Boletín nº 80 Noticias Seguridad en Comunidad Movistar Empresas
Miles de Apps para Android y IoS están exponiendo datos de sus usuarios, como contraseñas, ubicaciones y IDS Se ha descubierto un nuevo fallo de seguridad que afecta a miles de aplicaciones para Android y iOS y que ha estado filtrando datos personales de sus usuarios. Varios investigadores de seguridad han encontrado miles de bases de datos de Firebase desprotegidas que están poniendo en peligro más de 100 millones de registros de usuarios en todo el mundo. Firebase es un servicio backend que ofrece Google a los desarrolladores de aplicaciones para llevar una base de datos en la nube de todos los usuarios en formato JSON. Aunque los servidores de Google son seguros, son los propios desarrolladores quienes deben proteger estas bases de datos para evitar accesos no autorizados. Sin embargo, miles de desarrolladores que utilizan Firebase en sus Apps se han olvidado de esto, por lo que están exponiendo cientos de gigabytes de todo tipo de datos de los usuarios de sus Apps, desde credenciales en texto plano, sin cifrar, hasta datos bancarios pasando por identificadores de Android o coordenadas GPS, entre otra mucha información. Fuente: noticiasseguridad.com. DNS rebinding ¿es tu red es vulnerable a este peligroso ataque? DNS Rebinding, un nuevo concepto que vamos a tener muy presente debido a que se ha convertido en el último gran tipo de ataque en ser aprovechado por los ciberdelincuentes. Con este ataque, es posible saltarse firewall, navegar en intranets corporativas, mostrar documentos sensibles y comprometer máquinas internas de la red. Además, supone un importante peligro para muchos dispositivos del Internet de las cosas, como Chromecast o Google Home, por su especial configuración. Así puedes saber si tu red es vulnerable a los peligrosos ataques DNS Rebinding. Según explican desde Websecurity, un ataque DNS está basado en DNS de código embebido en páginas web y aprovecha la política del mismo origen de los navegadores. Las peticiones de código embebido de las webs como Javascript, Java o Flash, están limitadas al sitio que las origina. No obstante, con este ataque se puede alterar esa política del mismo origen para acceder en redes privadas. Uno de los problemas del Internet de las cosas y muchos de sus dispositivos es que no realizan ninguna comprobación de seguridad para conexiones locales. Por ejemplo, en el caso del último fallo detectado en dispositivos Home y Chromecast de Google, todo es debido a que estos no piden autenticación a los comandos ejecutados desde la propia red local. Al utilizar este tipo de ataque, un tercero podría establecer conexión con los mismos como si estuviera en la red local sin ningún tipo de autenticación. Por ello y hasta que se lancen parches de seguridad para estos y otros dispositivos, es importante saber si tu red es vulnerable a los peligrosos ataques DNS Rebinding. Fuente: www.adslzone.net. Violación de privacidad en Ticketfly: más de 26 millones de correos de usuarios revelados El servicio de venta de boletos en línea Ticketfly ha sido blanco de un agente malicioso y, como resultado, la información personal de los usuarios fue robada, informan especialistas en cursos de seguridad informática del Instituto Internacional de Seguridad Cibernética. Además, el sitio web de Ticketfly fue borrado y se colocó un mensaje en la página de inicio que decía: “Su seguridad ha sido anulada, no lo sentimos. La próxima vez será publicada la base de datos”. La empresa matriz de Ticketfly, Eventbrite, dijo que estaba investigando el ataque, pero no proporcionó información sobre cómo ocurrió el ataque o qué tipo de información se vio comprometida. No obstante, el hacker publicó varios archivos de la base de datos de Ticketfly en un servidor público. Según expertos en cursos de seguridad informática, los archivos contenían unas 26 millones 151 mil 608 de direcciones de correo electrónico junto con los nombres de los usuarios, números de teléfono y direcciones de casa y de facturación. En otras palabras, una gran cantidad de detalles sensibles se ha visto comprometida. Lo único bueno es que los archivos no contenían contraseñas ni detalles de la tarjeta de crédito. Los especialistas en cursos de seguridad informática reportan que el hacker o grupo de hackers alertaron a la compañía sobre sus fallos de seguridad antes del incidente, pidiendo un pago en criptomonedas a cambio de una solución. Al no obtener respuesta de la compañía, los atacantes eliminaron el sitio web de Ticketfly. Fuente: noticiasseguridad.com. Descubren una vulnerabilidad en los principales navegadores que expone el contenido de Gmail o Facebook Si hay algo importante y vital para los usuarios son sus datos. Es por ello que aumentar los niveles de seguridad para preservar la privacidad se antoja pieza clave cuando entramos en Internet. Un investigador de Google ha descubierto una grave vulnerabilidad que afecta a algunos de los principales navegadores modernos como es el caso de Mozilla Firefox o Microsoft Edge. Este fallo permitiría a las páginas robar el contenido confidencial de los usuarios a través de otras páginas en las que hayamos iniciado sesión. Este investigador de seguridad es Jake Archibald. Ha explicado que la vulnerabilidad reside en la manera en la que los navegadores gestionan las solicitudes de origen cruzado a archivos de audio y vídeo. Si son explotados permitirían a un atacante remoto leer mensajes privados de un usuario de Gmail o Facebook, por ejemplo. Tanto Mozilla Firefox como Edge permiten que los elementos multimedia se mezclen tanto con datos visibles como opacos. Todo ello a través de diferentes fuentes. Esto abre un vector de ataque que puede ser explotado por los ciberdelincuentes. Esta vulnerabilidad la han denominado Wavethrough. Un ciberdelincuente, a través de este fallo de seguridad, podría eludir las protecciones de los navegadores que evitan solicitudes de origen cruzado. Fuente: redeszone.net. Defecto en los dispositivos Google Chromecast y google home revelaría localización de los usuarios Especialistas en tecnologías de la información y cursos de seguridad informática han hallado un extraño y potencialmente peligroso defecto en la privacidad de estos dispositivos que podría filtrar su ubicación a terceros. En términos simples, esta falla permitiría a los sitios web reunir la localización geográfica exacta de los usuarios de estos aparatos al ejecutar un script malicioso. Según especialistas en cursos de seguridad informática del Instituto Internacional de Seguridad Cibernética, esta falla representa una seria amenaza a la seguridad de los usuarios, pues, a diferencia de la localización de dirección IP, este proporciona la ubicación exacta de una persona. Este error está relacionado con el método que estos dispositivos utilizan para interactuar con las redes inalámbricas cercanas sin ningún tipo de autenticación, como puede ser asignar nombres a los dispositivos o configurar una red WiFi. Fuente: noticiasseguridad.com. Vuelven a hackear los Iphone para desbloquearlos por USB Días es lo que ha durado la solución de Apple. Ayer recogíamos que la compañía había parcheado iOS 12 para solucionar un problema de seguridad que permitía la realización de ataques de fuerza bruta en los iPhone y iPad a través del puerto Lightning. Sin embargo, los creadores de GrayKey ya han conseguido saltársela. Grayshift, la empresa detrás de GrayKey, es una empresa que permite normalmente a gobiernos y fuerzas del estado acceder a móviles iPhone de criminales bloqueados para conocer la información que pueda ayudar en un caso contra ellos. Sin embargo, mientras antes podían estar intentando desbloquear el móvil durante una semana, Apple lo ha reducido a sólo una hora. Este bloqueo sencillamente hace que el puerto Lightning sólo sirva para cargar el móvil si no has estado usándolo en la última hora, desactivando la función de transmitir datos. Esto busca inutilizar los ataques de fuerza bruta para intentar obtener las contraseñas de los iPhone, ya que normalmente el proceso dura más de una hora. Sin embargo, Grayshift ha afirmado apenas unos días después del cambio que ha encontrado una manera de saltarse la nueva función de seguridad de Apple, y su método de crackeo sigue siendo 100% efectivo. Esto hace que la versión final de iOS 12 vaya a ser vulnerable a estos ataques, al contrario de lo que Apple quería. . Fuente: www.adslzone.net. Vulnerabilidad Zip Slip afecta miles de proyectos Una vulnerabilidad de sobrescritura de archivos arbitraria afecta una miríada de proyectos, revelan investigadores. Zip Slip es una especie de directorio transversal que puede ser utilizado extrayendo archivos de otras carpetas, la premisa de esta vulnerabilidad es que el atacante pueda obtener acceso a partes del archivo del sistema fuera de las carpetas donde estos residen, explican los especialistas en cursos de seguridad informática. La vulnerabilidad se explota utilizando una carpeta especialmente diseñada que contiene nombres de archivo de directorio transversal, para explotar esto sólo se requieren archivos maliciosos y códigos de extracción sin revisión de validación. Crear estos archivos maliciosos es fácil con las herramientas adecuadas, dicen los investigadores, y las bibliotecas vulnerables y los fragmentos de código son abundantes. La vulnerabilidad Zip Slip puede afectar numerosos formatos de archivo. Se ha encontrado en muchos repositorios en muchos ecosistemas (Java, JavaScript, Ruby) y en librerías de las que dependen miles de aplicaciones. Es especialmente frecuente en Java porque no existe una biblioteca central que ofrezca un alto nivel de procesamiento de archivos, hallaron los investigadores, por lo que los desarrolladores tuvieron que escribir su propio código o usar código compartido. Fuente: noticiasseguridad.com. Candados inteligentes pueden ser hackeados en segundos Un candado de alta tecnología, sellado con huella digital, puede ser abierto por cualquier persona que tenga un teléfono inteligente, según descubrieron investigadores de seguridad informática. En su sitio web, Tapplock es presentado como el “primer candado inteligente de huellas dactilares del mundo”. Pero investigadores con entrenamiento en cursos de seguridad informática claman haber tardado sólo 45 minutos en encontrar una manera de desbloquear cualquier equipo Tapplock, la empresa ya reconoció el error. Tierney se dijo “muy asombrado” por lo fácil que resultó el desbloqueo, tanto que tuvo que pedir otra cerradura por si su primer intento había sido un golpe de suerte. “El software de la cerradura no toma siquiera los pasos simples para proteger los datos con los que opera, dijo, dejándolo abierto al ataque informático”. Su “defecto principal” es que la clave de desbloqueo del dispositivo se descubre fácilmente porque se genera a partir de la clave de identificación bluetooth que transmite el candado Tapplock. Cualquier persona podría interceptar esta clave escaneando los dispositivos bluetooth cercanos a su teléfono inteligente cuando está cerca de un Tapplock. El uso de esta clave junto con los comandos emitidos por Tapplock permitiría a los atacantes abrir con éxito a cualquier candado que encuentren, menciona Tierney. Fuente: noticiasseguridad.com. Si estás interesado en temas de seguridad, te recomendamos que accedas a nuestro foro de seguridad. ¡Hasta la próxima semana!
