19 de febrero de 2018

APPLE. Vuelve a sufrir ataques por "Text bombs"

Si el pasado mes Apple se veía afectada por una vulnerabilidad en iOS e iMessage, denominada chaiOS (CVE-2018-4100), esta semana se ha vuelto comprobar que los ataques mediante caracteres Unicode siguen en total vigencia, con una nueva variante, al recibir caracteres en lengua Telugu (India).
El error es debido a una incorrecta gestión de los caracteres Unicode que forman parte del set Telegu, la segunda lengua más utilizada en India.
En concreto, la secuencia en formato Unicode "U+0C1C U+0C4D U+0C1E U+200C U+0C3E", desencadenaría que cualquier usuario que reciba o procese un mensaje o notificación que utilice dicha combinación, pueda comprobar como la aplicación utilizada se bloquea o, simplemente, se cierra.
Un estudio más completo por parte del desarrollador Manish Goregaokar (@Manishearth), ha determinado que existen más combinaciones, incluso de otras lenguas como la Bengalí, que reproducen el fallo, y otros usuarios han publicado scripts con las posibles variantes.
Actualmente, ésta vulnerabilidad de denegación de servicio o "Text bomb" sigue sin poder resolverse de manera oficial, y se verían afectadas todos las versiones de iOS, macOS, watchOS y, por ende, cualquier aplicación instalada. Por ejemplo, diferentes pruebas han demostrado que se pueden provocar fallos en iMessage:
O incluso en el gestor de redes, al utlizar esa combinación en el nombre de una red wifi (el SSID), tal y como pudo comprobar el investigador @info_dox:
https://twitter.com/info_dox/status/964205281700802561
Apple está preparando un conjunto de actualizaciones que serán desplegadas lo antes posible.
Más información:
Fuente: Hispasec

Publicado por en
Etiquetas:

Encuentran una nueva forma de atacar equipos sin usar Macros con Word

Durante muchos años, los piratas informáticos se han estado aprovechando de las Macro de Word, esas pequeñas partes de código que se inyectan en los documentos para automatizar ciertas tareas, para ocultar malware dentro de los documentos que, al abrirlos, infectaran a los usuarios. Cada vez es más complicado infectarnos con un malware a través de las macro de Office, sin embargo, los piratas informáticos no se dan por vencidos, y han encontrado una nueva técnica para atacar ordenadores con documentos de Word sin usar las Macros.
Recientemente, expertos de seguridad han detectado una nueva campaña de SPAM que distribuye una serie de documentos de Word maliciosos con el fin de poder infectar los equipos de los usuarios. Aunque en un principio parecía que los documentos utilizaban las clásicas macros de Word, en realidad al analizarlos se ha podido ver cómo utilizan una técnica totalmente nueva hasta ahora para llevar a cabo los ataques.
Los documentos de Word explotan la vulnerabilidad CVE-2017-11882
Los piratas informáticos se aprovechan en esta ocasión de la vulnerabilidad CVE-2017-11882, un fallo de seguridad en el editor de ecuaciones de Office que permite ejecutar código en el sistema.
De esta manera, los piratas informáticos envían un documento DOCX a través del correo electrónico, documento aparentemente inofensivo pero que, cuando se ejecuta, carga un objeto OLE incrustado que descarga y abre un documento RTF el cual se utiliza para explotar la vulnerabilidad CVE-2017-11882 para ejecutar una serie de comandos que finalmente descargan un script VisualBasic que, al ejecutarlo, infecta nuestro sistema con un malware (desconocido hasta ahora) que roba nuestras contraseñas y las envía a un servidor remoto controlado por los piratas informáticos.
Cómo protegernos de estos nuevos ataques informáticos
Aunque Microsoft no dio demasiada importancia a la vulnerabilidad del editor de ecuaciones, parece que finalmente recapacitó y pudo ver que se trata de una vulnerabilidad bastante grave. Así, con los parches de seguridad de enero de 2018, la compañía finalmente incluyó un parche para mitigar la vulnerabilidad CVE-2017-11882 del editor de ecuaciones de Office, por lo que si tenemos nuestro sistema totalmente actualizado no tendremos de qué preocuparnos.
Además, como medida de seguridad básica, debemos evitar siempre descargar y abrir todo tipo de documentos, y otros archivos, que nos vengan por el correo electrónico, sobre todo de fuentes desconocidas, ya que en la mayoría de las ocasiones seguramente se traten de amenazas informáticas que pueden poner en peligro nuestro ordenador.
Fuente: Redes Zone.net

Publicado por en
Etiquetas:

SPAM. Ahora también llega a través de notificaciones en el navegador

Si hay algo que detestan los usuarios es el spam. Tradicionalmente ha llegado a través de correos electrónicos. Eso sí, en los últimos años los proveedores de e-mail han mejorado bastante. Ahora filtran mucho mejor los correos que no aportan nada al usuario y que solamente es spam. Pero no todo puede filtrarse, claro. Pero ahora el problema parece no estar en el correo, sino en las notificaciones de las páginas webs.
El spam llega también por notificaciones
Se ha creado un nuevo método de envío de correo no deseado o spam que omite el correo electrónico y lo envía directamente al navegador. Este nuevo método ha comenzado a ser utilizado por numerosos sitios que optan por este método.
Las notificaciones web son un método legítimo que los sitios pueden usar para enviar notificaciones a los suscriptores cuando haya nuevo contenido disponible. Funciona de manera que un visitante va a un sitio y se le presenta una notificación en la parte superior del navegador que le pide que permita que el sitio web envíe o muestre notificaciones.
Si un usuario hace clic en el botón Permitir, el sitio puede enviarles notificaciones de contenido nuevo cuando se publique.
Esto, como hemos mencionado, es legítimo. Muchos usuarios pueden querer de verdad recibir notificaciones para estar informados. Igual que las páginas pueden ofrecer esa posibilidad. El problema llega cuando esto se realiza de forma intrusiva y engañosa. Es lo que se puede detectar recientemente en muchas páginas.
Algunos sitios están empezando a hacer diferentes trucos para engañar. Uno de ellos es “obligar” a aceptar esas notificaciones para poder reproducir un vídeo. Si no lo aceptan, automáticamente se redirige la web a otra con programas y adware no deseado.
Por tanto, utilizan el engaño en los usuarios para enviar spam. Esas páginas realmente están cargadas de adware, en muchos casos. Se aprovechan de las notificaciones legítimas y de que el propio usuario las acepte.
Si un visitante se suscribe a uno de estos sitios, comenzará a recibir notificaciones. Estas notificaciones aparecerán en el escritorio de la víctima y se superpondrán a las ventanas que tengan abiertas.
Encuestas y promociones
Normalmente estas notificaciones son encuestas, promociones y otros sitios no deseados. Spam, en definitiva. Lo mismo que podemos recibir a través del correo electrónico.
Esto puede traducirse en un problema bastante serio. Estas notificaciones pueden convertirse en decenas o cientos, dependiendo de la web y navegador que utilicemos. Lo peor de todo es que lo utilizan bajo el supuesto consentimiento de la víctima, que acepta estas notificaciones.
Por ello puede ocurrir que dejemos el ordenador encendido y cuando volvamos tengamos decenas de ventanitas emergentes.
No existe, en principio, ninguna forma de filtrar este contenido. La única solución pasa por eliminar la suscripción. Así evitaremos seguir recibiendo notificaciones molestas llenas de spam.
Eliminar las notificaciones web
Por suerte eliminar suscripciones de notificaciones web es sencillo. Para Chrome basta con acceder a Configuración y buscar notificaciones. Hay que hacer clic en Configuración de contenido, y luego hacer clic en Notificaciones. Chrome mostrará la lista de sitios que bloqueamos explícitamente y la lista de sitios a los que estamos suscritos o a los que hemos permitido enviar notificaciones.
Para eliminar una notificación, simplemente hacemos clic en la línea vertical punteada al lado de un sitio y seleccionamos Eliminar.
Para usuarios de Firefox, el método es similar. Simplemente acceder a Opciones, buscar Notificaciones y luego hacer clic en Configuración junto a Notificaciones para acceder a la lista de sitios suscritos  y eliminarlos.
Fuente:Bleeping Computer

Publicado por en
Etiquetas:

Uso del administrador de tareas de Chrome para detectar mineros de criptomonedas

El auge de las criptomonedas que estamos viviendo en los últimos meses trae aspectos negativos para la seguridad. Uno de los más evidentes es la minería oculta. Muchos ciberdelincuentes se aprovechan del equipo de la víctima para minar monedas digitales. Obtienen beneficio a costa de poner en riesgo los sistemas de otras personas. En muchos casos estos mineros ocultos se encuentran en las páginas, en el propio navegador mientras usamos Internet. Hoy vamos a hablar de cómo utilizar el administrador de tareas de Chrome para detectar si hay mineros de criptomonedas.
Administrador de taras de Chrome
Cuando hay un minero que funciona en el navegador, mientras estamos en Internet, la CPU de nuestro equipo se usará para extraer moneda digital como Monero. Esto hace que nuestra CPU funcione a altas temperaturas durante largos períodos de tiempo, lo que podría dañarla. Es algo así como si vamos en un coche a máximas revoluciones. Lógicamente el desgaste será mucho mayor.
El problema es que en muchos casos es posible que ni siquiera notemos que nuestro navegador y ordenador están siendo utilizados de esta manera. Puede que tardemos un tiempo en darnos cuenta cuando veamos que el equipo funciona más lento, por ejemplo. También puede que comience a congelarse o incluso se apague debido al sobrecalentamiento.
Si entramos en el administrador de tareas de Windows podemos ver que Chrome, en este caso, está consumiendo muchos recursos. Eso puede ser señal de que estamos minando moneda de forma oculta. Ahora bien: ¿qué página o extensión lo está haciendo? Eso no podemos saberlo. Para ello debemos de utilizar una herramienta del navegador que se llama Chrome Task Manager o administrador de tareas.
Este administrador de tareas de Chrome nos permite saber qué recursos está consumiendo cada pestaña o extensión. De esta manera, si vemos algo fuera de lo normal, podremos averiguar qué es exactamente y poder solucionarlo.
Para comprobar qué sitio está utilizando demasiada CPU, podemos abrir el administrador de tareas de Chrome. Para ello podemos utilizar la combinación de teclas Mayús + ESC o abrirlo desde el menú de Chrome. Posteriormente hay que ir a Más herramientas y luego Administrador de tareas de Chrome.
Cuando se abra el administrador de tareas de Chrome, veremos una lista de procesos y la cantidad de CPU que está usando cada uno. Para cada sitio, extensión y proceso interno que esté abierto.
Lista de procesos
Posteriormente podemos buscar en la lista de procesos para determinar cuál está utilizando la potencia de la CPU. Si vemos una pestaña que consume algo inusual, podemos cerrarla desde el propio administrador de tareas de Chrome.
Pero claro, no siempre es una página lo que está utilizando la CPU y minando monedas. También puede ser una extensión. Nuevamente el administrador de tareas de Chrome nos permite saber si una extensión está actuando así.
Podemos dar doble clic encima del nombre de esa extensión y automáticamente vamos a la sección de extensiones. Aquí basta con seleccionar la que queremos y darle a eliminar.
Una vez que eliminemos la extensión, ya no vemos más ese tipo de comportamiento. Podremos comprobar que nuestro navegador consume recursos de forma normal.
Fuente: Bleeping Computer

Publicado por en
Etiquetas:

Actualizaciones del Catálogo de Microsoft Update se descargan a través de HTTP

Constantemente estamos hablando de la importancia del protocolo HTTPS para poder disfrutar de un Internet más seguro. Cada vez más páginas web utilizan este protocolo para garantizar la integridad de las conexiones y evitar que sean interceptadas. Incluso los navegadores web empiezan a marcar las conexiones HTTP como “No Seguras”. Sin embargo, aún podemos encontrar conexiones HTTP donde menos lo esperamos, como, por ejemplo, en el servidor de descarga de actualizaciones de Microsoft Update.
Las actualizaciones de Windows son muy importantes para poder estar conectados a Internet de forma segura. Estas actualizaciones normalmente suelen incluir parches de seguridad (salvo las actualizaciones de mantenimiento, centradas en corregir fallos no relacionados con la seguridad) y suelen llegar a los usuarios del sistema operativo una vez al mes para corregir los fallos que se hayan detectado recientemente en el sistema operativo.
Windows tiene un centro de actualizaciones, desde donde podemos descargar e instalar las actualizaciones que nos interesen en el sistema operativo para corregir vulnerabilidades y otros fallos. Además de las descargas automáticas de Windows Update, que en un principio se descargan de forma segura y se comprueba su integridad, hay otras muchas formas de descargar manualmente las actualizaciones, siendo la mejor de ellas el Catálogo de Microsoft Update, la web desde donde podemos buscar y descargar cualquier parche KB de Windows.
La web principal del catálogo de Microsoft Update utiliza una conexión segura HTTPS, por lo que todo parece normal y es seguro. Sin embargo, si intentamos descargar cualquier actualización KB desde esta web, si analizamos la URL de la descarga podemos ver cómo esta se realiza a través de HTTP. Es más, si intentamos forzar el uso del protocolo HTTPS, además de recibir un error de certificado, la descarga ni siquiera se inicia, devolviendo un error 504. Las conexiones HTTP/2 también fallan.
Por si fuera poco, cuando Microsoft enlaza a las descargas de las actualizaciones KB, o a otros artículos relacionados con dichos parches, la compañía también lo hace utilizando el protocolo HTTP, no protegiendo el tráfico de los usuarios.
Cuando descargamos las actualizaciones manualmente, el navegador no comprueba ningún hash ni verifica la integridad de la descarga como tal, por lo que algún pirata informático podría interceptar la descarga y suplantarla por un paquete modificado que oculte malware en su interior y que, al ejecutar dicha actualización, infecte nuestro equipo.
Microsoft debería cambiar las descargas de las actualizaciones de HTTP a HTTPS
Por el momento, Microsoft no se ha pronunciado al respecto sobre lo que podemos considerar un fallo de seguridad, aunque tampoco podemos saber si algún pirata informático se ha aprovechado de este fallo de seguridad.
Lo más probable es que la compañía, ahora que este problema de ha dado a conocer, no tarde en actualizar todos sus enlaces para que siempre nos permitan establecer una conexión segura a través del protocolo HTTPS, sin embargo, por el momento habrá que esperar y extremar precauciones si descargamos las actualizaciones de Windows desde aquí.
Fuente: seclists

Publicado por en
Etiquetas:

DOUBLEDOOR El malware de esta botnet esquiva firewalls para instalar una puerta trasera

Double Door puerta trasera en dispositivos de redDouble Door puerta trasera en dispositivos de red
La creación de botnets es algo que se encuentra a la orden del día. Expertos en seguridad de la compañía NewSky han encontrado una que puede saltarse los sistemas de seguridad de los dispositivos accesibles desde Internet para anular otras medidas de seguridad e instalar puertas traseras en los dispositivos. Estamos hablando de DoubleDoor, una botnet que según expertos cuenta con bastante proyección.
Para ser más precisos, los ciberdelincuentes se están aprovechando de dos fallos de seguridad, catalogados como CVE-2015–7755 y CVE-2016–10401. Tal y como se puede observar, son dos fallos que son antiguos. Sin embargo, tal y como sucede en muchas ocasiones, los responsables de actualizar los equipos no han hecho los deberes. Esto ha provocado que los equipos continúen siendo vulnerables.
Para ser más precisos, la primera de ellas pertenece a un fallo detectado e SmartScreen OS, disponible en los firewalls NetScreen de Juniper Networks. La segunda vulnerabilidad pertenece a un fallo existente en algunos modelos de modems del fabricante Zyxel.
Servidores, equipos de red, aplicaciones, y así hasta completar un listado amplio de “elementos” que son susceptibles a verse afectados por fallos de seguridad y que sus administradores no gestionan de forma correcta. En muchas ocasiones se ejecutan versiones de librería y de firmware desactualizadas, dando lugar a estas situaciones.
Detalles de los comienzos de la botnet DoubleDoor
Desde NewSky han aportado información de cómo han sido los inicios de la botnet. Indican que todo comenzó aprovechando el fallo de seguridad existente en los equipos NetScreen de Juniper Networks para evadir el proceso de autenticación del firewall. Aprovechando esta vulnerabilidad, los atacantes han sido capaces de acceder a servicios SSH y telnet de los equipos utilizando contraseñas que estaban disponibles en el código que forma parte del firmware. Para ser más precisos, utilizando la contraseña “<<< %s(un=’%s’) = %u”. En lo que respecta al usuario a utilizar, no es importante. Cualquiera es válido haciendo uso de esa contraseña, aunque no exista en el sistema
En el caso de los modem del fabricante Zyxel, los ciberdelincuentes se han topado de nuevo con una contraseña “hardcodeada” en el firmware de los dispositivos, permitiendo, de la misma forma que e le caso anterior, al acceso a servicios del dispositivo.
¿Qué implica el uso de este exploit?
De entrada, se consigue una escalada de privilegios en el sistema. Es decir, permisos mayores que los de un usuario de solo consulta, pero sin alcanzar permisos de administrador. Esto permitiría modificar la configuración o desactivar las medidas de protección existentes.
Desde NewSky indican que la mayoría de los ataques proceden se Corea del Sur, aunque son IPs pertenecientes a varios proxys que finalmente finalizan en un nodo de la red Tor, donde es complicado realizar un seguimiento.
Los fabricantes salen al paso
Teniendo en cuenta la importancia de esto y que la botnet se encuentra en una fase temprana, la situación puede convertirse en alarmante, sobre todo porque son equipos que se encuentran en empresas. Por este motivo, desde Zyxel han querido aclarar que existe un parche desde diciembre del pasado año que pone punto y final al problema. Sin embargo, esto es algo que ya hemos explicado anteriormente. Que exista una solución no quiere decir que los administradores de esos equipos hayan optado por su aplicación.
Fuente: HackRead

Publicado por en
Etiquetas:

SATURN. Nuevo ransomware que siembra el caos entre los usuarios

 Algunos expertos en seguridad han encontrado una nueva amenaza presente en equipos de empresas y usuarios particulares. La han bautizado con el nombre de Saturn, ya que añade esta extensión a todos aquellos archivos del sistema que se ven afectados por su cifrado. Por el momento no está del todo claro cuál es el método de difusión.
Lo que sí han podido confirmar es que la amenaza, una vez se ha instalado en el sistema, realiza una serie de comprobaciones para cerciorarse del entorno. Otras, sin embargo, realizan estas operaciones antes de proceder con la instalación, evitando de esta forma ofrecer pistas sobre su funcionamiento.
Para ser más precisos, la comprobación que realiza está relacionada con el entorno de ejecución. Si se detecta que se trata de una máquina virtual, el ransomware Saturn detiene cualquier actividad.
De no ser así, comienza con el caos, modificando la configuración del sistema operativo Windows.
Desactivación de funciones de restauración y reparación
Parta ser más exactos, realiza la ejecución del siguiente comando:
cmd.exe /C vssadmin.exe delete shadows /all /quiet & wmic.exe shadowcopy delete & bcdedit /set {default} bootstatuspolicy ignoreallfailures & bcdedit /set {default} recoveryenabled no & wbadmin delete catalog -quiet
Es decir, borra todas las copias de seguridad existentes de programas de terceros, desactiva la reparación de Windows en el inicio y todo el catálogo de copias de seguridad de Windows. El resultado es un equipo con opciones de restauración mermadas.
Después de llevar a cabo esta tarea, comienza con el cifrado de la información. Las extensiones de los archivos que son susceptibles de verse afectados son las siguientes:
txt, psd, dwg, pptx, pptm, ppt, pps, 602, csv, docm, docp, msg, pages, wpd, wps, text, dif, odg, 123, xls, doc, xlsx, xlm, xlsb, xlsm, docx, rtf, xml, odt, pdf, cdr, 1cd, sqlite, wav, mp3, wma, ogg, aif, iff, m3u, m4a, mid, mpa, obj, max, 3dm, 3ds, dbf, accdb, sql, pdb, mdb, wsf, apk, com, gadget, torrent, jpg, jpeg, tiff, tif, png, bmp, svg, mp4, mov, gif, avi, wmv, sfk, ico, zip, rar, tar, backup, bak, ms11, ms11 (Security copy), veg, pproj, prproj, ps1, json, php, cpp, asm, bat, vbs, class, java, jar, asp, lib, pas, cgm, nef, crt, csr, p12, pem, vmx, vmdk, vdi, qcow2, vbox, wallet, dat, cfg, config
Tal y como hemos indicado anteriormente, a todos los archivos afectados se les añade la extensión .saturn.
En cada carpeta que se produce el cifrado de la información, la amenaza deja tres archivos:
#DECRYPT_MY_FILES#.html
#DECRYPT_MY_FILES#.txt
#KEY-[id asociada al equipo afectado].KEY
Para abreviar en explicaciones, los archivos de texto contienen las instrucciones para realizar el pago a un monedero perteneciente a un servicio de la red TOR. Para ser más exactos, se trata de su34pwhpcafeiztt.onion.
El archivo .KEY será utilizado cuando el usuario acceda al servicio, siendo necesario para acceder a la sección personal en la que se realizará el pago de la cantidad demandada.
Algunas herramientas de seguridad detectan a Saturn
Teniendo en cuenta que se trata de una amenaza relativamente nueva, el porcentaje de herramientas que detectan su presencia y logran detener la actividad antes de que se realice la instalación son pocas.
Como sucede en estas situaciones, la mejor defensa con la que pueden contar los usuarios es con imágenes del sistema almacenadas en otras unidades o dispositivos y copias de seguridad de la información.
Para eso, lo mejor es recurrir a un dispositivo NAS.
Fuente :Bleeping Computer

Publicado por en
Etiquetas:

Infectan los servidores Jenkins con un malware que mina Monero

Como ya hemos indicado en más de una ocasión, se trata de un problema que no solo está afectando a los usuarios particulares, también a importantes servicios. Expertos en seguridad han detectado un malware en algunos servidores con el servicio Jenkins instalado que tenía como finalidad minar criptomonedas. Para ser más exactos, Monero. Los ciberdelincuentes habrían conseguido con esta amenaza una cantidad próxima a los 3 millones de dólares.
Para todo aquel que no conozca el servicio Jenkins, es bastante popular entre los desarrolladores. Aunque permite la realización de pruebas de una aplicación desarrollada, no solo se limita a eso. Se trata de una aplicación open-source que está programada en Java y que sirve como contenedor para servlets, como, por ejemplo, Apache Tomcat. Pero su funcionalidad no termina aquí. Soporta control de versiones, ejecutar shell scripts, programas batch de Windows.
Ahora, los ciberdelincuentes también le han asignado una nueva utilidad. En este caso, hablamos del minado de criptomonedas.
Check Point ha sido la firma de seguridad encargada de desvelar el problema existente en la mayoría de servidores que cuentan con este software y accesibles a través de Internet. Este último es un dato bastante clarificador. Casi con total seguridad, estemos hablando de un problema de seguridad en la configuración del servidor.
Desde la compañía especializada en materia de seguridad han querido realizar algunas puntualizaciones. En primer lugar, solo equipos con sistema operativo Windows se están viendo afectados. En ellos, se está realizando la descarga de un ejecutable. Este posee el nombre minerxmr.exe. Se trata de la aplicación descargada que se encargará de realizar el minado.
Más información asociada con el minado de Monero en servidores Jenkins
El ejecutable desde una dirección IP que está ubicada en China. Indagando un poco más, se observa que un servidor utilizado pertenece a la red del Gobierno de Huaian. Es decir, resulta bastante probable que los ciberdelincuentes se estén valiendo de servidores comprometidos para distribuir la amenaza.
¿Cómo llegan a los equipos con la aplicación Jenkins? Antes lanzábamos la duda de si el malware llegaba utilizando una configuración inadecuada del servidor o un fallo en el software. Gracias a Check Point podemos salir de dudas. Los ciberdelincuentes se están valiendo del fallo catalogado como CVE-2017-1000353 para que el ejecutable llegue al equipo.
El software ha permanecido activo durante varios meses, posibilitando que los ciberdelincuentes logren un botín interesante. La cantidad está próxima a los 3 millones de dólares, aunque es probable que en los próximos días esta cantidad aumente. Los servidores afectados se cuentan por miles, pero no se posee una visión exacta. Algunos creen que la cifra podría ser superior a 25.000.
Los servidores web en el punto de mira
Un recurso accesible desde Internet y que muchas veces no está protegido de forma correcta. Cada vez es más frecuente que los ciberdelincuentes recurran a estos equipos para minar criptomonedas. Será algo a lo que aún tendremos que acostumbrarnos, o al menos hasta que la fiebre de las criptomonedas cese. La mayoría de las situaciones que posibilitan la instalación del software de minado se deben a una mala configuración de la seguridad, y no vulnerabilidades.
Fuente: Bleeping Computer

Publicado por en
Etiquetas:

Vulnerabilidad en LibreOffice

Esta vulnerabilidad se encuentra en el soporte que da LibreOffice a la función "COM.MICROSOFT.WEBSERVICE" se trata de una función que se encarga de mostrar datos de Internet o de una intranet en nuestros documentos de LibreOffice Calc.
Función
Esta función recibe un parámetro que debe ser una URL de cualquier servicio web. Existen una serie de restricciones sobre esta función, devolverá #VALUE! error :
·        Si no puede obtener los datos del WebService.
·        Si se devuelve una cadena no válida o que contenga más caracteres que lo permitido por las celdas (longitud máxima: 32767).
·        Si la URL contiene una cadena de más de 2048 caracteres permitidos en una petición GET
·        No están soportados los protocolos 'file://' o 'ftp://'
La vulnerabilidad se encuentra en nuestro punto número 4. Esta restricción no está implementada en LibreOffice. Por defecto las celdas no se actualizan, pero si se especifica el tipo de celda como '~error' hará que la celda se actualice cuando se abra el documento.
Explotación
Para explotar esta vulnerabilidad se necesita enviar los archivos desde el usuario actual por lo que se necesita la ruta de su carpeta de usuario, para explotarla solo necesitamos:
También podemos hacer una llamada a otros ficheros muchos más importantes.Es posible explotar esta vulnerabilidad en otros formatos que no sean los de LibreOffice.
Impacto y versiones vulnerables
Es muy preocupante la facilidad de enviar cualquier archivo con información sensible.
Por ahora las versiones de LibreOffice vulnerables a este ataque son:
1.    LibreOffice anteriores a 5.4.5 y anteriores a 6.0.1
2.    Explotable en cualquier plataforma Linux/Windows/macOS
Más información:
Fuente: Hispasec

Publicado por en
Etiquetas:

UDPOS. El malware que ataca a puntos de venta

UDPoS es un malware de puntos de venta que envía la información vía DNS disfrazado de actualización de la aplicación LogMeIn
Recientemente se ha descubierto una nueva variedad de malware que afecta principalmente a puntos de venta (PoS) y envía la información de las tarjetas robadas a través del protocolo DNS. El uso de este protocolo es algo a destacar, ya que lo más común en este tipo de malware es usar el protocolo HTTP. Este malware se hace pasar por una actualización de LogMeIn.
El malware se presenta con nombres como 'logmeinumon.exe, update.exe, LogMeInServicePack_5.115.22.001.exe' y se comunica con servidores de control alojados en Suiza. La primera vez que se ejecuta genera un archivo 'infobat.bat' que se usa para hacer una firma del sistema y poder identificar las máquinas infectadas. A continuación escanea la máquina infectada y la información recopilada se aloja en un fichero llamado 'PCi.jpg', que se envía al servidor C2 a través de DNS. Por último, crea persistencia en el sistema (se asegura
El malware también busca software antivirus en la máquina infectada o si está siendo ejecutado en una máquina virtual.
Los investigadores de Forcepoint que lo han descubierto comentan que parece ser una versión en desarrollo, ya que no se puede asegurar que esté en funcionamiento completamente. Tal vez esto sólo sea una prueba del malware...
Volviendo al envío de datos robados, como ya comentamos el uso del protocolo DNS no es una elección común, pero tampoco es algo único. A continuación, recordamos algunos malwares que usan esta misma técnica para enviar los datos robados:
Más información
Fuente: Hispasec

Publicado por en
Etiquetas:

Vulnerabilidades en software de gasolineras

Hace unos meses, Kaspersky detectó una amenaza crítica de seguridad. Resultó ser una simple interfaz web que en realidad era un enlace a una gasolinera real, haciéndola manipulable de manera remota.
La interfaz web no resultó ser solo eso, sino que era en realidad una máquina ejecutando un controlador basado en linux con un pequeño servidor httpd. Según el fabricante, el software del controlador se encarga de gestionar todos los componentes de la gasolinera: Dispensadores, terminales de pago... Algunos de estos controladores llevaban gestionando estaciones más de 10 años, y llevan expuestos a internet desde entonces.
Según los especialistas de Kaspersky, en el momento de la investigación localizaron donde se encontraban las estaciones activas. Mayormente en Estados Unidos y la India, aunque también se encontraron en un porcentaje considerable en España y Chile.
Una vez conocida la información del dispositivo, era sencillo obtener la documentación de este. Los manuales del fabricante eran bastante detallados, llegando a incluir capturas de pantalla, comandos, credenciales por defecto e incluso una guía paso a paso sobre cómo acceder y manejar cada interfaz. Solo con esto, se puede tener conocimiento de como funciona la aplicación.
Observando la interfaz, podemos ver que es sencilla para utilizar por los operarios de la gasolinera. Sin embargo, en el caso de que el operario sea un usuario malicioso puede llevar a cabo distintas acciones entre ellas modificar informes, recibos o incluso el precio de la gasolina. Estos privilegios, que deberían ser accesibles solo al administrador pueden ser utilizados por cualquier usuario.
También es interesante que, en el esquema anterior no encontramos ninguna referencia a medidas de seguridad o de protección contra la interfaz.
Los investigadores de Kaspersky volcaron el firmware del dispositivo para poder analizarlo, llegando a darse cuenta de una ingrata sorpresa: el fabricante había dejado unas credenciales hardcodeadas a modo de backdoor, en caso de que el dispositivo requiriese permisos mayores o acceso local con los privilegios mas altos. Cualquier dispositivo de dicho fabricante cuenta con las mismas credenciales hardcodeadas.
Entre otras vulnerabilidades, resulta interesante que se pueda obtener la localización exacta de la gasolinera. Existe un componente que genera informes diariamente,  incluyendo el nombre de la estación además su localización.
Haciendo uso de las credenciales encontradas en el código del firmware, se pueden cambiar los precios de la gasolina. El atacante tendría que investigar los productos de la gasolinera con estas credenciales hasta dar con el producto que corresponda a la gasolina para poder modificar su precio.
Tras el análisis por los investigadores de Kasperksy, concluyeron que un atacante que conozca las credenciales hardcodeadas tendría acceso a:
  1. Apagar todos los sistemas de provisionamiento
  2. Filtro de combustible
  3. Cambiar los precios de los productos
  4. Robar dinero a través de la terminal de pago
  5. Obtener información de las licencias de los vehículos y sus dueños
  6. Bloquear la estación a cambio de un rescate.
  7. Ejecutar código remoto
  8. Moverse libremente dentro de la red de la estación
Más información:
Fuente: Hispasec

Publicado por en
Etiquetas:

Riesgos del uso del WhatsApp Web en entornos corporativos

WhatsApp Web está siendo ampliamente utilizado en entornos empresariales, pese a que su política de uso deja claro que solo puede utilizarse para uso personal. La razón de su uso se debe a que permite renderizar WhatsApp en tu navegador, para no tener que estar acudiendo al teléfono móvil si quieres usar la famosa aplicación adquirida por Facebook en 2014.
Los problemas de seguridad relacionados con la utilización de este tipo de software deriva en la facilidad de filtrar información y la complejidad de establecer medidas de control sobre la información que sale a través de estas aplicaciones. Concretamente, WhatsApp Web es una aplicación web relativamente compleja en su forma de comunicarse. Por ejemplo, en un primer momento solo tenía compatibilidad con Google Chrome debido a que era el único navegador que integraba la tecnología WebRTC en ese momento (a día de hoy es soportada por la mayoría de los navegadores).
En un principio WhatsApp Web solo se podía usar desde terminales Android, pero la aplicación ha ido evolucionando permitiendo la compatibilidad con iOS. Esta limitación era debida a limitaciones en la API de iOS al manejar las aplicaciones en segundo plano, ya que no permitía mantener una conexión abierta a un servidor ni aceptar conexiones entrantes desde el navegador.
El modelo de funcionamiento de esta aplicación web contempla dos formas de uso:
  1. Si comparten conexión WiFi el equipo y el terminal móvil, la conexión se establecerá del equipo al móvil mediante la WiFi, y del móvil a los servidores finales de WhatsApp usando la conexión de datos (o la misma conexión WiFi si no está disponible la conexión de datos).
  2. En caso de que no compartan conexión WiFi, el equipo se comunica con servidores intermedios de WhatsApp a través de su conexión a Internet (sin pasar por el móvil). Estos servidores intermedios de WhatsApp contactan con el móvil a través de su conexión de datos, y finalmente el móvil envía los mensajes a través de su conexión de datos (u otra WiFI externa) a los servidores finales de WhatsApp.
En resumidas cuentas, la aplicación web no es más que una forma de control remoto sobre la aplicación de WhatsApp que funciona en el móvil. Es fácil darse cuenta de esto, ya que cuando el móvil pierde conexión a Internet, WhatsApp Web deja de funcionar al instante. Lo cierto es que simplifica bastante la gestión de la seguridad por parte de WhatsApp si te obligan a pasar por el móvil, y se aseguran de que el usuario no se desvincula de la aplicación móvil.
La segunda forma de uso (compartiendo WiFi) se puede controlar filtrando fácilmente a nivel de red, sin embargo la primera forma de uso es algo más complicada de controlar, y es más fácil su filtrado a nivel de los equipos de sobremesa de los empleados. Particularmente, es más complicado su filtrado si el móvil se conecte a los servidores finales de WhatsApp a través de su conexión de datos, en vez de usar la WiFi. Si hablamos de la primera forma, la complejidad, debemos considerar de que el tráfico de red no saldrá por nuestra conexión a Internet y la complejidad del filtrado aumenta.
No obstante, si controlamos la configuración de red de cada uno de los equipos, una solución sencilla para controlar ambas formas de uso sería bloquear la resolución de nombres del dominio 'web.whatsapp.com'. Este dominio es el usado por WhatsApp Web, de forma que impediríamos efectivamente el acceso a la aplicación web. Una de las formas de hacerlo: Modificar el archivo '/etc/hosts' en Linux o 'C:\WINDOWS\system32\drivers\etc\hosts' en Windows para que apunte a localhost (una forma clásica de impedir la resolución de un dominio). 127.0.0.1 web.whatsapp.com
Habría que tener cuidado con las cachés de las que disponen los navegadores modernos, que en algunos casos guardan las resoluciones de los dominios, y aunque actualmente se haya apuntado el dominio a otra dirección, pueden seguir cargando la dirección antigua real. También existen algunas otras formas de llevar a cabo este bloqueo, como el uso de plugins, o el filtrado desde el propio firewall del equipo.
Más información:
Fuente: Hispasec

Publicado por en
Etiquetas:

WORDPRESS. Actualizaciones con fallos y vulnerabilidades que no se solucionan


Un fallo introducido en la última actualización impide actualizar automáticamente, y una vulnerabilidad que tiene como impacto la denegación de servicio no será solucionada.
Primero se publicaba la versión 4.9.3, solucionando un total de 43 fallos, aunque ninguno de ellos de seguridad. Como es habitual cada vez que hay una actualización, el anuncio de la nueva versión al final rezaba:
Sites that support automatic background updates are already beginning to update automatically.
Pero esto nunca llego a suceder. Irónicamente, la actualización se publicó con un fallo que impide al sistema de actualizaciones automáticas seguir funcionando, o lo que es lo mismo: tras esta instalación, WordPress dejará de actualizarse automáticamente. Esta funcionalidad se implementó en la versión 3.7, precisamente para dar respuesta a la gran cantidad instalaciones vulnerables (algunos estudios afirmaban que suponían el 70% del total).
Para solucionar la situación, el mismo martes se publicó la versión 4.9.4. Sin embargo, al haber quedado el sistema inservible, para actualizar se requieren operaciones manuales por parte del usuario:
Unfortunately yesterdays 4.9.3 release contained a severe bug which was only discovered after release. The bug will cause WordPress to encounter an error when it attempts to update itself to WordPress 4.9.4, and will require an update to be performed through the WordPress dashboard or hosts update tools.
Esto podría suponer que muchos sitios queden estancados en la versión 4.9.3 hasta que sus administradores ejecuten la operación.
Más malas noticias: una denegación de servicio que no se solucionará
Por si esto fuera poco, el mismo lunes el investigador Barak Tawily publicaba un artículo donde describía una vulnerabilidad que afecta a casi cualquier instalación de WordPress, provocando una denegación de servicio.
La vulnerabilidad se encuentra en el fichero 'load-scripts.php'. Este se utiliza para pedir al servidor varios ficheros estáticos en una sola petición, reduciendo así el número total de peticiones.
Como parámetro se pasa al fichero un array llamado load[] que contendrá nombres de ficheros estáticos. No todos los estáticos pueden servirse a través de esta petición, solo los definidos en el listado interno $wp_scripts, y nunca se servirán repetidos, aunque ni falta que hace: en ese listado hay un total de 181 ficheros que suponen un número similar de acciones de I/O y un peso del fichero de respuesta de casi 4MB.
Dado que esta petición es muy pesada, una repetición constante de la misma puede provocar la sobrecarga del servidor, llevando finalmente a la denegación de servicio. Y peor aún, el fichero 'load-scripts.php' no requiere autenticación para ser llamado ya que, aunque forma parte de la zona de administración, es también accesible desde la pantalla de entrada 'wp-login.php'.
A pesar de la facilidad de explotación, WordPress no ha aceptado la vulnerabilidad, ya que según responden a Tawily:
"This kind of thing should really be mitigated at the server or network level rather than the application level, which is outside of WordPress's control."
Aun así, Tawily ha publicado su propio parche y un script que soluciona la vulnerabilidad.
Más información:
Fuente: Hispasec

Publicado por en
Etiquetas:
Suscribirse a: Entradas (Atom)