Esta mañana mi despertador sonava a las 5:30, he pasado la noche en Lleida para coger el Ave de las 7, con un poco de retraso, finalmente el tren a llegado y en poco mas de dos horas estaba ya en Madrid, como eran las 9:20 he decidido subirme a un taxi para no complicarme la vida y llegar directamente al Hotel Auditórium, donde se celebra la RootedCON 2015, me he registrado y he subido a la habitación a las 9:45 para dejar mi maleta y bajar con libreta y bolígrafo al auditorio, allí me he encontrado con una cola de más de 200 personas que esperaban, al igual que yo, ser acreditadas. Finalmente a las 10:40, con 10 minutos de retraso he podido asistir a la primera ponencia de la mano de David Barroso.

Las ponencias:

Infeccion en BIOS, UEFI y derivados desde el mito a la realidad por David Barroso

Esta primera me ha confirmado un temor que desde hace tiempo me daba vueltas a la cabeza, ¿realmente se puede infectar una BIOS? En otras palabras, si tenemos una BIOS infectada por mucho que instales de nuevo el sistema operativo este se volverá a quedar infectado y lo peor de todo, los antivirus no detectan BIOS infectadas, además no solo se infectan BIOS de Placa Base sino que consiguen infectar BIOS de Tarjetas de Red, Graficas y incluso las del Disco Duro.

¿Entonces que podemos hacer al respeto? Lo primero es disponer de una placa base con Securebot y aun asi muchas se pueden seguir infectando, actualmente no existen muchas herramientas para protegernos.

David Barroso nos aconseja volcar la BIOS y hacer una copia de seguridad de la misma y periódicamente realizar esta acción para comprobar si se ha alterado comparando la imagen actual de la BIOS con la copia de seguridad.

Es un tema muy interesante y me he quedado con una buena base para investigar mas sobre como nos podemos proteger ante estos peligros.

LECr* Service Pack 2 (* Ley de Enjuiciamiento Criminal) por Jorge Bermúdez

Jorge Bermúdez es un fiscal que presentó una ponencia en el anterior RootedCON y esta fue votada como la segunda mejor de toda la edición del 2014, asi que no podía faltar en esta edición, nos explica que se esta trabajando para aprobar este año una nueva Ley de Enjuiciamiento Criminal que ayudará a la fiscalía y las fuerzas del estado a luchar contra los cyber crímenes con mayor eficacia y disponer de mayor acceso a los elementos susteptibles de investigación, esto causa mucha controversia, pues se puede espiar a un no culpable para cruzar datos sobre una investigación y este va a perder su derecho a la intimidad, aunque Jorge ha dejado claro que solo van a usar estas herramientas para luchar contra casos graves, como la pederastia, además con la nueva ley el policía va a poder infiltrarse «de manera digital» a las redes criminales cyberneticas, asi como lo hacen en los casos de infiltración en redes de distribución de droga, entre otras novedades.

Bug Bounties 101 por Christian López

Lamentablemente por indisposición del ponente no se ha podido llevar a cabo, asi que he aprovechado para acostarme un rato, lo necesitaba 😛

Turla: Development & Operations the bigger picture por Andrzej Dereszowski

Andrzej nos ha contado como el Malware Turla lleva infectando ordenadores y servidores desde el 2008 y hoy en dia sigue operando, su funcionamiento es un poco complejo, se trata de un APT (Amenaza persistente avanzada) que se enlaza con diferentes librerías, es capaz de mantenerse oculto sin necesidad de elevarse como administrador, su funcionalidad es proporcionar acceso a comunicaciones ocultas y se puede detectar con un netstat ya que en el caso de estar infectado aparecen conexiones donde no deberían, se esta investigando quien o que hay detrás.

How i met your eWallet por Yaiza Rubio y Félix Brezo

Yaiza y Félix nos cuentan como funcionan las carteras de las monedas criptográficas como Bitcoin y como se pueden comprometer si no se usa una clave de seguridad compleja, esta, se puede ver comprometida y es posible vaciarla con tan solo este dato y sin poseer el fichero del wallet, de hecho lo demostraron creando 3 cuentas con una cantidad infima de Bitcoins usando palabras de seguridad muy débiles y dos fueron robadas en tan solo 10 segundos la tercera tardadon alrededor de 3 horas al ser una palabra menos usual. También nos cuentan que las carteras on-line también se pueden ver comprometidas y de hecho se han visto comprometidas, me ha sorprendido que no citaran el caso de MtGox, empresa Japonesa dedicada al mercado de Bitcoin a la que le vaciaron las cuentas por un problema de seguridad en su sistema y esta tuvo que cerrar.

Mesa redonda: ¿Tiene que dar alguien el carnet de hacker?

Esta ha sido la parte que mas me ha gustado de la jornada, donde Julio San José Sánchez, Capitan César Lorenzana González, Israel Córdoba, Jorge Davila Muro, Daniel Solis, Andrés Tarascó y Román Ramírez han debatido sobre la reforma de la nueva Ley de Seguridad Privada en la Informática la cual quiere controlar quien es capaz o no de ofrecer servicios de seguridad informática a las empresas, pasando unos filtros, es decir, quieren obligar a las empresas que ofrecen estos productos sacarse «el carnet» o «la licencia» para realizar auditorias de seguridad o simplemente instalar y administrar un antivirus, cosa que según mi punto de vista no tiene ninguna utilidad pues esto va afectar negativamente a las PYMES, tiendas de informática, profesionales independientes, etc.

Se han expuesto los pros y contras sobre esta controvertida propuesta. Yo personalmente doy un NO rotundo a que nos hagan esto, pues como siempre, los mas débiles vamos a salir perjudicados y solo las grandes consultoras podrán subsistir, perderemos competitividad y los sueldos se pueden ver afectados.

No puedo resumir en pocas líneas los 90 minutos de debate, hay quien piensa que esto da cierta tranquilidad a la ciudadanía y hay quien opina que esto nos hará daño a todos, incluso el software libre se puede ver afectado por esta ley. ¿Qué opináis al respeto?