14 de mayo de 2018

ALEMANIA. Los servicios de inteligencia afirman que Rusia apoyó independentismo catalán

El presidente de la inteligencia interior alemana (la Oficina Federal para la Protección de la Constitución, BfV), Hans-Georg Maassen, aseguró que el Gobierno ruso apoyó al separatismo catalán con una campaña de desinformación en los días previos al referéndum.
Maassen hizo este comentario durante su discurso en un simposio organizado en Berlín por su organización para abordar la cuestión de las "amenazas híbridas" y en la que aseguró que para ciertos países es "interesante" una Unión Europea (UE) "dividida" y "débil" que no pueda ejercer plenamente su "papel de actor global".
Preguntado posteriormente al respecto, Maassen agregó en una rueda de prensa que el BfV no obtuvo directamente esta información, sino que le fue suministrado, pero agregó que le parece "muy plausible" y "razonable" que Moscú prestase apoyo al soberanismo."Para otros Estados es atractivo emplear ahora y siempre las amenazas híbridas con el objetivo de dañar los intereses europeos. Es ventajoso. Sería ingenuo pensar que estos Estados vayan a renunciar a ellas", razonó Maassen en su discurso.
Especialmente crítico con Moscú en este simposio fue el director general de la inteligencia interna británica (MI5), Andrew Parker, que aseguró que Rusia es un "estado hostil" y el "principal protagonista" en el empleo de "amenazas híbridas", en las que incluyó desde ciberataques al envenenamiento de un doble espía británico en las ciudad inglesa de Salisbury.
El Gobierno ruso, aseguró, ha cometido "rupturas flagrantes de las reglas internacionales" con "acciones agresivas y perniciosas de su ejército y sus servicios secretos" que van desde la anexión ilegal de la península ucraniana de Crimea a los intentos de influir en las elecciones en EEUU y Francia.
Maassen definió las "amenazas híbridas" como el intento de un Estado de influir sobre otro mediante una combinación de métodos, desde ciberataques a campañas de desinformación pasando por sabotajes, que suponen un "peligro existencial para nuestras democracias".
Estas actividades son atractivas por su efectividad y repercusión, son "atractivas y lucrativas", y además son complejas y es difícil de trazar su origen.
Además, advirtió de las "guerrillas híbridas" que llevan a cabo estas operaciones, grupos heterogéneos conformados por espías, grupos fanatizados con apoyos externos, criminales y piratas informáticos.
Pese a que muchas de estas acciones no son novedosas, Maassen argumentó que las amenazas híbridas actuales son "cualitativa y cuantitativamente" distintas a las del pasado por la gran interconexión que ha traído internet y por cierta ingenuidad multilateralista surgida a raíz del fin de la Guerra Fría.
El comisario europeo de Seguridad, Julian King, aseguró que las campañas de desinformación en las redes son una "nueva forma de armas de destrucción masiva" y abogó por reforzar la cooperación en el marco de la UE.
Maassen indicó que la prevención "empieza con la concienciación" sobre esta amenaza, abogó por sensibilizar a la opinión pública y presentar mensajes contrarios.
Asimismo, destacó el "papel extraordinario" de los medios de comunicación, pues la ciudadanía precisa "información fiable", y animó a un consumo "crítico y consciente" de las noticias por parte de los ciudadanos.
Fuente: El Mundo.es

FACEBOOK. Bloquea 200 aplicaciones por investigación de mal uso de datos

 Facebook Inc suspendió hasta el momento cerca de 200 aplicaciones en la primera etapa de su revisión de software con acceso a una gran cantidad de datos de usuarios, en respuesta a un escándalo de la consultora política Cambridge Analytica.
Las aplicaciones fueron suspendidas a la espera de exhaustivas investigaciones respecto de si usaron mal algunos datos, dijo Ime Archibong, vicepresidente de asociación de productos de Facebook. 
Facebook dijo que ha examinado miles de aplicaciones hasta la fecha como parte de una investigación anunciada el 21 de marzo por el presidente ejecutivo de la compañía, MarkZuckerberg.
Zuckerberg afirmó que la red social investigará todas las aplicaciones que tenían acceso a grandes cantidades de información antes de que la firma redujera el acceso a datos en 2014. 
“Hay mucho trabajo por hacer para encontrar todas las aplicaciones que han usado mal datos de personas de Facebook y tomará tiempo”, sostuvo Archibong. “Tenemos grandes equipos de expertos internos y externos trabajando duro para investigar estas aplicaciones lo más rápido posible”, agregó.
Facebook fue golpeado por un escándalo de privacidad a mediados de marzo tras reportes de que Cambridge Analytica accedió en forma inapropiada a datos para construir perfiles de votantes estadounidenses e influir en la elección presidencial de 2016.
El incidente generó críticas entre celebridades e hizo que la empresa perdiera miles de millones de dólares en valor de mercado. Zuckerberg se disculpó por los errores cometidos por su compañía y testificó ante legisladores estadounidenses.
Sin embargo, la compañía recuperó buena parte de su valor de mercado perdido tras reportar un sorprendentemente sólido incremento de 63 por ciento en su ganancia y un aumento de usuarios cuando anunció sus resultados trimestrales el 25 de abril.
Fuente: Reuters

FACEBOOK. Pregunta a usuarios europeos en qué fuentes de noticias creen

Facebook está preguntando a sus usuarios en Europa en qué fuentes informativas confían para decidir si extiende el cambio que hizo este año en Estados Unidos en su servicio News Feed y que está diseñado para filtrar información falsa.
En enero, el presidente ejecutivo de Facebook, Mark Zuckerberg, dijo que News Feed, uno de los servicios centrales de la red social, priorizará las “noticias de alta calidad” sobre fuentes menos fiables como parte de su lucha contra la desinformación en su plataforma.
Facebook ha recibido críticas por su incapacidad para evitar la proliferación de noticias falsas en su plataforma, sobre todo durante la campaña de la elección presidencial de Estados Unidos en 2016. También ha tenido una relación complicada con los medios, sobre todo con los que tienen fuertes sesgos políticos.
Zuckerberg dijo en enero que hay demasiado “sensacionalismo, desinformación y polarización” en el mundo y que las redes sociales están empeorando el problema.
 “Las redes sociales permiten a la gente propagar la información de forma más rápida que nunca antes y si no lidiamos de manera específica con esos problemas, entonces terminaremos amplificándolos”, escribió entonces.
La compañía, que tiene más de 2.000 millones de usuarios mensuales, recurrió a sus miembros para determinar qué ranking ocupan los medios en lo relativo a su confiabilidad, usando encuestas breves en su sitio web.
El jueves anunció que empezará a mostrar sondeos similares de dos partes a sus usuarios en Reino Unido, Alemania, Francia, Italia y España, preguntándoles si están familiarizados con fuentes de noticias específicas como BBC News o The Guardian y si confían en ellas.
Un portavoz de Facebook dijo que los resultados del estudio no afectarán al ranking ni a la composición de News Feed en Reino Unido o en otros países. La firma afirmó que anunciará si decide implementar cambios.
Fuente: Reuters

GOOGLE. Utiliza en Australia datos móviles de usuarios Android valorados en 580 millones de dólares

Australia ha valorado que Google utiliza datos móviles de usuarios de 'smartphones' Android en su país por un valor de entre 445 y 580 millones de dólares al mes tras investigar un informe de Oracle que denunciaba que la compañía estadounidense utiliza un gigabyte (GB) al mes por persona con el objetivo de acceder a su localización.
Los datos encriptados de localización que recopila Google cuestan sólo a los ciudadanos australianos entre 445 y 580 millones de dólares estadounidenses cada mes, de acuerdo al precio actual de las telecomunicaciones, según las estimaciones de la Comisión de Competencia y Consumo de Australia recogidas por el diario local Daily Telegraph.
Google utiliza un gigabyte al mes de los planes de datos de cada uno de los usuarios de 'smartphones' Android para recopilar su localización a través de sensores del teléfono como el GPS o el barómetro, según una investigación reciente de Oracle.
Tras el contacto con los expertos de Oracle de Estados Unidos, el Gobierno australiano ha realizado una investigación de mercado con la que ha determinado que el coste de los datos totales de los planes de Internet móvil utilizados por Google puede llegar hasta los 580 millones de dólares estadounidenses.
Según Oracle, Google recoge los datos de localización de sus usuarios también en los casos en que Google Maps no se encuentra en uso en el terminal e incluso con el modo avión activado o la tarjeta SIM retirada. La compañía señala que esta recopilación se evita solamente cuando el móvil se apaga.
Al recopilar tanto los datos procedentes del GPS como del barómetro, un sensor que mide la presión atmosférica que se encuentra en algunos 'smartphones' actuales, Oracle ha asegurado que Google sería capaz de acceder tanto al posicionamiento en coordenadas como a la altura a la que se encuentra un usuario en un edificio.
"Google usa el historial de ubicaciones para ofrecer mejores resultados y recomendaciones sobre los productos de Google. Así, se pueden recibir predicciones de tráfico para un trayecto cotidiano, ver fotos clasificadas según la ubicación donde se tomaron, ver recomendaciones basadas en lugares que se han visitado e incluso localizar un teléfono perdido/robado", ha declarado un portavoz de la compañía en un comunicado remitido a Portaltic.
"Compartir el historial de ubicaciones es totalmente opcional,", ha seguido detallando, "y los usuarios pueden editarlo, eliminarlo o desactivarlo en cualquier momento". La compañía recopila la información "con el permiso de los usuarios".
Google en el comunicado, Google también ha asegurado que  está "muy comprometido en proteger los datos de nuestros usuarios al mismo tiempo que diseña y mejora sus productos para que funcionen cada vez mejor en este sentido".
En este sentido, la compañía ha explicado que "los usuarios pueden ver y configurar qué datos se recopilan a través de 'Mi cuenta'. Los datos que este servicio envía a los servidores de ubicación de Google son anónimos pero en cualquier caso pueden deshabilitar el servicio de ubicación de Google en cualquier momento".
Fuente: Europa Press

GOOGLE. Asistente virtual actualizado realiza llamadas complejas para sus usuarios

Google de Alphabet Inc mostró el martes una versión actualizada de su asistente virtual que puede llamar a restaurantes, peluquerías y otros negocios para consultar disponibilidad de horas, hacer reservaciones y mantener conversaciones a nombre del usuario.
El anuncio se hizo en la convención Google I/O, un evento anual que se realiza desde 2008 para compartir nuevas herramientas y estrategias con creadores de productos que funcionan con software y hardware de Google.
La actualización muestra que Google está respondiendo a la creciente competencia de grandes empresas tecnológicas en el mercado de asistentes virtuales, compras y aparatos.
Google también dijo que ampliará la capacidad de la asistente para ordenar comida de restaurantes, incluidos Starbucks Corp y Domino’s Pizza Inc.
Fuente: Reuters

PGP. Usuarios de deben desactivar de inmediato plugins de descifrado de emails

Acaba de anunciarse el descubrimiento de una vulnerabilidad que podría comprometer las comunicaciones futuras y pasadas a través de email que usan PGP
El descubrimiento de una vulnerabilidad por un grupo europeo de investigación, entre los que se encuentran miembros de DROWN Attack, obliga a desactivar de inmediato los plugins para el descifrado de emails mediante PGP y S/MIME. Se especifican en concreto los siguientes plugins:
1.    Thunderbird con Enigmail
2.    Apple Mail con GPGTools
3.    Outlook con Gpg4Win
Aunque todavía no se han dado detalles sobre el funcionamiento de esta vulnerabilidad, se sabe que su explotación puede realizarse mediante un email especialmente manipulado. Además, esta vulnerabilidad no sólo afectaría a los futuros emails, sino también a los pasados.
Es necesario aclarar, que el fallo no se encontraría en GPG, el cual sigue siendo seguro tal y como ha asegurado GnuPG en Twitter, sino en el parseador que utilizan los plugins para detectar errores en el descifrado. 
La vulnerabilidad a día de hoy no tiene solución, según ha dicho Sebastian Schinzel a través de Twitter, por lo que deben mantenerse deshabilitados o desinstalar los plugins que permitan el descifrado hasta entonces. Mañana martes, a las 07:00 UTC (08:00 en España peninsular) se mostrarán más detalles en un paper que se liberará. 
Más información:
·         Anuncio en Twitter por Sebastian Schinzel: https://twitter.com/seecurity/status/995906576170053633
·         Detalles en Twitter sobre el funcionamiento: https://twitter.com/martijn_grooten/status/995928166878334977
·         Anuncio en Electronic Frontier Foundation:
·         Aclaraciones GnuPG en Twitter: https://twitter.com/gnupg/status/995931083584757760
·         Detalles en Twitter sobre soluciones por Sebastian Schinzel: https://twitter.com/seecurity/status/995906638556155904
Fuente:Hispasec

GPON. Millones de routers fibra de la firma, nuevos objetivos de Mirai y Muhstik

Una reciente vulnerabilidad descubierta en los gateway GPON, del fabricante Dasan, ponen en peligro millones de routers, tras publicarse diferentes pruebas de concepto. En España, por el momento, solo se verían afectados los operadores Adamo e IngerTV, entre otros.
A principios de este mes, los investigadores de vpnMentor publicaron los CVE (CVE-2018-10561 y CVE-2018-10562) sobre dos vulnerabilidades de salto de restricciones e inyección de comandos en routers de fibra GPON, de la firma Dasan Zhone Solution (DZS) de origen surcoreano.
La vulnerabilidades estarían presentes tanto en el mecanismo de autenticación, que sería evadido por el atacante mediante peticiones del estilo "?images/" a cualquier recurso del router:
/GponForm/diag_FORM?images/
Como por la inyección de comandos, dado que los routers llaman directamente a "ping" y "traceroute" sin aplicar un correcto filtrado de los parámetros, por lo que se pueden inyectar cualquier tipo de comandos a través de dest_host, aplicando los filtros adecuados en función del router:
XWebPageName=diag&diag_action=ping&wan_conlist=0&dest_host= &ipv=0
Nivel de afectados
Según los investigadores y los propios datos almacenados en Shodan, existen cerca de un millón de routers activos y potencialmente vulnerables. Los países más afectados son: Mexico (Telmex y Axtel) con más de 400.000 dispositivos, Kazakhstan (JSC Kazakhtelecom) con más de 300.000 y Vietnam con 160.000 dispositivos (FPT Telecom).
Si nos centramos en España, existe un bajo volumen de routers afectados (sobre 2000), relacionados con los operadores de fibra Adamo e IngerTV.
Los routers afectados son, principalmente, la familia Zhone 25xx (como el Zhone ZNID GPON 2516) y la serie GPON H640:
Objetivo de botnets: Muhstik y Mirai
Como comentábamos, esta vulnerabilidad bastante sencilla de explotar, ya está siendo activamente utilizada por las botnets Muhstik, Mirai y variantes. Los investigadores de Netlab 360, han demostrado la gran actividad relacionada con estos dispositivos y su uso en este tipo de botnets, publicando varios IOCs y características de la botnet Muhstik, en concreto.
Aunque comentan la ineficiencia, por el momento, del exploit utilizado que impide la infección de manera efectiva:
Fortunately, the current attack payloads from muhstik, mirai, hajime, and satori, have been tested to be broken and will not implant malicious code.
Soluciones o contramedidas
Para corregir esta vulnerabilidad y dado que la mayoría de estos dispositivos son bastantes antiguos, como comenta DZS, es necesario contactar con nuestro operador para que, o bien sustituya el modelo, o lo pueda actualizar remotamente.
The DZS ZNID-GPON-25xx and certain H640-series ONTs, including the software that introduced this vulnerability, were developed by an OEM supplier and resold by DZS. While designed and released more than 9 years ago, most of these products are now well past their sustainable service life. Because software support contracts are no longer offered for most of these products, we do not have direct insight to the total number of units that are still actively used in the field.
Existe una contramedida facilitada por vpnMentor que permite corregir la vulnerabilidad de manera remota, aprovechándose de la misma para impedir futuros ataques, aunque puede que ya se encontrara infectado el equipo:
Fuente: Hispasec

Las URL's con capacidad de minado no paran de crecer

Cada vez son más las webs que integran capacidad de minado en segundo plano. Este proceso ocurre de forma paralela a la navegación, siendo transparente para el usuario, pero no tanto para la CPU.
Hoy en día el más famoso y popular es CoinHive,  una empresa que suministra un código JavaScript con capacidad de minado de la cryptomoneda Monero y añade trazabilidad de los resultados a través de un panel web. Siguiendo a CoinHive se encuentran muy de lejos proyectos como CoinIMP y SocketMiner, pero en este momento, juntando ambos no representan ni un 1% de los casos de minado detectados.
Desde el mes de Enero hemos introducido reglas en nuestra red de visitadoras para detectar casos de minería en webs. En Hispasec analizamos más de tres millones de urls diariamente dentro de nuestro servicio Antifraude, en busca de cualquier amenaza que pueda comprometer la seguridad de nuestros clientes.
Número de URL's analizadas que presentan minado:
  • Enero: 33451
  • Febrero: 41182
  • Marzo: 47471
  • Abril: 49324
  • Mayo: 66294 estimadas (del día 1 al 10 se detectaron 22098)
Los datos confirman una tendencia al alza de este tipo de técnicas, aunque cruzando los resultados obtenidos con el top 1000 de Alexa no se han encontrado cruces relevantes que confirmen que esta técnica esté siendo utilizada como forma de financiación. Las webs analizadas en su mayoría eran o bien urls de publicidad o páginas de descarga de contenido multimedia.
Desde Una al día hemos hablado en varias ocasiones sobre este tipo de técnicas, tal y como pueden ver en las siguientes noticias ordenados de forma cronológica:
·        Minería de criptomoneda en la plataforma “The Pirate Bay”
·        El minado de criptomonedas llega a YouTubeMinería,
·        La nueva fiebre del oro virtual
·        Página web de Blackberry hackeada para minar criptomonedas
·        Miles de sitios webs de los gobiernos hackeados para minar criptomonedas
El Csirt de la Comunidad Valenciana ha publicado un documento en el que se describen las distintas técnicas utilizadas por los atacantes para llevar a cabo el minado. Es recomendable su lectura para comprender como el minado web es solo una de las plataformas utilizadas por estos ciberdelincuentes.
Más información:
Fuente: Hispasec

CCN-CERT. Disponible informe anual sobre amenazas y vulnerabilidades en dispositivos móviles

El CCN-CERT (Centro Criptológico Nacional) ha publicado el informe anual sobre las amenazas y vulnerabilidades en dispositivos móviles.
El informe, nos muestra un recorrido por todo lo acontecido a lo largo de 2017 en materia de seguridad en dispositivos móviles. Sin lugar a dudas, y tal y como refleja el propio informe en su introducción, estos sistemas poseen una amplia adopción tanto en el mundo profesional como en el personal. Esto se refleja también en la orientación o tendencias del malware, cada vez más enfocado en el mundo móvil.
Un hecho destacable es la predominancia del sistema operativo Android y la casi completa desaparición del malogrado Windows Phone. Respecto a Android se vuelve a confirmar algo que ya sabíamos y que hemos repetido varias veces desde Una-al-día: la fragmentación de Android. Un fenómeno que no solo fastidia a los desarrolladores de la plataforma de Google, sino que también significa que una larga porción de usuarios podría estar exponiéndose a vulnerabilidades que afectan a versiones sin soporte.
No obstante, respecto a la fragmentación de Android, el informe recoge una interesante iniciativa que intentará paliar los efectos de este fenómeno. Básicamente, se trataría de separar la capa de personalización de los fabricantes del sistema base. Esto, facilitaría que el gigante del buscador pueda ofrecer actualizaciones de forma más rápida a los usuarios, sin tener que esperar meses o de manera indefinida a un parche producido por el fabricante del terminal.
El informe, también dedica un capítulo a explorar las diferentes medidas se seguridad biométrica, como el sistema FaceID de Apple, el escaneo del iris y reconocimiento facial de Samsung o el Intelligent Scan que estrenaron los dispositivos S9 y S9+ del mismo fabricante.
Otros aspectos destacables del informe son la adopción paulatina de formas adaptadas de inteligencia artificial en estos dispositivos y los sistemas de protección frente a desbloqueos y extracción forense de datos en caso de sustracción o pérdida del terminal. Recordemos la importancia de estas plataformas hace que sean un objetivo muy apetecible para el robo de información sensible, sobre todo en el ámbito de las organizaciones y gobiernos.
A destacar la parte de análisis de las amenazas más destacadas en el sentido del malware que afecta a sistemas operativos móviles, en la que vuelve a ser el protagonista Android, así como la orientación de los objetivos del código malicioso a explotar las capacidades computaciones de estos sistemas para minar criptomoneda.
En resumen, una interesante lectura que glosa lo acontecido en seguridad de sistemas y plataformas móviles durante el pasado año y marca, a su vez, las lineas de tendencia que podría seguir el presente año.
Más información:
Fuente: Hispasec

Detectado backdoor en el módulo Python SSH Decorate / Decorator

Ayer se hizo público en diversos foros de seguridad la presencia de una "backdoor" en el módulo Python, SSH Decorate, lo que ha provocado que finalmente el autor cierre sus repositorios al detectarse que su cuenta fue comprometida.
El módulo SSH Decorate era un decorador de Paramiko para Python, que ofrecía funcionalidades de cliente SSH, desarrollado por el programador israelí Uri Goren, colaborador del proyecto SciPy. Aunque no era muy popular (cerca de 4000 descargas lo corroboran), ejemplifica cómo puede darse este tipo de incidencias de la manera más sencilla, por lo que fue un objetivo fácil de utilizar para propagar este backdoor.
Según los avisos recibidos en su cuenta de GitHub, Uri fue alertado de la presencia de código modificado que capturaba los credenciales, como se puede observar en la imagen:
El desarrollador avisó que su cuenta había sido comprometida, cambiando su código para incluir esta backdoor. Tomó la decisión de cambiar la contraseña y renombrar el proyecto como "ssh-decorator", pero, finalmente y tras todo este revuelo, ha decido borrar la presencia de su código en todas sus cuentas de Github y PyPi:
Lo que en un principio podría ser un ataque viable con paciencia y mediante el uso de diccionarios, se vuelve más sencillo, si cabe, tras analizar las versiones anteriores del código. En su versión 0.2 se pueden encontrar credenciales por defecto de una cuenta en Bluehost, por lo que, probablemente, los atacantes hayan reutilizado esta misma contraseña en su cuenta de Pypi para poder distribuir la versión modificada:
Esta vulneración tan evidente de un módulo, junto con los recientes incidentes publicados sobre otros módulos y repositorios, pone el foco en el esquema de seguridad presente en repositorios como Pypi, donde, a día de hoy, no hay un modo rápido ni claro de poder reportar estos incidentes de módulos maliciosos o vulnerados, ni existe un método de verificación de los mismos mediante firma, por ejemplo.
Más información:
·         Report projects that damage other packages, don't adhere to guidelines, or are malicious https://github.com/pypa/warehouse/issues/3896
·         Backdoor in ssh-decorator package https://www.reddit.com/r/Python/comments/8hvzja/backdoor_in_sshdecorator_package/
·         Ejecución remota de código en el editor Atom https://unaaldia.hispasec.com/2017/11/ejecucion-remota-de-codigo-en-el-editor.html
Fuente: Hispasec

Denegación de servicio en NetBSD a través de IPsec

Se han descubierto múltiples vulnerabilidades en la implementación de IPsec en NetBSD, que pueden usarse para causar al menos denegación de servicio
NetBSD es un sistema operativo gratuito y de código abierto, catalogado en el grupo de sistemas operativos Unix-like (parecidos a Unix). Está enfocado en la claridad del código, diseño cuidadoso y portabilidad sobre múltiples arquitecturas. Precisamente, su lema principal es 'Of course it runs NetBSD', y multitud de fuentes afirman que es el sistema completo que corre en más arquitecturas. Si bien es probable que el kernel Linux corra en más arquitecturas, NetBSD como distribución completa con múltiples utilidades básicas en un sistema operativo ganaría el pulso.
El asunto que nos trae hoy es el descubrimiento de múltiples vulnerabilidades en la implementación de IPsec. Esta implementación forma parte del espacio del kernel, y se encarga de implementar el conjunto de protocolos del mismo nombre, que extienden la funcionalidad del protocolo IP para cifrar y/o autenticar sus paquetes. La forma clásica en la que se presenta es como parte de una red privada virtual, conocido por sus siglas en inglés 'VPN'.
Concretamente, las vulnerabilidades se encuentran tanto antes como después de cifrar y autenticar, y oficialmente se anuncia que los impactos son denegación de servicio y corrupción de memoria, ambos explotables remotamente. Una de las formas clásicas de denegación de servicio consiste en explotar una vulnerabilidad que corrompe la memoria de un proceso, ocasionando un funcionamiento anómalo que termina accediendo a una zona de memoria no permitida y el proceso se cierra como medida de protección.
Pero si se tiene el poder de corromper la memoria, es posible en algunos escenarios que la corrupción controlada y cuidadosamente diseñada de ésta nos permita ejecutar código que nos interese. A veces incluso especificando explícitamente el código como parte de la entrada anómala que provoca la corrupción (por contraposición a ejecutar otro código ya existente en la memoria del proceso, por redirección del flujo de ejecución). En este caso el boletín no especifica si es posible ejecutar código de forma remota, aunque dada la cantidad de vulnerabilidades (siete) y no afirmar lo contrario, no es posible descartar este impacto. Quizás en las próximas semanas alguien publica un reporte afirmando este impacto tras buscarle las cosquillas al kernel...
Todas las vulnerabilidades afectan a partir de la rama 6, y ya han sido corregidas. Para aplicar las correcciones, es necesario obtener el código fuente del kernel de una versión corregida, compilarlo, instalarlo y reiniciar el sistema. Maxime Villard es el responsable de estos descubrimientos.
Más información:
·         NetBSD Security Advisory 2018-007 http://ftp.netbsd.org/pub/NetBSD/security/advisories/NetBSD-SA2018-007.txt.asc
Fuente: Hispasec

KOODOUS. Nueva actualización disponible en Google Play

El pasado 3 de mayo se publicó en Google Play una nueva versión de Koodous. Concretamente la 2.1.10, que introduce cambios en su interfaz y nuevas funcionalidades que repasaremos a continuación.
Cuando empezamos en 2015, Koodous contaba con un dataset de aplicaciones de a penas 3 millones de muestras. Hoy día contamos con más de 28 millones de APK y un volumen de más de 10.500 usuarios activos, de los cuales más de 3.500 son analistas.
Para quienes no lo conozcan, Koodous Mobile funciona como antivirus, protegiendo tu dispositivo Android de aplicaciones maliciosas como troyanos, virus y publicidad abusiva.
¿Qué diferencia a Koodous de los antivirus tradicionales?
Básicamente dos cosas: por un lado el repositorio de muestras, que a día de hoy cuenta con más de 28 millones de APK. Y por otro, una comunidad creciente y activa de analistas que ayudan con sus reglas a detectar nuevas familias de malware y aplicaciones potencialmente no deseadas.
La nueva aplicación se ha reescrito casi desde cero para reducir aún más el impacto en el rendimiento, incluso en dispositivos antiguos.
Principales novedades:
Nueva interfaz.- Los cambios en la interfaz permiten tener una visual más inmediata de la seguridad de nuestros dispositivos. Además se simplifica el funcionamiento: automáticamente Koodous Mobile comprobará contra su base de datos las nuevas instalaciones y actualizaciones instaladas en el dispositivo, de forma transparente al usuario. En caso de detectar alguna aplicación maliciosa se notificará al usuario y se proporcionará un acceso directo a la solución. También se ha cuidado su estética, haciéndola visualmente más atractiva en móviles y tablets.
Instalador.- Se introduce como novedad un "instalador" que comprueba la aplicación antes de que se instale en el sistema. De esta manera es posible parar el malware antes de que pueda afectar a nuestro dispositivo.Koodous previene instalar una aplicación potencialmente maliciosa
Información extendida.- Una nueva vista muestra información detallada sobre las aplicaciones instaladas en el dispositivo. De este modo se pueden revisar los permisos o realizar un análisis más exhaustivo de la aplicación a través la plataforma web.Si aún no lo has probado os animamos a instalar esta nueva versión y proteger vuestros dispositivos con Koodous.
Más información:
Fuente: Hispasec

RANSOMWARE. Encontrado el primero con 'Process Doppelgänging' para evadir su detección

Los investigadores de seguridad han descubierto el primer ransomware que explota 'Process Doppelgänging'.
Para quien no lo sepa, 'Process Doppelgänging' es una técnica de inyección de código sin archivos que podría ayudar a evitar la detección de malware.
El ataque funciona mediante transacciones NTFS. Con ellas, inicia un proceso malicioso y reemplaza la memoria de un proceso legítimo. Engañando así a las herramientas de monitorización y al antivirus haciendoles creer que el proceso legítimo se sigue ejecutando.
Los investigadores de seguridad de Kaspersky Lab han encontrado el primer ransomware que emplea esta técnica para evadir sus acciones maliciosas y apuntar a los usuarios de Estados Unidos, Kuwait, Alemania e Irán principalmente. Se trata de una variante de SynAck.
Un dato interesante que descubrieron es que este malware no infecta a usuarios de países específicos como Rusia, Bielorrusia, Ucrania, Georgia, Tayikistán, Kazajistán y Uzbekistán.
Para identificar el país de un usuario específico, este ransomware compara los diseños de teclado instalados en el ordenador de la víctima con una lista almacenada en el malware. Si encuentra una coincidencia, el ransomware duerme 30 segundos y llama a ExitProcess para evitar el cifrado de los archivos.
En caso de que si se ejecute, al igual que cualquier otro ransomware, SynAck encripta el contenido de cada archivo con el algoritmo AES-256-ECB y proporciona a las víctimas una clave de descifrado hasta que se pongan en contacto con los atacantes y cumplan sus demandas.
Además, también es capaz de mostrar una nota en la pantalla de inicio de sesión de Windows modificando las claves LegalNoticeCaption y LegalNoticeText en el registro.
A pesar de que los investigadores no han determinado cómo llega este malware a sus dispositivos, la mayoría de ransomware se propaga a través de correos electrónicos de phishing, anuncios maliciosos en sitios web y aplicaciones de terceros.
Se recomienda a todos los usuarios tener una copia de seguridad almcenada en un dispositivo externo que no esté siempre conectado a su PC.
Más información:
Fuente: Hispasec

TP-Link EAP Controller. Elevación de privilegios y otras vulnerabilidades

Se han hecho públicos varios fallos de seguridad que afectan a EAP Controller y que podrían permitir elevar privilegios, descargar, modificar y restaurar una copia de seguridad, y realizar ataques Cross-Site Request Forgery (CSRF) y Cross Site Scripting (XSS).
EAP Controller es un software de gestión para dispositivos TP-Link EAP que permite la administración y supervisión de forma centralizada utilizando un navegador web. En las nuevas versiones, TP-Link ha cambiado el nombre de este software a Omada Controller.
Las vulnerabilidades, descubiertas por Julián Muñoz de Core Security Exploits QA, son las siguientes:
* CVE-2018-10168: la falta de control de privilegios en el uso de la API web permitiría a un usuario limitado realizar cualquier solicitud como administrador.
* CVE-2018-10167: la clave utilizada para encriptar el fichero de respaldo de la aplicación web se encuentra incrustada en el software, lo cual podría comprometer su confidencialidad e integridad.
* CVE-2018-10166: falta de protección ante falsificación de solicitudes entre sitios. Al no haber tokens 'anti-CSRF' en los formularios de la interfaz web, un atacante podría enviar solicitudes autenticadas engañando o convenciendo a un usuario con sesión activa para que visite una página web especialmente manipulada desde la que se realizará la petición HTTP no autorizada y sin conocimiento del usuario legítimo.
* CVE-2018-10165: el parámetro 'userName' en '/hotspot/localUser/saveUser' es vulnerable a un XSS persistente.
* CVE-2018-10164: la implementación de 'portalPictureUpload' es vulnerable a un XSS persistente.
Recursos afectados
Las versiones TP-Link EAP Controller V2.5.4s y TP-Link Omada Controller V2.6.0 son vulnerables.
Recomendación
TP-Link ha liberado una nueva versión de Omada Controller V2.6.1 (Omada Controller es el nuevo nombre para las últimas versiones) que corrige los anteriores fallos de seguridad.
Más información:
·         TP-Link EAP Controller Multiple Vulnerabilities: https://www.coresecurity.com/advisories/tp-link-eap-controller-multiple-vulnerabilities
·         Download for EAP Controller: https://www.tp-link.com/en/download/EAP-Controller.html#Controller_Software
Fuente: Hispasec

WATCHGUARD. Múltiples vulnerabilidades en puntos de acceso

Descubiertas varias vulnerabilidades en los puntos de acceso inalámbricos de WatchGuard que podrían desembocar en la ejecución remota de código.
Los puntos de acceso inalámbricos de WatchGuard, utilizados en empresas, comercios y aulas de clases, entre otros, para permitir la conexión de dispositivos móviles a la red inalámbrica, tanto en el interior como en el exterior, sin poner en riesgo los activos de la red, implementan un sistema de seguridad UTM (del inglés 'Unified Threat Management' o 'Gestión Unificada de Amenazas') que incluye control de aplicaciones, prevención de intrusiones, filtrado de URL y contenido web, bloqueo de virus y correo no deseado, entre otras características, desde el firewall WatchGuard hasta la WLAN.
Detalle de vulnerabilidades
* CVE-2018-10575: existen credenciales incrustados en el fichero '/etc/passwd' (no se especifica el hash ni la contraseña a petición del fabricante). Un atacante que conozca esta contraseña podría acceder al dispositivo a través de SSH y realizar solicitudes de red a través del dispositivo (aunque no permitiría ejecutar comandos ya que la shell está configurado en '/bin/false').
* CVE-2018-10576: existe un método oculto de autenticación en la interfaz web a través de las cabeceras HTTP 'AUTH_USER' y 'AUTH_PASS' que podría permitir eludir restricciones de seguridad utilizando las credenciales obtenidas con la vulnerabilidad anterior y obtener acceso como administrador.
* CVE-2018-10577: existe una funcionalidad oculta 'wgupload' a través de la interfaz web que podría permitir la subida de archivos de forma remota a la raíz y ejecutar código. Para ello es necesario únicamente un número de serie (que es mostrado al usuario cuando inicia sesión en el dispositivo a través de la interfaz web estándar y que se puede recuperar mediante programación) y una sesión válida.
* CVE-2018-10578: un error en la implementación de la validación de la contraseña anterior en la funcionalidad de cambio de contraseña podría permitir establecer nuevos credenciales. Dicha validación se realiza a través de AJAX, por lo que un atacante podría simplemente modificar el código JavaScript para evitar esta comprobación o realizar la solicitud POST de forma manual para establecer una nueva contraseña de acceso al dispositivo.
Los puntos de acceso WatchGuard AP100, AP102 y AP200 con firmware anterior a la versión v1.2.9.15 se encuentran afectados por todas las vulnerabilidades anteriores. Lo modelos WatchGuard AP300 con firmware anterior a la v2.0.0.10 se encuentran afectados por los tres últimos problemas de seguridad.
Todos estos fallos fueron descubiertos por ZX Security y reportados al fabricante a principios de Abril de este mismo año y desde mediados de dicho mes existen actualizaciones de firmware que solventan todos los problemas analizados. Las vulnerabilidades no se han hecho públicas hasta el momento para conceder una ventana temporal para que los usuarios puedan actualizar los dispositivos afectados.
ZX Security lanzará un módulo para la suit Metasploit que automatizará la explotación de las anteriores vulnerabilidades, y revelará la información omitida, una vez se cumplan 30 días desde la publicación de los parches de seguridad.
Más información:
·         AP100/AP102/AP200 Chained Vulnerabilities: https://watchguardsupport.secure.force.com/publicKB?type=KBSecurityIssues&SFDCID=kA62A0000000LIy
·         New Firmware Available for AP100/AP102/AP200/AP300 with Security Vulnerability Fixes: https://www.watchguard.com/wgrd-blog/new-firmware-available-ap100ap102ap200ap300-security-vulnerability-fixes
·         WatchGuard Software Download: https://watchguardsupport.secure.force.com/software/
Fuente: Hispasec