16 de noviembre de 2013

Vulnerabilidades en iPhone 5, Galaxy S4, Nexus 4 y Surface RT

Mobile Pwn2Own 2013, evento celebrado en Tokio el 13 y 14 de este mes, ha revelado vulnerabilidades en los dispositivos móviles, iPhone 5, Galaxy S4, Nexus 4 y Surface RT.
Vulnerabilidades en el iPhone 5
  • El equipo Keen Team (de China) demostró dos exploits en un iPhone 5 a traves de Safari. Sin saltarse la sandbox, consiguieron capturar las credenciales de Facebook en iOS 7.0.3 y acceder a las fotos en iOS 6.1.4. 
Vulnerabilidades en el Galaxy S4.
  • El equipo japonés MBSD (de la compañía Mitsui Bussan Secure Directions), demostró exploits contra diversas aplicaciones instaladas por defecto en los Samsung Galaxy S4. La combinación de estos fallos podrían permitir la instalación de una aplicación maliciosa y el robo de datos sensibles. 
  • Para que estos exploits tengan éxito el usuario debe visitar un sitio web controlado por el atacante, sin embargo tras eso, no se requiere ninguna interacción más y el atacante podrá instalar una aplicación con privilegios de sistema en el dispositivo.
  • En este caso los atacantes podrían tener acceso a todo el teléfono, incluyendo todo tipo de datos sensibles como los contactos del usuario, marcadores, historial de navegación, capturas de pantalla, mensajes SMS, fotos, etc.
Vulnerabilidades en el Surface RT
Por otra parte, los investigadores Abdul Aziz Hariri y Matt Molinyawe del equipo ZDI de Hewlett-Packard, organizadores del concurso, demostraron un exploit para Internet Explorer 11 sobre una tableta Microsoft Surface RT con Windows 8.1.
Vulnerabilidades en Nexus 4 y Galaxy S4.
  • El equipo Pinkie Pie conseguía explotar una vulnerabilidad en Chrome en los dispositivos Nexus 4 y Samsung Galaxy S4. 
  • En este caso el exploit se aprovecha de dos vulnerabilidades, un desbordamiento de entero en el navegador Chrome y otra que permitía escapar totalmente de la sandbox. 
  • Las implicaciones de estos problemas combinados resultan en la posibilidad de ejecución de código arbitrario en el dispositivo afectado. La única interacción necesaria por el usuario es la visita de un sitio web malicioso.
Conclusiones finales del Evento
  • Todas las vulnerabilidades fueron reportadas de forma responsable y los fabricantes ya trabajan en actualizaciones para corregir estos problemas.
Más información:
Una al día(15/11/13)  http://unaaldia.hispasec.com/2013/11/el-mobile-pwn2own-2013-revela.html
Fuente: Hispasec

Backdoor Linux. Malware utiliza protocolo secreto para mantenerse oculto.

Investigadores de seguridad han descubierto un backdoor Linux que utiliza un protocolo de comunicación secreto para ocultar su presencia en los sistemas comprometidos.
El malware ha sido utilizado en un ataque contra una gran empresa (sin identificar) que recibió al intruso en mayo e  intentó evitar que se disparasen las alarmas mediante la inyección de sus propias comunicaciones en el tráfico legítimo, comunicación específica SSH. 
SSH es un protocolo que se utiliza para acceder a cuentas shell en Unix-como sistemas operativos, una actividad continua para la administración remota de los sitios web.
Modus Operandi del Malware
  • Los ciberdelincuentes desconocidos o ciberespías accedieron a la información de registro del cliente, tales como nombres de usuario, correos electrónicos y contraseñas que utilizan el malware sutil y sigiloso, de acuerdo con un análisis de la puerta de atrás por los investigadores de seguridad de Symantec.
  • Además, el malware hace uso del algoritmo de cifrado Blowfish para cifrar archivos de datos robados u otras comunicaciones con una red de mando y control.
  • Los atacantes necesitaban proteger  el entorno destino. En particular, los atacantes necesitan un medio para evitar el tráfico de red sospechoso o archivos instalados, lo que puede haber provocado una revisión de seguridad.
  • Demostración de sofisticación, los atacantes idearon su propio patio trasero Linux sigiloso para camuflarse en el Secure Shell (SSH) y otros procesos del servidor.
  • Esta puerta trasera permite a un atacante realizar la funcionalidad habitual - como la ejecución de comandos remotos - sin embargo, la puerta trasera no abre un socket de red o intento de conexión  a un servidor de comando y control. Más bien, el código de puerta trasera se inyecta en el proceso de SSH para controlar el tráfico de red y busque la siguiente secuencia de caracteres: dos puntos, signo de exclamación, punto y coma, punto (":;!.").
  • Después de ver este patrón, la puerta trasera sería analizar el resto del tráfico y a continuación, extraer comandos que habían sido cifrados con Blowfish y codificado en Base64.
Conclusiones de Symantec sobre nuevo malware
  • Para Symantec el malware detectado, llamado Fokirtor, es diferente de cualquier otro backdoor Linux que sus investigadores de seguridad han analizado anteriormente.
  • A pesar de ello, Symantec afirma que Fokirtor es completamente diferente de cualquier virus anterior de Linux y  el software malicioso es notable, no menos importante, ya que sugiere la nueva táctica por primera vez por el malware pueden surgir en el código de seguimiento.
  • El Malware en los sistemas Linux es sobre todo un problema en el servidor y los incidentes de gusanos y troyanos dirigidos a cientos o miles, son bajos - en comparación con las decenas de millones de agentes patógenos de Windows y un millón más en Android.
Fuente: The Register

MICROSOFT Y CISCO. Aconsejan evitar el cifrado RC4

Microsoft ha instado al mundo de Windows a desconfiar del algoritmo de cifrado RC4, y cambiarle por otro más fuerte. Cisco también ha dicho a sus clientes que "eviten" el sistema de cifrado RC4. 
Dentro de la criptografía RC4 o ARC4 es el sistema de cifrado de flujo más utilizado y se usa en algunos de los protocolos más populares como Transport Layer Security (TLS/SSL) (para proteger el tráfico de Internet) y Wired Equivalent Privacy (WEP) (para añadir seguridad en las redes inalámbricas). 
Intrahistoria de la noticia 
  • Académicos encontraron defectos hace años en el algoritmo y los documentos secretos filtrados por el ex-NSA  Edward Snowden este año, sugieren que espías de Estados Unidos y Reino Unido han desarrollado " capacidades innovadoras de criptoanálisis", que en última instancia permitirían a organismos de inteligencia romper el cifrado RC4. 
  • Jacob Appelbaum, investigador de seguridad informática y líder en el desarrollo de Tor, advirtió sin rodeos a principios de este mes: "RC4 se rompe en tiempo real por la NSA- dejen de usarlo ".
    Ivan Ristic, director de ingeniería de la seguridad informática biz Qualys, añadió: "Incluso si no hay pruebas, es prudente asumir RC4 está completamente roto." 
  • Pero esta semana, Microsoft ha hecho público lo siguiente: "animar encarecidamente a los clientes a evaluar, probar y poner en práctica las opciones para desactivar RC4 y aumentar la seguridad de los clientes, servidores y aplicaciones". Específicamente, Redmond quiere que la gente cambie a cripto-protocolo TLS 1.2 - que se utiliza en HTTPS, SMTP seguro, VPN y otras tecnologías - y utilizar el cifrado fuerte AES-GCM.
  • El gigante de redes Cisco ha también, a partir de este mes, ha dicho a sus clientes que "eviten" el sistema de cifrado RC4, desechandólos de sus recomendaciones para los algoritmos criptográficos.
Recomendaciones al respecto
  • "Afortunadamente, TLS 1.2 y AES-GCM no son vulnerables a estos ataques y ahora pueden oficialmente ser considerados la corriente principal", explicó Chester Wisniewski en un post en el blog Naked Security de Sophos, quien agregó que las últimas versiones de los navegadores web Google Chrome, Firefox, Safari y Opera soporte TLS 1.2 y AES-GCM. 
  • Windows 8.1  e Internet Explorer 11, ambos disponibles a mediados de octubre, por defecto a TLS 1.2 y shun RC4. Microsoft ha proporcionado un mecanismo para desactivar el uso de RC4 en Windows 7, 8, RT, Server 2008 R2 y Server 2012. 
Fuente: The Register

WikiLeaks. Publica borrador del acuerdo secreto de países del Pacífico sobre propiedad intelectual

El portal WikiLeaks, ha publicado un borrador del acuerdo Trans-Pacific Partnership (TTP) que varios países situados en la zona del Pacífico están negociando desde hace años. Entre los participantes están Estados Unidos, Canadá, Australia, Nueva Zelanda, Japón, Mexico, Malasia, Chile, Perú, Vietnam y Brunei.
El tratado,  trata temas variados referentes a patentes tecnológicas e incluso médicas. Pero además incluye un apartado completo sobre propiedad intelectual
Resumen del apartado sobre propiedad intelectual 
  • Sin embargo, la novedad ahora es más interesante: en el documento de WikiLeaks aparece qué países apoyan cada medida y cuáles no. Uno de los puntos más interesantes quizás sea el de las medidas que se podrán tomar para hacer cumplir este acuerdo. Australia y Estados Unidos son los más decididos a aplicar severas sanciones.
  • En el caso de las descargas no autorizadas, entre las soluciones propuestas está el implicar al ISP de los infractores de tal forma que se pueda tomar medidas contra los que descargan frecuentemente contenido protegido por los derechos de autor. Por ejemplo, la desconexión del mismo.
  • Según Matthew Rimmer, experto en propiedad intelectual al que ha consultado el Sydney Morning Herald después de recibir el borrador, “Hollywood, la industria musical, las grandes empresas tecnológicas como Microsoft y el sector farmacéutico estarán muy felices con ésto”. 
¿Qué importancia tiene todo ésto para la vieja Europa?
  • Pues como WikiLeaks nos recuerda, desde comienzos de este año se está negociando un acuerdo similar, el Transatlantic Trade and Investment Partnership (TTIP), que regularía éste y muchos otros aspectos de la relación entre Estados Unidos y Europa,
  • Así que como dice el refrán: cuando las barbas de tu vecino veas corta, echa las tuyas a remojar.
Más información
WikiLeaks http://wikileaks.org/tpp/
Fuente: Genbeta

MICROSOFT: "Comunicaciones entre servidores de Microsoft no cifradas"

Dorothee Belz, ejecutiva de Microsoft, ha declarado que las comunicaciones entre servidores de Microsoft, generalmente no son cifradas. Lo hizo el pasado lunes en una comparecencia en el parlamento europeo.
Belz, eso sí, reiteró que Microsoft no ha proporcionado (conscientemente) un acceso directo a sus servidores. Aunque su posterior declaración ha llamado la atención de grupos pro-derechos digitales en relación a una posible brecha de seguridad y privacidad en los servicios de Microsoft.
Microsoft asegura estar «evaluando nuevas medidas de seguridad que pueden ser beneficiosas para proteger más los datos de sus clientes». 
Sam Smith, tecnólogo en Privacy International, declara que estas comunicaciones no cifradas podrían afectar a cualquiera de los servicios online de Microsoft, desde Outlook.com a Xbox Live, pasando por SkyDrive y Office 365. 
La revelación cobra especial importancia tras conocer la existencia de "Muscular", el programa que la NSA y la GCHQ utilizaba para infiltrase en las comunicaciones entre centros de datos de grandes empresas como Yahoo!, Google o Microsoft ¿por qué no?
Acabáramos, ahora comprendemos un poco mejor lo del espionaje, yo no dejo que me espies, pero la puerta la dejo abierta, por si quieres echar un vistazo.
Más información
Wired  http://www.wired.co.uk/news/archive/2013-11/14/microsoft-encryption
Fuente: Genbeta

Multilples actualizaciones en iOS. Sistema, iBooks, Facebook Messenger y aplicaciones de Google

iOS ha recibido bastantes actualizaciones,  por parte de Apple y de Google. De hecho el mismo sistema se ha actualizado a la versión 7.0.4, solucionando un problema con las videoconferencias FaceTime.
Actualizaciones de otras aplicaciones
  • iBooks también se ha actualizado, para adoptar una interfaz completamente lisa muy semejante a la que ya teníamos vista en la aplicación Quiosco de iOS. Lo mismo le ha pasado a iTunes U, la aplicación de cursos y material educativo de iTunes.
  • Otras actualizaciones han sido las de las aplicaciones de Google, que aún seguían sin haberse adaptado a iOS 7. YouTube Capture y Gmail han sido las dos primeras en hacerlo.
  • Facebook también ha relanzado su Messenger renovado para iOS7 plantando cara a otros clientes de mensajería instantánea.
Disponibilidad de actualizaciones
  • Descarga de iBooks e iTunes U para iOS 7 o posterior (gratuito, universal) en la App Store
  • Descarga de  Gmail y YouTube Capture para iOS 6 o posterior (gratuito, universal) en la App Store
Más información  
Soporte de Apple http://support.apple.com/kb/HT1222
Fuente: Genbeta

APPLE. Actualización del iOS 7 corrige grave fallo de seguridad en Apple Store

Apple ha actualizado iOS 7 para corregir un error de seguridad que permitía a los ciberdelincuentes comprar cosas en la tienda online de Apple sin tener que introducir una contraseña válida. 
La nueva versión 7.0.4 corrige defecto que afecta in-app y compras de aplicaciones:
  • Por lo general, se debe suministrar cuenta de usuario y contraseña de Apple para autorizar una venta, que se cargará a la tarjeta de crédito del usuario correspondiente.
  • La actualización restaura la comprobación de autenticación antes mencionada. 
  • Además, dijo que el gigante de iPhone la nueva versión va a arreglar un error estabilidad en FaceTime, lo que provocó que algunos usuarios experimentan la interrupción de llamadas.
Para los propietarios del iPod que aún no son capaces de acceder a iOS 7, la compañía va a lanzar iOS 6.1.5. 
Al igual que con todas las actualizaciones de iOS, los usuarios podrán obtener las actualizaciones de sincronización con iTunes o conexión a través de Wi-Fi para instalar actualizaciones de forma inalámbrica.
Fuente: The Register

BlackBerry: Descubierto grave fallo de seguridad

BlackBerry aconsejó a sus usuarios actualizar el software de su Mac OS X y Windows después de la divulgación de un fallo de seguridad bastante grave. 
El fabricante de teléfonos móviles de Canadá dijo que la vulnerabilidad existe en versiones seleccionadas libremente disponibles de Link Application (programa que le permite transferir archivos entre tus moviles BlackBerry y ordenadores Apple o Microsoft-powered) Se insta a los usuarios a actualizar a las últimas versiones disponibles, que no son vulnerables al error descubierto. 
El fallo se debe al hecho de que el enlace proporciona acceso a los archivos del usuario a través de un servidor WebDAV que se puede acceder a través de la red y, sin embargo no realiza ninguna comprobación de autenticación. 
Esto allana el camino para un atacante, en determinadas condiciones, para elevar sus privilegios de acceso y ejecutar código arbitrario engañando a otro usuario para que haga clic en un enlace web especialmente manipulado o visitar una página web maliciosa.
Fuente: The Register

BITCOINS. Falsa casa de cambio china estafa más de 3,5 millones

Una casa de cambio de bitcoins china ha echado el cierre recientemente, lo que ha causado que las cuentas de sus usuarios hayan desaparecido también, con ella, inversiones por valor de hasta 3,5 millones de euros.
Según informa Business Insider, que cita a CoinDesk, el sitio de cambio GBL, con sede supuestamente en Hong Kong, cerró de buenas a primeras el pasado día 26 de octubre. Con su desaparición se han esfumado alrededor de 25 millones de yuanes, (unos 3,5 millones de euros).
Detalles de la noticia
  • La compañía, cuyo dominio btc-gbl.com fue dado de alta en mayo y su registro tuvo lugar el 10 de junio, levantó enseguida algunas sospechas entre ciertos usuarios, que notaron que sus servidores estaban localizados en Pekín a pesar de que la compañía aseguraba que su sede se encontraba en Hong Kong.
  • Asimismo, el sitio web de GBL no proporcionaba información de contacto directo alguna, y además la información que proporcionaba este sitio parecía una amalgama de textos copiados de otros sitios. Según WantChina Times, ni siquiera contaba con las licencias comerciales necesarias. 
  • Y a pesar de todas estas señales que apuntaban a una posible estafa, según The Standard, esta empresa logró atraer a más de un millar de inversores de China continental. Poco después de recibir las inversiones, GBL echó el cierre sin previo aviso, el día 26 de octubre.
Fuente: The Register

GOOGLE PLAY MUSIC. Desembarca en el iOS

Google Music para iOS ha llegado a la App Store con todas las opciones presentes en su homóloga en Android, combinando la subida de todas nuestras canciones en la nube con un servicio de streaming. Podemos resumirlo en la simple suma de los conceptos de iTunes Match y de Spotify.
Google Play Music tiene planes gratuitos y de pago: 
  • Gratuitamente podemos subir hasta 20.000 canciones y escuchar la radio con anuncios entre las canciones
  • Estos límites desaparecen si escogemos pagar los 9,99 euros mensuales de Google Play Music All Access.
  • La aplicación no está optimizada para iOS 7  y su interfaz sólo está preparada para el iPhone, se echa de menos una interfaz para el iPad. 
Más información
Applesfera  http://www.applesfera.com/aplicaciones-ios-1/google-play-music-para-ios-ya-disponible
Fuente: Genbeta

Google. Ha retirado este año más de 200 millones de enlaces con la DMCA

Google recibe a un ritmo cada vez mayor, peticiones de retirada de enlaces de los propietarios de los derechos de autor. De hecho, según han descubierto en TorrentFreak, las peticiones han pasado ya de los 200 millones y fueron autorizadas por la DMCA.
Resumen de los enlaces retirados
  • Los más activos son la BPI y la RIAA, los equivalentes británico y estadounidense a la SGAE; y que han logrado retirar 45 y 35 millones de URLs respectivamente. En el top 20 nos encontramos otras empresas del mundo del ocio: Fox, NBC, Warner o Disney. También hay algunas tecnológicas: Microsoft o Adobe con 17 y 3 millones de direcciones web retiradas.
  • Filestube encabeza el ranking de los sitios web con más peticiones de retirada, 9,6 millones. Le sigue Zippshare, Dilandau y Rapidgator. Curiosamente, The Pirate Bay está en el puesto 32.
De los datos obtenidos se desprende que la DMCA no es la solución, porque las peticiones no paran de crecer, y los únicos beneficiados son las organizaciones encargadas de buscar esos enlaces y notificarlos a Google.

¿Existe alguna solución ?
  • Para los propietarios de derechos, la solución mayoritaria es la de exigir mayor control por parte de Google y del resto de motores de búsqueda.
  • Por su parte, Google replica que lo que tiene que hacer la industria es adaptarse y ofrecer alternativas más baratas y, sobre todo, facilitar el acceso a contenidos. 
Más información
Torrent Freak  http://torrentfreak.com/google-deleted-200-million-pirate-search-results-in-2013-131112/
Fuente: Genbeta