Hace tiempo que no escribo en el blog, estos meses he estado ocupado, por un lado trabajo, he iniciado un Master en Seguridad Ofensiva y un curso de 4 meses (de 0 a 1 Seguridad Ofensiva), así que no he estado quieto, aparte de asistir a alguna otra conferencia Mundo Hacker 2024 y como no, Osintomático 2024 de los cuales me hubiera gustado escribir algún post dedicado, porque han sido eventos fantásticos pero creo que ya es un poco tarde para hablar de ellos.
Pero bueno, ya estoy de vuelta, no menos ocupado, pero si quería publicar alguna cosa sobre este evento, al que era la primera vez que asistía, aunque es su 4ª Edición y que me ha trasladado a Málaga por unos días para presenciar el evento y disfrutar un poco del lugar.
Como siempre reencontrarse con conocid@s/amig@s del mundo ciber y que hacen este tipo de eventos todavía más interesantes si cabe, así como conocer nueva gente que espero volver a encontrarme más adelante en futuros eventos.
UAD360 este año ha durado un solo día (14 de junio), tengo entendido que en años anteriores eran dos, desconozco el motivo por el cual este año ha sido más corto, pero hay que reconocer que siendo un solo día ha estado bien concentrado y con muchas charlas de calidad, además tiene ese ambiente diferente que solo se consigue en las CONs de tamaño más reducido, en la que hay más cercanía entre la gente, tanto público como ponentes y que los hace mucho más interesantes.
El evento ha tenido como maestra de ceremonia a Marta Barrio, que entre sus muchas actividades relacionadas con el mundo Ciber, tiene su Proyecto de Divulgación en Ciberseguridad que seguramente conoceréis: Securiters y que cuenta con una gran Comunidad, así como cientos de miles de seguidores en RRSS. Es un Proyecto de divulgación en ciberseguridad que se ha llevado recientemente un merecidísimo premio OpenExpo Awards 2024, justamente en estos mismos días, premio en la categoría de ciberseguridad y cuya entrega se realizó el 13 de Junio en el evento OpenExpo Europe 2024 en Madrid, además de ser también finalista en la categoría Influencer Tecnológico.
Este congreso fue amenizado entre sus charlas con regalos de patrocinadores y colaboradores con el evento que buscaban la implicación del público asistente y que proporcionaba mayor interactividad aparte de las preguntas habituales post charla, todo ello llevado con buen humor (que no falte), conducido y dinamizado por su presentadora.
Y ya si hablamos del contenido del congreso contó con grandes profesionales del sector que daban charlas y también algunos que dieron microcharlas de 10 minutos. En la agenda no aparecen y no recuerdo todos sus nombres, no es con ánimo de ningunear a nadie si alguno leyera esto por un casual, ya que también fueron interesantes y con el reto añadido de explicar algo en un tiempo muy reducido, lo cual tiene un gran merito.
Agenda del Evento (extraída de la página web del congreso).
| 08:00 – 08:45 | Check-in Al hacer el check-in, te daremos la acreditación y Welcome Pack UAD360 ❤️💙 |
| 08:45 – 09:00 | Inauguración UAD360 Presenta: Marta Barrio, divulgadora de Securiters. Inaugura la 4ª edición del Congreso de Ciberseguridad UAD360, Miguel Manteca, CEO de Hispasec. |
| 09:00 – 09:30 |  ¿Qué hacemos dos tipos como nosotros en un evento de ciber como este? Rubén G. y Juan O. – Lead SWD y CTO Hispasec ¿Cuál crees que debería ser el título de una charla sobre ciberseguridad? No lo tenemos claro. Nosotros estamos sobreviviendo en un mundo donde hasta la IA está bajo vigilancia, todo lo que el humo nos permite ver. |
| 09:35 – 10:20 |  Flutter inspection challenges for Mobile Pablo San Emeterio – CEO Vapasec Flutter es uno de los frameworks de desarrollo que más aceptación esta teniendo en los últimos años, sobre todo para el desarrollo de aplicaciones móviles. Flutter es un SDK creado por Google que permite desarrollar aplicaciones para varios sistemas desde un mismo código. Esto aporta ventajas claras a la hora de desarrollar aplicaciones con Flutter, pero las aplicaciones desarrolladas con Flutter plantean una serie de retos a la hora de auditarlas. Las técnicas que normalmente son empleadas para hacer auditorías en aplicaciones móviles, basadas en ingeniería inversa o interceptación del trafico no resultan aplicables en aplicaciones Flutter. En esta charla se presenta los distintos caminos que seguimos durante el desarrollo de un proyecto de auditoria en el que tuvimos que enfrentarnos a aplicaciones Flutter, los ‘fails” y cómo conseguimos finalmente resolver los retos que nos plantearon dichas aplicaciones. |
| 10:20 – 10:30 | Lightning talks Bloque 1 |
| 10:30 – 11:00 | Descanso Networking Networking |
| 11:00 – 11:45 |  OSINT: Metodología y técnicas en investigaciones Carlos Seisdedos – Analista Ciberinteligencia La recopilación de información se ha vuelto esencial para diversas disciplinas, desde la ciberseguridad, inteligencia económica, ciberinteligencia hasta la investigación. OSINT tiene como objetivo explorar cómo explorar cómo potenciar nuestras capacidades en dichos campos. Únete a nosotros en un emocionante viaje hacia el fascinante mundo del Open Source Intelligence (OSINT). En esta charla de 45 minutos, exploraremos a fondo la metodología y las técnicas esenciales utilizadas en investigaciones, revelando cómo el acceso a fuentes abiertas de información puede transformar la manera en que abordamos la recopilación de datos. Desde la identificación de fuentes confiables hasta la implementación de herramientas especializadas, desglosaremos paso a paso los principios fundamentales detrás de una investigación efectiva utilizando OSINT. Descubriremos cómo analizar datos en línea de manera crítica, identificar tendencias, y crear perfiles detallados con información pública disponible. A lo largo de la charla, exploraremos casos de estudio reales y ejemplos prácticos para ilustrar cómo OSINT puede aplicarse en una variedad de contextos, desde la seguridad cibernética hasta la inteligencia empresarial y la investigación de fraudes. ¡Prepárate para desbloquear el potencial de OSINT y llevar tus habilidades de investigación al siguiente nivel! Esta charla es imprescindible para investigadores, profesionales de la seguridad, periodistas y cualquier persona interesada en aprovechar al máximo el vasto panorama de información disponible en línea. |
| 12:00 – 12:45 |  Optimizando la Búsqueda Automática de Vulnerabilidades en Aplicaciones Web Eduardo García Melia – Pentester Strike. Creador BurpBounty Esta charla se enfoca en cómo los profesionales de seguridad pueden optimizar la búsqueda de vulnerabilidades en aplicaciones web. Abordaremos estrategias efectivas para minimizar falsos positivos y maximizar la eficiencia en el uso de herramientas de automatización. Se discutirán técnicas para afinar las pruebas de seguridad, incluyendo la optimización de solicitudes y la implementación de procesos semi-automatizados, así como tácticas avanzadas para la detección de WAF y el empleo de escáneres adaptativos. Los participantes aprenderán a: – Mejorar la eficiencia en la identificación de vulnerabilidades críticas. – Reducir significativamente el tiempo invertido en análisis de falsos positivos. – Aumentar la precisión y relevancia de los resultados de los escáneres de seguridad. – Incorporar técnicas de pentesting web avanzadas en sus procesos de auditoría. Este conocimiento no solo optimiza el proceso de búsqueda de vulnerabilidades sino que también empodera a los profesionales de seguridad para realizar evaluaciones más profundas y precisas, elevando el estándar de seguridad en aplicaciones web. |
| 12:45 – 12:55 | Lightning talks Bloque 2 |
| 13:30 – 15:00 | Almuerzo Habrá paella mixta y vegana 🥘 4,50€ o 6,50€ con bebida, para que no tengas que desplazarte. |
| 15:30 – 16:15 |  Evasión de restricciones USB básicas y avanzadas Joel Serna Moreno – Ingeniero de Pentest IoT/ICS Durante la charla se mostrará diferentes protecciones implementadas en los programas o herramientas que pretenden evitar ataques BadUSB y el proceso realizado para evadir cada protección. Una parte de la charla se enfocará en mostrar como funcionan algunas herramientas open source desarrolladas por investigadores de seguridad con el fin de que los asistentes entiendan el funcionamiento de las mismas. Por último se mostrará las evasiones de algunas herramientas más profesionales, por ejemplo el módulo BadUSB detection de Kaspersky Endpoint Security. Adicionalmente, se mostrará la implementación de un ataque en un entorno real, donde el atacante no conoce los periféricos USB conectados al equipo ni el software de protección instalado |
| 16:30 – 17:15 |  Kitsune: One C2 to control them all Joel Gámez Molina – Senior Red Team Cybersecurity Expert Una de las herramientas más importantes y utilizadas en auditorías y en campañas de Red Team, son aquellas a las que denominamos como “Command & Control”. Actualmente, existen cientos de ellos. Pasando por públicos, privados, gratuitos o de pago. Algunos son tan famosos como Cobalt Strike, mientras que otros, solamente son conocidos por sus propios creadores. El principal problema de estas herramientas, es la falta de compatibilidad entre sí. A pesar de compartir muchos elementos comunes, como protocolos de comunicación o métodos de despliegue y ejecución. Tras trabajar en diferentes herramientas que pretenden unificar el caótico mundo de las shells y las webshells, este ambicioso proyecto nace de la misma necesidad y pretende agilizar y mejorar el trabajo de los pentesters, agrupando diferentes herramientas y técnicas en una única interfaz gráfica. Además, Kitsune es capaz de incorporar nuevas funciones a herramientas ya conocidas. Algunas de ellas, nunca antes vistas en otros C2. Si alguna vez has tenido demasiadas terminales abiertas, has olvidado dónde estaba una shell remota, o has echado en falta una GUI para tu herramienta favorita, esta charla es para ti. |
| 17:15 – 17:45 | Lightning talks Bloque 3 |
| 17:45 – 18:15 | Networking Descanso |
| 18:15 – 19:00 |  HACK-INT Mercedes Muñoz – Pentester Telefónica Tech & Securiters En las auditorías de seguridad una de las fases más importantes es la obtención y la recolección de información, pero antes de establecer contacto directo con el objetivo a analizar, sabemos que es posible identificar información que está expuesta en internet, y aquí es donde vamos a jugar. ¿En qué tendremos que fijarnos?, ¿cómo podremos obtenerlo? |
| 19:15 – 20:00 |  HoneyTraps: Descubrir vulnerabilidades de macOS como Winnie The Pooh Carlos Polop – Jefe de equipo HackTricks Winnie The Pooh: “Oh, hola amigos. Hoy me gustaría compartir algo emocionante. ¿Han oído hablar de las vulnerabilidades en los sistemas operativos macOS? Es como buscar miel, pero en el mundo de la tecnología.” Piglet: “¿Vulnerabilidades, Pooh? Eso suena un poco complicado. ¿Cómo podemos entenderlo?” Winnie The Pooh: “Bueno, Piglet, vamos a empezar con una introducción a algunos sistemas de protección de macOS. Así, todos podremos seguir la charla sin problemas. Es como asegurarnos de conocer bien el bosque antes de buscar miel.” Tigger: “¡Eso suena genial! ¿Y qué pasa después, Pooh?” Winnie The Pooh: “Después de eso, Tigger, nos adentraremos en un estudio detallado de informes sobre vulnerabilidades en el userland de macOS. Hemos notado que algunas vulnerabilidades se explotan de manera muy similar. Es como cuando encontramos las mismas huellas alrededor de diferentes árboles de miel.” Piglet: “¿Y cómo nos ayuda eso, Pooh?” Winnie The Pooh: “Ahí es donde entra en juego algo que llamé ‘HoneyTokens’, Piglet. Son como señuelos o trampas digitales que ponemos para atrapar vulnerabilidades sin tener que buscarlas específicamente. Nos hacen más eficientes, como si la miel viniera a nosotros.” Tigger: “¡Eso suena divertido y también muy útil! ¿Será complicado?” Winnie The Pooh: “No te preocupes, Tigger. La charla será una mezcla de teoría y práctica, perfecta tanto para aquellos que son muy experimentados en seguridad como para los que recién comienzan. Será como una aventura en el Bosque de los Cien Acres, explorando, aprendiendo y, por supuesto, buscando miel… o en este caso, vulnerabilidades.” Piglet: “¡Qué emocionante, Pooh! Estoy seguro de que aprenderemos mucho.” Winnie The Pooh: “Así es, amigos. Y lo más importante, lo haremos juntos, descubriendo y aprendiendo en cada paso del camino.” |
| 20:00 – 20:10 | Lightning talks Sorteo XM Cyber |
| 20:10 – 20:30 | Clausura Cierre de la UAD360. Foto familia 📸 |
Aunque he dicho que no iba a hablar de las “Lightning talks” si me gustaría mencionar una en especial, insisto sin menospreciar ninguna de las demás, pero por tratarse de un CTF del cual ya he hablado en este blog anteriormente, la charla vino de la mano de Raquel Gálvez (Hispasec) y del famoso CTF UAM que este año ha empezado a tener una temática que se transmite de reto en reto y que ha pasado a llamarse: Capture de Famous Bandit!
CTF en el cual empecé a participar, pero que tuve que dejar por falta de tiempo, dado que requieren cierta pericia para obtener resultados y evidentemente a unos nos cuesta más que a otros, pero que son muy divertidos y ánimo a todo el que quiera participar (dado que se puede entrar en cualquier momento), dado que los retos anteriores están publicados sus respectivos writeups y permiten ponerse al día con el reto de mes en curso.
El evento además de un gran equilibrio en las temáticas de las ponencias, dado que hubo un poco de todo, quizá por poner alguna pega faltaba algo de seguridad defensiva y forense digital (aunque creo que estaba previsto, pero no pudo ser y por eso salió de programa). Fue tan ameno, que el día pasó en un visto y no visto, casi sin que nos diéramos cuenta los asistentes, ya se había terminado y estábamos con la foto de familia de final del evento.
En conclusión, un día muy divertido, con mucho ciber y en buena compañía. Gran trabajo en la organización del evento y en toda su consecución, para mi un éxito total.