A menudo nos encontramos con noticias sobre fugas de información en empresas tanto de carácter público como privado, la pérdida de un USB, un disco duro "viejo" tirado en la basura como si se tratase de un cleanex, documentos con datos que no se ven pero que están ahí... la mayoría de las veces la información se encuentra a simple vista en los dispositivos, pero que sucede si dicha información ha sido borrada, o mejor aun, el dispositivo ha sido formateado?.
Incluso después del borrado/formateo/reparticionado podemos tener acceso a esta información, existen varias técnicas, tanto hardware como software, pero hoy nos vamos a centrar en una de ellas: File Carving

El File Carving es el proceso de extracción de una serie de datos que se encuentran dentro de otro conjunto mayor de datos. Las técnicas de Data Carving son usadas frecuentemente en Análisis Forense cuando nos encontramos con porciones de datos pertenecientes al Sistema de Archivos que a primera vista no están usados pero que pueden tener sorpresas.

Han pasado apenas unos días desde la salida de un nuevo OS basado en Linux(aun en versión Alpha), Qubes, uno más podríamos pensar... quizás si, pero quizás no.

Este OS está enfocado principalmente a la Seguridad (hasta aquí nada nuevo), y para conseguir esto, uno de los pilares básicos sobre el que se construye es Xen (Software de virtualización muy conocido en ámbitos Linux),  con el que se pretende construir "bloques" en los que los usuarios pueden organizar distintos grupos de aplicaciones. Estas VM's son gestionadas por el hypervisor de Xen (ligeramente modificado en este proyecto, apenas 2500 líneas de código se han añadido), manteniendo a las aplicaciones usadas para la oficina, por ejemplo, separadas de las aplicaciones que se usan en casa.

Como cada año, en este mes se monta un "mini-concurso" para ver quien es el que mejor se maneja en cuanto a programación de malware. Creo que no hacen falta presentaciones, ya que más o menos todos sabéis de que se trata, aqui van las bases y premios del concurso.

Estaba yo liado con mi PFC y más en concreto con temás de Virtualización (Xen y KVM), cuando me encontré con un "inconveniente", al trabajar con las VM's en modo bridge con una tarjeta ethernet no hay problemas, pero... que pasa si queremos hacer esto con una tarjeta inalámbrica?

Realmente podemos pasar de líos y hacerlo con la ethernet, pero si tienes un portatil y estás conectado por wifi al router de tu casa, da bastante pereza tener que moverte y "enchufarte" al router.

• KernelSpace Rootkits

• UserSpace Rootkits

Con este primer post, vamos a introducir una serie de artículos en los que trataremos en profundidad los rootkits, desde un repaso histórico, pasando pos los fundamentos, los distintos tipos, hasta un análisis profundo de una serie de rootkits.

Los posts corren a cargo de Hendrix y de un servidor, esperemos que sean de vuestro agrado, y sin más dilación...

Muchos usuarios habrán oído hablar de los rootkits... Tienen ya una dilatada historia, aunque en sus orígenes provienen del entorno de los Sistemas Operativos Unix y sus derivados.

Originalmente los rootkits fueron diseñados para realizar funciones en beneficio del usuario, aunque posteriormente, y de ahí su actual “popularidad”, pasaron a ser usados por los hackers para diversos propósitos.

Alrededor del 2004 empezaron a aparecer los primeros ejemplares para los Sistemas Operativos Windows, creciendo exponencialmente el número de estos. Fue en este momento cuando el término “rootkit” saltó a la palestra y empezaron a refinarse enormemente hasta llegar a los ejemplares que tenemos hoy en día.

En este artículo vamos a tratar de definir un poco más técnicamente que es un rootkit, como actúa, y porque puede ser tan potencialmente peligroso.

En el presente artículo se va a tratar la detección de API Hooking en procesos mediante un módulo de Kernel. Un breve índice sobre los puntos que voy a tratar:

1. Diferencia entre manejo de direcciones en modo Kernel y modo Usuario
2. Trabajando sobre el proceso en modo Kernel
3. Leyendo memoria y código final

Diferencia entre manejo de direcciones en modo Kernel y modo Usuario:
-->
Como ya saben, no es lo mismo trabajar con memorias en un módulo de Kernel que en un proceso corriendo en modo usuario. La principal diferencia es que un módulo Kernel trabaja con direcciones físicas y los procesos con memoria virtual. Vamos a ver mas detalladamente que es cada cosa.