Entorno con versión vulnerable de sudo que permite bypass de restricciones mediante UID -1, resultando en ejecución como root.

CVE-2019-14287 afecta configuraciones sudo donde se permite "ALL" excepto root. Explotable cuando usuario tiene permisos sudo con restricciones basadas en usuario.

Los equipos enfrentaron un portal de control de drones vulnerable a Server-Side Template Injection (SSTI). La particularidad era una doble capa de escape para las llaves, la cual podía ser evadida insertando un espacio dentro de la sintaxis {{ }}, permitiendo evaluar expresiones arbitrarias.

Los equipos se enfrentaron a un escenario complejo que involucraba un archivo PCAP con información oculta en los bits reservados del encabezado TCP (3 bits). Este reto requería no solo la extracción de los datos utilizando herramientas como tshark, sino también su posterior decodificación.

A pesar de la sofisticación de la técnica, ningún equipo logró resolver este desafío, lo que subraya la dificultad y la novedad de estas técnicas de comunicación encubierta.

Este desafío exigió a los equipos analizar un archivo PCAP para identificar paquetes con un identificador específico (0xb00b). Una vez localizados, debían extraer el contenido hexadecimal, eliminar los bytes nulos (0x00) intercalados y, finalmente, aplicar una operación XOR con una clave de 1 byte para revelar la información oculta.

La combinación de estas técnicas de ofuscación resultó ser un obstáculo significativo, y al igual que el evento anterior, ningún equipo logró resolver completamente este desafío durante el ejercicio.

Este desafío multidisciplinario requería que los equipos realizaran una serie de pasos complejos para recuperar información oculta. Primero, debían reparar una imagen JPG corrupta. Una vez restaurada, se esperaba el uso de Steghide para extraer un archivo S3cr3t.txt incrustado. El contenido de este archivo, una mezcla de Base64 y ruido hexadecimal, presentaba una última capa de ofuscación. La tarea final consistía en detectar un patrón en los datos y aplicar una operación XOR repetitiva con la clave correcta para revelar el flag final.

Este evento presentó un escenario con Jenkins vulnerable a RCE (Ejecución Remota de Código) mediante CVE-2018-1000861. Los equipos debían explotar esta vulnerabilidad para exfiltrar una "flag", ya sea publicándola en el área userContent de Jenkins o enviándola a un servidor externo utilizando un payload Groovy específico. Varios equipos lograron resolverlo, demostrando la capacidad de identificar y explotar fallos en el proceso de integración continua.

Este desafío abordó un escenario donde un portal web potenciado por Inteligencia Artificial era vulnerable a ataques de inyección de prompts (prompt injection). Los equipos debían explotar esta vulnerabilidad para manipular el comportamiento del modelo de IA, logrando potencialmente la exfiltración de información sensible o el control no autorizado de funciones. Este evento fue resuelto con éxito por 8 equipos, demostrando la creciente conciencia y capacidad para manejar riesgos de IA. Los equipos que lograron resolverlo fueron:

Este evento simuló un ataque de ransomware en el que 11 archivos fueron cifrados mediante un algoritmo XOR repetitivo, utilizando una clave de 16 bytes. Los equipos recibieron un archivo PCAP (captura de tráfico de red) y una nota de rescate, lo que implicaba la necesidad de realizar un known-plaintext attack para intentar recuperar la clave y descifrar los archivos. A pesar de los recursos proporcionados, el desafío no fue resuelto, destacando la complejidad y la presión que implican los incidentes reales de ransomware.

Este desafío técnico consistió en recuperar y ensamblar tres imágenes digitales que habían sido fragmentadas en bloques de 1024 bytes. La complejidad radicó en que los archivos poseían un encabezado mal etiquetado, requiriendo que los participantes repararan manualmente ciertos bytes para corregir la estructura del archivo y luego concatenaran correctamente los bloques. Este ejercicio puso a prueba la habilidad de los equipos para reconstruir datos dañados y fragmentados.

Este desafío técnico, no resuelto por ningún equipo, se presentó con un archivo sin extensión que requería un análisis forense binario profundo. Los participantes debían reparar manualmente el encabezado del archivo, específicamente los bytes iniciales, para que coincidieran con la estructura estándar de un archivo WAV (52 49 46 46 ?? ?? ?? ?? 57 41 56 45). Una vez reparado y con la extensión .wav añadida, el archivo revelaba una serie de pitidos que, a pesar de parecer Morse, ocultaban un mensaje codificado con minimodem, requiriendo el comando minimodem --rx 1200 -f reversedfile.wav para su decodificación.

La combinación de forense binaria y decodificación de comunicaciones históricas y modernas (como Morse y minimodem) es crucial para las capacidades de inteligencia y análisis en ciberseguridad. Este evento simula la necesidad de analizar datos en formatos no estándar o corruptos, y de identificar y decodificar canales de comunicación encubiertos que pueden ser utilizados para exfiltración de información o comando y control en ataques sofisticados. Es una habilidad vital para la recuperación de inteligencia en escenarios de incidentes avanzados.

Con minimodem instalado correctamente, se procede a decodificar el archivo de audio utilizando el siguiente comando en la terminal:

Este reto técnico, que no fue resuelto por ningún equipo, se centró en la ingeniería inversa de un ejecutable ELF 64-bit PIE (Position Independent Executable). El binario ocultaba un array cifrado de 46 bytes que debía ser descifrado usando una clave sugerida por la cadena "satellite_key_2025" encontrada con strings.

La tarea requería el análisis forense del binario para identificar patrones anómalos, preferiblemente con xxd para un volcado hexadecimal. El objetivo final era la extracción de credenciales (operador y analista) mediante la reversión del algoritmo de cifrado XOR y la creación de un script de descifrado, un proceso que simula la recuperación de información crítica de software malicioso o sistemas comprometidos.

Este evento simuló la explotación de un portal de administración con un puerto crítico (5000) expuesto internamente. Los participantes debían primero identificar una vulnerabilidad de SQL Injection utilizando una técnica clásica (' OR 1=1 --) para obtener acceso inicial. Luego, el desafío escalaba a una vulnerabilidad de SSRF (Server-Side Request Forgery), requiriendo la evasión de filtros mediante la notación hexadecimal de direcciones IP (0x7f000001:5000). El ejercicio fue exitosamente resuelto por 3 equipos: CSIRT DN-1, CSIRT DN-2 y CYBER PDI, demostrando su habilidad para encadenar exploits y evadir medidas de seguridad.