LATEST ARTICLES

Marzo 27th 2017

Hacker revela la manera más fácil de secuestrar la sesión de usuarios con privilegios de Windows sin contraseña

Número de lecturas: 188
{lang: 'es-419'}

Alexander Korznikov, un investigador de seguridad israelí, recientemente ha demostrado que un usuario privilegiado local, aún puede secuestrar la sesión de cualquier usuario registrado de Windows con privilegios elevados sin conocer la contraseña de ese usuario, utilizando una función de herramientas de línea de comandos.
Este truco funciona en casi todas las versiones del sistema operativo Windows y no requiere ningún privilegio especial. Korznikov es incapaz de averiguar si se trata de una característica de Windows o una falla de seguridad.

El problema descubierto por Korznikov no es completamente nuevo, como un investigador de seguridad francesa, a saber, Benjamin Delpy, se detalla una técnica de secuestro de sesión de usuario similares en su blog de hace unos seis años.

Korznikov llama al ataque de una “escalada de privilegios y el secuestro de sesión”, lo que podría permitir a un atacante secuestrar la sesión de los usuarios privilegiados de alta y obtener acceso no autorizado a las aplicaciones y otros datos sensibles.

Para explotar con éxito, un atacante requiere acceso físico a la máquina objetivo, pero utilizando la sesión de Remote Desktop Protocol (RDP) en una máquina de cortado; el ataque se puede realizar a distancia también.

Las demostraciones de vídeo muestran como se hace:

Korznikov también ha proporcionado un par de demostraciones de vídeo de un exitoso secuestro de sesión (utilizando el Gestor de tareas, creación de servicios, así como la línea de comandos), junto con la prueba de concepto (PoC) explotar.
Korznikov probado con éxito la falla en el más reciente de Windows 10, Windows 7, Windows Server 2008 y Windows Server 2012 R2, aunque otro investigador confirmó en Twitter que la falla funciona en todas las versiones de Windows, incluso si la estación de trabajo está bloqueada.

Fuente:

http://thehackernews.com/2017/03/hack-windows-user-account.html  

Marzo 22nd 2017

¿Qué sabe de mí Facebook? – Doxing

Número de lecturas: 366
{lang: 'es-419'}

Todos algún día nos hemos preguntado sobre qué información nuestra podría circular por las redes sociales sin que nosotros lo supiéramos.

Pues hoy vas aprender un método que seguramente no sepas pero que puede ayudar no solo a descubrir más sobre alguien, algo que puede llegar a ser poco ético aunque legal ya que proviene de fuentes abiertas y accesibles a todo el mundo.

Esto lo voy a enseñar para que aprendás a protegerte y empezar a borrar datos personales que no quieres que se sepan. Aunque siempre hay que seguir la premisa de que si no quieres que algo no se sepa no lo publiques.

Aquí nace el término Doxing, el Doxing es un conjunto de técnicas que usamos para recopilar información sobre un objetivo (puede ser persona, empresa o institución).

Hoy solo hablaré de Doxing aplicado a la red social Facebook, y solo hablaremos de Doxing legal por razones obvias.

Pasando a la acción, lo primero que tenemos que hacer es poner nuestro perfil de Facebook en inglés estadounidense. Esto se hace en la configuración del lenguaje como se puede ver en la foto.

Cuando ya estemos en la página objetivo pulsamos las teclas CTRL y U, esto nos desplegará el código de la página en un nivel inferior. Y posteriormente pulsamos las teclas CTRL y F lo cual nos desplegará un buscador en el código.

La secuencia que buscamos es algo así:

Como ves buscamos un identificador de un usuario que es único y que corresponde con el número que aparece entre comillas. Esto quiere decir que aunque el usuario llegara a cambiar de nombre podría hacerlo pero nunca podrá cambiar su id de usuario.

Terminado esto y con el id en nuestro poder, solo tenemos que ir a la barra superior del navegador y poner lo siguiente:

www.facebook.com/search/NUESTRO ID DE USUARIO/photos-by

-Esto nos muestra las fotos del usuario.

www.facebook.com/search/NUESTRO ID DE USUARIO/photos-tagged

-Esto nos saca las fotos en las que está etiquetado.

www.facebook.com/search/NUESTRO ID DE USUARIO/photos-liked

Aquí las fotos en las que ha dado like.

www.facebook.com/search/NUESTRO ID DE USUARIO/photos-commented

Fotos que ha comentado.

www.facebook.com/search/NUESTRO ID DE USUARIO/pages-liked

Páginas que le gustan.

www.facebook.com/search/NUESTRO ID DE USUARIO/groups

Grupos a los que pertenece.

Con todos estos datos recopilados, y muchos más que se podrían añadir simplemente con fuentes abiertas y disponibles a cualquier usuario, podríamos crear un perfil muy completo de cualquiera. Lo que nos podría llevar a ser objetivo de ciberataques, ciberextorsiones, robos o incluso la pérdida de algún empleo como ya ha sucedido.

Es muy importante hacernos una reflexión sobre los datos que vamos dejando en la red e intentar borrar lo que no nos interesa.

Fuente:

versionmilitar.com

Marzo 17th 2017

Auditoria de Seguridad, Auditoria de Vulnerabilidades, Pentest o Hacking Etico.

Número de lecturas: 418
{lang: 'es-419'}

En el poco tiempo que tengo relacionándome con las cuestiones de seguridad en la tecnología, me eh encontrado Con tres términos algo interesantes, que veo que en la industria no tienen ni la más mínima idea de que es lo que realmente hacen y en que les puede beneficiar, y creo que a muchos informáticos dedicados a estos temas también les queda algo de dudas al respecto, esto son: Las Auditorias de seguridad, las auditorias de vulnerabilidades, y los pentest.

Pero ¿En realidad son toda la misma cosa? Claro que no… cada una tiene un objetivo y se desarrollan con personas de diferentes habilidades, y conocimientos.

En este post, vamos a hablar un poco de las tres y cuáles son sus diferencias para cuando ofrezcan un servicio establezcan y definan bien con su cliente que es lo que vamos hacer y cuál será el procedimiento y el alcance que vamos a tomar.

Auditoria de Seguridad

Esta auditoria considero que debe ser la principal, de la cual partan todas las demás auditorias, ya que en esta parte es cuando se verifica el nivel de seguridad con el que cuenta la organización, en esta auditoria se enfocan particularmente en los empleados, los procesos diseñados y usados por la organización y la administración de seguridad; el auditor y la organización se basan en líneas establecidas para desarrollar procesos de seguridad dentro de una organización.

Los auditorios de seguridad generalmente se basan en auditorias manuales sobre gobiernos de IT las cuales pueden hacer referencia a NIST, Cobit, ISACA, ISO 27000, ASSET, entre otras.

Estas auditorías se pueden realizar de manera manual o automática, eso ya depende del auditor cual es la mejor manera de comprobar lo que está auditando.

Si se decide hacer la auditoria de manera manual el auditor estaría realizando:

  • Entrevistar al personal de la organización.
  • Revisar los permisos y controles de aplicaciones y sistemas operativos.
  • Revisar el acceso físico y lógico de los sistemas.

Si se decir hacer de manera automática el auditor estará realizando lo siguiente:

  • Realizar reportes de auditoria con herramientas de software
  • Revisar los reportes con herramientas como CLS, IDEA, para relacionar entidades y buscar anomalías.

Una auditoria de seguridad evalúa un conjunto de información crítica, cuál es su tratamiento, y su almacenamiento, esto incluye evaluaciones sobre configuración de software y hardware, seguridad física, procesos de creación y tratamiento de la información, prácticas de los usuarios, y procedimientos establecidos por estándares, como, HIPPA, PCI, SOX, entre otros.

Auditoria de vulnerabilidades

Este tipo de auditoria nos ayuda a identificar brechas de seguridad que se puedan entrar presentando en sistemas informáticos y en la infraestructura.

Para realizar este tipo de prueba el auditor debe de ser muy profesional y tener conocimientos avanzados sobre riesgos para poder evaluar la criticidad de las vulnerabilidades que se han estado encontrando.

Mediante una evaluación adecuada se valora, cual es la probabilidad de amenaza de los hackers, ex empleados, empleados internos, etc, en la auditoria es cuando se revelan estás brechas de seguridad.

Esta evaluación nos ayuda a encontrar brechas de seguridad desconocidas con ayuda de herramientas para escaneo de vulnerabilidades con las cuales podemos encontrar dispositivos en distintos tipos de segmentos de red, enumerar sistemas operativos, dispositivos vivos en la red, y sus aplicaciones, estos sistemas son capaz de identificar el sistema operativo, su arquitectura, configuración, protocolos, puertos abiertos y hasta aplicaciones que están corriendo en los sistemas operativos.

Para comenzar a utilizar estas herramientas de escaneo de vulnerabilidades, podemos comenzar definiendo que es lo que se desea encontrar, pueden ser configuraciones erróneas, carpetas sin permisos, configuraciones de seguridad débiles, computadoras expuestas entre otras cosas.

Al final del escaneo generalmente los sistemas para detección de vulnerabilidades nos entregan un reporte, en el cual podemos ver la severidad de las fallas basándose en el Common Vulnerability and Exposures (CVE) dependiendo de cada fabricante esto se presentara a su manera.

El CVE es un repositorio donde se almacenan reportes de vulnerabilidades para mantener la seguridad de nuestros sistemas, este sistema es abierto y todos pueden hacer uso de sus recursos. (http://cve.mitre.org)

Pentest o Hacking Etico

Las auditorias de pentest o hacking ético, son las pruebas realizadas por un experto, que trata de simular un ataque directo a la organización, esto ayuda a las organizaciones a determinar cuál es el nivel de seguridad en el que se encuentran y realizar planes de contingencia sobre ataques internos y externos, validar cual serían las repercusiones de esos ataques y elaborar un plan de contingencia.

En el contexto de Pentest, el auditor puede ser limitado a tiempo, recursos, acceso a los equipos, desconocimiento de la infraestructura, etc, esto para garantizar que las brechas de seguridad que encuentre sean basadas de la manera más real posible, esto para garantizar que las brechas de seguridad que el experto este analizando sean parcheadas y reducir el área de ataque lo más corto posible.

El auditor trabaja con la misma metodología con la que trabajaría un atacante, se vale de accesos no autorizados a la organización, a las redes y los sistemas para comprometerlos, para esto se vale de herramientas que el mismo desarrolla, o que utiliza de terceros, también realiza pruebas manuales para llegar a sistemas específicos donde pueda encontrar defectos para poder obtener acceso y no pueda ser identificado.

Para llevar a cabo esta técnica se llevan evaluando 5 pasos los cuales son:

  • Footprinting o Reconocimiento, el cual es de los pasos más importantes ya que en esta parte es donde los pentest se detienen a observar e identificar la información que están obteniendo, para de esa manera trazar vectores de ataque exitosos hacia los sistemas auditados.
  • Escaneo: En este punto el auditor ya realiza análisis con la información del individuo y con esto obtiene información acerca de las vulnerabilidades y los puntos donde puede penetrar como: detalles del sistema operativo, los host accesibles o algún puerto abierto.
  • Enumeración: en esta etapa realizamos pruebas directamente con los equipos, para obtener información crítica como nombres, IP, usuarios, grupos, direcciones MAC, políticas de seguridad en los equipos.
  • Explotación: bien el auditor ya tiene todo lo necesario para realizar los ataques controlados a los distintos objetivos, es en esta fase donde se ponen los planes en marcha y explotan los sistemas pero de manera controlada para obtener evidencia sobre las acciones tomadas.
  • Reporte: Ya que termino todo el proceso el auditor realiza un informe, en el cual explica de manera técnica y de manera directiva cuales son los riesgos, cuáles fueron los métodos que realizo y cuáles son las soluciones recomendadas por el experto para parchar el hueco de seguridad.

Suena ve divertido no creen? Y créanme que lo es, pero hay que tener demasiada paciencia para poder estar horas y horas analizando una brecha de seguridad y saber identificar entre un falso/positivo o un honeypot, para no desperdiciar nuestro valioso tiempo atacando algo que está ahí para atraparnos como moscas.

Fuente:

medium.com/@ingoroman

Marzo 17th 2017

QRLJacking, robando sesiones de WhatsApp a través del código QR

Número de lecturas: 524
{lang: 'es-419'}

WhatsApp es el cliente de mensajería instantánea más utilizado en todo el mundo, lo que hace que también sea una de las aplicaciones más atacadas por los piratas informáticos. Aunque en el pasado hackear WhatsApp era realmente sencillo debido a la inexistencia del cifrado ni de medidas de seguridad, hoy en día esta tarea se ha complicado notablemente debido a las nuevas medidas de seguridad implementadas en esta aplicación. Sin embargo, aún tiene serias debilidades que pueden suponer un peligro para los usuarios, como, por ejemplo, el uso de códigos QR para el inicio de sesión en su aplicación Web.

El pasado mes de enero explicamos cómo los piratas informáticos pueden hackear WhatsApp aprovechándose de un fallo en la generación de los códigos QR que podía permitir a un atacante hacerse con el código de otra persona, iniciar sesión con sus credenciales y poder leer los mensajes de WhatsApp sin dejar rastro de actividad.

Esta técnica, aunque preocupante, es bastante complicada de llevar a cabo y tiene muchas limitaciones a la hora de ponerla en práctica, como, por ejemplo, que solo un usuario puede utilizar WhatsApp Web a la vez (por lo que, si la otra persona lo intenta usar, nos echará de la sesión a nosotros) y que los ordenadores “de confianza” siempre se muestran en el cliente de mensajería.

Aunque esta técnica es bastante complicada de llevar a la práctica, no es la única que se aprovecha de los códigos QR para hackear WhatsApp, y un ejemplo de ello es QRLJacking.

Así funciona QRLJacking, la técnica para hackear WhatsApp utilizando un solo código QR

QRLJacking es un sencillo vector de ataque informático basado, principalmente, en la ingeniería social con el que simplemente debemos engañar a un usuario para que escanee un código QR con la aplicación que deseamos hackear, por ejemplo, WhatsApp, para poder tomar el control de su sesión de forma remota.

Para llevar a cabo este ataque, lo único que necesitamos es acceder al repositorio oficial de QRLJacking y descargar lo necesario para ponerlo en funcionamiento. A continuación, montaremos un servidor web con el fichero “qrHandler.php” encargado de convertir el código de inicio de sesión a base64 y, posteriormente, en una imagen jpg y “phishing.html”, la página que utilizaremos para llevar a cabo el ataque.

Una vez que el servidor está en funcionamiento, necesitaremos un navegador web como Firefox capaz de inyectar el script “WhatsAppQRJackingModule.js” al visitar una web como “https://web.whatsapp.com”. Cuando esta web genera el código QR, el script lo envía al servidor que hayamos configurado en el paso anterior para suplantarlo con el código QR generado por el fichero PHP.

Código QR WhatsApp Falso

Si la víctima cae en este tipo de engaño, el atacante recibe la sesión de WhatsApp en su navegador web. Es decir, en el mismo sitio dónde el plugin de Firefox está inyectando el código JS para capturar el QR Code original de WhatsApp.

Cuando la víctima escanea dicho código (utilizando ingeniería social, por ejemplo, con que nos ha tocado un premio), ya tendremos el control sobre la sesión de WhatsApp de la víctima.

Además de WhatsApp, esta técnica es totalmente funcional con otras muchas aplicaciones y plataformas que basan su inicio de sesión en códigos QR, como AirDroid, Alibaba, Aliexpress, WeChat, Line y Yandex, entre otras.

decir que existe otro vector que el ataque de Man in the Middle en una red de área local. Con este ataque un atacante podría lograr inyectar el QR Code en páginas legítimas, realizando un ataque, quizás, más real. Sea como sea, interesante prueba de concepto que nos ayuda a ver lo fácil que puede ser, en algunas ocasiones, que caigamos ante las múltiples amenazas que tiene Internet. La ingeniería social sigue avanzando y mejorando ante las nuevas tecnologías que van apareciendo, por lo que la concienciación y el buen uso de éstas es algo vital para estar un poco más seguro en la red.

Cómo protegernos del QRLJacking

Como podemos ver, el principal factor de esta técnica de hacking es la ingeniería social, es decir, el engaño. Nadie regala nada a través de Internet, por lo que lo primero que debemos hacer es evitar caer en este tipo de engaños, y mucho menos escaneando código QR de webs o fuentes extrañas, como un banner, con WhatsApp o cualquier otra aplicación.

Además, también debemos evitar iniciar sesión con nuestras cuentas en navegadores y ordenadores que no sean de total confianza, ya que sin la previa instalación e inyección del script JavaScript, esta técnica no podría ser posible.

Por último, en el caso concreto de WhatsApp, nunca está de más revisar los ordenadores que tienen acceso a su aplicación Web, eliminando el permiso a todos de vez en cuando para evitar estos problemas.

————————————————–

Fuente:

redeszone.net

Más información:

http://www.flu-project.com/2017/03/qrljacking-tecnica-con-la-que-los-malos.html

https://github.com/OWASP/QRLJacking/wiki