Valencia 2019

Deteccion de intrusos en UNIX

Desde la perspectiva Blue Team se abordarán diferentes técnicas para detectar rootkits, intrusos y componentes malware en sistemas UNIX. Haciendo foco en las técnicas que se emplean para ocultar procesos, mantener persistencia y los métodos que se pueden emplear para detectar intrusos. Se presentará una nueva herramienta para detectar la persistencia de malware. Durante la charla se analizarán escenarios reales y se presentará también la nueva "release candidate" de nuestra herramienta Unhide.

Deteccion de intrusos en UNIX

Desde la perspectiva Blue Team se abordarán diferentes técnicas para detectar rootkits, intrusos y componentes malware en sistemas UNIX. Haciendo foco en las técnicas que se emplean para ocultar procesos, mantener persistencia y los métodos que se pueden emplear para detectar intrusos. Se presentará una nueva herramienta para detectar la persistencia de malware. Durante la charla se analizarán escenarios reales y se presentará también la nueva "release candidate" de nuestra herramienta Unhide.

No solo de exploits vive el APT: Hacking real en entornos corporativo

Durante la presentación se mostrarán técnicas, tácticas y procesos empleados en el mundo del cibercrimen contra redes de empresas, más allá de los ataques iniciales de compromiso como puedan ser ténicas de sqli, ataques web, exploiting, sino todo lo que viene después, la persistencia, la evasión, la exfiltración…

El objetivo de la charla es mostrar todos los elementos de valor dentro de la cadena del ataque, enmarcados en el framework MITRE y sobre sistemas Microsoft, y sobre todo como defenderos o al menos detectarlos/minimizarlos.

Lo que un stalker puede saber de ti, los riesgos de publicar tu información

Somos, en muchas ocasiones, inconscientes de la información pública que exponemos día a día, a esto hay que añadir que no todos los datos encontrados por medio de fuentes públicas deban ser por naturaleza públicamente accesibles. ¿Estamos exponiendo información sensible? ¿Qué pasaría si cayera en las manos equivocadas?

En los recientes años, la exposición de las personas en las redes sociales está creciendo a ritmo desmesurado teniendo mayor influencia en la vida de las personas y llegando en muchas ocasiones al extremo en el que el status y la popularidad se mide en la cantidad de "likes" recibidos. Esta nueva filosofía ha creado la falsa idea de que cuanto mayor sea nuestra exposición en Internet, el incremento de nuestra popularidad será directamente proporcional.

Esta charla pretende mediante técnicas de tratamiento de imagen, reconocimiento facial, scraping y APIS no declaradas de RRSS la detección de nuestra información o huella digital.

Lo que un stalker puede saber de ti, los riesgos de publicar tu información

Somos, en muchas ocasiones, inconscientes de la información pública que exponemos día a día, a esto hay que añadir que no todos los datos encontrados por medio de fuentes públicas deban ser por naturaleza públicamente accesibles. ¿Estamos exponiendo información sensible? ¿Qué pasaría si cayera en las manos equivocadas?

En los recientes años, la exposición de las personas en las redes sociales está creciendo a ritmo desmesurado teniendo mayor influencia en la vida de las personas y llegando en muchas ocasiones al extremo en el que el status y la popularidad se mide en la cantidad de "likes" recibidos. Esta nueva filosofía ha creado la falsa idea de que cuanto mayor sea nuestra exposición en Internet, el incremento de nuestra popularidad será directamente proporcional.

Esta charla pretende mediante técnicas de tratamiento de imagen, reconocimiento facial, scraping y APIS no declaradas de RRSS la detección de nuestra información o huella digital.

Breaking critical infraestructures

Miles de Sistemas de Control Industrial e infraestructuras críticas , están bajo el "punto de mira" de los ciberdelincuentes.Una alta exposición de estos activos catalogados de alta disponibilidad sufren ataques en tiempo real , afectando directamente al proceso de negocio y en algunos casos provocando daños sobre la "capa física", mediante múltiples vectores de ataque. Story telling de un ataque dirigido a un equipamiento industrial.

Sharing privacy. From 0 to Private Set Intersection

La tendencia actual, tecnologías zero-trust, asume que redes y dispositivos informáticos están comprometidos por un atacante sigiloso. En este escenario, la criptografía puede intentar minimizar el impacto en el robo o manipulación de información. Por desgracia, no es una solución perfecta, ya que puede esquivarse con el uso de malware o ataques de canal lateral, en resumen por el robo de las claves criptográficas. En esta charla, se profundizará en la criptografía homomórfica completa, computación de datos cifrados, analizando su seguridad actual y el ejemplo con diversas librerías de como poder realizar PoCs funcionales. Se mostrará con demos como es posible mezclar esos principios con diversas propuestas, como el protocolo PSI(Private Set Intersection), para añadir mayores niveles de privacidad a aplicaciones de uso común. Se enseñará, por ejemplo, como poder descubrir contactos comunes en una aplicación de mensajería instantánea "segura" sin ceder nuestra agenda de contactos y, por tanto, manteniendo la privacidad.

Sharing privacy. From 0 to Private Set Intersection

La tendencia actual, tecnologías zero-trust, asume que redes y dispositivos informáticos están comprometidos por un atacante sigiloso. En este escenario, la criptografía puede intentar minimizar el impacto en el robo o manipulación de información. Por desgracia, no es una solución perfecta, ya que puede esquivarse con el uso de malware o ataques de canal lateral, en resumen por el robo de las claves criptográficas. En esta charla, se profundizará en la criptografía homomórfica completa, computación de datos cifrados, analizando su seguridad actual y el ejemplo con diversas librerías de como poder realizar PoCs funcionales. Se mostrará con demos como es posible mezclar esos principios con diversas propuestas, como el protocolo PSI(Private Set Intersection), para añadir mayores niveles de privacidad a aplicaciones de uso común. Se enseñará, por ejemplo, como poder descubrir contactos comunes en una aplicación de mensajería instantánea "segura" sin ceder nuestra agenda de contactos y, por tanto, manteniendo la privacidad.

Threat Hunting – Destapando el caso WIRTE

Cazar malware y en concreto destapar las actividades de grupos APT es una disciplina dentro de la ciberseguridad que presenta poco tiempo de vida y que sin duda en un corto espacio de tiempo va a constituir un perfil muy demandado dentro de nuestro sector. Desde 2013 algunos de los hunts elaborados por mi han permitido destapar campañas de grupos APT como Turla, WIRTE, APT28 o APT15, entre otros. En esta ponencia se detallarán las técnicas de detección de malware avanzado basadas en anomalías de red y endpoint, pasando a presentar un caso real de detección, que permitió hace escasos meses, destapar un incidente de espionaje gubernamental en una importante organización internacional.

Empaquetado para regalo

Durante los ejercicios de Red Team nos hemos encontrado a menudo con la necesidad de introducir programas o herramientas que los AV detectan y eliminan rápidamente. Muchas veces estas detecciones se basan en firmas y en controles que pueden ser evadibles mediante la modificación de los programas utilizados.

En la charla presentaremos una implementación propia de una herramienta basada en UPX (a modo de prueba de concepto). Hablaremos de los mecanismos implementados, del proceso de desarrollo, y explicaremos aquellas decisiones de diseño que se han mostrado efectivas para disminuir la tasa de detección por parte de los AV.

UAC-A-Mola^2 Evolution: Researching, superuser and terrible consequences

UAC-A-Mola es un proyecto Open Source que surge para proporcionar investigación, detección, explotación y mitigación en el Bypass de UAC. Tras mostrar el proyecto, se hablará de una evolución llamada UAC-A-Mola^2 orientado al Pentesting a través de Powershell. Esta función puede utilizarse directamente en memoria a través de una sesión de Meterpreter. Además, se mostrarán resultados de bypasses de UAC en diferentes entornos Windows que se pueden investigar con UAC-A-Mola. Desde Windows 7 a Windows 10, El potencial de UAC-A-Mola^2 radica en su flexibilidad y la ejecución siempre directamente en memoria.

Descanso

Registro

RootedCON Valencia 2019 Keynote

RootedCON Valencia 2019 Despedida

Deteccion de intrusos en UNIX

Desde la perspectiva Blue Team se abordarán diferentes técnicas para detectar rootkits, intrusos y componentes malware en sistemas UNIX. Haciendo foco en las técnicas que se emplean para ocultar procesos, mantener persistencia y los métodos que se pueden emplear para detectar intrusos. Se presentará una nueva herramienta para detectar la persistencia de malware. Durante la charla se analizarán escenarios reales y se presentará también la nueva "release candidate" de nuestra herramienta Unhide.

No solo de exploits vive el APT: Hacking real en entornos corporativo

Durante la presentación se mostrarán técnicas, tácticas y procesos empleados en el mundo del cibercrimen contra redes de empresas, más allá de los ataques iniciales de compromiso como puedan ser ténicas de sqli, ataques web, exploiting, sino todo lo que viene después, la persistencia, la evasión, la exfiltración…

El objetivo de la charla es mostrar todos los elementos de valor dentro de la cadena del ataque, enmarcados en el framework MITRE y sobre sistemas Microsoft, y sobre todo como defenderos o al menos detectarlos/minimizarlos.

Lo que un stalker puede saber de ti, los riesgos de publicar tu información

Somos, en muchas ocasiones, inconscientes de la información pública que exponemos día a día, a esto hay que añadir que no todos los datos encontrados por medio de fuentes públicas deban ser por naturaleza públicamente accesibles. ¿Estamos exponiendo información sensible? ¿Qué pasaría si cayera en las manos equivocadas?

En los recientes años, la exposición de las personas en las redes sociales está creciendo a ritmo desmesurado teniendo mayor influencia en la vida de las personas y llegando en muchas ocasiones al extremo en el que el status y la popularidad se mide en la cantidad de "likes" recibidos. Esta nueva filosofía ha creado la falsa idea de que cuanto mayor sea nuestra exposición en Internet, el incremento de nuestra popularidad será directamente proporcional.

Esta charla pretende mediante técnicas de tratamiento de imagen, reconocimiento facial, scraping y APIS no declaradas de RRSS la detección de nuestra información o huella digital.

Breaking critical infraestructures

Miles de Sistemas de Control Industrial e infraestructuras críticas , están bajo el "punto de mira" de los ciberdelincuentes.Una alta exposición de estos activos catalogados de alta disponibilidad sufren ataques en tiempo real , afectando directamente al proceso de negocio y en algunos casos provocando daños sobre la "capa física", mediante múltiples vectores de ataque. Story telling de un ataque dirigido a un equipamiento industrial.

Sharing privacy. From 0 to Private Set Intersection

La tendencia actual, tecnologías zero-trust, asume que redes y dispositivos informáticos están comprometidos por un atacante sigiloso. En este escenario, la criptografía puede intentar minimizar el impacto en el robo o manipulación de información. Por desgracia, no es una solución perfecta, ya que puede esquivarse con el uso de malware o ataques de canal lateral, en resumen por el robo de las claves criptográficas. En esta charla, se profundizará en la criptografía homomórfica completa, computación de datos cifrados, analizando su seguridad actual y el ejemplo con diversas librerías de como poder realizar PoCs funcionales. Se mostrará con demos como es posible mezclar esos principios con diversas propuestas, como el protocolo PSI(Private Set Intersection), para añadir mayores niveles de privacidad a aplicaciones de uso común. Se enseñará, por ejemplo, como poder descubrir contactos comunes en una aplicación de mensajería instantánea "segura" sin ceder nuestra agenda de contactos y, por tanto, manteniendo la privacidad.

Threat Hunting – Destapando el caso WIRTE

Cazar malware y en concreto destapar las actividades de grupos APT es una disciplina dentro de la ciberseguridad que presenta poco tiempo de vida y que sin duda en un corto espacio de tiempo va a constituir un perfil muy demandado dentro de nuestro sector. Desde 2013 algunos de los hunts elaborados por mi han permitido destapar campañas de grupos APT como Turla, WIRTE, APT28 o APT15, entre otros. En esta ponencia se detallarán las técnicas de detección de malware avanzado basadas en anomalías de red y endpoint, pasando a presentar un caso real de detección, que permitió hace escasos meses, destapar un incidente de espionaje gubernamental en una importante organización internacional.

Empaquetado para regalo

Durante los ejercicios de Red Team nos hemos encontrado a menudo con la necesidad de introducir programas o herramientas que los AV detectan y eliminan rápidamente. Muchas veces estas detecciones se basan en firmas y en controles que pueden ser evadibles mediante la modificación de los programas utilizados.

En la charla presentaremos una implementación propia de una herramienta basada en UPX (a modo de prueba de concepto). Hablaremos de los mecanismos implementados, del proceso de desarrollo, y explicaremos aquellas decisiones de diseño que se han mostrado efectivas para disminuir la tasa de detección por parte de los AV.

UAC-A-Mola^2 Evolution: Researching, superuser and terrible consequences

UAC-A-Mola es un proyecto Open Source que surge para proporcionar investigación, detección, explotación y mitigación en el Bypass de UAC. Tras mostrar el proyecto, se hablará de una evolución llamada UAC-A-Mola^2 orientado al Pentesting a través de Powershell. Esta función puede utilizarse directamente en memoria a través de una sesión de Meterpreter. Además, se mostrarán resultados de bypasses de UAC en diferentes entornos Windows que se pueden investigar con UAC-A-Mola. Desde Windows 7 a Windows 10, El potencial de UAC-A-Mola^2 radica en su flexibilidad y la ejecución siempre directamente en memoria.