Hackr0n 2021: Doble entrevista y el CTF entre «bambalinas»

Hoy os traemos un artículo hablando con Igor Luick y Pedro C. aka S4ur0n sobre el evento acontecido el pasado 31 de marzo, el Congreso de Ciberseguridad Informática más importante en las Islas Canarias... la " Hackr0n " en su octava edición.

Este evento debería ya ser reseñable por la situación geográfica, no podría estar en mejor sitio, pero, no es por lo único por lo que es conocido... Este evento dispone de un gran contenido en materia de ciberseguridad es por ello por lo que nos encontramos ahora en conexión con Santa Cruz de Tenerife (Islas Canarias) con Igor Luick, co-fundador, sobre el evento que se ha realizado recientemente en las islas.

DDR - ¿Cómo surgió la idea de este evento en las Islas y de dónde viene el nombre?

La idea surge en Madrid con mi amigo y co-fundador de Hackr0n, Cecilio Sanz, estando ahí en un evento nos quejamos... parece mentira que en Canarias no tengamos eventos tan chulos como en el resto de la Península, dicho y hecho, nació la "Hackr0n".

El ron tiene una tradición antigua en las Islas, desde la época de los piratas.

DDR - Si no me equivoco esta es ya la octava edición de Hackron pero, este año, marcada ha sido diferente debido al virus. ¿Cómo ha sido esta adaptación al virus, habéis incluido nuevos formatos para seguir llegando al público? ¿Cómo suele ser una edición normal en Tenerife?

La edición normal en Tenerife se basaba en que el corazón del congreso era la cercanía del público, mezclarnos, y salir juntos después del congreso en los Carnavales de Santa Cruz de Tenerife, imaginad el cambio, pasar a un formato online streaming sin perder la esencia es desafiante, lo hemos intentado con toda la ilusión del mundo hasta que la tormenta pase, estamos contantemente buscando formatos nuevos, algunos funcionan, otros no, equivocarnos será el proceso del camino, de lo contrario nos quedaremos en congresos vía Zoom y poco más.

DDR - Vemos que tenéis formatos diferentes a otros congresos y hemos visto, por ejemplo, la idea de introducir también los e-sports en un congreso de hacking, ¿Cómo es que habéis querido juntar estos dos mundos?

Aún nos queda mucho camino para integrarlo, pero la intención es que el CTF por naturaleza adapte ese formato, donde atrae muchas miradas los seguidores de ese tipo de eventos, ver como se resuelven maquinas, o como tus ídolos rompen ciertos retos puede ser muy divertido, en la presente Hackron con el apoyo de S4vitar desde su Twitch y S4ur0n, David Melendez, Deepak Daswani fue un acierto.

DDR - El nivel de los ponentes ha sido muy alto y hemos podido ver muchas caras muy conocidas de este sector en el evento, ¿es un evento que puede ver cualquier persona independientemente del nivel técnico? ¿Seguirá estando disponible el evento para su visualización?

En esta edición hemos querido que cualquiera pueda seguir el evento, en un formato físico solemos tener más ponencias, todo el congreso se puede ver en https://www.youtube.com/watch?v=PomgoIl6y4o.

Inciso que hacemos en postproducción desde Derecho de la Red. Ponentes y participantes por orden de presentación:

• Monica Valle - Presentadora
• Chema Alonso - Chief Digital Consumer Officer - Telefónica
• Mikko Hypponen - Principal security researcher, F-Secure
• Josep Albors - ESET
• Mario Guerra - Ex-Teniente de Navío. CIA. Jefatura de Operaciones - Grupo de Investigación Digital EMAD - Mando Conjunto de Ciberdefensa
• Ofelia Tejerina - Presidenta Asoc.Internautas
• Lorenzo Martinez - Securízame

DDR - No hemos podido evitar fijarnos en que la web del congreso está cambiando, ¿significa eso que en futuras ediciones vamos a tener novedades? ¿Algo que puedas adelantarnos?

Estamos adoptando el formato e-sports, estamos experimentando aun con diseños, y llevara su tiempo, nuestra intención es modernizar y adaptar el congreso para las nuevas generaciones.

DDR - El CTF tenemos entendido que ha sido una locura ¿no? ¿Cómo se os ha ocurrido montar una cosa así?

Respetamos muchísimo todas las comunidades, y sus CTF´s, sabemos que hay muchos chulos y currados, en Hackr0n la idea siempre desde el inicio era tener retos visuales, ir más allá de consolas y saltar al mundo físico.

S4ur0n en ese aspecto es incombustible, capaz de visualizar esto y más echándose todo el peso a sus espaldas, por supuesto hay apoyo de equipo detrás y recursos que hacen que sea un CTF diferente.

Durante esta Hackr0n sufrimos la inestabilidad del ISP con la mezcla de muchos participantes registrados para un CTF, donde todo ello, hizo que sufriéramos la muerte por éxito, aun así, se pudo salvar algo de la competición.

Por ello sabemos que todo el equipo del CTF volverá a participar en un directo vía Twitch en el canal de S4VITAR, https://www.twitch.tv/s4vitaar.

Le animamos a que lo sigan además de nuestro twitter @hackr0n.

Gracias por la entrevista y por dedicarnos vuestra atención.

Ahora, vamos a pasar a hablar con Pedro C. aka s4ur0n, -@NN2ed_s4ur0n- sobre el CTF de la Hackr0n 2021...

DDR - ¿Nos podrías facilitar con lo que ha contado Igor un título para el CTF?

Hackr0n 2021: el CTF entre "bambalinas"

DDR - ¿Nos cuentas por qué?

Cuando finaliza una CON, mientras los asistentes, ponentes y patrocinadores están celebrando el éxito alcanzado, comienza un nuevo desafío para los Organizadores... comenzar a diseñar la siguiente para mejorar cualquier aspecto que hubiera fallado o fuese mejorable, continuar la CON y superar la calidad de la misma, ofrecer un contenido innovador y diferente con respecto al resto de eventos, etc...

Fue en el 2020 cuando era portada en las noticias de los telediarios nacionales que aislaban el primer hotel en Tenerife por la COVID-19, cuando aún estábamos varios de nosotros en las islas, sin poder regresar a la península por la calima, -ya que era imposible poder volar debido a las pésimas condiciones de visibilidad-, cuando ya surgía la idea de una CON presencial, con más talleres, mayor participación del público, etc...

Viendo cómo se desarrollaba el 2020 y que sería imposible poder realizar la Hackr0n presencial, Igor y Ceci nos llamaron a varios colaboradores (David Meléndez -@taiksontexas-, Marcelo Vázquez -@S4vitar- y conmigo para ver qué se podría hacer y proponernos crear un CTF innovador, que pudiera jugarse online desde casa con pruebas no del todo "vistas" y con "cacharros" de IoT (del Internet ese "tonto" de las cosas). Por supuesto, aceptamos el reto y comenzamos a trabajar duro con ello, teniendo como fecha prevista los Carnavales de Santa Cruz de Tenerife, pero igualmente, veíamos que se aproximaba la fecha y que lo mejor, sería retrasarlo al 31 de marzo de este año debido a las restricciones que teníamos en el país por la COVID.

Intentaríamos como fuera poder "juntarnos" al menos los que pudieramos asistir entre ponentes y colaboradores en cuanto pudieramos y por fin veíamos algo de luz en cuanto a poder viajar justificadamente en cuanto la pandemia permitiera algún respiro, ya que una CON sin nada presencial, es como un perfume que te dicen que huele fenomenal pero no puedes olerlo en persona. De hecho, y es una pequeña aportación fuera de contexto, una CON se organiza para vivirla y estar con la gente compartiendo no sólo las charlas, talleres, etc. sino que una pequeña conversación con una "Dorada" delante, hace abrir la mente y tener nuevas, renovadas e innovadoras ideas.

Cada uno, colaboraría como mejor pudiera y repartimos el trabajo... S4vitar emplearía su canal de Twitch para transmitir todo con todo su potencial de atracción para Comunidad, Meléndez haría la prueba final con uno de sus divertidos robots, de nuevo entre Marcelo y yo nos tocaría montar la infraestructura y a mí me tocaría diseñar el resto de pruebas. Y con la Organización, en charlas internas que íbamos haciendo, jugábamos y probábamos diferentes locuras que se nos iban pasando por la cabeza para que todo estuviera listo y preparado en el día grande de Hackr0n.

Llegó el día "V" de "volar" y quedé con David en su casa de Madrid para recoger el robot ya que por problemas de su trabajo, no podía venirse lamentablemente y me apareció con una caja de "esas suyas" de leche de almendras precintada con cinta americana y el "bicho" dentro... pensé... ya veremos para pasar eso por el control del aeropuerto, pero en realidad, yo iba cargado de otros cacharros también... no era la primera vez que me tocaba y me tocará dar explicaciones de las cosas que se suelen llevar en la mochila o en el equipaje de viaje...

Una vez en las islas, nos dirigimos a las oficinas de Cecilio, de la empresa Alisios Informáticos, donde se comparte la sede con Hackr0n. Habíamos quedado con Álvaro, un muchacho de la ULL (Universidad de La Laguna) que nos había preparado una prueba de un sensor y un recolector de logs para detectar ataques, derivado de su Trabajo de Fin de Grado. Allí nos surgió la primera duda con varios servidores que nos tenían preparados para alojar algunas pruebas. ¿Los dejaríamos allí por seguridad o los llevaríamos a la Casa del Carnaval?

Dicha pregunta era porque en la Casa del Carnaval, aun a pesar de los esfuerzos realizados por el Excmo. Ayto. de Tenerife y algunos patrocinadores que nos han apoyado desde el primer momento, finalmente sólo nos podían proporcionar una línea de 100 mbps "simétricos" bajo coaxial y casi todo su caudal, se debía destinar al streaming de las charlas principales que serían en paralelo. Como Ceci es muy previsor, además de su principal proveedor azul de internet, tenía uno rojo como backup con una fibra óptica de 300 mbps y decidimos dejar los servidores y la infraestructura de SCADA con los controladores allí. Como nos dijo Ceci, si falla algo estos días, el trabajo puede esperar, pero para la Hackr0n, que no ocurra nada anómalo, usad la línea sin problema que asumo el riesgo. Estuvimos toda la tarde preparando todo hasta que sin darnos cuenta, nos llegó el toque de queda y al volver al hotel, probamos que todo funcionara... todo iba perfecto.

Al día siguiente, preparamos unos intel NUC con tarjetas SDRs, las máquinas de Álvaro y por supuesto, la máquina para la prueba final con el control remoto del robot de David. Todo perfecto, mil pruebas realizadas y todo preparado para el gran día. Podíamos tomarnos al fin una cerveza tranquilos y comentar las mejores jugadas hasta la llegada del estricto toque de queda que gobierna en las islas.

Por la mañana del gran día "D", ahora sí había llegado, desde el hotel hicimos las últimas pruebas y viendo que todo funcionaba perfectamente, nos llevamos el robot, los NUCs y demás "juguetes para niños grandes" a la Casa del Carnaval. Sabíamos que una de las pruebas se nos "caía"... era la del balón meteorológico "Smart ECO" que íbamos a lanzar ya que querían hacerse las fotos dentro del local de la institución y lógicamente, el permiso de lanzamiento de ENAIRE (el "NOTAM" o Notice To Airmen) se gestionaba desde un punto de lanzamiento más al sur de la isla donde la logística nos hacía imposible desplazarnos y poder comenzar a tiempo.

Esta prueba, podría seguirse desde casa y consistía en lanzar el globo, seguir la señalización del APRS (Automatic Packet Reporting System) y de LoraWAN -que dejaremos para otra ocasión en otro CTF- con un paquete cifrado que tenía la flag o bien, entretenerse y ver la subida en tiempo real hasta donde el sistema fuese capaz de transmitirlo a la estación terrestre preparada... puesto que en otras ocasiones, lo que hacemos es lanzarlos y seguirlos hasta que caen recuperando entonces la información. Pero debido a las condiciones de las islas, ya sabíamos que sería muy complicado todo ello y que caería muy probablemente en medio del océano y debido a nuestra condición de "Smart ECO" no queríamos que ninguna tortuga o algún pez pudieran confundirlo con una medusa o similar y ello pudiera quedar en nuestra conciencia.

Tampoco podríamos aparcar el coche que habíamos alquilado con nuestros amigos de CICAR -con sus bonitos colores del artista César Manrique- y cuya prueba era obtener uno de los IDs de los sensores TPMS (sistema de control de la presión de los neumáticos) que llevaba debido a las restricciones que teníamos y en este caso, decidimos grabar la señal y ofrecer directamente el fichero... eso si, en formato CU8 (Complex 8-bit unsigned integer samples) para evitar tener que usar el RTL-SDR y nos sorprendió que más participantes no finalizasen la prueba, puesto que un simple rtl_433 -r fichero.cu8 ya devolvería todos los datos.

En el recinto y una vez dentro, gracias a inestimable colaboración como de costumbre por parte de Agustín Jiménez del Excmo. Ayto. de Sta. Cruz de Tenerife y los habituales colaboradores de la Hackr0n Ángel y Abelardo "Lalo", nos habían preparado ya el recinto para el robot con el router preparado. Mientras S4vitar ponía todos sus equipos que había desplazado desde su casa para tener un directo con toda la calidad que se merecía haciendo una "pequeña gran mudanza" con mucha tecnología y una pasta en cacharros. Por nuestra parte, poco habría que hacer, ya que el robot conectaba automáticamente a una red Wi-Fi interna que teníamos preparada y tanto David desde su sofá con el "champiñón" de acompañante como los NUC podrían controlarlo sin más problema.

Pero como todo, el router 4G con doble SIM y balanceo de carga que teníamos asignado nos decía que estaba conectado pero no conseguíamos llegar a los puertos de control del robot, lo que hacía imposible poder controlarlo incluso de forma local... sudores fríos, revisión en tiempo real de todos los posibles puntos de error, etc. Nada, a falta de 30 minutos para dar comienzo al CTF era imposible conectarlo... pero teníamos tiempo... sería la prueba final y sólo podría jugarla el participante que fuera el primero en el ranking. En aquellos momentos pensamos que nos daría tiempo a prepararlo mientras iban jugando...

Por si acaso, teníamos otro router diferente, también de 4G preparado como backup, y Alejandro con todo su mejor buen hacer, mientras nosotros íbamos preparando para entrar en directo, estuvo jugando con el robot... pero algo podíamos sospechar en su cara cuando le mirábamos ya que de vez en cuando hacía un gesto indicando que "no"... lo que nos llevaba a pensar que seguiría sin conectividad. Dicho esto, con David probamos una conexión con un punto de acceso ad-hoc mediante un móvil y por fin éramos capaces de poder conectar en local y en remoto... Se descartaron los 2 puntos de acceso y se empleó otro punto de acceso portátil que alguien llevaba en su mochila... ya teníamos todo entonces, justo a 5 minutos exactos antes de comenzar... no quedaba más que conectarnos con todos los participantes.

Llegó la hora "H" y abrimos en directo las primeras pruebas para las casi 500 personas que nos seguían en directo en el canal de Twitch de S4vitar. Para su resolución, no era necesario acceder a ninguna máquina. Algunas fueron resueltas muy rápido, ya que eran del tipo "fácil" con poca puntuación. Tal vez, la más compleja fuese la del paracaídas con el mensaje cifrado que incluía, similar al empleado en el "Perseverance" recientemente por la NASA, pero era cuestión de tiempo.

Entre otras, llegó la primera desconexión que tuvimos con el proveedor rojo y nos dejó fuera del directo tanto en el streaming de las charlas como en el CTF... pero suponíamos que era algo pasajero y que en breves segundos tendríamos de nuevo la conectividad. No obstante, a nosotros sólo nos afectaba para la parte de retransmitir "el partido", pero las pruebas se podían jugar hasta que decidimos abrir las pruebas online. Este fallo fue breve, se recuperó y nuestra amiga y presentadora oficial de Hackr0n, Mónica Valle -@monivalle- capeó sin problema el temporal en el otro streaming.

Mientras, probamos a activar las máquinas SCADA/ICS y otra sorpresa... tras varios intentos no había conexión... por dentro en mi estómago, algo hacía que me extemeciera y aparecieran los nervios, pero no se podía ver en directo. Rápidamente buscamos una excusa antes de abrirlas y me ausenté un rato para "tomar un café" -que lo hice-, pero en el backstage de Hackr0n se organizó un comité de crisis para resolver el problema de conectividad que había con la oficina de Ceci. Lalo y otro colaborador fueron raudos como si no hubiera un mañana a ella, en coche que le faltaba ponerle una sirena y efectivamente comprobaron otro problema con el proveedor rojo... habían cambiado IPs públicas, el direccionamiento que teníamos con las VPNs, etc... Mil pruebas, reinicios de los servidores, pruebas de última hora y volvieron a la Casa del Carnaval. Funcionaba y era la hora de jugar lo bueno.

Pero nadie esperaba "el ataque" a la máquina donde teníamos "Guacamole" que nos permitía conectar con las otras máquinas para atacar la infraestructura. Nos avisaron por el chat que no podían entrar y Marcelo, hizo una prueba en directo... efectivamente, nosotros tampoco éramos capaces de "pillar una libre". Pero no fue realmente un ataque... teníamos más de 200 personas conectadas a la vez intentando conseguir acceso y en alguna de las Kalis que habíamos preparado, estaban hasta más de 30 usuarios concurrentes... como nos decían, intento escribir un comando y sale con un delay de 30 segundos... os pedimos disculpas pues nadie esperaba esa participación masiva y la infraestructura estaba preparada para 20 participantes concurrentes.

Ahí si que hubo de todo... los que consiguieron acceder a una sesión verían auténticas "burradas" que se hicieron y os recordamos que si eso se hiciera en una red OT en producción, la caída de la misma está garantizada e incluso si está monitorizada como la teníamos y hubiera habido un sistema de alarma que detuviera servicios críticos -pensad en una central nuclear-, se hubiera "tensado" y "liado parda". Pero fue curioso ver lo que se hacía... 😉

No llevábamos más de una hora desde que abrimos la red operacional de OT, cuando lamentablemente tuvimos otro corte de nuestro ISP "rojo" que nos dejó completamente fuera de servicio. Ahora si que afectó al streaming y a nosotros que éramos su plan "B", por lo que desde la Casa del Carnaval estábamos completamente atados de pies y manos. Quedaba otra solución para algunas pruebas como la del "timbre inalámbrico", la de Álvaro de los sensores y las de transmisión de RF con un SDR, pero la alternativa era poder jugarlas con el último punto de acceso por 4G y debido a la cantidad de participantes, se hacía imposible poder hacerlo, por lo que esas pruebas decidimos no abrirlas.

Podríamos haber grabado las señales y ofrecer los ficheros, pero hubiera quedado completamente fuera de lugar ya que lo suyo era emplear una tarjeta RTL-SDR en las máquinas preparadas, ver el espectro radioeléctrico que había -incluso haber escuchado los micrófonos del directo del streaming-, sintonizarlas en la frecuencia de transmisión, recibir y analizar las señales. En caso de haberlo hecho mediante el archivo, ya no tendrían sentido estas pruebas porque os hubieramos dado todo ya hecho.

Habíamos quedado con Deepak Daswani -@dipudaswani- que se encargaría de motivar a los participantes. Pero con el corte que habíamos sufrido, era muy difícil poder hacerlo y lamentablemente en el canal de S4vitar en Twitch, no se podía seguir ya que en caso de otro corte le penalizarían al emplear su canal personal -el cuál sin él, no hubieramos podido hacer ni la mitad de lo que hicimos- y nos dieron acceso a Youtube para que al menos, se pudiera jugar la final del reto.

Como el primero en resolver las pruebas que se pudieron jugar, fue Javier Correa -@zodi4c-, ganador de los últimos otros 3 CTFs de Hackr0n, contactamos con él en privado y una vez que conocía las instrucciones del robot, en vez de conectar a uno de los NUCs con la máquina virtual ya que era por 4G, hicimos un jitsy y yo asumiría el papel de ser "sus manos remotas" con los comandos que me fuera diciendo. Por fin ya podríamos volver al "directo" pero incluso el finalista, tenía que verlo por Youtube con un delay de cada cosa que me indicaba que pusiera con más de 15 segundos... menos mal que el robot, finalmente hizo todo lo que estaba previsto pero no fue "vistoso" ni mucho menos en tiempo "real" sino en "diferido" como diría alguna política que tuvimos en el Gobierno...

Otra prueba que se quedó en el "tintero" por no haber podido jugarla como se merecía, fue la de Intel AMT (Active Management Technology) que incluso el propio módulo de Metasploit que incluye, detectaba la vulnerabilidad, pero no era capaz de llegar a ella por lo que no revelaba el flag a no ser que fuera modificado el código fuente. Esto básicamente lo hicimos para que en un entorno real, no sólo se confíe en una única herramienta, sino que el objetivo es entender y explotar dichas vulnerabilidades aunque sea con un "curl" a "mano". Otras eran más sencillas, como meter un ransonware en una cafetera inteligente, pero hemos decidido jugarlas más adelante o explicarlas en algún directo 😉

Justo antes de la charla de Lorenzo Martínez -@lawwait-, Mónica nos dio paso para poder hacer la entrega de los 500 euros del premio del CTF. Conectamos como pudimos de nuevo con Javier "zodi4c" y al menos Dipu pudo decir algunas palabras, con lo que le gusta enrrollarse y hablar de todo esto. Con ello, dimos por finalizado el CTF.

Como conclusión, pediros disculpas a todos los participantes por los mil incovenientes que tuvimos tras un enorme esfuerzo para preparar todo que no se ve ni se puede transmitir muchas veces y como decimos, de los errores se aprende y son nuestra principal motivación para que el siguiente CTF sea mucho mejor y más divertido que este.

De todas formas, para que nadie se quede sin ver cómo se resuelven algunas pruebas de SCADA/ICS, en breve anunciaremos por Twitter en los canales oficiales de Hackr0n y en nuestras cuentas personales, cómo resolverlos y haremos un directo con S4vitar para que podáis ver todos los pasos.

Gracias por leernos y quedamos a vuestra completa disposición. Nos vemos en las redes y Happy Hacking!

DDR - Muchas gracias Pedro. Para cerrar no podemos irnos, no podemos cortar esta conexión con Tenerife sin agradecer a los entrevistados en el artículo su predisposición y rapidez a la hora de hacer las entrevistas y agradeceros a todos los lectores vuestro apoyo.

¡Adioos! ¡Nos vemos en el próximo artículo!