miércoles, 25 de marzo de 2009

¿ No More Free Bugs ?

Recientemente en la CanSecWest, Charlie Miler, Alex Sotirov y Dino Dai Zovi, comenzaron un "nuevo" movimiento llamado "No More Free Bugs" para no entregar vulnerabilidades gratuitas a los desarrolladores de software.



Realmente se generó una discusión muy interesante, pero como no conozco lo suficiente sobre este tema como para opinar al respecto, prefiero dejarles los links para que se formen su propia opinión, e invito a quienes quieran dejar algún comentario con su parecer.

Fuentes:

1.- No More Free Bugs
2.- Questions for Pwn2Own hacker Charlie Miller
3.- "No more free bugs"? There never were any free bugs
4.- Like deja-vu (all over again)

viernes, 20 de marzo de 2009

Llovió en Segurinfo

Ayer fue la primera vez que asistí a Segurinfo, un evento de seguridad del que no hace falta que diga mucho, pero si me gustaría destacar algunos acontecimientos extraordinarios.

Por diferentes razones es la primera vez que asistía, así que no puedo realizar una comparación con ediciones anteriores, pero la organización en general me pareció muy buena.

Solamente asistí a 4 charlas, entre ellas la de Ezequiel Sallis sobre ataques wireless que me gusto mucho. No se como manejara la organización del evento los salones que asigna a cada charla, pero la charla de Ezequiel fue en un salón muy chico, y mucha gente tuvo que permanecer de pie durante el transcurso de la misma, y mucha gente mas ni siquiera pudo ingresar. Yo fui de los que tuvo que permanecer de pie, pero la charla valió la pena!

Al resto de las charlas no vale la pena mencionarlas, pero mas allá de la temática de las mismas, me sorprendió que todavía existan oradores que no se preocupen en preparar correctamente el material audiovisual, y en la mejor forma de que la audiencia reciba este material.

Aprovecho para recomendar algunos links con información para mejorar nuestras presentaciones:

- http://www.presentationzen.com
- http://elartedepresentar.com
- http://kungfoosion.blogspot.com/search/label/Presentation

Sobre los eventos extraordinarios que comentaba, los que asistieron sabrán que me refiero a lo paso en la entrada principal, frente al punto de acreditaciones, cuando se rompió un caño en el techo del hotel y mágicamente comenzó a llover:


Otro evento extraordinario fue cuando por segunda vez en mi vida me gano algo medianamente interesante. Participe en un sorteo y me gane, o mejor dicho "casi pierdo", una impresora de fotos digitales Sony:


Digo que "casi pierdo" porque no me querían entregar el premio!

Lo que paso fue que cuando complete mis datos olvide poner mi dirección de e-mail, y parece ser que eso era un requisito excluyente para participar, sin importar que se encontraba mi nombre completo y mi teléfono particular, y que yo me encontraba presente en el lugar.

Cuando le digo a la persona que realizaba el sorteo que me encontraba presente y que luego completaba la dirección de e-mail faltante, increíblemente se negaba a entregarme el premio, ante el desconcierto mío y el de todos los presentes.

Inmediatamente quiso volver a realizar el sorteo, pero algunos amigos míos que se encontraban en el publico comenzaron a movilizar a los presentes, y esta persona termino diciendo "bueno, a pedido del publico vamos a entregar el premio...".

Totalmente surreal, ¿ le habré hecho algo en otra vida ?

domingo, 15 de marzo de 2009

7# - No Robarás

Recientemente se descubrió en un foro privado, al administrador de una botnet de mas de 100.000 zombies al que le robaron su red de hosts infectados.


El robo fue realizado a través de un bug de SQL Injection en la interfaz de C&C(Command and Control), y el frustrado administrador no solo comentaba sus penas con sus colegas, sino que también pedía consejos para darle mayor seguridad a la interfaz de administración de su botnet. ¿ increíble, no ?

Muchos de los crimeware utilizados para crear y controlar una botnet, han sido desarrollados y puestos a la venta por programadores rusos. Como podemos ver a continuación, existe una gran variedad de precios en el mercado:

- Sploit 25 Lite: 1500 USD, Pro: 2500 USD
- Unique Sploits Pack: 600 USD
- Neon Exploit System: 500 USD
- XS[S]hkatulka: 110 USD
- Le Fiesta Pack: 1000 USD
- YES Exploit System: 600 USD

Estos valores pueden parecer altos, pero no significan mucho para quienes utilizan las botnets para el crimen en Internet. Según algunas estadísticas, se calcula que el fraude online en el 2008 fue de 105.000 U$D, lo que equivale a la 15a fortuna del Fortune 500, o el país numero 58 de una lista de 197.

Como mencionamos al comienzo, se utilizo un bug de SQL Injection en la interfaz C&C de ZeuS para crear un nuevo usuario y a partir de allí robar toda la botnet. Se cree que los programadores que desarrollaron este crimeware, podrían pertenecer a la Russian Business Network, y estén dejando bugs en su software intencionalmente con el objetivo de robar las botnets de sus clientes.

La Russian Business Network, también conocida como RBN, es la mafia organizada mas peligrosa en Internet, y dentro de todas las actividades delictivas a la que se dedica, se encarga de proveer una compleja infraestructura de ISP para que todos los miembros de la organización puedan realizar fraudes en Internet.

Próximamente mas información sobre botnet's y malware, y agradeceré a quienes puedan comentar como se están utilizando este tipo de tecnologías para realizar fraudes en Argentina.

Fuentes:

- Multi Million Dollar Russian Hacker A-Z And His Rent A Botnet ZeuS
- Wikipedia - Russian Business Network
- Wikipedia - Crimeware
- Los precios del Crimware ruso
- Help! Someone Hijacked my 100k+ Zeus Botnet!

lunes, 23 de febrero de 2009

Se viene Netifera

Netifera es un framework open source para desarrollar herramientas de seguridad. Actualmente se encuentra disponible para Linux y OS X.

En esta etapa del desarrollo, Netifera incluye herramientas para hacer un descubrimiento de red y brute force de algunos servicios.

Dentro de lo más interesante, esta la posibilidad de realizar un reconocimiento pasivo, sniffeando el tráfico o leyendo un archivo PCAP.


Este framework dará mucho que hablar en el futuro, no dejen de probarlo!

jueves, 12 de febrero de 2009

CEH vs GPEN

Varias veces comente en este Blog sobre estas dos certificaciones, ahora me gustaría "mostrarles" algunos detalles que a mi parecer marcan la diferencia.

Durante el mes de Diciembre de 2008 certifique GPEN "GIAC Penetration Tester", y después de 1 mes y algunos días, recibí un paquete de SANS con el cuadro que pueden ver a continuación:


Sinceramente me sorprendió muy gratamente la rapidez, y principalmente la calidad de este cuadro, si bien no soy de los que le gusta colgar cuadritos en la pared, con este por lo menos dan ganas.

Hay otro detalle que no quiero dejar de comentar. Como en muchos exámenes on-line de este tipo, el de GPEN también poseía la posibilidad de marcar una pregunta cuando uno no esta de acuerdo con la misma. Lo que me llamo mucho la atención, es que el día después del examen, realmente se contactaron conmigo para fundamentar y discutir las preguntas, hice muchos exámenes de este tipo y jamas se habían contactado conmigo para esto.

Ahora para que noten la diferencia, durante Junio de 2008, certifique CEH "Certified Ethical Hacker", y después de unos 4 meses recibí el welcome kit con el "cuadro" que pueden ver a continuación:


Mas allá de la importancia que le da a una certificación un certificado bien hecho, me parece que por el elevado costo que tiene el training de CEH, podrían entregar algo de mayor calidad. Sin mencionar que el diseño parece haber sido hecho por un chico de 5 años.

El welcome kit también traía un CD miniatura con un Linux booteable, y una calcomanía bastante grande para vidrios que decía "CEH, Defend Your Network Against Hackers. Master the Hacking Technologies". Antes también regalaban una remera, pero ya no lo hacen mas.

Con respecto a los 4 meses que tuve que esperar quiero ser justo, lo que paso fue que como mi apellido tiene "ñ", osea no es un carácter standard en ingles, hubo algún problema en los sistemas de Ec-Council que no permitía procesar mi certificado.

Ahora, ¿ no pudieron avisarme del problema ? recién cuando me contacte yo, me explicaron lo que paso, y prácticamente sentí que me estaban haciendo un favor al permitirme modificar mi apellido para que el sistema de Ec-Council pueda procesar mi certificado.

Finalmente, estos son solo detalles que hacen a una certificación, si bien todas tienen sus cosas positivas y negativas.

Posts anteriores sobre le mismo tema:

- Temanme! Soy un GPEN
- SANS Desafía a los CEH
- CEH versión 6
- Temanme! Soy un CEH