Google OS (Chromium)

En este post, me gustaría dar una nota de opinión sobre cómo están avanzando los acontecimientos en internet. En un post anterior, se comentaba el hecho de lo rápido que ha ido todo evolucionando y que es necesario una adaptación continua o simplemente aceptar tu derrota en esta era digital.

Pero demos un paso más, yo aún me acuerdo de mi primer ordenador equipado con un par de discos (de 5" 1/4) con una versión MS DOS 3.0. En aquellos tiempos muy pocos pensaban y/o hablaban de internet como medio de comunicación de masas. Estos días pasados hemos asistido al lanzamiento de Windows 7 (comentado en este mismo blog) y de la futura versión del sistema operativo de Google Chrome OS. Este nuevo Sistema operativo aboga por una filosofía diferente a la tradicional, es decir, trabajar en la red y que la información esté en la nube, que también está muy de moda ahora con el Cloud Computing.

Realicemos una pequeña prueba personal con una máquina virtual con Chromium (teóricamente basado en Chrome Os -recordemos que no es versión oficial-).

Lo primero que te solicita es un usuario y contraseña, hasta aquí perfecto, pero resulta que debe estar relacionada con una cuenta de Google. Vale utilizamos una cuenta de Google, pero...¿ y si en esos momentos no estoy conectado?, hagamos una rápida prueba... deshabilito el interfaz de red.. y pruebo con un login correcto pero con el password modificado.

Error como era de esperar. Vale, segunda prueba, probemos a introducir los datos correctos (recordemos que estamos sin cable de red) y... perfecto, entramos en el sistema, lo que implica que en algún sitio está almacenando nuestros datos (bueno eso tampoco es novedad también lo hace Windows y Linux), pero ya no podemos hacer nada más.

El sistema por defecto abre un navegador Chrome (sólo una ventana) y desde él podemos ir abriendo más pestañas, pero únicamente podemos realizar algún tipo de tarea si estamos conectados a internet.

Una vez habilitamos el interfaz de red, se nos abre un menú con una serie de opciones de aplicaciones como correos electrónicos, calendarios, docs, redes sociales, etc...

Esta implementación, por supuesto que no es la definitiva, recordemos que la versión final saldrá el año próximo, y tiene muchas carencias. Pero nos dará una idea de lo rápido que puede ser encender nuestro ordenador y estar automáticamente con un navegador listo para recibir tus solicitudes. Si queréis probar esta máquina virtual, o bien descargaros una imagen autoejecutable vía USB, lo podéis encontrar aquí. Comentar que viendo noticias de cómo será la versión definitiva, parece ser que difiere bastante de esta máquina virtual probada.

En resumen, se lanza una nueva idea sobre cómo utilizar el ordenador, en vez de instalaciones y almacenamiento local, realizarlo todo en red. Esto permite el tener equipos mucho más ligeros en cuanto a hardware, y poder ser operativos, pero también tiene sus problemas de cómo poder trabajar offline.

José María arce Guillén

S21sec e-crime

Apagón en Brasil y Paraguay

La represa hidroeléctrica de Itaipú es la más grande del mundo en funcionamiento que está situada entre Paraguay y Brasil, más concretamente sobre el río Paraná en la frontera de ambos países. La potencia instalada en la represa es de 14000 MW, 14 GW con 20 turbinas generadoras de 700 MW cada una, por lo que estamos hablando de una de las más importantes, por no decir la más importante infraestructura crítica en Sudamerica.

El día 10 de Noviembre se produjo corte de electricidad por el cual cerca de 800 ciudades brasileñas (entre ellas Rio de Janeiro) y todo el territorio paraguayo se vieron afectadas. Según una estimación, unas 50 millones de personas sufrieron el apagón. En la ciudad de Sao Paulo el apagón duro aproximadamente 4 horas, en las cuales se produjo un caos de circulación por las calles. En Paraguay el sistema se colapso completamente y todo es país estuvo a oscuras durante 15 minutos.


Inicialmente se pensó en un fallo en la presa hidroeléctrica de Itaipú, aunque más tarde se aseguró que el problema se había originado tras un accidente en la red de transmisión. El jefe de operaciones de la Administración Nacional de Electricidad de Paraguay (ANDE) dijo que hubo un cortocircuito en una línea de alta tensión en la región de Sao Paulo. El ministro de Minas y Energía de Brasil, en cambio, manifestó que no se conocía la causa exacta, pero que lo más probable fue que se debiera a una intensa tormenta (problemas atmosféricos) que acarreó la caída de las líneas de transmisión de Itaipú.El funcionario de ANDE indicó sobre un posible ataque que "Técnimacmente es imposible. Descartamos totalmente esa opción".
Pasados unos días (16 de Noviembre), la ONS (Operadora Nacional del Sistema Eléctrico) reconoció que la semana anterior se había producido la intrusión de un atacante en su sistema informático pero aseguraba que había ocurrido 2 días después del apagón. Por lo que la tesis oficial sigue siendo la de un cortocircuito que afectó a las líneas de transmisión eléctrica.
Pero quedan muchas incognitas en el aire: la primera es que el Instituto Nacional de Investigaciones Espaciales dijera que era casi imposible un "blackout" por causa de tormentas o tempestades. Otro incognita es que según especialistas el apagón comenzó sobre las 22:15 y para las 22:30 la región del sur recuperaba la normalidad y para la media noche pasada terminaba el apagón en Rio de Janeiro. Resulta extraño que un "cortocircuito" capaz de dejar sin luz casi a 2 países se hubiera arreglado tan rápido.
Por último, los dos apagones que surgierno en Brasil en los años 2005 y 2007 fueron causados por intrusiones de atacantes. Esto hizo que la confusión fuese mayor en el momento de este último apagón.
¿Tendrá esto algo que ver con los JJ.OO del año 2016?¿Será algún tipo de aviso?



Iker Berriozabal
S21sec labs

Las redes sociales: voyeurismo digital

Llega el invierno y con ello el frío a la Cuenca de Navarra y las tardes aburridas sin saber qué hacer en casa. En esto que uno se para a pensar en muchas cosas, entre ellas el temible auge que están teniendo las redes sociales. Hoy en día existen redes sociales para toda clase de personas, vivas o muertas, feas o guapas, para jóvenes o para adultos, para él o para ella, etc. El principal objetivo de las redes sociales es el de almacenar un número masivo de datos personales de diverso grado de calidad y confianza debido a que son los usuarios los que los alimentan. Pero, ¿Cual es el motivo para almacenar tantos datos? El conocimiento. Vivimos en la era en la que el conocimiento es oro, y los datos se pueden transformar en conocimiento utilizando, por ejemplo, técnicas de data mining sobre los datos extraídos de una Base de Datos. Este conocimiento nos indica, por ejemplo, los gustos de cierto conjunto de personas. Y es en la veracidad de estos datos en lo que nos vamos a centrar en el post. Por esta razón, decidí hacer una prueba: Cambiar mis datos personales más intimos dando información falsa o verdadera para ver el impacto dentro de mis ciberamigos.

El primer cambio lo realicé en las redes sociales Tuenti y Facebook. En la red social española no tuvo mucho éxito debido a que los cambios realizados sobre el perfil no se le notifica a tus amigos mediante un comentario en su tablón principal. Por lo que, para los cambios posteriores, centré todos mis esfuerzos en las modificaciones en Facebook. A lo largo de estas semanas he recibido gran número de comentarios, mensajes privados, mensajes SMS... Con unos simples cambios he conseguido movilizar a parte de mis amigos.

Renovarse o morir en el intento

La dependencia y repercusión que tiene Internet en nuestras vidas es un fenómeno que debe ser estudiado con detenimiento ya que quien controle Internet controlará el mundo.

No hace mucho en una conferencia se resaltaba el hecho que en toda la Expo 92 nadie había hablado de Internet y han pasado ya 16 años desde el evento sevillano. ¿Alguien era capaz entonces de imaginar la revolución tecnológica que estamos viviendo? Hemos pasado de la Generación X (JASP – Jóvenes aunque sobradamente preparados) a la Generación Y, y muy pronto llegaremos a la Z, donde casi para comunicarnos con ellos necesitaremos un vocabulario y unos conocimientos tecnológicamente avanzados para poder entender sus problemas.

Esta evolución tan vertiginosa nos obliga en algún momento a tomar una decisión importante: ceder en nuestro intento de estar a la última o, por el contrario, seguir una interminable carrera de obstáculos que cada vez cuesta más superar.

Independientemente de la elección que hagamos, los riesgos que existen hoy en día ya tomaron su decisión: aprovecharse de todos los avances tecnológicos para la consecución de sus nefastos objetivos (fraude, robo de información, chantajes, espionaje, etc). De este modo se constituye un escenario donde las amenazas digitales se entremezclan con las del mundo real, estrechando paulatinamente la delgada línea que los separa.

En el momento en que nos encontramos, tan absurdo es decir que la seguridad en Internet es óptima como lo contrario, esto es, que Internet es una mezcla de Mad Max con los cuatro jinetes del Apocalipsis. Si bien es cierto que no somos conscientes de las amenazas reales presentes en Internet, también es verdad que cada vez existen más iniciativas para convertir Internet en un lugar seguro. Pero no nos engañemos; cuando se diseñó lo que es ahora Internet, nunca nadie vaticinaría el caldo de cultivo de delitos que ocurren diariamente, es más, lo extraño es que hoy en día nadie se sorprenda. ¿Quién no ha recibido varias veces anuncios de farmacias ilegales, premios de lotería, intentos de phishing o anuncios de cómo ganar mucho dinero trabajando desde casa (y convirtiéndonos en un mulero)? ¿Cuántas veces hemos tenido que desinfectar nuestros ordenadores de código malicioso o reinstalar el sistema operativo puesto que ya no nos fiábamos de él? ¿Estamos seguros que nuestro ordenador no forma parte de una botnet y está siendo usado para enviar esos correos de farmacias ilegales o participando en un ataque a gran escala de Denegación de Servicio? Si habéis respondido a alguna pregunta con un sí, ¿alguna vez os ha pasado algo parecido por la calle?

Desgraciadamente, hoy en día, no tenemos control de Internet, ya que ni siquiera tenemos control de nuestros ordenadores. Internet se está convirtiendo en un arma política y de guerra, y quien controle Internet, controlará el mundo. En estos primeros años de vida de la Red ya se aprecian signos de cambio; desde la creación de cuerpos especializados en ataques por Internet (ciberguerra) por parte de algunos países, hasta ataques ya públicos por motivos enteramente políticos (Estonia, Georgia, Rusia, …) pasando por la inmersión total de bandas de crimen organizado de diferentes puntos del globo.

El grado de avance es tal, que nos encontramos en un punto sin retorno, y que seguramente dictará los acontecimientos venideros. No sólo las grandes empresas privadas han visto las orejas al lobo y se están preparando para prevenir y neutralizar cualquier ataque del exterior, sino que la mayoría de los países están haciendo lo mismo; este hecho es francamente relevante porque requiere un esfuerzo muy grande debido a la naturaleza dinámica de estas amenazas; la empresa privada lo comprendió hace tiempo, pero las organizaciones públicas han tardado más en reaccionar.

Esta frenética actividad que se está produciendo en la mayoría de los países viene dictada por la fragilidad de las infraestructuras de Internet. Hace pocos meses eran noticias alarmantes la aparición de fallos de seguridad en dos de los protocolos más importantes de Internet: la resolución de nombres (DNS) y el tráfico en Internet (BGP), ambos protocolos son imprescindibles para el funcionamiento de Internet, y también ambos fueron diseñados en la década de los 80 y principios de los 90, antes de la Expo 92, cuando nadie aún hablaba de Internet. Aún cuando las vulnerabilidades no son tan graves como parecen, pueden ser fatales si no las entendemos y no contamos con ayuda y experiencia, interna o externa, que nos permita establecer todo tipo de contramedidas para mitigar, o mejor, neutralizar el riesgo al que estamos expuestos.

La sensación que nos queda con este tipo de vulnerabilidades es que nos han dado gato por liebre. Confiábamos y confiamos a ciegas en ciertas infraestructuras que pese a que cuentan con pocos años de funcionamiento, las consideramos ‘de toda la vida’ (la web, el correo electrónico, las comunicaciones…) y poco a poco nos damos cuenta de que estamos construyendo gigantes con pies de barro. Internet y todo lo que le rodea aún es muy joven y necesita un fuerte rediseño para que realmente sea un lugar seguro. Por supuesto siempre es complicado juntar las palabras seguridad y privacidad, pero todos tendremos que hacer un pequeño esfuerzo para que esas dos palabras combinen.

En definitiva, al igual que en 1992 nadie se imaginaba lo que ha significado la revolución, en todos los sentidos, de nuestra forma de vivir, trabajar y lo que es más importante, relacionarnos, ahora tampoco somos capaces de imaginar lo que pasará dentro de otros 16 años; de lo que sí que tenemos que ser conscientes es que hay que renovarse o morir en el intento. Seamos conscientes de las amenazas reales para que entre todos, podamos construir un lugar seguro.

David Barroso
S21sec e-crime

El final de la cadena

La evolución del mercado de malware, especialmente el dedicado al tráfico de troyanos bancarios así como de información financiera robada a usuarios legítimos, se basa en dos paradigmas:

- El primero es el basado en organizaciones muy cerradas, normalmente encargadas de gestionar todas las etapas del fraude. Suelen ser las que se encuentran tras los troyanos más avanzados, como Sinowal.

- El segundo es el que se basa en la distribución, segregación y replicación de roles y responsabilidades. No hay una cabeza visible, las "células" son independientes y no hay conexión entre los distintos implicantes. De este modo, los últimos eslabones de la cadena de distribución tienen poca o nula conciencia del entramado del que forman parte, y el cierre o detención de uno de sus integrantes tiene poca repercusión a nivel global.

Este último modelo es el que está teniendo un éxito más destacado. Sin duda todos recordamos un caso como el de DarkMarket, conocido foro underground en el que se mercadeaban todo tipo de bienes ilícitos y operado por el FBI. Foros de este estilo los hay a todos los niveles. Ghostmarket era uno de ellos, especializado en intercambio de credenciales bancarias y tarjetas de crédito, y centrado básicamente en Inglaterra. Dicho foro gozó de cierta popularidad entre delincuentes "novatos", muchos de ellos jóvenes, que veían una forma rápida de hacer dinero y que tenían una percepción de inmunidad al ser delitos menores para cuya persecución la policía no dedicaría recursos.

No obstante Ghostmarket tuvo una intrusión a principios de Julio que se ha conocido recientemente:


Para posteriormente ser clausurado e investigado por las fuerzas del orden. A continuación se muestra la nota de despedida de su administrador:


De forma relacionada, o no, se ha producido recientemente en el Reino Unido la detención de dos delincuentes asociados a la distribución y explotación de una botnet de Zeus.

La inmunidad de la que se creían beneficiados algunos de estos integrantes, que en algunas ocasiones incluso encargaban el envío de bienes comprados con tarjetas de crédito robadas a su propio domicilio, ha resultado no ser tal. Esperemos que si no es la propia ética, al menos el miedo a una actuación eficiente de las fuerzas del orden haga retroceder las ansias delictivsa del conjunto de usuarios novatos que conforman el último y más desprotegido eslabón de la cadena delictiva.

Vicente Díaz
S21sec e-crime

Blanqueo de capitales, una larga historia...

Bien es sabido por todos que la criminalidad es fuente de grandes cantidades de dinero, y el beneficio económico de los delitos demanda ser utilizado en los mercados legales. Pero no seria hasta el pasado siglo que el proceso de convertir este dinero ilícito o "sucio" en legal o "limpio" se considere un delito independiente de aquellos que lo originaron. La palabra "lavado" tiene origen en los Estados Unidos en la década de los veinte, época en que las mafias norteamericanas crearon una red de lavanderías para esconder la procedencia ilícita del dinero que alcanzaban con sus actividades criminales, fundamentalmente el contrabando de bebidas alcohólicas prohibidas en aquellos tiempos.

La acción de "lavar" o "blanquear" dinero no es algo nuevo o propio de los tiempos modernos, ya en la edad media tras ser declarada ilícita la usura, mercaderes y prestamistas burlaban la ley mediante complejos e ingeniosos mecanismos, aunque quien realmente llevó esta práctica al más alto nivel fue la orden de los caballeros templarios, que aprovechándose de algunos vacios legales que les propiciaba la iglesia católica en forma de poderes y no responsabilidad ante las "leyes del hombre" y su astucia a la hora de cambiar la forma en la que los préstamos eran pagados, consiguieron evadir esta prohibición y volverse inmensamente ricos llegando incluso a financiar a reyes, los templarios son considerados por muchos historiadores como los creadores de los servicios y sistemas bancarios tal y como los conocemos hoy en dia y los creadores de la administración de riquezas a traves de estructuras complejas en diversos paises. Tras la desaparición de la orden, la Santa Sede y los reyes europeos adoptaron los metodos y procedimientos de los templarios para administrar y ocultar riqueza.

Otro gran hito en el blanqueo de dinero ocurre durante los siglos XVI al XVIII, con la piratería. Los piratas se convirtieron en expertos blanqueadores del oro que robaban de los navios en alta mar y que convertían con ayuda de bancos y estados como Inglaterra, Francia u Holanda, que lejos de impedir sus fechorias se convertían en parte integrante de la red de lavado, es famoso el caso del pirata inglés Francis Drake, que fue armado caballero en su nave por la propia reina Isabel I de Inglaterra, dado los pingues beneficios que generaba y el daño inflingido a la economía del imperio español, su gran enemigo.

El lavado de dinero fue advertido en los países desarrollados a mediados de los años 70 con la visión puesta en el narcotráfico en Estados Unidos, debido a que la recaudación de la venta de droga en la calle era depositada en los bancos sin ningún trámite ni control previo y esos fondos se introducían fácilmente al circuito formal. La expresión "lavado de dinero" fue utilizada por primera vez judicialmente en el año 1982 en los Estados Unidos, en una operación de blanqueo del dinero generado por contrabando de cocaína colombiana. En la actualidad, tratándose por ejemplo, de la cocaína y la heroína, el volumen físico del dinero producto de su venta es mayor que el volumen físico de la droga misma y, paradójicamente, desde el punto de vista material, resulta más fácil ingresar los estupefacientes a un país que sacar el efectivo por la venta del mismo. El famoso narcotraficante Pablo Escobar señaló que almacenar, contar, mantener transportar y entregar el dinero del narcotráfico era un problema grande ya que el dinero entregado por la venta de la droga usualmente son billetes menores (de 5, 10 y 20 dólares) que tienen que ser cambiados por billetes más grandes de 50 y 100. De lo contrario el peso de los billetes ($25.000) por un Kg de cocaína sería muchísimo mayor que el de la propia droga.

A finales del siglo XIX comenzó a extenderse en los Estados Unidos la empresa que busca capital emitiendo acciones. En la actualidad, en muchos casos esos accionistas son fondos de inversión , cuyos integrantes son de dificil identificación. En este sistema de propiedad y administración se diluye la responsabilidad, situación que se da aún más en compañías en las cuales los Estados son accionistas mayoritarios. El Estado y los bancos aparecen así como cómplices en el blanqueo de dinero, ya que en la medida que estas empresas tengan un mayor capital, mayor será el respaldo con el que contaran para sus actividades. Los primeros indicios acerca del blanqueo de capitales de esta actividad coordinada entre Estados y Bancos, tiene sus orígenes, desde fines de la década de los 60, en los paraisos fiscales y en las plazas financieras offshore. Estos centros se encuentran fuera del alcance de los bancos centrales, y son aptos por su ubicación estratégica, para la gran circulación de divisas. Dichos paraísos fiscales albergan gran cantidad de sociedades y compañías fantasmas, a través de las cuales al amparo del secreto bancario, permiten radicarse a gran cantidad de delincuentes globales para el blanqueo de dinero.

Ignacio Rodriguez
S21sec e-crime

Impresiones sobre el 1er Taller en Minería de Opinión y Análisis de Sentimiento

El pasado viernes 13 de noviembre tuvo lugar en Sevilla el primer Taller en Minería de Opinión y Análisis de Sentimiento (Workshop on Opinion Mining and Sentiment Analysis, WOMSA) adscrito a la XVII Conferencia de la Asociación Española para la Inteligencia Artificial.

El objetivo de este taller fue poner de manifiesto el estado del arte y los avances en tecnologías de la información aplicadas al análisis de sentimiento y minería de opinión. "Qué piensa la gente sobre...?" es la frase que mejor resume el alcance de este taller. Se presentaron un total de catorce artículos enviados por universidades y compañías, entre ellas S21sec. Cabe destacar la cordialidad y buen ambiente de los organizadores y participantes, permitiendo un rico intercambio de conocimiento.

El primer paso en la minería de opinión es determinar el dominio en el que se procesará la información. Los principales dominios que aparecieron en las diferentes charlas fueron:

• Noticias económicas
• Críticas de cine
• Blogs temáticos (finanzas, ecologismo, etc.)
• Opiniones de productos (Ciao!, Amazon)
• Foros tecnológicos

Las páginas web de evaluación de productos tienen asociadas un valor de opinión respecto al producto, donde el usuario además de describir las cualidades o defectos del producto, suele valorarlo en un ranking de cálidad. Sin embargo para el resto de fuentes recopiladas es necesario realizar anotaciones manuales sobre si un documento (o párrafo) es positivo, negativo o neutro.

Para asegurar cierto rigor en la anotaciones manuales, es recomendable que al menos dos personas realicen la anotación. A partir de estas anotaciones se puede extraer la tasa de acuerdo entre anotadores (Inter Anotator Agreement, IAA), que determina el grado de coincidencia entre sus anotaciones. La IAA por un lado nos permite tener una idea de la dificultad de la tarea que se está abordando, y por otro poner en contexto el rendimiento de las aplicaciones automáticas respecto al trabajo manual. Esta tasa se situaba alrededor del 65-75% en los artículos expuestos, lo que muestra el grado de dificultad en este tipo de tareas.

Si bien la mayoría de artículos se basaban en detectar la polaridad, positiva, negativa o neutra, se abordaron temas como la recuperación de información en redes sociales, el análisis de humor, ironía y afecto, la influencia de las categorías morfosintácticas en el análisis de opinión, metodologías para la construcción de sistemas de extracción de opiniones y monitorización de contenidos.

Algunas conclusiones extraídas tras la asistencia a este taller son:

• El análisis de sentimiento y minería de opinión es una disciplina emergente, de gran interés tanto para la comunidad universitaria como las compañías privadas.


• El gran creicimiento de fuentes de información alternativas como las webs colaborativas y redes sociales hacen necesaria la creación de herramientas automáticas que analicen la información pública presente en la red.


• La creación de herramientas para este tipo de análisis deben ser evaluadas teniendo en cuenta la dificultad que entraña esta tarea incluso para las personas.


• Es necesario la creación y unificación de recursos orientados a la opinión, que ayuden a la comunidad a avanzar en una misma dirección.

Esperamos seguir participando en próximos talleres y conferencias con el objetivo de avanzar en la investigación e innovación de tecnologías aplicadas al análisis de sentimiento y minería de opiniones.

Israel Varea
S21sec E-crime

Logs

¿A quién no le ha tocado lidiar alguna vez con un log? Es una pregunta sencilla, y más de uno ha echado una risilla al leerla porque se imagina de qué va el tema. Efectivamente, vamos a hablar de la utilidad y la eficacia de la información presente en los logs, esos ficheros llenos de letras que nos dan muchos dolores de cabeza.

Tenemos muchos tipos de logs, dependiendo del equipo del que provengan y la utilidad que se da al mismo. No es lo mismo un log de un firewall que el del servidor de aplicaciones del programa de cuentas de la empresa. En el mundo de las redes de control ocurre lo mismo que en las redes empresariales. No tenemos el mismo log en una RTU que en el Front-End de comunicaciones.
El mundo de control tiene muchas deficiencias en cuanto al mundo del log se refiere. Tradicionalmente los equipos de control eran autónomos y estaban aislados del mundo, a menudo el operario se encargaba de su supervisión, entonces ¿para que necesito un log? Este hecho hace que, ahora que los centros de control están interconectados, no tengamos constancia del funcionamiento de muchos equipos al no poder consultar su listado de mensajes, su log.
Esta carencia la han solucionado algunos proveedores mediante programas que se encargan de hacer un log de determinadas variables del equipo utilizando un formato estándar para todos los mensajes, ¿pero es realmente comprensible esa salida?

Evidentemente no podemos comparar la lectura de un log de un equipo que presenta registro de eventos propio, de otro sacado a base de un programa genérico. El primero presenta mensajes de todo tipo, como siempre dependerá del nivel de detalle (debug, info, warning, error, etc.) que hayamos puesto en la configuración, pero que, en general, serán de diferente índole y darán diversa información sobre el encendido o apagado del equipo, las librerías que Carga y utiliza, los fallos o avisos, etc. En el segundo, como ya hemos dicho, la estructura es común en todos los mensajes, por lo que es más comprensible, pero a cambio no se pueden presentar tantos mensajes y tan diversos como en el primero caso.

2009-10-20 23:50:02 T1: Regins preparada para recibir trazas y errores. (regins,regMain.c,158)
2009-10-20 23:50:02 T1: Canal: sactraza.91259729.servidor.RegistroInstancia.*.> (regins,regMain.c,159)
2009-10-20 23:50:02 T1: Regins preparada para recibir trazas y errores. (regins,regMain.c,181)
2009-10-20 23:50:02 T1: Canal: sactraza.91259730.servidor.RegistroInstancia.*.> (regins,regMain.c,182)
[GEN]2009-10-20 23:50:04 T2: [APL_FEND/geaplp2 (1)].--- Heart Beat BDSAC (7 ms) --- (gestins,geConsultasIniciales.pc,616)
[PRI]2009-10-20 23:51:39 T2: AVISO_MANDO: Llega mando estado. IdSac 795936 | Tipo 2001 | Valor 0 | Maquina 14436667 | IdPoe 50660453 (fccMain,fcuCbSFE_Accion.c,224)
[GEN]2009-10-20 23:51:39 T2: [APL_FEND/geaplp2 (1)].--- Heart Beat BDSAC (6 ms) --- (gestins,geConsultasIniciales.pc,616)
[PRI]2009-10-20 23:51:43 T2: AVISO_INFO: MENSAJE NO CONSIDERADO!!!! dataStorTimeSync session 61 (PRAT) sector 0 quantity 1 IOA 100!!!!!!!!!!!!!! (fccMain,fcuLib101.c,2111)
[GEN]2009-10-20 23:51:44 T2: [APL_FEND/geaplp2 (1)].--- Heart Beat BDSAC (7 ms) --- (gestins,geConsultasIniciales.pc,616)
[PRI]2009-10-20 23:52:04 T2: AVISO_MANDO: Llega mando estado. IdSac 350115 | Tipo 2010 | Valor 0 | Maquina 14436667 | IdPoe 50660453 (fccMain,fcuCbSFE_Accion.c,224)
[PRI]2009-10-20 23:52:10 T2: AVISO_MANDO: Llega mando estado. IdSac 350115 | Tipo 2010 | Valor 0 | Maquina 14436667 | IdPoe 50660453 (fccMain,fcuCbSFE_Accion.c,224)
[PRI]2009-10-20 23:52:24 T2: AVISO_CONEX: 'DESCONEXION REMOTA POR NOTIFICACION SCADA' para RTU (ER687593/TREG1/32790) (fccMain,fcuSFE.c,1109)
[PRI]2009-10-20 23:52:24 T2: AVISO_CONEX: Procediendo a marcar para gestion reconexion la remota ('ER687593'/'TREG1'/'32790') ('REMOTA MARCADA PARA GESTION RECONEXION POR DESCONEXION') (fccMain,fccReconexionRemotas.c,378)

En el fragmento de log anterior, perteneciente a un Front-End de comunicaciones, podemos observar mensajes de todo tipo, del equipo, configurados por el usuario y que el equipo no comprende, conexión y desconexión de equipos, etc.

< date="'2007-09-04T17:41:05.940+06:30'" local="'N'" name="'DB_UPDATE'" desc="'DB_UPDATE'" val="'YES'/">
< date="'2007-09-04T17:48:05.565+06:30'" local="'N'" name="'TEMP_HIGH_CB1'" desc="'TEMPERATURE" val="'TRUE'/">
< date="'2007-09-04T18:02:05.376+06:30'" local="'N'" name="'TEMP_HIGH_CB1'" desc="'TEMPERATURE" val="'FALSE'/">
< date="'2007-09-04T18:12:21.884+06:30'" local="'N'" name="'TEMP_HIGH_CB1'" desc="'TEMPERATURE" val="'TRUE'/">
< date="'2007-09-04T21:03:34.521+06:30'" local="'N'" name="'TEMP_HIGH_CB1'" desc="'TEMPERATURE" val="'FALSE'/">
< date="'2007-09-04T21:03:37.459+06:30'" local="'N'" name="'TEMP_HIGH_CB2'" desc="'TEMP_HIGH_CB2'" val="'FALSE'/">
< date="'2007-09-04T21:03:37.516+06:30'" local="'N'" name="'BULK_SUPLY_CB1'" desc="'BULK" val="'FALSE'/">
< date="'2007-09-04T21:03:37.895+06:30'" local="'N'" name="'FAN_FAIL_CB2'" desc="'FAN_FAIL_CB2'" val="'FALSE'/">
< date="'2007-09-04T21:03:38.194+06:30'" local="'N'" name="'IORACK_SUPLY_CB1'" desc="'I/O" val="'FALSE'/">
< date="2007-09-04T17:41:05.940+06:30" local="N" name="DB_UPDATE" desc="DB_UPDATE" val="YES">

Claramente este otro fragmento, de una RTU, es muy diferente del anterior. En este caso estamos viendo un fragmento en el que todos los mensajes son iguales. Aquí se puede apreciar la similitud de todos los mensajes, y se pueden apreciar todos los cambios en las variables y seguirlos fácilmente. Como ya hemos indicado, no tenemos la versatilidad de los equipos con log propio.

Podemos decir que si el equipo no presenta logs podernos utilizar un “parche” para conseguirlos, pero no serán de la misma calidad y utilidad que los producidos directamente por los equipos.

Y todo esto, porque ahora se comienza a analizar los logs de los elementos de campo nos damos cuenta que son muy básicos. Para los operarios los logs no son algo a utilizar, para los informáticos los elementos de campo no van con ellos, cedamos todos un poco y entendamonos.

Jairo Alonso
S21sec Labs

SOBRE LOS TELÉFONOS, ESOS CHIVATOS.

No lo dice la RAE, pero juro que esta palabra existe (o, al menos, que no me la he inventado yo):
Misoneico.- Persona hostil a las invenciones o novedades.

Lo que seguro que no hace falta jurar a los lectores habituales de este blog es que los misoneicos existen, no son pocos y, además, pueden llegar a dar bastante guerra. Sin embargo, es como mínimo ingenuo pensar que todas las novedades tienen únicamente consecuencias positivas. (De hecho, toda la rama de la seguridad en tecnologías de la información es un ejemplo clarísimo de la multitud de retos que los nuevos avances traen consigo).

Una de las provocaciones más intensas para los misoneicos son los dispositivos móviles. ¿Cómo no sentirse agredido por esos terminales que todo el mundo lleva en el bolsillo, invadiéndonos con su tecnología hasta la intimidad más íntima?

Más allá de los temas de radiaciones -que no voy a entrar a discutir-, una de las cuestiones que más preocupan a quienes los miran con reparo está en el hecho del conocimiento que las operadoras, u otros agentes, pueden llegar a tener de nosotros. Y no es para menos. Ayer mismo, Bernardo Hernández, afirmó abiertamente en el FICOD que "Los datos nos dan poder". Desconozco si es una imprecisión del clásico "el conocimiento es poder", o si estaba intentando llegar más allá al referirse a los datos mismos. Lo que sin duda es cierto es que, el conocimiento que se puede extraer de los datos con un tratamiento adecuado es considerable. Y que las operadoras tienen ingentes cantidades de datos sobre nosotros.

Normalmente, las compañías reconocen sin pudor que utilizan esos datos para estudios de estadísticos de mercado. ¿Pero qué clase de cosas podrían llegar a conocer sobre uno con esa información? Las más evidentes serían: a partir de los datos de localización (con diferente grado de precisión según la tecnología del terminal), se pueden conocer sus pautas de movimiento, es decir sus costumbres. A partir de los datos de llamadas entrantes y salientes (números, pero también horas), se podría conocer quienes son las personas con las que se tiene más intimidad. A partir de las datos de llamadas a compañías o servicios técnicos es posible conocer los intereses de alguien como consumidor. Seguro que dándole una vuelta podríamos sacar muchas más y, todo eso, sin entrar en temas polémicos como los del sistema SITEL.

¿Hasta dónde llega nuestra privacidad si tenemos un teléfono móvil?

Una cosa que me ha llamado la atención en este sentido es ver cómo, en ocasiones, los datos pueden llegar a decir más sobre nosotros de lo que conscientemente sabemos. En un reciente estudio investigadores del MIT fueron capaces de etiquetar a parejas de amigos con un 95% de éxito incluso meses antes de que los propios implicados se reconocieran a sí mismos como tales.

Sin lugar a dudas, este tipo de conocimiento puede llegar a ser extraordinariamente poderoso. Pero probablemente estemos aún muy lejos de que una única conspiración de Illuminati domine el mundo. Al fin y al cabo, la mayoría de nosotros pertenecemos a una gran variedad de redes. Cada vez más, utilizamos servicios de múltiples compañías y tecnologías y seguiremos teniendo una dependencia crítica en las vías de relación totalmente "analógicas".

Lo que está claro es que los Estados e instituciones supranacionales deben posicionarse legislando siempre en favor del más desprotegido (en el caso que nos ocupa, nosotros) garantizando su privacidad y previniendo abusos.

De todas maneras, y para terminar con una nota positiva, también es cierto que esa permanente conectividad puede tener aplicaciones muy útiles. Sólo hay que emplear los medios disponibles, que no son pocos.

Luis Tarrafeta
S21sec labs

Cuando veas las barbas del router de tu vecino cortar...

Pues sí, tenemos que poner las de nuestros routers a remojar. Aunque esto al usuario de a pie no le tiene por qué afectar, siempre y cuando se le respete el ancho de banda contratado, hay para remojar. Me refiero al mediocre plataformado con que la mayoría de las operadores preparan los routers de banda ancha para el mercado residencial, tomando como referencia los últimos casos comentados por mis compañeros de Mexico.

Pero me temo que no se trata de un caso aislado. En España el problema es bastante acuciante, sobre todo en routers ADSL. Por ejemplo, leo atónito en Bandaancha que ahora es posible hacer ataques DDoS sin necesidad de troyanizar los equipos de los usuarios. Ahora los zombies son también los routers ADSL que, incorrectamente configurados, contestan a las peticiones de resolución de DNS desde el lado WAN. No hablamos de beneficio económico directo, al menos de momento, pero con la gestión remota en manos del atacante, ¿qué les impide modificar el firmware y así meter un sniffer que reporte a la botnet de forma periódica? No digo que esto sea más sencillo que el método clásico, pero la posibilidad existe.

Y aunque lo lea preocupado, no me extraña para nada. Tenemos un problema que llevamos arrastrando desde los albores de las líneas ADSL, donde las telcos no daban a basto con los pedidos, no tenían el know-how ni la visión de futuro necesaria. Como es lógico el parque de usuarios ha ido creciendo año tras año, e increíblemente los plataformados de los equipos autoinstalables continúan siendo deficientes.

Cabe recordar el tipo de cosas que se dejan al aire en los routers ADSL cuando son entregados al cliente doméstico:

• Configuración de la red inalámbrica deficiente
• Usuarios por defecto
• Ausencia de una gestión remota eficiente
• Ausencia de actualizaciones automáticas del firmware de los routers

Y es que de momento parece que la mayor preocupación está en los ordenadores, sin tener en cuenta que los routers actuales no dejan de tener la arquitectura propia de un ordenador (CPU, ROM, RAM) ejecutando normalmente un sistema GNU/Linux embebido. Las operadoras de cable han sabido organizarse mejor, partiendo de la base de que el usuario no tiene por qué tocar el router, que es autoconfigurado mediante DHCP desde la telco a la que está conectada.

Creo que este problema debería preocupar mucho más a las operadoras que ofrecen servicios de banda ancha a sus usuarios por el par telefónico. Los usuarios pueden también, por desconocimiento, degradar la configuración base de sus routers, pero creo que son casos mucho más aislados, y problemas como el del DNS Amplification deberían simplemente de no existir, gracias a un correcto plataformado y gestión remota de los routers. Por ejemplo, hoy en día se considera inepto al administrador que permite que la MTA de su compañía tenga el relay abierto.

¿Será posible arreglar el problema remotamente, o el sistema estará herido de muerte y requerirá de un "reciclado" masivo de routers al más puro estilo SECA/NAGRA? Me temo que la cosa va encaminada por lo segundo, y claro, la solución tiene un coste sensiblemente superior a la de expedir unos millones de tarjetas inteligentes con los "agujeros" cerrados. ¿Para qué poner memorias flash en los routers? Si eso volvemos a las memorias ROM de máscara que salen más baratas y tienen un airecillo retro.

Álvaro Ramón
S21sec labs

Datos robados, fraude y estadísticas.

Uno de los factores que debería (no siempre es posible) tenerse en cuenta en la investigación de una determinada campaña de phishing dirigido es el análisis de posibles fugas de información previas al incidente estudiado.

En el caso que fuera posible establecer dicha relación, por ejemplo si los datos de la empresa X robados/perdidos recientemente empiezan a aparecer al poco tiempo en forma de mails muy personalizados en una nueva infraestructura de fraude o con otros fines no demasiado legítimos como en un robo de identidad , permitiría tener una perspectiva “global” del incidente en curso (desde el origen de los datos utilizados en una campaña de fraude, su posible flujo en el mercado negro , los posibles implicados en las distintas etapas del negocio y el objetivo final para los cuales van a ser utilizados).

En este sentido, un recurso interesante cuyo objetivo es recopilar información sobre incidentes de pérdida y/o robo de datos (en Estados Unidos) es DatabaseLoss , proyecto dedicado a analizar e informar sobre este tipo de hechos y a la realización de estadísticas que pueden ayudar a establecer ciertas relaciones entre esos datos perdidos y su posterior aparición en campañas de fraude.

Repasando la estadística de incidentes reportados a lo largo del presente año se aprecia claramente una disminución importante de los mismos (reducción de los incidentes reportados, ya que por estadísticas externas varias se tiene constancia que tanto los ataques como incidentes siguen yendo en aumento).

Cabe destacar que las estadísticas se basan en el número de incidentes reportados y no en el volumen de datos afectados, así que podría darse el caso en el que realmente se está produciendo una mayor pérdida de datos en un menor número de incidentes (comparando las estadísticas de volumen de datos afectados en 2008 y 2009 parece ser una explicación convincente).

Estadística Incidentes 08-09. http://datalossdb.org

Otro de los argumentos para explicar este fenómeno podría tener su origen en el informe “Security Paradox” publicado por McAfee el pasado mes de Octubre.

Según este estudio se está incrementando el número de incidentes de seguridad en empresas de tamaño medio (entre 51 y 1000 empleados) las cuales han visto minimizados sus presupuestos en seguridad debido al factor crisis (un 75% de este tipo de empresas redujo o congeló los presupuestos de seguridad informática en algún momento del presente año).

La explicación es que este tipo de empresas suelen reportar menos casos de incidentes que sus homólogas más grandes, lo que podría llegar a corroborar por un lado las estadísticas de aumento de ataques e incidentes de seguridad y por otro las estadísticas con tendencia a la baja de los incidentes reportados.

En el mismo informe se destaca que las empresas de menos de 500 empleados (nada menos que un 90 % del total encuestado) subestiman el riesgo de sufrir ataques directos ya que creen que los delincuentes tendrán como objetivo a empresas mucho más grandes lo que puede conducirles a cierto “relax” que puede llegar a resultar muy dañino para sus activos.

Otro efecto colateral de esta falsa sensación de “relax” podría ser que muchas empresas de este tipo no sean conscientes de dichas pérdidas de datos hasta pasado bastante tiempo , con lo cual deberíamos ver las estadísticas de incidentes reportados de 2010 crecer de manera significativa.

Daniel L. Creus
S21sec e-crime

Viendo con otros ojos...

Hay veces que no bastan nuestros ojos para poder ver, mirar y/u observar una imagen. Muchas veces la imagenes tienen información en otros colores como los ultravioletas, infrarrojos, rayos x, y un largo etc; fuera de los límites de nuestro ojos. Otras veces esa información está dentro de los colores que vemos ver pero es tan similar que todo nos parece el mismo color.

Para solucionar ambos temas, se suele recurrir a una transformación del llamado "espacio de color". Un espacio de color es un conjunto de colores definido, y será en general distinto al de otros espacios de color. Además hay que distinguir los aditivos, tipo luz como el RGB, de los sustractivos, tipo pintura como el CMYK. Por ejemplo, el espacio de color RGB usado en los monitores no es capaz de representar todos los colores y cada monitor tiene un espacio de color distinto, aunque muy similar al de otros.

Para lo primero, si recogemos un rango de luz en la zona de rayos X, podemos fraccionarla en N tramos y asignar a cada uno un color visible y asi poder ver lo que nuestros ojos no son capaces de percibir. Con esto se consiguen esas excepcionales fotografías astronómicas en falso color. Para lo segundo, se suele recurrir a reducir el número de colores que forman una imagen.

Hoy nos vamos a centrar en lo segundo, en modificar los colores de una imagen para poder apreciar detalles que antes no podíamos. Una de las formas es cambiar el contraste y la luminosidad de una imagen con los controles básicos que tienen la mayor parte de las aplicaciones de tratamiento de imagen. Otra forma es usar un espacio de color llamado HY. Este espacio de color sólo tiene dos componentes, Hue e Y. El Hue representa el color propiamente dicho, rojo, verde, amarillo, azul y se encuentra en los espacios de color HSL, HSB y HSV. La Y representa la escala de gris de la imagen y la podemos encontrar (calculada de distintas formas) en los espacios de color YUV, YIQ, YCrCb entre los mas conocidos. Al convertir una imagen a este espacio HY perdemos parte de la información de color, como la saturación de color, permitiéndonos distinguir posteriormente entre los distintos "tonos" de un color.

Cogemos la imagen que queremos analizar, la convertimos de RGB al HY y otra vez al RGB para poder visualizarlo y obtenemos la imagen filtrada. Aquí teneis un par de ejemplos.





La mancha amarilla al lado de la corbata es un "piercing" de color amarillo que le hemos puesto y que estaba oculto en la imagen original. En la oreja derecha también lleva uno. Además de descubrirnos objetos ocultos, también nos muestra en las imágenes jpeg con pérdida dónde ha aplicado una pérdida de información "excesiva", en este caso en el pié izquierdo.





En este ejemplo vemos una imagen con algo escrito en amarillo y aplicando el filtro, podemos ver que hay más escrito de lo que realmente parecía.

P.D. Desgracidamente el applet que tenia preparado no funciona, si alguien puede colaborar con eso, su código está aquí.
Las fotos del oso han sido tomadas por el compañero Ión Ruiz.

Eduardo Morrás
S21sec e-crime

Cómo hacer que un código malicioso de Windows funcione en MacOS

"Cómo hacer que un código malicioso de Windows funcione en MacOS y ser un irresponsable" debería ser el título. Ayer me quedé completamente asustado; en una carpeta llena de herramientas y de documentos de repente no se podía abrir los archivos. Al principio pensé que se había corrompido alguno y no le di importancia; cuando me di cuenta que casi todos no se podían abrir me empecé a asustar, y cuando ya viendo los archivos con un editor hexadecimal me di cuenta de que todos parecían tener un patrón parecido, entré en un ataque de pánico; todo tenía pinta que "algo" había hecho algo con mis ficheros, pero por más que pensaba no recordaba ningún ransomware para MacOS reciente.

¿Me he infectado con algún código malicioso? He analizado varios códigos maliciosos para MacOS durante los últimos años y todos son fáciles de detectar y bastante simples en su funcionamiento, pero me estaba empezando a asustar de haber sido infectado y no haberme dado cuenta (¡será la edad, que van a decir de mi, pensé yo!). Me tiré durante horas examinando el sistema operativo por todos los sitios donde suelen habitar este tipo de parásitos y sin encontrar nada. Todos los ficheros modificados compartían una ventana de tiempo y me tiré un buen rato analizando que había pasado durante esa ventana de tiempo sin encontrar el punto de compromiso (conexiones remotas, historial web, actividad en procesos, en archivos, etc. etc.). Ya no sabía que hacer. Busqué en todas las listas de correo, sitios web y todo lo que pude para ver si había algo reciente que pudiera haber hecho que mi máquina se infectara (con 10.6.2). Todo sin éxito.

La única pista que me sonaba rara es que durante ese día había estado analizando varias webs con kits de infección recientes (que en teoría sólo afectaban a máquinas Windows) y estuve analizando con detalle los exploits que utilizaban para ver si encontraba alguno que afectara a MacOS (aunque suene raro, ilusionado también con la idea puesto que no existen kits de infección con exploits para este sistema operativo, aún). Al no encontrar nada, me puse a analizar los 3 códigos maliciosos que había encontrado en esas páginas; el día de autos, los había ejecutado en una máquina virtual con Windows XP. Sólo se me ocurría que estuvieran aprovechando alguna vulnerabilidad en VmWare Fusion y que fueran capaces de saltar a la máquina host.

Después de pasarme parte de la noche dándome cuenta de que estaba llegando a un callejón sin salida, y después de tantas horas de paranoia, se me ocurrían conspiraciones cada cuál más increíble. Hasta que en la n-ésima vez que restaure un snapshot de la máquina virtual de Windows donde había ejecutado esos archivos, me di cuenta de un nimio detalle: había compartido una carpeta ("esa carpeta") de la máquina host antes de infectar el Windows para coger una herramientas y luego se me había olvidado desconectar la carpeta compartida. Entonces, ¡encajaron todas las piezas del puzzle!

¿Qué creéis que pasó? La solución, en los próximos días.

David Barroso

S21sec e-crime

eCID

Hace ya dos meses se puso en marcha un gran proyecto a nivel nacional relacionado con la seguridad de las infraestructuras críticas. El nombre del proyecto es eCID, que es un acrónimo de "enlightened Critical Infrastructures Defense".

Se trata de un proyecto en el que participan diecisiete entidades: doce empresas, tres organismos públicos de investigación, un organismo de investigación privado, y una asociación.

El objetivo del proyecto es desarrollar una metodología certificable y voluntaria para la protección de infraestructuras críticas, basada en la articulación de la seguridad de los sistemas de información, a través de tres conceptos: las ciberburbujas de protección, la medición del sistema para la toma de decisiones, y la coordinación y transmisión de éstas entre las burbujas.

La ciberburbuja de protección es un concepto que engloba las medidas de protección aplicables a una infraestructura. Para una infraestructura cualquiera existe un conjunto de medidas de protección aplicables, cuya función es reducir el riesgo existente a un nivel residual aceptable. Debido a la dispersión geográfica de las infraestructuras, y a las posibles interdependencias entre ellas, no basta con tomar medidas de protección aisladas, sino que deben complementarse con medidas que formen una red de protección y comunicación entre todas las infraestructuras a proteger, siendo las burbujas los nodos de esa red.

Entre los trabajos que se van a realizar se incluye investigación, desarrollo e innovación en áreas como:

• Evaluación de riesgos: metodologías, inventariado de activos y amenazas, etc.
• Definición y diseño de perfiles de protección: especificaciones de seguridad.
• Soluciones tecnológicas de seguridad: prevención, detección y gestión de incidentes.
• Medición del proceso de gestión de la seguridad: métricas y cuadros de mando.
• Comunicación y respuesta coordinada ante incidentes

S21sec lidera un amplio conjunto de tareas y participa activamente en muchas otras. Actualmente ya se han definido con detalle los contenidos del primer año, se han repartido las responsabilidades y se han establecido los procedimientos de gestión. Según avance el proyecto os iremos informando de los aspectos más interesantes.

Para más información y noticias relacionadas con el proyecto podéis visitar la página oficial aquí.

Elyoenai Egozcue,
S21sec labs

iAWACS, T2 y Hack.lu

El mundo de la seguridad avanza rápidamente, tanto en ataque como en defensa, así S21Sec está presente en la mayoría de las conferencias y workshops del mundo para estar al día y ofrecer mejor servicio a nuestros clientes, además incluso presenta diversos temas en las mismas aportando nuevos conocimientos a diversos grupos de investigadores.

Este pasado mes de octubre hemos asistido a tres magníficas reuniones internacionales, la iAWACS en Francia, la T2 en Finlandia y por último a la Hack.lu en Luxemburgo.

iAWACS

El primer 'International Alternative Workshop on Aggressive Computing and Security' que se ha celebrado en Francia se hizo en Laval, un pueblecito de estudiantes con todo el encanto francés, donde se sitúa una universidad y en la misma el ESIEA (Ecole Seupérieure d'Informatique, Electronique, Automatique) una escuela al puro estilo MIT. Los asistentes se centraban especialmente en estudiantes y profesores, profesionales de la industria francesa, policías y militares, vamos, de todo. Conferenciantes internacionales solo estábamos dos Mahmoud Maqableh y un servidor (Leonardo Nve).

Había programados dos talleres y diversas conferencias, el primero de los talleres fue dado por un Sebastien Tricaud, CTO de honeynet project, 'PicViz Tutorial or How to detect a single attack log in a 4Gb log file', en este workshop aprendimos a usar PicViz, una herramienta para mostrar gráficamente mediante coordenadas paralelas parámetros de todo tipo y esto se puede usar para representar grandes cantidades de logs y así fácilmente se pueden descubrir 'extraños' en nuestros logs, solo mirando el dibujo saliente.

Mi opinión personal es que con un poco más de trabajo y perfeccionamiento PicViz será una herramienta muy muy útil en el futuro para detectar ataques o simplemente anomalías, mucho mejor que graphviz.

El segundo taller, 'WiShMaster reloaded tutorial', de Benjamin Caillat trataba de la creación automática de shellcodes para Windows, el programa y la investigación son profundamente buenos, además se demostró un profundo conocimiento de los entresijos de Windows y ficheros ejecutables PE, no obstante, ya tenemos suficientes Shellcodes para Windows en mi opinión, debería seguir la misma metodología para desarrollar lo mismo para otras plataformas.

Llegando a las conferencias he de decir, que debido a que esto era básicamente una escuela muchas de las presentaciones tenían una presentación académica modelizando matemáticamente un problema de seguridad y analizándolo, un acercamiento este que me pareció extremadamente bueno. Algunas de las que más me gustaron:

• Erwan Abgrall habló de ciertas funcionalidades de Oracle, 'Oracle: a New Hop', donde presentó que más se puede hacer aparte de lo conocido cuando descubres un SQL injectioncontra una BBDD Oracle, hizo una demo de un 'proxy' a través de SQL, así podía navegar por una red interna usando inserciones y diferentes capacidades del Oracle. Muy bueno.

• Eric Filiol (organizador de la iAWACS y profesor del EISEIA) y Robert Erra (Profesor también) hablaron de malware 'Processor-dependent malware' donde demostraron matemáticamente que se puede hacer malware ofuscado y que no se detectable por ningún antivirus, todo basado en las incorrecciones matemáticas de los procesadores.

Mahmoud Maqableh, jordano residente en Inglaterra, explicó en 'Cryptanalysis of Chaos-based Hash Function (CBHF)' como ha roto este tipo de funciones hash. Esta conferencia me llamó

ciertamente la atención y me gustó mucho, yo no soy dado a la criptografía y creía que poco iba a entender, mi sorpresa fue cuando lo entendí todo y no solo eso...

La historia comienza en una reputada revista sobre criptografía unos expertos publican las CBHF como nueva alternativa al SHA y MD5 considerándolas totalmente seguras, Mahmoud al leer el artículo supo inmediatamente (esa intuición de que algo es vulnerable solo con oírlo que tiene cierta gente) que podía romperlas, ante el desánimo de sus colegas (también expertos) el insistió en buscar un ataque. El resultado es que no solo rompió el sistema sino que además es un juego de niños, a posteriori me da incluso la impresión de que pudiera haberlo hecho yo mismo viendo lo fácil que es (a posteriori todo es más fácil).

Como he dicho esta persona me gustó especialmente tanto por su intuición como por su trabajo para demostrar que eso 'imposible' no solo era posible sino que era fácil. Mis felicidades Mahmoud.

Aparte de estas, hubo muchas más buenas conferencias sobre PLC, side-channels, RSA keys, etc... Ha nacido un nuevo punto de reunión entre académicos y profesionales de la seguridad.

T2 (www.t2.fi)

Casi inmediatamente terminar la iAWACS, partí para Finlandia donde se organizaba en Helsinki la sexta edición de la T2. Arrancó con alta presencia española arrancó, este congreso es de esos en los que se paga una barbaridad por asistir, por lo que las conferencias deben de ser del más alto nivel y lo consiguieron.

La organización fue bastante buena, buen hotel, catering entre charla y charla, nos llevaron a comer y a cenar a buenos sitios (asistentes y conferenciantes), aparte de un USB con las presentaciones, camisetas, etc etc... Como fallo solo puedo pensar en dos y realmente no lo son tanto: La hora de la comida, las conferencias empezaban a las 9 de la mañana en nuestro mismo hotel, es decir, se bajaba a las 8.30 a desayunar (y me gusta desayunar fuerte), no obstante, la hora de la comida era a las 11.30!!!!! Para los españoles acostumbrados de que la comida sea entre las 14-15.30, se nos hacía duro, en realidad es horario finés no es un fallo.

Nuestros principales anfitriones fueron la gente de F-Secure, y los inauguradores de las charlas. He de decir que una hora de historia de los virus no me pareció técnicamente provechosa pero si interesante.

Posteriormente elegí ver las dos charlas de Andrea Barisani, la primera, no programada, 'Injecting RDS-TMC Traffic Information Signals' es una impresionante investigación sobre inyectar tráfico RDS y utilizarlo para hackear los GPS de coche con resultados muy graciosos. La segunda 'Sniff Keystrokes with Lasers/Voltmeters', tenía muchas ganas de verla, y explica cómo usar la tecnología laser para detectar lo tecleado en un portátil, interesante, y más bien útil para agencias de inteligencia o policías.

Dado que coincidía con mi charla, no pude ver la del español Rafael Domínguez 'USB Attacks: Fun with Plug & 0wn', donde exponía un buffer overflow en un kernel de Linux que puede ser explotado solo conectando una llave USB.

Bastante interesante aunque afortunadamente el fallo no está en el kernel actual de Linux.

El segundo día asistí a la impresionante charla del también español David Batanero 'Forensics on GSM phones' básicamente que información esconden nuestros móviles y tarjetas SIM así como extraerla, hizo varias demostraciones de cómo hacerlos,

¡cuidadin con quién coge vuestros móviles!

Jarno Niemelä de F-Secure nos enseño como utilizar el bluetooth para espiar, las funciones que tiene y usarlo, solo tenemos que hacernos con el móvil del objetivo para realizar estos ataques, igualmente con diversas demostraciones y de nuevo

¡cuidadin con quien coge vuestros móviles!

Muhaimin Dzulfakar de NGSS con 'Advanced MySQL Exploitation' nos enseño un poco más de SQL injection, pero no mucho realmente, también presentó una herramienta integrable con Metasploit llamada MySqploit, esta herramienta sí que es interesante a la hora de atacar SQL injections en nuestras auditorias.

La última charla a la que asistí fue a la de Alexander Polyakov 'Technical Aspects of SAP Security' tanto atacando el servidor como los clientes SAP, hizo algunas demostraciones reales.

Posteriormente a las charlas y para terminar, se realizó una visita guiada a los laboratorios de F-Security, realmente impresionantes, lo que más me impresionó fue el laboratorio de virus para móviles y la protección el resto del complejo frente a virus bluetooth con un sistema de detección inalámbrico.

Hack.lu (www.hack.lu)

Al mismo tiempo que Leonardo presenciaba T2, Christian Martorella participaba de Hack.lu en Luxemburgo. Es el quinto año que se celebran estas conferencias, reuniendo mayoritariamente profesionales europeos, con fuerte presencia Francesa, Belga, Suiza y Alemana,

el entorno de las mismas muy agradable y muy bien organizadas.

En esta conferencia había una serie de Workshops los dias previos a las charlas, los cuales estaban incluidos en el precio de la entrada estandar, algunos muy interesantes impartidos por grandes profesionales como Billy k. Rios y Nitesh Dhanjani.

En las charlas hubo una fuerte presencia Francesa, específicamente de ESIEA (Escuela Superior Informatica Electronica y automatismo, que organizo IAWACs) y Sogeti, los cuales presentaron temas tan diversos como vulnerabilidades en PDF, Cifrados en Word y Excel, Virus k-ary en Python, Fuzzgrind framework para automatizar la detección de vulnerabilidades y una charla interesante sobre Troyanos en Windows Mobile 6. También teníamos algunos conferenciantes que están de gira mundial como Moxie Marlinspike y Philip Langloise, los cuales hablaron de SSLtrip y como crear un dispositivo para auditar redes wireless basado en OpenWRT, respectivamente.

No tuve la misma suerte que Leo en visitar un laboratorio, pero al menos nos llevaron al Museo de Arte contemporaneo, donde nos hicieron una visita guiada y luego un catering al ritmo del músico "Playboy's Bend", la cual se basaba en Circuit bending, muy curiosa la sesión.

Un hecho interesante es ver que el Ministro de Economía y comercio internacional, Jeannot Krecké, ha realizado la Keynote del evento.

Esto es todo sobre estas magnificas conferencias,

Saludos

Leonardo Nve & Christian Martorella

S21sec Auditoría

Pasando desapercibido...

Hace ya unos meses Asier nos trajo al blog el hecho de que una botnet utilizaba Twitter para enviar comandos a los clientes infectados.

Esta técnica puede servir principalmente para introducir una capa pública que separe lógicamente clientes y servidor, o poder prescindir de ella si no se tienen recursos. Si, por ejemplo, los clientes obtienen los comandos a ejecutar mediante una red social, y el envio de credenciales se realiza por correo electrónico, dispondremos de una separación lógica entre los bots y el panel de control, a costa de confiar en dos servicios gratuitos en vez de en un servidor a prueba de balas.

En el caso que comentamos, me resultó realmente curioso que se utilizara una cuenta upd4t3, y los comandos estuvieran codificados en base64.

Una cuenta de este estilo, sea la que sea, será detectada cuando se analice una pieza de malware que la utilice, pero me resultaría mucho más coherente ver que la cuenta twitter se llama paranoias y los mensajes no saltan con un mínimo análisis sintáctico/semántico de la web. Por ejemplo, cuatro entradas de paranoias podrían ser:

• dos ideas teoricas ilustran www.tupagina.com
• mi gato grita lallallaal
• solo versos imaginativamente narrados merecen escucha
• un optimista redomado subasta monstruosos relojes

¿Qué comandos se han enviado? ;)

Mikel Gastesi

S21sec e-crime

Nuevo binario de Zeus

La evolución continúa. Hace unos días apareció en escena un nuevo binario de ZeuS, concretamente la versión 1.3.0.26. Se trata de un espécimen que intenta mejorar el grado de ocultamiento en el sistema, como se comentaba en uno de los archivos TODO encontrado hace un tiempo. A modo de análisis superficial se pueden observar las siguientes características:

• Cuando se ejecuta, en el caso de no estar infectado ya, se copia como siempre en el directorio %SystemRoot%/system32, pero con un nombre diferente en cada ejecución, tomando como información básica del fichero la de %SystemRoot%/system32/ntdll.dll (fechas de creación, último acceso y modificación).

• Si al ejecutarse encuentra una versión anterior del troyano ésta es borrada del disco, dejando sus archivos de configuración visibles en el próximo reinicio. Para hacerse una idea, una de las últimas versiones con nombre de ejecutable sdra64.exe es la 1.2.12.

• Aparentemente ya no guarda en disco los archivos de configuración y datos robados, sino que esta información sólo se almacena en memoria.

Aparte de estos cambios importantes, también es remarcable el hecho de que no se use nombre de dominio en la URL del punto de envío de datos, sino que únicamente aparece una IP. Además, en el directorio correspondiente no parece estar el grueso del panel de control, como es normal, sino que únicamente se ve un archivo PHP de poco tamaño, tratándose probablemente de una redirección. Esto es algo que ya habíamos visto anteriormente, pero que podría ser un punto característico en esta nueva versión, siguiendo la línea de ocultar y dificultar al análisis.

Sin embargo, también hemos encontrado muestras cuyo número de versión era 1.3.1.1 pero mantenía el comportamiento de las anteriores (aunque sí eliminaba versiones anteriores): el nombre del ejecutable era sdra64.exe y guardaba los archivos de configuración y datos en disco. Esto puede ser debido a las distintas opciones a la hora de construir los binarios (builder) o a la existencia de diferentes autores.

Como veis, alguna de las recomendaciones dadas en el post sobre detección de ZeuS varían, pero básicamente todas las técnicas siguen siendo válidas a excepción de la localización de los archivos de configuración y datos ocultos, que parecen no existir.

Se trata de un análisis preliminar de este nuevo binario, pero conforme avancemos en nuestros análisis iremos dando más detalles, ¡estad atentos!


Jose Miguel Esparza
S21sec e-crime



English version

Reputación Online: Podrías estar muerto y no lo sabías

En este blog ya hemos hablado sobre la reputación online. Volviendo a recordar un poco el concepto, la reputación online es el reflejo del prestigio o estima de una persona o marca en Internet. Como ya dijimos anteriormente, un aspecto esencial de la gestión de la reputación online es la  monitorización en tiempo real de Internet para estar al tanto de ataques potenciales contra la  reputación del individuo o de la organización en cuestión.

Generalmente estos ataques pueden venir de blogs, o de alguna de las diferentes redes sociales existentes.
En este rango de ataques, recientemente nos hemos topado con un caso llamativo, al "enterarnos" esta semana de que "str0ke", moderador del popular “site” sobre vulnerabilidades Milw0rm, había muerto.

Parece ser que todo empezó aquí, y se empezó a extender por internet, apareciendo mensajes transmitiendo condolencias a la familia, esquelas e incluso fiestas. Afortunadamente, "str0ke" ha dado señales de vida
a través de su cuenta de twitter.

 

Aquí tenéis otro divertido ejemplo de cómo una persona murió en facebook, para finalmente ser resucitada y convertida en un “zombie” de facebook.

Así que ya sabéis, tened cuidado de lo que se dice de vosotros en internet, ¡podríais haber muerto y no saberlo!

 

Asier Marruedo

S21sec e-crime

Un par de opiniones (parte 2)

Continuando el post de la semana anterior...

2. Un ciber-ataque puede causar daños en las instalaciones e incluso a las personas.

SÍ, PERO NO. Es el sistema físico el que puede causar el daño. Lo que es peligroso son las materias (gases, sustancias químicas, elementos pesados...), las condiciones de proceso (altas o bajas presiones, temperaturas, atmósferas explosivas…), los equipos (riesgo de atrapamiento, aplastamiento, corte..)…

La interconexión de "sistemas de gestión" con sistemas productivos, aumenta los riesgos porque se introduce una nueva fuente de errores o problemas, pero no tiene la capacidad directa de interacción con el medio físico.

En cada nivel o capa de nuestro sistema deben existir mecanismos de seguridad que no dependan de niveles superiores y que garanticen la no interferencia en el funcionamiento de las aplicaciones de niveles inferiores.

Cada nivel debe ser diseñado para ser correcto, que en condiciones normales funcione como debe, y efectivo, que sea capaz de responder adecuadamente ante a los imprevistos (variables del proceso, fallo accionamientos, órdenes incompatibles con el contexto...). La implementación de mecanismos de seguridad en cada nivel permite mitigar el daño o las pérdidas.

El nivel más importante es el nivel físico y los equipos deben tener cuantas modificaciones y elementos auxiliares sean necesarios. Dentro de lo posible, un sistema sobre el que perdamos la capacidad de control debiera evolucionar por si mismo hacia un estado seguro y estable, priorizando (en este orden) el bienestar del entorno y las personas, la integridad del sistema en sí y las materias y/o productos en proceso.

En el siguiente plano, están las aplicaciones de usuario que interaccionan con el sistema físico (sea en un PLC, DCS, RTU, IED...). Aquí tenemos dos problemas:

• se intenta ahorrar en la parte de seguridad de los equipos y poner los mecanismos de seguridad dependiendo de la parte software.
• no se suelen auditar los programas. Se verifica su funcionamiento (corrección) pero las pruebas sobre su efectividad suelen ser muy limitadas (y cuando los servicios de programación son subcontratados la situación final puede ser muy diversa).

Si el sistema está bien diseñado, implementado y mantenido, el daño principal que se podría sufrir sería la pérdida de disponibilidad del sistema. La parte de visualización del proceso, no debiera suponer una amenaza, porque las operaciones inseguras o incorrectas no deben ser ejecutadas por un programa del nivel inferior (SI ESTA BIEN HECHO).

El resto de capas superiores son gestión, procesado y análisis de información y debiera ser posible trabajar sin ellas, al menos temporalmente y desde el punto de vista de poder producir un bien o prestar un servicio y sin considerar implicaciones normativas (cómo sucede en farmacia y química fina).

Diego López
S21sec Labs

Fiabilidad en los IDS

Hoy, leyendo la noticia sobre el sistema del DNI facial y, más concretamente, leyendo los comentarios que acompañan a la noticia, se podía leer que el sistema no era del todo fiable. El sistema tiene una fiabilidad del 95% dentro de un escenario controlado, o lo que es lo mismo, un error en la identificación de personas del 5%.

Y es la fiabilidad de los sistemas automáticos lo que más me ha llamado la atención. Extrapolando el término de fiabilidad a la seguridad informática, y más concretamente, al concepto de sistemas de detección de intrusiones, me ha llevado a formularme la pregunta ¿cuán fiables son los sistemas automáticos frente a los configurados manualmente? Para responder a esta pregunta, en primer lugar, debemos diferenciar entre los sistemas automáticos, conocidos como detectores de anomalías, de los configurados manualmente, también denominados detectores basados en firmas o del mal uso.

Los sistemas basados en detección de anomalías, son sistemas basados en comportamientos inusuales del sistema. Estos sistemas se basan en el aprendizaje de patrones dentro de un escenario exento de ataques o intrusiones. Para llevar a cabo este aprendizaje, estos sistemas hacen uso de técnicas de inteligencia artificial tales como modelos de clasificación y modelos de predicción.

Los sistemas basados en firmas o en detección del mal uso, son sistemas capaces de monitorizar las actividades de un sistema y compararlas con las firmas de ataques ya conocidos, almacenadas a su vez en Bases de datos. Estos sistemas son incapaces de predecir un ataque debido a su propia naturaleza ya que, solo detecta aquellos ataques ya identificados por el sistema.

En la realidad, cabe mencionar que son los sistemas basados en firmas son los que máyor número de ataques identifican correctamente, alcanzando cotas del 90-100% de ataques bien identificados, gracias a su bajo nivel de falsos positivos. Por otro lado, los sistemas basados en la detección de anomalías ofrecen ratios bastante altos, alcanzando cotas de 85-95% de los ataques bien identificados, dependiendo del escenario de uso.

En consecuencia, mencionar que a pesar de que los sistemas de detección basados en firmas son bastante más fiables que los basados en anomalías, estos últimos no ofrecen malos resultados, acercándose rápidamente al rango de fiabilidad deseado.

Aitor Corchero Rodríguez
S21sec labs

Retos para la Administración Pública de la Ley 11/2007

Con la publicación de la Ley 11/2007, nuestro país ha dado un paso de gigante hacia la Administración electrónica (lo que se ha venido denominando e-Administración) al reconocernos a los ciudadanos nuestro derecho a relacionarnos con las Administraciones Públicas a través de los medios electrónicos. Evidentemente, esto que, para los ciudadanos es una ventaja, para la propia Administración es un gran reto desde una perspecitva operativa pero también en lo relativo a la seguridad.

De todas formas, esta situación no es nueva, el sector financiero español se enfrentó al mismo tipo de problema al principio de la década. Las entidades financieras tuvieron que exportar su modelo de negocio hacia Internet para lograr que los usuarios pudiesen realizar el mismo tipo de operaciones en la vida digital que ya hacían cotidianamente en el mundo físico. En mayor o menor medida, esos retos, dentro del sector financiero, están ya resueltos. Para lograrlo, fue necesario tomar medidas correctivas, puesto que no se planificó el despliegue de esos servicios desde un punto de seguridad, sino desde el punto de vista de negocio, cosa completamente legítima, pero que demostró que planteaba problemas.

La experiencia durante estos años nos ha enseñado que uno de los problemas principales es poder demostrar que el usuario ha realizado una determinada operación a nivel informático. Lo que comúnmente conocemos por trazabilidad. Un usuario realizará los trámites que la e-Administración le brinde y tendremos que, además de prestarle el servicio adecuadamente, verificar que ese trámite se hizo en forma y tiempo. No solo para una correcta tramitación, sino para poder demostrar, en caso de que sea necesario, de una manera conforme al principio de legalidad establecido en el artículo 4 de la Ley, en cuanto al mantenimiento de la integridad de las garantías jurídicas de los ciudadanos ante las AA.PP. establecidas en la Ley 30/1992.

El reto es poder demostrar que el usuario ha entrado en nuestas aplicaciones, que ha hecho el trámite necesario, que fue él quién realmente lo hizo, y que él mismo ha firmado documentos, en fin, asegurar el timeline (trazarlo).

Una mala planificación de la entrada en vigor de los servicios prestados nos lleva a tener que realizar inversiones adicionales, a demoras en el tiempo de despliegue y a una enorme dificultad en el tratamiento de los datos. Pero si somos capaces de encontrar una vía de desarrollo adecuado, podremos incurrir en menor gasto y ahorrarnos gran parte de los dolores de cabeza que aquí planteamos.

Nuestra sugerencia, sobre la base de las lecciones aprendidas, pasaría por un ciclo de vida completo de los logs necesarios para dicha trazabilidad, desde la definición inicial, pasando por una herramienta capaz de gestionar la información de los logs hasta una auditoría que verifique que se cumplen las condiciones necesarias para evitar el no repudio.

La definición inicial debe permitirnos marcar cuáles son los requisitos que establecemos para dicho sistema de gestión de logs, qué tipo de información deben generar las aplicaciones que se creen para posibilitar los trámites electrónicos y poder así planificar adecuadamente todas las acciones necesarias para llevar a cabo la implantación de dicho sistema. Por otra parte, los criterios definidos en esta primera fase deberían ser la base para la realización de las auditorías de verificación una vez implementado el sistema.

Para el último punto, es necesaria una aplicación que controle los logs de las aplicaciones, que los centralice, con propósito de restaurar de alguna manera la actividad y que nos permita, no solo reconstruir la sesión, sino asegurar que se produjo. Tenemos que tener en cuenta que algunos de los datos que encontraremos están sujetos a LOPD u otros controles. Así mismo, es necesario la firma y sellado de tiempo, si procede, de esos logs. En algunos casos será incluso necesario cifrarlos. Y por supuesto, tendremos que ser capaces de buscar entre todos los datos almacenados, para poder demostrar al ciudadano, u a otra instancia superior, que esa relación entre el ciudadano y la Administración Pública se ha producido.

Sabemos que es un proceso largo y que las aplicaciones no serán todas iguales pero mejor abordar las cuestiones de seguridad incluidas en la Ley antes del despliegue de los servicios online a los ciudadanos.

Antonio Ramos, Director S21sec Galicia
Fernando Carrazón, Consultor tecnológico preventa