Descubierto nuevo XSS PayLoad que hace Bypass del Firewall de la aplicación web de CloudFlare
Payload:
|
Fuente: FaIyaZz007
Autor: miguel
Nuevo Record Histórico de Filtrado de Contraseñas
El día 4 de Julio apareción en un foro de la dark web un archivo de texto llamado rockyou2024.txt (Enlace de descarga). Esto después de que hace unos meses (en enero) se descubriera la llamada «madre de todas las brechas«.
Se han publicado 10.000millones de cóntraseñas únicas. Para ser más exactos 9.948.575.739. El equipo de investigación de Cybernews cree que la filtración plantea graves peligros para los usuarios propensos a reutilizar contraseñas.
Aunque el usuario se registró a finales de mayo de 2024, anteriormente había compartido una base de datos de empleados del bufete de abogados Simmons & Simmons, información de un cliente potencial del casino en línea AskGamblers y solicitudes de estudiantes para Rowan College en el condado de Burlington.
El equipo comparó las contraseñas incluidas en la filtración RockYou2024 con los datos del Leaked Password Checker de Cybernews, revelando que estas contraseñas provenían de una combinación de filtraciones de datos tanto nuevas como antiguas.
Tras someter su contenido a análisis, son varias las conclusiones extraídas por los investigadores. La primera es que son credenciales reales y la segunda, de las más destacables, es que entre ellas se encuentran tanto claves ya obtenidas en filtraciones anteriores, como otras que no habían visto la luz hasta ahora. El archivo tiene como fecha de creación el 4 de julio y su autor, identificado con el seudónimo ObamaCare en el foro en el que lo ha compartido, ya filtró anteriormente una base de datos de empleados del bufete de abogados Simmons & Simmons, información del casino en línea AskGamblers y solicitudes de estudiantes para el Rowan College.
«En esencia, la filtración RockYou2024 es una recopilación de contraseñas del mundo real utilizadas por personas de todo el mundo. Revelar que muchas contraseñas para actores de amenazas aumenta sustancialmente el riesgo de ataques de relleno de credenciales», dijeron.
Este filtrado podría afectar tanto usuario como a empresas, ya que con ellas se pueden realizar ataques de relleno de credenciales, que pueden resultar muy perjudiciales.
«Los actores de amenazas podrían explotar la compilación de contraseñas de RockYou2024 para realizar ataques de fuerza bruta y obtener acceso no autorizado a varias cuentas en línea utilizadas por personas que emplean contraseñas incluidas en el conjunto de datos», explicó el equipo.
Los más informados en asuntos de ciberseguridad seguramente no encontrarán este nombre totalmente extraño, y es que hace tres años se filtró un documento llamado RockYou2021.txt que también se convirtió, en su momento, en el mayor listado de credenciales filtradas visto hasta ese momento. Aquel documento incluía alrededor de 8.400 millones de claves.
Utilizar una contraseña insegura es un riesgo enorme, pero lo cierto es que emplear una contraseña segura tampoco garantiza, a estas alturas, que nuestras cuentas no vayan a ser vulneradas. Algunas tecnológicas llevan ya años trabajando en Passkey (del que haremos un artículo específico), el sistema que pretende acabar con las contraseñas como método de autenticación, y afortunadamente su uso ya ha empezado a implantarse. De momento no tan rápido y de manera tan universal como nos gustaría, pero al menos el cambio ya está en marcha. Mientras tanto lo más seguro es utilizar varios sistemas de autenticacion 2FA o MFA.
El equipo de Cybernews cree que los atacantes pueden utilizar la compilación RockYou2024 de diez mil millones de unidades para atacar cualquier sistema que no esté protegido contra ataques de fuerza bruta. Esto incluye todo, desde servicios en línea y fuera de línea hasta cámaras con acceso a Internet y hardware industrial.
«Además, combinado con otras bases de datos filtradas en foros y mercados de hackers, que, por ejemplo, contienen direcciones de correo electrónico de usuarios y otras credenciales, RockYou2024 puede contribuir a una cascada de filtraciones de datos, fraudes financieros y robos de identidad», afirmó el equipo.
¿Cómo protegerse contra RockYou2024?
Aunque no existe una solución infalible para proteger a los usuarios cuyas contraseñas han sido expuestas, las personas y organizaciones afectadas deben implementar las siguientes estrategias de mitigación:
- Restablecer inmediatamente las contraseñas de todas las cuentas asociadas con las contraseñas filtradas. Es fundamental elegir contraseñas seguras y únicas que no se reutilicen en varias plataformas.
- Habilitar la autenticación multifactor (MFA) siempre que sea posible. Esto mejora la seguridad al requerir una verificación adicional además de la contraseña.
- Utilizar un software de administración de contraseñas para generar y almacenar de forma segura contraseñas complejas. Los administradores de contraseñas reducen el riesgo de reutilización de contraseñas en diferentes cuentas.
Cybernews incluirá datos de RockYou2024 en su Comprobador de contraseñas filtradas, permitiendo a los usuarios verificar si sus credenciales han sido expuestas a través de esta última compilación de contraseñas filtradas.
En 2024, fuimos testigos de una segunda compilación récord filtrada en línea con RockYou2024. A principios de este año, Cybernews descubrió la «Mother Of All Breaches» (COMB), que contiene la asombrosa cantidad de 12 terabytes de información, abarcando más de 26 mil millones de registros.
Curso Online – CS 253 Web Security
Hoy os vengo a recomendar un curso muy interesante e instructivo sobre seguridad web. Además, ¡es gratuito!
Este curso es una visión general de la seguridad web. El objetivo es comprender los ataques web más comunes y sus contramedidas. Dada la inseguridad generalizada del panorama web moderno, existe una necesidad apremiante de que los programadores y diseñadores de sistemas mejoren su comprensión de los problemas de seguridad web.
Los temas incluyen: Principios de seguridad web, ataques y contramedidas, el modelo de seguridad del navegador, vulnerabilidades de aplicaciones web, inyección, denegación de servicio, ataques TLS, privacidad, fingerprinting, política del mismo origen, cross site scripting, autenticación, seguridad JavaScript, amenazas emergentes, defense-in-depth y técnicas para escribir código seguro. Los proyectos del curso incluyen la escritura de exploits de seguridad, la defensa de aplicaciones web inseguras y la implementación de estándares web emergentes.
Este es el enlace a la lista de vídeos, por si lo quieres ver directamente en Youtube: ENLACE.
Keylogger escrito en Go
No existe un lenguaje de programación perfecto, ya que cada desarrollador tiene sus preferencias y diferentes lenguajes se especializan en distintos tipos de proyectos. Además, muchos lenguajes antiguos han quedado obsoletos. Algunas grandes compañías han desarrollado sus propios lenguajes modernos, basados en los clásicos, que son más potentes y sencillos, adaptados a las necesidades actuales.
Un ejemplo de esto es Go, también conocido como Golang, que es un lenguaje de programación moderno, creado por Google, similar a C y preparado para ser multiplataforma.
En este lenguaje han salido bastantes herramientas que pueden llegar a ser muy útiles y hoy os traigo un «Keylogger in Go», que puedes descarga en este enlace de GitHub:
https://github.com/EvilBytecode/Keylogger
Este programa Go es un registrador de teclas simple que monitorea la entrada del teclado y la registra en un archivo. A continuación se muestra una explicación de sus componentes:
GetAsyncKeyState: Comprueba el estado de una tecla virtual especificada. Se utiliza para detectar pulsaciones de teclas.
GetKeyboardState: Recupera el estado de todas las teclas virtuales. Se utiliza para comprobar el estado actual del teclado.
MapVirtualKeyW: Traduce un código de tecla virtual a un código de exploración o a un valor de carácter. Se utiliza para traducir códigos de teclas virtuales a Unicode.
ToUnicode: Traduce el código de tecla virtual y el estado del teclado especificados al carácter o caracteres Unicode correspondientes.
¡Descubre la magia de viajar en tren con Chronotrains!
Esta publicación puede parecer publicidad y se aleja un poco de la temática del blog, pero os vengo a hablar de una web que me ha parecido muy útil si eres una de esas personas apasionadas por recorrer el mundo. Ahora que llega el verano os puede resultar muy útil a la hora de organizar mejor vuestras vacaciones.
¿Qué es Chronotrains?
Chronotrains es una increíble herramienta que te muestra hasta dónde puedes llegar en tren en un tiempo determinado desde cualquier ciudad europea. ¡Perfecto para planificar tu próxima aventura!
¿Cómo funciona?
Simplemente elige tu punto de partida y el tiempo que quieres viajar, y Chronotrains te mostrará todas las ciudades y destinos que puedes alcanzar. ¡Es como una máquina del tiempo para tus viajes en tren!
Su uso es sencillo, una vez accedes a la web
- Selección del Punto de Partida
- Campo de búsqueda: En la barra de búsqueda, escribe el nombre de la ciudad desde la que planeas iniciar tu viaje.
- Mapa interactivo: También puedes hacer clic directamente en el mapa para seleccionar tu ciudad de partida.
- Establecer el Tiempo de Viaje
- Deslizador de tiempo: Usa el deslizador o las opciones predefinidas para seleccionar el tiempo máximo que quieres viajar (por ejemplo, 1 hora, 2 horas, etc.).
- Ver resultados: Una vez seleccionado el tiempo, Chronotrains te mostrará todas las ciudades y destinos que puedes alcanzar dentro de ese tiempo desde tu punto de partida
Puedes crear un itinerario seleccionando múltiples destinos. Chronotrains te ayudará a planificar las mejores rutas y conexiones. Guarda tus planes de viaje y compártelos con amigos o familiares. Puedes imprimir tu itinerario o guardarlo en formato digita
¿Por qué te encantará?
- Sostenible: Viajar en tren es una de las formas más ecológicas de moverse.
- Comodidad: Disfruta de vistas panorámicas y espacio para relajarte.
- Flexibilidad: Explora múltiples destinos en un solo viaje.
No pierdas la oportunidad de vivir una aventura inolvidable. Visita www.chronotrains.com y empieza a planear tu próximo viaje hoy mismo.
No olvides compartir tus fotos y experiencias usando el hashtag #ChronotrainsJourney y etiquétame para que pueda ver tus increíbles aventuras. ¡Los mejores momentos serán compartidos en mis historias!
¡Cuidado con los Espías Digitales! Todo sobre el Sniffing y Cómo Proteger tus Datos
Robar un usuario y una contraseña puede no ser tán dificil como suena. Podría ser tan siempre como compartir la misma red que tu víctima.
«Lo que vamos a aprender no es ninguna broma y no es ético probarlo en redes sin consentimiento expreso. En muchos contexto es ilegal y podrías hasta ir a la carcel.»
No se si lo sabéis pero en internet hay dos protocolos importantes HTTP y, uno más nuevo, HTTPS que es más «seguro».
Si utilizamos HTTP, los datos enviados a internet no están encriptados y por tanto son susceptibles de ser leídos por terceras personas. Si un atacante está conectado a la misma red que nosotros, puede leer todos los paquetes (Cuadrado rojo de la imagen siguiente) que se envían y reciben dentro de la misma y por tanto analizarlos.
Para analizar esos paquetes existen herramientas como «WhireShark». Una vez descargada la herramienta la ponemos a escuchar paquetes. Lo más sencillo es seleccionar la opción any para que coja todo
En una futura entrega realizaremos un ejemplo práctico de todo lo que se puede obtener de los paquetes que pasan por nuestra red.
De todo esto podemos aprender dos cosas muy importantes:
- No conectarse a redes gratuitas. Muchos atacantes generan este tipo de redes para que los usuarios novatos y no tan novatos se conecten a ellas y puedan coger sus contraseñas.
- Dejar de utilizar el protocolo HTTP. Muchos navegadores actuales te avisan cuando te estás conectando a una web a través de HTTP para que lo sepas. Si necesitas utilizar ese protocolo, recuerda utilizar otras técnicas para dar más seguridad a la comunicación y nunca envíes contraseñas.
El usuario
En el campo de la ciberseguridad, un vector de ataque se refiere al método que un cibercriminal utiliza para obtener acceso, eliminar o denegar la infraestructura.
Existen numerosos vectores de ataque y, contrariamente a lo que podríamos suponer, no todos están directamente relacionados con la infraestructura física o el software que se ejecuta.
Hay una gran frase que ejemplifica la importancia de conocer y proteger todos los posibles puntos de entrada a nuestros sistemas: «Una cadena es tan fuerte como lo es su eslabón más débil»
La manera más fácil para que un ciberdelincuente acceda a nuestra infraestructura no es a través de ataques técnicos altamente sofisticados. Los ciberdelincuentes se aprovechan del eslabón más débil en la seguridad de una empresa: el usuario.
De nada sirve crear el sistema más seguro con muchas capas de protección, con Firewalls, Antivirus, herramientas de detección heurística… Si no prestamos atención a los usuarios y la forma en la que lo utilizan, seremos vulnerables. Esta imagen ejemplifica bien este problema:
La mejor y posiblemente la única forma de solventar este problema es con formación. Los usuarios deben tener claro los aspecto básicos de ciberseguridad y entender la importancia que tienen a la hora de evitar ataques.
«Se dice que más del 90% de los ataques de la actualidad tienen su origen a errores por parte de los usuarios»
Los puntos clave que se deberían abordar en las formaciones son:
- Identificar correos maliciosos.
- Reconocer amenazas en línea.
- Aplicar buenas prácticas.
- Conocer los ataques más comunes.
- Actuar adecuadamente ante un ciberataque.
Una vez que los usuarios están formados en estos aspectos, podemos estar más tranquilos y seguros, ya que, de forma indirecta, hemos aumentado la eficacia de todos los dispositivos y medidas de prevención técnicas adicionales.
Cursos gratuitos de Google para desarrolladores
No se si lo sabéis, pero Google ofrece cursos gratuitos y online para formarte en diversas áreas (En español y con certificado). Lo mejor es que no son necesarios requisitos previos a la hora de realizarlos.
Aquí os dejo algunos de los más interesantes:
- Cloud Computing: Descubre cómo transformar un negocio e innovar dentro de tu empresa a la vez que reduces sus costes.
Certificado por Escuela de Organización Industrial.
Enlace al curso. - Comercio electrónico: Aprende cómo comprar y vender productos y servicios en la red, romper fronteras y llegar a nuevos clientes.
Certificado por la Escuela de Organización Industrial.
Enlace al curso. - Curso de Introducción al Desarrollo Web: HTML y CSS.
Certificado por la Universidad de Alicante.
Primera parte.
Segunda parte. - Desarrollo de Apps Móviles: Este curso te presenta los principios esenciales que deben inspirar la creación de estas aplicaciones, y así enfocar bien su diseño y programación desde el principio.
Certificado por la Universidad Complutense de Madrid.
Enlace al curso. - Fundamentos de Marketing Digital: Conviértete en un experto de marketing digital a un nivel básico con ejercicios prácticos que te ayudarán a conseguir excelentes resultados.
Certificado por la agencia Interactive Advertising Bureau (IAB).
Enlace al curso.
En esta web puedes encontrar más cursos de google como los mostrados: https://grow.google/intl/es/
Hackeos históricos (Parte 1)
El término «hacker» ha evolucionado a lo largo del tiempo, y su definición puede variar según el contexto. En sus inicios, un hacker era simplemente alguien muy habilidoso en la programación y en la resolución de problemas técnicos. Sin embargo, con el tiempo, el término también fue adquiriendo una connotación negativa, asociada a actividades ilegales o no autorizadas.
No obstante, en la actualidad el término «hacker» (En parte gracias a Chema Alonso) se utiliza para definir a un experto en sistemas de computación y gran manejo de la informática. Según la RAE: «experto en informática, capaz de acceder a un sistema sin autorización, normalmente para detectar sus fallos de seguridad y desarrollar mejoras».
En este post vamos a hablar de como comenzó todo para que veamos que realmente el término hacker no es necesario que se utilice solamente en relación a la informática. Por ello os he traído a la primera persona que podría considerarse un hacker y que es anterior a la llegada de los ordenadores e internet: Nevil Maskelyne.
Lo que consiguió, y por lo que se le considera «el primer hacker de la historia», es vulnerar de forma intencional un sistema de transmisión de información.
El sistema se trataba de un telégrafo inalámbrico inventado por Guillermo Marconi.
En 1903, Marconi organizó una demostración en la Royal Institution de Londres, donde el físico John Ambroise Fleming esperaba recibir un mensaje que Marconi enviaría desde casi 500 kilómetros de distancia. Sin embargo, la primera palabra que recibió Fleming fue «ratas», seguida de insultos y descalificaciones al telégrafo inalámbrico y a su creador. Tras el shock inicial, el inventor y el físico concluyeron que alguien había interceptado la señal para exponer una debilidad del sistema.
Fleming denunció el hecho, acusándolo de vandalismo científico, mientras que Maskelyne (que realmente era un mago) se adjudicó el hackeo. El mago explicó que lo hizo para demostrar que el sistema no era confiable y de esta forma evitar problemas mayores en un futuro.
Sin saberlo, Neville Maskelyne se convirtió en el primer hacker de la historia. Al interrumpir la señal, detectó una vulnerabilidad que permitió a los inventores del telégrafo inalámbrico tomar las medidas necesarias para proteger la información que transmitían.
Seguramente Maskelyne no fue consciente de que se convertiría en el primer hacker conocido hoy en día, ya que solo trataba de ayudar al inventor del objeto.
¡Hola, mundo!
¡Hola a todos, mi nombre es Miguel y os doy la bienvenida a mi blog dedicado al fascinante mundo de la informática y la ciberseguridad!
Vivimos en una era digital donde la tecnología evoluciona a un ritmo vertiginoso, cambiando la manera en que trabajamos, nos comunicamos y entretenemos. Con esta evolución, también crecen las amenazas cibernéticas, desde el malware y los virus hasta los sofisticados ataques de phishing y ransomware. La ciberseguridad se ha convertido en una preocupación crucial tanto para individuos como para organizaciones de todos los tamaños.
Nuestro objetivo es proporcionar información útil y accesible para que puedas entender mejor estos temas y protegerte en línea. Ya seas un profesional de TI, un estudiante, o simplemente alguien interesado en aprender más sobre este campo, este blog es para ti.
Por hoy, vamos a empezar con los primeros consejos prácticos que, aunque estarás cansando de escucharlos, son los primeros pasos que se deben dar:
Utiliza Contraseñas Fuertes y Únicas:
- Evita usar la misma contraseña para múltiples cuentas.
- Emplea combinaciones de letras, números y caracteres especiales.
- Considera el uso de un gestor de contraseñas para mantener tus credenciales seguras.
Mantén Tu Software Actualizado:
- Asegúrate de que tu sistema operativo, aplicaciones y programas de seguridad estén siempre al día.
- Las actualizaciones suelen incluir parches de seguridad cruciales.
Habilita la Autenticación de Dos Factores (2FA):
- Añade una capa extra de seguridad a tus cuentas más importantes.
- Esto puede protegerte incluso si tu contraseña es comprometida.
Sé Escéptico con los Correos Electrónicos y Enlaces Sospechosos:
- No hagas clic en enlaces ni descargues archivos de correos electrónicos no solicitados.
- Verifica la autenticidad de las comunicaciones, especialmente las que solicitan información personal.
¡Hasta la próxima entrada!