Cine - Documental caso !Hispahack

Bueno, a pesar de que este documental es antiguo y tiene un toque retro con gente que la verdad no se que pinta ahí, se menciona el caso !Hispahack y salen algunos de sus miembros. También sale algún que otro flipado pero esta bien.

Disfrutarlo!

Caso !Hispahack

El "caso Hispahack" dio lugar a la primera sentencia en España sobre acceso ilegal a un sistema informático y fue la primera redada dirigida específicamente contra un grupo hacker.
 

La investigación policial se inició a partir de una queja, que no llegó a ser una denuncia oficial, de Telefónica. Dicha queja trataba sobre un intento de acceso mediante Internet a ordenadores de la NASA, en Estados Unidos, y a ordenadores de la Universidad de Oxford. También se suponía que el grupo estaba relacionado con la modificación de una página web del Congreso de los Diputados de España.
 
Posteriormente, el 20 de enero de 1998, un Proveedor de Servicios de Internet puso una denuncia contra dos personas apodadas Magne y Stk. La segunda era miembro de !Hispahack. Según el proveedor, habían entrado en sus máquinas y robado claves de acceso y nombres de 2.500 clientes. Meses después, el 25 de marzo, la Universitat Politècnica de Catalunya(UPC) presentaba otra denuncia, por un ataque acontecido el 11 de septiembre de 1997, que culminó con la obtención de privilegios de administrador en dieciséis ordenadores y la instalación de sniffers en cinco. Jfs, de !Hispahack, fue acusado de ello.

Según la versión del Equipo de Respuesta a Emergencias Informáticas de la UPC (esCERT), que llevó a cabo esta investigación, Jfs había instalado mal un sniffer, que grabó todos sus pasos: entraba desde un ordenador desatendido de la Universidad de Oviedo, que usaba como repositorio de programas y puente para asaltar otros sistemas. Los datos recogidos en la UPC eran transferidos al servidor del cibercafé mallorquín La Red Café, a un directorio llamado Jfs donde se accedía con el nombre de usuario hispahack.

En abril de 1998, el Grupo de Delincuencia Informática de la Unidad Central Operativa de la Guardia Civil detuvo a los dos miembros de !Hispahack: Stk y Jfs, y a dos personas más: JR y Magne. Se les acusaba de delitos de revelación de secretos y daños informáticos. Un abogado, Carlos Sánchez Almeida, fue también fue llamado a declarar porque había publicado en Mentes Inquietas un artículo sobre los derechos de los detenidos. Posteriormente, Sánchez Almeida defendería como letrado a !Hispahack en el juicio.

Anselmo del Moral, responsable entonces del Grupo de Delincuencia Informática de la Guardia Civil, explicó por su parte las razones que motivaron la redada en una comparecencia ante la Comisión Especial para Redes Informáticas del Senado, el 30 de septiembre de 1999:

La investigación se basa fundamentalmente en una serie de potenciales presuntos grupos de intrusos informáticos relacionados con una queja procedente de Telefónica sobre un intento de acceso a los ordenadores de la NASA. También se les suponía relacionados con la modificación de una página web del Congreso de los Diputados.

Del Moral se refirió a un asalto, ocurrido el 31 de octubre de 1997, a la web del Congreso de los Diputados, donde alguien dejó la pintada: Cuantos diputados y cuantas comisiones harán falta para descubrir que poner un ordenador en internet no es sólo enchufarlo [Manda Guebos!!...1-3, seguimos avanzando! (!H).
Según "El País, las detenciones de Stk y Jfs se iniciaron por un soplo a la Guardia Civil:

Un buen día les llegó una foto de un grupo de jóvenes encima de cuyos rostros estaba escrito su alias. Uno de ellos era JFS. Otro, STK, Un mensaje decían: Estos son Hispahack y son los responsables de un ataque al Congreso de los Diputados. El ataque al Congreso se había realizado desde Estados Unidos. Poco después, la NASA envió una queja a Telefónica porque alguien, desde España, había intentado asaltar sus ordenadores y había dejado la huella H!. Se verifica que el asalto venía de un proveedor de Girona, quien denuncia que le han sustraido las claves de acceso de 2.500 usuarios. Paralelamente, la Universitat POlitecnica de Catalunya denuncia con seis meses de retraso una serie de incidentes en 16 ordenadores, procedentes de la Universidad de Ovideo. JFS y STK trabajan en Gibnet, la telefónica de Gibraltar. Utilitzando un subterfugio se logra un cita con ellos en la Linea de la Concepción. Pasaron dos días en carcel."

Finalmente, de los cuatro detenidos sólo Jfs fue juzgado, por la intrusión en la UPC. El 28 de mayo de 1999, el juez Juan Carlos Llavona Calderón, del Juzgado de lo Penal 2 de Barcelona, lo absolvía. La sentencia consideraba los hechos probados pero no atribuibles a Jfs, aunque el directorio del cibercafé de Mallorca llevase su apodo:

El acceso se hallaba al alcance de cualquiera que entrase a través del usuario "hispahack" y, por lo tanto, las sospechas no alcanzan la categoría de indicios bastantes como para desvirtuar totalmente la presunción de inocencia.

En la sentencia se definió por primera vez en el ámbito judicial español el fenómeno hacking, identificándolo con el intrusismo informático, un conjunto de comportamientos de acceso o interferencia no autorizados a un sistema informático o red de comunicación electrónica de datos, y la utilización de los mismos sin autorización o más allá de lo autorizado.
El juez aprovechó la sentencia para dar también una definición moral del hacking:

Conductas que, en cuanto suponen de agresión contra el interés del titular de un determinado sistema de que la información que en él se contiene no sea interceptada, resultan tanto más reprobables y aún merecedoras de sanción moral.

El caso generó mucha polémica por la obtención irregular de algunas pruebas, ya que cuatro importantes proveedores de Internet dieron, sin orden judicial, todos los datos de las cuentas de correo que les pidió la Guardia Civil. También se criticó que el esCERT actuase como perito imparcial en el juicio y, a la vez, parte denunciante por su pertenencia a la UPC.
El Caso !Hispahack sentó jurisprudencia en diversos aspectos, por la criminalización del hacking hecha por el juez, la no reprobación a las fuerzas de la ley por obtener información de personas sin autorización judicial y el hecho de aceptar los logs como prueba.

Cine - Documental DEFCON

La DEFCON es una conferencia de seguridad a nivel internacional donde los mejores expertos en seguridad van a exponer sus conocimientos y algunos de los mejores grupos de hackers van a competir para demostrar sus habilidades. Es un mundo que poca gente conoce por lo que aquí os dejo un documental algo antigüo que explica que se cuece por allí y como empezó:

Cine - Parte 2 (PreHackers)

Los Prehackers o hackers de teléfonos fueron los pioneros del hacking. En ediciones anteriores hablamos sobre la Ingeniería Social y sobre sus principios. Sin duda es un tema muy interesante por lo que os he traído este documental que reúne a 3 de los grandes, uno de ellos fundador de Apple por lo que recomiendo su visualización.

Ingeniería Social - Herramienta muy potente.

* Recuperación de contraseña hotmail.

Con el término ingeniería social se define el conjunto de técnicas psicológicas y habilidades sociales utilizadas de forma consciente y muchas veces premeditada para la obtención de información de terceros.

No existe una limitación en cuanto al tipo de información y tampoco en la utilización posterior de la información obtenida. Puede ser ingeniería social el obtener de un profesor las preguntas de un examen o la clave de acceso de la caja fuerte del Banco de España. Sin embargo, el origen del término tiene que ver con las actividades de obtención de información de tipo técnico utilizadas por hackers.

Un hecho importante es que el acto de ingeniería social acaba en el momento en que se ha conseguido la información buscada. Las acciones que esa información pueda facilitar o favorecer no se enmarcan bajo este término. En muchos casos los ingenieros sociales no tocan un ordenador ni acceden a sistemas, pero sin su colaboración otros no tendrían la posibilidad de hacerlo.

¿Por qué el "caballo de Troya" no es Ingeniería Social?

Existe una tendencia que trata la ingeniería social como una forma de engaño, equiparable al caballo de Troya o a cualquier forma de timo, como el de la estampita.
 
Tendremos en cuenta 2 factores al respecto: en primer lugar, en el caso de la IS puede no haber engaño de ningún tipo. Una persona le pide a otra su contraseña o cualquier otra información en un entorno de confianza y la otra se la da sin presión ni engaño alguno. Luego el mito de que la IS se basa en un engaño, no es correcto en todos los casos.

Y segundo: suele existir un componente técnico o tecnológico. El timo de la estampita y la ingeniería social no tienen mucho que ver porque ésta se basa en amplios conocimientos de psicología aplicada y de las tecnologías sobre las que se quiere obtener información.
Por ejemplo: en el mundo del underground, de los hackers, las relaciones se basan en el respeto. Son mundos bastante cerrados de gente que en algunos casos pueden realizar actividades ilegales. Para poder acceder a él hay que tener tantos conocimientos como ellos y así ser considerado como un "igual".

Además deberán aportarse conocimientos a compartir que de forma clara permitan ganarse el respeto de estos grupos. Sólo de esta forma se tendrá acceso a determinadas informaciones.

Esto mismo ocurre en el mundo de las empresas de alta tecnología en las que se desarrollan proyectos reservados, donde la calificación técnica necesaria para entender la información que se quiere obtener es muy alta.

Las operaciones de ingeniería social de este nivel pueden llevar meses de cuidada planificación y de evaluación de muchos parámetros, van más allá de una actuación puntual basada en una llamada con más o menos gracia o picardía.

Muchas veces, el Ingeniero Social simplemente observa el entorno y aprovecha datos que están a la vista cuando el sentido común indica que deberían guardarse en un lugar seguro. Es el caso de un servidor de una delegación de la Agencia Tributaria española cuya contraseña está puesta en un “post-it” en su pantalla. Sólo hay que tener capacidad de observación de este tipo de detalles.

¿Qué tiene que ver la Ingeniería Social con la seguridad informática?

La seguridad informática tiene por objetivo el asegurar que los datos que almacenan nuestros ordenadores se mantengan libres de cualquier problema, y que el servicio que nuestros sistemas prestan se realice con la mayor efectividad y sin caídas. En este sentido, la seguridad informática abarca cosas tan dispares como:

* Los aparatos de aire acondicionado que mantienen los sistemas en las temperaturas adecuadas para trabajar sin caídas.
* La calificación del equipo de administradores que deberá conocer su sistema lo suficiente como para mantenerlo funcionando correctamente.
* La definición de entornos en los que las copias de seguridad han de guardarse para ser seguros y como hacer esas copias.
* El control del acceso físico a los sistemas.
* La elección de un hardware y de un software que no de problemas.
* La correcta formación de los usuarios del sistema.
* El desarrollo de planes de contingencia.

Debemos tener en cuenta que una gran parte de las intrusiones en sistemas se realizan utilizando datos que se obtienen de sus usuarios mediante diferentes métodos y con la intervención de personas especialmente entrenadas, los ingenieros sociales.

Técnicas de Ingeniería Social

Tres tipos, según el nivel de interacción del ingeniero social:

Técnicas Pasivas:
    * Observación

Técnicas no presenciales:
    * Recuperar la contraseña
    * Ingeniería Social y Mail
    * IRC u otros chats
    * Teléfono
    * Carta y fax

Técnicas presenciales no agresivas:
    * Buscando en La basura
    * Mirando por encima del hombro
    * Seguimiento de personas y vehículos
    * Vigilancia de Edificios
    * Inducción
    * Entrada en Hospitales
    * Acreditaciones
    * Ingeniería social en situaciones de crisis
    * Ingeniería social en aviones y trenes de alta velocidad
    * Agendas y teléfonos móviles
    * Desinformación

Métodos agresivos:
    * Suplantación de personalidad
    * Chantaje o extorsión
    * Despersonalización
    * Presión psicológica

Cuándo nace la Ingeniería Social en España

Corre el año 1986/87, se empiezan a instalar algunos sistemas BBS en Madrid, Barcelona, Zaragoza. No había acceso a Internet mas allá de las universidades (en estas sólo el profesorado tenía acceso, es el nacimiento de RedIris) y de las conexiones UUCP que, más tarde, montaría la compañía Goya Servicios Telemáticos y que eran carísimas para la mayoría de usuarios. No existía Web, únicamente News, Mail y los protocolos de búsqueda de información tipo gopher o archie. Los servidores estaban instalados sobre todo en USA.

Lo que uno podía encontrar en una BBS de aquella época eran ficheros agrupados por temas y mensajes que corrían de unos usuarios a otros, utilizando la base de lo que después sería la red Fidonet u otras basadas en la misma tecnología.

En estas redes, las llamadas entre los nodos las realizaban usuarios "mecenas" que corrían con el precio de esas llamadas. Los módems eran muy lentos, 1200 o 2400 bps. los mas rápidos, y las llamadas eran muy caras. Esto tenía como consecuencia que un usuario no pudiera bajarse toda la información que quería ni conectarse a demasiadas BBS, so pena de arruinarse con la factura del teléfono... o arruinar a sus padres.

Así como estaban las cosas, era difícil compartir información propia con otros usuarios y más aún conseguir información técnica interesante que sí se podía encontrar en otros lugares de Europa y Estados Unidos. Los grupos de hackers buscaban formas de abaratar las llamadas de teléfono y conectarse a otros lugares. En su mayoría menores con edades entre los 11 y los 20 años, no disponían de más ingresos que la paga del domingo.

*Blue box exhibida en un museo.

El phreaking era casi una necesidad y había en nuestro país verdaderos magos del sistema telefónico que proveían de "soluciones" para que los demás pudieran pasar el mayor tiempo posible conectados con el menor coste. Es importante entender que si un usuario español deseaba una información de una BBS finlandesa, debía llamar a Finlandia y conectarse a dicha BBS, ya que no había redes que compartieran la información de las BBS del Underground.
Se utilizaban muchas técnicas para no pagar las llamadas, desde el uso de "blue box"(visto en Piratas de Sillicone  Valley), que eran útiles cuando el sistema de tarificación emitía para su control tonos en la "banda vocal", esto es, en la que se transmitía la voz, hasta accesos a través de sistemas PAD (Packet Assembler Dissasembler).

Sistemas casi siempre de grandes compañías que permitían, desde una conexión de teléfono normal, conectarse a redes de paquetes como la española X.25 y a los que se accedía desde números 900 (¿Cuántos hackers de la época utilizaron el famoso PAD de la Shell Oil?) y también números de tarjetas de teléfono americanas, las llamadas “callings cards” de MCI o de AT&T, que se conseguían de forma más o menos ilegal.

Virgin Boy era un danés que, con sus 15 años, había descifrado el algoritmo de creación de los códigos de 14 dígitos de las tarjetas de AT&T y se dedicó durante años a vender dichos números al módico precio de 100 dólares USA, hasta que desapareció de las redes hacia el año 1995.

En muchos casos, para conseguir informaciones de cómo utilizar ciertas funcionalidades de una central de telefónica, o el acceso a una red, era necesario el uso de ingeniería social. Así, algunos hackers comenzaron a especializarse en esas tareas. El abanico de posibilidades se multiplicó: no sólo el sistema telefónico sinó las configuraciones de servidores, contraseñas de sistemas, datos de compañías empezaron a ser objetivo de los ingenieros sociales, que al facilitárselos a otros hackers les facilitaban en mucho sus tareas, ya que se podían dedicar a lo que realmente les interesaba, aprender sistemas.

Son los tiempos en los que nacen !Hispahack, Apòstols, AFL, KhK Conspiradores y muchos otros grupos ya extinguidos. En cada uno de ellos hay por lo menos un experto en ingeniería social, o bien buscan a especialistas en esta materia para temas concretos.

Esto supone un importante cambio sociológico pues los hackers son, en su mayoría, autodidactas que han aprendido muchísimo en la soledad de su habitación, leyendo manuales, conectándose a lugares de los que aprendían; sin embargo, es cuando comienzan a trabajar en equipo cuando sus logros se hacen mas importantes y, aunque existe el celo por la información, dentro del grupo esta se comparte de una manera fluida.

Se produce un fenómeno interesante a este respecto: la práctica de técnicas de ingeniería social para conseguir información de otros grupos de hackers.
Estos grupos crecían de 2 formas: la primera porque los componentes estaban en la misma ciudad o eran usuarios de la misma BBS y, en reuniones de usuarios de las BBS, se conocían hablando de sus temas favoritos y se ponían a trabajar juntos.

La otra era cuando en alguno de esos grupos se te invitaba a entrar porque habían leído un documento escrito por ti en alguna BBS, o algún mensaje dejado en las áreas de hackers que estaban abiertas a todo el mundo. En casi todas las BBS se abrían áreas ocultas sólo para un grupo determinado de usuarios y otras abiertas que servían un poco como cantera o filtro.

Bases de la Ingeniería Social 

*Escena de la película atrapame si puedes, claro ejemplo de la ingeniería social.  

 El famoso Kevin Mitnick, propuso las bases de la IS en 4 sencillas frases:

* Todos queremos ayudar.
* El primer movimiento es siempre de confianza hacia el otro.
* No nos gusta decir No.
* A todos nos gusta que nos alaben.

Además demostró en directo en una conferencia de Buenos Aires en escasos minutos y mediante tan sólo 6 llamadas lo fácil que era conseguir el código en desarrollo de un nuevo móvil que no estaba ni anunciado para el mercado.

¿Puedo probar?

 Por supuesto. Si de verdad te gusta este tema lo primero que te recomiendo es que te andes con cuidado. La suplantación de identidad es un delito. Ahora que ya sabes esto, te invito a que juegues a tres divertidos juegos:

    * Intenta recuperar la contraseña de hotmail de un amigo tuyo hablando con el de los viejos tiempos y preguntándole por la respuesta de su contraseña secreta.
    * Si conoces el número de te teléfono fijo de un amigo tuyo y su compañía, hazte pasar por su padre o madre y realiza un aumento de velocidad en su ADSL.
    * Si sabes que tu vecino tiene wifi y esta esta en WEP y es un cateto en ordenadores, intenta conseguir su contraseña. Llama a su proveedor de servicios, hazte pasar por el, di que te has comprado un portatil de los chiquitos y que no te acuerdas de la contraseña del guailex. Te dirá que mires la pegatina del router y tu le dirás que se esta raspada la pegatina y no es legible. Si te pregunta el modelo de router hazte el cateto, ella lo tiene todo en la pantalla, acabará perdiendo la paciencia y dándotelo todo.

 También te recomiendo que pruebes juegos presenciales. Aquí os dejo dos ejemplos que a mi me funcionaron xD.

    * En festivales, te acercas a la barra y dices que el jefe de seguridad te ha mandado a por unos conbinados de whiscky con cola para unos artistas, en concreto son 2 copas de whisky y una de ron. (siempre cuela mientras tengas el pelo corto y seas grande)
    * En los peajes, antes de llegar a la zona de pago, fíjate en que compañía la explota e inventate una panoja de que tu tío es accionista y te ha dicho que digas en la cabina que vas de parte suya y que te ha dicho también que deberías haberle llamado antes ya que hay unas tarjetas especiales de invitación pero que no ha podido mandártelas porque está comiendose un cochinillo en Salamanca. (funciona muchas veces) *Nótese también que tu tío debe tener un nombre muy de empresario como Jose Manuel del Valle Sanz Arrandiburu.