Obteniendo la contraseña de una Cámara IP china

Ayer comentaba en Twitter que ya estaban publicadas en video algunas de las conferencias que se dieron en la ekoparty 2013. Una de ellas abordó el tema de la seguridad en cámaras IP que muchas veces son utilizadas para vigilancia y tenía ganas de volver a verla para probar algunos ataques en unas cámaras que tengo en casa.

En este artículo comento rápidamente una vulnerabilidad que descubrí en una de mis cámaras gracias a esta conferencia y que permite obtener la contraseña del administrador. Y más abajo dejo el video de la charla para que puedan verlo con un pequeño resumen.

Cabe aclarar que la información se comparte con fines preventivos para que aquellos que tienen cámaras IPs vulnerables estén al tanto de estos problemas y tomen las medidas necesarias para protegerse.

Leer más

El hosting de páginas en Google Drive podría ser utilizado en campañas de phishing

En Google Drive se pueden subir y compartir archivos HTML, JS y CSS para crear pequeñas páginas web públicas como este juego del ahorcado que hace algunos años hice con un compañero de clases.

El servicio está bueno porque cualquier usuario puede alojar una página de forma gratuita, pero como todo si es aprovechado por malas personas se podría convertir en un problema. De esto justamente es lo que habla Juan Manuel en su blog Mvdtechnology.

Google Drive podría ser aprovechado para montar páginas falsas como la siguiente:

phishing con google drive

Leer más

Dos ejemplos de phishing: BBVA y correo falso con enlace para ver unas fotos

Los siguientes son dos ejemplos de phishing que me enviaron en los últimos días y no había tenido tiempo de comentar en el blog.

El primero de ellos relacionado con una entidad bancaria, se trata de un engaño clásico que hace referencia a un supuesto problema con la cuenta para que los usuarios se preocupen e ingresen de inmediato, incluye faltas de ortografía de todo tipo y un enlace que apunta hacia una página extraña:

Leer más

Lwitter, un phishing de Twitter ya controlado

Circulan nuevos mensajes directos de Twitter que son enviados de forma automática desde cuentas comprometidas, en realidad se trata del phishing clásico que busca llamar la atención del usuario para que haga clic en un enlace y termine en una página falsa que solicita su contraseña.

Uno de los mensajes que circulan es el siguiente:

geez this asshole is making updates with fucked up things that concern you [enlace corto]

mensaje directo spam en twitter

Leer más

Al iniciar sesión en WordPress cuidado con las WiFi públicas

Hace algunos días lo comentaba en las redes sociales, luego de ver a un amigo iniciar sesión en su blog bajo una WiFi abierta sin ningún tipo de preocupación. ¿Por qué debería de preocuparse? Pues cuando nos logueamos en WordPress la contraseña viaja en texto claro por la red y cualquiera que la esté sniffeando la podría capturar.

En la siguiente imagen se puede ver un ejemplo con Wireshark, una excelente aplicación para capturar y analizar paquetes. Al loguearme en mi blog y analizar lo que viaja por la red, puedo ver la contraseña sin mayores complicaciones:

contraseña wordpress en wireshark

Leer más