Feeds:
Entradas
Comentarios

Posts Tagged ‘Seguridad’

Millones de proyectos con el culo al aire… más información en:

http://www.extremetech.com/computing/120981-github-hacked-millions-of-projects-at-risk-of-being-modified-or-deleted

Y el commit del PoC aquí.

Anuncios

Read Full Post »

Hasta que se gestione, se encargue y se fabrique mi futuro coche de empresa, voy a estar utilizando coches de alquiler. Esta tarde, de hecho, fui a recoger el que estaré utilizando durante el próximo mes. Como el dinero en alquiler no luce tanto como en renting, me ha tocado un Seat León (muy parecido a mi Golf en muchos aspectos, empezando por el motor, que es el mismo).

Una de las primeras cosas que hice fue comprobar qué opciones tenía el coche. Muchas son iguales que en mi Golf (como la radio), algunas que tengo en el mío no están en el León, y hay un par de cosas que el León sí tiene y el mío no. Una de esas cosas es el bluetooth incorporado al sistema de Infotainment (el mío tiene un Parrot externo, aunque también integrado).

¿Y qué tiene que ver esto con la privacidad?

Cuando he ido a conectar el móvil al coche, he comprobado que se tenía que generar un perfil para almacenar la agenda y esas cosas. Al ir a crearlo, el sistema me ha informado de que tenía que borrar algún perfil, pues los cinco disponibles estaban ocupados. Efectivamente, y para mi sorpresa, había almacenados en el sistema del coche cinco perfiles con sus respectivas agendas y demás. Parece que, no sólo los de la empresa de alquiler no se molestan en borrarlos, sino que los que alquilan el coche y conectan su teléfono tampoco. La gente pasa de todo.

¿Podría sacarse esa información del coche? Quizá con el ordenador de abordo no, pero seguramente conectando un VAGCOM se pueda sacar todo. ¿Alguien lo ha intentado alguna vez?

Read Full Post »

Aquí os dejo una presentación muy interesante sobre seguridad e IPv6. Dado que es el futuro de Internet (y así lleva siendo desde hace tantos años…), nos conviene ir preparándonos para lo que está por venir.

Hacking IPv6 Networks (PDF)

Se trata de una presentación del DEEPSEC 2011, que tuvo lugar el pasado mes de noviembre en Viena.

Read Full Post »

El proyecto Nikto2 supone un escáner de servidores web programado en Perl que, con una única ejecución, comprueba la siguiente información:

  • Más de 6.400 ficheros o CGI potencialmente peligrosos.
  • Versiones sin actualizar de más de 1.200 servidores.
  • Problemas específicos para versiones concretas de más de 270 servidores.

Como sus propios creadores comentan, se trata de una herramienta un tanto ruidosa, probando el mayor número posible de fallos en el menor tiempo posible… y llenando de mierda los logs de la máquina objetivo al mismo tiempo. No obstante, también se puede usar en conjunción con herramientas anti-IDS como libwhisker, bien para disimular el ruido, o bien para auditar nuestros propios sistemas.

Para llevar a cabo una primera pasada de obtención de información, y sin recurrir a probar a lo loco mediante un fuzzer, esta herramienta puede resultar interesante. Y además su logo es un alien muy chulo, que siempre da puntos…

Escaneo con Nikto2

Escaneo con Nikto2

Read Full Post »

En el ámbito de los sistemas móviles y en el de la seguridad, esta semana la noticia más sonada ha sido probablemente el caso de Carrier IQ.

Un software preinstalado en ciertos terminales que, gozando de permisos más que amplios, espía las comunicaciones del usuario sin piedad (ni demasiado disimulo).

Cada día sale a la luz nueva información, incluyendo pruebas de compañías aparentemente ajenas (como Google), otras que se desmarcan del bicho (como Nokia y Verizon), y otras que entonan el “ups, nos has pillado, ahora lo quitamos” (como Apple). Aún no está del todo claro cuál es el target exacto, aunque tiene muchas papeletas para estar relacionado con los terminales estadounidenses.

Por el momento, y si usáis Android, id instalando este programa para saber a qué os enfrentáis en vuestros queridos teléfonos.

Read Full Post »

Ayer por la noche pude ver que ya se ha publicado el nuevo episodio de Mundo Hacker TV, en el que salgo como invitado especial. Aún no he podido verlo, y seguramente no podré hacerlo hasta el miércoles por la noche, pues estoy “sobreviviendo” con la conexión 3G.

Si alguien lo ve, que comente qué tal ha quedado. Sí he visto que dura casi una hora y veinte… aunque eso es algo que ya se veía venir durante la grabación.

Enviado desde WordPress para Android

Read Full Post »

La gente de Hispasec dedica hoy -otra vez- su boletín diario de una-al-día a Duqu: “Duqu, más información y algunas dudas“.

Finalmente, se confirma que sí utiliza exploits de tipo 0-day (al menos uno, y se sospecha que dos), contrariamente a lo que inicialmente se pensó. Además, se comenta su peculiar método de distribución de órdenes, con una suerte de P2P que permite transmitir éstas a través de otros sistemas infectados. Ingenioso.

En cualquier caso, parece preocupante la proliferación de este tipo de virus tan complejos, donde los 0-day comienzan a aparecer con cierta frecuencia. Además, políticas de publicación de actualizaciones como la de Microsoft no parecen ayudar a frenar este tipo de ataques. De acuerdo, aún no se conocen públicamente los mecanismos explotados por el 0-day de Duqu para elevar privilegios… pero al menos hay una persona que los conoce, y la actualización parece que no llegará tampoco el próximo martes día 8.

También sospecho que, como en el caso de Stuxnet, no conoceremos realmente su complejidad interna hasta dentro de bastante tiempo.

Read Full Post »

Older Posts »

A %d blogueros les gusta esto: