jueves, 17 de noviembre de 2016

¡12 años de ekoparty! Hold The Backdoor, en primera persona

Pasó otra ekoparty y, tras 12 años de conferencias, ya podemos decir que además del alto voltaje técnico de todas las ponencias, también logramos conseguir un alto estándar de calidad en la organización del evento.

No fue fácil cumplir con las expectativas de más de 2500 hackers ansiosos por entrar al Konex sin demora, o terminar en estricto horario y antes de las 18 hs. las más de 25 charlas que fueron presentadas este año, ni tampoco administrar el caos que representa la logística de más de 40 ponentes, trainings y workshops; sin mencionar toda la infraestructura técnica de video, audio, traducción simultánea y diseño que podemos encontrar en la ekoparty, que vale decir, supera a varias de las mejores obras teatrales de la Avenida Corrientes.

Sin dudas, ¡esta fue una de las ekoparty que mejor salió! Y si no me creen, miren el siguiente video:


A diferencia de las ediciones anteriores, este año cambiamos el formato de un día de workshops más 2 días de conferencias, por tres días completos de conferencias con workshops en paralelo durante las tardes. Como siempre, debemos agradecer al Comité de Selección de la ekoparty, que tuvo la difícil tarea de seleccionar 25 charlas de entre más de 200 propuestas recibidas. Este año, el Comité estuvo integrado por Nicolás Waisman, Juliano Rizzo, Alfredo Ortega, César Cerrudo y Hernán Ochoa.

Otra de las novedades, aparte de los Food Trucks estacionados en el patio, fueron los ekoLabs, en donde los desarrolladores de herramientas de seguridad tuvieron la oportunidad de presentarlas a la comunidad. Tampoco podían faltar clásicos como el Wardriving de la ekoparty, con el barquito de la alegría repleto de hackers buscando redes Wi-Fi por Buenos Aires, este año organizado por BASE4; o los desafíos de lockpicking, que en cada edición suman cada vez más adeptos al arte de romper la seguridad física, como siempre, organizados por Infobyte.

Este año, desde la organización, continuamos los esfuerzos por concientizar sobre los riesgos que presenta el voto electrónico para la sociedad y lanzamos una “invitación” a las autoridades electorales y la empresa que fabrica las máquinas de voto, para que nos permitan auditar la seguridad del sistema. Lamentablemente, este pedido fue ignorado totalmente, pero sí tuvo una importante repercusión en los medios, que comienzan a interesarse cada vez más sobre las vulnerabilidades del voto electrónico.

Por su parte, Javier Smaldone e Iván Ariel Barrera Oro presentaron “Una mala elección (actualizada)”, una secuela de su charla del año pasado con varias actualizaciones y una gran sorpresa para el final: la demostración de que, con una radio de onda corta, de las que se puede comprar en cualquier casa de electrodomésticos, es posible escuchar a una distancia de alrededor de un metro la señal generada al leer la boleta de voto desde un dispositivo móvil con una aplicación de RFID.

Si bien hasta ahora solo se capta la señal y aún no se pudo descifrar su contenido, quedó demostrado que, optimizando algunos factores, esa distancia de escucha podría ser de varios metros más.


Otro de los temas candentes a los que le pusimos foco fue la seguridad de los automóviles, con la charla “Don’t Be a Dummy: A Crash Course in Automotive Security” de los estadounidenses Andrew Suarez y Daniel Mayer; y la charla “Backdooring CAN Bus for Remote Car Hacking” de los argentinos Claudio Caracciolo y Sheila Berta, quienes hicieron una impresionante demostración en vivo comandando desde el escenario una camioneta estacionada en el patio del Konex.

También estuvo presente Alan Mond, un prestigioso ingeniero mecánico argentino que reside en los Estados Unidos, y que creó una plaqueta Open Source que permite acceder a toda la información del vehículo. Alan dictó un entrenamiento de dos días en el Hackerspace de la ekoparty y un workshop durante la conferencia.

Los Workshops también se destacaron este año, entre ellos, “The Kali Linux Dojo”, sobre dicha distribución tan masivamente usada en la comunidad de seguridad. Fue dictado por Mati Aharoni (“muts“), el fundador y desarrollador principal de Kali, y Joe Steinbach, el CEO de Offensive Security. También contamos con el workshop “Faraday 2.0: Collaborative Pentest & Vulnerability Management” sobre la herramienta FARADAY de pentest colaborativo, que fue realizado por la empresa argentina Infobyte.

Los ekoAwards tampoco podían faltar. Es el clásico que nació con el aniversario de los 10 años de la ekoparty que festejamos en Punta Carrasco y todos esperan en cada edición.

Estos fueron los premios entregados:
  • Trayectoria: este ekoAward es la manera de homenajear a personas excepcionales que han realizado importantes aportes a nuestra comunidad. Quien fue galardonado este año es Ivan Arce. ¡Felicitaciones, Ivan!
  • Mejor Charla 2016: quienes recibieron este ekoAward fueron los amigos Nicolás Economou y Diego Juarez, por su charla “Abusing GDI for ring0 exploit primitives: Reloaded”. Cabe destacar que Nicolás Economou también fue honrado por haber presentado, en los últimos nueve años, diez charlas, siendo el ponente más prolífico de la ekoparty. ¡Felicitaciones, Nico, y por 10 charlas más! ;-)
  • Golden Badge: es el premio que permite a su poseedor el acceso irrestricto de por vida a la ekoparty, y el ganador de este año fue el CyberGaucho, Alfredo Ortega. Entre muchas otras cosas, Alfredo descubrió el año pasado una importante vulnerabilidad en el sistema de voto electrónico, y este año realizó una inolvidable presentación en el Congreso de la Nación ante Diputados que querían conocer de primera mano los riesgos del voto electrónico. ¡Felicitaciones, Alfredo!

Por último, me gustaría agradecer a todos los sponsors de la ekoparty que nos permiten concretar este sueño compartido entre tantos, y muy especialmente a ESET y WeLiveSecurity por el continuo apoyo y acompañamiento de cada edición. ¡Gracias y hasta la próxima!

Leonardo Pigñer (@KFS)
Organizador de ekoparty y Director en BASE4 Security

martes, 10 de noviembre de 2015

¡11 años de ekoparty! Back To Roots, en primera persona

(Escrito para WeLiveSecurity.com¡11 años de ekoparty! Back To Roots, en primera persona)

Es increíble, pero ¡pasaron 11 años de ekoparty! Y no tengan dudas de que los más sorprendidos somos los organizadores. Todavía nos preguntamos cómo fue posible que aquellas reuniones de un grupo de amigos hayan logrado convertirse en un evento de seguridad tan relevante para la región.

Recuerdo que en aquella época nos reuníamos durante los fines de semana en la casa de alguno que tenía acceso a Internet, y éramos hasta cuatro o cinco conectados por cable coaxil atrás de un modem telefónico de 2400 bps. Obviamente el primero que corría un Nmap dejaba sin Internet al resto y se comenzaban a escuchar gritos como “¡¿Quién está escaneando?!”. Como también era muy poca la información a la que se podía acceder, era una necesidad casi imperiosa reunirse con otras personas para intercambiar “trucos” y con suerte algún código.

A raíz de esto, organizamos la primer ekoparty, que básicamente era una LAN Party de seguridad con charlas cortas sobre diferentes temas. Ya para la tercera edición, en el mítico Hotel Bauen, el evento contó con unos 150 asistentes y comenzó a tomar la forma que todos conocemos hoy en día. Algo que nos gusta destacar, es que el espíritu de las primeras ekoparty siempre fue el de compartir entre amigos, y con gran satisfacción vemos que ese es un valor que se mantiene hasta el día de hoy.

Es difícil describir todo lo que pasa en un evento que tiene vida propia, pero a continuación intentaré hacer un resumen para ustedes, los lectores de WLS, con algunos de los momentos sobresalientes que los organizadores destacamos de la edición 2015 de ekoparty.

En primer lugar, este año volvimos al Konex, la vieja fábrica de aceite reformada a centro cultural que nos hace sentir como en nuestra propia casa. Con más de 2.000 asistentes que se reunieron en Buenos Aires del 21 al 23 de Octubre, otra vez la conferencia técnica de seguridad más importante de Latinoamérica fue una verdadera fiesta, con un récord de visitantes extranjeros de todas partes del mundo, y marcando el rumbo hacia un evento cada vez más internacional.

El slogan votado por la gente para este año fue “Back to Roots”, que misteriosamente también tenía relación con la fecha en la que se realizó el evento, y dio lugar a que toda la temática de este año fuera en relación a la saga “Back To The Future”. Fue impactante ingresar al auditorio principal y encontrar en el escenario al DeLorean, que cada tanto arrojaba humo asustando a algún orador incauto, como también el condensador de flujo, o el famoso chaleco rojo de Marty junto a su hoverboard. Los detalles podían ser descubiertos en todas partes: en el merchandising, en los badges, los cronogramas, y hasta en los baños.

Pero la ekoparty no solo es esa loca semana de octubre, ya que hay cosas que pasan mucho antes. Este año el Capture The Flag (CTF), una competencia entre equipos para solucionar desafíos técnicos de diferente complejidad y puntaje, fue organizado por NULL Life Team, el equipo que ganó el CTF de la ekoparty en 2014 y aceptó el desafío de organizar las competencias de este año. Algunas semanas previas a la conferencia también se lanzó el Pre-CTF, con una versión reducida de los juegos para ir entusiasmando a los jugadores.

En esta edición se permitió que el CTF fuera jugado desde cualquier parte del mundo, pero diferenciando a los ganadores externos de los ganadores que jugaron localmente durante el evento. Con más de 356 equipos registrados desde todas las latitudes, el equipo ganador externo fue “More Smoked Leet Chicken” de Rusia, mientras que el equipo ganador local, y que obtuvo el premio de10.000 pesos en efectivo, fue “SecuritySignal” de Argentina. ¡Felicitaciones para ambos equipos y a NULL Life Team por la impecable organización!

Antes de la conferencia, la semana comienza con los ekoparty Security Trainings, capacitaciones técnicas exclusivas de ekoparty que se dictan durante el lunes y martes en Fundación Proydesa, un centro de capacitación tecnológica de avanzada. Esta edición de los Trainings contó con más de 140 alumnosque se distribuyeron entre 9 cursos diferentes, como “Introducción Práctica al Hardware Hacking”, “Hacking Mobile Apps” o “Introduction to Software Vulnerability Exploitation”, entre otros. Estos cursos son dictados por reconocidos instructores y empresas de la industria, y en muchos casos solo es posible encontrarlos una vez al año durante ekoparty. Entre los alumnos, sorprendió la gran cantidad de asistentes provenientes de Chile, Colombia, México y especialmente Perú.

Desde 2011, cuando la conferencia se extendió a tres días, el miércoles comienza oficialmente el evento con varias actividades especiales. Arrancamos a primera hora de la mañana con el Executive Breafing, un desayuno ejecutivo en donde buscamos acercar la ekoparty a los responsables de seguridad de las principales empresas de la región. Para esta ocasión contamos con un panel de discusión sobre incidentes de seguridad integrado por el Cnel. Juan Benitez, Jefe del Centro de Ciberdefensa del Ejército Argentino, Aaron Portnoy, Fundador & VP de Exodus Intelligence, Ondřej Vlček, COO de Avast, Lucas Coronel, CSIRT Chief de Prisma Medios de Pago y Leonardo Huertas Casas, CSA de Eleven Paths.

La mañana del miércoles continuó con la inauguración oficial del evento, y la reveladora keynote“Winter is coming” de Iván Arce, actual Director del Programa de Seguridad en TIC (STIC) de la Fundación Sadosky. A esta le siguieron varias charlas técnicas en formato Turbo (25 minutos) y por la tarde llegaron los tan esperados Workshops. Con 12 Workshops que podían ser tomados en diferentes salas del Konex, la idea era brindar capacitaciones prácticas de 120 minutos sobre las más variadas temáticas como “RFID/NFC for the Masses”, “PowerShell para Pentesters” o “Arma tu SkyNet con PARLADUINO” entre otros.

El jueves y el viernes ya nos encontramos con un jugoso cronograma de charlas para todos los gustos. Este año fueron seleccionadas 25 ponencias de entre los más de 300 trabajos que fueron enviados al Call for Papers. Analizar esta catarata de información técnica no solo requiere de muchas horas de trabajo, sino también de poder contar con humanos capaces de entender, procesar y opinar sobre esta información.

Afortunadamente para ekoparty, el Comité de Selección está compuesto por los mejores en cada especialidad, y ellos son los responsables de mantener el alto estándar de calidad que disfrutamos en cada edición. El Comité que nos acompañó en los últimos años está integrado por: Nicolas Waisman, Juliano Rizzo, Alfredo Ortega, Cesar Cerrudo, Hernan Ochoa y Sebastian Muñiz. ¡Gracias Totales!

Algunas de las charlas de este año que podríamos destacar son “Direct X – direct way to Microsoft Windows kernel” por Nikita Tarakanov (Rusia), que presentó vulnerabilidades en drivers de video que permitirían ganar acceso a Windows con privilegios de kernel;“Hackeando Carros en Latinoamérica”por Jaime Restrepo (Colombia), que demostró cómo se puede tomar control remoto de uno de los automóviles más vendidos de la región; “Warranty Void If Label Removed – Attacking MPLS Networks” por Georgi Geshev (Hungría), quien encontró múltiples vulnerabilidades en este popular protocolo de red; o “2015’s remote root, what does it look like?” por Juliano Rizzo (Argentina), quien sorprendió a todos con una demo en vivo en donde a través de la web de un dispositivo de Cisco logró obtener una shell de root.

Un párrafo aparte merece el panel “Voto Electrónico: Pensando el futuro de la democracia desde una perspectiva tecnológica”, con un debate sobre la inquietante experiencia del voto electrónico en las pasadas elecciones del 5 de julio en la Ciudad de Buenos Aires, en donde se dieron increíbles sucesos: una empresa privada que no permitía auditar el código de las máquinas de votación y las llamaba “impresoras”, vulnerabilidades que permitían hacer fraude en la elección con boletas multi-voto, o investigadores que reportaron fallas de seguridad y sufrieron allanamientos en sus hogares, entre otras cosas.

Este panel fue moderado por Nicolas Waisman y entre los panelistas invitados se encontraban Norma Morandini, periodista y actual Senadora de la Nación por el Frente Cívico, Javier Smaldone, desarrollador de software, Alfredo Ortega, investigador de seguridad, Federico Landera, abogado especialista en derecho electoral, y Guido Vilariño, miembro del Partido de la Red.

Lo que generó este panel de debate, junto a la charla técnica del día siguiente sobre las vulnerabilidades encontradas, fue un llamado a despertarse para todos los que somos parte de la comunidad de seguridad. Como varias veces plantearon los panelistas, si hay un problema con un medicamento, uno espera que los médicos alerten a la sociedad, y si hay un problema con el voto electrónico, es responsabilidad nuestra que todos tomemos conciencia sobre los riesgos a la democracia que esto representa.

En paralelo a las charlas, paneles y workshops, podemos encontrar muchas actvidades de organizaciones que nos acompañan todos los años, como Buenos Aires Libre, dedicada a fomentar las redes de telecomunicaciones abiertas, o Sysarmy, una agrupación que nuclea a los Administradores de Sistemas.

Tampoco falto el ya famoso “Wardriving de la alegría”, con un colectivo repleto de nerds reconociendo las redes wireless de la ciudad; o la Lockpicking Village organizada por l0ckpickar enseñando el oficio de la seguridad física; o el desafío de Infobyte en donde se debía escapar de una habitación protegida por lectores biométricos, cámaras IP y otras medidas de seguridad físicas por un premio de 10.000 pesos; también nos acompañó nuevamente el desafío de ESET, que entregó dos drones Parrot AR.Drone y libros técnicos de seguridad a quienes lograron resolver desafíos sobre malware, criptografía y pentesting; o la lucha con trajes de Sumo en el tatami de BASE4 en donde los ganadores se repartían 20 barriles de cerveza importada; entre muchas otras cosas que pasaron.

Desde el año pasado, cuando la ekoparty cumplió sus 10 años de vida, comenzamos a honrar a quienes con su trabajo y aportes a la comunidad impactaron en el desarrollo y crecimiento de todos nosotros. El ekoparty Award a la “Trayectoria”, es un reconocimiento a estas personas que han marcado la diferencia, y nadie lo tiene más merecido que Ricardo Narvaja, una increíble persona de la que todos hemos aprendido. ¡Felicitaciones Ricardo!

Por segundo año consecutivo, también destacamos aquella charla que por su investigación, su contenido técnico, y por qué no, su calidad de presentación, merece recibir el ekoparty Award a la“Mejor Charla 2015″, y en esta edición fue para el colombiano Jaime Restrepo con su charla “Hackeando Carros en Latinoamérica”. ¡Felicitaciones Jaime!

Por último, este año también entregamos el segundo Golden Badge en la historia de la ekoparty, que fue otorgado a Joaquín Sorianello. Este reconocimiento provee de un acceso sin restricciones a la conferencia de por vida, pero en esta edición, también nos permitió transmitir el fuerte apoyo de toda una comunidad a Joaquín.

En este resumen seguramente hay muchas cosas que faltaron, pero es difícil describir todo lo que pasa en un evento de estas características. Para nosotros, los organizadores, la ekoparty es un proyecto en el que trabajamos durante todo el año, por lo que realmente nos llena de orgullo que se haya convertido en el punto de encuentro para toda la comunidad de seguridad de la región.

En lo personal, creo que la ekoparty no se podría hacer si en Latinoamérica no contáramos con personas tan valiosas como las que tenemos, y que en estos años también han ido marcando un camino para quienes están dando sus primeros pasos. Es increíble cruzarse durante el evento a contingentes de escuelas secundarias o hasta a los pequeños hijos de muchos asistentes. Me parece que vamos a tener ekoparty para mucho tiempo más ;-)

Nos vemos nuevamente el año próximo y ¡gracias!


Leonardo Pigñer (@KFS)
Organizador de ekoparty y Director en BASE4 Security.

jueves, 17 de julio de 2014

Ya llegan los 10 AÑOS de la EKOPARTY!

Este año festejamos los 10 años de la ekoparty en Mandarine Tent en Punta Carrasco, del 29 al 31 de Octubre.

Este nuevo espacio del complejo Punta Carrasco cuenta con una carpa de 2800 mts cuadrados, con una inigualable vista al Río de la Plata y actividades integradas al aire libre, se transforma en un ambiente mucho más espacioso e ideal para nuestro 10° aniversario.


La nueva locación nos permite incorporar una de las novedades más importantes de este año: el ekoCAMP! Durante dos noches los asistentes podrán quedarse en el complejo y disfrutar de actividades nocturnas durante la conferencia. El ekoCAMP contará con carpas por lo que solo tenes que traer tu bolsa de dormir!


No te pierdas los descuentos en las entradas por compra anticipada! Y en este aniversario, un descuento único para estudiantes, enviando tu constancia de alumno regular a estudiantes@ekoparty.org vas a poder adquirir la entrada a la mitad del valor de la Super Anticipada! Más info aquí


Nos vemos en la eko!

viernes, 17 de agosto de 2012

EKOPARTY: Primera Ronda de Selección PUBLICADA!

La siguiente es la lista de charlas de la primera ronda de selección con la descripción resumida para prensa, próximamente se publicará en ekoparty.org la descripción técnica completa de cada una de ellas. Enjoy!

*Charla Sorpresa*

Thai Duong (Vietnam) y Juliano Rizzo (Argentina), el famoso dueto que presentara anteriormente en la ekoparty: Padding Oracles, un exploit para ASP.NET y la temible BEAST, ahora presentarán… todavía no lo publicaremos, pero no lo podrán creer! ;-)


Cryptographic flaws in Oracle Database authentication protocol

Esteban Martinez Fayo (Argentina) presentará una vulnerabilidad crítica en el protocolo de autenticación de Oracle para sus versiones 10 y 11, que permite a cualquier atacante remoto no-autenticado obtener libremente los hashes de las contraseñas de todos los usuarios, por lo que mediante un ataque de fuerza bruta fuera-de-línea sobre estos hashes, el compromiso de una base de datos se convierte en una tarea trivial.


Satellite baseband mods: Taking control of the InmarSat GMR-2 phone terminal

Alfredo Ortega y Sebastian Muñiz (Argentina) presentarán cómo modificar un teléfono satelital (Inmarsat IsatPhonePro) utilizando solo un cable USB. Adicionalmente al total compromiso del dispositivo, las modificaciones permiten al atacante inyectar y capturar frames en cualquier capa del GMR-2 (GEO Mobile Radio, GEO stands for Geostationary Earth Orbit) orbitando a 36.000KM de la tierra. Demo en vivo!


VGA Persistent Rootkit

Nicolas Economou y Diego Juarez (Argentina) presentarán cómo modificar el firmware de la placa de video de una PC para instalar un rootkit persistente en la víctima, esto sumado a la técnica de Deep Boot presentada por los mismos investigadores el año pasado, permite la creación de lo que podría ser llamado "el crimen perfecto".


One firmware to monitor 'em all

Matias Eissler y Andrés Blanco (Argentina) presentarán cómo mediante la modificación del firmware utilizado por los fabricantes de chipsets de tarjetas wireless, se podría afectar la seguridad de gran parte del mercado de dispositivos móviles mundial.


4140 Ways Your Alarm System Can Fail

Babak Javadi (USA) presentará 4140 formas para vulnerar los sistemas de alarmas de tu casa o de la empresa. Los asisten tendrán luego el conocimiento necesario para poder evaluar las vulnerabilidades más conocidas de su sistema de alarmas.


Literacy for Integrated Circuit Reverse Engineering

Alex Radocea (USA) presentará cómo realizar la Ingeniería Reversa de un microchip. La investigación demuestra cómo el funcionamiento de un circuito integrado puede ser deducido a través de imágenes de su estructura, convirtiendo criptográficas imágenes de transistores en todo un nuevo alfabeto.


OPSEC for hackers

The Grugq (Tailandia), uno de los hackers más reconocidos del mundo, presentará las técnicas y estrategias que todo hacker debe conocer para evadir a la Policía.


SinFP3: More Than A Complete Framework for Operating System Fingerprinting

Patrice Auffret (Francia) presentará a SinFP, una poderosa herramienta que puede realizar reconocimiento de sistemas operativos tanto pasivo como activo sobre IPv4 e IPv6 y que ahora también puede realizar descubrimiento de red.


PIN para todos (y todas)

Pablo Solé (Argentina) presentará la implementación de una herramienta para Pin (http://www.pintool.org/) que permite la búsqueda de vulnerabilidades y la ingeniería reversa. Totalmente realizada en javascript, algo muy novedoso en el área.


Publicado por @KFS en www.KUNGFOOSION.com

LinkWithin