Crónica RootedCon 2018: Día 1

Como los últimos... ¿6 años? He tenido la oportunidad de volver a RootedCon. Ha sido la novena edición y en esta ocasión he tenido la oportunidad de estar todo el día con un buen amigo y antiguo compañero de la empresa, Jesús. También he estado un buen rato con Longinos (@L0ngin0s) y Jaime. Además, también he podido compartir un buen rato con Pablo Yglesias (@PYDotCom). Todo esto no quita que no haya podido ver a Angelucho (@_Angelucho_), Javier Rodriguez (del GDT), Josep Albors (@josepalbors)... Seguro que me dejo a alguien.

Como siempre, se ha hecho la keynote por parte de Román (@patowc).

Román Ramirez y la keynote de RootedCon 2018

Debido al retraso debido a fallos técnicos, ha tenido que comentar todo muy rápido. Ha vuelto a insistir en que somos comunidad, ha dado las gracias a los patrocinadores (que ayudan a que las entradas no sean desorbitadas) y los números de la organización. También ha explicado de qué va el proyecto sobre análisis de propaganda (el enlace que cogí: propaganda.is no me funciona; ¿corrección?). Después les ha dado la voz al equipo de Follow The White Rabbit (@fwhibbit_blog) , que tienen sus propios tracks en el evento.

Una vez terminada la keynote Ilfak Guilfanov (@ilfak), autor del IDA-Pro y el decompilador Hex-Rays. 

Ilfak Guilfanov - Decompiler Internals. Microcode

Un tema que como ya sabréis, no estoy muy ducho. Lo que pude entender es que con su software se podía decompilar de un procesador determinado y conseguir un código independiente del procesador. Al obtener el código del binario hay que conseguir que sea simple y descartar cualquier cosa que no nos importe. Por lo tanto, se busca optimizar el código mostrado. Así, cualquier operación que termine dejando los resultados exactamente iguales se "elimina".

Cuando finalizó, Ángel Palomo Cisneros empezó su charla sobre cómo conseguir que un equipo acepte ataques Man In The Middle:

Ángel Palomo Cisneros - Programming and playing a MITM attack

Ha hablado sobre cómo desarrollar una aplicación que permita que sin que un usuario (apenas) se dé cuenta, termine aceptando un certificado falso emitido por BurpProxy, ZAP, Fudder, etc... "Apenas" porque su prueba de concepto muestra durante apenas medio segundo un flash de las pantallas que normalmente se verían cuando realmente hay que aceptarlas conscientemente. Sin esos certificados, el navegador no permitiría hacer el ataque. Esta aceptación permite que ese certificado falso se guarde en el almacén de confianza del usuario. No se pudo conseguir saltar la elevación de privilegios para instalarlo para el almacén del PC. 

En este punto Jesús, Pablo y yo nos fuimos al descanso. 

Al finalizar el descanso, Dario Durando nos ha hablado sobre la aportación de la botnet Mirai a las nuevas botnets.

Dario Durando - IoT Battle of Bots

Así, ha explicado cómo funciona internamente, cómo se puede subir al dispositivo que se infecta y que estaba escrito en C. Además, nos ha explicado los distintos módulos de los que pueden llegar a constar: scanners IP, un proceso que mata otros procesos o servicios (FTP, telnet, http), ataques a otros dispositivos... Después nos mostró su proyecto, KAIB. Con este proyecto se pueden buscar variaciones del Mirai (que después nos mostraría una línea temporal donde se mostraban las que había encontrado), descargas de URLs, un honeypot, etc...

El siguiente panel fue una mesa redonda en la que diversas empresas dieron su visión sobre cómo se puede proteger los datos de las personas (o la problemática de que se haga un leakage de los mismos).

Deception y técninas de Data Discovery

En esta mesa redonda hemos tenido a seis ponentes

• Jose Miguel Esparza (@EternalTodo): Buscan información y la normalizan. Analizan malware y buscan ataques.
• Abey... (se me quedó en el tintero!): buscan conseguir que se envíen los ataques a un lugar donde se haga daño o dar información falsa al atacante (¿honeypot?).
• Juan Julián Moreno - De Microfocus. Nos habló del descubrimiento y la gestión eficiente de datos. Nos puso 3 casos reales de descubrimiento de datos.
• Raúl nos contó datos sobre el robo de datos y el coste que tiene. Muy importante el control, la monitorización y descubrimiento de la exfiltración de datos.
• Desde Barracuda, Carameli nos habló sobre los ataques dirigidos, como por ejemplo, el spam o el phising. Los riesgos de engañar a las personas qué hace Barracuda para reducir estos riesgos.
• Antonio Ramos (@antonio_ramosga) nos habló sobre Leet Security y la Agencia de Calificación de Seguridad. Al final, se evita que sólo haya un sello de certificación que no significa nada. Busca hacer una auditoria que hace casi 1300 preguntas que realmente permite averiguar si se cumplen las normas.

Después de esta mesa nos fuimos a comer.

Una vez hubimos comido, Daniel Uroz  y Ricardo J. Rodriguez nos hablaron sobre RoP y Turing.

Daniel Uroz  y Ricardo J. Rodriguez - RoP meets Turing

Todo se puede hacer con una operación "mov". Cuanto más complejo es el software, se encuentran más vulnerabilidades. Nos hablaron de un sistema de protección que fuerza a que una página de memoria sólo pueda guardar un dato (o instrucción, luego: operación de escritura) o sólo pueda ejecutar (operación de ejecución). Es lo que han llamado Write-xor-Execute. Después de hablar de reversing, nos han explicado cómo buscaron la forma de encadenar ataques RoP para deshabilitar este sistema de Write-xor-Execute". Con la herramienta EasyROP se busca verificar si se puede deshabilitar este sistema. Han mostrado una DEMO con una vulnerabilidad.

Al finalizar su ponencia empezó la RootedPanel:

RootedPanel 01 de la RootedCon 2018: Ciberdefensa y ciber-reservistas

Participaban Adolfo Hernández (con el jersey rojo), el General Comandante Carlos Gómez Lopez de Medina (evidentemente: con el uniforme), Enrique Ávila (centro del sofá derecho ), Jorge Dávila (del sofá izquierdo, a la derecha), Javier Candau (a la derecha del todo) y Román (a la izquierda del todo). Se ha discutido si está bien planificado o no cómo se va a contratar al personar que estarán en la reserva y cómo se piensa recompensar o pagar a dichas personas y qué pasaría con las empresas para las que trabajan cada vez que tengan que actuar.

Al finalizar el RootedPanel se hizo un descanso para merendar. 

Después de la merienda, Gerardo García Peña (@1lio) empezó su ponencia, Crypto goofs.

Gerardo García Peña - Cryto Goofs

Esta es otra de las ponencias que me ha costado un poco seguir. Se ha hablado de cifrado, tanto parcial (parte de http y parte de https), como el total, pero con un cifrado incorrecto. También ha nombrado el robo de sesiones, SSLStripping. Ha comentado que en ocasiones se descifran los datos antes de tiempo pensando que a partir de ese punto no pasaría nada. Y que hay que evitar ser creativo a la hora de implantar un cifrado sin o se sabe cómo funciona. Incluso, por cada algoritmo utilizado, estudiar sus vulnerabilidades. No se ha olvidado de los números aleatorios o de los hashes y valores MAC (Message Authentication Code).

Al finalizar, la organización ha hecho un homenaje a Antonio Ropero, creando un premio en su nombre. La estatuilla, un pegaso, se la han entregado a Fermín J. Serna, que por videoconferencia ha asistido a dicha "entrega". 

Y así, ha finalizado para mí la jornada de hoy. Después había una barra libre de cerveza, pero yo he recogido.