WSL: Windows Subsystem for Linux. Artículos de Microsoft

WSL es el nombre del subsistema de Windows que permite la ejecución de binarios originales de Linux. Para lograrlo, Windows emplea una serie de capas de emulación encargadas de cargar los binarios de Linux, crear los procesos, traducir las llamadas al sistema y traducir el acceso al sistema de ficheros. Microsoft ha publicado una varios artículos acompañados de vídeos donde describen como han implementando toda esta funcionalidad.

• Windows Subsystem for Linux Overview
• Pico Process Overview
• WSL System Calls
• WSL File System Support

Todas las entradas sobre este tema se encuentran archivadas en la url wsl. Ahí se podrá comprobar la existencia de nuevas entradas sobre el tema.

Cuentas de github comprometidas

(vía Slashdot) Un número indeterminado de cuentas en github - uno de los repositorios de código fuente y gestión de proyectos más grandes de Internet - han sido comprometidas debido al uso de las mismas contraseñas en un sitio de terceros, hasta ahora desconocido. Las cuentas de github comprometidas compartirían contraseñas y usuarios con ese sitio. github está contactando con los usuarios cuyas cuentas han sido comprometidas para que cambien las contraseñas de las mismas.

Parece ser que los repositorios de código no han sido alterados, pero no estará de más que se compruebe el contenido de los mismos porque este ataque sería la forma más sencilla de dejar una puerta trasera oculta en el código de aquellas cuentas comprometidas.

Este tipo de ataques nos debe de recodar unas normas básicas sobre seguridad de las contraseñas:

• No compartir contraseñas entre distintos sitios, aunque hay que reconocer que es difícil no hacerlo.
• Usar autenticación de doble factor si está disponible.
• Cada cierto tiempo, cambiar las contraseñas de los sitios en los que tengamos cuenta.
• En caso de un ataque a un sitio con acceso no autorizado, no usar una contraseña que consideremos definitiva, puesto que puede ocurrir que todavía no se haya cerrado el problema de seguridad que causó la brecha de seguridad. Estar atentos, si se puede, a los registros de acceso para controlar cualquier actividad sospechosa.

APFS: Un nuevo sistema de ficheros para MacOS X (ahora macOS Sierra)

Los años no han pasado en balde por HFS+, el sistema de archivos introducido en 1998 en la versión 8.1 de MacOS (classic) y que desde entonces ha sido el estándar en todas las versiones de MacOS X. Aunque hace unos años hubo un tímido intento de usar ZFS, llegando MacOS X 10.5 (Leopard) a tener soporte de lectura, no se siguió desarrollando. Sin embargo,las limitaciones existentes en HFS+ han llevado a Apple a desarrollar un nuevo sistema de ficheros, APFS con el objetivo de que MacOS disponga de un sistema de ficheros moderno dejando atrás los problemas de HFS+.

En APFS la unidad de almacenamiento básico es un contenedor (container) dentro del cual hay varios volúmenes o sistemas de ficheros, los cuales tienen sus propios espacio de nombres. Estos volúmenes comparten todo el espacio libre presente en el contenedor. Un contenedor , según la documentación de Apple se mapea a una entrada en la tabla de particiones GPT.

APFS expande sus estructuras internas para dar soporte a sistemas de fichero que puedan contener muchos más entradas y de tamaño superior, optimizaciones para que tenga más rendimiento en discos SSD, cifrado de datos más granular o un sistema de copy on write para que las actualizaciones sean resistente a errores, sustituyendo al journaling

Pero lo que hace potente a este nuevo sistema de ficheros son características como el clonado de ficheros y directorios, que permite o los snapshots. Características similares a estas existen en Linux en btrfs

Parece ser que Apple quiere publicar las especificaciones del sistema de ficheros para que utilidades de tercero puedan acceder a los discos que usen este nuevo formato. Veremos en qué queda.

Me pregunto si Dominic Giampaolo, que creó el sistema de ficheros para BeOS también está detrás de este diseño. Para quien tenga curiosidad, publicó el libro Practical File System Design with the Be File System

Alejandro no ha ido a la cárcel por 79,20 euros

Esta mañana, en un bar, he visto un trozo de un programa de Antena 3 donde hablaban que una persona iba a la cárcel por haber pagado 79,20 euros usando una tarjeta falsificada. Aparte de ver a Revilla desbarrando, no le di mucha importancia a este asunto hasta que por mi TL apareció este disparate de artículo de opinión de Martín Algarra. Entonces decidí intentar localizar la sentencia, porque si algo que tenía claro es que nadie va a la cárcel por esa cantidad como está titulando toda la prensa española.

Cuando uno localiza la sentencia por la cual ha sido condenado Alejandro González - los nombres en la misma son ficticios pero la de los abogados no, es fácil ver a quien corresponde Alejandro - , uno se da cuenta que ha sido condenado por:

• Delito de falsificación de tarjetas de crédito y débito del artículo 399 bis .1 CP al ser mas favorable.
• Delito continuado de estafa de los artículos 248 , 249 y 74 del CP

Lo interesante de este caso es cuando vas a la prensa a leer sobre el tema. Por ejemplo, El Mundo titula Entra en prisión el joven condenado a 6 años por pagar 79,20 euros con una tarjeta falsa mientras que El País , Granada pide el indulto del condenado por pagar 80 euros con una tarjeta falsa en 2010. Aquí las capturas de ambos titulares:

Un simple enlace a la sentencia hubiese bastado para que los lectores tuviésemos una visión más informada de la noticia. Pero no, de los titulares y cuerpos de las noticias parece que se hace hincapié de que ha sido condenado por pagar ese dinero con la tarjeta falsa, cuando no es real. Es más, es extraño que no aparezca la sentencia cuando es algo habitual en otros casos.

Lo peor es, es que siendo un poco mal pensando, no aparecen estos datos porque no conviene. Es decir, los periodistas piensan que se nos debe hurtar esa información y que la versión correcta es lo que se está plasmando en el artículo. No me creo que en las redacciones de El País o de El Mundo no haya gente que busquen la referencia a la sentencia y la cuelguen como un enlace. Quizás, porque ya han tomado partido en cual debe ser la interpretación de la historia.

Ahora, si nos dan información sesgada en este caso, imaginaros que ocurre cuando se habla de política o corrupción. Y es una lástima,porque creo que hay periodistas que hacen bien su trabajo.

PD: Es interesante leer los comentarios de los indignadísimos internautas a esta noticia: excepto algún despistado que se ha molestado en buscar la información, todos hablan de que este chico va a la cárcel por 80 euros mientras que los políticos roban millones. Y esto ocurre porque la prensa está en este juego.

Capturas de tráfico de malware

Hace algún tiempo tuve la necesidad de probar que unas configuraciones de los IDS Suricata y Snort funcionaban correctamente, generando las alarmas y las capturas de los paquetes de manera adecuada. Una solución sencilla es aprovechar las opciones que tiene tanto Suricata como Snort para leer capturas y analizarlas. En ambos casos, la opción para especificar el fichero es -r y no es necesario ejecutarlo como root, ya que no se abren interfaces para capturas.

suricata -r file.pcap -c suricata.yml
snort -r file.pcap -c snort.conf

A continuación está alguno de los blogs que busqué para obtener capturas de tráfico. Muchas de ellas están en ficheros zip protegidos por contraseña, para poder bajarlos sin que los bloqueen antivirus o proxies.

• El blog Contagio (malware dump) tiene multitud de enlaces a malware y capturas de tráfico. Estuve mirando la colección de unas mil capturas que tienen.
• Capturas de Malware Traffic Analysis, un sitio especializado en capturas de tráfico de diferentes muestras de malware. Además, hay varios tutoriales para aprender a analizar estos bichos.
• El National CyberWatch Mid-Atlantic Collegiate Cyber Defense Competition (MACCDC) es un concurso centrado en aspecto de protección de redes. Durante el mismo se graba el tráfico gvenerado y las capturas están disponibles para quien quiera usarlas.
• Un clásico son las capturas del CTF de la Defcon
• Nettresec tiene una sección en la web con multitud de enlaces a pcaps públicos que pueden usarse.
• No estrictamente capturas de tráfico, pero si malware diseñado para aprender a analizarlo, del blog Running the Gauntlet, escritos por Andrew Honig y Mike Sikorski

Advertencia

Estos enlaces llevan a capturas de tráfico en formato pcap de malware. Un error en el manejo de los mismos puede dar lugar a la infección de los ordenadores en los que se está trabajando. Cuidado al manjar estas capturas.