17 de enero de 2019

CIBERSEGURIDAD. Expuestos datos de más de 202 millones de usuarios de webs de búsqueda de empleo

Bob Diachenko encontró una base de datos con más de 202 millones de usuarios chinos expuesta en Internet y sin autenticación.
El investigador de seguridad Bob Diachenko, ha encontrado recientemente una base de datos accesible a través de Internet sin autenticación, accesible a cualquiera que desease conectarse y obtener los datos.
La base de datos era una base de datos MongoDB, uno de los sistemas de bases de datos NoSQL más populares hoy en día. En ella había datos personales de más de 202 millones de usuarios chinos (202.730.434 concretamente), incluyendo correo electrónico, fecha de nacimiento, número de teléfono, nombre completo, experiencia laboral, etc. En total 854,8 gigabytes de datos.
Según Diachenko, el log de la base de datos antes de que fuese retirada contenía al menos una docena de direcciones IP diferentes que habían accedido a la información.
El origen de la base de datos se desconoce, pero Diachenko cree que podría pertenecer a alguien que haya usado una herramienta llamada “data-import” para realizar scraping a diferentes páginas web chinas de búsqueda de empleo. Esta creencia se debe a que los datos encontrados tienen un formato muy similar al utilizado por dicha herramienta.
Un nuevo caso en el que una base de datos MongoDB se encuentra expuesta en Internet sin protección debido a una mala configuración. Por desgracia este tipo de problemas de seguridad suelen darse con demasiada frecuencia en estas bases de datos, como ya hemos visto en otras ocasiones.
Más información:
https://thehackernews.com/2019/01/mongodb-chinese-database.html
Fuente: Hispasec

Publicado por en
Etiquetas:

ORACLE. Corrige 284 vulnerabilidades en su actualización de seguridad de enero

Oracle publica su actualización correspondiente al mes de abril. Contiene parches para 284 nuevas vulnerabilidades diferentes en múltiples productos pertenecientes a diferentes familias, que van desde el popular gestor de base de datos Oracle Database hasta Solaris, Java o MySQL.
Productos afectados
Los fallos se dan en varios componentes de múltiples productos y como es habitual la lista completa de productos afectados es cada vez más extensa. Se concreta en las siguientes familias:
1.   Oracle Database Server
2.   Oracle Communications Applications
3.   Oracle Construction and Engineering Suite
4.   Oracle E-Business Suite
5.   Oracle Enterprise Manager Products Suite
6.   Oracle Financial Services Applications
7.   Oracle Food and Beverage Applications
8.   Oracle Fusion Middleware
9.   Oracle Health Sciences Applications
10.Oracle Hospitality Applications
11.Oracle Hyperion
12.Oracle Insurance Applications
13.Oracle Java SE
14.Oracle JD Edwards Products
15.Oracle MySQL
16.Oracle PeopleSoft Products
17.Oracle Retail Applications
18.Oracle Siebel CRM
19.Oracle Sun Systems Products Suite
20.Oracle Supply Chain Products Suite
21.Oracle Support Tools
22.Oracle Utilities Applications
23.Oracle Virtualization
Detalle de vulnerabilidades
·        Tres nuevas vulnerabilidades corregidas en Oracle Database Server, ninguna es explotable de forma remota sin autenticación.
·        33 nuevas vulnerabilidades afectan a Oracle Communications (29 de ellas podrían ser explotadas por un atacante remoto sin autenticar).
·        4 nuevos parches para la suite Oracle Construction and Engineering, todas explotables remotamente sin autenticación.
·        Otras 16 vulnerabilidades explotables de forma remota y sin autenticación en la suite de Oracle E-Business.
·        11 nuevas vulnerabilidades en Oracle Enterprise Manager (9 de ellas explotables remotamente por un usuario sin autenticar).
·        Otros 9 parches que solucionan vulnerabilidades explotables remotamente y sin autenticación en Oracle Financial Services.
·        6 nuevos parches para las aplicaciones de Oracle Food and Beverage (3 de ellos solucionan vulnerabilidades explotables por un usuario remoto no autenticado).
·        62 parches para Oracle Fusion Middleware (57 de estos arreglan fallos que pueden ser explotables de forma remota sin autenticación).
·        6 vulnerabilidades en Oracle Health Sciences, de las cuales, 2 podrían ser explotadas por un atacante remoto sin autenticar.
·        5 nuevas vulnerabilidades en Oracle Hospitality Applications (ninguna de ellas es explotable remotamente sin autenticación).
·        Una vulnerabilidad en Oracle Hyperion, no explotable de forma remota.
·        Referente a Oracle Insurance Applications, se han publicado 5 nuevos parches, tres de los cuales son explotables de forma remota sin autenticación.
·        En cuanto a Oracle Java SE, se han corregido 5 nuevas vulnerabilidades que pueden ser explotadas por un atacante remoto sin autenticar.
·        La actualización para Oracle JD Edwards corrige 2 vulnerabilidades explotables remotamente sin autentcación.
·        Otras 30 actualizaciones de seguridad para Oracle MySQL (3 de ellas corrigen vulnerabilidades explotables de forma remota sin autenticación).
·        Una actualización en Oracle People Soft soluciona 20 problemas de seguridad, 15 de ellos pueden ser explotados por un atacante remoto sin autenticar.
·        También se solucionan 16 nuevas vulnerabilidades en Oracle Retail Applications (15 de ellas son explotables de forma remota sin autenticación).
·        Un nuevo parche para Oracle Siebel CRM que corrige una vulnerabilidad explotable remotamente.
·        11 nuevas vulnerabilidades para Oracle Sun Systems (5 de ellas podrían ser explotadas por un atacante remoto sin autenticación).
·        Otras 5 actualizaciones de seguridad para Oracle Supply Chain, 4 de estas podrían ser explotadas de forma remota sin autenticación.
·        Una vulnerabilidad en Oracle Support Tools, que podría ser explotada remotamente.
·        Adicionalmente se solucionan 2 nuevas vulnerabilidades en Oracle Utilities Applications, ambas serían explotables por un atacante remoto sin autenticar.
·        Por último, también se ha publicado una actualización que soluciona 30 fallos de seguridad en Oracle Virtualization (4 de estos fallos podría ser explotados por un atacante remoto sin autenticación).
Mas información
Se recomienda comprobar las matrices de productos afectados, gravedad y la disponibilidad de parches, disponibles desde la notificación oficial en:
·         Oracle Critical Patch Update Advisory – January 2019 https://www.oracle.com/technetwork/security-advisory/cpujan2019-5072801.html
Fuente: Hispasec

Publicado por en
Etiquetas:

Vulnerabilidad en Android ES File Explorer permite filtración información del dispositivo en redes.

El investigador de seguridad Elliot Alderson ha descubierto una vulnerabilidad en el software de administración de archivos de Android ES File Explorer con más de 100 millones de descargas.
With more than 100,000,000 downloads ES File Explorer is one of the most famous #Android file manager.
The surprise is: if you opened the app at least once, anyone connected to the same local network can remotely get a file from your phone https://t.co/Uv2ttQpUcN
— Elliot Alderson (@fs0c131y) January 16, 2019
La vulnerabilidad ha sido confirmada en versiones de Android igual o inferiores a 4.1.9.7.4 y permite a través de peticiones HTTP al puerto 59777 ejecutar aplicaciones y leer archivos remotamente en red local. Este puerto TCP se abre una vez la aplicación es iniciada y permanece abierto aunque la aplicación se cierre.
Elliot Alderson ha publicado a través de su GitHub un ‘script’ como prueba de concepto con las siguientes capacidades:
-       listFiles: List all the files
-       listPics: List all the pictures
-       listVideos: List all the videos
-       listAudios: List all the audio files
-       listApps: List all the apps installed
-       listAppsSystem: List all the system apps
-       listAppsPhone: List all the phone apps
-       listAppsSdcard: List all the apk files in the sdcard
-       listAppsAll: List all the apps installed (system apps included)
-       getDeviceInfo: Get device info. Package name parameter is needed
-       appPull: Pull an app from the device
-       appLaunch: Launch an app. Package name parameter is needed
-       getAppThumbnail: Get the icon of an app. Package name parameter is needed
Por otro lado, el mitre le ha asignado el CVE CVE-2019-6447 y permanece a la espera de recibir una actualización por parte del fabricante.
Fuente: Hispasec

Publicado por en

Vulnerabilidades en SCP permiten escritura de ficheros arbitrarios en el cliente

La vulnerabilidad principal, que data de hace 35 años, afecta a OpenSSH SCP, PuTTY PSCP y WinSCP. El fallo permite al servidor escribir ficheros en el cliente sin que se dé cuenta.
SCP es una herramienta para transferir ficheros a través de SSH empleada por administradores de todo el mundo, y que cuenta con múltiples implementaciones para diferentes sistemas, como OpenSSH, PuTTY o WinSCP. El fallo descubierto, permitiría a un servidor malicioso copiar ficheros no solicitados en el equipo del cliente sin informarse de ello.
Un posible caso de explotación, tal y como detalla sintonen.fi, sería un ataque MitM (Man in the Middle) entre un administrador y un servidor que administre, para que al utilizar scp se copie a su máquina un fichero ‘.bash_aliases’ en su directorio de usuario que permita al atacante ejecutar cualquier comando en la máquina del sysadmin. Este tipo de ataque requiere que la víctima acepte el cambio de fingerprint en el servidor.
El problema principal, que se encuentra desde 1983 (hace 35 años), tiene como origen el protocolo RCP del proyecto BSD, que es en el que se basa SCP. Debido al error la mayoría de clientes SCP no validan correctamente que los ficheros devueltos por el servidor son aquellos que se solicitó. Las vulnerabilidades en concreto son:
CWE-20 (CVE-2018-20685):  validación incorrecta del nombre de directorio. El servidor puede cambiar permisos de la carpeta utilizando un nombre de carpeta vacío (“D0777 0 \n”) o con punto (“D0777 0 .\n”).
CWE-20 (CVE-2019-6111 y CVE-2018-20684 en WinSCP): debido al estándar derivado de rcp de 1983, es el servidor el que establece los ficheros que se copian al cliente sin que se valide. Si se utiliza el parámetro “-r”, también pueden copiarse carpetas sin validación.
CWE-451 (CVE-2019-6109): spoofing en el cliente utilizando el nombre del objeto. Mediante dicho nombre, pueden escribirse caracteres ANSI que modifiquen la salida, para por ejemplo ocultar archivos transferidos.
CWE-451 (CVE-2019-6110): spoofing en el cliente utilizando stderr. Similar al anterior, pero aprovechando que el servidor puede escribir una salida de error en el cliente.
Algunos de los clientes afectados son OpenSSH scp (versiones anteriores a 7.9), PuTTY PSCP (todavía sin parche), y WinSCP scp (hasta la versión 5.13). Una posible solución si el cliente lo permite (como OpenSSH) es cambiar el protocolo a SFTP, aunque los servidores utilizados deben de soportar dicho protocolo. Otros clientes o programas que empleen SCP pueden encontrarse afectados.
Más información
Fuente: Hispasec

Publicado por en
Etiquetas:

HUAWEI. Fundador dice que la firma no espía para China

El fundador de Huawei, Ren Zhengfei, rechazó el martes las acusaciones de que su compañía es utilizada por el Gobierno chino para espiar y dijo que extrañaba a su hija, que se encuentra detenida por las autoridades canadienses, informó el periódico Financial Times.
Foto de archivo. El presidente chino Xi Jinping acompañado de Ren Zhengfei, presidente de Huawei, en las instalaciones de Huawei Technologies Co Ltd en Londres, Gran Bretaña. 21 de octubre de 2015. REUTERS/Matthew Lloyd
Meng Wanzhou, directora financiera de Huawei, fue detenida en Canadá el mes pasado a instancia de las autoridades estadounidenses, que alegan que la ejecutiva engañó a los bancos sobre el control que tiene la compañía sobre una empresa que opera en Irán.
Huawei “nunca recibió ninguna solicitud de ningún Gobierno para proporcionar información de manera indebida”, dijo el empresario, según el diario, en una conversación con reporteros en la ciudad sureña de Shenzhen.
“Amo a mi país, apoyo al Partido Comunista, pero nunca haré nada para dañar a ningún país del mundo”, dijo Ren, que agregó que echaba “mucho” de menos a su hija.
Huawei confirmó a Reuters la exactitud de los comentarios de Ren, un militar retirado que fundó Huawei en 1987 y mantiene un perfil bajo. Ren dijo que es dueño del 1,14 por ciento de las acciones de la compañía.
Pekín y Ottawa han estado en desacuerdo desde el arresto de Meng, que el Ministerio de Relaciones Exteriores de China calificó el martes de un abuso de los procedimientos legales. El lunes, China condenó a muerte a un canadiense por tráfico de drogas, dañando aún más las relaciones diplomáticas entre ambos países.
Huawei, el mayor productor mundial de equipos de telecomunicaciones, ha enfrentado a un intenso escrutinio en Occidente por su relación con el Gobierno de China y las acusaciones lideradas por Estados Unidos de que Pekín podría utilizar sus dispositivos para espiar.
No se han presentado pruebas públicamente y la firma ha negado repetidamente las acusaciones, pero algunos países occidentales han restringido el acceso de Huawei a sus mercados. Polonia dijo esta semana que podría prohibir el uso de productos de Huawei por parte de organismos públicos, después de arrestar a un directivo chino de Huawei.
Ren desestimó los temores sobre la seguridad en los aparatos de Huawei y dijo que “ninguna ley en China requiere que alguna compañía instale puertas traseras obligatorias (que podrían usarse para espiar)” y agregó que la empresa no ha tenido “incidentes de seguridad graves”.
También minimizó el riesgo al que en algunos países se pongan trabas a Huawei en la implementación de redes de telecomunicaciones 5G.
Fuente: Reuters

Publicado por en
Etiquetas:

Múltiples vulnerabilidades en D-LINK Central WifiManager

Se han hecho públicas 3 vulnerabilidades que afectan a D-LINK Central WifiManager CWM-100 y que podrían permitir ejecutar código arbitrario con altos privilegios, realizar ataques de rebote FTP y ataques Server Side Request Forgery.
Central WiFiManager es una herramienta de D-Link que permite a los administradores gestionar y supervisar de forma remota múltiples puntos de acceso inalámbricos. Central WiFiManager es una herramienta basada en la web, por lo que se puede utilizar tanto instalada en un ordenador local como alojada en la nube.
La primera vulnerabilidad, identificada como CVE-2018-15515, permitiría ejecutar código arbitrario con permisos de ‘SYSTEM’ a través de una librería DLL creada a tal efecto. Dicha librería de 32 bits debe ser renombrada como ‘quserex.dll’ y copiada al directorio ‘CaptivelPortal’, y por último reiniciar el servicio ‘CaptivelPortal’ para que ejecute el código contenido en la DLL. Esta vulnerabilidad podría ser aprovechada por troyanos y otros tipos de malware.
Como prueba de concepto se propone ejecutar el siguiente programa (que simplemente muestra un mensaje) y observarlo con un monitor de procesos para verificar el usuario y los permisos con que se ejecuta.
La segunda vulnerabilidad permitiría realizar ataques de rebote FTP que consisten en aprovechar un fallo en el protocolo FTP mediante el cual se podría utilizar el comando PORT para escanear puertos utilizando el servidor FTP vulnerable como intermediario. De tal manera, de cara a las víctimas, los escaneos se originarían en la red en la que se encuentra el servidor FTP vulnerable. A esta vulnerabilidad se le ha asignado el identificador CVE-2018-15516.
Como prueba de concepto se propone el siguiente vídeo: https://vimeo.com/299797225
Por último, el identificador CVE-2018-15517 se ha asignado a una vulnerabilidad que afecta a la función ‘MailConnect’ que, aunque está diseñada para verificar la conexión a un servidor SMTP, permite conexiones TCP salientes a cualquier puerto en cualquier dirección IP. Esto permitiría realizar ataques Server Side Request Forgery (SSRF) a través de peticiones del tipo:
https://DIRECCION-IP/index.php/System/MailConnect/host/DIRECCION-IP-VICTIMA/port/secure/
Estas vulnerabilidades, descubiertas por John Page (aka hyp3rlinx), afectan a la versión 1.03 r0098 de D-LINK Central WifiManager (CWM 100).
Más información:
Fuente: Hispases

Publicado por en
Etiquetas:

ALEMANIA. Filtración de datos afecta a políticos alemanes, incluyendo a Ángela Merkel

Las autoridades alemanas anunciaron la detención de un joven de 20 años en relación con el ciberataque masivo contra políticos y figuras públicas, entre ellas la canciller, Angela Merkel, el mayor en la historia de Alemania. La Oficina Central para la lucha contra la Delincuencia en Internet (ZIT) de la Fiscalía de Fráncfort y el la Oficina Federal de Investigación Criminal (BKA) registraron el domingo la vivienda del sospechoso, del que no se ha revelado su identidad, en el Land de Hesse, en el oeste del país.
El pasado 28 de diciembre se descubrió que desde las cuentas de twitter @_0rbit y @_0rbiter (actualmente suspendidas) se publicaban enlaces con acceso a información privada de cientos de políticos, periodistas y otras figuras públicas alemanas.
Las filtraciones muestran una gran cantidad de datos sobre políticos y figuras públicas entre los que se encuentran la canciller Angela Merkel o el presidente Frank-Walter Steinmeier. Se incluyen fotos y registros de chat, direcciones privadas, números de teléfono, skype y direcciones de correo, aunque estos son los que menos. Los atacantes comprometieron las cuentas de Outlook, Twitter y Facebook para extraer información.
Algunos archivos se remontan a 2009, y otros datos e imágenes fueron publicadas en Pastebin en 2017. aunque el equipo de Computer Business Review encontró cartas bastante recientes a nivel ministerial enviadas entre compañeros.
Por lo que se aprecia en la forma de filtrar los datos este ataque no ha sido repentino, sino que se ha ejecutado de forma premeditada, preparando decenas de mirrors con los archivos listos para descargar, links intermediarios detallados con la información a descargar con varios mirrors de los mismos archivos por si alguno fallaba.
This data leak has so much data squirrelled away to avoid take downs. It must have required many man hours of uploading.
– 70 mirrors of the download links
– 40 d/l links, each with 3-5 mirrors
– 161 mirrors of data files
Plus the tweets, blog posts, mirrors of mirror links.
— the grugq (@thegrugq) January 4, 2019
El objetivo principal han sido todos los partidos políticos alemanes que actualmente están representados en el parlamento, exceptuando el partido de extrema derecha Alternative for German (AfG).
El o los atacantes comenzaron a publicar un enlace con varios links de descarga al día desde el 1 de diciembre de este año. Pero al ver que no tenían repercusión, utilizaron la cuenta de twitter, presuntamente hackeada, del youtuber Simon Unge, que tiene 2 millones de seguidores y publicaron un link al blog donde se podía acceder a los datos robados.
La oficina federal alemana de la seguridad de la información (BSI) está investigando el ataque. Exponen que no se han visto afectadas las redes gubernamentales por el incidente, y que desconocen quién es el o los autores y cuál es el motivo de este ataque.
Más información:
Fuente: Hispasec

Publicado por en
Etiquetas:

Importante módulo de NodeJS infectado para robar Bitcoins

Un importante módulo del repositorio NPM es infectado con código malicioso con el propósito de robar Bitcoins.
La biblioteca Event-Stream es una herramienta para trabajar fácilmente con streams (flujos de datos), que tiene alrededor de dos millones de descargas semanales.
Dicha biblioteca fue creada y mantenida en un principio por Dominic Tarr. Eventualmente, el desarrollo pasó a manos de un usuario llamado right9ctrl.
El código malicioso fue añadido en la version 3.3.6 de la biblioteca, publicada el 9 de septiembre. Desde entonces ha sido descargada por unos 8 millones de usuarios. Sin embargo, el código malicioso no ha salido a la luz hasta principios de la semana pasada.
Junto con la versión 3.3.6 de la biblioteca Event-Streamer, el desarrollador malicioso incluyó una nueva dependencia llamada Flatmap-Stream, que es la que contenía el código malicioso.
Dado que el código del módulo Flatmap-Stream estaba cifrado, su comportamiento pasó inadvertido por la comunidad más de dos meses, hasta que un estudiante de la Universidad Estatal de California encontró el problema y así lo hizo constar en un issue de Github.
Después de analizar el código ofuscado, se constató que el módulo Flatmap-Stream se había diseñado específicamente pensando en el robo de Bitcoins de los usuarios de la aplicación móvil Copay, que hace uso de esta misma biblioteca, para transferirlos a un servidor en Kuala Lumpur.
Copay es un monedero de Bitcoin y Bitcoin Cash en software libre desarrollado por Bitpay. Ésta última compañía, ha publicado un aviso indicando que las versiones de Copay desde la 5.0.2 hasta la 5.1.0 están afectadas por la biblioteca maliciosa. También indican que los usuarios de Bitpay no están afectados por este problema.
Más información:
Rogue Developer Infects Widely Used NodeJS Module to Steal Bitcoins https://thehackernews.com/2018/11/nodejs-event-stream-module.html
Fuente: Hispasec

Publicado por en
Etiquetas:

Ethereum Classic sufre un ataque 51%

A grandes rasgos, un supuesto grupo organizado ha robado 1,5 millones de dólares haciéndose con el 63% de la tasa total de hash de la red de Ethereum.
El ataque
¿Qué es un ataque 51%?
Las criptomonedas están basadas en redes distribuidas y descentralizadas con la intención de que cualquiera pueda acceder a ellas de manera más o menos sencilla, o lo que es lo mismo, una democracia digital en la que 100 hipotéticos usuarios controlan las transacciones. Si alguien pudiese controlar 51 de esos 100 usuarios con derecho a voto, tendría el control total de la red, lo que daría lugar a la posibilidad de crear una bifurcación de la red o incluso bloques falsos.
Ethereum Classic ha sido, supuestamente, víctima de este tipo de ataque. El pasado día 6 de enero la empresa china SlowMist hacía pitar las alarmas, al poco tiempo, un analista de CoinNess que investigaba el suceso descubrió que un grupo privado había logrado aumentar su poder de hash a 3.263GH/s (300GH/s de tasa normal), logrando ser el grupo minero más poderoso durante un breve período de tiempo en el que podría haberles dado tiempo a robar 88.500 Ethereum Classic (ETC), el equivalente a 460.000 dólares. Pero no acabó ahí, unas 10 horas más tarde volvía a aumentar su tasa de hash.
Coinbase, una de las webs más reconocida para el intercambio, compra y venta de criptomonedas, detuvo todas las transacciones de Ethereum Classic. El exchange descubrió otros 12 ataques que tenían relación con Ethereum y los gastos dobles, ascendiendo la cantidad a 219.500 ETC o 1,1 millones de dólares al cambio.
La empresa
Para la sorpresa de muchos, los desarrolladores de la criptomoneda afirman que el blockchain no ha sido objetivo de ningún ataque, además de negar la noticia del doble gasto. Todo el revuelo lo achacan a una “reorganización profunda de la cadena de bloques”, tal y como dicen en su twitter.
On 1/5/2019, Coinbase detected a deep chain reorganization of the Ethereum Classic blockchain that included a double spend. In order to protect customer funds, we immediately paused movements of these funds on the ETC blockchain. Read more here: https://t.co/vCx89dz44m
— Coinbase (@coinbase) 7 de enero de 2019
Los desarrolladores de ETC respondieron rápidamente a las acusaciones afirmando que un grupo de mineros estaban siendo “poco honestos” ejerciendo una minería egoísta. Además explicaron que el fabricante linzhi estaba en proceso de probar nuevas máquinas Ethash, lo que resultó en una subida de más del 50% en la tasa de hash, no teniendo nada que ver esto con un ataque 51%. También dieron respuesta al tema de los gastos dobles alegando no haberlos detectado.
A pesar de la respuesta por parte del equipo de Ethereum Classics, Coinbase sigue bloqueando las transacciones de ETC y está monitorizando la moneda para determinar la actividad en el futuro.
Contramedidas de las casas de cambio
Pocas son las casa de cambio que han emitido algún tipo de comunicado que tenga relación al supuesto ataque 51%, pero alguna de ellas han detenido el retiro y depósito de la criptomoneda.
Coinbase comunicó que sus fondos no fueron afectados ya que detuvieron las transacciones a tiempo
Poloniex tiene bloqueadas las transacciones hasta el día 9 o nuevo aviso a la espera de que la red de Ethereum se estabilice, tal y como dijo por twitter, y aseguran que los fondos de los usuarios se encuentran a salvo.
Due to a potential 51% attack, ETC wallets have been disabled and will not be re-enabled until tomorrow (at the very earliest). We will update this thread when we have a firmer timeline for re-enabling deposits and withdrawals. Poloniex was not affected, and your fund are safe.
— Poloniex Exchange (@Poloniex) 7 de enero de 2019
Kraken han detenido las transacciones hasta nuevo aviso, aquí podemos consultar el estado y las noticias.
OKEx, casa de cambio china, aseguran que sus clientes no se ven afectados y mantienen el depósito y retirada de ETC habilitado. Para el depósito de ETC será necesario un mínimo de 100 confirmaciones, y para la retirada serán necesarias 400. Además continúan monitorizando la situación por si hubiera que tomar otro tipo de medidas.
Binance y Bitfly también han aumentado el número de confirmaciones.
Gate.io confirmó que el doble gasto afectó a sus fondos, la plataforma detectó 7 transacciones relativas al ataque. El atacante transfirió un total de 54.200 ETC a través de 4 direcciones. La casa de cambio bloqueó el ataque al poco de producirse pero generó una pérdida total de 40.000 ETC para la plataforma, unos 199.600 dólares.
El ataque de 51% a Ethereum Classic sigue en desarrollo y sus representantes no han brindado mayores detalles desde el pasado lunes. Por esta razón, es posible que otras casas de cambio tomen medidas o reporten pérdidas de fondos en ETC.
Más información
Fuente: Hispasec

Publicado por en
Etiquetas:

Ransomware paraliza la producción de los principales periódicos de EEUU

El pasado fin de semana, Tribune Publishing Co, empresa que produce los principales periódicos de Estados Unidos, fue víctima de una infección por ransomware de la familia Ryuk que paralizó la impresión y las entregas de varios periódicos importantes del país. Entre los periódicos afectados se encuentran Los Angeles Times y Wall Street Journal.
El malware Ryuk comparte bastante similitud con la familia de ransomware Hermes. Está asociado al Grupo Lazarus y se suele distribuir mediante ataques APT, a diferencia de la gran mayoría de este tipo de ataques que basan su propagación en spam o explotación masiva de vulnerabilidades.
Este malware crea dos notas de rescate, según información publicada por la empresa Checkpoint y pide como rescate entre 15 y 50 BTC.
Ryuk asocia a cada infección un ‘wallet’ único, lo que hace altamente complicado seguir el flujo del dinero y estimar el volumen de infecciones. Como es normal en estos casos, una vez el dinero es obtenido se mueve entre varias cuentas para dificultar el seguimiento del mismo.
Desde Hispasec trabajamos con empresas de todo el mundo para tratar de mitigar su exposición a este tipo de amenazas.  Dotamos a nuestros clientes de elevados niveles de protección a través de planes de seguridad. Estos planes cubren la infraestructura interna y externa, procesos formativos y de concienciación a empleados y proporcionan servicios globales de consultoría y auditoría de sistemas, así como simulación de ataques de ransomware.
Si desea recibir información sobre nuestros planes de seguridad contacte con el departamento comercial al email comercial@hispasec.com o al teléfono +34 952 020 494.
Fuente: Hispasec

Publicado por en
Etiquetas:

Nuevo ransomware infecta servidores Linux a través de IPMI

Se ha detectado un nuevo malware de tipo ransomware utilizado para infectar servidores Linux a través IPMI
Este nuevo ransomware, que recibe el nombre de ‘JungleSec‘, fue detectado en Noviembre y esta diseñado para infectar servidores Linux con IPMI (Intelligent Platform Management Interface) no securizado.
IPMI es un conjunto de especificaciones de interfaces que proporcionan capacidades de administración y monitorización en un ordenador independientemente de la CPU, firmware y sistema operativo. Esta incluido en las placa base de los servidores, aunque también puede instalarse como una tarjeta adicional si no la incluye la placa base.
Una interfaz IPMI no configurada, puede dar acceso remoto al sistema a los atacantes, lo que les daría control total sobre el servidor.
Investigadores de BleepingComputer que detectaron este malware, afirman que descubrieron que los atacantes habían usado una interfaz IPMI para acceder a los servidores y posteriormente instalar el malware. En algunos casos, la interfaz IPMI estaba configurada con la contraseña por defecto. En otros casos, las víctimas afirman que el usuario ‘Admin’ de la interfaz estaba desactivado, por lo que se sospecha que los atacantes pudiesen acceder usando alguna vulnerabilidad en el sistema IPMI.
Los atacantes, una vez accedían al sistema a través de la interfaz IPMI, descargaban y compilaban ccrypt, que finalmente usaban para cifrar todos los ficheros del servidor. Una vez cifrados los archivos, los atacantes dejaban un fichero llamado ‘ENCRYPTED.md’ con las instrucciones para realizar el pago del rescate.
IoCs
Nombres de Ficheros:
ENCRYPTED.md
key.txt
Direcciones de correo electrónico:
junglesec@anonymousspeech.com
Más información:
Fuente: Hispasec

Publicado por en
Etiquetas:

Un nuevo malware recibe comandos de memes de Twitter

La empresa Trend Micro ha sido la descubridora de este novedoso tipo de ataque que recoge los comandos de una cuenta de Twitter controlada por los atacantes.
¿Cuál es el malware en cuestión?
El malware utilizado es denominado “TROJAN.MSIL.BERBOMHTHUM.AA“. Su forma de trabajo es infectar un equipo, y tras ello descargar las imágenes que contienen las instrucciones a seguir.
¿Que información sacan de las imágenes?
Los memes publicados en la cuenta hacían uso de técnicas de Esteganografía para ocultar los comandos que ejecutaba el malware. Estos, tras ejecutar las instrucciones, accedían a una publicación de Pastebin para conseguir la dirección del servidor al que enviaban la información robada.
Según los investigadores, la cuenta de Twitter analizada se creó en 2017 y contenía solo dos memes que entregaban comandos “/ print” al malware para indicarle que realizara capturas de pantalla.
Este malware mandaba las capturas al servidor C&C sacado de la URL de Pastebin facilitada en la imagen.
¿Desde cuando se realiza este tipo de ataque?
Según VirusTotal, el malware surgió a mediados de octubre, pues fue cuando se creó la publicación en Pastebin.
Sin embargo, en los memes analizados, la dirección del servidor es local, lo que hace pensar que los ciberdelincuentes aún se encontraban realizando pruebas con el mismo antes del ataque.
Tras el reporte realizado por TrendMicro, Twitter tomó cartas en el asunto y cerró la cuenta involucrada.
Más información:
Fuente: Hispasec

Publicado por en
Etiquetas:
Suscribirse a: Entradas (Atom)