camus el hacker y el escenario alternativo

Tras haber visto superficialemente el asunto y habido tenido algunas conversaciones, la verdad es que no me he podido resistir y voy a tener que construir algo al respecto. De todos modos, como siempre, el objetivo de este blog es aprender algo, ver con otros ojos, no necesariamente acertar.

Viene Camus el hacker y twitea algunas fotos, tiene algunos cruces, lo agarran o se deja agarrar, niega, no importa.


Hay un post en taringa [1] con comentarios que son muy interesantes. Primero opina gente que parece entender algo de seguridad informática y lo caracteriza como un tarado.

Luego hay un comentario de un tal @cyniko, que aunque quizás sea en extremo conspirativo, me parece totalmente factible. No concuerdo en que esté todo armado, no veo la necesidad de armar una banda narco con gente de la farándula y luego reventarla. Si es factible que la banda exista y se aproveche a fondo que haya sido descubierta.

Lo que @cyniko propone es que en realidad es una jugada de alguna productora multimediática, que es un gil al que le tiraron unos pesos y unas fotos para alimentar la fogata del circo/escándalo permanente que nos distrae de las cosas importantes.

Un amigo mío que es famoso, cuando recién estaba empezando me comentó que la mayor parte de los chimentos, que tal se pelea o se acuesta con tal es puro circo. Le he preguntado recientemente y no ha cambiado de opinión. Esto bien podría encuadrarse en esa visión.

Al comienzo, otra noticia importante era que la policía no quiso meterse mucho[2], compatible con que no querrían quedar pegados en una maniobra de publicidad, pero eso parece que ha cambiado.


Sea un autentico criminal informático, un héroe antifarándula, un bobo o un cadete, lo que me interesa es como se obtiene el material.

Escenario tradicional

Un escenario posible es que la persona haya caido víctima de un phishing y el atacante haya podido instalar un programa en su computadora para controlarla. Una vez logrado esto, pudo haber bajado todas las fotos como por ejemplo la del muchacho sosteniéndose la salchicha. Tambien puedo sacar fotos nuevas con la webcam como el caso de la chica usando la toalla. Esto es  factible, se hace con un programa del cual hay libros escritos y se baja gratis y legalmente de Internet. Para que no sea necesario que el atacante sepa mucho, basta con que el software de la máquina esté lo suficientemente desactualizado.

Ahora bien, para poder atacar a todas esas persona ya hace falta un cierto talento, pero no es indispensable. Una vez que lográs que caiga una, la usás para facilitar que caigan las otras, lo he visto y es muy efectivo.

Escenario alternativo

El otro escenario: hace no mucho leí un artículo[3] acerca de un estudio que dice haber descubierto que la propagación de la información en Internet no necesariamente alcanza a todos, que pueden quedar "bolsones" desconectados, en constraste con la propagación de enfermedades, que es un modo como se modela la difusión de información en una red, todo esto según el artículo.

Démoslo por cierto y hagamos el camino inverso: en Internet pueden haber bolsones de información inalcanzables, no por que estén protegidos por firewalls y mecanismos de autenticación, lo que se suele llamar darknet o porque no esté indexada, deep web, sino por una barrera lingüística.

Si uno sólo sabe español y busca algo, dependiendo de como le funcione la mente y un conocimiento previo, no va a tener dificultades con lo que esté en español. Se podrá más o menos manejar con italiano, portugués, francés. Un poco menos con inglés y alemán. Menos aún con polaco, holandés, sueco. En el momento en que cambie de alfabeto, con griego, ruso o árabe ya está en el horno y al pasar a los ideogramas chinos en el infierno.

Ahora bien, el mundo está lleno de personas intentando explotar las vulnerabilidades de todas las máquinas que están conectadas a Internet. En el momento en que logra alguno entrar a la máquina de un famoso de acá y le saca sus recuerdos más íntimos y un par de fotos, eso va a parar a un foro en ruso, donde nadie está al tanto de la celebridad de la víctima. Es muy improbable que alguien que conozca a la víctima pueda encontrar ese material, pues no va a tener ninguna etiqueta ni texto que lo relacione con la identidad, va a ser bastante anónimo.

Así que hay que armarse de tiempo y paciencia, poner cosas como  Обнаженная женщина веб-камера y quemarse los ojos buscando un rostro conocido.

Como defenderse

No te saques fotos ni videos que no quieras que nadie vea. Si te gusta verte, comprate una cámara sin wifi, que grabe directo a dvd o rescatá la que graba a vhs y evitá perder los dvds y cintas. Los dvds velos en el reproductor. No uses un smartTV, son computadoras conectadas a Internet con un sintonizador de TV y una pantalla grande. En pocas palabras, evitá digitalizar tus secretos y si no lo podés evitar, no los pongas al alcance de Internet.

Hay que aprender de los errores, si son ajenos, mejor.

Durante una capacitación de seguridad informática a la que asistí hace poco dictada por Nahuel Grisolía de Cinta Infinita [4], vi algo bastante normal. Uno de los asistentes tenía una cinta sobre la webcam. Esta persona lo hacía por que a veces no se puede confiar mucho en las personas que te rodean y estando en la misma red es más fácil explotar alguna vulnerabilidad que en Internet.

Mi evaluación de amenazas en ese caso no puso énfasis en quienes me rodeaban si no a lo que había de valor en esa capacitación o en cualquier otra similar, que es lo que se dice y no está en el material impreso o digital. Las anécdotas tanto del que expone como las de los que participan. Me parecía más provechoso para un atacante tener comprometida una máquina y obtener el audio de la capacitación en lugar de unas pocas imágenes de un boludo mirando por encima de la pantalla.

Adaptándolo al tema actual, la verdad es que las fotos y videos en pelotas no muestran casi nada que estas víctimas no muestren de todos modos cuando les pagan, sólo que el atacante no suele usar photoshop.

Abriré un breve paréntesis académico: la distinción entre datos e información. Los primeros no tienen significado, los segundo si. Por ejemplo

+6000, -190, -200, -500, -5000, -5, +6000,

no significa nada, pero si te digo que es el resumen de operaciones de una cuenta bancaria, sí significa.

Por más que una imagen vale más que mil palabras, las fotos proveen poca información. Si, todos nos secamos con una toalla. Si, todos nos toqueteamos. Si, todos nos revolcamos. Ahora bien, si te estás revolcando con quien no tenías que hacerlo, ahí empieza a haber información. El audio puede traer mucha, mucha información. Puedo estar contando con quien me revolqué que no debía, que compré droga y a quién, que tengo o sé de algún negociado, cosas que no debería escribir en un mail y prefiero conversar por teléfono mientras navego.


La evaluación previamente mencionada condujo a un proyecto abandonado antes de empezar que ahora vuelve a tomar protagonismo.

La idea es conectar un micrófono externo mudo, no he tenido tiempo de investigar si con poner un conector alcanza o hay que poner una resistencia o qué.

El conectar un micrófono externo por lo general anula el micrófono incorporado y eso lo hace por medios físicos, es un switch que se mueve, no puede ser burlado por software del mismo modo que obstruir físicamete la webcam anula efectivamente el video. Aun así, con la cámara tapada alguien podría medir el nivel de radioactividad[5], pero bueno, no se puede todo.


Si te interesa saber de anonimato, seguí leyendo

---------

[1] http://www.taringa.net/posts/info/17512281/La-famosa-Mentira-de-Camus-Hackers.html

[2] http://www.clarin.com/sociedad/famosos-espiados-dicen-denunciaran-hacker_0_1073892660.html
[3] https://medium.com/the-physics-arxiv-blog/1dd050e875e0
[4] http://ar.linkedin.com/in/nahuelgrisolia, http://cintainfinita.com
[5] http://arxiv.org/abs/1401.0766