A principios de esta semana se hicieron públicas múltiples vulnerabilidades en software SCADA descubiertas por el reputado investigador Luigi Auriemma, con decenas de alertas de seguridad destapadas por durante los últimos dos años. Incluimos una curiosa prueba de concepto. Los sistemas SCADA son sistemas de “adquisición de datos y control de supervisión”, muy utilizados en infraestructuras críticas, industrias, laboratorios y almacenes. Son especialmente relevantes porque, un problema de seguridad en su software, implica un problema traducido a sistemas físicos críticos de control de funciones. Pueden usarse para controlar desde la temperatura de neveras industriales, hasta el suministro eléctrico de una central nuclear.

(más…)

No cON Name es la asociación con más antigüedad en España dedicada a la congregación anual de expertos en seguridad informática en el campo de la investigación

Día 1:

• Show me your Kung Fuzz: Iñaki Rodríguez expuso de una forma muy muy divertida qué es el fuzzing así como diferentes herramientas y entornos a utilizar para lograr fuzzear diferentes aplicaciones, dependiendo del tipo que éstas sean. “La frase” que caló hondo entre todo el público fue: “Cuando los padres de las compañeras de mi hija me preguntan qué es eso del fuzzing al qué me dedico les contesto: Hacer fuzzing es meterle mierda a una aplicación hasta que revienta“.

(más…)

Los ataque de Denegación de Servicio Distribuidos (DDoS por sus siglas en inglés) siempre han sido una pesadilla para los administradores de IT y seguridad y desde la popularización de este tipo de ataques por parte del grupo Anonymous, utilizado como su principal herramienta de “protesta”, miles de organizaciones públicas y privadas de todo el mundo han tenido que comenzar a pensar seriamente en alternativas para
detectar, mitigar y/o bloquear la tormenta de tráfico desatada por estos ataques.

Algunos ejemplos de estos ataques recientes se pueden encontrar en el Blog de Segu-Info:

http://blog.segu-info.com.ar/search/?q=anonymous
http://blog.segu-info.com.ar/search/?q=DDoS

(más…)

Las empresas bolivianas todavía tienen cierta susceptibilidad cuando escuchan la palabra “hacking”, o “hacker”, el concepto esta desvirtuado gracias a los medios de comunicación que a cualquier maleante común de la calle lo llaman hacker por el hecho de que suplantó clientes para sacar dinero de su cuentas bancarias o se hizo una página web similar a la de banco, o tienen un amigo dentro la entidad financiera que le pasó los datos de clientes, o cualquiera que se robe claves de acceso con el cuento del tío.  Pero no toda la culpa es de los periodistas, sino de las películas donde los hackers son los chicos malos, traviesos, nerds, etc. Sin embargo el Hacking es la base del Test de Penetración, quizá el mejor control para medir la seguridad informática de una empresa.

(más…)

Con bastante frecuencia realizo compra de software para mi Smartphone Android. El poder de estos dispositivos para análisis de seguridad es bastante impresionante, convirtiéndose en una herramienta indispensable para labores de hacking ético.

Para realizar las compras, tengo que utilizar el servicio Google Checkout, porque resulta la única alternativa viable (hace algunos años tuve una experiencia espantosa con PayPal, lo que me hace desconfiar bastante de su servicio).

(más…)

La Policía surcoreana investiga la posible filtración de datos de unos 800.000 clientes de Samsung Card, una de las primeras compañías surcoreanas de tarjetas de crédito, por un fallo de seguridad, informó hoy la agencia surcoreana Yonhap.
(más…)

Israel ha establecido un comando cibernético militar para librar una guerra contra Irán mientras equipo de altos funcionarios se preocupan cada vez mas de que un ataque contra Irán convencional o nuclear podría terminar en un fracaso.

El nuevo comando cibernético militar informará directamente al primer ministro israelí, Binyamin Netanyahu, quien ha puesto el programa en el corazón de la capacidad de defensa de Israel, informó el periódico británico The Sunday Times.

“Israel debe convertirse en una superpotencia mundial cibernética”, dijo en una reunión de expertos en la ciber guerra recientemente.
(más…)

Stuxnet es un gusano informático que afecta a equipos con Windows, descubierto en junio de 2010 por VirusBlokAda, una empresa de seguridad radicada en Bielorrusia. Es el primer gusano conocido que espía y reprograma sistemas industriales, en concreto sistemas SCADA de control y monitorización de procesos, pudiendo afectar a infraestructuras críticas como centrales nucleares.

(más…)

Se ha publicado la versión 1.0.0e de OpenSSL que soluciona dos vulnerabilidades.

OpenSSL es un proyecto para desarrollar una implementación robusta del Protocolo de Capa de Conexión Segura (SSL v2/v3), de los protocolos de seguridad en la capa de transporte (TLS v1) así como de una librería criptográfica de propósito general.

La primera de las vulnerabilidades corregidas, identificada como CVE-2011-3207, es un error al validar CRL. Este fallo permite a un atacante validar como correcto un certificado especialmente diseñado, por ejemplo haciendo uso de X509_V_FLAG_CRL_CHECK o X509_V_FLAG_CRL_CHECK_ALL.

El segundo fallo solucionado es un error en ‘ephemeral ECDH ciphersuites’, que permite provocar una denegación de servicio a través de peticiones en un orden incorrecto. Como contramedida se puede desactivar ‘ephemeral ECDH ciphersuites’. Este fallo se ha identificado con el CVE-2011-3210.

Después de que los servidores de kernel.org se viesen comprometidos, la Linux.com ha detectado brechas de seguridad en sus propios servidores posiblemente relacionadas con los sufridos en agosto por el repositorio del núcleo. Debido a esto, las infraestructuras de Linux Foundation se encuentran en estado de mantenimiento con objeto de mejorar y fortalecer la seguridad en sus servidores.

Linux Foundation es un consorcio sin ánimo de lucro surgido en 2007 de la unión de Open Source Development Labs (OSDL) y Free Standards Group (FSG) con el objetivo de fomentar el crecimiento del sistema operativo GNU/Linux. Promociona, protege y estandariza los recursos y servicios necesarios para que el software libre pueda competir con plataformas cerradas.

En estos momentos y desde el día 8, al visitar los sitios web LinuxFoundation.org, Linux.com, y sus correspondientes subdominios se puede observar un mensaje que informa del mantenimiento que se está llevando a cabo. Además se insta a los usuarios a cambiar las contraseñas y claves SSH que hayan utilizado en estos sitios comprometidos, así como aquellas contraseñas que sean reutilizadas en sitios ajenos a ellos por motivos de seguridad.