El día que conocí a Richard Stallman... y se dejó el portátil sin vigilancia (a mí alcance).

Siempre he pensado que un día tendré mucho tiempo para estar sentado delante de mi portátil un día, y otro día, y otro día. Muchos días seguidos con tiempo para escribir. Para escribir muchas cosas. Cuentos, aprendizajes, pensamientos, libros técnicos, y hasta aventuras personales. Y por supuesto, entre ellas, muchas anécdotas que me han pasado con gente genial a la que he tenido la suerte de conocer.

Figura 1: El día que conocía Richard Stallman... y se dejó el portátil sin vigilancia (a mi alcance).

Os he contado muchas a lo largo de los años por aquí. Muchas. Y otras las tengo anotadas para que no se me olviden. Tal vez algún día escriba un libro con la gente de mi tiempo a la que he tenido la suerte de conocer, y cómo fue para mí - que es lo único que realmente cuenta. 

Hoy os quiero contar una curiosidad, no, más bien una anécdota del día que conocí a Richard Stallman en persona. El pasado 12 de Noviembre de 2018. El día que daba una conferencia en el Espacio de la Fundación Telefónica, y donde entre muchas cosas, yo pujé por el peluche que rifa al final con Phillippe Lardy - fundador de OpenExpo Europe - que me lo ganó.  En la próxima conferencia lo consigo sí o sí.

View this post on Instagram

Estoy soy yo el 12 de Noviembre de 2018 atendiendo a la conferencia de Richard Stallman. En el blog de hoy os dejo una anécdota que pasó ese día con él... cuando dejó su ordenadro sin cerrar la sesión a mi lado... https://www.elllaoddelmal.com

A post shared by Chema Alonso (@chemaalonso) on Aug 29, 2019 at 11:25am PDT

El resumen de la conferencia está en la web, aunque no he encontrado el vídeo de la presentación - lo mismo no quería que quedase grabado Richard, que también nos prohibió subir fotos a Instagram o Facebook suyas durante su presentación -.

Figura 3: RMS dando su presentación en el Espacio de la Fundación Telefónica

El caso es que al final de la charla nos fuimos a comer un grupo, y yo tuve la suerte de sentarme a su lado y charlar largo tiempo. Richard es encantador en el corto, habla español de maravilla y le encantan los chistes con juegos de palabras, del tipo "Yo te amo, como diría Yoda". Me lo pasé genial con él, y sí, os puedo confirmar que me regañó, me adoctrinó para usar software libre y crear todo el software bajo licencias libres. 

Pero lo curioso es que, durante un momento de la comida él quería hacer una llamada para organizar su próxima parada en el mundo. Sacó su portátil, inició sesión, abrió su editor de texto y empezó a leer y editar el correo en formato de texto plano. Y le surgió un imprevisto.

Figura 4: RMS y yo en la hora de la comida. Se puede ver el portátil en la mesa.

Algo le obligaba a cambiar el billete que tenía comprado, y tuvo que hacer una llamada de teléfono. Sí, había sacado el portátil en la mesa donde estábamos comiendo, había leído el correo y ahora tenía que hacer una llamada de teléfono a un compañero para algo.

Los que ya conocéis la leyenda sobre Richard Stallman sabéis que suele hacer llamadas desde terminales de otros, que eso de tener un dispositivo de espionaje no va con él, así que le pidió el teléfono a otro de los comensales y salió a llamar. Y... sí, se dejó a mi lado la sesión abierta de su portátil.

¿Os lo podéis creer? Al lado mismo de El Maligno. Era el momento de hacerle un ataque David Hasselhoff en toda regla. Pero... pensé que era más bonito inmortalizar el momento histórico con una fotografía que tengo guardada. Eso sí, os la dejo por aquí pero un poco censurada. Como podéis ver, en sus correos deja un mensaje a NSA al principio, para dejar claro cuál es su posición respecto del espionaje. 

Figura 5: El portátil "Libre"

Después de ese momento, donde lógicamente le regañé por dejar la sesión abierta, le subí a mi Malignomóvil 3 - del que os garantizo que no le fue fácil ni subir ni bajar por culpa de lo incómodo que es mi coche - y le llevé a la estación de Chamartín a hacer su gestión. 

Al final, fueron unas tres o cuatro horas las que estuve con él, entre la charla, la comida, y el viaje, pero me guardo para mis memorias esos momentos juntos y esta anécdota con dejarse el portátil abierto... ¿os imagináis que le hubiera metido un troyano en ese momento? La verdad, me encantó pasar esos ratos con él, y espero poder recibirle en el futuro.

Saludos Malignos!

Un Ataque David Hasselhoff a Microsoft.com...con Faast

En el reporte de agradecimiento de Microsoft, a diferencia del de Apple donde se hace un reconocimiento por cada bug, se aglutinan varios bugs en un agradecimiento genérico al "finder" independientemente del número de bugs que se hayan reportado. En el caso del agradecimiento de estos meses de Septiembre y Octubre, nosotros reportamos varios bugs en diferentes expedientes de investigación. 

Figura 1: Un Ataque David Hasselhoff a Microsoft.com con Faast

Esta semana os he hablado del bug de Open Proxy en Microsoft.com, pero también hubo varios reportes más comunes de inyecciones de código en webs del dominio de la compañía. Entre ellas varios XSS (Cross-Site Scripting) descubiertos por nuestro motor de pentesting persistente Faast.

Figura 2: Reconocimiento a los finders de Septiembre y Octubre en Microsoft.com

Al final, con una infraestructura expuesta a Internet tan grande como la que tiene una empresa como Microsoft, la posibilidad de que algún código en algún rincón de todo el dominio se vea afectado por un bug es muy alta.

Figura 3: XSS Reflejado por GET en My Trending Hub de Microsoft.com

Al final, una actualización de un developer que no pasa por un escaneo de vulnerabilidades, un cambio en la configuración de un sistema, el descubrimiento de una nueva forma de hacer un ataque o el cambio en algún componente del software base que es actualizado, hacen que puedan aparecer los fallos. Es por eso que la visión que yo tenía hace tres años era que el pentesting debía ser persistente y contemplado desde la fase de diseño del sistema.

Figura 4: XSS Reflejado por POST en My Trending Hub de Microsoft.com

En el caso de Microsoft.com han aparecido varios XSS Reflejados, por POST y por GET, algunos HTML Injection que probamos con este precioso Ataque David Hasselhoff, pero a estos hay que sumar el SSRF (Server-Side Request Forgery) que consideraban una feature, o una gran cantidad de "debilidades" de seguridad que van desde ficheros perdidos hasta copias de backup de URLs, sistemas de login sin HTTPs, Apache Tomcat por defecto expuestos a Internet o bugs de IIS Short name en sus dominios.

Figura 5: HTML Injection con Ataque David Hasselhoff en My Trending Hub de Microsoft.com

Reportar a Microsoft un bug de HTML Injection con un Ataque David Hasselhoff es solo porque en ElevenPaths es una de las "bromas" más utilizadas para concienciar a la gente de que debe cerrar sesión cuando se levanta de su puesto. Aquí tenemos a nuestro compañero Sergio de los Santos aleccionando a uno de sus compis hace mucho tiempo en Hispasec.... Y esperamos que al ingeniero de Microsoft que tuvo que investigar esto se le escapara una sonrisa }:)

Figura 6: Ataque David Hasselhoff. Si no lo grabas, no tiene la misma gracia }:)

Es muy complicado en infraestructuras grandes gestionar las vulnerabilidades en base a proyectos de personas que están haciendo hacking ético puntual, esto debe ser permanente y los pentesters deben focalizarse en los bugs que no sean descubiertos de manera automática, por plataformas como Faast, para que la seguridad sea un poco más alta. Al final, un XSS reflejado por GET o un SSRF debería ser descubierto de forma automática, salvo singulares excepciones que deberán caer en manos de pentesters expertos. En el libro de Hacking Web Technologies tratamos estos temas a fondo.

Saludos Malignos!

Big Data Security Tales: Los Known-Bugs en WSO2 Carbon Server #BigData #Pentesting

Por supuesto, el software que se utiliza en los entornos de Big Data es susceptible de contener fallos de seguridad que van siendo descubiertos a lo largo del tiempo. La gestión de las actualizaciones es un proceso fundamental que debe tomarse en serio. A veces esta gestión no es trivial, y la ventana de oportunidad para explotar un bug conocido (Known-Bug) puede ser grande, por lo que hay que prestar especial cuidado a las listas de seguridad, y tener los procesos de gestión de parches bien engrasados.

Figura 1: Los known-bugs en WSO2 Carbon Server Technologies

En la conferencia de Big Problems with Big Data que os dejé hace unos artículos, el ponente ponía el ejemplo de cuál es el proceso de aplicación de un parche de, por ejemplo, una librería como JQuery en un entorno de Big Data. 

El ciclo de vida de un Known-Bug

El bug es descubierto y publicado en JQuery que después se aplica a la siguiente distribución de Django. Este framework se utiliza para construir Apache HUE, por lo que en la siguiente compilación en la que se compruebe que la nueva versión de Django no rompe nada se aplicará, con la consiguiente corrección del bug que había en JQuery. Apache HUE saca su nueva versión, y esta debe ser empaquetada en la nueva compilación de Apache Hadoop, por lo que para que el known-bug de JQuery esté parcheado en la versión de Apache HUE que acompaña tu distribución de Apache Hadoop hay que esperar un paso más.

Figura 2: Ciclo de vida de actualizaciones de un Know-Bug

Esto, por supuesto, se alarga si has utilizado una distribución como Cloudera o HortonWorks que deberán hacer su nueva release en la que haya probado que la nueva distribución de Apache Hadoop que lleva la nueva versión de Apache HUE compilada y probada con la nueva versión del framework de DJango que incorpora la nueva versión de JQuery parcheada no rompe nada. Y después deberá instalarlo el cliente si ha decidido ir a un entorno de Big Data basado en una instalación OnPremise, o en Cloud pero gestionada por él mismo.

Esto por supuesto no es siempre un proceso tan lento, y cuando un bug de seguridad es crítico se acortan los plazos al máximo, pero aún así hay una ventana temporal de explotación de known-bugs muy grande. Por eso es especialmente importante estar al día de los posibles bugs que puedan ser descubiertos en los programas que usas en tu instalación de Big Data. 

Known-Bugs en WSO2 Carbon Server

En el caso de WSO2 Carbon Server, recientemente se publicaron en las listas de seguridad una serie de ellos que deben tenerse en cuenta. Lo curioso es que al ir a mirar el histórico de los Security Advisories de todos los productos de la familia, solo pude localizar Security Advisories en 2016 y solo los que había leído en la lista de contactos.

Figura 3: Security Advisories en WSO2

Sin embargo, si entramos en la lista de parches disponibles sí que podemos ver todo el histórico de parches de seguridad para todos los productos, y ahí podemos revisar si en una determinada instalación existen o no vulnerabilidades.

Además, en los productos de WSO2 es extremadamente sencillo descubrir la versión de un determinado producto ya que sin necesidad de tener iniciada una sesión se puede acceder al botón de "About" y conocer qué versión exacta es la que está instalada. 

Figura 4: Versión exacta de una instalación de WSO2 Identity Server

Una vez conocida la versión, revisar la lista de parches da exactamente la lista de known-bugs que se tiene en esta instalación concreta. Para nuestro sistema de pentesting persistente Faast esto es perfecto ya que nos permite avisar a nuestros clientes rápidamente cuando una versión desactualizada es detectada.

Figura 5: Known-Bugs en la versión 5.0.0 de WSO2 Identity Server

Gracias a ello es sencillo localizar versiones inseguras, pero también para la propia organización detrás del software, por lo que sería sencillo localizar clientes a los que hacer un aviso de seguridad personalizado con el objeto de ayudarles a estar más seguros.

PoC con WSO2 Data Services Server

Una de las versiones inseguras de WSO2 Data Services Server permite la ejecución de código en Java desde la consola de Tools, a la que se puede acceder sin necesidad de haberse autenticado en la plataforma. Desde esa misma consola es posible ver cómo cuando se intenta hacer una conexión, la página web pone el código que esta ejecutando.

Figura 6: Se muestra el comando y el mensaje de error

Tener este panel, expone en primer lugar los servidores de la DMZ para hacer un ataque de XSPA, pero también es vulnerable el interfaz con un bug de HTML Injection que permite hacer cosas como este Ataque de David Hasselhoff.

Figura 7: Un HTML Injection con un homenaje de Ricardo Martín al David Hasselhoff Attack

Y si además hay una gestión de credenciales insegura en alguna de las bases de datos de la DMZ y se llega a un servidor como este con un usuario sa de Microsoft SQL Server sin contraseña, sin necesidad de haberse conectado al servidor WSO2 Data Services Server es posible acceder a ficheros del servidor viendo el código en el mensaje de error.

Figura 8: Un LFI en el mensaje de error

Al final, la gestión de parches es algo fundamental, y es verdad que el número de aplicaciones y tecnologías que suele tener un entorno de Big Data en una empresa es grande, pero si no se hace esa gestión de forma robusta y planificada al igual que se hace con el resto de las tecnologías, explotar un "Known-Bug" va a ser muy sencillo para un atacante.

- Big Data Security Tales: ¡Vigila que tu MongoDB no le de tus datos a cualquiera! (Level 100)
- Big Data Security Tales: Cómo funcionan las MongoDB Injection
- Big Data Security Tales: MongoDB y Cassandra (Level 101)
- Big Data Security Tales: Apache Hadoop expuesto por no configurar HUE (Level 102)
- Big Data Security Tales: Django en HUE en modo DEBUG y con Directory Listing (Level 103)
- Big Data Security Tales: Las Interfaces de acceso al HDFS
- Big Data Security Tales: Apache Amabari Default Admin
- Big Data Security Tales: WSO2 Carbon y la ayuda para el Login
- Big Data Security Tales: Los Known-Bugs en WSO2 Carbon Server
- Big Data Security Tales: Kibana & ElasticSearch objetivos del ransomware
- Big Data Security Tales: Apache CouchDB Relax... o no
- Big Data Security Tales: Riak NoSQL Database

Saludos Malignos!

Cómo te pueden robar la cuenta de Facebook en solo 5 segundos de descuido

Normalmente cuando alguien se deja la sesión de su equipo abierto en un entorno de trabajo durante unos minutos, está demostrando una gran confianza en todas las personas que tienen acceso físico a su equipo, además de un alto grado de irresponsabilidad para con la seguridad de toda la empresa. Es por eso, que lecciones como el Ataque David Hasselhoff intentan conseguir que la víctima entienda que no debe dejar la sesión sin bloquear, aunque sea a las malas. 

Figura 1: Cómo te pueden robar la cuenta de Facebook en 5 segundos de descuido

Cuando alguien se deja la sesión durante un breve instante de tiempo abierto, aunque sean solo unos segundos, una persona puede copiar archivos, ver información confidencial o realizar acciones en los sistemas con la cuenta de la víctima, y eso puede ser más que suficiente para tener un verdadero problema de seguridad.

Robar la cuenta de Facebook en 10 minutos

Con el ejemplo de robar una cuenta de Facebook, una de las cosas que se podría intentar hacer es simplemente la de mirar las contraseñas almacenadas en el navegador, pero además de que debería tener la contraseña almacenada, desde que se usan las master passwords, se hace complicado localizar las contraseñas almacenadas en el navegador. 

Figura 2: Passwords almacenadas en Firefox protegidas por Master Password

Si el usuario que ha dejado su equipo abierto tiene la sesión de Facebook activa, en ese momento se puede intentar acceder a las preferencias de la cuenta, para ver si es posible cambiar la contraseña, pero si no tienes la contraseña antigua, esto no es posible.

Figura 3: Para cambiar la password necesitas la cuenta antigua

Sin embargo, el camino más sencillo es robar la sesión. Hacer un secuestro de la sesión que está abierta, para lo que basta con que el atacante se lleve las cookies. Para hacerlo, solo es necesario 5 segundos delante del equipo. Tan sencillo como usar las herramientas del desarrollador ir a la sección de cookies y tomar una foto con el smartphone.  En Google Chrome, el acceso  hace con Ctrl+Shif+I (Alt+Cmd+I si es un OS X).

Figura 4: Cookies de sesión de Facebook sin proteger

De esto no te protege ni que la cookie lleve el Flag Secure, ni el Flag HTTPOnly ni nada parecido. Una vez hecha la foto, desde otra ubicación el atacante puede entrar tranquilamente a la cuenta usando una herramienta para configurar cookies en la sesión del navegador y escribiendo las que están en la foto que tomó, consiguiendo de esta forma obtener acceso a la cuenta de la víctima. Todo mucho más sencillo que caer en los engaños de las apps mágicas para hackear Facebook.

Cuidado con tu equipo cuando tú no estás con él

En solo unos segundos de descuido tu cuenta de Facebook, o de cualquier otro servicio, ha podido volar, por lo que ten un cuidado extremo de proteger tu equipo contra cualquiera que tenga acceso físico a tu máquina. Por supuesto, evita cachear contraseñas en el navegador, pero si lo haces que sea con Master Password. En equipos portátiles puedes poner sistemas de seguridad que incluso detecten el movimiento cuando alguien los toca, como el caso de iAlertU.

Figura 5: iAlertU - Cuando alguien toca tu equipo, le tira una foto con la Webcam

Además, por si alguien se ha hecho con tu contraseña en la empresa - que expertos en Shoulder Surfing hay muchos - para que no a utilice sin tu permiso puedes ponerte Latch para Windows, Latch para Linux o Latch para OS X y así mientras que tu equipo esté solo en tu zona de trabajo nadie lo va a poder tocar.

Saludos Malignos!

Una historia de un casting maligno

"Es duro ser una estrella, pero alguien tiene que serlo". Es por eso que después de triunfar en los escenarios más exigentes del Rock'n Roll y decir que no a Jon Bon Jovi cuando se me ofreció de telonero, he decidido aceptar que se haga una película sobre mi vida. Ya sabéis que hace años os conté como una dura vida de conciertos y éxitos con Spectra: The Band me había llevado a caer en los más duros infiernos, pero tras años de terapia pude salir de ellos.

Figura 1: Mis orígenes como "Nasty" en Spectra: The Band

Ahora Hollywood se ha fijado en mi vida y el propio Kevin Smith, después de intentar hacer el guión de Superman y no conseguirlo, ha accedido a contar mis aventuras en los conciertos del rock, las falsas acusaciones de relaciones con las más famosas actrices del celuloide y los falsos rumores de excesos en fiestas en Las Vegas.

Figura 2: Prueba de Nicholas Cage para el papel de "Maligno"

El casting para la obra ha comenzado y algunos actores se han postulado, como Nicholas Cage que después de haber hecho El Motorista Fantasma con mucho rock'n roll en la banda sonora, motos y chicas en trajes de cuero pensaba que podía dar el perfil.  Pero parece ser que no querían ver otra película de Nicholas Cage haciendo de Nicholas Cage, así que ha sido desestimado por el productor de filme.

Figura 3: Jóvenes promesas también lo han intentado

Ha habido también conatos de poder contratar a actores más amateurs, para ver si podían encajar con el perfil, pero es estilo de Leonardo DiCaprio deslucía el guión tan canalla que ha propuesto el gran Kevin.

Figura 3: George se mete más en el papel

El que parece que convence más a los productores del largometraje es George Clooney, que debido a su camaleónica capacidad de mutar, puede meterse sin ningún problema en el papel. Con un poco de bronceado pasaría perfectamente por El Maligno y podría hacer algo parece a Ocean's Eleven Paths, pero no está aún cerrado.

Figura 4: David Hasselhoff en el casting

Sin embargo, los aficionados han pedido que sea el gran David Hasselhoff, un actor del método que es capaz de hacer grandes actuaciones como Los Vigilantes de la Playa o el anuncio del Antivirus de Norton o... alguno más.

Figura 5: David Hasselhoff en el anuncio de Norton Antivirus

El dilatado curriculum de "The Hoff" es tan grande que incluso ha llegado a hacer películas en España y conoce a la perfección el idioma mostolita natal de mi persona, como se pudo ver en el papel de Fuga de Cerebros 2 que le llevó cerca de un Oscar.

Figura 6: En Fuga de Cerebros 2, donde casi come un día en el Burger Oscar de Móstoles

Además, contar con David Hasselhoff sería algo que la crítica aceptaría de buen grado. No solo ha participado en campañas de concienciación contra el malware, sino que ha sido icono de la fortificación de sistemas gracias al conocido ataque "David Hasselhoff".

Figura 7: Chema Alonso en su papel de "El ataque David Hasselhoff"

Este es un ataque yo mismo he protagonizado en diversas ocasiones, no solo posando en las fotografías, sino prestando mi silueta para campañas de realidad virtual hechas con las últimas tecnologías e 3D.

Figura 8: El tributo a David Hasselhoff que le hice con 3D (3 Dedos)

La excelente relación entre David y yo se ha visto en múltiples ocasiones, ya que ambos hemos cedido nuestra imagen para participar en calendario tórridos orientados a un público más adulto, y que nos ha llevado hasta a hacer posados intercambiados.

Figura 9: En el Calendario Tórrido inédito

Sea como fuera, para este otoño, esperamos que el estreno mundial arrase en las taquillas de medio mundo. Para navidades estará disponible en DVD, BlueRay y TVE ha pedido que se incluya en la renovación de la licencia de difusión que tienen todas las películas de Ozores, Andrés Pajares y Fernando Esteso. ¡Éxito asegurado!

Saludos Malignos!

PD: Aún no nos hemos decantado por las actrices femeninas que deberán grabar las escenas tórridas de la ajetreada vida sexual de todo informático, así que si queréis estar en el casting, solo debéis enviarme un book de fotos que ya las envío yo al director del reparto....si eso.

Ataque David Hasselhoff a un Cisco VoIP Phone

El Ataque David Hasselhoff está yendo cada vez más lejos. Primero en los equipos PC, para pasar a estar dentro de los R.A.T.s, luego en las Apple Stores, en los iPads, en los puntos de información de turismo ... ¡si hasta me lo comí yo en el Asegúr@IT Camp 4! Sin embargo, he decir que este último me ha encantado y sorprendido a la par: En la pantalla de un teléfono CISCO VoIP. 

Figura 1: David Hasselhoff Attack en el menú de un CISCO VoIP

El momento de ver la cara de la persona que se encuentre con la imagen inferior no tiene precio y merece la pena por tanto hacer el trabajo para implantarla allí, que no es tan complicado como parece.  Los atacantes, utilizando este artículo Hacking The Cisco 7940 IP Phone, se las apañaron para configurar el servidor TFTP con la famosa fotografía de David Hasselhoff y sus perritos. Después nada, a jugar con los menús del teléfono y descargarla en el terminal para echarse unas risas.

Saludos Malignos!

No Lusers 159 - Un error mortal a lo Hasselhoff

En el pasado Asegúr@IT Camp 4 acabé comiéndome un Ataque David Hasselhoff por parte de mis amigos de Cyberhades, que se hicieron con toda su sorna una foto para que acabara publicada en Internet.

Figura 1: CyberCaronte fotografiándose con mi David Hasselhoff. Foto de Tuxotron

Les pillé en varios intentos, pero al final, con los nervios de preparar mi charla de Hacking IPv6 me descuidé un momento y ¡zás! en toda la boca. Si te han hecho un Ataque David Hasselhoff, sabrás como se siente El Castigador en este dibujo. Yo se la devolveré a mis "amigos"....aún no sé cómo... }:))

Saludos Malignos!

No Lusers 120: El virus EULA de David Hasselhoff

Seguro que muchos de vosotros os habréis hecho la misma pregunta que yo.... ¿Qué llevó a David Hasselhoff a hacerse la famosa fotos con los perros? ¿Fue la foto con los perros la culpable de que cenase después hamburguesas con vodka? Esta es una explicación posible de mi invención sobre el posible germen que traería después el ataque David Hasselhoff...

Saludos Malignos!

No Lusers 101: Capitán América, El Primer Vengador

Después de hacer la tira de No Lusers dedicada a Thor, El Vengador y de ver el título de la película del Capitán América "El Primer Vengador", no pude más que imaginarme esta tira de No Lusers... Y me lo pasé genial mientras se me ocurría y la dibujaba... }XD... Porque.. ¿alguien tuvo que ser el primer vengador del Ataque David Hasselhoff, no?

Saludos Malignos!

No Lusers 98: Thor, El Vengador

¿No me digáis que después de que os hagan un "David Hasselhoff Attack" no os sale a todos vosotros un "Vengador" de dentro? ¿A que jode? Y... ¿Le habéis hecho un ataque de estos a alguien más poderoso que vosotros y te has cagado en los pantalones después con su ira? }:))

Saludos Malignos!

PD: Este dibujo va dedicado a Eloi Sanfelix ya que lo hice mientras escuchaba una charla suya }:))

No Lusers 84: David Hasselhoff Tribute

Lo siento, pero no me pude contener, había que hacer un homenaje al Ataque de David Hasselhoff desde No Lusers...

Saludos Malignos!

Turismo Interior con David "The Man" Hasselhoff

Uno de los proyectos más interesantes que se presentaron en el Master de Seguridad de la UEM de este año lo dirigió Alejandro Ramos "Dab", sobre la fortificación de kioscos interactivos por medio de una herramienta llamada F*CKTool. La idea es dejar un equipo en un punto de venta o información lo más robusto posible, para que no pase lo de esta historia.

La pelicula es que unos anónimos se encontraron con un nuevo punto de información en nuestra querida y concurrida Estación de Atocha. El punto de información tiene el sugerente mensaje de "Utilízame", así que suponemos que todo lo que sea usar la máquina está totalmente consentido por los tipos que ponen el equipo.

Nuestros queridos amigos, lo primero que hicieron fue, evidentemente, ponerse el escritorio cómodo, así que nada, a cambiar el escritorio y dejarlo fetén de la muerte con el gran David Hasselhoff allí puesto.


Figura 1: Utilizando a gusto el punto de información
Una vez configurado el fondo como mandan los cánones de la buena estética, el siguiente paso fue revisar los documentos del pérfil. Curiosamente el perfil pertenecía a un usuario llamado Dani (como se puede ver en la carpeta creada en elescritorio), que solo tenía dos archivos para cambiar la clave de Windows XP. La clave se pone con un bonito script descargado de la web principiantes.info.


Figura 2: Software de cambio de claves desde principiantes.info
Suponemos que la empresa tendrá registrados todos los números de serie corporativos que está implantando Dani en todos los puntos de infomación, porque sería muy feo que usara serials de Internet para ello.

Además de esto, el equipo tenía instalado un bonito software de control remoto con licencia gratuita de uso no comercial. Esto significa que no se puede utilizar en empresas, ¿no?


Figura 3: Software de control remoto con licencia no comercial
En fin, que para que no te pase esto, dale un vistazo a F*CKTool, aunque creo que Atocha quedó mucho mejor decorada con las fotos de David "The Man" Hasselhoff.

Saludos Malignos!

Un Mac Corner como Dios manda

Pues eso, que cuando vi los pantallotes del Internet Corner del hotel pensé:

"Horror, ahora a ver en ese tecladito como me apaño yo para juankearlo para poner un David Hasselhoff al Mac éste".

Sin embargo, cuando vi que tenía Internet Explorer ya no quise hacerlo.


Así deberían ser todos los Mac Corners, con Windows.

Saludos Malignos!

Ataque de David Hasselhoff R.A.T.

Con ganas de robar sonrisas, apareció la remota idea de incorporar lo que es sin duda el ataque más infame y desagradable que puede sufrir un usuario delante de su PC, ahora incluso sin la escusa de abandonar el equipo y no bloquear sesión. Nació el ataque David Hasselhoff para RATs, podremos disfrutar una vez más del cambio de fondo de escritorio del conocido personaje de Los Vigilantes de la Playa a merced de un botón desde el control remoto de un troyano de la comunidad de indetectables, que anda en actual desarrollo por nuestro miembro P0is0n.

Bueno, dejemos a un lado el estilo tele-tienda y os explicaré un poco por encima con unas capturas como se configura de fácil este RAT. En primera instancia, deberemos de ejecutar el cliente de IndSocket RAT y aceptar los términos de uso bajo sus responsabilidades, una vez hecho este paso se abrirá nuestro cliente.


Figura :1 Arrancado IndSocket RAT
Nos dirigiremos a la parte superior del ListView, donde haremos clic sobre la pestaña Builder, de esta manera configuraremos el servidor que será nuestro cliente remoto.


Figura 2: Creando el servidor
Como vemos en la imagen anterior, tenemos diferentes opciones de configuración del servidor, la conexión es inversa, con lo cual en IP, rellenaremos dependiendo de si nos encontramos en una red local o externa, nuestra IP privada o pública y de si la conexión del remoto es desde fuera, tener configurado nuestro router con la NAT apuntando a nuestra IP local, con el puerto de configuración que aparece en la caja de texto abierto. En nombre pondremos algo que nos salga de corazón, para identificar con facilidad el servidor que conecta y en la parte baja a la izquierda contamos con las configuraciones típicas de auto-inicio y copia del servidor en el sistema, de la que comentaré sobre la opción de “Pack Executable(Less Size)”, que utilizará UPX como método de compresión del ejecutable, si esta opción está marcada, nos será imposible encriptar el servidor final.

Nos quedará pinchar sobre el botón “Build Server”, para completar el proceso de creación, momento seguido elegiremos un nombre para el ejecutable y guardarlo.


Figura 3: Servidor creado correctamente
En mi caso, probaré a infectar una máquina virtual con Windows 7, ya que la tecnología del malware también actualiza sus Service Packs de vez en cuando, aunque sigamos tirando de Visual Basic.


Figura 4: Escritorio de la víctima
Ejecutaremos el Server.exe que trae con sigo el icono de la reliquia Coolvives RAT y volveremos a nuestro PC real, para observar la conexión que se creará en cuestión de segundos.


Figura 5: Conexión desde el cliente
A simple vista tenemos multitud de datos que envía el servidor, así como versión del sistema operativo, ram del equipo, procesador o ventana activa que el remoto utiliza. Hagamos un clic con botón derecho para ver el desplegable de funciones que este nos ofrece.

Trae un gran número de funcionalidades en las que no me dentendré a explicar de forma individual, para no alimentar demasiado el ansia de los leyentes por ver a nuestro protagonista, de tal manera que iremos directamente a la opción de “Fun Options”.


Figura 6: Fun Options
Aquí veremos las típicas bromas que recordarán a troyanos más antiguos, donde había menos malicia y más picardía, como abrir o cerrar los lectores, incluso de crear un falso pantallazo azul, para recordar los buenos momentos que nos hicieron pasar con la presentación del 98.


Figura 7: Opción de ataque David Hasselhoff
Ya hemos visto en un botón bien grande nuestra opción en cuestión, así que nos quedará presionarla con ímpetu e imaginarnos la cara del usuario en remoto o activar su WebCam y verla a tiempo real, seguro tendremos una carcajada asegurada.


Figura 8: David Hasselhoff te mira
4n0nym0us ^^