SIEMENS SIMATIC S7-300. Descubierta grave vulnerabilidad

Johannes Klick, Christian Pfahl, Martin Gebert y Lucas Jacob pertenecientes a la Universidad Freie de Berlín, han reportado una vulnerabilidad que afecta a productos de la familia SIMATIC S7-300. Este problema permitiría a un atacante remoto provocar una denegación de servicio.

 Los productos de la familia SIMATIC S7-300 se han diseñado específicamente para aplicaciones de control en entornos industriales, admitiendo configuraciones modulares y ahorrando en costes de mantenimiento. Además integra funciones de seguridad y control de movimiento.

Detalle e Impacto de la vulnerabilidad

• La vulnerabilidad con CVE-2015-2177, por la que un atacante remoto podría valerse del envío de paquetes especialmente manipulados a el puerto TCP 102 o a través de Profibus (PROcess FIeld BUS, estándar de comunicaciones para buses de campo), con la intención final de provocar una denegación de servicio.

Recursos afectados

• Se ven afectadas las versiones de la familia SIMATIC S7-300 CPU.

Recomendación

 Se recomienda actualizar a versiones superiores.

 El fabricante recomienda seguir las siguientes acciones de seguridad:

• Aplicar protección Escritura/lectura
• Aplicar el concepto de protección de celda (https://www.siemens.com/cert/operational-guidelines-industrial-security).
• Usar VPN para proteger las comunicaciones entre celdas.
• Aplicar defensa en "profundidad" (http://www.industry.siemens.com/topics/global/en/industrialsecurity/concept/Pages/defense-in-depth.aspx)

Más información:

• SIMATIC S7-300 .  Sistemas de miniautómatas para las gamas baja y media. https://www.swe.siemens.com/spain/web/es/industry/automatizacion/simatic/controladores/pages/s7300.aspx
• SSA-987029: Denial-of-Service Vulnerability in S7-300. http://www.siemens.com/innovation/pool/de/forschungsfelder/siemens_security_advisory_ssa-987029.pdf

Fuente: Hispasec

IBM TIVOLI STORAGE MANAGER. Obtención de clave de cifrado

IBM ha publicado una actualización para evitar una vulnerabilidad en IBM Tivoli Storage Manager (TSM) que podría permitir a un usuario local obtener la clave de cifrado.

 Tivoli Storage Manager, es un producto de IBM para la gestión de almacenamiento que automatiza las funciones de restauración y copia de seguridad, y permite centralizar las operaciones de gestión de backups.

Detalle e Impacto de la vulnerabilidad

• La vulnerabilidad, con CVE-2014-4818, podría permitir a un atacante local acceder al cliente Trusted Communications Agent (TCA) para obtener la clave de cifrado empleada para las copias de seguridad y restauración.

Recursos afectados

• Se ven afectadas las versiones 7.1.0.0 a 7.1.1.x , 6.4.0.0 a 6.4.2.x , todas las versiones 6.3, 6.2, 6.1, 5.5 y 5.4.

Recomendación

• IBM ha publicado versiones actualizadas de los clientes, por lo que se recomienda actualizar según el aviso oficial publicado en  http://www-01.ibm.com/support/docview.wss?uid=swg21697022

Más información:

• Security Bulletin: Tivoli Storage Manager client encryption key password vulnerability (CVE-2014-4818) http://www-01.ibm.com/support/docview.wss?uid=swg21697022

Fuente: Hispasec

FORTICLIENT . Descubiertas FortiClient vulnerabilidades en las versiones para Android e iOS

Se han publicado tres vulnerabilidades que afectan a FortiClient en sus versiones para Android e iOS y que podrían permitir suplantar los servidores y revelar información sensible.

 Fortinet FortiClient es una aplicación que permite crear una conexión segura de red privada virtual utilizando conexiones de modo túnel SSL VPN o IPSec entre el dispositivo móvil -Android o iOS- y el servidor FortiGate.

Detalle de los boletines de seguridad publicados

•  El boletín FG-IR-15-004 corrige tres errores de seguridad que afectan a Fortinet FortiClient en sus versiones 5.2.3.091 para Android y 5.2.028 iOS. Estas vulnerabilidades se exponen a continuación:
•  CVE-2015-1453: el uso de la clave de cifrado 'FoRtInEt!AnDrOiD' incrustada en el código de la clase 'qm' podría permitir obtener contraseñas y otros datos sensibles (como el certificado cliente pkcs12, la contraseña del certificado cliente, la clave precompartida o contraseña IPSec, o la contraseña SSL) gracias a su uso para descifrar los datos de las preferencias compartidas. Para aprovechar esta vulnerabilidad es necesario tener acceso físico al dispositivo móvil.
• CVE-2015-1569 y CVE-2015-1570: error en la implementación del protocolo 'Endpoint Control' al no validar adecuadamente los certificados, esto facilita la suplantación de los servidores a través de un ataque de hombre en el medio.

Recomendación

•  Los errores se encuentran solucionados en las versiones 5.2.6 para Android y 5.2.1 para iOS aunque, por el momento, tanto en Google Play como en Apple Store no se encuentran disponibles.

Más información

• FortiClient Android and iOS multiple vulnerabilities http://www.fortiguard.com/advisory/FG-IR-15-004/
• FortiClient Download http://www.forticlient.com
• FortiClient in Google Play https://play.google.com/store/apps/details?id=com.fortinet.forticlient
• FortiClient in Apple Store https://itunes.apple.com/md/app/forticlient/id525600370?mt=8

Fuente: Hispasec

FREAK. Nuevo ataque SSL/TLS

 El fallo permitiría a un atacante en situación de interceptar las comunicaciones entre cliente y servidor renegociar la conexión segura y hacer que ambos usen uno de los cifrados de la categoría EXPORT, capturar dicho tráfico y descifrarlo con una capacidad computacional al alcance de cualquiera.

Este nuevo ataque consiste en una vulnerabilidad descubierta por un colectivo de investigadores bajo el nombre de SmackTLS.

El ataque ha sido denominado por sus autores como FREAK (Factoring RSA Export Keys), tiene su propio dominio y web con capacidad para hacer pruebas. Tan solo le ha faltado un requisito (un icono representativo) para cumplir con todos los requisitos de esta tendencia mediática.

Como informan en la comentada web, tanto cliente como servidor han de soportar el conjunto de cifrados EXPORT. Concretamente servidor y cliente han de aceptar y ofrecer respectivamente un conjunto RSA_EXPORT o usar el cliente una versión vulnerable de la librería OpenSSL; algo que, entre otros productos, usan Android e iOS.

¿Qué hacemos?

Como se ha comentado, todo aquello que use una versión de OpenSSL anterior a las siguientes versiones es virtualmente vulnerable: 0.9.8zd, 1.0.0p, 1.0.1k. Especial mención a los servidores, como medida preventiva se ha de asegurar que no se esté ofreciendo soporte a cifrados EXPORT.

Desde la línea de comandos:

• openssl s_client –connect servidor:puerto –cipher EXPORT

Un servidor vulnerable devolverá la salida del tipo (resumida):

• New, TLSv1/SSLv3, Cipher is EXP-RC4-MD5
• Cipher   : EXP-RC4-MD5

Ese "EXP" es, por supuesto, una suite de cifrado que pertenece a EXPORT y es de un servidor vulnerable.

Otro ataque más a OpenSSL y una nueva técnica que pone en riesgo la privacidad de las comunicaciones.

Más información:

• SmackTLS  https://www.smacktls.com/
• FREAK  https://freakattack.com/
• OpenSSL Security Advisory [08 Jan 2015]. DTLS segmentation fault in dtls1_get_record (CVE-2014-3571).  https://www.openssl.org/news/secadv_20150108.txt

Fuente: Hispasec

WIRESHARK. Actualizaciones de seguridad

Wireshark Foundation ha publicado varios boletines de seguridad que solucionan un total de tres vulnerabilidades en la rama 1.10 y hasta seis en la 1.12.

 Wireshark es una popular aplicación de auditoría orientada al análisis de tráfico en redes, que soporta una gran cantidad de protocolos y es de fácil manejo. Además Wireshark se encuentra bajo licencia GPL y disponible para la mayoría de sistemas operativos Unix y compatibles, así como Microsoft Windows.

Detalle e Impacto de la vulnerabilidades corregidas

 Los errores de seguridad corregidos en los boletines podrían llegar a provocar una denegación de servicio mediante la inyección en la red de paquetes maliciosos o bien engañando al usuario para que cargue ficheros de captura de tráfico de red manipulados.

 Las vulnerabilidades son las siguientes:

• Errores no especificados en los disectores 'ATN-CPDLC' (CVE-2015-2187) y 'LLDP' (CVE-2015-2190) que podrían causar el cierre de la aplicación.
• Un error en el disector 'WCP' al descomprimir datos causaría que la aplicación dejase de responder (CVE-2015-2188).
• Un error al procesar ficheros 'pcapng' provocaría el bloqueo de la aplicación (CVE-2015-2189).
• Errores en los disectores 'TNEF' y 'SCSI OSD' (CVE-2015-2191 y CVE-2015-2192, respectivamente) que podrían causar la entrada en un bucle infinito. Ambos han sido descubiertos por Vlad Tsyrklevich.

Recomendación

·         Las vulnerabilidades se han solucionado en las versiones 1.10.13 y 1.12.4 ya disponibles para su descarga desde la página oficial del proyecto.

Más información:

• Una al día (04/03/2015)  http://unaaldia.hispasec.com/2015/03/actualizaciones-de-seguridad-para.html

Fuente: Hispasec

GOOGLE. Publica Chrome 41 que corrige 51 vulnerabilidades

Google anuncia una nueva versión de su navegador Google Chrome 41. Se publica la versión 41.0.2272.76 para las plataformas Windows, Mac y Linux, que junto con nuevas funcionalidades y mejoras, además viene a corregir 51 nuevas vulnerabilidades.

 Según la política de la compañía las vulnerabilidades anunciadas han supuesto un total de 52.000 dólares en recompensas a los descubridores de los problemas.

Detalle de la actualización

•  Según el aviso de Google entre las mejoras se incluyen nuevas APIs de extensiones y de aplicaciones así como numerosos cambios en la estabilidad y rendimiento.
•  La actualización incluye la corrección de 51 nuevas vulnerabilidades. Como es habitual, Google solo proporciona información sobre los problemas solucionados reportados por investigadores externos o las consideradas de particular interés. En esta ocasión, aunque se han solucionado 51 vulnerabilidades, solo se facilita información de 19 de ellas (13 de gravedad alta y las 6 restantes de importancia media).
•  Las vulnerabilidades descritas están relacionadas con lecturas fuera de límites en media, filtros skia, vpxdecoder y pdfium. También se solucionan vulnerabilidades por uso después de liberar memoria en bindings v8, dom, decodificador gif, bases de datos web y service workers. Una vulnerabilidad de desbordamiento de entero en webgl, un problema de validación en debugger y por inyección de cookies a través de proxies. Por último otras vulnerabilidades están relacionadas con valores sin inicializar (en blink y rendering) y confusión de tipos en v8. Los CVE asignados van del CVE-2015-1212 al CVE-2015-1229.
•  También del trabajo de seguridad interno, varias correcciones procedentes de auditoría interna, pruebas automáticas y otras iniciativas (CVE-2015-1231). Así como múltiples vulnerabilidades en V8 en la rama de 4.1 (actualmente 4.1.0.21).

Recomendación

•  Esta actualización está disponible a través de Chrome Update automáticamente en los equipos así configurados o a través de "Información sobre Google Chrome" (chrome://chrome/).

Más información:

• Stable Channel Update http://googlechromereleases.blogspot.com.es/2015/03/stable-channel-update.html

Fuente: Hispasec

LINUX. Actualización del kernel para Red Hat Enterprise Linux 6.5

Red Hat ha publicado una actualización considerada importante del kernel de Red Hat Enterprise Linux Server 6.5 AUS y EUS, que solventa siete nuevas vulnerabilidades que podrían ser aprovechadas por un atacante para provocar condiciones de denegación de servicio.

Detalle de la actualización

• Vulnerabilidades de denegación de servicio en el susbistema KVM (CVE-2014-3611, CVE-2014-3645, CVE-2014-3646) y por un fallo en la forma en que la implementación SCTP del kernel realiza Address Configuration Change Chunks (ASCONF) (CVE-2014-7841).
• Una denegación de servicio por un error en la forma en que la función ipc_rcu_putref() en la implementación IPC del kernel (CVE-2013-4483). Una escalada de privilegios por una corrupción de memoria en el controlador USB ConnectTech WhiteHEAT (CVE-2014-3185). Por último un fallo en el subsistema netfilter podría permitir a un atacante remoto evitar las restricciones de las reglas iptables (CVE-2014-8160).
• Además se han solucionado otros fallos de menor importancia.

Recomendación

• Ésta actualización está disponible desde Red Hat Network.
• Red Hat Network ( Información para la instalación de la actualización) desde: https://access.redhat.com/articles/11258

Más información:

• Important: kernel security and bug fix update  https://rhn.redhat.com/errata/RHSA-2015-0284.html

Fuente: Hispasec

APPLE. Actualización de productos incluye iOS y OS X

Como ya es habitual en la firma de la manzana, Apple acaba de publicar de forma simultánea actualizaciones para múltiples productos. Incluyendo iOS 8.2 para sus dispositivos móviles (iPhone, iPad, iPod… ) y Security Update 2015-002 (para sistemas OS X), Xcode 6.2 y Apple TV 7.1.

Detalle de la actualización

1. iOS 8.2 presenta una actualización del sistema operativo de Apple para sus productos móviles (iPad, iPhone, iPod…) que además de incluir un buen número de novedades (como compatibilidad con Apple Watch) y mejoras en estabilidad y solución de problemas además soluciona seis nuevas vulnerabilidades. Los problemas corregidos están relacionados con CoreTelephony, iCloud Keychain, IOSurface, MobileStorageMounter, Secure Transport (la vulnerabilidad FREAK) y Springboard. Los CVE Asociados son: CVE-2015-1063, CVE-2015-1065, CVE-2015-1061, CVE-2015-1062, CVE-2015-1067 y CVE-2015-1064.
2. Por otra parte, también ha publicado el Security Update 2015-002 para OS X Mountain Lion v10.8.5, OS X Mavericks v10.9.5 y OS X Yosemite v10.10.2, destinado a corregir cinco nuevas vulnerabilidades. Afectan a iCloud Keychain, IOAcceleratorFamily, IOSurface, Kernel y Secure Transport (igualmente la famosa vulnerabilidad FREAK). Los CVE Asociados son: CVE-2015-1065, CVE-2015-1066, CVE-2015-1061, CVE-2014-4496 y CVE-2015-1067
3. También se actualiza Xcode (a la versión 6.2), el entorno de desarrollo de Apple que se incluye con Mac OS X. Como novedades incluye SDKs para OS X 10.10 Yosemite e iOS 8.2 y soporte para iOS 8.2 y WatchKit para crear aplicaciones para Apple Watch. Además se solucionan cinco vulnerabilidades en Subversion y Git. Los CVE asociados son CVE-2014-3522, CVE-2014-3528, CVE-2014-3580, CVE-2014-8108 y CVE-2014-9390.
4. Por último, Apple también ha publicado Apple TV 7.1 que soluciona tres nuevas vulnerabilidades en la televisión de Apple. Los CVE asociados son CVE-2015-1067, CVE-2015-1061 y CVE-2015-1062. 

Más información:

• Apple security updates  https://support.apple.com/en-us/HT1222
• Security Update 2015-002  https://support.apple.com/kb/HT204413
• FREAK, un nuevo ataque a SSL/TLS  http://unaaldia.hispasec.com/2015/03/freak-un-nuevo-ataque-ssltls.html
• About the security content of Xcode 6.2  https://support.apple.com/en-us/HT204427
• About the security content of Apple TV 7.1  https://support.apple.com/en-us/HT204426

Fuente: Hispasec

MICROSOFT . Boletines de seguridad de marzo de 2015

 Consta de 14 boletines de seguridad, clasificados como 5 críticos y 9 importantes, referentes a múltiples CVEs en Microsoft Windows, Microsoft Office y Virtual Machine Manager.

Recursos afectados

• Internet Explorer  versiones (6, 7, 8, 9, 10, 11)
• Windows Server versiones (2003, 2008 y 2008 R2)
• Windows versiones  ( 7, 8, 8.1 y Vista )
• Windows RT and Windows RT 8.1
• Microsoft Office versiones (2007, 2010 y 2013)

Detalle de los bletines de seguridad

1. MS15-018: (Crítico) El parche para Internet Explorer resuelve varias vulnerabilidades. La más grave de estas vulnerabilidades podría permitir la ejecución remota de código si un usuario visualiza una página web especialmente diseñada para tal fin.
2. MS15-019: (Crítico) La vulnerabilidad en VBScript Scripting Engine podría permitir la ejecución remota de código si un usuario visualiza una página web especialmente diseñada para tal fin.
3. MS15-020: (Crítico) El parche para Microsoft Windows resuelve varias vulnerabilidades. La más grave de estas vulnerabilidades podría permitir la ejecución remota de código si un atacante convence a un usuario para que visualice una página web especialmente diseñada para tal fin.
4. MS15-021: (Crítico) El parche para Microsoft Windows resuelve varias vulnerabilidades. La más grave de estas vulnerabilidades podría permitir la ejecución remota de código si un usuario visualiza una página web especialmente diseñada para tal fin.
5. MS15-022: (Crítico) El parche para Microsoft Office resuelve varias vulnerabilidades. La más grave de estas vulnerabilidades podría permitir la ejecución remota de código si un usuario visualiza un documento de Microsoft Office especialmente diseñada para tal fin.
6. MS15-023: (Importante) El parche para Microsoft Windows resuelve varias vulnerabilidades. La más grave de estas vulnerabilidades podría permitir la elevación de privilegios si un atacante se autentica en el sistema y ejecuta una aplicación especialmente diseñada para tal fin.
7. MS15-024: (Importante) La vulnerabilidad en Microsoft Windows podría permitir la divulgación de información si un atacante convence a un usuario para que visite una página web que contenga un fichero PNG especialmente manipulado.
8. MS15-025: (Importante) El parche para Microsoft Windows resuelve varias vulnerabilidades. La más grave de estas vulnerabilidades podría permitir la elevación de privilegios si un atacante se autentica en el sistema y ejecuta una aplicación especialmente diseñada para tal fin.
9. MS15-026: (Importante) El parche para Microsoft Exchange Server resuelve varias vulnerabilidades. La más grave de estas vulnerabilidades podría permitir la elevación de privilegios si un usuario pulsa en una URL especialmente diseñada para tal fin.
10. MS15-027: (Importante) La vulnerabilidad en Microsoft Windows podría permitir la suplantación de identidad si un atacante autenticado en el dominio ejecuta una aplicación que permita establecer una conexión con otros dominios.
11. MS15-028: (Importante) La vulnerabilidad en Microsoft Windows podría permitir que un usuario ejecutase ficheros sobre los que no tiene permisios de ejecución.
12. MS15-029: (Importante) La vulnerabilidad en Microsoft Windows podría permitir la divulgación de información si un usuario accede a una página web que contenga una imagen JPEG XR (.JXR) especialmente diseñada para tal fin.
13. MS15-030: (Importante) La vulnerabilidad en Microsoft Windows podría permitir una denegación de servicio si un atacante crea múltiples sesiones RDP.
14. MS15-031: (Importante) La vulnerabilidad en Microsoft Windows podría permitir a un atacante que realice un Man-in-the-middle reducir la seguridad del cifrado en una comunicación SSL/TLS de modo que pueda acceder a información sensible.

Recomendación

• Instalar la actualización. En el resumen de los boletines de seguridad de Microsoft, se informa de los distintos métodos de actualización dentro de cada boletín en el apartado "Información sobre la actualización".

Más información

• Microsoft Security Bulletin Summary for March 2015 https://technet.microsoft.com/en-us/library/security/ms15-mar.aspx

Fuente: INCIBE

SCADA. Vulnerabilidades en el servidor Engine BACnet OPC

Un investigador independiente ha descubierto varias vulnerabilidades en el servidor SCADA Engine BACnet OPC, catalalogadas de Importancia: 5 - Crítica

Recursos afectados

• SCADA Engine BACnet OPC Server version 2.1.359.22 y anteriores.

Detalle e impacto de las vulneraabilidades

• Desbordamiento de búfer de memoria dinámica (heap). Mediante el envío de un paquete manipulado es posible provocar una corrupción de memoria dinámica y conseguir la caída de la aplicación o la ejecución de código de forma arbitraria.
• Validación de entrada. Existe una vulnerabilidad relacionada con el formato de cadena (format string) que puede causar la caída de la aplicación BACnOPCServer.exe con posibilidad de ejecución de código.
• Autenticación. Una vulnerabilidad de autenticación permite a un atacante leer, insertar, o borrar cualquier elemento de la base de datos.
• Todas la vulnerabilidades son explotables de forma remota.

Recomendación

• SCADA Engine ha publicado una actualización de la aplicación para resolver las vulnerabilidades. Esta actualización está disponible en el siguiente enlace: http://www.scadaengine.com/downloads/BACnetOPCServer_2.1.371.24.exe

Más información

• ISC-CERT: SCADA Engine BACnet OPC Server Vulnerabilities https://ics-cert.us-cert.gov/advisories/ICSA-15-069-03

Fuente: INCIBE

ELIPSE E3. Vulnerabilidad en el control de procesos

Iván Sánchez, de Nullcode Team ha reportado una vulnerabilidad en el control de procesos en la aplicación Elipse E3, que podría permitir ejecución arbitraria de código, catalogada de Importancia: 3 - Media

Recursos afectados

1. Elipse E3, Versión 4.5.232-4.6.161
2. EQATEC.Analytics.Monitor.Win32_vc100.dll (32-bit)
3. EQATEC.Analytics.Monitor.Win32_vc100-x64.dll (64-bit)

Detalle e impacto de las vulnerabilidad

• Una DLL vulnerable de la empresa Telerik, utilizada con OpenSSL permite la llamada a otras librerías DLL no relacionadas con la criptografía en tiempo de ejecución. Estas DLL adicionales a las que se llama podrían permitir la ejecución de código de forma arbitraria.
• Esta vulnerabilidad no se puede explotar de forma remota y debe contar con la interacción del usuario, pues se necesita que el usuario local ejecute una aplicación vulnerable y cargue un archivo malformado.

Recomendación

• Elipse ha lanzado una nueva versión que mitiga esta vulnerabilidad, la versión 4.6.162, que incorpora una nueva versión de la DLL de Telerik vulnerable, la versión 3.2.129.

Más información

• Elipse E3 Process Control Vulnerability https://ics-cert.us-cert.gov/advisories/ICSA-15-069-04

Fuente: INCIBE

GE HYDRAN M2. Manipulación de conexiones TCP

Los productos Hydran M2 de GE Digital Energy producen números iniciales de secuencia predecibles en conexiones TCP. La vulnerabilidad fue corregida en los productos liberados después de octubre de 2014. Dicha vulnerabilidad se ha ctalogado de Importancia: 3 - Media

Recursos afectados

• Hydran M2, con la opción 17046 Ethernet, liberada anteriormente a Octubre 2014.

Detalle e impacto de las vulnerabilidad

• El producto Hydran M2 de GE Digital Energy, con la opción 17046 Ethernet, genera números de secuencia iniciales predecibles en TCP. Esto puede permitir a un atacante manipular o suplantar conexiones TCP, pudiendo provocar una denegación de servicio o la transmisión de datos imprecisos. Esta vulnerabilidad se puede aprovechar de forma remota.
• Se ha reservado el identificador CVE-2014-5409 para esta vulnerabilidad.

Recomendación

• No existe un método para actualizar los dispositivos Hydran M2 liberados antes de octubre de 2014. GE Digital Energy recomienda que los servicios públicos que utilizan versiones anteriores del dispositivo Hydran M2 implementen medidas de seguridad de red.

Más información

• GE Hydran M2 Predictable TCP Initial Sequence Vulnerability https://ics-cert.us-cert.gov/advisories/ICSA-15-041-02

Fuente: INCIBE

ROWHAMMER. Elevación de privilegios mediante modificación de bits en DRAM

 Project Zero de Google ha publicado una vulnerabilidad hardware que podría permitir llevar a cabo una elevación de privilegios mediante la modificación de bits en memorias DRAM. Vulnerabilidad catalogada de Importancia: 4 - Alta

Recursos afectados

• Los investigadores de Google han confirmado la vulnerabilidad para el sistema de sandboxing NaCl, así como para varios sistemas Linux. El equipo de Project Zero ha publicado la utilidad rowhammer-test para verificar si un equipo es vulnerable o no a este efecto. No obstante, enfatizan que este código puede no detectar todos los sistemas que sean vulnerables.
• Por otra parte, fabricantes como IBM y Cisco están actualmente comprobando si sus productos son vulnerables.

Detalle e Impacto de la vulnerabilidad

• Investigadores del Project Zero de Google han conseguido utilizar el efecto conocido como rowhammer en memorias DRAM para provocar elevación de privilegios en el sistema de sandboxing NaCl y en sistemas Linux. En el caso de NaCl, la elevación de privilegios permite salir fuera de la sandbox, y en el caso de los sistemas Linux, la obtención de privilegos de kernel permite acceso completo a toda la memoria física.
• El efecto rowhammer consiste en realizar múltiples modificaciones consecutivas a zonas de memoria específicas (denominadas zonas "agresoras") de forma que estos cambios induzcan la modificación de bits en zonas de memoria adyacentes. Este fallo es posible debido a la creciente miniaturización de los chips de memoria DRAM.
• En su aviso, además de explicar el funcionamiento de los exploits para los casos mencionados, se indica que esta vulnerabilidad podría utilizarse para evadir mecanismos de seguridad. Por ejemplo, mediante la modificación de bits correspondientes a entradas de la tabla de páginas (PTE).

Recomendación

• Al tratarse de una vulnerabilidad hardware, cualquier posible solución requiere medidas por parte de los fabricantes de los equipos afectados.
• Alternativamente, según reporta Google, han observado que determinadas actualizaciones de la BIOS aumentaban la frecuencia de refresco de la memoria DRAM, complicando la explotación de la vulnerabilidad. Por lo tanto, es recomendable actualizar a la última versión disponible de la BIOS.

Más información

• Row Hammer Privilege Escalation Vulnerability http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20150309-rowhammer
• Exploiting the DRAM rowhammer bug to gain kernel privileges http://googleprojectzero.blogspot.com.es/2015/03/exploiting-dram-rowhammer-bug-to-gain.html
• Exploiting the DRAM “Row Hammer” Bug https://www-304.ibm.com/connections/blogs/PSIRT/entry/exploiting_the_dram_row_hammer_bug?lang=es_es

Fuente: INCIBE

VULNERABILIDAD. Buffer overflow en Pelco DS-NVs Video management

Se ha descubierto una vulnerabilidad que permitiría comprometer el sistema en el que esté instalado, catalogada de Importancia:4 - Alta

Pelco DS-NVs es un software de Schneider Electric para gestionar cámaras de videovigilancia.

Recursos afectados

• Pelco DS-NVs 7.6.32 y anteriores

Detalle e Impacto de la vulnerabilidad

• Una de las DLL del software es explotable a través de un buffer overflow, lo que permitiría a un atacante ejecutar código malintencionado de forma remota.

Recomendación

• Descargar el parche en la siguiente URL: https://buildingsdownloads.schneider-electric.com/search%23range/61230

Más información

• Pelco DS-NVs Video Management Software Vulnerability http://download.schneider-electric.com/files?p_Reference=SEVD-2015-065-01&p_EnDocType=Brochure&p_File_Id=755516404&p_File_Name=SEVD-2015-065-01+Pelco+DS-NVs+Video+Mgmt+SW.pdf

Fuente: INCIBE

MICROSOFT . Vulnerabilidad en todos los productos Windows

Microsoft ha informado acerca de una vulnerabilidad, conocida como FREAK, que afecta a todas las versiones de Windows y que permite sortear la seguridad de Secure Channel (Schannel), catalogada de Importancia: 4 - Alta

Recursos afectados

•  Windows Server 2003 versiones (Service Pack 2, x64 Edition Service Pack 2, SP2 Itanium
•  Windows Vista versiones (Service Pack 2, x64 Edition Service Pack 2 x64 Edition Service      Pack 2)
• Windows Server 2008  ( 32-bit Service Pack 2, x64 Service Pack 2, Itanium Service Pack 2)
• Windows 7 versiones (32-bit Service Pack 1, x64 Service Pack 1)
• Windows Server 2008 versiones (R2 x64 Service Pack 1, R2 Itanium Service Pack 1)
• Windows 8 versiones ( 32-bit, x64 )
• Windows 8.1 versiones ( 32-bit, x64 )
• Windows Server 2012 y  Windows Server 2012 R2
• Windows RT y Windows RT 8.1
• Windows Server 2008 32-bit Service Pack 2 (Server Core)
• Windows Server 2008 x64 Service Pack 2 (Server Core)
• Windows Server 2008 R2 x64 Service Pack 1 (Server Core)
• Windows Server 2012 (Server Core)
• Windows Server 2012 R2 (Server Core)

Detalle e Impacto de la vulnerabilidad

• Secure Channel, también conocido como Schannel, es un sistema de seguridad de Microsoft que incorpora un conjunto de protocolos que permiten establecer la autenticación y comunicación segura, utilizando para ello el cifrado.
• Si un atacante explota la vulnerabilidad puede reducir la seguridad del cifrado en una comunicación SSL/TLS de modo que pueda acceder a información sensible.
• El fallo no es exclusivo de los productos Microsoft, sino que se ha determinado que afecta a muchos otros entre los que se incluyen Apple, Android, etc. Es posible consultar la lista completa de software afectado accediendo al siguiente enlace.

Recomendación

• Microsoft ha informado que está trabajando en desarrollar una actualización que solvente el fallo y que estará disponible a través del boletín mensual o en una actualización fuera de ciclo.

Más información

• Microsoft Security Advisory 3046015https://technet.microsoft.com/es-es/library/security/3046015?f=255&mspperror=-2147217396
• Tracking the FREAK Attackhttps://freakattack.com/
• SSL/TLS implementations accept export-grade RSA keys (FREAK attack)http://www.kb.cert.org/vuls/id/243585

Fuente: INCIBE

SIEMENS . Gestión inadecuada de rutas en sus productos

Se ha identificado una vulnerabilidad gestión inadecuada de rutas en las aplicaciones Siemens SIMATIC ProSave, SIMATIC CFC, SIMATIC STEP 7, SIMOTION Scout y STARTER, catalogada de Importancia: 4 - Alta

Recursos afectados

1.   SIMATIC ProSave: todas las versiones anteriores a V13 SP1

2.   SIMOTION Scout: todas las versiones anteriores a V4.4

3.   STARTER: todas las versiones anteriores a V4.4 HF3

4.   SIMATIC CFC

     4.1.   Todas las versiones anteriores a V8.0 SP4

5.   SIMATIC STEP 7 V5.5

     5.1.   Todas las versiones anteriores a to V5.5 SP1

6.   SIMATIC PCS 7 (se incorporan como STEP 7 y CFC)

     6.1.   Todas las versiones anteriores a V8.0 SP2

Recomendación

Siemens ha publicado actualizaciones para cada uno de los productos afectados.

• SIMATIC ProSave https://support.industry.siemens.com/cs/de/en/view/10347815
• SIMOTION SCOUT https://support.industry.siemens.com/cs/de/en/view/107586911
• STARTER https://support.industry.siemens.com/cs/ww/en/view/26233208
• SIMATIC STEP 7 y SIMATIC CFC puede obtenerse via soporte de clientes en: http://www.siemens.com/automation/support-request

Detalle e Impacto de la vulnerabilidad

• La vulnerabilidad permitiría a un atacante ejecutar código de forma arbitraria desde archivos que se encuentren en el sistema local o recursos compartidos de red conectados con los mismos privilegios del usuario que halla ejecutado el servicio afectado.
• Para una explotación exitosa un usuario debe ser engañado para abrir un archivo de aplicación manipulada.
• Se ha reservado la CVE-2015-1594.

Más información

• Siemens SIMATIC ProSave, SIMATIC CFC, SIMATIC STEP 7, SIMOTION Scout, and STARTER Insufficiently Qualified Paths  https://ics-cert.us-cert.gov/advisories/ICSA-15-064-02

Fuente: INCIBE

SIEMENS. Múltiples vulnerabilidades en su producto SPCanywhere

 Se han descubierto varias vulnerabilidades que permitirían a un atacante manipular la aplicación Sismens SPCanywhere o extraer información sensible de la comunicación entre la misma y el sistema de alarmas, catalogadas de Importancia: 3 - Media

Recursos afectados

• SPCanywhere para Android. Todas las versiones
• SPCanywhere para iOS. Todas las versiones

Detalle e Impacto de la vulnerabilidad

Siemens SPCanywhere es una aplicación móvil que permite gestionar remotamente sistemas de alarma desde el teléfono. Se han identificado las siguientes vulnerabilidades relacionadas con la misma.

Falta de cifrado en datos sensibles

• Puede obtenerse la IP de un sistema de alarma debido a que la resolución de ID a IP se hace sin cifrar. (CVE-2015-1595)
• La validación del certificado SSL no se realiza correctamente, lo que permite a un atacante manipular o capturar sesiones protegidas con SSL/TLS. Se ha reservado el identificador CVE-2015-1596.

Eliminación incorrecta de información sensible

• La carga de código sin cifrar permite a un atacante manipular la aplicación y ejecutar código (sólo afecta a Android). Se ha reservado el identificador CVE-2015-1597.

Contraseñas almacenadas en un formato recuperable

• Las contraseñas son almacenadas de tal forma que un atacante con acceso físico al dispositivo puede extraerlas. (CVE-2015-1598)

Sorteo de la autenticación

• Un atacante con acceso físico al dispositivo puede saltarse el control de acceso debido a las características del sistema de ficheros. Se ha reservado el identificador CVE-2015-1598.

Recomendación

• Actualizar el software a la última versión a traves de Google Play o Apple App Store.

Más información

• Advisory (ICSA-15-064-05) Siemens SPCanywhere App Vulnerabilities https://ics-cert.us-cert.gov/advisories/ICSA-15-064-05

Fuente: INCIBE

SIEMENS . Denegación de servicio en SIMATIC HMI Basic, SINUMERIK, y Ruggedcom

Se ha identificado una vulnerabilidad en productos Siemens que puede ser explotada para provocar una denegación de servicio en los mismos, catalogada de Importancia: 3 - Media

Recursos afectados

• SINUMERIK 808D, 828D, 840D sl, todas las versiones hasta la 4.7.
• SIMATIC HMI Basic Panels 2nd Generation.
• Las siguientes versiones de Ruggedcom APE no son vulnerables por defecto, pero pueden llegar a verse afectadas dependiendo de los componentes instalados y la configuración establecida por el usuario.
• Ruggedcom APE: APE1402-XX, APE1402-C01, APE1404-XX, APE1404-C01.

Detalle e Impacto de la vulnerabilidad

• La vulnerabilidad reside en la librería glibc. Un usuario autenticado en la red local puede explotarla para provocar la denegación del servicio de los sistemas afectados.
• Se ha reservado el identificador CVE-2015-0235.

Recomendación

Siemens ha publicado una serie de actualizaciones que solucionan el fallo:

• SINUMERIK Controllers – Contactar con el account manager.
• V2.7: actualizar a V2.7 SP4 Hotfix 3
• V4.5: actualizar a V4.5 SP4 Hotfix 4
• V4.7: actualizar a V4.7 SP1
• Ruggedcom APE: APE1402-XX, APE1402-C01, APE1404-XX, APE1404-C01. Información de actualización  disponible desde:  https://support.industry.siemens.com/cs/#document/109474273?lc=en-WW
• La actualización para SIMATIC HMI Basic Panels 2nd Generation estará disponible en un futuro próximo.

Más información

• Siemens SIMATIC HMI Basic, SINUMERIK, and Ruggedcom APE GHOST Vulnerability https://ics-cert.us-cert.gov/advisories/ICSA-15-064-01

Fuente: INCIBE

FLASH PLAYER PRO. Actualización falsa que instala el malware Fareit

En esta ocasión, estos utilizan el nombre de Flash Player Pro como una actualización del producto de esta compañía, dotado con mejoras de rendimiento y calidad. Sin embargo, se trata de una vía para conseguir que un virus llegue al equipo.

Operativa del ataque

• Los usuarios se encuentran con este archivo malicioso en correos electrónicos spam y páginas web infectadas, ofreciendo al usuario la posibilidad de mejorar su experiencia con este complemento de los navegadores descargando una versión avanzada, permitiendo una mejora del rendimiento, una optimización de los recursos y un cambio en la calidad con la que se visualizan los vídeos. Sin embargo, todas estas promesas son falsas, y el usuario se encontrará con un instalador de una aplicación que realizará en primer lugar el cambio de la configuración de los servidores DNS. Hay que resaltar que el malware solo afecta a los equipos que posean Windows XP, 7 y 8.
• Una vez que el ejecutable ha modificado la configuración de los DNS del sistema el usuario navegará desde ese mismo instante por las páginas propiedad de los ciberdelincuentes, buscando de esta forma la ditribución del virus Fareit.

Flash Player Pro se convierte en un robo masivo de credenciales

• El virus informático que se distribuye está destinado a realizar el robo de las credenciales de acceso del usuario a diferentes servicios, como por ejemplo redes sociales, mensajería, servicios de pago o incluso monederos virtuales, mostrando especial interés en estos últimos.
• Teniendo en cuenta que ha sido catalogada como una campaña agresiva, se estima que la mayor parte de las infecciones se encuentren a día de hoy en los países nórdicos de Europa, aunque según las últimas informaciones la tasa de afectados estaría muy repartida por todos los países, incluidos España.
• La solución pasa por eliminar en primer lugar el virus utilizando por ejemplo Malwarebytes, sin embargo, tras realizar esto aún es necesario restablecer los DNS y para eso es necesario acudir a las preferencias de red del adaptador que utilicemos.

Fuente: The Hacker News

GOOGLE APPS. Fallo permite el envio correos electrónicos maliciosos

Un grupo de piratas informáticos ha descubierto una vulnerabilidad crítica en el cliente/servidor de correo electrónico de Google Apps for Work que está siendo explotada para enviar mensajes de correo electrónico maliciosos a los usuarios. Esta vulnerabilidad permite que los usuarios utilicen cualquier dominio para evitar correos electrónicos, aparentemente verídicos, que en realidad son utilizados para buscar víctimas y llevar a cabo todo tipo de estafas en la red.

Google Apps es un conjunto de herramientas y aplicaciones que ofrece Google especialmente para entornos corporativos, por ejemplo, que permite utilizar los servidores de correo de Gmail para utilizar dominios personalizados o herramientas de almacenamiento en la nube compartido o un calendario utilizado por varios usuarios a la vez con el fin de que un entornos corporativo pueda trabajar de la forma más sencilla y eficaz posible.

Detalle e Impacto de la vulnerabilidad 

• Esta vulnerabilidad permite a los piratas informáticos registrar cualquier dominio, aunque no esté registrado realmente como un dominio, dentro de Google Apps de manera que puedan utilizarlo como si se tratase de un correo electrónico real, controlado por los piratas informáticos. Por lo general Google no permite utilizar las cuentas que se añadan hasta su previa confirmación, sin embargo, una URL permite incluso crear una bandeja de entrada virtual desde donde gestionar la cuenta de correo para poder verificarla desde allí ( https://admin.google.com/EmailLoginInstructions?userEmail= info@bankofanycountry.com )
• De esta manera un atacante puede utilizar prácticamente cualquier dirección de correo, aparentemente real, para robar credenciales a los usuarios o distribuir malware. Google ya ha sido informado de este fallo de seguridad y la compañía ha aplicado un parche a Google Apps para solucionar esto, sin embargo, el parche no ha sido efectivo, por lo que la vulnerabilidad sigue estando presente entre los usuarios y puede seguir siendo explotada hasta que la compañía bloquee el acceso a “EmailLoginInstructions”.
• Los piratas que exploten este fallo de seguridad serán capaces incluso de saltarse los filtros anti-spam de las bandejas de entrada correspondientes ya que tanto el emisor como el receptor pueden ser cuentas de correo oficiales “de confianza” y sus mensajes no se enviarán a la papelera, haciendo que los usuarios puedan caer en la estafa más fácilmente.

Fuente: The Hacker News

CRYPTOWALL. Notificaciones de fax falsas contienen el malware

Los ransomware continúan de moda y una buena prueba son  la última oleada de correos electrónicos. En ella se encuentra un serie de archivos CHM que prometen el acceso a una serie de mensajes enviados utilizando el fax. Sin embargo, el código HTML de estos provoca la descarga de un malware ya conocido, CryptoWall.

Operativa de la estafa

• Al usuario se le intenta engañar invitándole a abrir el archivo, haciéndolo creer que en realidad en su interior puede encontrar varios mensajes fax que le han enviado. Sin embargo, la realidad es muy distinta y en realidad el archivo contiene un código HTML que permite la descarga del malware de forma automática y su posterior ejecución. Según la compañía Bitdefender, nuestro país es uno de los que posee una tasa de infección más alta, superado por Rumania y Estados Unidos.
• Añaden que principalmente se está enviando a grandes y medianas empresas, produciéndose de esta forma la infección de unos pocos que permitirán una posterior expansión haciendo uso de memorias USB o cualquier otro tipo de unidad USB de almacenamiento.

Cryptowall infecta centenares de equipos durante el primer día

• Algunas informaciones hablan de que la campaña se habría iniciado la pasada semana, sin embargo, la cantidad de personas afectadas aumenta cada día, contabilizando centenares de nuevos usuarios cada día que pasa. Aunque auguran que sea una campaña relativamente corta, el funcionamiento de este ya se sabe cuál es: cifrar los archivos del equipo o parte de estos y solicitar al usuario un pago que permita el envío de la clave de descifrado y así recuperar el acceso a estos.
• En lo referido a nuestro país, algunas informaciones apuntan a más de 700 infecciones en poco más de 4 días de actividad, y se espera durante los dos próximos días se puede llegar a las 1.500 o incluso superar dicha cifra.
• La forma de recuperar los archivos no consiste en recurrir al pago, sino a una copia de seguridad que permita restaurar el equipo a un estado anterior y así disponer de nuevo de acceso a la información.
• A los tres países mencionados con anterioridad hay que añadir Dinamarca, Suecia, Alemania, Canadá, Australia y Reino Unido.

Fuente: Softpedia

CRYPTOFORTRESS. Nuevo ransomware imitador de TorrentLocker

El ransomware es el tipo de malware más peligroso de los últimos tiempos. Cada poco tiempo aparecen nuevas variantes de este tipo de malware, cada vez más peligrosas y agresivas, como es el caso del nuevo CryptoFortress.

Detalle y Operativa del malware

• CryptoFortress es una nueva amenaza para los archivos privados de los usuarios que imita en muchos aspectos a TorrentLocker, aunque en realidad se trata de dos malware muy diferentes. Los responsables de este nuevo malware han conseguido robar el HTML y la plantilla CSS de TorrentLocker para brindar a su ransomware de una apariencia muy similar a la de este, aunque a nivel estructural e interno son dos piezas maliciosas totalmente diferentes.
• La primera diferencia entre estas dos amenazas es la forma de distribuirse. El ransomware original se distribuye a través de correo no deseado, mientras que el nuevo CryptoFortress llega a todos los usuarios a través de un kit de exploits que atacan una vulnerabilidad del sistema operativo para instalarse y comenzar a funcionar.
• También hay diferencia en el algoritmo de cifrado que se utiliza, variando desde un algoritmo AES-256 CBC y el uso de la librería LibTomCrypt de TorrentLocker hasta un cifrado AES-256 BCE y el uso de la librería Microsoft CryptoAPI de CryptoFortress. También varía la forma de control del ransomware, contando TorrentLocker con un servidor C&C que permite controlarlo y quedando este nuevo software malicioso sin un servidor de control explícito.
• Ambos ransomware cifran los primeros datos de cada archivo, aunque cada uno cifra una determinada cantidad de los mismos que varía desde los 2 MB iniciales en el caso del malware original hasta el 50% del archivo con un máximo de 5 MB en el caso de esta nueva amenaza. Todas las conexiones de ambos software maliciosos se envían a través de la red Tor para ocultar la identidad de los piratas informáticos y el pago se realiza en Bitcoin, siendo variable la cantidad de BTC que pide TorrentLocker y siempre de 1 BTC en el caso de CryptoFortress.

Recomendación

• Como se puede ver, representa una grave amenaza para nuestros archivos. 
• Debemos protegernos para evitar ser víctimas de este malware utilizando un software de seguridad eficiente y actualizado, así como evitando ejecutar archivos descargados de la red de dudosa procedencia.

Fuente: We Live Security

BANDARCHOR. Distribuyen el malware haciendo uso de correos electrónicos

En esta ocasión se alerta al usuario de una infección inexistente, provocando el envío masivo de mensajes spam desde uno de los equipos pertenecientes a la red doméstica. Para optar a la solución del problema se insta a descargar una utilidad que permite localizar el malware y su posterior eliminación, sin embargo el ejecutable hace referencia a BandarChor.

Operativa del malware

• Si el usuario opta por hacer caso al correo y descargar el ejecutable, al abrirlo se producirá la instalación de este troyano, cuya principal función es realizar el cifrado de los datos que se encuentran almacenados en el disco duro del ordenador afectado. Los archivos que poseen las siguientes extensiones poseen una probabilidad bastante alta de verse afectados: DOC, XLS, JPG, ZIP, CDR, MKV, TXT, RTF, PDF, ODT, M2V, MOV, DWG, CSV, DOCX, PPT, AVI, MDB y TIB. Tal y como se puede comprobar están relacionados con aplicaciones de ofimática o contenidos multimedia.
• Sin embargo, una vez que los archivos han sido cifrados el comportamiento no es el habitual al que este tipo de malware nos tiene acostumbrados.

BandarChor no reclama ningún ingreso en forma de dinero para suministrar la clave

• El troyano modifica el escritorio del equipo mostrando el mensaje de la anterior imagen. En este se explica al usuario cuál es el proceso que debe seguir para disponer de nuevo de acceso a los archivos “secuestrados” por el malware. A diferencia de otros troyanos, el funcionamiento de este dista bastante, ya que para recuperar los archivos en ningún momento se hace mención a algún medio de pago para abonar cierta cantidad de dinero. A pesar de parecer gratuito, no se recomiendo el envío del correo para solicitar la clave de descifrado, ya que la posibilidades de que esta funcione de forma correcta y nos devuelva el acceso al archivo son casi nulas.
• Aunque no es una temática que se utilice con frecuencia, el advertir al usuario de infecciones o problemas en el equipo inexistentes no es la primera vez que se utiliza.
• Además del instalador del troyano, hay que avisar sobre la llegada de software adicional gracias al mismo instalador, sobre todo en forma de software no deseado (FUP) de tipo adware y spyware, provocando que el equipo experimente un funcionamiento anómalo, caracterizado sobre todo por una lentitud a la hora de realizar cualquier tipo de acción.

Fuente: Softpedia

SEAGATE. En mayo corregirá fallo de seguridad de los NAS empresariales

Los problemas de seguridad en los dispositivos NAS pueden provocar problemas importantes para los usuarios, ya que podrían exponer los datos almacenados en él y quedar a merced de los ciberdelincuentes. Hace tiempo se localizó un problema de seguridad en los dispositivos NAS con dos bahías del fabricante Seagate, sin embargo, hasta este momento no habíamos tenido ninguna noticia al respecto.

Los equipos afectados por este problema pertenecen al segmento de dirigido a empresas, por lo tanto, resultaba muy importante disponer de una contestación por parte del fabricante, indicando sobre todo qué decisiones se van a tomar con respecto al fallo de seguridad crítico que afecta a estos. Hace poco se supo que Seagate había puesto a disposición de los usuarios de estos NAS una utilidad que permitía mitigar los efectos de ese fallo, sin embargo, solo se trataba de un parche.

Han sido muchos los que han reclamado una solución mucho más ortodoxa que no permita reproducir el problema utilizando otras vías y que se integre en el sistema operativo utilizado por estos. Después de semanas de silencia desde el fabricante se han pronunciado y han confirmado que desarrollarán una versión del sistema operativo que permita resolver el problema sin la necesidad de recurrir a un software complementario. Sin embargo, tal y como suele suceder todas las noticias buenas tienen algún problema asociado

Seagate no garantiza dicha actualización hasta el mes de mayo

• La compañía ha confirmado que hasta el próximo mes de mayo la actualización no estará disponible, algo que se ve traducido en más tiempo de exposición ante los ciberdelincuentes.
• Hay que recordar que la vulnerabilidad se detectó el mes de octubre del pasado año y que afecta de forma directa al servidor FTP de estos equipos, permitiendo que una tercera persona pueda acceder a cualquier contenido de este, aunque se encuentren configuradas reglas de acceso.

Fuente: Softpedia

PODEC. Troyano SMS que supera los CAPTCHA

En 2014 hubo una gran proliferación  de infecciones malware y uno de los virus informáticos que más llamó la atención de los investigadores fue un troyano SMS conocido como PODEC que permitía saltarse los sistemas de verificación CAPTCHA, utilizados en la actualidad en una gran cantidad de servicios.

A pesar de los esfuerzos de una gran cantidad de equipos de seguridad no se pudo obtener una versión de este que permitiese realizar un análisis exhaustivo. Sin embargo, este año la suerte ha sonreido al equipo de Kaspersky y han conseguido un ejecutable del virus denominado Trojan-SMS.AndroidOS.Podec. Este llamó la atención de los usuarios porque era capaz de esquivar las confirmaciones de los servicios de pago, provocando que el usuario enviase mensajes y archivos que implicaban un valor añadido. Aunque se llegó a rumorear de una versión disponible para el sistema operativo iOS, esta nunca se encontró y la que se ha analizado es la que se encuentra disponible para los usuarios de lo sistemas operativos Android.

Tras realizar un mapa de infecciones, se ha comprobado que la mayor tasa de infección se encuentra sobre todo en países pertenecientes a Europa del Este.

Cómo se extiende este PODEC

Principalmente se ha detectado que los ciberdelincuentes han recurrido a contenidos muy demandados por los usuarios, modificando la apariencia para así provocar que el usuario muestre curiosidad y descargue y ejecute el contenido.

Este es el listado de direcciones que permiten al acceso al archivo malicioso:

• http://vk.com/vzlomannye_igry_dlya_android
• http://vk.com/skachat_minecraft_0_9_0_android
• http://vk.com/minecraft_pe_0_9
• http://vk.com/vzlom_igry_android_mody
• http://vk.com/igry_android_cheats
• http://vk.com/android_mody_apk
• http://vk.com/novye_igry_na_android
• http://vk.com/skachat_hill_climb_racing_bpan
• http://vk.com/na_android_igry

Haciendo uso del ataque Flood HTTP el troyano es capaz de suscribir el número de teléfono del usuario a servicios de tarificación especial sin que este sea consciente de lo que está sucediendo, provocando la sorpresa en la factura a final de mes. Con este tipo de ataque lo que provoca es que se puedan modificar las apariencias de las páginas, evitando de esta forma que por ejemplo aparezca en la pantalla del terminal del usuario el texto que indica el importe que supondrá dicha suscripción.

Aunque podamos pensar que con un antivirus la situación está controlada, la realidad es muy distinta y el malware está capacitado para evitar este tipo de herramientas.

Fuente: Viruslist

OPENSSL. Preparada una auditoría

Los protocolos SSL y TLS son una pieza fundamental en las comunicaciones de Internet y por este motivo un grupo de expertos en seguridad han decidido llevar a cabo una auditoría sobre OpenSSL.

Además de los responsables de NCC Group Cryptography Services, en la auditoría también van a participar los responsables de las consultoras  iSEC Partners, Matasano Security y Intrepidus Group, todas ellas con un peso muy importante en lo referido a investigaciones de problemas de seguridad y su detección.

Según las últimas informaciones la realización de esta habría arrancado y durante los próximos meses realizarán un examen minucioso del código de los protocolos criptográficos, buscando posibles problemas que se puedan solucionar antes de que sean explotados y así encontrar una estabilidad en lo referido a materia de seguridad.

Tras la detección de HeartBleed el mes de abril del pasado año la seguridad de este software ha estado perturbada por problemas de seguridad, algunos tan importantes como el detectado en octubre del mismo año y bautizado como Shellshock. Aunque son errores que afectaron a más aplicaciones e incluso a módulos fundamentales de algunos sistemas operativos, la realidad es que la importancia de SSL y TLS en las comunicaciones hacen que cualquier mínimo errro se vea maximizado.

Reescritura de parte del código de OpenSSL

• Para facilitar la lectura del código parte de este se ha modificado y simplificado, algo que se ha hecho sobre durante las últimas semanas y por petición expresa de los expertos en seguridad de las consultoras. Han detallado que durante la auditoría esperan contemplar una amplia variedad de fallos, creando de esta forma un informe lo más completo posible, cuyos primeros resultados podrán publicarse si todo transcurre según lo previsto durante el mes de julio.
• De entrada, este análisis exhaustivo ha provocado que se realice una limpieza del código fuente de algunos módulos que conforman OpenSSL.

Fuente: Softpedia

Netwrix Auditor for Windows Server. Gana licencia gratis para 2 años

Actualmente Netwrix está realizando un sorteo de una licencia de 2 años de Netwrix Auditor for Windows Server para un entorno de hasta 200 usuarios. El ganador será elegido a través de un generador de números aleatorios y para participar únicamente nos tenemos que inscribir en esta página web.

Netwrix Auditor for Windows Server es un solución completa de auditoría de seguridad en sistemas operativos Windows Server. Esta herramienta es capaz de detectar información detallada sobre los cambios hechos a la configuración, quién realizó ese cambio, cuándo lo hizo y a qué usuarios y grupos de usuarios en el servidor afecta estos cambios. Asimismo también es capaz de monitorizar claves de registro específicas, tareas programadas e incluso servicios del propio sistema operativo Windows.

Además de todas estas funcionalidades, también nos permite ver un completo log donde se mostrará el antes y después de cada cambio ejecutado. En la página web oficial de Netwrix se pueden ver todos los detalles sobre esta herramienta y probarla a modo de trial. Esta solución de seguridad garantiza el cumplimiento continuo de diferentes normativas entre las que se incluyen ISO27001, LOPD, COBIT, PCI DSS, NIST800-53 y otras. Asimismo es capaz de simplificar el análisis de las causas raíz de los problemas, además también es capaz de reparar la configuración incorrecta del sistema.

Por último, esta herramienta permite detectar y prevenir las brechas de seguridad mediante un análisis de los cambios no autorizados o malintencionados en el propio sistema operativo, de tal forma que podremos tener control total de nuestro Windows Server.

• En el siguiente vídeo se puede ver cómo funciona esta herramienta http://www.youtube.com/watch?v=MMYiFU-sRt8

Más información

• Os recomendamos visitar su página web oficial donde encontraréis toda la información sobre Netwrix Auditor for Windows Server. http://www.netwrix.es/

Fuente: Redeszone.net