Descifrando contraseñas de Cisco IOS

Nunca pero nunca se debe facilitar el fichero de configuración de un switch o router Cisco sin eliminar manualmente sus contraseñas, aunque estén cifradas.

En Cisco IOS el comando 'service password-encryption' simplemente cifra la contraseña utilizandoVigenère (tipo 7), un algoritmo totalmente reversible.

Por ejemplo, así se mostraría la contraseña en el fichero de configuración en texto plano:

username pepito privilege 15 password 0 MyP4ssw0rd

Y así cifrada con tipo 7:

username pepito privilege 15 password 7 022B1D6B5F151C361C5C0D

Entonces simplemente con cualquier herramienta (incluso online) es posible revertirla:

Afortunadamente desde la versión 12.2(8)T es posible generar un hash md5 con salt de la contraseña especificando simplemente 'secret' (tipo 5):

username pepito privilege 15 secret 5 $1$jR5i$.HDBuKq.wIDOn2EYpCPYc0

Sin embargo, aunque el algoritmo ya no es reversible, la contraseña sigue siendo vulnerable a ataques de fuerza bruta o diccionario (o consultas a tablas rainbow). Por ejemplo con Cain y un buen diccionario creado con Mutator puede llevarte sólo unos minutos obtenerla:

Por lo tanto volvemos a la frase inicial de esta entrada: borra siempre las contraseñas de tu fichero de configuración (aunque esten cifradas) si vas a facilitarlo a un tercero.

Linux Exploiting: Un libro para crear exploits de GNU/Linux

Fuente: Elladodelmal.com 

No es la primera vez que publico en este blog algún artículo de Blackngel, como el Confusing Acunetix Kiddies & No Limit Crawlers o el de Prescinde de tu sistema operativo... si puedes. Sus textos son buenos, y sus contenidos interesantes y didácticos. Cuando me propuso escribir un libro sobre cómo hacer exploits para sistemas operativos Linux, no lo dudé y contesté ipso-facto que sí. Hoy, el libro ya está disponible a la venta, aunque será el lunes cuando se empiece a entregar a los compradores.

Figura 1: Linux Exploiting

El contenido de libro lo podéis ver en el índice del libro y está descrito por él mismo en la web de 0xWord para Linux Exploiting de la siguiente guisa:

"El exploiting es la base de todas las técnicas de ataque existentes que se utilizan a diario contra aplicaciones vulnerables. De hecho, si no fuera por esta ardua y paciente tarea que los hackers han ido desarrollando a lo largo de los años, frameworks completos y tan conocidos a día de hoy como lo pueden ser Metasploit, Core Impact o Canvas, no existirían ni podrían ser utilizados por pentesters y profesionales de la seguridad informática que habitan todo el globo terráqueo. 

El exploiting es el arte de convertir una vulnerabilidad o brecha de seguridad en una entrada real hacia un sistema ajeno. Cuando cientos de noticias en la red hablan sobre "una posible ejecución de código arbitrario", el exploiter es aquella persona capaz de desarrollar todos los detalles técnicos y complejos elementos que hacen realidad dicha afirmación. El objetivo es provocar, a través de un fallo de programación, que una aplicación haga cosas para las que inicialmente no estaba diseñada, pudiendo tomar así posterior control sobre un sistema. 

Desde la perspectiva de un hacker ético, este libro le brinda todas las habilidades necesarias para adentrarse en el mundo del exploiting y hacking de aplicaciones en el sistema operativo Linux. Conviértase en un ninja de la seguridad, aprenda el Kung Fu de los hackers. Que no le quepa duda, está a un paso de descubrir un maravilloso mundo repleto de estimulantes desafíos."

Para que os hagáis una idea del libro que ha quedado, como más de 300 páginas de contenidos, con ejemplos de CTFs, técnicas paso a paso con ejemplos en Español de cada tipo, y uso de herramientas tan populares como radare, os he seleccionado lo que se ve por ejemplo en un capítulo dedicado al exploiting avanzado.

Figura 2: Capítulo IX del libro de Linux Exploiting

En definitiva, David Puente Castro aka Blackngel, ha creado un libro más que recomendable si quieres profundizar en el arte de crear exploits para sistemas operativos Linux. Además es un complemento perfecto si ya te has leído Metasploit para pentesters, Hardening GNU/Linux o Pentesting con Kali.

Troyano para espiar un Android o para espiar a través de él

Para la realización de una demostración durante la grabación de un programa de Televisión sobre el espionaje a las personas decidimos comprar un troyano para terminales smartphone bastante profesional. El sistema funciona tal y como se explica en el libro de Hacking iOS: iPhone & iPad con un panel de control basado en servicios web al que se conectará el troyano para enviar los datos desde el smartphone y recibir los comandos y al que también se conectará el administrador del troyano para acceder a la información y manejar todos los datos.

En el caso de los dispositivos Android hay que conseguir que el terminal estérooteado o que el usuario motu proprio decida instalarse el apk del troyano, ya sea vía ingeniería social o explotando algún bug que se descubra. En el caso de iPhone oiPad ya he contado varias veces las formas que existen para troyanizar el terminal iOS, algo que se hace un poco más complicado que un terminal Android.

En el caso en concreto nuestro, troyanizamos un terminal con Android, y procedimos a ver qué opciones teníamos disponibles y cómo funcionaban, y la verdad es que nos sorprendió lo bien que funcionaba y lo difícil que es detectarlo si no hay unantimalware instalado o se hace un análisis forense del terminal.

Figura 1: Seguimiento GPS de las ubicaciones del troyano en el teléfono Android

Entre las opciones más evidentes se encuentran la de geoposicionar al terminal en todo momento, registrando desde la ubicación inicial donde lo dimos de alta enEleven Paths, pasando por todos los lugares donde se haya encontrado alguna vez el terminal.

Figura 2: Registro y grabación de llamadas emitidas y recibidas

Por supuesto, el software realiza el registro de todas las llamadas entrantes y salientes, y si se activa la opción, realiza la grabación del audio de las llamadasdesde el micrófono y el altavoz del terminal, para que desde la página web se puedan escuchar todas las conversaciones.

Figura 3: Opciones de grabación de herramientas de mensajería

La lista de opciones es larga, leer los mensajes SMS, los correos electrónicos deGmail, los mensajes y conversaciones de Skype, Viber, y por supuesto la demandada opción para espiar WhatsApp, pudiendo ver todas las conversaciones en todo momento.

Figura 4: Registro de mensajes de WhtasApp

De todas ellas, las que más nos sorprendió es la de controlar el terminal por medio de mensajes SMS que el dueño del terminal nunca podrá interceptar, ya que el troyano está construido para interceptar cualquier evento haciendo uso deBroadcast Receviers - tal y como se explica en el libro de Desarrollo de Aplicaciones Android Seguras -, lo que le permite recibir el mensaje y procesarlo.

Figura 5: Comandos de control remoto por SMS

Entre las opciones que hay de control remoto están las de arrancar o parar aplicaciones, bloquear el terminal en un determinado instante o borrar el terminal completamente.

Figura 6: Comando SMS para grabar el audio de un entorno 

De todas ellas, la que más asusta es la de poder enviar un comando SMS paragrabar el entorno, sin que el dueño del terminal lo sepa, el teléfono se pone a grabar por el micrófono durante uno o varios minutos y después sube el archivo de audio a la web para que pueda ser escuchado en el momento.

Figura 7: Entornos de 1 minuto grabados en la web

Esta opción puede ser utilizada para espiar conversaciones en reuniones a las que no ha sido invitado alguien o para grabar cuando se produzca algún evento disparador - al llegar a una ubicación, al llegar una hora concreta, etc... -.

Visto esto, os recomiendo que si tenéis un terminal iPhone tengáis controlado el terminal en todo momento, con passcode complejo, sin Siri, actualizado a la última versión y sin jailbreak a ser posible. Si tienes un Android, además de todas esas medidas - salvo la de Siri y Jailbreak - evita bajarte apps con permisos raros, pon un antimalware y evita rootear el teléfono... y cuidado con el WhtasApp que te bajas.

Fuente

Cómo usar Whatsapp desde tu PC con Pidgin y el plugin 'whatsapp-purple'

En esta entrada veremos cómo utilizar Whatsappdesde el ordenador mediante Pidgin, un cliente multiplataforma basado en GTK que permite el acceso simultáneo a varios chats.
En nuestro caso utilizaremos Pidgin bajo Windows 7 y lo primero que haremos será instalar el plugin 'whatsapp-purple' que implementa el protocolo de Whatsapp para libpurple, la librería de desarrollo de mensajería instantánea que utilizan varios clientes (incluido Pidgin). Para ello simplemente descargamos y copiamos la DLL (last-whatsapp.dll) en el directorio de plugins (C:\Program Files (x86)\Pidgin\plugins).

Verás que una vez copiado el fichero al iniciar el cliente e intentar añadir una cuenta ya se puede seleccionar el protocolo Whatsapp:

Eso sí, para añadir una cuenta de Whatsapp en Pidgin necesitaremos primero conocer su contraseña correspondiente...

Si queremos usar el mismo número de nuestro teléfono (Android o iPhone) tendremos que eliminar y volver a crear la cuenta (ups!) o, si no, esnifar la contraseña mediante un proxy SSL entre medias (MiTM), algo que ya es muy complicado teniendo en cuenta que Whatsapp ha añadido un control para comprobar las huellas o fingerprints de los certificados.

Por eso recomendamos registrarse y utilizar un nuevo número con fonYou. Su uso es gratuito, y "sólo" tendremos que facilitar los datos personales* y dar el número real del teléfono que utilizararemos para activar el número fonYou. Ignora la advertencia de que no funcionará con mensajería instantánea XD:

* Ojo que, una vez dado de alta, también tendremos que confirmar tu identidad enviando una fotocopia del DNI en un plazo de tres días. De lo contrario nos darán de baja la cuenta (pero tres días son 72 horas de pura maldad):

Ahora que tenemos un nuevo número 6688X hay que darlo de alta en Whatsapp.Para ello en lugar de utilizar el cliente oficial del teléfono usamos Yowsup, una librería en Python que nos provee las mismas funcionalidades, entre ellas el registro.

Yo realizaré los siguientes pasos en una máquina virtual con Debian/Kali Linux, aunque debería funcionar en cualquier sistema operativo con los siguientes requisitos:

    - python 2.6+
    - python-dateutil
    - argparse para python inferior a 2.7
    - libxml2 sólo si usas el flag --v1

Empezamos bajando el repositorio git a nuestro equipo y damos permisos de ejecución a su cliente:

root@kali:~# git clone https://github.com/tgalal/yowsup.git
Cloning into 'yowsup'...
remote: Counting objects: 814, done.
remote: Compressing objects: 100% (514/514), done.
remote: Total 814 (delta 501), reused 587 (delta 294)
Receiving objects: 100% (814/814), 147.17 KiB, done.
Resolving deltas: 100% (501/501), done.
root@kali:~# 

root@kali:~# cd yowsup/src/
root@kali:~/yowsup/src# chmod +x yowsup-cli 

  
Posteriormente preparamos el fichero de registro con los siguientes datos:

root@kali:~/yowsup/src# vi whatsapp_config.txt

cc=34 # Prefijo de España
phone=346688XXXXX # Número de teléfono con el prefijo delante
id=XXXXXXXXXXXXX  # Si nunca nos hemos conectado a esta red de mensajería desde un teléfono real dejarlo en blanco, sino el id obtenido marcando *#06# en tu terminal 
password= #Contraseña. Si no estamos registrados la dejamos en blanco.

Después con este fichero de configuración podemos solicitar el código de activación correspondiente:

root@kali:~/yowsup/src# ./yowsup-cli -c whatsapp_config.txt --requestcode sms
status: sent
retry_after: 1805
length: 6
method: sms

En unos instantes nos llegará un SMS con el código de activación de Whatsapp, que ahora volvemos a utilizar para obtener el password definitivo:

root@kali:~/yowsup/src# ./yowsup-cli -c whatsapp_config.txt --register 123-307
status: ok
kind: free
pw: EiFn6rzSd0V5VbGwJ23Qy0Glkck=
price: 0,89 €
price_expiration: 1396254501
currency: EUR
cost: 0.89
expiration: 1434667607
login: 346688xxxxx
type: new

Ahora que ya tenemos la password (campo pw:) podemos volver a Windows y añadir la nueva cuenta de Whatsapp en Pidgin con la contraseña obtenida:

 Y ya tienes Whatsapp en tu PC, eeeeh... con un número que nadie conoce todavía... ¡Seguro que más de uno se pone a trollear! lol

Fuente

Descubren vulnerabilidad en apps de iOS al usarlas en WiFis públicas

Si eres de los que suele utilizar WiFis públicas, de cafeterías, bibliotecas y similares, ojo a esto. Investigadores de la firma de seguridad Skycure han descubierto una nueva vulnerabilidad que afecta a cientos de apps en iOS si las utilizas con WiFis públicas. Se trata de un fallo en el código de las apps que permite a los atacantes infiltrar el móvil de los usuarios. ¿Cómo?

Aprovechando el fallo en el código de las apps, el atacante puede lograr alterar de forma permanente la URL del servidor del que la app toma los datos para mostrarlos (mediante una redirección 301). De esta forma, cuando alguien visita esa app utilizando una WiFi pública (o comprometida), el atacante (sentado a unos metros ordenador en mano) carga datos de su propio servidor y no del servidor de la app. Es decir, vía libre para inyectar un virus en el móvil y robar tus datos de contacto, números, historial de navegación y otra información sensible.

Los investigadores explican la vulnerabilidad en detalle en este artículo. Para demostrar el problema, crearon una app falsa y lograron replicar el fallo de seguridad en iOS. En los dos vídeos debajo muestran cómo funciona:

La compañía ha decidido no publicar los nombres concretos de las aplicaciones en iOS afectadas por tratarse de cientos de ellas. Sin embargo, en su artículo explican a los desarrolladores la forma en la que pueden subsanar el problema en el código de las apps. Para los usuarios, ofrecen tres recomendaciones:

• Nunca te conectes a una WiFi que no consideres segura
• Si crees que una de tus apps está infectada, elimínala y vuelve a instalarla
• Mantén siempre tus aplicaciones actualizadas

Fuente

Todas las charlas de Seguridad en la Campus Party Colombia 2013 en Video

Esta entrada se ha vuelto obligatoria después que finaliza una Campus Party donde tengamos la fortuna de participar, ya lo hicimos con Campus Party Colombia 2012, conCampus Party Mexico 2013 y ahora hacemos lo propio con Campus Party Colombia 2013, por que “La Campus” ha sabido convertirse en uno de los escenarios obligados para laseguridad en Colombia y muchos países más, no solo por su duración (8 días) donde constantemente se dictan contenidos sobre la temática, o sus retos como el CTF o los Retos Forenses [aunque este año no se hicieran], sino también por las actividades adicionales en las que pueden participar sus asistentes.

Afortunadamente para quienes no han podido disfrutar de la fiesta tecnológica mas grande de nuestro país, sus organizadores han publicado casi todas las charlas que se desarrollaron durante la Campus Party y aunque no podrás disfrutar de la sensación de estar frente a ellos y poder resolver tus dudas directamente, si que tendrás a la mano toda la documentación y experiencias que compartieron con nosotros cada uno de los ponentes.

Los vídeos se pondrán en orden cronológico según la programación oficial de la campus, para que los disfrutes tal cual lo vivimos los campuseros.

¿Es el Big Data el nuevo Big Brother?

Pentesting en la era post-PC

Cibercrimen y amenazas a la seguridad en Internet

¿Qué nivel de seguridad le das a las apps que desarrollas?

Windows 8.1: red y seguridad

Fuzzing y desarrollo de exploits

Modelo comunitario de respuesta a incidentes

Mi vecino hacker

Introducción a Forense en red 

b

Hablando de seguridad y hacking en el desarrollo de apps Android

Tips y Experiencias de un consultor de seguridad informática

Usa Linux decían… porque en Linux no existen virus

Ampliando el impacto con su propia infraestructura

Hackeando con Raspberry Pi

Desarrollos en Facebook, buenas intenciones pero malas prácticas

Si no pudiste ver en vivo o en linea las charlas del área Pitágoras en la Campus Party Colombia 2013, este listado de vídeos, organizados cronológicamente te permitirá ver las charlas tal y como se vivieron en la CPCO6.

En otras areas:

Ciber Espionaje

Si te interesan las charlas de Seguridad y Redes de la Campus Party Colombia 2012, también las encuentras aquí, al igual que las charlas de seguridad en Campus Party Mexico 2013.



Fuente

Mapa mundial de ataques digitales DDoS

Uno de los ataques más comunes contra un sitio web es un ataque distribuido de denegación de servicio (DDoS) en el cual una botnet con cientos e incluso miles de ordenadores bombardea un sitio web saturando su tráfico y haciéndolo temporal o permanentemente inservible.
Google (los equipos "Ideas" y "Big Picture") se ha asociado con Arbor Networks para ofrecer en un mapa digital que ofrece una visualización impresionante de los ataques de denegación de servicio en tiempo real en todo el mundo. No los pierdas:

http://www.digitalattackmap.com