ha robado la contraseña y se dispone a logearse, pues va a conseguir entrar-cierto es que debería darse todas esas circunstancias de que el atacante entre en ese mismo momento, pero puede pasar; es por eso, que la PersiANA, siempre y cuando la tengas bajada, no va a dejar a entrar aunque la VentANA esté abierta, y esto es algo que me inspiré cuando me acordé de mi primera novia, la cual tenía la obsesión que siempre que íbamos a vosotros ya sabéis qué, tenía que tener la persiana bajada, ya que si tenía la ventana abierta y la persiana subida, cualquiera podría vernos como estábamos haciendo vosotros ya sabéis qué, con que la solución era bajarla.

Pero aquí muchos podéis decir que si la VentANA está abierta y la PersiANA bajada, a ti, el dueño, tampoco te dejaría entrar, pues no, ya que el usuario tendría que decirle a ANA, en qué equipo confía, y es que todas las sesiones que inicie desde dicho equipo, va a poder entrar aunque tenga la PersiANA echada, ya que confía en dicho equipo.

Y como os veo preguntones, sé que vais a preguntar ya que qué pasa si alguien te roba el equipo en el que confías, pues fácil, ya que en ese caso, el ladrón, si encima sabe tu contraseña que tienes en ese equipo o por cualquier medio, consigue romper el inicio de sesión, lo único que va a poder hacer con ANA y la VentANA en este caso, es abrir y cerrar la VentANA, ya está, solamente eso...siempre y cuando no reutilices contraseñas o tengas un txt llamado contraseñas, etc, etc. que entonces sí que la lía bien. Pero en ese caso, el usuario solo tendría que venirnos y escribirnos un correo diciendo que le han robado el equipo en el que confía, y nosotros desbloqueamos todo y borramos la cuenta de ese usuario de nuestro servidores, para que pueda ir y cambiar sus contraseñas rápidamente y se descargue ANA en otro equipo y pueda empezar de nuevo, porque esta ANA, da segundas oportunidades, y terceras, y cuartas, y quintas,etc.

¿Aún seguís curiosos? Pues bien, os respondo a vuestra duda de si nosotros almacenas usuarios de Twitter, Facebook por ejemplo, NO, nosotros no almacenamos ás cuentas que la que se tiene que crear la gente para empezar a usar ANA, por lo demás, no sabemos quién usa ANA o quién no usa ANA, eso sería poner todos los huevos en la misma cesta. Nosotros todo lo que haceos es mediante consultas al servidor, y es que el sitio web nos dice "Están intentando entrar en esta cuenta" y nosotros le devolvemos el estado de la VentANA y le decimos qué debe hacer si la VentANA está abierta o si está cerrada o abierta y con PersiANA o cerrada y con PersiANA. En este mapa conceptual se entenderá todo mejor. Además de reducir muchísimo más la posibilidad de que un atacante pueda entrar, nos estamos poniendo más pánicos pensando en hacer que el usuario además escriba un OTP no crackeable cuando inicie sesión, pero eso podría ser algo voluntario para los más paranoicos.


Si queréis ver una demo en real, os recomiendo que veáis este vídeo en el que se muestra en real.

Hasta la Próxima Malvados!
Related Posts Plugin for WordPress, Blogger...

Entrada destacada

El server me sabe a poco.

Soy un fanático del Rock y de Debian . (Creo que voy a inventar Rockbian, que suena bien y todo xD) Llevaba tiempo queriendo unir estos 2 c...