Cada año, miles de profesionales relacionados al ámbito de la seguridad de la información se reúnen en Las Vegas para ser parte de DEF CON y Black Hat, importantes eventos sobre ciberseguridad y hacking a nivel global. Durante estas convenciones se realizan diversas charlas, desafíos y capacitaciones impartidas por expertos de la industria que entregan una gran variedad de conocimientos en cuanto a herramientas, actualizaciones de vulnerabilidades, dispositivos e infraestructura, con el objetivo de conocer lo más reciente en cuanto riesgos en informática, compartir experiencias y fomentar la colaboración entre los especialistas para contribuir a la reconfiguración del panorama actual y futuro.
Entre los pocos chilenos que asistieron este año se encuentra el especialista en Ciberseguridad de la empresa 3IT Quality of Service, Daniel Aldana, quien recalca la importancia de estas iniciativas y el poder vivir esta experiencia: “Estos son los eventos que marcan la pauta en torno a investigaciones sobre vulnerabilidades, instrumentos de ingeniería reversa, detección de amenazas, herramientas, y un sin fin de temas interesantes relacionadas a la seguridad de la información. Además, allí hay mucho ánimo de contar y entender todo lo relacionado con el hacking y temas afines, se exponen nuevas técnicas de explotación, nuevos vectores de ataques y se dan diversos espacios para el networking”.
Dentro de las temáticas más relevantes de estas jornadas, quisimos destacar ocho revelaciones en materia de ciberseguridad que fueron dadas a conocer en DEF CON y Black Hat 2019:
1. Netflix como medio para obtener tus datos bancarios: Durante la convención, Cat Murdock, analista de seguridad de la empresa GuidePoint Security, planteó la amenaza oculta existente al pagar servicios de suscripción como Netflix, los cuales tienen cuentas bancarias asociadas que podrían permitir el acceso a datos personales y robar información financiera. Pero, ¿cómo es posible? La investigadora señala que sólo hace falta conocer la última transacción realizada en función del pago para que un delincuente pueda verificar el titular de la cuenta en un banco y de esta forma obtener información de la persona sin ser descubierto.
2. Tu Mac podría ser hackeado con un cable lightning con solo conectarlo: El investigador Mike Grover – conocido por su apodo “MG” – presentó durante esta instancia un cable lightning el cual fue modificado en su interior para ser capaz de hackear cualquier Mac con solo conectarlo al dispositivo. Esto se debe a que, al usarlo, el sistema operativo lo reconoce como si fuera uno legítimo, lo que le permite al atacante tomar el control del aparato conectándose al computador de forma remota, pudiendo así instalar un malware o robar datos de la víctima sin dejar rastro, ya que también podría deshabilitarlo sin ser percibido.
3. Una simple impresora puede ser la puerta de entrada de un hacker: Durante el evento también se dieron a conocer al menos 35 vulnerabilidades significativas en seis tipos de impresoras fabricadas por HP, Ricoh, Xerox, Lexmark, Kyocera y Brother, las cuales podrían causar estragos en una red corporativa ya que un ciberdelincuente podría espiar cada trabajo enviado a impresión con información confidencial e incluso enviárselo a terceros no autorizados, pudiendo también instalar “puertas traseras” y mantener una presencia oculta en la red poniendo en riesgo información sensible de las empresas, por lo que se recomienda tener el firmware de las impresoras actualizado a la última versión para evitar este tipo de incidentes.
4. Los archivos de tu cámara digital EOS podrían ser secuestrados: Según el informe difundido por Check Point Software Technologies durante una de las conferencias que se realizaron en DEF CON, algunas cámaras DSLR de la reconocida marca Canon presentan vulnerabilidades en el protocolo de transferencia de imágenes (PTP), permitiendo instalar un ransomware vía USB o a través de la conexión WiFi. Esto daría acceso a un atacante para que eventualmente pueda encriptar los archivos que se encuentren en la tarjeta de memoria para luego bloquear el dispositivo impidiendo su uso. No obstante, la empresa publicó una actualización para las cámaras afectadas que puede ser descargada por los usuarios, a quienes se les recomienda tomar las precauciones necesarias a la hora de activar la función de conexión WiFi.
5. Ni siquiera los aviones de combate militar estadounidense F-15 están libres de ciberataques: Este año se realizó por primera vez la “Aviation Village”, instancia en la que se expusieron distintos modelos de aeronaves de la Fuerza Aérea estadounidense donde, de forma inédita, se trabajó junto a un equipo de investigadores externos para que efectuaran pruebas de seguridad en los sistemas de los aviones F-15 con el fin de encontrar vulnerabilidades. El grupo de hackers – que fue llevado a Las Vegas por la compañía de ciberseguridad Synack- descubrió una serie de riesgos que, de ser explotados, podrían entregar una gran cantidad de datos de cámaras de video y sensores mientras se encuentran en funcionamiento. Si bien es cierto que la iniciativa pone en evidencia la negligencia que hay al no adoptar las medidas necesarias para el resguardo de la información, también da cuenta de una toma de conciencia respecto a la importancia de la protección de los datos y una apertura por parte de los militares a nuevos métodos como el Ethical Hacking que permiten identificar desviaciones de seguridad.
6. Hackers de “sombrero blanco” como aliados para resguardar el proceso electoral: Otro de los puntos interesantes es que por tercer año se realizó la “DEF CON Voting Village”, un espacio donde los hackers tienen como desafío acceder al sistema de votación electrónico utilizado durante las elecciones en Estados Unidos. La actividad – que cada vez capta mayor interés por parte de funcionarios gubernamentales que también están asistiendo al evento – dejó en evidencia las debilidades que presentan los equipos tecnológicos tanto en su hardware como en su software, por lo que podrían ser interceptados para interferir en los procesos electorales. El llamado que se hizo tras los resultados de las pruebas fue a que, más allá de corregir y resolver estos problemas de seguridad para evitar posibles ciberataques en elecciones futuras, se siga utilizando el método de voto en papel para mantener la integridad y confianza en el proceso ya que, por ahora, esta sigue siendo la forma más segura de proteger los sufragios sin mayores riesgos.
7. La manipulación en la industria de las redes sociales mediante el uso de bots: Dentro de las charlas que se dieron durante las jornadas de DEF CON, se habló también de la manipulación en las redes sociales en torno a las cuales se ha creado una industria de gran rentabilidad donde se paga para obtener mayor popularidad a través de la creación de seguidores falsos. El tema se abordó a partir de una investigación de cuatro años, la cual fue realizada con diversos enfoques que llevaron al descubrimiento de los distintos actores involucrados en la cadena; esto con el fin de evitar y frenar el uso del sistema ilícito de botnet, en el que se utiliza una red de bots controlados de forma remota para “inflar” una cuenta y crear una comunidad falsa de followers con el fin, por ejemplo, de lograr mayor credibilidad a la hora de publicar y difundir fakes news.
8. Infiltrándose en las redes corporativas de grandes compañías: Otro de los temas importantes que se trataron durante estas conferencias fue la explotación de vulnerabilidades descubiertas en ciertas funcionalidades de las VPN SSL (Virtual Private Network sobre Secure Sockets Layer). Estas desviaciones de seguridad permitirían desde la obtención de credenciales, a la ejecución remota de código, lo que facilitaría el acceso de un usuario malicioso a la intranet de grandes empresas, entre las que se encuentran al menos la mitad de las compañías Fortune Global 500. Esto demuestra que incluso las grandes marcas de soluciones de seguridad (firewalls, appliances, etc) poseen graves falencias que exponen no sólo a sus sistemas, sino que también a todas las organizaciones que las utilizan.
