Presentaciones de la Defcon 19

El 7 de agosto concluyó la Defcon 19 y, a dos dias de su terminacion su web sufría un DDoS producido por la cantidad de miles de usuarios ávidos del tan esperado material de las conferencias.

Sorprendentemente, Chief Monkey pone ya a nuestra disposición los pdfs de las presentaciones y, aunque la celeridad de su publicación hacía sospechar de su seguridad, parece que son de fiar. 

 

DEFCON-19-program.pdf
DEFCON-19-Abstrct-The-Schemaverse-Guide.pdf
DEFCON-19-Abstrct-The-Schemaverse.pdf
DEFCON-19-Almeida-Workshop-ESD.pdf
DEFCON-19-Alonso-Garrido-DUST.pdf
DEFCON-19-Alonso-Garrido-Excel.pdf
DEFCON-19-Arlen-Nano-Seconds-WP.pdf
DEFCON-19-Arlen-Nano-Seconds.pdf
DEFCON-19-Arpaia-Reed-Beat-to-1337.pdf
DEFCON-19-Baldwin-DVCS-WP.pdf
DEFCON-19-Baldwin-DVCS.pdf
DEFCON-19-Barisani-Bianco-Laurie-Franken.pdf
DEFCON-19-Barnett-Deceptive-Hacking-WP.pdf
DEFCON-19-Barnett-Deceptive-Hacking.pdf
DEFCON-19-Bilodeau-FingerBank.pdf
DEFCON-19-Bilodeau-PacketFence.pdf
DEFCON-19-Bouillon-Federation-and-Empire.pdf
DEFCON-19-Bowne-Three-Generations-of-DoS-Attacks.pdf
DEFCON-19-Brooks-Wilson-Traps-of-Gold.pdf
DEFCON-19-Bryner-Kinectasploit.pdf
DEFCON-19-Carey-Metasploit-vSploit-Modules.pdf
DEFCON-19-Chamales-Securing-Crisis-Maps.pdf
DEFCON-19-Chow-Abusing-HTML5.pdf
DEFCON-19-Conti-Security-Research.pdf
DEFCON-19-Cook-Kernel-Exploitation.pdf
DEFCON-19-Craig-Internet-Kiosk-Terminals.pdf
DEFCON-19-Crenshaw-Cipherspaces-Darknets.pdf
DEFCON-19-Crowley-Cryptographic-Oracles.pdf
DEFCON-19-Cryer-Taking-Your-Ball-and-Going-Home.pdf
DEFCON-19-DC-Groups-Panel.pdf
DEFCON-19-Devarajan-LeBert-VDLDS.pptx.pdf
DEFCON-19-Dinaburg-Bit-Squatting.pdf
DEFCON-19-Duckwall-Bridge-Too-Far.pdf
DEFCON-19-Elhage-Virtualization-Under-Attack.pdf
DEFCON-19-Elrod-Morris-Not-a-Doctor.pdf
DEFCON-19-Engebretson-Pauli-Pen-Testing.pdf
DEFCON-19-Fail-Panel.pdf
DEFCON-19-Feinstein-Jarmoc-Get-Off-of-My-Cloud.pdf
DEFCON-19-Foofus-Forceful-Browsing-WP.pdf
DEFCON-19-Fritschie-Witmer-F-On-the-River.pdf
DEFCON-19-Garcia-UPnP-Mapping-WP.pdf
DEFCON-19-Garcia-UPnP-Mapping.pdf
DEFCON-19-Gavin-OpenDLP.pdf
DEFCON-19-Geers-Strategic-Cyber-Security-WP.pdf
DEFCON-19-Geers-Strategic-Cyber-Security.pdf
DEFCON-19-Gomez-Bulletproofing-The-Cloud.pdf
DEFCON-19-Hamiel-Smartfuzzing_the_Web_DC.pdf
DEFCON-19-Havelt-Henrique.pdf
DEFCON-19-Heiland-Printer-To-Pwnd.pdf
DEFCON-19-Holt-Kilger-Assessing-Civilian-Willingness.pdf
DEFCON-19-Howard-Cyber-Security-Trends-WP.pdf
DEFCON-19-Howard-Cyber-Security-Trends.pdf
DEFCON-19-Imhoff-Password-Cracking.pdf
DEFCON-19-JackDaniel-PCI-2-PANEL.pdf
DEFCON-19-Jakhar-Jugaad-Linux-Thread-Injection.pdf
DEFCON-19-Kennedy-Pentesting-Over-Powerlines-2.pdf
DEFCON-19-Kennish-Tracking-the-Trackers.pdf
DEFCON-19-Kornbrust-Hacking-and-Securing-DB2.pdf
DEFCON-19-Kotler-Amit-Sounds-Like-Botnet.pdf
DEFCON-19-Krick-License-to-Transmit.pdf
DEFCON-19-Lai-Wu-Chiu-PK-APT-Secrets-2.pdf
DEFCON-19-Lenik-MAC(b)Daddy.pdf
DEFCON-19-Linn-PIG-Finding-Truffles.pdf
DEFCON-19-Maresca-FIPS-140.pdf
DEFCON-19-Marpet-Gostom-Smile-for-the-Grenade.pdf
DEFCON-19-McCoy-Hacking-Net.pdf
DEFCON-19-McGrew-Covert-WP.pdf
DEFCON-19-McGrew-Covert.pdf
DEFCON-19-McNabb-Vulns-Wireless-Water-Meter-Networks.pdf
DEFCON-19-Miller-Battery-Firmware-Hacking.pdf
DEFCON-19-O’Neil-Chin-Google-Android.pdf
DEFCON-19-Ocepek-Blinkie-Lights-Arduino.pdf
DEFCON-19-Ollam-Gun-Safes.pdf
DEFCON-19-Osborn-Johansen-Hacking-Google-Chrome-OS.pdf
DEFCON-19-Percoco-Spiderlabs-Droid.pdf
DEFCON-19-Percoco-Spiderlabs-Malware-Freakshow-3.pdf
DEFCON-19-Percoco-Spiderlabs-SSLizzard.pdf
DEFCON-19-Phillips-Hacking-MMORPGs.pdf
DEFCON-19-Pickett-Port-Scanning-Without-Packets.pdf
DEFCON-19-Pickett-Resources.pdf
DEFCON-19-Pittman-Password-Fail.pdf
DEFCON-19-Rezchikov-Wang-Engelman-Airport-Security-WP.pdf
DEFCON-19-Robinson-Time.pdf
DEFCON-19-Schearer-WTF-Privacy.pdf
DEFCON-19-Shah-Mobile-Moolah.pdf
DEFCON-19-Skunkworks-Bitcoin.pdf
DEFCON-19-Strauchs_Rad_Newman-SCADA-in-Prisons.pptx.pdf
DEFCON-19-Street-Steal-Everything.pdf
DEFCON-19-Sumner-Byers-Alien-Weaponizing-Cyberpsychology.pdf
DEFCON-19-Sutherland-How-to-Get-Your-Message-Out.pdf
DEFCON-19-Swende-Karlsson-Owasp-Hatkit.pdf
DEFCON-19-Tassey-Perkins-Wireless-Aerial-Surveillance-Platform.pdf
DEFCON-19-Thieme-Staring-into-the-Abyss-WP.pdf
DEFCON-19-Trimble-Cybertravel.ppt.pdf
DEFCON-19-Webb-Runtime-Process-Insemination.pdf
DEFCON-19-Weeks-Network-Nightmare.pdf
DEFCON-19-Weyers-Key-Impressioning.pdf
DEFCON-19-Wilson-Traps-of-Gold.pdf
DEFCON-19-Woodberg-Network-Application-Firewalls.pdf
DEFCON-19-Zhu-Phishing-Online-Scams-in-China.pdf
DEFCON-19-Zoz-Bianchi-Vanquishing-Voyeurs.pdf

Mas informacion: 

 

Aqui podemos ver el resto del material: 

Read More

Anti: Un pentesting sencillo desde Android

El israelí Itzhak Avraham alias Zuk y su empresa de seguridad Zimperium han dado a conocer en la Defcon una aplicación para Android capaz de hackear los equipos de su entorno de forma muy sencilla "simplemente pulsando unos pocos botones".

Se trata de Anti o Android Network Toolkit y tienen previsto ofrecerla gratuitamente en el Market de Android en los próximos días, con una actualización de tan sólo 10$ para empresas.

Anti es una aplicación diseñada para pruebas de intrusión a través de smartphones, viene con una herramienta de escaneo wi-fi para encontrar redes abiertas y equipos, así como un traceroute que puede revelar las direcciones IP de los servidores remotos.

Cuando un objetivo se identifica, la aplicación ofrece un sencillo menú con comandos como "man-in-the-middle" para la captura de tráfico, "connect" y "espiar" como lo haría un troyano, o incluso "atacar" capaz de ejecutar exploits recogidos en plataformas como Metasploit o ExploitDB. 

La gente puede usarlo de forma peligrosa" dice Avraham encogiéndose de hombros. "Realmente espero que no. Pero sé que podría ser un riesgo a cambio de ayudar a las personas a aumentar su seguridad, y esa es nuestra meta.

Read More

Niña de 10 años encuentra vulnerabilidad en juegos de iOS y Android

La comunidad hacker ya puede tener un nuevo ídolo en la figura de CyFi, alias bajo el que se encuentra una niña de tan sólo 10 años. La jovencísima usuaria ha sido capaz de presentar un agujero de seguridad en varios de los juegos que se encuentran tanto en iOS como en Android. Al parecer, en los juegos como Farmville donde las actualizaciones de las acciones son lentas, existe una posibilidad de acelerar las mismas.

La noticia tuvo lugar este fin de semana durante la Defcon, la conferencia anual de seguridad que se celebra en Las Vegas. Para sorpresa del público, subió al estrado una joven ponente de 10 años que pasó a explicar el motivo del hallazgo. Se trataba de la primera ocasión en la que las conferencias se abren para los más jóvenes en la Defcon Kids.

CyFi contó que estaba cansada de la lentitud con la que se obtenían los trofeos, cosechas y demás bienes en los juegos tipo Farmville, así que trató de hallar la manera en la que se acelerase todo el proceso y que fuera más dinámico. Finalmente encontró la solución acelerando el reloj en los juegos (todos de Android o iOS) y encontrando la vulnerabilidad. Según CyFi:

Era difícil hacer progresos, porque llevaba mucho tiempo hacer crecer las cosas, por lo que pensé en modificar el tiempo de juego

Lo que la joven descifró, una vez confirmado por un conjunto de investigadores que dieron fe en la convención, fue que era posible acelerar los tiempos a través de un fallo en los sistemas de prevención, entre otros atajos, apagar el wifi en el momento de la acción.

Una pequeña hacker que no quiso dar pistas sobre aquellos juegos que se encontraban bajo esta vulnerabilidad, esperando que las compañías subsanen el agujero.

 

Via: bitelia

Read More

Fallo de diseño en Android facilitaría el phishing

Según una investigación que acaba de publicarse, parace que nuestros datos no estan tan seguros en Android.

Durante la conferencia DefCon que se está llevando a cabo en Las Vegas,Sean Schulte y Nicholas Percoco de la firma Trustwave, explicaron que los desarrolladores pueden crear aplicaciones que lancen pantallas falsasde inicio de sesión, con el objetivo de robar credenciales de los usuarios. Para colmo, ciertas características facilitarían estos ataques de phishing.

Si bien las apps que funcionan en segundo plano suelen enviar mensajes de notificación a través de la barra superior, el sistema también admite la posibilidad de que las mismas pasen a estar en primer plano. Esto, que resulta práctico para enviar una imagen de la galería a una red social, también permite que una aplicación maliciosareemplace la herramienta que ofrece nuestro banco para realizar transacciones desde el móvil.

Para demostrar esto, los investigadores presentaron una prueba de concepto, que consistió en un juego. Aunque por la instalación parecía ser un producto totalmente legítimo, su función real era mostrar pantallas de login para Amazon, Facebook, Gmail y Google Voice, notándose apenas un movimiento en la pantalla que duraba menos de un segundo. Además, logró registrarse como un servicio, para iniciarse tras cada encendido del dispositivo.

Aparte de este comportamiento, existe la posibilidad de modificar las acciones del botón de retroceso, programándolo a gusto. De esta manera, con un pequeño cambio, el usuario no podría salir de la app maliciosa o descubrir que realmente ocurre algo extraño con su teléfono. En casos menos dañinos, esto abre la puerta a pop-ups con publicidades, los cuales pueden programarse para que salgan al iniciar aplicaciones de competidores.

En estos momentos, Google está al tanto del problema y evaluando una posible solución, porque proviene de una función legítima para comprobar el estado del móvil. Asímismo, desde la compañía prometieron quitar cualquier elemento del Android Market que posea estos comportamientos, aunque claro, esto depende de que alguien los identifique.

Los investigadores, por su parte, contestaron que el inconveniente principal es permitir a cualquier aplicación saber cuál se encuentra en primer plano y reemplazarla sin una autorización explícita. Pero además dijeron que, como es difícil distinguir estos desarrollos malignos, la espera hasta recibir reportes de los usuarios “es peligrosa y puede ser un esfuerzo sin frutos, porque los atacantes podrían publicar apps más rápido de lo que Google podría identificarlas y eliminarlas del Market”. Sin dudas, es una cuestión importante a tener en cuenta, en especial a raíz de la gran popularidad de la plataforma, algo que siempre suele atraer a los hackers.

Via: bitelia.com

Read More