Presentaciones de Troopers 16

• April 2, 2016
• tuxotron

Troopers, otra conocida conferencia sobre seguridad con sede en Alemania, ha publicado la mayoría de las presentaciones de la edición de este año (Troopers 16), celebrada el pasado mes de marzo. Opening Keynote Hiding your White-Box Designs is Not Enough Mind The Gap - Exploit Free Whitelisting Evasion Tactics Patch me if you can Attacking Next-Generation Firewalls Towards a LangSec-aware SDLC Preventing vulnerabilities in HANA-based deployments QNX: 99 Problems but a Microkernel ain't one!
Leer más

Vídeos de Black Hat Europe 2015

• March 9, 2016
• tuxotron

Después de las diapositivas, ya se han puesto disponible los vídeos de Black Hat Europe 2015: Keynote: What Got Us Here Wont Get Us There Bypassing Self-Encrypting Drives (SED) in Enterprise Environments Breaking Access Controls with Blekey Cybersecurity for Oil and Gas Industries: How Hackers Can Manipulate Oil Stocks Panel: What You Need To Know About The Changing Regulatory Landscape In Information Security Attacking The XNU Kernel In El Capitain Automating Linux Malware Analysis Using Limon Sandbox Even The Lastpass Will Be Stolen, Deal With It!
Leer más

Metaphor, prueba de concepto de explotación de Stagefright

• March 7, 2016
• tuxotron

Seguro que muchos os acordáis de la noticia que salió a la luz el año pasado sobre Stagefright (PDF). El enlace es de la presentación de dicha vulnerabilidad en Black Hat. Dicha noticia levantó bastante revuelo, porque anunciaba que cualquier teléfono móvil con Android (versiones entre 2.2 - 4.0, 5.0 y 5.1) era vulnerable y podría ser comprometido con un simple mensaje multimedia (realmente con cualquier fichero multimedia) sin intervención del usuario.
Leer más

Curso de pentesting sobre aplicaciones Android

• February 29, 2016
• tuxotron

DIVA Android (Damn Insecure and vulnerable App for Android) es una aplicación Android intencionadamente vulnerable, creada con el objetivo de ser usada con fines educativos, para la enseñanza o el aprendizaje de pentesting en aplicaciones Android. Desde Pentesting Academy nos traen un curso llamado Pentesting Android Apps - DIVA, el cual usa como base la aplicación anteriormente mencionada. El curso esta compuesto por 13 vídeos disponibles de forma gratuita:
Leer más

Seguridad informática para adolescentes

• February 26, 2016
• tuxotron

Institute for Security and Open Methodologies (ISECOM) es una organización sin ánimo de lucro con sedes en Barcelona y Nueva York. Ésta se inició como un movimiento para mejorar la verificación e implementación de la seguridad informática. Anteriormente hemos hablado del Open Source Security Testing Methodology Manual, quizás el proyecto más conocido de dicha organización. Pero estos también trabajan en otros proyectos, entre ellos uno cuyo objetivo es concienciar a la juventud sobre seguridad informática y hacking: Hacker Highschool (Security Awareness for teens).
Leer más

Imágenes de Linux Mint comprometidas

• February 21, 2016
• tuxotron

La famosa distribución Linux Mint (el sitio está actualmente abajo), ha publicado una entrada dónde avisan que las imágenes ISO de la versión 17.3 con el escrito Cinnamon han sido modificadas e incluyen una puerta trasera (backdoor). Aunque no se han dado detalles de lo ocurrido, parece que la intrusión se produjo a través de Wordpress, desde donde los atacantes fueron capaces de conseguir una shell en el sistema con permisos www-data (normalmente el usuario propietario del contenido de dicha plataforma).
Leer más

Vídeos de USENIX Enigma 2016

• February 15, 2016
• tuxotron

Otra de las grandes conferencias USENIX que tuvo lugar a finales de enero Enigma 2016, enfocada a ataques emergentes, tiene publicado los vídeos de las presentaciones. La lista no es muy amplia, pero la mayoría muy interesantes: ToStaticHTML for Everyone! About DOMPurify, ... Building a Competitive Hacking Team Verification, Auditing, and Evidence: If We Didn’t Notice Anything Wrong... Keys Under Doormats: Mandating Insecurity... Trust Beyond the First Hop–What Really Happens to Data Sent to HTTPS Websites Drops for Stuff: An Analysis of Reshipping Mule Scams Sanitize, Fuzz, and Harden Your C++ Code Dolla Dolla Bill Y'all: Cybercrime Cashouts Usable Security–The Source Awakens Defending, Detecting, and Responding to Hardware and Firmware Attacks Timeless Debugging Modern Automotive Security: History, Disclosure, and Consequences Protecting High Risk Users Opening Video PKI at Scale Using Short-lived Certificates We Need Something Better—Building STAR Vote Bullet-Proof Credit Card Processing Why Is Usable Security Hard, and What Should We Do about it?
Leer más

Cadenas de texto "comprometedoras"

• February 12, 2016
• tuxotron

Filtra los datos de entrada y sanea la salida (filter input, sanitize output) esto es de Seguridad 101, posiblemente las premisas más básicas en cuanto a temas de seguridad informática. Aunque como bien decía estos son dos conceptos muy básicos, eso no quiere decir que sean fáciles de implementar. Sobre todo el filtrado de la entrada de datos. Para cada lenguaje (con los que yo he trabajado) existen librerías que te ayudan con esta ardua tarea e incluso algunos soportan al menos de forma parcial este tipo de funcionalidad en el propio lenguaje.
Leer más

Conoce tus enemigos

• February 10, 2016
• tuxotron

A finales del año pasado el Instituto para tecnología de infraestructuras críticas (Institute for critical infrastructure technology ) publicó un documento dónde recogían información sobre los grupos activos detrás de ataques, malware, amenazas, etc. En estos incluyen desde gobiernos a hacktivistas. Este mes de febrero se ha publicado la segunda versión de dicho documento llamado Know your enemies 2.0 (PDF). El documento está organizado por países, consta de 81 páginas y contiene información general de cada grupo.
Leer más

Reto hacking en dispositivo Arduino

• February 5, 2016
• tuxotron

En Black Hat Europe 2015 (Amsterdam) se lanzó un reto de hacking (CTF) de hardware a bajo nivel basado en una plataforma Arduino, RHme+ (Riscure Hack me). Este reto ha sido puesto a disposición del público, para aquel que quiere intentarlo. Sólo se ha publicado el fichero binario que tienes que volcar en una placa Arduino. Éste ha sido probado en Arduino nano 3.0, pero se supone que también debería funcionar en las siguientes versiones:
Leer más