Vulnerability Team

Tras la captura por parte de la Policia Española, hace unos dias, de supuestos integrantes de la ciber-banda Anonymous, ahora la actividad se ha centrado en Turquia ya que alli han arrestado a 32 miembros de Anonymous, después de que el grupo cyberactivista lanzara múltiples ataques distribuidos de denegación de servicio (DDoS) contra websites del gobierno del país, según la agencia estatal de noticias turca.

La agencia de noticias de Turquía, Anadolu Agency, ha informado que los miembros de Anonymous, grupo descentralizado de activistas, fueron arrestados en doce ciudades diferentes.

El pasado viernes, Anonymous informó a través de su sitio web, AnonOps Communications, que los ataques contra los websites del gobierno turco eran una forma de protesta contra los planes del país de “implementar un filtro de navegación por Internet” en agosto. Unos planes que provocaron el pasado mayo múltiples manifestaciones en 30 ciudades turcas.

Anonymous ha querido dejar clara cuál es su postura respecto al gobierno de Turquía. “En los últimos años, hemos venido siendo testigos de múltiples muestras de la censura aplicada por el gobierno turco, como el bloqueo de YouTube, Rapidshare, Fileserve y miles de otros sitios web”, explica el grupo. “Más recientemente, el gobierno cerró también el acceso a los servicios de Google. “Tales actos de censura son inexcusables”, continúa.

fuente: csospain.es

Seis servidores de la NASA expuestos a Internet han mantenido vulnerabilidades críticas que podrían haber puesto en peligro las misiones del Transbordador Espacial, la Estación Espacial Internacional y el telescopio Hubble al abrir la puerta a ataques Internet.

Según el inspector general de la NASA, las vulnerabilidades que dejaron expuestos los servidores a ataques Internet podrían haber sido descubiertas por un programa de supervisión de seguridad aprobado por la agencia el año pasado, pero aún sin implementar.

Todas ellas estaban relacionadas con proyectos de TI para el control de naves espaciales o que contenían información crítica de la NASA, según Linda Cureton, CIO de la agencia. Pese a ello, su inspector general, Paul Martin, comprobó que todavía no se había desplegado el sistema aprobado para detectar y corregir problemas similares en el momento mismo en que se producen y se ha dado a sí mismo hasta finales de septiembre para empezar a hacerlo.

nasa ataques InternetLa auditoría llevada a cabo para investigar el incidente ha revelado también que algunos servidores expuestos contenían claves de encriptación, contraseñas encriptadas e información sobre cuenta de usuarios, datos que podrían haber sido utilizados por los atacantes para acceder a la red de la agencia sin autorización.

Además del programa de supervisión de seguridad de la información que afecta a los servidores conectados a Internet, la CIO de la NASA se ha comprometido a iniciar el 21 de agosto otro programa piloto para descubrir los riesgos del resto de redes de la agencia, aunque no estén conectadas a Internet.

fuente: csospain.es

Gracias a los amigos de DragonJar traemos SET o The Social-Engineer Toolkit, es un conjunto de herramientas especialmente diseñadas para realizar ataques de Ingeniería Social en procesos de auditorias en seguridad, esta programado en Python por David Kennedy (ReL1K), quien hace poco publicó su versión 1.0 con grandes cambios. En este articulo se veran las principales opciones del The Social-Engineer Toolkit, ademas de las nuevas características (como la interface web) que se incorporaron al SET en su versión 1.0.

1-Iniciando el The Social-Engineer Toolkit

SET es multiplataforma, y solo necesitamos tener instalado el interprete de Python para ejecutarlo y ejecutarlo con ./set o Python set en la carpeta donde lo tengamos guardado (las dependencias que no tengas, las descargará automáticamente).

Al iniciar el SET, lo primero que vemos es un menú que nos ofrece una gran cantidad de opciones para lanzar nuestro ataque de ingeniería social, desde la creación de correos fraudulentos, paginas que al visitarlas infecta tu maquina, archivos multimedia que permite obtener acceso al equipo de la víctima, la posibilidad de enviar correo masivo, crear un CD/DVD o memoria USB que infecte la maquina y hasta enviar mensajes de texto que nos ayude en nuestra tarea.

2-Sistema de Phishing

El sistema de creación de phishing en el SET es bastante completo, nos permite generar automáticamente un sitio falso con el cual engañar a los destinatario o enviar enviar de forma masiva correos con adjuntos maliciosos que permiten el acceso remoto de su maquina.


3-Vector de Ataque Web

SET también permite realizar ataques automáticos a un usuarios que ingrese (por medio de ingeniería social) a una dirección que tu le especifiques (ahora lograr esto es mucho mas fácil gracias a los acortadores de direcciones), SET se encarga de subir el servidor y realizar el ataque que le especifiques (un applet de java, ataques múltiples, o tabnabbing entre otros…) que te devolverá una shell en el equipo víctima.


4-Creación de Medios Infectados

Permite crear un archivo que se conecte remotamente a nuestra maquina, ofreciéndonos una shell del sistema y se ejecute en el equipo remoto al introducirse una memoria/disco duro USB, o un disco DVD/CD aprovechando el “autorun” de windows.


5-Generar ejecutable con Payload

SET también permite (con la ayuda de metasploit framework) generar un ejecutable que se conecte remotamente a nuestra maquina, una vez lo abran en la maquina víctima, permitiéndonos configurar una gran cantidad de shells, entre ellas la famosa meterpreter, shells ciegas de windows, shells remotas y todo esto para procesadores a 32 y 64Bits


6-Ataques por Correo

En esta completa suite para hacer ataques de ingeniería social, se incluye una sección especialmente dedicada al correo electrónico, permitiendo enviar correos falsos o desde una cuenta gmail, a una o muchas personas.


7-Ataques con dispositivos Personalizados

Los dispositivos Teensy son todos aquellos aparatos en los que se ha utilizado la tableta programable Teensy en su elaboración, al ser altamente personalizable y programable se puede emplear en procesos de auditorias en seguridad como ya nos ha mostrado IronGeek en la defcon 18 y SET nos facilita la tarea al programar estos dispositivos, ofrecernos rutinas que al conectar un dispositivo de estos nos podría poner a bajar una aplicación externa o ingresar a un sitio especifico y aceptar un applet de java, infectandonos en el proceso.


8-Falsificando Mensajes de texto

Uno de los vectores de ataques mas eficientes a los que tenemos acceso con el SET, es el de envío de SMS (mensajes de textos) falsos, con los que podemos suplantar el numero telefónico que envía el mensaje, haciéndole pensar al receptor que efectivamente esa persona es quien le ha escrito, también incluye una opción para el envío masivo de SMS, por lo que podríamos enviar el mensaje a un mayor numero de destinatarios sin problema (la posibilidad de envíos a teléfonos fuera de estados unidos, depende de la disponibilidad del servicio por parte de las empresas prestadoras SohoOS, Lleida.net, SMSGANG).


9-Actualizando Metasploit y The Social-Engineer Toolkit

El SET esta ligado fuertemente al metasploit Framework, ya que muchas de sus funcionalidades las saca de este, por tanto incluye la posibilidad de actualizarlo desde su propia interface, así como incluye un actualizador para el mismo (recomendable que lo hagas cada que inicies el programa).


10-La interface web de The Social-Engineer Toolkit

En la versión 1.0 del SET se ha integrado una interface web, para lanzar todos los tipos de ataque que mencionamos anteriormente, para iniciar esta interface, solo tienes que ejecutar ./set-web o Python set-web.

Abrimos la dirección 127.0.0.1:44444 en nuestro navegador y nos aparecerá la interface gráfica del SET, desde donde podremos lanzar cualquiera de sus ataques.


Video de presentación de la versión 1.0 del Social Engineer Toolkit:



Pagina Oficial de SET
Manual Oficial de SET
Manual de SET en el Metasploit Unleashed

fuente: dragonjar.com

Twitter podría estar siendo víctima de un nuevo ataque que, en esta ocasión, sí podría afectar a los usuarios al quedar expuestos sus mensajes personales.

Según ha alertado SearchEngineWatch.com, cuando un usuario introduce el mail y contraseña que utiliza para Twitter en un sitio web de terceros, puede hacer que otras personas no autorizadas puedan acceder a sus mensajes privados. El experto en seguridad Gary-Adam Shannon, ha realizado una demostración en la que, utilizando WordPress y la API de Twitter, ha mostrado cómo un pequeño cambio en el código API puede enviar mensajes directos de usuarios directamente a su bandeja de entrada de correo electrónico.

De acuerdo con Shannon, esto demuestra que la seguridad de Twitter tiene aún que cubrir algunos aspectos en este sentido, por lo que recomienda a los usuarios no teclear las contraseñas de Twitter en otras páginas web.

Estas declaraciones, al hilo de la demostración realizada por Gary-Adam Shannon, se producen semanas después de que Twitter estuviera en el punto de mira por sus problemas de seguridad, primero por ser objetivo del virus Rainbow y, posteriormente, por ser atacada y aparecer un tweet que se reproducía en las cuentas de sus usuarios con contenido zoofílico.

fuente: csospain.es

Ayer se cumplió la amenaza lanzada por el grupo de ciberactivistas “Anonymous”, quien convocó para las 12 de la madrugada un ataque DoS masivo contra la web de la Sociedad General de Autores Española (SGAE). Pero además, el ataque derribo también el website del Ministerio de Cultura. Ninguna de las webs ha logrado aún recuperarse (10:00 am)

El grupo Anonymous, que opera en el portal americano 4Chan, lleva varias semanas realizando ataques organizados de denegación de servicios distribuidos (DdoS) contra diferentes objetivos en respuesta al intento de cierres de webs de intercambio libre de ficheros (P2P), en una iniciativa a la que sus autores se refieren como operación Payback.

Pese a que el ataque estaba convocado para las 12 de la madrugada, lo cierto es que a las webs de la SGAE y del Ministerio de Cultura habían sido ya derrumbadas a las cinco y media de la tarde.

Panda Security emitió ayer un comunicado en el que el director técnico de PandaLabs, Luis Corrons, aseguraba que la compañía se había “puesto en contacto con la SGAE para avisarles de la convocatoria y esta noche estaremos siguiendo en tiempo real los acontecimientos”.

Según advertía Corrons, viendo la progresión de objetivos de Anonymous en su operación Payback, “no nos extrañaría que vayan país a país convocando ciberprotestas contra los diferentes organismos protectores de los derechos de autor”.

El grupo de ciberactivistas argumenta que acabar con la “anarquía” del intercambio libre de archivos P2P actúan en contra de algo que ha permitido a los menos favorecidos acceder a parte de la riqueza cultural.

fuente: csospain.es