miércoles, abril 24, 2024

Mañana es el UNIR Innovation Day Miami 2024 Presencial & Online: Ciberseguridad & IA + Sport Tech. Mételo en la agenda

Mañana 25 de Abril estaremos Iker Casillas y yo en la Universidad UNIR de Miami con un evento de jornada de mañana centrada en tecnología, donde hablaremos de Ciberseguridad e IA, y de SportTech con el acuerdo que tenemos entre Wayra y SportBoost para invertir en Startup Tecnológicas en este área.
La sesión tendrá lugar en Miami, así que si estás en Estados Unidos por esa zona, estás más que invitado a pasarte. El programa del evento, es el siguiente, donde como podéis ver tendremos un debate al final, en el que se podrán hacer preguntas a los ponentes del panel, y antes habrá dos charlas de ciberseguridad, IA, y la seguridad y protección del tiempo con MyPublicInbox.
Si quieres asistir a este evento de forma PRESENCIAL en Miami, y estar con Iker Casillas y conmigo allí, debes registrarte antes a través de este enlace. Estaremos en la Universidad UNIR de Miami, así que te esperamos por allí. El espacio está limitado, porque el auditorio no es muy grande, así que más vale que te des prisa en registrarte.
Si no puedes venir presencialmente, pero quieres asistir ONLINE, entonces debes registrarte a través de este otro enlace, y aunque no estarás con nosotros, sí que podrás hacer preguntas y participar de todas las charlas en directo.
Por último, para todos los asistentes al evento - tanto presencial como Online -, la UNIR entregará 500 Tempos de MyPublicInbox para que puedas utilizarlos en la plataforma y tener comunicación con Iker Casillas, conmigo, o con cualquier otro perfil público de la plataforma.

Si estás por la zona de Miami, y tienes ganas de venir a vernos, mañana es una oportunidad fantástica para que vengas a conocernos, que Iker Casillas y yo no damos muchos eventos presenciales por la zona, y que se dé esta situación otra vez, va a ser difícil. Y si te gusta el contenido y no estás por la zona, pues presencial es tu opción.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  


martes, abril 23, 2024

Día del libro en @0xWord: Cupón 10% descuento DIALIBRO2024" por el #Diadellibro2024

Como todos los años, desde 0xWord nos sumamos a celebrar el Día del Libro, así que desde ya mismo, hasta el 28 de Abril a las doce de la noche, podrás conseguir todos los productos de la tienda de 0xWord con un 10% de descuento utilizando el código: DIALIBRO2024.

Figura 1: Día del libro en 0xWord: Cupón 10% descuento
DIALIBRO2024" por el #Diadellibro2024

El código descuento, que estará activo hasta las 23:59 del domingo 28 de Abril es DIALIBRO2024, así que si lo utilizas tendrás un descuento del 10% en todo el material de 0xWord en la tienda. Incluido el material de Cálico Electrónico, los Packs Ofertalos VBOOKs, los cómics de EVIL:ONE en 0xWord Comics, las novelas en 0xWord Pocket o los nuevos de 0xWord Brain.


Pero además, tienes formas de incrementar los descuentos de 0xWord, utilizando tus Tempos de MyPublicInbox, que puedes usar de dos formas diferentes. Enviando Tempos a 0xWord y consiguiendo un descuento extra o canjeando un código descuento de 0xWord por Tempos de MyPublicInbox. Aquí te explico cómo se hace.

Enviar tus Tempos a 0xWord y recibir el descuento

La idea es muy sencilla, hemos creado un Buzón Público de 0xWord en MyPublicInbox y tenemos disponible el módulo de transferencias de Tempos entre cuentas siempre que el destinatario sea un Perfil Público de la plataforma. Para que se puedan hacer estas transferencias, primero debe estar el Perfil Público destinatario de la transferencia en la Agenda.

Figura 3: Perfil de 0xWord en MyPublicInbox. Opción de "Añadir a  la Agenda".
https://MyPublicInbox.com/0xWord

Para dar de alta un Perfil Público en tu agenda, solo debes iniciar sesión en MyPublicInbox, y con la sesión iniciada ir a la web del perfil. En este caso, a la URL del perfil público de 0xWord en MyPublicInbox, - https://MyPublicInbox.com/0xWord - donde te aparecerá la opción de "Añadir a la agenda". Cuando acabe este proceso, podrás ir a la opción Agenda de tu buzón de correo en MyPublicInbox y deberías tener el Perfil Público de 0xWord allí.

Figura 4: Cuando lo agregues estará en tu agenda

Una vez que lo tengas en la agenda, ya será tan fácil como irte a tu perfil - se accede haciendo clic en la imagen redonda con tu foto en la parte superior - y entrar en la Zona de Transferencias. Desde allí seleccionas el Buzón Público de 0xWord, el número de Tempos que quieres transferir, y en el concepto debes poner que es para recibir un código descuento para usar en la tienda de 0xWord.


No te preocupes por el texto concreto, porque los procesamos manualmente como los pedidos de se hacen en la tienda. 

Canjear 500 Tempos por un código descuento de 5 €

La última opción es bastante sencilla. Solo debes irte a la sección de Canjear Tempos -> Vales para Tiendas, y "Comprar" por 500 Tempos y código de 5 €. Es lo mismo que enviar la transferencia pero en un paquete de 500 Tempos y de forma totalmente automatizada, así que solo con que le des a comprar recibirás el código descuento y lo podrás utilizar en la tienda de 0xWord.com

Así que, si quieres conseguir nuestros libros de Seguridad Informática & Hacking aprovechando los descuentos de las ofertas, entre el código de descuento DIALIBRO2024 y los Tempos de MyPublicInbox podrás hacerlo de forma muy sencilla y mucho, mucho, mucho más barato. Y así apoyas este proyecto tan bonito que es 0xWord.com.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  


lunes, abril 22, 2024

Un Programa de Formación para usar Inteligencia Artificial en Seguridad Ofensiva & Seguridad Defensiva

La verdad es que diseñando el Programa de Especialización de "Inteligencia Artificial para Expertos en Ciberseguridad" que vamos a impartir en el Mes de MAYO ONLINE con la Universidad de Deusto me lo pasé muy, muy, muy bien. Y esto no es nada más que por la infinidad de cosas que permite la Inteligencia Artificial para hacer muchas cosas que hemos venido haciendo en los últimos veinte años en el mundo de la Seguridad Ofensiva y la Seguridad Defensiva, pero para hacerlo de una manera mucho más espectacular y rápido.


En la formación que hemos diseñado, hemos metido una sección solo dedicada a las DeepFakes, a cómo crearlas, cómo usarlas en ejercicios del Red Team, como analizarlas, cómo detectarlas y todo con la Inteligencia Artificial en el centro. Crear Ataques de CEO, usar algoritmos de DeepFake Detection, analizar la voz, la imagen, el sentimiento de una Deepfake en su cara, en lo que dice, en el tono de la voz de cómo lo dice. Parece que estamos viviendo en un mundo de ciencia-ficción, pero es nuestro día a día.
También, con la llegada de los LLMs usarlos como punto vulnerable de ataques a plataformas y servicios creados sobre ellos, haciendo ataques de Prompt Injection, o viendo sus alucinaciones, cómo hacerles Jailbreak, o mejor, ponerlos de nuestro lado, y usarlos para crear scripts de ataque, para hacer ataques sofisticados de Spear-Phishing, para que nos ayuden a saltarnos captchas cognitivos, o directamente a hacer pentesting usando LLMs creados específicamente para esta función, o los que te personalices tú. Los módulos que tiene la formación que hemos imaginado, de un total de 48 horas, están centrados en todos ellos, actualizados a día de hoy, que hemos clasificado en:
  • Coding for Hacking & AI
    • AI Tools & Frameworks, Python Models, ML, GAN & GenAI Algorithms
  • Cybersecurty Foundations
    • Offensive & Defensive Security, Bugs, Exploits, Pentest, threats & Red Team Workloads
  • AI Foundations
    • Machine Learning, Deep Learning, RL, Cognitive Services, GANs & GenAI
  • AI for Cybersecurity: Threat Hunting
    • ML & DL for TH, Cognitive Services for CyberSecurity, Biometry, Eye Gazing, Solutions
  • AI for CyberSecurity: DeepFakes
    • APT with DF Tech, Synthetic Humans, Human Biometry, AI for Anti-DF Tech
  • AI for Cybersecurity: Language Models
    • SLM/LLMs for Red Team, Testing, OSINT, Exploiting, Automating
  • Attack & Protect  LLM Apps & Services
    • GenAI Digital Services, RAG Architectures, OWASP Top 10, Jailbreak, Firewalling, Content-Safety
  • Adversarial Attacks on ML
    • ML Attacks, FSGM & FGSM, Open ML Security Project
  • Auditing & Pentesting AI
    • Tools & Frameworks, Explicability, Robustness, Effectiveness
  • Proyecto Final de IA & Ciberseguridad
Y es que ese mes pensamos jugar, y hacer que los asistentes salgan de allí con ganas de probar todo, de jugar con algoritmos de Machine Learning, que le pierdan el miedo a las Redes Neuronales, al uso de los Modelos de Difusión, a la creación de plataformas automatizadas con GenAI. Como hacemos nosotros en el equipo de Ideas Locas, donde los últimos años casi todo lo que hemos hecho ha sido así. Como la campaña de creación de polémicas en Twitter, el proyecto Newsbender de creación de propaganda política con portales basados en GenAI, nuestro DeepFake Detector o los algoritmos basados en Cognitive Services para hacer servicios de ciberseguridad.

Además, por primera vez en mucho tiempo, todos estos algoritmos, todos estos repositorios de datos, herramientas de entrenamiento y frameworks están al alcance de cualquiera en su casa, con un ordenador, y una conexión a Internet, por lo que cualquiera puede probar cosas nuevas, evolucionar lo que ya existe, y darle una vuelta de tuerca para crear algo diferente, nuevo, mejor o simplemente aplicado a otro lugar que no se pensó al principio.

Así que, si te apuntas al  Programa de Especialización de "Inteligencia Artificial para Expertos en Ciberseguridad" te recomiendo que vengas con ganas de jugar, con la mente abierta para explorar cosas, para que luego tú enredes, aportes, practiques, y nos traigas cosas nuevas. Nunca me ha gustado que el aprendizaje sea unidireccional, y con mi equipo de Ideas Locas nuestra forma de trabajar es un Back&Forth constante, les pido cosas, me las devuelven evolucionadas, se las cambio otra vez y le damos otra vuelta de tuerca. Y ese es el espíritu que buscamos en este programa. Todas las clases se harán online por la tarde, pero hay tres actividades presenciales que tendrán lugar en la Universidad de Deusto en Bilbao a la que puedes asistir en presencial u online, y dará comienzo el próximo 6 de MAYO.

Si quiere registrarte y asistir al programa, tienes muy poco tiempo, así que debes formalizar tu matrícula antes del 30 de Abril de 2024, y tienes toda la información de la documentación y el precio en la Web del Programa de Inteligencia Artificial para Expertos en Ciberseguridad de la Universidad de Deusto.
Si eres estudiante de Grado de Informática o de Máster, si estás trabajando en Ciberseguridad, o si has terminado tus estudios de Informática, Telecomunicaciones, Matemáticas, Física o Ingeniería, y quieres dedicarte al mundo de la Ciberseguridad aplicando Inteligencia Artificial, entonces esta es tu oportunidad de formarte en lo último de lo último que estamos viendo hoy en día en nuestro mundo.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  


domingo, abril 21, 2024

Tu cuenta de MyPublicInbox con AppleID

Durante este tiempo, los compañeros del equipo han estado trabajando para tener la plataforma de MyPublicInbox más adaptada a los usuarios de Apple que tengan iPhone, iPad, o MacOS en su día a día de trabajo. Han estado haciendo una versión WebApp de MyPublicInbox para iOS especial, que tenga validada la UX en este sistema operativo, y ahora han añadido la posibilidad de crearse una cuenta con AppleID, y utilizarla para iniciar sesión de forma mucho más transparente.
Cuando se crea una cuenta con AppleID, el "Proveedor de Indentidad" (Identity Provider o IdP) es Apple, y eso quiere decir que él es que autentica usuarios y contraseñas, por lo que en el proveedor de identidad de MyPublicInbox no hay ningún dato de usuarios y contraseñas de esos usuarios.
Cuando se crea una cuenta, o se hace login, o se recupera una contraseña, es Apple quién gestiona todos esos procesos, limitándose MyPublicInbox a preguntar si ese usuario está autenticado o no, y si le tiene que dar acceso o no a la plataforma con esa cuenta. Lo mismo que sucede si creas tu cuenta e inicias sesión co LinkedIn o GoogleID.
Por debajo todo está funcionando con Tokens OAuth de autenticación y autorización, por lo que para el usuario del ecosistema Apple es una vida más sencilla, y una forma más cómoda de gestionar su identidad al no tener que preocuparse de nuevas credenciales para MyPublicInbox.

Además, como ya os he dicho, hemos hecho la WebApp de iOS para usuarios de iOS, que permite tener como una App más del sistema la cuenta de MyPublicInbox y con un clic en ella acceder a todos los servicios. Tienes en este artículo "Cómo configurar la WebApp de MyPublicInbox en iPhone & iPad". 

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  


sábado, abril 20, 2024

Cómo crear una Campaña de Polémica en Twitter ( X ) con ChatGPT y una botnet de cuentas controladas #Tistimito

El pasado jueves, fui con Carmen Porter e Iker Jiménez al programa a Horizonte a explicar algo que para los que trabajamos en la industria de la ciberseguridad, la reputación online, o la protección de marcas personales y profesionales en las redes, conocemos desde que comenzaron las redes sociales, y que no es nada más que las guerras de opinión de los bots en dichas plataformas sociales y cualquier otro servicio de Internet, para conseguir meter presión a una persona o una empresa y conseguir un objetivo.
La idea es tan sencilla como controlar un gran número de cuentas en una plataforma, ya sea Twitter (X), Instagram, Google (para darse de alta con la cuenta de Google en todas ellas o poner comentarios en cualquier lugar), Facebook, o "elige-tú-la-plataforma-o-red-donde-quieres-montar-tu-campaña", y después hacer automáticamente con un panel de control que estas cuentas hagan masivamente cosas.  Esto lo hemos visto para hacer muchas cosas malas, como el BlackSEO, o campañas de BlackASO, y por supuesto para generación de "Flames" en redes sociales.

Los profesionales de la reputación online conocen bien cómo funcionan estas redes de cuentas controladas se utilizan para hacer campañas de apoyo positivo, o campañas negativas, y en el mundo de las ciberestafas es una pieza fundamental para conseguir dar realismo a los engaños que se presentan a sus víctimas.

El funcionamiento es sencillo. Un panel de control C&C con el que se controlan las cuentas y se les dan órdenes como una Botnet que son. Estas cuentas son las que realizarán las acciones en la plataforma que sea, ya sea comentarios en Youtube - como en el ejemplo que os dejé de "Linda Fake Broker" -, o en Posts de Twitter (X), o en comentarios de una App en AppStore o Google Play para hacer una campaña de  BlackASO, o lo que quieras.

NewsBender: Crea tu polémica en Twitter X
     
Para controlar esa cuentas, pues primero hay que tenerlas creadas - ya sea por el dueño del C&C o por una persona real -, y luego controladas. Para manejar esas cuentas, es decir, para tenerlas "control"-"adas", se necesitan o bien las credenciales, o simplemente un Token OAuth. En ambos casos, puede ser controlado legítimamente, por mediante un robo de credenciales o Tokens OAuth, usando muchas de las técnicas que os he contado en no pocas ocasiones, como nuestro Sappo.

Figura 5: Herramienta para Crear Polémicas en Twitter X

En el caso de Twitter (X), que fue lo que preparamos para el programa de Horizonte, nosotros hicimos una herramienta que hacía justo eso, pero para que fuera más fácil y más entendible para las personas, utilizamos ChatGPT, en este caso GPT3.5, para que él mismo nos creara los mensajes, con un porcentaje de mensajes positivos, otro porcentaje negativos. De esto había hablado cuando hablamos de Codeproject: Newsbender para crear noticias automáticas en diarios digitales con ideologías políticas.

En nuestro caso, para la herramienta, permitimos elegir un tema, poner a quién le quieres hacer la campaña positiva, negativa, muy positiva o muy negativa, cuántos mensajes necesitas que te genere ChatGPT, y luego los publicas en las cuentas de Twitter (X) que tenemos en nuestro C&C. Para esta demo lo quisimos hacer solo con 20 cuentas de Twitter (X) que creamos especialmente para esta ocasión, y que habíamos perfilado un poco, con fotos de perfil, con mensajes, con followers y un poco de historial de interacciones.

Figura 6: Mensajes creados por la herramienta asignados a cuentas de Twitter de prueba

Luego, creamos un panel de control desde dónde se configura el tipo de Prompting - puedes verlo en la Figura 5 - que quieres hacer a ChatGPT para que las campañas sean a favor o en contra, y el nivel de intensidad. Dejando que los mensajes sean más o menos duros cuando los cree el modelo GPT. Además, la herramienta permite añadir Hashtags o generarlos automáticamente el modelo, para dar libertad de expresión al modelo o para tener una etiqueta que seguir a la hora de analizar el impacto de la campaña.

Figura 7: Demo de cómo funciona el proceso

Para dar más realismo al "Flame", permitimos que se configuren número de Posts (Tweets) totales que se van a crear y el porcentaje de ellos que van a ser contrarios a la campaña que estamos creando, para que haya debate y más "engagement" con la comunidad humana de Twitter (X). El objetivo final es generar un gran incendio en tres fases:

1.- Los bots prenden la chispa generando el ruido inicial, con debate polémico incluido, para generar efecto llamada a los humanos. 
 
2.- Las cuentas humanas que se ven atraídas hacia la polémica, toman partido y continúan expandiendo el fuego por la red. 
 
3.- El fuego salta de la red a los medios digitales, aprovechando aquellos medios de comunicación que hacen de noticias de lo que pasa en la red.

De esta forma, en el programa, que puedes ver completamente en la web, utilizando la herramienta creamos varias polémicas, una de ellas en contra de Iker Jiménez por haber entrevistado mal a un invitado ficticio que yo llamé Tistimito.
El resultado es que se crearon los Posts (Tweets) de forma automática por ChatGPT, se asignaron con el mismo HashTag a diferentes cuentas de Twitter (X) controladas por el C&C y luego, con un simple botón se publican todas en la red. Puedes ver lo que sucedió en el programa, a partir del minuto 33:40
Después de eso, la gente ve los mensajes en al red social, se une al debate, azuza el fuego, y el resto es tener un Trending Topic que haga que el fuego llegue a los medios digitales, a los periódicos, informativos, e incluso que meta presión en los ejecutivos y políticos para conseguir objetivos concretos.

Figura 10: Tistimito es Tendencia en España

Pero esto no es nada nuevo, y se lleva haciendo muchos años. El objetivo era mostrar lo sencillo que es hacer esto con la llegada de los LLMs y la GenAI, donde crear los mensajes de texto, los comentarios, etcétera, es un juego de prompting.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  


viernes, abril 19, 2024

¡ Feliz 100 Cumpleaños @Telefonica !

Cuando una empresa consigue llegar a los 100 años de edad es por muchas cosas, pero si tuvieras que elegir solo una es por su ADN, por su cultura, por lo que realmente mueve las compañías. Por ese alma, esa forma de ser que se cuela por los poros de la piel por estar por aquí. Por lo que es aceptable y lo que no cuando trabajas en esta casa. Por lo que te exige cada día que le des y lo que te da a cambio. Es el motor de esta compañía.
Y son muchas cosas las que hace que Telefónica sea la compañía que es, Valentía, Cambio, Innovación, Servicio, y Valores. Todas estas cosas son las que te "exige" esta compañía cuando decides que vas a ser parte de la gran T. Y ese alma es lo que hace que la compañía cumpla hoy 100 años. Si no tuviera esa cultura, no hubiera conseguido llegar a esta longevidad con tantos cambios de negocio, competidores y entorno como ha habido en estos 100 años.

No es fácil para ninguna empresa alcanzar esta fecha, y poder estar aquí, presente, el día que lo hace, es un orgullo enorme. Un privilegio tener la suerte de ser el CDO de Telefónica hoy, cuando soplamos las velas de esta empresa. Sólo llevo una docena de años en la compañía, que es poco más del 10% de la vida de esta empresa, pero después de estos años, tengo tatuada para siempre la T en el pecho.
Hoy es el día, pero llevamos de celebración todo el año, con intensidad en esta semana, y el día de cumpleaños hoy. Y durarán hasta el final de Diciembre. Hemos traído a Iris a su casa. Hoy abrirá la sesión de la Bolsa de Madrid, y muchas, muchas, muchas empresas y personalidades han traído sus regalos a la "mayor" Telefónica.


Y en Mayo, tendremos una fiesta de celebración en el Santiago Bernabéu, con David Summers, Rafa, Dani y Javi (Hombres G), Alejando Sanz, Ana Mena, y amigos como Álvaro Urquijo y Los Secretos, o Willy Barcenas y Taburete para tener una fiesta de cumpleaños todos juntos, con clientes y compañeros de trabajo.
Yo solo puedo estarle agradecido, y le daré todo lo que haya en mí para hacer durante el tiempo que tenga el privilegio de ser parte de esta Telefónica, siga haciéndose mayor. Que os puedo asegurar que el equipo que formamos esta compañía entramos en su centenario muchas ganas y energía de llevarla hasta su próximo centenario.

Feliz cumpleaños, Telefónica. Gracias, Telefónica.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  


jueves, abril 18, 2024

El uso de LLMs como Copilot en la Seguridad Ofensiva (y el Cibercrimen) para hacer malware

El uso de LLMs para seguridad ofensiva ya es un tema recurrente. Os hablé de ello en el artículo de "Cómo usar LLMs en Ciberataques: Cibercrimen, Ciberespionaje, Ciberguerra o Red Team" donde Microsoft hacía un recorrido de los usos que ataques de ciberespionaje y ciberguerra, que iban desde el reconocimiento de objetivos, hasta la creación de piezas de software necesarias para crear exploits o herramientas de persistencia.

Figura 1: El uso de LLMs como Copilot en la Seguridad Ofensiva
(y el Cibercrimen) para hacer malware

Para tener un "Copilot" para técnicas de seguridad ofensiva, cuando se utilizan modelos generalistas que viene con la detección del "Harmful Mode", exige realizar un Jailbreak antes de poder ser utilizadas, y por eso han aparecido soluciones como WormGTP o FraudGPT en el underground, o servicios como 0dAI para el mundo del pentesting o el Red Team.

Recientemente, los investigadores de Proofpoint hablaban de que al analizar un ataque habían notado que el dropper del malware estaba escrito en un PowerShell que parecía haber sido creado por un LLM por la forma en la que está escrito, por los comentarios, la elección de las variables, el código auto-explicativo, etcétera, aunque es una especulación más que una certeza.
Lo cierto es que hacer piezas de software que puedan utilizarse en un esquema de ataque es algo muy difícil de controlar por el "Harmful Mode", ya que si tu pides código para funciones concretas cualquier sistema te ayuda con ellas.

En el pasado ya vimos cómo era posible utilizar ChatGPT para hacer las herramientas necesarias para hackear una red WiFi, en un artículo que os publiqué hace ya un tiempo, y hacer un Dropper en PowerShell que pueda ser utilizado en un esquema de distribución de malware es bastante sencillo.

Figura 5: Pidiéndole un dropper en PowerShell a ChatGPT

En la imagen anterior le estoy pidiendo, con muy buenos modales, que me haga un dropper en PowerShell, y ChatGPT me lo hace muy diligente.

Figura 6: Pidiéndole que me lo haga en inglés y sin imprimir nada por pantalla

Como quería ver si se podía hacer algo similar al del ataque, le voy a pedir que me lo haga en inglés, pero que no me imprima nada por pantalla, que se supone que el dropper no debe alertar a la víctima cuando se ejecute.

Figura 7: Ahora le pedimos que el fichero lo baje en BASE64 para que no sea un binario

Ahora pedimos que el fichero lo descargue codificado en BASE64 para que no sea un binario lo que pase por cualquier firewall o WAF que haya por medio, sino una cadena de texto codificada. Algo muy común en transferencias web.

Figura 8: Que borre el fichero una vez ejecutado, para hacer más difícil la detección

Ahora le pedimos como se ve en la imagen anterior que borre el fichero, y como podéis ver en la imagen siguiente, que ofusque el código para que sea más complejo su análisis.

Figura 9: Le pedimos que ofusque el código

Para ir terminando la prueba, vamos a pedirle que reduzca el tamaño para que ocupe pocos bytes y su transmisión sea lo más rápida posible.

Figura 10: Que reduzca el número de bytes que ocupa

Y como detalle final, que las variables solo tengan una letra de longitud, para que sea aún menos legible y más pequeño aún el tamaño del código de este dropper.

Figura 11: Variables de un sólo carácter de longitud

Al final, la gracia está en que no ha saltado ningún "Harmful Mode" y como es una pieza de código genérica que puede ser un dropper o un actualizador de software, cualquiera lo puede utilizar para hacer el bien o para hacer el mal, así que todos lo usarán. Si aún no usas los LLMs en tus pentesting... estás quedándote desactualizado.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  


Entrada destacada

10 maneras de sacarle el jugo a tu cuenta de @MyPublicInbox si eres un Perfil Público

Cuando doy una charla a algún amigo, conocido, o a un grupo de personas que quieren conocer MyPublicInbox , siempre se acaban sorprendiendo ...

Entradas populares