Boletín nº 89 Noticias Seguridad en Comunidad Movistar Empresas
Vulnerabilidad en todos los routers WiFi permite robar y falsificar contenido WPA2 fue hackeado el año pasado, y en el mes de agosto fue descubierta una nueva vulnerabilidad en el protocolo que se basaba en el método anterior, y lo hacía bastante más fácil. Cuando parecía que esas dos iban a ser las únicas vulnerabilidades del WiFi y que iban a ser solucionadas con WPA3, han descubierto una nueva vulnerabilidad presente en todos los routers WiFi. Esta vulnerabilidad presente en el protocolo TCP permite a un atacante realizar un envenenamiento de cache para robar contraseñas o cualquier otro dato privado. Y desgraciadamente, el fallo no se puede arreglar. Al afectar al TCP, están afectados todos los routers que usen TCP y Wi-Fi. El protocolo TCP divide los datos en partes más pequeñas y fáciles de transportar, llamados segmentos. Estos segmentos empiezan con números aleatorios, pero los siguientes pueden ser adivinables por un atacante, lo cual puede hacer que intercepten comunicaciones entre el dispositivo emisor y el receptor. Por ejemplo, si haces click en una foto para verla, tu PC está solicitando al servidor o PC remoto que te envíe la información de esa foto. El PC remoto la "divide" en segmentos numerados y la envía por la vía más rápida. El receptor los asigna en el orden correcto para mostrarte la imagen en pantalla. Aunque hay 4.000 millones de secuencias, un atacante puede adivinar qué rango de números generan una respuesta en el receptor, y enviar contenido malicioso sustituyendo el tráfico original sin que el receptor se entere. Cuando se vuelven a ensamblar los datos de los segmentos, estarás viendo lo que el atacante quiere que veas. En estos vídeos se muestra cómo funciona. Actualmente no existe solución a esta vulnerabilidad. Esto no se puede hacer con HTTPS, ya que el tráfico va cifrado. Sin embargo, si va en texto plano, el atacante puede hacer lo que quiera. Por ejemplo, el atacante puede crear un Javascript que cree una conexión TCP a la web de un banco, para lo cual es necesario que la persona esté en esa web durante un minuto para adivinar la secuencia de segmentos. Fuente: https://news.ucr.edu/ NSS Labs demanda a desarrolladores de antivirus La empresa asegura que los desarrolladores conspiran para eludir pruebas de rendimiento. NSS Labs ha encendido la polémica en el siempre problemático y oscuro mundo de las pruebas de productos de seguridad, como antivirus, pues la empresa ha decidido demandar a varios proveedores de estos servicios y a una organización de estándares de la industria, informan especialistas en hacking ético del Instituto Internacional de Seguridad Cibernética. La demanda fue presentada ante la corte de California en el transcurso de esta semana. En la demanda contra CrowdStrike, Symantec, ESET y la Anti-Malware Testing Organization (AMTSO), NSS Labs acusa una conspiración fraguada por estas organizaciones para cubrir las serias deficiencias en las herramientas de seguridad que desarrollan. NSS Lab acusa a dichas organizaciones de forjar un pacto para boicotear colectivamente a NSS, un laboratorio de pruebas independiente, pues si todos los fabricantes se niegan a ser analizados, no hay mucho que los laboratorios independientes puedan hacer. “Estas empresas saben de los errores en sus códigos y no actúan al respecto, además conspiran activamente para evitar que análisis de expertos en hacking ético independientes revelen las deficiencias de sus productos”, afirma un comunicado de NSS Labs. Fuente: http://noticiasseguridad.com/ Spyware Pegasus utilizado para espionaje en 45 países Egasus es un spyware desarrollado por la empresa israelí NSO Group que va contra Android e iOS, y que, según denunció en su momento Amnistía Internacional, está siendo utilizado por diversos países contra activistas en favor de los Derechos Humanos, entre los que se encuentran México, Kazajistán y Arabia Saudí. En una declaración dirigida a Amnistía Internacional, NSO Group ha afirmado que su producto "está concebido para ser utilizado exclusivamente para la investigación y prevención de la delincuencia y el terrorismo" y que cualquier otro uso infringe sus políticas y contratos. Pegasus fue un malware que generó fuertes críticas debido a los fines tremendamente maliciosos para los que fue concebido, pero esto no parece haber detenido su expansión, ya que según el laboratorio de investigación de origen canadiense Citizen Lab, al menos 10 operadores del spyware "parecen estar activamente involucrados en la vigilancia transfronteriza", apuntando a posibles realidades geopolíticas alrededor del espionaje estatal, operando en la actualidad en 45 países distintos. Citizen Lab cuenta que NSO Group no está en todos los países mencionados en el informe, sino que son las fuerzas del orden de los países las que están comprando y utilizando el spyware creado por la empresa israelí para llevar a cabo investigaciones y prevenir el crimen y el terrorismo a través de las agencias de inteligencia. La preocupación en torno a las herramientas de NSO Group y su vinculación (aunque sean solo negocios) con los programas de vigilancia de los países aumentó en agosto de 2016, cuando el activista en favor de los Derechos Humanos Ahmed Mansoor, de Emiratos Árabes Unidos, descubrió un spyware que quería atacar su iPhone tras recibir un presunto enlace de sobre torturas que en realidad llevaban a Pegasus, el cual explotaba tres vulnerabilidades en iOS que luego fueron parcheadas por Apple. Fuente: https://www.cyberscoop.com/ 34 apps móviles para gestionar SCADA tienen 147 vulnerabilidades Investigadores de IOActive y Embedi han realizado un análisis de un grupo de aplicaciones móviles que se utilizan para gestionar sistemas SCADA, y han detectado vulnerabilidades en la mayoría de ellas. "Hace dos años evaluamos 20 aplicaciones móviles que funcionaban con software y hardware de ICS. En ese momento, las tecnologías móviles estaban muy extendidas, pero la manía por el Internet of Things (IoT) estaba en sus inicios. Nuestra investigación concluyó que la combinación de sistemas SCADA y aplicaciones móviles tenía el potencial de ser un cóctel muy peligroso y vulnerable". Así arranca un documento publicado por los investigadores Alexander Bolshev, Security Consultant de IOActive y Ivan Yushkevich, Information Security Auditor de Embedi. Dos años después la situación, lejos de mejorar, parece haber empeorado. Dos años después una nueva investigación ha detectado 147 vulnerabilidades en 34 aplicaciones móviles utilizadas con sistemas SCADA (Supervisory Control and Data Acquisition). Vulnerabilidades que podrían permitirle a un atacante comprometer la infraestructura de red industrial al permitirle la interrupción de un proceso industrial, o hacer que un operador SCADA realice involuntariamente una acción dañina en el sistema. Los expertos, por cierto, han seleccionado las aplicaciones de manera aleatoria en Google Play, y en muchos de los casos, no son las mismas que se analizaron en 2015. El objetivo de la investigación, aseguran, es "comprender cómo ha evolucionado el panorama y evaluar la postura de seguridad de los sistemas SCADA y las aplicaciones móviles en esta nueva era del IoT". Explican en su documento que las aplicaciones locales están instaladas en las tabletas que utilizan los ingenieros y se conectan directamente a los dispositivos industriales a través de Bluetooth, WiFi o una conexión en serie. Estos programas se pueden usar para controlar dispositivos como PLC, RTU y pasarelas industriales, y por lo general solo se usan dentro del perímetro de la planta, un espacio que se considera seguro. Pero las aplicaciones remotas permiten conectarse a través de Internet y redes privadas, y aunque en la mayoría de los casos sólo están diseñadas para monitorizar procesos, algunas permiten un mayor control. Algo peligroso cuando existen vulnerabilidad de seguridad. Fuente: https://www.itdigitalsecurity.es/ Vulnerabilidad afecta video surveillance manager de cisco La empresa ha corregido una vulnerabilidad crítica en Cisco Video Surveillance Manager que podría ser explotada para obtener acceso raíz. Reportes de especialistas en hacking ético del Instituto Internacional de Seguridad Cibernética afirman que Cisco ha solucionado una vulnerabilidad crítica en el software de Cisco Video Surveillance Manager que se ejecuta en algunas plataformas del Sistema de Computación Unificada de Seguridad y Protección (UCS). Esta falla podría dar a un atacante remoto no autenticado la capacidad de ejecutar comandos arbitrarios como raíz en sistemas específicos. El software que se ejecuta en ciertos sistemas incluye credenciales predeterminadas y estáticas para la cuenta raíz que podrían permitir a los atacantes obtener el acceso mencionado. Las credenciales para la cuenta no están documentadas. Fuente: http://noticiasseguridad.com/ Vulnerabilidad día cero permite acceso a cámaras de circuito cerrado Firmware utilizado en hasta 800 mil cámaras es vulnerable a ataques gracias a una vulnerabilidad de desbordamiento de búfer. Entre 180 mil y 800 mil cámaras de televisión de circuito cerrado basadas en IP (CCTV) son vulnerables a un bug de día cero que permitiría a los atacantes acceder a las cámaras de vigilancia, espiar y manipular transmisiones de video o instalar malware, reportan especialistas en hacking ético. De acuerdo con un reporte de seguridad emitido el lunes, la vulnerabilidad ha sido calificada como crítica y está vinculada al firmware utilizado posiblemente en una de cada 100 cámaras diferentes que ejecutan el software afectado. Se espera que NUUO, la empresa con sede en Taiwán que fabrica el firmware, emita un parche de actualización para el error en las próximas horas. La compañía trabaja con más de 100 socios diferentes, incluidos Sony, Cisco Systems, D-Link y Panasonic. Las vulnerabilidades (CVE-2018-1149–CVE-2018-1150), denominadas Peekaboo por los expertos en hacking ético encargados de la investigación, están vinculadas al software del servidor web de los dispositivos NUUO NVRMini2. Acorde a los investigadores, “Una vez que se explota, Peekaboo les daría acceso a los ciberdelincuentes al sistema de gestión de control, exponiendo las credenciales de todas las cámaras de vigilancia conectadas. Usando el acceso raíz en el dispositivo NVRMini2, los ciberdelincuentes podrían desconectar las transmisiones en vivo y alterar las grabaciones de seguridad”. Fuente: http://noticiasseguridad.com/ Si estás interesado en temas de seguridad, te recomendamos que accedas a nuestro foro de seguridad. ¡Hasta la próxima semana!Boletín semanal nº 33 Noticias Seguridad en Comunidad Movistar Empresas
* Chema Alonso nos enseña lo fácil que es desbloquear un iPhone Para los que usáis smartphone IPhone, y a pesar de que el cifrado es muy fuerte, Chema Alonso explica en este vídeo las posibles vulnerabilidades y nos enseña lo fácil que es desbloquear un iPhone. 5 trucos con Siri para desbloquear un Iphone. Presta atención. * Google cambiará su web de login, y no es phishing Es importante que Google anuncie estos cambios a través de un correo electrónico generalizado para todos sus usuarios. Que lleguemos a la página de acceso de nuestra cuenta de Google y nos encontremos con una interfaz diferente puede hacernos dudar, porque podríamos estar ante un posible ataque de phishing, es decir, que en lugar de estar accediendo a la página de login, estuviéramos en su lugar introduciendo nuestras credenciales en una página web falsa que nos robase nuestros datos. https://www.adslzone.net/2017/03/31/no-te-asustes-google-cambiara-su-web-de-login-y-no-es-phishing/ * ¿Cuánto cuesta organizar un ataque DDoS? Cualquiera puede convertirse en víctima de ataques DDoS, ya que organizarlos es un proceso bastante simple y barato, y su eficacia, en ausencia de una protección fiable, es alta. Basándonos en el análisis de datos procedentes de fuentes públicas (por ejemplo, de las ofertas de organizar ataques DDoS en los foros de Internet o de Tor), hemos averiguado el precio de los servicios de ataques DDoS en el mercado negro en este momento y determinado qué ofrecen a sus clientes los delincuentes que se encargan de organizar ataques DDoS. DDoS como servicio. El proceso de pedidos de ataques DDoS por lo general se realiza mediante servicios web bien implementados, que hacen innecesario el contacto directo del organizador del ataque con el cliente. La aplastante mayoría de los autores de las ofertas que encontramos dejan enlaces a este tipo de sitios web en vez de sus datos de contacto. Con su ayuda, un cliente potencial puede hacer un pago, recibir un informe sobre el trabajo realizado y usar servicios adicionales. De hecho, su funcionalidad no es muy diferente a la de los servicios que ofrecen servicios legítimos. https://cybellum.com/doubleagent-taking-full-control-antivirus/ * Ejecución de malware en firmware UEFI En la conferencia BlackHat Asia 2017, investigadores de la firma de seguridad Cylance revelaron dos vulnerabilidades en el firmware de los pequeños dispositivos Gigabyte BRIX, que permiten a un atacante escribir contenido malicioso en el firmware de UEFI. Durante su presentación, los investigadores instalaron una PoC de un ransomware UEFI, evitando que los dispositivos BRIX arrancaran y los investigadores dicen que los mismos defectos pueden ser usados para plantar rootkits persististentes. Los investigadores dijeron que han identificado estos defectos a comienzo del año, y han trabajado con Gigabyte, American Megatrends Inc. (AMI), y CERT/CC para corregir los errores. https://www.bleepingcomputer.com/news/security/gigabyte-firmware-flaws-allow-the-installation-of-uefi-ransomware/ * El informe de seguridad Android 2016 muestra los terminales más parcheados Google no solo ha publicado datos relacionados con lo suyo en torno a Android (concretamente, la rama principal de desarrollo del sistema operativo), sino también la lista de los dispositivos que han aplicado la mayor cantidad de parches de seguridad en 2016: Google Pixel, Google Pixel XL, Motorola Moto Z Droid, Oppo A33W, Nexus 6P, Nexus 5X, Nexus 6, OnePlus 3, Samsung Galaxy S7, Asus Zenfone 3, bq Aquarius M5, Nexus 5, Vivo V3Max, LG V20, Sony Xperia X Compact. La presencia de una gran cantidad de terminales de Google no es algo que deba sorprendernos, ya que estos son mantenidos a nivel de software por la misma compañía, lo que garantiza un soporte muy diligente a la hora de suministrar parches y mejoras a nivel de seguridad. http://muyseguridad.net/2017/03/24/informe-seguridad-android-2016/ * Liberado el código de Nuclear Bot, un troyano bancario que ahora cualquiera puede usar Nuclear Bot es un troyano bancario que salió a la venta en la Dark Web el pasado mes de diciembre por 2.500 dólares. Su creador ha filtrado su código fuente, lo que puede conllevar dos cosas según investigadores de IBM, para recuperar la credibilidad que el personaje perdió en la comunidad cracker. Entre las capacidades de este troyano encontramos el robo e inyección de datos a distintas páginas web que afectan a Firefox, Chrome e Internet Explorer. El malware también puede abrir un proxy local o un servicio de escritorio remoto. Estas características suelen ser comunes en los troyanos bancarios. https://www.genbeta.com/seguridad/liberado-el-codigo-de-nuclear-bot-un-troyano-bancario-que-ahora-cualquiera-puede-usar * Marble, más código fuente de la CIA WikiLeaks publicó cientos de archivos de la serie Vault 7 que muestran cómo la CIA puede enmascarar sus ataques de hacking para que parezca que proceden de otros países, entre ellos Rusia, China, Corea del Norte e Irán. Apodado Marble, esta parte 3 de los archivos de la CIA contiene 676 archivos [ZIP] de código fuente de un Framework que, básicamente es un ofuscator o un packer utilizado para ocultar la verdadera fuente. La herramienta incluye una variedad de algoritmos diferentes con textos en idioma extranjero insertado intencionalmente en el código fuente del software malicioso para engañar a los analistas de seguridad y atribuir falsamente ataques a la nación equivocada. Los archivos filtrados indican que el código fuente de Marble incluye los idiomas chino, ruso, coreano, árabe y persa, así como el inglés. El archivo liberado también contiene un des-ofuscador para revertir la ofuscación original. Dado que que esta herramienta ahora se ha hecho pública, los investigadores forenses y las empresas antivirus podrían identificar y conectar algunos patrones con el fin de revelar ataques atribuidos erróneamente. https://wikileaks.org/vault7/document/Marble/ * Vulnerabilidad en Samba permite acceder a archivos no compartidos Se ha confirmado una vulnerabilidad en Samba (versiones anteriores a 4.6.1, 4.5.7, 4.4.12), que podría permitir a un atacante acceder a archivos no compartidos. Samba es un software gratuito que permite acceder y utilizar archivos, impresoras y otros recursos compartidos en una intranet o en Internet. Está soportado por una gran variedad de sistemas operativos, como Linux, openVMS y OS/2. Está basado en los protocolos SMB (Server Message Block) y CIFS (Common Internet File System). El problema (con CVE-2017-2619) puede permitir a un cliente malicioso acceder a áreas no exportadas del servidor de archivos mediante una ruta de enlace simbólico. Se han publicado parches para solucionar esta vulnerabilidad en http://www.samba.org/samba/security/, adicionalmente, se han publicado las versiones Samba 4.6.1, 4.5.7 y 4.4.12 que corrigen los problemas. http://unaaldia.hispasec.com/2017/03/vulnerabilidad-en-samba-permite-acceder.html
Noticias de Seguridad a nivel mundial: boletín nº 110
Formjacking: la nueva amenaza que hace temblar a las tiendas on-line Se llama Formjacking y es la nueva amenaza silenciosa que ya está comprometiendo la seguridad de cientos de tiendas on-line de todo el mundo. Según el nuevo informe anual sobre amenazas informáticas publicado por Symantec, esta técnica se ha convertido en una nueva mina de oro para los cibercriminales, ya que les permite enriquecerse rápidamente sin demasiado esfuerzo. ¿Pero en qué consiste exactamente? El formjacking pasa por trasladar el concepto de cajero manipulado, al mundo virtual. Frente a la manipulación física de un cajero clásico, en el mundo on-line los ciberdelincuentes inyectan código malicioso en una tienda on-line para robar los detalles de las tarjetas de pago de los compradores. Entre los afectados por esta técnica, la compañía de seguridad destaca los casos de multinacionales como British Airways o TicketMaster, si bien asegura, son las tiendas más pequeñas las más expuestas a este tipo de ataques. De hecho Symantec afirma que de media, 4.800 sitios web únicos se ven comprometidos por código de formjacking cada mes. La empresa asegura que bloqueó más de 3,7 millones de ataques sobre puntos finales en 2018. Más información en https://www.muyseguridad.net/ GHIDRA, la herramienta gratuita de la NSA, ya tiene un bug GHIDRA v.9.0 es la nueva herramienta de análisis y reversing de binarios gratuita, publicada estos días en la conferencia RSA y creada por la NSA. En cierta manera compite por el mercado de la conocida IDA. Ghidra funciona sobre Windows, Mac y Linux. Instalar este framework es tan simple como descomprimir el archivo ZIP de la descarga en nuestro equipo. El único requisito para el correcto funcionamiento del software es tener instalada la versión 11 de Java Development Kit o superior. La curiosidad es que a pocos minutos de ser publicada, Matthew Hickey ha encontrado un grave problema de seguridad. Establece el JDWP en modo debug y se pone a la escucha en el puerto 18001 de todas las interfaces. JDWP (Java Debug Wire Protocol) permite ejecutar código arbitrario en el sistema, por lo que, al quedar accesible en cualquier red el sistema queda expuesto. Arreglarlo es sencillo, modificando en la línea que lanza JDWP, el asterisco por 127.0.0.1 en el script que lo lanza. Más información en https://www.theregister.co.uk/ Nueva vulnerabilidad afecta a todas las CPUs Intel, no se puede parchear y no afecta a AMD Después de que Spectre y Meltdown estrenara una larga lista de vulnerabilidades de seguridad en las CPUs de Intel, hoy seguimos sumando para bingo con Spoiler, la última vulnerabilidad descubierta por el Instituto Politécnico de Worcester y la Universidad de Lübeck, que afecta a todas las CPU de Intel, desde las CPU Intel Core de 1ª Generación, que llegaron a mediados de 2006, hasta las más recientes, que incluye la 9ª Generación. Intel Spectre Next Generation Spectre NG 0. Según el informe, el Instituto Politécnico de Worcester y la Universidad de Lübeck ha descubierto un nuevo fallo en la microarquitectura que revela información critica acerca del mapeo de páginas físicas en procesos del espacio de usuarios. “El agujero de seguridad puede ser explotado por un conjunto limitado de instrucciones, que es visible en todas las generaciones de Intel a partir de la primera generación de procesadores Intel Core, independientemente del sistema operativo empleado y también funciona desde máquinas virtuales y entornos de espacio aislado. Más información en https://elchapuzasinformatico.com/ Zero-Day en Google Chrome permite la ejecución remota de código La vulnerabilidad, del tipo corrupción de memoria y que afecta a Windows, MacOS y Linux, habría estado siendo aprovechada por atacantes. Clement Lecigne, del Grupo de Análisis de Amenazas de Google, ha reportado una vulnerabilidad con identificador CVE-2019-5786 que permitiría la ejecución arbitraria de código en la máquina de la víctima, para así tomar su control. Aunque no se han revelado detalles, según Google el fallo habría estado siendo aprovechado por atacantes. Desde Google han decidido restringir los detalles de la vulnerabilidad hasta que la mayoría de usuarios hayan actualizado; lo único que se conoce de momento de este fallo de corrupción de memoria, es que se produce tras intentar acceder a memoria que ya ha sido liberada ("use-after-free"), y que afecta al componente API FileReader. Dicha API, es la encargada de leer ficheros de forma asíncrona desde la máquina del usuario. Debido a la alta gravedad de la vulnerabilidad, se recomienda a todos los usuarios de Google Chrome para las plataformas Windows, MacOS y GNU/Linux, actualizar a la última versión, la cual debe ser igual o superior a 72.0.3626.121. En Windows y MacOS, normalmente estas actualizaciones se encuentran activadas por defecto. Más información en https://unaaldia.hispasec.com/ Desconectados a nivel mundial: Facebook e Instagram estuvieron caídos y WhatsApp tuvo problemas En un miércoles de terror para las comunicaciones y el uso de las redes sociales, WhatsApp se sumó a las fallas de Facebook e Instagram:vusuarios de todo el mundo reportaron problemas con el servicio de mensajería durante 10 horas. Más información en https://tn.com.ar/tecno/f5. App de identificador de llamadas expone información de millones de usuarios La filtración de datos se relaciona con la deficiente seguridad de una implementación de MongoDB. La app de identificador de llamadas Dalil, desarrollada en Arabia Saudita, ha estado filtrando la información de sus usuarios a causa de su implementación de MongoDB, reportan especialistas en seguridad en redes del Instituto Internacional de Seguridad Cibernética. Más de 5 millones de registros han permanecido expuestos en línea por alrededor de diez días. La base de datos fue descubierta por un equipo de expertos en seguridad en redes; los expertos trataron de contactar a la compañía sobre el incidente, aunque esta tarea se ha complicado. “Esta app es usada principalmente por habitantes de Arabia Saudita, Egipto, Palestina e Israel. El motivo de la exposición es que la implementación de MongoDB no contaba con una contraseña”, mencionan los expertos en seguridad en redes. Más información en https://noticiasseguridad.com/ Si estás interesado en temas de seguridad, te recomendamos que accedas a nuestro foro de seguridad. ¡Hasta la próxima semana!Boletín nº 80 Noticias Seguridad en Comunidad Movistar Empresas
Miles de Apps para Android y IoS están exponiendo datos de sus usuarios, como contraseñas, ubicaciones y IDS Se ha descubierto un nuevo fallo de seguridad que afecta a miles de aplicaciones para Android y iOS y que ha estado filtrando datos personales de sus usuarios. Varios investigadores de seguridad han encontrado miles de bases de datos de Firebase desprotegidas que están poniendo en peligro más de 100 millones de registros de usuarios en todo el mundo. Firebase es un servicio backend que ofrece Google a los desarrolladores de aplicaciones para llevar una base de datos en la nube de todos los usuarios en formato JSON. Aunque los servidores de Google son seguros, son los propios desarrolladores quienes deben proteger estas bases de datos para evitar accesos no autorizados. Sin embargo, miles de desarrolladores que utilizan Firebase en sus Apps se han olvidado de esto, por lo que están exponiendo cientos de gigabytes de todo tipo de datos de los usuarios de sus Apps, desde credenciales en texto plano, sin cifrar, hasta datos bancarios pasando por identificadores de Android o coordenadas GPS, entre otra mucha información. Fuente: noticiasseguridad.com. DNS rebinding ¿es tu red es vulnerable a este peligroso ataque? DNS Rebinding, un nuevo concepto que vamos a tener muy presente debido a que se ha convertido en el último gran tipo de ataque en ser aprovechado por los ciberdelincuentes. Con este ataque, es posible saltarse firewall, navegar en intranets corporativas, mostrar documentos sensibles y comprometer máquinas internas de la red. Además, supone un importante peligro para muchos dispositivos del Internet de las cosas, como Chromecast o Google Home, por su especial configuración. Así puedes saber si tu red es vulnerable a los peligrosos ataques DNS Rebinding. Según explican desde Websecurity, un ataque DNS está basado en DNS de código embebido en páginas web y aprovecha la política del mismo origen de los navegadores. Las peticiones de código embebido de las webs como Javascript, Java o Flash, están limitadas al sitio que las origina. No obstante, con este ataque se puede alterar esa política del mismo origen para acceder en redes privadas. Uno de los problemas del Internet de las cosas y muchos de sus dispositivos es que no realizan ninguna comprobación de seguridad para conexiones locales. Por ejemplo, en el caso del último fallo detectado en dispositivos Home y Chromecast de Google, todo es debido a que estos no piden autenticación a los comandos ejecutados desde la propia red local. Al utilizar este tipo de ataque, un tercero podría establecer conexión con los mismos como si estuviera en la red local sin ningún tipo de autenticación. Por ello y hasta que se lancen parches de seguridad para estos y otros dispositivos, es importante saber si tu red es vulnerable a los peligrosos ataques DNS Rebinding. Fuente: www.adslzone.net. Violación de privacidad en Ticketfly: más de 26 millones de correos de usuarios revelados El servicio de venta de boletos en línea Ticketfly ha sido blanco de un agente malicioso y, como resultado, la información personal de los usuarios fue robada, informan especialistas en cursos de seguridad informática del Instituto Internacional de Seguridad Cibernética. Además, el sitio web de Ticketfly fue borrado y se colocó un mensaje en la página de inicio que decía: “Su seguridad ha sido anulada, no lo sentimos. La próxima vez será publicada la base de datos”. La empresa matriz de Ticketfly, Eventbrite, dijo que estaba investigando el ataque, pero no proporcionó información sobre cómo ocurrió el ataque o qué tipo de información se vio comprometida. No obstante, el hacker publicó varios archivos de la base de datos de Ticketfly en un servidor público. Según expertos en cursos de seguridad informática, los archivos contenían unas 26 millones 151 mil 608 de direcciones de correo electrónico junto con los nombres de los usuarios, números de teléfono y direcciones de casa y de facturación. En otras palabras, una gran cantidad de detalles sensibles se ha visto comprometida. Lo único bueno es que los archivos no contenían contraseñas ni detalles de la tarjeta de crédito. Los especialistas en cursos de seguridad informática reportan que el hacker o grupo de hackers alertaron a la compañía sobre sus fallos de seguridad antes del incidente, pidiendo un pago en criptomonedas a cambio de una solución. Al no obtener respuesta de la compañía, los atacantes eliminaron el sitio web de Ticketfly. Fuente: noticiasseguridad.com. Descubren una vulnerabilidad en los principales navegadores que expone el contenido de Gmail o Facebook Si hay algo importante y vital para los usuarios son sus datos. Es por ello que aumentar los niveles de seguridad para preservar la privacidad se antoja pieza clave cuando entramos en Internet. Un investigador de Google ha descubierto una grave vulnerabilidad que afecta a algunos de los principales navegadores modernos como es el caso de Mozilla Firefox o Microsoft Edge. Este fallo permitiría a las páginas robar el contenido confidencial de los usuarios a través de otras páginas en las que hayamos iniciado sesión. Este investigador de seguridad es Jake Archibald. Ha explicado que la vulnerabilidad reside en la manera en la que los navegadores gestionan las solicitudes de origen cruzado a archivos de audio y vídeo. Si son explotados permitirían a un atacante remoto leer mensajes privados de un usuario de Gmail o Facebook, por ejemplo. Tanto Mozilla Firefox como Edge permiten que los elementos multimedia se mezclen tanto con datos visibles como opacos. Todo ello a través de diferentes fuentes. Esto abre un vector de ataque que puede ser explotado por los ciberdelincuentes. Esta vulnerabilidad la han denominado Wavethrough. Un ciberdelincuente, a través de este fallo de seguridad, podría eludir las protecciones de los navegadores que evitan solicitudes de origen cruzado. Fuente: redeszone.net. Defecto en los dispositivos Google Chromecast y google home revelaría localización de los usuarios Especialistas en tecnologías de la información y cursos de seguridad informática han hallado un extraño y potencialmente peligroso defecto en la privacidad de estos dispositivos que podría filtrar su ubicación a terceros. En términos simples, esta falla permitiría a los sitios web reunir la localización geográfica exacta de los usuarios de estos aparatos al ejecutar un script malicioso. Según especialistas en cursos de seguridad informática del Instituto Internacional de Seguridad Cibernética, esta falla representa una seria amenaza a la seguridad de los usuarios, pues, a diferencia de la localización de dirección IP, este proporciona la ubicación exacta de una persona. Este error está relacionado con el método que estos dispositivos utilizan para interactuar con las redes inalámbricas cercanas sin ningún tipo de autenticación, como puede ser asignar nombres a los dispositivos o configurar una red WiFi. Fuente: noticiasseguridad.com. Vuelven a hackear los Iphone para desbloquearlos por USB Días es lo que ha durado la solución de Apple. Ayer recogíamos que la compañía había parcheado iOS 12 para solucionar un problema de seguridad que permitía la realización de ataques de fuerza bruta en los iPhone y iPad a través del puerto Lightning. Sin embargo, los creadores de GrayKey ya han conseguido saltársela. Grayshift, la empresa detrás de GrayKey, es una empresa que permite normalmente a gobiernos y fuerzas del estado acceder a móviles iPhone de criminales bloqueados para conocer la información que pueda ayudar en un caso contra ellos. Sin embargo, mientras antes podían estar intentando desbloquear el móvil durante una semana, Apple lo ha reducido a sólo una hora. Este bloqueo sencillamente hace que el puerto Lightning sólo sirva para cargar el móvil si no has estado usándolo en la última hora, desactivando la función de transmitir datos. Esto busca inutilizar los ataques de fuerza bruta para intentar obtener las contraseñas de los iPhone, ya que normalmente el proceso dura más de una hora. Sin embargo, Grayshift ha afirmado apenas unos días después del cambio que ha encontrado una manera de saltarse la nueva función de seguridad de Apple, y su método de crackeo sigue siendo 100% efectivo. Esto hace que la versión final de iOS 12 vaya a ser vulnerable a estos ataques, al contrario de lo que Apple quería. . Fuente: www.adslzone.net. Vulnerabilidad Zip Slip afecta miles de proyectos Una vulnerabilidad de sobrescritura de archivos arbitraria afecta una miríada de proyectos, revelan investigadores. Zip Slip es una especie de directorio transversal que puede ser utilizado extrayendo archivos de otras carpetas, la premisa de esta vulnerabilidad es que el atacante pueda obtener acceso a partes del archivo del sistema fuera de las carpetas donde estos residen, explican los especialistas en cursos de seguridad informática. La vulnerabilidad se explota utilizando una carpeta especialmente diseñada que contiene nombres de archivo de directorio transversal, para explotar esto sólo se requieren archivos maliciosos y códigos de extracción sin revisión de validación. Crear estos archivos maliciosos es fácil con las herramientas adecuadas, dicen los investigadores, y las bibliotecas vulnerables y los fragmentos de código son abundantes. La vulnerabilidad Zip Slip puede afectar numerosos formatos de archivo. Se ha encontrado en muchos repositorios en muchos ecosistemas (Java, JavaScript, Ruby) y en librerías de las que dependen miles de aplicaciones. Es especialmente frecuente en Java porque no existe una biblioteca central que ofrezca un alto nivel de procesamiento de archivos, hallaron los investigadores, por lo que los desarrolladores tuvieron que escribir su propio código o usar código compartido. Fuente: noticiasseguridad.com. Candados inteligentes pueden ser hackeados en segundos Un candado de alta tecnología, sellado con huella digital, puede ser abierto por cualquier persona que tenga un teléfono inteligente, según descubrieron investigadores de seguridad informática. En su sitio web, Tapplock es presentado como el “primer candado inteligente de huellas dactilares del mundo”. Pero investigadores con entrenamiento en cursos de seguridad informática claman haber tardado sólo 45 minutos en encontrar una manera de desbloquear cualquier equipo Tapplock, la empresa ya reconoció el error. Tierney se dijo “muy asombrado” por lo fácil que resultó el desbloqueo, tanto que tuvo que pedir otra cerradura por si su primer intento había sido un golpe de suerte. “El software de la cerradura no toma siquiera los pasos simples para proteger los datos con los que opera, dijo, dejándolo abierto al ataque informático”. Su “defecto principal” es que la clave de desbloqueo del dispositivo se descubre fácilmente porque se genera a partir de la clave de identificación bluetooth que transmite el candado Tapplock. Cualquier persona podría interceptar esta clave escaneando los dispositivos bluetooth cercanos a su teléfono inteligente cuando está cerca de un Tapplock. El uso de esta clave junto con los comandos emitidos por Tapplock permitiría a los atacantes abrir con éxito a cualquier candado que encuentren, menciona Tierney. Fuente: noticiasseguridad.com. Si estás interesado en temas de seguridad, te recomendamos que accedas a nuestro foro de seguridad. ¡Hasta la próxima semana!Noticias de Seguridad a nivel mundial: boletín nº 106
Una imagen PNG es suficiente para vulnerar un Android Como se informó la semana pasada, una falla crítica de seguridad permite que algunos móviles con determinadas versiones del sistema operativo Android 7.0 a 9.0 estén expuestos a infectarse, simplemente abriendo un archivo de imagen PNG. Google informó de las vulnerabilidades a través de sus boletines CVE-2019-1986, CVE-2019-1987, y CVE-2019-1988, y ya transmitió especialmente sobre esto a los fabricantes que usan esos sistemas operativos. Según explican en el boletín de febrero, basta con utilizar un archivo en formato .PNG para poder atacar un teléfono inteligente o una tableta. No se ha especificado el "diseño" de este tipo de archivos en formato PNG, para evitar que sea aprovechado el fallo de seguridad, pero con ellos se puede ejecutar código arbitrario con privilegios sobre el sistema. Los dispositivos que reciben actualizaciones directas de la compañía, que son los Pixel y Android One, tienen que haber recibido ya este parche de seguridad que soluciona el importante problema relacionado con las imágenes en formato PNG. Sin embargo, otros muchos dispositivos con las versiones afectadas no recibirán nunca la actualización que acaba de ser liberada por la compañía. Por eso, Google ha decidido omitir los detalles del problema de seguridad con la intención de evitar que los atacantes puedan aprovechar el fallo y atacar a los usuarios. Más información en https://www.zdnet.com/ Glovo hackeada: los clientes denuncian el cobro de pedidos que no han realizado Tras las polémicas en torno a los problemas con sus repartidores, ahora se enfrenta a la denuncia por parte de decenas de clientes que aseguran que Glovo ha sido hackeada. A lo largo del fin de semana los usuarios de la app notaron que el acceso a su perfil ha quedado bloqueado por un cambio de contraseña y al restaurarla se han dado cuenta que su email y cuentas bancarias muestran cargos producidos desde Egipto en la app, además de que su nombre de usuario ha cambiado, así como la localización y el idioma. El reporte de que la app de Glovo ha sido hackeada se ha producido en España, Perú, Argentina e Inglaterra. Hasta el momento, Glovo no ha ofrecido un comunicado oficial sobre esta brecha de seguridad que sus usuarios en varios países han informado, sin embargo al ponernos en contacto con la agencia de prensa de Glovo, nos han asegurado que los hackers no han tenido acceso a los datos de las tarjetas de sus clientes, ya que esa información se gestiona por medio de una plataforma externa. En cualquier caso, la recomendación general es que por el momento y hasta que esta situación se resuelva, debes actualizar los datos de tu cuenta en Glovo: asegura que tu número telefónico sea el correcto y cambia la contraseña utilizando un código seguro y que sea único para esta app. Más información en https://marketing4ecommerce.net/ Ciberdelincuentes vacían tus cuentas con los códigos de un solo uso La autentificación de doble factor es un método muy utilizado por las instituciones financieras de todo el mundo para mantener a salvo el dinero de sus clientes: ya sabes, esos 4 o 6 dígitos que recibes del banco y que tienes que introducir para aprobar una transacción. Normalmente, los bancos envían contraseñas de un solo uso a través de mensajes de texto. Por desgracia, los SMS son uno de los métodos más débiles de implantación de la 2FA, ya que pueden ser interceptados y eso es lo que acaba de suceder en el Reino Unido. Los cibercriminales pueden acceder a tus mensajes de distintas formas y una de las más extravagantes es explotando un error en el SS7, un protocolo utilizado por las compañías de telecomunicaciones para coordinar el envío de mensajes y llamadas. A la red SS7 no le importa quién envía la solicitud, por tanto, si los ciberdelincuentes consiguen acceder, la red seguirá sus comandos como si fueran legítimos para dirigir los mensajes y llamadas. El procedimiento es el siguiente: primero, los cibercriminales obtienen el usuario y contraseña de la banca online, probablemente a través de phishing, keylogger o troyanos bancarios. Entonces, inician sesión en la banca online y solicitan una transferencia. Actualmente, la mayoría de los bancos solicitan una confirmación adicional y envían un código de verificación a la cuenta del propietario. Si el banco realiza esta operación a través de SMS, ahí es cuando los ciberdelincuentes explotan la vulnerabilidad SS7: interceptan el mensaje e introducen el texto, como si tuvieran tu teléfono. Los bancos aceptan la transferencia como legítima, ya que la transacción se ha autorizado dos veces: con tu contraseña y con el código de un solo uso. Por tanto, el dinero acaba en manos de los delincuentes. Más información en https://latam.kaspersky.com/ Alemania prohíbe que WhatsApp e Instagram compartan datos con Facebook sin consentimiento Facebook vuelve a encontrarse con un nuevo obstáculo interpuesto por las autoridades alemanas y en este caso el obstáculo afecta a la línea de flotación de su negocio de recopilación de datos. La Oficina Federal Antimonopolio de Alemania ha anunciado la prohibición a la red social de recopilar datos a través de terceros, lo que significa que, por ejemplo, no podrá recopilar los datos generados mediante el botón de «Me gusta», los llamados «likes», una práctica que tacha de «abusiva» e «injusta para la competencia». Las autoridades de la competencia alemanas basan su decisión en el hecho de que Facebook desempeña una posición dominante en el mercado y en la valoración de que está abusando de ella. Facebook ha comunicado que tiene previsto recurrir la decisión ante la Justicia y se juega mucho en ese recurso, porque el caso podría sentar un precedente europeo, vinculando por primera vez en la jurisprudencia la protección de datos con la defensa de la competencia. Más información en https://www.abc.es/tecnologia/redes/ Rusia se desconectará del internet mundial Acorde a especialistas en seguridad en redes del Instituto Internacional de Seguridad Cibernética, el gobierno de Rusia estaría considerando la posibilidad de desconectarse de Internet a nivel global por un breve periodo de tiempo, todo como parte de una prueba de ciberseguridad. Esto implica que los datos enviados y recibidos entre individuos y organizaciones rusas permanecerán en las redes de ese país, en lugar de ser enrutados de forma trasnacional. Una ley que está por ser aprobada podría ser el motivo principal por el que el gobierno ruso contempla esta opción, reportan los expertos en seguridad en redes. En esta ley se establece que se deberán realizar todas las modificaciones técnicas necesarias para operar de forma independiente. Para implementar el proyecto denominado Programa de Economía Digital, se requiere que los proveedores de servicios de Internet en Rusia se aseguren de poder operar en caso de que un ataque extranjero aísle las redes rusas. Países miembros de la Organización del Tratado del Atlántico Norte (OTAN) acusan continuamente al gobierno ruso de promover actividades de ciberguerra, por lo que ya han amagado con imponer sanciones por este proyecto. Se espera que la prueba se realice a comienzos del mes de abril, aunque se desconoce la fecha exacta. Más información en https://noticiasseguridad.com Si estás interesado en temas de seguridad, te recomendamos que accedas a nuestro foro de seguridad. ¡Hasta la próxima semana!Noticias de Seguridad a nivel mundial: boletín nº 116
¿Seguridad de Iphone no funciona? nuevo malware ha infectado a más de 500 millones de usuarios Acorde a especialistas en análisis forense informático del Instituto Internacional de Seguridad Cibernética (IICS) un grupo cibercriminal identificado como eGobbler ha estado explotando una vulnerabilidad en Chrome para sistema iOS con el propósito de atacar a los usuarios de dispositivos iPhone con un exploit que les entrega malvertising; se calcula que alrededor de 500 millones de usuarios en todo el mundo han sido infectados. El malvertising es un método de ataque en el que los hackers muestran a los usuarios publicidad de apariencia inofensiva; en realidad estos anuncios contienen código que redirige a las víctimas a sitios web de contenido malicioso, comentan los especialistas en análisis forense informático. Los reportes sobre la campaña de ataques desplegada por eGobbler han concluido que este actor de amenazas ha infectado servidores de publicidad legítima, misma que ha usado para desplegar los anuncios que mostrarán la ventana emergente maliciosa. La carga útil empleada por este grupo de hackers tiene dos funciones: generar dinero con los anuncios mostrados y la capacidad de redirigir al usuario a sitios web fraudulentos donde se intentará extraer sus datos personales o infectar con malware. Continúa navegando en https://noticiasseguridad.com/ Facebook almacenó millones de contraseñas de usuarios de Instagram en texto sin formato A fines del mes pasado, Facebook reveló que "almacenaba erróneamente las contraseñas de cientos de millones de usuarios de Facebook en texto plano", incluidas las contraseñas de "decenas de miles" de sus usuarios de Instagram también. Ahora parece que el incidente es mucho peor de lo que se informó primero. Estas contraseñas de texto plano de millones de usuarios de Instagram, junto con millones de usuarios de Facebook, estaban disponibles para algunos de los ingenieros de Facebook que, según la compañía, "no abusaban de ellas". De acuerdo con la publicación actualizada, Facebook descubrió "registros adicionales de contraseñas de Instagram almacenados en un formato legible", pero agregó que su investigación reveló que "las contraseñas almacenadas nunca fueron abusadas o mal accedidas por ninguno de los empleados". La última revelación llega en menos de un día después de que se reveló que Facebook había almacenado hasta 1,5 millones de usuarios en sus servidores, sin su consentimiento o conocimiento, desde mayo de 2016. Continúa navegando en https://thehackernews.com/ Microsoft es hackeada – hackean cuentas de Outlook y cuentas de empleados Microsoft ha revelado que un grupo de hackers desconocidos ha perpetrado una brecha de datos en algunos de los sistemas de la compañía; acorde a especialistas en cómputo forense del Instituto Internacional de Seguridad Cibernética (IICS), los hackers habrían comprometido las credenciales de inicio de sesión de algunos miembros del equipo de soporte técnico de la compañía, gracias a esto, consiguieron acceder a las cuentas de email de uno de los clientes de Microsoft. Las primeras investigaciones indican que los hackers atacaron la red de la compañía en algún momento entre enero y marzo, poco después de la intrusión los cibercriminales consiguieron acceso a los datos de inicio de sesión del personal de Microsoft. Acorde a los expertos en cómputo forense, la compañía notificó al cliente comprometido sobre la situación, afirmando que: “el acceso no autorizado podría haber permitido que un usuario no autorizado consiguiera acceso a información relacionada con su cuenta de email, como nombres de carpetas, título del email, entre otros datos”. La compañía afirmó también que los atacantes no tienen acceso al contenido de las carpetas, mensajes o archivos adjuntos. Aún se desconoce el número exacto de correos electrónicos a los que los hackers accedieron. Continúa navegando en https://noticiasseguridad.com/ Nueva vulnerabilidad Día Cero en internet explorer permitiría robo de archivos locales Internet Explorer no es precisamente el buscador más popular, y en definitiva este nuevo incidente de seguridad no le ayudará. Acorde a especialistas del curso de informática forense del Instituto Internacional de Seguridad Cibernética (IICS), ha sido descubierta una vulnerabilidad día cero en este buscador que hace que las computadoras con Windows sean vulnerables a los ataques de robo de archivos. Acorde a los reportes, la vulnerabilidad se encuentra en el uso de archivos MHT de Internet Explorer cuando un usuario guarda una página web. La vulnerabilidad está en la apertura de archivos MHT. “Internet Explorer es vulnerable a un ataque de Entidad Externa XML si un usuario abre un archivo .MHT especialmente diseñado. Este inconveniente permitiría a un atacante extraer archivos locales y realizar un reconocimiento remoto de la versión de Program instalada en la máquina comprometida. Por ejemplo, enviar una solicitud c:\Python27\NEWS.txt podría devolver como respuesta información de la versión de ese programa”. Continúa navegando en https://noticiasseguridad.com/ Hackeo en Wipro; los hackers usan los sistemas de la compañía para atacar a sus propios clientes Wipro se encuentra investigando algunos reportes que sugieren que sus sistemas de TI han sido hackeados; es posible que los sistemas comprometidos se estén empleando para lanzar ciberataques contra algunos de los clientes de esta compañía. Los reportes indican que algunos de los clientes de la compañía de servicios de TI detectaron actividades maliciosas de reconocimiento de redes comunicándose directamente a las redes de Wipro. Se estima que al menos diez o doce compañías han sido afectadas. Aunque Wipro tardó un poco en fijar postura respecto a este incidente, finalmente publicó un comunicado mencionando: “Nuestros procesos internos son en verdad sólidos y nuestros sistemas de seguridad son los más avanzados para prevenir y detectar diversos intentos de ciberataques”. Acorde a los especialistas en análisis forense informático, el ataque se habría originado en el servidor de correo electrónico de la compañía, por lo que Wipro ya prepara una nueva red email de uso privado. Por el momento, los usuarios potencialmente afectados están siendo informados de la situación. Portavoces de la compañía han mantenido comunicación sobre las actualizaciones más recientes sobre este incidente: “Derivado de una compleja campaña de phishing, hemos detectado actividad anómala en las cuentas de algunos empleados en nuestra red interna”. Continúa navegando en https://noticiasseguridad.com/ Si estás interesado en noticias de ciberseguridad, te recomendamos que accedas a nuestro foro de seguridad. ¡Hasta la próxima semana!Boletín nº 70 Noticias Seguridad en Comunidad Movistar Empresas
INCIBE alerta de un intento de suplantación digital a Bankia y Mapfre El Instituto Nacional de Ciberseguridad (INCIBE), con sede en León, ha alertado hoy de una aplicación falsa que se hace pasar por la aplicación móvil oficial de Bankia en el "Play Store", y de una campaña fraudulenta de correos electrónicos que intenta suplantar a Mapfre. En un comunicado, el INCIBE ha alertado de estas dos campañas de correos fraudulentos ('phishing') que tienen como objetivo el robo de datos personales. La primera es una aplicación falsa que se puede encontrar en el mercado oficial de aplicaciones de Google. La 'app' fraudulenta que suplanta a la de Bankia tiene el objetivo de capturar el usuario y contraseña de la víctima, aparte de tener acceso a ciertos datos almacenados en el móvil y poder realizar ciertas acciones, a través de los permisos que solicita al instalar la aplicación. La segunda es una campaña de 'phishing' que intenta suplantar a la compañía de seguros Mapfre mediante un correo electrónico falso. Este correo electrónico simula la recepción de una supuesta solicitud de cambio de dirección postal, en caso de error solicita al usuario que envíe ciertos datos personales. El INCIBE ha explicado que la solución en ambos casos pasa por conectar tanto con la entidad bancaria como con la compañía aseguradora para informar de lo sucedido. Fuente: www.lavanguardia.com Best Buy, Delta y Sears sufren de robo de datos Los detalles personales relacionados con el pasaporte, la identificación, la seguridad y la información de pasajeros no se vieron afectados, dijo Delta. La cadena de tiendas por departamentos Sears y la aerolínea Delta notificaron este miércoles que parte de la información de pago de centenares de sus clientes podría haber estado expuesta a un fallo de seguridad cibernética en el proveedor de servicios de software. Sears dijo en un comunicado que fue notificada del incidente a mediados de marzo y que el problema dio lugar a un acceso no autorizado a la información de la tarjeta de crédito de al menos de 100.000 de sus clientes. El 24 de julio, la firma de tecnología que brinda servicios de soporte en línea para Delta, Sears y Kmart entre otras compañías descubrió que un agujero de seguridad informática afectó la información de pago de sus clientes en línea, dijo Sears. Fuente: www.estrategiaynegocios.net Vulnerabilidad en Cisco Smart Install Client permite ataques masivos Varios portales de internet alrededor de todo el mundo fueron bloqueados este mes a raíz de un ataque masivo lanzado contra equipos de telecomunicaciones de la compañía Cisco. Los ataques fueron producto de la vulnerabilidad de los dispositivos de Cisco, en los cuales fue instalado el Smart Install Client, una herramienta diseñada para permitir la instalación sin contacto de nuevos equipos de Cisco, sobre todo switches. La compañía precisó que los bots escanean todas las direcciones de Internet para detectar la presencia de dicha vulnerabilidad, lo que les permite ejecutar comandos en el sistema de los dispositivos de Cisco de forma remota. Talos Intelligence advirtió que los ataques podrían estar asociados "con algunos estados" e hizo referencia a la alerta que dio el CERT de Estados Unidos sobre "algunos actores cibernéticos vinculados con las autoridades rusas". Fuente: blog.segu-info.com.ar Chrome escanea el dispositivo para detectar software potencialmente no deseado De acuerdo con algunos expertos en seguridad informática, parece que Chrome está escaneando los archivos de ordenadores con Windows en busca de malware.En 2017 Google añadió algunas funciones básicas de antivirus y para ello optimizó la herramienta Chrome Cleanup Tool en una alianza con la firma de seguridad ESET. Chrome está escaneando los archivos de tu ordenador en búsqueda de malware. En caso de encontrar algún archivo sospechoso, envía metadatos del archivo donde se almacena el malware y cierta información del sistema a Google y seguidamente solicita el permiso para eliminar el archivo malicioso sospechoso. Sin embargo puedes decidir no enviar información a Google desactivando la casilla de verificación y desmarcando la opción "Informar detalles en Google". Aunque Chrome está escaneando los archivos de tu ordenador, no significa que pueda ver archivos como fotografías privadas, ya que de acuerdo con Google, el objetivo de la herramienta Chrome Cleanup Tool es asegurarse de que el malware no entre en tu navegador por medio de extensiones maliciosas. Una sección en el documento de privacidad de Chrome explica que "Chrome escanea periódicamente su dispositivo para detectar software potencialmente no deseado". Y un lenguaje similar: "Chrome escanea tu ordenador periódicamente con el único propósito de detectar software potencialmente no deseado". Fuente: motherboard.vice.com La tercera violación de datos más grande de Finlandia expone 130,000 contraseñas de texto simple de los usuarios Más de 130,000 ciudadanos finlandeses han tenido sus credenciales comprometidas en lo que parece ser la tercera violación de datos más grande jamás enfrentada por el país, informa la prensa local. La Autoridad Reguladora de Comunicaciones de Finlandia (FICORA) advierte a los usuarios de una violación de datos a gran escala en un sitio web mantenido por el New Business Center de Helsinki ("Helsingin Uusyrityskeskus"), una empresa que ofrece asesoramiento a empresarios y les ayuda a crear planes comerciales correctos. Atacantes desconocidos lograron piratear el sitio web ( http://liiketoimintasuunnitelma.com ) y robaron más de 130,000 nombres de usuario y contraseñas de inicio de sesión de los usuarios, que se almacenaron en el sitio en texto sin usar ningún hash criptográfico. Fuente: thehackernews.com Error crítico de ejecución de código encontrado en CyberArk Enterprise Password Vault Se ha descubierto una vulnerabilidad crítica de ejecución remota de código en la aplicación CyberArk Enterprise Password Vault que podría permitir a un atacante obtener acceso no autorizado al sistema con los privilegios de la aplicación web. Las soluciones Enterprise Password Manager (EPV) ayudan a las organizaciones a administrar de forma segura sus contraseñas confidenciales, controlando contraseñas de cuentas privilegiadas en una amplia gama de sistemas operativos cliente/servidor y mainframe, conmutadores y bases de datos, y manteniéndolos a salvo de atacantes externos y personas malintencionadas. Descubierta por la empresa alemana de seguridad cibernética RedTeam Pentesting GmbH, la vulnerabilidad afecta a una de esas aplicaciones Enterprise Password Vault diseñadas por CyberArk, una herramienta de administración y seguridad de contraseñas que administra claves confidenciales y controla cuentas con privilegios. La vulnerabilidad (CVE-2018-9843) reside en CyberArk Password Vault Web Access, una aplicación web NET creada por la compañía para ayudar a sus clientes a acceder a sus cuentas de forma remota. Fuente: thehackernews.com Así es como los hackers se dirigen a los switches de red de Cisco en Rusia e Irán Desde la semana pasada, un nuevo grupo de piratas informáticos llamado " JHT " secuestró una cantidad significativa de dispositivos de Cisco pertenecientes a organizaciones en Rusia e Irán, y dejó un mensaje que decía: " No te metas con nuestras elecciones " con una bandera estadounidense ( en arte ASCII). MJ Azari Jahromi, ministro iraní de Comunicaciones y Tecnología de la Información, dijo que la campaña impactó aproximadamente 3.500 conmutadores de red en Irán, aunque la mayoría de ellos ya fueron restaurados. Según los informes, el grupo de piratería está apuntando a instalaciones vulnerables de Cisco Smart Install Client, una utilidad plug-and-play heredada y diseñada para ayudar a los administradores a configurar y desplegar equipos Cisco de forma remota, que está habilitada de forma predeterminada en los switches Cisco IOS e IOS XE y se ejecuta a través de un puerto TCP 4786. Fuente: thehackernews.com Intel admite que no será posible reparar el defecto de espectro (V2) en algunos procesadores Como lo especuló el investigador que reveló las fallas de Meltdown y Specter en los procesadores Intel, algunos de los procesadores Intel no recibirán parches para el ataque de análisis de canal lateral de Specter (variante 2). En una guía de revisión reciente de microcódigo ( PDF ), Intel admite que no sería posible abordar el defecto de diseño de Spectre en sus CPU antiguas específicas, ya que requiere cambios en la arquitectura del procesador para mitigar el problema por completo. El fabricante de chips ha marcado "Detenido" para el estado de producción de un total de 9 familias de productos: Bloomfield, Clarksfield, Gulftown, Harpertown Xeon, Jasper Forest, Penryn, SoFIA 3GR, Wolfdale y Yorkfield. Estas vulnerables familias de chips, que en su mayoría son viejas y salieron a la venta entre 2007 y 2011, ya no recibirán actualizaciones de microcódigos, dejando a más de 230 modelos de procesadores Intel vulnerables a los piratas informáticos que accionan millones de computadoras y dispositivos móviles. Fuente: thehackernews.com Si estás interesado en temas de seguridad, te recomendamos que accedas a nuestro foro de seguridad. ¡Hasta la próxima semana!Noticias de Seguridad a nivel mundial: boletín nº 112
Simbad: el phishing se cuela en los simuladores de Google Play Gmail, de Google, es uno de los principales servicios que usan este método de inicio de sesión, 206 aplicaciones y más de 150 millones de descargas. Este es el alcance de SimBad, una nueva campaña de adware que según investigadores de Mobile Threat de CheckPoint está haciendo estragos en la Google Play Store. Como ha explicado la compañía de seguridad, la mayoría de las aplicaciones afectadas son simuladores de juego (de ahí SimBad) y en su configuración más "sencilla" muestra en el terminal del usuario infectado innumerables anuncios (adware) fuera de la aplicación, que ralentizan y llegan a volver inutilizable cualquier teléfono móvil. No es este el único problema. Una vez instaladas, puede resultar complicado eliminar las aplicaciones afectadas del terminal. Las actividades que SimBad puede desarrollar se dividen en 3 grupos: mostrar anuncios, phishing y exposición de datos a otras aplicaciones. Más información en https://www.muyseguridad.net/. Hackers están comprometiendo cuentas de Office 365 y G Suite usando protocolo Imap Acorde a especialistas en ciberseguridad, en colaboración con un hacker ético del Instituto Internacional de Seguridad Cibernética, los hackers maliciosos están mostrando especial interés en el abuso de protocolos legítimos para incrementar la frecuencia y efectividad de los ataques de fuerza bruta. La conducta abusiva se ha enfocado principalmente en el protocolo IMAP (Protocolo de Acceso a Mensajes de Internet), que se encarga de pasar por alto la autenticación multi factor y las opciones de bloqueo para inicios de sesión sin éxito. Según el hacker ético, esta nueva campaña de ataques de fuerza bruta plantea un enfoque diferente para desplegar el ataque que utiliza la combinación de los nombres de usuario y contraseña. Gracias a un análisis realizado a una muestra de más de 100 mil inicios de sesión no autorizados en distintas plataformas, los investigadores llegaron a conclusiones como: El 70% de los usuarios han sido atacados por hackers maliciosos al menos una vez. Al menos el 40% de los usuarios tienen una de sus cuentas en línea comprometida. 15 de cada 10 mil cuentas de usuario activas han sido comprometidas con éxito. El principal objetivo de los hackers es desplegar campañas de phishing interno para generar persistencia en los sistemas de la organización atacada. El phishing interno es mucho más difícil de detectar que el externo, mencionó el experto en hacking ético. Los hackers tratarán de conseguir acceso de inicio de sesión a las cuentas en la nube de las víctimas, además dependerán de la campaña de phishing interno para propagar la infección de los sistemas. Más información en https://noticiasseguridad.com/seguridad-informatica/. Descubierta una vulnerabilidad en LTE que permite espiar llamadas Malas noticias para los usuarios de redes LTE. Tal y como publican varios medios, un grupo de investigadores de Corea del Sur, acaba de hacer público un informe en el que se identifican nada menos que 36 nuevas vulnerabilidades, en uno de los protocolos de comunicaciones inalámbricas más utilizados del mundo. Entre las reportadas, destacan algunas que permiten “manipular” antenas móviles, traduciéndose en la posibilidad de bloquear llamadas entrantes en un dispositivo, desconectar a usuarios de una red determinada, mandar SMS con malware a los usuarios que se conecten a la antena, e incluso, escuchar conversaciones privadas. No es esta la primera vez sin embargo, que un grupo de investigadores descubre vulnerabilidades de este calado en el protocolo de comunicaciones LTE. Como indican en ZDNET, se han reportado problemas similares en 2015, 2016, 2017 y 2018. ¿Por qué no se han subsanado? Básicamente por que aunque es cierto que algunas se han parcheado, la mayor parte de los esfuerzos se han centrado en el desarrollo y puesta en marcha del nuevo protocolo 5G, que nace de cero para entre otras muchas cosas, acabar con los problemas de seguridad (sin mucho éxito de momento). Para descubrir los problemas de lo que ya parece ser un protocolo más que vulnerable, los investigadores utilizaron el “fuzzing“, una técnica que consiste en inyectar una gran cantidad de datos aleatorios en una aplicación y analizar el output que produce para tratar de identificar anomalías que, en realidad, podrían ser bugs. Más información en https://www.muyseguridad.net/. Glitchpos, el malware que roba números de tarjetas de crédito de puntos de venta Especialistas en ciberseguridad en colaboración con un hacker ético del Instituto Internacional de Seguridad Cibernética reportan la aparición de una nueva variante de malware diseñada para interceptar números de tarjetas de pago; el malware ha estado circulando por algunos foros de hackers maliciosos. El malware, conocido como GlitchPOS, está disponible para su compra en algunos foros de hacking alojados en dark web. Este software malicioso fue detectado por primera vez en febrero y el número de hackers que lo han comprado o usado aún es desconocido. Acorde a los investigadores, este malware cuenta con un diseño funcional y es muy fácil de utilizar; “no se requieren conocimientos avanzados de hacking para ejecutar GlitchPOS”. Los atacantes han estado desplegando el malware a través de un email malicioso, disfrazándolo como un videojuego muy simple. El malware está protegido por un packer desarrollado en VisualBasic, mismo que descifra una biblioteca (la carga útil del malware) cifrada con el packer UPX. “Cuando se descifra la carga útil, se ejecuta GlitchPOS, que captura la memoria del sistema de punto de venta”. Más información en https://noticiasseguridad.com/ Ransomware piewdiepie: archivos encriptados hasta que el youtuber alcance los 100 millones de suscriptores Los suscriptores al canal de YouTube de PewDiePie han decidido tomar medidas drásticas para que el famoso creador de contenido se consolide como el usuario con más suscriptores de la plataforma de vídeos, mencionan expertos de la escuela de hackers éticos del Instituto Internacional de Seguridad Cibernética. Según se ha reportado, algún usuario desconocido desarrolló una variante de ransomware que cifra los archivos de las víctimas y sólo serán descifrados cuando el creador de contenido alcance los 100 millones de suscriptores. Acorde a los instructores de la escuela de hackers éticos la herramienta en cuestión, conocida como PewCrypt, es un ransomware basado en Java que ha cifrado miles de archivos. Aunque esta no es la peor parte; en diciembre pasado fue descubierta una nueva variante de ransomware relacionado con esta campaña, sólo que en esta ocasión el software maligno bloquea los archivos y no cuenta con un modo de recuperación, por lo que las víctimas pierden su información para siempre. Conocido como el ransomware PewDiePie, esta es una versión modificada y mal escrita del popular ransomware ShellLocker, reportan los expertos de la escuela de hackers éticos. El ransomware PewDiePie nunca almacena las claves de cifrado de las víctimas, por lo que los archivos comprometidos permanecerán bloqueados para siempre. Más información en https://noticiasseguridad.com/ Si estás interesado en temas de seguridad, te recomendamos que accedas a nuestro foro de seguridad. ¡Hasta la próxima semana!Noticias de Seguridad a nivel mundial: boletín nº 124
PoC para vulnerabilidad de Outlook for Android Microsoft lanzó esta semana una versión actualizada de su aplicación de Outlook para Android que corrige una grave vulnerabilidad de ejecución remota de código (CVE-2019-1105) que afectaría a más de 100 millones de usuarios. Sin embargo, en ese momento, había muy pocos detalles de la falla, que reveló que las versiones anteriores de la aplicación de correo electrónico contenían una falla de XSS que podía permitir a los atacantes ejecutar scripts en el contexto del usuario actual, simplemente enviando un correo electrónico especialmente diseñado a las víctimas. Ahora, Bryan Appleby de F5 Networks, uno de los investigadores de seguridad que informó este problema de manera independiente a Microsoft, presentó más detalles y prueba de concepto de la vulnerabilidad de Outlook que informó al gigante de la tecnología hace casi seis meses. En una publicación de blog, Appleby reveló que mientras intercambiaba un código JavaScript con sus amigos a través de un correo electrónico, descubrió accidentalmente un problema de XSS que podía permitir que un atacante incrustara un iframe en el correo electrónico. Continúa navegando en https://thehackernews.com/. WeTransfer envía los archivos de los usuarios a las personas equivocadas En el incidente de seguridad más embarazoso hasta ahora en 2019, el servicio de intercambio de archivos WeTransfer ha enviado los archivos de los usuarios a las bandejas de entrada incorrectas durante al menos un día completo la semana pasada. Peor aún, la compañía dice que no puede averiguar qué sucedió. Los clientes de Transferencia que usaron el servicio para compartir archivos entre el 16 de junio y el 17 de junio han recibido la siguiente notificación de la compañía por correo electrónico: “Le escribimos para informarle sobre un incidente de seguridad en el que se enviaron varios correos electrónicos del servicio WeTransfer a las personas equivocadas. Esto sucedió el 16 y 17 de junio. Nuestro equipo ha estado trabajando incansablemente para corregir y contener esta situación y descubrir cómo sucedió. “Hemos aprendido que una transferencia que usted envió o recibió también se entregó a algunas personas a las que no debía ir. Nuestros registros muestran que se ha accedido a esos archivos, pero casi con seguridad por el destinatario deseado. Sin embargo, como medida de precaución, hemos bloqueado el enlace para evitar futuras descargas ". Ya que WeTransfer también incluye el correo electrónico del remitente con la entrega de un archivo, se les dice a los clientes que vigilen sus bandejas de entrada para detectar actividades sospechosas. Continúa navegando en https://hotforsecurity.bitdefender.com/. Millones de PC Dell vulnerables por software de PC Doctor Millones de PC y laptops Dell con Windows son vulnerables a ataques a través de un agujero de seguridad de alta severidad, que podría ser explotado por atacantes para tomar el control sobre los dispositivos. En un aviso de soporte publicado en su sitio web, Dell revela que el problema se encuentra dentro de un componente de terceros de SupportAssist, el software de solución de problemas que se incluye con los PC domésticos y de negocios de la empresa. El software que el fabricante de PC describe como "la primera tecnología de soporte proactivo y predictivo automatizada de la industria". El investigador de seguridad Peleg Hadar descubrió que el componente PC Doctor de SupportAssist contiene una vulnerabilidad de secuestro de DLL, que puede ser explotada durante un ataque para obtener privilegios a nivel de sistema. A través de este mecanismo, un atacante podría obtener fácilmente el control de una computadora específica. Como el software SupportAssist está preinstalado en millones de PC y portátiles de Dell, hay muchos incentivos para que los delincuentes en línea intenten aprovechar la falla.Continúa navegando en https://hotforsecurity.bitdefender.com. Estados Unidos lanzó un ataque cibernético a los sistemas de armas de Irán Las tensiones entre Estados Unidos e Irán han aumentado desde que Estados Unidos se retiró el año pasado de un acuerdo nuclear de 2015 entre Irán y las potencias mundiales y restableció las sanciones, lo que desencadenó un colapso económico en Irán. El restablecimiento de las sanciones estadounidenses el año pasado, en particular las impuestas a los sectores de energía, transporte y finanzas, causó que la inversión extranjera se agotara y afectara las exportaciones de petróleo. Las sanciones impiden a las empresas estadounidenses comerciar con Irán, pero también con empresas extranjeras o países que están tratando con Irán. La semana pasada, Irán dijo que superaría los límites acordados internacionalmente en su programa nuclear. Trump ha dicho que no quiere la guerra con Irán, pero advirtió que el país se enfrentaría a una "destrucción" si surgiera el conflicto. ¿Qué hizo el ciberataque estadounidense? El presidente Trump aprobó un ataque cibernético ofensivo que desactivó los sistemas informáticos utilizados por el Cuerpo de la Guardia Revolucionaria Islámica de Irán para controlar el lanzamiento de misiles y cohetes". "Aunque ha paralizado los sistemas de control y comando militar de Irán", informó el Washington Post, "la operación no implicó una pérdida de vidas o víctimas civiles, un contraste con los ataques convencionales". Continúa navegando en https://www.bbc.com/news/ La seguridad de la NASA en ridículo por un Rogue Raspberry Pi conectada a su red La seguridad del Jet Propulsion Laboratory (JPL) de la NASA ha quedado totalmente ridiculizada por un informe publicado a raíz de un incidente de seguridad que ocurrió en abril de 2018. En ese momento, al parecer los atacantes llegaron a la red interna del laboratorio a través de una Raspberry Pi conectada a la red. De ahí, con movimientos laterales parece que consiguieron implantarse durante un año en la red hasta que se descubrió. La peligrosidad del ataque no se fundamenta solo en la posibilidad de controlar ciertos experimentos o misiones, sino además de la posibilidad de tener acceso a la tecnología y conocimiento y que se investiga y desarrolla en esa red. Ya en marzo de 2019 se advirtió en una carta de la Office of the Inspector General (OIG) de la propia NASA de las pobres prácticas de seguridad. Ahora es cuando se ha publicado un informe al respecto. El informe explica las deficiencias en la red, en las que prácticamente fallaban todos y cada uno de los procedimientos y técnicas básicas de ciberseguridad: desde una mala segmentación (con redes compartidas con terceros), hasta deficiencias en la monitorización, desde una mala interpretación de los logs, hasta administradores no cualificados, pasando por una evidente falta de protocolo de respuesta ante incidentes. Todo un despropósito que ha quedado al descubierto. Continúa navegando en https://www.engadget.com/. Si estás interesado en noticias de ciberseguridad, te recomendamos que accedas a nuestro foro de seguridad. ¡Hasta la próxima semana!
