La primera ponencia que tuvimos fue la que dio Miguel Tarascó, (@Tarlogic y @AcrylicWifi). Su ponencia trataba sobre la problemática de que uno se descargue los códigos fuentes o librerías y no revise si éstos contienen alguna instrucción que nos produzca algún daño o se descargue algún tipo de código sin que nos enteremos. Sobretodo el problema está códigos que tengan muchas líneas y/o dependencias (que a su vez también sean muy extensos). O, los IDEs de desarrollo que a la hora de previsualizar los componentes o, incluso, compilar código, se ejecuten y se lancen cosas que no debieran. Una lista de elementos que podrían ejecutar líneas embebidas en el código fuente podrían ser gestores de compilación (make, Gralle, MsBuild) e IDEs (Android Studio, Visual Studio).
La siguiente ponencia, aunque en el tweet que puse yo dije que hablarían "de casinos" (por el título de la ponencia), realmente hablaban de traders de banca. De la mano de Pablo Casais (@pcasais), pudimos ver cómo haciendo un poco de ingeniería inversa y social, se podía terminar consiguiendo crear un contrato (que en teoría sólo lo puede hacer un perfil de usuario determinado) y "ejecutarlo" para que se lleve a efecto (que, una vez más, lo debería de hacer otro usuario distinto). La teoría dice que es un control para evitar que alguien se lleve pasta o se realicen operaciones arriesgadas. Algunas notas que pude tomar es que hay motores que dependiendo del país o, incluso, del proveedor que lo va a usar, permite poner una interfaz gráfica u otra. Tenían granjas de servidores, entre otros de ficheros. También el código fuente de la aplicación o, incluso, acceso a la base de datos (cuyas credenciales pudo sacar, en parte, del código fuente y haciendo ingeniería social). Total: pudo enviar contratos sin autenticar e, incluso, cambiar el destino de la pasta.
En el descanso tuve la oportunidad de visitar alguna de las salas donde estaban haciendo @X1RedMasSegura. En la sala donde estaban era la de los (muy) jóvenes, pude ver a . Allí sólo estaban los niños de hasta casi 9 años. Tal y como decían, y es cierto, no estaban aquellos para los que realmente era de esperar: los adolescentes, que eran los destinatarios. También vi muy contento a Longinos padre (@LonginosRecuero), como de costumbre. Además, tuvo la oportunidad de dar una charla para los yayos digitales.
Ya después del descanso, y con unas cuantas conchas Códan en el cuerpo, David Pérez y José Picó, con su empresa Layakk (@layakk) nos hablaron de las herramientas que montaron para un trabajo que tuvieron que hacer para una empresa. Al final, script a script, fueron tirando del hilo: correlacionar los puntos de acceso de la zona con los probes de los dispositivos de la zona (sobretodo de los bares), con unos auriculares y unos pitidos según uno se acerca o se aleja de la zona determinada, unas antenas en "la meleta" de una moto para dirigirlas a la zona deseada (los puntos de acceso deseados)....
Al finalizar esta charla, y antes de pasar a la siguiente, Deloitte CyberSock (@Deloitte / @Deloitte_Spain), de la mano de Pedro (@NN2ed_s4ur0n) sortearon formaciones su academia: una completa y 4 de medio día.
Hugo Teso (@hteso), una vez más, nos habló sobre temas de aviones. Aunque antes, en previsión de la duración de su exposición, tal y como ha sucedido otros años, la organización nos trajo unas cuantas cajas de pizzas, allí, al escenario.
#rooted2015 pizzas!!! pic.twitter.com/mmLCCcIqQH
— Agux (@Agux_) marzo 7, 2015
Al final, resulta que estaban vacías... Lo importante es informar sobre su exposición ¿O no? En esta ocasión, ésta iba sobre simuladores de vuelo, tanto para aviones "pequeños" como comerciales. Estos simuladores, además de tener temas de vuelo, también simulaban aerolíneas. Nos habló sobre la explotación y post-explotaciones de los sistemas, los cuales podrían correr en prácticamente cualquier arquitectura: ARM, x86, x64. Sobretodo un requisito es que los simuladores sean lo más realistas posibles. Algunos de los ejemplos que puso, además de un mapa con los aviones de los que podríamos disponer como aerolínea, eran manipulación en hexadecimal y debugueando. Algo que como ya sabréis, no es mi fuerte que digamos. Alguna de las herramientas nombradas son bastante conocidas: IDA, Radare2... La última parte fue el proyecto que está montando para que haya más personas que tengan curiosidad puedan ponerse a investigar este tipo de cosas. Y así, "el año que viene, sea otro el que pueda hacer la ponencia sobre aviones" (más o menos parafraseado).
Eduardo Arriols (@_hykeos) nos habló de cómo se pueden bypasear o saltar las medidas de seguridad física de un edificio. Es decir: la diferencia entre la intrusión física y la lógica. Nos fue poniendo una serie de ejemplos: las puertas con alarma cuando se abren [ponerle un buen imán en el sensor), los sensores con láser o infra-rojos (enchufarle con un puntero láser en el detector), los detectores de alarma de movimiento (si son por por temperatura, ponerse encima una manta térmica de esas que se ponen en los accidentes o del Decathlon), Los antecedentes para llegar a estos ejemplos: hay que tener una estrategia bien definida, Y muchas veces no se tienen en cuenta todos los tipos distintos de seguridad: social, lógica o física. Esa estrategia estará formada por: una definición del objetivo, localización de la información, analizarla, reconocer el lugar, entrar en el entorno, planear qué se va a hacer, ensayar de alguna forma y terminar entrando al lugar.
Después fue Chema (@chemaalonso) quien dio una charla sobre el proyecto que llevan desde ElevenPaths (@ElevenPaths) llamado path5 ó, tal y como nos adelantó, nombre provisional Tacyt. Nos puso diversos ejemplos de qué fueron descubriendo en algunas aplicaciones móviles maliciosas y sus creadores. Es un proceso en el que se descargan todas las aplicaciones gratuitas (las APKs) y después hacen un gran procesado con ellas. Lo que últimamente se hace llamar datamining.
La siguiente charla la dio Raúl Siles (@raulsiles) fundador de Dinosec (@dinosec). Si el año pasado ya nos habló de forzar a actualizaciones de una versión determinada en móviles iPhone, este año le ha tocado a Android (la distribuida por Google, no las cocinadas como Cyanogen o las que ponen los fabricantes y las operadoras). Para ello ha hecho una división de los servicios de los que constan los dispositivos: GPS (Google Play Services) y GSF (Goolge Services Framework). Según se van actualizando éstas, que lo hacen de forma independiente al sistema operativo, se encargará de la actualización del mismo uno de estos dos servicios. Un comando destacable en la consola sería adb logcat con sus distintos parámetros. Total, que poco a poco pudo conseguir forzar la actualización a una versión anterior (la 4,4,3). Aunque le entendí que quiso probar a alguna versión más antigua, parece ser que no fue posible. Eso sí, en gtihub ha puesto unas cuantas herramientas, como por ejemplo, un plug-in para burp.
Antes de la siguiente ponencia, nos comunicaron que tendríamos licencias para algún producto más de Tarlogic. Y en algún momento también nos sortearon 3 jamones que según el tamaño de la caja, debían de ser muy grandecitos.
Y, la última charla de este año fue la que nos dio Adrián Villa (@AdriVillaB), que estaba relacionada con el DRM de las distintas plataformas de video en streaming y cómo controlan si para una misma cuenta hay varios usuarios "abusando" para ver los contenidos. De las distintas plataformas que probó (Orange, Nubeox, Wuaki.TV, TotalChannel y Netlix), menos la última de todas, las demás pudo engañar al sistema, con más o menos facilidad, para poder visionar el contenido cuando en teoría debería de estar controlada esa casuística. Eso sí, nos informó que tenía las cuentas de pago. La gracia estaba en que, en general, había que conseguir "impersonalizar" al usuario de pago para poder visionar los vídeos. Después, con un ejemplo como una plataforma web, se podrían mostrar a cualquiera sin ningún problema. Recordemos que simplemente era una prueba de concepto y nada más.
Y ahí ya terminó la RootedCon 2015:
La #rooted2015 ha finalizado. Un año más : enhorabuena!! El año que viene, volvemos! pic.twitter.com/xQi76XfLHw
— Agux (@Agux_) marzo 7, 2015
El año que viene, seguro que viene con más contenido tan interesante como este año y los anteriores. ¡¡Allí os espero!! Y... ¿Cuál será el próximo evento en el que nos veamos?
No hay comentarios:
Publicar un comentario