RootedCon 2024: Crónica primer día

Un año más hemos podido ir a la RootedCon. Como de costumbre he llegado poniendo la carretera. 

Al llegar he podido saludar a todo el equipo de la organización y de Eventos Creativos. Además, he conocido a algunas personas y he podido encontrarme con compañeros del trabajo, tanto con los que trabajo ahora como con los que estuve trabajando hace muchos años, algo que me ha hecho mucha ilusión.

Keynote

Empezamos con la keynote. En la que nos contaron que esperaban más de 6.100 asistentes y presentaron a los patrocinadores.. Además explicaron cómo han organizado este año el evento. Después presentaron "el círculo.io" y los premios "Raúl Jover 2024", que se lo dieron a título póstumo a Angelucho, que tristemente falleció el año pasado. Román, que era el encargado de hacer esta keynote, no ha dejado de tener palabras de elogio para Angelucho y todo lo que hacía, tanto por la comunidad como la asociación que creó de X1Red+Segura con otros compañeros del sector o las prácticas que conseguía para jóvenes "delincuentes" para conseguir que fueran por el buen camino y no entrasen en un centro penitenciario donde acabarían saliendo peor.

ZTNA VS ZTNA

RootedCon 2024 - Cristina Crespo y Sonia Cancha

Empezaron explicando la integración de Accenture con Innotec. Han explicado los retos de la imprevisibilidad del comportamiento humano y los problemas que ello conlleva, siendo un reto casi inalcanzable evitar los problemas que se producen. La idea es descargar la responsabilidad de la solución en la tecnología. De las amenazas internas se ha hablado que está subestimada, ya sea por errores de los empleados o por malicia. Han hablado de los derechos de mínimo acceso a los datos, el de monitorización y la necesidad de aislar un dispositivo si hace algo no esperado. También nos han explicado cómo abordan el reto desde Accenture.

En cuanto se acabó la ponencia nos fuimos a hacer un descanso. Allí me encontré con Lorenzo ( @lawwait ) y Longinos ( @l0ngin0s ).

DFIR en el gobierno de la Rioja 

RootedCon 2024 - Miguel Ángel de Castro y Tomás Gómez

Nos hablaron del contexto; 7 consejerías, el Servicio Riojano de Salud y fundaciones públicas. Nos describieron el tipo de infraestructura con la que trabajan como el número de usuarios, dispositivos, servidores, aplicaciones, etc y las posibles amenazas y estadísticas de las mismas. Después han hablado de distintos incidentes que detectaron: ataques de identidad, sobre una tarjeta SIM 3G expuesta y un servidor expuesto a través de un API. Más adelante contaron las lecciones aprendidas: ser conscientes de la superficie de exposición, que de ella también forman parte los usuarios. Además las APIs y los servicios web de deben de proteger igual o más que las aplicaciones. Y los sistemas hay que parchearlos en una ventana de tiempo razonable. Además es imprescindible usar 2FA y estudiar las consecuencias de añadir tecnología sin control. Sin olvidarse de compartir secretos de manera segura o tener la seguridad de que el SIEM ingesta casi todos los logs. Para finalizar contaron lo que creían que habían hecho bien.

Aegis: aproximación a la ciberseguridad dirigida a datos y machine learning

RootedCon 2024 - Iván Fernández Mora

Nos habla de los objetivos críticos por los que una empresa puede ser atacada. Después nos ha contado por qué y para qué se usa machine learning en ciberseguridad. Además, también ha contado por qué han desarrollado su propia herramienta de análisis con machine learning y cómo decidieron organizarse para desarrollarla. Sobre todo porque es más versátil y además pueden usar sus propios datos, si buen en ocasiones hay problemas: que no lleguen todos los logs del SIEM, quién es el responsable de los mismos, etc. También es importante las regulaciones legales sobre la categoría de los datos en relación a cómo se pueden publicar, si son personales, etc. Después ha explicado propiamente el fundamento de la herramienta AEGIS. 

Después me fui a comer, encontrándome con mi compañero de trabajo Iván con el que estuve comiendo y vi las dos siguientes charlas.

Dark territory: paralizando la red ferroviaria de un país entero

Tras la comida, fuimos a la siguiente charla, por David Meléndez ( @TaiksonTexas ) y Gabriela García ( @constrainterror ) ; "Dark territory: paralizando la red ferroviaria de un país entero"

RootedCon 2024 - David Meléndez y Gabriela García

Concepto ferroviario: zona ferroviaria sin controles eléctricos. Más adelante han conceptos ferroviarios como "cantón ferroviario", "contador de ejes", "bloqueo de vía", "control de trafico centralizado", etc. Han explicado el sistema de balizas ASFA. Han puesto ejemplos de accidentes como el de Uharte Arakil en Navarra o el accidente de Angrois. También han descrito cómo están construidas las balizas. Más tarde puesto un ejemplo de manipulación de la baliza con una pila de petaca. O la opción de hacerse con un testeador de balizas, que permitiendo hacer algún tipo de ataque a las balizas: replicación de balizas, denegación de servicio, etc. Han mostrado una posible forma de crear una baliza falsa. 

First rule of CLR is you do not simply inject the CRL

Al finalizar hemos podido disfrutar de la siguiente ponencia: first rule of CLR is you do not simply inject the CRL, por Marcos González y Antonio Pérez

RootedCon 2024 - Marcos González y Antonio Pérez 

Explican qué es CRL y el intermediate language, de qué se encarga y cómo funciona. También han contado algunos lenguajes que usan CRL: C#, .Net... Y medidas y contra medidas para controlar la ejecución de los programas que están hechos en esos lenguajes. Han explicado qué es herramientas thunderstrike. Han explicado cómo hay que organizar el ataque para evitar que un EDR no detecte que está thunderstrike atacando. Después de la teoría han hecho una POC.

En cuanto acabaron nos fuimos a un descanso y al finalizarlo ya me fui yo a la sala 19.

My mobile is screwing me up

Esta charla la dieron Ofelia Tejerina ( @OfeTG ) , Pablo Fernández ( @pablofb ) y Luis Diego de Aguilar ( @h3st4k3r ) hicieron la charla my mobile is screwing me up. Pedro Candel ( @NN2ed_s4ur0n ) formaba parte del equipo que la montó pero no pudo venir.

RootedCon 2024 - Ofelia Tejerina, Pablo Fernández y Luis Diego de Aguilar (y Pedro Candel)

Luis ha hablado de los sistemas callback tanto desde el punto de vista técnico como legal. Han mostrado código fuente de una web real (Jazztel) mostrando cómo se podría activar pero tiene sus protecciones. Con el plugin selenium ha grabado qué se ha ejecutado al introducir los datos para que nos hagan una llamada. Con un scripts se categorizan las webs que permiten hacer ese tipo de llamadas. Nos ha mostrado cómo ha funcionado en node y ha hecho una demo real con Python y una tarjeta SIM completamente nueva y desprecintada en directo. Después ha explicado qué hace el script original. Después ha hablado Ofelia, una de los abogados que han explicado qué puede suceder por usar de mala manera esos sistemas como por ejemplo las llamadas no solicitadas. Entre otras cosas también han incluido artículos del BOE. Más adelante Pablo también ha explicado los distintos tipos de llamadas comerciales y cuándo pueden y no pueden hacernos esas llamadas.

Tu robot ha perdido una tuerca

La Dra. Claudia Álvarez ( @claudiacataplau ) y el Dr. Adrián Campazas ( @gripapc ) han expuesto Tu robot ha perdido una tuerca 

RootedCon 2024 - Claudia Álvarez y Adrián Campazas

Han hablado de dónde trabajan y a qué se dedican. Ciberseguridad, hápticos (transmisión de sensaciones, relacionado con el tacto), visión por computación y robótica de servicio (que ayuda a las personas).  Después nos han enseñado algunas fotos de robots con los que trabajan. Han hablado de riesgos y amenazas en sistemas industriales, entre otros algunos accidentes mortales en industria. Después han hecho dos demos atacando a unos robots (con un simulador gráfico, simulando el robot UR3 y Unitree A1 en "persona"). Y han dado sus conclusiones: que el cifrado no se usa aunque esté disponible porque quita eficiencia en entornos de tiempo real. Tiene un servicio SSH que se puede atacar por fuerza bruta y servidor web sin autenticación pudiendo ver por su cámara. Lo que pasa es que el atacante puede hacer un MITM para redirigir al operador a otro servidor web para que vea otra cosa. De las cosas que han hecho les han dado sus Caves. 

Y ya con esta última charla finalizamos la primera jornada de RootedCon 2024.