Emocionado con los Krispis

El Sábado, en la jornada de reflexión ante las elecciones, creo que no fui el único que reflexionó. Nuestro amigo de la ciudad de los kispis tambien lo hizo y casi lloro. Sniff. El pobre, que no tiene tiempo de probar todo, y que por eso a veces se equivoca y se siente responsable del prestigio de la ciudad de los kellogs, digo... de los krispis. Casi me da un ataque de ONG y le mando unos módulos de memoria o unos becarios para que le instalen un Windows Vista y le ayuden a probar o corroborar lo que ya sabe. No se, creo que tenemos que ayudarle entre todos.

Así que nada, a arrimar el hombro se ha dicho.

Ya avisaba hace unos días el amigo Silverhack en su blog sobre si realmente cuando se implanta un servidor se realiza con rigor y si realmente son importantes esos detallitos en la seguridad del sistema. El libreto dice que cualquier información que se dé a un atacante es un fallo de seguridad. Por eso los "expertos" (los unos y los técnicoless) siempre recomiendan que las aplicaciones en producción expuestas sean lo menos verbouse.

Así que, amigo nuestro de los krispis, prestigioso censor, te dejamos esta captura para que puedas configurar las páginas de errores de tu drupal, no vaya a ser que alguien use esa información para hacerte alguna cosa mala. Sólo se ve un nombre de usuario y poca cosa más, pero si pones un error generico con tu logo y un poco de ads queda más cool ¿no?.


Na, seguro que habrá sido nada más que otro despistillo de nada, y como no, la culpa será de Spectra, como siempre.

Linux fue el primero

Algunos hombres de poco sentido del humor no encuentran gracioso esto, pero la verdad es que tiene su pizca de humor negro, y ya sabéis que a mi se me conoce por los chistes políticamente correctos como los de "el spam lo crearon las mujeres porque si no ¿quién nos iba a recordar que necesitamos alargarnos la polla y comprar viagra?" o por el otro ese con la barba postiza disfrazado de Gimli "Hoy voy a comer más pelo que ninguno de los que están aquí" o el famoso chiste del pavo, así que creo que voy a ponerlo.

El caso es que se había creado un proyecto muy chulo llamado TUX 500 para recaudar fondos para la comunidad Linux. Este es un proyecto de marketing en el cual, echando unos numeritos por encima se esperaba que si menos del 1% de la comunidad ponía 1$ esperaban ganar unos 350.000 $ dólares en donaciones. Así que nada, el TUX 500 iba a correr en las 500 millas de Indianapolis.

El TUX 500
Iban en serio, hasta hicieron video de marketing viral y todo:


TUX 500
El caso es que comenzó la carrera y el TUX 500 fue el primero. El primero en darse la hostia padre y quedarse fuera. Por suerte al piloto no le sucedio nada. Al principio se achacó el problema a algo mecánico, pero no, parece ser que al final el problema fue el driver. Vale, se que parece un chiste malo, pero es puñetera verdad. Y no deja de tener algo de alegórico, ¿no?.


El fallo del Driver y la piñata
El proyecto al final, al margen de la piña, no acabó de convencer a los inversores y de los 350.000 $ al final consiguieron un poco menos, vamos, consiguieron 18.000 $, es decir poco más del 5% de lo esperado.

Alguno se pone nervioso por los chistes malos sobre esto, pero joder, que estamos en el país del chiste sangrante coño, y hay que reconocer que tiene su gracia. Yo aporto mi propio chiste malo al asunto:

Así que en la línea de meta, como dice la canción de Joaquin Sabinax, "Estaban todos menos TUX".

XD

Entrega de premios en Madrid

Para los que se apunten, ya hagamos una lista, la idea es tomar algo este miercoles en Madrid. Para que sea fácil para los que vengamos en coche, podemos tomarlas en unas cervecerías de la Avenida de Brasil, o por ahí anda, así que quedamos, si os va bien en Capitán Haya número 1. Hay cerca parkings y demases.

La hora las 19:00 horas.

El que vaya a pasarse que avise y me mande un mail con el movil por si se pierde. Yo llevaré la caja de botijos para Palake por el reto de Pedro Laguna, la botella Dyc por su tercera posición en el III Reto Hacking y a RoMaNSoFt le llevaré su CD, la cena y el cachondeo se los dejo para otra ocasión con más dispendio!

Saludos!

Oracle se olvidó del .es

Es normal hombre, con lo emocionante que ha estado la Copa América han debido estar todos los trabajadores de Oracle viéndola desde la barrera y se han olvidado del detallito de renovar el domino .es.

Ahora mismo el propietario ha publicado un disclaimer que se puede leer en http://www.oracle.es. Sí, allí. Y eso que los dominio se pueden renovar por un montón de años. Seguramente como no tienen pasta pues van renovando de poco en poco, por eso de pagar letras.

A lo mejor deben ponerse una aplicación en una base de datos para gestionar sus dominios y que no les pasen estas cosas.

En fin, ahí va las capturas por si las quitan.


Y este es el dueño actual según el Whois .es:


No me gustaría ser el encargado de esto en Oracle Inc.

¡Hola Lina!Linux apps on Windows & Mac OS

El mundo de la dependencia de la plataforma para la ejecución de programas cada vez se hace más estrecho. Hoy en día es posible, siempre con algunas limitaciones, correr aplicaciones Windows sobre plataformas Linux usando Wine, o correr aplicaciones .NET usando Mono en Linux o Mac OS X; también es posible correr aplicaciones de 16 bits escritas para WIN16 sobre Win32 o aplicaciones Win32 en Win64 con el famoso WOW (no, no es el World of Warcraft, es Windows On Windows) y con Softgrid es posible correr cualquier aplicación Windows sobre cualquier plataforma Windows sin instalar dlls mediante la virtualización de aplicaciones.

Para el tema de las aplicaciones Linux/UNIX empezamos corriendo terminales sobre Windows, luego las X gráficas para Windows con un montón de soluciones hoy en día, incluso gratuitas, como Exceed o WinAxe; continuando con esta gama de productos aparecieron los Services For UNIX (SFU) dónde ya venía un UNIX, hasta que en Windows Server R2 se incluye un UNIX nativo en el kernel, es decir, en Windows Server 2003 R2 puedes correr las aplicaciones nativamente sobre WIN32 o sobre UNIX. El Unix que trae se llama Interix y es Posix completo.

Cuando corres una aplicación sobre Interix, esta se va a ejecutar nativamente, sin emulación, sobre la plataforma, pero para realizar esto hay que compilar los códigos fuente del programa y en el mundo veloz de hoy en día se intentan minimizar los riesgos. Si empieza a dar problemas de librerías o de compatibilidades de versiones deja de ser funcional.

El mes que viene una nueva empresa, una “Startup” planea lanzar al mercado Lina, una aplicación similar a Wine, pero para Windows y Mac OS X. La idea es sencilla, compila en Linux/UNIX y virtualiza la aplicación para que pueda correr sobre Windows y Mac OS X como hace Softgrid. La empresa se llama OpenLina y tiene unos videos para que veas como funciona:

Un problema menos.

Saludos!

Momentus Ridiculous IV

Los fines de semana suele ser buen momento para poner alguna chorrada en el blog. Estos días pasan más desapercibidos del gran público (los que llegan perdidos al blog) así la vergüenza es menor. Así que, vamos a por otro momentus ridiculous.

19 de Noviembre de 2005. Codecamp


La charla iba sobre GPS, estabamos en el Escorial, y nos pareció al Chico Maravillas y a mi que si el pobre Frodo y la compañía del anillo hubieran tenido acceso a esta tecnología no se hubieran perdido nunca, así que organizamos esta sesión que tenéis en el video:

Como punto clave en la charla está la aparición de mi enemigo mortal en el ktpeto.exe, el asesino Aurelio "evangelista" Cálico Porras. Sin palabras.


Despés de la sesión, nos hicimos fotos con mucha gente, y yo me sentí como un rey mago en la puerta de El Corte Inglés.


Muy divertido.

Jornada de reflexión

Hoy es el día que se supone he de gastar en reflexionar. La verdad es que soy de esa multitud grande que necesita para reflexionar sobre que hacer el domingo más de un día, creo de hecho, que he llegado a caer en un estado de inanición por un interbloqueo con la región crítica así que necesitaría más de una jornada para reflexionar sobre el día de mañana así que me guardo esta jornada para reflexionar sobre lo que me apetece.

Y lo que me apetece es daros las gracias a todos porque si los políticos se supone que tienen que hacer que la vida de una persona sea de calidad, la mía lo es gracias a vosotros, a todos los que disfrutáis devanándoos los sesos con los retos, gracias a los comentarios cachondos que ponéis que hace que me descojone cuando llegan al móvil, gracias a que nos vemos en las charlas, gracias a que me enseñáis cosas, gracias a que me ayudáis a hacer cosas.

No querría olvidarme de los Técnicoless que tanto nos hacen divertir. ¡Qué sería la vida sin ellos!

Por último, recordad que tenéis que ir a las páginas de los partidos políticos y copiaros el programa electoral, pues sospechosamente, el mismo día de las elecciones, según se cierran las urnas, desaparecen de la Web y de ellos “nunca más se supo”. No vaya a ser que luego no cumplan, ¿verdad?

Saludos y un recuerdo especial para aquellos que me luego me dicen: “Te leo pero nunca pongo nada”.

Bies!

Muestrame la luz

Durante un tiempo me he dedicado a recopilar algunas cadenas de búsqueda por las que la gente llega a este blog porque tenían mucha gracia.

Algunas son curiosas, otras extrañas y otras peculiares:

(cr)Contaminanción tecnológica
(ec)Tipos de hubs que existen en el mercado
(mx)Juegos para adultos
(pe)Que sistema de paquetización usa fedora en linux
(co)Claves informáticos hacking
(es)Samba Linux + Windows Vista
(es)Como poner las ventanas como windows vista
(es)irix java
(es)Como cronometrar en java
(es)Cortar messenger de alguien a tu red
(com)Matias informatica64
(es)"for i in $(seq"
(mx)fechas importantes de los dias 10 de mayo sobre un tecnico informatico pero de otros años
(ar)QUIERO JUGAR AL GTA 3
(co)En que consiste la ESCALA DE KENNY
(es)como ser un buen tecnico informatico
(es)un hombre al otro lado del mal chema
(mx)reconocimiento de huella digital source
(es)crear compilador c para vista
(ve)malo malo eres chico malo
(ve)carta de amor novia
(es)google hexademical
(es)Como ser una estrella de rock
(es)las tias mas buscadas en google
(mx)Windows Vista está muy mal
(es)GESTION DE EQUIPOS DE FUTBOL ACCESS
(ar)lista de direcciones ip de paginas pornos
(cl)nota de guitara de sweet o mine
(com)porno blogspot
(co)como montar páginas web porno?
(es)cual es la gracia de linux

¿Cual es la gracia de linux?, esta última me encanta. Y todos han acabado en este blog, increible-ble.

Morphing de Superman

Cuando vas a al límite es cuando se pueden producir errores, el exceso de trabajo hace que no puedas dedicar todo el tiempo del mundo en el repaso de los detallitos. Esto en las compañías antivirus/antimalware es un serio problema.

Cuando se recibe una muestra hay que analizarla y escoger una firma. La firma debe ser lo suficientemente bien elegida para que identifique de forma unívoca al malware y que además no sea fácilmente saltable. Por eso se pueden mirar desde varias partes del archivo, el análisis empaquetado o desempaquetado en máquinas virtuales, etc… Existen técnicas muy avanzadas en la detección de amenazas. El problema se produce cuando tienes más de 10.000 muestras de malware por día.

Si eliges una mala firma puede pasarte como le sucedió a McAfee que con una mala firma tuvo 7 páginas de falsos positivos e incluso firmo como virus el Excel. Éste no fue el primero ni el último caso y le ha pasado ya entre otros a Symantec, OneCare, Trend Micro, etc…

En virustotal reciben entre 15.000 y 20.000 muestras diarias lo que deja claro el volumen de estrés laboral que deben llevar las compañías para firmar las muestras.Las técnicas de evasión de las firmas de los antivirus suelen ser variadas. Desde el uso de ofuscadores de código como el Yoda Protector o las técnicas de morphing como el morphine, pasando por la siempre funcional de modificar el código en ensamblador o el código fuente, cambiando de orden instrucciones, metiendo instrucciones inútiles, etc.. hasta saltarse la firma.

Pero cuando la compañía de antivirus tiene mucho estrés y no puede analizar la muestra en profundidad busca una solución rápida y que garantice ningun (o prácticamente ningún si contamos con las colisiones)falso positivo. Y lo más rápido es firmarlo usando el hash del archivo. Claro, esto implica que con cambiar cualquier bit del fichero cambiamos el hash y ya no lo reconocería. Hagamos una prueba con el Patch (cliente de netbus 1.70). Este es un troyano de cuando estrenaban el coche fantástico. Lo subimos a VirusTotal y vemos quien lo detecta:

Resultados VirusTotal de Patch.exe
En los resultados se ve el hash del archivo y vemos que todos, menos 1, lo detectan como Virus. El que no lo detecte Sunbelt a lo mejor es porque tiene una política de borrado de firmas antiguas, pero vamos, que con lo divertido que es el Netbus debería tenerlo firmadito. Si miramos el código en hexádecimal vemos que tiene un mensaje de error en ASCII:

Vista Hexádecimal de Patch.exe
Vale, pues le cambiamos el mensaje y le ponemos este otro y lo guardamos como patch2.exe y lo subimos a Virustotal y vemos que se un par de motores que “lo conocían” ya no le conocen:

Vista Hexádecimal de Patch2.exe
Resultados VirusTotal de Patch2.exe
Esta técnica Sergio "pajarraco" de los Santos la bautizó como:

“Morphing de Superman, que cambia el caracolillo por unas gafas y un sombrero y ya no le conoce nadie“














Superman & Clark Kent
En el caso del patch solo había 2 motores que lo tenían firmados por hash, pero… ¿y las firmas de malware más moderno? Si lo hacemos con un exploit del año 2004, vemos que lo detectan todos menos 8. Los que no los detectan lo harán simplemente porque en su política no estará detectar hacking tools:

Resultados VirusTotal de epxloit lsass
Si le hacemos un “Morphing de Superman” vemos que ahora son 17 los motores que no lo detectan, es decir, 9 motores utilizaban hash para firmar esta herramienta.

Resultados VirusTotal de exploit lsass_superman
Por último, he pensado hacerlo con el hackerdefender, un rootkit de los más famosos, la versión 1.0. Primero lo detectan todos:

Resultados VirusTotal de hackerdefender100.exe
Con el “Morphing de Superman” hay tres que ya no lo detectan.

Resultados VirusTotal de hackerdefender100_superman.exe
Esto sólo es una curiosidad dentro de las técnicas de evasión de antivirus que utilizan los productores de malware hoy en día, por lo que queda de manifiesto que contar con el antivirus sigue siendo algo necesario, pero no suficiente.

Saludos malignos.

Vídeos para el Security Day

En el Security Day de 2007 queríamos haber utilizado una estética de los hombres de Paco, para el evento, pero al final la gente de marketing prefirió la de los porteros de discoteca. Nosotros grabamos unos vídeos para hilar todo el evento, pero debido a la mala acustica en el Auditorio de Winterthur preferimos no ponerlos. No se si los vamos a poder poner en kinépoles en Madrid, así que os los dejo aquí para que los veáis. Lo que sí es seguro que vamos a poner en Kinépolis es el estreno de Piratas del Caribe III, así que todos los que vengan a la sesión de la tarde se podrán quedar a verla. La peli empezará entre las 17:30 18:00 horas.

Perdimos perdón a Ridley Scott, Tarantino, de Palma y Coppola por esto que hacemos que degrada el arte.

Presentación del Evento


La Intervención de las pruebas


El análisis forense


Pausa para el Café... y Té


Empapelado

Y en la sesión de la tarde, dirigida a los administradores, "Cómo superar sus problemas con las sesiones de autoayuda del ITPro Anónimo".


ITPro Anónimo

...Y después:


Piratas del Caribe III


¡Si venís al evento nos vemos!

Cuando: 24 de Mayo de 2007
Lugar: Madrid
Agenda y Registro: Security Day 2007

III Reto Hacking de El lado del mal

Aquí está ya el III Reto Hacking, para la diversión de los niños y las niñas. El objetivo en este caso es controlar la cuenta del “maligno bank”.

Deberéis encontrar al final del reto la forma de acceder a las cuentas bancarias para mover la pasta. El reto cuenta con tres fases y las pistas son las siguientes:

1) No siempre hay Sistemas Gestores de Bases de Datos relacionales y por tanto esta vez puedes ahorrarte el SQL ¿o no?
2) La ciencia ha aprendido en muchos campos utilizando los sistemas de Ensayo y Error. Aprender es bueno.
3) El hacking ha muerto.

Tres pistas fáciles, tres fases sencillitas y un montón de premios chulos:

1º: Una caricatura firmada, pero está vez ¡en COLOR!.
2º: Una cena de fiesta y cachondeo totalmente invitado.
3º: Una camiseta usada pero ¡¡límpia!!.
4º: Una botella de DYC de las buenas.
5º: Una tarta de queso con arándanos.

El reto comienza HOY A LAS 15:00 HORAS.

Aquí teneis el acceso al reto: III Reto Hacking

Red Hat: Por mis WebOS

Los sistemas operativos en red se llevan buscando desde hace mucho tiempo. A los administradores, pasar de las terminales en el host dónde se tenía completamente controlado el sistema, a un entorno de clientes pesados dónde corrían sistemas en los desktops fue un autentico esfuerzo extra en el mantenimiento y gestión.

Muchas son y han sido las alternativas para sustituir los escritorios pesados, desde los intentos de Sun con los Net PC, los escritorios remotos con Citrix o los Terminal Server, los clientes de escritorios remotos embebidos en los navegadores, etc…

Sin embargo fue el aumento de los anchos de banda y la irrupción de Google en el mercado tecnológico lo que más expectativas creo al pensar en un sistema operativo disponible a través de la web e incluso se especuló con un GoogleOS y se hicieron circular “supuestas” capturas del mismo.

GoogleOS Boot

GoogleOS desktop
Después de eso el mundo de los servicios a través de la web sufrió su eclosión y hoy es posible tener Correo, Webs, Blogs, Almacenes de ficheros, chats, o el sistema de backup de los documentos de tu ordenador. Pero sin embargo no son demasiados los que apuestan por un sistema operativo completo basado en la web. No obstante existen algunas alternativas como por ejemplo YouOs y EyeOs.


YouOS: http://www.youos.com


EyeOS: http://www.eyeos.com
Ambos sistemas, realizan virguerías con las tecnologías más modernas en la web para conseguir dar una apariencia similar al desktop.

La pregunta es ¿Se necesita que esté todo integrado en un desktop? Parece que Google apuesta por los servicios independientes gestionados con Single-Sing On y las cuentas de gmail y centrarse en el servicio.

Brian Stevens, de Red Hat anunciaba hace diez días:

“To the user the desktop metaphor is dead. We don't believe that recreating a Windows paradigm in an open source model will do anything to advance the productivity in the life of users”

En la misma conferencia en la que anunciaba que Red Hat va a lanzar un nuevo sistema operativo Online para que sea el nexo entre los servicios online y el software de cliente.

Pensar en un sistema operativo en web para el entorno domestico a día de hoy está lejos de ser posible debido a las necesidades multimedia intensivas que se le requiere al PC en casa. ¿Y en las empresas? Pues depende, a día de hoy casi todas las empresas tienen algún servicio online, pero raramente son servicios críticos.

Lo que no deja de ser curioso es el movimiento de Red Hat a estas alturas, cuando todo el mundo vaticinaba que sería Google el que lo intentaría algún día resulta que ha sido Red Hat que ya prometió estar en un año en el mercado Open Source y que Novell no lo haría.

¿Cómo está el patio, no?

Léete la noticia del anuncio del sistema operativo de Red Hat en VNUNET.

Léete el debate en Slashdot.

Enhorabuena a los Premiados

El II Reto Hacking ya terminó y los 5 que lo pasaron fueron estos pájaros de aquí:

15/02/2007 9:16 Daniel Kachakil
23/02/2007 20:43 Mandingo
27/02/2007 20:40 apren
01/03/2007 9:33 RoMaNSoFt
30/03/2007 5:03 axi

Así que tengo que entregar los premios. A Daniel ya le entregué su premio y aquí tienes el resultado de la misma, a los demás, tengo que empezar a entregarselos, así espero que el señor Mandingo pueda recibir su poseía en el Security Day que se hace en Barcelona, y que pueda quedar con apren, RoMaNSoFt y axi, que yo soy cumplidor!

Dani Kachakil by Maligno
Los premios prometidos fueron:

1º: Una caricatura que le voy a hacer yo firmada.
2º: Una poesía de amor, que le voy a escribir yo personalmente firmada y manuscrita.
3º: Un camiseta usada de las que uso (ya veremos si limpia o no)
4º: Un CD de Rosendo Mercado.
5º: Una bolsa de chupachús.

Ahora que sale el III Reto Hacking voy a prometer regalos "AUN MÁS" espectaculares. Esta tarde-noche se hace público el incio:

1º: Una caricatura firmada, pero está vez ¡en COLOR!.
2º: Una cena de fiesta y cachondeo totalmente invitado.
3º: Una camiseta usada pero ¡¡límpia!!.
4º: Una botella de DYC de las buenas.
5º: Una tarta de queso con arándanos.

Mientras tanto, yo le regalo una caja de botellines de Mahou al que sea el primero en sacar el Reto de Pedro “amigo del XSS” Laguna en su web.

¿Hay lo que hay que tener?

¡Vista falla! o ¡Me falla la “Vista”!

Han pasado más de 100 días y se sigue buscando ese fallo. Se han descubierto vulnerabilidades del tipo: “Si tienes conectado el altavoz de tu ordenador y está corriendo el reconocedor de voz, alguien te podía pasar un mp3 o ponerlo como archivo de audio en una página web como fondo, y podría dar todas las órdenes en ese archivo que fueran necesarias para gestionar tu sistema”. Sí, es cierto, sólo que además tiene que estar en el mismo idioma el atacante y el sistema operativo… además de hablar más o menos parecido, si no, sería como un milagro no tener que enseñarle al reconocedor. Otro vector de ataque sería que alguien te grabe con un magnetofón al más puro estilo “Mortadelo y Filemón” y luego componga con tu voz un montaje para gobernar el sistema. Yo, por si acaso he decidido dejar de utilizar la palabra ACEPTAR en público por si alguien me la graba, no vaya a ser que tengamos un disgusto. Se confirma también que una denegación de servicio puede darse también si trabajas en verano con la ventana de tu habitación abierta y algún chaval, jugando al fútbol en la calle, le grita a su amigo Formatear que le pase el balón a su colega Sistema, algo así como “¡Formatear a Sistema!” y zas, la fastidiamos. El expediente de seguridad para este fallo está disponible bajo el siguiente bugtraq id: 22359

El último bug que ha afectado a la plataforma Windows ha sido el del fallo del famoso ANI, en las plataformas que estuvieran sin parchear. Microsoft rompió el ciclo para arreglar este fallo debido a la facilidad de explotarlo, la criticidad y el amplio espectro de malware que se estaba generando. Pero no a todas afectaba igual; mientras que en Windows XP se podían ejecutar archivos descargados, en Windows Vista no se podía ejecutar nada, ya que los mecanismos de defensa funcionaban en profundidad. Eso sí, se podría hacer una Denegación de Servicio sobre Explorer, cosa poco interesante para un atacante cuyo objetivo sea troyanizar la máquina y hacer de ella un zombie o robar credenciales bancarias.

A principios de Abril, coincidiendo (casi) con el día de los Santos Inocentes en Estados Unidos, se planteó para el día 2 “La Semana de los Fallos de Windows Vista”. El objetivo era similar al que se consiguió con “El Mes de los Fallos de Apple”, aunque para los técnicoless, esa raza que vive de percepciones y de modas, todas estas tecnologías sigan siendo mejores que ninguna otra sólo porque sí, o “El Mes de los Fallos de PHP” o “El Mes de los Fallos de los Navegadores” o “El Mes de los Fallos del Kernel” o “El Mes de los Fallos de Myspace” o “La Semana de los Fallos de Oracle Database” (esta última cancelada por “presiones de responsabilidad” – según su organizador).

La iniciativa comenzó con un supuesto fallo en el Firewall de Windows Vista que fue presentado con un montón de capturas y pruebas que no tenían ni pies ni cabeza. Muchos de nosotros llegamos a pensar que podía ser posible, incluido yo, pero manteníamos una prudencia tensa por lo que pudiera suponer. “¿Ejecución remota?... pero… ¿y el DEP? y ¿ASLR?”. Para más suspense no publicaron el exploit, aunque supuestamente lo tenían y lo iban a publicar el sábado de esa misma semana. Esto rompía todas las reglas del juego marcadas por estas iniciativas, cuyo objetivo es sacar un exploit de Zero-days cada día.

Ese mismo día confesaron que era una broma, un hoax. Su objetivo, según ellos era hacer un ataque “social” a la gente y ver la repercusión. Muchos de nosotros estuvimos alertados y preocupados, aunque la utilización de M$ en la web no hacía presagiar investigadores “serios” de seguridad a priori.

Previo al comienzo de la semana, estuvieron pidiendo exploits de Windows Vista y no sabemos si recibieron alguno o no. ¿Era realmente éste su objetivo, ser un hoax? ¿No pudo pasar que no encontraran nada? Ya que vas a hacer un hoax, ¿por qué no publicar un mes como con Apple, los Kernels o PHP, en lugar de una semana? ¿Quizás fue una elección a posteriori? ¿Por qué pedir colaboración si no la vas a usar?
Lo más sorprendente es que con la explicación que apareció en la web del supuesto proyecto de investigación alguien lo dio de alta como un expediente de seguridad en Security Focus, una de las bases de datos de expedientes de seguridad más importantes en Internet. A día de hoy el bug aparece en dicho almacén como RETIRED[23255], pero lo preocupante sigue siendo que se dio de alta. Lo cual hace pensar lo peligroso que es el uso de una única fuente de expedientes de seguridad.


Mientras siguen “buscándole los tres valores al bit”, Windows Vista lleva una considerable buena marcha en seguridad con unos resultados, toquemos madera, hasta ahora, muy esperanzadores.

*************************************************************************
Artículo Publicado en Windows TI Magazine número 120 en Mayo de 2007
*************************************************************************

Momentus Ridiculous III

La historia, de momentos avergonzantes está llena, digo Yoda. Este es el tercero de los más destacados en nuestra lista negra.

Abril del año 2005. Escritura de Código Seguro

En esta ocasión el objetivo era dar a los asistentes pautas para el desarrollo de aplicaciones web seguras. Decidimos que podíamos hacer una entrada en plan bandoleros. Sonó la música de Bonanza y entramos dando tiros. Luego el Sheriff maravillas hacía la intro mientras yo le disparaba. En fin. Haciendo el tonto una vez más. Por suerte para todos no hay video de aquella sesión aunque sí algunas fotos.

Foto para el calendario "Bandoleros Sexys"
El Sheriff con la Intro
Entrada a TirosFoto de estudio para la portada de la película "Jovenes Jovenes o no tanto"

Cuidado con lo que ejecutas

La primera vez que toqué un Unix fue en la escuela de informática para una asignatura que se llamaba Sistemas Abiertos. Lo primero que descubrimos era que podías hablar con la gente con una cosa que se llama talk. Después nos lo caparon, junto con el write, así que lo que nos quedaba era el famoso cat > /dev/tty para escribir directamente en la pantalla de otro. Era bastante divertido.

Una de las cosas que nos llamaba al principio a todos es que el directorio . no estaba en el path y lo achacábamos a dejadez, así que nada, todos a crearnos nuestro .login con el $PATH=$PATH:. Para que así no tener que poner el ./programa.

Al final tenía su lógica, ya que es la forma que tiene el sistema de proteger los comandos auténticos, es decir, cuando un usuario root utiliza un comando como vi, lo que quiere es que se le ejecute el autentico vi. Si el root se encuentra en una carpeta trabajando donde ha podido escribir otro programa podría crear un programa vi, que lanzara el vi autentico y creara una copia de la sh con el permiso de setuid activo. Cuando el root llamara a vi desde esa carpeta entregaría sus permisos a una shell que permitiría a cualquier usuario que la utilizase ser root.

Una idea similar ha publicado Roberto Paveza para engañar a los usuarios y “saltarse” el UAC en Vista.

El objetivo de UAC es prevenir y alertar de cualquier ejecución que requiera privilegios. Para el sistema se basa en aprovecharse de programas no firmados que haya instalados en el sistema y que estén configurados en el entorno de usuario. A la hora de crearse la barra de programas del menú de inicio se mezclan los programas de entorno de usuario y los del sistema, es decir, los accesos directos que están en All Users: C:\ProgramData\Microsoft\Windows\Start Menu y en los del usuario concreto : C:\Users\User Name\AppData\Roaming\Microsoft\Windows\Start Menu

El proceso es el que tienes en el gráfico.


1.- Te bajas un programa y lo ejecutas sin privilegios.
2.- Como el programita corre sin privilegios solo puede escribir en la carpeta de datos de usuario.
3.- El programa busca todos los accesos directos en el entorno de usuario. Si apunta a un programa firmado o a un programa de Windows no hace nada debido a que esto generaría una nueva alarma que avisaría al usuario, así que busca programas que no estén firmados o que no sean de Windows.
4.- Genera un programita que lanzará el programa original y el malware.
5.- Sustituye el acceso directo en el entorno de usuario por un nuevo acceso directo que llama al nuevo programa lanzadera.
6.- Cuando el usuario ejecuta el programa a través del acceso directo se comprueba si el usuario está corriendo como administrador para lanzar el malware. Si no lo está no hace nada y ejecuta el programa normalmente.

Este engaño está pensado para atacar entornos principalmente domesticos, donde el número de programas que se ejecutan es grande y sin un control especial. Encontrar aplicaciones que corran en entornos de usuario de estas características no es lo normal en el entorno profesional, pero el autor apunta a una muy famosa en las casas, el cliente del World of Warcraft.

Tienes el Whitepaper completo en este link, junto con una prueba de concepto.

En este caso se busca no alertar al usuario con mensajes "extraños" pero el verdadero problema sigue siendo aquellos que desactivan el UAC o que directamente hacen click a cualquier cuadro de dialogo que va a permitir que el malware siga campando a sus anchas. ¿Por qué montar todo esta arquitectura esperando encontrar programas en entorno de usuario no firmados que se ejecuten con privilegios de administrador si puedo pedirle los permisos de administrador al usario para jugar este juego tan chulo que soy yo?

XSS en mi contador de visitas

Desde hace tiempo, cuando explicamos las técnicas de ataque a aplicaciones web hacemos especial hincapié en que todos los datos que vayan desde el cliente al servidor son susceptibles de ser nocivos.

Lo dice mejor que yo Michael Howard, escritor del libro Writting Secure Code (2nd edition) en dónde dedica todo un tema a evitar la inyección de código y lo titula de forma muy personal:

“All Input Is Evil!”
Uno de los sitios donde estábamos mirando para meter inyecciones es en los campos http que se envian entre el cliente y el servidor. Los USER_AGENT y demás y el otro día andábamos discutiendo Alejandro Martín (programador del Reto Hacking I) y yo sobre probar a meterlo en algunos programas de estadísticas.

Como no había necesidad de montar nada especial y en Murcia tuve Internet durante la charla de los otros pájaros, pues opte por hacer las pruebas con Bravenet, uno de los servicios de estadísticas JavaScript que usa este blog.

El funcionamiento es sencillo, cada vez que alguien hace clic en un vínculo que lleva a una página del blog, se ejecuta el código javascript que lee la etiqueta http-Referer(Referer en Wikipedia) y lo envía al servidor de Bravenet. Este lo almacena y lo muestra cuando alguien consulta los referers del sitio.

Estos son los referers en este momento del blog.

Como se puede ver aparece el id del contador y el id del usuario. Así es este sistema. Además yo he dejado al navegador que almacene el usuario, pero no la password en una cookie para hacer esta prueba. Así que vamos a ello.

Para hacerlo uso el odyseuss, ya sabéis, un interceptor http, para jugar. Te configuras que el IE use como Proxy, e interceptas toda la sesión, entras en el blog del lado del mal y haces clic en cualquier link hasta que aparezca el envío de las estadísticas en una pantalla como esta:

Captura HTTP con Odysseus
Una llamada al servidor de Bravenet en la que envía el valor del referer en la variable ref. Ahí le he puesto el XSS para mostrar la cookie y tendrá el siguiente efecto cuando vayamos a ver los referers del sitio:

XSS para ver al cookie en Bravenet
Pero si le damos al boton de raw en odysseus se puede ver el host y el programa que lo carga, con lo que podemos ver la URL y el parámetro ref:

URL deposito de visitas
http://pub12.bravenet.com/counter/show.php?id=393750&usernum=999556215&cpv=2&ref=[script]alert(document.cookie)[/script]&sw=1280&sh=800&sc=32

Simplemente con poner el valor que desees ahí dentro podrás ejecutar cualquier código script.

Estos referers pueden ser consultados con la sesión abierta o con la sesión cerrada. Si se consultan con la sesión cerrada esto solo se queda en una broma, pero si la sesión está abierta alguien podría robar la cookie de la sesión del blogger, entrar robar la cuenta y hacer un poco el canelo, como hacer que el sitio navegue a otra parte, poner una imagen, etc….

En fin un XSS en Bravenet de lo más facilón.

Saludos!

"La densidad de defectos en Open Source es Astronomica"

Después del proyecto Bug Hunting ejecutado por Coverity, que analizaba fallos de seguridad en más los 50 proyectos Open Source y que terminó con el artículo de Ben Chelf “Insecurity in Open Source” ahora tenemos otros resultados sobre las aplicaciones Open Source en Java. Brian Chess de la empresa Fortify Software estuvo el año pasado en las conferencias JavaOne impartiendo una conferencia sobre fallos de seguridad en aplicaciones Java. La charla se llamaba “12 Java Technology Security Traps and How to Avoid Them".

Un año después de aquella charla dice que las cosas están peor. Durante el último año han estado trabajando en el "Java Open Review Project". Este proyecto que audita código con la herramienta de análisis estático de código intenta alertar de los fallos de seguridad a los desarrolladores sin poner en riesgo a los usuarios:

“We practice responsible disclosure. We provide a summary of our findings to anyone who wants it. We provide detailed findings to the maintainers of the code.“

Para realizar este trabajo han utilizado la herramienta Findbugs, alimentada con una base de datos extensa de patrones de vulnerabilidades y los resultados del proyecto un año después son:

What Fortify has found from running the project is that the defect density of open-source code is "astronomical", Chess said, pointing out one project in particular that Fortify has inspected over the past year: Net Trust, with an estimated 12.215 errors per 1,000 lines of code.

"That's huge for a project with 'trust' in its name," Chess said.

Ironically enough, Net Trust is a Google project to create a security mechanism for simple single sign-on and authentication. "But they were students doing not very good code," Chess said.

Bueno, parece que la cosa se pone caliente, de nuevo alertan contra Cross-Site Scripting y el amigo SQL injection.

Leete la entrevista completa en eWeek

Voy a empezar a repartir los premios malignos, porque ¿cómo se ha "atrevido" a decir eso?. Si lo dice en español le crucifican, pobre.

Malignidad para todos!

Cifras de Internet "bien Presentadas"

Los técnicos solemos pecar de lo de siempre, de preocuparnos solo del fondo y no de la forma. Sí, los datos son correctos, pero quedan más bonitos en chulas gráficas en 3D con colores apastelados, con animaciones ligeras que permiten ver las cosas de forma más elegante.

y al final tiene su lógica, porque no hay que perder el "glamour". Yo a veces me digo:

"algún día haré un bonito banner para el blog, lo pintaré de colores y lo haré superchulo"

Pero al final paso, y no debería hacerlo. Fijaos en la siguiente presentación que ofrece unos datos interesantisimos de Internet:



Y es que no hay como ver las gráficas bien definidas y los datos bien resaltados.

Esto... ¿os habéis quedado con los datos?

Resumen:

- San Fernando Valley es la Capital del porno.
- El 12 % de todos los websites son porno.
- El 25 % de las búsquedas es pornografía.
- El 35 % de las descargas mundiales son pornografía.
- Cada segundo 28.258 personas están viendo pornografía
- 72 % hombres y 28 % mujeres y la mayoría (70%) en horario de trabajo.
- Cada segundo se gastan 89 $ en pornografía.
- Sex es la palabra más buscada en Internet.
- Se crean 266 web sites pornos diarios.
- Hay 372 millones de páginas porno (3% en UK, 4% en Alemania y el 89% en USA).

¿Quién dice que Internet no es para el porno?

10 cosas que un fan de linux nunca te dirá

Como me encanta cuando me río, y reconozco que en esta última vuelta por España me estoy riendo, a pesar de estar un poco agobiado de tiempo para todo. Ayer, estaba perdiendo el tiempo en Internet y encontré este texto que también me saco una sonrisa. Se llama 10 cosas que un Fan de Linux nunca te dirá que te va a pasar si instalas Linux. (la traducción del inglés es a vuela pluma)

10) Perderás tus habilidades atleticas.

09) Tu nuevo dios será Linus Torvalds y el te exigirá que quemes una copia de Windows cada primer lunes de Abril a media noche.

08) Venderás tu super PC para comprar una máquina 8088 porque “Linux no necesita una máquina tan rápida.

07) Pasarás 10 horas al día escribiendo cosas en la web como “Spectra es el Diablo”, “Linux es libre [gratis] como las cervezas”.

06) Serás despedido porque tu OpeOffice no abre la presentación de tu jefe durante una reunión intergalactica.

05) Perderás 10 días de tu vida para configurar Wine para jugar a un juego que sobre Windows tardarías dos clicks y sí, perderá frames.

04) Pobrarás 10`10 distribuciones de Linux y mientras tanto usarás Windows para hacer algo de trabajo.

03) Comprarás de nuevo tu super PC gastandote 10 veces más porque has instalado Gentoo y necesitas recompilar todas-las-fuentes-del-universo.

02) Tu cuenta de electricidad alcanzará nuevos records porque tú no puede ser superado por ese tipo del IRC en uptime.

01) Después de 5 años sin una vida real descubrirás que BSD es mejor.

Vale, es un texto muy maligno, pero...¿por qué será que me suena a que conozco alguno así? aunque en este país yo cambiaría a LT por RMS en la número 09.

Léelo completo en la siguiente URL:

Ten things a Linux Fanboy not tell you...

Fraude en Internet por Daniel González

Ya comenté hace tiempo como salió este trabajo, pero baste como resumen el decir que lo hizo Daniel González para un Master de Seguridad en la que me tocó ser su tutor. Dani fue compañero de la universidad y siempre fue un capullo gracioso, así que le ha dado su tinte a todo el trabajo. He publicado dos fraudes que podéis leer aquí.

El Mulero y El Nigeriano (Parte I, Parte II, Parte III).

Esperemos que la gente esté atenta de estas cosas.....

El Nigeriano por Daniel González (Parte III de III)

******************************************************************************************
- El Nigeriano por Daniel González (Parte I de III)
- El Nigeriano por Daniel González (Parte II de III)
- El Nigeriano por Daniel González (Parte III de III)
******************************************************************************************

Fecha: Sat, 16 Sep 2006 06:54:02 -0700 (PDT)
De: "zaiinab hassan"

Salam Brother.
How are you today ,
I hope all is well you if so that be to almight God in heaven amen. please Mr Severo i am very worried to hear from you since few days i have not hear from you again that is why i am serious because of my urgly situation here in africa so pls i will like you to get back to me so that we can know the next thing without weasting our time , moreover there is political crises in my country which it may cost war tomorrow , and i want to know how far you have done with lawyer if there is details you can tell me ok
I hope to hear from you.
Zainab.Correo recibido 13 – Experiencia Nigeriano
Comentario:
Y ahora esta metiendo prisa porque puede que mañana estalle la guerra en su país. Y además menta al Dios cristiano pidiéndole protección (o algo así)... ¿se habrá convertido al cristianismo?

Fecha: Mon, 18 Sep 2006 06:45:17 -0500 (CDT)
Para: "zaiinab hassan"

Hi Zainab!
I wrote to your lawyer but I didn´t get any response.
How things goes? Is war overthere?
Take care and regards.Correo enviado 13 – Experiencia Nigeriano
Comentario:
Ahora soy yo el que está esperando una respuesta. Quizá me he pasado un poco preguntando si ya hay guerra por allí.

Fecha: Wed, 20 Sep 2006 10:16:49 -0700 (PDT)
De: "zaiinab hassan"

Please if you are a joker do not contact me again because my lawyer told me that you are just a joker and if you realy know that you are not a joker you should adhere to my lawyers instructions ok.
If you are not ready to follow my lawyers instructions then do not contact me again.
Zainab.Correo recibido 14 – Experiencia Nigeriano
Comentario:
¡Me van a pillar!. Lo sabía, me pasé con lo de “¿Qué?¿Hay guerra por ahí?”, al más puro estilo Gila. Y hombre, un bromista no soy, pero tampoco soy alguien dispuesto a dar de comer a estafadores.

Fecha: Thu, 21 Sep 2006 10:39:53 -0500 (CDT)
Para: "zaiinab hassan"

Hi again Zainab!
War, your dissease, charity are serious matter enough for not joking about them.
I just told your lawyer that I love travel and than now I have some free days and some money for traveling and I would like to know a new country.
That was all. Is there any problem with me going there? I think that papers can be done faster being me there and furthermore I can know a new country (my real hobby).
Was that for considering me a joker?. I should feel offended now.
Take care of your disease Zainab.
Regards.Correo enviado 14 – Experiencia Nigeriano
Comentario:
Mira que digno me pongo... y ahora voy y me ofendo.

Fecha: Fri, 22 Sep 2006 03:54:44 -0700 (PDT)
De: "zaiinab hassan"

Dear sir.
Thanks for your mail, iwhich country are you from? we are abidjan cote d ivoire so you can buy your ticket and fly down here so that we can get everything done but my lawyer advised me to look for another person that you are just a joker.
Let me know the situation from your side so that i will try to convince my lawyer about your rediness to help me.
Zainab.Correo recibido 15 – Experiencia Nigeriano
Comentario:
Y dale con el abogado, metiendo cizaña. Nunca me gustó ese tipo. Y la otra, ¿qué?, que quiere que vaya a visitar un país al borde de la guerra. Si es que no te puedes fiar de nadie.

Fecha: Fri, 22 Sep 2006 06:23:42 -0500 (CDT)
Para: "zaiinab hassan"

Hi Zaiinab!
My sitiation now is that I don´t trust on your lawyer. I susspect that he doesn´t want me there for any reason, perhaps for keeping money to him. I think that lawyers are unreliable around the World. Is any way of continuing the process without your lawyer?. Take care Zaiinab.
Regards.Correo enviado 15 – Experiencia Nigeriano
Comentario:
Me enfadé. No quiero ver al abogado ni en pintura. No me fío de él.

Fecha: Fri, 22 Sep 2006 05:40:12 -0700 (PDT)
De: "zaiinab hassan"

Dear Sir.
Thanks for your mail and you have to know that my lawyer is a good man but if you are not comfortable with him you can contact the security company directly so that they will also deal with you directly.
Hoever, i hope that you do not have any other bad intention which made you want to avoid my lawyer, if not then deal directly with the security company.
Please contact the company and get back to as i beleived that my lawyer must have given you all the contact of the security company.
I will be waiting to hear from you.
Zainab.Correo recibido 16 – Experiencia Nigeriano
Comentario:
Sí, sí, seguro que el abogado es una buena persona, un angelito. Además tengo que aguantar que se dude de mis intenciones. Se cree el ladrón...

Fecha: Mon, 25 Sep 2006 09:23:21 -0700 (PDT)
De: "zaiinab hassan"

Dear Mr Severo
I thank you once again, Please i want to know how far you has gone with the LAWYER, why i am trust the lawyer because he is the person that knowns my condition very well, and he have made a solid promise that his power the transation will go safe, But if you did not trust him then you can come down to my country and discus with Security Company ,
thanks
waiting to hear from you.
ZainabCorreo recibido 17 – Experiencia Nigeriano
Comentario:
Si me están entrando ganas de ir a Csota de Marfil. Seguro que me tenéis preparado un gran recibimiento.

Fecha: Mon, 25 Sep 2006 13:20:39 -0500 (CDT)
Para: "zaiinab hassan"

Hi!
As I told you before, I prefer avoid your lawyer. I don´t trust him. I´ll be confortable talking directly with your Security Company. Your lawyer didn´t give me any contact of the Security Company, so I couldn´t do anything. I think he is really interested in being in the middle of the matter. Could you give me the contact data of your Company or should I ask for them to the lawyer.
Take care and best regards.Correo enviado 16 – Experiencia Nigeriano
Comentario:
Aquí cada uno a su rollo.

Fecha: Tue, 26 Sep 2006 07:03:23 -0700 (PDT)
De: "zaiinab hassan"

Dearest One .
I was at the security company today to inform them that you are my guardian who will be receiving my consignment in your country so they gave to me their contact details that you have to contact them with your full name and address where they will deliver the consignment to.
Here below is the contact of the security company.
DR MOUSA CAMARA.
Director Cargo Department.
Solid trust Securities Inc
OFFICE TEL:+22506446987.
Direct line:+22508076061.
Email: solidtrustsecuritiesinc@yahoo.com
I have already told them that you will be contacting them so try to email them your full name and address of where you wish to receive the consignment ok and please do not disclose to the security company that the consignment contains money since my late father declared that the box contains family treasures such as gold and diamond. Please send to me your contact phone as i want to talk to you.
Zainab HassanCorreo recibido 18 – Experiencia Nigeriano
Comentario:
Para ser una enferma terminal esta mujer se mueve bastante. Y quiere mi teléfono... ¿habré ligado?.

Atención a tres detalles del correo, que por si tenía alguna duda sobre el asunto, lo dejan todo, si cabe, más claro:
• El director de la compañía no coincide con el que dijeron antes que sería,
• La dirección de correo de esta importante compañía de seguros es de Yahoo!
• Por último, casualmente, el teléfono directo del director de la compañía de seguridad es EL MISMO que el del abogado... en fin.

Fecha: Thu, 28 Sep 2006 04:20:52 -0500 (CDT)
Asunto: The Zaiinab matter.
Para: solidtrustsecuritiesinc@yahoo.com

Mr Dr Mousa Camara,
Mrs Zaiinab Hassan has told me that I have to contact you for a matter.
Do you need more information or you already know what I´m talking about?.
In case of you knowing the matter, please, tell me which is the next step.
Best Regards.
Mr. Severo Quesada.Correo enviado 17 – Experiencia Nigeriano
Comentario:
Me presento nuevamente porque este no me conoce, a no ser que se lo haya contado el abogado, porque deben compartir despacho, ¿no?; porque si no, no me explico la coincidencia del teléfono.

Fecha: Thu, 28 Sep 2006 02:37:06 -0700 (PDT)
De: "zaiinab hassan"

Dear Severo,
I am still waiting for your message. like I have explained my condition to you, i want you to hasten up because i am in danger here.
thanks.
ZainabCorreo recibido 19 – Experiencia Nigeriano
Comentario:
Y Zainab que sigue metiendo prisa.

Fecha: Thu, 28 Sep 2006 05:49:14 -0700 (PDT)
De: "solidtrust securitiesinc"

Dear Mr. Severo Quesada. .
We are in receipt of your mail in respect of the consignment of Ms Zainab Hassan which her late father deposited with our security company before he died and Ms Zainab Hassan informed us that you are her guardian who will be receiving her consignment in your country.
However, you are required to reconfirm to us your address where the consignment will be delivering to via Diplomatic Courier Services with your contact for for easy communication.
Once we receive your address then we shall go to the court to make the change of ownership of the consignment to your name as the new beneficiary because without the change of ownership from the court there is no way the consignment will be deliver to you in your country. We shall call you tomorrow as soon as we have received your contact address.
Yours faithfully.
Dr Mousa Coulibaly.
Director Cargo Department.
Solid Trust Securities Inc.
Abidjan-Cote D IVOIRE.Correo recibido 20 – Experiencia Nigeriano
Comentario:
Ahora lo que quieren es mi dirección, pero ni de broma se la doy, que esta gente es capaz de venir a buscarme.

Fecha: Sat, 30 Sep 2006 08:32:17 -0500 (CDT)
Para: "solidtrust securitiesinc"

Mr. Dr Mousa Coulibaly.
Is it possible that I go there in person, directly. Now I´m on holidays and I love visit new countries. In that way, make all papers will be easier and faster, aren´t they?. Sorry for delaying my response but I wasn´t connected to Internet last days.
Best regards.Correo enviado 18 – Experiencia Nigeriano
Comentario:
La misma historia de antes. Que si puedo ir yo para allá, que tengo curiosidad por ver como es un país en guerra.

Fecha: Sat, 30 Sep 2006 08:33:20 -0500 (CDT)
Para: "zaiinab hassan"

Hi Zainab,
I have already answer to the company. don´t worry.
The matter goes on.
Bye.Correo enviado 19 – Experiencia Nigeriano
Comentario:
Este mensaje es para que se tranquilice, que en su estado estar tensa puede ser muy peligroso, y yo también tengo mi corazoncito.

Fecha: Mon, 2 Oct 2006 04:53:20 -0700 (PDT)
De: "solidtrust securitiesinc"

Dear Mr. Severo Quesada. .
We are in receipt of your mail so we need your details so that we can process the consignment and without your details there is no way we can process the consignment in your name.
Yours faithfully.
Dr Mousa Coulibaly.
Director Cargo Department.
Solid Trust Securities Inc.
Abidjan-Cote D IVOIRE.Correo recibido 21 – Experiencia Nigeriano
Comentario:
Más de lo mismo, que lo que quieren de mi son mis datos.

Fecha: Mon, 2 Oct 2006 03:57:38 -0700 (PDT)
De: "zaiinab hassan"

Dear Sir.
Thanks for your mail, i am glad that you have contacted the company so do let me know when they contact you ok. I will be waiting for your reply.
Zainab.Correo recibido 22 – Experiencia Nigeriano
Comentario:
Sí, sí. Cómo si no supieras como está la cosa.

Fecha: Wed, 11 Oct 2006 10:47:43 -0500 (CDT)
Para: "zaiinab hassan"

Hi Zainab,
URGENT; URGENT;... BE CAREFUL!!!
I went to the Western Union office with all the papers for making the transfer of money, but by choice, I realised of something incredible.
Comparing some emails from your lawyer and the one from the director of the security company are the same.
I think the are preparing something ilegal with your money and with the money of the charity.
Be careful. What can we do for avoiding that danger?.
Take care Zainab and best regards.Correo enviado 20 – Experiencia Nigeriano
Comentario:
Bueno, pues esto va tocando a su fin…

Fecha: Thu, 12 Oct 2006 10:28:52 -0700 (PDT)
De: "zaiinab hassan"

Dear Sir,
Thanks for your mail, But i would like to tell you that i really trust the Lawyer because he is the only person that are trying to make sure that every thing is Normal.

So i am telling you to go back to western union and made the payment with the instruction of the Lawyer, There is no danger for this transation if you can follow me till the end i hope that there is nothing can stop it. And i want to know that you are delaying this transation , If you are not interested to help me pls tell me so that i can look for anyother person to help me. I receive your last mail on 30th but today is 11 which is a week and somedays now you have not write to me.

If you really want to help me just go and pay the money through Western Union with the instruction of the Lawyer, I think told you before that you should come and settle every thing by yourself or you bring your own lawyer that will help us .

Thanks waiting to hear from you.Correo recibido 23 – Experiencia Nigeriano
Comentario:
Uy, que seria se ha puesto.

Fecha: Fri, 13 Oct 2006 05:00:38 -0500 (CDT)
Para: "zaiinab hassan"

Hi Zaiinab!

How can you trust your lawyer knowing what I told you about his telephone number?
Is the same number than the one of the Security Company.
They are trying to cheat you, Don´t you realize?

I think that something is not clear around this matter...
I´m so sorry Zaiinab, for you, for the charity (and also for me and my 2 millions), but while your lawyer is in the matter, I won´t send any money.

Take care and be aware.

Best Regards.Correo enviado 21 – Experiencia Nigeriano
Comentario:
Pues yo serio también.

Fecha: Fri, 13 Oct 2006 10:40:53 -0700 (PDT)
De: "zaiinab hassan"

Dear Sir.

Please do not write me again if you are not ready to send your contact phone and details so that i will speak with you on phone, The lawyer is attached to the security company that is why they recomended him to me.

You always like complain please do not write me again if you are in for a joke ok.

Zainab.Correo recibido 24 – Experiencia Nigeriano
Comentario:
Lo que yo decía, que esto toca a su fin.

Fecha: Sat, 14 Oct 2006 01:47:09 -0500 (CDT)
Para: "zaiinab hassan"

Hi Zaiinab!

I think that being not sure about the total loyalty of your employees, is better for me left here that matter.

I just hope that in the few months that you will be still alive, you be able to donate all that money to charity.
It´s hard read that I´m considerer a joker when I only wanted help poor people in general, and you in particular.

Take care.
Regards.Correo enviado 21 – Experiencia Nigeriano
Comentario:
Punto y final (o eso parece).

Fecha: Tue, 24 Oct 2006 02:38:31 -0700 (PDT)
Asunto: Good News
Para: "Severo Quesada Samaniego"

Dearest Severo Quesada Samaniego ,

I'm happy to inform you about my success in getting those funds transferred under the cooperation of a new partner from indiana. Presently i'm in India for investment projects with my own share of the total sum. meanwhile,i didn't forget your past efforts and
attempts to assist me in transferring those funds despite that it failed us some how.

The contacts of the lawyer is as follows;
Barrister John.
Email:info_john1@yahoo.com
tel: +225 0571 0860

him to send you the total of $550,000.00 which i kept

for your compensation for all the past efforts and attempts to assist me in this matter. I appreciated your efforts at that time very much. so feel free and get in touched with my solicitor John and instruct him where to send the amount to you.

Please do let me know immediately you receive it so that we can share the joy after all the sufferness at that time. in the moment, I’m very busy here because
of the investment projects which me and the new partner are having at hand, finally, remember that I had forwarded instruction to the solicitor on your
behalf to receive that money, so feel free to get in touch with Barrister John, he will send the amount to you without any delay.

Yours Faithfully

ZainabCorreo recibido 25 – Experiencia Nigeriano
Comentario:
¡Que bueno!. Diez días más tarde vuelven al ataque, y para darme dinero por ‘los servicios prestados’,… hay que ver que detallazo.

Fecha: Mon, 30 Oct 2006 03:17:32 -0600 (CST)
Para: "zaiinab hassan"

Hi dearest Zainab!

Congratulations! I´m so happy for you and for all the people that finally will receive your help.
Did you finally change the lawyer?. I´m happy also for that.

About the money,... I really didn´t do anything so I don´t deserve it, but if you are so generous and you want to share that with me, I´ll accept it anf use this money to help needed people here.

I´ll contact the new lawyer about this matter, and I´ll send also the message to you.

Best regards and take care.Correo enviado 22 – Experiencia Nigeriano
Comentario:
Para que vean que yo ‘también’ soy buena gente.

Fecha: Mon, 30 Oct 2006 03:23:46 -0600 (CST)
Para: info_john1@yahoo.com
CC: zainab_hassan44@yahoo.com

Hello Barrister John,

Mrs Zainab Hassan has send me the message below.
Which is the process?

Thank you and best regards.

Severo Quesada Samaniego.

*** adjuntado correo anterior ***Correo enviado 23 – Experiencia Nigeriano
Comentario:
Otra presentación de mi mismo,… voy a acabar conociendo a toda la familia.

Fecha: Mon, 30 Oct 2006 02:44:10 -0800 (PST)
De: "j john"

Asunto: ATTN MR SEVERO

JOHN MANDASS ASSOCIATE
rue 250Boulvard D' Cocody Df'
COTE D'IVOIRE ABIDJAN
WEST AFRICA
30th /10/2006

ATTN SEVERO

I HERE BY RECEIVED YOUR MAIL AND I ACKNOWLEGED YOU AS A FORIEGN PARTINER OF MISS ZAINAB HASSAN WHICH SHE INSTRUSTED ME TO SEND THIS CHEQUE OF $550.000 USA DOLLARS TO YOU, I'VE BEEN CHECKING MY EMAIL DAILY TO HAVE THE MAILING ADDRESS WHERE I CAN SEND THE CHEQUE.

SO I WILL SEND THE CHEQUE TO YOU AS SHE INSTRUSTED, BEAR IN MIND THAT THIS CHEQUE WAS ON CHEQUE DRAFT PAPER ,SO YOU CAN SEND YOUR MAILLING ADDRESS NOW. AND YOU HAVE TO PROVIDE ME WITH THE MAILING ADDDRESS AND THE CHARGES AS THUS: YOU CAN CHOOSE ONE OF THOSE OPTIONS SO THAT YOUR CHEQUE WILL RICH TO YOUR DESTINATION OK

SENDING THROGH ONE OF THOSE OPTIONS WILL COST YOU.

FEDEX : $220.00
UPS : $240.00
DHL : $295.00
DILOPMATIC SERVICE: $ 800.00

NOTE THAT MISS ZAINAB HASSAN DID NOT LEFT ANY CASH FOR THE CHARGES. YOU CAN CHOOSE ANY OF THESE CHARGES AND SEND THE MONEY THROUGH WESTERN UNION WITH BELOW INFORMATIONS AS FOLLOW AND REMEMBER TO SEND OUR CHAMBER YOUR CONTACT ADDRESS AND YOUR DIRECT TELE PHONE NUMBER SO THAT WE WILL NOTIES YOU THE TIME YOUR CHEQUE POSTED:

NAME = OSUJI .N. FRANK
Address = 110 Boulvard D' Cocody Df'
Abidjan Cote D'Ivoire
West Africa

YOU ARE ADVICE TO SEND THE MONEY THROUGH WESTEN UNION SO THAT IT WILL ENABLE OUR CHAMBER SEND YOUR CHEQUE FOR ANY OF THE OPTIONS YOU MAY CHOOSE OK PLEASE REMEBER TO SEND US THE CONTROL NUMBER QUESTION AND ANWERS OF THER WESTEN UNION.

YOURS FAITHFULLY,
HON.BARRISTER.JOHN CULU
JOHNMANDASS§ASSOCIATE
TELE PHONE +225 05 71 08 60
SECRETARY OSUJI N FRANK.Correo recibido 26 – Experiencia Nigeriano
Comentario: Ya me parecía raro,… o sea, que tengo que mandarles primero los gastos de envío. De todas formas, como ya hay confianza, han bajado sus precios, de los 1500$ iniciales a estos insignificantes 220$. El caso es sacar algo.

Fecha: Mon, 30 Oct 2006 05:27:25 -0600 (CST)
Para: "j john"

Hello Mr Mandass,

That is a great notice!!!
My wife works for the company UPS so we can do some privileged actions.
Exits a way that you can send the object (a cheque in that case) and I´ll pay here the cost of the sending, but as my wife works there the final cost will be 0.
That is really good, isn´t it?

Is possible do that?

Thanks a lot, and inform me, please.
Regards.Correo enviado 24 – Experiencia Nigeriano
Comentario:
Me ha dado por salir por ahí, ya ves tú.

******************************************************************************************
- El Nigeriano por Daniel González (Parte I de III)
- El Nigeriano por Daniel González (Parte II de III)
- El Nigeriano por Daniel González (Parte III de III)
******************************************************************************************

El Nigeriano por Daniel González (Parte II de III)

******************************************************************************************
- El Nigeriano por Daniel González (Parte I de III)
- El Nigeriano por Daniel González (Parte II de III)
- El Nigeriano por Daniel González (Parte III de III)
******************************************************************************************


Fecha: Wed, 2 Aug 2006 00:54:57 -0700 (PDT)

Hello Quesada Samaniego

Thanks for your mail and your willingness to assist me in retrieving this my inherited fund from the security company where it was deposited by my late father before He died.

I want you to understand that this is no joke but real because I have all the legal proofs for you to be assured and convinced that I am not a joker,ok.
This money in question as I explained to you earlier on was arranged and packaged in a truck box before it was deposited and registered by my late father as family art works and treasures for security reasons so that nobody could steal this box away from the security strong room where it was secuired. I shall give you the deposit certificate of this box that was issued to my late father and the deed of agreement that my late father entered with this security company after He deposited and registered this consignment with them so that you can contact this company yourself for verification but I will only do so as soon as I receive the following information from you:

(1) Your full names and contact address
(2) Your direct telephone and fax numbers if any so that I can fax all this legal documents to you.

I shall foward this required information to the security company with a written letter of authourisation indicating that I have personally appointed you as my foreign partner who will help me in claiming this truck box from them pending on my arrival to meet you in your country for the continuation of my educational career and investment in your own area of choice since I am still a novics
in the buisness world.

Please,get back to me with all this information as soon as you read this mail to enable me forward all this legal documents making this transaction 100 %
real to you because the political crisis here is so much that is why I am still on hide-out for the fear that those that killed my late father could still be after my life.

Always contact me here.

I am urgently waiting for your quick response.
Zainab Hassan
Correo recibido 2 – Experiencia Nigeriano
Comentario:

Me estoy liando. Antes el dinero era de su difunto marido y en este correo es de su padre. Antes las prisas eran porque estaba a punto de morirse y ahora es por la crisis política de su país. Y quedándole 6 meses de vida, quiere continuar su formación académica. Eso si que es moral.

Esto refuerza mi teoría de que tienen correos estándar para reenviar cuando alguien les contesta y a mi me han respondido con la plantilla de otra modalidad del timo. En cualquier caso, destacar que ya quieren mis datos (dirección postal y fax) para enviarme documentos.

Fecha: Thu, 3 Aug 2006 02:05:37 -0500 (CDT)

Hi again Zainab!

First, sorry for my English, i am not English or from USA.
I am also new in bussiness and I have some questions about this bussines.
Where I have to go? Is it in Europe?
It is enough going there with my data?
About my data:
My full name is Severo Quesada Samaniego and you already know my address:
sqs1pufo@yahoo.com.
I have no fax and for using it i should explain the motivation and i prefer keep in secret all that matter, i suppose that is better like that, isn´t it?.
If you could send me any legal proof by email, a .pdf of any document or somethinig like that it will be good.
A late question, could I earn some money with all that?.
Thank you and I hope some answer from you.
Regards.Correo enviado 2 – Experiencia Nigeriano
Comentario:
Pregunto, inocentemente, si hay algo de dinero para mi en todo esto.

Fecha: Sun, 6 Aug 2006 17:17:10 -0500 (CDT)

Hi again Zainab!
I send you my data few days ago and i have no response. Is there any problem? Is the bussines still possible? Let me know something, thanks.
Regards.Correo enviado 3 – Experiencia Nigeriano

Comentario:

Insisto.

Fecha: Mon, 7 Aug 2006 07:00:10 -0700 (PDT)

Dear Sir.
Thanks for your mail, i have not contacted you because my sickness is getting so bad. I contacted the security company and inform them that you are my partner who will be receiving my inheritance or consignment so they demanded for your contact phone,address so you are required to send to me your full name, address and your contact phone in your next mail ok. I will be waiting to hear from you.
Mrs Zainab Hassan.Correo recibido 3 – Experiencia Nigeriano
Comentario:
Vaya, es que estaba malita otra vez, ya no es la crisis política en su país. Y vuelve a solicitarme el teléfono. Viendo como escribo en inglés, no sé como puede tener ganas de oírme hablarlo.

Fecha: Wed, 9 Aug 2006 04:32:21 -0500 (CDT)

Dear Mrs Zainab Hassan,
I´m so sorry for your sickness and I hope you get better soon. My full name is Severo Quesada Samaniego, and now I´m in holydays out of my home so my phone and address will be unattended for days. My email is the only way of contacting me during that period for the security company, sorry. Anyway, I hope could able of help you in that matter. Take care, and I hope God help you.
Best regards.Correo enviado 4 – Experiencia Nigeriano
Comentario:
Me hago el longui y le deseo que Dios (el Dios cristiano) le ayuda. Esto a una musulmana radical debería cabrearle, ¿no?.

Fecha: Thu, 10 Aug 2006 02:23:57 -0700 (PDT)

Salam Brother.
Thanks for your mail and i want to let you know that without your contact details there is no way we can execute this project with you ok so send to me your details so that my lawyer will call to speak with you before we can proceed further.
Mrs Zainab Hassan.Correo recibido 4 – Experiencia Nigeriano
Comentario:
Pues no la afecta lo más mínimo. Esto parece que llega a una vía muerta, o envío mis datos no hay mucho más que hacer…

Fecha: Mon, 21 Aug 2006 05:22:18 -0500 (CDT)

Hello Zainab Hassan,
How about your sickness?, Is it getting better?, I really want to help you but I´m still on holidays and my mobile doesn´t work here (in a little village). Because of that it will be much easier if your lawyer contact me by email or even, if you give me his/her contact information, I could contact him/her for starting with the operation. Sorry Zainab for that question, but: Will I get any money for all that?. I hope you get better of your sickness.
BEst Regards.Correo enviado 5 – Experiencia Nigeriano
Comentario:
Les cuento la milonga de la incomunicación en vacaciones y a ver que pasa.

Fecha: Thu, 24 Aug 2006 02:45:27 -0700 (PDT)

Thanks for your mail i received and am very sorry that i have not response to your mail due to my illness and right now,please kindly update me the latest information you have got from my lawyer. Please kindly cooperate with my lawyer to enable him get the necessary documents. Waiting to hear from you. ZainabCorreo recibido 5 – Experiencia Nigeriano
Comentario:
Cree que ya me ha dado el contacto de su abogado para formalizar todo el tema legal. Pobrecilla, está perdiendo la cabeza.

Fecha: Thu, 24 Aug 2006 04:54:29 -0500 (CDT)

Hi Zainab,
How are you?,
I haven´t receive anything from yuor lawyer. He didn´t contact me, and I think that it´s the easiest-fastest way of being able to continue with that matter. So please, tell him that he can contact me in this email account. My mobile is not working yet.
Thanks and I really hope you get better with the God´s help.
Best regards.Correo enviado 6 – Experiencia Nigeriano
Comentario:
Le pido de nuevo los datos de su abogado para poder continuar con el tema.

Fecha: Thu, 31 Aug 2006 10:56:44 -0700 (PDT)

Salam Brother.
I received your mail and if you are realy ready to help me then contact my lawyer with his informations i gave to you. Bye.
Mrs Zainab Hassan.Correo recibido 6 – Experiencia Nigeriano
Comentario:
Se está poniendo pesadita ya…

Fecha: Fri, 1 Sep 2006 02:43:37 -0500 (CDT)

Hi Zainab,
I´m ready for helping you, but I have no the contact of your lawyer and without it I can´t do anything. Which is the information that I need. You didn´t give me no data for contacting. As soon as posible, please let me know your lawyer data for contaacting him. Take care. Regards.Correo enviado 7 – Experiencia Nigeriano
Comentario:
Pues yo también. Dale vueltas a lo mismo.

Fecha: Tue, 5 Sep 2006 15:41:46 -0700 (PDT)

Salam brother.
Thanks for your mail. here below is the contact of my laeyer.
Barrister Jeff Briggs Esq.
Email: info_jeffbriggsassociates@yahoo.com
Tel:+22508076061.
You are required to contact my lawyer and get back to me.
Mrs Zainab Hassan.Correo recibido 7 – Experiencia Nigeriano
Comentario:
Por fin. Le ha costado, pero ya tengo el contacto de su abogado. Por cierto, el teléfono es de costa de Marfil, un país que no había salido hasta ahora para nada. Y el correo del abogado es de Yahoo!, muy profesional, si señor.

Fecha: Wed, 6 Sep 2006 00:16:00 -0500 (CDT)
Para: "zaiinab hassan"

CC: info_jeffbriggsassociates@yahoo.com


Hi Barrister Jeff Briggs Esq (& Zainab)
I´m Severo Quesada Samaniego, and I´m in contact with Zaina Hassan. We have been talking about a matter that probably you already know, and now she says me that the next step is contacting you. Mr Briggs, What should I do right now for helping Zainab?. Thanks and I hope listen from you soon.
Best Regards.Correo enviado 8 – Experiencia Nigeriano
Comentario:
Correo a los dos (al abogado y a la enferma) para presentarme.

Fecha: Wed, 6 Sep 2006 23:41:38 -0700 (PDT)
De: "jeff briggs & associates"
Asunto: VIEW THE DOCUMENTS

Para: sqs1pufo@yahoo.com

FROM: Barrister Jeff Briggs Esq.
Jeff Briggs& Associates.
Principle Attorney

Attn: Mr Severo Quesada Samaniego.

Greetings from Barrister Jeff Briggs of Jeff Briggs& Associates, before I proceed into this matter, it will be wise enough to give you a brief introduction about myself, I am Barrister Jeff Briggs the Principle Attorney of Jeff Briggs & Associates. .

Mrs Zainab Hassan contacted me to represent you in legal matters so that her Consignment with SOLID TRUST SECURITIES INC in Abidjan cote d ivoire will be deliver to your country in kuwait.

My verification confirmed that Mrs Zainab Hassan has a consignment valued(USD$15.5m) deposited with SOLID TRUST SECURITIES INC by his late husband Late Malam Wahab Ali Hassan which he decleared to contain family valuable.

I am here by assuring you that there is no risk attached on your dealings with Mrs Zainab Hassan based my verification on the consignment with the SOLID TRUST SECURITIES INC which i signed as witness on the deposit agreement.

She told me that her most reason of contacting you is that you will help her to to receive the consignment in your country as her next of kin or partner without any problem ,she also disclosed to me that the purpose of the money is for charity purposes in your country or any country of your choice after the successful conclusion of this project as her guardian.

In my quality as a legal adviser and Counsellor in Financial Jurisdiction ,I assure you the transparent conclusion of this transfer hence you will give me maximum co-operation needed to actualise this project.

I have verified with the SOLID TRUST SECURITIES INC in Abidjan to confirm everything with the company director Dr Coulibaly Keita Who is in charge of the processing and delivery of the consignment to you as the cargo departmental director which he told me that they needed your contact phone,fax and address where they will deliver the consignment to.

I had a meeting with the company today regarding the processing and delivery of the consignment to your country so the director demanded for your full details and where the consignment will be deliver to so to that effect you are required to send to me the details so i can submit it to the company as they requested.
I am attaching to this mail the official deposit document, so you are required to call me to confirm the receipt of the documents.You are free to call me on my direct phone number:+22508076061 for more details.

Barrister Jeff Briggs Esq.
Jeff Briggs& Associates.
Principle AttorneyCorreo recibido 8 – Experiencia Nigeriano
Comentario:
Se me presenta el abogado y me dice que el da fe de que todo está en orden. El dinero existe, está guardado y esperando a que yo vaya a por él. Bueno, si esto me lo dice un tío que dice que es abogado y tiene una cuenta en Yahoo!, me siento mucho más seguro. Por otro lado, siguen insistiendo en pedir mi dirección y mi teléfono y no se que dice ahora de que el dinero se recoge en Kuwait. Me estoy liando. Atención al director de la compañía de seguridad y al teléfono del abogado.

Fecha: Tue, 12 Sep 2006 12:56:48 -0500 (CDT)
Para: "jeff briggs & associates"
CC: zainab_hassan44@yahoo.com

Hello my partners,
First of all, How are you Zainab? I hope you are better right now. I have two little questions, As now is a lawyer around here, it´s needed another lawyer from me to do all that legal things?. I don´t know any about laws and I don´t know if I can act by myself or not. The other question, is for knowing if I will get some money for doing all that. The main part will go for charity pourpose of the Church as we agree, but USD$15.5m is many money,... could I take part?... just the 0.5m.
Take care Zainab.
Best regards.Correo enviado 9 – Experiencia Nigeriano
Comentario:
A ver como reaccionan ante la propuesta de meter un abogado de mi parte. También les indico que gran parte del dinero será para caridad de la Iglesia Católica, y esto debería ser inadmisible para unos integristas. Por último, vuelvo al famoso “¿Qué hay de lo mío?”, que yo quiero parte.

Fecha: Tue, 12 Sep 2006 12:17:05 -0700 (PDT)
De: "jeff briggs & associates"

Dear Sir.
I got your mail and wish to inform you that Mr Zainab Hassan already informed me that you will take 1 million for yourself ok so now we need some money to secure all the relevant documents in your name.
The security company advised that i have to get a sworn affidavit of claims from the court stating that Mrs Zainab Hassan has appointed you legally to receive her money so i need from you USD1500 dollars to enable me secure those legal papers to enable the security company deliver the funds to your country.
I will be waiting for your urgent reply.
Barrister Jeff Briggs Esq.Correo recibido 9 – Experiencia Nigeriano
Comentario:
Ahí quería yo llegar. Ya empiezan a pedirme dinero, en este caso para conseguir unos papeles que vayan a mi nombre y me declaren el receptor legal del dinero de la pobre Zainab. Además, me han subido mi asignación. Yo pedía medio millón y ellos me dan uno entero, para mi solito; y por solo 1500 dólares que me cuestan unos papeles...

Fecha: Wed, 13 Sep 2006 04:51:06 -0700 (PDT)
De: "zaiinab hassan"

Salam Brother.
Thanks for emailing me today, i have told my lawyer to pass the massage across to you that once you receive the money you should take 1million for yourself ok and use the rest for the charity work.
My lawyer came to the hospital today to inform me that he need about 1500 to secure all the documents in your name and you know my condition here that i am still in the hospital and cannot raise any money now so try to send to my lawyer the money so that he can get all the required documents in your name ok.
I hope to hear from you.
Zainab.Correo recibido 10 – Experiencia Nigeriano
Comentario:
Por si acaso no me había enterado con el correo del abogado, Zainab se encarga de recordármelo.

Fecha: Wed, 13 Sep 2006 14:50:09 -0500 (CDT)
Asunto: Re: VIEW THE DOCUMENTS
Para: "jeff briggs & associates"
CC: zainab_hassan44@yahoo.com

Hi ZAinab & Mr Briggs
I have receive an email from both of you. If you need USD1500 from me in advance, I want 2 millions of the total amount for me. How must I give you the USD1500 for the papers?
Thanks and best regards.Correo enviado 10 – Experiencia Nigeriano
Comentario:
¡Toma órdago!. De todas formas, una de cal y otra de arena. Pido más dinero, pero me muestro a la vez muy dispuesto a dar los 1500 dólares que me piden.

Fecha: Wed, 13 Sep 2006 13:11:02 -0700 (PDT)
De: "jeff briggs & associates"

Dear Sir.
I have received your mail and have discused with Mrs Zainab about your request and he accepted to offer you 2 million.
To that effect you are required to send me the money so that i will get the papers in your name so that the money will be deliver to you so the ball is now in your court ok. Send the money by western union money transfer and get back to me.
Barrister Jeff Briggs Esq.Correo recibido 11 – Experiencia Nigeriano
Comentario:
Pues si que tengo futuro como negociador. Pido 2 millones y me los dan a la primera. Debe ser innato. Creo que voy a subir al despacho de mi jefe a renegociar mi sueldo. También se le nota un poco mosqueado y que quiere acabar con esto cuanto antes. Como era de esperar, solicita el dinero a través de una empresa que no tiene autenticación segura de a quién entrega el dinero.

Fecha: Thu, 14 Sep 2006 01:33:56 -0700 (PDT)
De: "zaiinab hassan"

Salam Brother.
Thanks for your mail and your acceptance, my lawyer contacted me today that he sent you the information to send him the money so contact my lawyer and send him the money by western union money transfer.
I have told my lawyer that you will take 2 million dollars for yourself ok so my lawtyer is already aware that 2 million is for you.
Send the money to him and get back to me.
Mrs Zainab Hassan.Correo recibido 12 – Experiencia Nigeriano
Comentario:
Que si, Zainab, que si. Que ya me he enterado. Te perdono porque estas malita que si no...

Fecha: Thu, 14 Sep 2006 08:02:52 -0500 (CDT)
Para: "jeff briggs & associates"

Hi Barrister Jeff Briggs Esq!
The 2 millions are ok. How does work Western Union? I mean, I go to an office of Western Union, and then?...I pay them the USD150 and they transfer them to you? I have to tell them any data of you (name, any ID, any password, any,..)? How can I know that you have finally received the money? Can I do all that by Internet? Thanks, and we keep the contact.
Best Regards.Correo enviado 11 – Experiencia Nigeriano
Comentario:
Bueno, a lo que vamos. Directamente al tema. Que me explique como funciona eso que se lo quiero mandar ya.

Fecha: Thu, 14 Sep 2006 09:09:51 -0700 (PDT)
De: "jeff briggs & associates"

Dear Sir.
Thanks for your mail which i am responding back to you know. You are required to go to any western union money transfer office in your country and inform them that you want to transfer money to the informatiion below.
Name: Mrs Linda Mousa.
Address: bp 25 abidjan-Cote d ivoire.
Text Question: for who.
Anwser: zainab.
If you do not know about western union contact www.westernunion.com and select your country you will them see their officess in your country then go to their office and send the money ok. Immediately you send the money you will give to me the MTC 10 Digit number to enable my secretry to receive it.
I will be waiting to hear from you.
Barrister Jeff Briggs Esq.Correo recibido 12 – Experiencia Nigeriano
Comentario:
Pues es muy fácil. Voy, doy los datos del receptor, el dinero y en la oficina de la Western Union me dan un código de 10 dígitos que necesita el abogado para poder retirar mis 1500 dólares.

Fecha: Fri, 15 Sep 2006 13:00:09 -0500 (CDT)
Para: "jeff briggs & associates"

Hello Mr Briggs!
I had an idea. Nowadays I have some free days, some extra money, and I really love to travel, so I have thougth in going there with you for doing all these papers and the rest of the things. In that way I can know a new country, an activity that I really love. What do you think about this idea?, Is it good? Will it help to make faster all the papers?,... I will wait for your answer.
Regards.
Correo enviado 12 – Experiencia Nigeriano
Comentario:
Pues lo siguiente era enviar el dinero, así que he tenido que buscar otra salida. A ver por donde sale.

******************************************************************************************
- El Nigeriano por Daniel González (Parte I de III)
- El Nigeriano por Daniel González (Parte II de III)
- El Nigeriano por Daniel González (Parte III de III)
******************************************************************************************

Fraude en Internet: El Nigeriano

Aprovechando que pronto vamos a León, voy a ver si consigo quedar con Daniel González, el compañero que realizo el trabajo sobre “Fraude en Internet” y del que publiqué la parte de “El mulero”. Al pensar en ello me acordé de otras partes del trabajo, así que hoy os dejo la primera parte del timo del Nigeriano,
(lo voy a publicar en tres partes). De nuevo, recomendaros la parte de su experiencia personal, que es una aventura total, y además con su gracia.

Timo del Nigeriano (Parte I de III)

El Nigeriano por Daniel González (Parte I de III)

******************************************************************************************
- El Nigeriano por Daniel González (Parte I de III)
- El Nigeriano por Daniel González (Parte II de III)
- El Nigeriano por Daniel González (Parte III de III)
******************************************************************************************

Como viene siendo habitual, un ejemplo típico y luego las características particulares de este tipo de estafas:

Ejemplo tipo.
Asunto: Propuesta commercial.

Estimado Señor,

Yo soy uno de los hijos del antiguo jefe de estado nigeriano, el general Sani Abacha.
Deseo hacerlo partícipe de un negocio de transferencia de dinero 41.5 millones de dólares.

Tras la muerte de mi padre, mi madre, Mrs Marian Abacha, con la ayuda de oficiales de confianza del Banco Central de Nigeria, pasó de contrabando esta suma de dinero, a través de un diplomático de un país europeo.

Este fondo se depositó en secreto en la bóveda de una compañía financiera que espera la presentación de los detalles de propiedad que incluyen el código de acceso y la factura de transporte vía aérea del diplomático. Los fondos pueden moverse igualmente de Europa a cualquier otro país que mantenga correspondencia con el Banco Central de Nigeria.

Debo decirle, antes de continuar, que desde la muerte de mi padre, el gobierno de mi país ha sometido a nuestra familia a un solitario encierro que es el más traumático castigo que pueda infligirse a cualquiera. Nuestros movimientos se han restringido y todos nuestros documentos de viaje han sido secuestrados. Las cuentas de mi padre y el dinero de nuestra familia en cuentas de bancos locales y extranjeros, han sido confiscados por el actual gobierno, con la ayuda de algunos gobiernos extranjeros donde están depositados estos fondos.

Mi hermano mayor, Mohammed, está enfrentando un juicio, acusado de la muerte de prominentes nigerianos. Esta imputación del gobierno es basado en acusaciones por actos hechos durante el gobierno de mi padre.

Ante el miedo del descubrimiento de este fondo de parte de nuestro gobierno, nosotros estamos solicitando un socio que proporcione una cuenta fiable para el dinero, para cuando podamos viajar fuera de nuestro país.

Estamos de acuerdo en darle a cambio el 30% del total de los fondos, por su ayuda. Eso incluye cualquier gasto en el que usted incurra durante esa transacción, después de su culminación exitosa.

Por favor, note de nuevo que esta transacción es estrictamente confidencial y como tal debe guardarse.

Nos gustaría participar también con nuestro fondo, en algún negocio en conjunto, una vez que hayamos ganado la libertad para viajar fuera del país.

Yo espero sus sugerencias y positiva contestación a través de mi facsímil 234-1759-6535 personal, tel: 234-1775-0661 o mis emails confidenciales (abacha_s_a@hushmail.com).

Suyo fielmente,

Mallam Sadiq Abacha
Ejemplo tipo de Nigeriano

Otros ejemplos.

La otra gran familia de este tipo de timos es el de la ‘lotería’. A la víctima le llega un correo diciendo que le ha tocado mucho (pero mucho) dinero en un sorteo, y para poder cobrarlo tiene que pagar un tanto de gastos de emisión o similar.

¿Cómo reconocerlos?

• El remitente es desconocido y por lo general bastante exótico (africano, sudeste asiático,…).
• Suele llegar en inglés para aumentar sus probabilidades de éxito, y si lo hace en español, suelen tener errores ortográficos y/o gramaticales (para variar).
• Normalmente son correos largos donde se cuenta una película sobre una gran cantidad de dinero que está bloqueada y que necesita la ayuda de alguien ’de fuera’ para poder acceder al dinero. Cuando este dinero sea desbloqueado su liberador será generosamente gratificado.
• Justifican el haber contactado con nosotros porque les ha pasado nuestra dirección una fuente segura que confía en nosotros como candidatos idóneos para desbloquear el dinero. Cuesta creerlo, ¿no?
• Dicen que la fuente de tan gran cantidad de dinero es algún departamento gubernamental o alguna gran compañía que necesitan sacar el dinero de el país, y claro, si un gobierno nos pide ayuda directamente, ¿Quién se puede negar?.
• Piden la máxima discreción en el asunto para que nadie se entere de sus planes y puedan tomar represalias contra ellos.
• El contenido del mensaje es escueto. Sin mucha literatura, nos menciona las grandes ventajas del trabajo. Un correo demasiado largo echaría para atrás a los posibles lectores. En esto es bastante similar a los muleros.
• Al final, como todos, indican un contacto al que dirigirnos para formar parte del negocio.

Proceso

Este timo funciona de esta forma:

1. Se establece un intercambio de llamadas o correos entre el estafador y la víctima para que esta se vaya confiando.
2. Cuando todo parece estar cerrado, surge un problema inesperado que impide que se concluya el negocio. La falta de alguna tasa, licencia o la necesidad de sobornar a algún funcionario son excusas muy recurridas.
3. Para eludir este impedimento se necesita un dinero que se le solicita a la víctima, quien lo recuperará con creces cuando el negocio finalice.
4. Ya está casi todo acabado, y sólo unos cientos de euros separan a la víctima de una cantidad mucho mayor (quizá millones) que se le ha prometido, así que da el dinero para desbloquear la situación.
5. Los pasos del 2 al 4 se repiten cíclicamente mientras la víctima se deje liar y siga dando dinero a los estafadores.

¿Dónde está el fraude?

Como podemos imaginar, no hay millones ocultos ni bloqueados, ni aduanas, ni funcionarios corruptos (bueno, quizá los haya, pero no son objeto de este estudio) ni nada de nada. Y lo que tampoco se va a encontrar es el dinero que la víctima ha ido adelantando a los estafadores. De este dinero, que si es real, nunca más se supo.

Experiencia personal.

Este caso está en inglés y no voy a hacer la traducción escrita, lo siento. Cada uno que entienda lo que pueda. Lo que si haré serán los comentarios tras cada correo, por si pueden aportar algo.

Fecha: Tue, 1 Aug 2006 14:41:51 +0200 (CEST)
Asunto: FROM ZAINAB HASSAN PLEASE DEAREST HELP ME

DEAREST ONE,
I am MRS ZAINAB HASSAN from Libya. I am married to Late Mallam ALI HASSAN of blessed memory who is an oil explorer in Libya and Kuwait for twelve years before he died in the year2000.We were married for twelve years without a child.
He died after a brief illness that lasted for only four days.
Before his death we were both devoted Muslims. Since his death I too have been battling with both Cancer and fibroid problems.
When my late Husband was alive he deposited the sum of $15.5million (Fifteen Million, Five Hundred thousand U.S Dollars) with a security company in overseas.
Recently,my doctor told me that I have only six months to live due to cancer problem. Though what disturbs me most is my stroke sickness.
Having known my condition I decided to donate this fund to either a Moslem organization or devoted Muslimindividual that will utilize thismoney the way I am going to instructs herein.
I want this Muslim organization or individual to use this money in all sincerity to fund mosques, orphanages, widows, and also propagating the word of ALLAH and to ensure that the society upholds the views and belief of the Holy Quran. The Holy Quran emphasizes so much on ALLAH'S benevolence and this has encourage me to take the bold step.
I took this decision because I don't have any child that will inherit this money and my husband relatives are new Christian's converts and I don't want a situation where this money will be used in an Unholy manner.
Hence the reasons for this bold decision. I know that after death I will be with ALLAH the most beneficent and the most merciful.
I don't need any telephone communication in this regard because of my health, because of the presence of my husband's relatives around me always. I don't want them to know about this development. With ALLAH all things are possible.
As soon as I receive your reply I shall give you the contact information of the security company and the country in oversea where the money was deposited.
I will also issue a letter of authority to the security company authorizing them that the said fund Have being willed to you and a copy of such authorization will be forwarded to you.
I want you and the Muslim community where youreside to always pray for me.
My happiness is that I lived a true devoted Muslims worthy of emulation.
Whoever that wants to serve ALLAH must serve him in truth and in fairness.
Please always be prayerful all through your life.
Any delay in your reply will give room in sourcing for a Muslim organization or a devoted Muslim for this same purpose.
Until I hear from you, my dreams will rest squarely on your shoulders.
May the Almighty ALLAH continue to guide and protect you.
Regards,
MRS ZAINAB HASSAN
Correo recibido 1 – Experiencia Nigeriano

Comentario:

En resumen. Es una musulmana extremista y moribunda que tiene acceso a un dinero guardado por su difunto marido en un país lejano y no quiere que lo cojan sus parientes cristianos. Quiere que sea yo quien coja el dinero y lo emplee para hacer difundir el Corán y hacer obras benéficas dirigidas a los musulmanes… ¡uf!, cuanta responsabilidad.

Fecha: Tue, 1 Aug 2006 08:12:27 -0500 (CDT)

Hi Zainab!
What can I do for you?.
Best regards.
Correo enviado 1 – Experiencia Nigeriano

Comentario:

Un mensaje breve, conciso y directo,… la inspiración en inglés no me dio para más en ese momento.

******************************************************************************************
- El Nigeriano por Daniel González (Parte I de III)
- El Nigeriano por Daniel González (Parte II de III)
- El Nigeriano por Daniel González (Parte III de III)
******************************************************************************************

Nacio el "malor"

Estando en Pamplona la camiseta que ruló fue la ya famosa T-Shirt de Spectra y allí mismo, después de ya 5 conferencias “juntos pero no revueltos” y compartir cam.. digo.. habitación en el hotel de Orcoyen, como os digo, fue allí dónde el amigo “pajarraco” de los Santos, de Hispasec Sistemas, cayó al lado del mal.

En la Universidad de Navarra juntitos
- Suscribiros a Una-al-día que la escribo yo y da información veraz, no como la sarta de mentiras que pone éste en su blog

...decía con los ojos acarameladitos, mientras me dedicaba sonrisas y mimos a mi espalda, como mi fiel escudero. A lo mejor las comilonas y las copas que llevamos encima estas dos semanas han doblegado su higado "independiente" :P

Y ahora, mientras los que venís a leer este blog a diario y lo leéis calentito como el pan, ahora, mientras “disfrutáis” de su lectura, yo estaré en un tren camino de Valencia, donde me espera “pajarraco” de los Santos, el abuelo, los Victors de GFI y Dani kachakil, ganador del II Reto Hacking de "El Lado del Mal", para que le entregue su caricatura (je,je, esperemos que le guste!), y así juntarnos todos en una orgía de am.. digo de "malor".

Aps, y sed buenos, suscribiros a “Una-al-día”, usad “VirusTotal” para comprobar los virus y bajaros el "Virus Total Uploader" para enviar los virus a virustotal de forma cómoda desde el blog del laboratorio, que todos esos servicios son gratuitos.

Después de sus primeras horas en el lado del mal
Y aún nos queda Murcia, Vigo, León y los Security & Management Days en Madrid y Barcelona. ¡pero qué bonito!

I just call to say …

Ayer fue un día divertido en Pamplona, tome potes la noche antes, compré comics y libros de Star wars, nos divertimos en la sesión de la mañana, me regalaron camisetas de Spectra, la comida fue el festival del humor con los 11 que nos juntamos y por la tarde di una sesión en la Universidad con de los Santos (que ya casi somos pareja que hasta compartimos habitación en el hotel) y Kike pezmuntant.

La charla de la tarde fue sobre Test de Intrusión y he de reconocer que es una de las que más me gusta hacer. En ella, cuando llego a la parte de Footprinting me lo paso teta, porque puedes saber mucho de la gente.

Una de las bromuelas prefiridas es ver que info deja la gente en el Whois de los dominios. Es una tontería, … pero muy divertida. Y siempre tengo ganas de llamar a esos de krip cities o krip villages o algo así al móvil para decirle:

- Venga tío, un poco de libertad, no nos censures los comentarios, ¡qué tú eres un experto, coño!.

O un simple:

- I just call to say .... I Love You!

... como dice la canción, pero no me atrevo, me da vergüenza, soy un timidón en el fondo.

Pero si alguien quiere, os dejo su teléfono móvil... ¿o no?

Consulas WHOIS

Hay mucha gente que deja su dirección personal para recibir flores y regalos.

Otra de las pruebas que hago siempre es mirar quien tiene creado el registro SPF en los servidores DNS para los filtros de SenderID. Dicho registro se comprueba para ver si un correo del dominio @micasa.com ha salido de la IP de uno de los servidores autorizados por el DNS del dominio @micasa.com. Se usa para detectar SPoofing de correo electrónico. No es una garantía 100 % pero funciona bien y además, si esta creado en los DNS ayuda a que los valores de Spam de los correos, los SCL (Spam Confidence Level) bajen en los filtros eurísticos tipo IMF (Intelligent Message Filter). Ver quien tiene creado te ayuda a saber si alguien sabe un pelín de seguridad o es un bocas o ha tenido un "descuidillo".

Para los que no lo tengáis muy claro, yo escribí un artículo sobre esto hace ya casi tres años que he recuperado y he puesto en este otro post.

Ese valor de registro lo tiene Microsoft.com, redhat.com, Linux.org, fsf.org, s21sec.com, hispasec.com, …. Vamos, casi cualquier que esté un pelín preocupado por la seguridad de su infraestructura. Además, ver a tantos y tan distintos tan deacuerdo en algo será por alguna razón, ¿no? y ¿a qué no adivinas quién no lo tiene?

Tienes el wizard para preguntar aquí:

Consultas SPF

Saludos malignos!!!

Sender ID

Artículo del 15 de Septiembre de 2004.
Publicado originalmente en Informatica64

El correo Spam es considerado hoy en día una autentica pandemia en Internet. Esta afirmación refleja una realidad admitida por todos y recoge un auténtico reto para la comunidad técnica. El número de mensajes que es enviado por virus-gusanos, campañas de marketing y publicidad ilegales, etc..., es superior al número de mensajes de correo "útiles". Estudios como Spam Survey II realizado por la empresa Sybari ( www.sybari.com ) recoge que sus clientes estiman el coste producido por el correo Spam en 301 € anuales por empleado.

Los mecanismos de defensa que se han empleado para evitar el "correo basura" son muchos y muy variados. Pero, desgraciadamente, las técnicas utilizadas por los spammers cambian y evolucionan permanentemente, para poder evitarlos.

Inicialmente se utilizaron filtros estáticos basados en la dirección de correo del emisor. Pero, evidentemente, en la gran mayoría de las ocasiones cuando se realiza un envío de correo Spam la dirección suele ser falsa. En estos territorios nadie es quien dice ser. Para poder bloquear una dirección de correo de un spammer es necesario garantizar que se está bloqueando la dirección correcta y no la de un usuario que no tiene nada que ver. Es decir, garantizar el No Repudio . Para poder asegurar que el bloqueo de una dirección de correo es correcto, debería haberse enviado el mensaje firmado, y lógicamente, no es algo a lo que acostumbren virus-gusanos y spammers.

Otra opción utilizada es la de bloquear la dirección IP de los servidores que envían masivamente correos Spam. Se mantienen en bases de datos DNS listas de servidores de correo a bloquear llamadas Realtime Blackhole Lists (RBL) . Los servidores de correo antes de recibir mensajes comprueban la dirección IP de origen contra una o varias RBLs, decidiendo si admiten o no dichos correos. Para evitar estos sistemas de protección, los hackers utilizan direcciones IP usurpadas o servidores de correo mal configurados (Open Relay) , lo que puede llevar a bloquear los servicios de usuarios y empresas que nada tienen que ver con los spammers.

La lista de mecanismos antispam es muy larga como la tecnología fingerprinting , Smartscreen utilizada en IMF (Intelligent Message Filter) , los filtros bayesianos , etc..., pero he mencionado las dos anteriores porque la nueva tecnología, Sender ID , que analizamos en el presente artículo, tiene que ver con ambas.

Para ayudar a mitigar la incidencia del correo Spam Microsoft ha mejorado todos los mecanismos antispam en Ms Exchange Server 2003 , pero es necesario un trabajo coordinado de toda la comunidad técnica para poder atajar el problema.

Microsoft presentó, el 13 de Febrero de 2004, la " Iniciativa Coordinada de Reducción de Correo Electrónico No Deseado" (CSRI) , en la que se presentaba una tecnología llamada Caller ID , que ofrecía una nueva herramienta para poder detectar correos enviados mediante técnicas de spoofing (suplantación).

Existían en el mercado alguna iniciativa que tenía el mismo objetivo, como por ejemplo SPF (Sender Policy Framework) de Meng Wong ( http://spf.pobox.com/ ) que incluso contaba con alguna implementación para Windows ( http://www.michaelbrumm.com ), o Submitter Optimization . Aunando estas tres iniciativas se presenta Sender ID al Internet Engineering Task Force (IETF) para desarrollar un estándar.

El objetivo de Sender ID es detectar que mensajes están siendo enviados desde servidores de correo que no corresponden con el dominio del remitente. La idea es sencilla; si recibimos un correo del dominio Informatica64.com su procedencia no puede ser otra que la de uno de sus servidores. Para identificar el conjunto de servidores de correo válidos, se dan de alta las direcciones IP de éstos en registros SPF dentro del servidor DNS que almacena los datos del dominio Informatica64.com.

Si el correo procede de un remitente que dice pertenecer al dominio Informatica64.com, pero la dirección IP del servidor origen no está dada de alta en los registros SPF del dominio, la conclusión es clara. Se trata de un correo con dirección de remitente suplantada y susceptible de ser falso, proceder de un virus gusano, o ser correo no deseado.

Si por el contrario, la procedencia del mensaje es de un servidor de correo presente en el registro SPF del dominio se trata de un correo no suplantado. A partir de este momento podemos filtrar por la dirección de remitente o la dirección IP del servidor de correo, sin riesgos de bloquear direcciones de correo erróneas o servidores no culpables.

El funcionamiento del filtro es el siguiente:


1.- El emisor envía el correo desde su servidor de correo entrante.

2.- El servidor de correo entrante de nuestra organización recibe el correo.

3.- El servidor de correo entrante de nuestra organización consulta los registros SPF del servidor DNS de la organización del supuesto remitente para comprobar que contiene la dirección IP desde la que se ha recibido el mensaje de correo.

4.- Si la dirección IP está en los registros SPF entonces será un correo autenticado. De lo contrario, es un correo falso.
Más información sobre este articulo en las siguientes direcciones Web:

- Sender ID:
http://www.microsoft.com/mscorp/twc/privacy/spam_senderid.mspx

- CSRI: http://www.microsoft.com/latam/twc/privacy/spam_csri.mspx

¿Cual es tu horoscopo?

Dicen que es fácil saber cual es tu edad mirando tus signos en los horóscopos. Yo soy un Conejo Géminis. Ya sabéis la edad que tengo. Ahora se crea otra forma de adivinar la edad, podríamos decir:

Soy un Conejo nacido en el mes anterior al “Mes de los Fallos de los Navegadores”. Mi papi, por ejemplo nació en el “Mes de los fallos de MySpace”. Mi santo es en el “Mes de los fallos de PHP” y los niños pueden preguntar:

- ¿Cuándo vienen los reyes magos mama?
- En el Mes de los Fallos de Apple hijo.

Franco murió en el Mes de los fallos de los Kernels y dentro de poco tendremos rebajas especiales de los centros comerciales en la Semana (cancelada) de los fallos de Oracle Database o la Semana Bromista de los fallos de Windows Vista.

Ahora también tenemos otro nombre cogido para el mes del día de la Madre, el día del trabajo, El Mes de los Fallos de ActiveX.

Hagamos el calendario para los horóscopos, ya sabéis que sirve para ligar. Llegas a una chica y te dice:

- ¿Cuál es tu horóscopo?
- Soy del Mes de los Fallos de Apple

Y automáticamente te vas a comer una maño.

En fin.

Tabla de Horoscopos
-------------------

- Enero: Mes de los Fallos de Apple
- Febrero:
- Marzo: Mes de los Fallos de PHP
- Abril: Mes de los Fallos de MySpace
- Mayo: Mes de los Fallos de ActiveX
- Junio:
- Julio: Mes de los Fallos de los Browser
- Agosto:
- Septiembre:
- Octubre:
- Noviembre: Mes de los Fallos de los Kernels
- Diciembre:

Aun quedan meses para este horoscopo. ¿Quién se anima?

Cuestionario OpenSuse

Hola holita,

hace mucho que no discutimos, ¿no?. Venga, un poco de guerra. ;)

Durante tres meses Novell ha realizado un cuestionario sobre Linux y OpenSuse a más de 27.000 personas. Algunos de los resultados curiosos:

1.- Solo el 2 % eran mujeres.

[maligno mode]
Yo creo que esto va a ser razón más que suficiente para pensarse dos veces el tema de elegir la comunidad adecuada. En otro orden de cosas había que pensarse como sólo un 2% son mujeres en ese target. ¿No estaremos teniendo un Linux machista?
[/maligno mode]

2.- De la propiedades de Precio, Cantidad y selección de Software, Documentación, Servicios de Soporte, facilidad de servicio, facilidad de Instalación, Usabilidad, Estabilidad, Seguridad, soporte de Hardware y soporte Multimedia lo que peor han valorado han sido el soporte multimedia y los servicios de soporte.

[maligno mode]
Pues si los servicios de soporte de OpenSuse son de lo que peor valoran….
[/maligno mode]

3.-¿Qué entorno gráfico usas?

KDE el 71.8 % versus Gnome 22,4 %, xfce 1,2 %, consola 1,9 % y “otros” 2.7 %

[maligno mode]
Mu bonitos los interfaces en 3D y esas cositas pero justo lo que necesito para administrar las Asociaciones de Seguridad en IPSec es que la ventana vibre como un flan.
[/maligno mode]

4.- ¿Tienes arranque dual con Windows?

Sí 69,5

[maligno mode]
No comment.
[/maligno mode]

5.- ¿Cuál es tu profesión?


[maligno mode]
¿Necesitas que haga algún comentario de esto?
[/maligno mode]

Descargate el informe completo de la siguiente URL:

Informe Cuestionario OpenSuse

Momentus Ridiculous II

Fue como amor a primera vista cuando nos encontramos en el Teched 2004 en Ámsterdam, así que fue cuestión de tiempo que nos acabáramos animando a hacer alguna charlita juntos. Antes habíamos hecho otra que ya os pondré por aquí, pero para la segunda que hicimos juntos no hubo piedad (con nuestras imágenes públicas).

Mayo 2005 MPV Open Day

Esta fue la entrada en la sesión:



Y estas fueron algunas fotos de "estudio":

Foto para la Portada de "Batman & Chico Maravillas Team UP"
Posado para el calendario de la revista Ragazzo sobre "Los Heroes más sexi-modosos". La títulamos El Trio del Amorrr
El éxito de esto fue “tal” que al final las fotitos se han hecho “famositas” (nunca debimos hacerlas públicas) y así apareció en la revista Sie7e, en la campaña de pulicidad del MVP Summit y ahora la veo en un blog, con una historia totalmente inventada, en la que curiosamente sale también un tal “Sauron”.

En fin, si es que el estar alto en el “imagerank” ¡es un handicap!

Eventos de Seguridad Informática Mayo 2007

Hola a todos,

Ya sabéis que estamos acabando la Gira de Seguridad durante estas dos semanas en las que vamos a estar en Zaragoza, Pamplona, en la Universidad de Pamplona, Valencia, Murcia, Vigo y León. [Teneis todos los links de registro a la derecha en eventos].

Después vendrá la semana del Security & Management Day donde se dará carpetazo este año a los eventos de seguridad el día 22 en Barcelona y el día 24 en Madrid.

En los eventos de Seguridad, como sabéis participan Hispasec con una charla divertidisima de Sergio de los Santos, GFI con las demostraciones por parte de Victor y Spectra con el Abuelo.

Después vendrá el 2 y 3 de Junio, el primer fin de semana de Junio en Huelva, la Codecamp, dónde el Chico Maravillas y yo seguramente nos embucharemos otra vergonzante actuación para los Momentus Ridiculous.

La semana del 15 de Mayo haremos público el III Reto Hacking, con tres partes en las que vais a tener que estudiar un poco. De nuevo os avanzo que no son cosas raras, son técnicas comunes y documentadas, pero será un Triatlón con 3 disciplinas. Os pondré algunos posts con referencias. Y ya veremos los premios… tal vez me estire.

Mientras, para el que se aburra, en el Julio de 2006, aprovechando el último Security Day (2006), Fernando Jofre, un gran periodista y encantadora persona me hizo una entrevista. Nos salimos grabadora en mano y luego se publico en Windows TI Magazine donde Carles y Aurora consiguieron uno de mis sueños, tener una caricatura de Vizcarra. Como ahora no está publica en la web de la revista porque la están remodelando, os la pongo integra aquí (por si os aburrís).

¡Maligno fin de semana a todos!

Entrevista en Windows TI Magazine

**************************************************
Publicada en Windows TI Magazine 110. Junio 2006
**************************************************

Seguridad Windows vs. Linux
Desmontando algunos mitos

Chema Alonso, ponente habitual en las sesiones para la comunidad técnica de Microsoft, destaca el importante papel de las herramientas de gestión de la seguridad cuando Windows y Linux tienen que verse las caras en los entornos empresariales.

José María Alonso es –además de Ingeniero Técnico en Informática de Sistemas por la Universidad Politécnica de Madrid y Director Técnico de Informática 64–, MVP en Windows Security de Microsoft (Most Valuable Professional, o Profesional Más Valioso), una reducida lista.

Desde la compañía en la que trabaja centra su atención en distintos aspectos de la seguridad como pueden ser implantaciones, auditorias, formación, test de intrusión y técnicas de hacking ético. Su actividad también incluye ponencias en seminarios organizados por Microsoft para su comunidad técnica, al tiempo que comparte sus conocimientos en los Hands On Lab que Microsoft realiza por toda la geografía española. Y todavía tiene tiempo para contar sus experiencias en materia de seguridad en su propio blog [http://elladodelmal.blogspot.com/].

Aprovechando su estancia en el último Microsoft Security Day el pasado mes de mayo, le abordamos en uno de los descansos para conocer sus impresiones y tomar el pulso a la seguridad de las tecnologías Microsoft.

“Lo de ser MVP es un premio que te dan cada año –yo lo soy en seguridad desde hace dos años–, y lo que hacemos es contestar y ayudar a la gente en los foros. Mi perfil es un poco distinto, porque además doy conferencias gratuitamente en distintas universidades, congresos y en definitiva, comparto mis ideas con quien tenga interés por estos temas. Intento mostrar a la gente los problemas de la seguridad con técnicas reales: en qué consiste el ataque, cómo se realiza y cómo debe protegerse el sistema”, comienza diciéndonos Chema Alonso.

Uno de los frentes de batalla en los que este experto en seguridad se mueve como pez en el agua es en el de la frecuente comparativa entre la oferta del software libre y el software propietario o de modelo de distribución comercial. Suele estar pendiente, por ello, de lo que se publica internacionalmente. “Me achacan –dice– que me haya cambiado incomprensiblemente de banquillo. Hay gente que le gusta mi discurso en lo que respecta al Software Libre y a otros les disgusta. Y no es porque yo esté en contra del Software Libre, pero si que hay ciertos mitos en la seguridad que ayudan a que se hackeen los sistemas: el mito de que a mí no me van a atacar, o el pensar que porque tengas una tecnología en concreto estás a salvo”, cuenta Alonso. A su juicio, hoy por hoy se atacan todas las tecnologías, todos los sistemas y todas las plataformas.

PUBLICACIÓN DEL CÓDIGO FUENTE Y LA SEGURIDAD

Existe en la actualidad una corriente de opinión que piensa que publicar el código fuente ayuda a la seguridad. Chema Alonso no comparte esta idea. “El hecho de publicar el código fuente no es en sí una medida de seguridad, porque el hecho de securizar código en sentido práctico se realiza con herramientas automáticas. Teniendo en cuenta la cantidad de líneas de código de un programa es imposible que alguien revise todo eso a no ser que sea un grupo encargado del tema. Además, los fallos pueden depender del compilador, del linkador, etc.”. Esta reflexión, piensa Alonso, no tiene nada que ver con ser partidario o no de Microsoft.

Lo que sí valora muy positivamente nuestro interlocutor es la metodología para evaluación de la seguridad que aplica internamente la compañía: “Cuando en un producto de Microsoft aparece un fallo de seguridad en una porción de código concreta, se analiza internamente ese fallo y se genera un patrón, de tal manera que ese patrón retroalimenta las herramientas automáticas de auditoría de código. A partir de ese momento, se hace un escaneo con los nuevos patrones y es posible que aparezcan más”. Estableciendo el paralelismo, “con el código abierto, si tú no has hecho esta auditoría o no tienes un sistema muy depurado basado en herramientas automáticas, puede pasar que alguien encuentre un patrón y lo aplique o no para la depuración del resto del código”.

En cualquier caso, hace años–concretamente en 1998– apareció un proyecto conocido como LSAP (Linux Security Auditor Project) y más tarde Sardonix para aglutinar a los profesionales de la seguridad en búsqueda de agujeros de seguridad en Linux y no funcionó, porque tal y como él nos recuerda, los participantes estaban más preocupados por figurar en el hall of the fame publicando sus descubrimientos en mailing lists que en documentar y hacer comunidad de una forma responsable.

Tal y como dijo Crispin Cowan en su momento (conocido por su colaboración en WireX Communications y cofundador de Sardonix), “la promesa de Open Source es que permite que muchos ojos revisen el código, pero en la práctica esto no sucede”. El testigo lo ha tomado ahora el gobierno norteamericano financiando el proyecto “Bug Hunting”, con el que se pretende inspeccionar los principales proyectos de software libre. De este trabajo, encargado a la empresa Coverity, ya se han publicado los primeros resultados [http://www.washingtontechnology.com/news/1_1/homeland/28134-1.html], encontrándose una media de 1,5 fallos por cada 1.000 líneas de código, mientras que solamente en el kernel de Linux han aparecido 841 fallos. “¿Quiere eso decir que son peores? No, simplemente revela que no se sacan los fallos con sólo poder mirarlos. Si no lo conoces, no sabes lo que es”.

¿QUÉ PREOCUPA A LAS EMPRESAS?

Las empresas están preocupadas por la seguridad, pero las inversiones no llegan. Así lo percibe Chema Alonso en su actividad profesional dentro de Informática 64. “En la seguridad informática empresarial se producen dos paradojas: una de ellas es que se invierte mucho dinero para no comprar nada. Por otro lado, cuando se ponen medidas la organización se vuelve más inflexible: más medidas de protección, más comprobaciones... y cumplir con la seguridad exige recursos, técnicas de formación, gestión, monitorización, innovación, etc. Tenemos la sensación de que los sistemas no están bien protegidos. Además, existe el falso mito de que el departamento de seguridad debe estar formado por un equipo enorme y no tiene por qué ser así. Debe ser un equipo que funcione bien y conseguir que la seguridad forme parte del pensamiento del día a día de la empresa”. Como primera actuación, Chema Alonso recomienda buscar un buen asesoramiento especializado en securización de sistemas, que sea capaz de analizar los requisitos de una empresa. “Y si es interno, mejor que mejor”, afirma.

A partir de ahí, la sugerencia es formar un equipo interno bien formado, que aplique la seguridad de forma gradual y construya un ciclo de vida de la seguridad. En primer lugar, poniendo una política compleja de contraseñas. En segundo, instalando un sistema de gestión de actualizaciones de seguridad. En tercero, haciendo una segmentación física de la red. En cuanto a la posibilidad de externalizar, Chema Alonso, considera que hay cosas que se pueden externalizar y otras no. En el primer caso cita las actividades relacionadas con el establecimiento de sistemas de auditoría perimetral, la mejoría de los diseños de la red o el mantenimiento. ”Pero los servicios core internos de la empresa sí es importante que los siga llevando la propia empresa. Por este motivo, un modelo mixto es quizá la mejor solución, liberando tareas que pueden ser automatizadas externamente”, insiste.

MICROSOFT Y LOS ANTIVIRUS

En cuanto a la seguridad ligada a los productos y tecnologías antivirus, el futuro pasa por tener una solución multinivel, multicapa y multimotor. “Cuantos más laboratorios haya trabajando para detectar un virus u otro malware mejor que mejor. Depender de un único laboratorio (sea Panda, Kaspersky, Norton, TrendMicro, McAfee o cualquier otro) siempre lo hemos considerado como un fallo de seguridad, al igual que lo es poner dos firewall iguales exactamente seguidos. Más que nada porque si uno cae el segundo va detrás”, asegura Alonso. Está convencido de que cuando Microsoft comercialice OneCare Live, un servicio de pago integral de seguridad frente a virus, spyware, malware e intrusiones, se convertirá en otra alternativa, aunque desconoce cómo va a funcionar comercialmente. “No lo tengo muy claro, pero creo que te vas a poder suscribir a varios motores, de tal manera que son Antivirus como servicio, al igual que en Antigen tenemos nueve motores”.

En cuanto a la rapidez de respuesta de Microsoft ante un asunto relacionado con la seguridad, Alonso comenta que “a veces se acusa a Microsoft de ser lenta, pero en temas como rootkit, spyware, adware, etc., las compañías de antivirus han sido por lo general lentas”. Para nuestro interlocutor, la demanda de soluciones ante el malware ha generado un mercado muy grande que las compañías de software de seguridad no han sabido coger a tiempo. Y es que el problema reside en que estos ataques no funcionaban igual que los antivirus. “Los motores de antivirus estaban acostumbrados a capturar un fichero y pasarlo por un motor de firmas y ya está. Y cuando esto lo quieres implantar en un sistema de correo con escaneo en memoria hay que cambiar la arquitectura. Y temas como el spyware o el adware no se pueden mirar por una firma, hay que observar el comportamiento. Igual que con el tema de los rootkit. Y no veo ninguna producto comercial que sea una solución 100% efectiva”, continúa Alonso.

HERRAMIENTAS DE GESTIÓN

Muchas son las vulnerabilidades que se descubren relacionadas con productos Microsoft, que son publicadas periódicamente por la compañía en boletines de seguridad gratuitos, a los que es muy recomendable suscribirse. Y los ataques contra la seguridad se han diversificado mucho en los últimos tiempos. Chema Alonso ve muy positiva la puesta en marcha por parte de Microsoft del programa Informática de Confianza (Trustworthy Computing). “Los temas de seguridad se están abordando muy bien y las conferencias de hackers ya lo están reconociendo. En el mundo Linux hay proyectos mejor estructurados que otros, con un mejor ciclo de vida o mejor ingeniería. Por ejemplo, Apache, que a pesar de ser muy seguro, no llega todavía a los niveles de Internet Information Server 6.0, que con tres años de vida ha puesto el listón muy alto en seguridad”.

Para el Director Técnico de Informática 64, el punto vulnerable de una empresa cuando se habla de proyectos de seguridad Open Source está en las herramientas de gestión de la seguridad. “Una compañía no puede estar pensando en todos los proyectos de Open Source que tiene instalados, perder el tiempo investigando si se ha publicado algún parche de seguridad crítico para instalarlo, planificar la fase de pruebas y tras superarla, proceder a la distribución”. En este sentido para Alonso la política de Microsoft de gestión de actualizaciones es perfecta, y con ella se demuestra que han aprendido mucho de sus anteriores etapas. Destaca entre otras tecnologías la aplicada en la herramienta MBSA v2.0 (Microsoft Baseline Security Analyzer) y la recientemente presentada Windows Server Update Services (WSUS), que permite a las organizaciones automatizar el proceso de gestión de actualizaciones a la vez que reduce el tiempo, esfuerzo, costes y riesgos vinculados con esta tarea.

Otra piedra angular diferenciadora es la gestión centralizada que permite el Directorio Activo. Entre ellas, afirma, “gestionar todos los desktop, auditar la seguridad, el firewall, el navegador.. poder simplemente restringir las capacidades del navegador para afianzar la seguridad”. Y cita un sencillo ejemplo: “Me hablan mucho de Firefox, pero con Microsoft puedo decidir de un plumazo que mis 3.000 usuarios no puedan ejecutar un control ActiveX. Con Firefox eso es inviable, porque cada uno se lo configura con una página web en local”.

Ordenes de Seguridad para Bloggers Militares

Cuando se va a realizar un test de intrusión hay que recoger información del objetivo. ¿Qué nos interesa? TODO. Toda información que se pueda conseguir es útil, siento decir esto pero hasta la información sobre las personas que operan y o trabajan en la empresa directa o indirectamente con los sistemas es útil y para ello la primera fase es la que se llama Footprinting o recogida de información pública usando herramientas gratuitas.

Eso en los sistemas informáticos está bien, pero, ¿y si estamos hablando de un ejercito de verdad? Pues parece que igual. El ejercito americano, pionero en decisiones singulares, ha sacado una nueva regulación para las comunicaciones por Internet mediante Blogging, comentarios en foros públicos y correos electrónicos.

“Operations security is more important now than it has ever been. The U.S. faces cunning and ruthless adversaries fighting asymmetrically to avoid our strengths. The first step for them to inflict harm is to gather information about us. They are exploiting the openness and freedoms of our society by aggressively reading and collecting material that is needlessly exposed to them. Good OPSEC practices can prevent these compromises and allow us to maintain essential secrecy about our operations.”

Dentro de un reglamento de 79 páginas de Operations Security (OPSEC) en la página 12 dice:

"g. Consult with their immediate supervisor and their OPSEC Officer for an OPSEC review prior to publishing or posting information in a public forum.

(1) This includes, but is not limited to letters, resumes, articles for publication, electronic mail (e-mail), Web site postings, web log (blog) postings, discussion in Internet information forums, discussion in Internet message boards or other forms of dissemination or documentation.
(2) Supervisors will advise personnel to ensure that sensitive and critical information is not to be disclosed. Each unit or organization’s OPSEC Officer will advise supervisors on means to prevent the disclosure of sensitive and critical information."

Desde luego, con el volumen de posts y correos electrónicos que se escriben diariamente las alternativas van a ser dos: O la oficina tiene leyendo 24x7 a un equipo de oficiales, o alguien va a tener que dejar de postear y tener blogs.

Además se pide limpiar todo la información de Internet de forma rutinaria.

"Conduct routine checks of web sites on the World Wide Web for disclosure of critical and/or sensitive information that is deemed a potential OPSEC compromise. Web sites include, but are not limited to, Family Readiness Group pages, unofficial Army web sites, Soldiers’ web logs (blogs), and personal published or unpublished works related to the Army."

- El nuevo reglamento lo tienes en la siguiente URL: Reglamento

- Lee más sobre esta noticia en Wired.

La Prueba de Esto

No hay más que leer el blog del Abuelo, para darnos cuenta de que esto debía prohibirse también en los blogs de empresas, pues… ¿a que viene revelar tan cantidad de intimidades personales? Lo cierto es que si nos dedicamos a usar Internet para recoger información se puede ver realmente en que consisten los eventos de evangelización que dicho blogger realiza en Galicia.

Test de Intrusión Completo

Hola a todos,

ya he terminado de publicar todas las partes de los tres artículos que se publicaron en la revista PCWorld en los meses de Febrero, Marzo y Abril de 2007 sobre Test de Intrusión. En la siguiente lista tenéis los links directos a todas las partes.

En el mes de Mayo (PCWorld Mayo 2007) decidí continuar con esta serie en la revista pero dedicándolo a los Test de Intrusión Web, así que en Junio tendréis aquí el artículo.

- Test de Intrusión I de VI
- Test de Intrusión II de VI
- Test de Intrusión III de VI
- Test de Intrusión IV de VI
- Test de Intrusión V de VI
- Test de Intrusión VI de VI

Saludos Malignos!

Test de Intrusión (VI de VI)

****************************************************************************************
Artículo Publicado en PCWorld Abril 2007
- Test de intrusión [I de VI]
- Test de intrusión [II de VI]
- Test de intrusión [III de VI]
- Test de intrusión [IV de VI]
- Test de intrusión [V de VI]
- Test de intrusión [VI de VI]
****************************************************************************************

Realización de una auditoría con Tenable Nessus 3

Tras haber descargado, activada e instalado el producto lo primero que tenemos que hacer es actualizar la base de datos de plugins del producto. Si es la primera vez que lo arrancamos lo preguntará él mismo, si no, tenemos una herramienta para invocar la actualización en cualquier momento. Después configuramos el servidor, eligiendo la dirección IP y el puerto por el que va a escuchar el servicio de Nessus. Eventualmente, para conexiones remotas, deberíamos generar la lista de usuarios a los que se les permite la conexión con este servidor.

Imagen: Gestión de usuarios en Nessus
Una vez creados los usuarios tendremos que crear las políticas de auditoría ajustadas a nuestros entornos, para ello arrancamos la herramienta de Scanner de Vulnerabilidad y se selecciona la opción de “Manage Policies” y se crea una nueva. Una vez creada tendremos dos opciones de configuración principal. En primer lugar deberemos seleccionar las opciones de configuración generales de la política. En esa lista se configurará, en primera instancia si es una política Segura o no. Si decidimos que la política sea segura ya no se lanzará ningún plugin que pueda dañar el servicio. Además, es importante configurar en estas opciones las propiedades de las credenciales a utilizar, la carga que se va a realizar del servidor y las opciones especificas de rutas, ubicaciones y características que se conozcan del servidor para poder afinar el uso de los plugins. Es aquí donde se nota la destreza o no de un buen auditor de seguridad.

Imagen: Gestión de políticas
Imagen: Configuración de Settings de una política
La otra parte a afinar son directamente los plugins, para ello, cuando creamos una política deberemos elegir que es lo que queremos buscar. No tiene sentido realizar búsqueda de fallos locales en Gentoo, cuando estamos auditando en remoto un Windows Server 2003 R2. Para facilitar esta gestión todos los plugins están agrupados en categorías y podremos añadir o quitar categorías o directamente plugins. La ejecución de muchos de los plugins se realizará teniendo en cuenta las configuraciones definidas previamente en la política.

Imagen: Configuración de Plugins
De todos y cada uno de los plugins que acompañan Nessus hay una ficha de información accesible en el programa y que se mantiene online en el sitio web de la compañía. Con simplemente hacer clic sobre el plugin podremos saber que es lo que mira, cual es el factor de riesgo y si el plugin puede afectar o no a nuestro servidor.

Imagen: Información de un Plugin
Una vez definida las políticas de auditoría podemos proceder ya a realizar el escaneo del servidor. Para ello seleccionamos comenzar una tarea de escaneo, elegimos la política y el motor Nessus desde el que deseamos que se realice, no hay que olvidar que la arquitectura de Nessus es cliente/servidor, gracias a lo que podremos configurar múltiples auditorías desde múltiples servidores.

El proceso completo se puede ver en la imagen siguiente:
Imagen: Proceso de Escaneo
Informe de Auditoría

Ahora a recibir los deberes. Cada vez que se termina un escaneo Nessus genera un informe de auditoría completo que se almacena en un fichero xml. Dicho informe permite que se realicen diferentes visualizaciones del mismo para reflejar la información que ha sacado el escaner. En los informes se podrá ver desde los datos que son puramente informativos hasta la información que es sustancialmente importante para la seguridad y debe ser corregida.

Imagen: Informe de auditoría
Vale, una vez que tienes el informe ¿qué se debe hacer? Bien, en un test de intrusión completo de una compañía se evalúan todas las vulnerabilidades intentando llegar al final, es decir, sí con un exploit se puede conseguir el control de un equipo de la organización, pues seguir adelante para ver hasta que nivel de riesgo se estaría en un caso de una vulnerabilidad similar y realizar un test de intrusión del sistema completo. Esto permitirá descubrir fallos en la política de seguridad de la red.

Si lo que queremos es simplemente corregir el servidor entonces deberemos seguir las recomendaciones para la solución de cada uno de los fallos, estas las vamos a encontrar en los expedientes de seguridad. Una vez aplicadas las medidas de remedio para todas las vulnerabilidades deberemos volver a escanear el mismo servidor y obtener un nuevo informe. El proceso debe repetirse hasta que el informe quede totalmente “limpio”. Una de las características de Nessus que podemos utilizar para este proceso es la comparación de informes, con el que podremos comparar los cambios sufridos en la seguridad del servidor en cada cambio que apliquemos al servidor.

Imagen: Gestión de Informes
Hoy en día Nessus es el escáner de vulnerabilidades más utilizado a nivel mundial aunque no es el único y existen otras alternativas/complementos muy interesantes. Aunque hay bastantes escáneres de vulnerabilidades, en el artículo de hoy vamos a ver solo algunas de las mejores soluciones profesionales. El proceso de auditoría en cualquiera de estas soluciones es similar al explicado con Nessus.

Para terminar

Un último punto sobre el que hay que reflexionar antes de dar por terminado este artículo es la auditoría de las aplicaciones propias, es decir, los desarrollos personales. Una aplicación web puesta de cara a Internet, con https, con su firewall protegiéndola por delante, con su auditoría de seguridad con escáneres de vulnerabilidades limpia puede tener un bonito SQL Injection en un radio button y se acabó el cuento. En el caso de los desarrollos personales es necesario contar con una aproximación diferente, con herramientas distintas y con unos auditores más diestros, ya que no solo deben conocer el uso de las herramientas sino también los fallos en el desarrollo de tecnologías. Para aquellos que les interese este tema el mes que viene vamos a ver como se realiza un proceso de auditoría de una aplicación web y cuales son las herramientas que se pueden utilizar.

Para los impacientes que deseen ir abriendo boca les dejo los dos retos hacking que monté sobre test de intrusión en aplicaciones web. Del primero ya existe un solucionario publicado y del segundo se publicará a finales de Abril.

Primer Reto Hacking
Segundo Reto Hacking

****************************************************************************************
Artículo Publicado en PCWorld Abril 2007
- Test de intrusión [I de VI]
- Test de intrusión [II de VI]
- Test de intrusión [III de VI]
- Test de intrusión [IV de VI]
- Test de intrusión [V de VI]
- Test de intrusión [VI de VI]
****************************************************************************************

Test de Intrusión (V de VI)

****************************************************************************************
Artículo Publicado en PCWorld Abril 2007
- Test de intrusión [I de VI]
- Test de intrusión [II de VI]
- Test de intrusión [III de VI]
- Test de intrusión [IV de VI]
- Test de intrusión [V de VI]
- Test de intrusión [VI de VI]
****************************************************************************************


Durante estos meses hemos estado recorriendo las herramientas que van desde la recogida de la información que ofrece un sistema informático hasta como funciona el ciclo de bug, exploits, parche, scanner de vulnerabilidades. Esta vez nos centramos en las herramientas principales para la realización de un test de intrusión.

Los Escáneres de Vulnerabilidades

Este tipo de herramientas son la pieza principal cuando se va a realizar una auditoría de seguridad, tanto de caja blanca, como de caja negra. Engloban el conjunto de acciones necesarias para identificar las IPs activas, los puertos y servicios ofrecidos, la identificación del sistema operativo, el nivel de actualizaciones de seguridad aplicadas e incluso la detección y explotación de las vulnerabilidades encontradas. Dentro de los múltiples escáneres de vulnerabilidades los hay más o menos amigables, es decir, los hay que no ejecutan nunca la fase de intento de explotación de los fallos encontrados y otros que los prueban como forma normal de trabajo. Esto puede llevar a que la realización de una auditoría con un escáner poco “friendly” pueda “tumbar” algún servicio o servidor.

Si estas herramientas realizan todas las fases del proceso, ¿esto quiere decir que todas las herramientas anteriores no son necesarias? No, las herramientas anteriores son mucho más específicas en su función y permiten ser afinadas mucho más allá de lo que permitirá una escánner de vulnerabilidades completo.

Otra de las características de los escáneres de vulnerabilidades es que no son todos iguales, ni en la detección, ni en la evaluación de los riesgos, ni en la profundidad de los análisis, así que siempre es recomendable la utilización de, al menos, un par de ellos en un buen estudio.

Satán, Santa y Nessus

Aunque previamente habían aparecido muchos escáneres de una vulnerabilidad o un exploit, quizá el primer escáner de vulnerabilidades completo que se creo fue S.A.T.A.N. (Security Administrator Tool for Analyzing Networks). Su nombre creo mucha controversia así que realizaron apareció la versión SAINT “SANTA” (Security Administrator's Integrated Network Tool) que hoy en día se comercializa.

El relevo de estos lo cogió Nessus, apareciendo en el año 1998, de la mano de Renaud Deraison, la primera versión pública del producto. En su origen y hasta el año 2005 todas las versiones han salido bajo la licencia GPL, pero a finales del año 2005 anunció que la versión 3 sería gratuita pero no GPL. Las últimas versiones de Nessus se pueden obtener de la web http://www.nessus.org pero pertenecen a la empresa Tenable Network Security, la empresa que Renaud creo en el año 2002.

Nessus

Nessus es una de las herramientas preferidas por todos a la hora de realizar un test de penetración en una red debido a algunas de sus características.

- Actualización y funcionamiento mediante Plugins: Todos los escáneres de vulnerabilidades deben ofrecer un sistema de actualizaciones rápido para detectar las nuevas vulnerabilidades, que aparecen constantemente. En Nessus funciona mediante plugins, bajo demanda podemos actualizar la base de datos de conocimiento antes de cada ejecución para tener siempre actualizado el repositorio. Para hacer el sistema mucho más flexible en la creación de plugins y para poder ser alimentado con conocimiento propio podemos crear nuestros propios añadidos utilizando el lenguaje NASL (Nessus Attack Scripting Language).

Imagen: Detección de Plugins
Imagen: Actualización de Plugins
- Arquitectura cliente/servidor: El sistema está diseñado para funcionar desde distintos clientes contra distintos objetivos, así, Nessus corre como servicio en la máquina que desees y puede ser utilizado desde cualquier cliente. Esta arquitectura es independiente de plataforma y permite instalar, tanto los clientes como los servidores en arquitecturas Microsoft y *NIX. Esto va a permitir hacer esfuerzos económicos para tener un mejor servidor que va a ser productivo para muchos clientes. Además, los objetivos pueden ser casi de cualquier tipo ya que su base de conocimiento detecta vulnerabilidades en Servidores, clientes y dispositivos de red corriendo Windows, *NIX o MacOS.

Imagen: Configuración de Servicio Servidor
- Políticas de auditoría: Es importante que cualquier escáner de vulnerabilidades permita afinar la política a aplicar, poder elegir los servicios y las vulnerabilidades a auditar (no es lo mismo auditar un servidor de correo que un servidor FTP), que se integre con los distintos protocolos de comunicaciones (algunos escáneres tienen problemas con los protocolos SSL) y que se pueda decidir si queremos un escaneo amigable o uno hasta las últimas consecuencias, es decir, que pruebe todo aun asumiendo que podemos realizar una denegación de servicio en algunos servicios o en el sistema. Para ello en Nesuss, cuando creamos o editamos una política definiremos si queremos una Segura o no y después los plugings que queremos que pruebe en el proceso de auditoría.

GfI Languard Network Security Scanner

La empresa GFI tiene una amplia gama de herramientas de seguridad, desde herramientas para la protección de servidores, herramientas para la gestión y correlación de eventos de seguridad y como no un escáner de vulnerabilidades, LanGuard Network Security Scanner. Esta solución ha sido tradicionalmente una de las más utilizadas en entornos Microsoft y ha tenido una gran aceptación en España. El contar con la solución en castellano y con soporte en castellano para los clientes ofrecido desde España hizo de esta una de las opciones más utilizadas, además de una política de precios muy asequible. El producto no solo es un escáner de vulnerabilidades sino que además es una solución que permite desplegar parches. Al igual que Nessus y la mayoría de las soluciones equivalentes permite el perfilado de las políticas. Para escribir este artículo se ha utilizado la versión 8 del producto que actualmente está en versión beta. A la hora de escanear y auditar una plataforma Microsoft esta es una de las mejores soluciones, es la solución que más información ofrece y mejores resultados muestra. En las políticas por defecto expande algunas vulnerabilidades, es decir, las aprovecha, siempre que no sean dañinas. Muy recomendada, puedes bajarte una versión de evaluación totalmente funcional de la web http://www.gfihispana.com

Imagen: GFI Languard Network Security Scanner

Shadow Security Scanner

Esta herramienta, de Safety-Lab, ha sido una de mis preferidas durante mucho tiempo porque era “poco friendly”, de hecho la llamábamos cariñosamente “la bestia parda”. Esta forma de trabajar la herramienta le venía heredado de su predecesor Shadow Scanner, una herramienta que no se vendía y que estaba pensada no como Scanner de Vulnerabilidades sino como un Scanner para atacar, con opciones de bombardeo inclusive. Este perfil de la compañía se nota con otras herramientas como Shadow Instant Message, herramienta que se usa para “auditar la seguridad” de las conexiones de los sistemas de mensajería instantánea como MSN Messenger o Yahoo Messenger. Todavía es posible encontrar la primera herramienta en los “mentideros” de Internet. A día de hoy el mantenimiento y actualización de Shadow Security Scanner ha decaído ligeramente y personalmente creo que está por detrás de sus competidoras. No tiene soporte en castellano aunque sí en catalán. Puedes descargar una versión de evaluación completamente funcional durante 15 días desde la web de la compañía http://www.safety-lab.com.

Imagen: Shadow Security Scanner
E-eye Retina

La empresa E-eye, famosa por su sniffer IRIS, tiene la solución Retina para la auditoría de vulnerabilidades en software. Al igual que GFI, cuenta con presencia y soporte en España lo que hace de ella una buena alternativa. Se puede conseguir una versión totalmente funcional de 15 días de la web de la empresa: http://www.e-eye.com

Imagen: E-eye Retina Network Security Scanner
Otros Escáneres

Existen otros muchos escáneres de vulnerabilidades, tanto de pago, como realizados por comunidades de desarrolladores, quizás algunos echéis en falta ISS (Internet Security Scanner), NetBrute o XScan o cualquier otro, pero al final las ideas son similares. Mi recomendación como siempre es contar con un par de ellos como mínimo en cualquier test de intrusión que se vaya a realizar.

Resumen del proceso

Si tuviéramos que resumir brevemente cual es el proceso que hay que seguir para la realización de un test de intrusión sería el siguiente:

1.- Identifica que quieres auditar: Utilizando las técnicas de Footprinting y FingerPrinting vistas en la primera parte.
2.- Busca las vulnerabilidades de esos productos: Utilizando los expedientes de seguridad o los escáneres de vulnerabilidades vistos en la segunda y tercera parte.
3.- Busca los exploits para esas vulnerabilidades como vimos en la segunda parte de este artículo.
4.- Parchea para dejar el sistema corregido tal y como recomiende el fabricante del software en los expedientes de seguridad de la vulnerabilidad.

Este proceso debe ser parte del plan de mantenimiento de los servicios/servidores y debe estar igual de planificado como el proceso de copia de seguridad o de actualización de software, sin embargo, a día de hoy, esto lo realizan pocas empresas o no tantas como debieran en un claro síntoma de descuido hacia su sistema informático.

¿Eso es todo?

Pues no, en primer lugar hay que tener en cuenta que un test de intrusión realizado por dos auditores distintos puede obtener resultados dispares dependiendo de la destreza de un auditor a la hora de configurar las políticas de los escáneres para saltarse los mecanismos de seguridad intermedios o afinar los plugins a ejecutar. Además de todo esto hay que tener en cuenta que una auditoría de seguridad solo tiene validez para el punto de ejecución desde donde se ejecuta, es decir, imaginemos que realizamos un test de intrusión desde Internet y hay una vulnerabilidad que está siendo protegida por el firewall de perímetro a nivel de aplicación. Desde Internet podremos tener un sistema que aparentemente no es vulnerable, mientras que un acceso desde la intranet o desde una conexión VPN puede detectar la vulnerabilidad.

****************************************************************************************
Artículo Publicado en PCWorld Abril 2007
- Test de intrusión [I de VI]
- Test de intrusión [II de VI]
- Test de intrusión [III de VI]
- Test de intrusión [IV de VI]
- Test de intrusión [V de VI]
- Test de intrusión [VI de VI]
****************************************************************************************

Momentus Ridiculous I

A lo largo de la vida laboral se van haciendo cosas que van quedando por ahí en el pasado y uno intenta tapar al principio un poco. Luego, según te vas encontrando con la gente te dice: “je,je, fue muy divertido en el evento aquel en el que hacías el subnormal vestido de [ponga_aquí_disfraz_de_Mortadelo]”. El caso es que entre el Chico Maravillas, El Abuelo, el Cervi y demases siempre hay alguno dispuesto a hacer el subnormal conmigo. Bien, en esta sección de Momentus Ridiculous iré dejando para la posteridad una prueba irrefutable de que yo nunca podré ser alguien en esta vida… ni los que aparecen conmigo tampoco.

Año 2004: Inseguridad en Redes de Datos

La sesión era sobre Seguridad en Redes de Datos e ibamos a hablar de ARP-Spoofing a un grupo de empresas partners invitadas. Al principio de la misma me tocó meterme entre el público y tocarle las pelotillas con preguntas impretinentes. Cuando ya no aguantaba más me echaba de la sala pero regresé.

Disfrazado entre el público con David Salgado

Momentus Ridiculous I: El regreso
Esto sucedió porque en pleno extreno de la segunda trilogía de La Guerras de las Galaxias alguien (Olvido Nicolás) decidió que era buena idea comprarme un casco de Darth Vader. El abuelo le robó las espadas laser a los niños, la bandera pirata de la gira de los gorritos.....

El final de la charla con el abuelo y las camisetas de la cárcel