“Hackeando el Sistema” es una charla de Chema Alonso y Nico Waisman (Red Innova 2012) para público no técnico que explica, con humor y ejemplos reales, cómo nacen los bugs y los exploits, cómo funciona su mercado y por qué la actualización y la cultura de seguridad son decisivas.
Si buscas entender de forma clara “qué se rompe, por qué y para qué”, esta sesión condensa metodologías, fallos comunes, casos reales y una demostración práctica donde un atacante obtiene control total del equipo de la víctima con un solo clic.
Tabla de Contenido
Metodologías ágiles, documentación y el origen del bug
La charla rompe el mito de que solo el usuario se equivoca. Programadores y técnicos también fallan, y esos errores se convierten en vulnerabilidades.
Se critica el uso ligero de “metodologías ágiles” como excusa para no tener metodología. El resultado es código frágil y difícil de mantener.
“¡Qué raro, pues en mi computadora funciona!” — un síntoma clásico que oculta deuda técnica y escenarios no contemplados.
“Spaghetti code” y cultura de comentarios
El “spaghetti code” describe código desordenado y acoplado. En ese caldo de cultivo, los comentarios se transforman en catarsis: “docu-mentar” para quejarse y “docu-blasfemar” para maldecir.
El tono es coloquial y con humor, pero el mensaje es serio: sin disciplina y documentación, los fallos se multiplican y llegan a producción.
Casos reales: FOCA, .svn expuesto y un bug curioso en Windows
Chema muestra un hallazgo real: con su herramienta FOCA identifica un `.svn` público en una web de Apple. Eso revela estructura de archivos y expone un explorador que abre carpetas del sistema.
También enseña un fallo persistente de Windows que impide crear una carpeta llamada “con” de forma normal, pero admite un rodeo con comando. Luego, esa carpeta es difícil de eliminar para un usuario común.
| Concepto | Aplicación |
|---|---|
| Repositorio expuesto (.svn) | Filtra estructura y archivos sensibles; puerta de entrada a más hallazgos. |
| FOCA | Automatiza recolección y análisis de metadatos para descubrir superficies de ataque. |
| “con” en Windows | Comportamiento del sistema que permite crear carpetas problemáticas con trucos. |
| Deuda técnica | Acaba en fallos explotables cuando el código crece sin control. |
Seguridad ofensiva: por qué “el equipo rojo” suele ganar
Nico explica que el atacante solo necesita un fallo para entrar. La defensa debe cubrir todo el espectro, todo el tiempo.
Un pantallazo azul (BSOD) no es “un susto”, sino un indicio: puede señalar un bug que derive en vulnerabilidad explotable.
Tipos de vulnerabilidades y su valor
Las vulnerabilidades se agrupan en públicas, half (corregidas en un software, no en otro que lo usa) y las más valiosas: 0-day, desconocidas para el fabricante.
El mercado de exploits es amplio. Lo nutren fabricantes que pagan recompensas, gobiernos que adquieren capacidades y el mercado negro con precios elevados: para iPhone se citan cifras de USD 100.000–250.000.
Ciberguerra y el caso Stuxnet
El ciberespacio se contempla como nuevo dominio de conflicto. El referente técnico es Stuxnet, señalado como ciber-arma contra el programa nuclear iraní.
Se destaca su capacidad de alcanzar redes aisladas con USB y dañar de forma sutil procesos industriales, como las centrifugadoras.
Demostración en vivo: del clic al control total
La demostración guía la ruta del atacante: se prepara una página con exploits, la víctima visita con un navegador desactualizado y el fallo se desencadena.
El atacante consigue sesión remota, sube un troyano (DarkComet), lo ejecuta y toma control: escritorio, webcam y más, todo tras un clic.
Metodología paso a paso
- Ingeniería de la trampa: Clonar una web legítima (ej. Red Innova) e incrustar exploits en la página.
- Exposición de la víctima: Un navegador desactualizado visita la página sin sospechar.
- Trigger del exploit: El navegador falla y el atacante obtiene una sesión remota.
- Persistencia: Subir un troyano (p. ej., DarkComet) y ejecutarlo para ampliar control.
- Post-explotación: Ver escritorio, capturar webcam y moverse por el sistema.
- Conclusión operativa: Un clic basta cuando el eslabón débil es el factor humano.
Preguntas frecuentes
¿Los errores son culpa de los usuarios?
No exclusivamente. La charla subraya que programadores y técnicos también cometen errores. Sin metodología ni documentación, el código se vuelve frágil y nacen los bugs que después se convierten en exploits reales.
¿Qué es “spaghetti code” y por qué es peligroso?
Es código desordenado, acoplado y difícil de mantener. Fomenta parches y comentarios de desahogo como “docu-mentar” o “docu-blasfemar”. Esa cultura multiplica fallos y eleva el riesgo de vulnerabilidades en producción.
¿Cómo se clasifica una vulnerabilidad?
En públicas, half (arreglada en un software pero latente en otro que lo usa) y 0-day, la más valiosa porque nadie más la conoce. Estas últimas alimentan un mercado en el que participan empresas, gobiernos y actores del mercado negro.
¿Qué muestra la demo paso a paso?
Que con un navegador desactualizado basta un clic: se activa el exploit, se obtiene sesión remota, se carga un troyano y el atacante gana control total del equipo (escritorio, webcam, etc.). El vector clave es el usuario y su superficie de ataque diaria.
¿Son “más seguros” los Mac?
La respuesta ofrecida en la charla desmitifica esa idea: se afirma que en seguridad estaban “años por detrás” de Linux y Windows en ese momento. La regla general es la misma: actualizar todo y reducir superficie de ataque.
Recomendaciones que deja la charla
Actualiza todo: navegador, sistema y antivirus. Un usuario promedio difícilmente será objetivo de un 0-day carísimo, pero sí de fallos conocidos si no parchea.
No subestimes los sitios “inocentes”: se menciona que blogs personales y páginas religiosas resultaron más peligrosos que la pornografía el año anterior.
Conclusión
Puntos clave: (1) La falta de método crea bugs explotables. (2) La ofensiva necesita un fallo; la defensa, cobertura total. (3) El mercado de exploits y la ingeniería social premian al atacante. CTA: Mira el video de la charla y comparte estas lecciones con tu equipo.
