Hace tiempo que tenía una cuenta pendiente con un amigo, compañero y profesional al que admiro. Tengo la suerte de trabajar con él desde hace casi ya una década, y cuando llego prontito a la oficina miro a su sitio a ver si lo encuentro. Se sienta justo en frente de mi espacio. Todos los minutos que tengo antes de la primera reunión son para compartir un café con él. Nos sentamos, hablamos, elucubramos y pergeñamos nuevas ideas, nuevos hacks, nuevas cosas. Es Pablo González (@pablogonzalezpe).

Figura 1: Entrevista a Pablo González

Con él he hecho cosas como el  WordPress in Paranoid Mode, Sappo, DirtyTooth, Hidden Networks, Pigram, los libros de Hacking iOS o Hacking Web Technologies por solo citar un par de ellos, y en casi todas las ideas y proyectos en los que comienzo, se encuentra él. Su grupo, que está conmigo es un paso previo al equipo de innovación de ElevenPaths que lleva Sergio de los Santos. Es decir, Pablo y yo - con el resto del mini-equipo que somos en esto - hacemos PoCs, Hacks, con spaghetti code, papers, posts, conferencias, tests, vemos si puede ser una patente, un producto y lo pasamos al lab o lo publicamos.

Como sabéis, también escribe por este blog una vez a la semana, más o menos, así que es hora de que lo conocierais un poco más de cerca. Como lo conozco yo. Le he hecho esas preguntas que yo le puedo hacer porque lo conozco bien. Espero que os guste.

Saludos Malignos!

- Tú vienes del equipo de Informática 64 y llevas ya... ¿cuántos años trabajando conmigo?

Allá por el mes de septiembre de 2009 entraba por primera vez en Informática 64, un local que había en mi Ciudad y del que yo poco sabía, más allá de lo que mi amigo Juan Antonio Calles me había contado. Él, un poco a mis espaldas, entregó mi CV y me llamaron. Tras pasar dos entrevistas, me cogieron a prueba de 6 meses. No me enrollo más, finales de 2009, echa cuentas ;-)

- El primer día que entraste en Informática64, ¿te imaginabas un futuro así?

Imposible. Tenía 22 años y entraba en una familia sin saberlo. Recuerdo el primer día en Informática 64. Te dan el equipo, te explican un poco quién es cada uno, te sientas en el SOCtano y me piden la primera cosa a realizar. No hubo que esperar mucho para empezar a hacer cosas. Tenía media jornada porque estaba terminando la Ingeniería Informática. Tenía 6 meses a prueba y me enviaron 5 meses a dar un curso de administración de sistemas Linux y como estaba a media jornada, me tiraba semanas sin ver al resto de la gente. Manuel, haciendo un poco de padre, me decía tu vente los viernes a comer al Restaurante Chino, que teníamos al lado de la oficina. Esos detalles empezaban a mostrarme que era una empresa diferente.

.... y este era el SOCtano de Informática 64 hace casi 10 años }:_)

A post shared by Chema Alonso (@chemaalonso) on Jan 5, 2018 at 5:40am PST

Cuando regresé de la formación se valoró positivamente mi trabajo y fui renovado de forma indefinida. Directamente. Lo que siempre me llamó la atención, y me encantaba, era que hacíamos de todo. Podíamos participar en consultoría, en auditoría, en difusión, en comunicación, en investigación… No había dos días iguales. Además, tenía la "suerte" de no tener peso, era un recién llegado que "solo" tenía que aprender de los demás y aquí es cuando me di cuenta que toda persona que me rodeaba en Informática 64 podía enseñarme mucho. Una gozada.

Sin duda una época irrepetible. A veces pienso, ¿se podría repetir hoy día? Y me respondo no. Creo que se dieron las circunstancias adecuadas, en la época adecuada y con las personas idóneas para que aquella empresa fuera lo que ha sido y haya dejado la huella que ha dejado en las personas que estuvimos o pasamos por allí. Fue una suma de propiedades que no volveremos a vivir, al menos eso creo. Un honor mi querida Informática 64.

Por último, y ahora sí para responder a tu pregunta, no podía imaginar todo lo que ocurrió después, en mayor o menor medida nos fue cambiando la vida a todos los que estábamos allí. Como curiosidad, cuando yo entré pensaba aquí duro 3 meses… y estamos en el año 2018 y aquí sigo :-)

- Luego ElevenPaths, trabajando para llevar la FOCA a la nube con Faast, y ahora en el Crazy Ideas Team personal del Global CDO. ¿Cómo es tu día a día ahora?

Intenso, pero un privilegiado. Explico esto. El día a día es voraz, tenemos mil frentes abiertos y tenemos que dar, en algunas ocasiones, respuestas en tiempos cortos. Somos un equipo ágil, o así intento que sea. Nuestro día a día consiste en realizar pruebas de concepto de ideas que van surgiendo, apoyar en la difusión tecnológica de la empresa a través de diferentes medios como, por ejemplo, las charlas, la integración de ideas que se van probando en diferentes productos de la organización o, incluso, la participación en patentes gracias a las pruebas o ideas que vamos trabajando.

Ahora que he explicado lo de intenso os cuento lo otro. Privilegiado porque visto los años que hemos pasado, poder trabajar en lo que nos gusta es algo que no está al alcance de todos, por lo que debemos valorarlo, ya que en muchas ocasiones no valoramos lo que tenemos, como dice el dicho, hasta que lo perdemos.

- También cuidas de Flu-Project y de HackersClub. ¿Crees que emprender proyectos personales ha sido positivo en tu aprendizaje?

Sin duda, sí. Digamos que de todo y de todos se puede aprender. Pelearse con algo nuevo para uno tiene algo enriquecedor y siempre positivo, aunque también pueda generar cosas negativas. Cuando decidí montar Flu Project, con 23 años, junto a Juan Antonio, éramos dos niños que queríamos aprender, devorar conocimientos y proponer nuestras ideas, en alguna ocasión también loca, y concienciar de los riesgos y amenazas de Internet. De este proyecto pude sacar muchas cosas positivas y el aprendizaje es constante, como dije anteriormente, cuando te enfrentas a situaciones nuevas o que no has hecho antes.

Por otro lado, hackersClub llegó a mis 30 años. Notas la diferencia de pensamientos de los 23 a los 31, y sabes mejor lo que quieres, necesitas y por dónde quieres ir. hackersClub me ha aportado un conocimiento distinto, más alejado del ingeniero y que creo que deberíamos estudiar en las Universidades. El emprendimiento. Es cierto que hackersClub no es más que una marca que fomenta la formación especializada, incluso a medida para las empresas, pero que no deja de ser un hobby. ¿Un hobby? Sí solo viviera de ello, sería distinto.

- Has escrito un montón de libros en 0xWord, ¿de cuál te sientes más orgulloso?

Es una pregunta difícil. Todos son especiales, porque a todos los libros les coges cierto cariño, pero tengo unos más marcados en mi interior, supongo que por los momentos en los que llegaron. Te dejo tres:

- El primero que escribí. Powershell: La navaja suiza para administradores IT. Aún recuerdo a finales de 2011 cuando me propusiste hacer el libro y, sin dudarlo, dije sí. Referente a temas de trabajos no solía decir que no a nada. Fue especial, precisamente porque era el primero, porque siempre me han apasionado las líneas de comando y porque yo le veía mucho potencial a Powershell, que por aquel entonces estaba en su versión 2.0. Luego vendría el de Pentesting con Powershelll mucho más maduro.

- Metasploit para Pentesters. Entré en tu despacho y te dije: "¿Crees que estaría bien hacer un libro de Metasploit?". Me dijiste: "¿Quieres hacerlo?". "Sí", respondí. Mediados de 2012. Ahí empezó la historia de un libro muy especial, aprendí mucho en el desarrollo del libro, tanto de escritura como de la parte técnica. Fue muy entretenido hacer este libro. Recuerdo las horas con Antonio Díaz revisándolo y cuando tú fuiste a la No cON Name de aquel año y me llamaste para decirme: "Se han vendido todos en el break del congreso". No sabíamos que aquel libro fuera "tan querido" y para mí una grata sorpresa. Por último, recuerdo muchas críticas del libro, pero una de Claudio Caracciolo, en la 8dot8 de 2014 en Chile, en la que me decía: "Has dejado hasta la última gota de conocimiento en ese libro". En ese instante, no sé si era algo bueno o malo, pero solo sé que Claudio me quiere para bien ;-)

- Got Root. Es muy especial. Fue un placer trabajar con Felipe Colorado en esta novela de hacking. Todo surgió porque fui viendo que hacía libros que mi madre no podía leer. Me dije a mi mismo tienes que hacer un libro que tu madre pueda leer y así surgió el tema de la novela de Got Root. Ella tiene todos los libros que he publicado en el salón y quería que no solo fueran un adorno, si no que pudiera leer cosas escritas por su hijo. ¿Nostalgia++? Si la siguiente pregunta es, ¿Lo ha leído? La respuesta es… sí ;-)

- De todos tus trabajos de hacking, ¿de cuál te sientes más orgulloso?

El primero quizá es el que marca un poco más por la dedicación, la ilusión, y por todo el esfuerzo en que salga bien. En el año 2010 comenzamos con Flu Project y de ahí salió el troyano educativo con unas dependencias de .NET enormes, aún recuerdo algún foro dónde se "reían" de ello. Aquel trabajo muy de concienciación nos sirvió para estar en unas jornadas llamadas JITICE 2011 y presentar el modelo de educativo basado en conocer las amenazas desde dentro, es decir, enseñar a la gente a través del código de herramientas que pueden ser maliciosas, en función del uso que les des. Ahora mismo, dicho proyecto está parado, pero lo recuerdo con gran anhelo.

Aquello desembocó en un trabajo llamado técnicas oscuras para combatir la pederastia, el cual fue presentado en 2011 en la No cON Name. Es un trabajo de evaluación de leyes entre Colombia y España, un trabajo en el que se muestra cómo existen técnicas y vías para combatir a esta lacra. Lógicamente, todo orquestado por fuerzas y cuerpos de seguridad del estado.

Por otro lado, también recuerdo con gran anhelo un trabajo sobre la detección de funciones inseguras en repositorios de código abierto, buscando, y encontrando, vulnerabilidades. Es una idea sencilla que, cómo todas al principio, pensaba que no daría grandes resultados, llevándome, a posteriori, una gran sorpresa. Aquí tuve la suerte de presentarla en varios sitios como 8dot8 2015 o hackron 2015.

También recuerdo la idea del cibersoldado y cómo a través de Android podías proporcionar los recursos a tu ciberestado. Esto recuerdo que lo presentamos como una idea loca, pero viable, en la Rooted CON 2014. Un estado sometido podía luchar contra un grande en el mundo digital, ya que la capacidad de cómputo de los dispositivos móviles se sumaba a la lucha. Recuerdo el símbolo de la hoja de marihuana que identificaba la idea como una "fumada", pero visto lo visto, nunca se sabe dónde pueden acabar las ideas.



Figura 3: Cyberwar: Looking for ... touchdown
Investigaciones como las de cómo los chicos malos pueden conquistar el mundo también la guardo. Es más, con ésta estuve en BSides Colombia en 2016, de la cual guardo gran recuerdo.

Luego, hay trabajos más de "andar por casa" que salen en artículos o que acabaron en algún CVE o que simplemente quedan en curiosidades de los cuales me siento también muy orgulloso, pero creo que me extiendo demasiado.

- Y por fin te animaste a ir a una CON en el extranjero con uac-a-mola. ¿Cómo fue la experiencia de construir uac-a-mola y el momento de estar en Black Hat con tu juguete?

Por fin… Recuerdo conversaciones contigo dónde me decías tienes que ir aquí, tienes que ir allá. No eras el único que me incitaba. Recuerdo a Angelucho y Josep Albors en una Sh3llcon pasada incitándome. Al final lo habéis conseguido… La experiencia fue muy grata. Ver a ese volumen de gente y el nivel de los speakers es, sin duda, un momento especial. Mirar la revista de Black Hat y ver a uac-a-mola con el DirtyPi y herramientas reconocidas como OWASP ZAP, Dradis Framework, DET, ExploitPack, extensiones de Burp Suite…

Respecto a uac-a-mola. La idea la tenía desde principios de 2017. Lo que faltaba era el tiempo. Había hablado con Pablo San Emeterio y con Ioseba Palop de ello. Al final, llegó al equipo Santiago Hernández y sus primeras tareas fueron trabajar en uac-a-mola. Creo que los dos estamos orgullosos de cómo ha quedado el proyecto, si tenéis la oportunidad de crear un módulo y probarlo veréis el potencial. Además, ya hemos visto que la parte de investigación funciona ;-)

- Has estado en infinidad de CONs y has conocido a gente fantástica. ¿A quién admiras en este mundo nuestro?

Es una pregunta difícil, pero que para identificar a algunos es fácil. Chema Alonso. Muchos pueden ver esto como un "claro es su jefe", pero a mí lo que digan siempre me ha dado un poco más igual. Digo Chema por todo lo que me ha enseñado tanto en una CON, como en el día a día del trabajo.

También digo David Barroso. Él seguramente no lo sepa, y puede que si lee esto se entere aquí, pero me ha enseñado muchas cosas y es un hombre admirable por su forma de ser, por su conocimiento y por su comunicación.

Existen otros nombres, la verdad que hay mucha gente a la que admirar en el panorama nacional e internacional. Por ejemplo, Selvi y Siles son dos personas e investigadores dignos de admirar. Escapan de los jaleos y son admirables por su conocimiento y comunicación.

También te voy a nombrar a nuestro CISO, aunque me intente "trolear" cada vez que nos vemos, lo intenta, pocas veces lo consigue… Alejandro Ramos "dab" es un referente y un ejemplo detrás de esa dura piel.

Con Pablo González (mi wingman en 11paths & 0xWord) y Kevin Mitnick. Good hackers. Good friends }:)

A post shared by Chema Alonso (@chemaalonso) on Nov 23, 2017 at 12:00pm PST

Por último, también quiero nombrar a Kevin Mitnick. Gracias a ti he podido conocer a alguien que conocía desde los 14 años y que ha sido un referente. Hoy en día puedo whatsappear con él, hacerme una foto con él cuando viene a Madrid y poder contarle investigaciones y cosas que hacemos en Telefónica. Una vez que le conoces, ves que es un tio distinto, un genio en su forma de ser.

- No es casualidad tu desarrollo profesional, que pocos saben que siempre fuiste un buen estudiante. ¿Qué significó ser primero de promoción y tener un premio extraordinario en tu Universidad?

Ambos reconocimientos me llegaron cuando tenía 23 años. Me llegó por sorpresa. No sabía ni que daban esos premios. Lógicamente es algo que te llena de orgullo. Pensé en todo el esfuerzo de la carrera, de las asignaturas, de las horas de estudio y también de las horas de no estudio en la biblioteca. Pero al final, me di cuenta que aquello era importante no por mí, si no por la familia. Los que nunca fallan. Los que te han visto crecer, esforzarte, caer, levantarte, volver a caer, ayudarte a levantar. Ver el orgullo por tí en los ojos de otros es algo que no se paga.

Días después te puedo contar lo que supuso también, lo cual he comentado en alguna mesa redonda. Uno tiene 23 años, sale de la Universidad y se puede creer cosas que no son. Nos pasará a todos. Yo podía creerme el primero de una promoción, pero al volver a la oficina veía a mis compañeros de trabajo con estudios inferiores y que me sacaban años luz. Esto era un choque de conceptos para mí, porque mi Universidad me premiaba a la par que yo veía a chicos de mi edad en Informática 64 que me daban mil vueltas. Lógicamente, te das cuenta que una cosa no quita la otra, así que me motivó a seguir aprendiendo, a seguir conociendo, a seguir luchando y disfrutando del sector. Esfuerzo, dedicación, pasión, práctica y al final… todo llega. Sin duda, toda una experiencia.

- Y ahora Microsoft te han nombrado Most Valuable Profesional. ¿Pesa la responsabilidad?

Fue un honor para mí. Lo sigue siendo y espero que lo siga siendo en un futuro próximo. Cuando Kinomakino o Joaquín Molina, me comentó que me había nominado pensé, ¿Yo? ¿Por qué? Él me comentó su opinión al respecto y después Microsoft hizo el resto. Lógicamente, es una responsabilidad, pero una motivante responsabilidad. 

He "paseado" la condición de MVP de Microsoft con orgullo en las clases, en los congresos y he dedicado tiempo a investigar y a difundir la seguridad en productos de Microsoft. De esto se trata y estoy orgulloso. Veremos si no me quedo en un año tuve un MVP o sigo siendo MVP en 2018-2019. Sea como sea, gran responsabilidad, gran experiencia y gran orgullo para mí.

- Mucha gente se agobia con la avalancha de ideas. Cuando nos sentamos a repasar los proyectos que llevamos discutiendo meses tú disfrutas como yo. No te agobias. ¿Cuáles son tus trucos para gestionar el tiempo?

Supongo que son los años que llevamos juntos. Esto uno lo ve como algo natural. El día a día en la oficina que suelen decir. Como dije antes, tenemos mil frentes abiertos y no hay mucho más truco que el de planificar prioridades, impacto de las cosas y necesidades de la empresa. Al final, todo es cuestión de prioridades y todas las ideas, pruebas, proyectos que llevamos deben estar "ordenados" de alguna forma. 

Mi truco estudiar la prioridad, el impacto, la volatilidad de la idea o el proyecto, las necesidades de la empresa… Después de la fórmula obtenemos una lista de hitos. Además, somos un equipo repartimos tareas y optimizamos tiempo. Somos un equipo ágil, eso me encargo yo de decírselo a todos los que entran con nosotros. Somos un equipo de innovación, un minilab de ideas locas y debemos ser ágiles, dar respuesta fiable en un tiempo adecuado. Al final el tiempo se optimiza y salimos adelante.

- Yo te he visto meterte a fondo con Metasploit y con Powershell (de los dos has escrito un libro). ¿Con qué te diviertes más?

Disfrutar más con Metasploit, sobretodo metiéndome a un nivel más bajo que el uso de la consola. Disfruto con los módulos, con la creación de funcionalidades o utilidades para Metasploit, un ejemplo fue el Latch que le puse a mi Metasploit en unas navidades. Pronto os podremos dar alguna sorpresa.

- ¿Y de las investigaciones con Metasploit y con Powershell? ¿Cuál es la que más disfrutaste?

Hay varias. En 2013 presenté en Rooted "Metasploit & Flu-AD: Avoiding AVs with Payloads/DLLs Injection", junto a Juan Antonio. En este trabajo se aprovechaba Flu-AD para integrarlo con Metasploit y poder hacer que el binario pesara lo menos posible, consiguiendo cargar funcionalidad directamente en memoria y logrando evadir AVs. Es un trabajo con el que disfruté bastante.

Figura 5: Metasploit & Flu-AD

En el año 2015 trabajé en un trabajo, el cual también podía tener cierta integración con Metasploit, que proponía el siguiente escenario: "Auditoría interna de sistemas en una organización, te dan un equipo y no tienes herramientas para la auditoría, ¿Qué haces?". Teniendo Powershell en el equipo no hay problema.

Figura 6: Dame PowerShell y moveré el mundo

La idea fue crear una herramienta en Powershell que iba permitiendo al pentester ir cargando funciones de ubicaciones remotas en memoria, sin tocar disco. Después, en el año 2016 hubo una evolución de la herramienta haciéndola más estable. He de decir, que cuando empecé con ello no conocía Powershell Empire, después me di cuenta del potencial de dicho proyecto y dejé un poco de lado a mi querido PSBot, pero nunca se sabe quizá reaparezca algún día tal ave Fénix.

- También das clases en la Universidad y diriges Proyectos de Fin de Carrera. ¿De todos los trabajos que han hecho los chavales, con cuál te quedas?

Es una pregunta difícil. Todos los proyectos que he llevado tienen algo especial. Generalmente, ves el esfuerzo de los chavales/as y todos te dejan algo nuevo. Es difícil quedarme con alguno, pero ha habido algunos bastante potentes, por ejemplo, hace unos años llevé un proyecto que realizaba un estudio sobre la seguridad en RF en las llaves de los coches y se hicieron pruebas con distintos coches de distintas épocas. Se implementaron ataques para las pruebas. Eso sí, todo en un entorno propio y controlado por los chavales.

No solo me quedo con ese, como te dije, me quedo con todos, porque todos tienen algo diferenciador y el esfuerzo que hay detrás, pero, por nombrar otro, el año pasado llevé uno de creación de perfiles a través de la captura de tramas de red muy interesante. ¿Cómo podemos saber por el tráfico que un tio tiene una cuenta en un banco? ¿Cómo podíamos saber cuál era tu operador? Tus peticiones DNS, HTTP, pueden darte esas respuestas. La idea surgió en un Equinox y la presentamos Ioseba Palop y yo. Después, convertí esa idea evolucionada en un TFM y también me gustó bastante el resultado.

- Ahora uno de los grandes misterios. ¿Cómo me aguantas después de tanto tiempo juntos?

¿Podríamos llevar este caso a cuarto milenio como un misterio? Para responderte a esta pregunta voy a comentar algo previamente. Cuando entré en Informática64 en el año 2009 yo no conocía a Chema Alonso. No sabía quién era, ni a que se dedicaba. Quizá eso fue clave para ir conociendo al trabajador/jefe e, incluso, también a la persona desde cero. Al final, uno ha escuchado muchas cosas y más de alguien con una imagen pública como la tuya, pero debe ser la experiencia personal de uno propio la que vale, la que te haga poder opinar.

Ahora sí, para responderte decir que creo que tenemos partes en común en lo que al trabajo se refiere y eso hace que me haya sido algo más fácil el estar en el día a día contigo. Eres una persona exigente en el trabajo y que se esfuerza y ejemplifica lo que es la pasión y el esfuerzo por llevar a cabo las cosas por lo que el día a día es exigente, sin duda. Pero, después de todo este tiempo creo que ha sido sencillo "aguantarte", somos parecidos en lo que buscamos del trabajo.

- Y la última, ya sabes, paternal... ¿te vas animar a hacer el doctorado?

Sabes que es una idea que tengo en la cabeza y que creo que debo llevar a cabo. No por necesidad, si no por qué me atrae la idea. Empecé en su momento en mi querida URJC, pero tiempo después se quedó en "stand by" y tengo que volver a retomar. El día a día ahora es frenético, pero sí me gustaría en algún momento de los próximos meses poder parar un poco y dedicarle a la tesis. Tenemos muchas ideas de por dónde conducir esto, lo que echamos más de menos es el tiempo.