Patrocinan

  • Heuristic

Resumen de Rooted CON 2011

Written by Civan. Posted in Seguridad Informática

Pues aunque parezca mentira ya estamos de vuelta a la vida real, despues de haber pasado unos cuantos días sumergidos en una nube, de temas de seguridad informática y de nombre RootedCon 2011. Este año el nivel ha sido muy alto, con una gran cantidad de ponencias repletas de contenidos, y algunas, por que no decirlo, de un contenido muy denso y técnico, y tocando muchos palos diferentes de la seguridad.

Logo RootedCon

Para que todos os hagáis una idea, lo mejor es un dar un breve repaso de cada una de las charlas y comentar los detalles que se pueden destacar de ellas.

Lo primero, como no, fue una presentación del evento y su agenda llevada a cabo por miembros de la organización, para actuar a modo de anfitriones e ir presentando al resto ponentes para sus intervenciones. Tambien se prensentó el concurso CTF “Hacks Attacks!”, llevado a cabo por la gente de AlienVault, con un despliegue técnico que lleva bastante trabajo para organizarlo.

 

 

Pues aunque parezca mentira ya estamos de vuelta a la vida real, despues de haber pasado unos cuantos días sumergidos en una nube, de temas de seguridad informática y de nombre RootedCon 2011. Este año el nivel ha sido muy alto, con una gran cantidad de ponencias repletas de contenidos, y algunas, por que no decirlo, de un contenido muy denso y técnico, y tocando muchos palos diferentes de la seguridad.

Logo RootedCon

Para que todos os hagáis una idea, lo mejor es un dar un breve repaso de cada una de las charlas y comentar los detalles que se pueden destacar de ellas.

Lo primero, como no, fue una presentación del evento y su agenda llevada a cabo por miembros de la organización, para actuar a modo de anfitriones e ir presentando al resto ponentes para sus intervenciones. Tambien se prensentó el concurso CTF ‘Hacks Attacks!”, llevado a cabo por la gente de AlienVault, con un despliegue técnico que lleva bastante trabajo para organizarlo.

Para hacer boca, os dejo con una panorámica desde la planta superior del auditorio, para que os podais hacer una idea de la cantidad de gente que había, y prácticamente la asistencia era así de completa en cada charla.

 

Panorámica Rooted CON 2011 - @a_zumito

Autor: @a_zumito

Haz click sobre la imágen para verla a tamaño completo y alta resolución, impresiona :)

 

DIA 1:

Blueliv: Hicieron la presentación de su herramienta OPTOS, dirigida a la obtención de inteligencia sobre activos (personas, empresas, etc…) a partir de la red. Funciona mediante plugins, cuya función es añadir posibles fuentes de información, como pueden ser RSS, WHOIS, DNS, redes sociales o cualquier otra cosa de la que se pueda extraer y explotar la información haciendo una correlación de todos los datos extraidos. Es en la linea de otras herramientas como Maltego, pero cubriendo ciertas carencias que los escritores de esta han decidido cubrir.

Francisco Jesús Gómez y Carlos Juan Diaz – Cloud Malware Distribution: DNS will be your friend: Nos mostraron un buen metodo para la distribución rápida y muy dificil de tracear, a través de servicios públicos de DNS Caché. El método consiste en preparar una serie de dominios en los que los nombres de sus subdominios contiene la información del malware a descargar, y en la parte cliente, se hace una serie de peticiones separadas, hasta obtener la pieza al completo, y pasando bastante desapercibida como tráfico legítimo DNS en cualquier organización de red.

David López Paz y Jaime Peñalba – Global Warfare: Ambos componentes de Painsec, hicieron una demostración de su nueva herramienta de descubrimiento de host, guardando información sobre ellos, los servicios que corren, sus versiones según la página indice o banner que muestran, y comprobando contra una lista de exploits conocidos para dichos servicios si son vulnerables de manera remota. Tambien permite realizar ciertas estadísticas en base a todos los datos obtenidos. Su nombre es Hookl, y como se puede comprobar es un funcionamiento bastante similar al motor Shodan, solo que añadiendo la posibilidad de añadir los exploits directamente sobre la interfaz listos para usar. De momento la herramienta es privada, a la espera de que se muestren probablemente los resultados de los analisis que se obtengan de su uso.  

José Miguel Esparza – Obfuscation and (non-)detection of malicious PDF files: Técnicas de ofuscación de malware en archivos PDF para evitar que la mayoría de los motores antivirus, usando como centro de pruebas a “virus-total”, puedan detectarlos. Tambien hizo una breve presentación de su nueva herramienta peepdf, que sirve tanto para la generación de este tipo de ficheros, como para el analisis de ficheros pdf con malware previamente incrustado.  

José Selvi – Unprivileged Network Post-Exploitation: Magnifica presentación en la que nos mostró como haciendo uso de herramientas de red comunes como netcat, o el payload meterpreter de MetaSploit, es posible tunelizar conexiones de red, y hacer llegar a la máquina ataquente usando a la atacada como pasarela, para llegar a sitios de la red que antes no podrían ser accesible de ninguna manera, permitiendo alcanzar más máquinas, haciendo escaneos de la red interna con nmap, etc…

Jacobo Van Leeuwen – La iPrueba: Ponencia sobre algunas de las claves jurídicas que nos ayudan en el mundo digital a certificar los datos que se manejan, de manera que tengamos unas pautas a la hora de intentar generar documentación que sea perfectamente válida y probatoria en caso de necesitarse, pensando desde el punto de vista de ‘los buenos’, o cuales podría ser los puntos débiles de una información que nos puede situar como autores de un posible delito para desacreditarla, desde el punto de vista de ‘los malos’.

Alberto García de Dios – Virus, el arte no deberia ser negocio: Punto de vista de este investigador de seguridad sobre los motivos que llevan a una persona a crear virus, pudiendo ser simplemente estos por alcanzar conocimientos y compartirlos, en un mundo de competición sana entre los escritores de virus, y no en un nuevo método para lucrarse, como por ejemplo de escribir bots para posibles botnets, etc. Durante el proceso de su charla dió varias técnicas sobre la creación de virus, como que posibles APIs usar para los intereses de cada momento, descarga de ficheros, hooks de funciones para por ejemplo captura de teclado, como infectar ficheros para distribuir las muestras, hacerlas basadas en criptografía o polimorfísmo para evitar su detección etc.

Rooted Panel – Revista SIC “Libertad de Prensa”: Revista SIC – 25 Aniversario. Testigos de honor de la aplicación de la seguridad en el sector empresarial español, que nos cuentan su punto de vista a través de los 25 años de distribución de su revista, contando desde el comienzo con las dificultades para comenzar, hasta la actualidad. La charla estaba de siempre salpicada con intervenciones del público que eran respondidas por los ponentes.

 

DIA 2:


Raúl Siles – Browser Exploitation for Fun and Profit Revolutions: Buenísima ponencia en la que se explico como aprovechar errores, en principio considerados menores por mucha gente, como son los XSS,  ya sean normales o persistentes, para a través de estos, y la únion de frameworks como BeEF, conseguir información extra del navegador y posibles plugins con vulnerabilidades como flash, java, adobe reader, etc que permitan integrar el ataque con metasploit, y pasar de un simple XSS a un acceso permanente al equipo víctima.

Jaime Peñalba – Como defenderse en terreno hostil, Protecciones para la Defcon 18 CTF: De nuevo este miembro del equipo Painsec vuelve al atril a contar y mostrar algunos ejemplos de las defensas que ellos mismos implementaron durante su participación en el CTF de la DefCon (basado en ataque-defensa). Principalmente se centró en la parte de aplicaciones, con una libería que envolvía y hookeaba las funciones más conocidas de dichos servicios que son propensas a fallos, y son saneadas o directamente gestionadas por versiones seguras antes de su ejecución normal, salvando de este modo la perdida de tokens que darán puntos a los contrincantes.

Sergi Álvarez + Roi Martín – radare2: From forensics to bindiffing: Presentación de la reescritura de esta potente herramienta multiplataforma llamada Radare2, que sirve para el análisis, desensamblado, depuración y manupulación de ficheros binarios. En este caso se comentaron las nuevas funciones incluidas en la herramienta, haciendo hincapié en las funciones de BinDiffing, para extraer diferencias entre binarios al igual que se puede hacer entre ficheros de texto como fuentes de programas, etc. Uno de los usos más evidentes de esta herramienta es comprender los cambios aplicados en los binarios desde los servicios de actualización de software para poder generar exploits a partir de ellos.

Deloitte: La presentación de mano de la gente de Deloitte vino para concienciar de los riesgos de seguridad en las emisiones de videos inalámbricos, usando para la demo una simple un simple hardware de bajo coste, a modo de pruea de concepto y un software desarrollado quick & dirty para comunicarse con el harware, permite la sintonización de video de elementos como cámaras de vigilancía, cámaras IP para seguridad de locales o el hogar, etc. Curiosamente en la demo mostrada, solo una de las cámaras mostraba algún tipo de encriptación, El programa de demo será liberado pronto con correcciones para mejorar la estabilidad.

Chema Alonso + Alejandro Martín – Pulveriza tus publicaciones con Dust: En el turno de I64, vemos una linea general del punto en el que se está quedando internet entre políticas cada vez más restrictivas sobre los contenidos y las clausulas abusivas de ciertos servicios que no ofrecen muchas garantías sobre los datos almacenados. De manera que ofrecen una herramienta para descentralizar el conocimiento, la información que cada uno publica en su feed, puede ser volcada en un sistema de P2P, con los contenidos ofrecidos firmados con llaves PGP y suscribiendose en estas redes a emisores de contenidos de confianza, creándose cadenas de transmisión de la información de usuario a usuario en caso de que la fuente original de una noticia fuese cerrada por cualquier motivo, o directamente censurada.

Alejandro Ramos – Know your ******: 4dv4nc3d P@55w0rd$ (r4c|<1ng: Alejandro Ramos nos da en esta ocasión una vista general de la protección de la información por contraseñas a día de hoy, y del software y hardware usado en GPU Cracking para conseguir revertir los hashes, la forma en que se almacenan actualmente las contraseñas en bases de datos, y las bondades de esta técnica, reflejándose principalmente en una cantidad enorme de intentos de hash/seg en relación a los micros de pc actuales.

Eloi Sanfelix – Hardware security: Side Channel Attacks: Mundo al que no estamos muchos acostumbrados, ¡hardware hacking!, Eloi nos da las claves, de como en laboratorío poder obtener información, principalmente de hardware con elementos de seguridad criptográfica, que directamente pueden ser prácticamente imposibles de romper, pero que haciendo otro tipo de ataques, como midiendo el consumo de energia de sus componentes, tiempos de ejecución de dichas tareas, etc… podemos obtener una información no esperada, usada a modo de debug, que tras su análisis, nos puede facilitar las claves para obtener la información necesitada, simplemente brillante.

José Ramón Palanco – NoSQL Security: Seguridad de BBDD NoSQL, los principios de seguridad son bastante similares a los típicos casos de SQL Injectión habituales, pero en este caso tenemos nuevas reglas, ya que la mayoría de estos sitemas no son relacionales, por tanto no hay implementación de ciertas operaciones como JOINS, y las propias consultas tienen una construcción y comandos diferentes al SQL transacional al que estamos habituados, haciendo la extracción de datos, o el bypassing de formularios algo diferentes, para lo que José Ramón nos da las claves.

Rooted Panel – Full-Disclosure – Moderado por Security By Default: Por una parte, como representantes de los Vendors tenemos Fernando Vega (McAfee) y José Parada (Microsoft), y por otra parte tenemos los investigadores de seguridad Rubén Santamarta y Joxean Koret. El tema de la discusión es si al descubrirse una vulnerabilidad informática, no había que hacer publicación de esta, hacer una publicación responsable al proveedor del producto, con unos plazos de tiempo razonables para aplicación de los parches correspondientes, o finalmente si era razonable hacer una publicación completa nada más encontrarse la vulnerabilidad junto con la información disponible para explotarla, antes de dar tiempo al proveedor a solucionar nada. Se dieron puntos de vista muy interesantes durante el desarrollo de las ideas de cada uno. Se puede ver una versión mas desarrollada en la entrada de la página de los moderadores: http://www.securitybydefault.com/2011/03/full-disclosure-si-o-no-rooted2011.html

 

DIA 3:


David Pérez + José Pico – Un ataque práctico contra comunicaciones móviles: De mano de Taddong tenemos vemos de manera muy pŕactica como implementar un ataque MitM a telefonos móviles. La idea es conseguir levantar una falsa célula de conectividad móvil, forzas la conexión de los terminales de las victicmas a nuestra célula y en modo 2G en vez de 3G (por ejemplo usando un inhibidor de frecuencias), y una vez ahí es posible hacer toda una amplia gama de ataques al terminal como forzarlos a comunicarse sin cifrar las conversaciones, modificar los indentificadores de las llamadas y mensajes tanto entrantes como salientes, desvios al vuelo de llamada, etc..

Joxean Koret – Database Security Paradise:  Este investigador de seguridad nos da una serie de puntos básicos a seguir para empezar en el mundo del análisis de binarios para encontrar vulnerabilidades, en concreto, toma para los ejemplos los motores de grandes sistemas de bases de datos como Oracle, IMB DB2, clientes Mysql, etc… con amplia implantación a nivel mundial, demostrando que las empresas más potentes y que a la vez distribuyen un software enorme en tamaño, tiene muchas posibilidades de contener errores de todos los niveles, desde los más simples hasta los más complicados de detectar y por tanto pasar desapercibidos y distribuidos en una gran cantidad de máquinas alrededor del mundo.

Vins Vilaplana – Seguridad en capa de enlace: Ofreció una visión general de la falta de implementaciones de segurida de la capa 2 del modelo OSI (capa de enlace), indicando que actualmente la inmensa mayoría de soluciones de seguridad se centran en las capas de superiores, descuidandose de esta forma la facilidad que puede suponer el robar tráfico con solo conectar un equipo con la configuración adecuada al hardware de red de una organización, o causar denegaciones de servicio por configuraciones erroneas, ya sea sin querer, por desconocimiento, o como método de ataque.

Gabriel Gonzalez – Man-In-Remote: PKCS11 for fun and non-profit: Parece que nuestro DNI sigue con su seguridad intacta, pero Gabriel mostró un ataque combinando algún tipo de troyano, con una tunelización de la comunicación del DNI con la víctima, resultado: usar el DNI de la víctima en nuestro beneficio, para obtener información confidencial, o firmar contratos en su nombre.

[::RF::] En esta última tarde, hubo un hueco para que las personas que quisieran, en un corto plazo de tiempo, pudieran presentar proyectos personales para poder darse a conocer y de paso buscar apoyos de nuevos colaboradores que puedan colaborar con los proyectos.

- Luciano Bello busca colaboradores para un nuevo motor de correlación de eventos de codigo abierto que genere información sobre eventos poco habituales en un sistema que pueden ayudar a provocar la detección temprana de ciertos comportamientos que pueden acabar en ataques.

- BatchDrake del grupo Painsec pedía colaboradores para un proyecto que se trae entre manos, la generación de como mínimo un núcleo para un nuevo SO, sino el SO minimamente funcional, simplemente para aprender con ello, puro hedonismo mental como él mismo dijo, y de paso intentar convertirlo en una referencia educativa de SS.OO.

- GSIC (Grupo de seguridad de la informacion de la Coruña, y de entre ellos sus miembros Miguel, Diego y Sito) ofrecieron información de las charlas de este último año, y las propuestas en las que estaban trabajando para el siguiente año. Previsiblemente el nivel se espera alta y el precio de la CON aspira a ser gratuito, si es asi va ganando puntos poco a poco.

- Inguma, la herramienta que inicialmente arrancó Joxean Koret, ahora está en manos de otro coder, que estuvo explicando el estado actual del proyecto, y la ayuda de programadores que se puedan unir al proyecto.

Hernán Ochoa – WCE Internals: Interesante herramienta desarrollada por Hernán. Esta es una heredera directa de la herramienta Pass the Hash, escrita por el mismo, y que introduce una mejora de funciones. El funcionamiento es aprovechar un fallo en la limpieza de las estructuras de datos que almacenan en la memoria los datos de cada logon session de usuario en Windows, volcando los hashes, bien para crackearlos o para llevar a acabo un ataque de pass the hash para suplantar una identidad de usuario sin la necesidad de conocer el password en claro, sino solo su hash,

Marisol Salanova – Seguridad informática y cibersexo: Charla sobre la seguridad informática en relación con el cibersexo, y las nuevas tendencias de los usuarios en cuanto a su comportamiento sexual en la red a partir de la introducción de las redes de mejor velocidad, y por tanto video u otras formas de interactuar en vivo con otras personas, o lo que es más extraño todavía, comportamientos que llevan a mantener contactos sexuales con auténticos desconocidos a través de servicios como puede ser chat roulette. ¿como gestionamos nuestra identidad privada correctamente en estos entornos?

Rubén Santamarta – SCADA Trojans: Attacking the Grid: Ataque teórico de como apagar tu propia planta energética, rápido, fácil y para toda la familia. Rubén dio un repaso bastante denso sobre los puntos débiles que presentan algunos elementos de tecnología SCADA, que sirven para controlar instalaciones de todo tipo, desde plantas de producción energética hasta empresas de producción de cualquier tipo de producto. Y como no, siempre es mejor que este tipo de puertas las abra alguien como Rubén, un gran investigador de seguridad informática, a que la encuentre alguien en el otro bando, ya que manipular tecnología SCADA puede traer bastantes consecuencias, incluso en vidas humanas si no se sabe lo que hace.

Alienvault + Blueliv – CTF: Clausura y entrega de premios: Para el cierre del evento subieron al escenario los miembros de AlienVault y Blueliv, organizadores del CTF de este año. El despliegue técnico para ofrecer los desafios ha sido increible, cada participante inscrito disponía de un certificado para configurar una VPN hacia el panel CTF, y además cada uno tenía las pruebas en una máquina virtual independiente, para que hubiese la menor interferencia entre participantes. Además todos el tráfico de la prueba ha sido monitorizado con la herramienta OSSIM, y se han extraido detalles muy buenos de los ataques y estadísticas de uso en general. Por otra parte, ha sido un poco lioso por la poca información que la organización publicó sobre el CTF, de manera que no había unas bases escritas a las que agarrarse en caso de dudas, se cambiaron las normas (no escritas) sobre la marcha pasando de permitir la participación de usuarios individuales a aceptar grupos, no se conocían los premios, y no había un sitio específico donde concursar, junto al problema de que se solapa completamente la participación del CTF con la asistencia a charlas. De todas formas hubo buena participación y el ranking de ganadores quedó asi:

- 1º Grupo Painsec

- 2º Pepelux

- 3º Okaboy

Y en este aspecto hay que hacer una mención especial a Dani, un joven aficionado de 19 años, que si no se hubiesen cambiado las reglas ad-hoc posiblemente habría quedado en el ranking de ganadores, aunque ahora es  ciertamente dificil hacer conjeturas sobre esto. De todas formas esperemos que despues de la experiencia, lo haya disfrutado y siga enganchado a este mundo de la seguridad informática.

http://ctf.rootedcon.es

Esta es la dirección donde el CTF seguirá abierto de forma indefinida para que la gente que no ha tenido oportunidad de probarlo, pueda trastear un tiempo con :)

 

Aquí tenéis disponibles toda las presentaciones usadas para las ponencias, además en el interior hay métodos de contacto con los ponentes para poder localizarlos, enviarles sugerencias, hacerles preguntas, etc…:

http://www.slideshare.net/rootedcon/presentations


Todavía no hay fechas, pero se supone que las charlas se podrán ver en video en breve, seguiremos informando de novedades, para que no os perdais como se vivio todo esto por alli dentro. 

Ya estamos esperando con ansia la Rooted CON 2012, por que está claro que a fin de cuentas el balance es positivo por la posibilidad de acceder a este tipo de materiales, y de conocer a toda esa gente que durante todo el año está trabajando en la divulgación de información relativa a seguridad ya sea desde el sector empresarial o desde sus propios blogs particulares.


Trackback from your site.