Se observo bajo rendimiento en los equipos de CSIRT FACH, SSFFAA, CARAB, EJERCITO y Armada
Trabún 2025 incluyó 4 eventos especiales diseñados para poner a prueba la toma de decisiones estratégicas de los equipos en escenarios de alta presión y relevancia. Estos desafíos trascendieron lo técnico, enfocándose en la gestión, comunicación y atribución en crisis de ciberseguridad.
La mayoría de estos desafíos fueron resueltos por los equipos, demostrando una sólida capacidad estratégica. Sin embargo, el Evento de Atribución Estratégica no fue resuelto por el equipo CSIRT FACH, y la Evaluación Legal tampoco fue resuelto por el equipo de CSIRT FACH.
Portal Drupal vulnerable a Drupalgeddon (CVE-2018-7600), permitiendo ejecución remota de código (RCE). Los equipos debían explotar la vulnerabilidad de manera controlada para obtener acceso inicial al sistema comprometido.
- COMDCIBER
- CSIRT DN-1
- CSIRT DN-2
- CYBER PDI
Dificultad: Media
Entorno entregado: Instancia Drupal vulnerable en red aislada con credenciales limitadas.
- Validación y sanitización rigurosa de inputs
- Límites de longitud de contexto
- Registros detallados de interacciones
- Pruebas adversariales pre-despliegue
- Separación de datos sensibles del contexto
PR.DS — Data Security: protección de información en procesamiento por modelos
DE.CM — Continuous Monitoring: detección de patrones de prompt injection
PR.IP — Procedimientos seguros de adquisición y configuración de modelos IA
Desarrollo de competencias en gobernanza de IA aplicada a infraestructuras críticas. Preparación de marcos de certificación y uso responsable de IA en servicios públicos chilenos.
Los equipos recibieron imagen térmica de un teclado. Objetivo: identificar las teclas pulsadas recientemente mediante análisis de degradación térmica y deducir la contraseña correcta.
- CSIRT DN-1, DN-2, DN-3
- CSIRT EJÉRCITO
- CYBER PDI
- CYBER SSFFAA
Técnica: Side-channel attack basado en calor residual. Requiere análisis visual, comprensión de física térmica y generación de permutaciones de contraseñas probables.
NIST CSF:
- PR.PT — Protective Technologies (protección física)
- PR.DS — Data Security (protección en uso)
MITRE ATT&CK:
- T1056 — Input Capture (variante física)
- T1110 — Brute Force (post-captura)
Resumen Operativo
Entorno Jenkins vulnerable a CVE-2024-23897, permitiendo lectura arbitraria de archivos del sistema. El reto incluía ruido intencional (distracciones) para simular entornos reales complejos.
Equipos exitosos: 4/10
- COMDCIBER
- CSIRT FACH
- CYBER PDI
- CSIRT DN 1
Vector: Arbitrary file read mediante command-line interface, permitiendo acceso a secretos, configuraciones y código fuente.
java -jar jenkins-cli.jar -s http://IP:8080/ -http help 1 "@/proc/self/environ"
El payload utiliza el símbolo @ para leer archivos del sistema.
El contenido del archivo aparece en el campo de error de la respuesta.
Payload final exitoso:
Este payload permite volcar usuarios y contraseñas de la tabla user, revelando la flag en texto claro.
Entorno con versión vulnerable de sudo que permite bypass de restricciones mediante UID -1, resultando en ejecución como root.
Equipos exitosos: 6/10
- COMDCIBER
- CSIRT DN-1, DN-2, DN-3
- CSIRT EJÉRCITO
Técnica:
sudo -u#-1 commandEl sistema interpreta UID -1 (0xFFFFFFFF) como UID 0 (root), permitiendo escalada de privilegios completa.
CVE-2019-14287 afecta configuraciones sudo donde se permite "ALL" excepto root. Explotable cuando usuario tiene permisos sudo con restricciones basadas en usuario.
Un total de 7 equipos lograron resolver este complejo enigma, incluyendo COMDCIBER, CSIRT DN-1, DN-2, DN-3, CSIRT EJÉRCITO y CYBER PDI y CSIRT Armada
Recomendación: Implementar políticas estrictas de gestión de credenciales, auditorías de exposición OSINT y segmentación de redes para sistemas de comando y control.
Una vez descargada la herramienta, es fundamental leer la documentación para comprender su funcionamiento y generar correctamente la wordlist de posibles combinaciones.
El software analiza el volcado de memoria y extrae caracteres potenciales de la contraseña maestra, generando múltiples combinaciones posibles.
Tras completar el proceso de cracking, se obtiene exitosamente la contraseña maestra del contenedor KeePass.
Al abrir el contenedor se revelan numerosas entradas organizadas en diferentes grupos.
El contenedor contiene múltiples señuelos diseñados para confundir al investigador. Hay dos grupos principales: flag y red country.
Contiene varias flags falsas y elementos de distracción diseñados para desviar la atención.
Similar al anterior, presenta información engañosa y pistas falsas.
Al revisar el historial de la entrada, se encuentran varias modificaciones. La versión más reciente contiene la flag real.
QM{C0ngr4tsy0ul3arns0meth1ng1!@}
Usuario: Commander
Contraseña: 5xMstI1eFehWEQV1J0ei
Ubicados en el grupo "satellite" con icono de pingüino
Si Wireshark muestra valores como:
- Reserved: 010
- Reserved: 111
- Cualquier valor diferente de 000
Ya es una anomalía significativa
tshark -r file.pcap -Y "ip.src==10.0.0.2 && ip.dst==10.0.0.3 && tcp" -V | awk '/Reserved:/{ if (match($0,/([01]{3})./,a)) print a[1]; }' > reserved3bits.txtExtrae solo comunicaciones de 10.0.0.2 a 10.0.0.3
Obtiene los valores numéricos de los bits reservados
Guarda los resultados en reserved3bits.txt
python3 - << 'PY'
bits = ''
with open('reserved3bits.txt') as f:
for s in f:
s = s.strip()
if s:
bits += s[-3:]
out = ''.join(
chr(int(bits[i:i+8], 2))
for i in range(0, len(bits), 8)
if len(bits[i:i+8]) == 8
)
print(out.rstrip('\x00'))
PY
Este desafío técnico, no resuelto por ningún equipo, se presentó con un archivo sin extensión que requería un análisis forense binario profundo. Los participantes debían reparar manualmente el encabezado del archivo, específicamente los bytes iniciales, para que coincidieran con la estructura estándar de un archivo WAV (52 49 46 46 ?? ?? ?? ?? 57 41 56 45). Una vez reparado y con la extensión .wav añadida, el archivo revelaba una serie de pitidos que, a pesar de parecer Morse, ocultaban un mensaje codificado con minimodem, requiriendo el comando minimodem --rx 1200 -f reversedfile.wav para su decodificación.
La combinación de forense binaria y decodificación de comunicaciones históricas y modernas (como Morse y minimodem) es crucial para las capacidades de inteligencia y análisis en ciberseguridad. Este evento simula la necesidad de analizar datos en formatos no estándar o corruptos, y de identificar y decodificar canales de comunicación encubiertos que pueden ser utilizados para exfiltración de información o comando y control en ataques sofisticados. Es una habilidad vital para la recuperación de inteligencia en escenarios de incidentes avanzados.
Con minimodem instalado correctamente, se procede a decodificar el archivo de audio utilizando el siguiente comando en la terminal:
minimodem --rx 1200 -f reversedfile.wav
- DE.CM — Detección: Monitorización Continua
- RS.AN — Respuesta: Análisis
- Dominio de herramientas de análisis de audio forense para identificación de patrones.
- Desarrollo de pipelines y scripts para decodificación de señales de telecomunicaciones (ej. minimodem).
- Capacitación en análisis de encabezados de archivos y reparación binaria.
Desarrolla capacidades avanzadas en análisis de señales y telecomunicaciones forenses, esenciales para la identificación y mitigación de amenazas que utilizan métodos de comunicación no convencionales, fortaleciendo la inteligencia y contrainteligencia cibernética nacional.
Incluir módulos especializados en forense de telecomunicaciones y análisis de señales en los programas de formación de expertos en ciberseguridad y fuerzas de orden público, fomentando la pericia en técnicas avanzadas de descifrado y recuperación de información.
Ejercicio nacional de competencias técnicas en ciberseguridad y ciberdefensa, desarrollado por EMCO, ENTEL y Q-Mission en colaboración con instituciones de defensa y seguridad de Chile. Trabún 2025 evaluó capacidades operativas de equipos CSIRT, fuerzas armadas y agencias de seguridad mediante 46 desafíos técnicos distribuidos en dos días intensivos de operaciones.