Ponentes

Break

Lunch Break

TBD

RootedCON Staff Keynote

Premios Antonio Ropero

Premios Hacker Night 2020 + Yogosha

RootedPanel - Fundación GoodJob

Programa #include de empleabilidad en Ciberseguridad para Personas con Discapacidad

• Luis Fernández, periodista editor de revista SIC y moderador
• César López, Director de la Fundación Goodjob
• Miguel Ángel Cañada, Responsable de Relaciones Institucionales, Unidad de Apoyo Estratégico y RSE, INCIBE
• Román Ramírez, Director-Fundador RootedCON
• Yolanda Hernández, Responsable de RRHH de Telefónica Ingenieria de Seguridad
• Susana Azores, Directora de RRHH de Atos
• Enrique Sánchez, CEO de Westcon-Comstor

RootedPanel - A ver cómo nos lo montamos: a vueltas con las DAOs

Desde sus orígenes, el hombre ha tenido que dar respuesta a la necesidad de organizarse en sociedad y repartirse tareas dentro de su comunidad. En la actualidad, entre el creciente intervencionismo de un Estado que ve como su autoridad peligra en la sociedad globalizada y el neofeudalismo al que pueden dar lugar las grandes corporaciones, las DAOs se antojan como posibles islas de empoderamiento del individuo, frente a las entidades públicas y privadas, y como un paso más en el proceso de evolución institucional. En el panel se analizarán los retos, amenazas y posibilidades que ofrece esta forma de organizarse.

Live coding: herramienta para desarrollar la creatividad

Live coding es el término que define el uso de algoritmos para la creación de contenido audiovisual con la particularidad de que el software es ejecutado al vuelo, mientras se genera el contenido. Esta particularidad hace de el live coding una herramienta muy poderosa para tomar decisiones artísticas y creativas al mismo tiempo que se conserva una linea de pensamiento lógica y formal. Durante la charla se dará a conocer la escena internacional de live coding, las herramientas más usuales para su puesta en escena, las comunidades que hay detrás de esos proyectos y algunos ejemplos que definen el estado del arte de esta actividad.

Stego attacks by design. A deep dive about stegomalware & polyglots

El stegomalware se ha convertido en una pieza cada vez más usada en APTs y ataques sofisticados, solo en 2019 ejemplos como Ursnif o Platinum, ScarCruft o OcenLotus APT group atestiguan esta tendencia.
En esta ponencia, revisaremos las técnicas y uso de la ciencia de la esteganografía para la ocultación de malware y enseñaremos su potencial actual en seguridad ofensiva y la necesidad de su conocimiento
para tareas defensivas y forenses. Se prestará especial interés al análisis de la utilidad real o no de polyglots para la creación de stegomalware que permitan ejecución de código malicioso. Se liberará
una herramienta para automatizar y facilitar la creación de ciertos polyglots para la distribución o detección de malware. Estos "artefactos" facilitarán ataques a través de páginas web, persistencia mediante lolbins y otros escenarios.

Roapt evil mass storage & Tu-ya aqui?

Roapt evil mass storage & Tu-ya aqui?

The joy of Bugging Smart Meters

Investigación sobre la seguridad de los contadores inteligentes y ataques reales.

Van a mear sangre: cómo hacer que los malos lo paguen muy caro

Los malos están que lo petan, sobre todo con el ransomware. Y es que muchas redes son como los caramelos de cereza: duros por fuera, blanditos por dentro. En esta charla vamos a contar unas cuantas medidas de bastionado (todas con consejos aprendidos de la experiencia, a veces por las malas), que permitan ofrecer a los atacantes una experiencia de usuario similar a la de la playa de Omaha en el día D. Si van a entrar, que entren: pero van a mear sangre

Atacando comunicaciones de voz cifradas

En la charla se pretende analizar y auditar los posibles escenarios que nos podemos encontrar en
una comunicación de VoIP, desde sistemas telefónicos habituales, donde se realizan llamadas desde
cualquier empresa, sin cifrados o con cifrados parciales, hasta sistemas cerrados donde todas las
comunicaciones van 100% cifradas.

Veremos las diferentes opciones de cifrado y trataremos de analizar y descifrar el tráfico, con
simples capturas o con ataques mitm.
¿Es posible escuchar conversaciones a través de un sistema WebRTC o atacar protocolos como
ZRTP o Mikey?

The day I ruled the world: Deceiving software developers through open source software dependencies

In this talk we are going to show the research about software dependencies that led us to rule the world for a day. Surprisingly, we could take control of more than 800 developer machines in less than 24 hours with the collusion of the most famous software dependency repositories... And with the "collaboraiton" of the developers ;)

Fortificando contenedores en Kubernetes "like a boss"

En esta charla mostraremos como aplicando ciertas propiedades proveídas por Kubernetes, podemos contener la movilidad y acciones que un atacante podría llevar a cabo una vez haya comprometida nuestra aplicación. Mostraremos una demo del antes y el después de la misma aplicación sin modificar ni una línea de código de ésta, sólamente cambiando la forma de despliegue. Así daremos un repaso a buenas prácticas de seguridad que debemos tener en cuenta cuando desplegamos una aplicación en Kubernetes.

BugBounty Workshop: The SpInquisitors Way

En este taller ofreceremos una visión sobre qué es el mundo del Bug Bounty, explicar el cómo funciona y dotar a los asistentes de herramientas suficientes para empezar a “cazar bugs” en el mismo momento de acabar el taller.

En el primer taller nos enfocaremos más en la parte introductoria del Bug Bounty, desde: encontrar empresas con programas de “responsible disclosure” a cómo se redacta correctamente un “Informe”, pasando por algunas de las técnicas de hacking web más comunes en el mundo real.

En el segundo taller abordaremos técnicas más avanzadas de explotación común en el mundo real y profundizaremos en algunas de las técnicas que se hayan impartido en el “Taller iniciación”.

WinTriage: La herramienta del DFIRer en Windows

Cuando nos enfrentamos a un incidente en el que está involucrado un sistema vivo con sistema operativo Windows, es imprescindible saber qué artefactos llevarse para poder analizar más tarde. Aunque hay herramientas populares y gratuitas, en mi experiencia, ninguna de ellas es capaz de hacer una extracción todo lo completa que necesito. Cierto es que, haciendo uso de dos de ellas, se puede obtener la mayoría de estos. Se podría decir que ambas son complementarias, aunque en conjunto, no del todo completas según las necesidades de la mayoría de los casos en los que me he encontrado. Además, una de ellas instala software en el sistema comprometido.
El objetivo de una herramienta de adquisición de evidencias es que sea lo más completa y que ejecute el menor número de operaciones posibles para ser capaz de obtener un mismo número de evidencias, contaminando lo mínimo el sistema víctima. Con estas premisas en mente, he desarrollado desde cero, una herramienta capaz de aunar lo mejor de las dos herramientas más populares, así como la extracción de otros artefactos forenses distintos, igualmente necesarios, siguiendo un correcto orden de volatilidad, y respetando la integridad del sistema destino.
Es compatible desde Windows 2003/XP en adelante.

AD is dead, long live AAD. Moving laterally in the age of the cloud

Active Directory has been a target for attackers for the last decade and techniques for lateral movement are well known being a hot topic at the moment due to enterprise ransom attacks using them.
With the advent of the cloud, organizations are extending their identities to Azure AD creating new paths of lateral movement that are still to be well understood. During the talk, Azure AD and it´s dependencies will be explored and techniques used for lateral movement to and from the cloud and how to harden against them will be explained.

Hackeando los sistemas de movilidad urbana compartidos.

En ésta charla explicaremos como se pueden hackear de diversas formas los sistemas de movilidad urbana compartidos eléctricos que tan de moda se han puesto en los últimos tiempos. Además muchos de los procedimientos explicados son extensivos para auditar otros dispositivos de IoT.

DevSecOps: into the unknown

La Seguridad perimetral ha sido siempre uno de los principales objetivos de las
organizaciones, definiendo requisitos y supervisando el correcto bastionado de los servidores,
aplicaciones y sistemas, para reducir la superficie de ataque. Sin embargo, los entornos de desarrollo,
tradicionalmente autogestionados y sin supervisión, se están convirtiendo hoy en día en uno de los
entornos menos controlados y más vulnerables dentro de las organizaciones, en especial con la
implantación de la metodología DevOps, que introduce nuevas herramientas y vectores de ataque.
Esto mismo se demostró en la charla impartida en la anterior edición del congreso “DevSecOps y la
caída de Babilonia”, donde se enumeraron varias vulnerabilidades críticas presentes en versiones
recientes de Jenkins.
Durante este año, se ha querido ampliar el alcance de la investigación, definiendo y desarrollando una
suite de herramientas automáticas de reconocimiento y explotación de vulnerabilidades en entornos
de DevOps, cubriendo la falta actual de un framework de este tipo que facilite la detección de fallos
de seguridad en estos sistemas, y permita automatizar los ejercicios de tests de intrusión. Esta suite se
publicará bajo licencia Open Source, abierta a la comunidad hacker, pero durante la charla se hará
en exclusiva una demostración en vivo de su funcionamiento.
Además, se presentarán nuevas vulnerabilidades detectadas durante la fase de investigación y
desarrollo. Actualmente, se está trabajando en el reporte de un nuevo CVE que podría ser publicado
a principios de este nuevo año.

The '80s never died: automata theory for reversing modern CPUs

Understanding the timing behavior of modern CPUs is crucial for optimizing code and for ensuring timing-related security and safety properties. Unfortunately, the timing behavior of modern processors depends on subtle and poorly documented details of their microarchitecture, which has triggered laborious efforts to reverse-engineer microarchitectural details. Cache replacement policies have received special attention, because they control the content stored in the memory hierarchy and hence heavily influence execution time.
In this talk we present an end-to-end solution for automatically learning cache replacement policies from real-time measurements on hardware. Our approach relies on two main contributions: (1) a tool, called CacheQuery, that provides an abstract interface to any individual cache set in the cache hierarchy, liberating the user from dealing with intrincate details such as address translation, index mapping, slicing, cache level interference, or measurement noise; and (2) an algorithm, called Polca, that provides an abstract interface to the cache replacement policy, and exploits several symmetries that make automata learning techniques applicable to the problem. Furthermore, we use program synthesis to automatically derive human-readable descriptions of the learned replacement policy.
In our experiments, we are successful in learning the cache replacement policies used in recent Intel processors, including 2 previously undocumented policies.

Del cielo a infierno pasando por el entornos C.I. (Continuous Integration) / C.D.(Continuous Deployment)

Desde que se empezó a crear software como producto o como parte esencial de la prácticamente la totalidad de empresas se ha analizado y discutido sobre cómo automatizar el proceso de desarrollo de software.

Actualmente hay dos acrónimos que definen los procesos de creación y despliegue del software moderno: C.I. / C.D.

Cada uno de ellos representa una serie de procesos claramente diferenciados: durante el proceso de creación del software y su posterior puesta en producción.

Con el auge de estas filosofías han surgido infinidad de conceptos nuevos y software asociado para poder llevarlos a cabo: Jenkins, Drone, Bambú, github, gitlab, Docker, Docker Swarm, Kubernetes, Terraform, Ansible, slack...

Confiamos en que nuestros servicios de producción sean actualizados y desplegados por este tipo de software. Hacemos complejos y minuciosos procesos de hardening de nuestros sistemas productivos pero…. ¿se pone el mismo empeño en securizar los entornos CI/CD? ¿somos conscientes que estos sistemas suelen tener alto nivel de permisos? ¿sabemos las consecuencias que acarrean para la empresa el que se comprometan?

El objetivo de la charla es demostrar cómo se puede tomar el control de todos los sistemas productivos de una organización vulnerando la seguridad de los sistemas CI/CD.

Se analizarán los entornos CI/CD con componentes de uso común y muy conocidos actualmente, analizando los fallos de seguridad más típicos, cómo explotarlos y cómo mitigarlos.

Se realizarán varias demos en las que se desplegarán entornos CI/CD completos y se explotarán cada una de los puntos más vulnerables.

Demystifying VoLTE

Las actuales redes móviles están sufriendo cambios significativos en su Core. Las tecnologías y protocolos más actuales hacen uso de redes TCP/IP, ya no sólo para datos, sino tambien para voz, como es el caso de la tecnología Voz sobre LTE, lo que añade nuevos riesgos e interesantes vectores de ataque.
Durante la charla se explicarán los distintos vectores de ataque relacionados con VoLTE, así como las previsiones que hay a futuro en la voz sobre 5G

Todo a SIEM

Ofertillas en casos de uso, mamporros en broadcast y las APTs más guapas de la China (im)popular.

Hackeando el mundo exterior a través de Bluetooth Low-Energy (BLE)

El mundo que nos rodea está lleno de dispositivos BLE que interactúan con muchos de nuestros datos. ¿Cuál es la seguridad de este protocolo? En esta charla se hablará sobre el protocolo BLE (Bluetooth Low-Energy). Haremos hincapié en los ataques actuales y la seguridad general de los dispositivos. Se mostrará una evaluación de la seguridad que implementan muchos dispositivos y se mostrará una simulación de ciertos vectores de ataque. Los ataques mostrados se realizarán sobre elementos propios y placas que simulan ser dispositivos reales. Ningún dispositivo BLE sufrirá daño alguno en esta charla.

WordPress, another terror story

Recientes estudios indican que Wordpress ha alcanzado una cota de mercado de un 65% de uso en España y un 30% a nivel mundial.
El uso de este CMS hace que cuando se detecta una vulnerabilidad en el core de la aplicación tiemble Internet, cuando es utilizado para realizar ataques de DDoS, Phising, etc, sin embargo, no debemos dejar otro punto de lado y estos son los plugins utilizados por el core, los cuales son el principal foco de ataque para intentar atacar este más que conocido CMS.

Internautas on the top

Recorrido histórico de la actividad de la Asociación de Internautas, respecto a: impacto en el ámbito de la ciberseguridad; derechos de los usuarios; límites de la ley regulando la tecnología. Retos de futuro.

Atacando la debilidad humana

Los incidentes de ciberseguridad publicados bloquean los activos de las organizaciones y, muchos, se inician por medio de un ataque de ingeniería social. El objetivo es conocer si, frente a un ataque de Ingeniería Social, la formación del empleado es una herramienta eficaz para evitarlos o reducirlos. La metodología empleada ha consistido en el estudio de obras sobre Ingeniería Social, informes de compañías de telecomunicaciones, estadísticas policiales y judiciales y la elaboración de encuestas. Se halló que muchos de los delitos sufridos de las organizaciones no son denunciados y que, las empresas que formaron a los empleados redujeron en un 20% los incidentes. Se descubrió que, los trabajos futuros que se lleven a cabo en materia de machine learning y el estudio de los individuos, podrían hacer más difícil evitar los impactos por ingeniería social, aunque también es posible trabajar el machine learning como contra medidas para este tipo de ataques. Se recomienda implicar a toda la organización, mantener la formación del empleado y adaptarla a las nuevas exigencias de la evolución tecnológica.

Hunting Malware using process behaviour

Hoy en día no hay un proceso de Threat hunting completo sin la revisión de la actividad de los procesos de los equipos, para ello Sysmon de SysInternals es una solución gratuita que permite a los Threat Hunters trazar acciones como: escritura de ficheros, conexiones de red o carga de librerías entre otras. Esta herramienta presenta las acciones de forma atómica y aislada, es decir, sin una relación de los sucesos basada en la jerarquía de los procesos, por lo que no es posible correlar y relacionar entre si el comportamiento de los mismos. Por ejemplo: la ejecución de Powershell por parte de Winword representa una anomalía a estudiar, pero si además podemos saber que el proceso padre de ese Winword es la aplicación Outlook podemos llegar a identificar que un ataque de tipo phishing ha tenido éxito.

El resultado del estudio realizado mostrará como, mediante la correlación de eventos de endpoint, es posible detectar ataques sofisticados llevados a cabo por malware perteneciente a grupos APT y cibercriminales.

Para ello se presentará el desarrollo de la herramienta “Sysmon Process Correlator”. Correlador de eventos de Sysmon basado en la jerarquía de los procesos y comportamiento anómalo, que será liberada como Open Source para el evento. Este software permite contrastar las reglas de detección contra ficheros de log de Sysmon tipo .evtx o mantenerse en modo demonio detectando ataques en tiempo real. El correlador implementa principalmente dos motores de detección:
• El primero se focaliza en la detección de anomalías por desviación de la actividad normal de los procesos en un sistema Microsoft Windows, presentando un modelo de normalidad capaz de identificar situaciones de riesgo.
• El segundo identifica actividad anómala por la relación en la jerarquía de creación de los procesos y sus acciones registradas por Sysmon.
Como prueba de concepto se evaluará el correlador frente a la actividad de la herramienta Cobalt Strike, viendo que estrategias de detección existen para identificar ataques avanzados mediante frameworks de ataque de este tipo.

Current Issues and Challenges in Malware Detection in Memory Forensics

Offensive DevOops - Automatizando bounties usando "la nube"... pero sólo for fun

Hace un tiempo, comencé a jugar en el mundo de los bounties, como "casi todo el mundo".

Enumeración de dominios por aquí, nmap por allá... Luego, algún "subdomain takeover" por aquí, vulnerabilidades de Burp en automático en aplicaciones obsoletas por allá... No me fue mal del todo. Al menos un bug en: United Airlines, Paypal, Github, Uber, algún otro programa privado...

Rápidamente esto cambió. Miles de personas intentando "cazar" bugs en todo el mundo, eso es mucha competencia... Empezó a ser aburrido y frustrante. Veías algunos "writeups" de gente que se había sacado mucho dinero encontrando cosas extremadamente simples, y luego otros artículos en blogs de gente que explotaba cosas alucinantes que yo jamás podría haber encontrado.

Las cosas cogieron mucha velocidad, y comenzó la automatización alrededor de los bounties. Esto volvía a ser interesante. Tengo una fascinación personal por el mundo "cloud", ¡y tenía una excusa perfecta para montar un proyecto personal nuevo!

Asi que eso hice. Poco a poco he ido montando una plataforma de bounties que permite, de manera automatica, hacer unas cuantas tareas de automatización, escaneo, fingerprinting... de manera distribuida (workers y sistemas de colas) integrado con Slack e incluso con un simple cli para simplificar las tareas manuales. Lo peor es que me parece más interesante montarla que usarla, así que rentabilidad... poca le he sacado.

Mucho, MUCHO, PERO MUCHO bash, pero bueno, funciona.

El objetivo de esta charla es sobretodo mostrar lo que he montado, inspirar a la gente a automatizar, y a investigar algo más las posibilidades que ofrece "la nube".

Aviso: Esta charla no tiene blockchain ni machine learning.

El Camino de Hacktiago: tras los pasos de 14 increíbles cibersantuarios

De Toledo a Silicon Valley pasando por Moscú, Langley, Belorado y las afueras de Londres, entre otros lugares. Al igual que los grandes aventureros sueñan con coronar los 14 '8.000' o atravesar el Amazonas en el mundo también existen verdaderos santuarios donde los hackers más importantes de la historia han llevado la tecnología y todo lo que relacionado con ella, incluida la seguridad informática, a otro nivel.Y todo sin salir del Congreso técnico, en castellano, más importante del hemisferio Norte: la RootedCON.

Así que te invitamos a un viaje por los más emblemáticos para desvelar sus curiosidades y porqué son considerados 'la Meca' para cualquiera que se considere como experto en ciberseguridad.Algunos están abiertos al público… y otros, incluso, prohibidos y de acceso reservado.

A lo largo de primer 'Camino de Hacktiago' del mundo podrás conocer historias técnicas increíbles de los orígenes de la ciberseguridad en museos, garajes, centros de investigación, edificios abandonados y laboratorios que, tras décadas, siguen inspirando a muchos hackers y ciberprofesionales, incluidos los CISOs.

Por supuesto, no todo es 'ver mundo': para los amantes del 'lowcost' ofreceremos un 'hackertravel', por los cibersantuarios españoles más emblemáticos…. ¡ni te imaginas los que hay!

Ahí fuera ahí un mundo increíble, ¿los descubrimos juntos con la comunidad RootedCON?

Evading Deep Learning Malware Detectors

The growing amount of malicious software (malware) and its increasing complexity have proven traditional detection methods as insufficient. Recently, Machine Learning (ML) techniques, especially Artificial Neural Networks (ANN), have been widely adopted, thanks to their high detection rates on malware. In recent years, novel binary classification approaches have been proposed to operate at raw bytes. However, these ML-based methods are vulnerable by nature, since they work under the assumption that training and testing samples follow the same data distribution, which may not be true when facing a motivated adversary. In this work, a general mechanism to evaluate the robustness of ANN-based detectors against Adversarial Examples is proposed. By using a black-box approach, the proposed framework is able to find evasive samples while preserving their malicious functionality, introducing optimized bytes at different addresses within the given files. The proposed model has been evaluated against a well-known state-of-the-art architecture for which it successfully evades up to 98.3% of malware samples.

Virtual Pwned Network

“Virtual Pwned Network"’ tiene como objetivo demostrar como un atacante usando un servidor VPN y el CMD de Windows es capaz de realizar ataques que permiten tomar el control de un equipo remoto de forma persistente, realizar exfiltración de información o pivotar a ataques del tipo "man in the middle" sin necesidad de escalar privilegios,, emplear malware o explotar vulnerabilidades en sistemas o aplicaciones.

Protocolos industriales, carreteras comarcales

Todo comienza con la avería de un equipo de aire acondicionado. Desde ese punto tiraremos del hilo hasta descubrir un protocolo de control de edificios inteligentes que carece de toda documentación pública.
¿Este año no he hablado de drones? ¡Habrá sorpresa!

La metacharla de CiberSeguridad

¿Cansado de charlas de ciberseguridad que no te conmueven? ¿que apenas te acuerdas pasada media hora? ¿Cuando das charlas nadie te mira a la cara ni durante ni después?
Esta charla puede ser la solución. Lo único que te garantizo es que no quedarás indiferente.
Se expondrá de forma amenizada el devenir de una investigación desde el descubrimiento de un zero day en el viso de fotos de Windows. Se compartirán experiencias tanto positivas como negativas como asistente a muchas charlas de ciberseguridad. Se desvelarán los trucos sencillos de magia para evitar que tus presentaciones sobre ciberseguridad sean una partida de póker entre enterradores (o te ayudará a hacerlas así). Cóctel de ciberseguridad con improvisación. Has sido avisado. Assist at your own risk.

(Ctrl+c) + (Ctrl+v) = Car Hacking

La charla versará sobre el estado del arte respecto a los hacks que se pueden hacer a un coche en su conjunto, yendo mas allá de lo obvio

Se harán demos sobre:

- Puertas de garajes.
- Radio FM & FM RDS messages
- Apertura de puertas y arranque del motor sin poseer la llave
- Navegador GPS
- Un paseo por las unidades de control..

Emotet is dead, long live Emotet

Spanish

Emotet resurgió a finales de 2016 como una botnet de distribución de malware, después de un tiempo desaparecida. Desde entonces no ha parado de robar credenciales y de usar cuentas comprometidas para realizar sus campañas. En el último año hemos visto cómo ha mejorado sus técnicas de ingeniería social, haciéndolas bastante creíbles para los destinatarios. Además, grupos de cibercriminales importantes como los que operan Trickbot o Dridex han elegido sus servicios para propagar su malware, que en algunos casos se ha usado para comprometer grandes empresas e instalar ransomware dirigido como Ryuk o BitPaymer. Esta charla dará detalles sobre la actividad de Emotet en el último año, analizando campañas importantes y su relación con los grupos detrás de Trickbot y Dridex

English

Emotet re-emerged in late 2016 as a malware distribution botnet, after going quiet for a while. Since then, it continues to steal credentials and use compromised accounts to carry out campaigns. In the last year, we have seen how its social engineering techniques have improved dramatically, making them even more credible to its victims. Cybercriminal groups, including those operating Trickbot and Dridex are using Emotet to spread their malware, which in some cases has been used to compromise large organizations and install targeted ransomware such as Ryuk and BitPaymer. This talk will offer detail on Emotet's activity in the past year, providing analysis of important campaigns and dive into its relationships with the groups behind Trickbot and Dridex

Sandbox fingerprinting - Evadiendo entornos de análisis

En los ejercicios de Red Team es común enfrentarse a entornos donde los sistemas sandbox juegan un papel fundamental en la protección corporativa. Para los defensores y sus herramientas de seguridad (Antivirus, EDRs, AntiSpam...), la capacidad de analizar los archivos de forma automática en un entorno controlado, bien sea en tiempo real o a posteriori, constituye una aproximación de detección de artefactos maliciosos muy potente.

Desde el punto de vista de un pentester o cuando un equipo Red Team se ha de enfrentar a un ejercicio de intrusión, es necesario disponer de técnicas de bypass que permitan evadir estos mecanismos de seguridad. Es por eso que, el equipo de seguridad ofensiva de S2 Grupo desarrolló un proyecto interno destinado al estudio de las características y el comportamiento de diferentes servicios tanto públicos (Virustotal, HibridAnalisys); como privados (compañías antivirus y seguridad) de sus soluciones sandbox. El objetivo perseguido fue doble, en primer lugar poder responder a la pregunta de: ¿estoy ejecutando mi malware en un entorno controlado/vigilado o no? y por otra parte ¿a qué compañía/entidad pertenece esa jaula de monitorización?

Poder contestar a las preguntas anteriores ofrece una gran ventaja desde el punto de vista de un atacante, es por eso que para afrontar el estudio, se desarrolló un malware capaz de recopilar el máximo de información del equipo sobre el que se ejecutó siendo remitido al mayor número posible de sistemas sandbox existentes conocidos. El resultado permitió generar una gran base de datos con las características y el comportamiento de un gran número de estas soluciones de seguridad. De esta manera se pudo generar un algoritmo capaz de responder a las preguntas planteadas anteriormente, basado en la heurística recolectada. Los resultados fueron sorprendentes, evidenciando que los sistemas de seguridad de este tipo están todavía en un estadio carente de excesiva madurez.

Esta charla pues, presentará los resultados del estudio del funcionamiento de distintos servicios online de análisis automático de archivos a fin de poder evadirlos. Además, dicho estudio se completa con distintos factores que tratan de identificar qué servicio está realizando el análisis a fin de conocer mejor las herramientas de los defensores.

De forma complementaria, se expondrá la posibilidad de identificar/atacar a los propios analistas encargados de estudiar las amenazas mediante vulnerabilidades identificadas en los paneles de gestión de algunas sandbox como Virustotal y los cuales fueron reportados al equipo de Google. Esta última técnica permite identificar que analista o que entidad está analizando la muestra maliciosa.

El auditorio podrá desde un punto de vista Blue team, identificar qué aspectos deberían mejorar de sus soluciones de sandbox para evitar su evasión y por otra parte desde una visión Red Team que elementos de control se deberían aplicar a sus herramientas de ataque para evitar la mayor parte de estas soluciones de seguridad.

AFDX Twin - Manipulando redes de aviónica

The Airbus A380 was the first aircraft to use avionics bus based on AFDX protocol. The AFDX contributes to the IMA (Integrated Modular Avionics) model introducing new architecture topologies and new security threats. / El Airbus A380 fue el primer avión en utilizar el bus de aviónica basado en el protocolo AFDX. AFDX contribuye al modelo IMA (Integrated Modular Avionics) que presenta nuevas topologías de arquitectura y nuevas amenazas de seguridad.

Password Cracking in the Modern Age

Os presentamos un taller de passwork cracking y técnicas involucradas en el descifrado de hashes. El taller cubrirá desde conceptos básicos y el uso de técnicas avanzadas para optimizar ataques contra hashlists, hasta ataques dirigidos. También se mostrarán sistemas sobre como construir contraseñas seguras.

El workshop tiene un contexto altamente práctico y está enfocado desde la perspectiva de un auditor(a) de seguridad, manteniendo las buenas prácticas.

Taller de reversing de binarios escritos en Golang

GoLang es un lenguaje de programación que permite compilar binarios para múltiples plataformas a partir de un mismo código base, incluyendo Windows, OSX y Linux, lo cual lo hace altamente atractivo para los desarrolladores de malware y, por tanto, también para los analistas. En este taller se abordará una metodología para analizar este tipo de binarios y, para ello, se tomará como ejemplo la resolución de un reto CTF de la plataforma Atenea (https://atenea.ccn-cert.cni.es/) del Centro Criptológico Nacional.

A Clockwork Pentester

Hablaremos de los obstáculos que hemos encontrado al automatizar las fases de un pentesting, y propondremos ideas para solucionarlo, así como las tecnologías y los componentes que estamos usando para desarrollar la plataforma SecAP.

Encontrando 0days en 2020

La charla hará un repaso de las distintas técnicas que se están utilizando a día de hoy para encontrar "0days" en el software y los avances que se han producido en los últimos años en la materia.

Se mostraran también vulnerabilidades reales encontradas por el autor en los últimos meses y se explicarán los métodos empleados para hallar dichos bugs, así como los posibles métodos de explotación de los mismos.

Legalidad de la prueba tecnológica indiciaria cuando tu papi es un hacker!!!!

Me estalla la cabeza, mi yo técnico, impulsivo y a veces inconsciente me dice que siga investigando, pero, por otro lado, mi yo legal, consciente y consecuente, me dice no valdrá de nada lo que he conseguido hasta ahora si sigo adelante.

El técnico, quiere seguir tirando del hilo de la cuenta utilizada para el robo de credenciales, en este caso de un perfil de Instagram, y el legalmente me dice que puedo seguir adelante a través del estudio de fuentes abiertas, así que vamos. Eso sí, siempre sin olvidar, el yo consecuente, para que me ayude a respetar la legalidad de las investigaciones.

La finalidad de la charla es unir en el escenario los dos avatares, el técnico Amador Aparicio y legal Juan Carlos Fernández, con el fin de construir una prueba tecnológica legal, basada en indicios y con las especialidades cuando éstas, son aportadas por un particular.

SealFS: logs resistentes a la manipulación

El análisis de los logs es esencial para una investigación
forense. Después de una intrusión, los logs suelen ser falseados para
ocultar las evidencias del ataque (direcciones de red, vulnerabilidades
explotadas, etc.). Si el sistema está totalmente comprometido, el
atacante puede ser capaz de ejecutar código con cualquier nivel de
privilegios (desde ring 3 a ring -3) y falsear los logs incluso si
están firmados. Como contramedida, algunos sistemas envían los logs
a otro nodo a través de la red. Esta solución no es siempre viable
o deseable (p. ej. robots autónomos operando en zonas desconectadas o
sistemas débilmente conectados) y simplemente traslada el problema a otro
lugar. En esta ponencia presentamos un esquema sencillo para autenticar
los logs locales que se basa en el modelo Forward Integrity: se autentican
las entradas de los logs desde el arranque del sistema hasta que el
atacante es capaz de elevar privilegios, haciendo imposible falsear las
entradas ya generadas que tienen las evidencias del ataque. El esquema no
depende de hardware especial. También se describirá la implementación
de un prototipo del esquema en forma de un sistema de ficheros apilable
para Linux. Esta implementación proporciona despliegue instantáneo y
compatibilidad hacia atrás con todo el software existente.

Run a DFIR investigation the easy way: Revealer Toolkit

Revealer Toolkit 2 (RVT2) es un framework enfocado a investigaciones forenses digitales basado en software libre y escrito en Python 3. El RVT2 se encarga de identificar y automatizar las tareas habituales de una investigación forense, tales como el manejo cuidadoso de imágenes, el parseo de artefactos comunes a todas las investigaciones forenses, o la presentación de los resultados procesados para permitir que un analista dedique su esfuerzo exclusivamente a investigar el caso. Durante la RootedCON se presentará el proyecto RVT2 mediante la resolución en directo de un caso de investigación forense, y se liberará el código del proyecto y la documentación.

Compliance as Code (Auditoría de infraestructura, rápida y eficiente)

¿Por qué seguir gastando tiempo y recursos rellenando enormes listas de comprobación para la auditoría periódica de cumplimiento con las políticas y normativas de seguridad, cuando se pueden definir controles de verificación continua usando un lenguaje declarativo?

The enemy of my enemy is not my friend... A tale of APT’s thievery

APT actors are extremely active in Middle East and their operations have often gone unnoticed. The area is becoming more and more attractive for APT groups, both locals and foreigners.
Called to investigate some of those cases, we have discovered new groups as well as faced well known actors we met in other "battlefields".
Spear phishing, watering hole attacks and targeted strategies are found in abundance in those cases, but we have also unearthed customized Trojans, infostealer and advanced password dumpers making the investigative scenario often complicated to solve and the removal of the threat very challenging.
However, in my ten years in Incident Response investigating in the Middle East, I rarely stumble upon something completely new... but last year me and my team went through an absolutely challenging, I would say "crazy", case.

In short, two APT actors, with different origin and interests, successfully attacked a diplomatic environment and started to exfiltrate data.
All of a sudden, the less capable of the two, generated some noise by attempting to transfer several gigabytes of documents and was detected.

The Victim discovered the breach and asked for support from my team.
At the very beginning we focused on the initial alert.
We scoped the attack and its magnitude, but while we were attempting to build a proper timeline and to mitigate the threat, we noticed some odds.
In fact, through the malware analysis we noticed malware belonging to a different APT group, but sharing the same C2s of the malware identified in the initial machines detected...
It was the first time we found an attacker exploiting another attacker's infrastructure for his own purposes and leveraging on that infrastructure to transfer data back and forth a compromised environment.
The level of sophistication of the second attacker was way above the first and the initial mitigation was not completely eradicating him, so he come back another time before being expelled.

The most successful way to fight those threats is to know them and to anticipate their moves based on patterns that could be recognizable, once the investigator has gained experience and applies the proper methodologies to measure, identify and strategically operate to expel them.
The presentation aims to show most relevant techniques and tools used by the adversaries operating in the environment. The presentation will discuss also the investigative approach and the remediation techniques adopted to remove those threats.

Si la empresa ha ocultado el ciberataque, ¿cómo se ha enterado el regulador?

Aproximación a los sistemas de whistleblowing aplicados a la ciberseguridad

Rootkit Necurs: No es un bug, es una feature!

En esta charla haremos un análisis en profundidad del rootkit de la familia Necurs encontrado durante la investigación de un incidente de seguridad ocurrido en una gran empresa española desde una perspectiva técnica. Describiremos cómo el malware logra ocultarse en el equipo y su funcionamiento dentro del entorno infectado.

Necurs apareció por primera vez en 2012 y es una de las botnets más persistentes y grandes del mundo y se estima que está formada por 6 millones de equipos zombi, ordenadores de víctimas repartidos por todo el mundo y que controlan los atacantes de manera remota.

Nuestra investigación finaliza con la publicación de dos herramientas, NeCure y NeCsists, que permiten detectar la presencia del malware y desinfectar la máquina. Estas herramientas han sido desarrolladas tras encontrar la manera de abusar de las técnicas utilizadas por los propios atacantes, gracias al estudio y el análisis mediante técnicas de ingeniería inversa.

El club de los poetas muertos

Retos de seguridad en la virtualización OT

Nos enfrentamos a los retos de seguridad que supone una virtualización de los sistemas de control (OT). Desde las ventajas de realizar una virtualización, los posibles escenarios que se encontrarán en el camino, diferenciación entre seguridad IT y OT, el reto de su convergencia, las medidas de seguridad que deben implementarse a partir de una virtualización y finalmente, como garantizar la disponibilidad de los sistemas industriales a través de este proceso.

Securizando Containers, Kubernetes e implementando DevSecOps en el mundo real

Un nuevo ecosistema de aplicaciones nativas cloud ha emergido y crece cada día alrededor de diferentes tecnologías de containers, orquestadores, etc. Durante esta sesión abordaremos los retos de seguridad que presenta este nuevo entorno de desarrollo y presentaremos las mejores prácticas para ganar visibilidad, prevención y detección.

Presentación de Resistencia Digital: Manual de seguridad operacional e instrumental para Smartphones

Hemos convertido el smartphone en el principal intermediario que nos pone en contacto con el mundo. Avasallados como estamos en un entorno cada día más hostil a nuestra privacidad, queremos transmitir los conocimientos que permitan desarrollar una cultura de la seguridad al alcance de todo el mundo.

Presentamos "Resistencia Digital: Manual de seguridad operacional e instrumental para Smartphones", libro publicado bajo licencia Creative Commons en abril de 2019 y escrito por cinco autores de Críptica, una asociación sin ánimo de lucro que promociona el uso de herramientas y hábitos seguros en torno a las TIC desde 2015.

¿Ciber o Cerveza? ..."CiberBeers"

Origen de un proyecto como claro ejemplo del pensamiento lateral en un sector totalmente distinto al tuyo; no se trata de una charla técnica sino de como de importante es pensar y analizar las cosas como lo haría un hacker.

Stego attacks by design. A deep dive about stegomalware & polyglots

El stegomalware se ha convertido en una pieza cada vez más usada en APTs y ataques sofisticados, solo en 2019 ejemplos como Ursnif o Platinum, ScarCruft o OcenLotus APT group atestiguan esta tendencia.
En esta ponencia, revisaremos las técnicas y uso de la ciencia de la esteganografía para la ocultación de malware y enseñaremos su potencial actual en seguridad ofensiva y la necesidad de su conocimiento
para tareas defensivas y forenses. Se prestará especial interés al análisis de la utilidad real o no de polyglots para la creación de stegomalware que permitan ejecución de código malicioso. Se liberará
una herramienta para automatizar y facilitar la creación de ciertos polyglots para la distribución o detección de malware. Estos "artefactos" facilitarán ataques a través de páginas web, persistencia mediante lolbins y otros escenarios.

Roapt evil mass storage & Tu-ya aqui?

Roapt evil mass storage & Tu-ya aqui?

Van a mear sangre: cómo hacer que los malos lo paguen muy caro

Los malos están que lo petan, sobre todo con el ransomware. Y es que muchas redes son como los caramelos de cereza: duros por fuera, blanditos por dentro. En esta charla vamos a contar unas cuantas medidas de bastionado (todas con consejos aprendidos de la experiencia, a veces por las malas), que permitan ofrecer a los atacantes una experiencia de usuario similar a la de la playa de Omaha en el día D. Si van a entrar, que entren: pero van a mear sangre

Roapt evil mass storage & Tu-ya aqui?

Roapt evil mass storage & Tu-ya aqui?

Atacando comunicaciones de voz cifradas

En la charla se pretende analizar y auditar los posibles escenarios que nos podemos encontrar en
una comunicación de VoIP, desde sistemas telefónicos habituales, donde se realizan llamadas desde
cualquier empresa, sin cifrados o con cifrados parciales, hasta sistemas cerrados donde todas las
comunicaciones van 100% cifradas.

Veremos las diferentes opciones de cifrado y trataremos de analizar y descifrar el tráfico, con
simples capturas o con ataques mitm.
¿Es posible escuchar conversaciones a través de un sistema WebRTC o atacar protocolos como
ZRTP o Mikey?

The day I ruled the world: Deceiving software developers through open source software dependencies

In this talk we are going to show the research about software dependencies that led us to rule the world for a day. Surprisingly, we could take control of more than 800 developer machines in less than 24 hours with the collusion of the most famous software dependency repositories... And with the "collaboraiton" of the developers ;)

The day I ruled the world: Deceiving software developers through open source software dependencies

In this talk we are going to show the research about software dependencies that led us to rule the world for a day. Surprisingly, we could take control of more than 800 developer machines in less than 24 hours with the collusion of the most famous software dependency repositories... And with the "collaboraiton" of the developers ;)

Fortificando contenedores en Kubernetes "like a boss"

En esta charla mostraremos como aplicando ciertas propiedades proveídas por Kubernetes, podemos contener la movilidad y acciones que un atacante podría llevar a cabo una vez haya comprometida nuestra aplicación. Mostraremos una demo del antes y el después de la misma aplicación sin modificar ni una línea de código de ésta, sólamente cambiando la forma de despliegue. Así daremos un repaso a buenas prácticas de seguridad que debemos tener en cuenta cuando desplegamos una aplicación en Kubernetes.

BugBounty Workshop: The SpInquisitors Way

En este taller ofreceremos una visión sobre qué es el mundo del Bug Bounty, explicar el cómo funciona y dotar a los asistentes de herramientas suficientes para empezar a “cazar bugs” en el mismo momento de acabar el taller.

En el primer taller nos enfocaremos más en la parte introductoria del Bug Bounty, desde: encontrar empresas con programas de “responsible disclosure” a cómo se redacta correctamente un “Informe”, pasando por algunas de las técnicas de hacking web más comunes en el mundo real.

En el segundo taller abordaremos técnicas más avanzadas de explotación común en el mundo real y profundizaremos en algunas de las técnicas que se hayan impartido en el “Taller iniciación”.

Fortificando contenedores en Kubernetes "like a boss"

En esta charla mostraremos como aplicando ciertas propiedades proveídas por Kubernetes, podemos contener la movilidad y acciones que un atacante podría llevar a cabo una vez haya comprometida nuestra aplicación. Mostraremos una demo del antes y el después de la misma aplicación sin modificar ni una línea de código de ésta, sólamente cambiando la forma de despliegue. Así daremos un repaso a buenas prácticas de seguridad que debemos tener en cuenta cuando desplegamos una aplicación en Kubernetes.

WinTriage: La herramienta del DFIRer en Windows

Cuando nos enfrentamos a un incidente en el que está involucrado un sistema vivo con sistema operativo Windows, es imprescindible saber qué artefactos llevarse para poder analizar más tarde. Aunque hay herramientas populares y gratuitas, en mi experiencia, ninguna de ellas es capaz de hacer una extracción todo lo completa que necesito. Cierto es que, haciendo uso de dos de ellas, se puede obtener la mayoría de estos. Se podría decir que ambas son complementarias, aunque en conjunto, no del todo completas según las necesidades de la mayoría de los casos en los que me he encontrado. Además, una de ellas instala software en el sistema comprometido.
El objetivo de una herramienta de adquisición de evidencias es que sea lo más completa y que ejecute el menor número de operaciones posibles para ser capaz de obtener un mismo número de evidencias, contaminando lo mínimo el sistema víctima. Con estas premisas en mente, he desarrollado desde cero, una herramienta capaz de aunar lo mejor de las dos herramientas más populares, así como la extracción de otros artefactos forenses distintos, igualmente necesarios, siguiendo un correcto orden de volatilidad, y respetando la integridad del sistema destino.
Es compatible desde Windows 2003/XP en adelante.

AD is dead, long live AAD. Moving laterally in the age of the cloud

Active Directory has been a target for attackers for the last decade and techniques for lateral movement are well known being a hot topic at the moment due to enterprise ransom attacks using them.
With the advent of the cloud, organizations are extending their identities to Azure AD creating new paths of lateral movement that are still to be well understood. During the talk, Azure AD and it´s dependencies will be explored and techniques used for lateral movement to and from the cloud and how to harden against them will be explained.

Hackeando los sistemas de movilidad urbana compartidos.

En ésta charla explicaremos como se pueden hackear de diversas formas los sistemas de movilidad urbana compartidos eléctricos que tan de moda se han puesto en los últimos tiempos. Además muchos de los procedimientos explicados son extensivos para auditar otros dispositivos de IoT.

DevSecOps: into the unknown

La Seguridad perimetral ha sido siempre uno de los principales objetivos de las
organizaciones, definiendo requisitos y supervisando el correcto bastionado de los servidores,
aplicaciones y sistemas, para reducir la superficie de ataque. Sin embargo, los entornos de desarrollo,
tradicionalmente autogestionados y sin supervisión, se están convirtiendo hoy en día en uno de los
entornos menos controlados y más vulnerables dentro de las organizaciones, en especial con la
implantación de la metodología DevOps, que introduce nuevas herramientas y vectores de ataque.
Esto mismo se demostró en la charla impartida en la anterior edición del congreso “DevSecOps y la
caída de Babilonia”, donde se enumeraron varias vulnerabilidades críticas presentes en versiones
recientes de Jenkins.
Durante este año, se ha querido ampliar el alcance de la investigación, definiendo y desarrollando una
suite de herramientas automáticas de reconocimiento y explotación de vulnerabilidades en entornos
de DevOps, cubriendo la falta actual de un framework de este tipo que facilite la detección de fallos
de seguridad en estos sistemas, y permita automatizar los ejercicios de tests de intrusión. Esta suite se
publicará bajo licencia Open Source, abierta a la comunidad hacker, pero durante la charla se hará
en exclusiva una demostración en vivo de su funcionamiento.
Además, se presentarán nuevas vulnerabilidades detectadas durante la fase de investigación y
desarrollo. Actualmente, se está trabajando en el reporte de un nuevo CVE que podría ser publicado
a principios de este nuevo año.

DevSecOps: into the unknown

La Seguridad perimetral ha sido siempre uno de los principales objetivos de las
organizaciones, definiendo requisitos y supervisando el correcto bastionado de los servidores,
aplicaciones y sistemas, para reducir la superficie de ataque. Sin embargo, los entornos de desarrollo,
tradicionalmente autogestionados y sin supervisión, se están convirtiendo hoy en día en uno de los
entornos menos controlados y más vulnerables dentro de las organizaciones, en especial con la
implantación de la metodología DevOps, que introduce nuevas herramientas y vectores de ataque.
Esto mismo se demostró en la charla impartida en la anterior edición del congreso “DevSecOps y la
caída de Babilonia”, donde se enumeraron varias vulnerabilidades críticas presentes en versiones
recientes de Jenkins.
Durante este año, se ha querido ampliar el alcance de la investigación, definiendo y desarrollando una
suite de herramientas automáticas de reconocimiento y explotación de vulnerabilidades en entornos
de DevOps, cubriendo la falta actual de un framework de este tipo que facilite la detección de fallos
de seguridad en estos sistemas, y permita automatizar los ejercicios de tests de intrusión. Esta suite se
publicará bajo licencia Open Source, abierta a la comunidad hacker, pero durante la charla se hará
en exclusiva una demostración en vivo de su funcionamiento.
Además, se presentarán nuevas vulnerabilidades detectadas durante la fase de investigación y
desarrollo. Actualmente, se está trabajando en el reporte de un nuevo CVE que podría ser publicado
a principios de este nuevo año.

The '80s never died: automata theory for reversing modern CPUs

Understanding the timing behavior of modern CPUs is crucial for optimizing code and for ensuring timing-related security and safety properties. Unfortunately, the timing behavior of modern processors depends on subtle and poorly documented details of their microarchitecture, which has triggered laborious efforts to reverse-engineer microarchitectural details. Cache replacement policies have received special attention, because they control the content stored in the memory hierarchy and hence heavily influence execution time.
In this talk we present an end-to-end solution for automatically learning cache replacement policies from real-time measurements on hardware. Our approach relies on two main contributions: (1) a tool, called CacheQuery, that provides an abstract interface to any individual cache set in the cache hierarchy, liberating the user from dealing with intrincate details such as address translation, index mapping, slicing, cache level interference, or measurement noise; and (2) an algorithm, called Polca, that provides an abstract interface to the cache replacement policy, and exploits several symmetries that make automata learning techniques applicable to the problem. Furthermore, we use program synthesis to automatically derive human-readable descriptions of the learned replacement policy.
In our experiments, we are successful in learning the cache replacement policies used in recent Intel processors, including 2 previously undocumented policies.

Del cielo a infierno pasando por el entornos C.I. (Continuous Integration) / C.D.(Continuous Deployment)

Desde que se empezó a crear software como producto o como parte esencial de la prácticamente la totalidad de empresas se ha analizado y discutido sobre cómo automatizar el proceso de desarrollo de software.

Actualmente hay dos acrónimos que definen los procesos de creación y despliegue del software moderno: C.I. / C.D.

Cada uno de ellos representa una serie de procesos claramente diferenciados: durante el proceso de creación del software y su posterior puesta en producción.

Con el auge de estas filosofías han surgido infinidad de conceptos nuevos y software asociado para poder llevarlos a cabo: Jenkins, Drone, Bambú, github, gitlab, Docker, Docker Swarm, Kubernetes, Terraform, Ansible, slack...

Confiamos en que nuestros servicios de producción sean actualizados y desplegados por este tipo de software. Hacemos complejos y minuciosos procesos de hardening de nuestros sistemas productivos pero…. ¿se pone el mismo empeño en securizar los entornos CI/CD? ¿somos conscientes que estos sistemas suelen tener alto nivel de permisos? ¿sabemos las consecuencias que acarrean para la empresa el que se comprometan?

El objetivo de la charla es demostrar cómo se puede tomar el control de todos los sistemas productivos de una organización vulnerando la seguridad de los sistemas CI/CD.

Se analizarán los entornos CI/CD con componentes de uso común y muy conocidos actualmente, analizando los fallos de seguridad más típicos, cómo explotarlos y cómo mitigarlos.

Se realizarán varias demos en las que se desplegarán entornos CI/CD completos y se explotarán cada una de los puntos más vulnerables.

Del cielo a infierno pasando por el entornos C.I. (Continuous Integration) / C.D.(Continuous Deployment)

Desde que se empezó a crear software como producto o como parte esencial de la prácticamente la totalidad de empresas se ha analizado y discutido sobre cómo automatizar el proceso de desarrollo de software.

Actualmente hay dos acrónimos que definen los procesos de creación y despliegue del software moderno: C.I. / C.D.

Cada uno de ellos representa una serie de procesos claramente diferenciados: durante el proceso de creación del software y su posterior puesta en producción.

Con el auge de estas filosofías han surgido infinidad de conceptos nuevos y software asociado para poder llevarlos a cabo: Jenkins, Drone, Bambú, github, gitlab, Docker, Docker Swarm, Kubernetes, Terraform, Ansible, slack...

Confiamos en que nuestros servicios de producción sean actualizados y desplegados por este tipo de software. Hacemos complejos y minuciosos procesos de hardening de nuestros sistemas productivos pero…. ¿se pone el mismo empeño en securizar los entornos CI/CD? ¿somos conscientes que estos sistemas suelen tener alto nivel de permisos? ¿sabemos las consecuencias que acarrean para la empresa el que se comprometan?

El objetivo de la charla es demostrar cómo se puede tomar el control de todos los sistemas productivos de una organización vulnerando la seguridad de los sistemas CI/CD.

Se analizarán los entornos CI/CD con componentes de uso común y muy conocidos actualmente, analizando los fallos de seguridad más típicos, cómo explotarlos y cómo mitigarlos.

Se realizarán varias demos en las que se desplegarán entornos CI/CD completos y se explotarán cada una de los puntos más vulnerables.

Demystifying VoLTE

Las actuales redes móviles están sufriendo cambios significativos en su Core. Las tecnologías y protocolos más actuales hacen uso de redes TCP/IP, ya no sólo para datos, sino tambien para voz, como es el caso de la tecnología Voz sobre LTE, lo que añade nuevos riesgos e interesantes vectores de ataque.
Durante la charla se explicarán los distintos vectores de ataque relacionados con VoLTE, así como las previsiones que hay a futuro en la voz sobre 5G

Todo a SIEM

Ofertillas en casos de uso, mamporros en broadcast y las APTs más guapas de la China (im)popular.

Hackeando el mundo exterior a través de Bluetooth Low-Energy (BLE)

El mundo que nos rodea está lleno de dispositivos BLE que interactúan con muchos de nuestros datos. ¿Cuál es la seguridad de este protocolo? En esta charla se hablará sobre el protocolo BLE (Bluetooth Low-Energy). Haremos hincapié en los ataques actuales y la seguridad general de los dispositivos. Se mostrará una evaluación de la seguridad que implementan muchos dispositivos y se mostrará una simulación de ciertos vectores de ataque. Los ataques mostrados se realizarán sobre elementos propios y placas que simulan ser dispositivos reales. Ningún dispositivo BLE sufrirá daño alguno en esta charla.

Hackeando el mundo exterior a través de Bluetooth Low-Energy (BLE)

El mundo que nos rodea está lleno de dispositivos BLE que interactúan con muchos de nuestros datos. ¿Cuál es la seguridad de este protocolo? En esta charla se hablará sobre el protocolo BLE (Bluetooth Low-Energy). Haremos hincapié en los ataques actuales y la seguridad general de los dispositivos. Se mostrará una evaluación de la seguridad que implementan muchos dispositivos y se mostrará una simulación de ciertos vectores de ataque. Los ataques mostrados se realizarán sobre elementos propios y placas que simulan ser dispositivos reales. Ningún dispositivo BLE sufrirá daño alguno en esta charla.

WordPress, another terror story

Recientes estudios indican que Wordpress ha alcanzado una cota de mercado de un 65% de uso en España y un 30% a nivel mundial.
El uso de este CMS hace que cuando se detecta una vulnerabilidad en el core de la aplicación tiemble Internet, cuando es utilizado para realizar ataques de DDoS, Phising, etc, sin embargo, no debemos dejar otro punto de lado y estos son los plugins utilizados por el core, los cuales son el principal foco de ataque para intentar atacar este más que conocido CMS.

BugBounty Workshop: The SpInquisitors Way

En este taller ofreceremos una visión sobre qué es el mundo del Bug Bounty, explicar el cómo funciona y dotar a los asistentes de herramientas suficientes para empezar a “cazar bugs” en el mismo momento de acabar el taller.

En el primer taller nos enfocaremos más en la parte introductoria del Bug Bounty, desde: encontrar empresas con programas de “responsible disclosure” a cómo se redacta correctamente un “Informe”, pasando por algunas de las técnicas de hacking web más comunes en el mundo real.

En el segundo taller abordaremos técnicas más avanzadas de explotación común en el mundo real y profundizaremos en algunas de las técnicas que se hayan impartido en el “Taller iniciación”.

BugBounty Workshop: The SpInquisitors Way

En este taller ofreceremos una visión sobre qué es el mundo del Bug Bounty, explicar el cómo funciona y dotar a los asistentes de herramientas suficientes para empezar a “cazar bugs” en el mismo momento de acabar el taller.

En el primer taller nos enfocaremos más en la parte introductoria del Bug Bounty, desde: encontrar empresas con programas de “responsible disclosure” a cómo se redacta correctamente un “Informe”, pasando por algunas de las técnicas de hacking web más comunes en el mundo real.

En el segundo taller abordaremos técnicas más avanzadas de explotación común en el mundo real y profundizaremos en algunas de las técnicas que se hayan impartido en el “Taller iniciación”.

Internautas on the top

Recorrido histórico de la actividad de la Asociación de Internautas, respecto a: impacto en el ámbito de la ciberseguridad; derechos de los usuarios; límites de la ley regulando la tecnología. Retos de futuro.

Atacando la debilidad humana

Los incidentes de ciberseguridad publicados bloquean los activos de las organizaciones y, muchos, se inician por medio de un ataque de ingeniería social. El objetivo es conocer si, frente a un ataque de Ingeniería Social, la formación del empleado es una herramienta eficaz para evitarlos o reducirlos. La metodología empleada ha consistido en el estudio de obras sobre Ingeniería Social, informes de compañías de telecomunicaciones, estadísticas policiales y judiciales y la elaboración de encuestas. Se halló que muchos de los delitos sufridos de las organizaciones no son denunciados y que, las empresas que formaron a los empleados redujeron en un 20% los incidentes. Se descubrió que, los trabajos futuros que se lleven a cabo en materia de machine learning y el estudio de los individuos, podrían hacer más difícil evitar los impactos por ingeniería social, aunque también es posible trabajar el machine learning como contra medidas para este tipo de ataques. Se recomienda implicar a toda la organización, mantener la formación del empleado y adaptarla a las nuevas exigencias de la evolución tecnológica.

Hunting Malware using process behaviour

Hoy en día no hay un proceso de Threat hunting completo sin la revisión de la actividad de los procesos de los equipos, para ello Sysmon de SysInternals es una solución gratuita que permite a los Threat Hunters trazar acciones como: escritura de ficheros, conexiones de red o carga de librerías entre otras. Esta herramienta presenta las acciones de forma atómica y aislada, es decir, sin una relación de los sucesos basada en la jerarquía de los procesos, por lo que no es posible correlar y relacionar entre si el comportamiento de los mismos. Por ejemplo: la ejecución de Powershell por parte de Winword representa una anomalía a estudiar, pero si además podemos saber que el proceso padre de ese Winword es la aplicación Outlook podemos llegar a identificar que un ataque de tipo phishing ha tenido éxito.

El resultado del estudio realizado mostrará como, mediante la correlación de eventos de endpoint, es posible detectar ataques sofisticados llevados a cabo por malware perteneciente a grupos APT y cibercriminales.

Para ello se presentará el desarrollo de la herramienta “Sysmon Process Correlator”. Correlador de eventos de Sysmon basado en la jerarquía de los procesos y comportamiento anómalo, que será liberada como Open Source para el evento. Este software permite contrastar las reglas de detección contra ficheros de log de Sysmon tipo .evtx o mantenerse en modo demonio detectando ataques en tiempo real. El correlador implementa principalmente dos motores de detección:
• El primero se focaliza en la detección de anomalías por desviación de la actividad normal de los procesos en un sistema Microsoft Windows, presentando un modelo de normalidad capaz de identificar situaciones de riesgo.
• El segundo identifica actividad anómala por la relación en la jerarquía de creación de los procesos y sus acciones registradas por Sysmon.
Como prueba de concepto se evaluará el correlador frente a la actividad de la herramienta Cobalt Strike, viendo que estrategias de detección existen para identificar ataques avanzados mediante frameworks de ataque de este tipo.

Sandbox fingerprinting - Evadiendo entornos de análisis

En los ejercicios de Red Team es común enfrentarse a entornos donde los sistemas sandbox juegan un papel fundamental en la protección corporativa. Para los defensores y sus herramientas de seguridad (Antivirus, EDRs, AntiSpam...), la capacidad de analizar los archivos de forma automática en un entorno controlado, bien sea en tiempo real o a posteriori, constituye una aproximación de detección de artefactos maliciosos muy potente.

Desde el punto de vista de un pentester o cuando un equipo Red Team se ha de enfrentar a un ejercicio de intrusión, es necesario disponer de técnicas de bypass que permitan evadir estos mecanismos de seguridad. Es por eso que, el equipo de seguridad ofensiva de S2 Grupo desarrolló un proyecto interno destinado al estudio de las características y el comportamiento de diferentes servicios tanto públicos (Virustotal, HibridAnalisys); como privados (compañías antivirus y seguridad) de sus soluciones sandbox. El objetivo perseguido fue doble, en primer lugar poder responder a la pregunta de: ¿estoy ejecutando mi malware en un entorno controlado/vigilado o no? y por otra parte ¿a qué compañía/entidad pertenece esa jaula de monitorización?

Poder contestar a las preguntas anteriores ofrece una gran ventaja desde el punto de vista de un atacante, es por eso que para afrontar el estudio, se desarrolló un malware capaz de recopilar el máximo de información del equipo sobre el que se ejecutó siendo remitido al mayor número posible de sistemas sandbox existentes conocidos. El resultado permitió generar una gran base de datos con las características y el comportamiento de un gran número de estas soluciones de seguridad. De esta manera se pudo generar un algoritmo capaz de responder a las preguntas planteadas anteriormente, basado en la heurística recolectada. Los resultados fueron sorprendentes, evidenciando que los sistemas de seguridad de este tipo están todavía en un estadio carente de excesiva madurez.

Esta charla pues, presentará los resultados del estudio del funcionamiento de distintos servicios online de análisis automático de archivos a fin de poder evadirlos. Además, dicho estudio se completa con distintos factores que tratan de identificar qué servicio está realizando el análisis a fin de conocer mejor las herramientas de los defensores.

De forma complementaria, se expondrá la posibilidad de identificar/atacar a los propios analistas encargados de estudiar las amenazas mediante vulnerabilidades identificadas en los paneles de gestión de algunas sandbox como Virustotal y los cuales fueron reportados al equipo de Google. Esta última técnica permite identificar que analista o que entidad está analizando la muestra maliciosa.

El auditorio podrá desde un punto de vista Blue team, identificar qué aspectos deberían mejorar de sus soluciones de sandbox para evitar su evasión y por otra parte desde una visión Red Team que elementos de control se deberían aplicar a sus herramientas de ataque para evitar la mayor parte de estas soluciones de seguridad.

Current Issues and Challenges in Malware Detection in Memory Forensics

Offensive DevOops - Automatizando bounties usando "la nube"... pero sólo for fun

Hace un tiempo, comencé a jugar en el mundo de los bounties, como "casi todo el mundo".

Enumeración de dominios por aquí, nmap por allá... Luego, algún "subdomain takeover" por aquí, vulnerabilidades de Burp en automático en aplicaciones obsoletas por allá... No me fue mal del todo. Al menos un bug en: United Airlines, Paypal, Github, Uber, algún otro programa privado...

Rápidamente esto cambió. Miles de personas intentando "cazar" bugs en todo el mundo, eso es mucha competencia... Empezó a ser aburrido y frustrante. Veías algunos "writeups" de gente que se había sacado mucho dinero encontrando cosas extremadamente simples, y luego otros artículos en blogs de gente que explotaba cosas alucinantes que yo jamás podría haber encontrado.

Las cosas cogieron mucha velocidad, y comenzó la automatización alrededor de los bounties. Esto volvía a ser interesante. Tengo una fascinación personal por el mundo "cloud", ¡y tenía una excusa perfecta para montar un proyecto personal nuevo!

Asi que eso hice. Poco a poco he ido montando una plataforma de bounties que permite, de manera automatica, hacer unas cuantas tareas de automatización, escaneo, fingerprinting... de manera distribuida (workers y sistemas de colas) integrado con Slack e incluso con un simple cli para simplificar las tareas manuales. Lo peor es que me parece más interesante montarla que usarla, así que rentabilidad... poca le he sacado.

Mucho, MUCHO, PERO MUCHO bash, pero bueno, funciona.

El objetivo de esta charla es sobretodo mostrar lo que he montado, inspirar a la gente a automatizar, y a investigar algo más las posibilidades que ofrece "la nube".

Aviso: Esta charla no tiene blockchain ni machine learning.

El Camino de Hacktiago: tras los pasos de 14 increíbles cibersantuarios

De Toledo a Silicon Valley pasando por Moscú, Langley, Belorado y las afueras de Londres, entre otros lugares. Al igual que los grandes aventureros sueñan con coronar los 14 '8.000' o atravesar el Amazonas en el mundo también existen verdaderos santuarios donde los hackers más importantes de la historia han llevado la tecnología y todo lo que relacionado con ella, incluida la seguridad informática, a otro nivel.Y todo sin salir del Congreso técnico, en castellano, más importante del hemisferio Norte: la RootedCON.

Así que te invitamos a un viaje por los más emblemáticos para desvelar sus curiosidades y porqué son considerados 'la Meca' para cualquiera que se considere como experto en ciberseguridad.Algunos están abiertos al público… y otros, incluso, prohibidos y de acceso reservado.

A lo largo de primer 'Camino de Hacktiago' del mundo podrás conocer historias técnicas increíbles de los orígenes de la ciberseguridad en museos, garajes, centros de investigación, edificios abandonados y laboratorios que, tras décadas, siguen inspirando a muchos hackers y ciberprofesionales, incluidos los CISOs.

Por supuesto, no todo es 'ver mundo': para los amantes del 'lowcost' ofreceremos un 'hackertravel', por los cibersantuarios españoles más emblemáticos…. ¡ni te imaginas los que hay!

Ahí fuera ahí un mundo increíble, ¿los descubrimos juntos con la comunidad RootedCON?

Evading Deep Learning Malware Detectors

The growing amount of malicious software (malware) and its increasing complexity have proven traditional detection methods as insufficient. Recently, Machine Learning (ML) techniques, especially Artificial Neural Networks (ANN), have been widely adopted, thanks to their high detection rates on malware. In recent years, novel binary classification approaches have been proposed to operate at raw bytes. However, these ML-based methods are vulnerable by nature, since they work under the assumption that training and testing samples follow the same data distribution, which may not be true when facing a motivated adversary. In this work, a general mechanism to evaluate the robustness of ANN-based detectors against Adversarial Examples is proposed. By using a black-box approach, the proposed framework is able to find evasive samples while preserving their malicious functionality, introducing optimized bytes at different addresses within the given files. The proposed model has been evaluated against a well-known state-of-the-art architecture for which it successfully evades up to 98.3% of malware samples.

Atacando la debilidad humana

Los incidentes de ciberseguridad publicados bloquean los activos de las organizaciones y, muchos, se inician por medio de un ataque de ingeniería social. El objetivo es conocer si, frente a un ataque de Ingeniería Social, la formación del empleado es una herramienta eficaz para evitarlos o reducirlos. La metodología empleada ha consistido en el estudio de obras sobre Ingeniería Social, informes de compañías de telecomunicaciones, estadísticas policiales y judiciales y la elaboración de encuestas. Se halló que muchos de los delitos sufridos de las organizaciones no son denunciados y que, las empresas que formaron a los empleados redujeron en un 20% los incidentes. Se descubrió que, los trabajos futuros que se lleven a cabo en materia de machine learning y el estudio de los individuos, podrían hacer más difícil evitar los impactos por ingeniería social, aunque también es posible trabajar el machine learning como contra medidas para este tipo de ataques. Se recomienda implicar a toda la organización, mantener la formación del empleado y adaptarla a las nuevas exigencias de la evolución tecnológica.

El Camino de Hacktiago: tras los pasos de 14 increíbles cibersantuarios

De Toledo a Silicon Valley pasando por Moscú, Langley, Belorado y las afueras de Londres, entre otros lugares. Al igual que los grandes aventureros sueñan con coronar los 14 '8.000' o atravesar el Amazonas en el mundo también existen verdaderos santuarios donde los hackers más importantes de la historia han llevado la tecnología y todo lo que relacionado con ella, incluida la seguridad informática, a otro nivel.Y todo sin salir del Congreso técnico, en castellano, más importante del hemisferio Norte: la RootedCON.

Así que te invitamos a un viaje por los más emblemáticos para desvelar sus curiosidades y porqué son considerados 'la Meca' para cualquiera que se considere como experto en ciberseguridad.Algunos están abiertos al público… y otros, incluso, prohibidos y de acceso reservado.

A lo largo de primer 'Camino de Hacktiago' del mundo podrás conocer historias técnicas increíbles de los orígenes de la ciberseguridad en museos, garajes, centros de investigación, edificios abandonados y laboratorios que, tras décadas, siguen inspirando a muchos hackers y ciberprofesionales, incluidos los CISOs.

Por supuesto, no todo es 'ver mundo': para los amantes del 'lowcost' ofreceremos un 'hackertravel', por los cibersantuarios españoles más emblemáticos…. ¡ni te imaginas los que hay!

Ahí fuera ahí un mundo increíble, ¿los descubrimos juntos con la comunidad RootedCON?

Virtual Pwned Network

“Virtual Pwned Network"’ tiene como objetivo demostrar como un atacante usando un servidor VPN y el CMD de Windows es capaz de realizar ataques que permiten tomar el control de un equipo remoto de forma persistente, realizar exfiltración de información o pivotar a ataques del tipo "man in the middle" sin necesidad de escalar privilegios,, emplear malware o explotar vulnerabilidades en sistemas o aplicaciones.

Protocolos industriales, carreteras comarcales

Todo comienza con la avería de un equipo de aire acondicionado. Desde ese punto tiraremos del hilo hasta descubrir un protocolo de control de edificios inteligentes que carece de toda documentación pública.
¿Este año no he hablado de drones? ¡Habrá sorpresa!

WordPress, another terror story

Recientes estudios indican que Wordpress ha alcanzado una cota de mercado de un 65% de uso en España y un 30% a nivel mundial.
El uso de este CMS hace que cuando se detecta una vulnerabilidad en el core de la aplicación tiemble Internet, cuando es utilizado para realizar ataques de DDoS, Phising, etc, sin embargo, no debemos dejar otro punto de lado y estos son los plugins utilizados por el core, los cuales son el principal foco de ataque para intentar atacar este más que conocido CMS.

La metacharla de CiberSeguridad

¿Cansado de charlas de ciberseguridad que no te conmueven? ¿que apenas te acuerdas pasada media hora? ¿Cuando das charlas nadie te mira a la cara ni durante ni después?
Esta charla puede ser la solución. Lo único que te garantizo es que no quedarás indiferente.
Se expondrá de forma amenizada el devenir de una investigación desde el descubrimiento de un zero day en el viso de fotos de Windows. Se compartirán experiencias tanto positivas como negativas como asistente a muchas charlas de ciberseguridad. Se desvelarán los trucos sencillos de magia para evitar que tus presentaciones sobre ciberseguridad sean una partida de póker entre enterradores (o te ayudará a hacerlas así). Cóctel de ciberseguridad con improvisación. Has sido avisado. Assist at your own risk.

(Ctrl+c) + (Ctrl+v) = Car Hacking

La charla versará sobre el estado del arte respecto a los hacks que se pueden hacer a un coche en su conjunto, yendo mas allá de lo obvio

Se harán demos sobre:

- Puertas de garajes.
- Radio FM & FM RDS messages
- Apertura de puertas y arranque del motor sin poseer la llave
- Navegador GPS
- Un paseo por las unidades de control..

(Ctrl+c) + (Ctrl+v) = Car Hacking

La charla versará sobre el estado del arte respecto a los hacks que se pueden hacer a un coche en su conjunto, yendo mas allá de lo obvio

Se harán demos sobre:

- Puertas de garajes.
- Radio FM & FM RDS messages
- Apertura de puertas y arranque del motor sin poseer la llave
- Navegador GPS
- Un paseo por las unidades de control..

The joy of Bugging Smart Meters

Investigación sobre la seguridad de los contadores inteligentes y ataques reales.

Demystifying VoLTE

Las actuales redes móviles están sufriendo cambios significativos en su Core. Las tecnologías y protocolos más actuales hacen uso de redes TCP/IP, ya no sólo para datos, sino tambien para voz, como es el caso de la tecnología Voz sobre LTE, lo que añade nuevos riesgos e interesantes vectores de ataque.
Durante la charla se explicarán los distintos vectores de ataque relacionados con VoLTE, así como las previsiones que hay a futuro en la voz sobre 5G

Emotet is dead, long live Emotet

Spanish

Emotet resurgió a finales de 2016 como una botnet de distribución de malware, después de un tiempo desaparecida. Desde entonces no ha parado de robar credenciales y de usar cuentas comprometidas para realizar sus campañas. En el último año hemos visto cómo ha mejorado sus técnicas de ingeniería social, haciéndolas bastante creíbles para los destinatarios. Además, grupos de cibercriminales importantes como los que operan Trickbot o Dridex han elegido sus servicios para propagar su malware, que en algunos casos se ha usado para comprometer grandes empresas e instalar ransomware dirigido como Ryuk o BitPaymer. Esta charla dará detalles sobre la actividad de Emotet en el último año, analizando campañas importantes y su relación con los grupos detrás de Trickbot y Dridex

English

Emotet re-emerged in late 2016 as a malware distribution botnet, after going quiet for a while. Since then, it continues to steal credentials and use compromised accounts to carry out campaigns. In the last year, we have seen how its social engineering techniques have improved dramatically, making them even more credible to its victims. Cybercriminal groups, including those operating Trickbot and Dridex are using Emotet to spread their malware, which in some cases has been used to compromise large organizations and install targeted ransomware such as Ryuk and BitPaymer. This talk will offer detail on Emotet's activity in the past year, providing analysis of important campaigns and dive into its relationships with the groups behind Trickbot and Dridex

Sandbox fingerprinting - Evadiendo entornos de análisis

En los ejercicios de Red Team es común enfrentarse a entornos donde los sistemas sandbox juegan un papel fundamental en la protección corporativa. Para los defensores y sus herramientas de seguridad (Antivirus, EDRs, AntiSpam...), la capacidad de analizar los archivos de forma automática en un entorno controlado, bien sea en tiempo real o a posteriori, constituye una aproximación de detección de artefactos maliciosos muy potente.

Desde el punto de vista de un pentester o cuando un equipo Red Team se ha de enfrentar a un ejercicio de intrusión, es necesario disponer de técnicas de bypass que permitan evadir estos mecanismos de seguridad. Es por eso que, el equipo de seguridad ofensiva de S2 Grupo desarrolló un proyecto interno destinado al estudio de las características y el comportamiento de diferentes servicios tanto públicos (Virustotal, HibridAnalisys); como privados (compañías antivirus y seguridad) de sus soluciones sandbox. El objetivo perseguido fue doble, en primer lugar poder responder a la pregunta de: ¿estoy ejecutando mi malware en un entorno controlado/vigilado o no? y por otra parte ¿a qué compañía/entidad pertenece esa jaula de monitorización?

Poder contestar a las preguntas anteriores ofrece una gran ventaja desde el punto de vista de un atacante, es por eso que para afrontar el estudio, se desarrolló un malware capaz de recopilar el máximo de información del equipo sobre el que se ejecutó siendo remitido al mayor número posible de sistemas sandbox existentes conocidos. El resultado permitió generar una gran base de datos con las características y el comportamiento de un gran número de estas soluciones de seguridad. De esta manera se pudo generar un algoritmo capaz de responder a las preguntas planteadas anteriormente, basado en la heurística recolectada. Los resultados fueron sorprendentes, evidenciando que los sistemas de seguridad de este tipo están todavía en un estadio carente de excesiva madurez.

Esta charla pues, presentará los resultados del estudio del funcionamiento de distintos servicios online de análisis automático de archivos a fin de poder evadirlos. Además, dicho estudio se completa con distintos factores que tratan de identificar qué servicio está realizando el análisis a fin de conocer mejor las herramientas de los defensores.

De forma complementaria, se expondrá la posibilidad de identificar/atacar a los propios analistas encargados de estudiar las amenazas mediante vulnerabilidades identificadas en los paneles de gestión de algunas sandbox como Virustotal y los cuales fueron reportados al equipo de Google. Esta última técnica permite identificar que analista o que entidad está analizando la muestra maliciosa.

El auditorio podrá desde un punto de vista Blue team, identificar qué aspectos deberían mejorar de sus soluciones de sandbox para evitar su evasión y por otra parte desde una visión Red Team que elementos de control se deberían aplicar a sus herramientas de ataque para evitar la mayor parte de estas soluciones de seguridad.

AFDX Twin - Manipulando redes de aviónica

The Airbus A380 was the first aircraft to use avionics bus based on AFDX protocol. The AFDX contributes to the IMA (Integrated Modular Avionics) model introducing new architecture topologies and new security threats. / El Airbus A380 fue el primer avión en utilizar el bus de aviónica basado en el protocolo AFDX. AFDX contribuye al modelo IMA (Integrated Modular Avionics) que presenta nuevas topologías de arquitectura y nuevas amenazas de seguridad.

Password Cracking in the Modern Age

Os presentamos un taller de passwork cracking y técnicas involucradas en el descifrado de hashes. El taller cubrirá desde conceptos básicos y el uso de técnicas avanzadas para optimizar ataques contra hashlists, hasta ataques dirigidos. También se mostrarán sistemas sobre como construir contraseñas seguras.

El workshop tiene un contexto altamente práctico y está enfocado desde la perspectiva de un auditor(a) de seguridad, manteniendo las buenas prácticas.

Password Cracking in the Modern Age

Os presentamos un taller de passwork cracking y técnicas involucradas en el descifrado de hashes. El taller cubrirá desde conceptos básicos y el uso de técnicas avanzadas para optimizar ataques contra hashlists, hasta ataques dirigidos. También se mostrarán sistemas sobre como construir contraseñas seguras.

El workshop tiene un contexto altamente práctico y está enfocado desde la perspectiva de un auditor(a) de seguridad, manteniendo las buenas prácticas.

Taller de reversing de binarios escritos en Golang

GoLang es un lenguaje de programación que permite compilar binarios para múltiples plataformas a partir de un mismo código base, incluyendo Windows, OSX y Linux, lo cual lo hace altamente atractivo para los desarrolladores de malware y, por tanto, también para los analistas. En este taller se abordará una metodología para analizar este tipo de binarios y, para ello, se tomará como ejemplo la resolución de un reto CTF de la plataforma Atenea (https://atenea.ccn-cert.cni.es/) del Centro Criptológico Nacional.

Taller de reversing de binarios escritos en Golang

GoLang es un lenguaje de programación que permite compilar binarios para múltiples plataformas a partir de un mismo código base, incluyendo Windows, OSX y Linux, lo cual lo hace altamente atractivo para los desarrolladores de malware y, por tanto, también para los analistas. En este taller se abordará una metodología para analizar este tipo de binarios y, para ello, se tomará como ejemplo la resolución de un reto CTF de la plataforma Atenea (https://atenea.ccn-cert.cni.es/) del Centro Criptológico Nacional.

A Clockwork Pentester

Hablaremos de los obstáculos que hemos encontrado al automatizar las fases de un pentesting, y propondremos ideas para solucionarlo, así como las tecnologías y los componentes que estamos usando para desarrollar la plataforma SecAP.

A Clockwork Pentester

Hablaremos de los obstáculos que hemos encontrado al automatizar las fases de un pentesting, y propondremos ideas para solucionarlo, así como las tecnologías y los componentes que estamos usando para desarrollar la plataforma SecAP.

Encontrando 0days en 2020

La charla hará un repaso de las distintas técnicas que se están utilizando a día de hoy para encontrar "0days" en el software y los avances que se han producido en los últimos años en la materia.

Se mostraran también vulnerabilidades reales encontradas por el autor en los últimos meses y se explicarán los métodos empleados para hallar dichos bugs, así como los posibles métodos de explotación de los mismos.

Legalidad de la prueba tecnológica indiciaria cuando tu papi es un hacker!!!!

Me estalla la cabeza, mi yo técnico, impulsivo y a veces inconsciente me dice que siga investigando, pero, por otro lado, mi yo legal, consciente y consecuente, me dice no valdrá de nada lo que he conseguido hasta ahora si sigo adelante.

El técnico, quiere seguir tirando del hilo de la cuenta utilizada para el robo de credenciales, en este caso de un perfil de Instagram, y el legalmente me dice que puedo seguir adelante a través del estudio de fuentes abiertas, así que vamos. Eso sí, siempre sin olvidar, el yo consecuente, para que me ayude a respetar la legalidad de las investigaciones.

La finalidad de la charla es unir en el escenario los dos avatares, el técnico Amador Aparicio y legal Juan Carlos Fernández, con el fin de construir una prueba tecnológica legal, basada en indicios y con las especialidades cuando éstas, son aportadas por un particular.

Legalidad de la prueba tecnológica indiciaria cuando tu papi es un hacker!!!!

Me estalla la cabeza, mi yo técnico, impulsivo y a veces inconsciente me dice que siga investigando, pero, por otro lado, mi yo legal, consciente y consecuente, me dice no valdrá de nada lo que he conseguido hasta ahora si sigo adelante.

El técnico, quiere seguir tirando del hilo de la cuenta utilizada para el robo de credenciales, en este caso de un perfil de Instagram, y el legalmente me dice que puedo seguir adelante a través del estudio de fuentes abiertas, así que vamos. Eso sí, siempre sin olvidar, el yo consecuente, para que me ayude a respetar la legalidad de las investigaciones.

La finalidad de la charla es unir en el escenario los dos avatares, el técnico Amador Aparicio y legal Juan Carlos Fernández, con el fin de construir una prueba tecnológica legal, basada en indicios y con las especialidades cuando éstas, son aportadas por un particular.

SealFS: logs resistentes a la manipulación

El análisis de los logs es esencial para una investigación
forense. Después de una intrusión, los logs suelen ser falseados para
ocultar las evidencias del ataque (direcciones de red, vulnerabilidades
explotadas, etc.). Si el sistema está totalmente comprometido, el
atacante puede ser capaz de ejecutar código con cualquier nivel de
privilegios (desde ring 3 a ring -3) y falsear los logs incluso si
están firmados. Como contramedida, algunos sistemas envían los logs
a otro nodo a través de la red. Esta solución no es siempre viable
o deseable (p. ej. robots autónomos operando en zonas desconectadas o
sistemas débilmente conectados) y simplemente traslada el problema a otro
lugar. En esta ponencia presentamos un esquema sencillo para autenticar
los logs locales que se basa en el modelo Forward Integrity: se autentican
las entradas de los logs desde el arranque del sistema hasta que el
atacante es capaz de elevar privilegios, haciendo imposible falsear las
entradas ya generadas que tienen las evidencias del ataque. El esquema no
depende de hardware especial. También se describirá la implementación
de un prototipo del esquema en forma de un sistema de ficheros apilable
para Linux. Esta implementación proporciona despliegue instantáneo y
compatibilidad hacia atrás con todo el software existente.

SealFS: logs resistentes a la manipulación

El análisis de los logs es esencial para una investigación
forense. Después de una intrusión, los logs suelen ser falseados para
ocultar las evidencias del ataque (direcciones de red, vulnerabilidades
explotadas, etc.). Si el sistema está totalmente comprometido, el
atacante puede ser capaz de ejecutar código con cualquier nivel de
privilegios (desde ring 3 a ring -3) y falsear los logs incluso si
están firmados. Como contramedida, algunos sistemas envían los logs
a otro nodo a través de la red. Esta solución no es siempre viable
o deseable (p. ej. robots autónomos operando en zonas desconectadas o
sistemas débilmente conectados) y simplemente traslada el problema a otro
lugar. En esta ponencia presentamos un esquema sencillo para autenticar
los logs locales que se basa en el modelo Forward Integrity: se autentican
las entradas de los logs desde el arranque del sistema hasta que el
atacante es capaz de elevar privilegios, haciendo imposible falsear las
entradas ya generadas que tienen las evidencias del ataque. El esquema no
depende de hardware especial. También se describirá la implementación
de un prototipo del esquema en forma de un sistema de ficheros apilable
para Linux. Esta implementación proporciona despliegue instantáneo y
compatibilidad hacia atrás con todo el software existente.

Run a DFIR investigation the easy way: Revealer Toolkit

Revealer Toolkit 2 (RVT2) es un framework enfocado a investigaciones forenses digitales basado en software libre y escrito en Python 3. El RVT2 se encarga de identificar y automatizar las tareas habituales de una investigación forense, tales como el manejo cuidadoso de imágenes, el parseo de artefactos comunes a todas las investigaciones forenses, o la presentación de los resultados procesados para permitir que un analista dedique su esfuerzo exclusivamente a investigar el caso. Durante la RootedCON se presentará el proyecto RVT2 mediante la resolución en directo de un caso de investigación forense, y se liberará el código del proyecto y la documentación.

Compliance as Code (Auditoría de infraestructura, rápida y eficiente)

¿Por qué seguir gastando tiempo y recursos rellenando enormes listas de comprobación para la auditoría periódica de cumplimiento con las políticas y normativas de seguridad, cuando se pueden definir controles de verificación continua usando un lenguaje declarativo?

The enemy of my enemy is not my friend... A tale of APT’s thievery

APT actors are extremely active in Middle East and their operations have often gone unnoticed. The area is becoming more and more attractive for APT groups, both locals and foreigners.
Called to investigate some of those cases, we have discovered new groups as well as faced well known actors we met in other "battlefields".
Spear phishing, watering hole attacks and targeted strategies are found in abundance in those cases, but we have also unearthed customized Trojans, infostealer and advanced password dumpers making the investigative scenario often complicated to solve and the removal of the threat very challenging.
However, in my ten years in Incident Response investigating in the Middle East, I rarely stumble upon something completely new... but last year me and my team went through an absolutely challenging, I would say "crazy", case.

In short, two APT actors, with different origin and interests, successfully attacked a diplomatic environment and started to exfiltrate data.
All of a sudden, the less capable of the two, generated some noise by attempting to transfer several gigabytes of documents and was detected.

The Victim discovered the breach and asked for support from my team.
At the very beginning we focused on the initial alert.
We scoped the attack and its magnitude, but while we were attempting to build a proper timeline and to mitigate the threat, we noticed some odds.
In fact, through the malware analysis we noticed malware belonging to a different APT group, but sharing the same C2s of the malware identified in the initial machines detected...
It was the first time we found an attacker exploiting another attacker's infrastructure for his own purposes and leveraging on that infrastructure to transfer data back and forth a compromised environment.
The level of sophistication of the second attacker was way above the first and the initial mitigation was not completely eradicating him, so he come back another time before being expelled.

The most successful way to fight those threats is to know them and to anticipate their moves based on patterns that could be recognizable, once the investigator has gained experience and applies the proper methodologies to measure, identify and strategically operate to expel them.
The presentation aims to show most relevant techniques and tools used by the adversaries operating in the environment. The presentation will discuss also the investigative approach and the remediation techniques adopted to remove those threats.

Compliance as Code (Auditoría de infraestructura, rápida y eficiente)

¿Por qué seguir gastando tiempo y recursos rellenando enormes listas de comprobación para la auditoría periódica de cumplimiento con las políticas y normativas de seguridad, cuando se pueden definir controles de verificación continua usando un lenguaje declarativo?

Run a DFIR investigation the easy way: Revealer Toolkit

Revealer Toolkit 2 (RVT2) es un framework enfocado a investigaciones forenses digitales basado en software libre y escrito en Python 3. El RVT2 se encarga de identificar y automatizar las tareas habituales de una investigación forense, tales como el manejo cuidadoso de imágenes, el parseo de artefactos comunes a todas las investigaciones forenses, o la presentación de los resultados procesados para permitir que un analista dedique su esfuerzo exclusivamente a investigar el caso. Durante la RootedCON se presentará el proyecto RVT2 mediante la resolución en directo de un caso de investigación forense, y se liberará el código del proyecto y la documentación.

Si la empresa ha ocultado el ciberataque, ¿cómo se ha enterado el regulador?

Aproximación a los sistemas de whistleblowing aplicados a la ciberseguridad

Rootkit Necurs: No es un bug, es una feature!

En esta charla haremos un análisis en profundidad del rootkit de la familia Necurs encontrado durante la investigación de un incidente de seguridad ocurrido en una gran empresa española desde una perspectiva técnica. Describiremos cómo el malware logra ocultarse en el equipo y su funcionamiento dentro del entorno infectado.

Necurs apareció por primera vez en 2012 y es una de las botnets más persistentes y grandes del mundo y se estima que está formada por 6 millones de equipos zombi, ordenadores de víctimas repartidos por todo el mundo y que controlan los atacantes de manera remota.

Nuestra investigación finaliza con la publicación de dos herramientas, NeCure y NeCsists, que permiten detectar la presencia del malware y desinfectar la máquina. Estas herramientas han sido desarrolladas tras encontrar la manera de abusar de las técnicas utilizadas por los propios atacantes, gracias al estudio y el análisis mediante técnicas de ingeniería inversa.

Rootkit Necurs: No es un bug, es una feature!

En esta charla haremos un análisis en profundidad del rootkit de la familia Necurs encontrado durante la investigación de un incidente de seguridad ocurrido en una gran empresa española desde una perspectiva técnica. Describiremos cómo el malware logra ocultarse en el equipo y su funcionamiento dentro del entorno infectado.

Necurs apareció por primera vez en 2012 y es una de las botnets más persistentes y grandes del mundo y se estima que está formada por 6 millones de equipos zombi, ordenadores de víctimas repartidos por todo el mundo y que controlan los atacantes de manera remota.

Nuestra investigación finaliza con la publicación de dos herramientas, NeCure y NeCsists, que permiten detectar la presencia del malware y desinfectar la máquina. Estas herramientas han sido desarrolladas tras encontrar la manera de abusar de las técnicas utilizadas por los propios atacantes, gracias al estudio y el análisis mediante técnicas de ingeniería inversa.

RootedPanel - A ver cómo nos lo montamos: a vueltas con las DAOs

Desde sus orígenes, el hombre ha tenido que dar respuesta a la necesidad de organizarse en sociedad y repartirse tareas dentro de su comunidad. En la actualidad, entre el creciente intervencionismo de un Estado que ve como su autoridad peligra en la sociedad globalizada y el neofeudalismo al que pueden dar lugar las grandes corporaciones, las DAOs se antojan como posibles islas de empoderamiento del individuo, frente a las entidades públicas y privadas, y como un paso más en el proceso de evolución institucional. En el panel se analizarán los retos, amenazas y posibilidades que ofrece esta forma de organizarse.

RootedPanel - A ver cómo nos lo montamos: a vueltas con las DAOs

Desde sus orígenes, el hombre ha tenido que dar respuesta a la necesidad de organizarse en sociedad y repartirse tareas dentro de su comunidad. En la actualidad, entre el creciente intervencionismo de un Estado que ve como su autoridad peligra en la sociedad globalizada y el neofeudalismo al que pueden dar lugar las grandes corporaciones, las DAOs se antojan como posibles islas de empoderamiento del individuo, frente a las entidades públicas y privadas, y como un paso más en el proceso de evolución institucional. En el panel se analizarán los retos, amenazas y posibilidades que ofrece esta forma de organizarse.

RootedPanel - A ver cómo nos lo montamos: a vueltas con las DAOs

Desde sus orígenes, el hombre ha tenido que dar respuesta a la necesidad de organizarse en sociedad y repartirse tareas dentro de su comunidad. En la actualidad, entre el creciente intervencionismo de un Estado que ve como su autoridad peligra en la sociedad globalizada y el neofeudalismo al que pueden dar lugar las grandes corporaciones, las DAOs se antojan como posibles islas de empoderamiento del individuo, frente a las entidades públicas y privadas, y como un paso más en el proceso de evolución institucional. En el panel se analizarán los retos, amenazas y posibilidades que ofrece esta forma de organizarse.

RootedPanel - A ver cómo nos lo montamos: a vueltas con las DAOs

Desde sus orígenes, el hombre ha tenido que dar respuesta a la necesidad de organizarse en sociedad y repartirse tareas dentro de su comunidad. En la actualidad, entre el creciente intervencionismo de un Estado que ve como su autoridad peligra en la sociedad globalizada y el neofeudalismo al que pueden dar lugar las grandes corporaciones, las DAOs se antojan como posibles islas de empoderamiento del individuo, frente a las entidades públicas y privadas, y como un paso más en el proceso de evolución institucional. En el panel se analizarán los retos, amenazas y posibilidades que ofrece esta forma de organizarse.

El club de los poetas muertos

Retos de seguridad en la virtualización OT

Nos enfrentamos a los retos de seguridad que supone una virtualización de los sistemas de control (OT). Desde las ventajas de realizar una virtualización, los posibles escenarios que se encontrarán en el camino, diferenciación entre seguridad IT y OT, el reto de su convergencia, las medidas de seguridad que deben implementarse a partir de una virtualización y finalmente, como garantizar la disponibilidad de los sistemas industriales a través de este proceso.

Retos de seguridad en la virtualización OT

Nos enfrentamos a los retos de seguridad que supone una virtualización de los sistemas de control (OT). Desde las ventajas de realizar una virtualización, los posibles escenarios que se encontrarán en el camino, diferenciación entre seguridad IT y OT, el reto de su convergencia, las medidas de seguridad que deben implementarse a partir de una virtualización y finalmente, como garantizar la disponibilidad de los sistemas industriales a través de este proceso.

Retos de seguridad en la virtualización OT

Nos enfrentamos a los retos de seguridad que supone una virtualización de los sistemas de control (OT). Desde las ventajas de realizar una virtualización, los posibles escenarios que se encontrarán en el camino, diferenciación entre seguridad IT y OT, el reto de su convergencia, las medidas de seguridad que deben implementarse a partir de una virtualización y finalmente, como garantizar la disponibilidad de los sistemas industriales a través de este proceso.

Securizando Containers, Kubernetes e implementando DevSecOps en el mundo real

Un nuevo ecosistema de aplicaciones nativas cloud ha emergido y crece cada día alrededor de diferentes tecnologías de containers, orquestadores, etc. Durante esta sesión abordaremos los retos de seguridad que presenta este nuevo entorno de desarrollo y presentaremos las mejores prácticas para ganar visibilidad, prevención y detección.

Live coding: herramienta para desarrollar la creatividad

Live coding es el término que define el uso de algoritmos para la creación de contenido audiovisual con la particularidad de que el software es ejecutado al vuelo, mientras se genera el contenido. Esta particularidad hace de el live coding una herramienta muy poderosa para tomar decisiones artísticas y creativas al mismo tiempo que se conserva una linea de pensamiento lógica y formal. Durante la charla se dará a conocer la escena internacional de live coding, las herramientas más usuales para su puesta en escena, las comunidades que hay detrás de esos proyectos y algunos ejemplos que definen el estado del arte de esta actividad.

Presentación de Resistencia Digital: Manual de seguridad operacional e instrumental para Smartphones

Hemos convertido el smartphone en el principal intermediario que nos pone en contacto con el mundo. Avasallados como estamos en un entorno cada día más hostil a nuestra privacidad, queremos transmitir los conocimientos que permitan desarrollar una cultura de la seguridad al alcance de todo el mundo.

Presentamos "Resistencia Digital: Manual de seguridad operacional e instrumental para Smartphones", libro publicado bajo licencia Creative Commons en abril de 2019 y escrito por cinco autores de Críptica, una asociación sin ánimo de lucro que promociona el uso de herramientas y hábitos seguros en torno a las TIC desde 2015.

¿Ciber o Cerveza? ..."CiberBeers"

Origen de un proyecto como claro ejemplo del pensamiento lateral en un sector totalmente distinto al tuyo; no se trata de una charla técnica sino de como de importante es pensar y analizar las cosas como lo haría un hacker.

RootedPanel - Fundación GoodJob

Programa #include de empleabilidad en Ciberseguridad para Personas con Discapacidad

• Luis Fernández, periodista editor de revista SIC y moderador
• César López, Director de la Fundación Goodjob
• Miguel Ángel Cañada, Responsable de Relaciones Institucionales, Unidad de Apoyo Estratégico y RSE, INCIBE
• Román Ramírez, Director-Fundador RootedCON
• Yolanda Hernández, Responsable de RRHH de Telefónica Ingenieria de Seguridad
• Susana Azores, Directora de RRHH de Atos
• Enrique Sánchez, CEO de Westcon-Comstor

RootedPanel - Fundación GoodJob

Programa #include de empleabilidad en Ciberseguridad para Personas con Discapacidad

• Luis Fernández, periodista editor de revista SIC y moderador
• César López, Director de la Fundación Goodjob
• Miguel Ángel Cañada, Responsable de Relaciones Institucionales, Unidad de Apoyo Estratégico y RSE, INCIBE
• Román Ramírez, Director-Fundador RootedCON
• Yolanda Hernández, Responsable de RRHH de Telefónica Ingenieria de Seguridad
• Susana Azores, Directora de RRHH de Atos
• Enrique Sánchez, CEO de Westcon-Comstor

RootedPanel - Fundación GoodJob

Programa #include de empleabilidad en Ciberseguridad para Personas con Discapacidad

• Luis Fernández, periodista editor de revista SIC y moderador
• César López, Director de la Fundación Goodjob
• Miguel Ángel Cañada, Responsable de Relaciones Institucionales, Unidad de Apoyo Estratégico y RSE, INCIBE
• Román Ramírez, Director-Fundador RootedCON
• Yolanda Hernández, Responsable de RRHH de Telefónica Ingenieria de Seguridad
• Susana Azores, Directora de RRHH de Atos
• Enrique Sánchez, CEO de Westcon-Comstor

RootedPanel - Fundación GoodJob

Programa #include de empleabilidad en Ciberseguridad para Personas con Discapacidad

• Luis Fernández, periodista editor de revista SIC y moderador
• César López, Director de la Fundación Goodjob
• Miguel Ángel Cañada, Responsable de Relaciones Institucionales, Unidad de Apoyo Estratégico y RSE, INCIBE
• Román Ramírez, Director-Fundador RootedCON
• Yolanda Hernández, Responsable de RRHH de Telefónica Ingenieria de Seguridad
• Susana Azores, Directora de RRHH de Atos
• Enrique Sánchez, CEO de Westcon-Comstor

RootedPanel - Fundación GoodJob

Programa #include de empleabilidad en Ciberseguridad para Personas con Discapacidad

• Luis Fernández, periodista editor de revista SIC y moderador
• César López, Director de la Fundación Goodjob
• Miguel Ángel Cañada, Responsable de Relaciones Institucionales, Unidad de Apoyo Estratégico y RSE, INCIBE
• Román Ramírez, Director-Fundador RootedCON
• Yolanda Hernández, Responsable de RRHH de Telefónica Ingenieria de Seguridad
• Susana Azores, Directora de RRHH de Atos
• Enrique Sánchez, CEO de Westcon-Comstor

RootedPanel - Fundación GoodJob

Programa #include de empleabilidad en Ciberseguridad para Personas con Discapacidad

• Luis Fernández, periodista editor de revista SIC y moderador
• César López, Director de la Fundación Goodjob
• Miguel Ángel Cañada, Responsable de Relaciones Institucionales, Unidad de Apoyo Estratégico y RSE, INCIBE
• Román Ramírez, Director-Fundador RootedCON
• Yolanda Hernández, Responsable de RRHH de Telefónica Ingenieria de Seguridad
• Susana Azores, Directora de RRHH de Atos
• Enrique Sánchez, CEO de Westcon-Comstor

RootedPanel - Fundación GoodJob

Programa #include de empleabilidad en Ciberseguridad para Personas con Discapacidad

• Luis Fernández, periodista editor de revista SIC y moderador
• César López, Director de la Fundación Goodjob
• Miguel Ángel Cañada, Responsable de Relaciones Institucionales, Unidad de Apoyo Estratégico y RSE, INCIBE
• Román Ramírez, Director-Fundador RootedCON
• Yolanda Hernández, Responsable de RRHH de Telefónica Ingenieria de Seguridad
• Susana Azores, Directora de RRHH de Atos
• Enrique Sánchez, CEO de Westcon-Comstor

¿Ciber o Cerveza? ..."CiberBeers"

Origen de un proyecto como claro ejemplo del pensamiento lateral en un sector totalmente distinto al tuyo; no se trata de una charla técnica sino de como de importante es pensar y analizar las cosas como lo haría un hacker.