Entre el 22 y 23 de octubre de 2015 se celebró la 5° edición de 8.8 Computer Security Conference que es la mayor conferencia de seguridad informática en Chile cuya temática es el hacking enfocada principalmente en compartir conocimientos y experiencias.
El 2015 no puede asistir al evento pero el equipo de 8.8 ha dejado los vídeos en su cuenta de Vimeo. A continuación les dejo los videos que no dejan de estar muy interesantes:
El Mal
Dr. Zombie
ZombieWalk
Yes, My Grandma Can Also Track You
Yaiza Rubio, Félix BrezoLas herramientas para la investigación sobre perfiles presentes en la red surgen como resultado de la utilización masiva de la red por parte de los usuarios. Partiendo de la premisa de que gran parte de los usuarios comparten alias en diferentes plataformas, OSRFramework es una herramienta de software libre que integra diferentes utilidades de investigación en fuentes abiertas principal consiste en la posibilidad de realizar búsquedas de usuarios en más de 200 plataformas diferentes con herramientas descargables por parte del usuario y que sientan las bases para la ejecución de ataques de ingeniería social más avanzados.
Revisiting hardware keyloggers, say hi to MIKEY: An offensive hardware keylogger
Jose Garduño
Dreamlab TechnologiesTraditional hardware keyloggers are passive data gathering tools that need to be recovered by the pentester/attacker in order to perform a posterior manual analysis on the data logged. With MIKEY (the man in the keyboard), we not only gather and analyse data from keypresses on the fly but also actively trick the user into providing sensitive information. Finally, the tool autonomously executes offensive HID attacks at an appropiate time, when the user is no longer in front of the system,by using the logged user credentials. This enables interesting movie-like scenarios, where suddenly, in the midst of the night, a computer wakes up and logs into the system, and then breaks havoc using everyone's favorite HID exploits.
Memorias de un perito Informático Forense Vol. II
Lorenzo Martínez
SecurízameSe trata de una exposición de dos casos forenses. Son experiencias reales llevadas a cabo por mí personalmente, relacionadas con tecnologías de información. Casos complicados de defender inicialmente desde un punto de vista técnico, y que sobre todo ponen a prueba la ética de un profesional ante determinadas situaciones.
Tu banca móvil, en forma simple y ¿segura? Estado de la Seguridad en App Móviles Bancarias
Cristián Rojas
CLCERTHoy en día, los bancos chilenos buscan convencer a sus clientes para que realicen sus operaciones bancarias con su celular mediante el uso de aplicaciones móviles disponibles en las tiendas en linea de las diferentes plataformas móviles, bajo la premisa de su facilidad de uso y su seguridad. Sin embargo, cuando se trata de información extremadamente sensible, como saldos financieros, números de tarjetas de crédito, datos de contactos del usuario, información geográfica, etc., cabe hacerse la pregunta: ¿Cuán seguras son estas apps?
En esta charla se mostrará el avance de la investigación desarrollada para la Tesis de Magister del autor, la cual consiste en un análisis de seguridad de las aplicaciones móviles para la plataforma Android de 9 bancos nacionales. Bajo los preceptos de la Divulgación Responsable, y en base a la experiencia del autor en desarrollo seguro de software, revisaremos las vulnerabilidades encontradas en las aplicaciones bancarias desarrolladas en Chile y las razones detrás de tales vulnerabilidades y sus riesgos asociados.
Un Big Data para las Apps de Android: eCrime & Hacking
Chema Alonso
Eleven PathsEn esta sesión Chema Alonso hablará de cómo se pueden utilizar las tecnologías de Big Data, Cloud Computing y OSINT (Open Source Intelligence) para poder descubrir cibercriminales en el mundo Android o para poder hacer hacking de empresas que han cometido fallos de seguridad en sus apps. Todo ello con un toque maligno }:)
Oauth Exponential
Julián Zarate
Seguros FalabellaOauth es una forma de autenticación sencilla basada en la generación de llaves, permite la autenticación del usuario permanente en la app sin tener que estar colocando usuario y contraseña cada vez que el usuario use la app. Este sistema es ampliamente usado por las grandes marcas como Facebook, Twitter, Intagram. Etc. Esto ha hecho que muchas apps implementen esta forma de autenticación pero no de forma óptima y segura, ejemplo almacenando las llaves de forma insegura, no caducidad de las mismas, etc, etc. Es por eso que en esta charla se mostrara:
* Explicación del funcionamiento del método de autenticación.
* Ventajas con respecto a otros medios de autenticación.
* Apps que la usan actualmente.
* Mostrar el funcionamiento usando herramientas de debug, como Xcode y Android Studio.
* Malas implementaciones realizadas.
* Ejemplos de aplicaciones en los stores que actualmente se puede sufrir la identidad del usuario.
Securing the Human Factor
Jonathan Fischbein
CheckpointThis unique session reviews the human factor through the latest major technological evolution from IT Security angles. The session is a complete vendor agnostic one. With the background of RED TEAM at a national level, we review several eminent multi-dimensional threats that are usually taken advantage by social engineering techniques. An interesting analysis on some of the best practices techniques and evaluation of its effectiveness through some of the popular Hollywood megahits. A controversial view into perception and awareness trends to assist more effective IT Manager on implementing corporate security strategy. Incident response presented from a different angle as a behavior exercise. To summarize, a complimentary view with the help of the human factor interaction and a visionary glance into the future.
Desmitificando la deep web de TOR y pentesting sobre instancias de TOR
Daniel Echeverry
TheHackerWayInicialmente se hablará sobre el significado de términos como “deep web” o “darknet” y se intentará explicar las características principales que tienen los contenidos que se almacenan en dichos espacios y el motivo por el cual, realmente no son tan especiales como nos lo han hecho creer. Posteriormente se explicará la arquitectura de la red Tor con un énfasis especial en el funcionamiento de los servicios ocultos, explicando en detalle el por qué aun constituyen una solución robusta a la hora de preservar el anonimato de los usuarios. A continuación se explicará cómo un atacante puede ejecutar procesos de pentesting habituales contra servicios ocultos en la red de Tor para romper su anonimato y finalmente, se presentará la herramienta TortazoWeb.
Detección de funciones inseguras en repositorios de software libre
Claudio Caracciolo, Pablo Gonzalez, Alfonso Muñoz
Eleven Paths, CriptoRedEn la actualidad sistemas GNU/Linux disponen de mecanismos para acceder repositorios de código libre desde los cuales se pueden instalar aplicaciones. Una de las preguntas que uno puede realizarse es si este código abierto cumple con los mínimos de calidad a la hora de programar o codificar. En otras palabras se presenta un sistema, en forma de prueba de concepto, que permite a los usuarios analizar el código fuente de las aplicaciones disponibles en repositorios abiertos que contengan funciones potencialmente inseguras en el lenguaje C. El uso de este tipo de funciones se remonta a varias décadas, y en el estudio presentada se podrá verificar que a día de hoy siguen siendo utilizadas. El uso de estas funciones puede desembocar en el descubrimiento de nuevas vulnerabilidades en el software que permitan la denegación de servicio o la ejecución de código arbitrario.
Rompiendo los sistemas de pagos de grandes compañías (Facebook y Twitter)
Fraph CoreEs una investigación que define a Skipping Valid Payment (SVP) como un tipo de fallo el cual te permite saltar la validación de un método de pago en el transcurso del proceso ya sea antes o después de la validación, y este también lo puedes llamar bug de salto.
TIME LINE de un ataque de malware banking
Javier LeónLa conferencia tiene como objetivo realizar una presentación de los resultados de un análisis forense realizado luego de un fraude financiero ocasionado a una entidad bancaria, por un ataque malware que ocasionó la transferencia de dinero por cientos de miles de dólares.
Esta presentación mostrara los antecedentes del caso y un análisis preliminar realizado por la entidad financiera y su departamento de seguridad en sus equipos de seguridad.
Posteriormente se demostrara la importancia de la realización de un análisis forense sobre los sistemas y equipos afectados, proceso que obvio esta entidad financiera, y al realizarlo posteriormente con una empresa independiente, identifico indicios que permitió crear la bitácora del ataque, permitiéndonos conocer que es lo que realizo el atacante antes durante y después del ataque.
Mostraremos la forma de infección y los archivos identificados que formaban parte del paquete de malware utilizado, analizaremos lo que realizaban los principales archivos maliciosos dentro del sistema, expondremos la forma recomendada de analizar los archivos binarios de malware para entender de mejor manera su objetivo dentro del sistema. Se revisaran las herramientas (free) y técnicas forenses utilizadas durante el proceso y los beneficios de los hallazgos del análisis forense como aporte a la seguridad de las instituciones.
Con esta presentación se desea generar un conocimiento más apropiados de una de las técnicas utilizadas para atacar entidades financieras, esto permitirá generar un aporte a la sociedad informática encargada del control de las seguridades, que les permitirá prevenir situaciones similares.
Hackeando en capa 8: Introducción al “Human OS”
Hugo BayonaTendremos una introducción a como atacar el Human OS, el sistema mas complejo y vulnerable en nuestro entorno regular y corporativo, gracias a un estudio consiente y constante se expondrán los temas necesarios para empezar en la Ingeniería Social sin necesidad hablar en complejos términos psicológicos y lograr vulnerar un sistema lejos del teclado.
También puedes revisar la cuenta en Vimeo de la 8.8 y encontrar versiones pasadas de la conferencia.
[+] salu2
[!] Zion3R
Ingeniero, me gusta la cyberseguridad, la programación y el blockchain.
