29 de julio de 2018

PIRATERIA. Cómo Rusia y Wikileaks pudieron acceder a 50.000 correos sobre Hillary Clinton

Un pequeño equipo de espías militares rusos logró infiltrarse en los servidores del partido Demócrata y alterar el rumbo de la campaña electoral de 2016
Era el 27 de julio de 2016 en torno a las 10:30 de la mañana en Florida. Donald Trump, recién designado candidato republicano a las elecciones presidenciales de noviembre de ese año, lanzó una alarmante petición: “Rusia, si estás escuchando, espero que seas capaz de encontrar los 30.000 correos perdidos”. Al alentar a un país rival a lanzar una operación de pirateo informático contra un estadounidense, Trump se refería a los correos que habían sido borrados del servidor privado de Hillary Clinton cuando era secretaria de Estado. Pocos días antes, Wikileaks había empezado a publicar correos electrónicos de la campaña de la candidata demócrata. Los primeros indicios de los servicios de inteligencia estadounidenses eran que Rusia había robado esos emails.
Es imposible saber si los piratas rusos escucharon o no la petición de Trump, pero casualmente ese mismo día trataron por primera vez de acceder a un dominio de correo de Clinton. “Por ejemplo, alrededor del 27 de julio de 2016 los conspiradores intentaron hacer un spearphish [el nombre de una técnica para infiltrarse cibernéticamente] por primera vez en cuentas de correo en un dominio albergado por un proveedor ajeno y utilizado por la oficina personal de Clinton. En ese o alrededor de ese mismo momento, también apuntaron a 76 direcciones de correo del dominio de la campaña de Clinton”, se lee en el escrito del fiscal especial de la trama rusa, Robert Mueller, que imputa a 12 espías rusos por piratear y difundir información sobre la candidata demócrata en 2016.
El texto de Mueller, difundido el viernes y de 29 páginas, permite conocer los entresijos de cómo operaban los agentes de la agencia de inteligencia militar rusa (conocida por las siglas GRU) que a principios de 2016 lanzaron una sofisticada estrategia cibernética, propia de un guion cinematográfico, con el objetivo de “interferir” en las elecciones presidenciales. La conclusión de los servicios de inteligencia estadounidenses es que Moscú quería ayudar a Trump a ganar los comicios, pero no hay pruebas de que sus acciones alteraran directamente el resultado.
La injerencia rusa empezó cuatro meses antes de la incendiaria declaración de Trump en una rueda de prensa en su club de golf en Doral (Florida). Sin saberlo, el 19 de marzo de 2016, John Podesta, el presidente de la campaña de Clinton, abrió una especia de Caja de Pandora que derivó en una pesadilla para la candidata demócrata y que nunca se sabrá si acabó propiciando su derrota electoral.
El falso correo de Gmail
Tras haber estado estudiando vulnerabilidades en el sistema informático de la campaña de Clinton y del partido Demócrata, ese día Aleksey Viktorovich Lukashev decidió pasar a la acción. Desde la unidad 26165 del GRU, el lugarteniente militar ruso envió un correo electrónico a Podesta, un veterano de los Gobiernos de Bill Clinton y Barack Obama. Lukashev utilizó una cuenta falsa, bajo el nombre john356gh, y alteró la apariencia del mensaje para que pareciera un correo de seguridad de Google para cuentas de Gmail. El mensaje instaba al usuario a clicar un enlace para cambiar su contraseña. Y Podesta lo hizo. Sin saberlo, con esa aparentemente anodina acción, permitió que el espionaje ruso se infiltrara en su cuenta y empezara a tirar de un largo hilo.
Lukashev y su equipo le robaron la friolera de 50.000 correos. Muchos contenían información comprometedora que salió a la luz. Y gracias a esos correos, pudieron obtener otras cuentas de email a las que mandaron mensajes falsos. Tras penetrar en la campaña de Clinton, lo hicieron en cuentas del Comité Congresista de Campaña Demócrata y más tarde del Comité Nacional Demócrata. En total, el GRU puso en su diana a unas 300 personas relacionadas con Clinton, según la acusación del fiscal especial.
Los hackers lograron infiltrarse en hasta 33 ordenadores del Comité Nacional Demócrata sin que los usuarios supieran que sus datos se estaban enviando a un servidor que los espías habían alquilado en Arizona. Lo bautizaron como AMS. Más adelante, lograron conectar un ordenador en el extranjero con el servidor y con las computadoras demócratas infiltradas. Para evitar suspicacias, comprimían los documentos y los sustraían mediante sistemas encriptados. Robaron información relacionada con Trump, planes operativos sobre las elecciones o mensajes internos de las primarias demócratas.
El misterioso Guccifer 2.0
El 19 de abril, la operación entró en una nueva fase: la de difusión de los documentos extraídos. El equipo del GRU registró la página web Dcleaks.com a través de un usuario anónimo. El 8 de junio, la web entró en funcionamiento, se describía como una plataforma de “hacktivistas estadounidenses” y empezó a colgar mensajes robados sobre Clinton. El 14 de junio, después de que el Comité Nacional Demócrata anunciara que había sido pirateado por Rusia, el GRU creó otro perfil online falso: Guccifer 2.0, que se presentó como un “solitario pirata rumano” que se atribuía el hackeo.
Tanto la creación de esas páginas falsas como el alquiler de los servidores se financió con criptomonedas para evitar el mayor escrutinio del sistema financiero convencional. Mueller acusa a los imputados de lavar dinero por valor de 95.000 dólares (81.000 euros) mediante las monedas virtuales. Si ese fue el coste total de la operación rusa de robo y difusión de documentos demócratas fue una inversión baratísima dado su enorme impacto.
Otro detalle revelador del escrito del fiscal especial son las comunicaciones de Guccifer 2.0 y cómo los documentados robados acabaron siendo difundidos por Wikileaks. No está claro quién contactó a quién primero. Lo que se sabe es que el 22 de junio de ese año el colectivo fundado por Julian Assange, que Mueller describe como “Organización 1”, mandó un mensaje privado a Guccifer 2.0 diciendo que si le enviaba los documentos demócratas tendrían un “impacto mucho mayor”.
El 6 de julio, Wikileaks pidió priorizar la información robada sobre Clinton porque la convención nacional demócrata, que iba a declararla candidata a la Casa Blanca, se celebraba a finales de mes. Wikileaks alegó que Clinton iba a atraer a los votantes de Bernie Sanders, al que había derrotado en las primarias, y sugirió que deseaba atizar la división entre ellos: “Creemos que Trump solo tiene un 25% de opciones de ganar frente a Hillary… así que el conflicto entre Bernie y Hillary es interesante”.
Wikileaks entra en juego
El 22 de julio, tres días antes del inicio de la convención demócrata, Wikileaks publicó unos 20.000 documentos robados por Rusia. Y como pretendía, propiciaron tensión entre Clinton y Sanders al desvelar cierto favoritismo de la cúpula del partido por la ex primera dama. No fue hasta el 7 de octubre que la organización de Assange empezó a publicar unos 30.000 correos robados a Podesta. Lo hizo hasta el 7 de noviembre, el día antes de los comicios que Clinton perdió frente a Trump.
Pero no solo Wikileaks contactó a Guccifer 2.0. La acusación de Mueller revela que el 15 de agosto recibió un mensaje de un candidato al Congreso que pedía y obtuvo información sobre su rival electoral. También se enviaron documentos a lobistas y periodistas. Y al entorno de Trump. También el 15 de agosto Guccifer 2.0 escribió a una “persona que estaba en contacto regular con altos cargos” de la campaña del republicano, según la descripción del fiscal especial, y le preguntó si consideraba interesantes los documentos que había colgado en su página web.
Mueller no revela de quién se trata, pero es posible que sea Roger Stone, un veterano asesor republicano que ha admitido haberse comunicado con Guccifer 2.0 y es objeto de investigación. No hay pruebas, sin embargo, de que los ciudadanos estadounidenses supieran que en realidad con quien estaban hablando era con espías militares rusos.
Fuente: El Pais.com

AMAZON. Prevé disturbios caso de Brexit sin acuerdo

Amazon constituye la última incorporación a la intensa campaña de presión empresarial promovida en Reino Unido contra una salida caótica de la Unión Europea.
El jefe del gigante comercial en el país habría ido un paso más allá de las alertas habituales, al advertir al ministro del Brexit de "disturbios en las calles" si no hay acuerdo de divorcio, un riesgo no planteado hasta ahora por ningún líder corporativo, si bien con alcance suficiente como para que Downing Street haya intervenido, cuestionando "dónde está la evidencia".
Amazon, de hecho, guarda silencio. La advertencia, según el diario The Times, habría sido transmitida el pasado viernes en una cumbre con dirigentes empresariales organizada por Dominic Raab en Chevening, una de las casonas empleadas por el Ejecutivo en el rural inglés. El titular del Brexit se había estrenado el día anterior en Bruselas y los ejecutivos invitados, entre otros, de Barclays, Lloyd's o Shell, desplegaron munición retórica para hacerle entender la gravedad de una ruptura sin acuerdo, un desenlace cada vez más probable, dada la parálisis reinante.
El propio Raab ha decidido reforzar la campaña de información a negocios sobre un escenario que implicaría desde caos arancelario a la potencial paralización de las importaciones británicas. Aunque Amazon no ha confirmado que Doug Gurr se hubiese pronunciado en ese sentido, sí reconoce estar preparándose para todas las eventualidades.
No en vano, la estrategia del Gobierno británico pasa ahora por vender su libro blanco del Brexit en Europa y en casa, pese a las reticencias ya expresadas por Bruselas y el rechazo que, de acuerdo con las encuestas, genera entre los británicos el plan alumbrado hace poco más de dos semanas en Chequers, el mismo que había provocado ya una cadena de dimisiones encabezadas por la del ministro del Brexit y la de Exteriores
Fuente: El Economista.es

FACEBOOK. Zuckerberg pierde 16.000 millones de dólares en caída récord en bolsa

La fortuna del presidente ejecutivo de Facebook Inc, Mark Zuckerberg, quedó recortada el jueves en casi 16.000 millones de dólares, mientras la red social se encaminaba a su mayor caída diaria en la historia de la bolsa estadounidense, tras conocerse previsiones de menores márgenes futuros de ganancias.
Al menos 16 corredurías recortaron sus objetivos de precio para Facebook después de que ejecutivos de la compañía dijeron que el costo de mejorar los resguardos a la privacidad, así como la ralentización del uso en los principales mercados publicitarios, impactarían en los márgenes de utilidades durante más de dos años.
A las 1500 GMT, las acciones de Facebook se desplomaban un 19 por ciento, a 176,14 dólares, un declive que restaría unos 120.000 millones de dólares al valor de la firma, o casi cuatro veces la capitalización total de Twitter Inc.
Los resultados de Facebook en el segundo trimestre fueron la primera señal de que la nueva ley europea de privacidad y los escándalos sobre el manejo de datos de sus clientes por parte de la firma Cambridge Analytica y varios desarrolladores de aplicaciones están afectando al negocio de la compañía.
Facebook advirtió también que el impacto no será contrarrestado por el crecimiento de los ingresos en los mercados emergentes y su aplicación Instagram, menos afectada por las preocupaciones sobre privacidad.
Tras describir los anuncios como “bombas”, analistas de Baird dijeron que los problemas son, en gran medida, “autoinfligidos”, ya que Facebook sacrifica su importante negocio de monetización de las aplicaciones para impulsar la utilización.
De los 47 analistas que cubren Facebook, 43 califican la acción como “comprar”, dos optan por “mantener” y otros dos apuestan por “vender”. Su objetivo mediano de precio es de 219,30 dólares.
Analistas de MoffettNathanson calificaron la previsión de la firma como “la nueva realidad económica de su modelo de negocio o un acto muy público de autoinmolación para librarse de una mayor presión regulatoria”.
Fuente: Reuters

EEUU. Ejecutivos de Facebook y Twitter testificarán ante Congreso sobre intervención elecciones

Los principales ejecutivos de Facebook Inc y Twitter Inc acordaron testificar en septiembre ante una audiencia de la Comisión de Inteligencia del Senado estadounidense, dentro de una investigación sobre una intervención rusa en las elecciones de 2016, dijo el jueves una fuente.
La persona, que pidió reserva de su identidad, confirmó un reporte de BuzzFeed que afirmó que la presidenta de operaciones de Facebook, Sheryl Sandberg, y el presidente ejecutivo de Twitter, Jack Dorsey, participarán en la audiencia.
La oficina del senador Richard Burr, quien preside la Comisión de Inteligencia, confirmó que había convocado a ejecutivos de Facebook, Twitter y Alphabet Inc, matriz de Google, para que testifiquen a comienzos de septiembre.
Representantes de las tres empresas declinaron a comentar sobre al tema.
En febrero, agencias de inteligencia estadounidenses advirtieron que Rusia tratará de interferir en las elecciones de mitad de período de este año. La intervención se haría usando redes sociales para difundir propaganda y reportes engañosos, tal como ocurrió en la campaña de 2016.
Dan Coats, director de Inteligencia Nacional, afirmó que Rusia y otras entidades extranjeras probablemente realizarían ataques en las elecciones de Estados Unidos y Europa de 2018 y más allá, y que Moscú cree que iniciativas similares impactaron exitosamente la democracia estadounidense hace dos años.
Fuente: Reuters

PIRATERIA. Cualquiera puede ser objetivo de los hackers.

Un email del banco en la bandeja de entrada. Al abrirlo, solicita la descarga de un archivo adjunto. Confiados de que se trata de un sitio seguro, accedemos a realizar lo que nos pide. Sin embargo, el archivo tan sólo es un truco de los ciberdelincuentes para descargarnos un programa que robará o secuestrará nuestros datos. Acabamos de ser hackeados.
No sólo las grandes empresas, los gobiernos o las celebrities son objetivo de los hackers. Todos podemos sufrir un ciberataque, simplemente basta con estar conectados a la red. En el mundo, existen 7.000 millones y medio de personas, de las cuales más de la mitad (4.000 millones) son usuarios de Internet. Norteamérica es el continente donde más se consume -el 95% de la población tiene acceso a Internet- seguido de Europa (85%) y Oceanía (68%), según datos registrados por Internet World Stats a finales de 2017.
Estas considerables cifras han provocado que la relación entre el impacto y la probabilidad de sufrir un ciberataque sea uno de los principales motivos de preocupación del organismo internacional World Economic Forum (WEF), que lo considera un riesgo global, igual que los desastres naturales o el cambio climático.
Consejos de INCIBE contra las ciberamenazas
1. Disponer de contraseñas robustas. Un incidente de ciberseguridad se puede producir por no disponer de contraseñas robustas. Es importante cambiar las que venían por defecto y cuidar que no sean las mismas en todos los servicios, no compartirlas con nadie y utilizar un gestor de contraseñas, si fuera necesario.
2. Precaución en las instalaciones. Hay que tener cuidado con los permisos que solicitan las aplicaciones a la hora de instalarlas: permitir siempre las actualizaciones de seguridad, cifrar la información y no conectarse a redes Wi-Fi públicas, ya que nuestra información podría ser visible para otra persona.
3. Equipo técnico especializado. Ante incidentes el CERT de INCIBE cuenta con un equipo especializado que ofrece soporte técnico. En el caso de que el incidente implique un delito, el equipo facilita la llegada y coordinación con las Fuerzas y Cuerpos de Seguridad del Estado.
Fuente: El Economista.es

GOOGLE. Multa de 4.340 millones por abuso de posición dominante en Android

La Comisión Europea (CE) ha impuesto una multa récord a Google de 4.343 millones de euros al considerar que ejerce abuso de posición dominante en el mercado con Android, su sistema operativo para smartphones, con el que incentiva el uso de sus propios servicios. Google por su parte ha anunciado que recurrirá la multa.
La CE considera que Google ha impuesto restricciones ilegales a los fabricantes de dispositivos Android y a los operadores de redes móviles para consolidar su posición dominante en los servicios de búsqueda general en internet desde el año 2011.
Android ha servido a la compañía para "consolidar el dominio de su motor de búsqueda, ha negado a los rivales la oportunidad de innovar así como competir en función de los méritos y ha impedido a los consumidores europeos beneficiarse de una competencia efectiva. Es ilegal según las normas antimonopolio de la UE", ha explicado la comisaria de Competencia, Margrethe Vestager.
La CE pone ahora el balón en el tejado de Google, que no sólo debe abonar la multa sino que dispone de un plazo de 90 días para modificar su comportamiento, si no, se enfrenta a una nueva sanción que podría alcanzar el 5% de los ingresos medios diarios globales de la matriz, Alphabet.
La sanción de la Comisión de Competencia llega apenas un año después de que la CE sancionase a la compañía norteamericana con otra multa récord, aunque de menor cuantía, (2.420 millones de euros) por abuso de posición dominante con su servicio comparativo de compras, Google Shopping.
"Android ha creado más libertad de elección para todos, no menos. Recurriremos la decisión de la Comisión"
Google ha respondido nada más conocerse la decisión de Bruselas asegurando que Android, "ha creado más libertad de elección" y "no menos", y ha permitido que el sector de telefonía pueda crecer y generar empleo.
"Android ha creado más libertad de elección para todos, no menos. Un ecosistema vibrante, innovación rápida y precios más bajos son las características clásicas de una competencia sólida. Recurriremos la decisión de la Comisión", indica en un comunicado Al Verney, portavoz de la multinacional.
También ha respondido a la decisión de la Comisión el máximo responsable de Google, Sundar Pichai, quien, a través de un post en el blog de la compañía, lamenta la decisión Europea. Pichai ha lamentado que la decisión de Bruselas "ignora que Android compite con el iOS de Apple" así como a los desarrolladores que han establecido sus negocios "basándose en Android y sus miles de millones de consumidores".
Precisamente, basándose en Android, Pichai defiende la diversidad de poder ofrecer en el mercado "más de 24.000 dispositivo a precios de todo tipo, de más de 1.300 marcas incluyendo a fabricantes de Holanda, Finlandia, Francia, Alemania, Hungría, Italia, Letonia, Polonia, Rumanía, España y Suecia".
"Un ecosistema de Android próspero y saludable es algo de interés general y hemos demostrado que estamos dispuestos a hacer cambios. Pero nos preocupa que la decisión de la Comisión perjudique a este equilibrio y que envíe unas señales preocupantes a favor de sistemas cerrados y privados frente a las plataformas abiertas", ha añadido, criticando que la decisión adoptada "rechaza el modelo de negocio que sustenta Android, que ha creado más opciones para todo el mundo, no menos".
Bruselas desglosa en tres grandes claves la estrategia de Google para imponerse
En la sanción de hoy, Competencia desglosa en tres vías principales la estrategia seguida por Google para reforzar su posición de dominio y vulnerar la legalidad europea.
Por un lado considera que Google obliga a fabricantes a preinstalar la aplicación Google Search y el navegador Chrome como condición para conceder la licencia de su tienda de aplicaciones, Play Store. Por otro, realiza pagos a determinados grandes fabricantes y operadores de redes móviles a condición de que preinstalen exclusivamente Google Search en sus dispositivos. Asimismo, la CE asegura que ha impedido a los fabricantes que deseaban preinstalar aplicaciones de Google vender un dispositivos con versiones modificadas de Android no aprobadas por la compañía.
Ahora, Google debe interrumpir y no volver a participar en ninguno de estos tres tipos de prácticas. La decisión también exige a Google que se abstenga de adoptar cualquier medida cuyo objeto o efecto sea idéntico o equivalente a esas prácticas.
"La empresa entendió enseguida que la transición de los ordenadores de sobremesa a internet móvil (...) representaría un cambio fundamental para Google Search. Por ello, Google desarrolló una estrategia para anticipar los efectos de este cambio y asegurarse de que los usuarios siguieran utilizando Google Search también en sus dispositivos móviles", explica la Comisión en el comunicado.
Competencia destaca que Google aprovecha que en torno al 80% de los dispositivos móviles inteligentes de Europa, y de todo el mundo, funcionan con Android con lo que le permiten tener una posición dominante en los mercados nacionales de búsqueda general en internet en todo el Espacio Económico Europeo (EEE), es decir, en los 31 Estados miembros, donde el buscador tiene cuotas de más del 90% en la mayoría de ellos.
La Comisión aclara que "la posición dominante, como tal, no es ilegal con arreglo a las normas antimonopolio de la UE", sin embargo, las empresas con posición dominante son especialmente responsables de no abusar de su dominio en el mercado limitando la competencia, ya sea en el mercado en el que ocupan una posición dominante o en otros mercados.
Del fracaso de Fire OS a incentivar un statu quo, los efectos de las prácticas de Google
La decisión de la Comisión concluye que estos tres tipos de abuso forman parte de una estrategia global de Google para consolidar su posición dominante en la búsqueda general en internet en un momento en el que la importancia de la internet móvil estaba creciendo de manera significativa, lo que ha tenido diversas consecuencias en el sector móvil.
Las prácticas de la multinacional de Mountain View "han privado a los motores de búsqueda rivales de la posibilidad de competir en función de los méritos" ya que se garantizó la preinstalación del motor de búsqueda y el navegador de Google en prácticamente todos los dispositivos Android de Google y los pagos por exclusividad tuvieron un fuerte efecto disuasorio para preinstalar motores de búsqueda competidores.
Asimismo, Google entorpeció el desarrollo de bifurcaciones del propio sistema operativo Android, que podrían haber proporcionado a los usuarios una plataforma alternativa -como el fracaso de Fire OS- para que los motores una plataforma para que los motores de búsqueda rivales también pudieran obtener tráfico.
Asi mismo, al ir cerrando poco a poco la disponibilidad a otras alternativas, se impidió a la competencia disponer de datos suficientes de los usuarios para poder competir, lo que a la vez ayudó a consolidar su posición dominante como motor de búsqueda.
Precisamente, el conocimiento y el uso cada vez mayor de las aplicaciones por parte de las aplicaciones provoca que los usuarios sólo conozcan esa alternativa y, por tanto, sea la que usen recurrentemente, generando así un statu quo.
"La Comisión ha obtenido pruebas de que el uso de la aplicación Google Search es sistemáticamente mucho más frecuente en dispositivos Android, en los que está preinstalada, que en dispositivos Windows Mobile, en los que los usuarios deben descargarla".
Tras las multas por Google Shopping y Android, Bruselas tiene abierto el caso de AdSense
Más allá de las multas de los casos de Google Shopping y Android, Bruselas mantiene todavía abierto un tercer expediente por abuso de posición dominante con la compañía. En este caso se centraría en su servicio publicitario de AdSense, al sospechar que impone restricciones a páginas web terceras a la hora de ceder espacio a anuncios contextualizados de sus competidores.
Sobre este caso, la Comisión se encuentra estudiando el servicio publicitario de la multinacional, ya que considera que podría haber reducido la oferta impidiendo que los sitios web de terceros obtengan anuncios de búsqueda de la competencia.
Fuente: El Economista.es

SINGAPUR. Robo de datos personales a 1,5 millones de pacientes

El primer ministro de la ciudad-Estado ha sido objetivo “reiterado” del ataque, según el Gobierno
Singapur ha sufrido el peor ciberataque de su medio siglo de existencia. El Ministerio de Salud de la ciudad-Estado asiática ha informado de que los datos personales de al menos 1,5 millones de personas —alrededor de la cuarta de la población total, de 5,6 millones— han sido “deliberadamente” robados. Se trata de pacientes del mayor grupo de instituciones sanitarias del país, SingHealth, que controla cuatro hospitales, cinco clínicas especializadas y ocho policlínicas.
 “Ha sido un ciberataque deliberado, dirigido y bien planeado. No se trata de la obra de un hacker aficionado o de una banda de criminales”, ha afirmado el Ministerio de Salud de Singapur en un comunicado publicado en su página web. En una rueda de prensa, el ministro de Salud, Gan Kim Yong, y el ministro de Comunicaciones, S. Iswaran, describieron la infiltración como “el robo más serio y sin precedentes de datos personales de Singapur”. Gan se dirigió con pesar a los pacientes: “Sentimos mucho lo que ha ocurrido”.
Los datos robados, entre ellos el nombre, fecha de nacimiento, género, dirección de domicilio y grupo racial, pertenecen a pacientes que acudieron a los centros de SingHealth entre el 1 de mayo de 2015 y el 4 de julio de 2018. También se accedió a las prescripciones médicas de unos 160.000 pacientes de los ambulatorios. El Ministerio de Salud afirma en el comunicado que los historiales médicos de los pacientes damnificados no sufrieron alteraciones durante el ataque, que no ha vuelto a detectarse desde el 4 de julio.
“Tampoco ha habido ninguna perturbación de los servicios sanitarios durante el ciberataque, y la atención de los pacientes nunca se ha visto comprometida”, enfatiza.
Uno de los aspectos más llamativos compartidos por las autoridades sanitarias del país asiático es que los hackers atacaron “específica y repetidamente” los datos personales y la información de las prescripciones médicas del primer ministro, Lee Hsien Loong. “He sido personalmente afectado, y no se trata de un incidente (…). No sé qué esperaban encontrar los atacantes. Quizás querían encontrar algún secreto oculto, o al menos algo que me avergonzara. Si esa era su intención, se habrán decepcionado. La medicación que tomo no es algo de lo que hable a cualquiera, pero no hay nada alarmante sobre ella”.
Lee Hsien Loong, hijo del “padre” de Singapur, Lee Kuan Yew, tuvo cáncer de próstata en 2015, y su salud ha sido motivo de especulación desde entonces. En el poder desde 2004, Lee anunció en las pasadas elecciones de 2015 que aceleraría la búsqueda de sucesor para retirarse antes de cumplir 70 años en 2022, pudiendo ocurrir tan pronto como el próximo año, según algunas publicaciones. El relevo de Lee se gestiona con gran secretismo en el seno de la formación fundadora de la ciudad-Estado, el Partido de Acción Popular (PAP), que ha mantenido una mayoría incontestada en el Parlamento del país desde su independencia en 1965. Lee también ha protagonizado una amarga disputa en público con sus hermanos debido, oficialmente, a su decisión de no destruir la casa de Lee Kuan Yew, como habría deseado el fallecido mandatario. La sombra de la sucesión, no obstante, también ha planeado sobre las tensiones, de acuerdo a algunos observadores.
Las autoridades singapurenses han asegurado que pudieron confirmar el ciberataque el pasado 10 de julio, después de detectar “actividad inusual” en las bases de datos de SingHealth el pasado día 4. La policía de la isla, punta de lanza de los avances tecnológicos mundiales, está investigando el ataque. El Gobierno ha advertido en el pasado haber sido objetivo de hackers, pero asegura que la mayoría fueron abortados a tiempo.
Fuente: El Pais.com

AT&T. Adquiere la compañía de ciberseguridad española AlienVault

El grupo de telecomunicaciones AT&T acaba de anunciar la compra de la firma tecnológica especializada en ciberseguridad AlienVault, uno de los proyectos del empresario español Julio Casal. La adquisición, informa la compañía de San Mateo (California), que opera oficinas también en Madrid y Granada, permitirá acelerar la capacidad para detectar y responder a ataques informáticos que se realicen contra empresas de cualquier tamaño.
Los términos de la adquisición, que se espera se complete a lo largo del tercer trimestre de este año, no se han detallado. La compañía había recaudado hasta la fecha cerca de 120 millones de dólares desde que fue creada en 2007 y se llegó a plantear la posibilidad de cotizar en el mercado bursátil. Entre sus fundadores se encuentran también el español Alberto Román y el francés Dominique Karg.
AlienVault ofrece soluciones tecnológicas a empresas para anticipar ataques contra sus sistemas informáticos. Tiene servicios para la detección y prevención así como tecnologías de respuesta. AT&T ya cuenta por su parte con soluciones en este ámbito. La compañía de telecomunicaciones explica que la adquisición le permitirá ser más efectivo en la detección y en la respuesta.
Aunque la empresa nació en Madrid, opera desde Silicon Valley tras fichar al equipo de gestión del grupo Fortify de Hewlett Packard en 2012. Barmak Meftah se puso entonces al frente de la gestión de AlienVault. Tres años después se alió con Intel para coordinar información sobre amenazas en tiempo real. La plataforma funciona como una comunidad en la que profesionales y expertos comparten datos.
Entre los grandes nombres que respaldaron financieramente a la compañía se encuentran Intel Capital, Kleiner Perkins Caufield & Byers, GGV Capital y el fondo español Adara Ventures, que también invierte en el proyecto 4iQ de Casal. Las firmas que tiene como rivales en el negocio de la ciberseguridad son Zscaler y Carbon Black, que ya cotizan en Bolsa. Al final, AlienVault ha optado por integrarse en la estructura de una de las compañías de telecomunicaciones más grandes del mundo.
Tras la adquisición, el equipo de AlienVault en España y EE UU se sumará al de AT&T. "Su innovación tecnológica y su talento en seguridad nos ayudará a potenciar la visión de proporcionar soluciones efectivas en el ámbito de la ciberseguridad a empresas de cualquier tamaño", ha apuntado Thaddeus Arroyo, consejero delegado de la división AT&T Business, que insiste en que esta protección es una necesidad para todos los negocios.
Según un estudio del Ponemon Institute, más de un 60% de las empresas de pequeño y tamaño medio sufrieron alguna forma de intrusión o asalto informático a sus servidores. Es un incremento frente al 55% del año anterior. La compra de AlienVault se ha anunciado poco después de que AT&T completara la adquisición de Time Warner y de AppNexus.
Fuente: El Pais.com

RECONOCIMIENTO FACIAL. Preocupantes fallos del Gran Hermano algorítmico

La identificación biométrica, basada en patrones, encierra crecientes riesgos para la seguridad y la privacidad de los ciudadanos. La abundancia de falsos positivos en las herramientas de reconocimiento facial exige la comprobación humana para ofrecer un mínimo de garantías. La finalidad del uso de esas imágenes es clave para su legitimidad.
La penúltima polémica acerca del reconocimiento facial mediante algoritmos la ha protagonizado Amazon y su controvertido programa Rekognition, un poderoso software de identificación de imágenes que la compañía vende a algunos gobiernos. En un experimento, el software identificó erróneamente a 28 miembros del Congreso de los EEUU como sospechosos policiales.
La ONG Unión de Libertades Civiles de Estados Unidos (ACLU), muy crítica con la venta del uso de esta herramienta a gobiernos (es utilizada, por ejemplo, por cuerpos policiales de Oregón y Florida), ha publicado un experimento, en el que usó esa herramienta sobre una base de datos —que compró al módico precio de 12,33 dólares—de 25.000 imágenes de detenidos en EEUU. Luego, introdujo una a una las fotos de todos los congresistas estadounidenses. El sistema identificó a 28 congresistas como personas con antecedentes policiales con al menos un 80% de probabilidad.
Esta misma semana, tres demócratas identificados en la prueba de la ACLU -el senador Edward Markey, y los representantes Luis Gutiérrez y Mark DeSaulnier- enviaron una carta a Jeff Bezos, director ejecutivo de Amazon, expresando preocupación y preguntando por la exactitud y el uso de la herramienta por parte de las autoridades.
Amazon, naturalmente, resta importancia a este estudio y considera que “el análisis de imágenes y vídeo puede ser un impulso para mejorar el mundo”, como aumentar la seguridad ciudadana. Desde su división de servicios en la nube (Amazon Web Services), un portavoz afirmó a BuzzFeed que dijo que los resultados podrían mejorarse “siguiendo las mejores prácticas" para establecer los umbrales de confianza, es decir, el porcentaje de probabilidad de que Rekognition encuentre una coincidencia.
"Si bien el 80% de confianza es un umbral aceptable para las fotos de perritos calientes, sillas, animales u otros objetos que aparecen en las redes sociales, no sería apropiado para identificar a las personas con un nivel razonable de certeza", dijo el portavoz, que añadió: "Cuando usamos reconocimiento facial para asuntos legales, sugerimos a los clientes establecer un umbral más alto, de al menos el 95% o más". No obstante, la compañía oficialmente recomienda un 80% de confianza para reconocer rostros humanos.
Presiones
Desde mayo, la ACLU y otros grupos de derechos civiles han criticado Rekognition de Amazon dado su funcionamiento “sesgado”: la herramienta podría usarse para atacar injustamente a inmigrantes y personas de color. Es decir, las identificaciones tienen importantes sesgos. Y temen que este software pueda emplearse "para controlar a inmigrantes" o para establecer quién "ha participado en una protesta".
Las presiones parecen haber dado sus primeros frutos. Incluso Microsoft, rival de Amazon que también usa tecnología de reconocimiento facial, ha llegado a pedir al Congreso de EEUU que estudie una posible regulación sobre el reconocimiento facial.
Un número creciente de voces señalan los perniciosos efectos de los sesgos  que pueden contener estos sistemas, la llamada ‘discriminación algorítmica’. Algunos estudios indican que las máquinas pueden amplificar comportamientos discriminatorios o racistas.
En el Reino Unido, por ejemplo, en donde la videovigilancia con tecnologías de reconocimiento facial comenzó a imponerse tras los atentados de Londres de 2005 (con un más que dudoso resultado), las autoridades deberán afrontar una demanda por parte del grupo activista Big Brother Watch, cuyos abogados estiman que estos sistemas  —y especialmente su uso intensivo en la capital en los últimos dos años— violan la Ley de Derechos Humanos, incluido el derecho a la privacidad y la libertad de expresión. Y qué decir de China.
Fiabilidad en cuestión
La identificación facial automática se basa fundamentalmente en la comparación de imágenes mediante algoritmos que “aprenden” a discernir entre dichas imágenes. Y la clave de su efectividad es la selección de los elementos que forman el patrón, y qué valor o peso tiene cada elemento dentro del aprendizaje. Aquí entra también el principal factor de sesgo.
Existen sobre todo dos formas para ‘enseñar’ a una máquina a realizar este proceso: por un lado, la introducción a priori de una amplia base de datos de imágenes sobre la que el programa identifica imágenes por similitud; por otro, el “aprendizaje” de la máquina sin una tutorización previa, en el que se introducen una serie de características y la máquina rastrea imágenes para hallar las que encajen en ese patrón, las cuales han de ser validadas a posteriori. El algoritmo puede ser neutro, pero quizá la selección de imágenes previas o de sus características no.
“Te juegas tener problemas importantes, como ser detenido por una identificación incorrecta”
“Avanzar, se ha avanzado en el reconocimiento facial”, reconoce Sergio Carrasco, abogado especializado en tecnología e ingeniero de Telecomunicaciones, que pone como ejemplos las herramientas de este tipo desarrolladas por Facebook o el desbloqueo de móviles, pero apunta que en esos casos funciona al ser “situaciones óptimas”. “Son fotos de frente o de lado en las que se ven todos los rasgos; pero en los casos de videovigilancia, con cámaras en posiciones altas y con una calidad no tan buena, generan falsos positivos en las identificaciones”, comenta. Y, además, pueden ser troleables.
Este experto diferencia entre un falso positivo en una galería fotográfica, que no tiene la menor trascendencia, y un falso positivo en un caso de seguridad ciudadana. “Te juegas tener problemas importantes, como ser detenido por una identificación incorrecta”. “Entiendo que se puede utilizar como elemento indiciario, pero siempre tiene que existir una revisión humana”, apunta.
Un ejemplo claro de que el reconocimiento de imágenes por patrones suele fallar es el caso de los vetos de Facebook a fotos de obras de arte que incluyen desnudos, como sucedió recientemente con los cuadros del maestro flamenco Pedro Pablo Rubens. “Es un ejemplo de que todavía el reconocimiento por patrones no es perfecto, ni mucho menos”, sostiene Carrasco.
Finalidad de la actividad
La legitimidad de la captación de las imágenes y de su tratamiento es otro aspecto clave. En el caso de las fuerzas de seguridad, por ejemplo, se puede presuponer que existe esa legitimidad.
Los sistemas de reconocimiento facial y biométricos pueden ser útiles como medida complementaria para ahorrar tiempo a la policía, sobre todo para eliminar parte del trabajo humano a la hora de analizar imágenes, pero sigue siendo necesario el trabajo humano final para eliminar los mencionados falsos positivos que pueden arrojar estos sistemas.
Y aun así es lícito preguntarse qué sucede con esos datos; persiste el riego, por ejemplo, de la generación de patrones de comportamiento de esas personas, sostiene Carrasco. “Cómo se almacenan y para qué se utilizan en última instancia son cuestiones clave en este asunto”, afirma este experto.
Fuente: Publico.es

TEST BANCA. El BCE examinará la resistencia ante los ciberataques

Las pruebas serán voluntarias y el supervisor nacional elegirá a los bancos participantesLas entidades afrontarán ataques tecnológicos de terceros en un ciberespacio controlado.
Pasada la crisis financiera, que propició fijar los grandes pilares de la supervisión bancaria europea, apoyados en los test de estrés a las entidades para conocer su capacidad de resistencia para absorber pérdidas en un escenario adverso, el BCE da un paso más y comienza a poner la lupa sobre la ciberseguridad. El supervisor bancario europeo prepara unos nuevos exámenes para las entidades de la zona euro, aún sin fecha de partida, con el objetivo de medir su resistencia y su resilencia ante los ataques cibernéticos.
La aventura se engloba dentro del marco europeo constituido para hacer pruebas controladas denominado TIBER-UE (Threat Intelligence-based Ethical Red Teaming / Inteligencia de amenazas basadas en equipos rojos éticos). El término equipos rojos viene de la dialéctica militar y consiste en un grupo de atacantes con intenciones desconocidas para el contrario, aunque controlado por un tercer jugador neutro que conoce sus objetivos.
De momento, los nuevos test del BCE para la banca serán voluntarios y, en el caso de los países que quieran participar, serán las autoridades supervisoras nacionales, en el caso de España, el Banco de España, quiénes elijan a las entidades que entren en el experimento. No obstante, el supervisor europeo incide en que habrá mayor insistencia hacia la participación de unas determinadas entidades que de otras.
Los participantes en esta caja de pruebas ciberespacial serán cinco: las autoridades responsables de aplicar le marco TIBER-UE, las entidades que sirvan de ratones de laboratorio, los supervisores nacionales y europeos que controlarán el espíritu ético de la prueba, los proveedores de equipos rojos (que serán los que lleven a cabo el ciberataque simulado) y los proveedores externos de información sobre amenazas. El informe del BCE sobre estas pruebas incide en la necesidad y relevancia de que estos últimos sujetos sean externos e independientes porque aportarán una perspectiva fresca y pueden disponer de recursos más avanzados que resulten útiles a las entidades.
Los resultados que se deriven de estas pruebas no supondrán el aprobado o el suspenso de las entidades, sino una fuente de información para conocer los puntos fuertes y débiles de las mismas. Desde mismo modo, también serán útiles para los propios bancos ya que les permitirá autoevaluarse a nivel de personal, tecnología y procesos para proteger, detectar y responder a los ataques.
Cabe destacar que las pruebas también supondrán un coste a las entidades participantes, que tendrán que tomar medidas preparatorias como la obtención de proveedores de servicios adecuados con arreglo a las normas específicas de cada prueba.
Objetivo: mejorar la resistencia cibernética y compartir información para protegerse
El objetivo de estas pruebas es mejorar la resistencia cibernética de los bancos, orientar a las autoridades sobre la forma de establecer, aplicar y gestionar esta forma de ensayo a nivel nacional y europeo y además, crear una colaboración con autoridades transfronterizas para intercambiar resultados.
No obstante, estos ataques cibernéticos controlados no se van a quedar sólo en el entorno de las entidades financieras. La intención de Europa es que estas pruebas también se realicen a agencias de calificación crediticia, bolsas, compañías de seguros, empresas de sistemas de pago, sociedades de gestión de activos o cualquier otro proveedor de servicios considerado críticos para el funcionamiento del sector financiero.
La participación lleva tres pasos: preparación, ataque y fase de cierre
La participación en estos test de ciberseguridad lleva tres fases. La primera etapa consiste en la preparación de la entidad para someterse a la prueba, lo que incluye la adquisición de los servicios necesarios exigidos por el marco TIBER-UE para afrontar el test. La segunda fase es la del ataque, y establece una hoja de ruta para que el equipo rojo se dirija a las zonas más vulnerables con el objetivo de probar la resistencia del banco en un escenario de ruptura del negocio. Finalmente, la última parte, conocida como fase de cierre, incluye la compilación de un informe del equipo rojo sobre las vulnerabilidades encontradas y la forma de remediarlas, un informe de la entidad y un tercero elaborado de manera conjunta.
El BCE recuerda que estas pruebas se realizarán siempre bajo el principio de la confidencialidad y también de la ética en los ciberataques. De hecho, guarda el derecho a que el supervisor competente de cada banco invalide el examen si considera que no se ha realizado desde unos principios honestos.
Hasta el momento, el gran paso dado por Europa en materia de ciberseguridad ha sido la directiva NIS que tiene como objetivo impulsar el desarrollo de las capacidades de seguridad cibernética de los Estados miembro. Uno de los grandes hitos consiste en que las empresas deben reportar a la autoridad nacional los incidentes cibernéticos que detecten con el objetivo de garantizar el intercambio de información y cooperación. España registró 120.000 incidentes el año pasado, 5.000 más que en el ejercicio anterior.
Fuente: El Economista.es

XIAOMI. Lanza los Mi A2 y Mi A2 Lite reventando la gama media por menos de 200 euros

El Mi A2 costará a partir de 249 euros y el Mi A2 Lite por 179 euros
Xiaomi ha presentado esta mañana en Madrid su apuesta para conquistar la gama media: los Mi A2 y Mi A2 Lite. Los dos terminales llegan para sustituir al exitoso Mi A1, un terminal equilibrado en precio y prestaciones con el que la compañía china ha conquistado el mercado.
El Mi A2 Lite llega al mercado por 179 euros para la versión más asequible (3 GB de RAM y 32 GB de almacenamiento) y 229 euros para la versión de 4 GB de RAM y 64 GB de almacenamiento. Por su parte, el Mi A2 llega al mercado a partir de 249 euros, aunque también estará disponible la versión de 4 GB de RAM y 64 GB de almacenamiento por 279 euros. Mientras, la versión más ambiciosa, la de 6 GB de RAM y 128 GB de almacenamiento costará 349 euros.
Del mismo modo que con el Mi A1, los nuevos Mi A2 seguirán apostando por incorporar el sistema operativo de Google Android One, en lugar del software de Xiaomi, MIU, uno de los motivos que ha atraído a muchos usuarios al terminal de la compañía.
El Xiaomi Mi A2 es el más ambicioso de los terminales presentados esta mañana en el WiZink Center de Madrid. Cuenta con una línea continuista con el modelo anterior, apostando por un diseño cuidado con un cuerpo unibody de aluminio y que logra disimular en la medida de lo posible la salida para las antenas
Monta una pantalla de 5,99 pulgadas a una resolución de 2160x1080 píxeles con lo que el ratio de pantalla de 18:9. Para lograrlo, Xiaomi ha apostado por estrechar los bordes, sin embargo, en esta ocasión no ha incorporado el omnipresente notch a su terminal sino que mantendrá la línea seguida en el A1.
En su interior incorpora un procesador Qualcomm Snapdragon 660 con hasta 2,2 ghz y una memoria RAM de hasta 6 GB -aunque también ha lanzado otra versión de 4 GB- y su almacenamiento interno crece hasta los 128 GB y no cuenta con lector para tarjetas. Con respecto a su batería, el Mi A2 dispone de una capacidad de 3.010 mAh con carga rápida, con lo que promete llegar al final del día con un uso normal.
Con respecto a su capacidad fotográfica, el nuevo Xiaomi Mi A2 sigue apostando por la doble cámara trasera con la combinación de dos lentes con sensores de 12 y 20 megapíxeles, ambas a f/1.75. Asimismo, también ha mejorado la cámara frontal al montar una lente de 20 megapíxeles pensando en mejorar los selfies, para lo que también dispone de una flash en la parte delantera.
Más allá del Mi A2, y haciendo valer el eslogan que ha marcado toda la presentación: dos mejor que uno, Xiaomi también ha presentado en Madrid un segundo terminal de gama media más asequible bautizado como Mi A2 Lite.
El Mi A2 Lite apuesta estirar en el mercado las fortalezas del Mi A1 apostando por un diseño con notch, ya que en esta ocasión la pantalla pasa a ser de 5,84 pulgadas al incorporar la ya extendida 'ceja'.
En su interior monta el procesador Snapdragon 625 de Qualcomm, el mismo que el A1 y llega en configuraciones de 3 y 4 GB de RAM con 32 y 64 GB de almacenamiento. Con respecto a sus cámaras, apuesta por una doble lente trasera en disposición vertical de 12 y 5 megapíxeles a f/2.2, mientras que en la parte delantera monta una cámara de 5 megapíxeles, como sucede en el Mi A1.
Con respecto a su batería, el Mi A2 Lite monta una de 4.000 mAh, con la que la compañía promete una duración del terminal en activo de dos días, lo que ejemplifica con 34 horas de reproducción de música, 6 horas jugando u hasta 8,5 horas viendo películas.
Ambos terminales llegarán al mercado el 10 de agosto tanto en las tiendas oficiales de Xiaomi como en Amazon.es, El Corte Inglés, AliExpress, Worten, PcComponentes, Media Markt, según ha explicado la compañía en la presentación, que ha dejado ver que los smartphones llegarán en tres colores: azul, dorado y negro.
Fuente: El Economista.es

OPEN REDIRECT. Cómo lo usan para robar credenciales en la app en Electron de Hangouts

Hangouts, la app de mensajería de Google, ha sido comprometida en su versión de escritorio por una vulnerabilidad de tipo Open Redirect, sumado a un error en la forma en que se abren los enlaces
Electron se ha convertido estos últimos años en una alternativa económica y sencilla de construir apps multiplataforma para escritorio. En vez de invertir recursos y dinero en crear aplicaciones nativas, es posible crear aplicaciones web que se ejecutarán en su propio navegador, sin la barra de direcciones. Esta propiedad de Electron, impide al usuario conocer qué sitio web se está visualizando, lo que puede aprovecharse para redirigir a un sitio de phishing sin que se dé cuenta.
La app de Hangouts para escritorio, que hace uso de Electron, soluciona en parte este problema abriendo con el navegador del sistema los enlaces externos a la aplicación web que ejecuta (https://chat.google.com). El analista Michal Bentkowski investigó este hecho en su blog, descubriendo que la aplicación sigue los enlaces de redirección, y que podría emplearse para redirigir a un phishing. Haciendo uso de un Open Redirect conocido en https://accounts.google.com/ServiceLogin?continue= (que también está presente en chat.google.com), es posible redirigir al usuario a un sitio arbitrario, como una página falsa de login de Google, tal y como puede comprobarse en esta url de demostración:
Al tratarse de una vulnerabilidad en una aplicación de mensajería, su propagación es tan sencilla como enviar este enlace a un contacto, y esperar a que éste lo abra. Al cargarse la url en la propia ventana de Electron, el usuario no nota la diferencia con el login original, y ni siquiera puede volver atrás, al no disponer de botones de navegación.
Ya hemos visto otras vulnerabilidades relacionadas con el uso de Electron, como ejecución remota de código o la sufrida en Atom (también de tipo RCE). Debido a su popularidad, es probable que en los próximos años sigamos viendo casos similares, lo que evidencia la necesidad de adoptar medidas. Por ejemplo, en el caso de Hangouts, existen soluciones, como bloquear las redirecciones, o forzar el uso del navegador externo en todos los enlaces recibidos a través de un mensaje.
Más información:
·         Vulnerability in Hangouts Chat a.k.a. how Electron makes open redirect great again: https://blog.bentkowski.info/2018/07/vulnerability-in-hangouts-chat-aka-how.html
·         Google Open URL Redirection : https://vagmour.eu/google-open-url-redirection/
·         Ejecución remota de código en aplicaciones Electron: https://unaaldia.hispasec.com/2018/01/ejecucion-remota-de-codigo-en.html
·         Ejecución remota de código en el editor Atom: https://unaaldia.hispasec.com/2017/11/ejecucion-remota-de-codigo-en-el-editor.html
Fuente: Hispasec

OPENWHISK. Corregidos dos fallos graves

PureSec ha hallado dos fallos, ya corregidos, en OpenWhisk, la arquitectura FaaS de la fundación Apache, con los que se podría ejecutar código arbitrario sustituyendo la funciones a ejecutar por código malicioso.
FaaS, es un tipo de arquitectura que conlleva todo lo que representa la familia de los sufijos aaS (as a Service): Usar el ordenador de otro. Solo que esta vez nos abstraemos aun más y no solo no tenemos que vérnosla con la creación y configuración de servidores, ni eso. FaaS nos permite "ejecutar una función en la nube" y nos cobran por los recursos que se han tenido que consumir para atender la respuesta. Por supuesto, es serverless, ese vocablo que significa que sí que hay servidores pero no los ves, ni los tocas, ni los hueles.
OpenWhisk es una implementación en particular de esa arquitectura, creada por la fundación Apache y usada sobre todo en IBM Cloud Functions, la nube de IBM, para dar servicios del tipo serverless y FaaS. El concepto puede parecer chocante la primera vez que lo lees. Programas tu función, al ejecutarla se sube a la nube, esta levanta un contenedor Docker y la ejecuta devolviendo la respuesta. Esto libera al cliente de tener que poseer y administrar recursos en local. Además, se pueden programar eventos que disparen la ejecución de estas funciones.
PureSec ha encontrado dos fallos en OpenWhisk que podrían permitir a un atacante sustituir el código de la función a ejecutar, lo que abre la puerta a ataques que podrían ser aprovechados para minar o causar denegación de servicio.
El fallo se encuentra siempre y cuando la función legítima a ejecutar permita interactuar con el interfaz REST del contenedor. En ese caso es posible enviar una nueva función a ejecutar en el terminador /init que sustituirá a la función actual en curso. Todos los contenedores posteriores que se levanten tendrán la nueva función maliciosa como cuerpo a ejecutar.
Los fallos poseen los CVE asignados: CVE-2018-11756 y CVE-2018-11757. Han sido corregidos y una nueva versión de OpenWhisk se encuentra disponible para su descarga.
Más información:
Fuente: Hispasec