5 de noviembre de 2017

Actualización de seguridad 4.8.3 para WordPress

El investigador Anthony Ferrara ha informado sobre una vulnerabilidad de inyección SQL en WordPress, catalogada de Importancia: 4 - Alta
Recursos afectados:
  • WordPress 4.8.2 y versiones anteriores
Detalle e Impacto de la actualización
Las versiones afectada de WordPress está afectada por una vulnerabilidad del tipo inyección SQL a través de la función “wpdb-prepare()”.
Además, esta actualización modifica el comportamiento de la función “esc_sql()”. Puedes obtener más información sobre ello desde el enlace https://make.wordpress.org/core/2017/10/31/changed-behaviour-of-esc_sql-in-wordpress-4-8-3/
Recomendación
Ha sido publicada la versión 4.8.3 del gestor de contenidos WordPress la cual soluciona dicha vulnerabilidad. Puedes descargarla desde su web oficial.
Más información
Fuente: INCIBE
Publicado por en
Etiquetas:

Múltiples vulnerabilidades en productos Cisco

Se han identificado 17 vulnerabilidades (9 con criticidad alta y 8 con criticidad media) en productos Cisco que pueden ser aprovechadas por atacantes remotos para ejecutar código en los sistemas afectados o para denegar el servicio, catalogadas de  Importancia: 5 - Crítica
Recursos afectados:
  1. Aironet 1560 Series Access Points
  2. Aironet 2800 Series Access Points
  3. Aironet 3800 Series Access Points
  4. Cisco Application Policy Infrastructure Controller Enterprise Module, versiones anteriores a la 1.5.
  5. Cisco ISE
  6. Cisco ISE Express
  7. Cisco ISE Virtual Appliance
  8. Cisco Prime Collaboration Provisioning Software, versiones anteriores a la 12.3
  9. Cisco Wireless LAN Controllers (WLCs)
  10. Firepower 4100 Series Next-Generation Firewall
  11. Firepower 4100 Series Next-Generation Firewall
  12. Firepower 9300 Security Appliance
  13. Firepower 9300 Security Appliance
  14. Multilayer Director Switches
  15. Nexus 1000V Series Switches
  16. Nexus 1100 Series Cloud Services Platforms
  17. Nexus 2000 Series Switches
  18. Nexus 3000 Series Switches
  19. Nexus 3500 Platform Switches
  20. Nexus 5000 Series Switches
  21. Nexus 5500 Platform Switches
  22. Nexus 5600 Platform Switches
  23. Nexus 6000 Series Switches
  24. Nexus 7000 Series Switches
  25. Nexus 7700 Series Switches
  26. Nexus 9000 Series Switches in NX-OS mode
  27. Nexus 9500 R-Series Line Cards and Fabric Modules
  28. UCS 6200 Series Fabric Interconnects
  29. UCS 6300 Series Fabric Interconnects
  30. Unified Computing System (UCS) 6100 Series Fabric Interconnects
Detalle Impacto de vulnerabilidades
Entre las múltiples vulnerabilidades publicadas destacan las siguientes por ser de criticidad alta:
  • Denegación de servicio por un fallo en la implementación de Cisco Firepower Extensible Operating System (FXOS) y NX-OS System Software.
  • Denegación de servicio por un fallo en la implementación de la funcionalidad 802.11v Basic Service Set (BSS) Transition Management en Cisco Wireless LAN Controllers.
  • Denegación de servicio por un fallo en Simple Network Management Protocol (SNMP) de Cisco Wireless LAN Controllers.
  • Vulnerabilidad de ejecución remota de código en Cisco Identity Services Engine (ISE) accesible a través de SSH puede ser aprovechada por un atacante local para ejecutar código abritrario con privilegios elevados.
  • Vulnerabilidad de ejecución remota de código en el servicio Smart Licensing Manager service de Cisco Firepower 4100 Series Next-Generation Firewall (NGFW) y Firepower 9300 Security Appliance podría permitir a un atacante remoto autenticado ejecutar comandos con privilegios de administrador.
  • Vulnerabilidad en el interfaz del framework para SQL de Cisco Prime Collaboration Provisioning podría permitir a un atacante remoto autenticado afectar a la confidencialidad e integridad de la aplicación.
  • Vulnerabilidad en la configuración del firewall de Cisco Application Policy Infrastructure Controller Enterprise Module (APIC-EM) podría permitir a un atacante no autenticado obtener acceso privilegiado a los servicios.
  • Denegación de servicio por un fallo en Extensible Authentication Protocol (EAP) al procesar tramas en Cisco Aironet 1560, 2800 y 3800 Series Access Points.
Recomendación
  • Cisco ha publicado actualizaciones para corregir estos problemas, no obstante recomienda que antes de desplegarlas, los clientes verifiquen la compatibilidad con los entornos en los que serán aplicadas.
Más información
Fuente: INCIBE
Publicado por en
Etiquetas:

GOOGLE. Declara obsoleto HTTP Public Key Pinning (HPKP)

La misma Google acaba con este estándar que anunció hace 3 años para prevenir los ataques "Man in the Middle" usando CAs vulnerados.
Hace 3 años se anunciaba con el rfc7469 esta medida de seguridad adicional, creada por la misma Google e implementado en sus servidores y el navegador Chrome con su versión 46, que previene de un posible 'ataque MitM de sustitución' haciendo uso de una CA vulnerada en la que confía el cliente.
La medida ha sido anunciada por Chris Palmer, que trabaja en la seguridad de Google Chrome, el pasado 27 de octubre. Entre las razones que exime para declararlo obsoleto se encuentra el alto riesgo de dejar un sitio inutilizable.
HTTP Public Key Pinning (HPKP) es una cabecera adicional enviada por el servidor que contiene la declaración de las claves públicas válidas para el sitio web durante un periodo de tiempo. En caso de cambiar la clave pública utilizada, como cuando se cifra la conexión con el certificado de otra CA, el cliente corta la conexión evitando así un posible ataque MitM. El problema de esta medida es que no se diferencia entre un cambio de clave pública fidedigno y un ataque real, pudiendo dejar el sitio inaccesible.
Además del problema antes descrito, puede que su baja adopción, con sólo un 0.1% según Netcraft, también sea una de las razones para su eliminación. Otra opción es el apoyo de Google a su otro proyecto similar (aunque complementario) Certificate Transparency.
Certificate Transparency (CT) es un proyecto de Google para el registro y monitorización de los certificados expedidos, el cual involucra a entidades de certificación, dueños de los certificados y clientes. Las CAs enviarían los cambios de los certificados que gestionan a los registros CT, los dueños podrían monitorizar los cambios indebidos sobre los certificados de sus dominios, y los clientes validarían el certificado que envía el sitio respecto al registrado en CT. Este nuevo sistema permite a los dueños saber rápidamente si están sufriendo un ataque, y a los clientes denegar el cambio fraudulento de no estar registrado.
Esta medida, que no requiere de cambios por los dueños de los sitios para su adopción, da solución a uno de los mayores problemas del ataque por reemplazo de certificado: la mayoría se realizan sin que el dueño se entere.
Más información:
Fuente: Hispasec.com
Publicado por en
Etiquetas:

SHADOWSOCKS. Ejecución arbitraria de comandos en

El investigador de seguridad, Niklas Abel, ha descubierto un problema de seguridad en la librería shadowsocks que podría resultar en una ejecución de comandos del shell arbitrarios.
Shadowsocks es una librería que implementa socks5 de forma segura.
El problema reside en el componente ss-manager, el cual no valida adecuadamente la entrada proveniente de usuario, en concreto, peticiones de configuración en formato JSON. Un usuario malintencionado podría ejecutar comandos de forma arbitraria a través de una petición especialmente manipulada.
La vulnerabilidad tiene asignado el CVE-2017-15924 (https://security-tracker.debian.org/tracker/CVE-2017-15924
Recomendación
Recomendamos que actualice sus paquetes y/o librerías para solventar esta vulnerabilidad.
Más información:
Fuente: Hispasec.com
Publicado por en
Etiquetas:

Exfiltrando fallos de seguridad en productos de Google a través de su Issue Tracker

El investigador y desarrollador Alex Birsan ha descubierto diversos fallos de seguridad en el 'Issue Tracker' de Google que le han permitido acceder a información técnica sobre graves vulnerabilidades en diferentes productos de la compañía.
Issue Tracker, también conocido como "Buganizer", es una herramienta usada por Google para llevar un registro de fallos, vulnerabilidades y futuras 'features' de sus productos.
La herramienta permite el acceso a usuarios que no pertenecen a la organización, pero sólo a ciertos tickets marcados como públicos. La mayor parte del contenido (más del 99%) sólo está disponible para usuarios a los que se les ha dado acceso explícito.
Como Birsan explica en su artículo, una fuga de información en la herramienta podría tener un grave impacto, por lo que se propuso poner a prueba la seguridad del sistema.
El primer intento de Birsan fue intentar conseguir una cuenta corporativa que le permitiera el acceso a zonas restringidas del sistema. Diferentes intentos le llevaron a descubrir que podía registrar una cuenta falsa y luego cambiar el correo por uno de tipo "@google.com" a través del correo de confirmación. Esto le permitió registrar la cuenta "buganizer-system+123123+67111111@google.com", que aunque no sirvió para conseguir acceso a Buganizer sí que permitía utilizar otros servicios exclusivos como GRide.
El segundo fallo descubierto por Birman permitía suscribirse a una 'issue' arbitraria cambiando el ID, al no aplicarse ningún control de acceso sobre esta llamada a la API. Aunque no consiguió filtrar ninguna información importante, Google clasificó esta vulnerabilidad como crítica.
La última vulnerabilidad reportada por Birsan es la más crítica y permitiría monitorizar en tiempo real toda la actividad que sucedía en el sistema de tickets. El fallo residía en una llamada a la API expuesta en el JavaScript de la página y que se utilizaba para dejar de recibir notificaciones sobre un cierto ticket.
Esta llamada revelaba en su respuesta todos los detalles sobre el ticket, sin implementar ningún control de acceso. Pudiendo conocer los detalles técnicos de cualquier fallo o vulnerabilidad simplemente consultando su ID.
A pesar de que los tickets de prioridad alta se corrigen en pocas horas, el equipo de Google atendió rápidamente las vulnerabilidades reportadas por Birsan y recompensó al técnico a través de su programa de 'bug bounty'.
Más información:
Fuente: Hispasec.com
Publicado por en
Etiquetas:

UNCAPTCHA. Rompe hasta 450 captchas en cerca de 5 segundos y medio.

Cuatro investigadores de la universidad de Maryland han diseñado un sistema automático capaz de romper el reCAPTCHA de Google con una precisión cercana al 85%
Este sistema no esta dirigido a resolver los retos basados en imágenes que ofrece reCAPTCHA sino las versiones de audio. El audio es utilizado para que aquellas personas que tengan dificultades para visualizar los retos puedan resolver aquellos que reCAPTCHA ofrece.
unCAPTCHA descarga el audio del puzzle y lo suministra a 6 sistemas distintos 'Text-To-Speech'. Estos sistemas traducen el audio a texto y unCAPTCHA escoge la respuesta más probable que es posteriormente enviada a los servidores de Google.
Los investigadores que trabajaron en este sistema hicieron pruebas para comprobar la eficiencia de esta herramienta, llegando a un 85,15% de precisión al romper 450 reCAPTCHAS en casi cinco segundos y medio.
Existen otras herramientas como ReBreakCaptcha cuya finalidad y metodología es prácticamente idéntica, sin embargo unCAPTCHA informó en todo momento a Google de su investigación, permitiendo mejorar el sistema.
Según afirman los investigadores, tras comunicarse los hallazgos Google comenzó a limitar el éxito de unCAPTCHA. Por ejemplo se detectaron mejoras en la detección de navegadores bloqueando el uso de Selenium, que al ser usado el audio obtenido contenía fragmentos sin sentido o incluso texto añadido, cuando antes únicamente contenían dígitos.
Más información:
Fuente: Hispasec.com
Publicado por en
Etiquetas:

Inclusión de fichero local en Sophos UTM 9

El investigador Matt Bergin (@thatguylevel) de KoreLogic ha descubierto una vulnerabilidad que permite la inclusión local de ficheros (LFI, Local File Inclusion) en Sophos UTM 9.
Cualquier usuario con permiso de lectura sobre los registros puede leer cualquier archivo del sistema local utilizando una cuenta de usuario con privilegios limitados. Esto puede usarse para leer el fichero de registro 'confd' y obtener privilegios de root a través de su identificador de sesión SID'.
El cliente 'confd' no está permitido para las cuentas de usuarios, pero es posible enumerar un directorio que contiene subdirectorios cuyo nombre son los identificadores de sesión (SID). Se pueden realizar solicitudes de nombres de usuarios, como por ejemplo el usuario admin.
Cualquier usuario con permisos de acceso a la funcionalidad 'Loggin & Reporting' dentro de la aplicación de administración puede leer ficheros del sistema. En la imagen vemos la petición 'POST' que se hace y como está construida, el valor 'SID' corresponde con el usuario admin.
Al disponer de los valores 'SID' podemos filtrar los identificadores de sesión de los usuarios con mayores privilegios, por ejemplo si explotamos esta vulnerabilidad usando una cuenta de administrador podremos usarla para cambiar el directorio raíz y las contraseñas de los usuarios registrados.
Recomendación
  • El equipo de Sophos ha lanzado la versión 9.503 que corrige esta vulnerabilidad. Se recomienda actualizar lo más pronto posible.
Más información:
Fuente: Hispasec.com
Publicado por en
Etiquetas:

Vulnerabilidades en routers WiFi TP-Link WR940N

Recientemente el investigador Tim Carrington (@__invictus_) ha descubierto dos vulnerabilidades (una de denegación de servicio y otra de ejecución de código remoto) en routers TP-Link WR940N.
Para explotar estas vulnerabilidades se necesita conocer las credenciales de administración del dispositivo.
La vulnerabilidad de denegación de servicio se explota a través de un campo que se encuentra en el panel de administración, en concreto en la herramienta de diagnóstico.
Si pasamos una cadena superior a 50 caracteres al campo 'pingAddr' desencadenamos la denegación del servicio y el reinicio del dispositivo.
En cuanto a la vulnerabilidad de desbordamiento de buffer, los valores de la llamada a 'httpGetEnv' (parámetros 'ping_addr', 'isNew') son valores pasados por peticiones 'GET', que son pasados a su vez a la función 'ipAddrDispose'.
Al comienzo de la ejecución de la función se declara una variable que luego es pasada como argumento a la función 'strcpy' sin realizar validación alguna sobre la longitud del argumento introducido, dando como resultado un desbordamiento de buffer. A partir de esta vulnerabilidad podemos ejecutar código remoto con el exploit adecuado.
Estas vulnerabilidades se consideran críticas, pues fuera parte de producir la detención del servicio, también se puede ejecutar código remotamente. TP-Link ya ha desarrollado un parche para estas vulnerabilidades, alq ue como siempre se recomienda actualizar.
Adicionalmente, se encuentra disponible el exploit para esta vulnerabilidad, que se puede encontrar en este enlace. https://www.exploit-db.com/exploits/43022/
Más información
Fuente: Hispasec.com
Publicado por en
Etiquetas:

APLICACIONES DE CITAS. En el foco de la seguridad

Investigadores de Kaspersky Labs publican un extenso e interesante estudio sobre las medidas de seguridad presentes en las aplicaciones de citas online.
El estudio abarca un total de 9 plataformas, incluidas las populares Tinder y Badoo, sobre las que se realiza un análisis en diferentes aspectos de la seguridad de las que la mayoría no salen del todo bien paradas.
Una de las principales preocupaciones es que los datos proporcionados por la aplicación permitan a acosadores ir más allá de esta y les permita encontrar a otros miembros de la plataforma en otras redes sociales o incluso en el mundo real. Por ejemplo Tinder y Bumble permiten publicar a los usuarios datos sobre trabajo y estudios, lo que permitiría estrechar el cerco sobre ellos a la hora de localizarlos. Happn, además, guarda un campo 'fb_id' que en ciertos escenarios muestra directamente el identificador en Facebook.
Un problema aun más serio es el relacionado con las capacidades de localización. Dos tercios de las aplicaciones permiten fácilmente localizar a otros usuarios mostrando la distancia entre el atacante y ellos. Eso sí, cada cual con su propia exactitud.
En cuanto a la seguridad de las comunicaciones, la mayoría de las aplicaciones utilizan, en algún punto, cifrado TLS. Y decimos "en algún punto" porque en ciertas transacciones de datos no es usado. Por ejemplo, Tinder, Paktor, Bumble (Android) y Badoo (iOS) realizan peticiones con fotografías sin cifrar y otra información como localización y datos personales. La aplicación Mamba, además sube datos específicos del dispositivo como su fabricante y modelo. Tanto en esta como en Zoosk, un atacante que esté capturando e inyectando tráfico podría llegar a administrar la cuenta.
Y aun usando HTTPS en el resto de comunicaciones el usuario sigue estando en riesgo, ya que la mayoría de las aplicaciones no comprueban la validez de los certificados. Excepto Badoo, Bumble y Zoosk en su versión Android, las aplicaciones son vulnerables a ataques "Man in the Middle" mediante el uso de certificados no verificados, llegando a interceptar en algunos casos tokens de autenticación y contraseñas.
Como punto final, en un escenario que afecta especialmente a los usuarios de Android, los datos almacenados en el teléfono por la mayoría de las aplicaciones son susceptibles al acceso por el usuario root. Esto significa que algunas aplicaciones capaces de obtener estos privilegios en el sistema (como por ejemplo algunos troyanos) pueden obtener credenciales de acceso y el listado de los mensajes enviados, entre otra información.
En conclusión, parece que es WeChat la que sale mejor parada, aunque desgraciadamente no es una aplicación de citas como tal. De estas, parece que Badoo y Bumble, en sus versiones para iOS, son las que mayor nivel de seguridad ofrecen.
Más información:
Fuente: Hispasec.com
Publicado por en
Etiquetas: ,

Sistemas de comunicación marítima con vulnerabilidades típicas de hace una década

La empresa de seguridad IOActive ha descubierto dos vulnerabilidades críticas en AmosConnect 8, un software de comunicaciones marítimas. Estas vulnerabilidades permiten comprometer el servidor del barco que contiene este software.
AmosConnect 8 es un sistema de comunicaciones marítimas enfocado a barcos. Optimizado para trabajar con el recurso costoso que es una conexión satélite a Internet, permite el envío de correos, la navegación por Internet, reportar la posición del barco, mensajería instantánea... Este software se instala en un servidor conectado a un terminal de comunicación de datos via satélite.
IOActive, que lleva unos años analizando la seguridad de este tipo de sistemas, ha encontrado dos vulnerabilidades en el panel web de acceso al servidor de AmosConnect. Ambas vulnerabilidades llaman la atención, pues una de ellas usa una variante sofisticada del ataque de inyección SQL, y otra permite ejecutar código arbitrario con privilegios de administrador gracias a una cuenta oculta de administración con contraseña fácilmente calculable.
La primera de las vulnerabilidades es de la familia de las inyecciones SQL (concretamente la variante a ciegas, blind). La variante básica de este ataque está a punto de cumplir 20 años (se considera que la primera mención pública fue en 1998), y la solución simplemente consiste en usar una librería muy fácil de usar (habrá cientos de ellas, y para cualquier plataforma). Es por esto que llama la atención esta vulnerabilidad a estas alturas de la película. La variante blind complica la extracción de información, pero no la hace imposible.
En este caso, el nombre de usuario y la contraseña de los usuarios en el servidor de AmosConnect se almacena en texto plano en la base de datos, con lo que es trivial extraer esa información con las herramientas adecuadas. Concretamente, la URL vulnerable es aquella que recibe la petición de autorización en el panel de acceso web (en su parámetro 'data[MailUser][emailAddress]'):
La segunda vulnerabilidad es más grave todavía, combinación de dos errores clásicos: la existencia de una cuenta de administración oculta, y que una contraseña se genere usando información pública. Los investigadores se dieron cuenta de la existencia de código dentro del sistema de autenticación que manejaba la posibilidad de autenticarse con una cuenta oculta que además poseía privilegios de administración, con nombre SysAdmin. Y dentro de ese código, vieron cómo la contraseña de esa cuenta se generaba únicamente usando la ID de soporte del producto, que aparece públicamente en el panel web de acceso...
Una vez dentro de esta cuenta de administración, es posible crear tareas desde el panel para que se ejecuten a nivel de sistema operativo con  privilegios de administrador, con lo que se puede ejecutar código arbitrario y comprometer completamente el servidor.
La pregunta clave es: ¿Cómo de grave es esto?
Pues bien, la respuesta es que bastante, pero no como para causar un escándalo. La vulnerabilidad no se puede explotar desde fuera de la red del barco, pero comprometer desde cero un servidor local no es ninguna tontería. Y además, está el problema de que la red no esté bien aislada y se pueda saltar a otros servidores, o que incluso en el mismo servidor estén instalados otros servicios críticos de navegación... En cualquier caso, la versión a la que afecta dejó de ser soportada hace meses. Los servidores proporcionados por la empresa del software están cerrados para la versión afectada, para forzar a sus usuarios a que cambien de versión.
Más información:
Fuente: Hispasec.com
Publicado por en
Etiquetas:

BADRABBIT. Última versión de Notpetya/Petya.

BadRabbit es un ransomware que cuenta con muchos elementos similares a NotPetya, lo que sugiere que los autores detrás del ataque sean los mismos. Sin embargo esta vez el cifrado se ha sustituido por una herramienta más avanzada para evitar los errores cometidos anteriormente. Durante el análisis nos centraremos en la DLL maliciosa.
A diferencia de NotPetya, este malware no hace uso de EternalBlue para distribuirse. Sin embargo, de manera similar utiliza 'WMIC' para distribuir los archivos y realiza un escaneo de la red interna buscando 'SMB' compartidos, entre los que se encuentran:
En esta ocasión se cuenta con listado de credenciales empleadas para llevar a cabo ataques de diccionario sobre los dispositivos remotos, junto con un módulo basado en Mimikatz para recolectar usuarios y contraseñas.
Se puede observar también que existen directorios que no se ven afectados por el ransomware. Los directorios \\Windows, \\Program Files, \\ProgramData y \\AppData no son cifrados.
La lista de extensiones afectadas podemos verla a continuación.
 .3ds .7z .accdb .ai .asm .asp .aspx .avhd .back .bak .bmp .brw .c .cab .cc .cer .cfg .conf .cpp .crt .cs .ctl .cxx .dbf .der .dib .disk .djvu .doc .docx .dwg .eml .fdb .gz .h .hdd .hpp .hxx .iso .java .jfif .jpe .jpeg .jpg .js .kdbx .key .mail .mdb .msg .nrg .odc .odf .odg .odi .odm .odp .ods .odt .ora .ost .ova .ovf .p12 .p7b .p7c .pdf .pem .pfx .php .pmf .png .ppt .pptx .ps1 .pst .pvi .py .pyc .pyw .qcow .qcow2 .rar .rb .rtf .scm .sln .sql .tar .tib .tif .tiff .vb .vbox .vbs .vcb .vdi .vfd .vhd .vhdx .vmc .vmdk .vmsd .vmtm .vmx .vsdx .vsv .work .xls .xlsx .x ml .xvd .zip
La mayoría de extensiones son las más comunes entre el ransomware, aunque esta vez incluye objetivos como archivos de maquinas virtuales para los distintos sistemas de virtualización además de ficheros comprimidos, documentos de Office, vídeo, código (.java, .c, .cpp, etc)
El cifrado se lleva a cabo a través de DiskCryptor, un software legítimo utilizado para hacer un cifrado completo del disco, el cual es instalado como servicio por el malware. Las claves aleatorias se generan a través de una función criptográficamente segura CryptGenRandom y luego son protegidos por una clave publica RSA 2048 harcodeada.
Finalmente, la clave aleatoria es utilizada como argumento en otra herramienta encargada de hacer el cifrado del archivo:
schtasks /Create /RU SYSTEM /SC ONSTART /TN rhaegal /TR %ws /C Start \"\" \"%wsdispci.exe\" -id %u && exit"
De momento, el ataque parece dirigido a usuarios de Europa del Este por lo que los países como Rusia, Bulgaria y Ukrania se ven afectados por el ataque en su mayoría; aunque también Japón y Turquía reciben un numero elevado de infecciones. La distribución se hace a través de un javascript malicioso.
Este malware necesita permisos de creación de archivos en carpetas que requieren privilegios de administrador. Por tanto, si el ransomware no es ejecutado como administrador y existen unas políticas correctas en el sistema no se llegará a ejecutar con éxito. Otra manera de evitar la infección, es crear un archivo C:\perfc.dat con permisos de READ-ONLY (sólo lectura) que al estar presente provocará que el ransomware no siga realizando ninguna acción.
Más información:
Fuente: Hispasec.com
Publicado por en
Etiquetas:

SOCKBOT. Malware para Android que conecta tu dispositivo a una botnet

Los investigadores de Symantec han informado sobre la presencia de muestras de Sockbot en el catálogo de Google Play. Sockbot es un malware capaz de registrar dispositivos en una botnet y realizar ataques de denegación de servicios distribuídos.
El malware ha conseguido disuadir los controles de seguridad de Google haciéndose pasar por una aplicación legítima para modificar 'skins' de Minecraft.
Además de eso, el código malicioso está ofuscado y sus 'strings' principales van cifradas, lo que dificulta su detección.
Según Symantec la infección se ha extendido ampliamente: alrededor de 2.6 millones de dispositivos desde EEUU y Rusia hasta Brasil y Alemania.
El nombre del malware ya deja adivinar lo que hace: Sockbot inicia un servicio proxy SOCKS en el dispositivo infectado. De este modo el atacante puede enviar anuncios desde el C&C y mostrarlos en los dispositivos infectados sin su consentimiento. Aunque la funcionalidad principal de Sockbot es la de mostrar anuncios, un atacante podría utilizar el mismo método para controlar un gran número de dispositivos infectados y realizar ataques de denegación de servicio distribuídos (DDoS).
Google ya ha retirado las ocho aplicaciones que habían conseguido colarse en su market y tomado las medidas oportunas contra su desarrollador 'FunBaster'.
Más información:
Fuente: Hispasec.com
Publicado por en
Etiquetas:

Botnet IoT. Crece en las sombras durante el mes de septiembre

Investigadores de 360.cn y CheckPoint descubren una botnet que rápida y silenciosamente ha infectado a cerca de dos millones de dispositivos. La mayoría de ellos, cámaras IP y grabadoras de video en red.
La botnet, referenciada como IoT_reaper fue descubierta en el mes de septiembre. Desde entonces, ha sufrido muchas modificaciones y aumentado el numero de dispositivos infectados.
Esta botnet que "surge" de Mirai utiliza código de dicha botnet. Sin embargo, posee muchas distinciones y nuevos mecanismos que la separan lo suficiente de Mirai para considerarlo una nueva amenaza.
Como diferencia insignia, IoT_reaper abandona el uso de ataques de fuerza bruta utilizando contraseñas por defecto o débiles escaneando puertos telnet abiertos. En su lugar, utiliza exploits para tomar el control de aquellos dispositivos que no hayan sido parcheados, añadiéndolos así a su infraestructura.
La botnet actualmente, cuenta con 9 vulnerabilidades que explota:
-      D-Link 1  https://blogs.securiteam.com/index.php/archives/3364
-      D-Link 2  http://www.s3cur1ty.de/m1adv2013-003
-      GOAHEAD         https://pierrekim.github.io/blog/2017-03-08-camera-goahead-0day.html
-      JAWS      https://www.pentestpartners.com/blog/pwning-cctv-cameras/
-      Netgear  https://blogs.securiteam.com/index.php/archives/3409
-      Vacron    https://blogs.securiteam.com/index.php/archives/3445
-      Netgear 2          http://seclists.org/bugtraq/2013/Jun/8
-      LinkSys   http://www.s3cur1ty.de/m1adv2013-004
-      AVTECH  https://github.com/Trietptm-on-Security/AVTECH
A esta lista, se continuan incluyendo nuevas vulnerabilidades a medida que la botnet se actualiza. El malware contiene un listado "openr resolvers", funcionalidad que le permite llevar a cabo ataques de amplificación de DNS con relativa facilidad (http://openresolverproject.org/)
La botnet contiene la runtime de LUA, y contacta con un servidor remoto para ejecutar módulos de manera dinámica.
Durante el análisis no se ha observado la presencia de comandos que hagan referencia a un ataque DDoS, lo que da pie a pensar que es una botnet aún en desarrollo activo.
Basándonos en los datos conocidos del día 19 de Octubre, el número de nodos activos alcanza la cifra de 10.000. Suponiendo que el atacante tenga más de 10.000 nodos activos diariamente, y que cada nodo cuenta con una velocidad de subida de 10mbps, estaríamos hablando de una potencia de 100Gbps.
En caso de contar con dispositivos IoT en el hogar, lo ideal es identificar si poseen vulnerabilidades y contactar con el fabricante para obtener más información y de esa manera poder parchearlas. 
Más información:
僵尸网络】IOT_REAPER : 一个正在快速扩张的新 IOT僵尸网络: http://www.debugrun.com/a/2JX1gIQ.html
Fuente: Hispasec.con
Publicado por en
Etiquetas: ,

Nueva versión 2.1 del software genRSA en Java: generación de claves RSA

Desde hoy se encuentra disponible para su libre descarga el software de laboratorio genRSA v2.1, realizado por D. Rodrigo Díaz Arroyo como su trabajo fin de grado en Ingeniería de Computadores en la Universidad Politécnica de Madrid, bajo la dirección del profesor Jorge Ramió Aguirre.
Se trata de un software de prácticas desarrollado en Java y JavaFX, que implementa toda la lógica de la aplicación gracias al uso de la clase BigInteger.
El software incluye manual de usuario y banco de pruebas, accesibles además desde la misma aplicación.
Diseñado para prácticas de laboratorio de criptografía con el algoritmo RSA, corresponde a una actualización completa del antiguo programa genRSA v1.0 del año 2004, a partir de hoy obsoleto, realizado por D. Juan Carlos Pérez García y que en sus 13 años de existencia ha superado las 26.000 descargas en la red.
Puede saber si su versión de genRSA v2.1 es la última actualización, observando en Acerca de (pestaña Ayuda) la zona inferior derecha de la pantalla. Esta viene indicada como año, mes y día, siendo la primera 20171018.
Entre las prestaciones de genRSA v2.1 se encuentran:
Generación manual y automática de claves de hasta 4.096 bits, en formato decimal y hexadecimal. - Opciones de guardar, abrir o borrar clave.
Indicación automática de separación por miles en números decimales.
Posibilidad de generar claves con primos de igual tamaño, diferentes tamaños y con primos seguros.
Indicación del tiempo requerido para generar la clave.
En generación de clave automática, elección de valor mínimo para la clave pública e, o bien el estándar F4.
Indicación del tamaño de bits de cada parámetro de la clave generada, incluidas las claves privadas parejas CPP.
Listado completo de las claves privadas parejas CPP.
Indicación de la cantidad de números no cifrables NNC.
Generación del log de números no cifrables NNC, indicando el porcentaje que se ha computado.
Opciones de cifrado y descifrado, así como firma y verificación de la firma.
Opción de cifrado y/o firma de textos, agrupando éstos en bloques de bytes según el tamaño del módulo.
Test de primalidad de Miller Rabin y de Fermat con hasta 300 iteraciones.
Ataque por factorización Pollard Rho (óptimo: módulo 80 bits, tiempo < 10 segundos).
Ataque por paradoja del cumpleaños (óptimo: módulo 50 bits, tiempo < 10 segundos).
Ataque por cifrado cíclico (óptimo: módulo 36 bits, tiempo < 10 segundos).
Otro software de prácticas de libre descarga desde Criptored que se ha actualizado recientemente es Criptoclásicos version 2.1, en su compilación 20170917 del 17 de septiembre de 2017:
URL Criptoclásicos v2.1 http://www.criptored.upm.es/software/sw_m001c.htm
Fuente: Hispasec.com
Publicado por en
Etiquetas:

MALWAREBYTES. Finaliza soporte de la herramienta Junkware Removal Tool

Junkware Removal Tool es una conocida aplicación, desarrollada por un responsable de Bleeping Computer en 2012 y, posteriormente, comprada y mantenida por la firma de seguridad Malwarebytes, especialmente diseñada para permitir a los usuarios borrar todo tipo de adware de sus equipos sin dejar rastro, para evitar que este se volviera a regenerar.
Este limpiador de adware es ampliamente utilizado en todo tipo de tiendas y soporte técnico y, además, recomendado en multitud de foros para ayudar a los usuarios con problemas a eliminar el malware de sus equipos, acumulando más de 8 millones de descargas.
Los responsables de Junkware Removal Tool han anunciado el final de soporte de este limpiador de adware. El principal motivo de esta decisión es que MalwareBytes también ha comprado recientemente otro limpiador de adware más moderno, AdwCleaner, el cual funciona prácticamente igual que JRT, con la diferencia de que esta nueva aplicación lleva a sus espaldas más de 50 millones de descargas.
Alternativas a Junkware Removal Tool
Como hemos explicado, desde ahora, este limpiador de adware ya no va a contar con soporte, por lo que no se va a actualizar sus bases de datos ni reglas, aunque seguirá siendo totalmente funcional para todos aquellos usuarios que lo tengan ya descargado en sus ordenadores y, además, el binario de la última versión se va a poder seguir descargando, según las necesidades de cada uno, desde el siguiente enlace.
La principal razón por la que se descontinúa el desarrollo de Junkware Removal Tool es porque no tiene sentido mantener dos aplicaciones tan diferentes que comparten la misma finalidad. Por ello, Malwarebytes quiere centrar sus esfuerzos en seguir desarrollando y mejorando su nuevo limpiador de adware, AdwCleaner.
Por ello, si necesitamos analizar y limpiar nuestro ordenador, lo mejor que podemos hacer es descargar la última versión de esta nueva herramienta ya que hará lo mismo que hasta ahora hacía Junkware Removal Tool y, además, contará con nuevas funciones y características adicionales para ofrecernos una mejor limpieza de todo tipo de adware.
Además de estas dos aplicaciones, si necesitamos analizar nuestro ordenador y eliminar cualquier rastro de adware que pueda haber en él, otras alternativas que también podemos tener en cuenta son Malwarebytes Anti-malware, la herramienta más completa de esta compañía, y herramientas de terceros como Spybot – Search & Destroy o SUPERAntiSpyware, herramientas especializadas en la detección y eliminación tanto de adware como de otro tipo de software malicioso, como el spyware.
Fuente: Redes Zone.net
Publicado por en
Etiquetas:

DASHLANE 5. Lanzada la nueva versión del administrador de contraseñas

Dashlane 5 es la versión más reciente del administrador de contraseñas multiplataforma que está disponible para sistemas operativos de escritorio (Mac y Windows) y móviles, así como una versión web. Este gestor de contraseñas es muy completo. Su utilidad es la de ayudarnos a recordar las claves de todas las cuentas que tenemos. Cada vez nos registramos en más páginas, aplicaciones, datos de cuentas bancarias… Son muchas y, al menos por recomendación, cada una diferente.
Dashlane 5
La actualización del administrador de contraseñas está disponible para Windows, Mac, iPhone, iPad, Android y la Web. El soporte para Linux, Chromebook y Microsoft Edge se presenta en la nueva versión, de modo que ahora está disponible en todas las plataformas principales.
Los usuarios existentes pueden descargar actualizaciones para sus dispositivos, los nuevos usuarios pueden descargar la última versión de la aplicación para sus sistemas operativos desde el sitio web de Dashlane.
Cambios en la nueva versión
Dashlane 5 viene con muchos cambios. Los más importantes, además del soporte para los nuevos sistemas, son las siguientes mejoras:
Función de autocompletado autocorregible para que muchos campos no reconocidos pasen a ser parte del pasado.
Los usuarios de Apple en dispositivos compatibles con Face ID pueden usar la función para autenticación.
Dashlane 5 es compatible con el sistema de inicio de sesión automático en la aplicación de Android O para iniciar sesión en aplicaciones de este sismtea operativo.
Dashlane en dispositivos móviles se puede usar como una aplicación de autentificación (función premium).
La nueva versión es compatible con Intel Software Guard Extensions (SGX) y Universal 2nd Factor (U2F).
Agregar, editar o eliminar credenciales y tipos de pago en la web.
Password Changer admite el cambio de contraseñas directamente desde la aplicación en más de 500 sitios web.
Se ha agregado soporte para los idiomas holandés, sueco, chino y coreano.
Indicaciones de Dashlane, logotipo e icono actualizados.
Mejoras en la tecnología semántica para mejorar el sistema de inicio de sesión.
En definitiva, Dashlane es uno de los servicios más recomendados para mantener nuestros datos y claves personales a salvo. Al mismo tiempo los podemos recordar. Esta nueva actualización trae considerables mejoras y funciones que los usuarios sabrán valorar.
Precios y versiones
Dashlane Premium está disponible por 3,33 dólares al mes si se factura anualmente, Dashlane Business por 4 dólares por usuario si se factura anualmente.
La versión gratuita admite el almacenamiento ilimitado de contraseñas y datos en un solo dispositivo, pero no la sincronización de contraseñas entre dispositivos u otras funciones que sí vienen en la de pago, como la autenticación de dos factores o la copia de seguridad de la cuenta.
Como hemos mencionado, la seguridad es muy importante para mantener nuestras cuentas a salvo. No es recomendable utilizar una misma clave para todos los registros. Es por ello que llega un momento en el que podemos olvidar alguna. Especialmente de aquellas aplicaciones o páginas que no usamos frecuentemente.
Con un gestor de contraseñas como Dashlane 5 podemos recordar las contraseñas y tenerlas siempre a salvo.
Fuente: Ghacks
Publicado por en
Etiquetas:
Suscribirse a: Entradas (Atom)