Detectando cambios anónimos en nuestro sitio Web

Uno de los problemas de seguridad más comunes es la modificación de un website por parte de un atacante. Tanto en su versión ‘deface’ como en otras vertientes mucho peores.
Hoy día es muy común sufrir un ataque a un CMS como Joomla o WordPress y que la web termine sirviendo para distribuir malware mediante la inyección de alguna suerte de código en HTML/Javascript.
Hace unos días leí en NIXCRAFT un interesante artículo donde reseñaban la herramienta incron. Una herramienta que, aprovechando Inotify(), permite detectar en tiempo real cuando se modifica un fichero o directorio y lanzar un comando.

Continue reading

11 formas de seguir tus movimientos en la Web

Hay distintas formas de rastrear a los usuarios cuando acceden a un sitio web en particular. Algunas de ellas son más “siniestras” que otras. La mayoría de las aplicaciones web requieren algún tipo de seguimiento de sesión para mantener el estado del usuario. Esto normalmente se realiza fácilmente utilizando cookies bien configuradas (aunque esto no entra dentro del alcance de esta entrada). Una sesión está destinada a ser efímera y no persistirá por mucho tiempo.

Por otro lado, algunos métodos intentan realizar el seguimiento del usuario durante un largo tiempo, y, en particular, intentan hacer que sea difícil evadir el seguimiento. Esto se hace a veces para fines publicitarios, pero también se puede hacer para detener ciertos ataques como ataques de fuerza bruta o para identificar atacantes que vuelven a un sitio. En el peor de los casos, desde una perspectiva privada, el seguimiento se realiza para seguir un individuo a través de distintos sitios web.

Continue reading

Análisis de una estafa: Phishing

¡ Buenas ! Estuve leyendo una de las mejores notas del 2014 de Hispasec (sí, algo vieja) y encontré éste material. Sinceramente, exquisito.

El método de propagación de los phishings, en su gran mayoría y casi por definición, sigue siendo el mismo desde hace bastantes años, a través de email. Hace unos días recibimos uno del Banco Santander Chile en el correo del laboratorio. El email, en su conjunto, estaba bien construido, con un lenguaje correcto y sencillo, que nos indicaba que nuestra “Clave 3.0” estaba bloqueada porque aún no se había verificado y nos invitaba a entrar para verificar los datos a través de un enlace.

Continue reading

Una pequeña de siete años es capaz de ‘hackear’ una red wifi en 10 minutos

¿Cuanto tardarías en hackear una red wifi pública? ¿Minutos? ¿Horas? ¿Toda la eternidad? Probablemente mucho más tiempo, en cualquier caso, del que necesitó Betsy Davis, una niña británica de siete años, en hacerlo.

En menos de un cuarto de hora y con la ayuda de una búsqueda rápida en Google esta joven consiguió resolver el desafío que le había propuesto la empresa de seguridad ‘Hyde my Ass’ con el fin de mostrar a la sociedad los peligros que tiene conectarse a este tipo de redes sin la seguridad conveniente.

Continue reading

Regreso + Búsqueda pasiva de XSS mediante Python !

Así es , vuelvo a los ruedos por aquí de mi querido blog. Las vacaciones se demoraron unos 17 días, asi que estoy plenamente desactualizado, ya que me ocupe de recuperar todas las energías gastadas durante el año.

Y, que mejor que volver con algo de Python, ¿ no ?  Ésta vez de la mano de StateX les traigo una forma de realizar un parseo de vulnerabilidades XSS utilizando como referencia el sitio XSSposed.

Continue reading

Desarrollan un malware para controlar y robar drones.

Maldrone” es un malware para drones desarrollado para permitir al atacante tomar el control absoluto del dron y dirigirlo a donde quiera, o hacerlo caer.

Los drones se han hecho cada vez más populares tanto para la fotografía como para fines comerciales y, por supuesto, son el día a día de muchos ejércitos de distintos países. Pero más allá de sus propósitos militares, vemos modelos como los Parrot AR Drone que se convierten en el mejor amigo de cualquier fotógrafo o aficionado del vídeo, y Amazon planea usarlos como su servicio de entrega de paquetes en un futuro próximo.

Continue reading

ExploitTable 2014 + Buscador de Exploits = PWNED!

Durante el año 2014 se han conocido nuevas vulnerabilidades de diferentes plataformas que afectan a más de una especie en particular. Ubicarlas y acordarselas es una tarea algo dificil para los que estamos en éste ambiente, ya que la cabeza la tenemos por absolutamente todos lados.

Es por ello que en ésta ocasión, les muestro un pequeño documento que vi por Twitter (para los que aún no me conocen por ese medio, es @gaaabifranco) donde se detallan todas las vulnerabilidades encontradas el año pasado, y con posibilidad de buscar aquellas de años anteriores.

Continue reading

Análisis de imágenes con Ghiro

En muchos casos los investigadores forenses necesitan procesar imágenes digitales como evidencia. En un análisis forense en el que se manejan muchas imágenes es difícil manejar tanta información al menos que se utilice una herramienta que facilite el trabajo.

Ghiro es una herramienta capaz de soportar gigas de imágenes, extraer y organizar la información y mostrarla en un informe en un formato agradable.
Todas las tareas están totalmente automatizadas, sólo tienes que cargar las imágenes y dejar que Ghiro haga el trabajo.

Continue reading