Hackers amenazan con borrar millones de clientes de Apple

Recientemente un grupo de hackers turcos que se hacen llamar "turkish-crime-family"(TCF), amenazaron a la compañía Apple con borrar millones de cuentas si no acceden a pagar una cuantiosa cantidad en millones de dólares.

Vulnerabilidad en Apache Struts compromete a miles de servidores

Talos el equipo de seguridad de Cisco,  ha observado ataques activos contra una vulnerabilidad 0day  en Apache Struts la vulnerabilidad corresponde a (CVE-2017-5638). Cisco investigó la vulnerabilidad poco después de  una serie de ataques alrededor del mundo.

Según los investigadores, el problema es una vulnerabilidad de ejecución remota de código en el analizador Jakarta multipart de Apache Struts que podría permitir a un atacante ejecutar comandos maliciosos  en el servidor como por ejemplo  payloads.

Instalar Virtualbox Guest Additions en Kali Linux Rolling 2016.2 en 2017

Hola amig@s, para los que han tenido algún tipo de problema al instalar o ejecutar VirtualBox en Kali Linux Rolling(2016.2), les enseñamos en esta oportunidad la instalación y/o solución al problema con el mismo. Así que sin mas empezamos!

Solución a la instalación de los headers de Kali Linux Rolling 2017

Hola amig@s, en esta oportunidad les vengo a dar posibles soluciones al problema de instalación en los headers del kernel de Kali Linux.

El error...

Básicamente el problema radica en que no se encuentran disponibles en los repositorios o bien para el tipo de kernel. Aún modificando el sources.list genera el mismo problema con un mensaje similar a este:

E: Unable to locate package linux-headers-4.x.x-kali1-amd64

E: Couldn't find any package by glob 'linux-headers-4.x.x-kali1-amd64'

E: Couldn't find any package by regex 'linux-headers-4.x.x-kali1-amd64'

Solución "The Tor Browser Bundle should not be run as root. Exiting." Kali Linux 2017

Hola amig@s, me imagino a los que tenemos la distro especializada para pentesting, le agregamos algunas extras, entre ellas el poderoso navegador Tor ... Pero como en muchos programas no es aconsejable ejecutarlos como root, pero si aún así conociendo los riesgos y no se nos da la gana crear un usuario no root en nuestro Kali, nos encontraremos que algunos de ellos no se ejecuten bajo root aunque nosotros queramos, pero existen soluciones no aconsejables pero que podemos usar para ejecutar los programas.

Solución a Could not find rake-10.4.2..Run `bundle install` to install missing gems Kali Linux

Hola amig@s!! En esta oportunidad vengo a mostrar una de las soluciones al problema con la herramienta SET: Could not find rake-10.4.2 in any of the sources Run `bundle install` to install missing gems.

Dicho problema se encuentra por el conflicto que hay con las librerías de ruby versión 1.9.x , la cual en el sitio oficial de metasploit aconsejan actualizar a la versión 2.1.X, ya que de lo contrario saltarán algunos problemas como el anterior mencionado, cabe destacar que si bien es cierto la solución es bastante ambigua, es un inicio a una solución definitiva, al final de este tutorial daré unos tips más por si desean ampliar o mejorar esta solución, bien empecemos!!

Hackers rusos extraen información sensible de bancos importantes de E.E.U.U.

Según agencias de seguridad de Estados Unidos de Norte América, hackers rusos habrían extraído gigabytes de información sensible de usuarios de bancos y financieras de dicho país, como cuentas bancarias, cuentas de créditos entre otras, lo que aún no se ha determinado es si fue con el fin de generar ganancias propias o si fue por espionaje cibernético.

Entre los afectados está jpmorganchase , que fue protagonista por haber bloqueado pagos a la embajada de Rusia, con lo cual se puede "especular" por parte del FBI si tiene alguna injerencia en ello, aunque no es de extrañar ya que Rusia cuenta hoy en día con informáticos de los mas hábiles.

Facebook lanza Chequeo de Privacidad

Facebook anunció que el jueves comenzó el despliegue de su "Chequeo de Privacidad", destinada a ayudar a los usuarios de la gran red social poder administrar mejor compartir su información y publicaciones de forma un tanto mas privada.

El nuevo sistema utiliza un dinosaurio azul para guiar a los usuarios de Facebook a través de su laberinto de la configuración de privacidad en su información personal y para compartir sus mensajes.

"Sabemos que vienes a Facebook para conectar con amigos, no con nosotros", Facebook's Paddy Underwood  fue lo que publicó en un blog. "

"Pero también sabemos lo importante que es estar en control de lo que comparte y con quién lo comparte."

Facebook anunció el plan en junio, en su última respuesta a las preocupaciones acerca de la privacidad, a raíz de las críticas sobre sus prácticas de minería de datos para fines de marketing entre otros.

El dinosaurio se abrirá cuando los usuarios inician sesión en Facebook, y los llevan a través de cada paso de la configuración de privacidad, de su información personal a las aplicaciones que pueden acceder a los datos de Facebook.

Un atajo de privacidad también será en cada página de Facebook para permitir a los usuarios actualizar su configuración de privacidad.

Facebook, que ha crecido a más de mil millones de miembros en todo el mundo, ha sido perseguido por cuestiones de privacidad durante años, así como por las demandas alegando que no puede garantizar que los datos personales están a salvo de los vendedores y aplicaciones de terceros y del crimen organizado.

El grupo estuvo de acuerdo con una agencia del gobierno de Estados Unidos para someterse a auditorías externas para mostrar lo bien que guarda los datos de los usuarios.

Es interesante en teoría, pero honestamente tengo mis grandes reservas sobre este tema, ya que aún siguen y siguen exponiéndose graves vulnerabilidades de esta red social, pero por otro lado da alientos que al fin quieren ir por el rumbo adecuado...

fuente: securityweek

Grave vulnerabilidad en el kernel Linux

Hola amig@s!, Recientemente encontraron una grave vulnerabilidad en el Kernel Linux, como era de esperarse es un gran boom, debido a que es muy difícil que salgan vulnerabilidades en el Kernel de Linux, con lo cual han puesto a todos los que usamos Linux un tanto alarmados... Y mas porque al día de hoy 15 de mayo del año en curso, se publicó que la posible solución o parche aún no restringe el acceso como root al sistema D: , pero veamos en qué consiste dicha vulnerabilidad.

[Hermes] Un sistema de mensajería para móviles a prueba de ‘hackers’

Hola amig@s! Encontré una noticia muy interesante para todos quienes somos paranoicos en torno a la seguridad informática, o bien en telecomunicaciones, esta noticia se puede decir que es un avance en cuanto a la mensajería en nuestros dispositivos móviles, se trata de HERMES , el cual es un nuevo sistema de mensajería que permite según el informe una privacidad 10 veces más, a los sistemas actuales. Según la firma creadora este sistema es indescifrable( Lo cual se pondrá a prueba si se vuelve popular jejejeje ).

[Solución] en Kali libnss3.so: version `NSS_3.14.3' not found

Hola amig@s!! En esta oportunidad daremos un breve tip, pero que a muchos les puede dar un cierto dolor de cabeza, mas a los que inician en Linux, en específico en Kali Linux, como bien sabemos es una distro basada en Debian Wheezy, muchos han migrado de la distro de Back Track pero dichos errores de arranque siguen siendo los mismos, por ejemplo "No puede ejecutar como root" . Pero esta vez se trata de uno que no necesariamente sucede solo en las distros antes mencionadas, puede suceder en cualquier distro y es el error:

[XSS] Tutorial básico

Hola amig@s! En este post les mostraremos lo que es la vulnerabilidad Cross Site Scripting/Secuencia de Comandos en Sitios Cruzados(XSS) , en qué consiste, cuales son los tipos, así como sus riesgos y algunas técnicas de explotar esta vulnerabilidad que aún muchos programadores Web descuidan o pasan desapercibidos, como siempre para este tipo de tutoriales, NO me hago responsable del uso que ustedes decidan darle, ya que es con fines educativos, igual pondremos algunos consejos para evitar esta vulnerabilidad si ustedes son webmasters o bien si son estudiantes. Sin mas podemos pasar al tutorial.

¿Qué es la vulnerabilidad XSS?

Instalación de Tor Browser Bundle en Kali

Hola amig@s!! En este post les explicaré  como instalar en nuestra distro Kali:  Tor(The Onion Router) bajo sus siglas, para  los que aún no conocen Tor es un software de distribución libre el cual como objetivo principal es la navegación lo mas segura posible en la red, es decir que podamos navegar anónimamente en internet y que nuestra identidad sea hasta cierto punto protegida, si desean mas información de Tor pueden encontrarla en Wikipedia o bien en su página oficial Tor Project. Bien mostraré algunas formas de instalar Tor en Kali Linux, como bien sabemos está basada en Debian Wheezy,entonces también está orientado este post a los que usan otros derivados de Debian( Ubuntu por ejemplo). Por otro lado citaremos algunos ejemplos de posibles errores que puedan surgir y sus posibles soluciones ya que no estamos exentos de los mismos xD! Bien sin mas pasamos al tutorial....

[Cracking] Wep Shared Key con suite aircrack linux

Hola amig@s!! En la oportunidad pasada hicimos el tutorial de cracking wep, en esta oportunidad veremos como romper la password de una red WEP SHARED KEY, que, aunque  es de encriptación wep necesitamos un cliente conectado para poder asociarnos a la red. Así que trataremos de explicarlo de una forma breve pero con efectividad del 100% para desencriptarla, pasemos al tutorial.

Encriptación WEP SHARED  KEY:

Consiste en que el punto de acceso encripta un texto con una clave compartida y se lo envía a la maquina que quiere conectarse a la red. Esta máquina al recibir el texto lo desencripta con la misma

[Cracking] WEP con la suite aircrack linux

Hola amig@s!! En este nuevo post haremos algo que ya está obsoleto para muchos de nosotros, pero que siempre es bueno saberlo, el famoso crack de contraseñas en redes con encriptación WEP con la suite aircrack, si bien es cierto hoy en día hay una amplia gama de tools para desencriptar de forma automática dichas redes, siempre es bueno saber los orígenes que usamos cuando recién empezamos en las auditorias wireless xD! Por otro lado aún sabiendo que la encriptación WEP es la mas fácil de romper, la gran mayoría de usuarios de internet las utiliza, he  ahí para mis querid@s lectores este post para que vean que fácil es encontrar la clave y así poder encriptar su  señal de una forma un poco mas complicadas para aquellos que por necesidad o gusto se cuelgan a nuestras redes jejejeje.

Operación Windigo: +-10,000 Servidores Linux vulnerados

La operación Windigo, fue llamada a uno de los cyber ataques con enorme expansión a nivel mundial, si bien  es cierto hasta hace poco se le hizo el "boom" no es nuevo, pero tal fue  la magnitud de 500,000 usuarios infectados de windows, mac, freebsd, linux, entre 10 y  25 mil servidores infectados linux - unix( fuentes no oficiales). De esta gran cantidad de servidores en nuestro continente americano paises como EE.UU, México, Brasil, Argentina entre otros han sido vulnerados.


Funcionamiento de Windigo:

[Blind SQL Injection] Tutorial básico

Hola amig@s, en esta oportunidad veremos la vulnerabilidad llamada Blind Sql injection[inyección sql a ciegas], continuando con las vulnerabilidades de inyección Sql como en el anterior post de Sqli fue explicada dicha vulnerabilidad, en este trataré de explicar lo mejor posible la inyección a ciegas, pero si no has visto el anterior post de slqi lo puedes ver desde Aquí. Cabe resaltar que para comprender  al 100%estos tutoriales es mejor(diría indispensable) saber programación en los lenguajes que son mas habituales, php, mysql,sqlserver, etc. Pero si no lo saben aún, pues deberían aprenderlos ya  que si no simplemente caerían en el habitual uso indebido del conocimiento informático y por ende "lamers".-
Importante:Este post es con fines educativos y NO destructivos y enfocado para principiantes, tengan en mente que hacer esto es un delito penado por la ley en muchos países y si tú estas viendo este tutorial con fin destructivo ten muy  claro lo que acabo de mencionar... Bueno sin mas pasamos a nuestro tutorial.

Tips de seguridad para Apache y Php después de instalarlos en Debian y derivados

Hola amig@s , en esta oportunidad les vengo a dar unos  consejos de seguridad después de instalar Apache server y Php en distros Debian y derivados.

A la hora de instalar dichos servicios en nuestro sistema operativo traen archivos ya configurados por defecto, y esto para l@s malintencionados que  desean entrar a nuestro servidor les facilita un poco más las cosas, ya que nos muestra información que  puede comprometer de alguna manera nuestra seguridad, lo cual  por supuesto ayuda al atacante...

[Sqli] Para principiantes

Hola amig@s! En este tutorial les explicaré en qué consiste una inyección Sql(SQLi) el terror de los sitios web, este tutorial está enfocado a fines educativos y NO destructivos así que desde ya no nos hacemos responsables por el uso que ustedes le puedan dar a este tutorial, ya que es ilegal y penado por la ley en varios países hacer mal uso de estos recursos, sin mas empezamos con el tutorial!!

¿Qué es SQL?


La sigla SQL significa Structured Query Language, o su equivalente en Español Lenguaje de Pregunta Estructurado, Este es un lenguaje Universal que esta implementado en todos los Motores de Bases de Datos razón por la cual el SQL es el lenguaje estándar de comunicación entre los diferentes Motores existentes.

0day Airos.... 1 año y medio después...

Hola amig@s, hace ya un año y medio casi, se dio a conocer el 0day del poderoso sistema inalámbrico Airos de Ubiquiti Networks, dicha vulnerabilidad tuve oportunidad de verla gracias al excelente post de   Nineain en el blog de Blackpoit, dando un detallado estudio de la vulnerabilidad así como su posterior explotación como se pueden dar cuenta en ese excelente blog. El todo poderoso Shodan nos proporcionó muchos servidores a nivel mundial con dicho sistema inalámbrico el cual probamos en su momento.

Haciendo una pequeña cita del post en Blackpoit sobre la explicación de dicho 0day: