HackInBo Sicurezza all’ombra delle Torri – Spring Edition 2016 + LAB

HackInBo_Lab_Edition

Sono aperte le iscrizioni, esattamente dalle 00 di questa notte, al famoso HackInBo anche quest’anno in versione Lab Edition! Uno splendido evento che offre un occasione per parlare e incontrare esperti del settore della Sicurezza Informatica in un’atmosfera rilassata e collaborativa cogliendo l’occasione per rimanere aggiornati sulle ultime tematiche riguardati l’IT-Security.

Il programma per sabato 14 Maggio è il seguente:

09.30 – 10,30 Ingresso Partecipanti
10,30 – 10,45 Saluti e Ringraziamenti Sponsor
10,45 – 11,30 Paolo Dal Checco
11,30 – 12,15 Antonio Parata
12,15 – 13,00 Marco Balduzzi
13,00 – 14,30 Pausa Pranzo
14,30 – 15,15 Davide Dante Del Vecchio
15,15 – 16,00 Michele Orrù
16,00 – 16,45 In Progress
16,45 – 17,30 Tavola Rotonda
17,30 – 18,00 Saluti Finali e Ringraziamenti

Per questa edizione cambia la location, saremo ospitati presso il Best Western Plus Tower Hotel in Viale Lenin 43 a Bologna in una sala eventi da 400 posti!

Mentre per domenica 15 Maggio dovremo ancora attendere per scoprire cosa ci aspetterà nei Laboratori di HackInBo!

Iscrivetevi su Eventbrite oppure visitate il sito ufficiale per qualsiasi informazione! Personalmente sarò presente per l’intera giornata di sabato 😉 e chissà magari anche domenica se riuscirò nuovamente a conquistare un posto per il laboratorio!

 

 

/0 Commenti/da
,

RaspiBO Talk: Simulazione di un Penetration Test

RaspiBO Simulazione di un Penetration Test

 

Visto l’inaspettato successo del precedente Talk a FoLUG, Mario Anglani che tutti conoscerete per la magistrale organizzazione dell’HackInBo mi ha chiesto di ripetere il talk al RaspiBO di Bologna il prossimo 23 Febbraio 2016.

Martedì sera riprenderò i temi già trattati a Forlì con una simulazione in tempo reale di un Penetration Test in modalità Capture the Flag, ho optato per una variante in stile CTF per rendere l’evento più interattivo e coinvolgere al meglio tutti i partecipanti così da sfruttare il nostro intelletto per carpire importanti dettagli e/o vulnerabilità.

Il sistema target che andremo ad attaccare durante la serata presenta diverse vulnerabilità, ognuna di essere ci permetterà di scoprire le cinque fasi principali di un Penetration Test:

  • Information Gathering;
  • Vulnerability Assessment;
  • Exploitation;
  • Privilege Escalation;
  • Maintaining Access.

Attraverso la distribuzione BackBox Linux attaccheremo in tempo reale il sistema target, inizialmente raccoglieremo informazioni importanti sul nostro obiettivo, successivamente individueremo e sfrutteremo le vulnerabilità e infine scaleremo i privilegi per ottenere i permessi di root e catturare la bandiera 😉

L’evento si terrà presso il Makerspace di RaspiBO, Casalecchio via Canonica 18 , alle 21 circa. Vi consiglio di guardare il sito ufficiale per qualsiasi ulteriore indicazione e di iscrivervi su Eventbrite se vorrete partecipare.

Vi aspetto martedì sera 😉

Di seguito il video integrale, mentre le slide sono disponibili su SlideShare.

 

 

/0 Commenti/da
,

11 Dicembre al FoLUG terrò una Simulazione di Penetration Test con BackBox!

FoLug_11_Dicembre_2015

 

Venerdì 11 Dicembre presso il Forlì Linux Group terrò uno Speech su BackBox Linux, assieme al direttivo del FoLUG ho deciso di dimostrare le potenzialità di BackBox attraverso una Simulazione Live di Penetration Test.

In un evento che durerà circa 2ore dimostrerò le cinque fasi principali di un Penetration Test:

 

  • Information Gathering;
  • Vulnerability Assessment;
  • Exploitation;
  • Privilege Escalation;
  • Maintaining Access.

Sfrutterò dei software preinstallati in BackBox e vulnerabilità note per attaccare un Server Web basato su Ubuntu Linux. Dimostrerò quindi come è possibile usare nmap per scansione le porte, dirs3ach per ricercare applicativi web non indicizzati dai motori di ricerca, sqlmap per cercare e sfruttare vulnerabilità di tipo SQL Injection, Metasploit per attaccare un servizio presente sulla macchina target, effettuare un escalation dei privilegi sfruttando una vulnerabilità del Kernel e infine weevely per caricare una backdoor per mantenere attivo l’accesso sul target.

L’evento si terrà alla sera, alle 21:30 circa direttamente nella sede del FoLUG. Vi consiglio di guardare il sito ufficiale del LUG all’inizio della prossima settimana per conoscere gli orari esatti, non è che detto che ci sia anche un pre-ritrovo per chi vuol cenare in compagnia.

 

/5 Commenti/da
,

#OpenSourceDay 2015, vi aspetto a Udine Sabato 28 Novembre!

Open Source Day 2015

Sabato 28 Novembre 2015 sarò lieto, per la prima volta in questo evento che viene organizzato da ormai 6 anni, di essere un relatore dell’Open Source Day a Udine!

Un talk della durata di 45 Minuti presenterò il progetto BackBox Linux e tramite Metasploit effettuerò una simulazione di attacco ad un Server Web sfruttando la vulnerabilità Shellshock!

Il 2014 è stato un periodo nero per la sicurezza informatica dei sistemi Linux e non solo, l’anno  si è aperto con la vulnerabilità HeartBleed che ha afflitto la libreria OpenSSL e successivamente è stata individuata una importante falla nella shell Bash. Questa vulnerabilità permette ad un utente malintenzionato di eseguire comandi arbitrari, comandi che possono permettere ad un utente malintenzionato di ottenere l’accesso non autorizzato ad un sistema informatico.
I principali aggressori hanno sfruttato la vulnerabilità già poche ore dopo la sua pubblicazione per creare Botnet con i server vulnerabilità; Yahoo è stata una delle grandi vittime di questo exploit.

Vi aspetto quindi Sabato 28 Novembre, per chi volesse vedere l’agenda della giornata piena di eventi e talk vi rimando al sito ufficiale!

Ora, per chi mi segue live, vi consiglio di guardare il Pirate’s Night Show di stasera con Stefano Zanero e Automated Malware Analysis!

AGGIORNAMENTO: Le slide sono disponibili su SlideShare e il video dimostrativo di seguito

/0 Commenti/da
,

Pirate’s Night Show – Stasera vi aspetto!

Pirate's Night Show

Fra poco meno di 4 ore sarò ospite al Pirate’s Night Show, vi aspetto alle 21:30 su YouTube!

Il talk show Pirate’s Night ideato da Andrea Amani (Pinperepette) con la partecipazione di Paolo Stagno (VoidSec) e Daniele Ilardo è ormai un appuntamento fisso in streaming su YouTube tutti i Martedì sera dalle 21.30.

La puntata di stasera è incentrata sulle principali distribuzioni di Penetration Testing e Computer Forensics Italiane, personalmente con Raffaele Forte sono chiamato a rappresentare BackBox Linux la nostra “creatura” che dal 2010 sviluppiamo quotidianamente. Ci affiancherà Lorenzo Faletra di Parrot Security e Nanni Bassetti con la sua distribuzione CAINE.

Alle 21:30 😉

/1 Commento/da
,

Linux Day 2015, ci vediamo ad Orvieto? Parlerò di Phishing!

Linux Day 2015

Sabato 24 ottobre sarò nuovamente ospite dell’Orvieto LUG per il Linux Day 2015, il tema di quest’anno che ho deciso di trattare è il Phishing! Grazie alla collaborazioni con il D3Lab porterò dati realistici sul Phishing Italiano!

Quotidianamente sfruttiamo computer o smartphone per rimanere interconnessi con il mondo digitale. Online condividiamo i nostri stati d’animo, gestiamo i conti bancari, facciamo acquisti, studiamo e lavoriamo. Viviamo in una società digitale che offre enormi vantaggi, ma nasconde anche pericolose trappole. Ogni volta che sfruttiamo una comunicazione digitale rischiamo che ci vengano sottratte informazioni, segreti, soldi e la nostra identità. Il phishing è una truffa dove un malintenzionato cerca di ingannare la vittima convincendola a fornire credenziali d’accesso, dati finanziari o informazioni personali. Si tratta di una attività illegale che sfrutta l’ingegneria sociale: il malintenzionato effettua un invio massivo di messaggi che imitano, nell’aspetto e nel contenuto, messaggi legittimi di fornitori di servizi; tali messaggi fraudolenti richiedono di fornire informazioni riservate. In prevalenza è una truffa eseguita usando la posta elettronica, ma non mancano casi simili che sfruttano altri mezzi, quali i messaggi SMS.

Il programma della mattinata è molto intenso, 6 Talk della durata di 30 minuti l’uno ci parleranno di Programmazione, Open Source nella PA, Sicurezza Informatica, Anonimia con Linux, Musica e le basi dell’amato pinguino! Nel pomeriggio invece Laboratori tematici ed installazioni Linux anche su Raspberry Pi!

Se qualcuno vuole venirmi a salutare e a fare due o tre chiacchiere sulla Sicurezza Informatica può registrarsi su EventBrite mentre per tutti i dettagli sulla location, orari, ecc vi lascio il sito ufficiale dell’evento.

Vi aspetto!

AGGIORNAMENTO: Le slide dell’evento sono disponibili su SlideShare

/0 Commenti/da

10, 11 Giugno 2015 – VII Edizione del Security Summit di Roma

Security_Summit

Nell’ambito tecnologico è sempre più decisivo puntare sul paradigma della sicurezza e del controllo man mano che la potenza aumenta. Ciò è particolarmente vero in un’epoca di device potentissimi, strabordanti di dati aziendali, troppo spesso utilizzati come strumenti personali. Con tutti i rischi che le moderne esigenze di collaborazione e comunicazione richiedono: senza controllo, la pura potenza si trasforma infatti in causa di continui incidenti.

Il corretto approccio alla governance e al risk management, unito agli strumenti corretti, può portare a una forte diminuzione degli incidenti, oltre che a un minor impatto del rischio residuo sul business. La consapevolezza, infatti, diventa il fattore determinante per minimizzare i rischi che la complessità di ogni nuova soluzione porta con sé.

Di controllo dei dispositivi mobili, risk management e protezione dei dati aziendali si parlerà al Security Summit, organizzato da Clusit (la più autorevole associazione italiana nel campo della sicurezza informatica) e previsto per il 10 e l’11 giugno 2015 allo Sheraton Parco de’ Medici Rome Hotel di Roma. Giunto alla VII edizione, l’evento costituirà l’occasione per parlare di sicurezza in tutte le sue declinazioni, con particolare riferimento alla mobility: dalla sicurezza nell’ambito della pubblica amministrazione agli aspetti legali della security, dalla minaccia del cyber crime per le aziende alla sicurezza dei mobile device.

BlackBerry sarà presente al Security Summit con una sessione dalle 11.30 alle 13.00 del primo giorno che prevede un intervento congiunto dei relatori BlackBerry con un docente di Clusit e Andrea Pennasilico (Security Evangelist conosciuto nell’hacker underground come mayhem).

Durante le due giornate dell’evento BlackBerry sarà comunque presente nello spazio espositivo per presentare BlackBerry Enterprise Service 12 (BES12) e gli altri servizi a valore aggiunto concepiti per ottimizzare la mobility.

All’evento parteciperanno, fra gli altri, HP, IBM, Oracle, Alfa Group, Akamai, Mediaservice.net, Obiectivo Technology, Qualis, Riverbed, Sinergy, Skybox Security, Sophos, Splunk, Trend Micro, Watchguard.

Per maggiori informazioni vedi il sito ufficiale del Security Summit.

/0 Commenti/da

Seeweb Hacking Contest Spring Break

seeweb-hcbr-big

Visto il successo dello scorso Hacking Contest, Seeweb ha deciso di preparare un’altra nuova sfida. Tre obiettivi da raggiungere, tre finalisti e tre gadget straordinari.

“Lo scorso mese una tempesta solare ha causato un blackout di un’ora dell’intera linea elettrica europea danneggiando irreparabilmente parte della rete satellitare mondiale.

Questo tempo è bastato per attirare l’attenzione di un gruppo di criminali informatici che ha colto l’occasione per sfruttare un bug nel circuito di emergenza della Quality Cloud Farmaceutic, specializzata in attività di ricerca di malattie rare.

In una sola ora gli hacker sono riusciti a cambiare tutti i codici di accesso riuscendo a penetrare nei sistemi informatici della più grande azienda farmaceutica di ricerca del nostro continente. In questo modo sono riusciti a organizzare una repentina operazione di sottrazione di un vaccino di nuova generazione e a prelevare altri dati di estrema riservatezza.

Sei un esperto di sicurezza dell’azienda, vieni incaricato di ripristinare la situazione e di escogitare un modo per eliminare le informazioni in possesso dei Black Hat.

Hai tre obiettivi principali da raggiungere nel minor tempo possibile:

  • trovare la falla di sicurezza usata dai Black Hat e decodificare un loro messaggio;
  • recuperare la formula del vaccino;
  • localizzare il covo hacker (per prelevare i dispositivi all’interno dei quali sono nascoste le informazioni rubate).

Seeweb Hacking Contest gadget

Il contest, aperto a tutti inizierà lunedì 13 aprile 2015 alle ore 8,30 e terminerà lunedì 27 aprile 2015 alle ore 18,00. Per partecipare vi basterà lasciare il proprio nome, cognome e contatto email nell’apposito form al seguente link: http://hc.seeweb.it.

Si hanno a disposizione due settimane di tempo per risolvere il caso. Gli oggetti che potrete portarvi a casa sono:

  • 3D Cubo Led (trovare la falla di sicurezza usata dai Black Hat e decodificare un loro messaggio);
  • Cuffie Bose (recuperare la formula del vaccino);
  • LEGO Mindstorms (localizzare il covo hacker).

Potete inviare la soluzione tramite una mail all’indirizzo [email protected] con il vostro nome, cognome e la parola chiave. Martedì 28 aprile 2015 alle ore 15,30 comunicheremo i nomi dei tre finalisti sulla nostra pagina Facebook.

Solo il primo hacker che riuscirà a trovare la giusta soluzione potrà portarsi a casa uno degli oggetti relativi all’obiettivo raggiunto; ma fate attenzione a inviare una sola email con una sola soluzione. Più email con risposte diverse (o una sola email con più risposte) non verranno prese in considerazione.

Se siete alla ricerca di qualche suggerimento seguite i profili social di Seeweb su Twitter e Facebook.

In bocca al lupo a tutti e che vinca il migliore!

Regolamento Seeweb Hacking Contest

/2 Commenti/da

UniMi – Corso di perfezionamento in Computer Forensics e Data Protection

Locandina_Corso di perfezionamento in Computer Forensics e Data Protection

Com’è ormai tradizione, anche per l’anno accademico 2014 / 2015  l’Università degli Studi di Milano ha aperto le iscrizioni al Corso di perfezionamento in Computer forensics e Data protection. Il grande successo del corso dello scorso anno, che ha visto oltre cinquanta avvocati iscritti e numerosi privacy officer, ci ha spinto a dotare il corso di due anime diverse ma complementari: quella relativa alla computer forensics ed alle indagini informatiche, ossia alla raccolta e trattamento della fonte di prova digitale, e quella relativa alla privacy e alla data protection.

L’elevato tenore scientifico del corso di perfezionamento in Computer forensics e Data protection, che vede tra i suoi docenti i massimi esperti del settore provenienti sia dal mondo accademico, sia da quello dell’avvocatura, sia da quello dei periti nonché privacy officer, è già stato premiato da diversi Consigli dell’Ordine. Il Corso, infatti, è già stato accreditato presso l’Ordine degli Avvocati per 24 crediti formativi (previa verifica del 75% delle presenze), presso l’Ordine dei Dottori Commercialisti ed Esperti Contabili per 48 crediti formativi (1 credito per ogni ora verificata di presenza) e presso l’Ordine degli Ingegneri per 48 crediti formativi (previa verifica del 90% delle presenze e prova finale).

Il corso di perfezionamento in Computer forensics e Data protection ha ottenuto altresì il patrocinio ufficiale di Asso DPO e di Federprivacy, con il riconoscimento di 48 crediti formativi per i professionisti soci Federprivacy, validi ai fini dell’ottenimento e/o del mantenimento dell’Attestato di Qualità ai sensi della Legge 4/2013.

Il Corso, della durata di 48 ore, si terrà dal 7 maggio fino all’11 giugno prossimi tutti i giovedì per un totale di sei giornate di lezione da otto ore ciascuna, al termine delle quali si conseguirà, oltre ai crediti formativi concessi dal proprio Ordine di appartenenza, il titolo di Perfezionato in Computer forensics e Data protection presso l’Università degli Studi di Milano.

Il costo del corso di perfezionamento in Computer forensics e Data protection è pari a 706 Euro onnicompresivi. Il programma delle giornate e ulteriori informazioni sulle modalità di iscrizione sono disponibili all’indirizzo http://users2.unimi.it/forensics/ o scrivendo a [email protected].

/1 Commento/da

DEFTCON 2015 a Roma il 17 Aprile

DeftCon

L’associazione DEFT Linux nata nel 2012 per volontà di Stefano Fratepietro anche per il 2015 organizza un evento gratuito sul mondo della Digital Forensics, evento che si terrà a Roma il prossimo 17 Aprile e vedrà la partecipazioni di numerosi esperti del settore.

Il DEFT CONFERENCE si terrà 17 aprile 2015 dalle ore 9.30 alle 18.00 presso l’Aula Magna Odeion – Edificio di Lettere e filosofia, piazzale Aldo Moro 5, Roma. L’evento è stato organizzato in collaborazione con ISACA Roma e patrocinato da La Sapienza – Dipartimento di Informatica e Tech and Law Center

Il programma, per ora non definitivo, è il seguente:

Moderatore: Emilio Casalini (Giornalista)

Ore 9:30 – Saluti del Presidente DEFTA e introduzione alla conferenza
Stefano Fratepietro (Presidente Associazione No profit DEFT)
Ore 9:45 – Presentazione del progetto DEFT Zero
DEFT dev team
Ore 10:30 – Extracting WebInject Signatures from Banking Trojans
Federico Maggi (Assistant Professor Politecnico di Milano)

Ore 11:00 – Coffe Break

Ore 11:15 – Riciclaggio e Anti riciclaggio nell’era dei Bitcoin, aspetti tecnici e giuridici
Stefano Capaccioli (Commercialista) e Paolo Dal Checco (Consulente di Digital Forensics)

Ore 12:00 – La cyber-security nel 2020: l’impatto delle tecnologie sulla vita dei cittadini e la prevenzione dei futuri crimini informatici
Stefano Mele (Avvocato)
Ore 12:30 – Monitoring DNS traffic  to identify malware and APTs (intervento in inglese)
Dave Piscitello (Vice President, Security and ICT Coordination of ICANN)

Ore 13:00 – Pausa pranzo

Ore 14:30 –PCI DSS Forensics. Soggetti, strumenti e metodi dell’investigazione digitale
Giuseppe Serafini (Avvocato, ISO/IEC 27001 Lead Auditor)

Ore 15:00 – Analisi forense dell’utilizzo di Tor Browser in ambiente Windows
Relatore da definire

Ore 15:30 – European Antitrust Forensic IT Tools
Nino Verde (La Sapienza)

Side event organizzato in collaborazione con Tech and Law Center

Ore 16:00 – Tavola rotonda: discussione aperta sulla robotica nell’era della Digital Forensics

Ore 18:00 – Saluti finali e ringraziamenti

 

Come anticipavo l’evento è gratuito ma è obbligatoria la registrazione tramite Eventbrite, dove è ancora possibile effettuare una donazione.

 

/0 Commenti/da