Monthly Archive mayo 2018

Byaci

SECURUS TOOL

Hoy en día, todos estamos enterados de los medios que los gobiernos utilizan para espiar a los ciudadanos, pero esto no debería de ser tan simple. Para permitir la vigilancia; por ley, las autoridades deben proporcionar una orden a las compañías de teléfonos celulares para recopilar datos.

Ahora es posible rastrear datos de un teléfono celular en tiempo real con Securus. Expertos en seguridad informática comentan, que Securus es una firma de telecomunicaciones de prisiones que ayuda a dependencias de gobierno a monitorear teléfonos celulares en los Estados Unidos. Utiliza una interfaz web que aprovecha su API de ubicación, Securus puede acceder con éxito a bases de datos del sitio celular en tiempo real. Los registros se utilizan para obtener datos del teléfono celular para permitir el seguimiento.

En el proceso, los intermediarios de datos de terceros se toman para recibir datos del teléfono celular mientras el seguimiento se hace a través de una interfaz web, que favorece a las autoridades para comenzar a rastrear cualquier teléfono celular en cuestión de segundos, comentan profesionales en seguridad informática.

Los corredores de terceros implicados en este proceso están altamente conectados con las empresas de telecomunicaciones y normalmente se basan en la explotación de anuncios para llevar a los usuarios a habilitar el seguimiento GPS para ver anuncios basados en su ubicación.

Securus, admitió que normalmente obtiene datos de 3CInteractive, quien obtiene datos de LocationSmart. Por esto, se puede suponer que Securus utiliza la API de LocationSmart para iniciar el seguimiento basado en web.

De acuerdo con el New York Times, el problema es que este proceso se lleva a cabo sin ninguna verificación legal que pueda monitorear y prevenir el abuso de datos confidenciales. El New York Times dijo que el servicio de Securus fue utilizado por Cory Hutcheson, ex sheriff del condado de Mississippi, Missouri, para rastrear teléfonos celulares del objetivo. Sus objetivos incluían un juez y varios funcionarios de gobierno. De acuerdo con investigadores en seguridad informática, el seguimiento comenzó hace tres años y nunca se obtuvo una orden.

l sistema utilizado por Securus es similar al sistema que ofrecen las empresas de telefonía celular a los especialistas en marketing, los cuales necesitan obtener objetivos según las matrices de datos, como los datos de ubicación. Sabemos que este sistema es mucho más invasivo ya que proporciona acceso incontrolado al seguimiento de la ubicación.

Ahora, Securus afirma que ha limitado el uso de su sistema para fomentar la vigilancia legalmente permitida. Esto ha hecho necesario que los usuarios del sistema llevar órdenes judiciales o garantías antes de usarlo. La compañía señaló que nunca revisa los pedidos antes de otorgar acceso para usar el sistema y tampoco muestra las órdenes judiciales a los operadores antes de entrar a sus bases de datos.

“Securus no es un juez, la responsabilidad de garantizar la legalidad de la documentación de respaldo recae en los clientes que hacen cumplir la ley y sus abogados. Securus ofrece servicios solo a las fuerzas del orden y las instalaciones correccionales, y no todos los funcionarios tienen acceso al sistema “, dijo un portavoz de Securus.

Los operadores de telefonía están involucrados en abusar de un agujero en las leyes de privacidad que supuestamente prohíbe vender este tipo de datos. La brecha está presente en los contratos de los operadores de telefonía, que no son leídos por los usuarios, comentaron expertos en seguridad informática.

En estos contratos, se ha incluido un término en donde el usuario ha dado su consentimiento para la venta de datos de ubicación. Entonces, al vender sus datos privados a los operadores, en realidad está permitiendo que empresas como Securus lo exploten sin permiso.

El senador Ron Wyden ha enviado cartas a las empresas de telecomunicaciones y a la FCC para proporcionar detalles del programa. AT & T público el contenido de la carta recibida.

“Le escribo para insistir en que AT & T tome medidas proactivas para evitar la divulgación irrestricta y el posible abuso de datos privados de clientes, incluida la información de ubicación en tiempo real, por parte de otra compañía al gobierno”.

ByDrok3r

Backdoor en el módulo Python SSH Decorate

El módulo SSH Decorate era un decorador de Paramiko para Python, que ofrecía funcionalidades de cliente SSH, desarrollado por el programador israelí Uri Goren, colaborador del proyecto SciPy. Aunque no era muy popular (cerca de 4000 descargas lo corroboran), ejemplifica cómo puede darse este tipo de incidencias de la manera más sencilla, por lo que fue un objetivo fácil de utilizar para propagar este backdoor.
El desarrollador avisó que su cuenta había sido comprometida, cambiando su código para incluir esta backdoor. Tomó la decisión de cambiar la contraseña y renombrar el proyecto como “ssh-decorator“, pero, finalmente y tras todo este revuelo, ha decido borrar la presencia de su código en todas sus cuentas de Github y PyPi.
Lo que en un principio podría ser un ataque viable con paciencia y mediante el uso de diccionarios, se vuelve más sencillo, si cabe, tras analizar las versiones anteriores del código. En su versión 0.2 se pueden encontrar credenciales por defecto de una cuenta en Bluehost, por lo que, probablemente, los atacantes hayan reutilizado esta misma contraseña en su cuenta de Pypi para poder distribuir la versión modificada:
Esta vulneración tan evidente de un módulo, junto con los recientes incidentes publicados sobre otros módulos y repositorios, pone el foco en el esquema de seguridad presente en repositorios como Pypi, donde, a día de hoy, no hay un modo rápido ni claro de poder reportar estos incidentes de módulos maliciosos o vulnerados, ni existe un método de verificación de los mismos mediante firma, por ejemplo.

Fuente: hispasec.com
ByDrok3r

WordPress wp-js-external-link-info | Redireccionamiento

Algunos sitios que trabajan bajo el CMS de WordPress, utilizan un plugin llamado wp-js-external-link-info y aunque actualmente ha sido cerrado, algunos sitios aun lo tienen, y nos podemos aprovechar de este plugin para redirigir a una víctima de un sitio a otro.
Para poder hacer esto, utilizaremos el siguiente dork:
inurl:/wp-content/plugins/wp-js-external-link-info/redirect.php?url= 
El cual a grandes rasgos realiza una búsqueda de sitios, los cuales tengan en su URL el contenido indicado, en este caso el plugin wp-js-external-link-info.
De acuerdo a google tenemos alrededor de unos 137000 resultados que coinciden con nuestra búsqueda.
Seleccionamos cualquier sitio, por lo general la mayoría tienen a presentar el siguiente mensaje:
Lo importante es la URL, que en este caso es:
http://www.muenchen-international.de/wp-content/plugins/wp-js-external-link-info/redirect.php?url=
después del parámetro url debemos ingresar el link del sitio al que nosotros queramos redirigir a la víctima. por ejemplo
http://www.muenchen-international.de/wp-content/plugins/wp-js-external-link-info/redirect.php?url=https://r3dbird.blogspot.mx
Y en cuestión de segundos, la victima sera redirigida a otro sitio.
Mas informacion de plugin wp js external link info:
BySin Rostro

Reto HPSI Mes de mayo!!

Hola amigos esta vez solo les haré mención de las reglas que se tendrán que seguir para poder continuar con los retos.

 

Este tipo de retos que sugerimos es para que aprendamos juntos y mejoremos cada día así que por favor solo sigan estas sencillas y nada complejas instrucciones.

 

  1. No dañes el servidor.
    • Creo que esta es la mas importante ya que sin este ya no podremos seguir haciendo mas, así que cuidalo.
    • Además recuerden, que tendremos varios honeypots detras  😉😉😉😉.
    • No uses Tor, VPN, o proxys, recuerden que tienen permiso para hacer Hacking Ético al servidor.
  2. Debes conseguir las 3 Flags.
    • Las flags estan en el siguiente formato:
      • FLAG: XX-XX-XX-XX-XX-XX-XX-XX
  3. Nada de Spoilers.
    • No hace falta mencionar que esta prohibido cualquier tipo de spoilers sobre la prueba hasta que este aprobado por los administradores.
  4. Obvio no puedes pasar la solución.
  5. Los primeros 3 usuarios en obtener todas las Flags seran los ganadores y podran publicar su Write-Up en el blog de Hacking Publico.
  6. Y por ultimo pero no menos importante. Diviertete.

 

Recuerden, NO HACKING NO FUN !!

Servidor

 

Saludos Hackers…

Consultor en Ciberseguridad, analisis de malware, BlackHat, pentester, amante de Python, Hardware, IoT y los Gadges.