8 de febrero de 2015

ESPAÑA. Después de EE UU y Reino Unido, el país que sufre más ciberataques

Con más de 70.000 ciberincidentes, España fue el año pasado el tercer país del mundo, tras Estados Unidos y Reino Unido, que más ataques cibernéticos sufrió. Así lo ha revelado este jueves el ministro de Asuntos Exteriores, José Manuel García-Margallo, durante la presentación del monográfico sobre ciberguerra editado por Vanguardia Dossier. 
El ministro no ha detallado la gravedad de estos ataques, sus orígenes o destinatarios, pero ha dicho que afectaron tanto a la Administración como a ciudadanos particulares y empresas, incluidas las responsables de gestionar infraestructuras críticas.
Margallo ha asegurado que España está respondiendo “en tiempo real al desafío que suponen las ciberamenazas” y ha anunciado que está en elaboración un Plan Nacional de Ciberseguridad, que tendrá en cuenta las estrategias sobre esta materia de la UE y la OTAN, por parte del Consejo Nacional de Ciberseguridad, que preside el director del Centro Nacional de Inteligencia (CNI), el general Félix Sanz. Además, Defensa ha puesto en marcha un Mando Conjunto de Ciberdefensa y Exteriores participa en el grupo internacional de expertos en ciberseguridad en el marco de Naciones Unidas.
Para dar idea de la dimensión de la amenaza, Margallo ha recordado el ataque sufrido en 2012 por la petrolera saudí Aramco, que vio pirateados más de 30.000 discos duros; el asalto a las webs de compañías noruegas de energía durante el pasado verano; o, más recientemente, la ofensiva cibernética contra la compañía Sony Pictures, supuestamente orquestado desde Corea del Norte en represalia por la película The Interview, que le costó más de 200 millones de dólares; y el hackeo de más de 19.000 webs francesas por parte de yihadistas tras el atentado contra el semanario satírico Charlie Hebdo. Con todo, el ministro ha defendido Internet como un espacio de libertad y progreso y ha advertido que “la tentación controlar el ciberespacio, con la excusa de garantizar la seguridad, es comprensible pero puede llevar a cometer errores fatales para el progreso humano”. Al acto han asistido, entre otros, el ministro del Interior, Jorge Fernández Díaz, y el director del Departamento de Seguridad Nacional, Alfonso de Senillosa.
Fuente: El Pais.com

REINO UNIDO. Vigilancia del Gobierno británico en Internet violó los derechos humanos

Un Tribunal falla contra los servicios secretos de Reino Unido por su acceso a comunicaciones privadas interceptadas por la NSA entre 2007 y diciembre de 2014
La inteligencia británica realizó programas de vigilancia masiva en Internet que violaron los derechos humanos entre 2007 y diciembre de 2014, según una sentencia dictada hoy por el tribunal que fiscaliza la actividad de los servicios secretos de Reino Unido. Se trata de la primera vez que este tribunal, conocido como IPT, falla en contra de una agencia de espionaje en sus 15 años de historia.
La sentencia se refiere al sistema por el que el centro de escuchas británico, GCHQ en sus siglas en inglés, accedía desde 2007 a los registros de llamadas y correos electrónicos interceptados en Reino Unido por la Agencia de Seguridad Nacional estadounidense (NSA). La ilegalidad, según la sentencia, radica en que las normas para interceptar datos de comunicaciones privadas entre personas deben ser claras y accesibles al público y, hasta el pasado mes de diciembre, según el tribunal, no lo eran. La actividad realizada desde entonces, después de que los servicios secretos divulgaron documentos sobre sus procedimientos, es legal.
La existencia de los sistemas de vigilancia Prism y Upstream, que permiten a los servicio secretos estadounidenses recoger información de ciudadanos de otros países, fue revelada por el diario The Guardian a partir de los documentos de la NSA filtrados por Edward Snowden. Diversas asociaciones de defensa de las libertades civiles denunciaron entonces que el acceso del GCHQ británico a esas comunicaciones privadas era ilegal.
En diciembre, el mismo tribunal que hoy se ha pronunciado en contra dictaminó que esta actividad no contravenía los derechos humanos. Pero ahora ha revisado su criterio original, y considera que sí los vulneraba, hasta que la información sobre el procedimiento se hizo pública, a raíz del proceso abierto en diciembre. “El Tribunal ha dictaminado que la divulgación pública de dos párrafos con detalles adicionales, revelada voluntariamente por el Gobierno durante este litigio, fue clave para que el régimen público se volviera suficientemente previsible y, por tanto, plenamente compatible con la Convención Europea de Derechos Humanos”, afirmó un portavoz del GCHQ.
Un documento colgado en la web del tribunal este viernes por la mañana establecía que “el régimen que regía la solicitud, recepción, almacenaje y transmisión por parte de las autoridades británicas de comunicaciones privadas de individuos radicados en Reino Unido, obtenidos por autoridades estadounidenses, contravino los artículos 8 y 10 de la Convención Europea de Derechos Humanos”. Dichos preceptos se refieren, respectivamente, al derecho a la privacidad y a la libertad de expresión.
La actividad es legal ahora que los ciudadanos tienen acceso a información sobre cómo llevan a cabo sus actividades los servicios secretos. Pero algunos siguen considerando que el propio sistema de recogida de datos es ilegal. Es el caso de James Welch, director legal de Liberty, una de las asociaciones que denunció las actividades del GCHQ. “Ahora sabemos que, al mantener ocultos al público sus tratos secretos con la NSA, el GCHQ violó nuestros derechos”, ha declarado Welch tras conocer la sentencia. Ero ha asegurado que no comparte el hecho de que la práctica sea ahora legal y anunciado que acudirá al Tribunal Europeo de Derechos Humanos. Un portavoz del Gobierno, por su parte, ha celebrado “una decisión que no requiere que el GCHQ modifique sus operaciones”.
Fuente: El Pais.com

EEUU. Dimite la jefa de Sony Pictures tras el escándalo de los ‘emails’ robados

Amy Pascal, una de las ejecutivas más poderosas de Hollywood, dimite tras verse abochornada en la prensa por los correos publicados por los 'hackers' de Corea del Norte
La copresidenta de Sony Pictures Entertainment, uno de los estudios de cine más grandes del mundo, anunció este jueves su dimisión dos meses después del bochorno que sufrió cuando todo su correo electrónico fue publicado en Internet. Amy Pascal, una de las ejecutivas más poderosas de la industria del cine, es la víctima de mayor peso del ataque informático sin precedentes, atribuido por el FBI a activistas de Corea del Norte, contra la compañía en represalia por el estreno de The interview, una parodia sobre el líder norcoreano.
Los hackers robaron decenas de miles de documentos internos de Sony, entre ellos todo el archivo de correo electrónico de Pascal, y lo publicaron en la red. En ese archivo, la prensa pudo encontrar referencias jocosas a la raza del presidente, Barack Obama. En un intercambio con el productor Scott Rudin, hablando sobre un evento en el que iba a participar Obama, Pascal bromeaba sobre si al presidente le gustarían 12 años de esclavitud o Django desencadenado.
Pascal es una firme defensora de causas progresistas y una donante del Partido Demócrata. Sin embargo, sus comentarios despertaron críticas y acusaciones de racismo. Pascal se disculpó en una nota pública: “El contenido de mis emails era insensible e inapropiado, pero no son un reflejo adecuado de quién soy (…) aunque esta fue una comunicación privada robada, acepto total responsabilidad por lo que escribí y pido disculpas a todo el que se haya sentido ofendido”.
Según una nota de la compañía, la dimisión de Pascal se produce después de haberlo discutido con el presidente, Michael Lynton, “bastante tiempo”. Permanecerá en la compañía a cargo de una división de producción propia que empezará a rodar en mayo y que trabajará en cine, teatro y televisión. El acuerdo es por cuatro años y Sony financiará los proyectos de Pascal y tendrá los derechos de distribución. Las oficinas estarán dentro de los estudios de la compañía en Culver City, Los Ángeles.
Por su parte, Lynton dijo que "el legado del estudio se lo debemos en gran parte a la pasión de Amy por contar historias y su amor por esta industria". "En los meses recientes, SPE se ha enfrentado a desafíos sin precedentes, y estoy agradecido por la resistencia y cortesía de Amy en este periodo".
Pascal entró a trabajar en Columbia Pictures en 1988, antes de que fuera comprada por Sony. "He pasado casi toda mi vida profesional en Sony Pictures y me siento animada de empezar este nuevo capítulo en una compañía que es mi casa", dijo Pascal en un comunicado citado por Variety. "Siempre he querido ser productora". Sony no dijo quién ocupará su puesto en la máxima dirección de la compañía.
La ejecutiva es responsable de haber llevado a puerto algunos de los mayores éxitos de Sony, como la franquicia Spiderman o las tres últimas películas de James Bond (Skyfall es la primera película de la saga en superar los 1.000 millones de dólares de recaudación en todo el mundo). También es la responsable de las recientes candidatas al Oscar a la mejor película La noche más oscura, Moneyball y La red social. En su época en Columbia, a principios de los noventa, supervisó producciones como Atrapado en el tiempo y Ellas dan el golpe.
Fuente: El Pais.com

PIRATERIA. Los piratas informáticos que atacaron Sony aún pueden tener acceso a la red

La firma de seguridad encargada de estudiar el ataque llevado a cabo el pasado mes de noviembre contra Sony Pictures Entertainment afirma tener evidencias de que los piratas informáticos que atacaron la compañía aún tienen acceso a la red y es posible que vuelvan a acceder a ella para robar más documentos privados y hacerlos públicos en la red.
Los piratas informáticos, aparentemente rusos, enviaron hace dos meses correos electrónicos a los empleados con un documento pdf incluido que, al abrirlo, instalaba un troyano de control remoto RAT en el sistema. De esta manera consiguieron acceder a la red interna, y desde allí a los servidores generales de la compañía, con sede en California, de donde comenzaron a descargar los archivos que posteriormente se han subido a la red.
Uno de los piratas informáticos sospechosos de este ataque es Yama Tough, antiguo preso de Estados Unidos por piratería y culpable del robo del código fuente del antivirus de la compañía Symantec.
Debido a que el troyano no ha podido ser identificado completamente, es posible que los piratas informáticos aún tengan acceso a la red mediante una puerta trasera y, de ser así, la pesadilla de Sony puede que aún no haya llegado a su fin.
Hace algunas horas la directora de la compañía cinematográfica, Amy Pascal, ha dimitido dos meses más tarde de que en el pasado ataque los piratas robaran miles de documentos internos y privados de la compañía, entre otros, los correos electrónicos de esta directora. Por el momento habrá que esperar para ver si se producen nuevos ataques contra la compañía y si se siguen filtrando más documentos internos mientras los piratas informáticos sigan teniendo acceso a la red.
Fuente: PC World

EE.UU. Propone considerar internet servicio público y reforzar su regulación

El proyecto busca garantizar la «neutralidad de la red», que persigue que los proveedores de internet no puedan bloquear o restringir el acceso a ciertas páginas web
El presidente de la Comisión Federal de Comunicaciones de Estados Unidos (FCC), Tom Wheeler, desveló este miércoles su intención de proponer que internet sea considerado un «servicio público» de telecomunicaciones, lo que permitirá una mayor regulación por parte del gobierno. «Mi propuesta asegura los derechos de los usuarios de internet para que puedan ir donde quieran, cuando quieran y los de los innovadores para presentar nuevos productos sin pedir el permiso de nadie», indicó Wheeler en un editorial en la revista «Wired». Remarcó además que internet debe ser una red «rápida, abierta y justa».
El proyecto del presidente de la FCC, un organismo federal de carácter independiente, busca garantizar el conocido como principio de «neutralidad de la red», que sostiene que no debe permitirse a los proveedores de internet bloquear o restringir el acceso a ciertas páginas web. Asimismo, trata de evitar la creación de un «canal rápido» que permita acceder con mayor velocidad de navegación a contenidos cuyos creadores hayan pagado previamente una tasa a la compañía proveedora.
De este modo, Wheeler parece cambiar de rumbo al reforzar el marco regulatorio de internet, después de que en mayo la FCC publicase un propuesta que abría la posibilidad de que los proveedores cobraran por un acceso prioritario a la red, y desde entonces ha recibido más de 4 millones de comentarios del público al respecto. El organismo, que cuenta con tres representantes demócratas y dos republicanos, debe tomar una decisión definitiva en una votación el próximo 26 de febrero.
El propio presidente Barack Obama ha asumido una posición al respecto, ante el debate generado entre activistas a favor de la mayor regulación y proveedores de acceso como Verizon o Comcast, que aseguran que estas normas perjudicarían la innovación. En un comunicado en noviembre, Obama indicó que internet debe entenderse y regularse como un «servicio público básico», «esencial para la economía» de EE.UU. y con una «significativa influencia democratizadora».
La reacción por parte de los proveedores no se han hecho esperar, y Verizon, uno de las grandes del sector, afirmó que la propuesta es «un paso radical». «Es contraproducente porque una mayor regulación sobre internet creará incertidumbre y ralentizará la inversión», indicó Michael Glover, vicepresidente de la compañía en un comunicado.
Fuente: Abc.es

CHINA. Lidera el ranking de paises emisores de spam desbancando a EEUU

Uno de cada seis correos de spam procede de China, con lo que el país asiático desbanca a Estados Unidos de su liderato de muchos años.
Sophos ha lanzado su informe Spamionship correspondiente al último trimestre de 2014, en el que refleja cuáles han sido los países que más spam han enviado en el período. Como gran novedad en este informe, China accede a la primera posición, tradicionalmente ocupada por Estados Unidos, con un 16,7%, lo que significa que uno de cada 6 correos basura recibidos se emiten desde el país asiático. El auge de los países asiáticos en este tipo de prácticas se ve reflejado en el informe, ya que otros países como Corea del Sur (3º), Japón (5º), Vietnam (6º), India (10º) o Taiwán (12º) ocupan posiciones de importancia en el ranking.
España se mantiene cerca de la cabeza, ocupando la 13ª posición con un 1,7%. Se observa también el descenso generalizado de spam enviado por países occidentales, que están siendo sustituidos por los orientales. Así en el informe correspondiente al tercer trimestre de 2014 se observaba que la mitad de los países en los primeros puestos del ranking pertenecían a Europa, mientras que en este último informe el predominio asiático es palpable.
La mayor parte del spam es enviada por ordenadores zombie, es decir, equipos que han sido infectados por bots y que son manejados por un tercero, que los recopila en las llamadas granjas de bots para realizar envíos masivos de correo basura o realizar ataques de denegación de servicio, entre otros. Es por esto que lo que este informe verdaderamente refleja es que los equipos asiáticos se están volviendo más vulnerables frente a la infección de este tipo de malware, por lo que los envíos de spam utilizando ordenadores de esta procedencia aumenta.
Para proteger nuestro ordenador de la posible infección de estos bots y evitar que se conviertan en zombies, lo más importante es contar con un antivirus instalado y actualizado en el equipo”, señala Pablo Teijeira, Director General de Sophos Iberia, que añade: “además, desconfiar de correos electrónicos de procedencia no conocida o de enlaces en redes sociales con asuntos sensacionalistas es básico si queremos mantener nuestros equipos a salvo”.
Sophos pone a disposición de todos los internautas, de forma completamente gratuita, su herramienta Sophos Virus Removal Tool, la cual, analiza el equipo en profundidad en busca de posibles amenazas. Esta herramienta tiene acceso directo a los datos de virus de SophosLabs, la red global de laboratorios de investigación de amenazas de Sophos, para garantizar la detección y la eliminación de cualquier virus, incluso los más recientes. Además, funciona de forma paralela a cualquier antivirus instalado en el PC.
Fuente: Diarioti.com

INFORMES. Aumenta la desconfianza de los usuarios en las aplicaciones

Entre las conclusiones del estudio destaca el hecho de que el 49 por ciento de los encuestados indicó que la falta de confianza es un elemento que limita las aplicaciones que descargan, un dato que implica un incremento del 12 por ciento frente al 37 por ciento registrado en 2013.
La firma de comercio móvil MEF y la empresa de antivirus AVG han dado a conocer los resultados de un informe sobre aplicaciones móviles basado en 15.000 usuarios de smartphones de 15 países de los cinco continentes.
Por otra parte, también se ha desvelado que un 72 por ciento de los encuestados no ven con buenos ojos tener que compartir datos personales como la localización o detalles de contacto, cuando utilizan una aplicación.
Además, un 34 por ciento apuntó que la falta de confianza hace que no se animen a comprar más bienes y servicios a través de sus dispositivos móviles.
Entre las claves para aumentar la confianza, un 30 por ciento comentó que eso se conseguiría si los fabricantes de dispositivos móviles y las tiendas de apps fueran más responsables al proteger su información personal.
Asimismo, se aprecia un aumento en la importancia de la transparencia, ya que en la edición del año pasado solo el 49 por ciento la consideraba como importante o muy importante, y en esta ocasión asciende al 63 por ciento.
Por último, el informe desvela una reducción de la concienciación sobre el malware, ya que solo el 48 por ciento de los encuestados afirmó que la amenaza de malware les haría pensar dos veces antes de bajar una aplicación, cuando en 2013 se llegó al 74 por ciento.
Fuente: Silicon News.es

TWITTER. El 50 % usuarios activos abandonan plataforma por no entender funcionamiento

Cada dos meses los analistas de MKM Partners efectúan un concienzudo análisis sobre Twitter y sus usuarios, especialmente interesados en la experiencia de los mismos y su satisfacción. 
Los resultados no pueden ser más demoledores en esta ocasión. Entre un 40 y un 50 % de los usuarios inactivos de Twitter apenas han usado un par de veces su cuenta antes de abandonarla para siempre. Sin duda una preocupante tasa de abandono para una red social cuya tasa de crecimiento continúa ascendente aunque no a un ritmo precisamente vertiginoso. Y si además hay un porcentaje tan alto de usuarios que no son tales porque han abandonado las cosas pueden empezar a torcerse para el pajarito azul.
Más de 741 millones de cuentas han sido activadas y posteriormente abandonadas. Una cifra mareante puesto que supone casi el triple del número de usuarios activos, que en el último trimestre de 2014 se cifró en 284 millones.
Ayer mismo Dick Costolo, consejero delegado de Twitter, ha hecho público hoy los resultados relativos al pasado trimestre y los analistas se han mostrado firmes al pedir que se simplifique el uso de esta red social para los nuevos usuarios a fin de solventar el importante problema de que casi la mitad de quienes están interesados en convertirse en usuarios no pasen de un reducido número de intentos antes de abandonar, desalentados.
En ese sentido los últimos datos provisionales de MKM indican que estaría reduciéndose (hasta el 38 %) el número de estos abandonos que tienen lugar tras varios intentos de manera que resta por comprobar que la tendencia se consolida y que 2015 es el año en que cada vez más gente aprende a usar Twitter.
Fuente: Business Insider

FACEBOOK. Por qué está probando- el botón "no me gusta"

La petición de un botón de "no me gusta" es ya una constante entre los usuarios, pero, de momento, Facebook no se ha decidido a incluirlo porque podría generar movimientos masivos negativos contra marcas y compañías; eso multiplicaría las posibilidades del nacimiento de crisis para los clientes de Facebook y ese es un tema espinoso en el que la red social parece que no quiere entrar.
Sin embargo, esta situación puede cambiar antes de lo que pensamos porque la compañía de Mark Zuckerberg está experimentando con un nuevo botón que aparecería cuando las actualizaciones de nuestros amigos tengan matices negativos. De esta forma, controlando su uso, la red social podría generar otro tipo de 'feedback' también valioso en términos publicitarios, que es lo que le interesa.
El botón en cuestión se probó ya en 2013 y se denominó "symphatize" (simpatizar) y sustituiría al tradicional "me gusta" cuando la red social detecte que se comparten noticias sobre tragedias, se publican sentimientos de tristeza, etc.
Sin embargo, el nombre podría variar, ya que Mark Zuckerberg, CEO de Facebook, anunció el pasado diciembre que su compañía trabajaba en un botón llamado "no me gusta" ('dislike'), aunque ni él cerró la puerta a otros posibles nombres. Eso sí, sea cual sea su denominación final, la empresa aún no ha anunciado cúando llegará efectivamente a la web y a la 'app' móvil.
Fuente: Europa Press

CIBERATAQUES. Aumenta alquiler de ataques DDoS de técnicas de reflexión y multivectores

El informe ha sido realizado por el Equipo de Ingeniería e Investigación de Seguridad de Prolexic (PLXsert) de Akamai, cuyos miembros son líderes en servicios y estrategias de seguridad en la nube y de protección contra ataques DDoS (Denegación de Servicio Distribuido). 
El informe trimestral ofrece un análisis y visión sobre el panorama global de amenazas de ataques incluyendo los ataques DDoS observados en la red PLXrouted, y puede ser descargado en www.stateoftheinternet.com/security-report.

El “DDoS-for-hire” y el incremento de los ataques de reflexión y multivectores
  • Las ingeniosas suites de arranque de “DDoS-for-hire” (alquiler de ataques DDoS) adoptaron un enfoque de baja inversión recurriendo a ataques DDoS basados en reflexión. Casi el 40 por ciento de todos los ataques DDoS emplearon técnicas de reflexión, que se basan en protocolos de Internet que responden con más tráfico del que reciben y no requieren un atacante para conseguir el control sobre el servidor o dispositivo.
  • La extensa disponibilidad de servicios DDoS para alquilar permitió a atacantes de bajo nivel y poco técnicos, comprar servicios DDoS listos para usar. La expansión del mercado “DDoS-for-hire” también ha fomentado el uso de campañas multivectores ya que el mercado competitivo llevó a la innovación en ataques. Se observaron bastante más ataques multivectores – el 88 por ciento más que en el cuarto trimestre de 2013. Más del 44 por ciento de todos los ataques empleó múltiples vectores de ataque.
Cambio en la Distribución global de fuentes y objetivos DDoS
  • El ritmo de los ataques DDoS se distribuyó más uniformemente en el cuarto trimestre, una tendencia DDoS que parece ser fomentada por un creciente número de objetivos de mayor valor en ubicaciones geográficas que anteriormente eran poco representadas. Además, las fuentes geográficas de tráfico malicioso han cambiado. Los Estados Unidos y China siguieron estando a la cabeza de los primeros países fuentes de tráfico DDoS, pero al contrario del bloque Brasil, Rusia, India y China (BRIC) que dominó en el tercer trimestre de 2014, el tráfico de ataques DDoS del cuarto trimestre provino en gran parte de los Estados Unidos, China y Europa Occidental.
Puntos Destacados del Informe de Seguridad – Estado de Internet del Cuarto Trimestre de 2014 de Akamai PLXsert:
Comparado con el cuarto trimestre de 2013
  1. Un 57 por ciento más de ataques DDoS
  2. Incremento del 52 por ciento del ancho de banda pico medio
  3. Incremento del 77 por ciento de los paquetes pico medios por segundo
  4. Un 51 por ciento más de ataques a la capa de aplicaciones
  5. Un 58 por ciento más de ataques a la capa de infraestructura
  6. Incremento del 28 por ciento en la duración media de los ataques
  7. Un 84 por ciento más de ataques multivectores
  8. Un incremento del 200 por ciento en ataques de 100+ Gbps (9 vs. 3)
Comparado con el tercer trimestre de 2014
  1. Un 90 por ciento más de ataques DDoS
  2. Descenso del 54 por ciento del ancho de banda pico medio de ataques
  3. Descenso del 83 por ciento de la media pico de los paquetes por segundo
  4. Un 16 por ciento más de ataques a la capa de aplicaciones
  5. Un 121 por ciento más de ataques a la capa de infraestructura
  6. Incremento del 31 por ciento en la duración media de los ataques
  7. Un 38 por ciento más de los ataques multivectores
  8. Un 47 ciento menos de ataques de 100+ Gbps attacks (9 vs. 17)
Un vistazo a los botnets
  • El malware se emplea a menudo para la expansión de botnets DDoS. Se describen en el Informe de Seguridad las tendencias del malware – multiplatforma, conocimiento del sistema operativo y malware destructivo. Además, Akamai ha realizado el perfil de botnets de ataque múltiple a aplicaciones Web utilizando una nueva técnica de análisis que emplea datos recogidos en la Plataforma Inteligente de Akamai (Akamai Intelligent Platform™). 
  • Los botnets identificados fueron establecidos para automatizar el descubrimiento de vulnerabilidades en aplicaciones Web para ataques de Inyección de Comando de Sistema Operativo e Inclusión de Ficheros Remotos. Los investigadores de Akamai hicieron el perfil de los botnets identificando URLs de recurso de código malicioso y cargas que eran idénticas entre ataques que aparentemente no estaban relacionados.
Mitigación de bots, scrapers y spiders
  • Mientras que los ataques de denegación de servicio tienen un impacto significativo en el rendimiento del sitio Web, los robots de indexación (crawlers) Web también pueden afectar el rendimiento del sitio pero en menor medida. Incluso los robots de indexación Web con la más pobre codificación pueden parecerse a tráfico DDoS. Akamai clasifica a los robots de indexación Web en base a su atractivo e impacto sobre el rendimiento del sitio. El Informe de Seguridad ofrece consejos sobre la clasificación y mitigación de sus efectos.
Más información
Fuente: Diarioti.com

COMPARATIVA. Mientras que iOS 8 ya se usa en un 72%, Android Lollipop sólo alcanza el 1,6%

Dado que la adopción de iOS 8 crece, el número de usuarios que utilizan iOS 7 se ha reducido al 25 por ciento.
El nuevo sistema operativo de Apple, iOS 8, ya está instalado en el 72 por ciento de los dispositivos iOS casi cinco meses después de que se lanzase por primera vez (septiembre de 2014), de acuerdo con los nuevos números que Apple compartió en la página de soporte para desarrolladores de su App Store. Mientras, Android Lollipop, lanzado en noviembre, ha alcanzado el 1,6 por ciento.
Desde mediados de diciembre, el número de instalaciones subió en un 9 por ciento, y desde el 20 de enero ha subido un 3 por ciento, debido, en gran parte, al lanzamiento de la versión iOS 8.1.3.
Dado que la adopción de iOS 8 crece, el número de usuarios que utilizan iOS 7 se ha reducido al 25 por ciento. Un 3 por ciento de usuarios continúa utilizando un sistema operativo anterior.
La adopción de iOS 8 está siendo algo más lenta de la que experimentó iOS 7. En enero de 2014 iOS 7 estaba presente en el 80 por ciento de los dispositivos, en comparación con el 69 por ciento de tasa de adopción de iOS 8 durante ese mismo tiempo.
Una posible explicación para la tasa de adopción más lenta puede ser la gran cantidad de espacio de almacenamiento necesario para actualizar a iOS 8 y los principales errores que el sistema operativo ha experimentado.
Apple ha resuelto muchos de los errores iniciales que se encontraron en iOS 8 con varias actualizaciones del sistema operativo, incluyendo iOS 8.1, iOS 8.1.1, iOS 8.1.2 e iOS 8.1.3, que ha llevado a un aumento en la adopción, y la compañía también ha hecho un esfuerzo para informar a los clientes que es posible instalar iOS 8 a través de iTunes para aliviar los problemas de espacio de almacenamiento.
A pesar de la lenta adopción que está teniendo iOS 8, Apple sigue yendo muy por delante que Android. La última versión de Android (5.0, también conocida como Lollipop), lanzada en noviembre, solo está instalada actualmente en un 1,6 por ciento de los dispositivos Android, según indican los datos de la página web de desarrolladores de Android.
La gran mayoría de los usuarios de Android siguen usando KitKat (lanzado en octubre de 2013), o incluso Jelly Bean (debutó por primera vez en junio de 2012).
Hay que tener en cuenta que las actualizaciones de Android tardan, a menudo, mucho tiempo en llegar a todos los clientes debido al gran número de diferentes dispositivos basados en Android que hay en el mercado.
Fuente: Libertad Digital.com

ESTAFAS. Policía alerta de virus informático que hace transferencias fraudulentas

La estafa consiste en que el virus informa de que se ha recibido un ingreso erróneo en la cuenta y se pide al usuario que lo devuelva.
La Policía Nacional ha alertado de un nuevo procedimiento de estafa consistente en un virus informático que ejecuta transferencias bancarias fraudulentas haciendo creer a los afectados que han recibido un ingreso erróneo en su cuenta y cuyo importe debe ser devuelto.
El primer paso consiste en infectar equipos informáticos con software malicioso para acceder a su cuenta bancaria a través de Internet. En el momento que el afectado procede a comprobar sus últimos movimientos, aparece un mensaje que le informa de que ha recibido una transferencia de forma errónea por un determinado importe.
En el mismo mensaje se indica a la víctima que debe realizar una transferencia para devolver el importe recibido y subsanar el error y se le facilita un enlace directo que incluye la palabra "devolver" u otras nomenclaturas similares.
En el supuesto de que se acceda mediante el enlace, la víctima de la estafa verdaderamente está ejecutando sin saberlo una transferencia ilegítima con cargo a su cuenta.
Para evitar este tipo de engaños, la Policía Nacional recomienda mantener actualizado el antivirus de los equipos informáticos, así como su sistema operativo y aplicaciones o programas. Además de estas pautas generales para evitar infecciones con malware, se recomienda no ejecutar programas desconocidos, no acceder a links acortados cuya procedencia o fiabilidad desconocemos, ni navegar por páginas web inseguras.
Fuente: Libertad Digital.com

FRAUDES. Nueva estafa en internet exige un pago a la Seguridad Social

La estafa consiste en un correo electrónico con la finalidad de timar al usuario e instalar en su ordenador un archivo troyano.
Las direcciones provinciales de la Seguridad Social de León y Alicante han alertado este viernes de la existencia de una estafa, mediante correo electrónico, por la cual se solicita el pago de una deuda con la amenaza de anular la prestación de asistencia sanitaria en hospitales si no se realiza un ingreso de 169,11 euros.
Los correos se reciben con una dirección de emisión que lleva la palabra ‘Seguridad Social’, en concreto ‘sede@seg-social.gob.es’, ha alertado la Subdelegación del Gobierno de León a través de una nota informativa.
La dirección de correo electrónico que figura en los correos simula que se han realizado desde la Seguridad Social, sin embargo, no es un correo electrónico auténtico ni legítimo y debe ser rechazado, han alertado.
La finalidad de estos correos es estafar al usuario e instalar en su ordenador un archivo troyano.
Con el fin de poder localizar a los autores de esta actividad delictiva, la Policía solicita que las personas que sean víctimas se personen en las Administraciones y Direcciones Provinciales de Tesorería de la Seguridad Social, donde se les informará del protocolo a seguir.
Fuente: Libertad Digital.com

GOOGLE. Mostrará el contenido de Twitter en el buscador

Los ingenieros de las compañías ya están trabajando para poner en marcha el proyecto, que se haría efectivo en el primer semestre de 2015.
Twitter y Google han llegado a un acuerdo para que en los resultados de las búsquedas que se hagan en el buscador aparezcan tuits.
Según informa Bloomberg, los ingenieros de Google y Twitter ya han empezado a trabajar para poner en marcha el proyecto, que se haría efectivo durante el primer semestre de 2015. Los términos concretos no se han desvelado porque el acuerdo no se ha hecho público.
Las dos compañías saldrán gratamente beneficiadas: por un lado, la plataforma de micro-blogging busca dar mayor visibilidad a su contenido; por otro, Google tendrá acceso directo a todo lo que se genere en Twitter.
En 2009 y 2011, las dos compañías firmaron un acuerdo similar, aunque Twitter optó por no renovarlo a cambio de tener un mayor control sobre su contenido.
Fuente: Libertad Digital.com

MICROSOFT. Adquisición de la 'app' de calendario Sunrise por 100 millones

La recién lanzada Outlook para iOS y Android es una remodelación de Acompli, comprada por 200 millones en diciembre.
Microsoft ha comprado la aplicación de calendario de Sunrise por 100 millones de dólares, según informa TechCrunch. Los usuarios de Sunrise pueden acceder a través de su calendario a las tareas y eventos de una gran variedad de proveedores, incluyendo Gmail, Microsoft Exchange, iCloud, así como a los de los medios sociales como Facebook, LinkedIn y Foursquare. Las aplicaciones de Sunrise son conocidas por su diseño limpio y sencillo y están disponibles para Android, iOS, Mac y web pero, paradójicamente, no para Windows Phone.
De momento Microsoft no ha confirmado la operación de compra, pero sería coherente con la compra en diciembre pasado de Acompli, una empresa con año y medio de vida y cuyo único producto era una aplicación de correo para iOS y Android, aplicación que ha visto un nuevo lanzamiento con el nombre de Outlook y un par de retoques menores. Como Sunrise, el nuevo Outlook es compatible con numerosos servicios, incluyendo Office 365, Exchange, Outlook.com, Yahoo! Mail y Gmail, entre otros muchos. También permite enviar ficheros adjuntos a través de servicios en la nube como OneDrive, Dropbox y otros.
La aplicación ha tenido un gran éxito en su relanzamiento, colocándose entre los primeros lugares en la categoría de productividad de las tiendas de aplicaciones de Apple y Google. Parece que Microsoft quiere extender su presencia en las plataformas móviles de la competencia y ha optado por adquirir fuera el software y la experiencia necesarias para lograrlo.
Fuente: Libertad Digital.com

GOOGLE. Chrome OS bloquea los datos de tu equipo en caso de robo

La obsesión por la seguridad ha llevado a Google a incorporar en Chrome OS un sistema de bloque remoto de nuestros datos en caso de robo. Una función que sí es realmente útil.
Esta funcionalidad, se encuentra desde hoy disponible en el panel de control del sistema operativo y permite bloquear aquellos equipos que hayan sido robados. Por lo que esta característica esta únicamente disponible en equipos conectados a redes corporativas, empresariales o educacionales; ya que solo se puede tener acceso a dicho panel de control desde la consola de administración de la red.
Una vez el equipo fuese bloqueado, todo aquel que intentase acceder al equipo recibiría un mensaje de bloqueo, en el que se enuncia la dirección y numero de contacto del propietario.
Desconociendo si para realizar el bloqueo es necesario que el equipo se conecte o no a Internet, es una funcionalidad que podría ser muy útil también para usuarios domésticos de Chrome OS. Solo sería necesario que Google habilitase una plataforma web capaz de hacer la función de la consola de administración. En cualquier caso una iniciativa más desde Mountain View, por la seguridad en entornos empresariales o corporativos.
Fuente: Europa Press

WHATSAPP. La versión para iPhone permite llamar a contactos, pero pagando

WhatsApp acaba de recibir una nueva actualización para iPhone y con ella ha llegado un botón que aparece junto a la foto de perfil y el nombre del contacto y que permite llamar a cualquier amigo que tengamos en aplicación, pero, cuidado, no es la esperada función de llamadas gratuitas.
Tienes que saber que si utilizas el icono del teléfono para llamar a un contacto a través de WhatsApp, estás realizando una llamada normal, es decir, esa llamada no es gratuita, sino que se realiza a través de tu operador y con la tarifa que tengas contratada.
Los desarrolladores de WhatsApp parecen querer seguir aumentando la expectación ante la nueva función de llamadas gratuitas integradas en la 'app', pero de momento no han dado un paso serio hacia esa integración.
La nueva versión 2.11.15 no incorpora grandes cambios. Se ha mejorado la función de cámara con un selector de fotos y se ha actualizado y mejorado 'Dynamic Type', que es una función de iPhone para ajustar el tamaño de la letra a tus necesidades de lectura.
Al iPhone sigue sin llegar también la posibilidad de desactivar el doble check azul que avisa a tus contactos cuando has leído sus mensajes.
Fuente: Europa Press

ANDROID 5.1. Vuelta al modo silencio y mejoras en la gestión de la RAM y la batería

Google ha vuelto a actualizar su sistema operativo móvil, Android Lollipop, a la versión 5.1, para hacer frente a algunos de los problemas que tiene la versión 5.0, como son la ausencia del modo silencio, la gestión de la batería y el uso de la memoria RAM.
La nueva versión ya ha hecho su aparición en Android One, los teléfonos de gama baja de Google que se comercializan en la India, y se prevé que comience a llegar a otros terminales, presumiblemente de la gama Nexus, a finales de este mes de febrero.
Entre los cambios, se encuentran mejoras en la estabilidad del sistema, así como correcciones que evitan el cierre inesperado de las aplicaciones. También se han incorporado ligeros cambios en la paleta de colores de Material Design, una de las novedades de Android Lollipop en contraste con su antecesor KitKat.
El equipo de Android también ha mejorado la gestión de la batería y se han incorporado algunas novedades en este aspecto. Según relatan los usuarios que han podido probar la versión 5.1, el sistema operativo es capaz de mostrar información sobre el consumo y los procesos de las 'apps' gracias a los avances del Proyecto Volta.
Además, se han añadido mejoras para la gestión que hace Android Lollipop de la memoria RAM de los dispositivos y se han corregido los problemas de excesivo consumo de los terminales cuando se conectan a la red WiFi.
Aunque se baraja finales de febrero para el despliegue de la actualización, como siempre, quienes no posean un 'smartphone' o 'phablet' con Android puro, tendrán que esperar más tiempo a que los fabricantes adapten la nueva versión de Lollipop a las capas de personalización con las que modifican el sistema operativo y, teniendo en cuenta que Android 5.0 aún no ha llegado a todos los dispositivos con los que es compatible, se pueden dar dos escenarios: o bien que los fabricantes se salten la versión 5.0 y actualicen directamente a 5.1; o que terminen la adaptación de 5.0 y se pongan a trabajar en la siguiente, con lo que pasaría bastante tiempo hasta que la mayoría de los usuarios puedan probar la actualización de Lollipop.
Fuente: Europa Press

MICROSOFT. Libera las principales aplicaciones de Office para Windows 10

Microsoft ha puesto a disposición de los usuarios de la 'preview' de Windows 10 tres de las aplicaciones más importantes de su paquete de ofimática de forma gratuita: Word, Excel y PowerPoint. De esta forma, Microsoft cumple con una de las máximas de su nuevo sistema operativo que es la universalidad.
De esta forma, los usuarios podrán probar ya las nuevas versiones de Word, Excel y PowerPoint, aunque no se tratan de las versiones completas ya que son versiones simplificadas de las versiones finales que se incluirán en la actualización de su paquete ofimático, Office 2016, que estará disponible a partir de la segunda mitad de 2015, según indican en su propio blog.
Las aplicaciones están disponibles tanto para PC como para dispositivos móviles siempre y cuando estén utilizando la 'technical preview' de Windows 10.
Además, en pocas semanas, los usuarios tendrán acceso a versiones reducidas de OneNote, Outlook Mail y Outlook Calendar.
Las aplicaciones pueden ser descargadas a través de la tienda de descargas de Microsoft.
Fuente: Europa Press

GOOGLE PLAY MUSIC. La versión 5.8 traduce su nombre al castellano y recupera el botón de retroceso

Google ha actualizado su aplicación Google Play Music a su versión 5.8 en la que uno de los cambios más notables ha sido la traducción de su nombre al castellano, que ahora pasa a ser Google Play Música.
La nueva versión viene también acompañada de pequeños cambios en la interfaz de la aplicación. Concretamente, las novedades se pueden apreciar en el panel lateral donde los usuarios pueden escoger qué quieren escuchar, en la pestaña de "Canciones" y en las listas de reproducción.
Otro de los cambios que trae la actualización es el regreso del botón de retroceso en el mini reproductor que se muestra tanto en el panel de notificaciones como en la pantalla de bloque, que había desaparecido en recientes versiones.
La traducción del título no sólo se queda en el reproductor de Google, sino que también se extiende a las demás aplicaciones de la compañía de Mountain View como Google Play Libros, Google Play Películas y Google Play Juegos.
Fuente: Europa Press

MICROSOFT. Implementará Cortana en Office a través de las plataformas móviles

Según informa The Verge, se cree que Microsoft intentará incorporar a Cortana en el paquete de Office mediante una aplicación para dispositivos móviles.
Siendo desarrollada para iOS y Android, la aplicación se encontraría en un proceso de prueba inicial. Aun así, sería un movimiento acorde con la intención de los de Redmond de transladar la experiencia de Windows -y por ende Cortana- a todas las plataformas posibles.
Por el momento la asistente virtual únicamente se encontraría disponible en estos dispositivos con sus funciones más básicas. Pero desde luego hace pensar en un posible salto definitivo de Cortana a iOS y Android.
Fuente: Europa Press

TECNOLOGIAS. Nueva batería promete doblar la autonomía de los móviles

La tecnología podría estar en el mercado en 2016, aunque después de tantas promesas es difícil fiarse.
Cada dos por tres se anuncia una nueva tecnología que promete alargar la vida de nuestros dispositivos electrónicos y la autonomía de los coches eléctricos. Pero pasa el tiempo y no acaban de comercializarse. La tecnología de SolidEnergy, una empresa fundada en 2012 por investigadores del MIT, parece sin embargo bastante cerca del punto en que se convierte en algo viable, ya que prometen que estarán disponibles en 2016 y cuentan con el apoyo de Google.
La nueva batería sigue siendo de ión litio como las que pueblan los dispositivos electrónicos y coches eléctricos. La diferencia es que han logrado eliminar el grafito del ánodo, que supone casi el 50% del espacio que ocupa una batería normal, para sustituirlo por una fina capa de metal de litio, de modo que con la misma capacidad ocupe la mitad. O, dicho de otra manera, que al mismo tamaño dure el doble.
La idea de sustituir el grafito no es nueva, pero SolidEnergy asegura haber solventado los problemas prácticos que su implementación había sufrido hasta ahora. El metal de litio tiende a reaccionar con el electrolito de las baterías, formando compuestos que atrapan los iones y reducen la energía que puede almacenar, en una reacción que además puede generar suficiente energía como para incendiar la batería. La solución que se ha empleado hasta ahora era sustituir el electrolito, que habitualmente es líquido, por un compuesto sólido, pero éste no conduce tan bien, perjudicando el rendimiento de la batería.
Lo que ha hecho SolidEnergy es utilizar un electrolito sólido en el ánodo de metal de litio, donde al ser tan fino no importa tanto que los iones se muevan más despacio porque no tienen que ir muy lejos, y uno líquido en el cátodo. Además, al parecer su sistema no requiere de equipación distinta a la que ya tienen las fábricas de baterías, por lo que podrían pasar a producción con relativa facilidad.
Actualmente estas baterías pueden recargarse 300 veces manteniendo el 80% de su capacidad original, lo cual lo acerca a las necesidades de los dispositivos electrónicos, pero se quedan lejos aún de lo que haría falta para los coches eléctricos. Google confía en esta empresa lo suficiente como para haberles confiado la producción de futuras baterías para sus móviles modulares del Proyecto Ara, que por sus características y diseño les vendría especialmente bien una batería más pequeña.
Fuente: Europa Press

APPLE. Trabaja en su primera aplicación para Android

Se trataría de la integración del servicio de música en streaming Beats Audio, pensado para competir con Spotify.
Medio año después de que los de Cupertino compraran Beats, y con él su servicio de música en streaming, Beats Music, Apple estaría trabajando para integrarlo en la aplicación de iTunes para ordenadores y en la de Música para iPhone, iPad e iPod Touch, según informa 9to5mac. Aunque tanto las características como la tecnología serán la de Beats Music, el aspecto visual cambiará para adaptarse al diseño de las aplicaciones de Apple.
El servicio integraría la librería musical personal del usuario con la música que albergaría Apple en la nube y dispondría de una pequeña red social que permite seguir a los artistas, como sucedía con la ahora abandonada Ping de la propia Apple, uno de los últimos fracasos sonados de la compañía. La suscripción costaría 7,99 dólares al mes, dos menos que Spotify, y se especula con que podría presentarse en la conferencia de desarrolladores del mes de junio.
No obstante, lo más sorprendente sería que esta aplicación sería la primera que Apple desarrollaría para Android. Beats Music está disponible para el sistema operativo de Google, además de iOS y Windows Phone, y la compañía de la manzana no estaría dispuesta a renunciar a los usuarios que ya tiene en Android. No obstante, sí parece que abandonarán a su suerte a quienes están suscritos a Beats desde su móvil Windows, que son pocos. También abandonará la versión web hecha con Flash que actualmente tiene Beats Music.
Fuente: Europa Press

GOOGLE. Actualización de seguridad para Google Chrome

Apenas dos semanas después de publicar la versión 40 del navegador Chrome, Google ha publicado una actualización de seguridad para su navegador Google Chrome para todas las plataformas (Windows, Mac y Linux) que se actualiza a la versión 40.0.2214.111 para corregir 11 nuevas vulnerabilidades.
Detalle e Impacto de las vulnerabilidades corregidas
  • En esta ocasión, aunque se han solucionado 11 vulnerabilidades, se facilita información de tres de ellas.
  • Se corrigen un fallo por uso de memoria después de liberar en DOM (CVE-2015-1209), un error en V8 puede permitir ataques de "cross-origin bypass" (CVE-2015-1210) y una escalada de privilegios en "service workers" (CVE-2015-1211). También del trabajo de seguridad interno, varias correcciones procedentes de auditoría interna, pruebas automáticas y otras iniciativas (CVE-2014-1212).
Recomendación
  • Esta actualización está disponible a través de Chrome Update automáticamente en los equipos así configurados.
Más información:
Fuente: Hispasec

ADOBE. Y bueno, más de lo mismo

Adobe de nuevo ha vuelto a publicar otra actualización para Flash Player.
Detalle de la actualización
  • Esta actualización, publicada bajo el boletín APSB15-04, resuelve 18 vulnerabilidades, incluido el 0-day del pasado martes, todas podrían permitir la ejecución de código arbitrario.
  1. Cuatro vulnerabilidades de uso de memoria después de liberarla (CVE-2015-0313, CVE-2015-0315, CVE-2015-0320 y CVE-2015-0322).
  2. Seis vulnerabilidades que podrían causar una corrupción de la memoria (CVE-2015-0314, CVE-2015-0316, CVE-2015-0318, CVE-2015-0321, CVE-2015-0329 y CVE-2015-0330).
  3. Dos vulnerabilidades de confusión de tipos (CVE-2015-0317 y CVE-2015-0319).
  4. Otras tres de desbordamiento de búfer (CVE-2015-0323, CVE-2015-0327 y CVE-2015-0324).
  5. Y fallos de desreferencia de puntero nulo (CVE-2015-0325, CVE-2015-0326 y CVE-2015-0328).
Otros detalles de la actualización
  • La última vulnerabilidad 0-day corregida anteriormente, con CVE-2015-0313, estaba explotándose de forma activa mediante ataques "drive-by-download", es decir bastaba con visitar una web manipulada para infectarse. Sin que el usuario realice ninguna acción. En general la acción se realiza a través de anuncios en sitios web legítimos. Aunque Adobe publicó una actualización expresamente para evitar este ataque, también está incluido en este boletín. Más vale prevenir…
  • Trend Micro, compañía que descubrió el 0-day, confirmó que por las similitudes en técnicas de ofuscación y cadenas de infección todo indicaba que se ejecutaba a través del ya conocido kit de exploits Angler. Principalmente el ataque se produjo a través de anuncios en el conocido sitio web dailymotion.com (aunque no se limitaba a esta única web) redirigiendo a la url "hxxp://www.retilio.com/skillt.swf" donde se alojaba el exploit en sí mismo.
Recomendación
  • En esta ocasión, Adobe ha publicado las siguientes versiones de Adobe Flash Player destinadas a solucionar las vulnerabilidades, y se encuentran disponibles para su descarga desde la página oficial:
  1. Flash Player Desktop Runtime 16.0.0.305
  2. Flash Player Extended Support Release 13.0.0.269
  3. Flash Player para Linux 11.2.202.442
  • Igualmente se ha publicado la versión 16.0.0.305 de Flash Player para Internet Explorer y Chrome.
Más información:
Fuente: Hispasec

ADOBE. Complementos nativos. ¿ Y que hay de lo nuestro ?

Adobe ha vuelto a actualizar su popular reproductor Flash, tapando otro nuevo agujero que estaba siendo explotado para infectar sistemas con solo visitar una web.

Vulnerabilidades en Flash Player por año
  • Este es el aspecto de la web "CVE Details" cuando buscas "flashplayer" a día de hoy. 294 vulnerabilidades que permiten obtener el control del proceso Flash, darse una vuelta por el del navegador y posiblemente escalar hasta tener más control que tú mismo sobre tu propio sistema. Repetimos, 294 maneras de alegrarte el día.
  • No podemos decir que Adobe no ponga medios a la sangría. Cambió su política de actualizaciones de seguridad y mejoró la búsqueda interna de vulnerabilidades. Pasos que comenzó a dar con cierto retraso y ante el aluvión de críticas que les llovió. Lecciones obvias que los fabricantes tardan en asimilar y que se empeñan en repetir cada nueva generación, cada nueva tecnología e independientemente del grosor de su cartera.
Y entonces llegó Chrome…
  • Cuando Google lanzó Chrome decidió tomar la iniciativa y asumir la responsabilidad de las actualizaciones. El reproductor Flash está integrado en el navegador y se actualiza en cuanto hay una nueva versión disponible. Respecto al resto de complementos para el navegador, eran ya bloqueados por defecto si estaban desactualizados o no eran usados con frecuencia.
  • La pérdida de funcionalidad ni siquiera es ya una razón de peso para incluir complementos nativos. HTML5 parece lo suficiente maduro para quedarse con todo el negocio. Así lo entendió YouTube cuando hace unos días pudimos ver como destronaba a Flash a cambio de un reproductor hecho 100% con tecnología web.
  • A finales de año, Chrome dejará de dar, nada más y nada menos, que soporte a NPAPI, la arquitectura que hace de puente entre el navegador y los complementos nativos alojados en el sistema. Incluso el mes pasado, dentro de los planes de destierro, las nuevas versiones de Chrome, bloquean por defecto los complementos que hagan uso de NPAPI, estén o no en lista blanca.
Más información:
Fuente: Hispasec

BMW. Actualiza el software de 2 millones de automóviles por una vulnerabilidad

BMW ha confirmado que ha tenido que actualizar el software de 2,2 millones de coches de las marcas BMW, Mini y Rolls Royce debido a una vulnerabilidad que podía facilitar a un atacante la apertura del automóvil.
El problema fue anunciado por la asociación de automovilistas alemanes ADAC y afectaba a los coches equipados con el software ConnectedDrive con tarjeta SIM. Este sistema permite controlar el vehículo a través del Smartphone. Desde un iPhone o Android, se puede entre otras funciones cerrar y abrir el coche, hacer que las luces parpadeen, que suene el claxon o encender la calefacción de forma remota.
BMW ha confirmado que el fallo de seguridad se daba en la transmisión de datos entre el teléfono móvil y el coche, añadiendo que no afectó a funciones críticas de conducción, arranque, dirección o frenado Tampoco se tiene conocimiento de que el problema haya sido empleado para comprometer la seguridad de ningún vehículo.
La misma función de conectividad del software del automóvil, ha permitido a BMW actualizar de forma automática todos los sistemas afectados sin necesidad de pasar por el taller.
No se tienen muchos datos concretos sobre la vulnerabilidad, pero la firma alemana dice haber eliminado los posibles problemas mediante el cifrado de las comunicaciones en el interior del coche empleando el protocolo https. ¿Esto quiere decir que anteriormente las comunicaciones no iban cifradas?¿Se puede hacer un ataque hombre en el medio contra el coche?.
Cada vez los coches disponen de más sistemas informáticos, y ya muchos disponen hasta de conexión a Internet. Esto expone al software del automóvil a los mismos riesgos que cualquier otro sistema conectado a la Red. No es la primera vez que se encuentran problemas que pueden permitir a un atacante tomar el control del software de un automóvil. Los fabricantes de automóviles deben tomar conciencia de la importancia que representa la seguridad del software del vehículo y no cometer los mismos fallos que la industria del software lleva años pagando.
Más información:
Fuente: Hispasec

MANGO AUTOMATION SCADA/HMI. Descubiertas multiples vulnerabilidades

Sudhanshu Chauhan perteneciente a Octogence Tech Solutions, ha reportado varias vulnerabilidades en el software Mango Automation SCADA/HMI. Estas vulnerabilidades podrían permitir a un atacante remoto ejecutar un ataque Cross Site Scripting (XSS).
Descripción de la plataforma
  • Mango Automation es del tipo de gestión que permite grabar, iniciar sesión, mostrar gráficas y alarmas, e informar sobre datos de sensores, equipos, PLC, bases de datos, páginas web, etc. 
  • Este software también dispone de una plataforma de desarrollo Opensource, permite programar módulos personalizados ajustados a sus necesidades. Se instala fácilmente en cualquier sistema operativo además de ser compatible con sistemas embebidos y servidores.
Detalle e impacto de las vulnerabilidades
  • Las vulnerabilidades, se han agrupado bajo un único identificador CVE-2015-1179. Estas vulnerabilidades permitirían a un atacante remoto no autenticado ejecutar código arbitrario (código JavaScript) a través de los parámetros 'dpid', 'dpxid', y 'pid' en 'data_point_details.shtm', lo que podría permitir la construcción de ataques cross-site scripting.
  • Ejemplo: http://localhost/data_point_details.shtm?dpid=b3f17545cc
Recursos afectados
  • Estas vulnerabilidades se han reportado en la versión 2.4.0 aunque no se descarta que pudiesen afectar a versiones anteriores. Se recomienda actualizar a versiones superiores.
Más información:
Fuente: Hispasec

COBHAM SAILOR 900 VSAT. Desbordamiento de búfer

Descubierta una vulnerabilidad explotable remotamente en los dispositivos de banda ancha por satélite Cobham Sailor 900 VSAT. Catalogada de Importancia: 4 - Alta
Recursos afectados
  • Sistemas de banda ancha por satélite Cobham Sailor 900 VSAT
Detalle e Impacto de la vulnerabilidad
  • ISC-CERT informa de la publicación de una prueba de concepto que explota una vulnerabilidad de desbordamiento de bufer en los productos Cobham Sailor 900 VSAT. Esta vulnerabilidad permite a un atacante remoto acceder al sistema sin necesidad de contraseñas administrativas.
  • La prueba de concepto demuestra la posibilidad de ejecución remota de código.
  • El producto se utiliza para comunicaciones marítimas via satélite y no parece afectar a la navegación.
Recomendación
Más información
Fuente: INCIBE

RUGGEDCOM WIN. Múltiples vulnerabilidades

Siemens ha reportado múltiples vulnerabilidades en dispositivos con Ruggedcom WIN. Estas vulnerabilidades pueden ser utilizadas por atacantes, con acceso a la red, para realizar acciones administrativas en los dispositivos sin necesidad de autenticación y han sido catalogadas con Importancia: 5 - Crítica
Recursos afectados
  1. WIN51xx: en versiones anteriores a SS4.4.4624.35
  2. WIN52xx: en versiones anteriores a SS4.4.4624.35
  3. WIN70xx: en versiones anteriores a BS4.4.4621.32
  4. WIN72xx: en versiones anteriores a BS4.4.4621.32
Detalle e Impacto de la vulnerabilidad
  • Los productos Ruggedcom WIN se utilizan como estaciones base o punto de acceso en redes inalámbricas privadas de amplia cobertura. Los productos cumplen con el estándar IEEE 802.16e, y pueden ser utilizados en ambientes hostiles en sistemas de control industrial.
  • Las vulnerabilidades identificadas en estos productos son:
  1. El servicio de gestión integrada podría permitir a los atacantes realizar operaciones administrativas sobre la red sin autenticación previa.
  2. El servidor web integrado (puerto 443/tcp) en los dispositivos afectados es vulnerable a un búfer overflow que podría permitir la ejecución remota de código.
  3. La información confidencial, como los hashes de contraseñas, pueden ser almacenadas de forma insegura y un atacante podría acceder a los mismos a través de los archivos locales o de los registros de seguridad. Se ha reservado la CVE-2015-1357 para esta vulnerabilidad.
Recomendación
  • Siemens ha publicado actualizaciones de firmware que solucionan estas vulnerabilidades, y recomienda la actualización lo antes posible.
  • Medidas que pueden mitigar estas vulnerabilidades:
  1. Para las dos primeras vulnerabilidades, el atacante debe tener acceso a la red a los dispositivos afectados.
  2. Para acceder a información confidencial, el atacante debe tener acceso a los archivos de registro de seguridad.
Más información
Fuente: INCIBE