Crónica No cON Name día 2

Empieza el segundo día de charlas en la No cON Name.

La primera charla corría a cargo del maestro Ricardo Rodríguez. La charla tenía un título gracioso:

TuPOLLA throught NFC

Ricardo dio una master class de como funcionaba cierto sistemas de tarjetas, además de explicar NFC.

En esta charla se estudian las tarjetas inteligentes sin contacto de tecnología NFC. Concretamente, en esta charla se analizan las tarjetas MiFare Classic. Se muestra cómo funcionan, y cómo es su protocolo de seguridad... comprometido desde el año 2009. Este tipo de tarjetas son cada vez más utilizadas, tanto para usos de infraestructuras municipales (e.g. Bibliotecas municipales, piscinas, etc.), como apertura de zonas restringidas o pago de parkings públicos. En la charla se analiza un caso real de uso de esta tecnología, y su pobre protección con sus derivadas consecuencias, así como la experiencia de colaboración con las FCSE para poner en conocimiento dicha problemática, y sus resultados.

Ofuscación y estenografía de binarios

David Guillen

La charla de David trataba de explicar la técnica de la estenografía. El principal objetivo de la de la ponencias es dar a conocer una investigación en la que se evaluan las técnicas de ofuscación de datos y código en ejecutables así como propuestas de nuevas técnicas o variantes. Se hace hincapié en la estenografía de código máquina y se propone un nuevo método de ofuscación consistente en la creación de código sintético falso donde ocultar datos. Dado que el objetivo de esta herramienta es evadir todo tipo de software de análisis y detección de ejecutables sospechosos, cualquier posible avance y mejora en este terreno cuestiona los sistemas y algoritmos existentes que usan estas herramientas. En este trabajo no se hacen propuestas de mejora para el software de detección, pero esto es precisamente un beneficio, ya que de alguna manera se especula sobre cómo podría evolucionar en el futuro el malware.

Client-side password Encryption the 800lb Gorilla is your sysadmin

Pedro Fortuny&Carlos Amieva

No pude asistir a la charla por lo que os dejo una foto y la descripción de la web

Nowadays (think HostGator & Ed. Snowden), Systems Administrators cannot be trusted by default. Password security should not depend on their ability to monitor the server traffic. We solve this problem. Problem Statement: Prevent the system administrator (or a malicious root) from accessing in-transit authentication tokens (in-the-middle access). Solution: Use an external semi-dumb asymmetric key hardware token (the Sibyl), with new modifications.

/*! Bypass Web Application Firewall */

Omar Palomino

Aunque puede parecer una charla como cualquier otra, me ha gustado como Omar ha planteado la charla la verdad es que ha sabido ganarse al público.

La presentación tiene por objetivo identificar los diversos vectores de ataque de SQLi contra aplicaciones web protegidas por soluciones WAF (Web Application Firewall). Como objeto principal es presentar el funcionamiento de las principales soluciones WAF del mercado, realizar y comparar ataques SQLi en aplicaciones web vulnerables que cuentan con soluciones tipo WAF y las que no cuentan con la misma, identificar y crear conciencia sobre los verdaderos riesgos minimizados al adquirir una solución WAF y desmitificar que la adquisición de una solución WAF elimina el riesgo de ataques contra aplicaciones Web

Keep your sandbox for malware analysis unnoticed

Alberto Ortega

La charla de Alberto trataba sobre como planteó el proyecto Pafish y que tricks usaban algunas muestras para detectar entornos virtualizados.

Con la creciente cantidad de familias y muestras de malware, el análisis automatizado mediante sandboxing se ha convertido en una necesidad. El malware no se ha quedado atrás, y ha desarrollado técnicas para detectar si está siendo analizado, y en éste caso, alterar su comportamiento. Veremos las técnicas que utilizan con ayuda de la herramienta pafish, y las forzadas soluciones de las sandbox para análisis de malware respecto al tema.

Defeating Whatsapp's Lack of Privacy

Jaime Sánchez y Pablo San Emeterio

Tampoco pude asistir a esta charla así que os dejo la descripciñon con una foto del evento.

Con el escándalo de PRISM se ha empezado a plantear si no sólo Microsoft, Google, Apple o Facebook están colaborando con gobiernos para espiar los comportamientos de sus ciudadanos. ¿Será WhatsApp una de estas empresas?. ¿Almacena WhatsApp las conversaciones de sus usuarios?. El principal objetivo de la investigación es añadir una nueva capa de seguridad y privacidad que garantice que en el intercambio de información entre los integrantes de una conversación tanto la integridad como la confidencialidad no puedan verse afectados por un atacante externo. Para ello se desarrolla un sistema que permite anonimizar y cifrar las conversaciones y datos enviados mediante WhatsApp, de tal forma que cuando lleguen a los servidores no estén en “texto claro” y sólo sean legibles para los legítimos propietarios.

All your content providers are belong to me

Sebastián Guerrero

El objetivo de la presente charla, es concienciar al usuario, organización o empresa, que decide desarrollar su solución en forma de producto para plataformas móviles Android, de un nuevo vector de ataque que puede poner en peligro la integridad y seguridad de la información sensible y de carácter personal que es almacenada en los proveedores de contenidos. Dichos proveedores de contenido, son uno de los cuatro pilares sobre los que se erige la jerarquía base que sustenta toda aplicación que se instala en un terminal Android. Como acompañamiento de mi exposición teórica, se mostrará diversas herramientas de explotación que he ido desarrollando, tanto para plataformas móviles como para escritorio, culminando con la demostración de una pieza de malware única, capaz de realizar un ataque dirigido sobre un usuario/aplicación, filtrando al exterior toda la información sensible Almacenada.

Después de la charla de sebas, da por finalizado el ciclo de conferencias de la No cON Name de este año.

Comentar, que como novedad este año han incluído un CTF organizado por Facebook, aquí tenéis una foto de los campeones.