Archive for Correo electrónico

Bitmessage : 2º Parte

En el post anterior os hablé sobre Bitmessage. En éste, vamos a ver qué nos ofrece esta aplicación de correo electrónico distribuido.

En primer lugar, instalamos el cliente. Desde la web oficial, vemos que está disponible para Windows, Mac OS y, en el caso de Linux, tenemos el código fuente. Está escrito en Python. De hecho, el protocolo se llama Bitmessage y, el cliente, pybitmessage.

Una vez iniciamos la aplicación, nos pide si necesitamos configurar la red, o no es necesario. Esto es por si necesitamos indicar un proxy o similar.

Una vez iniciado, se conectará con la red y empezará a descargar la lista de mensajes, claves públicas, etc. Hay que recordar que su funcionamiento está inspirado en el protocolo de Bitcoin. Todos los mensajes pasan por todos los nodos y, la forma de saber si es nuestro o no, se basa en si tenemos la clave privada para descifrarlo.

Read more

Bitmessage

Una alternativa al correo electrónico tradicional, es Bitmessage. Es un protocolo inspirado en BitCoin, que pretende resolver el problema de la utilización de un servidor de correo por un lado y, por otro, la privacidad en la comunicación entre dos usuarios.

Nació en noviembre del 2012, con licencia MIT. Tras las denuncias de espionaje masivo efectuadas por Edward Snowden, en junio del 2013, su utilización se disparó, multiplicándose por cinco las descargas de este software.

La idea es la siguiente:

  • Creamos una red P2P anónima, que los usuarios van a utilizar para enviar sus mensajes.
  • Los usuarios van a poder crear diferentes identidades (desaparece el concepto de cuenta), que constará de una clave pública, con la que se cifrará el mensaje, y su correspondiente clave privada, para poder descifrarlo. Estas claves son compatibles con las utilizadas por BitCoin.
  • Los mensajes cifrados completamente (en el correo tradicional solo se cifra el mensaje y los archivos adjuntos), incluyendo emisor, receptor, asunto y, por supuesto, el mensaje, se copia a la red P2P, junto con los mensajes del resto de usuarios. Todos los mensajes pasarán por todos los clientes (nodos). El mecanismo para saber si un mensaje es nuestro o no, es sencillo: Si podemos descifrarlo, el mensaje es nuestro.
  • Los mensajes se almacenan cifrados en los nodos que componen la red P2P.

Read more

Usando OTP en WordPress y Gmail

Hoy retomo la publicación en el blog con un tema sobre contraseñas. Como sabéis, usamos contraseñas para todo, y es que los servicios Web como correo, redes sociales o banca online, así nos lo exigen. Por ello, el uso de contraseñas está muy masificado. Usamos contraseñas para todo. Menos seguras de lo que creemos pero se utiliza ese método que impide que cualquiera pueda entrar libremente a tus servicios de redes sociales, de banca, portales Web, equipos, etcétera…

No obstante, hay una falsa creencia de que usar contraseñas sean como sean, es estar seguros.

Evidentemente este pensamiento es erróneo y ocasiona muchos problemas de confidencialidad, suplantación de identidad, etcétera… Puestos en la piel del “pasota”, como me encuentro muy a menudo podríamos pensar “Es que nadie tiene que entrar en mi cuenta…” toma ya. Esto no es una ocurrencia mía para complementar el artículo sino que son palabras textuales que me han dicho en persona. Claro, y nadie tiene que robar coches, ni casas, ni negocios ni nada y sin embargo pasa. Pongamos la cosa difícil y al menos, cuando vean las dificultades, la tomen con otro ¿no?. Probemos pues  “Usando OTP en WordPress y Gmail”

2factor copia  Read more

Destapando el Phishing de Correos…por la mañana temprano.

Después del gran artículo de mi compañero Rafa Otal en el que nos ilustra de como utilizar Python y Nmap para descubrir la red, hoy traemos este artículo recién cocinado e improvisado que explicamos a continuación. Os recomiendo totalmente, la “saga” que irá ampliando poco a poco “Descubriendo la red con Python y Nmap – Parte 1” y “Descubriendo la red con Python y Nmap – Parte 2

Hace escasas horas, concretamente las 05:22 de la mañana, una hora muy prudencial, dónde las calles está cortadas e Internet apagado, le ha llegado a mi compañero Miguel Ángel Arroyo un correo que me ha reenviado posteriormente a mi cuenta para que le echara un vistazo.

Realmente, a mí todavía no me ha llegado a ninguna cuenta de correo, este tipo de phishing pero sentía curiosidad de como trabaja y por qué está haciendo daño. Aunque realmente, con el phishing se puede llegar muy muy lejos.

Un gran detalle de mi compañero que me manda malware en vez de un jamón jeje.

El artículo de hoy “Destapando el Phishing de Correos…por la mañana temprano” tratará de desgranar y/o identificar la procedencia del correo y de si es maligno o no. Además de extraer información.

CORREO_CA Read more

Phishing en un sitio Web comprometido

A raíz de una consulta de un alumno del curso de Hacking Ético, decidí investigar acerca de un enlace que había recibido de un amigo suyo, que éste no había enviado. Me comentaba que se trataba de un enlace falso que al parecer robaba las credenciales de algunos servicios de correo como Gmail. Obviamente, a nosotros en hacking-etico.com todo lo que sea investigar este tipo de delitos nos encanta, y si puede servir para ayudar y concienciar, mejor.

En primer lugar utilicé servicios online para analizar URL y verificar si se trata de una URL maliciosa o no, y en caso de que lo sea, por qué y qué motores de análisis lo detectan como tal. He usado virustotal.com obteniendo el siguiente resultado.

Phishing en un sitio Web comprometidoPara evitar problemas de confidencialidad y reputación, hemos preferido ocultar los datos del sitio Web. Además desde el equipo de hacking-etico.com nos pondremos en contacto con los responsables del sitio advirtiéndoles de que están siendo víctimas y su sitio está siendo usado para realizar phishing. Sí se puede observar que se trata de un dominio .com.ve, de Venezuela.

Como podéis observar dos motores, de los más importantes, nos indican que se trata de un sitio Web malicioso. Incluso Fortinet va más allá y lo cataloga como un sitio de phishing. Mini-punto para Fortinet. Read more

Extraer contraseñas del correo y redes sociales.

Hace poco comentamos los supuestos peligros de conectarse a una red Wi-Fi sospechosamente sin contraseña.

Expusimos a qué amenazas podríamos enfrentarnos como por ejemplo la clonación de un sitio Web tipo Facebook o Tuenti para obtener credenciales de acceso.

Esto supone un riesgo para nuestra privacidad ya que pueden fácilmente usurpar nuestra identidad. Por ello, en el artículo de hoy vamos a ver otro método para obtener contraseña de correo estando en una misma red local bien por cable o bien por Wi-Fi.

Con ello queremos demostrar que toda seguridad en tu propia red es poca, ya que con unos simples pasos estaremos obteniendo la clave.

La utilidad a usar es Websploit que podemos complementarla con algún escaner de red tipo ipscan, ettercap, etc… para identificar un objetivo.

wp

Read more

El fichero Hosts

Hay archivos o carpetas que pasan desapercibidas por su escasa interactuación con el usuario. No por ello dejan de ser importantes.  Aunque sí que es cierto que la falta de uso hace que las ignoremos.

Uno de estos casos y que solamente la gente involucrada en el inframundo informático conoce, es el archivo  “hosts”.

Este archivo lo posee tanto Windows, Linux como Mac. Y es casi vital por lo que puede ocasionarnos con un uso indebido.

Pero ¿Qué es el archivo hosts y qué hace?

hosts2

Read more

Port Knocking: El gran olvidado

El pasado día 18 y día 20, parte de nuestro equipo de ACONSA estuvo por el I.E.S Gran Capitán de Córdoba en unas jornadas tecnológicas llamadas “Sysmana2013“.

En estas jornadas se le dió un repaso a varios campos de la informática y por supuesto, nosotros expusimos el tema del Hacking Ético.

Casi al finalizar el taller de Hacking Ético el día 20, los alumnos asistentes, formularon diversas dudas y preguntas sobre la temática tratada. Y tras entrar en la ya típica “paranoia” de la seguridad, salió el tema del Port Knocking como una solución muy aceptable para evitar conexiones no deseadas.

Es poco conocido, pero eso no quita que sea de lo más efectivo e interesante.

En este artículo vamos a explicar a “grosso modo” de qué trata este sistema y cómo funciona.

Via: njcprinting.wordpress.com

Via: njcprinting.wordpress.com

Read more

MEGA. Segunda parte

Hace cuestión de escasos días publicábamos diferentes fallos en la seguridad de MEGA. Hoy la cosa se pone más seria si cabe. Ya que ha sido publicada una herramienta para extraer las claves de MEGA a través del email de confirmación que se envía a los usuarios. 

Creada por Steve Thomas, alias “Scoobz” puede complicar  y mucho la seguridad de nuestras cuentas de MEGA.

megacracker

Read more

Keyloggers: Eternos enemigos

Como bien sabemos, nuestra seguridad está siempre en jaque. La eterna lucha del atacante contra el objetivo. Una guerra con miles de batallas.

Por ello siempre hay que estar alerta. Pero estar alerta no significa estar en continua locura obsesiva, pero sí poner ciertas medidas como ya comentamos en anteriores artículos, como auditorías, cursos preventivos, firewalls, ids, dlp, etc…

No obstante un enemigo bastante popularizado hace varios años aunque más controlado en la actualidad puede poner en riesgo tus contraseñas. Los llamados Keyloggers.

Fuente:protecciononline.com

Fuente:protecciononline.com

Read more