Ex - Hackers argentinos Casos de Exito (I)

El underground informatico se fue extendiendo en Buenos Aires a medida que se instalaban las PC. Si bien nuestra historia es mas breve que la de Estados Unidos y Europa, ya existen grupos y apodos que ameritan entre sus pares el caracter de leyenda. Es el caso de Ardita, quien antes de volverse una estrella, era reconocido entre los hackers como El Griton. El origen de los apodos se mantiene bajo celosa reserva tanto o mas que la identidad original de los cyberpiratas. Hoy, puede decirse que la mayoria de la primera camada de hackers porteños fueron reciclados por el negocio de la seguridad informatica.
Es decir: protegen los sistemas que antes vulneraban con pasion.

Entre estos hackers podemos ver diferentes casos de exito como el de Emiliano Kargieman (@earlkman), que pueden servir de sana inspiración a jóvenes hambrientos de conocimientos hackeriles...

Emiliano es el co-fundador de CORE Security Technologies, compañía líder en seguridad informática con clientes en todo el mundo. Kargieman es uno de los pocos emprendedores argentinos que logró crear una empresa líder en un campo a nivel mundial. Reconocido especialista en seguridad de la información, con decenas de trabajos publicados, contribuye habitualmente con artículos y publicaciones técnicas, y expone en congresos, conferencias y eventos de la industria. Con anterioridad a fundar Core, Kargieman trabajó en proyectos especiales del Banco mundial y realizó tareas de consultoría y desarrollo de productos de software para agencias de gobierno y compañías de primera línea a nivel mundial.
En 1996, él y 4 amigos más se lanzaron a la aventura de empezar con la empresa. Buscaban “Producir tecnología innovadora de seguridad informática en Argentina y distribuirla en todo el mundo”. Empezaron por localizar a algunos contactos de negocios previos, a través de los cuales consiguieron sus primeros clientes locales. De esta manera iban adquiriendo experiencia, y fueron surgiendo ideas de nuevos productos. Por otra parte lograron el reconocimiento de la comunidad técnica y de esta manera llegaron los clientes internacionales. Un detalle que no fue para nada menor fue el reclutamiento del equipo de trabajo. Desde un principio CORE se propuso formar un excelente equipo de profesionales, la mayoría de los cuales permanecen todavía en la empresa. La compañía comenzó a crecer y con ella su expansión mundial. Uno de los momentos más difíciles de CORE, sobrevino ante la falta de éxito de un producto en el cual se había invertido mucho tiempo y dinero. Este hecho marcó un punto de inflexión en el camino de crecimiento de la empresa, y fue necesario un cambio global de estrategia, enfocándose en un producto que hasta ese momento era secundario. El producto llamado CORE IMPACT introduce una automatización en prácticas de consultoría. El mercado proyectado a la hora del lanzamiento, estaba constituido principalmente por el ambiente de la consultoría, es decir un mercado relativamente pequeño. Al cabo de un tiempo resultó tener un mercado mucho mayor al previsto, con clientes como la NASA y la Casa Blanca que fueron de los primeros en adquirirlo. Actualmente CORE IMPACT lidera el mercado de “Automated Penetration Testing”, y la facturación de la empresa registró durante los últimos cinco años un crecimiento anual del 100%.
Hoy en día se desempeña como director de Aconcagua Ventures, una empresa cuya visión es: “Obtener retornos excepcionales para nuestros inversores, identificando e invirtiendo en proyectos innovadores de hi-tech en Argentina para desarrollarlos como compañías globales de alto crecimiento”.

El mismo le responde a un futuro Ingeniero Electronico desde su cuenta en Twitter :" 
Si alguna vez hiciste algo imposible, y te interesa hacer satélites, escribime. Estamos buscando gente. (software / electrónica / óptica) " es decir el límite está en vos .

PampaSeg seguridad desde La Pampa

Se realizarán en la ciudad de Santa Rosa, durante los días  22 y 23 de noviembre nuevas jornadas de PampaSeg. Durante ellas varios profesionales compartirán con el público interesado diversos conocimientos y actualización en materia de seguridad informática. Se concretarán en el Centro Municipal de Cultura de la ciudad de Santa Rosa, La Pampa.

En “PampaSeg” varios profesionales brindarán  sus conocimientos y experiencia a todos los jóvenes y adultos interesados; ya sea porque estudian o trabajan en áreas relacionadas con las tecnologías de la información y las comunicaciones, o simplemente desean ingresar a este mundo que sigue sumando adeptos para enriquecer sus conocimientos y aplicarlos en la actividad diaria.


Algunas de las disertaciones serán las siguientes:

Security in Personal Analytics Juan P. Braña: Esta charla presentará las últimas herramientas comunitarias y colaborativas donde diversos usuarios comparten y almacenan sus actividades diarias. Estas herramientas van desde las conocidas Redes Sociales, pasando por modernas técnicas de almacenamiento y análisis de datos hasta aquellas plataformas que permiten ingresar un código genético completo o complejas estrategias financieras que mueven billones de dólares por segundo.

Ingeniería social - Ignacio Allende: Hace mucho tiempo que existe la ingeniería social, siempre nos sacan información de algún lado, ¿Cómo lo hacen? Con el crecimiento de internet y las redes sociales, hoy en día nos vemos amenazados por estas personas que usan la ingeniería social como medio para sacar información. Se considerarán técnicas ofensivas y defensivas; y de qué manera se recolecta información para realizar ese tipo de ataques informáticos.

Potenciando tu router - Daniel Godoy: Personalización del router tp-link mr3020, los pasos que se siguieron para cambiar su firmware y el posterior desarrollo de una suite de pentest portatil, desarrollada utilizando tecnologías libres.

Hack Pinneaple - Cristian Amicelli: Pinneaple WiFi es un hardware que permite realizar distintos ataques a dispositivos móbiles, ya sea una tablet, smartphone, notebook, netbook e inclusive permite realizar el ataque contra un Access Point. Esto posibilita medir el nivel de seguridad en estos dispositivos. ¿Pero qué pasa cuando esto es usado con otros propósitos? ¿Cuáles son los riesgos? ¿Nos podemos proteger? La presente charla tiene como objetivo mostrar cómo se usa esta herramienta mediante algunas demostraciones en vivo y desde luego cómo darnos cuenta de la realización de estos ataques

Mobile Apps and How To Pentest Them - Gustavo Sorondo : Cada día, mas y mas gente utiliza aplicaciones móviles en sus dispositivos para acceder a información y/o almacenarla.
¿Cómo se testea el nivel de seguridad de estas aplicaciones? Esta charla permitirá a los asistentes conocer las tareas básicas que se realizan en un proyecto de Pentesting de una aplicación móbile, desde entender el funcionamiento de la aplicación a “reversear” su código y modificarla.

Los interesados en descargar el programa completo del evento podrán acceder a la dirección https://docs.google.com/file/d/0B1scG67D7ilVSFdtWUxBaDlndzA/edit
Más información en: http://www.pampaseg.org/

CHARLAS ekoparty 2013

SELECCIÓN DE CHARLAS ekoparty 2013

A continuación, les ofrecemos el listado final de las charlas que disfrutarán a lo largo de la ekoparty, y de sus respectivos Autores:


    "BIOS Chronomancy", por Corey Kallenberg, John Butterworth y Xeno Kovah
    "Atacando IPv6 con Evil FOCA", por Chema Alonso
    "Debuggers are really powerful - Pwning all of the Android things", por Mathew Rowley
    "Defeating Signed BIOS Enforcement", por Corey Kallenberg, John Butterworth, Sam Cornwell, y Xeno Kovah)
    "Compromising Industrial Facilities From 40 Miles Away", por Lucas Apa y  Carlos Mario Penagos
    "Shoulder Surfing 2.0", por Federico Pacheco
    "Do you know who's watching you?: An in-depth examination of IP cameras attack surface", por nahuel riva y Francisco Falcon
    "ERP Security: How hackers can open the safe and take the jewels", por Ezequiel Gutesman y Jordan Santarsieri
    "How I met ZynOS. A journey from compromised router to Zyxel’s OS internals", por Alexander Markov
    "Sentinel", por Nicolas Alejandro Economou
    "All your sextapes are belong to us", por Matías A. Ré Medina y Patricio Palladino
    "Weighing in on Issues with ´Cloud Scale´: Hacking the Withings WS-30", por Michael Coppola
    "Uncovering your trails. Privacy issues of bluetooth devices", por Verónica Valeros y Sebastián García
    "Droid Rage, Android exploitation on steroids", por Agustín Gianni y Pablo Solé
    "Ahí; va el Capitán Beto por el espacio", por Gera Richarte
    "A symbolic execution engine for amd64 binaries", por Felipe Manzano
    "String Allocations in Internet Explorer", por Chris Valasek

Servidor de Mail del Citedef comprometido? !

Hoy chequeando como de costumbre mis correos electrónicos veo que tengo uno proveniente de una persona del Citedef, para los que no conocen aqui en Argentina el Citedef es: El Instituto de Investigaciones Científicas y Técnicas para la Defensa (CITEDEF), del Ministerio de Defensa Argentino, lo primero que se me vino a la mente es "por fin se dieron cuenta que puedo contribuir a la Seguridad Informatica de la Nacion!!" pero siendo mas realista y como soy desconfiado por naturaleza, comencé a dar vueltas por el e-mail que no era otra cosa mas que una invitacion de las tantas que llegan a diario para compartir fabulosas sumas de loterias ganadas, herencias depositadas en algun lejano banco de Malasia y cosas así, lo que sería un spam común y corriente, lo que lo hace mas interesante desde el punto de vista de seguridad informatica es de donde proviene... una cuenta del CITEDEF el cual reza en su blog: "Primer Centro de Seguridad Informática del Estado El SI6 (Seguridad Informática “6”, por la cantidad de miembros originales de este grupo), comenzó sus actividades en el año 2003 y es el laboratorio de investigación y desarrollo en seguridad informática. Su principal objetivo es realizar actividades de investigación aplicada y desarrollo en esta área, tanto en el ámbito de la Defensa como en el ámbito general. Desde el punto de vista organizacional el SI6 es parte de la Gerencia de Recursos Informáticos del CITEDEF. Se han realizado proyectos de investigación en diversos temas tales como: Detección de Intrusiones, Clasificación de Intrusos, Identificación de Intrusos, Honeypots, Análisis de Patrones, Redes Privadas Virtuales (VPN), Firewalls, Firma Digital y Penetration Tests, entre otros. Ha llevado adelante con éxito un PICTO (Proyecto de Investigación en Ciencia y Tecnología Orientado) con fondos de la Agencia Nacional de Promoción Científica y Tecnológica del Ministerio de Ciencia, Tecnología e Innovación Productiva, y se ha presentado en la convocatoria de fines de 2011 de dicha Agencia, para obtener un subsidio para un nuevo proyecto de investigación. Sus integrantes son autores de varias publicaciones con referato y presentaciones a congresos. El Laboratorio ha descubierto vulnerabilidades de sistemas abiertos, algunas de ellas con repercusión internacional. El Laboratorio Si6 hoy está llevando a cabo uno de sus primeros proyectos de desarrollo en el que tiene la oportunidad de aplicar en forma concreta los conocimientos obtenidos durante este tiempo. Este proyecto consiste en el diseñar e implementar el primer SOC (Security Operational Center o Centro de Operaciones de Seguridad Informática) piloto, para la Dirección de Inteligencia (DI) del Ejército, a fin de contar con un centro de detección, análisis y toma de decisiones sobre amenazas y ataques informáticos a sus redes. La instalación y configuración se realizará primero en los laboratorios del CITEDEF, luego se implementará en la DI. La posterior operación de este SOC servirá para efectuar luego los ajustes necesarios al diseño original de modo de poder contar con un sistema completamente operativo, que podrá ser replicado en otras redes tanto del Ejército como del Ministerio de Defensa en general." la verdad despues de leer esto del Centro de Operaciones de Seguridad me quedo más tranquilo... mis datos están a salvo ;) http://citedef.blogspot.com.ar/ http://www.citedef.gob.ar/ Tengo el mail si alguien lo necesita, contactense conmigo.-

ekoparty Conferencia de Seguridad # 9

Annuntio vobis gaudium magnum: HABEMUS CFP! http://www.ekoparty.org/cfp.php - The CFP for #ekoparty2013 is oficially OPEN!

Security Princess

SAN FRANCISCO Two of Google's top Chrome and Google Apps security experts confessed that the problem of passwords will continue to plague the people who use them and computer security for the foreseeable future.
On the second day of the company's I/O conference here on Thursday, Eran Feigenbaum, the director of security for Google Apps, suggested that people follow three recommendations to stay safer online.

"You should turn on two-step verification, make sure [the browser] is up to date, and make sure your password recovery options are set," the six-year veteran of Google said.

His colleague, Parisa Tabriz, the head of Chrome security whose official title is "Security Princess," offered two more. "In Chrome you can set up multiple profiles, and you can use Incognito," she said, to avoid the technique of switching browsers while keeping profile information separate.
Not surprisingly, they said that fixing passwords so that when they're stolen from database breaches or phishing attacks, your account won't be compromised remains a difficult problem to solve.
"We are working on other approaches," said Feigenbaum. "But the challenge is something that users have with them, because two-factor authentication has a physical component."
This could be a phone, but it could also involve biometrics taken from a webcam or microphone.
Even two-factor authentication is not trouble-free, Tabriz said. "You could clone a thumbprint with a Gummi bear," she said, explaining one proof-of-concept way to break a thumbprint reader.
Sundar Pichai, the head of Chrome and Android, spoke of security as being a "core value" at Google during his keynote presentation on Wednesday. While it's true that Google has devoted much of its time and energy to making Chrome and Google Apps safer, it has not been able to create a system more effective than the password yet.

Tabriz noted that, "... there's something to be said for the fact that passwords work." It's not as if your passwords don't protect you. They're just not the pinnacle of computer security.

Another solution being worked on involves one-time passwords, said Feigenbaum. There's also third-party password managers, but they bring their own risks. "The difficulty with password managers is that they're storing passwords locally," he said, although many password managers, including popular ones such as LastPass, store your passwords in the cloud.

He joked, "We're coming out with a system based on your DNA."

One of the major problems with passwords is that they're forced to be complex in order to be harder for machine logic to guess, but that makes them harder to remember, too. "It's really unfortunate that there's a lot of conflicting advice and a lot of wrong advice," Tabriz said. Another part of the problem: as we improve machine logic, computers get better at guessing our passwords.

"Unfortunately," she said, "the human is often the weakest link in security."

Comentario: Para que practiquen un poco el Inglés y se deleiten con la belleza de la Princesa de la Seguridad...

LaParisa en twitter

Ataque DDoS Visual

Lo que se ve en el vídeo es el ataque DDoS que sufrió la organización VideoLAN(http://www.videolan.org/index.html) en sus servidores. La visualización que muestra está hecha con el software Logstalgia(https://code.google.com/p/logstalgia/).

Cada uno de los pequeños puntos de colores es una petición de acceso al servidor. Las que son del mismo color pertenecen al mismo host que las envía. A la derecha, vemos al servidor inundado de peticiones, tratando de servirlas todas (los puntos que rebotan de vuelta al host); los puntos que no recoge la paleta de la derecha y se pierden en la pantalla son el número de errores 404 que ven los usuarios que no pueden acceder.

La visualización es realmente gráfica: un DDoS es tal cual, un bombardeo masivo de peticiones que acaban por tumbar los servidores.

O sea... si en un gobierno todos los habitantes de un pais se enojan y actúan ... lo pueden tumbar