¿Quién es quien? Sergio de los Santos

Siguiendo con la saga de los ¿quién es quien?, hoy quiero centrarme en un gran desconocido para mi, pero que es sin duda unos de los hacker más importantes de estos tiempos. Su nombre es Sergio de los Santos.

Figura 1: ¿Quién es quien? Sergio de los Santos

Mi desconocimiento es debido simplemente al hecho de no haber coincido con él en los vídeos que veo en youtube o la literatura que tengo. Pero el mes pasado me interesé en comprar un libro de 0xWord que me pareció muy interesante: Máxima Seguridad en Windows: Secretos Técnicos. 3ª Edición revisada y ampliada, pero me comentaron que me esperase unos días por que la nueva edición estaba en marcha. Así lo hice y por fin lo tengo aquí:

Figura 2: Máxima Seguridad en Windows: Secretos Técnicos. 3ª Edición revisada y ampliada

Cuando me llegó, vi que el autor era Sergio de los Santos. Había oído hablar de él a Chema en algún vídeo, así que empecé a buscar y encontré un pilar muy importante en la seguridad informática mundial.

Sergio es malagueño. Tiene publicados 4 libros de seguridad informática, ha sido responsable del blog más antiguo de seguridad informática informática en español, http://unaaldia.hispasec.com/ desde 2006 a 2013, ha escrito para periódicos, revistas y publicaciones relacionadas con la informática, ha sido responsable de seguridad en varios periódicos, ha trabajado en Hispasec, ha sido dos veces MVP de Microsoft,..., ufff, menudo historial. Y actualmente lidera el laboratorio técnico de ElevenPaths!!!. Si forma parte del gran equipo de Chema Alonso y Chema ha estado muy interesado en trabajar con él, el resto lo podéis imaginar.

Figura 3: 1ª entrada de Sergio en "una al día" (creo que es la primera, 11 de enero de 2006)

No quiero que esta entrada se convierta en un copy-paste de otras webs ni hacer una biografía de Sergio, si no que mi único interés es crear una llamada de atención para que si no conoces el trabajo realizado por él, te salte una alarma interior y que empieces a interesarte por lo que ha hecho. La verdad es que es muy interesante, tanto por el contenido como por la forma de exponerlo. Hay varias entrevista ya realizadas que puedes encontrar en estas direcciones:

• Entrevista en la web de la OSI: https://www.osi.es/es/actualidad/blog/2013/02/12/sergio-de-los-santos-debemos-quitarnos-de-una-vez-de-la-cabeza-que-el-mal

Figura 4: entrevista en la web de la OSI

• Entrevista en protegerse.com: http://blogs.protegerse.com/laboratorio/2012/03/23/sergio-de-los-santos-hispasec-sistemas/

Figura 5: entrevista en protegerse.com

• Entrevista en elladodelmal.com: http://www.elladodelmal.com/2009/01/entrevista-pajarraco-de-los-santos.html

Figura 6: entrevista en elladodelmal.com

• Entrada del blog elladodelmal.com donde se da la noticia del "fichaje" de Sergio por Eleven Paths: http://www.elladodelmal.com/2013/06/sergio-de-los-santos-fichado-por-eleven.html

Figura 7: entrada de Sergio fichado por Chema para Eleven Paths

Para terminar, os pongo el enlace de uno de los últimos vídeos de Sergio hablando del malware en Android. No dejéis de verlo, es muy interesante.

Vídeo 1:  XI Ciclo de Conferencias TASSI 2015,
21 de mayo de 2015, Sergio de los Santos: Malware
 en Android y Google Play

Y para confirmar este "malor" entre Sergio y Chema, este vídeo es obligatorio (no os perdáis el minuto 7' 00", el 14'30" y el 1h 02' 00"):

Vídeo 2: UPM TASSI 2008 Conferencia 4: Evolución del

Malware: Malware 2.0; Antiphising y Antitroyanos.
Flujo Malware, Sergio de los Santos 2008

Así pues Sergio, seguiré de cerca tus trabajos y seguiré aprendiendo de todos vosotros. Gracias.

Saludos!

¿Quien es Chema Alonso?

Hoy, leyendo la última entrada del blog de Chema he pensado que sería interesante hacer un recorrido por toda la información que hay un poco desperdigada por internet acerca de Chema. Como soy adicto a ver vídeos y leo todo lo que cae en mis manos sobre él, voy a hacer un resumen.

Figura 1: Chema Alonso

Chema nació en 11110110111. Es de Móstoles (Madrid). Estudió en la Universidad Politécnica de Madrid de 1996 a 1999 la Ingeniería Técnica de Sistemas, en la Universidad Rey Juan Carlos de 2004 a 2007 la Ingeniería Informática. Luego, en 2007-2008 en la Universidad Rey Juan Carlos también hizo el Master en Tecnologías de la Información y Sistemas Informáticos, y obtuvo el doctorado (Doctor of Philosophy (PhD), Computer and Information Sciences, Security) en 2013.

Desde octubre de 1999 hasta abril de 2013 fue Consultor de Seguridad en Informática 64, una empresa de seguridad informática que fundó junto con Rodol.

Figura 2: logo de Informática64

Desde febrero de 2012 hasta abril de 2013 fue Mentor de Talentum Startups en Telefónica Europe, donde realizó tareas en de apoyo técnicas en Wayra y participó en los programas Talentum.

Desde septiembre de 2009 es Director del Máster de Seguridad de Información en la Universidad Europea de Madrid y realiza tareas de dirección, elaboración de contenidos y programas, tutorización e impartición del clases en el Máster de Seguridad en Tecnologías de la Información y las Comunicaciones.

En enero de 2012 compró Cálico Electrónico y es Productor Ejecutivo del mismo desde entonces.

Figura 3: logo de Cálico Electrónico

Figura 4: Cálico Electrónico

Ha escrito varios libros:

• Metasploit para Pentesters, Editorial 0xWord. Publicado el 30 de octubre de 2012

Figura 5: Metasploit para Pentesters 

• Hacking de Aplicaciones Web: SQL Injection(Enlace), Editorial 0xWord. Publicado en febrero de 2012

Figura 6: Hacking de Aplicaciones Web

• Hacking dispositivos iOS: iPhone y iPad, Editorial 0xword. Publicado el 28 de mayo de 2013

Figura 7: Hacking dispositivos iOS: iPhone y iPad

• Pentesting con FOCA, Editorial 0xWord. Publicado el 13 de diciembre de 2013

Figura 8: Pentesting con FOCA

Todos estos libros son publicados por la editorial 0xWord, que es de su propiedad desde abril de 2013. En su página web existe la posibilidad de comprar estos libros y otros muchos dedicados a la seguridad informática:

Figura 9: Editorial 0xWord

Chema también colabora desde septiembre de 2012 en el programa La Mañana de la Cadena COPE todos los martes a las 11:00.

Su última andadura profesional comienza en abril de 2013 como CEO de Eleven Paths, filial de Telefónica donde trabajan creando productos y servicios orientados a la seguridad digital de empresas e individuos en Internet.

Figura 10: Eleven Paths

Al mismo tiempo compagina charlas y conferencias sacando tiempo de no se donde por todo el mundo en universidades, institutos, conferencias hacker como la Defcon, BlackHat Europe, BlackHat USA, Ekoparty, RootedCon, MWC, ShmooCon, ToorCon ... seguro que se me olvida alguna. Ha sido invitado por Yahoo! para las jornadas de Seguridad en San Francisco y ha publicado más de 50 artículos en congresos académicos y revistas técnicas.

Tiene un blog de seguridad informática, www.elladodelmal.com, en el que escribe a diario desde enero de 2006 y que ha recibido varios premios, como el Premio Bitácoras al Mejor Blog Seguridad en noviembre de 2012 y noviembre de 2014. Aquí un mini homenaje con el link a la primera entrada que aparece en su blog:

Figura 11: primera entrada que aparece en el blog elladodelmal

Chema también posee el título Microsoft Most Valuable Professional (MVP) en Enterprise Security desde 2004 a 2014.

Figura 12: Chema Alonso MVP Microsoft en 2013

Ha salido en varios programas de televisión:

• El hormiguero 3.0

Vídeo 1: Chema en El Hormiguero 3.0

• En el aire (Buenafuente)

Vídeo 2: Chema en En el aire

• En Espejo Público

Vídeo 3: Chema en Espejo Público

• En Más vale tarde

Vídeo 4: Chema en Más vale tarde

• En Mundo Hacker de Discovery Max

Vídeo 5: Chema en Mundo Hacker

• En Cálico Electrónico

Vídeo 6: Chema en Cálico Electrónico

Y seguro que se me olvidan mil cosas. Para terminar, hago un resumen de las anécdotas que más me han llamado la atención:

• ¿Por qué el gorro?

Según cuenta Chema en alguno de sus vídeos, en la presentación de Windows Vista, tenía que presentar este sistema operativo junto con un compañero, y la verdad que los días anteriores se fueon a hacer snow, por lo que no prepararon la presentación todo lo bien que deberían. Así que pensaron en hacer una especie de montaje en el que su compañero presentaba Vista y Chema hacía como que venía de hacer snow y sin preparación previa podía manejar el sistema. Lo suyo es que el gorro queda muy bien como marca personal de Chema. Es un buen logotipo.

• ¿Por qué el Maligno, un informático en el lado del mal?

Hace años Microsoft no es del agrado de los hackers de la edad romántica. Eso de ser un sistema operativo de una multinacional que quiere lucrarse (por hacer su trabajo) en un mundo efervescente donde el software libre era el lugar donde todo hacker debía poner sus objetivos chocaba bastante. Microsoft era "el mal en persona", y en una charla uno de los asistentes dijo que Chema era como el Maligno disfrazado de John Lenon, por lo que habría que acotar lo que podía decir, ya que se expresa muy bien. A partir de entonces adoptó el sobrenombre o nick de maligno y empezó a firmar en el blog con "Saludos Malignos !". También es curiosa la forma de firmar sus mail con Saludos Malignos! }:)

Pero lo que realmente me toca la fibra es la forma de expresarse, esa forma que tiene de difundir información a raudales sin cansar, muy ameno, muy cercano, muy personal. Es un profesional como la copa de un pino y está al lado de la gente que le sigue. Esa cercanía hace que lo adoptemos como uno más de mi SAT. Si no lo estoy escuchando de fondo en mi taller parece que estoy solo. Gracias Chema, no cambies.

Aún con todo su volumen de trabajo, le queda tiempo de acordarse de los seguidores y de la gente que lo tiene como un referente, de contestar a todos los mails que le he mandado, de ser agradable, como en esta entrada de su blog de hoy, en la que vuelve a dar las gracias:

Figura 13: publicación del Blog elladodelmal del 5 de abril de 2015 

Para conocer un poquito más de todo esto que os he contado, os pongo el enlace a dos vídeos en los que no se habla tanto de informática y si de su vida:

Vídeo 7: el discurso de la servilleta

Vídeo 8: entrevista de Apple 5x1

Chema, no quiero entrar en bucle infinito pero, NO, GRACIAS A TI

Saludos!

Libro Hacking Ético

Ya tengo aquí el libro Ethical Hacking: Teoría y práctica para la realización de un pentesting, de Pablo González Pérez y publicado por 0xWord. Si os interesa podéis comprarlo u obtener más información en la propia web de la editorial:

• http://0xword.com/es/libros/65-ethical-hacking-teoria-y-practica-para-la-realizacion-de-un-pentesting.html

Figura 1: portada del libro "Ethical Hacking" de Pablo González Pérez

Figura 2: contraportada del libro "Ethical Hacking" de Pablo González Pérez

Una vez que lo he tenido entre manos he podido comprobar que es un libro normal. Leí algún comentario en algún foro en el que se decía que el libro era de una calidad poco menos que inexistente, incluso que las tapas se rompían a los dos días de usar el libro. Cuando me llegó lo toqué con cuidado, pero el libro no se rompió. Tampoco después de abrir y cerrarlo varias veces. Por seguridad lo forré, pero es lo mismo que hago con todos los libros que tengo y que quiero que no se estropeen. Pudiera ser que los mensajes que leí en algunos foros fuesen simplemente por desprestigiar el libro o siguiendo una ínfima corriente que empiezo a sospechar que existe de ideología antiChema (¿envidias?, ¿cinismo?, ¿...? ).

En fin, al grano con lo que interesa, el contenido. Desde la web de 0xWord podéis descargar el índice, el cual os pego aquí el enlace:

• Índice del libro oficial en la web de 0xWord

En el blog de Chema elladodelmal hay una publicación del 8 de Julio de 2014 donde se da la bienvenida al libro:

• http://www.elladodelmal.com/2014/07/teoria-y-practica-para-la-realizacion.html

El libro no lo he leído entero, pero si que lo he revisado varias veces e incluso releyendo hasta la comprensión ciertos capítulos. No es un libro al uso como otros que he podido ojear. En un completo manual para hacer un pentesting en toda regla, con los pasos para realizar el estudio previo de una red, tipos de deficiencias que se pueden estudiar, distintas herramientas para llevar a buen puerto los análisis, la ley, como está y hasta dónde se puede llegar, etc. Se muestra información también de como presentar el informe oficial de "salud" del entorno, como realizar los informes de protocolos y versiones de rutinas a aplicar. En la parte del propio pentesting no es un manual del tipo: como tumbar un servidor -> 1º abre una consola de comandos con privilegios -> 2º en c:\ escribe netstat -a -> 3º manda un ping de la muerte con  ping -l 65510 servidormalo.com -> 4º ...

Se hace un recorrido por todos los servicios importantes a tener en cuenta, todos los tipos de ataques relevantes, varias herramientas para poder hacerlo y forma de estudiar los posibles fallos para generar un informe y dar a conocer de una forma técnica y "estandar" los modos a seguir.

También trae varias referencias a shodan, información que se puede extraer de google, bing y yahoo, formas de atacar mediante DOS y DDOS, SQL injection, FOCA, Heartbleed, elevación de privilegios, estudios de seguridad de redes wifi, WPA, WPA2, ... ufff, sería muy largo de poneros todo, ya que es muy completo.

Desde mi perspectiva de informático avanzado pero Newbie en el pentesting puedo decir que es de un nivel perfecto, ya que a cada párrafo que leo adquiero nuevos conocimientos y te va llevando de menos a mas. Está ilustrado con las pantallas que te van saliendo si reproduces el proceso y en todo momento te sitúa con datos históricos  y explicaciones paralelas para no saber solo el COMO HACER, sino también el PORQUE. Hace que lo vayas entendiendo, no solo una lista de procesos a seguir para conseguir algo en plan receta de cocina.

El autor es Pablo González Pérez. Pero, ¿quien es en realidad Pablo? Pablo trabaja de Project Manager en 11Paths, empresa perteneciente a Telefónica Digital. Es ingeniero en Informática por la Universidad Rey Juan Carlos. Tiene el Máster en Seguridad Informática por la Universidad Internacional de La Rioja. Fue premiado con el Fin de Carrera por la Universidad Rey Juan Carlos en Ingeniería Técnica en Informática de Sistemas en 2009 y al mejor expediente de su promoción por la Escuela Técnica Superior de Ingeniería Informática de la Universidad Rey Juan Carlos en 2009. Es autor de los siguientes libros: Metasploit para pentesters, Pentesting con Kali y de este que comentamos, Ethical Hacking: Teoría y práctica para la realización de un pentesting. Aquí podéis verlo en acción:

Vídeo 1: Conferencia de Pablo González en Cybercamp 2014 (6 de diciembre de 2014)

Y aquí mano a mano con Chema:

Vídeo 2: SID2014. Nuevas tendencias en ciberataques. Por Chema Alonso y Pablo González (16 de octubre de 2014)

Resumiendo, que voy a disfrutar de cada una de sus páginas y el Kali Linux va a echar humo. Seguiré engordando mi colección de libros de 0xWord.

Desde la editorial, intenté comparar también el libro Máxima Seguridad en Windows: Secretos Técnicos. 2ª Edición revisada y ampliada, pero me comentaron que se estaba modificando para sacar a la venta una nueva versión actualizada y que me avisarían con un correo cuando estuviese disponible. Gracias. Seguid así.

Saludos!

Los orígenes [III de III]

Luego ya entré en una rutina de trabajo en la que no hay tiempo para mi propio I+D+I. Tengo que ir a lo productivo, a lo que produce dinero para mi empresa en vez de lo que realmente me llena. No es que no me guste mi trabajo, que me apasiona, si no que realmente echo de menos esos tiempos en lo que no tenía obligaciones ni pagos por cubrir y podía pasarme noches en vela programando aplicaciones que no valían para nada pero que me transportaban a otra realidad.

Pero de repente surgió algo. Alguien despertó a la bestia que estaba dormida. Un tal Chema Alonso me hizo ver que se puede compaginar un "estilo de vida" con las tareas laborales. Empecé a ver sus charlas en YOUTUBE, a leer sus libros de 0xWORD, a recordar a Cálico Electrónico, a leer http://www.elladodelmal.com/, a investigar con la FOCA, a proteger mis ficheros con metadatos, y me volví a sentir como antes. Ahora se pueden absorver informaciones que vienen de mi I+D+I y extrapolarlas a mi trabajo. Puedo conocer mejor como funciona un troyano, como está el mundo de la seguridad, a estar al corriente de esa cultura informática que no me produce dinero pero pero que me llena, y además este tio del gorrito hace que me parta de risa con sus conferencias. Bien, ya tengo un ídolo, mi ídolo Chema Alonso. Y si invierto tiempo en escucharle me viene muy bien para mi trabajo. Os pongo unas muestras, para mi de las charlas que pongo en el YOUTUBE en bucle infinito y voy escuchando de fondo mientras cambio placas base, fuentes, quito virus o instalo Windows en los PCs de mis clientes.

Vídeo 1: Chema en acción

Vídeo 2: Capítulo 4x04 de Cálico Electrónico 

En resumen, gracias Chema por tu labor y por tus saludos malignos. Sigue así.

Seguiré siendo autodidacta de la seguridad informática. No me puedo dedicar a ello ni creo llegar nunca a tener un nivel suficiente como para hacer nada importante, pero es muy interesante el conocer las técnicas de pentesting que los hackers éticos nos muestran. Es una cultura general indispensable en una sociedad en la que nuestros datos están en internet y lo que está en la nube es accesible desde cualquier ordenador del mundo, por lo que estamos usando unas herramientas que casi nadie sabe controlar ni configurar.

Saludos !

**************************************************************************************

- Los orígenes [I de III]

- Los orígenes [II de III]

- Los orígenes [III de III]

**************************************************************************************