Category Archives: Novedades

  • 0

Distribuciones para pentesting

Distros para todo

Hasta ahora habíamos hablado de algunas aplicaciones o distribuciones para practicas de pentesting tales como DVWA o BadStore. En estas distribuciones los distribuidores de las mismas incluyen vulnerabilidades para practicar con todo tipo de fallos, pero no habíamos hablado de soluciones de seguridad integradas.
Existen multitud de programas o distribuciones que ayudan a las personas que quieren introducirse en el mundo de la seguridad informática.
La idea de todas ellas es simple:
Tenemos primero un sistema operativo, generalmente Linux, que se arranca directamente desde un CD/DVD. Este tipo de estructura tiene sus ventajas, quizás la más importante es que al no tener que estar con lo que podemos arrancarlo en cualquier sitio y lugar y no perder los datos o sistemas que usamos normalmente.
La segunda característica es que vienen cargados de herramientas. Los hay de, llamemos le “propósito general”, que tienen herramientas para realizar cualquier tipo de ataque/defensa. También los hay mas especializados con herramientas muy especificas para actividades en concreto.

Soluciones de seguridad integradas

Bugtraq

La distribución de seguridad mas famosa de todos los tiempos. Esta distribución es de las llamadas de “propósito general”, tiene cientos de herramientas que a más de uno nos ha ayudado mucho.
Bugtraq

Kali linux

Kali es un proyecto que nació a partir de otro también conocido, Back track. La gran diferencia entre ambos es que Kali está basado en Debian mientras que BackTrack está basado en Ubuntu. Así que, básicamente es una distribución debian con unos repositorios repletos de herramientas para la auditoría informática.
Kali linux

BackBox

BackBox es una distribución Linux basada en Ubuntu Proviene con una interface de escritorio KDE y por supuesto podemos lanzar la imagen en modo live por ejemplo en una máquina virtual. Parece lo suficientemente ligera y con una interface bien pensada como para hacerse un hueco dentro de las distribuciones pensadas para este tipo de uso.
http://www.backbox.org/

Ventajas

Estas distribuciones cumplen con su función al 100% y no hay que actualizar los repositorios, ni hacer instalaciones de software de terceros adicionales para que funcionen, garantizo que incluyen herramientas que le harán dudar en si usar una distribución u otra, por el aspecto, el escritorio o cualquiero otro detalle, pero no en cuanto a herramientas ya que en todas se incluye el software necesario. Se puede guardar en un CD/DVD y usarse si detecta por ejemplo algún problema, estas distribuciones pueden ayudarle a descubrir si está sufriendo algún ataque o su sistema ha sido vulnerado y como ya comentamos sin instalación alguna.

Inconvenientes

Evidentemente, siempre hay alguno. No siempre incluyen los drivers más antiguos y tampoco muchas librerías extra. Así pues, para instalarlo como sistema es recomendable tener conocimientos del sistema Linux, a la hora de configurar aplicaciones, que no están por así decirlo, en el entorno de la distribución.
 

Video Overview BackBox

Os dejo un video de como se instala y un vistazo de BackBox, que al fin y al cabo es la más nueva de las tres, en el entorno de virtualización VirtualBox
BackBox Linux 3.13 Install and overview | Try to get back your box [HD]

 


  • 0

Lanzada la ultima versión de la distribución para la privacidad Tails 1.2

Tails una distribución linux preparada para la privacidad y el anonimato

Hace un par de semanas, se presentó Tails 1.2, una distribución Linux, basada en Debian, especialmente pensada para la privacidad y el anonimato. Tails viene con paquetes instalados por defecto y preconfigurados para su uso con la red Tor y mayormente pensados para no dejar rastros de la navegación. Además se utiliza en modo live. Esto significa que se arranca desde una máquina virtual , una memoria SD, USB, un cd, o dvd a nuestro gusto y/o alcance con lo que no se dejan trazas de arranque, uso o cualquier log que pueda delatar lo que se hace y como.

Los principios en que se basa Tails:

  • El anonimato en línea y evasión de la censura con Tor
  • Se puede utilizar cualquier lugar, para no dejar rastro
  • Hace uso de herramientas criptográficas avanzadas

Tails utiliza Tor como vía para las comunicaciones, si una aplicación dentro de Tails intenta conectarse a Internet sin ser a través de Tor, esta será bloqueada, así que todo el tráfico de entrada y salida que se realiza es únicamente a través de esta red. Esto evita que quien quiera preservar su anonimato pueda desvelar su identidad por un error o descuido al no levantar sus propias medidas de seguridad o desconocer que ha sido infectado por algún tipo de malware que pudiese revelar su dirección IP.
Además Tails, se ejecuta por completo en la memoria RAM y evita utilizar cualquier disco físico de la máquina que lo aloja, para asegurarse, además de no dejar rastro, para ello cuando se apaga, borra la memoria RAM.

Tails puede ser una solución eficaz para la utilización de herramientas de red en entornos de red inseguros, donde no tengamos privacidad. Como herramienta anticensura en países que vigilen las conexiones a Internet con ánimo de censurar o espiar. En situaciones de riesgo por espionaje industrial y en cualquier otra situación donde el usuario se vea bajo la amenaza de verse comprometida su seguridad, sus comunicaciones o sus datos.
La herramienta de cifrado que viene preconfigurada en Tails es LUKS, que permite el cifrado fuerte de discos externos como dispositivos de memoria USB.

Tails privacidad a golpe de USB

Con todas esta herramientas de red y criptográficas, podemos afirmar que Tails es una solución bastante elegante para solventar este tipo de situaciones, es más, casi podría decirse que con el tiempo podría convertirse en un standard para la navegación anónima, puesto que no se limita solamente a borrar la actividad en la red, sino la de la propia máquina desde donde se realiza dicha actividad.

Tail esta basado en DebianGNU/Linus. En la imagen, el escritorio por defecto XFCE4, funcionando el TorBrowser y el monitor de ancho de banda de Vidalia/Tor.

Teail en funcionamiento

Esta versión parece que ha solventado algunos de los problemas de seguridad, que paradogicamente presentó en su versión anterior. Poco a poco parece que Tails, se esta haciendo un hueco dentro de las herramientas del mundo de la ciberseguridad.

Un sistema operativo completo, que ofrece seguridad y anonimato, que contiene potentes herramientas de cifrado, que cabe en un USB y se puede ejecutar en prácticamente cualquier ordenador de forma fácil y sencilla.

Más info:
https://tails.boum.org/about/index.en.html


  • 0

Diario de un exploit crítico. Vulnerabilidad Drupal 7.32

Cada día salen a la luz nuevas vulnerabilidades mas o menos fáciles de explotar.

Estas vulnerabilidades o bugs pueden afectar de diferente manera a los servicios que ponemos en la red. Cada vez mas, se reduce el tiempo desde que se hace publica una vulnerabilidad hasta que esta es explotada de una manera “industrial” para conseguir algún tipo de beneficio.
Lo que vamos a contar ahora es una ejemplo de esta rapidez y lo que puede llegar a hacer para una plataforma que es comprometida.

Día 0, un pentester, hacker o como quiera llamarlo descubre una vulnerabilidad en un código y lo publica en internet

Los primeros datos apuntan a que la vulnerabilidad encontrada afecta a un software muy extendido de creacion de blogs y paginas webs llamado Drupal. Esta vulnerabilidad a las versiones 7.31 y 7.32. En el siguiente video aparece un chico asiático, Pichaya Morimoto, describiendo esta vulnerabilidad en el CORE de Drupal 7.31. En el vídeo está utilizando herramientas como son plugins para la navegación, creemos que hackbar, un editor de textos para ver el código y alguna herramienta más como burp suite, además hace uso de una máquina para pruebas. Sí, más o menos, así es como los pentesters descubren la mayoría de los fallos, trabajando en encontrarlos. El vídeo está en en Tailandés, supongo, así que recomendamos poner los subtítulos en inglés.

 

Día 1, alguien ve el vídeo o encuentra la vulnerabilidad publicada y desea crear una script que la explote

Esta vulnerabilidad podría hacer que un atacante cambiase la clave del administrador del CMS, consiguiendo por supuesto el control total sobre el contenido del mismo. Por supuesto, no han tardado mucho en sacar un script que pueda explotar esta vulnerabilidad de forma casi inmediata, que el core de Drupal sea la versión 7.31 o 7.32 no importa, porque la vulnerabilidad es la misma. Drupal no ha parcheado o no se ha enterado hasta la fecha.

< ?php
//    _____      __   __  _             _______
//   / ___/___  / /__/ /_(_)___  ____  / ____(_)___  _____
//   __ / _ / //_/ __/ / __ / __ / __/ / / __ / ___/
//  ___/ /  __/ ,< / /_/ / /_/ / / / / /___/ / / / (__  )
// /____/___/_/|_|__/_/____/_/ /_/_____/_/_/ /_/____/
// Poc for Drupal Pre Auth SQL Injection - (c) 2014 SektionEins
//
// created by Stefan Horst <stefan.horst@sektioneins.de>
//        and Stefan Esser <stefan.esser@sektioneins.de>
//·
  
include 'common.inc';
include 'password.inc';
[resto del codigo]  

 

Día 2, A partir de este día muchas webs empiezan a verse afectadas

Una vez echo publico el bug, un “chico malo” un poco listo, piensa que “¿por que no lo explotamos para poner nuestras cosas?”. Dicho y echo, la tarea de automatizar la explotación de la vulnerabilidad y poner o modificar los contenidos de estas webs es un juego de niños para esta gente.Para tener una lista mas o menos actualizada de webs vulnerables se valen de repositorios públicos de este tipo de datos como Shodan.

Una vez tienen el sistema de automatización creado con la lista de maquinas vulnerables, solo falta lanzar lo a la red para explotar esos sistemas.

Las páginas web aparecen defaceadas o con cosas que no deberían estar publicadas y algunos usuarios enfadados porque la página ha desaparecido. Los malos, hacen uso de herramientas automatizadas o simplemente realizan el ataque manualmente.

Muchos clientes contactan con sus respectivos servicios de soporte del hosting, que además les dirá que es un problema de seguridad del CMS y que no es problema de ellos, que reinstales la página web y/o los backups.

Día 3, TeamSec empieza a recibir llamadas para securizar la web Drupal

Para una empresa o particular que su negocio dependa de Internet es un problema muy serio tanto por el tiempo perdido como por el dinero que puede costar la reparación o recuperación. Estos costes suponen que los responsables sepan reinstalar y/o recuperar un backup. De no ser así deberían de contratar a alguien que pueda realizar esas tareas. Deberá de comprobar que una vez recuperado el sistema vuelve a su estado anterior, eso si contar que puede perder datos por el camino.

En resumidas cuentas para una empresa le supone asignar recursos que se dedican a otras tareas para resolver el problema. Mientras que el problema persiste se esta perdiendo dinero.

Este tipo de ataques se producen en un tiempo muy corto desde que se descubre la vulnerabilidad hasta que se se automatiza y empieza a afectar a toda clase de servicios. Dado este corto periodo de tiempo, comprendemos que los administradores, o gerentes de las empresas no tienen tiempo para estar al tanto de los problemas de seguridad que pueden afectar a su plataforma, con llevar el día a día de la empresa tienen mas que suficiente. Ahí es donde entra en juego las empresas de seguridad lógica con un nutrido grupo de profesionales que están al tanto de las noticias, fallos, y demás anomalías que pueden afectar a su plataforma.

Como hemos comentado en mas de una ocasión, a Vd como empresa no les atacan por que se dediquen a esto o a lo otro, o por que tenga una mejor o menor publicidad, simplemente le atacan a su empresa por que han descubierto que su empresa es vulnerable. Aquí es donde entra en juego las empresas de seguridad. Vd se gasta dinero en puertas de entrada a sus oficinas cada vez mas seguras, en cerraduras infranqueables, etc. Si Vd tiene una pagina web, blog o escaparate en Internet, estas también tienen que estar protegido como sus oficinas. Por que al final es la cara y parte de su Marca que presenta al mundo.

TeamSec le puede ayudar en estas tareas. Le ahorrara tiempo al no tener que preocuparse de la seguridad integrar de su empresa. Le ahorrara dinero evitando que sus sistemas tengan fallos o estos sean explotados por personal ajeno que le supondrían un problema de imagen de Marca, Reputación, posibles demandas, etc, que al final se traduce en dinero. Contamos con el mejor equipo de expertos en seguridad que le ayudaran ahorrarse dinero evitando que le pasen problemas.

 

Más info sobre esta vulnerabilidad calificada con categoría de riesgo muy alto:
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE: 2014-3704


  • 0

Poodle RIP SSL. La última y definitiva vulnerabilidad de SSL

This POODLE bites!

Menudo año llevamos, desde el heartbleed, luego el shellshock y ahora nada más y nada menos que Poodle, una vulnerabilidad que según los técnicos de Google que la han descubierto, Möller Bodo, Duong Thai y Kotowicz Krzysztof parece que enterrará un proyecto con 15 años de historia y que además supone uno de los pilares fundamentales de las comunicaciones seguras de hoy en día.

Básicamente, los servidores de Internet ofrecen a sus clientes la última versión de su protocolo de comunicación segura, es entonces cuando comienza una danza de downgrade. Esto quiere decir que si un programa cliente intenta conectarse, el servidor comprueba cual es la última versión que el programa cliente soporta, y seguidamente continuar con la comunicación, pero si falla muchas veces ofrecerá una versión más antigua.

Esto mismo ocurre si se están produciendo errores en la red, que también podrían ser causados por atacantes maliciosos. Para ser más exactos, un atacante podría provocar que esos intentos de reconexión acaben por hacer que el cliente utilice una versión muy antigua de algún protocolo,como por ejemplo SSL v3, a través de un ataque man in the midle y en combinación con un ataque sobre la criptografía durante la comunicación, ya conocidos para SSL v3, haciendo que finalmente que el protocolo sea inseguro.

El cifrado de SSL v3 utiliza RC4 cipher, un tipo de cifrado en bloques, no vamos en entrar en detalles, pero en resumen, se pueden realizar dos ataques conocidos sobre este tipo de criptografía como son BEATS y Lucky-13. La intercepción previa de las comunicaciones y la modificación de estos bloques durante la negociación del protocolo, son la clave de estos ataques. Abajo he dejado un enlace que describe el ataque Lucky-13.

Soluciones al problema

    • Deshabilitar SSL 3 por el momento en las aplicaciones que lo permitan dado que no tiene arreglo por el momento.
    • OpenSSL 1.0.1 debería upgradarse a 1.0.1j.
    • OpenSSL 1.0.0 debería upgradarse a 1.0.0o.
    • OpenSSL 0.9.8 debería upgradarse a 0.9.8zc.
    • Servidores y clientes deberían soportar la opción TLS_FALLBACK_SCSV para prevenir los ataques de downgrade
    • En Firefox cercionarse de que la opción (entrando en about:config) security.tls.version.min tenga un valor igual a 1

¿Y ahora que hacemos?

Pues no nos va a quedar más remedio que evitar la inseguridad y dejar de utilizar este protocolo que por cierto ya tiene 15 años de historia, en favor de otros, como TSL 1.2. El cambio provocará algunas molestias, pero no será dramático.

Artículos originales:

https://www.openssl.org/~bodo/ssl-poodle.pdf
Descripción del ataque Lucky-13
http://www.isg.rhul.ac.uk/tls/Lucky13.html


  • 0

Outernet, wifi gratis desde el espacio.

Después de ver los avances en micro-ordenadores tales como Raspberry, Cubieboard, Cubietruck… vamos viendo la tendencia a abaratar costes miniaturizando todo. En este tema en concreto nos lanzamos al espacio exterior para contemplar la implementación global de uno de los grandes avances de este tiempo, los satélites de bajo coste. Así lo explica dailymail.co.uk en su página web. Outernet es un proyecto de la organización “Media Development Investment Fund (MDIF)“, ¿Su objetivo? Acceso web gratis para todo el mundo vía de satélite.

En este ambicioso proyecto se planean poner en órbita cientos de satélites alrededor del mundo entero, incluyendo países castigados bajo el yugo de la censura como China o Korea del norte, con esto se pretende un acceso más libre a la información sin tener que estar sometidos a la voluntad del gobierno censor en cuestión.

Para ello van a necesitar muchos cubesats, satélites pequeños de bajo coste con los que pretenden dar cobertura al mundo entero en junio del 2015. La forma de transmisión será a través del protocolo UDP, un protocolo que no necesita confirmación del envío de paquetes. Al ser una red wifi a gran escala, uno se plantea de qué forma irá implementada la seguridad y si realmente es posible mantener una red wireless para el mundo, contando con la cantidad de problemas que también ello acarrearía.
Gracias a estos pequeños satélites podemos ver crecer otros proyectos como éste, de la universidad de Vigo, tiendas online de Cubesat. Esto podrá suponer un adelanto en materia de investigación, se reducirían los costes a menos de 10.000 dólares por microsatélite pesando 1kg y un volumen de 1 litro.

Imagen de un cubesat:

Varias compañías como Wikipedia y Ubuntu entre otras han decidido dar el sí para aprobar esta propuesta, la cual se supone que estará en fase de pruebas en junio de 2015.