Conferencia 2015 | Villanos
01 UN BIG DATA PARA LAS APPS DE ANDROID: ECRIME Y HACKING
Chema Alonso
Eleven Paths
España
En esta sesión Chema Alonso hablará de cómo se pueden utilizar las tecnologías de Big Data, Cloud Computing y OSINT (Open Source Intelligence) para poder descubrir cibercriminales en el mundo Android o para poder hacer hacking de empresas que han cometido fallos de seguridad en sus apps. Todo ello con un toque maligno }:)
06 TU BANCA MOVIL, EN FORMA SIMPLE Y SEGURA? ESTADO DE LA SEGURIDAD EN APP MOVILES BANCARIAS
Cristián Rojas
CLCERT
Chile
Hoy en día, los bancos chilenos buscan convencer a sus clientes para que realicen sus operaciones bancarias con su celular mediante el uso de aplicaciones móviles disponibles en las tiendas en linea de las diferentes plataformas móviles, bajo la premisa de su facilidad de uso y su seguridad. Sin embargo, cuando se trata de información extremadamente sensible, como saldos financieros, números de tarjetas de crédito, datos de contactos del usuario, información geográfica, etc., cabe hacerse la pregunta: ¿Cuán seguras son estas apps?
En esta charla se mostrará el avance de la investigación desarrollada para la Tesis de Magister del autor, la cual consiste en un análisis de seguridad de las aplicaciones móviles para la plataforma Android de 9 bancos nacionales. Bajo los preceptos de la Divulgación Responsable, y en base a la experiencia del autor en desarrollo seguro de software, revisaremos las vulnerabilidades encontradas en las aplicaciones bancarias desarrolladas en Chile y las razones detrás de tales vulnerabilidades y sus riesgos asociados.
11 EL MAL
Dr. Zombie
Zombiewalk Chile
Chile
02 HACKEANDO EN CAPA 8: INTRODUCCION AL ‘HUMAN OS’
Hugo Bayona
Colombia
Tendremos una introducción a como atacar el Human OS, el sistema mas complejo y vulnerable en nuestro entorno regular y corporativo, gracias a un estudio consiente y constante se expondrán los temas necesarios para empezar en la Ingeniería Social sin necesidad hablar en complejos términos psicológicos y lograr vulnerar un sistema lejos del teclado.
07 ROMPIENDO LOS SISTEMAS DE PAGOS DE GRANDES COMPANIAS: FACEBOOK Y TWITTER
Fraph Core
Colombia
Es una investigación que define a Skipping Valid Payment (SVP) como un tipo de fallo el cual te permite saltar la validación de un método de pago en el transcurso del proceso ya sea antes o después de la validación, y este también lo puedes llamar bug de salto.
12 TIME LINE DE UN ATAQUE DE MALWARE BANKING
Javier León
Ecuador
La conferencia tiene como objetivo realizar una presentación de los resultados de un análisis forense realizado luego de un fraude financiero ocasionado a una entidad bancaria, por un ataque malware que ocasionó la transferencia de dinero por cientos de miles de dólares.
Esta presentación mostrara los antecedentes del caso y un análisis preliminar realizado por la entidad financiera y su departamento de seguridad en sus equipos de seguridad.
Posteriormente se demostrara la importancia de la realización de un análisis forense sobre los sistemas y equipos afectados, proceso que obvio esta entidad financiera, y al realizarlo posteriormente con una empresa independiente, identifico indicios que permitió crear la bitácora del ataque, permitiéndonos conocer que es lo que realizo el atacante antes durante y después del ataque.
Mostraremos la forma de infección y los archivos identificados que formaban parte del paquete de malware utilizado, analizaremos lo que realizaban los principales archivos maliciosos dentro del sistema, expondremos la forma recomendada de analizar los archivos binarios de malware para entender de mejor manera su objetivo dentro del sistema. Se revisaran las herramientas (free) y técnicas forenses utilizadas durante el proceso y los beneficios de los hallazgos del análisis forense como aporte a la seguridad de las instituciones.
Con esta presentación se desea generar un conocimiento más apropiados de una de las técnicas utilizadas para atacar entidades financieras, esto permitirá generar un aporte a la sociedad informática encargada del control de las seguridades, que les permitirá prevenir situaciones similares.
03 LEARN ABOUT THE ENEMY
Thomas Kim
KrCERT / Korea Internet and Security Agency (KISA)
Corea del Sur
Every year, so many hacking incidents and cyber terrors happen in the South Korea. So, KrCERT/CC has analysis and profile about 500~1,000 incidents in every year. Among those incidents, there is some of attacks and cyber terrors to government agency and media, broadcasting services, power plant, banking by other country organization(Suspicious of the North Korean cyber warfare activity). They have been use malwares and attack methods made by same organization for some years, I think that organization is enemy for cyber warfare.
This presentation will inform the North Korean cyber warfare organizations and there activity. And, it will show you that analysis result of malware and attack method, similarity by North Korean cyber warfare organizations. You will be able to learn about malwares and attack method in different incidents by them has something in common.
08 DETECCION DE FUNCIONES INSEGURAS EN REPOSITORES DE SOFTWARE LIBRE
13 YES, MY GRANDMA CAN ALSO TRACK YOU
España
España
04 REVISITING HARDWARE KEYLOGGERS, SAY HI TO MIKEY: AN OFFENSIVE HARDWARE KEYLOGGER
Jose Garduño
Dreamlab Technologies
México
Traditional hardware keyloggers are passive data gathering tools that need to be recovered by the pentester/attacker in order to perform a posterior manual analysis on the data logged. With MIKEY (the man in the keyboard), we not only gather and analyse data from keypresses on the fly but also actively trick the user into providing sensitive information. Finally, the tool autonomously executes offensive HID attacks at an appropiate time, when the user is no longer in front of the system,by using the logged user credentials. This enables interesting movie-like scenarios, where suddenly, in the midst of the night, a computer wakes up and logs into the system, and then breaks havoc using everyone’s favorite HID exploits.
09 DESMITIFICANDO LA DEEP WEB DE TOR Y PENTESTING SOBRE INSTANCIAS DE TOR
Daniel Echeverry
TheHackerWay
España
Inicialmente se hablará sobre el significado de términos como “deep web” o “darknet” y se intentará explicar las características principales que tienen los contenidos que se almacenan en dichos espacios y el motivo por el cual, realmente no son tan especiales como nos lo han hecho creer. Posteriormente se explicará la arquitectura de la red Tor con un énfasis especial en el funcionamiento de los servicios ocultos, explicando en detalle el por qué aun constituyen una solución robusta a la hora de preservar el anonimato de los usuarios. A continuación se explicará cómo un atacante puede ejecutar procesos de pentesting habituales contra servicios ocultos en la red de Tor para romper su anonimato y finalmente, se presentará la herramienta TortazoWeb.
14 OAUTH EXPONENTIAL
Julián Zarate
Seguros Falabella
Argentina
Oauth es una forma de autenticación sencilla basada en la generación de llaves, permite la autenticación del usuario permanente en la app sin tener que estar colocando usuario y contraseña cada vez que el usuario use la app. Este sistema es ampliamente usado por las grandes marcas como Facebook, Twitter, Intagram. Etc. Esto ha hecho que muchas apps implementen esta forma de autenticación pero no de forma óptima y segura, ejemplo almacenando las llaves de forma insegura, no caducidad de las mismas, etc.
05 MEMORIAS DE UN PERITO INFORMATICO FORENSE VOL. II
Lorenzo Martínez
Securízame
España
Se trata de una exposición de dos casos forenses. Son experiencias reales llevadas a cabo por mí personalmente, relacionadas con tecnologías de información. Casos complicados de defender inicialmente desde un punto de vista técnico, y que sobre todo ponen a prueba la ética de un profesional ante determinadas situaciones.
10 SECURING THE HUMAN FACTOR
Jonathan Fischbein
Checkpoint
Israel
This unique session reviews the human factor through the latest major technological evolution from IT Security angles. The session is a complete vendor agnostic one. With the background of RED TEAM at a national level, we review several eminent multi-dimensional threats that are usually taken advantage by social engineering techniques. An interesting analysis on some of the best practices techniques and evaluation of its effectiveness through some of the popular Hollywood megahits. A controversial view into perception and awareness trends to assist more effective IT Manager on implementing corporate security strategy. Incident response presented from a different angle as a behavior exercise. To summarize, a complimentary view with the help of the human factor interaction and a visionary glance into the future.