Fuente

En esta entrada vamos a ver porque es importante el evitar las malas prácticas o dicho de otra forma, porque es bueno seguir buenas prácticas la hora de configurar nuestros equipos. Para ello vamos a ver el siguiente vídeo publicado por Acunetix

Lo que vemos en el vídeo es como a través de un mensaje de correo electrónico especialmente formado, el atacante es capaz de modificar los servidores DNS de la víctima, de forma que está a la hora de navegar puede ser redirigido a servidores maliciosos. El ataque se lleva a cabo de forma exitosa prácticamente por tres factores:

http://open.spotify.com/track/7cshOm0BNP91eFA4FIb1bt

Athletics

Ya ha salido el un nuevo número de la revista sobre seguridad HITB o Hack In The Box. En este noveno número podemos encontrar:

• Windows Security
  • Bot Wars – The Game of Win32/64 System Takeover (04)
  • Memory Copy Functions in Local Windows Kernel Exploitation (12)
• Mobile Security
  • Android Persistent Threats (20)
• Hardware Security
  • Does the Analysis of Electrical Current Consumption of Embedded Systems could Lead to Code Reversing? (28)
• Web  Application Security
  • To Hack an ASP.Net Site? It is Difficult, but Possible! (48)
• Mobile Security
  • A Brief Introduction to VEGA (66)

Os la podéis descargar desde aquí (PDF)

Para que no te aburras este fin de semana y después de que hayas visto Er docu der finde, aquí tenéis el listado de los vídeos de la AppSec USA 2012 celebrada en Austin, Texas.

• Keynote - Securing Javascript - Douglas Crockford
• Cracking the Code of Mobile Application - Sreenarayan Ashokkumar
• Put Your Robots to Work: Security Automation at Twitter - Justin Collins, Neil Matatall, Alex Smolen
• Incident Response: Security After Compromise - Richard Bejtlich
• Exploiting Internal Network Vulns via the Browser using BeEF Bind - Michele Orru
• Web App Crypto - A Study in Failure - Travis H.
• Reverse Engineering Secure HTTP API's With an SSL Proxy - Alejandro Caceres and Mark Haase
• Gauntlt: Rugged by Example - Jeremiah Shirk, Mani Tadayon, James Wickett
• Effective Approaches to Web Application Security - Zane Lackey
• Building a Web Attacker Dashboard with ModSecurity and BeEF - Ryan Barnett
• Bug Bounty Programs - Michael Coates, Chris Evans, Jeremiah Grossman, Adam Mein, Alex Rice
• Four Axes of Evil - HD Moore
• Cross Site Port Scanning - Riyaz Walikar
• Top Ten Web Defenses - Jim Manico
• Keynote - Some Lessons from the Trenches- Michael Howard
• Hacking with Web Sockets - Vaagn Toukharian
• I>S+D! - Interactive Application Security Testing(IAST), Beyond SAST/DAST - Ofer Maor
• The Same-Origin Saga - Brendan Eich
• Real World Cloud Application Security - Jason Chan
• XSS & CSRF with HTML5 - Attack, Exploit and Defense - Shreeraj Shah
• Keynote- The State of OWASP - Tom Brennan, Michael Coates, Seba Deleersnyder, Eoin Keary, Matt Tesauro, David Wichers
• Analyzing and Fixing Password Protection Schemes - John Steven
• Unraveling Some of the Mysteries around DOM-Based XSS - Dave Wichers
• Mobile Applications & Proxy Shenanigans - Dan Amodio and David Linder
• The Application Security Ponzi Scheme: Stop Paying For Security Failure - Jarret Raim and Matt Tesauro
• Web Framework Vulnerabilties - Abraham Kang
• AppSec Training, Securing the SDLC, WebGoat.NET and the Meaning of Life - Jerry Hoff
• Keynote-InfoSec at Ludicrious Speed: Rugged DevOps and More - Gene Kim
• Builders vs. Breakers - Brett Hardin, Matt Konda, Jon Rose
• Get Off Your AMF and Don't REST on JSON - Dan Kuykendall
• Rebooting (Secure) Software Development with Continuous Deployment - Nick Galbreath
• SQL Server Exploitation, Escalation and Pilfering - Antti Rantasaari and Scott Sutherland
• Secure Code Reviews Magic or Art? A Simplified Approach to Secure Code Reviews - Sherif Koussa
• How We Tear Into That Little Green Man - Matthew Rowley
• Blended Threats and JavaScript: A Plan for Permanent Network Compromise - Phil Perviance
• Hack your way to a degree: a new direction in teaching application security at universities - Konstantinos Papapanagiotou
• Using Interactive Static Analysis for Early Detection of Software Vulnerabilities - Bill Chu
• Security at Scale - Yvan Boily
• Origin(al) Sins - Alex Russell
• Counterintelligence Attack Theory - Fred Donavan
• WTF - WAF Testing Framework - Yaniv Azaria and Amichai Shulman
• Hacking .NET Applications: Reverse Engineering 101 - Jon McCoy
• The 7 Qualities of Highly Secure Software, Mano Paul
• Iran's Real Life Cyberwar - Phillip Hallam-Baker
• Unbreakable Oracle ERPs? Attacks on Siebel & JD Edwards - Juan Perez-Etchegoyen and Jordan Santarsieri
• Demystifying Security in the Cloud: AWS Scout - Jonathan Chittenden
• NoSQL, No Security? - Will Urbanski
• Pining for the Fjords: The Role of RBAC in Today's Applications - Wendy Nather
• Doing the Unstuck: How Rugged Cultures Drive Biz & AppSec Value - Josh Corman
• DevOps Distilled: The Devops Panel - Josh Corman, Nick Galbreath, Gene Kim, David Mortman, James Wickett
• Spin the Bottle: Coupling Technology and SE For One Awesome Hack - Dave Kennedy
• Building Predictable Systems Using Behavioral Security Modeling: Functional Security Requirements - John Benninghoff
• The Diviner - Digital Clairvoyance Breakthrough - Gaining Access to the Source Code & Server Side Memory Structure - Shay Chen
• The Magic of Symbiotic Security: Creating an Ecosystem of Security Systems - Dan Cornell and Josh Sokol
• Securing the SSL channel against man-in-the-middle attacks - Tobias Gondrom

Si alguna vez has querido escribir un vídeo juego, lo estás escribiendo o lo has escrito y has usado Python como tu lenguaje de programación, seguro que ya conoces las librerías Pygame. Para el que no las conozcas, a modo de introducción muy simple, Pygame son un conjunto de librerías sobre SDL que ofrecen una API para la programación de aplicaciones multimedia y juegos.

Hoy en día nadie puede negar que el mercado de los juegos se ha extendido al mundo de los terminales móviles y que Android domina dicho mundo, en cuanto a número de dispositivos. Si alguna vez has querido escribir un juego para un sistema Android y ya conoces Pygame o por lo menos conoces el lenguaje de programación Python, ya lo tienes más fácil con este proyecto donde están portando un subconjunto de las librerías de Pygame a Android.

En la MalCon se ha presentado una charla sobre el robo de datos de teléfonos inteligentes a través del jack de audio. Se incluyen iPhones, teléfonos Android, Blackberries y Windows Phone.

Según el investigador, Atul Alex, se podrían, de forma fácil, hacer llamadas telefónicas sin intervención del usuario, saber la duración de las llamadas, detectar la entrada y salida de llamadas, sms, etc. Y de una forma ya no tan fácil, también se podría grabar los números que se marcan a la hora de hacer una llamada, listar los nombres de la lista de contactos, grabar llamadas telefónicas, además todo se podría manejar de forma remota.

ZeroNights es otra conferencia de seguridad, ésta se celebró en Moscú el 19 y 20 de noviembre y han publicado todas las presentaciones que se dieron. Y para no perder la costumbre, aquí tenéis la lista de las mismas :)

• Soldatov, gotz how to catch your “hacker” or makeshift security
• Yarochkin, kropotov, chetvertakov tracking surreptitious malware distribution channels
• Sobolev typical information security flaws in corporations and large enterprises
• Samosadny mass csrf attacks via flash ads
• Kupreev 3 g modem infection
• Chastukhin, cherbov where is my car dude
• Evdokimov python arsenal for re
• Solar designer new developments in password hashing
• Troshichev i os mitm attack
• Tarakanov the art of binary diffing
• Sorokin mac os x malware overview
• Sintsov advanced exploitation in win32
• Shay chen the diviner - digital clairvoyance breakthrough - gaining access to the source code & server side memory structure of any application
• Reutov, yunusov, nagibin random numbers take ii
• Potapenko, vyukov forewarned is forearmed. a san and tsan
• Polyakov how i will break your enterprise. esb security and more
• Noseevich, petukhov no locked doors no windows barred. hacking open am infrastructure
• Matrosov, rodionov win32 flamer. reverse engineering and framework reconstruction
• Lyamin beyond the botnet
• Keynote the grugq opsec for russians
• Keynote fx try harder 2 be yourself
• Kettunen, miaubiz fuzzing at scale and in style
• Karasikov android behind the scenes
• Jurczyk windows kernel reference count vulnerabilities. case study
• Gregoire that's why i love xml hacking
• Firstov attacking mongo db
• Costin, francillon ghost is in the air(traffic)
• Boutin reversing banking trojan. an in-depth look into gataka
• Belenko, sklyarov dark and bright sides of i cloud (in)security
• Antisnatchor all you ever wanted to know about beef
• Abdullin modern payments security. emv, nfc, etc
• Vorontsov, golovko ssrf attacks and sockets. smorgasbord of vulnerabilities

Los chicos del Máster Universitario en Seguridad de la Información de la Universidad de Deusto han puesto a disposición del público en general, no necesariamente de alumnos del máster un concurso en el que sortearán un Nexus 7.

Todo lo que tienes que haces es publicar un vídeo o un comentario dónde se mencionen a estos de forma ingeniosa y divertida en Twitter, Google+ o Facebook. Tienes que incluir el hashtag #MUSIConcursoN7 en tu publicación.