La empresa española Naturgy (antes llamada Gas Natural) está empeñada en sacar adelante sus cuatro proyectos gasísticos que amenazan el Parque Nacional de Doñana. Esta empresa solo busca su propio beneficio y por tanto, animamos a sus clientes a que abandonen esta empresa y se pasen a las renovables, y a sus accionistas a que inviertan en empresas más éticas. Aquí explicamos porqué y cómo hacerlo.

Doñana amenazada por una empresa sin escrúpulos

Los proyectos de Naturgy/Gas Natural (y de su socio La Caixa) en esa valiosa zona de Doñana no tienen garantías de seguridad, lo que significa que podrían contaminar toda la zona y generar graves terremotos (como ocurrió con el desastre de Castor en Tarragona). La evaluación de impacto ambiental fue dividida en 4 partes más pequeñas, para que individualmente cada parte fuera menos dañina, pero no se hizo un análisis global, como dicta la lógica y la ley. Las obras del proyecto están avanzando mientras los políticos, con suma tranquilidad, están estudiando si hay que pararlo. La empresa ya ha avisado que pedirá una indemnización a España de 359 millones de euros si el proyecto es paralizado. ¿Pagaremos sus errores como estamos pagando el error de Castor? Si Naturgy/Gas Natural tiene licencia para esas obras, es por una evaluación de impacto ambiental mal hecha.

Por increíble que parezca, esas obras están siendo subvencionadas con dinero público: el gobierno de España les ha regalado 12.6 millones entre 2017 y  2018. Así, eso de que “el que contamina paga“, en España se traduce por “el que contamina cobra subvenciones“. El gobierno español se desentiende del proyecto, pero lo subvenciona. La Junta de Andalucía se opone, pero lo consiente. Un ejemplo más del caos en la España de las autonomías.

Mientras, Doñana sigue acosada por los combustibles fósiles y los vertidos petroleros, hasta que ocurra una tragedia irremediable.

Los trapos sucios de Naturgy/Gas Natural

Esta empresa tiene un largo historial de conflictos éticos. El más conocido es su corrupción por puertas giratorias, con Felipe González como cabeza de cartel, pero que afecta al menos a otros 28 políticos. También son famosas sus inversiones en paraísos fiscales, sus multas, sus impactos ambientales (Gas Natural mantiene algunas de las centrales más contaminantes de España), su inhumana gestión de la pobreza energética, su manipulación de precios y sus engaños publicitarios. Aún recordamos su publicidad televisiva con la que intentaba que todos creyéramos que quemar gas era una energía “ecológica”. Hoy, todo el mundo sabe que quemar cualquier cosa emite CO2, y que los combustibles fósiles, además, no son renovables. Pero ojo, el gas ciudad o gas natural es principalmente metano, un gas mucho peor que el CO2 para el cambio climático.

Por todo lo dicho, Naturgy es un nombre nuevo pero hereda una pésima reputación y una nula responsabilidad social corporativa (RSC). Por eso, muchos clientes se están cambiando de empresa y muchos inversores están desinvirtiendo en todo tipo de energías fósiles. Desde aquí queremos animar a todos los ciudadanos a abandonar el gas (todo tipo de gas) y a pasarse a una empresa de electricidad 100% renovable.

¿Cómo abandonar esta empresa y todas las energías sucias de tu hogar o empresa?

Lo primero sería cambiar todo lo que usemos con gas ciudad. El butano no es una opción razonable pues sigue siendo una energía no renovable, aparte del problema de acarrear bombonas. Por tanto, lo mejor es ver si podemos usar la energía solar, al menos para calentar agua (la energía solar térmica es muy eficiente). El resto de aparatos de gas (calefacción, cocina…) es fácil pasarlos a tipo eléctrico, informándose antes de las opciones disponibles (por ejemplo, una placa de inducción es mejor que una de vitrocerámica).

Para que el cambio sea auténticamente ecológico la electricidad de todo nuestro hogar o empresa debe estar contratada con alguna empresa de renovables (cada vez más gente se borra también de Endesa e Iberdrola). Esto nos permitirá ahorrar algún dinero (haz las cuentas), pero por encima del ahorro, nos quedamos con la tranquilidad de que nuestro dinero no va a malas manos. Además, si puedes poner alguna placa solar fotovoltaica en tu casa, entonces el ahorro será mayor. Recuerda que poner unos pocos paneles no tiene impuesto al sol, es barato y un paso importante para apoyar la generación con renovables de forma distribuida, algo básico para la sostenibilidad de nuestras ciudades.

Si este artículo consigue que un solo cliente o un accionista de Naturgy/Gas Natural deje de serlo, habrá merecido la pena, porque esa persona convencerá a otra y se formará un efecto dominó que tambaleará los cimientos de este gigante con pies de barro hasta que pare sus planes en Doñana (si no se los paran antes). Pero tengamos presente que si el proyecto es paralizado, la empresa Naturgy/Gas Natural no debe ser indemnizada y debe devolver todas las subvenciones recibidas. Así se hará si España cuenta con un gobierno que defienda el interés común de los españoles, por encima del interés de las grandes empresas. Veremos lo que ocurre, pero todo está en nuestras manos.

Información adicional:

• Bruselas mandará una misión a Doñana a evaluar el impacto del plan de Gas Natural.
• El almacén de gas de Doñana debe arreglar sus problemas de “peligrosidad alta” y todo depende del IGME.
• Lista de empresas que deben ser multadas y boicoteadas (HAZLO VIRAL).
• Vídeo de #YoIBEXtigo sobre Gas Natural: Las puertas giratorias de gas natural incluyen al menos 29 personas.
• Greenpeace: Qué “presunta” poca vergüenza la de Gas Natural Fenosa y Endesa.
• Informe Endesa: la empresa más contaminante, paraísos fiscales, desigualdad, puertas giratorias y precariedad laboral.

España es el segundo país de la Unión Europea con más agresiones físicas o sexuales contra personas intersex, según datos de la Agencia de los Derechos Fundamentales de la UE.

La entrada Vidas sin violencia para las personas intersex se publicó primero en Pikara Magazine.

En la calle, en tu trabajo o en tu gimnasio, las historias de personas intersex se encuentran en todas partes, con heridas que sanas cuando por fin son vividas, reconocidas y gritadas.

La entrada Sácanos las cicatrices se publicó primero en Pikara Magazine.

Ha acabado la cumbre del COP26 y el colapso está cada vez más cerca. Todo parece indicar que el capitalismo ha decidido acabar consigo mismo manteniendo su avaricia. Unos señores han decidido seguir para adelante como siempre… así que el cuerpo nos pide No Future. Y si el cuerpo nos pide punk, pues punk le […]

La entrada Fuck OFF se publicó primero en Radio Topo.

Hace un tiempo cree una honeypot para imitar un dispositivo de IoT con un OS de GNU Linux. La idea era investigar por mi cuenta y por diversión los ataques dirigidos a Linux, puesto que tiene tangencialmente que ver con mi trabajo pero quería hacerlo a mi manera. Los detalles técnicos de cómo la he montado están en este repositorio, pero el resumen es que he copiado el filesystem de OpenWRT con docker, lo he integrado en mi honeypot y he añadido detalles que sabía que solían formar parte del interés de un atacante en estos casos (documentos de configuración, claves SSH, librerias concretas, etc). Pero esta entrada no va de eso, va de una de las campañas que he investigado.

Cuando tienes una de estas honeypot, es posible que recibas muchos ataques, desde diferentes sitios, la mayoría automáticos. En mi caso me dedique a revisar tranquilamente los logs de la honeypot para ver qué había sucedido, por lo general hay algunos detalels que suelen llamar mi atención, para empezar las lineas de comando. La honeypot guarda cualquier comando que se haya intentado ejecutar, de modo que se puede comprobar con un simple grep CMD a través de los logs qué días se han detectado comandos y por parte de qué sesión, cuándo y desde qué dirección IP. Las direcciones IP por si solas dicen más bien poco y no son fiables a largo tiempo como método de detección, pero pueden ayudar a identificar un mismo ataque en un periodo corto de tiempo en una misma máquina. En mi caso cuando estuve revisando líneas de comando descubrí un comando que formaba parte de un ataque automático que resultaba interesante. El ataque descargaba y ejecutaba en segundo plano un script de perl, que tras analizarlo es para un DdoS muy característico, porque utiliza una botnet basada en IRC. Como hay muchos palabros hasta ahora, voy a hacer un inciso para explicar conceptos, puedes saltártelo si ya los conoces:

• DDoS es literalmente “distributed denial-of-service” que es un tipo de ataque relativamente fácil d eprevenir, antiguo en términos de internet, pero que sigue existiendo. Se basa en usar tantas peticiones por unidades pequeñas de tiempo que provoque una sobrecarga de recursos de un servicio. Hemos visto ese ataque, por ejemplo, contra el salto.
• Perl es un lenguaje de programación que suele venir por defecto configurado en los sistemas basados en unix. Interpretado, dinámico y flexible, suele ser utilizado para “one liners” es decir, comandos de una sola línea que hacen cosas útiles y eficientes. Perl6 pasó a llamarse Raku y es un lenguaje diferente.
• Script es un programa pequeño normalmente con una función muy específica. En Linux es habitual usar lenguaje Perl o Bash para esto, pero también puede usarse Python y otros.
• Botnet es una colección de dispositivos normalmente secuestrados que forman parte de una red activa o dormida para realizar a taques como el de DDoS. Los atacantes lo usan mucho para esconder sus huellas.
• IRC, literalmente Internet Relay Chat es un sistema de mensajería bastante antiguo (se creó en 1988). Sin embargo se ha reutilizado para hacer un sistema que utiliza una Botnet para mandar comandos maliciosos y realizar ataques de denegación de servicio, entre otras cosas.

Pues bien, existe una de esas Botnet basada en IRC que está hecha en perl, y es característica de un grupo en particular: Outlaw. Los investigadores ponen nombres mega chulos a todos los atacantes, por algún motivo, no preguntéis. Tenía claro que lo que estaba viendo era un ataque automático de outlaw, pero no estaba segura cuántas de las cosas sospechosas de mi honeypot eran de la misma campaña. Outlaw ya atacó a diversos dispositivos de IoT y Linux hace unos años y a mediados de este año volvieron a llamar la atención, así que cuadraba que estuvieran de nuevo al ataque. Me interesaba averiguar si habían cambiado algo, si había algo nuevo.

Me llama la atención los users por defecto del script. No los pondré públicos por si son diferentes para cada grupo de víctimas, pero son bastante particulares. Si diré que la IP no está en virustotal. También os diré que el que lo ha configurado es un tío. ¿Que como lo se? No diré el nombré del canal que usan porque he visto que cada campaña cambia, pero tiene que ver con penes.

Que obsesión.

Y bueno, una confirmación de que es Outlaw, se les conoce como un grupo de habla rumana. Es más en otra versión del script que no es la que tengo dicen “La educación es como una erección, si la tienes, la ves”, en rumano. Puede ser cierto o una especie de carta para confundir, a mi me da igual, no me dedico a rastrear quiénes son en la vida real, sólo cómo hacen lo que hacen.

En el código puedo ver que utiliza recursos externos para intentar una vulnerabilidad de MD5 collision, con la intención de romper y descifrar hashes, es otra cosa que me llamó la atención. Es parte de los comandos que pueden usarse en la Botnet.

Otro de los ataques automáticos implicaba el uso de una sintaxis propia de perl. Sin embargo las IPs y los días no coincidían. Esto no quiere decir nada por si solo porque hay campañas con días de distancia entre un paso y el siguiente, además de que el uso de una Botnet complica el seguimiento por Ips. Estaba casi segura de que tenía relación pero necesitaba buscar algo más. Después de darle unas vueltas, caí en la cuenta de que los intentos de fuerza bruta contra la honeypot (había intentos de conexión con varias credenciales) parecían hechos con algún tipo de programa de shuffle con una lista de palabras. Me di cuenta de que algunas eran muy específicas, probablemente hechas con un generador automático, y no encontré esas listas en ningún lado (repositorios, pastebin, foros…) de modo que se me ocurrió que podía buscar coincidencias de credenciales especialmente particulares entre las de las sesiones que tenían que ver con el ataque sospechoso. Efectivamente, aunque las Ips variaban, las credenciales particulares se repetían (no exactamente iguales, pero si con combinaciones similares) en las sesiones del ataque sospechoso por una sintaxis de Perl.

Una vez hecha esa relación, la red del ataque era más amplia, y seguí investigando. A través de comandos usados en esas mismas sesiones o por esas mismas Ips, llegué a la conclusión de que estaban intentando explotar CVE-2017-9841, una vulnerabilidad de Linux que tuvo un impacto importante en su momento y sigue sin estar del todo parcheado en muchos contextos. Pero, si eso fuese así, para confirmarlo (siempre procuro confirmar una teoría con al menos dos pruebas) tendría que ver evidencias de que se ha intentado usar una shell en PHP, puesto que es la entrada más común de esa vulnerabilidad. Miré los detalles de red de las conexiones y vi como se intentaba hacer llamadas que implicaban shells de PHP de manual: ¡confirmado! Otro inciso técnico:

• PHP es un lenguaje de scripting especialmente pensado para uso en aplicaciones y páginas web. Personalmente lo odio con todas mis fuerzas. No sólo incita a ser desordenado (puedes añadirlo por ejemplo a cachos en cualquier html) si no que suele ser el origen de múltiples vulnerabilidades. Pero gustos colores, que dicen.
• Una shell es una terminal, desde la cual ejecutar comandos. Hay ataques (al que me refiero) que implican forzar al usuario sin saberlo a interactuar con una web para provocar las condiciones de una vulnerabilidad. Cuando se accede a una terminal, puedes intentar realizar ataques contra base de datos, servicios, etc.

Hasta aquí había conseguido: el script original del ataque, el conocimiento de que Outlaw estaba usando MAYDAY (el tipo de malware que aprovecha la vulnerabilidad mencionada, o al menos uno muy similar a ese) y más adelante un intento de sobrescribir claves ssh (¿recordáis lo que os dije de que las claves ssh tienen interés? Con frecuencia es para intentar extender el ataque a las claves ssh conocidas por la máquina afectada, pero en general dan credibilidad a un sistema de mentirijilla). Al investigar los ataques, también utilizaban binarios maliciosos, que se han guardado en mis logs, y he podido comprobar que coinciden con XMRig, usado como criptominero (y el objetivo de mi búsqueda, el por qué del filesystem que elegí para la honeypot). XMRig en si es un minero legítimo, pero se usa forzadamente en máquinas, en forma de malware, para aprovechar recursos para minar crypto (este es, con diferencia, el ataque más visto en Linux). Así que en conclusión en esta campaña:

• He visto que siguen usando el Botnet IRC de Perl
• He visto que usan XMRig (algo que ya usaban)
• Aprovechan CVE-2017-9841, en forma del malware MAYDAY
• Utilizan algún sistema para fuerza bruta con una lista personalizada, probablemente generada automáticamente con patrones que mezclen listas de contraseñas por defecto en sistemas y apps y contraseñas posibles.
• En una versión más avanzada, procuran sobrescribir ssh, esta parte tiene relación con XMRig.

En realidad todo está basado en análisis de los logs durante un par de meses, quizás el tiempo permita ver más detalles, o quizás la campaña acabará antes de eso. El mundo de cyber es un poco como el de la moda textil, a veces vuelven cosas que se creían pasadas ya a la historia. Gracias a este pequeño proyecto, poco a poco, tengo algunos hashes, un script, comandos y TTPs, y espero poder hablar en más detalle (cómo mirar y parsear rápidamente estos logs, qué añadir a las honeypot para tunearlas, etc) de esto y otros que he visto si se me da la oportunidad en alguna charlilla el año que viene.

FediverseTV es una instancia de Peertube que ya tiene año y medio y mucho contenido que en gran parte resulta interesante para diferentes personas con diferentes necesidades e intereses.

En FTV existe la preocupación de no dejar que el tiempo oculte contenidos interesantes, por eso entre las ideas que se generan para solucionar este problema se nos ha ocurrido postear cada tanto en blogs amigos algunos de estos videos… y aquí estamos.

Se me había ocurrido que el primer video de esta lista sea el primer video publicado en la plataforma, vaya… es mio, superando la vergüenza así lo haré :).

Videos antiguos merecedores de redifucion:

Escarola en cero labranza (El primer video publicado en FTV)

I.M.V.E.C.

Las JAM son las primeras Jornadas de Autodefensa Medioambiental, una serie de conversaciones online sobre autodefensa medioambiental ciudadana.

Aprovechando la cuarentena general que están sufriendo distintos paises lanzamos esta propuesta para seguir trabajando y apoyando a diferentes proyectos relacionados con la defensa vecinal de los territorios afectados por procesos de contaminación.