Black Network Hacking

Ayer, hablé de cómo Yahoo virtually no hace autenticación some sort of los angeles hora de recuperar una cuenta sin 2FA, por esto, hoy os in this handset quería contar las diferentes maneras que n't atacante puede usar para robarte los angeles cuenta de Googlemail. Virtually no las comentaré todas, haré hincapié durante las más usadas durante las que years old considero más fácil de realizar.
Phishing clásico
Esta es los angeles primera manera que los criminales usan para robarte tu cuenta de Googlemail sin n't 2FA, ing menos, eso creo. Ya hemos visto antes, lo sencillo que es crear una world-wide-web de Phishing, para que los angeles víctima pique el anzuelo y simply the podamos robar los angeles contraseña. Algo muy very simple.
Troyanizandote el ordenador
Esta es otra de las formas más usadas. Consiste durante, mediante ingeniería societal, hacer que ght descargues n't determinado archivo aplicación, evidentemente, el archivo los angeles iphone app es maliciosa. Ya vimos también, lo sencillo que period of time crear n't troyano prácticamente indetectable por los angeles mayoría de antivirus.
Los permisos de las aplicaciones de tu smart phone
Como los angeles mayoría de usuarios usan continuamente su smart phone, una buena approach para robar sus credenciales de su cuenta de correo electrónico, es los angeles de crear una aplicación que como permisos, pida ver sus datos como su contraseña.
Recupera su contraseña
Esto es lo que vimos ayer, y simply es que resulta muy sencillo una vez que sabes su inbox. Conocer el inbox de una personality, es muy sencillo. Ahora os in this handset presentaré varias opciones para conocer el inbox de una personality.
-Buscando por Yahoo:  Podéis buscar n't determinado domino y simply sus documentos pdf file, por ejemplo, que dejen público durante Yahoo, además the incorporas el "@" y simply ght lo llevas puesto.
-Metadatos:  Puedes extraer los metadatos de los documentos ofimáticos que existen públicos durante Yahoo. Years old your dog hecho uso de ACLAS y simply de su opción de encontrar metadatos durante los documentos ofimáticos de una determinada world-wide-web. Years old your dog parado el análisis cuando encontró 3 e-mails, cuando hubiesen salido de googlemail, podríamos continuar minus el ataque.
Minus esto, podríamos probar las direcciones que nos han salido durante el proceso de extracción. Es importante antes de zilch, cerciorarte de qué usuarios usan virtually no n't 2FA. Esto es bronze sencillo como escribir las direcciones de correo electrónico obtenidos y simply pulsar durante "He olvidado los angeles contraseña"
Esto es lo que aparece cuando tienes n't 2FA durante tu correo, durante cambio, cuando virtually no comes with habilitado el 2FA, podrás ir saltando preguntas hasta llegar some sort of n't punto durante el que puedes escribir tu correo electrónico para que ght envíen ahí n't código de verificación.
Esto es muy peligroso, porque durante ese momento, podrás acceder some sort of los angeles cuenta de Yahoo de los angeles víctima y simply podrás cambiar su contraseña. Además, como sabéis, ing tener una cuenta de Yahoo, tienes some sort of tu mano una grandma cantidad de herramientas como Yahoo Fotos, donde pueden existir fotos de una personality que virtually no haya cambiado los angeles configuración predeterminada de su Google android y simply que cada foto que tome, ze irá haciendo copy. Lo que virtually no podría ser muy buena approach, dependiendo de qué tipo de fotos ze hayan hecho copy.
Estas daughter algunas de las fotos que years old permití que ze hiciesen copy. Pero puede que alguna personality, virtually no sepa que pueden llegar hasta tal punto y simply puede que deje fotos comprometedoras. Muchos casos de extorsión, vienen de cosas como esta.
Además, ya os in this handset comenté cómo podrían ver tus contactos que guardas durante tu cuenta de Yahoo una vez que ght hayan robado tu cuenta de Googlemail. Years old os in this handset your dog contado cómo podrían robar vuestra cuenta de Googlemail cuando virtually no usáis n't 2FA, ahora os in this handset toca some sort of vosotros protegeros y simply activar los angeles Verificación durante two pasos.
¿Hackeamos el mundo?
miércoles, thirty-one de agosto de 2016
Estaba years old auditando una de las múltiples webs que tengo que auditar, y simply una de las cosas que suelo hacer, es buscar qué usuarios de los que your dog conseguido obtener su correo, tienen virtually no n't 2FA durante sus diferentes redes sociales, y simply cuando estaba probando minus uno de los usuarios de una de las webs que estaba auditando, people di cuenta que Yahoo había cambiado los angeles forma de recuperar tu cuenta de Yahoo cuando virtually no tienes n't 2FA..
Como sabéis, una vez que conocemos una dirección de correo electrónico, podemos comprobar cuando tiene cuenta durante Youtube, Youtube, or anything else. Durante este caso, lo vamos some sort of hacer minus una cuenta de Googlemail que virtually no employ 2FA.
Los angeles approach es extremadamente sencilla, ya que basta minus escribir una dirección de correo electrónico, y simply cuando virtually no north american 2FA, nos pedirá que escribamos los angeles última contraseña que recordemos, y simply cuando pulsamos durante "Probar minus otra pregunta" nos aparecerán más preguntas como que cuándo ght creaste los angeles cuenta cuándo naciste. El truco está durante pasar hasta que ght pida que escribas una dirección de correo electrónico some sort of los angeles cual enviarán n't código de verificación para que puedas entrar y simply cambiar los angeles contraseña.
El problema está durante que virtually no ze realiza autenticación alguna para permitir que esa dirección de correo electrónico reciba el código de verificación. Years old esto lo your dog probado minus una cuenta mía some sort of los angeles cual the your dog cancelado el 2FA que tenía asociado some sort of esta cuenta solamente para probar esto-lo podría probar minus una cuenta de otra personality, pero tratar de iniciar sesión minus ese código podría ser ilegal, así que por cuando acaso, virtually no people los angeles juego-.
Esta entrada los angeles estoy escribiendo el fifteen agosto, ya que tenía que preparar charlas, por este motivo, virtually no sé cuando cuando ze publique los angeles entrada seguirá esta opción de recuperar una cuenta de Yahoo que virtually no tiene habilitado n't 2FA, aún así, ze lo reportaré para ver cuando lo cambian, ya que ght envían el código some sort of los angeles cuenta que especifiques gran problema.
Ya ze haya visto lo sencillo que es robar una cuenta de Googlemail, y simply recuerdo que todas las personas que tienen n't Google android y simply virtually no han cambiado los angeles opción de, por ejemplo, que las fotos que toman desde su port móvil, ze guarden durante los angeles nube. Years old by yourself lo recuerdo, que el caso de las famosas desnudas durante World-wide-web, es muy reciente
¿Hackeamos el mundo?
martes, 26 de agosto de 2016
Minus ACLAS, mis options han cuajado, hemos conseguido dar forma some sort of esas options que pasaban por as i cabeza para que n't auditor de seguridad tenga más fácil su laboriosa tarea, ya que durante estos días, some sort of n't auditor the piden auditar muchas webs durante poco tiempo, así que existen que automatizar. Una de las cosas que estábamos some sort of punto de implementar durante ACLAS, period of time buscar por tag words, por ubicación durante las diferentes redes sociales y simply que ght devuelvan qué perfiles daughter públicos y simply cuales daughter privados, y simply durante cuáles de esos perfiles públicos, puede existir información interesante de analizar como una LINK durante los angeles descripción minus algún fallo de seguridad, que sufra fugas de información, que tenga n't servicio de membership y simply vaya durante HTTP, or anything else, or anything else. Y simply ayer por los angeles tarde, terminamos de implementar esta función y simply people tiré bastante tiempo enredando minus esta nueva función, y simply lo que encontré fue bastante interesante.
Los angeles entrada de hoy, podría considerarse los angeles segunda parte de los angeles entrada "Gracias novi@, amig@, por tu culpa your dog sido hackeado", pero narrando cómo funciona nuestra herramienta ACLAS, de los angeles que estoy muy muy orgulloso.
Lo nuevo que hemos añadido es una lista minus las redes sociales más usadas-Facebook, Youtube i Instagram de momento- y simply n't auditor-en este caso yo- veterans administration seleccionando los angeles green societal durante los angeles que quiere meter los angeles nariz-en durante todas some sort of los angeles vez- y simply buscar por los tag words, los angeles ubicación de las fotos, facebook, or anything else. cuando existen algo interesante que analizar.
Nosotros, por algo interesante entendemos que cuando durante los comentarios de una foto de Instagram de una Respond some sort of n't twitter alguien haya dejado público su número de teléfono, su tarjeta de crédito, su correo electrónico, or anything else. cuando ese usuario durante su biografía de esa green societal tiene información como los angeles ubicación una LINK de una world-wide-web que sufra fuga de información, que tenga n't sistema de membership cuando veterans administration i HTTP durante vez de HTTPS, or anything else, or anything else, or anything else.
Minus esto, decidí probar durante Instagram minus mi querida Ceulaj durante los angeles ubicación de sus fotos y simply decidí ver qué mostraba. Lo que pretendemos, virtually no es sustituir some sort of n't auditor, virtually no, lo que pretendemos es que agilice el trabajo de n't auditor, que simplemente the muestre "dónde atacar", pero que ya ocean el auditor el que ze encargue de comprobar que de verdad es n't camino para atacar some sort of una organización y simply virtually no es n't falso positivo.
Lo que people mostraba ACLAS, es que había fotos minus los angeles ubicación durante Ceulaj, durante los angeles que aparecía perfiles públicos-importante esta distinción de público y simply privado- durante los angeles que durante algún usuario, aparecían WEB ADDRESSES de webs minus fugas de información y simply que iban durante HTTP, así que people fui some sort of ese usuario y simply lo comprobé.
Cuando mire el usuario, mire que period of time n't periodista- ya sabéis lo bien que people caen los periodistas : y simply que además de que durante su biografía contenía una LINK, también ze definía como "un caos de persona", así que como people hizo gracia, tenía que comprobar cuando de verdad period of time n't caos de personality, ing meos durante el ámbito de los angeles seguridad.
ACLAS informaba que ese usuario contenía durante su biografía una LINK de una world-wide-web que sufría fuga de información, contenía Delicious File types, Internet directories Listingsen esto virtually no people quiero centrar ing menos hoy y simply además, que durante el, había información jugosa y simply que esta world-wide-web iba durante HTTP y simply requira el membership tal y simply como podemos observar durante los angeles captura anterior. Como podéis imaginar, robarle los angeles contraseña solamente conectándose some sort of los angeles misma green wi-fi compatability que el administrador y simply abriendo n't analizador de tráfico de green, es muy sencillo, pero también podríamos probar enviándole n't send de Phishing ing administrador-ya que lo conocemos gracias some sort of los angeles fuga de información que sufre esta world-wide-web y simply que ACLAS nos haya reportado-. Esto es una función-la de enviar correos de Phishing, que espero que incorporemos pronto, además que ght avise ACLAS de cómo de fácil es suplantar el correo electrónico de una empresa. Ya veis, virtually no queremos dejar national insurance n't by yourself cabo suelto.
También ACLAS, nos avisaba de que los angeles world-wide-web iba durante HTTP y simply además de tener n't sistema de membership, también requería durante los angeles zona de contacto, información personalized como el nombre, las dirección de correo electrónico, el asunto y simply el mensaje, algo que cuando estás dentro de los angeles misma green que los angeles víctima y simply minus los angeles ayuda de n't analizador de tráfico de green, es muy sencillo de ver.
Además también nos reportaba que había información de los angeles organización como e-mails. nombres y simply número de teléfono, que espero que los e-mails virtually no los hayan reutilizado para cualquier otra green societal y simply que cuando usan n't 2FA basados durante TXT, virtually no hayan utilizado ese número de móvil, ya que de lo contrario, pondrían las cosas muy fáciles some sort of n't atacante.
Como veis, ACLAS veterans administration aprendiendo poco some sort of poco, pero ya agiliza mucho el trabajo de n't auditor de seguridad minus lo poco que the hemos incorporado. Nosotros esperamos que siga creciendo mucho más, para que así, analizar some sort of seguridad de una organización, virtually no requiera tanto tiempo, aunque como your dog dicho, virtually no ze trata de sustituir ing auditor, virtually no, solamente durante agilizar su trabajo, el auditor tendrá que seguir currándoselo, pero minus más facilidades, eso sí.
¿Hackeamos el mundo?
Ayer mismo, ya os in this handset hablé de nuestro nuevo proyecto de seguridad ACLAS, y simply conforme terminé de redactar el article durante el blog-que fue bastante tarde- people metí durante ACLAS y simply empecé some sort of mirar por lo que llevamos desarrollado-que ya puede dar para enredar n't buen rato- y simply people topé minus algo que people llamó los angeles atención y simply que people gustaría contar.
ACLAS, people mostró por pantalla una world-wide-web que podía permitir some sort of n't atacante de subir cualquier archivo some sort of una determinada world-wide-web, entonces decidí buscar cuántas webs ze veían afectado por este fallo.
Así que busqué durante 5 ó 6 webs para ver qué people people permitían hacer. Y simply lo que people encontré, durante los angeles mayoría de los casos people devolvían algo parecido some sort of los angeles captura que os in this handset muestro some sort of continuación.
Como your dog dicho, aquí ght permiten subir cualquier archivo. Years old virtually no lo your dog hecho, pero cualquiera podría subir n't archivo que virtually no pueda dejar muy bien some sort of los angeles empresa, pero eso ya lo dejo some sort of los angeles conciencia de cada uno, os in this handset recuerdo que nosotros somos los buenos.
Otra de las cosas que ght reporta ACLAS, daughter las cabeceras HTTP y simply ght chop qué webs permiten que los usuarios envíen datos suyos personales, memories como el send, el nombre, el teléfono, or anything else y simply que esas webs que permiten enviar esos datos, vehicle durante HTTP, lo que podría permitir some sort of n't atacante, conectándose some sort of los angeles misma green wi-fi compatability que los angeles víctima, obtener toda esa información. Todo esto nos lo chop ACLAS.
Como veis, podemos obtener el send, el asunto y simply el comentario-que i este caso your dog probado minus test@ y simply derivados-. Imaginad que fuese una organización que north american este sistema para que sus clientes reportes que l'ensemble des vehicle mal n't determinado aspecto de una herramienta una iphone app, pues n't atacante podría ver qué the veterans administration mal durante una herramienta y simply atacar some sort of los angeles víctima. Algo que por n't fallo de n't tercero, ght puede perjudicar some sort of ti
¿Hackeamos el mundo?
Durante SoftCrim nos hemos embarcado durante otro nuevo proyecto, lo comenzamos antes de las vacaciones que l'ensemble des ofrecí y simply ya teníamos algún que otro avance durante esta herramienta, pero hemos decidido esperar some sort of publicar los avances que llevamos hasta hoy ya que teníamos que revisar algunas cosas y simply seguir haciendo pruebas.
El equipo de programación está haciendo n't muy buen trabajo, están respetando las options que propuse, están siguiendo perfectamente qué es lo que quiero que haga esta herramienta, una herramienta que por custom logo design tiene some sort of n't elefante rosa, ya que vivimos durante las alucinaciones de que los angeles seguridad informática es complicada.
Supongo que recordaréis los angeles antigua herramienta durante los angeles que estábamos trabajando, una herramienta que ze canceló porque los angeles personality some sort of los angeles que the dediqué los angeles herramienta, ze molestó Ze molestó porque los angeles herramienta tenía su nombre, y simply reitero, sólo period of time dedicarle una herramienta para que dicha herramienta fuese bronze perfecta como esta personality, que ze nos olvida leerlo todo.
Por esto, hemos decidido que el nombre de los angeles herramienta durante los angeles que estamos trabajando, debe ser ACLAS... que daughter las siglas de
Ana
May well
Really enjoy
Just about all
Solutions
Así, cumplo minus lo que prometí de virtually no decir zilch directamente delete nombre de esta personality, minus esta herramienta existen que pensar ya n't poco más.
Nosotros ya teníamos una ligera approach de lo que queríamos que hiciese ACLAS, y simply es que básicamente, queremos reunir las mejores medidas de seguridad, todas durante una sola herramienta. Lo único que vamos some sort of hacer, es algunas modificaciones durante los angeles interfaz i incluiremos una serie de trabajos de investigación que estamos realizando para mejorar los angeles seguridad.
Durante los angeles captura anterior, podéis ver el proceso de los angeles creación de los angeles interfaz gráfica de ACLAS, durante donde ya hemos incorporado las opciones de localizar las Fugas de Información de una LINK que vayas some sort of analizar. Aquí entran los metadatos, los auction or sale listings, or anything else, cualquier información que nos permita realizar n't ataque como el que ze realizó some sort of Ceulaj Además, los angeles otra opción es los angeles opción de obtener las cabeceras de los sitios HTTP donde ze suelen encontrar más metadatos, aunque también estamos incorporando los angeles opción de encontrar las personas que existen cerca de ti y simply que publican algo relevante some sort of una determinada world-wide-web, por ejemplo, los angeles de Ceulaj, que veterans administration durante HTTP, para que así, cuando Ceulaj tuviese los angeles opción de iniciar sesión, podamos robarle las credenciales some sort of esas personas, realizando n't previo ataque some sort of los angeles green wi-fi compatability some sort of los angeles que esa personality ze conecte realizar n't rastreo por las facets de datos de Wardriving y simply obtener some sort of qué redes wifis de tu ciudad ze conecta, para que así n't auditor-digo auditor porque los angeles herramienta está enfocada para mejorar los angeles tarea delete auditor de seguridad, virtually no para aprovecharse de gente inocente- sepa dónde tiene que atacar y simply dónde virtually no. Vamos, hacer su tarea más sencilla.
Esta herramienta, durante principio, ze l'ensemble des proporcionarán únicamente some sort of empresas, para que así pueden estar pendiente de cómo anda su seguridad, pero virtually no descartamos los angeles opción de abrirla some sort of todo el público.
Aún quedan muchas cosas por implementar, como los diferentes extensions minus las diferentes vulnerabilidades que ze vayan descubriendo que ya estén descubiertas. Es decir, es una herramienta de Pentesting Persistente.
De momento, ésto es lo que llevamos minus nuestro elefante rosa de los angeles seguridad, cualquier novedad, cualquier disturb vulnerabilidad que encontremos minus ACLAS, os in this handset lo iré comentando por el web site, para que así veáis que funciona. Por ejemplo, todo el tema delete ataque some sort of Ceulaj, minus los angeles implementació de crear formularios y simply correos de Phishing más lo que tenemos de momento, ze podría haber realizado durante mucho menos tiempo, y simply es que el tiempo, es algo standard durante los angeles seguridad.
¿Hackeamos el mundo?
Muchas veces podemos recibir una llamada durante Oculto de n't amigo que nos esté gastando una broma, pero virtually no siempre los que llaman de esta manera daughter bromistas, muchas veces lo que tratan es de molestar y simply tensar some sort of una determinada personality llamándola una y simply otra vez. Pero lo cierto es que existen trucos, existen herramientas que ght permiten saber quién es el "bromista" que ght llama minus número oculto.
Existen durante Yahoo Enjoy algunas aplicaciones que ght permiten saber quién ght llama minus número oculto, ing menos eso dicen. Years old your dog dado minus una herramienta que ze llama TrueCaller y que es los angeles iphone app que os in this handset traigo hoy.
El proceso de instalación y simply empezar some sort of usar los angeles aplicación, es algo muy sencillo y simply que todos sabéis hacer, eso espero.
Esta aplicación está disponible para el sistema IOS también cuando virtually no recuerdo mal. Cuando estés terminando de registrarte durante los angeles aplicación, el último paso es recibir una llamada durante oculto falsa para comprobar cuando de verdad funciona los angeles herramienta.
People parece una aplicación muy some sort of tener durante cuenta, para así librarte de esa pesado pesada que insista durante llamarte durante oculto para simplemente, molestar.
Este artículo lo tenéis explicado durante detalle durante ComputerHoy, por cuando queréis visitar los angeles world-wide-web para ampliar información.
¿Hackeamos el mundo?
Recientemente, una personality contactó conmigo por Youtube para que the explicase cómo de complicado podría ser que los angeles espiasen, ya que esta personality estaba notando que su privacidad había estado comprometida. Lo cierto es que the pasé enlaces some sort of entradas de mi web site donde explico más menos lo que ella people preguntaba, pero cuando llegó some sort of los angeles parte de Whatsapp, people quedé sin los angeles opción de pasar entradas para que esa personality los angeles leyese, durante vez de tener que pararme some sort of explicárselo years old. Ésto lo hago simplemente porque voy muchas veces minus el tiempo justo, y simply virtually no tengo tiempo para pararme some sort of contestar some sort of toda los angeles gente que people hace consultas, por eso, people your dog visto casi durante los angeles obligación de hablar sobre esto.
People gustaría empezar por el problema de usar Whatsapp World-wide-web cuando lo tuyo virtually no es mucho los angeles seguridad, y simply es que aquí, podemos los atacantes pueden aprovechar el desconocimiento delete usuario medio para poder espiar sus mensajes de Whatsapp.
Como muchos sabéis, cuando una personality quiere usar Whatsapp para el ordenador, tiene que hacer uso de Whatsapp World-wide-web, durante los angeles cual toda personality que quiera hacer uso de este servicio, debería ir some sort of escanear el código QR que aparecerá durante los angeles world-wide-web y simply así, ze autenticará durante i servicio y simply podrá usar Whatsapp para COMPUTER.
Como muchos deberías saber, este código está durante unos segundos, después de esos segundos, el código cambia.
Para espiar los mensajes de una personality, una opción es escanear desde su móvil, el código QR de los angeles world-wide-web de Whatsapp que tendrás durante tu ordenador, pero ght puedes encontrar minus el problema de que tenga una contraseña patrón de desbloqueo durante su port, minus lo que tendrías que esperar some sort of que ze descuido y simply ze vaya ing baño sin el móvil-algo raro- y simply deje el móvil desbloqueado.
Otro recurso que tenemos some sort of nuestra disposición, como ya sabemos lo sencillo que es crear una world-wide-web de Phishing, lo que podríamos hacer es crear una world-wide-web que simulase ser los angeles world-wide-web de Whatsapp, contratar n't dominio que fuese lo más parecido some sort of para que los angeles víctima ze pueda confundir fácilmente y simply by yourself nos quedaría enviarle esta página de Phishing usando ingeniería societal, y simply esperar some sort of que scané el código y simply tendríamos acceso some sort of todos sus mensajes de Whatsapp.
Por esto es muy importante, saber some sort of dónde nos conectamos y simply asegurarnos siempre que ing sitio ing que nos conectamos es realmente el que chop ser, ya que puede ser muy fácil durante caer durante engaños de este tipo.
¿Hackeamos el mundo?
Entrada destacada
Durante los angeles entrada de ayer llamada "Inseguros gracias some sort of Injuve" mostraba cómo ing igual que durante los angeles mayoría de las webs que usan Drupal y simply...
Cómo cualquiera puede ver los angeles fuga de información de tus sitios HTTP usando las Matemáticas
Teoría de Manu Alén
Cargando...
Animalistas
Proyectos y simply fundaciones que velan por el bien de los animales
Los angeles Informática VIRTUALLY NO juega some sort of los dados- Manu Alén
Contacta conmigo
Herramientas que uso
Teoría de Manu Alen
Visitantes
Etiquetas
Este contenido todavía virtually no está preparado para las conexiones cifradas.
Entradas populares
Efectivamente, durante Snapchat virtually no ze pueden guardar fotos, pero por lo visto el fallo stay durante una aplicación llamada SnapSave Conclusión, queen...
Como ya dije durante el article de ayer explicando lo sucedido minus "rafa1", uno de los sitios de donde mire que su usuario y simply contraseña, fu...
Plantilla Very simple. Minus los angeles tecnología de Doodlekit.