Boletín nº 67 Noticias Seguridad en Comunidad Movistar Empresas
Any.Run, la herramienta interactiva de análisis de malware, abierta a todos de forma gratuita Esta semana la herramienta interactiva de análisis de programas maliciosos Any.Run ha anunciado que su versión gratuita de la comunidad está disponible y abierta a cualquiera. Quien lo desee puede registrarse en el servicio y emplear su cuenta para analizar interactivamente y sin coste, en un entorno aislado y seguro para su equipo, diferentes tipos de malware. Lo que hace especial a esta utilidad de análisis es que su funcionamiento es completamente interactivo. Esto permite la carga de un fichero potencialmente malicioso y la manipulación del mismo en tiempo real mientras la herramienta lleva a cabo su examen. En otros entornos aislados de pruebas hay que cargar el archivo y esperar a que el servicio proporcione el análisis, sin permitirse ningún tipo de interacción. Esta característica, su principal atractivo, permite un testeo más visual y revelador de todo aquel malware que requiere la interacción del usuario. Como por ejemplo, el que demanda el avance a través de varias ventanas en una instalación o juega con el usuario lanzándole ventanas con diferentes mensajes y opciones. Además de permitir el análisis en profundidad de objetos maliciosos no identificados, también facilita la investigación de otros tipos de ataque. Fuente: www.genbeta.com. Un niño bloquea el iPhone de su madre para los próximos 47 años Ocurrió en Shangái, China, el pasado mes de enero. Como si quisiera lograr un récord Guiness y entrar en la historia de las hazañas más imposibles, un niño ha conseguido algo totalmente inaudito: bloquear el iPhone de su madre para los próximos 47 años. Si normalmente se acostumbra a decir a los padres que mantengan los aparatos electrónicos fuera del alcance de los niños, esta noticia confirma la gran verdad de estas palabras. Y si no, que se lo pregunten a la madre que encargó a su hijo que cuidara de su smartphone. Al parecer el pequeño había introducido tantas veces el código de desbloqueo que el periodo de inhabilitación era inasumible. Según ha contado la protagonista a Kankanews.com, ella solía dejar el móvil al niño para ver vídeos educacionales pero cuando volvió un día a casa encontró escrito en la pantalla: “inhabilitado para los próximos 25 millones de minutos”. El rotativo chino se puso en contacto con un técnico de Apple para intentar dar con una solución a esta problemática. Los profesionales le plantearon dos opciones a la dueña del teléfono móvil: esperar 47 años o directamente resetear el dispositivo con la consiguiente pérdida de información del dispositivo. Fuente: www.lavanguardia.com. Aumento de ataques al sector salud, extracción de criptomonedas El aumento en el valor de Bitcoin llevó a los hackers a centrarse en el secuestro de criptomonedas a través de una variedad de métodos, incluidas las aplicaciones maliciosas de Android. Durante el cuarto trimestre de 2017, los profesionales de seguridad de la información vieron en promedio ocho nuevas muestras de amenazas por segundo y el uso creciente de ataques de malware sin archivos aprovechando Microsoft PowerShell. “El cuarto trimestre se definió como: malware sin archivos, extracción de criptomonedas y esteganografía. Incluso las tácticas probadas y verídicas, como las campañas de ransomware, se aprovecharon más allá de sus medios habituales para crear humo y espejos que distraigan a los defensores de los ataques reales“, dijo Raj Samani, experto en seguridad de la información de McAfee. “La colaboración y el intercambio de información liberalizada para mejorar las defensas de ataque siguen siendo críticamente importantes a medida que los defensores trabajan para combatir la escalada de la guerra cibernética asimétrica”. Fuente: noticiasseguridad.com. El ataque de MOSQUITO permite que las computadoras con espacios de aire intercambien datos de forma encubierta El equipo de investigadores de seguridad que el mes pasado demostró cómo los atacantes podrían robar datos de computadoras con protección contra el aire dentro de una jaula de Faraday, están de regreso con su nueva investigación que muestra cómo dos o más PCs ubicados en la misma habitación pueden encubrirse e intercambiar datos a través de ondas ultrasónicas. Se cree que los ordenadores con espacio de aire son la configuración más segura en la que los sistemas permanecen aislados de Internet y las redes locales, lo que requiere acceso físico para acceder a los datos a través de una unidad flash USB u otros medios extraíbles. Conocida como MOSQUITO, la nueva técnica, descubierta por un equipo de investigadores de la Universidad Ben Gurion de Israel, funciona invirtiendo los altavoces pasivos o auriculares conectados en micrófonos mediante la explotación de una función específica de chip de audio. Hace dos años, el mismo equipo de investigadores demostró cómo los atacantes podían escuchar de forma encubierta conversaciones privadas en su habitación simplemente invirtiendo sus auriculares conectados a la computadora infectada en un micrófono, como un dispositivo de detección de errores, usando malware. Fuente: thehackernew.scom. Los Hackers APT infectan Routers para implantar secretamente Malware para espiar Los investigadores de seguridad de Kaspersky han identificado un grupo de hacking APT sofisticado que ha estado operando desde por lo menos 2012 sin que hayan sido descubiertos por sus complejas e inteligentes técnicas de hacking. El grupo hacking utiliza una pieza de malware avanzado, denominado Honda para infectar cientos de miles de víctimas en el Oriente Medio y África por piratería en sus routers. Según indica un informe publicado por Kaspersky Labs, el grupo explota desconocidas vulnerabilidades en routers de un proveedor de hardware de red letona Mikrotik como su vector de infección de la primera etapa para plantar secretamente su spyware en computadoras de las víctimas. Aunque no está claro cómo el grupo logró comprometer los routers, en un primer momento, Kaspersky apuntó a WikiLeaks Vault 7 CIA Leaks, que reveló el exploit ChimayRed, ahora disponible en GitHub, para comprometer los enrutadores Mikrotik. Una vez que el router está comprometido, los atacantes sustituyen uno de sus archivos DDL (bibliotecas de vínculos dinámicos) por uno malicioso del sistema de archivos que se carga directamente en la memoria de la computadora de la víctima cuando el usuario ejecuta el software Winbox cargador. Fuente: thehackernews.com. Gozi Trojan usa Dark Cloud Botnet en nueva ola de ataques Gozi IFSB, un troyano bancario que ha estado rondando por Internet durante varios años, ha vuelto con nuevos objetivos, nuevas características y una nueva botnet para su distribución. Los cambios, detallados por Talos Intelligence el martes, sirven para que el troyano sea una amenaza más peligrosa para un grupo selecto de víctimas. Gozi IFSB ha comenzado a utilizar el botnet Dark Cloud en campañas recientes, un desarrollo que muestra que los atacantes se están moviendo a infraestructuras que están asociadas con actividades criminales y maliciosas generalizadas. Dark Cloud, que utiliza computadoras personales comprometidas como hosts para sitios web que cambian de dirección cada pocos minutos, se basa principalmente en Europa del Este y Rusia. La campaña más reciente usa mensajes de correo electrónico individualmente dirigidos con archivos maliciosos de Microsoft Word como el mecanismo de entrega de la carga de malware. Fuente: www.darkreading.com Ahora tus datos personales en la Dark Web van acompañados de tu selfie En la Dark Web se pueden comprar muchas cosas ilegales, como droga, identidades robadas, armas, herramientas de hackeo, y un largo etcétera. Ahora, algunas de las identidades robadas en la Dark Web están empezando a venir acompañadas de datos personales todavía más peligrosos, como selfies. Datos personales, por 70 dólares se puede suplantar a una persona. Eso es lo que ha descubierto la empresa de seguridad israelí Sixgill. En uno de los miles de volcados de datos en un foro ruso de la Dark Web encontraron uno que destacaba frente a los otros porque incluía fotografías de las personas a las que pertenecía cada identidad. Fuente: www.adslzone.net. Descubren 200 millones de cuentas en la Dark Web Especialistas en seguridad de Hacked-DB descubrieron datos que contienen las credenciales de inicio de sesión de millones de usuarios en la Dark Web. En total, descubrieron 3.000 bases de datos que contienen 200 millones de cuentas de usuario únicas que incluyen direcciones de correo electrónico, información personal, cuentas financieras, direcciones IP únicas, identificadores de cuenta únicos y otra información confidencial vinculada a organizaciones e individuos alrededor del mundo. La filtración incluye bases de datos desde 2011 hasta hoy en 2018, y la información incluye cuentas personales con contraseñas sin formato o hash que pueden revertirse fácilmente a la contraseña misma. La mayoría de estas bases de datos no se detectaron antes de esta fuga y el tamaño total de los archivos filtrados es de 9 GB. Fuente: www.cybersecurityintelligence.com Amazon, google y playstation sufrieron ataques DDos La vulnerabilidad en Memcached Servers ha estado expuesta a las masas desde que su código de prueba de concepto (PoC) fue publicado recientemente en línea. Esa exposición ahora permitiría a los script kiddies realizar ataques DDoS a gran escala como si el reciente ataque masivo DDoS contra Github y el mayor ataque de 1.7Tbps del mundo sobre una firma estadounidense no fueran suficientes. Según una lista proporcionada por una empresa de seguridad de la información, las siguientes empresas y sitios web han sido golpeados por ataques DDoS a través de servidores Memcached mal configurados. Fuente: noticiasseguridad.com. Si estás interesado en temas de seguridad, te recomendamos que accedas a nuestro foro de seguridad. ¡Hasta la próxima semana!Boletín nº 75 Noticias Seguridad en Comunidad Movistar Empresas
Datos de 3,1 millones de usuarios de Facebook expuestos por aplicación de terceros Después de toda la tormenta generada por el escándalo de Cambridge Analytica, una investigación llevada a cabo por New Scientist muestra que una aplicación desarrollada en la Universidad de Cambridge ha terminado por exponer los datos privados de 3,1 millones de usuarios. La aplicación, que era vendida como un test psicológico, se llamaba myPersonality y estuvo enviando datos personales como la edad, el sexo, la localización, el estado de las actualizaciones y otros resultados a investigadores de otras universidades y de distintas compañías, entre las que se encuentran Google, Microsoft, Yahoo y la propia Facebook, que accedían a lo recopilado mediante un sitio web compartido. Lo peor fue que unos estudiantes, después de subir código a GitHub (cosa normal en los entornos universitarios), acabaron filtrando, posiblemente sin querer, el usuario y la contraseña para acceder al sitio web compartido, por lo que dicha credencial se podía obtener con tan solo realizar una búsqueda en Internet. El escándalo de Cambridge Analytica ha obligado a Facebook a reforzar sus políticas en torno a la privacidad. Fuente: muyseguridad.net. Malware que mina criptomonedas CSIRT-CV ha elaborado un informe sobre el estado del arte del malware destinado a minar criptomoneda, tan en auge en los últimos meses. CSIRT-CV en colaboración con el laboratorio de malware de S2Grupo ha elaborado un informe que contiene un estado del arte de las distintas variantes de amenazas orientadas al minado de criptomoneda más comunes. En concreto se detallan el tipo de equipos objetivo más comunes de cada una, así como sus principales vías y técnicas de infección. A partir de todos los datos recopilados se puede remarcar el considerable incremento de nuevas amenazas orientadas al minado de criptomoneda, y de entre ellas el hecho de que la mayoría se basan en código reutilizado de repositorios públicos que puede ser utilizado de forma legítima. Otro detalle remarcable es que se está explotando todo tipo de dispositivos desde equipos de usuario, servidores, smartphones y dispositivos IoT. Fuente: www.csirtcv.gva.es Wicked-Mirai: nueva variante más agresiva Expertos de la empresa Fortinet identificaron a esta nueva variante de la famosa botnet Mirai a la que denominaron Wicked-Mirai. Esta nueva variante incluye al menos 3 nuevos exploit en comparación a la versión original. Usualmente los módulos que están dentro del bot Mirai son 3: Attack, Killer, y Scanner. En el análisis que realizó Fortiguard, esta nueva variante "Wicked" se centró en el mecanismo de distribución del malware. La versión original de Mirai utilizaba intentos de fuerza bruta para ganar acceso a los dispositivos IoT, pero la versión nueva viene con algunos exploit ya conocidos para realizar los ataques. Wicked utiliza los puertos 8080, 8443 80 y 81 para intentar realizar la detección de los dispositivos. Si la conexión es exitosa este intentará utilizar el exploit y descargar la carga útil. Fuente: www.seguridadyfirewall Extensiones maliciosas de Chrome infectan a más de 100.000 usuarios Ciberdelincuentes desconocidos infectaron más de 100.000 PCs mediante siete extensiones maliciosas para el navegador web Chrome, que estaban alojadas en la tienda oficial de Google. Hace tiempo que las extensiones maliciosas (y otro tipo de apps) superaron la seguridad de la tienda de aplicaciones de Google y lamentablemente se repiten este tipo de noticias a pesar de los esfuerzos del gigante de Internet. Abarcar todo su ecosistema de forma minuciosa es una tarea difícil, por lo que a veces hackers y cibercriminales consiguen colar software malintencionado tanto en la Play Store como en la Chrome Store. En enero, ICEBRG detectó cuatro extensiones maliciosas en la Chrome Store que llegaron a infectar alrededor de medio millón de computadoras, incluyendo estaciones de trabajo pertenecientes a organizaciones importantes. El mes pasado, Google decidió eliminar las extensiones de criptominado de la Chrome Web Store por los problemas derivados de esta actividad. La historia se repite, según el anuncio de la firma Radware, que habla de 100.000 máquinas infectadas por descargas de siete extensiones maliciosas de Chrome vinculadas al criptominado desde la tienda oficial. Con ello, los ciberdelincuentes habrían obtenido datos de inicio de sesión y otros confidenciales de los usuarios. Una buena parte de ellas se propagaron a través de enlaces falsos enviados a la red social Facebook. Fuente: www.muyseguridad.net Brain Food: Botnet para spam en PHP encontrado en 5.000 servidores Han conseguido comprometer 5.000 servidores con un script malicioso en PHP que ha sumado ordenadores para llevar a cabo campañas de spam a escala, las cuales van redirigiendo a los usuarios hacia páginas web sobre presuntas píldoras para potenciar dietas y mejorar la inteligencia. Fuente: www.bleepingcomputer.com Speculative Store Buffer Bypass: vulnerabilidad en Red Hat y KVM Speculative Store Bypass es una vulnerabilidad de seguridad descubierta recientemente por varios investigadores de seguridad de Google y Microsoft y bautizada por Spectre-NG y parece ser una cuarta variante del error de hardware de Spectre divulgado públicamente a principios de este año en microprocesadores modernos, y luego descubierto para afectar miles de millones de dispositivos. Los investigadores de Google y Microsoft descubrieron el error de forma independiente. Los errores se funcionan de manera similar a los errores Meltdown y Spectre, una razón por la cual se clasificaron como "variante 3a" y "variante 4" en lugar de vulnerabilidades separadas por completo. AMD, ARM, Intel, Microsoft, y Red Hat han publicado avisos de seguridad en el momento de la redacción, con explicaciones de cómo funcionan los errores, junto con los consejos de mitigación. Fuente: access.redhat.com Identifican APT Crouching Yeti, conocido por sus ataques a compañías industriales Kaspersky Lab ha descubierto la infraestructura utilizada por el conocido grupo APT de habla rusa Crouching Yeti, también conocido como Energetic Bear. Numerosos servidores en diferentes países se han visto afectados desde 2016, a veces solo con el fin de obtener acceso a otros recursos. Otros muchos, incluidos aquellos que alojan sitios web rusos, se utilizaron para ataques "watering hole". Crouching Yeti es un grupo de habla rusa de amenazas persistentes avanzadas (APT) al que Kaspersky Lab lleva siguiendo desde 2010. Es muy conocido por dirigirse contra industrias de todo el mundo, con un interés prioritario por las instalaciones de energía, con el objetivo de robar datos valiosos de los sistemas. Una de las técnicas que el grupo utiliza es la de los ataques "watering hole" (los atacantes inyectan en una web un enlace que redirige a los visitantes a un servidor malicioso). Fuente: diarioti.com Ciberdelincuetes roban 15 millones en México A finales de Abril, diversos bancos mexicanos registraron que estaban sufriendo fallas en sus sistemas de pagos y transferencias interbancarios. En este caso, el SPEI (Sistema de Pagos Electrónicos Interbancarios), que es administrado por el Banco de México(Banxico) por ser la institución financiera central del país, fue lo que presentó problemas. El sistema SPEI de México es una red doméstica similar al sistema de mensajería global SWIFT que mueve miles de millones de dólares diariamente. El 27 de abril las transferencias electrónicas de los bancos se volvieron lentas. Siendo viernes y fin de mes, varios mexicanos esperaban el pago de sus salarios por lo que algunos usuarios comenzaron a denunciar las irregularidades. Aunque se cree que fue un intento de ciberataque o una vulnerabilidad en el SPEI lo que causó que miles de trabajadores no recibieran sus pagos, Banxico rechazó la posibilidad. En su lugar acusó a los bancos afectados de ser los responsables del problema, y les ordenó trabajar en un protocolo de contingencia que provocaría retrasos en los movimientos realizados. Este protocolo de contingencia pone las transacciones en manos humanas, por lo que aunque han sido capaces de realizar algunos pagos y de retornar dinero a las cuentas originales de aquellos movimientos que no se completaron, toma una considerable cantidad de tiempo el realizar todo esto. Fuente: www.fayerwayer.com Software malicioso de minería realiza medio millón de ataques en tres días La instalación de un software de minería desde la web, a espaldas de los usuarios, es una tendencia muy en boga. Pero esta semana tomó un giro más agresivo, con un malware denominado WinstarNssmMiner, del cual se han detectado 500.000 ataques en tres días y habría dejado hasta 30.000 dólares en ganancias para los delincuentes en la criptomoneda monero. Fuente: www.criptonoticias.com Si estás interesado en temas de seguridad, te recomendamos que accedas a nuestro foro de seguridad. ¡Hasta la próxima semana!
