Noticias de Seguridad a nivel mundial: boletín nº 132
Fuga de información en Cloud Web Application Firewall de Imperva Incapsula Waf es el nombre por el que se conoce al servicio de WAF en Cloud de la empresa Imperva. Funciona como un CDN diseñado para mitigar ataques de denegación de servicio distribuidos y proteger ante otro tipo de amenazas. Chris Hylen, su CEO, ha anunciado que el pasado 20 de agosto, un tercero notificó a la compañía sobre la brecha, que exponía información sobre la base de datos de clientes de Incapsula hasta el 15 de septiembre de 2017. Esta información incluía direcciones de correo y contraseñas cifradas de un subconjunto de usuarios registrados antes del 15 de septiembre de 2017. Las claves de API y certificados SSL para este grupo de clientes quedaron expuestos. Todavía no se conocen los detalles sobre el incidente, si fue fruto de un ataque dirigido o el resultado de componentes mal configurados. La compañía ha iniciado una investigación para aclarar lo sucedido y ha notificado la brecha a las entidades reguladoras pertinentes. Continúa navegando en https://unaaldia.hispasec.com/. Cómo hacer ataque de mensajes sms falsos o bombardeo sms Un riesgo de ciberseguridad relevante es el envío de mensajes de texto falsos. Al registrarse en una aplicación, en ocasiones es necesario enviar su número de teléfono para obtener una contraseña de un sólo uso (OTP) para completar el registro en el servicio; acorde a especialistas en curso de hacking ético, un hacker podría usar una técnica de spam SMS para irritar o molestar a un objetivo. El bombardeo de SMS es una técnica para enviar mensajes falsos a cualquier número de teléfono móvil. Este ataque requiere de un script que contiene las API de SMS Gateway; utiliza API de SMS de diferentes puertas de enlace de SMS. Según expertos en hacking ético del IICS, los bombarderos SMS utilizan diferentes puertas de enlace. Los proveedores de puerta de enlace SMS brindan servicios de reenvío, enrutamiento y almacenamiento de mensajes entrantes. Para enviar mensajes utilizando la puerta de enlace SMS, conéctate con los centros SMSC. Continúa navegando en https://noticiasseguridad.com/. Planta nuclear ucraniana conectada a Internet para minar criptomonedas Las autoridades ucranianas están investigando una grave violación de seguridad en una planta de energía nuclear, después de que unos empleados conectaran parte de su red interna a Internet para el minado de criptomonedas. La investigación está siendo dirigida por el Servicio Secreto ucraniano (SBU) y es de máximo nivel al considerar el incidente como una violación de secretos de estado debido a la clasificación de las centrales nucleares como infraestructura crítica. Los investigadores también están examinando si los delincuentes podrían haber utilizado las plataformas de minería como pivote para ingresar a la red de la planta de energía nuclear y recuperar información de sus sistemas, como datos sobre las defensas y protecciones físicas de la planta. El incidente tuvo lugar en julio en una planta de energía nuclear cerca de la ciudad de Yuzhnoukrainsk. Agentes del SBU confiscaron computadoras y equipos específicamente construidos para la minería de criptomonedas, instalados en las oficinas administrativas de la planta. Los equipos estaban especialmente fabricados para esta actividad, con un chasis metálico que alojaban partes básicas de una computadora, además de fuentes de alimentación y sistemas de refrigeración adicionales para mantener en funcionamiento hasta seis tarjetas gráficas AMD Radeon RX 470, principales encargadas del proceso. Varios empleados han sido acusados por su participación en esta operación. Continúa navegando en https://www.muyseguridad.net/ Actualiza tus dispositivos cisco, el parche para corregir una vulnerabilidad crítica ya está disponible A pesar de ser una de las compañías de tecnología más importantes del mundo, Cisco no deja de ser vulnerable a algunas fallas de seguridad en sus diversos productos. En esta ocasión, especialistas en forense digital reportaron el hallazgo de una seria vulnerabilidad en los dispositivos de la compañía que ejecutan el sistema operativo IOS XE. Identificada como CVE-2019-12643, esta es una vulnerabilidad presente en el contenedor del servicio virtual REST API para Cisco IOS XE que de ser explotada permitiría a los actores de amenazas esquivar la autenticación en un dispositivo comprometido. Dadas sus características, la falla cuenta con un puntaje de 10/10 en la escala del Common Vulnerability Scoring System (CVSS). Acorde a los expertos en forense digital, la falla existe debido a una verificación inapropiada en un área de código que opera el servicio de autenticación REST API. Los productos más afectados por esta vulnerabilidad son los enrutadores de Cisco, principalmente ASR 1000 Series Aggregation Service Router, Cisco Cloud Services Router 1000V y Cisco Integrated Services Virtual Router. En su investigación, los expertos afirman que esta falla puede ser explotada por un atacante remoto no autenticado enviando solicitudes HTTP diseñadas especialmente al sistema comprometido. Esto resultará en la exposición de un identificador de tokens de usuarios autenticados. Continúa navegando en https://noticiasseguridad.com/. Si estás interesado en noticias de ciberseguridad, te recomendamos que accedas a nuestro foro de seguridad. ¡Hasta la próxima semana!¡OJO! Correo electrónico fraudulento de Factura suplantando a Telefónica
En las últimas horas la cuenta clients@comunicacion. movistar.es, la cual NO pertenece a Telefónica, ha realizado envíos de correo fraudulentos (malware) por responsables ajenos a la compañía. El motivo del correo es "Facturas Sin Papel: sus últimas facturas ya están disponibles". He aquí un ejemplo del email registrado que NO se corresponde con las comunicaciones realizadas por Movistar: El correo en cuestión es un email fraudulento que, como se puede ver, va acompañado de un archivo adjunto con el título facturas (comprimido en .zip) que contiene un virus. Dentro de dicho adjunto, hay un archivo ejecutable que activaría el citado virus. Se recomienda encarecidamente eliminar directamente dicho mensaje en caso de recibirlo y en ningún caso abrir el contenido adjunto. Del mismo modo recordamos a todos los usuarios y clientes de Movistar que pueden consultar sus facturas de forma segura a través del área privada web de Mi Movistar o a través de su smartphone con la APP Mi Movistar.Noticias de Seguridad a nivel mundial: boletín nº 123
Whatsapp podría permitir que los mensajes sean rastreables, los gobiernos podrían identificar el origen de un mensaje Acorde a especialistas en protección de datos personales, las autoridades de India han solicitado al popular servicio de mensajería WhatsApp que tome registros digitales de los mensajes enviados a través de la plataforma sin violar el cifrado, pues de esta manera los mensajes serían rastreables, lo que facilitaría algunas labores de inteligencia del gobierno. El gobierno de India considera que WhatsApp debe tener la capacidad de identificar el origen de un mensaje en específico, el número de personas que lo han recibido y el número de veces que ha sido reenviado, todo sin necesidad de acceder al contenido del mensaje. Para el gobierno de India el rastreo de un mensaje de esta plataforma se ha vuelto prioridad después de que una serie de noticias falsas sobre secuestros de niños provocara múltiples linchamientos en diferentes territorios. “Nuestra intención no es leer los mensajes de los usuarios, sólo pretendemos rastrear el origen de los mensajes reenviados a múltiples usuarios que generan esta clase de confusiones”, mencionó un funcionario del gobierno. India es uno de los mercados principales para WhatsApp, con más de 300 millones de usuarios activos registrados. Continúa navegando en https://noticiasseguridad.com/seguridad-informatica. 8.4TB en metadatos de correos electrónicos expuestos en brecha de seguridad Una base de datos perteneciente a la Shanghai Jiao Tong University ha sufrido una brecha de seguridad exponiendo 8.4TB en metadatos de correos electrónicos por no implementar las reglas básicas de autenticación. Publicado por el blog de ciberseguridad, Rainbowtabl.es el descubridor Justin Paine cuenta que tras una búsqueda con Shodan encontró esta base de datos ElasticSearch sin ningún tipo de autenticación. La base de datos contenía metadatos de una enorme cantidad de correos electrónicos, que eventualmente confirmó, tanto el servidor y los correos electrónicos pertenecían a una universidad ubicada en China. La base de datos contenía 9.5 mil millones de hileras de datos, y se encontraba activa en el momento del descubrimiento, ya que aumentó de 7TB del 23 de mayo a 8.4TB sólo un día después. «Basándome en los metadatos, pude localizar todos los correos electrónicos enviados o recibidos por una persona específica», dijo Paine» Estos datos también incluyen la dirección IP y el agente de usuario de la persona que revisa su correo electrónico. Como tal, podría localizar todas las direcciones IP utilizadas y el tipo de dispositivo de una persona específica».Continúa navegando en https://safeshadow.com/seguridad-informatica/. Chile: se filtró información de más de 40 mil tarjetas de crédito y débito La Comisión para el Mercado Financiero (CMF) emitió un comunicado informando que Redbanc reportó en la casilla de incidentes operacionales la filtración de 41.953 tarjetas de crédito y débito emitidas por un total de 13 instituciones (bancarias y no bancarias) de Chile y que las mismas bloquearon las tarjetas como mecanismo de prevención y se comunicaron con los clientes afectados por el incidente. Por su parte, la prestadora de servicios de procesamiento de transacciones Redbanc, publicó un comunicado en el que confirma el incidente y afirma también que a partir de la información robada y previo a la implementación de las medidas de contención, se identificaron 82 operaciones fraudulentas. La empresa resaltó en el comunicado que el hecho se trata de un delito que está en proceso de investigación por el OS9 de Carabineros de Chile. Según publicó Pulso, Redbanc investiga a uno de sus proveedores por el robo de la información. Asimismo, la Asociación de Bancos e Instituciones Financieras (ABIF) aseguró que luego de haber sido informados de la filtración, los bancos activaron sus protocolos de seguridad a tiempo, bloqueando las tarjetas afectadas y comenzando con el proceso de emisión de nuevas tarjetas para sus clientes, explicó el medio. Continúa navegando en https://www.welivesecurity.com. Sus dispositivos IoT, como cámaras, lavadoras, almacenamiento Nas, y demás, se verán afectados por este nuevo malware Hace un par de años la botnet Mirai puso en aprietos a miles de administradores de sistemas antes de ser desmantelada; no obstante, expertos en seguridad en páginas web afirman que los desarrolladores de malware siguen usando su código fuente como base para nuevas variantes de la botnet para explotar dispositivos de Internet de las Cosas (IoT). Nuevas versiones de la botnet aparecen con una frecuencia amenazadora, lanzando ataques masivos contra dispositivos inteligentes de todo el mundo, ya sea explotando vulnerabilidades conocidas o burlando las medidas básicas de seguridad de estos dispositivos. Una de las más recientes versiones de botnet Mirai ha sido identificada como Echobot. Especialistas en seguridad en páginas web de la firma de seguridad Palo Alto Networks reportaron por primera vez la actividad de esta botnet a principios del mes de junio; durante los últimos días, los reportes sobre la actividad de este malware se han multiplicado. Echobot no presenta cambios profundos en el código fuente original de Mirai, sino que sigue la tendencia de sólo agregar algunos módulos nuevos. Los expertos en seguridad en páginas web mencionaron que, al momento de su detección, Echobot contaba con exploits para 18 vulnerabilidades distintas; en el último reporte se detectaron 26 exploits diferentes.Continúa navegando en https://noticiasseguridad.com/ Un ataque de ransomware paraliza la producción de ASCO Industries ASCO Industries, compañía belga dedicada a la fabricación de componentes para aviones tanto civiles como militares, fue víctima de un ataque de ransomware el 7 de junio que le obligó a paralizar la producción en todo el mundo. Con todos los sistemas de TI incapacitados, entre 1.000 de 1.400 empleados fueron enviados a casa, según publica ZDNet. ASCO Industries fabrica partes de aviones para Airbus, Boeing, Bombardier Aerospace, Lockheed Martin y el nuevo avión de combate F-35. La compañía tiene plantas en Bélgica, Alemania, Canadá y Estados Unidos, además de oficinas en Brasil y Francia. Aunque la infección se produjo en la planta de producción de Bélgica, las plantas en el resto de ubicaciones se cerraron como precaución para evitar que el ransomware se propague por toda la red. Una semana después, todas las plantas continúan cerradas y se ha abierto una investigación por expertos externos para determinar el daño real causado. "Hemos informado de este ciberataque a todas las autoridades competentes en esta área y hemos traído expertos externos para resolver el problema", ha comentado la directora de recursos humanos, Vicky Welvaert, para VRT. Continúa navegando en https://www.itdigitalsecurity.es. Si estás interesado en noticias de ciberseguridad, te recomendamos que accedas a nuestro foro de seguridad. ¡Hasta la próxima semana!Noticias de Seguridad a nivel mundial: boletín nº 116
¿Seguridad de Iphone no funciona? nuevo malware ha infectado a más de 500 millones de usuarios Acorde a especialistas en análisis forense informático del Instituto Internacional de Seguridad Cibernética (IICS) un grupo cibercriminal identificado como eGobbler ha estado explotando una vulnerabilidad en Chrome para sistema iOS con el propósito de atacar a los usuarios de dispositivos iPhone con un exploit que les entrega malvertising; se calcula que alrededor de 500 millones de usuarios en todo el mundo han sido infectados. El malvertising es un método de ataque en el que los hackers muestran a los usuarios publicidad de apariencia inofensiva; en realidad estos anuncios contienen código que redirige a las víctimas a sitios web de contenido malicioso, comentan los especialistas en análisis forense informático. Los reportes sobre la campaña de ataques desplegada por eGobbler han concluido que este actor de amenazas ha infectado servidores de publicidad legítima, misma que ha usado para desplegar los anuncios que mostrarán la ventana emergente maliciosa. La carga útil empleada por este grupo de hackers tiene dos funciones: generar dinero con los anuncios mostrados y la capacidad de redirigir al usuario a sitios web fraudulentos donde se intentará extraer sus datos personales o infectar con malware. Continúa navegando en https://noticiasseguridad.com/ Facebook almacenó millones de contraseñas de usuarios de Instagram en texto sin formato A fines del mes pasado, Facebook reveló que "almacenaba erróneamente las contraseñas de cientos de millones de usuarios de Facebook en texto plano", incluidas las contraseñas de "decenas de miles" de sus usuarios de Instagram también. Ahora parece que el incidente es mucho peor de lo que se informó primero. Estas contraseñas de texto plano de millones de usuarios de Instagram, junto con millones de usuarios de Facebook, estaban disponibles para algunos de los ingenieros de Facebook que, según la compañía, "no abusaban de ellas". De acuerdo con la publicación actualizada, Facebook descubrió "registros adicionales de contraseñas de Instagram almacenados en un formato legible", pero agregó que su investigación reveló que "las contraseñas almacenadas nunca fueron abusadas o mal accedidas por ninguno de los empleados". La última revelación llega en menos de un día después de que se reveló que Facebook había almacenado hasta 1,5 millones de usuarios en sus servidores, sin su consentimiento o conocimiento, desde mayo de 2016. Continúa navegando en https://thehackernews.com/ Microsoft es hackeada – hackean cuentas de Outlook y cuentas de empleados Microsoft ha revelado que un grupo de hackers desconocidos ha perpetrado una brecha de datos en algunos de los sistemas de la compañía; acorde a especialistas en cómputo forense del Instituto Internacional de Seguridad Cibernética (IICS), los hackers habrían comprometido las credenciales de inicio de sesión de algunos miembros del equipo de soporte técnico de la compañía, gracias a esto, consiguieron acceder a las cuentas de email de uno de los clientes de Microsoft. Las primeras investigaciones indican que los hackers atacaron la red de la compañía en algún momento entre enero y marzo, poco después de la intrusión los cibercriminales consiguieron acceso a los datos de inicio de sesión del personal de Microsoft. Acorde a los expertos en cómputo forense, la compañía notificó al cliente comprometido sobre la situación, afirmando que: “el acceso no autorizado podría haber permitido que un usuario no autorizado consiguiera acceso a información relacionada con su cuenta de email, como nombres de carpetas, título del email, entre otros datos”. La compañía afirmó también que los atacantes no tienen acceso al contenido de las carpetas, mensajes o archivos adjuntos. Aún se desconoce el número exacto de correos electrónicos a los que los hackers accedieron. Continúa navegando en https://noticiasseguridad.com/ Nueva vulnerabilidad Día Cero en internet explorer permitiría robo de archivos locales Internet Explorer no es precisamente el buscador más popular, y en definitiva este nuevo incidente de seguridad no le ayudará. Acorde a especialistas del curso de informática forense del Instituto Internacional de Seguridad Cibernética (IICS), ha sido descubierta una vulnerabilidad día cero en este buscador que hace que las computadoras con Windows sean vulnerables a los ataques de robo de archivos. Acorde a los reportes, la vulnerabilidad se encuentra en el uso de archivos MHT de Internet Explorer cuando un usuario guarda una página web. La vulnerabilidad está en la apertura de archivos MHT. “Internet Explorer es vulnerable a un ataque de Entidad Externa XML si un usuario abre un archivo .MHT especialmente diseñado. Este inconveniente permitiría a un atacante extraer archivos locales y realizar un reconocimiento remoto de la versión de Program instalada en la máquina comprometida. Por ejemplo, enviar una solicitud c:\Python27\NEWS.txt podría devolver como respuesta información de la versión de ese programa”. Continúa navegando en https://noticiasseguridad.com/ Hackeo en Wipro; los hackers usan los sistemas de la compañía para atacar a sus propios clientes Wipro se encuentra investigando algunos reportes que sugieren que sus sistemas de TI han sido hackeados; es posible que los sistemas comprometidos se estén empleando para lanzar ciberataques contra algunos de los clientes de esta compañía. Los reportes indican que algunos de los clientes de la compañía de servicios de TI detectaron actividades maliciosas de reconocimiento de redes comunicándose directamente a las redes de Wipro. Se estima que al menos diez o doce compañías han sido afectadas. Aunque Wipro tardó un poco en fijar postura respecto a este incidente, finalmente publicó un comunicado mencionando: “Nuestros procesos internos son en verdad sólidos y nuestros sistemas de seguridad son los más avanzados para prevenir y detectar diversos intentos de ciberataques”. Acorde a los especialistas en análisis forense informático, el ataque se habría originado en el servidor de correo electrónico de la compañía, por lo que Wipro ya prepara una nueva red email de uso privado. Por el momento, los usuarios potencialmente afectados están siendo informados de la situación. Portavoces de la compañía han mantenido comunicación sobre las actualizaciones más recientes sobre este incidente: “Derivado de una compleja campaña de phishing, hemos detectado actividad anómala en las cuentas de algunos empleados en nuestra red interna”. Continúa navegando en https://noticiasseguridad.com/ Si estás interesado en noticias de ciberseguridad, te recomendamos que accedas a nuestro foro de seguridad. ¡Hasta la próxima semana!Noticias de Seguridad a nivel mundial: boletín nº 114
Google revela que hay 200 millones de móviles Android con malware instalado Google ha publicado el informe de seguridad de Android de 2018, el cual nos muestra una imagen de la seguridad en el sistema operativo durante el pasado año y cuáles han sido los principales vectores de infección. Además, nos muestra que se detectó que casi 200 millones de dispositivos con su sistema operativo fueron infectados con malware. Google ha cumplido recientemente 10 años, en los cuales ha tenido bastantes fallos y problemas de seguridad que Google ha ido subsanando con el paso de los años. Cada año publica un informe para ver cómo ha avanzado la seguridad en el sistema operativo, y este año, a pesar de haber mejorado, sigue arrojando cifras que asustan. Así, un 0,04% de las descargas totales de la Google Play fueron clasificadas como Potentially Harmful Apps, o PHA, frente a la cifra del 0,02% en 2017. Esto supone al menos duplicar la cifra de apps peligrosas, ya que se realizaron más descargas en 2018 que en 2017. Este cambio tiene “truco”, ya que Google ha aumentado el tipo de apps y las categorías que considera como peligrosas. Sin embargo, gracias a Google Play Protect, su propio escáner antimalware, la instalación de aplicaciones peligrosas a través de fuentes ajenas a la Play Store ha caído significativamente. Sobre las apps bloqueadas de la Play Store no han desvelado cifras, pero en 2017 fueron de 700.000. Este año han preferido destacar que han prevenido la instalación de 1.600 millones de aplicaciones peligrosas que provenían de fuentes externas. Continúa navegando en https://www.adslzone.net/. Facebook expone más de 540 millones de usuarios Facebook ha eliminado 540 millones de datos de sus usuarios, almacenados en servidores públicos de Amazon por la plataforma digital mexicana Cultura Colectiva, que contenían 146 gigabytes de información. Recientemente se ha publicado por la empresa de ciberseguridad UpGuard un estudio que denunciaba la publicación de dos colecciones de datos de usuarios de Facebook obtenidas a través de aplicaciones de terceros. En la mayor de las colecciones, Cultura Colectiva había utilizado los servidores de Amazon en la nube para almacenar públicamente 540 millones de datos que detallaban comentarios, gustos, reacciones, nombres de cuentas e ID de Facebook. El medio mexicano ha declarado en un comunicado oficial que los datos que usan «incluyen 540 millones de interacciones como likes, comentarios y reacciones», aunque afirma que «entre ellos no se incluía información privada o confidencial, como correos electrónicos y contraseñas». Continúa navegando en https://www.abc.es/. Rusia falsifica su GPS regional para ocultar bases militares Acorde a los autores de ‘Cómo ser un hacker profesional‘, un análisis masivo de datos de posicionamiento global descubrió una conducta sospechosa en territorio ruso. Los expertos señalan el descubrimiento de una falsificación generalizada del sistema de navegación global por satélite durante los más recientes tres años. La investigación, realizada por una organización sin fines de lucro, descubrió que al menos 9800 casos de falsificación ocurrieron en las zonas sensibles para Rusia y Crimea; los especialistas también demostraron que la falsificación ocurría regularmente cerca de una base militar rusa en Siria. Acorde a los autores de ‘Cómo ser un hacker profesional’, estos hallazgos señalan lo arriesgado que puede ser confiar en los datos de posicionamiento global, pues en ocasiones dependemos demasiado de ellos y, como ya se ha visto, esta tecnología puede ser comprometida, interrumpida o secuestrada con diversos fines. Esta investigación hace notar lo vulnerables que son los sistemas de navegación por satélite. Durante al menos diez años, diversos medios especializados y los autores de ‘Cómo ser un hacker profesional’ han dado seguimiento a los problemas de seguridad presentes en los sistemas de navegación. Continúa navegando en https://noticiasseguridad.com/. Segundo robo de datos en Toyota en un mes Acorde a especialistas del curso de ethical hacking del Instituto Internacional de Seguridad Cibernética (IICS), la empresa automotriz japonesa Toyota ha sufrido su segundo robo de datos de las últimas cuatro semanas. Aunque, tal como reportaron los expertos del curso de ethical hacking, el primer incidente sucedió en las instalaciones de Toyota Australia, el más reciente robo de datos ha sido informado directamente desde las oficinas principales de Toyota en Japón. La compañía publicó un comunicado mencionando que los hackers consiguieron comprometer sus sistemas informáticos y posteriormente accedieron a las bases de datos de distintas subsidiarias. Entre las subsidiarias comprometidas se encuentran: Toyota Tokyo Sales Holdings, Tokyo Motor, Tokyo Toyopet, Toyota Tokyo Corolla, entre otras. Según el comunicado, los hackers accedieron a información relacionada con las ventas de hasta 3 millones de clientes de la compañía. Toyota afirma que ya se ha emprendido una investigación para determinar si los actores de amenazas filtraron algo de la información comprometida. Según reportan los expertos del curso de ethical hacking, la información financiera de los clientes de Toyota no se almacena en los servidores comprometidos, esto había sido informado por la compañía desde el último incidente de seguridad. Continúa navegando en https://noticiasseguridad.com. Departamento de policía sufre infección de Ransomware Acorde a especialistas de la escuela de hackers éticos del Instituto Internacional de Seguridad Cibernética, la Federación de Policía de Inglaterra y Gales (PFEW) ha puesto todos sus esfuerzos en contener un ataque de ransomware que infectó los sistemas de esta organización (es una especie de sindicato de empleados de la policía). La Federación de Policía de Inglaterra y Gales (PFEW) ha puesto todos sus esfuerzos en contener un ataque de ransomware que infectó los sistemas de esta organización. A través de su cuenta de Twitter, PFEW declaró que detectó la infección en sus sistemas el pasado 9 de marzo. “Colaboramos en conjunto con una escuela de hackers éticos para contener el brote y evitar su propagación”. PFEW informó a la Oficina del Comisionado de Información en Reino Unido después de descubrir la infección. Después de las primeras investigaciones, la PFEW declaró que este incidente no se trata de un ataque especialmente dirigido contra la organización. Además, agregan que no hay evidencia de robo de datos, por lo que creen que lo más probable es que se trate de un ataque de ransomware convencional. “Aunque aún no podemos descartar la posibilidad, no hay indicios de robo de datos. Continuaremos implementando medidas de seguridad adicionales y notificando a cualquier persona potencialmente afectada por este incidente”. Continúa navegando en https://noticiasseguridad.com/. Si estás interesado en noticias de ciberseguridad, te recomendamos que accedas a nuestro foro de seguridad. ¡Hasta la próxima semana!Noticias de Seguridad a nivel mundial: boletín nº 108
¿Hay alguien espiándolo? revise sus navegadores móviles La privacidad es fundamental para cualquier usuario de tecnología actualmente, en especial si el usuario recurre al uso de un navegador convencional. Existen múltiples métodos para proteger su identidad en Internet, aunque también hay diversas formas en las que un navegador tratará de recolectar toda la información posible del usuario. Cada sitio web visitado por un usuario recolecta múltiples detalles, además, hay muchas URL que muestran cuán propenso es su navegador a filtrar información. Expertos en seguridad en redes del Instituto Internacional de Seguridad Cibernética comentan que los métodos que se mostrarán a continuación pueden ser usados en la recopilación de información, o fase de reconocimiento. Las pruebas realizadas a continuación se realizaron usando un proxy en India, para que el usuario pueda probar sus navegadores con o sin proxy. Hay muchos métodos para mostrar lo vulnerable que puede ser un navegador. Existen, por ejemplo, muchos ataques de scripts entre sitios (XSS) usados para robar credenciales de usuario desde los navegadores, incluso campañas de ingeniería social para recolectar información sobre el objetivo. A continuación, veremos un sitio web que puede ayudar a encontrar qué información están filtrando los navegadores a los hackers. Más información en https://noticiasseguridad.com/ Corredores y empresas de bolsa de valores son atacados con nuevo malware Una empresa de tecnología detectó una infección con un troyano para extraer información. Expertos en seguridad en redes del Instituto Internacional de Seguridad Cibernética confirman la aparición de un nuevo troyano infectando las redes de múltiples comercios minoristas. En esta nueva campaña, los hackers ya han conseguido robar grandes cantidades de datos confidenciales para ponerlos a la venta en foros de Dark Web. La compañía especializada en el desarrollo de tecnología para pequeños comercios Panda Trading Systems afirma haber detectado el troyano hace algunas semanas. Más información en https://noticiasseguridad.com/ Google reconoce haber escondido un micrófono sin permiso en un dispositivo Nes Polémica en torno a la privacidad de la gama Nest de Google: la compañía ha reconocido que Nest Guard tiene un micrófono oculto, pero no lo había indicado en las especificaciones supuestamente “por error”: Hace unos días, Nest anunció en su página web que los dispositivos Nest Secure recibirían una actualización que permitía controlarlos con la voz usando el Asistente virtual de Google. ¿Cómo es posible, si los dispositivos Nest Secure no tienen micrófono para recibir las órdenes de voz? El problema es que Nest Guard tiene un micrófono oculto, pero no lo indica en las especificaciones. Un portavoz de Google ha asegurado que el dispositivo Nest Guard, una especie de teclado de seguridad que sirve de alarma y pertenece a la plataforma Nest Secure, sí contiene un micrófono, pero no lo indicaron en las especificaciones “por un error“. Su intención nunca fue ocultar el micrófono, y ha pedido disculpas por ello. Más información en https://www.ticbeat.com/ Nueva variante de ataque contra redes 4g y 5g Un equipo de investigadores dio a conocer una serie de vulnerabilidades en redes de telefonía móvil que impactan los protocolos 4G y 5G LTE. En su investigación, titulada “Violaciones de privacidad contra los protocolos de telefonía celular 4G y 5G”, los expertos afirman que las nuevas variantes de ataque podrían permitir acceso remoto a las telecomunicaciones evadiendo las medidas de seguridad implementadas en estos protocolos, con lo que de nueva cuenta posible el uso de dispositivos IMSI (como el conocido StingRay) para la intercepción de señales de telefonía móvil. Variantes de ataques: Ataque Torpedo Este ataque explota el protocolo de búsqueda en telefonía móvil, permitiendo a los usuarios maliciosos rastrear la ubicación del dispositivo de la víctima. Ataques de cracking de IMSI y PIERCER Además de lo mencionado anteriormente, el ataque TORPEDO parece habilitar otras dos variantes de ataques, llamados IMSI cracking y PIERCER. El ataque de exposición de información por red CORE (PIERCING) existe debido a un error de diseño y permite a los atacantes vincular el IMSI de la víctima con su número de teléfono. Más información en https://noticiasseguridad.com/ Manipulación de WhatsApp en Android El siguiente material de la h-c0n 2019 que publicamos es el de la charla de Pablo Espada Bueno, perito judicial e ingeniero informático, que también se acercó desde Cáceres a Madrid para presentarnos "Manipulación de WhatsApp en Android". En esa charla, además de repasar los conceptos básicos de Whatsapp desde un punto de vista forense (algo que ya se ha hecho en charlas como la de Manu Guerra en Cybercamp 2017), explicó cómo utilizando un segundo teléfono (este sí que estará "rooteado") se pueden manipular los mensajes de Whatsapp sin necesidad de manipular el teléfono original, lo que hace que dicha manipulación resulte indetectable para cualquier perito. La técnica se basa en el uso de copias de seguridad locales cifradas, que pueden ser descifradas en otro teléfono siempre que se pueda acceder a las llamadas o a los SMS utilizados como 2FA. Aprovechando esto, se extrajo la BBDD de Whatsapp en abierto en el teléfono auxiliar, pudiendo manipular los mensajes y devolviéndolos luego al teléfono original, de nuevo a través de una copia de seguridad. Como dice Pablo esta técnica no es nada especial, ni requiere unos conocimientos exhaustivos para realizarla, pero no hemos encontrado que haya sido mostrada en ningún artículo técnico, por lo que elevó aún más el interés de la charla. Más información en https://www.hackplayers.com/ Investigadores extraen contraseña maestra en texto claro de 1Password (y otros gestores) Los usuarios regulares de Internet hacen malabarismos con sus cuentas en diversas plataformas y sitios web, a menudo usando la misma contraseña débil para todos ellos. Los usuarios con conocimientos tecnológicos emplean distintas contraseñas fuertes para diferentes cuentas. Aquellos que son verdaderamente conscientes usan un administrador de contraseñas. Pero ¿es eso realmente algo tan inteligente? ISE, una firma de consultoría de seguridad independiente con sede en Baltimore, Maryland, decidió probar esta idea investigando cinco administradores de contraseñas populares para ver si podían hacerles entregar sus secretos. Si bien no es fácil, aparentemente se puede hacer. Denominan a estas como "estados" (bloqueados, desbloqueados, en ejecución) y, dependiendo de cada estado en el que se encuentre la aplicación, se deben imponer ciertas garantías. Desafortunadamente, cada aplicación que ISE probó contenía vulnerabilidades que filtraban contraseñas, y el equipo incluso recuperó la contraseña maestra de una instancia bloqueada de 1Password v4. Más información en https://blog.segu-info.com.ar. Si estás interesado en temas de seguridad, te recomendamos que accedas a nuestro foro de seguridad. ¡Hasta la próxima semana!Noticias de Seguridad a nivel mundial: boletín nº 106
Una imagen PNG es suficiente para vulnerar un Android Como se informó la semana pasada, una falla crítica de seguridad permite que algunos móviles con determinadas versiones del sistema operativo Android 7.0 a 9.0 estén expuestos a infectarse, simplemente abriendo un archivo de imagen PNG. Google informó de las vulnerabilidades a través de sus boletines CVE-2019-1986, CVE-2019-1987, y CVE-2019-1988, y ya transmitió especialmente sobre esto a los fabricantes que usan esos sistemas operativos. Según explican en el boletín de febrero, basta con utilizar un archivo en formato .PNG para poder atacar un teléfono inteligente o una tableta. No se ha especificado el "diseño" de este tipo de archivos en formato PNG, para evitar que sea aprovechado el fallo de seguridad, pero con ellos se puede ejecutar código arbitrario con privilegios sobre el sistema. Los dispositivos que reciben actualizaciones directas de la compañía, que son los Pixel y Android One, tienen que haber recibido ya este parche de seguridad que soluciona el importante problema relacionado con las imágenes en formato PNG. Sin embargo, otros muchos dispositivos con las versiones afectadas no recibirán nunca la actualización que acaba de ser liberada por la compañía. Por eso, Google ha decidido omitir los detalles del problema de seguridad con la intención de evitar que los atacantes puedan aprovechar el fallo y atacar a los usuarios. Más información en https://www.zdnet.com/ Glovo hackeada: los clientes denuncian el cobro de pedidos que no han realizado Tras las polémicas en torno a los problemas con sus repartidores, ahora se enfrenta a la denuncia por parte de decenas de clientes que aseguran que Glovo ha sido hackeada. A lo largo del fin de semana los usuarios de la app notaron que el acceso a su perfil ha quedado bloqueado por un cambio de contraseña y al restaurarla se han dado cuenta que su email y cuentas bancarias muestran cargos producidos desde Egipto en la app, además de que su nombre de usuario ha cambiado, así como la localización y el idioma. El reporte de que la app de Glovo ha sido hackeada se ha producido en España, Perú, Argentina e Inglaterra. Hasta el momento, Glovo no ha ofrecido un comunicado oficial sobre esta brecha de seguridad que sus usuarios en varios países han informado, sin embargo al ponernos en contacto con la agencia de prensa de Glovo, nos han asegurado que los hackers no han tenido acceso a los datos de las tarjetas de sus clientes, ya que esa información se gestiona por medio de una plataforma externa. En cualquier caso, la recomendación general es que por el momento y hasta que esta situación se resuelva, debes actualizar los datos de tu cuenta en Glovo: asegura que tu número telefónico sea el correcto y cambia la contraseña utilizando un código seguro y que sea único para esta app. Más información en https://marketing4ecommerce.net/ Ciberdelincuentes vacían tus cuentas con los códigos de un solo uso La autentificación de doble factor es un método muy utilizado por las instituciones financieras de todo el mundo para mantener a salvo el dinero de sus clientes: ya sabes, esos 4 o 6 dígitos que recibes del banco y que tienes que introducir para aprobar una transacción. Normalmente, los bancos envían contraseñas de un solo uso a través de mensajes de texto. Por desgracia, los SMS son uno de los métodos más débiles de implantación de la 2FA, ya que pueden ser interceptados y eso es lo que acaba de suceder en el Reino Unido. Los cibercriminales pueden acceder a tus mensajes de distintas formas y una de las más extravagantes es explotando un error en el SS7, un protocolo utilizado por las compañías de telecomunicaciones para coordinar el envío de mensajes y llamadas. A la red SS7 no le importa quién envía la solicitud, por tanto, si los ciberdelincuentes consiguen acceder, la red seguirá sus comandos como si fueran legítimos para dirigir los mensajes y llamadas. El procedimiento es el siguiente: primero, los cibercriminales obtienen el usuario y contraseña de la banca online, probablemente a través de phishing, keylogger o troyanos bancarios. Entonces, inician sesión en la banca online y solicitan una transferencia. Actualmente, la mayoría de los bancos solicitan una confirmación adicional y envían un código de verificación a la cuenta del propietario. Si el banco realiza esta operación a través de SMS, ahí es cuando los ciberdelincuentes explotan la vulnerabilidad SS7: interceptan el mensaje e introducen el texto, como si tuvieran tu teléfono. Los bancos aceptan la transferencia como legítima, ya que la transacción se ha autorizado dos veces: con tu contraseña y con el código de un solo uso. Por tanto, el dinero acaba en manos de los delincuentes. Más información en https://latam.kaspersky.com/ Alemania prohíbe que WhatsApp e Instagram compartan datos con Facebook sin consentimiento Facebook vuelve a encontrarse con un nuevo obstáculo interpuesto por las autoridades alemanas y en este caso el obstáculo afecta a la línea de flotación de su negocio de recopilación de datos. La Oficina Federal Antimonopolio de Alemania ha anunciado la prohibición a la red social de recopilar datos a través de terceros, lo que significa que, por ejemplo, no podrá recopilar los datos generados mediante el botón de «Me gusta», los llamados «likes», una práctica que tacha de «abusiva» e «injusta para la competencia». Las autoridades de la competencia alemanas basan su decisión en el hecho de que Facebook desempeña una posición dominante en el mercado y en la valoración de que está abusando de ella. Facebook ha comunicado que tiene previsto recurrir la decisión ante la Justicia y se juega mucho en ese recurso, porque el caso podría sentar un precedente europeo, vinculando por primera vez en la jurisprudencia la protección de datos con la defensa de la competencia. Más información en https://www.abc.es/tecnologia/redes/ Rusia se desconectará del internet mundial Acorde a especialistas en seguridad en redes del Instituto Internacional de Seguridad Cibernética, el gobierno de Rusia estaría considerando la posibilidad de desconectarse de Internet a nivel global por un breve periodo de tiempo, todo como parte de una prueba de ciberseguridad. Esto implica que los datos enviados y recibidos entre individuos y organizaciones rusas permanecerán en las redes de ese país, en lugar de ser enrutados de forma trasnacional. Una ley que está por ser aprobada podría ser el motivo principal por el que el gobierno ruso contempla esta opción, reportan los expertos en seguridad en redes. En esta ley se establece que se deberán realizar todas las modificaciones técnicas necesarias para operar de forma independiente. Para implementar el proyecto denominado Programa de Economía Digital, se requiere que los proveedores de servicios de Internet en Rusia se aseguren de poder operar en caso de que un ataque extranjero aísle las redes rusas. Países miembros de la Organización del Tratado del Atlántico Norte (OTAN) acusan continuamente al gobierno ruso de promover actividades de ciberguerra, por lo que ya han amagado con imponer sanciones por este proyecto. Se espera que la prueba se realice a comienzos del mes de abril, aunque se desconoce la fecha exacta. Más información en https://noticiasseguridad.com Si estás interesado en temas de seguridad, te recomendamos que accedas a nuestro foro de seguridad. ¡Hasta la próxima semana!Últimas noticias de Seguridad a nivel mundial: boletín nº 102
Vulnerabilidad en sistemas de Amadeus expone registros de viajes de millones de personas Este error podría haber permitido modificar múltiples detalles de viajes. Especialistas en seguridad en redes del Instituto Internacional de Seguridad Cibernética reportan que, debido a una vulnerabilidad recientemente descubierta en el sistema de reservaciones Amadeus, un atacante o atacantes pudieron acceder y cambiar las reservas usando sólo un número de reservación. El bug, presente en el sistema de reservas que ostenta el 44% del mercado de reservaciones internacionales, fue descubierto por el experto en seguridad en redes Noam Rotem, que intentó reservar un vuelo en la aerolínea israelí ELAL. Rotem, en colaboración con un grupo de especialistas en seguridad en redes, reportó su hallazgo a través de un blog: “descubrimos que, simplemente cambiando la RULE_SOURCE:1ID, podíamos ver cualquier PNR y acceder al nombre del cliente y los detalles del vuelo asociados”. Los investigadores entonces pudieron iniciar sesión en el portal de clientes de ELAL “y hacer múltiples cambios, canjear millas de viajero frecuente, modificar los lugares asignados en un vuelo y modificar el perfil de los usuarios para cancelar o cambiar una reserva en un vuelo”. Los expertos explican que la aerolínea ELAL envía los códigos vía email no cifrado, haciendo hincapié en que algunos usuarios descuidados incluso llegan a compartir estos mensajes en redes sociales. “Aunque esta es sólo la punta del iceberg”, afirma el blog. “Después de ejecutar una sencilla secuencia de comandos para comprobar si existían medidas de protección contra fuerza bruta, pudimos encontrar el PNR de miles de clientes al azar, incluyendo información personal”, concluye el blog. Los investigadores desarrollaron un script para solucionar el problema, contactaron a ELAL para notificarles sobre la vulnerabilidad, y emitieron algunas sugerencias a la aerolínea, como la implementación de CAPTCHA, contraseñas y otras medidas de seguridad contra bots. Más información en https://noticiasseguridad.com Encuentran Malware instalado en teléfonos de Alcatel La aplicación realizaba transacciones en línea ejecutadas en segundo plano. Un equipo de expertos en seguridad en redes detectó un número sospechosamente alto de intentos de transacciones en línea provenientes de smartphones de la marca Alcatel con sistema operativo Android, por lo que decidieron indagar a profundidad en el tema. Durante la investigación, los expertos descubrieron que una aplicación preinstalada dedicada al pronóstico del clima extrae gran cantidad de datos de los usuarios y es la responsable de tales intentos de transacciones. La APK lleva el nombre de com.tct.weather y fue firmada por TLC Corporation, empresa china de tecnología, fabricante de los dispositivos Alcatel y Blackberry. Acorde a los expertos en seguridad en redes, esta aplicación recopila y transmite a un servidor en China datos como ubicación, dirección email o clave IMEI, además de contar con una serie de permisos demasiado invasivos. La aplicación también se encuentra en Google Play, cuenta con más de 10 millones de descargas y una puntuación de 4/5. De no haber sido bloqueada, la actividad maliciosa de esta app seguramente habría afectado a los usuarios de equipos Alcatel en países como Brasil, Malasia o Nigeria, cargándoles costos por alrededor de 1 millón 500 mil dólares. Los expertos reportan que las transacciones se realizaban en segundo plano, por lo que los usuarios no eran capaces de detectar algún comportamiento anómalo en la app. Más información en https://noticiasseguridad.com Vulnerabilidades con más de 30 años de antigüedad en SCP Estas fallas podrían conducir a ejecución de comandos remotos en los sistemas comprometidos. Acorde a expertos en seguridad en redes del Instituto Internacional de Seguridad Cibernética, ha sido descubierto un conjunto de vulnerabilidades de 36 años de antigüedad en la implementación del Protocolo de Copia Segura (SCP) de múltiples aplicaciones de clientes; las vulnerabilidades podrían ser explotadas por usuarios maliciosos para sobrescribir archivos de forma arbitraria en el directorio de destino del cliente de SCP sin autorización. El SCP (también conocido como Protocolo de Control de Sesión) es un protocolo de red que permite a los usuarios transferir archivos de forma segura entre un host local y uno remoto mediante el Protocolo de Copia Remota (RCP) y el protocolo SSH. Dicho de otro modo, el protocolo SCP, creado en 1983, es una versión segura de RCP que requiere de la autenticación y el cifrado del protocolo SSH para transferir archivos entre el servidor y el cliente, mencionan expertos en seguridad en redes. Las vulnerabilidades, descubiertas por el experto en ciberseguridad Harry Sintonen, existen debido a las deficientes validaciones realizadas por los clientes de SCP, que podrían ser explotadas por servidores maliciosos o utilizando alguna variante del ataque Man-in-the-Middle (MiTM) para eliminar o sobrescribir archivos arbitrarios en el sistema de los clientes. “Muchos clientes SCP no verifican si los objetos devueltos por el servidor SCP coinciden con las solicitudes. Este problema se remonta al año 1983 y al protocolo RCP, en el que está basado SCP”, mencionó el experto. Un servidor controlado por un atacante podría colocar un archivo .bash_aliases en el directorio de inicio de la víctima, engañando al sistema para que ejecute comandos maliciosos tan pronto como el usuario de Linux inicie un nuevo shell. Más información en https://noticiasseguridad.com/. Dos hackers acusados de piratear el sistema SEC en un esquema de negociación de acciones Las autoridades estadounidenses han acusado a dos piratas informáticos ucranianos por piratear el sistema de archivo EDGAR de la Comisión de Bolsa y Valores y robar informes confidenciales de empresas antes de su lanzamiento público. EDGAR, o recopilación, análisis y recuperación de datos electrónicos, es un sistema de archivo en línea en el que las empresas envían sus documentos financieros. El sistema procesa alrededor de 1.7 millones de solicitudes electrónicas por año. EDGAR enumera millones de presentaciones sobre revelaciones corporativas, que van desde informes de ganancias anuales y trimestrales hasta información confidencial y confidencial sobre fusiones y adquisiciones, que podría utilizarse para el abuso de información privilegiada o incluso para manipular los mercados de valores de EE. UU. Los dos piratas informáticos ucranianos, Artem Radchenko y Oleksandr Ieremenko (27 años), piratearon el sistema EDGAR para extraer informes confidenciales no públicos de empresas que cotizan en bolsa y vendieron esa información a diferentes grupos de comerciantes. Más información en https://thehackernews.com/. Investigadores invitados a hackear un Tesla en Pwn2Own 2019 Los investigadores pueden ganar hasta $300,000 y un automóvil si logran piratear un Tesla Model 3 en la competencia Pwn2Own de este año, anunció el lunes la Zero Day Initiative (ZDI) de Trend Micro. Pwn2Own 2019, programado para realizarse del 20 al 22 de marzo junto con la conferencia CanSecWest en Vancouver, Canadá, introduce una categoría automotriz para la cual se instalará un Modelo 3 de Tesla. Los hackers de White Hat pueden ganar entre $ 50,000 y $ 250,000 por demostrar una vulnerabilidad contra un módem o sintonizador de Tesla, componentes de Wi-Fi o Bluetooth, sistema de información, entretenimiento, puerta de enlace, piloto automático, sistema de seguridad y llavero (incluido el teléfono que se usa como una tecla). "Junto con el premio en efectivo, el ganador de la primera ronda en esta categoría ganará un vehículo de tracción trasera de gama media Tesla Modelo 3", dijo ZDI. Premios a la piratería de Tesla. En la categoría de navegadores web, los hackers pueden ganar decenas e incluso cientos de miles de dólares por escapes de sandbox, escalaciones de privilegios del kernel de Windows y escapes de VM. Los objetivos son Chrome, Edge, Safari y Firefox. La categoría empresarial incluye Adobe Reader, Microsoft Office 365 y Microsoft Outlook. Finalmente, el único objetivo de la categoría del lado del servidor es Windows RDP, para el cual los hackers pueden ganar $ 150,000. Más información en https://www.securityweek.com/. Los viejos protocolos RF exponen las grúas a los ataques remotos de hackers Un equipo de investigadores de la firma de ciberseguridad con sede en Japón, Trend Micro, analizó los mecanismos de comunicación utilizados por las grúas y otras máquinas industriales y descubrió serias vulnerabilidades que pueden facilitar a los actores malintencionados lanzar ataques remotos. Las grúas, montacargas, taladros y otras máquinas pesadas utilizadas en los sectores de fabricación, construcción, transporte y minería a menudo dependen de los controladores de radiofrecuencia (RF). Estos sistemas incluyen un transmisor que envía comandos a través de ondas de radio y un receptor que interpreta esos comandos. Los investigadores han probado productos de varios proveedores, incluidos Saga, Juuko, Telecrane, Hetronic, Circuit Design, Autec y Elca, y se encontró que todos eran vulnerables. Sus pruebas se han realizado en 14 lugares diferentes del mundo real y también se encontró que todos estaban afectados. Trend Micro ha notificado a los proveedores afectados las vulnerabilidades y algunas de ellas ya han comenzado a tomar medidas. ICS-CERT ha publicado dos avisos para fallas descubiertas por los investigadores en productos de Telecrane y Hetronic . Obtenga más información sobre las fallas del controlador en la Conferencia sobre seguridad cibernética ICS 2019 de SecurityWeek. El principal problema encontrado por los expertos es que los proveedores no han protegido las comunicaciones entre el transmisor y el receptor, lo que permite a los atacantes capturar el tráfico y los comandos de suplantación de identidad. Los investigadores han detallado cinco tipos de ataques. Uno de ellos, que es fácil de llevar a cabo, involucra ataques de repetición. En estos ataques, el pirata informático captura una transmisión válida y la reproduce con fines maliciosos. Más información en https://www.securityweek.com/. Si estás interesado en temas de seguridad, te recomendamos que accedas a nuestro foro de seguridad. ¡Hasta la próxima semana!Boletín nº 90 Noticias Seguridad en Comunidad Movistar Empresas
GhostDNS: unos hackers han cambiado las DNS de 100.000 routers La empresa Netlab ha detallado que hay más de 100.000 routers afectados (un 87,8% en Brasil), habiendo más de 70 routers o versiones de firmware afectados. Las principales webs falsas a la que redirigían los atacantes eran páginas de bancos del país, e incluso Netflix. Este ataque estaba compuesto de cuatro módulos diferentes: DNSChanger, Web Amin, Phishing Web y Rogue DNS. DNSChanger, el primero de ellos, es el responsable de recopilar la información y llevar a cabo el ataque a través de tres submódulos en routers conectados a redes públicas o privadas. En total, es capaz de ejecutar más de 100 ataques a más de 70 routers. Uno de ellos realizaba 69 ataques a 47 routers o firmwares distintos, habiendo conseguido infectar 62.000 routers. El segundo, llamado Web Admin, contiene la página de login del Web Admin System. El tercero, el Rogue DNS, contiene la información de las webs que el malware suplanta y que el usuario termina viendo en su navegador. El cuarto y último, Phishing Web, se complementa con el tercero, y resuelve las páginas web falsas correspondientes al sitio que se quiere suplantar. ¡Mucho cuidado! Descubren que el 83% de los routers que tenemos en casa no son seguros. Revisa que tienes la última versión del firmare instalada, y que los DNS de tu router son los correctos. Más información en https://www.adslzone.net. TORII: nueva botnet IoT, aún sin objetivos claros Cada vez existen más dispositivos conectados a Internet, dispositivos de todo tipo que forman lo que conocemos como "Internet de las Cosas", o IoT. Desde cámaras de vigilancia hasta micro-servidores y electrodomésticos, cada vez son más los dispositivos conectados a la red, dispositivos que, por desgracia, no destacan precisamente por su seguridad, hecho que no han tardado los piratas informáticos en aprovechar para tomar el control de estos dispositivos y crear peligrosas botnets, como Mirai o la nueva botnet recién descubierta: Torii. Tal como se ha podido comprobar, el grupo de delincuentes informáticos ha creado binarios para una gran de arquitecturas diferentes, como MIPS, ARM, x86, x64, PowerPC y SuperH, adaptando los binarios a cada tipo de arquitectura para reducir la probabilidad de ser detectada y, además, poder implementar medidas de persistencia especiales para cada tipo de dispositivo. ¿Cómo funciona la botnet Torii?. Esta botnet busca nuevos dispositivos para infectar a través del puerto 23 Telnet, pero a diferencia de otras, el ataque llega directamente desde la red Tor. Más información en https://www.bleepingcomputer.com/. Puerto de San Diego golpeado por Ransomware La Oficina Federal de Investigaciones (FBI) y el Departamento de Seguridad Nacional (DHS) fueron convocados por el Puerto de San Diego en California después de que algunos de los sistemas de TI de la organización se infectaron con un ransomware. El Puerto de San Diego emitió su primera declaración sobre el incidente de ciberseguridad, que calificó de "grave", el 26 de septiembre, un día después de que comenzó a recibir informes de interrupciones en los sistemas de TI. El Puerto de Barcelona también informó haber sido golpeado por un ciberataque este mes, pero no está claro si los incidentes están relacionados. El puerto español no ha compartido ninguna información sobre el tipo de ataque, pero también afirmó que el incidente solo afectó a los sistemas internos, sin impacto en las operaciones terrestres o costeras. El Puerto de Barcelona dice que ha "iniciado las acciones legales apropiadas en represalia a este grave ataque".Más información en https://www.securityweek.com/. Exponen datos de 50 millones de usuarios de Facebook Un ataque a Facebook que se descubrió esta semana expuso información sobre casi 50 millones de usuarios de la red social, anunció la compañía el viernes. Los atacantes, que no fueron identificados, explotaron una característica que les permite a los usuarios ver su página de Facebook de la misma forma que lo haría otra persona (función "View As"). Facebook dice que ya ha solucionado el problema y ha informado a la policía. Según el New York Times, la compañía ha encontrado el agujero esta semana, y ya ha informado de ello a las autoridades estadounidenses. Los atacantes han explotado una vulnerabilidad en el código que les ha permitido hacerse con el control de las cuentas de los usuarios. Los atacantes se aprovecharon de un error en el código de la app y accedieron a la información privada de los usuarios. Este viernes por la mañana, más de 90 millones de personas fueron obligadas a salir de sus cuentas por la propia red social como medida de seguridad. Facebook no tiene pistas de la nacionalidad de los atacantes ni de dónde han podido provenir el hackeo. También reconocen que aún no saben la magnitud total del ataque, así que con el paso de las horas podrían ser más de 50 millones de cuentas comprometidas. Más información en https://newsroom.fb.com Cuidado con este nuevo malware; puede resistir un formateo e incluso un cambio de disco duro Formatear un ordenador, o restablecer los valores de fábrica de un dispositivo, suele ser la mejor forma de eliminar un malware que, por alguna razón, ha infectado nuestro sistema. Sin embargo, los piratas informáticos buscan constantemente nuevas formas de persistencia que les permitan, además de ser prácticamente indetectables, mantener un equipo o dispositivo infectado incluso después de formatear. Así nacieron los rootkits, y una de las últimas amenazas de este tipo, recién descubierta, es LoJax, un rootkit UEFI. Un rootkit UEFI es un tipo de malware que, en lugar de infectar el sistema operativo, infecta la UEFI (antigua BIOS) de los ordenadores. De esta manera, el malware pasa totalmente desapercibido en el sistema operativo (ya que los antivirus no suelen analizar la UEFI de los equipos) y, además, son capaces de resistir a un formateo del ordenador y a un cambio de disco duro. Recientemente, investigadores de seguridad han encontrado un nuevo rootkit UEFI, llamado LoJax, que está infectando ordenadores y sistemas por todo el mundo. Este nuevo rootkit ha sido desarrollado por el grupo de piratas informáticos APT28, uno de los grupos de piratas más peligrosos, responsable ya de varios ataques a grandes empresas. Más información https://www.redeszone.net/2 Vulnerabilidad de escalamiento de privilegios en Linux de más de 10 años Con relativa frecuencia se encuentran vulnerabilidades de escalamiento de privilegios en Linux. Estas permiten a un atacante con privilegios limitados el poder llegar hasta a manipular partes esenciales del sistema operativo o algún servicio en ejecución. Lo descrito en el párrafo anterior es lo descubierto por unos investigadores de Qualys, que han publicado los detalles de dos pruebas de concepto (1 y 2) mostrando una vulnerabilidad en el kernel Linux que abre la puerta a que un usuario sin privilegios consiga acceso a nivel de superusuario (root) en el sistema operativo. Llamada "Mutagen Astronomy", afecta a versiones del kernel Linux publicadas entre julio de 2007 y junio de 2017. Esto hace que las distribuciones más afectadas sean aquellas que ofrecen un soporte largo en el tiempo, como RHEL, CentOS, y Debian 8 Jessie , ya que otras muchas orientadas al escritorio suelen cambiar el componente que nos ocupa con más frecuencia. Más información https://thehackernews.com/. Si estás interesado en temas de seguridad, te recomendamos que accedas a nuestro foro de seguridad. ¡Hasta la próxima semana!
