La Comunidad DragonJAR » Noticias Seguridad

Al que no quiere caldo… le dan SOPA

DragoN — Tue, 10 Jan 2012 22:10:57 +0000

Actualizado:
La administración del presidente Barack Obama respondió a la petición del pueblo y ha detenido de momento el proyecto de ley SOPA diciendo entre otras cosas:

“Aunque creemos que la piratería online desde sitios extranjeros es un serio problema que requiere serias respuestas legislativas, no apoyaremos una legislación que reduzca la libertad de expresión, incrementando riesgos de ciberseguridad, o que socave el dinámico, innovador y global Internet.”

Por lo visto no tendremos que saltarnos técnicamente la ley SOPA, pero igual la guía sirve para cualquier proyecto de ley que pretenda atentar contra nuestras libertades en la red, Godaddy también se ha retractado en su posición de apoyar la SOPA, pero sigue siendo un domainer que doblegado a las leyes estadounidenses, por lo que se sigue recomendando la migración a NameCheap.

Al ver que muchas de las iniciativas para generar leyes de “protección a los derechos de autor” fueron derrocadas (por ejemplo en Colombia la Ley Lleras) o postergadas, el gobierno de los Estados Unidos ha decidido lanzar dos nuevas iniciativas de ley llamadas SOPA (Stop Online Piracy Act) y ProtectIP (ahora llamado E-PARASITES) con las que pretenden convertirse en un firewall con alcance mundial para bloquear en cualquier momento cualquier sitio web que incumpla el copyright, utilizando tácticas como la presión a buscadores para censurar resultados, incautación de dominios, bloqueos a los proveedores de servicios e incluso bloquear cualquier tipo de ingresos que pueda tener el sitio “infractor” (¿les suena wikileaks?).

Para que te hagas una idea del alcanse de SOPA, vamos a poner un ejemplo; Supongamos que la ley se apruebe, si yo enlazo el video SOPA SOPA del grupo Encanto y los dueños de los derechos por ese video no están muy de acuerdo con esto, fácilmente podrían solicitar el bloqueo de nuestro dominio dragonjar.org, eliminar nuestros resultados de Google, cancelar nuestra cuenta de Google Adsense, y no solo eso ya que se considera como villano a todo el que facilite la infracción del copyright. Desde el lugar donde está el enlace (dragonjar.org), pasando por quien menciona la dirección en internet (Facebook, Twitter, etc..), haciendo inviable que el internet siga siendo tal y como lo conocemos hoy en día.

Grandes sitios como Twitter, Vimeo, Facebook, Digg, Redigg, etc.. tendrían que empezar a censurar su sus usuarios para evitar represarías legales, los foros de internet serian totalmente inviables y la libertad de expresión no se podría ejercer libremente, sin contar que cualquier avance o innovación en la red podría ser frenado fácilmente si la mafia de los contenidos no esta de acuerdo con el, como lo muestra la infografía de la iniciativa AmericanCensorShip.org:

Como es evidente, la ley esta apoyada por la industria corporativa del cine, música, televisión, video juegos, y hasta ropa, quienes están invirtiendo grandes sumas de dinero para que este proyecto de ley llegue a buen termino, de ser así estas empresas pasarían a tener un completo control económico de los contenidos en internet, haciendo valer “sus derechos” sobre los mismos, utilizando los medios que proporciona la ley para hacerlo.

Algunas de las empresas vinculadas con la SOPA son:

Activision
Channel
Disney
EMI
Godaddy buen momento para pasarse a NameCheap
Louis Vuitton
Mastercard
Merck
MPAA
NBC
Newscorp
Nike
Nintendo
RIAA
Sony Pictures
Time Warner
Universal Music Group
Viacom
Warner Music Group
Xerox
Entre otros…

Pero tranquilos, no estamos solos, La Electronic Frontier Fundation, Mozilla, Change.org y Save the Internet entre otros están recogiendo firmas para ejercer presión en el senado de los estados unidos y tratar de parar esto… ¿ Y nosotros que podemos hacer?

Apoyar las iniciativas de La Electronic Frontier Fundation, Mozilla, Change.org y Save the Internet.
¿Tienes familiares en USA? infórmalos adecuadamente, para que puedan oponerse a la ley como ciudadanos estadounidenses.
Apoyar proyectos como Dot Bit, Osiris y DUST.
Leer sobre como saltarnos la SOPA técnicamente.

Espero que esta información les sea de utilidad, cualquier comentario sobre ella es bienvenido, si deseas informarte mas sobre el tema te recomiendo los siguientes artículos:

Algunos videos que pueden ayudar a comprender el problema mucho mejor:

También puede interesarte...

¿Como se realiza el SMiShing?

DragoN — Sun, 11 Dec 2011 19:28:48 +0000

Actualizo esta entrada con un nuevo video que nos muestra la forma de actuar de los delincuentes que realizan el SMiShing ya que los casos reportados en esta temporada navideña han crecido significativamente.

El SMiShing es el término que se le ha dado a un tipo de “Phishing” que se realiza por medio de ingeniería social empleado mensajes de texto dirigidos a los usuarios de Telefonía móvil.

El fraude es muy simple, una delincuente envía un mensaje de texto haciéndole creer al destinatario que ha sido el ganador de una buena suma de dinero o que ha realizado una compra costosa con la tarjeta de crédito (en realidad puede ser cualquier otra historia, pero estas son las más comunes) y le pide que se comunique con un teléfono que le proporciona, para hacer efectivo su premio.

En esta comunicación, la víctima es guiada paso a paso por medio de engaños a realizar alguna acción definida por su atacante, que puede ir desde transferencia de dinero, a traspaso de minutos, o robo de información para suplantar su identidad, en el siguiente vídeo, escucharemos como un periodista de La W Radio, se hace pasar por una supuesta víctima de este fraude y nos muestran cómo actúan los delincuentes.

Video enviado por @6a68 este SMS fué enviado.

Otro audio gracias a juanalvarez9:

Este audio ha sido tomado por @ocioweb para iniciar la campaña “Trollea por una Causa”, cuyo objetivo es hacer perderle el tiempo a los delincuentes, para que en ese tiempo no puedan engañar personas que aun desconocen de este tipo de fraudes y caen fácilmente en él.

También puede interesarte...

FINALISTAS: Mejor Blog de Seguridad Informatica (Premios Bitacoras 2011)

DragoN — Tue, 08 Nov 2011 20:47:36 +0000

ACTUALIZADO:

Ya se dieron a conocer los ganadores de los premios Bitácoras para el 2011, y en la categoría “Mejor Blog de Seguridad Informática” donde estábamos participando junto a InfoSpyware y SecurityByDefault, y el ganador del premio fue….. InfoSpyware!!!, desde la comunidad DragonJAR felicitamos nuestro amigo Marcelo Rivero y a su comunidad, como tambien agradecemos a todas las personas que confiaron en nosotros y votaron por la comunidad DragonJAR, por que aunque el jurado no opinó lo mismo, el estar en la primera posición durante el mes que duró el concurso, es una muestra del trabajo bien hecho y el sentimiento de nuestros usuarios hacia la comunidad MUCHAS GRACIAS!!!.

Se dieron a conocer los resultados para los premio Bitácoras 2011, premio que desde el año pasado cuenta con la categoría ‘Mejor blog de seguridad informática’ y del que nos enteramos un mes después de iniciar (gracias a un twittero) que la comunidad estaba participando, en esa ocasión el galardón (muy merecido por cierto) fue para nuestros amigos de “Security By Default” quienes lograron destacarse frente a los otros finalistas ‘Un informático en el Lado Del Mal‘ y Kriptópolis.

Este año decidimos participar desde el inicio de los premios y GRACIAS a todo el apoyo recibido, nuestra comunidad DragonJAR fue seleccionada como una de las finalistas al premio de Mejor blog de Seguridad Informática Bitácoras 2011; junto a otros grandes como InfoSpyware y Security By Default, no conocemos el número total de votos, pero sabemos gracias a las clasificaciones parciales que el apoyo recibido ha sido ENORME.

No queda más que esperar la decisión del jurado (que no es fácil por cierto) y agradecer a todos ustedes, quienes votaron, quienes no votaron, los que ayudan en nuestros foros a resolver dudas, los que publican las suyas, quienes dejan comentarios y en definitiva, todos los que con su visita hacen que esta comunidad sea cada vez más grande, animándonos a seguir creciendo cada día más.

Por otro lado quiero hacer una mención a los blogs amigos que participaron junto a nosotros en esta edición de los premios bitácoras, agradecerles por hacer su trabajo y con ello lograr que la comunidad de la seguridad informática en español sea cada vez mejor:

Agradecemos de forma especial a nuestro amigo Marc Rivero (Seifreed) quien en representación de nuestra comunidad, asistirá este 11 de Noviembre a interQué (La Casa Encendida), Madrid España, para saber la desicion de los jurados, ya que no es posible para nosotros viajar a España.

También puede interesarte...

NMap 5.50

DragoN — Sun, 23 Oct 2011 22:17:23 +0000

Acaba de salir la ultima versión de NMap, una de las herramientas que toda persona que este relacionada con la seguridad de informacion debe conocer y utilizar, en esta nueva versión Fyodor’s su creador, ha tenido mucho trabajo, realizando mas de 600 cambios lo que convierte a esta versión 5.50 de NMap, la mas completa desde su lanzamiento en 1997.

Algunas características del NMap son:

Identificar computadores de una red
Identifica puertos abiertos en un computador objetivo.
Determina qué servicios está ejecutando.
Determinar qué sistema operativo y versión utiliza dicha computadora, (fingerprinting).
Obtiene algunas características del hardware de red de la máquina objeto de la prueba.

Las principales mejoras en la versión 5.50 de NMap

Soporte para el protocolo Gopher
Añadidos 177 NSE scripts
2,982 OS fingerprints añadidos
7,319 firmas de versiones agregadas
Inclusión de la nueva herramienta NCAT y NPING
Añadida la herramienta de comparación de escaneos Ndiff (para ver cambios entre escaneo y escaneo)
Mejora del rendimiento (notablemente)
Se ha publicado la guía oficial “Nmap Network Scanning”
Nuevo motor Nmap Scripting Engine (NSE) nos permite escribir y compartir scripts que automaticen tareas.

Descargar NMap 5.50

Para Mas Información:
Pagina Oficial de NMap

También puede interesarte...

The Real Hustle – Los fraudes al descubierto

DragoN — Thu, 25 Aug 2011 20:49:07 +0000

Hace unos años en la comunidad, publicamos algunos de los vídeos de la serie The Real Hustle donde empleaban técnicas como Bluesnarfing para robar minutos, mostraban las técnicas usadas por los delincuentes para clonar nuestras tarjetas, como roban portátiles en los aeropuertos y en general todo tipo de fraudes eran expuestos ante las cámaras con víctimas reales, para concientizar sobre ellos y alertar a los ciudadanos.

Gracias a un trino de @ocioweb donde comentaba que a @diarionocturno le había clonado su tarjeta de crédito, me di cuenta que esta información necesita mucha mas difusión, es por eso que les dejo algunos de los vídeos de esta excelente serie de la BBC donde dejan este tipo de fraudes al descubierto, solo seleccionaré algunos de los mas relevantes para el publico general y les dejaré el enlace al canal de esta serie, por si desean ver todos los demás episodios.

Les recomiendo empezar por este articulo publicado en el 2007 donde se muestran las técnicas mas comunes utilizadas para clonan las tarjetas de crédito/debito, las cuales se han popularizado en Latinoamérica desde hace algunos años.

Este video que nos comparte Jorge en los comentarios, no es de la serie The Real Hustle, pero nos muestra como clonan las tarjetas en las bombas de gasolina de Mexico.

El phishing es una técnica utilizada para suplantar una entidad de confianza y lograr que proporciones tus datos personales o bancarios, en el siguiente video vamos a ver un caso de phishing en la vida real, donde literalmente pescan nuestra casa, carro, dinero y tarjetas de crédito.

En el siguiente video, podemos ver com usando un poco de ingeniería social, se puede conseguir que el propietario de un vehículo entregue las llaves del mismo, para que los delincuentes puedan irse cómodamente en él.

En este video podemos ver otro tipo de fraude, donde intentan persuadir a una mujer de que su medidor de gas esta mal y debería cambiarlo para ahorrar en su cuenta, al final simulan el arreglo, ella paga y todos contentos.

A continuación veremos como con un poco de ingenio, un delincuente puede salir de una Mac Store con un buen monto de dinero en piezas de software.

Y los fraudes telefónicos?, en el siguiente video podemos ver como un nuevo tipo de fraude que poco a poco se extiende en Latinoamérica, consiste en configurar teléfonos móviles con una especie de “proxy” para que cada llamada realizada por su dueño, pase por este “proxy” que es un servicio de pago y por cada minuto de llamadas realizadas, recibiremos una cantidad de dinero.

Un fraude parecido al anterior, es el que se muestra en el siguiente video, podemos ver como con un poco de ingeniería social, se puede lograr que alguien te preste el teléfono para enviar un mensaje de texto, solo que el mensaje enviado, es para inscribirte en un servicio de mensajes de pago, con un sistema de afiliados que permite al delincuente ganar dinero con cada mensaje que recibes del servicio.

El robo “sutil” de un teléfono móvil

Otra muestra de ingeniería social utilizada para comer gratis en un buen restaurante

Otra variable del mismo fraude, pero esta vez multiplicada por 3 y afecta al dueño del establecimiento.

Si quieres seguir viendo otros tipos de fraudes, te recomiendo que visites el canal de este programa, seguro te asombraras de todo lo que pueden hacer y estarás mas prevenido para que no te pase.

PD. Si crees que debería añadir otro video de The Real Hustle, dejado en los comentarios y con gusto lo añado.

También puede interesarte...

Las peores Contraseñas en Español

DragoN — Sun, 15 May 2011 15:04:29 +0000

Las personas en su afán de hacer mas cómoda su navegación por Internet, tienden a utilizar contraseñas fáciles de recordar y utilizan la misma para los sitios que mas frecuentan; Este comportamiento es tan común que sin saberlo muchas personas utilizan la misma combinación de letras y números como su contraseña, varios factores influyen en esto, como lo son la disposición del teclado, el uso de nombres comunes, hobbies, etc…

A continuación les dejo una lista de las contraseñas mas utilizadas en español, si tu contraseña se encuentra en esta lista, por favor, cámbiala de inmediato, en la comunidad hemos proporcionado siempre información útil para maneja tus contraseñas fácilmente, herramientas para generar contraseñas seguras, e incluso aplicaciones que si no quieres utilizar una palabra clave, te permiten utilizar tu rostro como contraseña.

123456
12345
123456789
12345678
1234567
111111
Nombres Propios (alejandra, alberto, alejandro, roberto, etc..)
Contraseña
Tequiero
Típicos desde los 80′s (sexo,amor,dios,dinero, muchas veces se combinan con números para cumplir el mínimo de caracteres exigido)
Nombre de la Pagina (si la clave es de facebook, la clave será facebook, lo mismo con gmail, hotmail, etc…)
qwerty
000000
Hobby (equipos de fútbol, artistas o grupos musicales, nombres de actores o películas, etc…)
Cédula o números celular (son muy utilizados y dan sensación de seguridad, pero esta información se puede conseguir fácilmente)
abc123
tequiero
estrella
iloveyou
654321
bonita
mariposa
america

Para complementar esta lista, puedes ver los peores passwords de todos los tiempos y seguir las recomendaciones de seguridad que te enlazamos al principio, también puedes testear la seguridad de tu contraseña con esta herramienta online de Microsoft o la de password.es que incluye un generador de contraseñas seguras.

También puede interesarte...

Cómo funcionan y se crackean las claves en sistemas Windows

DragoN — Sat, 14 May 2011 00:24:38 +0000

Las contraseñas han sido por muchos años la medida de seguridad por excelencia para garantizar el acceso a las personas autorizadas de un sistema, pero no todas las implementaciones en los sistemas de acceso son realizadas correctamente, es el caso de los sistemas Microsoft Windows que en su afán de conservar la compatibilidad con versiones anteriores, permiten la utilización de cifrados inseguros para las claves que utilizamos en sistemas mas actuales.

El siguiente vídeo que me envía Omar Palomino, nos enseña claramente como funciona el sistema de contraseñas en Microsoft Windows, por qué no debemos usar contraseñas con menos de 14 caracteres y veremos varios métodos para crackear el sistema de claves en entornos Windows incluyendo el uso de Rainbow Tables.

Mas Información:
A la fuerza…. por fuerza bruta!!

También puede interesarte...

Recupera tu Password de FileZilla

DragoN — Wed, 11 May 2011 16:36:17 +0000

FilezillaPasswordDecryptor es una herramienta gratuita que te permite recuperar las contraseñas de tus servidores FTP almacenadas en FileZilla, funciona en Windows XP/Visita/7 y Server e incluye una versión portable por si has guardado tu cuenta FileZilla en mas de un computador (guiño Recupera tu Password de FileZilla guiño), permite guardar listas y es bastante rápido.

El mismo ejecutable que nos arroja esta bonita interface, si es ejecutado por linea de comandos y con un archivo como parámetro, nos guardará automáticamente las claves de FileZilla que encuentre en la maquina, algo muy útil si queremos automatizar el proceso recuperar nuestra clave de todos los computadores donde la hemos dejado, ~~sin levantar sospecha~~.

Aunque esta herramienta no es tan potente como otras que te permiten recupera TODAS las contraseñas almacenadas en tu equipo, es una buena opción a tener en cuenta si lo que deseas recuperar es solo tu cuenta de FileZilla.

Más Información:
Pagina Oficial de FilezillaPasswordDecryptor

También puede interesarte...

Cambia tu clave maestra en LastPass

DragoN — Sat, 30 Apr 2011 16:46:50 +0000

LastPass es uno de los mejores servicios para almacenar tus contraseñas en la nube y olvidarte de tener que recordar cada una de ellas, cuenta con multiples opciones que la diferencian de las demás alternativas, como su integración con multiples navegadores y dispositivos móviles, la posibilidad de utilizar claves desechables y la seguridad que nos ofrece su infraestructura.

Pero esta seguridad ofrecida se ha puesto en duda, después que desde su blog oficial anunciaran la detección de una anomalia en el trafico de su base de datos, por lo que esperando lo peor, nos advierten de cambiar nuestra contraseña maestra cuanto antes.

En la fuga de información es posible que se filtraran los correos electrónicos y los hash de las claves, por tanto la seguridad de la información almacenada en tu cuenta depende, en gran medida de la clave maestra que utilizaras para guardarla, si es una clave que se encuentre facilmente en un diccionario, cambiala inmediatamente, si por el contrario utilizaste una clave fuerte, puedes estar un poco mas tranquilo, pero igualmente es recomendable que cambies tu clave.

Aunque la medida adoptada por LastPass es un poco paranoica, me parece bastante acertado que avisaran a sus clientes sobre esta anomalia, previniendo así un daño mayor a sus clientes si una fuga de información fué llevada a cabo.

PD. En estos momentos el cambio de contraseña esta bastante saturado, por la cantidad de personas que lo están realizando al mismo tiempo, si tu clave es debil, te recomiendo que insistas hasta que puedas cambiarla, de lo contrario puedes esperar un poco mas hasta que el servicio se normalice.

Visita LastPass.com

Mas Información:
LastPass Security Notification

También puede interesarte...

Análisis de tráfico con Wireshark

DragoN — Mon, 04 Apr 2011 03:21:38 +0000

ACTUALIZADO: acabo de recibir otro correo, esta vez de Borja Merino (autor del texto), indicándome sobre algunas correcciones y mejoras realizadas al articulo, subo la nueva versión y actualizo la entrada para que todos disfruten de ella.

Hace poco recibí un correo de Jorge Chinea López en el que me comenta sobre un manual creado por INTECO (Instituto Nacional de Tecnologías de la Comunicación de España), sobre el “Análisis de tráfico con Wireshark”.

Este documento nos enseña con lujo de detalles como analizar trafico utilizando el famoso sniffer de red Wireshark, la temática del manual va desde el manejo de la herramienta como tal, hasta la detección de ataques locales (ARP Spoof, DNS Spoof, PORT Flooding, DoS) y el uso de herramientas como Snort para la detección de intrusos, lo dejo con la tabla de contenidos y el documento para ver online.

Para leerla online dale click en el centro de la revista y quedará en pantalla completa, o puedes descargarla en PDF desde este enlace.

Si te gustó este manual, pasate por los video tutoriales de wireshark que publicamos hace un tiempo en la comunidad.
Para mas información:
Anuncio Oficial en INTECO