Hace una semana tuve la suerte de acudir a la tercera edición de la Sh3llcon 2017 y aquí os voy a contar mi experiencia.
Sh3llcon 2017
La Sh3llcon son unas conferencias de ciberseguridad y hacking que desde hace 3 años se celebran en Santander. Desde la primera edición he apoyado (desde lo que he podido) este proyecto porque (entre otras cosas me encanta la ciberseguridad) y porque considero que hay que apoyar este tipo de proyectos porque es raro que se celebren en una ciudad como Santander. Mi nivel de frikismo con el proyecto es tal que este año (y creo que en los años anteriores) la primera entrada vendida del congreso fue la mía. Así que en estas líneas os voy a desgranar un poco de la tercera edición de Sh3llcon 2017.
Día 1
A estas cosas hay que ir con tiempo de sobra. Y yo me fui con bastante. Nada más registrarme y recibir todo el swag propio de este tipo de cosas (todo muy chulo la verdad) me fui a por mí café. La mañana se presentaba interesante.
El tema de las 2 salas dando conferencias y talleres a la vez puede ser un poco problemático (por si las 2 charlas o talleres que te gustan se dan a la vez) pero ante todo hay que organizarse.
Taller de Arduino
Para empezar la mañana tenía que elegir entre Hacking con Metasploit o Entendiendo Arduino: Programación básica. Así que decidí empezar con el tema de Arduino. Tenía pendiente aprender algo más de este entorno y un taller de metasploit con el ojo medio cerrado podía ser muy duro.
Rubén Castanedo de la Empresa ElectroSDR (que ya le conocía) nos dio unas pequeñas bases del mundo Arduino. El tipo de placas que hay. Instalamos el IDE de programación y creamos lo que sería el «Hola Mundo» del mundo Arduino en el que hacíamos que uno de los leds de la placa parpadeara. La verdad es que fue un taller muy interesante. Pensaba que el tema de Arduino iba a ser más complicado pero Rubén nos enseñó que no es muy difícil. Que como todo hay que echarle horas. La verdad es que lo disfruté mucho. Y eso que la electrónica la tengo muy olvidada. Que liada con los cables y la protoboard.
Ampliando el arsenal de hacking con routers
Después de la pausa para el café en la que aprovechas a hacer un poco de Networking y a saludar a conocidos. Porque Santander es pequeño y al final nos conocemos todos así que había mucha gente a la que saludar y con la que hablar.
Empezamos con David Meléndez y su taller de hacking con routers. Otro de los de los talleres en el que disfrute mucho. Y es que David es un mago y con cosas que otros consideran chatarra él puede hacer cosas increíbles. El año anterior nos enseñó el dron que había realizado con un router y se manejaba vía web, una pasada. En el taller nos enseñó a cocinar nuestro propio firmware para dotarle al router de unas características que el firmware de fábrica no viene por defecto. Nos mostró como basándose en el firmware openwrt y con una pequeñas modificaciones podías hacer que tu router sirviera para hacer test de penetración Wifi o convertir tu router en un servidor Torrent. El taller estuvo genial.
1 año de la nueva LECRIM
Después de comer y del café (eso por supuesto) el abogado Luis Jurado nos estuvo explicando las modificaciones introducidas a finales del año 2015 en la Ley de Enjuiciamiento Criminal y como afectaban a los delitos digitales y a los hackers. Y como con el «derecho a la llamada» (que habéis visto en muchas películas) y con una simple llamada de teléfono un delincuente podía hacer que todos sus datos se borraran o que automáticamente un servidor mandara correos electrónicos a otros integrantes de su banda para avisarles de que estaba en la cárcel.
Big Data aplicado a seguridad
Seguimos la tarde con la charla de Alfredo Reino que nos habló de la realidad del Big Data (y no de las tonterías que se cuentan al respecto por ahí) y de cómo ayudaba la estadística y el estudio de los datos y la minería de datos en la resolución de incidencias. Y que gracias al estudio de esos datos y usando técnicas de Machine Learning (que tan de moda está ahora) se podría prever ataques o intentos de ataque. Nos enseñó que hay un mundo más allá del Excel para el tratamiento de datos y que hay buenas herramientas gratuitas que nos pueden ayudar a la hora de manipular cantidades ingentes de datos. Aparte nos animó a todos a que aprendiésemos unos conceptos básicos de estadística.
Hacking del Internet of Things
Deepak Daswani (uno de los repetidores en el congreso) nos vino a hablar del Internet de las cosas y como mucho de estos dispositivos no tenían las medidas de seguridad mínimas y eran fácilmente hackeables (siempre con los conocimientos previos). Nos demostró como una visita a un restaurante a comer con la familia le llevó a una investigación de la seguridad del lugar y como consiguió entrar en su sistema y como pudo llegar a controlar la luz del local, la música que sonaba en cada momento y hasta (si hubiera querido) habría podido acceder al sistema de pedidos de comandas del local y haber realizado pedidos falsos. Nos demostró que a raíz de su investigación había estudiado el sistema de comunicación del programa Rekordbox con las mesas de mezclas de la casa Pioneer y como había conseguido «hackear» ese sistema para poder tomar control de la mesa y hacer lo que él quisiera desde su dispositivo. Imagina que en medio Sonar esta uno de los Djs en mitad de su sesión y vas tú, te metes en el sistema de control de la mesa de mezclas y pones Paquito el Chocolatero. La bomba!!!
Forense a redes TOR
Para terminar la primera jornada de la Sh3llcon 2017 José Aurelio García nos habló de cómo hacer un análisis forense de un equipo para saber si ese equipo había tenido el software para entrar en la red Tor y no solo si lo había tenido instalado sino que también nos enseñó con diferentes herramientas que el utiliza a comprobar si aparte de tener el software instalado ese equipo había entrado a la Deep Web.
Y con esta conferencia dimos final a la primera jornada de Sh3llcon 2017 pero todavía nos quedaba una más.
Día 2
Análisis Forense
El segundo día lo empezamos fuerte así que como siempre y al haber 2 salas tuvimos que elegir entre el taller de Análisis Forense o el de Exploiting. En este caso me decanté por el de Análisis Forense. Pedro Sánchez nos desveló las técnicas que el suele usar para hacer una análisis forense de un equipo. Como hay que actuar si el equipo está encendido, si está apagado. Como hacer un clon del disco duro y la memoria del equipo para que luego, gracias a diferentes herramientas podamos sacar todo tipo de información de ese equipo : los usuarios que se han conectado, la tipología de la red a la que ha estado conectado ese equipo y una cantidad de información que el Sistema Operativo guarda y que nosotros no lo sabemos.
La verdad es que es difícil compactar el trabajo llevado a la hora de realizar un análisis forense a un equipo en unas horas pero Pedro poco a poco nos fue desgranando todo y aunque se dejó cosas en el tintero también nos dejó con ganas de saber más.
Entornos web y sus principales debilidades
Por la tarde Mª José Montes nos habló de debilidades en los entornos web y de las diferentes técnicas que existen para realizar un ataque a una web. Desde un XSS a un SQL Injection aparte de otra serie de métodos de ataque a web. Nos enseñó que en el desarrollo de software hay que proveer de herramientas para evitar que esos ataques se produzcan y nos realizó en directo una prueba de concepto de los ataques a la web con la web del Ayuntamiento de Santander.
Granada en mano, WiFi volando
Rafael Otal y Pedro Caamaño vinieron a hablarnos del proyecto que tenían entre manos. Habían montado un sistema de escucha basado en una Raspberry py totalmente portable. Este sistema al ser móvil era capaz de rastrear y capturar paquetes de cualquier wifi y almacenarlas en la memoria del mini ordenador para luego, esas capturas enviarlas por internet a un sistema centralizado de crackeo de contraseñas basado en la nube y que era capaz de crackear passwords de redes Wifi con encriptación WPA usando la escalabilidad de la nube de Amazon. Un proyecto muy interesante.
The hack & the furious
Josep Albors nos habló en su conferencia del car hacking o las diferentes técnicas que existen para poder entrar en la centralita de un coche y poder realizar diferentes cambios en los servicios del coche que están conectados a esa centralita. Desde inhabilitar los frenos hasta modificar el funcionamiento del volante. Este tipo de técnicas llevan años usándose para modificar los parámetros que trae de fábrica el coche y ahora como cada vez son más ordenadores que otra cosa nos enseñó como un equipo de investigadores había conseguido modificar el firmware de esa centralita para conseguir que controlar el coche a distancia, pero de verdad, no como dicen esas noticias falsas por el mundo de que un chaval de 14 años había conseguido hackear un coche.
Tempestad en OSX
Para acabar la segunda jornada de la Sh3llcon 2017 Pedro Candel nos habló del tempest. Nos explicó cómo conseguir mandar información de un ordenador mediante un troyano que usaba las distorsiones eléctricas del mismo aparato para transmitir información que podía ser captada con cualquier transistor de radio. Nos desgrano como de una prueba de concepto y basándose en este sistema de perturbaciones eléctricas el troyano era capaz de mandar simples datos en forma de código morse hasta ya información más detallada usando algoritmos de encriptación y envío de datos. Desde luego un broche genial para acabar la Sh3llcon 2017.
Otros Talleres
Aparte de los talleres y las conferencias propias del congreso Sh3llcon 2017 también tuvo actividades paralelas. El jueves, por ejemplo, tuvo una charla sobre un tema que está muy candente ahora como es el ciberbullying. Un taller de acceso libre dirigido a chavales en las que Angelucho. Un gran profesional de estos temas y que pertenece al Grupo de Delitos Telemáticos de la Guardia Civil explicó que hay que hacer ante un tema de ciberbullying y como es ahora el ciberacoso y las medidas que hay que tomar para detenerlo. Yo a este taller no pude ir pero me dijeron que estuvo muy bien y como siempre lleno. Esto de los talleres abiertos al público en general es una buena idea.
También hubo un taller de Menores e Internet: detectar y prevenir el ciberacoso. Este ya orientado a padres y educadores en el que el propio Angelucho explicó a los padres y a los profesores como detectar el ciberacoso y cómo ayudar a los chavales y cómo actuar para que este tipo de cosas no pasen.
Para terminar también hubo un Foro de ciberseguridad para directivos en el que se dieron las claves de lo importante que es la ciberseguridad en las empresas y las medidas que pueden tomar los empresarios para evitar el robo de información o las posibles medidas para defenderse de ataques informáticos. Este foro se desarrolló el viernes con una gran afluencia de público.
Y con esto pues termino de contar lo que ha sido mi experiencia en la Sh3llcon 2017. Como siempre un 11 para la organización que sé que un evento de esta categoría lleva mucho tiempo montarlo y planificarlo y espero ir a la cuarta edición de este gran congreso de ciberseguridad.
Nos vemos en la Sh3llcon 2018.