Director @Securizame. Ingeniero Informático. International Speaker at Security Conferences. Perito Informático Forense Colegiado #DFIR Co-Founder @secbydefault
/home/securizame
Joined January 2010
- Tweets39.4K
- Following1.8K
- Followers20.4K
- Likes21.3K
Pinned Tweet
Hablando con @CiberPoliES me he dado cuenta que no está documentado cómo usarlo. Es algo que tengo pendiente, pero os pongo una captura de pantalla de la charla que di en @rootedcon Prometo documentar su uso!
¡Liberamos al público Lintriage: la herramienta del DFIRer en #Linux! ¡Podéis descargarla gratis! Esperamos que se convierta en una aliada en vuestras investigaciones forenses. ¡Probadla y contadnos que os gustaría ver en futuras versiones! securizame.com/lintriage-la-… #Ciberseguridad
Lorenzo Martínez retweeted
Hablo como ingeniero informático + profesor de facultad de informática. Lo siento, en 2026 tener un sistema crítico que usa terminales Vax (lo de la foto son Digital Vax 320) es para moler a palos al responsable de esa infraestructura. (sigo)
libertaddigital.com/libremer…
Lorenzo Martínez retweeted
🔷 EXCLUSIVA ABC 🔷
🔴 Óscar Puente echó a técnicos y llenó la cúpula de Adif de militantes socialistas
🔎 Investigación de @KettyGarat
abc.es/espana/xxxxxxxxxxxxx-…
Lorenzo Martínez retweeted
BREAKING: World's largest crypto exchange Binance hacked with over $5.6 billion stolen:
• $1.45 billion $BTC
• $875 million $ETH
• $234 million $TRX
• $50 million $XAUT
• $1.57 billion $USDT
• $823 million $USDC
• $75 million $WBETH
• $88.5 million $RLUSD
+ $447.5 million additional cryptocurrencies
This is the largest hack in crypto history.
Lorenzo Martínez retweeted
¡Futuros especialistas en DFIR!
El próximo 10 de noviembre tendrán lugar las pruebas de selección para la formación de DFIR y Análisis Forense que impartiremos en el Centro de Novas Tecnoloxías de Galicia (CNTG), de la mano de @lawwait linkedin.com/company/cntg/ #Ciberseguridad
🤖 Made with AI
Me llega un correo y SMS de una notificación de la AEAT a mi empresa. Me conecto tras un montón de errores a dehu[.]redsara[.]es y me aparece que tengo 0 notificaciones nuevas... No me extraña nada que retrasen lo de verifactu. Es una vergüenza cómo funciona todo
Lorenzo Martínez retweeted
I think we've discovered another critical vulnerability:
CVE-2026-BURNOUT: AppSec Professional Exhaustion
Severity: Critical (CVSS 10.0)
Description: A vulnerability affecting security professionals exposed to a continuous stream of critical RCEs, zero-days, emergency patches, and Friday afternoon disclosures.
Impact: Sleep deprivation, excessive caffeine consumption, and an inability to enjoy weekends.
Attack vector: Reading security advisories.
Affected versions: All AppSec professionals, regardless of experience.
Mitigation: No known patch. Air-gapping may delay the inevitable. Total system collapse remains a possibility. 🔥
Ya se ha publicado más info de las vulnerabilidades de @php_net en php.net/. Para mitigar mientras se publican los parches, aparte de la línea session.upload_progress hay que modificar memory_limit = -1 y poner un valor bajo a post_max_size y upload_max_filesize
Lorenzo Martínez retweeted
Tras un ciberataque, cada evidencia cuenta. ¡Inscripciones abiertas para DFIR y Análisis Forense 2027 con @lawwait ! Aprende a investigar incidentes y saber cómo actuar frente a ellos. ¡Una formación sin igual! securizame.com/analisis-fore… #CiberSeguridad #Noticia #Cursos
OJO que esto puede ser muy grave. Solución rápida: Buscar y editar la línea session.upload_progress.enabled y cambiar de On a Off en php.ini / .user.ini (quitar el ; del principio de la línea). Luego reinicia el servicio web y/o php-fpm
⚠️ UPDATE: PRE-PATCH STOPGAP FOR TWO CRITICAL PHP RCE FLAWS (CVE-2026-109618 / CVE-2026-109619)
PHP's emergency release for two vulnerabilities, both rated CVSS v4.0 9.2, is scheduled for today, Oct 21 at 14:00 UTC (10:00 a.m. ET). PHP has published NO technical details, affected versions or fixed versions yet, and reserves the right to ship earlier if details leak or exploitation appears.
What's confirmed:
• Two critical flaws, both CVSS v4.0 9.2, patches due Oct 21 14:00 UTC
• php.net has withheld all technical detail until release; mainstream reporting notes the CVEs are real and may reach back to PHP 5
Unconfirmed researcher assessment (their own read of php-src, moderate confidence):
• Likely path is session.upload_progress / multipart rfc1867 handling (php_session_rfc1867_callback) — present since PHP 5.4, on by default, reachable before authentication
• A quoted post claims two heap use-after-free bugs there were recreated in a lab. Treat the root cause and the recreation claim as unverified until PHP's advisory confirms them.
⚠️ Analyst Note (stopgap you can apply now, low-risk and reversible):
• Set session.upload_progress.enabled = Off in php.ini / .user.ini, then reload PHP-FPM or your web server. By the researchers' own read this may close only one of the two likely paths.
• Tighten WAF or reverse-proxy inspection of, or rate-limit, multipart/form-data POSTs to endpoints that don't need uploads — the second likely path runs for any multipart POST regardless of the setting.
• Inventory every PHP host now and patch the moment the release lands. PHP 7.x and older are end-of-life and will NOT get a fix — plan to upgrade.
No proof-of-concept or exploit detail is being shared. No active attacks have been established.
Credit to researchers @J4ck3LSyN, @acd421 and @ArchKnight23 for the early mitigation guidance.
Primary: jackalsyn[.]com · php.net · arstechnica[.]com
#PHP #CVE #RCE #CyberSecurity #ThreatIntelligence #PatchNow #DDW #DarkWeb
Lorenzo Martínez retweeted
“ACTUALIZACIÓN: Puedo confirmar que la cadena de suministro de Ledger también está comprometida en Europa. @Ledger debería iniciar un retiro inmediato de productos para proteger a los usuarios.
Acabo de comprar un segundo dispositivo en una ubicación diferente de Mediamarkt hoy, grabé el proceso de desempaquetado y descubrí spyware una vez más (video enlazado en el segundo tuit).
El dispositivo estaba comprometido de exactamente la misma manera, presentando modificaciones idénticas (como cables adicionales y un módulo LTE). Esto indica que se trata de un problema generalizado en lugar de un incidente aislado, que potencialmente afecta el inventario de Ledger en tiendas MediaMarkt y Saturn en toda Europa (que comprende más de 1.000 tiendas en 11 países).
Mi hipótesis inicial era que estos dispositivos eran devoluciones que parecían sin abrir a los empleados y simplemente se volvieron a vender como nuevos; sin embargo, un empleado de MediaMarkt confirmó que el dispositivo que compré no era una devolución, y que los Ledger devueltos se envían directamente de vuelta al fabricante en lugar de revenderse.
Los registros de la tienda muestran que el inventario se originó en Aqipa GmbH. Aunque el CTO de Ledger no estaba seguro de si Aqipa actúa como el distribuidor directo entre Ledger y MediaMarkt, parece que es el caso. Dado que Aqipa distribuye en toda Europa, cualquier tienda minorista física que reciba existencias a través de ellos podría estar en riesgo.
Envié el primer ledger a mark y el segundo está yendo a ledger ahora, para que puedan analizarlo.
Si compraste un ledger de alguien que no sea la tienda oficial de ledger, ¡asegúrate de revisar tu dispositivo!!” h/t @0xJohannes_
Lorenzo Martínez retweeted
GitHub duplica usuarios gracias a no programadores
GitHub duplica sus usuarios gracias a la integración de la IA y la llegada de personas no técnicas que no saben programar
blog.elhacker.net/2026/10/gi…
Lorenzo Martínez retweeted
I got hacked at 3:59 AM without clicking anything. My voicemail handed the attacker my Telegram login code.
Here is exactly how it worked, so it doesn't happen to you.
3:54 AM. My phone rings about ten times in a row, No Caller ID. That was not harassment. It was the attack: keep my line busy.
Meanwhile, the attacker asks Telegram to log in with my number and picks "send the code by phone call". My line is busy, so Telegram's robot call lands on my voicemail and reads the code out loud to it.
Carrier voicemail can often be reached remotely, with a default PIN or a spoofed caller ID. He listens to the message. At 3:59 he is in.
Fortunately, the attack was noisy. The calls woke me up. At 4 AM I only wanted to go back to sleep, but I had the presence of mind to check my notifications. Telegram was showing a new login from a device I didn't know. That check is what saved me: I ended his session within minutes. If I had rolled over, the next day would have been a mess.
In those few minutes he had already typed /balance, then /start on every old wallet bot he could find in my chats. He was hunting for funds tied to my Telegram. The bots were long dead and nothing was lost. He still had time to set his own 2FA password on my account.
What would have stopped it:
Telegram two-step verification, with a recovery email. With a password on the account, the code alone is useless.
Your voicemail. Change the PIN, block remote access, or turn it off (##002# cancels call forwarding on most carriers).
Same for WhatsApp and any service that can send a code by voice call.
No seeds, keys or passwords in Saved Messages. Ever.
A burst of masked calls at night is a signal, not a nuisance. Check your notifications and your active sessions.
I have been building in crypto for more than ten years and I had never thought about my voicemail. Check yours today.
Lorenzo Martínez retweeted
Mire @isabelrguez
El no tiene ningún cacao y lo explica para tontos... y sin mentir 👇🏼
Lorenzo Martínez retweeted
Presentamos Decoys, nuestro nuevo servicio de detección temprana de amenazas.
Desplegamos señuelos en tu infraestructura para detectar actividad sospechosa. El atacante cree que ha encontrado un objetivo, en realidad, acaba de delatarse. Descubre Decoys: securizame.com/decoys-detect…
Lorenzo Martínez retweeted
Detienen al ex número dos de la embajada venezolana con 50 kilos de coca en Barajas.
Lo cuenta Antonio Rodríguez (@antonioRG9).
theobjective.com/espana/poli…
Lorenzo Martínez retweeted
¡No podemos celebrar una HoneyCON sin @lawwait! Con su ponencia Memorias de un perito forense XII+I.
#HoneyCON26 #Guadalajara
Lorenzo Martínez retweeted
'Yo no he sido' y 'Yo no he tocado nada' las dos frases más repetidas en un incidente de seguridad y que dan para muchasssss historias como las que cuenta siempre @lawwait En #HoneyCON26 entretenida con su volumen XII+I de un perito forense @Honey_SEC #HoneyCON
Lorenzo Martínez retweeted
¡Gracias a todos los asistentes a la charla de Lorenzo Martínez @lawwait "Memorias de un perito Informático forense Vol XII+I" en la @Honey_SEC! Y enhorabuena a la organización del evento. #Ciberseguridad #Noticia
