ROBO

Los mayores robos de datos de 2015, hasta el momento



Image: Caroline Wurtzel/Bustle

Suplantación de identidad a través del robo de cookies débilmente cifradas

ECB (Electronic codebook) es otro de los magníficos ejercicios de PentesterLab en el que podemos aprender a robar cookies que usan cifrado ECB o por bloques, de forma débil, del cual nos podríamos a provechar para suplantar la identidad de otro usuario.El ejercicio es de iniciación y todo lo que se requieren son conocimientos básicos de PHP y HTTP, además de un software de virtualización (VirtaulBox o VMPlayer por ejemplo).Como de costumbre te puedes descargar la máquina virtual para 32 ó 64 bits además del PDF que nos guía a través del ejercicio.

Er docu der finde: El robo de la roca lunar

Robo de datos en teléfonos inteligentes a través del jack de audio



En la MalCon se ha presentado una charla sobre el robo de datos de teléfonos inteligentes a través del jack de audio. Se incluyen iPhones, teléfonos Android, Blackberries y Windows Phone.

Según el investigador, Atul Alex, se podrían, de forma fácil, hacer llamadas telefónicas sin intervención del usuario, saber la duración de las llamadas, detectar la entrada y salida de llamadas, sms, etc. Y de una forma ya no tan fácil, también se podría grabar los números que se marcan a la hora de hacer una llamada, listar los nombres de la lista de contactos, grabar llamadas telefónicas, además todo se podría manejar de forma remota.

Libro "Fraude online. Abierto 24 horas", colección de Informatica64



Me lo entregó en mano el Maligno el jueves pasado y ya me lo leído enterito, aunque este es uno de esos libros que no puedes leer una sola vez (hay demasiada  información que asimilar en una sola lectura).

Cuando vimos a Mikel Gastesi y Dani Creus (de S21sec) en su charla en el pasado Asegúr@IT Camp (aquí puedes ver las diapositivas) ya teníamos fichado el libro "Fraude online. Abierto 24 horas". La charla nos abrió los ojos y nos "acojonó" un poco a medida que iban explicando la infraestructura global que existe alrededor del malware y sus herramientas. Eso sin hablar de lo sencillo que resulta alquilar servicios, para entre otras cosas, realizar ataques DoS a diestro y siniestro por una mísera cantidad de dinero o del tremendo negocio que existe con las tarjetas de créditos y como fluyen esos números por todas las cuentas de todas las mafias detrás del malware o el fraude online.

Robando más de 200.000 cuentas de CitiBank sólo cambiando un número en la URL



Más de 200.000 cuentas de CitiBank incluyendo nombres, tarjetas de crédito, correos, direcciones, etc. se han visto comprometidas de una forma bastante fácil. Sólo tenías que entrar como cliente y cambiar algunos números de la URL  en el navegador. Una vez que te logeas a CitiBank, la URL contiene un código que identifica tu cuenta, todo lo que tienes que hacer es cambiar los números y ya está, seguro que pillas la cuenta de alguien.

FaceNiff, el Firesheep de Android

Un vídeo vale más que mil palabras… ¿o era una imagen?

Visto en Lifehacker

172 millones de dólares, esto es lo que ha costado el ataque a Sony

 

Casi tanto como los daños ocasionados por el terremoto de Japón. Sony ha estimado esta cantidad y que dice se la gastará en reparar el daño causado por aquellos que se infiltraron en sus equipos y accedieron a la información de millones de usuarios de la PSN y Qriocity (y los ataquen continúan).

Qué desastre.

Visto en Los Angeles Times.

Soundminer te escucha

Soundminer es el resultado de un trabajo de investigación sobre seguridad en sistemas Android. Esto es una prueba de concepto de como con unos permisos mínimos en el sistema, una aplicación podría robar datos confidenciales del usuario y trasmitirlos a algún servidor malicioso.

En este caso Soundminer es capaz de robar números de tarjetas de crédito, tanto hablado (en una llamada de teléfono), como introducido desde el teclado (capturando los tonos). Esta aplicación usa el micrófono del terminal para grabar los sonidos (voz y tonos), analizarlos y luego transmitirlos. La transmisión la hace usando otro programa como puente.

Robando ficheros de la tarjeta de memoria en Android



En este vídeo podéis ver como usando Metasploit se pueden robar ficheros de la tarjeta de memoria de terminales Android, al menos de la versión Froyo 2.2.

Usando un enlace malicioso y gracias a los servicios de acortar url (url shortener) que se pueden usar para ocultar a primera vista el servidor/recurso al que estás accediendo y por supuesto aprovechando una vulnerabilidad en el sistema, vemos como el teléfono abre una web que parece legítima (Adobe en el vídeo), pero previamente a mandado una de las fotos que almacena en su tarjeta de memoria al servidor del atacante.

Robo del PIN en cajeros automáticos



La tecnología evoluciona y con ella la forma de hacernos la vida más fácil, pero como en la vida, todo tiene su lado positivo y su lado negativo.

Ya hace algún tiempo publicamos aquí unas fotos de un cajero trucado para robar tu tarjeta de crédito (datos de la banda magnética) con un lector falso conectado a un teléfono móvil, el cual te grababa mientras introducías tu PIN.

I browsed twitter insecurely on a public network and all I got was this lousy tweet. http://jonty.co.uk/idiocy-what



Y claro después del anuncio de Firesheep y ver lo fácil que es el secuestro de sesiones en sitios como Facebook o Twitter entre otros, ahora empiezan a crecer los enanos. Y apuesto a que estos van a seguir creciendo hasta que estos portales solucionen la papeleta.

Esta nueva aplicación se llama Idiocy y está escrita en python. Esta vez los usuarios de Linux estamos de suerte, ya que por lo que se ve en la documentación, ésta es la única plataforma que al menos ha sido probada. Este proyecto sólo está escrito para secuestrar sesiones de Twitter y lo que hace es publicar un mensaje (véase el título de este post) en nombre del usuario afectado.

Robo de sesiones web a golpe de ratón



En la ToorCon 12, conferencia sobre hacking y seguridad celebrada en San Diego, California el pasado 22-24 de Octubre, se presentó un proyecto llamado "Firesheep". Éste es una extensión para Firefox, que nos permite el robo o secuestro de sesiones web en redes inalámbricas. Según la presentación de los autores de este proyecto, el problema es que muchos sitios usan SSL para la autentificación sólo, es decir, cuando mandas tu nombre de usuario y contraseña. Y una vez te hayas autenticado, recibes una cookie que es lo que usas para continuar autentificado en dicho sitio y aquí es dónde se encuentra el problema, dicha cookie no es encriptada o envuelta en SSL.

Lo que esta extensión hace es precisamente eso, esnifar la red en busca de dichas cookies. Firesheep no conoce el formato/nombre de todas las cookies de cada sitio, por eso sólo funciona con algunos sitios. Puedes ver dichos sitios en esta lista. Una de las cosas buenas de esta extensión es que permite ser extendida a través de javascript, así que tú mismo puedes definir una web con su cookie para que también busque dicha cookie entre el tráfico esnifado.

USAJOBS Hacked



USAJOBS es una base de datos del gobierno Americano donde se ponen a disposición del publico las ofertas de trabajo gubernamentales.Esta base de datos esta alojada y administrada por la archiconocida Monster.com.

En un comunicado por USAJOBS.com que ha sido publicado esta mañana dice: ciertos datos de contacto y cuentas has sido tomados, incluyendo identificación de usuarios, contraseñas, direcciones de correo electrónico, nombres, números de teléfono y algunos datos demográficos.