A whopping 61% of all new malware in circulation during the first few months of 2010 were banker Trojans – malicious code designed to steal confidential banking information such as passwords. This is according to Panda Security’s anti-malware lab which released its quarterly report yesterday. Blog dedicado al estudio de la Seguridad de la Información - Privacidad - Seguridad Informatica - Auditoria informática. (Recopilación de principales noticias, eventos, politicas de seguridad, guías de buenas practicas, normas, estándares, herramientas, otros)
miércoles, 31 de marzo de 2010
PandaLabs Quarterly Report – Q1 2010
A whopping 61% of all new malware in circulation during the first few months of 2010 were banker Trojans – malicious code designed to steal confidential banking information such as passwords. This is according to Panda Security’s anti-malware lab which released its quarterly report yesterday. Expertos advierten que las redes sociales y el correo electrónico serán los medios más vulnerables en robo de identidad e información personal
Más...
viernes, 26 de marzo de 2010
Tools: ANUBIS (Footprinting y Fingerprinting)
Video: Explicación sobre qué es y cómo funciona la RFID
¿Qué utilidades tiene?
Video (requiere registro previo)
jueves, 25 de marzo de 2010
Live HACKING CD
- Forum
Download It Now!
Lanzamiento de la II Encuesta Latinoamericana de Seguridad de la Información (ELSI)
martes, 23 de marzo de 2010
Los informáticos no salen preparados de las universidades en materia de seguridad
Más...
Fuente: www.20minutos.es
Estudio: Estado de la Seguridad Empresarial 2010 (Symantec)
• La seguridad es de gran interés para las empresas en todo el mundo. El 42 por ciento de las empresas calificaron los riegos cibernéticos como sus principales preocupaciones, más que los desastres naturales, el terrorismo y el crimen tradicional combinado. Como reflejo de esa percepción, las áreas de TI se centran fuertemente en la seguridad empresarial. En promedio, las áreas de tecnología asignan a 120 empleados para la seguridad y el cumplimiento de sus políticas. Las empresas señalaron tener como un objetivo importante para 2010 el “mejorar la administración de riesgos empresariales de TI”, y 84 por ciento lo consideran como muy/absolutamente importante. Casi todas las empresas encuestadas (94 por ciento) prevén cambios de seguridad en 2010 y casi la mitad (48 por ciento) espera grandes cambiosRecomendaciones
Descarga del reporte:
- Descargar reporte con resultados para América Latina
- Descargar reporte con resultados globales (en inglés)
Desafíos y riesgos a la hora de implementar cloud computing
Links de interés: www.tcs.com
Fuente: www.canal-ar.com.ar
Delincuentes informáticos refinan el “cuento del tío” a niveles insospechados
Más..
tecnologia.iprofesional.com
jueves, 18 de marzo de 2010
Auditoría de contraseñas en base de Datos Oracle
Multi-boot security: KATANA (multi distros para seguridad)
computer security needs. The idea behind this tool is to bring together all of the best security distributions to run from one USB drive. Katana includes distributions which focus on Pen-Testing, Auditing, Forensics, System Recovery, Network Analysis, Malware Removal and more.Distros incluidas:
- - Backtrack 4
- - the Ultimate Boot CD
- - Ultimate Boot CD for Windows
- - Ophcrack Live
- - Puppy Linux
- - Kaspersky Live
- - Trinity Rescue Kit
- - Clonezilla
- - Derik's Boot and Nuke
And instructions on installing additional Distributions can be found here.
miércoles, 17 de marzo de 2010
Roban datos de 15.000 clientes del HSBC
HSBC Holdings reconoció que el robo de datos por parte de un ex empleado afectó las cuentas de unos 15.000 clientes suizos, luego que el banco había dicho previamente que eran "menos de 10".
Herve Falciani, un ex especialista en computación de HSBC, admitió que robó datos de clientes del banco y se los pasó a las autoridades impositivas de Francia, informó el sitio CNNExpansión.com.
Más...
Visto en www.iprofesional.com
Video: Prevención en el uso de redes sociales
Campaña de concientización en seguridad informática de la Jefatura de Gabinete de Ministros de la Presidencia de la Nación Argentina - Capítulo 1 - Redes Sociales.
Campus Party Europa desvelará las claves para la seguridad en Internet
Campus Party, el mayor evento de tecnología, ocio y cultura digital en red del mundo, acogerá en la zona de Innovación un área específica dedicada a Seguridad y Redes, donde los campuseros podrán conocer de manos de expertos los sistemas más avanzados sobre la protección de Internet. El universo de los hackers se enfocará esta vez hacia los aportes que realizan para el mantenimiento y refuerzo de los sistemas de seguridad.
En un mundo en el que el aumento de las actividades y gestiones cotidianas a través de la Red ha convertido la seguridad en uno de los elementos clave en el desarrollo de lo que será Internet en el futuro, Campus Party Europa contará durante cinco días con un grupo de profesionales multidisciplinares. A través de distintos talleres, charlas y conferencias, guiarán a los participantes por las distintas facetas que contempla la seguridad informática: análisis forense, seguridad perimetral, networking, encriptación, sistemas y arquitectura de redes, entre otros. Dos de las principales eminencias europeas en seguridad informática, la polaca Joanna Rutkowska y el italiano Stefano Di Paola, darán sendas conferencias en el evento.
Más información...
martes, 16 de marzo de 2010
OSWA Assistant release

Changelog:
Download The ISO Image
sqlmap 0.8 released
Some of the new features include:
* Support to enumerate and dump all databases' tables containing user provided column(s) by specifying for instance '--dump -C user,pass'.
Useful to identify for instance tables containing custom application credentials (Bernardo).
* Support to parse -C (column name(s)) when fetching columns of a table with --columns: it will enumerate only columns like the provided one(s) within the specified table (Bernardo).
* Support for takeover features on PostgreSQL 8.4 (Bernardo).
* Enhanced --priv-esc to rely on new Metasploit Meterpreter's 'getsystem' command to elevate privileges of the user running the back-end DBMS instance to SYSTEM on Windows (Bernardo).
* Automatic support in --os-pwn to use the web uploader/backdoor to upload and execute the Metasploit payload stager when stacked queries SQL injection is not supported, for instance on MySQL/PHP and MySQL/ASP, but there is a writable folder within the web server document root (Bernardo and Miroslav).
* Added support for regular expression based scope when parsing Burp or Web Scarab proxy log file (-l), --scope (Miroslav).
* Major bug fix and enhancements to the multi-threading (--threads) functionality (Miroslav).
Download
Servidores en la nube serán menos seguros que los equipos físicos en 2012
En opinión de la firma, las organizaciones deberían garantizar como mínimo que el mismo tipo de monitoreo de seguridad que se realiza en las redes físicas se lleve a la nube para que no pierdan el control y la visibilidad de los flujos de trabajo en línea .
Aunque para el 2009 apenas se virtualizó un 18% de todos los centros de datos que pudieron haberlo hecho, Gartner prevé que la cifra será superior a 50% para el 2012.
Fuente: Carolina Ruiz Vega - www.elfinancierocr.com
lunes, 15 de marzo de 2010
Hack In The Box Security Conference 2010 – Dubai
Keynote 1: John Viega (CTO, SaaS, McAfee Inc.) -- A/V Vendors Aren't As Dumb As They Look
Keynote 2: Matt Watchinski (Senior Director of Vulnerability Research, Sourcefire Inc.) -- TBA
1.) Daniel Mende (ERNW GmbH) with Oliver Roeschke (ERNW GmbH) -- Attacking CISCO WLAN Solutions
2) Dino Covotsos (Managing Director, Telspace Systems) -- Hiding a Giant: Analysis of a Next Generation Botnet
3.) Fredric Raynal (Head of Research, Sogeti/Cap Gemini) with Arnauld Mascret (Sogeti / Cap Gemini) & Christophe Devaux (Sogeti / Cap Gemini) -- Deception 2.0: Gathering and Exploiting Information
4.) Gynvael Coldwind (Researcher, Hispasec) -- A Case Study of Recent Windows Vulnerabilities
5.) Laurent Oudot (Founder, TEHTRI-Security) -- Silent Steps: Improving the Stealthiness of Web Hacking
6.) Marc Schoenefeld (Independent Network Security Specialist) -- Open Sesame: Examining Android Code with undx2
7.) Shawn Merdinger (Security Researcher) -- We Don't Need No Stinkin' Badges: Hacking Electronic Door Access Controllers
8.) The Grugq (Anti Forensics Specialist) -- Base Jumping: Attacking GSM Base Stations and Mobile Phone Basebands
HITBSecConf2010 - Dubai will also feature a HITB Web Hacking. This years contest will once again include an additional binary reversing challenge as well.
http://conference.hackinthebox.org/hitbsecconf2010dxb/agenda.pdf
viernes, 12 de marzo de 2010
IC3 2009 Annual Report on Internet Crime Released
Download: Report
Link relacionado:
- 2007 IC3 Annual Report: La mayoría de las víctimas de fraudes son hombres
Diapositivas - DISI 2009
- Conferencia Inaugural. Hashing Aleatorio: Firmas Digitales Seguras sin Resistencia a Colisiones - D. Hugo Krawczyk, IBM Research – Estados Unidos
Duración: 01:10:19 horas. Descarga de las diapositivas aquí. Coloquio Tendencias en Malware. D. José Bidot Director de Segurmática Cuba, D. Ero Carrera Chief Research Officer Collaborative Security VirusTotal España y D. Emilio Castellote Director de Marketing de Panda Security España. Modera D. Justo Carracedo Catedrático de la EUITT-UPM.
Duración: 01:20:50 horas, Puedes descargar diapositivas de D . José Bidot (aqui)y las Diapositivas de D . Ero Carrera (aqui)Coloquio Mitos y Realidades en Hacking. D. Luis Guillermo Castañeda Director de Servicios Profesionales de Rusoft México, D. Chema Alonso Consultor de Seguridad de Informática64 España, D. Alejandro Ramos Manager de TigerTeam en SIA España y D. Rubén Santamarta Consultor Técnico Independiente España. Modera D. Daniel Calzada Profesor Titular de la EUI-UPM.
Duración: 01:46:57 horas, Puedes descargar las Diapositivas de D . Luis Guillermo Castañeda (aquí), y las Diapositivas de D . Chema Alonso (aquí)
Visto en boletín de la WeB de Dragon
Decreto 3/2010 regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica (España)
El Real Decreto 3/2010, de 8 de enero (BOE de 29 de enero), por el que se regula el Esquema Nacional de Seguridad en el ámbito de la administración electrónica, regula el citado Esquema previsto en el artículo 42 de la Ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los Servicios Públicos. Su objeto es establecer la política de seguridad en la utilización de medios electrónicos y está constituido por principios básicos y requisitos mínimos que permitan una protección adecuada de la información.
La finalidad del Esquema Nacional de Seguridad es crear las condiciones necesarias para la confianza en el uso de los medios electrónicos, a través de medidas para garantizar la seguridad de los sistemas, los datos, las comunicaciones, y los servicios electrónicos, que permita el ejercicio de derechos y el cumplimiento de deberes a través de estos medios. Persigue fundamentar la confianza en que los sistemas de información prestarán sus servicios y custodiarán la información de acuerdo con sus especificaciones funcionales, sin interrupciones o modificaciones fuera de control y sin que la información pueda llegar al conocimiento de personas no autorizadas.
Link relacionado:-Esquema Nacional de Seguridad - ENS
miércoles, 10 de marzo de 2010
Revista Electrónica: El Derecho Informático Nº1 - Febrero 2010

La contraseña del archivo es elderechoinformatico.com
Nuevos pasos hacia técnicas de reconocimiento de voz más fiables
Un equipo de investigación americano, europeo y asiático ha ideado un nuevo sistema que agiliza los mecanismos de autentificación de la identidad por medio de la voz sin sacrificar la exactitud de los resultados. Este sistema podría contribuir a reducir los delitos de suplantación de personas y de fraude contra la protección de datos.
Más...
El 80% de las pérdidas de datos en empresas se debe a comportamientos de riesgo de sus empleados
Así lo afirma un estudio de BitDefender -empresa dedicada a la fabricación de software de seguridad-, que considera clave para evitar los incidentes de seguridad que causan la pérdida de datos disponer de unos trabajadores bien instruidos sobre los riesgos a los que se enfrentan.
Frente a este 78% de incidentes de seguridad ocasionados por comportamientos de los empleados, sólo un 6% es provocado por ataques con malware. Sin embargo, pese a ser inferiores en número, sus consecuencias son mucho más dañinas que un fallo de hardware o un error humano.
Más...
martes, 9 de marzo de 2010
Disponibles los vídeos del Cuarto DISI 2009 en Canal YouTube UPM
Vídeo 1: Inauguración DISI 2009
Duración: 07:28 minutos
Participan: D. José Manuel Perales, D. Ramón Capellades, D. César Sanz, D. Jorge Ramió
Enlace desde CriptoRed:
http://www.criptored.upm.es/paginas/docencia.htm#catedraDISI2009Inauguracion
Enlace al vídeo en YouTube
Vídeo 2: Conferencia Inaugural. Hashing Aleatorio: Firmas Digitales Seguras sin Resistencia a Colisiones
Duración: 01:10:19 horas
Ponente: D. Hugo Krawczyk, IBM Research - Estados Unidos
Enlace desde CriptoRed:
http://www.criptored.upm.es/paginas/docencia.htm#catedraDISI2009Krawczyk
Diapositivas de D. Hugo Krawczyk:
http://www.criptored.upm.es/descarga/PresentacionHugoKrawczykDISI2009.zip
Enlace al vídeo en YouTube
Vídeo 3: Coloquio Tendencias en Malware
Duración: 01:20:50 horas
Ponentes D. José Bidot Director de Segurmática Cuba, D. Ero Carrera Chief Research Officer Collaborative Security VirusTotal España y D. Emilio Castellote Director de Marketing de Panda Security España. Modera D. Justo Carracedo Catedrático de la EUITT-UPM
Enlace desde CriptoRed:
http://www.criptored.upm.es/paginas/docencia.htm#catedraDISI2009ColoquioTendenciasMalware
Diapositivas de D . José Bidot:
http://www.criptored.upm.es/descarga/PresentacionJoseBidotDISI2009.zip
Diapositivas de D . Ero Carrera:
http://www.criptored.upm.es/descarga/PresentacionEroCarreraDISI2009.zip
Enlace al vídeo en YouTube
Vídeo 4: Coloquio Mitos y Realidades en Hacking
Duración: 01:46:57 horas
Ponentes D. Luis Guillermo Castañeda Director de Servicios Profesionales de Rusoft México, D. Chema Alonso Consultor de Seguridad de Informática64 España, D. Alejandro Ramos Manager de TigerTeam en SIA España y D. Rubén Santamarta Consultor Técnico Independiente España. Modera D. Daniel Calzada Profesor Titular de la EUI-UPM
Enlace desde CriptoRed:
http://www.criptored.upm.es/paginas/docencia.htm#catedraDISI2009ColoquioMitosRealidadesHacking
Diapositivas de D . Luis Guillermo Castañeda:
http://www.criptored.upm.es/descarga/PresentacionLuisCatanedaDISI2009.zip
Diapositivas de D . Chema Alonso:
http://www.criptored.upm.es/descarga/PresentacionChemaAlonsoDISI2009.zip
Enlace al vídeo en YouTube
Vídeo 5: Clausura DISI 2009
Duración: 06:15 minutos
Participan D. Justo Carracedo, Dña. Gemma Déler, D. Jorge Ramió
Enlace desde CriptoRed:
http://www.criptored.upm.es/paginas/docencia.htm#catedraDISI2009Clausura
Enlace al vídeo en YouTube
Visto en www.hispasec.com
Guía para la Seguridad en áreas críticas de atención en Cloud Computing V. 2.1
Download Guidance for Critical Areas of Focus in Cloud Computing Version 2.1, released - December 17, 2009
Download Guidance for Critical Areas of Focus in Cloud Computing (Spanish) Version 2.0, released - November 23, 2009
Download Guidance for Critical Areas of Focus in Cloud Computing Version 1.0, released - April 21, 2009
Google Guidance Research Discussion Group
The Cloud Security Alliance (CSA) today issued the second version of its “Guidance for Critical Areas of Focus in Cloud Computing”. The CSA is a not-for-profit organization with a mission to promote the use of best practices for providing security assurance within Cloud Computing, and to provide education on the uses of Cloud Computing to help secure all other forms of computing. The whitepaper, “Guidance for Critical Areas of Focus in Cloud Computing – Version 2.1”, outlines key issues and provides advice for both Cloud Computing customers and providers within 13 strategic domains. Version 2.1 provides more concise and actionable guidance across all domains, and encompasses knowledge gained from real world deployments over the past six months in this fast moving area.
The second version of the guidance tops off a strong inaugural year for the CSA, in which it first published its guidance and, grew to 23 corporate members strong, and joined forces with numerous leading industry groups (such as ISACA, ENISA, the DMTF and the Jericho Forum) to help advance the goal of cloud security.
CSA co-founders Nils Puhlmann and Jim Reavis extended their gratitude to the numerous contributors that have made these efforts possible. “We would like to thank the numerous industry experts who have come together to make this Alliance a productive, valuable resource to the IT community. While we are still early in our efforts, we have made enormous strides in this first year, and look forward to further delivering on our charter to create additional best practices for practitioners and the industry, as the Cloud Computing landscape continues to rapidly grow and evolve.”
Tools: Web Security Dojo

What?
Various web application security testing tools and vulnerable web applications were added to a clean install of Ubuntu v9.10.
Why?
The Web Security Dojo is for learning and practicing web app security testing techniques. It is ideal for training classes and conferences since it does not need a network connection. The Dojo contains everything needed to get started - tools, targets, and documentation.
Download
lunes, 8 de marzo de 2010
Libro: Security Analysis And Data Visualization - Olu Akindeinde 2009 - GNU
Descarga (Ingles, 316 Pag.)
RSA 2010: El FBI pide ayuda a las empresas para combatir el crimen cibernético
La agencia promete cooperación y manejo comprensivo de los casos
El director del FBI usó su discurso de apertura en la conferencia RSA 2010 para solicitar una mayor cooperación entre las autoridades y el sector privado para combatir los crímenes cibernéticos.
Robert Mueller dijo a los delegados que la necesidad de cooperación nunca había sido tan fuerte, a medida que aumentan los niveles de fraude y la siguiente generación de terroristas en línea aumenta sin precedentes.
"Osama Bin Laden hace mucho que identificó el ciber espacio como medio para dañar nuestra economía y psique además de que un sinnúmero de extremistas han tomado esto muy en serio", dijo.
"Los terroristas han demostrado un claro interés en profundizar sus habilidades de intrusión (hacking). Para luego adiestrar a sus reclutas o contratar extranjeros con el objetivo de combinar ataques físicos y cibernéticos".
Los ataques a Georgia y Estonia muestran que estas tácticas ya se están usando, dijo Mueller, agregando que las empresas y las autoridades deben unirse para detener a los criminales en línea, ya sea a terroristas o ladrones.
El FBI tiene más de 1,000 especialistas en cómputo entrenados en sus 56 oficinas de campo en los E.U. pero mientras están adiestrados en análisis forense, la agencia también necesita la ayuda de empresas para vencer a la delincuencia en línea.
Mueller prometió que el FBI hará todo lo que pueda para minimizar el efecto de la investigación criminal para que las compañías puedan sentirse confiadas de que, si sucede un ataque, cualquier investigación ayudará en lugar de obstaculizar.
"No queremos que se sientan como víctimas por segunda vez debido a una investigación", dijo. "Sabemos que usando chaquetas antibalas, cortando comunicación o apagando sus sistemas no son la mejor manera de protegerse".
El FBI preservará la confidencialidad, incluso hasta el punto de obtener órdenes de protección para preservar los secretos y propiedad intelectual.
Pero Mueller resaltó que la agencia no puede actuar si no se le informa del crimen cibernético y que la industria debe permanecer unida para hacer cumplir la ley.
Fuente original: V3.co.uk
Visto en www.seguridad.unam.mx
Guias Basicas de tecnicas para Pentest
En el campo de la seguridad informática es normal contar con mas de una docena de herramientas y técnicas para realizar un test de penetración o testear la seguridad de un aplicativo o red, es por eso que en este campo, en el que tenemos que recordar tantas cosas, son especialmente útiles estas “ayudas didácticas”, en este articulo se pretende recopilar el mayor numero de “chuletas” o “cheet sheets” de herramientas y técnicas relacionadas con la seguridad informática.
XSS:
- XSS Cheet Sheets
- Hoja de trucos XSS
- XSS – Exposed
- XSS, SQL Injection and Fuzzing Barcode Cheat Sheet
- Prevención del XSS
- xssDB
SQL Injection:
- SQL Injection Cheat Sheet
- Informix SQL Injection Cheat Sheet
- MSSQL Injection Cheat Sheet
- Oracle SQL Injection Cheat Sheet
- MySQL SQL Injection Cheat Sheet
- Postgres SQL Injection Cheat Sheet
- DB2 SQL Injection Cheat Sheet
- Ingres SQL Injection Cheat Sheet
- SQL Injection Prevention Cheat Sheet
Search Engines Hacking:
Cross-Site Request Forgery:
Ingenieria Inversa:
Análisis Forense:
Wireless Crack:
Herramientas:
- Hping (español) (ingles)
- NMap (español) (ingles)
- Fgdump, Hping, Metasploit (ingles)
- Netcat (ingles)
- ESAPI (ingles)
- BackTrack 4 (ingles)
Procedimientos / Protocolos:
- Intrusion Discovery Cheat Sheet (Linux) (Windows)
- IPv6 TCP/IP and tcpdump
- TCP/IP and tcpdump
- OWASP 2010 Top 10 Cheat Sheet
- Web Application Security Frame
Fuente: dragonjar.org
Desmantelan en España la mayor red de hackers que robaba números de tarjetas de crédito
La Guardia Civil hispana anunció la operación hoy en un comunicado, indicando que se había detenido a tres personas.
Los detenidos gestionaban el ‘botnet’ (red de computadoras infectadas y controladas a distancia) llamado Mariposa. Está previsto que el miércoles se celebre una rueda de prensa para proporcionar más información.


