Derten acudió a la tercera edición del evento organizado por la Asociación de Seguridad Informática Euskalhack en el Colegio Mayor Olarain de Donostia. El congreso es una iniciativa de la primera asociación de Hacking Ético de Euskadi, una organización sin ánimo de lucro constituida en Donostia y conformada por diversos profesionales vinculados a la investigación de seguridad informática e informática forense. Según declara la organización el objetivo es promover la comunidad y la cultura en materia de seguridad digital a cualquier tipo de público interesado, mediante la promoción y difusión de conocimientos principalmente técnicos. Y por tercer año consecutivo cumplieron con este objetivo: un evento extraordinario con muy buenos ponentes y charlas de gran calidad.
El viernes comenzó con una charla de Josep Albors (ESET) sobre amenazas en el mundo de las criptodivisas y continuó con “Automatic Heap Layout Manipulation”, presentado por Sean Heelan.
Seguía Víctor Mayoral de @AliasRobotics con su ponencia “Introducing the Robotics CTF™, learn to hack robots”. La start-up alavesa presentó su reto a la comunidad hacker: “Atacar robots” para poner a prueba su seguridad. Víctor contó que la seguridad de los robots está siendo ignorada, a pesar de que se trata de “la siguiente revolución tecnológica tras el PC y los smartphones”. Su innovadora propuesta es recompensar directamente a quienes provean a los fabricantes de nuevas vulnerabilidades a corregir.
Ha quedado claro que los robots y su software de control están plagados de defectos de seguridad críticos y dolorosamente obvios que los hacen fácilmente hackeables. Estas vulnerabilidades podrían permitir controlar movimientos y operaciones de un robot para espiar o causar daño físico, e incluso representar un peligro para los humanos o el medioambiente. Razones suficientes para proponer un nuevo sistema de métricas de evaluación de vulnerabilidades (RVSS, Robotics Vulnerability Scoring System) e introducir el Robot Security Framework (RSF).
Benjamin Delpy nos trajo noticias de mimikatz. La versátil herramienta puede extraer contraseñas de texto plano, hashes, códigos PIN (Smartcards) y tickets kerberos de la memoria. También puede realizar pass-the-hash, pass-the-ticket o crear Golden Tickets. Todo un privilegio ver al maestro usándola en directo y más vale conocerla a fondo para proteger nuestros sistemas en contra de su uso.
En IOT MasterChef, David Meléndez detalló de forma divertida el proceso de construir un dron para el WiFi Hacking que cabe en la palma de la mano. ¡Un trabajo impresionante!
Después del almuerzo de hermandad, el programa continuó con Daniel Conde explicando cómo luchan contra los malos en los entornos de Ascens con un IPS from scratch, compuesto por Snort, IPSET, modsecurity, owasp, comodo, geoip, scripts en bash/Python/ruby y un ELK stack personalizado. Mucho que aprender.
En la charla “Smart Botnets” Juan Garrido reflexionó sobre la inseguridad de IoT y sobre cómo se usan los dispositivos IoT para controlar edificios inteligentes, ciudades inteligentes y como sistemas armados. De este modo, mostró vulnerabilidades relacionadas con la configuración por defecto y cómo es posible usar dispositivos IoT para hacer llamadas telefónicas gratuitas o enviar mensajes SMS globales.
La ponente Paula de la Hoz arrancó el segundo día con “Times of cyberwar”, explicando conceptos tan actuales como la ciberguerra, la vigilancia masiva ejercida por estados y corporaciones y que medidas podemos adoptar para evitarlo.
En “macOS & Windows: Pentest it with Macindows” Álvaro Núñez y @pablogonzalezpe, autor de los libros "Metasploit para Pentesters", "Hacking con Metasploit: Advance Pentesting" "Hacking Windows", "Ethical Hacking", "Got Root" y “Pentesting con Powershell” presentaron la herramienta ibombshell para realizar tareas de pentesting en entornos Windows o macOS usando Powershell. Podéis encontrar más sobre el proyecto en este artículo. El código ya se encuentra en github.
No pudimos asistir a todas las ponencias, como la de “Threat Hunting. Más allá del incidente.” de Alfonso Encina, “Red Alert 2 - Show me your money!” de Sergio Galán, o la de “Técnicas antidebugging en Javascript” de J.M. Fernández, pero como no podría ser de otra manera ya tenemos mucho material (scripts, slides, código) disponible en los respectivos repositorios para leer y probar en casa.
Tampoco puede faltar mencionar los talleres prácticos “Practical exploiting of Dirty COW, Spectre and Meltdown Attacks on GNU/Linux” y “Dev-Pentest” que se realizaron tanto el viernes como el sábado y por supuesto la competición tipo CTF realizado por iHackLabs y ganado por Ikasten.IO. Zorionak!
Además, cabe mencionar la obligatoria mesa de libros de 0xword, donde nos hicimos con la última edición del libro “Máxima Seguridad en Windows: Secretos Técnicos” de Sergio de los Santos. Nos vamos con la cabeza llena de ideas y las ganas de poner lo aprendido en práctica en el día a día con nuestros clientes.
Os dejamos con un tweet del ponente Sean Heelan, quien seguramente mejor resume la sensación que se nos ha quedado a los asistentes del ESCIII:
¡Nos vemos el próximo año!
