Diario de un Hacker cansado.

Quin dijo que los grandes hackers son de los EEUU o de los pases orientales? Espero que esta historia contada por su protagonista sirva para hacer saber que en nuestro pas tambin hay personas que, movidas por un afn de superacin y una inquietud solo comprensible por los que la tenemos, hacen de la Red el mayor laboratorio del mundo, y que consiguen con su esfuerzo dar con los fallos que en la mayora de las ocasiones, los magnates del negocio de la informtica, no imaginaran ni en sus peores pesadillas. Me gustara tambin antes que nada agradecer a Merc Molist, el artculo publicado en Ciberp@is el da 9 de Agosto de 2001 al que me remito.

HVC
No le gusta que lo llamen hacker: Slo soy el tuerto en el pas de los ciegos, una persona con ms inquietudes de lo normal, el alumno que cuestionaba lo que deca el profesor. Pero, con 27 aos, HVC tiene un currculo de intrusiones a sistemas que quita el hipo y un impresionante laboratorio casero, con seis ordenadores llamados Buitre, Halcn, Cndor guila. Su aventura es sorprendente, pero el camino no difiere del de la mayora de los hackers. Ahora lo deja, pero antes quiere contar lo poco segura que, para l, es la red. 1983 Tuve mi primer ordenador, un Commodore, a los 9 aos. Ms tarde compr un Spectrum, pero mi madre lo vendi, consideraba que pasaba demasiado tiempo con l.
HVC en su laboratorio casero.

1994 Ingres en la Escuela Naval Militar, en Pontevedra. Tenamos una asignatura de informtica pattica y unas cuantas mquinas en red. Mi nica preocupacin era intentar acceder a ellas. Pero no encajaba en el ejrcito, as que comenc los estudios de mecnica de Aviones. Mientras mis compaeros se preocupaban por entender como se arreglaba una avera, yo imaginaba situaciones lmites y sabotajes. Pareca sencillo. 1997 Acabados mis estudios fui a Murcia y empec Informtica de Sistemas en la UNED. Ped una beca y me la denegaron, fue una de las mayores decepciones de mi vida. No entenda que un trmite burocrtico me impidiera estudiar algo para lo que me senta totalmente vlido. Y tom la decisin de aprender solo. Si el Estado no me ayudaba, lo hara por mi cuenta.

Septiembre de 1998 La Universidad de Murcia se convirti en mi centro de pruebas particular. Haba conseguido un pase para las salas de ordenadores y me quedaba hasta que cerraban. Un da necesit instalar un programa, pero los encargados no me dejaron, aludiendo que necesitaba privilegios de administrador. Ah empez todo. Tras un mes de investigacin y gracias a una contrasea dbil, pude hacerme con un sistema. Era la primera vez que entraba de forma no autorizada en una mquina. La contrasea me permita acceso fsico a cualquier ordenador de la universidad, pero pronto desee ms: quera hacerlo remotamente. Era como si algo me dijera:puedes hacerlo...demustrales que puedes. Noviembre de 1998 El objeto de mi deseo era el PDC (Primary Domain Controller), el ordenador central. Ah estaba la contrasea del Administrador y el control absoluto sobre ms de 1.000 ordenadores. Se me pona la piel de gallina slo con pensarlo. Y les tend una trampa: expliqu privadamente al administrador que haba conseguido acceso no autorizado y le met miedo. Cuando sal de la entrevista, corr a espiar la red. Si el plan haba funcionado, se conectara al PDC para comprobarlo. Efectivamente, 20 minutos despus captur su contrasea, ya era mo. Diciembre de 1998 Durante mas de cuatro meses pude acceder a casi todos los ordenadores de la universidad. Tena una sensacin de omnipotencia difcilmente explicable. Lea el correo de la gente, poda apagarles el ordenador remotamente...., llegu a hacerme con gran cantidad de informacin (material de investigacin, proyectos, exmenes, claves) y desde all acced a otras universidades. Primavera de 1999 Fui a Barcelona. Encontr empleo como tcnico de sistemas. Arreglaba ordenadores y pronto estuve administrando sistemas. Tuve la oportunidad de conocer, desde dentro, como estaban organizadas las redes de las empresas. Pero mis jefes no vean con buenos ojos mi aficin a la seguridad, porque les demostraba como podan saltarse las barreras que ellos instalaban. As que haca una doble vida: de da era un humilde tcnico de sistemas, de noche investigaba y aplicaba lo aprendido en un entorno real: Internet. Mi cuarto pronto se convirti en un laboratorio de pruebas. Cuando apareca una nueva vulnerabilidad, la probaba en mis mquinas y, cuando dominaba la tcnica, la usaba para acceder a ordenadores. Ahora, mis objetivos eran la Administracin Pblica y las grandes empresas. En unos meses, entr en cientos de sistemas, solo para comprobar su seguridad. De todos los entornos que vi (un 90% en Espaa), el menos cuidado era el de la Administracin. Otoo-Invierno de 1999 Entro en la Base de Datos de una gran constructora, con informacin sobre contratos, beneficios y proyectos de clientes. Tambin acceda servidores web de medios de comunicacin y a los directorios de un importante proveedor espaol, que alojaba ms de 1.000 pginas web, entre ellas la de la Agencia de Proteccin de Datos. Mientras, encontr un nuevo empleo en otra pequea empresa de servicios informticos. Enero de 2000 Me enviaron a una conocida ONG, donde el rendimiento de la red haba disminuido, y descubr algo extrao: un programa, instalado en varios ordenadores, que estaba

generando un ataque a toda la intranet. Ms tarde supe que lo haba instalado un extrabajador de mi empresa, con el nimo de vender una consultora a la ONG: haran como que revisaban algo durante unos das, desinstalaran las herramientas que disminuan el rendimiento, todo volvera a la normalidad y el cliente, contento. Abril de 2000 Entra trabajar en una conocida consultora y, por fin, me veo como Tcnico de seguridad Corporativa. Aprovecho para aprender sobre programas comerciales: si conoces la ltima tecnologa (empleada en banca, ISPs, etc) ya no hay lmites. Para mi sorpresa y desgracia de los clientes, comprob que las auditoras se asignaban a personajes que no eran muy expertos en intrusiones y hacking. Mientras, por las noches, segua husmeando en sistemas, cada vez ms gordos. Cuando accedo no suelo notificarlo, porque la experiencia me dice que no sirve de nada. Si el fallo era muy grande o el administrador dejaba el sistema abierto durante meses, marcaba la pgina. Hacer el ridculo es la nica forma de hacer reflexionar, a veces. Octubre de 2000 Me top con el servidor web de una multinacional, donde estaban montando un sistema de comercio electrnico y no se le haba ocurrido otra cosa que almacenar las claves privadas all mismo. Haba tambin un informe detallado de toda la infraestructura que se montara. Les avis marcando la pgina. Al da siguiente, la mayora de las publicaciones electrnicas hablaban de ello, pero un mes despus, la web segua siendo vulnerable. Noviembre de 2000 Buscaba informacin personal de mucha gente y se me ocurri mirar en las empresas de trabajo temporal. Di con una que deca: Tenemos una de la s bases de datos ms importante de Internet. Hummmm..Consegu entrar en la mquina, donde descubr una base de datos de ms de 70.000 currculos, con todo tipo de informacin. La pgina principal de su web deca algo sobre confidencialidad y la Ley Orgnica Reguladora del Tratamiento Automatizado de Datos (LORTAD). Que se lo digan a esas 70.000 personas. Diciembre de 2000 Haca tiempo que tena ganas de probar suerte con los bancos as que, una noche busqu algunos no espaoles para hacer pruebas. Acced a dos, mientras miraba Crnicas Marcianas. Uno de Senegal y otro de Hawai, abierto de par en par, con los datos de mas de 2.000 personas que realizaban transacciones a travs de su web. Increble.

Enero de 2001 Una de las empresas informticas con ms facturacin tena un agujero en el servidor web. Les modifiqu la pgina y esper. Dias despus, haban arreglado el cortafuegos, pero no el servidor vulnerable. Me lo tom como un reto. Invit a un amigo una noche y pensamos como saltarnos el cortafuegos para llegar al servidor. Fue la noche ms emocionante de mi vida. Descubrimos que aceptaba cookies (pequeos ficheros de texto) y, bingo!, forzamos al servidor a coger una, creada expresamente, que hizo aparecer en la web:<intruso> 2 0. Tcnicamente fue muy interesante. Pero jams apareci nada en los medios. Las empresas callan. Por eso los hackeos mas divertidos se

hacen el fin de semana, cuando sabes que ningn administrador sabr solucionar el problema desde casa y la pgina quedar marcada hasta el lunes. Primavera de 2001 Mientras trabajaba en la consultora, fui hacindome una idea de los errores tpicos de sitios importantes. Una vez, instalaba un producto en un banco cuando vi que el cortafuegos tena graves agujeros. Se lo comuniqu al encargado y slo consegu una bronca brutal. A veces, encuentras ordenadores fcilmente accesibles en lugares de alta tecnologa o militares, donde se supone que deberan tomrselo en serio. Igualmente, puede pensarse que entrar en los sistemas de un banco es difcil. Nada ms falso. El problema es moverte por dentro, pero no entrar. Hoy en da hay mtodos que funcionan en el 90% de los sitios. Verano de 2001 Hace menos de tres meses deje la consultora. No estaba de acuerdo con su forma de actuar y me pareca una estafa. El mercado se est llenando de expertos salidos de la nada, con estupendos trajes y mediocres conocimientos de seguridad telemtica. Qu experiencia real en tcnicas de intrusin tienen esos personajes? Normal mente ninguna. Se necesita un ladrn para coger a otro ladrn y, eso, no lo ensea ningn catedrtico. As termina el diario de un hacker que ha decidido retirarse, sus aportaciones al arte y la ciencia del hacking son muy valiosas, y por eso estoy seguro de que pronto volveremos a saber de l. Yo personalmente me quedo con la ltima frase de su relato.

Hexo por Pasodelnick un.... para amuel...

Dedicado a (`._l_.), a amuel..., a Cristina, a Luzifer, a (\_(`FMt)_/), a ira, a -- (`._.(k)>>[l t]<<(k)._.) --, a [(=A= k =A=)] y a todos los dems que cada noche estn ah acompandome. Y a todos los ke en mayor o menor medida usamos Internet con fines cientficos y nos preocupamos por ver la trampa de la Ley.