Hacker en construcción...

A menudo imagino (por qué a mí me pasó, y me sigue pasando) que mucha gente que quiere comenzar en este mundillo del hacking y la seguridad informática, no sabe por dónde empezar, de hecho, yo mismo todavía sigo “empezando a empezar”, porque una cosa es practicar en casa, y otra muy distinta hacerlo en el mundo real.

Así que la gran mayoría, se deciden primero por estudiar (si pueden) una carrera de informática o “telecos” (aunque esta es mucho más compleja y difícil, según tengo entendido), incluso algunos (los menos), prueban con las matemáticas, ya que están mucho más relacionadas con temas informáticos, de lo que muchos podríais pensar, y si no preguntadle a Javier 🐝 beBee …  Lo mismo dice que no tiene nada que ver o muy poco, a saber… Jajaja.

Yo no tengo ningún estudio universitario, y todo lo que “sé” de “informática”, bien o mal aprendido, ha sido aprendido de forma autodidacta, y también obligado por las circunstancias en muchas ocasiones, aunque tengo algún que otro “certificado oficial” por ahí, pero desde luego, esto es algo que me gusta, y eso lo convierte en algo menos tedioso, y creedme que puede ser muy espeso y muy poco amigable.

Imaginad entonces, lo que debe ser estar en el departamento de seguridad informática de una empresa cualquiera, yo no he estado nunca, pero seguro que el stress y la presión son algo casi constante, ya que cualquier cosa (incidencia) que ocurra hará que la atención y la crítica se ciña sobre vosotros, que deberéis encontrar la brecha de seguridad, o peor aún, a ese compañero, de este o aquel departamento, que se “ha cubierto de gloria”, al ignorar una recomendación vuestra, o peor aún, al hacer algo completamente indebido, algo que puede llegar a ser y seguramente lo será, muy duro, creedme, sencillamente porque todos, absolutamente todos, hemos empezado no sabiendo nada, y teniendo meteduras de pata apoteósicas, y si no preguntad por ahí, a los que hoy son verdaderos genios en esto de ser “sheriffs informáticos”.

Os contaré algo (una tontería) que me pasó hace tiempo, y que pese a ser de cajón, y saber que no debía hacerlo, la desesperación me hizo arriesgarme, y metí la pata (soy premio Nobel en meteduras de pata a título vitalicio).

Hace un tiempo, al actualizar un antiguo PC y poner un nuevo sistema operativo, después de horas de copias de seguridad, y de reinicios, y algún fallo del sistema, por fin el nuevo sistema estaba listo, y funcionando sin problemas (en teoría), pero decidí comprobar el hardware en famoso “administrador de dispositivos”, y pude ver que tenía un problema con un driver del lector/grabador de CDs, era un portátil viejo y mal cuidado, y la grabadora no era la original, y al cambiarla, mi amigo puso una barata y desconocida.

Yo le dije que tranquilo que yo se lo solucionaba en mi casa encontrando el controlador adecuado. Si algo saben muchos informáticos (o eso creo yo), es que los drivers (software específico que hace que funcione un dispositivo o componente concreto de nuestro PC) pueden ser a veces un verdadero problema, y que nunca hay que confiar en descargarlos o conseguirlos de “forma fácil”.

Pues bien, después de todo un fin de semana probando unos y otros de los muchos controladores que encontré, ninguno era compatible, todos daban error, incluso llegué a editar una DLL de un driver de la misma marca y de un modelo muy parecido, para “engañar al sistema”, cambiando las líneas de código donde se nombraba el modelo, y el sistema operativo compatible, pero no hubo forma, (como era de esperar).

Entonces cometí el error, al final hice clic en un enlace sospechoso, que me prometía el controlador que me faltaba, y os aseguro, que después de descargar el archivo, y al intentar instalarlo, en menos 30 segundos, se empezaron a descargar en el PC cientos y cientos de páginas de juegos y emoticonos en idioma chino. Para cuando conseguí parar el proceso, ya que era un bucle, y pude analizar el PC con un conocido software anti-malware, éste me detectó cerca de 30.000 programas basura y modificaciones no deseadas, que buscaban colapsar el sistema y llenar el disco duro de “mierda” (con perdón de la expresión).

Al final conseguí eliminar la gran mayoría, pero como yo hago las cosas como si fueran para mí, volví a reinstalar todo desde el principio, y eso me supuso toda la noche del sábado sin dormir ni un solo minuto, con el formateo a bajo nivel del disco duro, e instalando todo otra vez y paso a paso, reiniciando siempre después de instalar cualquier cosa, y analizando el registro, una y otra vez, aunque no fuera necesario, etc.

Os aseguro que ese PC nunca había funcionado tan bien, varias personas que conocían a mi amigo, me lo dijeron, aunque él nunca me dijera nada a mí.

Me estuvo bien empleado, porque yo “sabia” que me la iban a liar. Y así ocurrió. Y esa es precisamente el arma más letal de los malos, juegan con nuestras creencias, necesidades, y también con la desesperación.

El lunes quedé con mi amigo, le di el portátil funcionando, ya que conseguí que un programa de actualización de drivers encontrara uno compatible, nos tomamos un café me dio las gracias, y cuando se iba, mi amigo me preguntó si había tenido muchos problemas con la grabadora, ya que la cambió, por una usada que le dio alguien, cuando la suya dejó de funcionar. Le dije que no, pero que me había costado “un poco” encontrar un controlador que funcionara, y me fui a casa.

No le cobré nada (quedaron y aún están pendientes unas copas) y me fui a casa muerto, y los ojos rojos e hinchados (entonces llevaba lentillas), pero con la satisfacción de haber conseguido lo que mi amigo “pensaba”, que no podría solucionar, porque la verdad es que siempre tuvo problemas con la grabadora, y nadie consiguió nunca solucionárselo, pero él siempre evitó gastarse 30 euros en una nueva y por eso vino a mí, lo que está bien, salvo por el hecho de que no me dijo toda la verdad al principio, que de haberlo hecho tal vez y sólo tal vez, me hubiese evitado algún problema.

El informático es como el médico, siempre es mucho mejor decirle toda la verdad, aunque no sea un informático "real", y sólo sea un amigo que “entiende bastante de estas cosas”.

Como podéis ver nadie estamos a salvo, y los malos, se sirven de la ingeniería social, y de la desesperación de la gente para conseguir ese clic de más, o como yo lo llamo el “clic de la muerte” (muy “halloweenero”).

Por eso, y por otras cosas, los trabajos importantes en informática se siguen haciendo por consola, y línea de comandos, en un mundo lleno de interfaces gráficas, muchas cosas se siguen haciendo “a la antigua usanza” (aunque cada vez menos), porque es muy fácil equivocarse en un clic (un único fallo), pero en una sentencia eso no es posible (debes cometer más de uno) ya que ha de ser exacta, o no funciona, salvo que te equivoques de letra de unidad, y la habrás liado parda (casi con toda seguridad).

Cuando se empiezan a tocar programas relacionados con el tema del hacking y de la seguridad informática, muchos de estos programas o herramientas, son consideradas como virus, pero que en realidad no lo son (más o menos).

Los antivirus detectan que muchos de estos programas son virus debido a que potencialmente lo son, es decir que son aplicaciones usadas para explotar vulnerabilidades muy concretas y como tales lo detectan, y algunos de estos programas, incluso disponen su “almacén” del malware concreto que explota esa debilidad del sistema, que puede ser utilizado para el bien (auditoría), o para el mal, explotación de vulnerabilidades y acceso indebido a información corporativa de carácter restringido, por ejemplo.

Esto no quiere decir que estas herramientas sean peligrosas para vosotros, ni mucho menos, yo mismo tengo algunos instalados y mi ordenador va estupendamente. Lo que quiero decir con esto, es que antes de empezar a practicar, se deben cerrar los antivirus y distintas medidas de seguridad que tengáis instaladas en vuestro PC, o muchos no podrán ser instalados ni utilizados, incluso podrían ser borrados por el antivirus. Es algo básico y fundamental para empezar a hackear.

Por eso, lo mejor es empezar usando máquinas virtuales, que os permitan emular un determinado sistema, a la vez que “aíslan” vuestro equipo, haciendo más difícil que vosotros mismos os podáis ver afectados por “algo malo”.

Podemos emular el sistema operativo (normalmente una distribución de Linux) que vayamos a usar para realizar las pruebas o ataques en una máquina virtual, y luego también podemos emular en otra máquina virtual, la máquina o sistema a atacar, simplemente ambas máquinas virtuales se tienen que poder “ver”, por lo que han de estar dentro de la misma “red”. Y podemos conseguir en internet diversas máquinas virtuales con distintas vulnerabilidades que debemos explotar para conseguir realizar el ejercicio con éxito.

Y así sucesivamente, día tras día… No queda otra…

Hacedlo sin miedo, pero con cuidado. Haced copia de seguridad de vuestros datos importantes y tocadlo todo, sólo así se aprende, yo tuve una época, en la que cada cierto tiempo reinstalaba todo mi sistema, y así llegué a casi dominar y conocer mi PC y el sistema que usaba.

También debo deciros que, vosotros y sólo vosotros sois los únicos responsables del uso realizado de dichos programas, así como de todas las técnicas y procedimientos que se muestran en algunas páginas especializadas, cosa que hacen para enseñar la metodología y protocolos utilizados por los auditores de seguridad para vulnerar redes o sistemas, ya que, recordad que estos auditores, aparte de realizar los informes correspondientes, y de firmar todos los contratos de confidencialidad habidos y por haber, algunos incluso llegan a tener pólizas de seguro de responsabilidad civil (hay evitarse daños a si mismo), deben siempre demostrar de forma práctica y real (y de manera que el jefe pueda entender), que han podido hacer esto o aquello en la red o sistemas de la empresa que les han hecho auditar.

Si os queréis dedicar a la seguridad informática, bien para defenderos a vosotros mismos o vuestras empresas, necesitaréis conocer cómo actúan los malos desde la otra parte. No hay otro camino que practicar y practicar, pero sin hacer daño a nadie, y leer y leer, libros y libros, constantemente, ya que hoy en día la tecnología avanza que es una barbaridad, y los malos siempre irán un paso por delante (o varios).

Ahora ya sabéis algo más de mi día a día, delante de mi PC, leyendo, investigando, y haciendo pruebas, para intentar consolidar poco a poco algún conocimiento adquirido.

Espero que os haya gustado, y a los que quieran iniciarse en esta actividad con tanto futuro, les ayude a decidir... Sólo una cosa más, entrar en sistema ajeno, es como un video juego real, donde alguien entra en un mundo nuevo, debiendo sortear todas las amenazas y sistemas defensivos, para llegar a acceder a los "tesoros ocultos" de ese mundo.

Recordad que uno de los grandes problemas que tiene la seguridad infomática (a mi modo de ver) es que las personas con un elevado perfil técnico y práctico, no suelen ser capaces de explicar lo que hacen y porqué, en un lenguaje que podamos entender, y al revés, quienes sí tienen esa "facilidad de palabra", no suelen dominar la práctica y la técnica... Pero todos, absolutamente todos y cada uno de ellos, tienen un elevado nivel de conocimientos, que no dejan de adquirir y actualizar cada día, por que los malos siempre irán por delante de ellos.