ARTCraft: El Clon de la Suite de Adobe hecho con IA en formato Open Source... para Agentes IA

Hace un par de veranos, dr. dr. embajador Maligno nos contó que para él hacer la maleta es elegir los libros que se va a llevar, porque eso de la ropa... “Eso es absurdo para mí”, dijo. ¿Te suena? Fue en este artículo. Y ahora dime: estando en 2026 y con todo lo que tenemos encima, ¿tú te imaginas un mundo sin libros? Hola, soy María.

Figura 1: ARTCraft - El Clon de la Suite de Adobe hecho

con IA en formato OpenSource... para Agentes IA

A principios de octubre, ArtCraft presentó clones de todas las apps de Adobe, “built the hard way”: desde cero, en Rust, con código abierto revisable en GitHub. ¿Qué tiene que ver eso con los libros? Todo. Ahora te lo cuento. 

Pero primero, visualiza por un segundo un episodio de Más allá del límite (The Outer Limits): “Stream of Consciousness” (T3E5, “Red de consciencia”, 1997). Toda la humanidad está conectada a “the Stream”, una red neuronal con todo el conocimiento. Ya nadie necesita saber leer, y… ¿Ya te figuras por dónde voy? Pues aparca esa imagen y luego lo vemos.

Figura 2: En mi mesa ante InDesign, al borde de un ataque de narcolepsia letal

Este sábado por la tarde-noche estaba aquí en mi mesa, babeando de puro tedio ante InDesign, maquetando un libro. Por si no te lo has planteado nunca, es un trabajo aburridísimo. Espacios que sobran, notas al pie, capítulos que empiezan en página par… Y otros doscientos millones de mini-mierdecillas formales por las que el lector ha pagado su buen dinero. 

Me dirás: "pues no seas pava, mándale a Claude que entre en InDesign y que te lo haga él". Aaamigo: tú sí que me entiendes, snif. Pero InDesign, el estándar de la industria, está blindado total. Claude puede, como mucho, “medio golisquearlo de refilón”. Aunque sí que estamos haciendo cosas en ese sentido. Ya os contaré más.

Figura 3: ¡Orgullo xennial! ¡Larga vida a Seetharaman Narayanan! XD 

Imagen: meme que circula por Internet)

Así que lo hago todo a mano, con Claude al lado para guiarme. Ventana, voy, vuelvo, compruebo… Es el mundo al revés: Claude me guía, y yo voy picando a pico y pala. Abajo en la plaza había concierto, y ese boom-boom-boom me daba aún más sueño… Hasta que, al borde ya de la narcolepsia fatal, sonó “Física o Química”. “¡No puede ser!” Zapatillas, bolso, la Farala y bajé a mirar. No eran Despistaos, obviamente: era un cover. Pero siguen de gira. Mira si quedan entradas en tu zona: en su Perfil Público, en MyPublicInbox.

Figura 4: Despistaos, consulta sus próximos conciertos en su Perfil Público

Allí me encontré con mi amigo Samu, y en fin… cayó una cerveza. Y fue ahí cuando me contó lo de las apps de Adobe clonadas por ArtCraft. Ya de vuelta en mi mesa, me di cuenta de lo que eso suponía para pequeñas editoriales de nicho como... 0xWord. La editorial de referencia en el mundillo. La editorial de hackers para hackers. Chan-chan-chaaan (música de Ironside. Un clasicazo).

Lo de “gratis” es lo de menos… ¡Es agent-ready!

Lo primero que salta a la vista: es gratis. Las licencias de Adobe son de todo menos baratas, que es una forma fina de decir que son MUY CARAS: unos 500 € anuales por asiento de empresa para InDesign, unos 320 € la personal. Claude Pro cuesta unos 200 € al año. ¿A que de repente Claude ya no te parece tan caro? =^_^= Pero el precio es lo de menos. “¡Si hay que pagar, se paga!” —exclamó la pícara digital en cuclillas junto a la CPU, con un readme.txt abierto en pantalla y un cable de red suelto en la mano… Es broma. No lo es.

Figura 5: Las apps de ArtCraft son agent-ready, con servidor MCP

Para editoriales como 0xWord, lo importante es otra cosa: ¡dejar de padecer narcolepsia inducida! Delegar en tu Asistente IA esas tareas mecánicorrepetitivas que, por justicia divina, corresponden a robots, no a personas. Y para eso hace falta un servidor MCP. ArtCraft se declara directamente “agent-ready, built for automation and AI agents”. Aleluya. ¿Y Adobe no? Pues psssí… Pero no. Luego lo vemos ;) Antes, lo primero es saber si DesignCraft funciona.

DesignCraft: el clon de Adobe InDesign

El domingo por la mañana, toda feliciana, me descargué el launcher de ArtCraft y me instalé las apps de colorines: clones de Photoshop, Illustrator, Premiere, After Effects… La tienda gratis. Fue como abrir cajitas de un calendario de adviento. ¿Déjà vu? Será por esto: En el medio del camino. 

Aquí me quedo solo con DesignCraft, y te lo digo ya: hoy por hoy no sustituye a InDesign. Su propia hoja de ruta es la primera en reconocerlo. 

Figura 6: El estado real, a mediados de octubre de 2026. Lo he probado en Windows 11.

 El guardado y el GREP, con la versión 0.6.0; el .docx largo, también con la 0.7.1

Detrás de este proyecto está Brandon Thomas, un desarrollador de Atlanta, y su hoja de ruta calcula lo que falta en horas de un agente Claude: una IA construyendo la herramienta que otra IA manejará para maquetar libros. Si esto no es El lado del mal, que venga Woz y lo vea.

State of the art: ¿qué mantiene a DesignCraft en pre-alpha?

Lo primero en cualquier maqueta es volcar el texto del autor, así que esa fue mi primera prueba: un .docx largo, con Colocar (File > Place). Resultado: todo el texto se queda clavado en la página 1. Probé el marco de texto principal, el reflujo inteligente y el puerto de salida a mano. Nada.

Figura 7: Primera en la frente. First on the forefront. Problemillas de overflow

No es un bug que haya que reportar: es algo estructural. Su propia documentación dice que es justo lo que mantiene a DesignCraft en pre-alpha, y calcula unas 15–25 horas de agente hasta pasar a alfa. Parece cuestión de tiempo.

¿Genera DesignCraft los formatos que necesitamos?

Más bien no, pero se puede vivir. Exporta de sobra para imprenta y delivery: PDF (con PDF/X-4), EPUB, PNG, IDML y HTML básico. Pero una editorial también necesita brutos para reeditar sus obras, y DesignCraft trabaja con su propio .designcraft y con IDML, sin los nativos de InDesign (.indd y .indb). ¿Llegarán? WordCraft ya guarda .docx, y PhotoCraft, .psd. Ya se verá.

Eso sí, esto no sé si debería decirlo. Un .indd sólo se abre con InDesign, e InDesign sólo se abre con suscripción. Si el archivo madre depende de una suscripción, el libro depende de ella también. Que no digo nada yo, pero pooor comentarlooo…

Por lo demás, ¿DesignCraft funciona? Probemos GREP

Una tarea común en InDesign es la búsqueda y reemplazo con GREP para unificar la ortotipografía: buena prueba de cara a delegar en agentes. Así que escribí un diálogo con las irregularidades típicas: diez párrafos con guiones, rayas cortas y espacios de más.

Figura 8: El diálogo del shao-peng, un texto tontísimo mío,

listo para unificación ortotipográfica

La norma es regular, así que cabe en una fórmula. En DesignCraft, Edit > Find/Change:

• En el campo “Find what” escribimos esto: ^[-–—]\s*
• Y en el campo “Change to” escribimos esto: —

Pulsamos “Change All” y... funciona: cambia todo lo que tiene que cambiar y respeta el resto.

Figura 9: El diálogo del shao-peng, con los guiones unificados de

una sola atacada. La búsqueda GREP sí funciona en DesignCraft

(las marcas verdes señalan lo corregido y lo respetado, según tocaba).

Sólo un detalle: para deshacer hay que pulsar Ctrl+Z dos veces. Cosicas que se irán puliendo con cariño. Para una versión pre-alpha, es bastante más de lo que esperaba. Mi conclusión, por ahora: es pronto. Al pensar en el MCP se me ponen ojitos de corazón… (¡Al pensar en USARLO, no en CONFIGURARLO! XD) Pero hoy no se puede predecir la calidad con un libro largo. Seguiré observando.

Figura 10: ¿Qué tienen en común un MCP (Model Context Protocol)

y un MPC (Módulo de Punto Cero) de Stargate?

Pásate por el chat público de El lado del mal en MyPublicInbox

y descubrirás esta y muchas más tonterías

¿Por qué Claude no puede meterse (mucho) en Adobe InDesign?

¿Y Adobe? Si queremos que Claude maneje de verdad nuestro InDesign original, hoy hay tres caminos, y ninguno nos lleva hasta la cocina:

1. El conector oficial: “Adobe”: Antes se llamaba “Adobe for creativity”; ahora, sin más, “Adobe”. Reúne Photoshop, Premiere... e InDesign, pero trabaja en la nube: subes un archivo al chat, lo procesa y te lo devuelve. Su página de ayuda nombra a InDesign, pero no describe ni una sola tarea de InDesign. Más nombre que práctica.

2. Desde Netherlands con amor "Sidekick for InDesign": Este proyecto es supercuqui. Lo creó Wilfred Springer y lo comercializa su empresa East Pole: es un plugin que se instala dentro de InDesign y se conecta, por MCP, con Claude.

Figura 11: Sidekick for InDesign, un plugin para macOS y Windows.

¿Merece la pena?

Cuesta 9,95 $ al mes, con 30 días de prueba gratis: un micro-SaaS de nicho, pequeñito y bien hecho. Y en su blog, Wilfred cuenta cómo usó Claude para corregir la ortotipografía de un documento en neerlandés. Justo mi caso, mola. Pero tiene sus pegas:ç

• Más suscripciones: Se suma a lo que ya pagas: Adobe, más Claude, más Sidekick.
• Vive en casa ajena: Si Adobe cambia sus APIs o retira el plugin de Exchange, puede dejar de funcionar.
• Colaboras, no delegas: En su blog, a Claude no le bastó una instrucción, y cada fallo necesitó un empujoncito. “Estás colaborando, no delegando”, reconoce el propio Wilfred. Con todo, es lo más cerca de la cocina que se puede llegar hoy. ¿Una probadilla con el diálogo del shao-peng? La apunto para otro día.

3. Los intentos modestos de la comunidad: En GitHub hay servidores MCP para InDesign hechos por particulares, como indesign-mcp, de bejaminjones: solo para macOS y muy pequeño (2 estrellas, sin licencia declarada). Puentes artesanales para cruzar ríos que no están ahí por diseño en la geografía de Adobe. Con perdón =^_^=

La diferencia no está en si la IA puede entrar, sino en por dónde. Adobe le abre una ventanilla en su nube; los plugins de terceros le tallan una puerta de servicio. Los clones de ArtCraft le dan las llaves de casa: en DesignCraft, cada menú, herramienta, panel y diálogo se maneja a través de su servidor MCP.

“Stream of Consciousness”, Más allá del límite (1997)

¿Te acuerdas del episodio del principio? Vamos a recuperar esa imagen.

Figura 12: Más allá del límite, temporada 3 episodio 5,

“Red de consciencia”. Este tienes que verlo

En ese futuro, “the Stream” te mete en la cabeza todo el conocimiento humano. Nadie lee. A Ryan, un chico que no puede conectarse por una lesión cerebral, esa rareza le cuesta el rechazo de todos. Hasta que un virus revienta “the Stream” y empieza a freír cerebros. Todo el mundo está perdido. Todo el mundo excepto... Y no te cuento más.

Figura 13: George Newbern y Suki Kaiser en la intro de

“Red de consciencia”. Ella lleva su dispositivo en la sien.

Él, ajeno a “the Stream”, lee un libro

Y aquí está el “cuidado con lo que deseas” que iba a poner de título.... Yo quiero que Claude entre hasta la cocina de mi maqueta, sí. Pero quiero seguir sabiendo maquetar. Si un día lo delegamos todo, el GREP, los estilos y hasta el criterio, seremos como la gente de “the Stream”: muy conectados, y muy perdidos en cuanto se caiga la red.

¿Os he contado que estudié Filología? Ya sabes, φίλος (philos): amigo, amante, aficionado. λόγος (logos): palabra, razón. Si los médicos tienen su juramento hipocrático, el nuestro es preservar el conocimiento. Y me da a mí que, al final, voy a ejercer más de lo que pensaba.

Figura 14:"Hacking IA: Jailbreak, Prompt Injection, Hallucinations & Unalignment"

escrito por Chema Alonso con la colaboración de Pablo González, Fran Ramírez, Amador Aparicio, Manuel S. Lemos y José Palanco en 0xWord

Que Claude se quede con las rayas, los estilos y los GREP. Que vayamos a conciertos de Despistaos, que tomemos cervezas con amigos. Que los clones como ArtCraft maduren y nos dejen trabajar con Agentes IA, evitándonos esos momentos de narcolepsia criminal. Y que lo que generemos al final siga siendo un libro de papel, con su registro bibliográfico y su tacto en manos humanas. Porque las redes caen, los servidores se apagan y las suscripciones caducan. Y cuando eso pase, alguien tendrá que saber leer. Y alguien tendrá que saber defendernos. Mejor si eres tú... con un libro de 0xWord en la mano.

¡Saludos buenignos!

Autor: María Gómez Prieto

Contactar con María Gómez Prieto

Cálico Electrónico: Cómo recuperar juegos en Flash como Pang Tumaka usando Ruffle

Preparar este artículo ha sido precioso. Empecé con un gran tesoro en un cofre muy pequeño en forma de una línea de código para llamar a un emulador Flash, y terminé construyendo un vídeo loquísimo. Soy María, (¡gracias dr. dr. Maligno! *reverencia* *namasté* *patada voladora*). El vídeo es un tutorial para recuperar juegos Flash, tanto para jugarlos en local como para publicarlos en Internet.

Figura 1: Cálico Electrónico - Cómo recuperar juegos en Flash como

Pang Tumaka usando Ruffle

Como ejemplo, hemos recuperado el Pang Tumaka, el minijuego original de Cálico Electrónico. Es el único que hemos encontrado. Hubo algunos más, hechos por fans y si alguien puede facilitarnos alguna copia para que los rescatemos, sería un detallazo.

Figura 2: El juego de Pang Tumaka de Cálico Electrónico

En ordenador funciona estupendamente, con teclado. Aunque puedes ver la intro también en móviles, los controles del juego en principio no te van a funcionar en el móvil, porque son de teclado (no de ratón) y eso el móvil (táctil) no lo entiende. Seguro que hay forma de apañarlo, ¿alguien se atreve?

Figura 3: Ya puedes jugar a Pang Tumaka en la web de Cálico Electrónico

Pensaba escribir este artículo como tutorial sobre cómo recuperar minijuegos Flash, que es lo mismo que os cuento en el vídeo. Pero ahora me parece más interesante hablaros del vídeo en sí. Me lo he currado yo solita, a "caraperro". 

Figura 4: El juego arranca en móviles, pero los controles no

Me ha llevado dos semanas. La única voz natural es la mía. Las demás las he clonado en ElevenLabs. La música la he generado con Suno. Las animaciones son robaditas del Canal de YouTube de Cálico Electrónico, aunque todo el timing es nuevo. Está todo editadísimo, prácticamente fotograma a fotograma.

Figura 5: Las Tiras de Cálico 3. Ya a la venta el cómic en 0xWord

Ayer añadí la intro de Sombra Oscura. Por cierto, ¿has notado ese carraspeo al principio? Es una transición que se me ocurrió entre el susto inicial, que es voz original, y el resto del discurso, que es voz clonada.

El susto inicial lo choriceé junto con la animación del último episodio de Cálico Electrónico, porque la profundidad de matices de Santi Riscos no me la da ElevenLabs ni de lejos. La tosecilla es natural también, es un free to use grabado por un chaval, lo pillé en freesound.org. Sombra Oscura dice en la intro:

«En estos días de computación cuántica e inteligencia artificial, os traemos este tributo por los viejos tiempos, cuando creábamos y compartíamos sandeces monumentales desde lo más profundo de nuestra humanidad.»

No me voy a detener a considerar la tradición del género satírico como una constante en nuestra cultura grecorromana de toda la vida de Dios, con todo lo obsceno, lo malsonante y lo escatológico desafiando las convenciones sociales y sustentando la base de la comedia más orgánica. Nada nuevo. Vamos con lo tecnológico.

Figura 6: Vídeo Tutorial de Cómo recuperar Pang Tumaka

Cuando Nikotxan y todos sus secuaces crearon Cálico Electrónico, hace 20 años, Internet iba despacico y nuestros ordenadores más. Adobe sacó un programilla llamado Flash, que era otra apuesta diferente a Photoshop, más orientado a ilustración vectorial... 

Figura 7: Contactar con Nikotxan, papá de Cálico Electrónico

Pero resultó que ¡Flash tenía TIMELINE! Lo cual nos permitía gestionar nuestros garabatos en la línea de tiempo y crear animaciones sin grandes despliegues. Hablando de timeline, esta imagen no es un diseño raro de tipografía del futuro, no... es el timeline de este vídeo tributo a Cálico, en Premiere Pro. ¡El timeline del infierno! Pues así me divierto yo, hala.

Figura 8: El timeline de este vídeo tributo a Cálico Electrónico, en Premiere Pro.  

Hoy en día tenemos muchos más medios que hace 20 años. Hay quien teme que la inteligencia artificial haga lo suyo y nos "vuele la cabeza" con sus generaditos. Y ya que estamos, le damos de comer todo lo anterior y nosotros lo olvidamos... Pero (en mi experiencia), no creo que funcione así.  Por cierto, antes de que se me pase, estamos en BlackFriday.... píllate algo de Cálico Electrónico.

Figura 9: Estamos BlackFriday en 0xWord.com

Cupón 10% descuento: BLACKFRIDAY2024

y descuentos con Tempos de MyPublicInbox

Formatos como Flash, que fue nuestro sandbox para animar y programar en ActionScript, se pueden recuperar gracias a proyectos de código abierto que dependen del trabajo desinteresado de muchísimas personas comprometidas con la conservación de nuestros bienes culturales. 

Figura 10: Camiseta de Cálico Electrónico lady fit

Esta es la magia de los emuladores, desde los mejorados Neo Geo hasta la joya de la corona ScummVM, los emuladores nos permiten revivir los patrones de pensamiento lógico que marcaron una generación. El anterior párrafo me ha quedado muy serio. Imagínatelo dicho por Sombra Oscura. No no... ¡Mejor por Chindasvinta, hermano *!

Niko miamol, si estás leyendo esto... Es triste de robar, pero más triste es de clonar.

Recursos utilizados para rescatar el Pang Tumaka:

• https://flashpointarchive.org
• https://ruffle.rs
• https://github.com/jindrapetrik/jpexs-decompiler

¡Saludos!

Autor: María Gómez Prieto

Contactar con María Gómez Prieto

¿Has encontrado Oro o Plata? El precio de los 0days en forma de Tabla Periódica

La empresa Zerodium saltó a la fama en Internet por haber ofrecido un precio de 1.000.000 USD por un 0day en Apple iOS que permitiría tomar control remotamente de un terminal iOS. La idea de ese exploit es la posible construcción de un JailbreakMe 4.0 que, como ya hiciera el investigador José Selvi con JailbreakMe 3.0, agencias de inteligencia podrían convertir en un JailOwnMe 4.0 tal y como se explica en el libro de Hacking iOS: iPhone & iPad.

Figura 1: ¿Qué 0day es Oro y cuál es plata?

Por supuesto, ya anunciaron que habían pagado ese Millón de Dólares por un exploit que cumplía las características pero que NO lo iban a publicar. Es parte de su negocio, ya que ellos luego venden este conocimiento a empresas que quieren estar más seguras que el resto. O esa es la idea.

Figura 2: El cartel con la recompensa de 1.000.000 USD inicial

Ahora, ya conocido su negocio por todos, han puesto en Internet una tabla periódica con los precios que van a pagar por exploits en los principales productos. La estrella sigue siendo Apple iOS, con pagos de hasta 500.000 USD por 0days en su plataforma, seguido por Android y Windows Phone que llegan hasta las 100.000 USD. Luego baja ya a los plugins y navegadores con Adobe PDF, Flash Player y Google Chrome llegando a los 80.000 USD. La lista es larga y deja, por ejemplo, los exploits de Windows, Mac OS X y Linux en un precio de 30.000 USD. Puedes buscar tu software favorito en ella.

Figura 3: Lista de precios por exploits y tecnologías

Una cosa interesante es que no se pagan todos los exploits y buscan exploits detallados en cada cuadrito. Por ejemplo, los RCE (Remote Code Executation) son los que se buscan en los plugins y navegadores. En los sistemas operativos de escritorio bastan con un LPE (Local Privilege Escalation) siempre que tenga un SBX (SandBox Escape) asociado, ya que con pedir la ayuda al usuario para que haga un clic en un enlace sería suficiente para conseguir el RCE final.

Figura 4: Zerodium Preguntas Frecuentes

Por supuesto en Apple iOS se busca el RJB (Remote Jailbreak) para poder tomar control total del dispositivo. Es decir, no solo ejecutar código, sino hacer la elevación de privilegios, cargarse el CodeSigning y controlar totalmente el dispositivo.Si queréis más información de qué se paga y qué no se paga, o como reportar un exploit de 0day, lo mejor es que os leáis las FAQs.

Saludos Mglignos!

Cross-Site SWF Scripting con Rosetta para Flash

Cuando un sitio web está utilizando en alguna medida Adobe Flash, está poniendo en el cliente códigos que van a ser ejecutados no directamente en el navegador de Internet, sino en un plugin que se carga en él, el famoso - muchas veces por fallos de seguridad - Adobe Flash Player. Al ser una plugin completo que ejecuta un código propio - Action Script - se comporta como un navegador de Internet dentro de un navegador de Internet y por ello debe aplicar más o menos las mismas medidas de protección que toman hoy en día los navegadores, y a veces no lo hace correctamente.

Same-Origin Policy en Adobe con CrossDomain.xml

Una de las políticas de seguridad que implementan los navegadores de Internet es el Same-Origin Policy. Esta política hace que el código que se carga en una pestaña de un navegador pueda acceder a datos solo a páginas que son del mismo dominio, es decir, que un código JavaScript no podría nunca acceder a la cookie o ningún elemento que compongan la página servida desde otro dominio. Es por ello que para poder acceder a los datos de otra pestaña se utilizan, por ejemplo, los ataques de Cross-Site Scripting, ya que consiguen inyectar código en la pestaña del dominio víctima.

En el caso de Adobe Flash y Adobe Acrobat, es el plugin es que debe forzar esa política de Same-Origin Policy y lo hace mediante la configuración de un fichero en la web de cada sitio, llamado CrossDomain.XML. Por defecto el acceso a datos desde otras ubicaciones está prohibido, pero el dueño de un sitio web puede permitir excepciones. Por ejemplo, si vamos a ver el fichero CrossDomain.XML de EBay podemos ver que hay muchas excepciones en él.

Figura 1: Fichero CrossDomain.XML en Ebay

Sin embargo, existe una forma de saltarse la protección de Same-Origin Policy en Adobe Flash Player mediante la inyección de un fichero SWF en un ataque Cross-Site Scripting o CSRF, pero para ello hay que conseguir que el fichero NO sea servido desde ninguna ubicación externa, sino que sea servido desde el mismo sitio creándolo al vuelo.

Es decir, si se inyecta un código JavaScript que carga un SWF que venga desde una ubicación de terceros, entonces se aplicará Same-Origin Policy y no se podrá hacer nada, pero el plugin de Adobe Flash Player permite que se ejecuten ficheros SWF que desde las llamadas especificadas dentro del parámetro DATA luego si se consigue que esa URL devuelva un SWF aunque sea inyectándolo en un parámetro, se ejecutar. Es decir, si un atacante es capaz de inyectar byte a byte el código de un SWF en la respuesta de una web inyectable haciendo mirroring sin que el plugin tenga que ir a una ubicación tercera, la configuración de CrossDomain.xml no afectaría para nada a este esquema.

Ataques a JASONP API

El trabajo que va a ser presentado por el investigador Michele Spagnolo se ha basado en lo explicado anteriormente, es decir, en inyectar objetos SWF maliciosos en funciones vulnerables de un dominio víctima que van a ejecutar un código Action Script que robará los datos del usuario que se conecte a ese domino víctima. Algo que podríamos decir que es un Cross-Site SWF Scripting.

Para ello ha abusado de los puntos de llamada a las APIs de JASONP vulnerables. Estas APIs de JASONP son muy comunes en los grandes sitios web de Internet ya que permiten servir y consumir WebServices con llamadas en texto plano, indicando en el parámetro Callback de la API el nombre de la función a invocar, y luego los parámetros que deben pasarse. 

Figura 2: Inyección de SWF en el parámetro callback de un API JASONP

En APIs de JASONP en las que se pueda controlar la respuesta de los datos mediante la inyección en los parámetros de llamada por CallBack, un atacante podría aprovecharse de un bug de XSS, o lo que es aún más peligroso, de un bug de CSRF en la web e inyectar en ellos un objeto SWF malicioso escrito directamente en la URL que robara  las cookies de la víctima haciendo peticiones GET y/o POST a un servidor controlado.

Rosetta Tool

En este entorno hay dos limitaciones, la primera de ellas encontrar la función del API JASONP que permite controlar la salida, y que por lo visto no ha sido un reto para Michele Spagnolo que ha visto como este ataque afectaba a Google, Ebay, Twitter, Tumblr, Instagram, etcétera, etcétera. Algunos de ellos, como Ebay o Instagram aún permanecen vulnerables.

La segunda de las limitaciones era la complejidad técnica más grande que había que saltar, y es que la API de JASONP generalmente solo permite entradas de valores en los parámetros que sean alfanuméricas, por lo que hay que conseguir que el objeto SWF que se inyecte en el parámetro esté codificado en ese formato. 

Figura 3: Concepto de Rosetta Tool

Habitualmente un fichero SWF es un archivo binario, y ahí es donde aparece Rosetta. Lo que hace esta herramienta es, a partir de cualquier objeto binario SWF genera un archivo comprimido con zlib que utiliza solo caracteres alfanuméricos, gracias a técnicas basadas en la codificación Huffman y algún ataque más. Todo esto lo explicará en su próxima charla en Hack in The Box, pero las diapositivas están ya disponibles.

Figura 4: Prueba de Concepto Universal escrita en Action Script 2 para ejecutar en la víctima

Esto permite generar ataques saltándose Same-Origin Policy, y para hacerlo más fácil ha creado una Prueba de Concepto Universal escrita en Action Script 2 que realiza la petición de los datos de entorno de una ubicación víctima a un servidor atacante. Puede ser descargada desde su repositorio en GitHUB.

Figura 5: Explotación de la POC con un Objeto Flash que debe ser cargado en el navegador de la víctima

La codificación con Rosetta del objeto malicioso es la que se ve en Data y para realizar el ataque completo hay que llamar con los parámetros URL y Exfiltrate correctos.

Mitigaciones y estado actual

Por supuesto, Adobe no tardó en proveer de una actualización de seguridad para todos los Adobe Flash Players en Windows, Linux y Mac OS X con el objeto de evitar estos ataques mediante una nueva versión que revisa con mayor fortaleza los objetos que le entran escritos en las páginas web, pero como no todos los usuarios se actualizan hay aún muchos clientes vulnerables. Algunos como Apple, ha prohibido con XCode el uso de versiones de Adobe Flash Player en Apple Safari para OS X vulnerables a esta técnica.

Por su parte, los sitos web con APIs JASONP que permiten al atacante controlar la salida de las respuestas están mirando cómo solucionar estos bugs. Algunos como Google o Twitter ya lo han solucionado, pero aún quedan muchos otros por corregir estos fallos. Tú, por si acaso, actualiza tu Adobe Flash Player ahora mismo.

Saludos Malignos!

Más de 161 millones de identidades pwneadas en Internet

En muchas conferencias de las que he dado últimamente he hablado del sitio Have I been Pwned? que se dedica a recoger bases de datos de identidades expuestas en Internet tras el hackeo de sitios de renombre. En este sitio se encuentra, por ejemplo, la base de datos de Adobe con 152 millones de identidades, que es la más llamativa, pero también hay otras como una de Vodafone con algo más de 52 mil cuentas expuestas, la de Snapchat con más de 4 millones de identidades, la base de datos de Forrester y Gawker con algo más de 1 millón de cuentas cada una, etcétera.

Figura 1: Bases de Datos consolidadas en Have I been Pwned?

Al final, la lista alcanza los más de 161 millones de identidades en Internet, por lo que si alguien ha tenido la brillante idea de utilizar una cuenta de otro sitio para registrarse en los servicios hackeados y usar una contraseña repetida, entonces sus cuentas están en serio riesgo.

Figura 2: Cómo conquistar el mundo gracias al password reuse por XKCD

El servicio en cuestión de Have I been Pwned? permite realizar búsquedas de cuentas de correo electrónico en esa base de datos, para ver si alguna cuenta de correo electrónico ha aparecido en alguna de ellas. Yo he buscado por ejemplo admin@forbes.com y puedes ver que aparece expuesta en el incidente de hackeo de Forbes, lo que es hasta normal.

Figura 3: La identidad de admin@forbes.com aparece en la base de datos de Forbes

Lo que no es tan normal es que ma haya salido como resultado que la cuenta admin@sony.com no aparezca en la base de datos del hackeo Sony y sí por el contrario en la base de datos del hackeo de Adobe, como es el caso.

Figura 4: La cuenta de correo de admin@sony.com apareció en la base de datos de Adobe

Que el administrador de Sony ha utilizado su cuenta de correo para registrarse en Adobe es una mala idea, pero esperemos que al menos no haga reutilización de passwords ni tenga algún método de construcción de contraseñas similares al de Dan Kaminsky en su famoso pwnage... o que al menos use Latch }:)

Saludos Malignos!

Cuando hackean una base de datos te hackean a ti también

Muchas veces la gente que no trabaja en seguridad me pregunta porque esa obsesión mía de estar conectado todo el tiempo y alerta de lo que está pasando, actualizando el buzón de  correo electrónico cada poco tiempo y leyendo lista infinitas de noticias en RSS que vuelven a crecer cada semana con nuevos focos de información que ofrecen nuevos datos de interés.

La respuesta no es demasiado fácil de explicar a la gente que no trabaja en este area profesional, y a sus ojos acabamos pareciendo adictos a Internet, pero lo cierto es que tiene su explicación, ya que lo que sucede en Internet te puede afectar a ti también de forma directa, especialmente cuando hay un hackeo de un sitio y se publican bases de datos de usuarios y contraseñas.

El caso de las contraseñas de Adobe

Con la liberación de las contraseñas de la base de datos de usuarios de Abode, el mundo de la seguridad en la empresa está revuelto. Por supuesto, lo primero de todo ha sido comidilla que supone que una empresa como Adobe sufra una intrusión de esta índole, dejando claro que los algoritmos de almacenamiento de passwords no eran los más adecuados para garantizar una buena estrategia de Defensa en Profundidad que debería haber terminado con "Si acceden a los hashes que no las pueda crackear fácilmente".

Figura 1: Tira de XKCD sobre cómo usar las pistas de las passwords para hacer un juego de palabras cruzadas

Esto ha llevado al cachondeo en XKCD que decía que sería divertida una implementación de un juego de palabras cruzadas usando las pistas que los propios dueños de las credenciales han dejado junto a sus hashes, y ha terminado convirtiéndose en un juego real en Internet.

El análisis de los datos filtrados

Pero lo más importante no es la comidilla que pueda generarse alrededor de un determinado incidente de seguridad, sino lo que todos los equipos de seguridad de todas las empresas han tenido que hacer para contener el impacto de esta intrusión dentro de sus propios sistemas. Aquí es donde los equipos CERT de cada una de las organizaciones deben comenzar a trabajar, para saber cuánto les puede afectar este fallo de "otros".

Figura 2: Cuentas con dominios del IBEX 35 en la base de datos filtrada de Adobe

En Security By Default se alertaba de la cantidad de direcciones de correo corporativas utilizadas para la generación de cuentas de servicio en Adobe, lo que podría llevar, por una mala gestión de sus propias contraseñas, a que un usuario hubiera utilizado la misma password en Adobe que la que utiliza en su compañía.

Si el usuario de nuestra organización hubiera sido lo suficiente descuidado como para utilizar la misma contraseña en ese servicio de Internet para el que le han robado la password que en el sistema de la empresa, entonces tendríamos un problema. Por desgracia, la reutilización de passwords es un mal endémico demasiado difícil de erradicar, tratado también hace tiempo por xkcd.

Los datos de malware y botnets exfiltradas

Los equipos de seguridad de una empresa, cuentan con las políticas de contraseñas, que obligan a no repetir contraseñas, a cumplir grados de complejidad y a cambiarlas periódicamente, así, aunque un usuario repita una contraseña en un servicio perdido de Internet, las probabilidades de que sea la misma que la que se usa en la empresa son menores.

Figura 3: Datos de cuentas filtrados de una botnet con HCStealer

Esto mismo sucede cuando en algún almacén de un malware o una botnet de los amigos del Fraude Online aparecen datos de de cuentas de usuarios de cualquier servicio de Internet con direcciones de correo electrónico pertenecientes a dominios de una empresa. Solo hay que buscar un poco siguiendo las indicaciones que aparecen en el artículo de Enrique Rando para acabar dando con cuentas corporativas junto con la contraseña de algún servicio en Internet que ha acabado siendo robado por cualquier malware.

Imagen corporativa

Aunque se pueda mitigar el impacto de la re-utilización de contraseñas, sigue siendo malo para la compañía la fuga de nombres de direcciones de correo en servicios de Internet no es una buena cosa, por lo que es necesario contar con servicios de ciberseguridad que vigilen el mundo sin fin en que se ha convertido nuestro CPD.

Además de contratar esos servicios, una de las buenas prácticas es la de prohibir por política de uso la dirección de correo electrónico para darse de alta en servicios de Internet. En muchos servicios es posible conocer qué cuentas se han utilizado para registrar servicios por medio de pequeñas fugas de información en los procesos de alta de cuenta, de login o recuperación de contraseñas.

Esto hace que como medida de seguridad los servicios de ciberseguridad o las mismas empresas puedan monitorizar determinadas cuentas de correo electrónico para saber si están cumpliendo o no las políticas de seguridad corporativas.

Protección Personal

El que no se deban utilizar las cuentas de correo electrónico de la empresa para darse de alta en servicios de Internet de uso personal es algo que no deberían prohibir tan siquiera, ya que es de sentido común. Hay que tener en cuenta que una vez que la cuenta de correo ya no sea del empleado la empresa podrá recuperar todas los servicios asociados a ella.

Para uso en servicios al margen de la empresa, lo recomendable para una persona es utilizar una cuenta de correo electrónico de registro de servicios, pero que nunca sea la cuenta de correo que actúa como piedra de clave, para que nunca caiga esa cuenta cuando salgan los logins de cualquier base de datos de usuarios y contraseñas hackeada.

Tampoco deberían utilizarse cuentas de correo corporativas asociadas a personas concretas para darse de alta en servicios, sino que deberían utilizarse cuentas especiales de registro en servicios que además estuvieran inventariadas y controladas, ya que deben perdurar - o no - más allá que la vida profesional de un determinado empleado.

En definitiva, piénsate muy mucho qué identidad vas a dar de alta en un servicio en Internet antes de hacerlo, que si lo haces muy a la ligera puedes estar poniendo en riesgo a tu empresa o a ti mismo.

Saludos Malignos!

Análisis de metadatos en la contabilidad filtrada del PP

Antes de comenzar a leer este artículo, quiero dejar claro que esto no es más que un ejercicio técnico de revisión de documentos, y que un informe pericial podría sacar mucha más información. Es cierto que con tal cantidad de documentos filtrados, era imposible no pensar en analizar los metadatos de todos ellos para ver qué se podía extraer en global de todos ellos, pero desconocemos si fue la misma persona la que los escaneó, los empaquetó en ficheros .ZIP y la que los filtró en Internet. Vamos a hacer un pequeño análisis forense digital, a ver qué sale.

Figura 1: Vídeo-Tutorial de Forensic FOCA

Para este ejercicio que formará parte de los ejemplos ejemplares de análisis forense de metadatos supondremos que todas son personas distintas - hasta que se demuestre lo contrario - y solo se hace un ejercicio de análisis de metadatos para ver qué sale. Por supuesto, para hacer esta tarea de análisis de más de 5GB de datos nada mejor que Forensic FOCA que para esto se creó.

Los ficheros comprimidos

Los documentos se publicaron en ficheros .ZIP comprimidos, en los que aparecían archivos de miniaturas Thumbs.db, lo que podría significar que se habían creado con un Windows XP o anteriores. En el último de ellos, relativo a la contabilidad de 2011 aparecía sin embargo, entre la compleja estructura de carpetas, un fichero .DS_Store, típico de sistemas operativos Mac OS X, lo que parece que se podría haber hecho desde varios ordenadores el empaquetado de los documentos. Así que hemos de suponer que la persona que los empaquetó, o era una con dos equipos distintos, o fueron dos personas distintas.

Figura 2: Thumbs.db en ZIP de año 1999

Los ficheros descomprimidos

Si se descomprimen los ficheros, aparecen más de 400 documentos en formato PDF. Todos ellos son copias escaneadas de documentos originales, pero tenemos la ventaja de que no han sido limpiados de metadatos, por lo que se puede extraer mucha información de ellos. Para analizarlos con Forensic FOCA se extraen todos y se arrastran a la herramienta. El resto se hace solo.

Figura 3: Lista de documentos publicados

Que aparezcan los ficheros comprimidos con archivos de miniaturas y los documentos PDF con metadatos podrían hacernos pensar que la persona que filtró los documentos en Internet o no es la misma que los escaneó y comprimió - y por tanto no le importa la info que de ahí se pueda extraer - o no tiene un perfil técnico alto, lo que haría pensar más en una filtración de alguien con acceso a los documentos en lugar de un ataque hacktivista.

Las rutas a carpetas

Si miramos al estructura de carpetas que aparecen, es curioso ver unidades como m: o t:, lo que significa que se está utilizando algún tipo de sistema de almacenamiento en red NAS para guardar todos los documentos mientras se escanean. Si hubiera que especular sobre el sistema, parece un scaner/digitalizados/multifunción que come documentos y genera los PDF, pero hay cosas que generan diferencias más adelante.

Figura 4: Rutas a carpetas encontradas en los documentos PDF

El software utilizado

Esta información sí que es relevante, pues además de software muy común como Adobe Acrobat o Adobe Distiler, aparecen versiones de software muy concretas, como EFI Cyclone o Developer Express Inc.

Figura 5: Software de creación de documentos PDF encontrado

La primera de ellas es especialmente llamativa, pues es software de impresión profesional que se usa en impresoras de gama alta utilizadas en centros de reprografía de documentos. La lista de equipos que incorporan estas librerías de EFI puede consultarse en la web del fabricante. Nitro PDF Professional tampoco es un software demasiado común, y la versión 6 es bastante antigua.

Las fechas de creación de los documentos

Tras analizar cuándo se crearon y modificaron los documentos, puede verse como se crean y modifican los ficheros PDF. Esto es algo típico de documentos creados página a página, es decir, se digitaliza la página 1 y se crea el documento, luego se digitaliza la página 2, y se modifica el documento PDF anterior.

Figura 6: Sección de fechas de creación y modificación de documentos

Las fechas de creación de estos documentos digitalizados comienzan a hacerse en serie a partir del 8 de Febrero de 2013 en adelante, lo que parece que se hizo a conciencia, ya que hay miles de páginas entre todos los documentos.

Figura 7: Algunos documentos creados el 7 y 8 de Julio

Los usuarios

No aparecen usuarios en casi ningún documento, pero hay 4 de ellos en los que sí. En uno de ellos aparece un genérico Administrador, pero en otros tres documentos aparece el nombre de un usuario MAGomezc.

Figura 8: Usuarios encontrados en documentos PDF

Este nombre, que parece algo similar a Miguel Ángel Gómez C., Marco Antonio Garmendia Crespo o cualquiera de ese estilo, aparece en tres documentos digitalizados en el año 2008, es decir, hace 5 años, pero que podría indicar a una persona concreta.

Figura 9: Un documento digitalizado por MAgomezc en el año 2008

Por supuesto, este metadato sólo dice que se escaneo desde un equipo en el año 2008 en el que el usuario que estaba trabajando con ese Adobe Acrobat PDF Maker 7.0 era MAgomezc.

Al final, serán los investigadores de este caso los que tendrán que casar software con equipos personales de personas o tiendas, modelos de impresoras/digitalizadoras con dueñas, y nombres de usuarios con personas, pero esa ya es labor policial y queda lejos de nuestro objetivo por ahora.

Saludos Malignos!