El Big Data y lo que sabe de nosotros

Hoy 23 de mayo se ha celebrado el festival de Eurovisión. Quería hacer una reflexión sobre los datos que se movían ayer por internet.

Según un estudio de Microsoft desde su página https://www.bing.com/explore/predicts en la que hace uso del Big Data para predecir los resultados de competiciones y concursos, daban estos resultados:

Figura 1: predicciones de Bing para Eurovisión

Figura 2: resultados oficiales de Eurovisión 2015

La información que ofrece Bing sobre su herramienta es esta:

Bing predice el futuro

Bing utiliza datos procedentes de búsquedas, información en redes sociales y otros datos relevantes para hacer predicciones inteligentes sobre próximos eventos, como competiciones deportivas, reality shows, y más.

Más predicciones próximamente

Permanece atento porque pronto llegarán más predicciones de Bing sobre eventos deportivos, los destinos vacacionales más populares, si los precios de entradas de conciertos van a subir, y muchos otros temas.

Detrás de Bing Predicts:

Las miles de millones de búsquedas realizadas en Bing nos dan la oportunidad de capturar la voz de la gente de una manera única. Predecir 2015 es solo otro ejemplo de cómo Bing pone su inteligencia a trabajar, con nueva información de valor en momentos que importan. Similar a la manera como determinamos las predicciones para reality shows, juegos de la NFL, y las elecciones de Mid–term, el equipo de Bing Predicts utiliza modelos estadísticos para búsqueda, información social, y otros indicadores relevantes para identificar las predicciones del próximo año. Con el poder la plataforma de Bing, los resultados consideran elementos como intento de búsqueda y entendimiento contextual para distinguir la diferencia entre lo que es en verdad una tendencia contra algo que sólo genera ruido.

La verdad es que el ganador del festival lo ha acertado, ya que ha ganado Suecia, así como el segundo y tercer clasificado, aunque cambiados de orden. Con Australia tampoco se ha ido mucho, pero con España no se acierta ni con el Big Data ni con el periódico de mañana en la mano. También ofrece próximas predicciones como la final de la Liga de Campeones:

Figura 3: pronósticos de Bing para la Liga de Campeones

Simplemente dejo estas dudas en el aire:

•  ¿estaremos dando demasiada información a las empresas?
• ¿estaremos dándoles demasiado poder de influencia sobre nosotros?
• ¿es bueno poder calcular este tipo de datos?
• ¿será el final de las apuestas?
• ¿qué pasará con las típicas porras de amigos en el bar?

Hagan apuestas!!! o pregunten al Big Data.

Saludos!

Comprando un RAT para espiar a empleados, hijos, pareja, ...

Siguiendo con el tema de ayer, en el que os comentaba que nuestro teléfono móvil puede ser troyanizado para convertirse en un bot, tal vez podáis pensar que solo es posible que hagan eso grupos de ciberdelincuentes o mafias organizadas que explotan las nuevas tecnologías para llevar a cabo su delitos y lucrarse con ello.

Con un poco de imaginación y paranoia podíamos buscar un culpable, tal vez las mafias chinas o de Europa del este que están tan de moda, o la NSA americana para tener datos nuestros. Igual es Google, Amazon o Apple para conocer nuestros gustos comerciales y darnos esa publicidad no solicitada.

Figura 1: Android nos confiesa que en ocasiones se siente vigilado

Pero, ¿y si te digo que este tipo de malware está a la mano de todo el mundo? ¿que cualquier persona puede comprarlo e instalarlo en su propio teléfono o en el de empleado o jefe, pareja o hijos?

Buscando en internet la oferta de empresas que venden este tipo de aplicaciones no es pequeña. Existen multitud de ellas en distintos idiomas y con tablas de compatibilidad de modelos de teléfonos. Te venden un ficherito que ejecutas en el teléfono (o lo mandas por mail, whatsapp, enlace, ... para que la "víctima" lo haga), y tiene un frontend, un panel de control que desde tu ordenador, tablet o smartphone te muestra todos los posibles ataques que podemos hacer. La lista de opciones no es pequeña, puedes hacer de todo con el teléfono infectado:

Espiar Llamadas

• Escuchar llamadas en vivo
• Grabar llamadas
• Registrar llamadas
• Registro de Llamadas VOIP4
• Escuchar sonido ambiente
• Grabar el ambiente
• SpyCam para FaceTime

Espiar Mensajes

• Leer mensajes SMS
• Enviar SMS falsos
• Leer E-mails

Espiar Passwords

• Espiar claves de acceso
• Espiar contraseñas de aplicaciones
• Espiar contraseñas de email

Espiar en GPS

• Ver & Rastrear Ubicaciones GPS

Espiar Chats 

• WhatsApp
• Facebook / FB Messenger
• Viber
• LINE
• Skype
• WeChat
• iMessage
• BBM
• Blackberry PIN
• Yahoo Messenger
• Snapchat
• Hangouts 

Espiar Remotamente

• Tomar una foto usando la cámara
• Reiniciar Dispositivo
• Comprobar estado de batería del dispositivo
• Control Remoto por SMS

Y mil funciones mas que no pongo por no alargar el post. Como veis, se convierte en un auténtico bot, lo puedes tener sometido a tu voluntad.

Figura 2: rastreo GPS de lugares desde los que se han mandado twits

Si como tecnología ves que está muy bien, muy completo, pero piensas que es complejo, todo lo contrario es muy sencillo de usar. ¿Y el precio? desde $15 tienes la posibilidad de comprarlo. Yo alguna web que he visitado también los he visto por $49,95 con licencia para un mes, $168 con licencia de por vida, ... precios muy asequibles para casi cualquier bolsillo.

Y ahora la parte comercial. Estos son algunos de los argumentos de venta que he leído:

• Programa XXXX se está convirtiendo rápidamente en el programa de rastreo de teléfonos móviles más popular. Si realmente teme que su pareja lo está engañando o si se preocupa porque su hijo se ha vuelto callado o está deprimido, definitivamente éste es su programa
• El mejor programa para espiar móviles por internet desde el ordenador, para saber si su pareja le engaña o es infiel. Ya no es necesario un investigador privado
• ¿Eres una pareja celosa, un padre cuidadoso, o un jefe preocupado? ¿Necesitas confirmar que tu pareja es sexualmente fiel, que tu hijo está seguro o que tus empleados mantienen un buen comportamiento? Espía en sus smartphones o iPad y deja de dudar. O protégete si no es así.

Todo esto se ve muy turbio!!! 

Pero ¿es esto legal en España?. El artículo 197 de la Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal lo deja muy claro:

1. «El que, para descubrir los secretos o vulnerar la intimidad de otro, sin su consentimiento, se apodere de sus papeles, cartas, mensajes de correo electrónico o cualesquiera otros documentos o efectos personales o intercepte sus telecomunicaciones o utilice artificios técnicos de escucha, transmisión, grabación o reproducción del sonido o de la imagen, o de cualquier otra señal de comunicación, será castigado con las penas de prisión de uno a cuatro años y multa de doce a veinticuatro meses.
2. Las mismas penas se impondrán al que, sin estar autorizado, se apodere, utilice o modifique, en perjuicio de tercero, datos reservados de carácter personal o familiar de otro que se hallen registrados en ficheros o soportes informáticos, electrónicos o telemáticos, o en cualquier otro tipo de archivo o registro público o privado. Iguales penas se impondrán a quien, sin estar autorizado, acceda por cualquier medio a los mismos y a quien los altere o utilice en perjuicio del titular de los datos o de un tercero.

Figura 3: artículo 197 del código penal

¿Qué nos dicen en las web de venta de este programa sobre la legalidad?

Programa YYYY es perfectamente legal para instalar en su propio teléfono como principal solución de copia de seguridad . Pero por favor, asegúrese de que tiene permiso explícito de la persona cuyo teléfono se le supervisando y cuyo teléfono va a requerir físicamente con el fin de instalar físicamente Programa YYYY a ella antes de seguir adelante . Por otra parte, en caso de duda , revisar sus leyes locales del país y lea nuestro aviso legal aquí .

Visto lo visto, ahora la parte productiva:

Recomendaciones si tenéis un  iPhone:

• tened controlado el terminal en todo momento
• con passcode complejo
• sin Siri
• actualizado a la última versión
• sin jailbreak 

Si tienes un Android:

• tened controlado el terminal en todo momento
• con passcode complejo
• actualizado a la última versión
• evita bajarte apps con permisos raros
• pon un antimalware
• evita rootear el teléfono
• presta atención a la versión WhtasApp que te bajas (que sea del canal oficial)

Y unos enlaces para complementar la información:

• entrada del blog de Chema analizando más en profundidad estos RATS: http://www.elladodelmal.com/2013/11/troyano-para-espiar-un-android-o-para.html

Figura 4: entrada del blog elladodelmal : Troyano para espiar un Android

Vídeo 1: Chema Alonso y Jordi Évole troyanizando un móvil

Saludos!

Controlando nuestro móvil para "hacer el mal"

Ante la reciente oleada de móviles (smartphones) y táblets que nos han llegado a nuestro taller para reparaciones de tipo software (dispositivos que se bloquean, que no inician, que no apagan, que no dejan trabajar por avalanchas de mensajes de error y publicidad, ...), hemos investigado acerca del manejo que nuestros clientes hacen de estos dispositivos.

Por regla general se entiende que si un dispositivo trae Android, podemos ir a la Play Store y descargar juegos, programas y demás contenido por que son gratuitos. Bueno, no es que podamos, sino que "debemos" descargar todo contenido que pase por nuestra pantalla y nuestra memoria ROM nos permita. Para eso están. 

Pero, ¿podemos confiar en los orígenes de esas aplicaciones? ¿podemos fiarnos de que la finalidad de esas aplicaciones son las que el fabricante dice ser?

La respuesta es un rotundo NO.

¿Hay algo realmente gratis? yo nunca lo he visto. Si que es cierto que hay aplicaciones que tienen dos versiones, la PRO y la FREE, y el desarrollador nos ofrece esa versión FREE con la finalidad de que probemos las características del producto, con ciertas opciones "capadas", limitadas o deshabilitadas, y si nos gusta podemos comprar la versión PRO.

Fuera de esta política de uso, el fabricante casi siempre va a ganar algo con nuestra descarga e instalación. Puede que simplemente se lucre al incluirnos Ads publicitarios. Pero la realidad es que hay otras veces que se lucran con la instalación por que convierten nuestro smartphone en un bot. 

¿Qué es un BOT? Según wikipedia: Un bot (aféresis de robot) es un programa informático, imitando el comportamiento de un humano. O sea, un programa que instalado en nuestro dispositivo lo controla según las necesidades que un humano le haya dicho que haga. Comúnmente se denomina "zombie", por que ya no es un dispositivo normal como tal, si no que ejerce órdenes. En un teléfono las funciones interesantes para los malos son poder controlarlos remotamente:

• hacernos fotos con nuestra cámara y enviarlas al ciberdelincuente
• capturar nuestras contraseñas cuando accedemos al correo, facebook o twitter
• grabar nuestras llamadas
• saber donde estamos por el geoposicionamiento del GPS
• ...

Este tipo de malware, que podría ser un troyano en un PC, se denomina RAT (Remote Administration Tool).

Os pongo un ejemplo de instalación de aplicación que podría resultar dañina para nuestro dispositivo:

Accedemos al Play Store y buscamos una aplicación para hacer bromas simulando que nos radiografía el teléfono la mano:

Figura 1: aplicación de broma con rayos x

 Al darle a INSTALAR, nos pide que aceptemos los permisos que queremos que esta aplicación tenga sobre nuestro teléfono (es recomendable leerlos, y alguna sorpresa os llevaréis):

Figura 2: permisos que hemos de aceptar para esta aplicación

Pero, si es de broma, ¿para que quiere hacer compras, saber quien somos, saber dónde estamos, acceder a todas nuestra fotos almacenadas, ...?

Figura 3: descripción de los permisos (primera pantalla)

Y sigue, y sigue, ..., acceder a la cámara y poder usarla, acceder a la información de las conexiones wifi y los nombres de los dispositivos, acceder a la identificación del dispositivo y al registro de llamadas!!!

Figura 4: descripción de los permisos (segunda pantalla)

Si antes de instalarla leemos los comentarios, vemos que un buen porcentaje de los votos es negativo, ya que a la gente no le da el resultado esperado, más que nada, porque la aplicación está más ocupada en mandar sus datos al dueño de la botnet que de hacer bromas:

Figura 5: comentarios de la aplicación

Ya para terminar, la parte productiva: 

Un vídeo de Chema explicando el funcionamiento de los botnets (redes de zombies):

Vídeo 1: Chema Alonso: Hackeando a los malos con sus propias armas

Entrada en el blog de Chema sobre aplicaciones espías en android:

• Troyano para espiar un Android o para espiar a través de él (noviembre de 2013)

Figura 6: Troyano para espiar un Android o para espiar a través de él (Blog elladodelmal)

Resumiendo:

• leed los permisos que concedéis a las aplicaciones que instaláis
• no descarguéis por descargar
• leed los comentarios antes de instalar
• tal vez no sea buena idea que los niños pequeños usen nuestro teléfono de trabajo para su ocio. Hay táblets muy baratitas que aunque se llenen de publicidad, rats, troyanos y se convierta en un bot, no compromete nuestros datos personales (precaución con la cam y el micrófono) y podemos destinarlas al uso de los más pequeños.

Saludos!

17 de mayo, día de internet ¿para que sirve?

Hoy día 17 de mayo se celebra el día de internet. Pero, ¿para que sirve este día? ¿cual es la finalidad de que exista el día de internet? He buscado información por la red y en wikipedia esta es la información resumida:

Objetivos generales:

Pretende dar a conocer las posibilidades que ofrecen las nuevas tecnologías para mejorar el nivel de vida de los pueblos y de sus ciudadanos. Dándoles un poco mas de entendimiento sobre la tecnología y sus funciones

 La idea:

La iniciativa del Día de Internet surgió por iniciativa de la Asociación de Usuarios de Internet, a la que se sumaron diferentes asociaciones españolas que veían con interés el compartir en una fecha lo que cada uno hace para acercar la Sociedad de la Información (SI) a todos los ciudadanos. 

La celebración del día de Internet en su primera edición tuvo lugar el 25 de octubre de 2005. En esa fecha, se llevaron a cabo más de 400 eventos en más de 8.000 emplazamientos de 31 provincias de las 17 Comunidades Autónomas. Más de 200 entidades públicas y privadas suscribieron la Declaración de Principios para construir la Sociedad de la Información, en representación de más de un millón de ciudadanos.

En noviembre de 2005, la II Cumbre Mundial sobre la Sociedad de la Información celebrada en Túnez, aprobó proponer a la Asamblea General de Naciones Unidas la designación del 17 de mayo como Día Mundial de las Telecomunicaciones y de la Sociedad de la Información.

En el artículo 121 del documento de conclusiones de la Cumbre Mundial de la Sociedad de la Información, celebrada en Túnez en noviembre de 2005, se afirma que:

• Es necesario contribuir a que se conozca mejor Internet para que se convierta en un recurso mundial verdaderamente accesible al público. Hacemos un llamamiento para que la AGNU declare el 17 de mayo Día Mundial de la Sociedad de la Información, que se celebrará anualmente y servirá para dar a conocer mejor la importancia que tiene este recurso mundial en las cuestiones que se tratan en la Cumbre, en especial, las posibilidades que puede ofrecer el uso de las TIC a las sociedades y economías, y las diferentes formas de colmar la brecha digital.

El Día de Internet aporta una oportunidad para impulsar y favorecer el acceso a la Sociedad de la Información de los no conectados y de los discapacitados. Además, aprovechando la experiencia adquirida en España, se va a fomentar la celebración del Día de Internet en otros países, poniendo a disposición de aquellos que estén interesados todo el trabajo, información y metodología desarrollado por los que han participado en ediciones anteriores.

Figura 1: 17 de mayo, día de internet

Este día cuenta también con una página web en la que se difunden todas las actividades relacionadas con él:

• http://www.diadeinternet.org/2015/?
• http://www.diadeinternet.org/2014/index.php?page=eve_todos_eventos

También tiene su propia cuenta de twitter para estar informado:

• @diadeinternet

Conclusiones personales:

Hoy me ha quedado una entrada en el blog muy de copy-paste, pero simplemente quería activar en la conciencia social algo que a mi en otros años no se me había pasado por la cabeza: vale, hoy es el día de internet, ¿para que sirve? ¿que hay de diferente con ayer o con mañana?

Pues eso, la unión hace la fuerza, así que se concreta que el día 17 de mayo se celebra el día de internet. Todos los eventos, conferencias, charlas y acciones de concienciación, se promueven este día. Así el impacto social es mayor, los medios se vuelcan e invierten más tiempo y espacio en hablar sobre el tema. Si hay que hablar de la brecha digital, los derechos digitales o el derecho al acceso universal a la información de internet, qué mejor día que hoy, para reivindicar estos grandes olvidados.

Saludos!

¿Quien es quien? Angelucho

Desde que empecé a escribir el blog he ido descubriendo personalidades muy importantes que hacen una gran labor en el campo de la seguridad informática. Tenemos unos grandes profesionales del sector en España, y la mayoría de la información y los recursos que están disponibles en la red son gracias a su labor. Por ello, iré añadiendo al blog entradas del tipo ¿Quien es quien?, para que podamos tener una referencia a la hora de buscar información sobre estos profesionales. No tanto de su vida personal, para eso ya está la prensa rosa, si no del ámbito profesional y su trabajo.

Hoy quiero empezar con Angelucho: Ángel Pablo Avilés

Figura 1: Angelucho: Ángel Pablo Avilés

Ángel Pablo Avilés trabaja en el Grupo de Delitos Telemáticos de la Guardia Civil pero donde podemos encontrar su parte pública, su parte de lucha e intervención es en la difusión de información destinada a los débiles en internet. Sus herramientas son su blog, su página web, su libro y su interacción con todos nosotros, bien sea a través de las redes sociales como en sus conferencias en vivo.

Figura 2: avatar de Angelucho

Los canales de contacto donde lo podemos encontrar y seguir son los siguientes:

• Twitter: https://twitter.com/_Angelucho_
• Facebook: https://www.facebook.com/pages/El-Blog-de-Angelucho/179309442196507
• Página web: http://www.x1redmassegura.com/
• Blog: http://elblogdeangelucho.com/elblogdeangelucho/
• Canal Youtube: https://www.youtube.com/user/elblogdeangelucho
• Libro x1redmassegura: https://www.gdt.guardiacivil.es/webgdt/publicaciones/x1redmassegura/x1red+segura.pdf

Figura 3: Portada y contraportada del libro "X1RED+SEGURA"

Otra de sus misiones importantes son las  jornadas X1Red+Segura, en Madrid. Las próximas jornadas serán este 22 y 23 de mayo. Este encuentro anual nació del  libro que Angelucho escribió  para que su familia disfrutase de Internet sin sustos. La descarga es gratuita y es una lectura imprescindible, sin tener en cuenta si te gusta la informática o no, sino que si simplemente usas o vas a usar un ordenador, tablet o smartphone para conectarte a la red, con su lectura podrás estar en alerta frente a las principales amenazas existentes. 

Vídeo 1: vídeo promocional del libro  "X1RED+SEGURA"

Vídeo 2: X1RED+SEGURA Apuesta por tu seguridad, apuesta 

X1RedMasSegura con un ciberabuelo, una madre, un hacker y Angelucho

emitido en directo el 14 de mayo de 2015

Pero, ¿que son estas jornadas? ¿de que se habla en ellas? si piensas que son jornadas técnicas y tienes miedo al Compu-Global-Hyper-Mega-Net (en alusión al nombre que Homer Simpson puso a su empresa de servicios de internet), no te preocupes estas jornadas son para ti:

Figura 4: agenda de las jornadas X1RED+SEGURA del 22 y 23 de mayo de 2015

Las jornadas son gratuitas y puedes registrarte en la web http://www.x1redmassegura.com/p/inscripcion.html

También, el 28 de abril de 2015, tuve la oportunidad de asistir a una conferencia en MundoHackerDay en la que uno de los invitados era Angelucho:

Vídeo 3: Mesa redonda: el rol de las comunidades en la

ciberseguridad (Mundo Hacker Day 2015)

Así que ya para terminar, solo queda agradecer a Angelucho su labor y pedirle que siga así muchos años más: GRACIAS!

Figura 5: el 14 de mayo a las 11:30 H. en Globb Security TV, se entrevistó a Angelucho y Juan Antonio Calles, con Mónica Valle y hablaron sobre las Jornadas X1RedMasSegura 2015

Saludos!

Cómo saber si me roban la wifi

Últimamente nos han preguntado si es posible saber si la red wifi de nuestra casa pueda estar siendo "robada" por algún vecino.

Figura 1: ¿Cuántos equipos hay conectados a mi router?

Hay unas pistas que podemos seguir:

1. la navegación habitual en nuestro ordenador o táblet es mas lenta de lo normal
2. los leds de nuestro router parpadean aun cuando tenemos todos los dispositivos apagados
3. aparecen mensajes informando de que existe un nuevo dispositivo de red
4. nuestra tarjeta de red se conecta y se desconecta frecuentemente

Para poder saberlo hay varios métodos:

• acceder a la IP de nuestro router y en el apartado de configuración de LAN, nos podrá aparecer un listado de clientes DHCP. Son los equipos que han ido pidiendo al router una conexión. Por regla general debería existir una entrada para cada ordenador, videoconsola, teléfono, táblet, smart-tv, o dispositivo tipo imagenio que tengamos en casa. Cada vez hay más aparatos tipo IOT (Internet of things, o internet de las cosas, como cámaras de vigilancia, básculas elctrónicas, smart watch, ...)
  
  
  En este ejemplo vemos una red con más ordenadores de los "normales" conectados al router. Hemos marcado en azul los posibles ordenadores propios del usuario, en rojo los posibles "piratas de las ondas" y en verde los posibles "aparatos especiales" o servidores de red.

Figura 2: mapa de clientes DHCP de nuestra red

• otra opción es con alguna aplicación específica para ello:
• Angry IP Scanner: aplicación para windows (inglés)
• Wireless Network Watcher de Nirsoft para windows (inglés)

Figura 3: captura de pantalla de Wireless Network Watcher de Nirsoft

• Microsoft Network Monitor para windows (inglés)

Y ahora que sabemos si tenemos un intruso en nuestra wifi, ¿cómo lo evitamos?

• cambia la clave de acceso de tu red wifi
• no dejes la que viene por defecto, existen listas con claves predefinidas en internet
• desactiva WPS (se ha descubierto que es vulnerable)
• oculta tu red (hide SSID)
• usa seguridad WPA2 (WEP y WPA se ha descubierto que son vulnerables)
• cambia la contraseña del usuario admin de tu router

IMPORTANTE: si tu router no te permite configurar todas estas opciones, habla con tu proveedor de internet y diles que te actualicen el equipo

Si quieres rizar más el rizo:

• crea una lista blanca de direcciones MAC
• apaga la antena wifi si tu conexión es cableada
• apaga el router si no vas a estar en casa o si no necesitas conectarte a internet

Hay que tener en cuenta un detalle de seguridad: hay delincuentes que se dedican a controlar las redes wifi que saben que existen y pueden ver si está o no activa para saber si estás o no en casa. Un ejemplo: tu vecino te roba la wifi y ve que cada vez que te vas de casa apagas el router. Desde su propia casa puede ver si tu wifi está o no encendida, para deducir si estás o no en casa.

Además, no solo se trata de que te roben la wifi y no paguen la couta aprovechándose de la tuya, si no que al conectarse a tu red, realmente ¡están dentro de tu red!, con lo que pueden hacer un ataque MITM (man in the middle) y capturar los paquetes que envías como si te conectaras a una wifi abieta del estilo de las de los centros comerciales. Evita que tu wifi sea mancillada!!!

Para más información os pongo un enlace al blog de CHEMA, donde explica algún otro aspecto interesante:

• Blog de Chema Alonso: ¿Se debe ocultar y apagar la red WiFi de tu casa?

Figura 4: blog de Chema: ¿Se debe ocultar y apagar la Wifi de tu casa?

Y por supuesto, si estáis leyendo y os interesa este tema ¿vosotros no robaréis la wifi a vuestro vecino, no?

Saludos!

¿Darías tu tarjeta de crédito a un desconocido?

Hoy he estado hablando con varios amigos sobre las medidas de seguridad que debería adoptar todo el mundo a la hora de navegar en internet. Hemos hablado de un antivirus, un sistema operativo y aplicaciones actualizadas, sentido común, ... y ha salido en la conversación el tema de los pagos en páginas en internet. La verdad es que investigando un poco veo fallos de seguridad en este tipo de operaciones. Por regla general siempre el principal problema somos los usuarios. 

Figura 1: enséñame tu tarjeta que te mando una factura

¿De que sirve tener una supercontraseña si luego lo ponemos tan fácil para que nos roben?

El ejemplo más claro es que pensamos que las redes sociales solo sirven para el curioseo diario: que si nos vamos de vacaciones, que si mira en que sitio tan chulo he estado, que si mira que tarjeta de crédito me han dado en el banco. Si si, y enseñamos la foto de nuestra tarjeta:

Figura 2: perfil de twitter donde se suben fotos de tarjetas de crédito

• Perfil de twitter con fotos de tarjetas

Pero ¿esto es real? ¿nos puede pasar algo si hacemos este tipo de cosas? por desgracia los malos no dejarán pasar ni una. Si pueden sacar beneficio de algo ten por seguro que lo harán. 

Sin ir mas lejos, en nuestra propia página web de venta online, recibimos hace poco tiempo una compra con un pago con tarjeta. Lo primero que vimos sospechoso fue que la compra se realizaba desde Cartagena (un poco lejos para comprar un ordenador). Nos pusimos en contacto con la Guardia Civil y nos solicitaron que pidiésemos una copia digital del DNI del dueño de la tarjeta, para comprobar que no era robada. El comprador nos remitió un dni escaneado, pero investigando un poco vimos que la letra del dni no se correspondía con la que debería ser para ese número de dni. Acto seguido llevamos la documentación a la Guardia Civil y la compra fue anulada.

Para ampliar un poco más esta información os paso dos enlaces al blog de Chema Alonso en las que comenta todo esto un poco más en profundidad.

Figura 3: blog elladodelmal: "Publica tu tarjeta de crédito en redes sociales y se popular

•  http://www.elladodelmal.com/2012/07/publica-tu-tarjeta-de-credito-en-redes.html

Figura 4: blog elladodelmal: "¿Te gusta mi pasaporte?"

• http://www.elladodelmal.com/2012/07/este-es-mi-passaporte-te-gusta.html

Saludos!

Análisis de un Phishing II

Hoy he recibido un mail. El remitente era un cliente de mi empresa, pero el asunto estaba en inglés. Me ha parecido sospechoso que llegase a mi bandeja de entrada, y que normalmente lo hacen a la carpeta de SPAM. 

Figura 1: captura de pantalla de la bandeja de entrada

 Una vez que lo he abierto (solo por curiosear, ya que lo suyo habría sido eliminarlo sin abrirlo si quiera), este era el contenido del mensaje:

Figura 2: contenido del mensaje

Para un usuario normal, puede parecer que mi cliente me ha mandado un mensaje, que parece ser un vídeo de Whatsapp, que lo ha enviado en esa fecha y hora (hoy 7 de mayo de 2015 a la 1:11:53 de la mañana), y no se porque, pero me llega al correo, cuando Whatsapp no tiene mi correo. Que turbio!!!

Para el ojo inexperto podría parecer normal, pero sin entrar en tecnicismos podemos ver un comportamiento "raro". Si paso el ratón sobre el botón verde de "PLAY", veo que hace cosas distintas si estoy a la izquierda de la palabra "PLAY", sobre ella o a su derecha:

Figura 3: a la izquierda de "PLAY" sale la flechita típica del ratón

Figura 4: sobre la palabra "PLAY" sale la mano de acceso a un enlace

Figura 5: a la derecha de la palabra "PLAY" también sale la mano indicando que es un enlace

Si fuese algo legítimo (o un poquitín mejor hecho), el comportamiento sería el mismo en las 3 posiciones o solo saldría la mano sobre el "PLAY". Además de que está escrito en inglés, que Whatsapp no manda correos, que el asunto es "Body, meet food coma", ... y revisando la información del enlace que aparece en la parte inferior de la pantalla cuando el cursor es una manita, vemos que el enlace es a un dominio llamado http://aidanharticons.com/.....

Figura 6: dirección del enlace fraudulento

Y la parte técnica: si en GMAIL abrimos la opción de "Mostrar original", podemos ver el contenido del mismo, un código HTML con dos enlaces a este mismo dominio:

Figura 7: código fuente del contenido del mail

Para terminar, un par de vídeos que ya os he recomendado en otras ocasiones del gran Chema sobre seguridad en los correos electrónicos:

Vídeo 1: Hotmail y la seguridad en el correo electrónico

Vídeo 2: Chema Alonso en X Fórum AUSAPE: Decálogo de Seguridad Maligno

Saludos!

Inaugurado nuevo canal en Youtube

Por fin he podido sacar algo de tiempo para procesar, recortar, editar y subir nuestros vídeos a Youtube. He creado un nuevo canal al que podéis suscribiros donde iré añadiendo más vídeos relacionados con la informática y su seguridad.

Figura 1: portal de nuestro canal Youtube

• Canal Youtube de Informática Eloy / Blog Por las noches leo a Chema

De momento he subido 2 vídeos de entrevistas nuestras:

Vídeo 1:  Informática Eloy - Entrevista en cadena SER - 10 de marzo de 2015

Vídeo 2:  Entrevista de la Asociación de Empresarios en la Feria de Ejea - 19 abril 2015

Y 3 vídeos de las conferencias a las que asistí en Mundo Hacker Day 2015 en Madrid. La calidad no es muy buena, pues lo grabé con cámara digital a baja calidad para no llenar la SD muy rápido y poder traerme la mayor cantidad posible de información (al más puro estilo "screener"):

Vídeo 3: Marc 'Van Hauser' Heuse: How to be a hacker and how to get a name in IT Security - Mundohackerday 15

Vídeo 4: Mundo Hacker Day 2015: Publica, publica.. que yo cosecho. OWASP Team (28-04-15)

Vídeo 5: Mesa redonda: el rol de las comunidades en la ciberseguridad
(Mundo hacker day 2015, solo audio), con Sergio Sáiz García, Ángel Pablo Avilés, Juan Carlos Gutiérrez, Alejandro José Sainz, Igor Lukic y Deepak Daswani

Saludos!

¿Es seguro conectarme a una red wifi abierta?

Hoy he estado en un centro comercial de Zaragoza, Puerto Venecia. Como tenía un poquito de tiempo de espera, me he ido a darme una vuelta por el Apple Store. Nunca había entrado en uno. La impresión que me he llevado es que había muchísima gente, más de lo que me esperaba, cada uno de ellos con un equipo entre sus manos.

Figura 1: Apple Store, tiene continuamente usuarios usando su wifi

En cada mesa había 6 portátiles y 6 tablets. Yo iba calculando: 6 portátiles de 600€ en cada mesa, 6 tablets de 400€ en cada mesa, 8 mesas, ..., uff, cuantos euros aquí reunidos. Me he preguntado si todos los posibles clientes estaban interesados en comprar un equipo, pero me he ido fijando y me he llevado una sorpresa. 

Una chica estaba probando a abrir un documento ofimático de su propio pen!!! Al ver que podía, se lo ha dicho a su novio y se han alegrado efusivamente los dos, ¿?

Figura 2: chica conectando su pen a un portátil de la exposición

Un chico joven estaba jugando a un juego de aviones.

Figura 3: un chico jugando en un portátil de la exposición

Una chica joven estaba viendo un vídeo en youtube.

Figura 4: una chica viendo vídeos de Youtube en un ordenador de la exposición

En ese momento he visto todas las posibles amenazas de malware y ciberdelincuentes que podrían estar en su salsa en ese momento si se conectaran a esa red. Pero ¿Apple Store tiene wifi abierta? Me he salido fuera y en la propia puerta hay una zona de relax. Nada más llegar veo a muchísimos usuarios todos con el móvil en la mano. Es mucha casualidad que en la puerta del Apple Store se congregue tanta gente con el móvil si no es por algo común. He deducido que era para aprovechar la wifi.

Figura 5: usuarios posiblemente conectados a una wifi abierta

Figura 6: usuarios posiblemente conectados a una wifi abierta

Figura 7: usuarios posiblemente conectados a una wifi abierta

Con mi propio móvil es hecho algunas pruebas de wifi. En esa zona hay varias redes wifi disponibles, y dos de ellas abiertas: Apple Store y Puerto Venecia:

Figura 8: lista de redes wifi disponibles, 2 de ellas abiertas

Arriesgando la seguridad de mi propio smartphone, me he conectado a esas dos redes, y en la información de la conexión me sale la propia dirección IP que el servidor DHCP me ha dado:

Figura 9: mi dirección IP dentro de la red de PUERTO VENECIA

Figura 10: mi dirección IP dentro de la red de APPLE STORE

Hay que destacar que dentro del apartado "seguridad", mi teléfono me dice "ninguna", SEGURIDAD NINGUNA es la frase completa. Más claro , el agua.

Cualquier persona con un portátil y un sniffer de paquetes podría estar viendo en su pantalla no solo las páginas que son pedidas al servidor, sino los datos post de los formularios, o sea, los nombres de usuario y contraseñas que los usuarios mandan al conectarse a Facebook, Twitter, Gmail, Hotmail, ... así como el asunto, en contenido del mensaje y las imágenes o vídeos de whatsapp, por poner algunos ejemplos. Que turbio!!!

Los niveles de seguridad son esos: NINGUNO. Lo chungo es que mi teléfono, me notifica como una hazaña u oportunidad que no puedo dejar pasar el disponer de una red wifi abierta, sin ningún otro tipo de advertencia ni warning ni ventanita de color rojo:

Figura 11: aviso en mi smartphone de que existen redes abiertas

Figura 12: aviso en mi smartphone de que existen redes abiertas,
CORRE, CONÉCTATE, NO LO DEJES PASAR !!!

ACLARACIÓN TÉCNICA IMPORTANTE:
La clave que escribimos para conectarnos a una wifi, no solo es para evitar que nuestro vecino se conecte a nuestra adsl y se aproveche de la conexión sin pagar, su misión principal es la proporcionar a la conexión una clave de cifrado para que todo lo que se emite y se recibe entre el router y nuestro portátil, tablet o smartphone, viaje cifrado, encriptado, oculto, ... con el fin de que no pueda ser capturado por usuarios ajenos, o que si son capturados, no puedan ser "leídos".

La encriptación WEP ya no es segura a día de hoy. La WPA tampoco. Las que no tienen cifrado como son estas dos que he analizado no es que su seguridad sea ineficaz, sino es que no tiene seguridad. Hay que tener una seguridad de cifrado WPA2 con AES, para estar "más seguro", pero tampoco es infalible.

Una vez fuera de la zona comercial, he vuelto a revisar las redes disponibles y me han parecido graciosos un par de nombres de redes (SSID) que posiblemente el "administrador de turno" a puesto para evitar que la gente se conecte a ellas:

Figura 13: SSIDs por lo menos "chocantes", "caca" y "posible_virus"

Y ahora vamos a "hackear" la wifi!!! :

Figura 14: antena especial para wifis, ;-)

;-)

Para terminar, os pongo un enlace a un vídeo de Chema en el que explica un poco todo esto, en una entrevista con Jordi Évole en el aerupoerto de Madrid, Barajas:

Vídeo 1: Nos Espían, programa de Salvados TV,
entrevista que Jordi Evole tuvo con Chema Alonso
sobre la privacidad en Internet y las Redes
Sociales, emitido el pasado 18 de noviembre de 2013.

Conclusión, USA TU PROPIO 3G EN LUGARES PÚBLICOS !!!

Saludos!

Cálico electrónico, gracias

Como hoy es el día del trabajo, nuestra entrada no será de nada relacionado con lo laboral sino con el ocio. Hoy se ha emitido el último capítulo de Cálico Electrónico. No el último que se ha hecho, que también, sino el que cierra la serie. Han sido 11 años de risas y por qué no, de aprender alguna cosilla. 

Figura 1: Cálico Electrónico, la serie flash

Cálico nace como mascota de la tienda online ELECTRÓNICAWEB. Yo por aquel entonces solía hacer alguna compra en ese sitio de una cosas llamadas programadores y cards para el SECA y el NAGRA. Se hacía lo que se podía. Que tiempos aquellos, con el IVA al 16%, que si no van las keys, a reprogramar, ...

Figura 2: portal de electrónica web en 2004

Cálico es de nacionalidad española, un superhéroe que no duda en poner en peligro su vida para salvar la ciudad Electronic City de los malhechores. Para conseguirlo, adquiere dispositivos electrónicos de la tienda Electrónica Web. Al final de cada capítulo, vuelves a echarte otras risas más con las "tomas falsas" del rodaje de los capítulos.

El autor de la serie, Niko, con su equipo Nikodemo Animation, consiguió que la serie marcase un antes y un después en las series de animación por internet. Al ser la emisión gratuita, era necesario tener una fuente de financiación. Llegó a emitirse en varios países, pero la crisis llegó y los recortes hicieron lo suyo, recortar. Se anunció el final de la serie, pero primero Informática64 y luego 0xWord (empresas de Chema Alonso) adquirieron los derechos de la serie y consiguieron alargarle la vida un poquito más, hasta hoy, 1 de mayo de 2015.

Si queréis saber más, os pongo unos enlaces de interés:

• Web de Cálico y tienda oficial
• Web de Nikotxan
• Web de Informática64
• Web de 0xWord
• Canal oficial de Cálico en Youtube HD

Este vídeo es la entrevista a Nikotxan, explicando la "vida" de Cálico y la parte del making-of:

Vídeo 1: Entrevista a Nikotxan

Este es el último capítulo:

Vídeo 2: Último capítulo de Cálico Electrónico

Ya para terminar, os pongo los capítulos de Cálico que más me han gustado de siempre, unos por el buen rato que te hacen pasar y otros por el contenido "hacker", aunque no son todos los que me gustaría por no alargar el blog:

Vídeo 3: Temporada 3 - Capítulo 6: La generación de la bola
- Exactamente como mis años jóvenes -

Vídeo 4: Temporada 4 - Capítulo 4: Teenage Mutant Brother Agents 2
- Donde aparece Chema Alonso y puede aprenderse como se introducen los
virus en un sistema de modo muy muy muy gráfico-

Gracias Cálico, gracias Niko

Saludos!