Categoría: Seguridad

Constantemente vemos como repiten una y otra vez, el dicho de “Manten tu software actualizado, por tu seguridad“. Pero es cierto que el software, como los navegadores antiguos son más inseguros, en esta entrada vamos a hablar de ello y la conclusión puede que sea chocante.

Esa premisa parte de la base de que cada nueva actualización corrige bugs y agujeros de seguridad detectados hasta la fecha en las versiones anteriores del software. Y es cierto, pero a los que nos apasiona el hacking solemos pensar las cosas de forma un poco diferente y no seguimos siempre los consejos a ciegas. De modo que, una pregunta obligada en la mente de un hacker sería: “¿Y qué pasaría si rescatamos del desván algún software no actualizado e incluso semiolvidado?“

De hecho, en materia de seguridad, hay joyas que sólo se pueden descubrir, precisamente, empleando software antiguo, descatalogado, no actualizado o, incluso ya no comercializado. Una pequeña muestra de ello es lo que os traemos hoy.

La seguridad con un navegador antiguo : Netscape Navigator

¿Quién no recuerda el otrora reluciente y dominador del mercado de los navegadores web?… Sí señor, estamos hablando del mítico Netscape Navigator, aquel que hizo sudar bastante a Microsoft durante unos cuantos años por su calidad, velocidad y fiabilidad.

A los que sientan curiosidad les aclararé que si se hacen con una de las últimas versiones del Netscape Navigator (yo he usado una de las últimas disponibles online que es la 7.01) les resultará algo incómodo navegar con ella porque la mayoría de webs nos devolverán constantemente el mensaje de “Su Navegador web no está actualizado, por favor descargue la última versión de Mozilla Firefox o Chrome“.

Pero, si somos impertinentes y seguimos usándolo pese a esas notificaciones, encontraremos sorpresas e incluso algún servicio al que no podemos acceder con nuestros flamantes y actualizados navegadores de otras compañías de software que han sobrevivido.

Leer más

Esta semana teníamos claro cuál debía ser el tema del post de seguridad y hacking en Somos Binarios dado que, un servidor, pudo detectar una amenaza phishing propagada a través de Twitter por error en un artículo de una conocida publicación informática y tecnológica que a buen seguro muchos de vosotros conocéis e incluso es posible que sigáis.

Como es evidente, no daremos el nombre de dicha publicación. Tan sólo vamos explicar cómo detectamos (por casualidad) dicha amenaza de phishing involuntario, expondremos por qué era involuntaria y sacaremos varias enseñanzas del peligro potencial de este tipo de equivocaciones, para aprender de los errores. Hemos informado a la publicación afectada, para su inmediata corrección y protección, tan pronto identificamos el problema. Tal como se debe hacer en estos casos, eso es hacking ético.

La detección del agujero de seguridad

Así que, empecemos…

Todo comenzó un mediodía con un tweet como cualquier otro, recibido en mi visor de Twitter como al cabo del día cualquiera de vosotros recibe decenas o centenares. Hasta ahí, nada del otro mundo.

El caso es que me interesa el contenido que anuncia dicho tweet que en concreto es un nuevo artículo de una conocidísima publicación sobre informática y tecnología que tiene más de 140.000 seguidores en esta red social (ahí es nada), de modo que hago clik en el enlace a dicho artículo para leerlo al completo.

Leer más

Desde que Julian Assange crease una herramienta revolucionaria llamada Wikileaks, poniendo en jaque a las principales potencias mundiales gracias a las filtraciones anonimas de primer nivel (cables diplomáticos de Estados Unidos, imágenes de asesinatos perpetrados por el ejército americano, etc…) quedó abierta la veda de lo que para muchos ha sido el verdadero signo de estos tiempos, las filtraciones anónimas a través de sistemas encriptados que garantizan el anonimato en Internet.

Wikileaks y las filtraciones anonimas

Wikileaks básicamente es un portal, muy similar al de la Wikipedia, en el cual se publica información principalmente confidencial o archivada, de forma anónima para que cualquier persona pueda consultarla. Al principio solo se publicaban datos de las comunicaciones de las embajadas americanas y poco a poco, se están publicando datos de más sectores.

Hoy Julian Assange es un icono recluido en una embajada latinoamericana como forma de defenderse y evitar ser extraditado a varios países que le reclaman por diversas causas pendientes, pero su creación hacker más importante, Wikileaks (de hecho, este es sólo uno de los muchos programas que el hacker Assange, con pseudónimo “Mendax” creó y explotó durante sus años mozos) ha dado lugar a un gran número de plataformas de diversas nacionalidades que imitan el funcionamiento de Wikileaks, acercando esta tecnología del anonimato a un público mucho más amplio, para denunciar irregularidades o ilegalidades cercanas, locales, que importan.

Leer más

Hace un par de post, comentamos que empezaríamos una serie de entregas a lo largo de varias semanas, en las que trataríamos la épica historia de los hackers españoles, quienes durante la década de los ochenta y principios/mediados de los noventa, llegaron a ser considerados la élite mundial por su habilidad, calidad técnica y excelencia intelectual.

Dimos en nuestro primer post al respecto algunos nombres históricos como Glaucoma, Hispahack, LéCreme y muchos otros, tanto colectivos como individuales.

De todos ellos, o al menos de los míticos entre los míticos, hablaremos en artículos que les dedicaremos y en los que descubriremos algunas de sus más asombrosas hazañas. Pero hoy quería centrarme en los inicios de muchos de estos hackers españoles y que, sin duda, fue el caldo de cultivo de verdaderos especialistas en ingeniería inversa.

La ingeniería inversa en los juegos

Desproteger juegos fue, sin lugar a dudas, un hobby en un comienzo para muchos de aquellos veinteañeros que ya peinan algunas canas hoy en día, y se terminó convirtiendo en una auténtica disciplina en la que los hackers españoles crearon un antes y un después en los años ochenta.

Eran los años de los primeros y míticos juegos de ordenador (para Spectrum, Amstrad, Comodore…) en muchos casos grabados en cintas de cassette y que estos renegados se plantearon “romper” para poder copiar y vender mucho más baratos o, incluso, regalarlos.

Es interesante recordar que en los inicios de la etapa hacker y de la ética del pirateo de juegos de ordenador, el ánimo de lucro, ni estaba arraigado en estas mentes, ni era el motor por el que desarrollaban este trabajo de investigación quienes declararon la guerra de guerrillas a las empresas de software y a las comercializadoras de videojuegos.

Para aquellos primeros “salteadores”, disfrutar de un buen juego de ordenador implicaba, también, romper su seguridad interna, poder duplicarlo (crackearlo) y redistribuirlo o bien gratuitamente, o bien a un coste muy poco por encima del precio del cassette en el que se grababa.

Los “estudios clandestinos” de estos hackers no eran sofisticados: Eran oscuras habitaciones de chavales en sus propias casas, que pasaban noches enteras tratando de desblindar un juego para a la mañana siguiente, casi sin haber descansado, informar al resto del “equipo” de que la hazaña había sido lograda. El estímulo no era económico, sino puramente personal e intelectual.

Leer más

En esta serie que hoy iniciamos, y a lo largo de distintas semanas que no serán continuadas (para continuar así con nuestros post “prácticos” de hacking, cracking y seguridad online) dedicaremos unos artículos especiales a las primeras generaciones de piratas informáticos españoles que, en los ochenta y los noventa, formaron parte de la élite mundial en esta materia.

De este modo, desde Somos Binarios, rendiremos un humilde homenaje al tiempo que se mantiene viva la historia, la leyenda, los hitos y los inicios de aquellos magos de la informática que destacaron en las más diversas ramas de la ingeniería inversa: el phreaking (o hacking telefónico), el pirateo y la desprotección de juegos y programas de ordenador (ya desde la temprana era de los años 70 cuando se introdujeron los primeros ZX Spectrum en España); La entrada en redes internas (intranets) de universidades vía módem, empleando para ellos las más diversas técnicas de ingeniería social aplicada al hacking (todas las iremos estudiando en esta serie de post que hoy comienzan)…

Los inicios del hacking en España

Ahora es habitual encontrar en las noticias informaciones relativas a piratas informáticos, tanto individuales como colectivos, que logran saltar la seguridad del lector de huellas de un Iphone o que, alistados en grupos como Annonymous o colaborando con organizaciones como Wikileaks, liberan información, filtran escándalos o destapan documentación confidencial.

Leer más

Hace unos días la compañía de seguridad informática Karpesky lanzaba un aviso muy interesante acerca de las diferentes formas de vanguardia que se estaban empleando para engañarnos y enviarnos a direcciones web maliciosas, a través de las cuales se nos podría infectar con malware o, directamente, páginas desde la que extraerse nuestros datos personales, bancarios, transacciones comerciales etc…

De entre las diversas técnicas que se están trabajando hoy en día por parte de hackers y crackers para “llevarnos voluntariamente” a esas páginas, hoy vamos a analizar, sin duda, las más complejas o técnicamente mejor trabajadas y que resultan, directamente, indetectables. Vamos… que caemos como moscas seguro, si el que está detrás de estas webs sabe lo que hace.

Entrando a webs maliciosas de manera voluntaria

Pero ¿Cómo vamos a ir voluntariamente a una página web maliciosa o montada para engañarnos, espiarnos o robarnos?. Bueno, pues porque las técnicas de nomenclatura de estas webs y sus dominios nos indican que vamos a un lugar perfectamente legal e inofensivo, pero resulta que ese NO es el destino al que vamos finalmente.

¿Un ejemplo de nomenclatura de dominio bien trabajada y que nos engaña si no estamos avisados o no sabemos “leer” exactamente lo que se nos presenta?, Bien, atiende, porque sencillamente sumando la “r” con la “n” ya tenemos el engaño montado.

¿Detectaríamos algo extraño en una web cuyo dominio es de Microsoft?. No… en absoluto. Podríamos acceder redireccionados sin problemas y viendo la dirección en el enlace clickeado o en el navegado nos quedaríamos tranquilos. Pero mira cómo se falsifica microsoft con la una r minúscula y una n minúscula:

www.rnicrosoft.com

Tal como lo ves… En minúscula NO he escrito Microsoft, sino r n icrosoft… Acabas de ir directamente a una web con malware, creyendo y lo que es peor, leyendo una dirección que aparenta ser completamente inofensiva.

¿Trabajado verdad?… Pues no. Este es el más básico y chapucero de los cambios maliciosos de la nomenclatura de un dominio. Por decirlo de alguna manera, estaríamos ante un cinco pelón… Un aprobado raspado en materia de hacking o cracking.

Leer más

Hoy vamos a analizar una aplicación que no ha sido diseñada para el uso que le vamos a dar en el post, sino que, en su naturaleza, no sólo es inofensiva sino, además, muy interesante: La posibilidad de eliminar de manera completa y con un solo click todo nuestro perfil de Facebook. Y cuando decimos todo, queremos decir precisamente eso: Todo.

En principio esta aplicación ha sido creada para facilitar una de las tareas que más interesa a muchos que han probado la red social en cuestión y que después han encontrado que es bastante lento y ortopédico desaparecer de la misma, por no hablar del hecho de que Facebook te da la posibilidad de suspender o eliminar tu perfil, pero almacena todo “por si alguna vez quisieras volver”… Vamos, que no tienen muchas intenciones de facilitar la salida y desaparición de la plataforma.

Pero nosotros vamos a ir un poco más allá (ya hemos dicho muchas veces que el hacking permite emplear herramientas que no fueron concebidas para un determinado uso, de una forma completamente distinta y darle otras utilizaciones no tan éticas) y vamos a volver a mostrar cómo se puede emplear un programa que no fue diseñado para fines oscuros, y usarlo justamente para todo lo contrario. ¿Por qué vamos a enseñarlo o a dar pistas sobre ello?, pues porque sólo conociendo cómo se puede emplear la tecnología en su aspecto más agresivo o doloso podemos protegernos frente a este tipo de cuestiones.

Pero vayamos por partes y presentemos primero la aplicación para después deducir lo sencillo que sería acabar, no con nuestro perfil de Facebook al completo (que para eso se ha creado la aplicación) sino hacer desaparecer todo rastro del perfil de terceras personas, así como todo su contenido, fotos, mensajes y demás…

La aplicación para eliminar la cuenta de Facebook

La aplicación se llama ACTIVITY REMOVER y ha sido diseñada a modo de “add-on” o complemento para el navegador con el que nos conectemos usualmente a internet y, por lo tanto, a nuestro perfil de Facebook. De esta manera, una vez dentro, con sólo hacer click sobre dicho complemento en nuestro navegador, el programa nos ofrece varias opciones parciales (eliminación de contenidos, comentarios o imágenes) o la solución total (desaparición de Facebook por eliminación completa del perfil del usuario).

Leer más