SAMSUNG. Unificación de servicios IoT en una única plataforma y anuncio del asistente Bixby 2.0

La compañía tecnológica Samsung ha presentado este miércoles su nueva estrategia de Internet de las Cosas (IoT), que contempla la unificación de sus servicios de esta tecnología bajo la plataforma SmartThings Cloud y la versión 2.0 del asistente Bixby con un nuevo SDK, entre otras novedades.

Samsung ha detallado su nueva hoja de ruta en el ámbito del IoT en el marco de la Samsung Developer Conference (SDC) 2017, que se celebra en San Francisco (Estados Unidos). Uno de sus principales anuncios ha sido la integración de sus actuales servicios de Internet de las Cosas --SmartThings, Samsung Connect y ARTIK-- en la plataforma SmartThings Cloud, que "proporcionará una plataforma única basada en la nube que podrá conectar y controlar de manera sencilla los productos y servicios IoT desde una ubicación centralizada", ha detallado la compañía en un comunicado.

BIXBY 2.0

Samsung también ha presentado Bixby 2.0 con un nuevo SDK, integrado con VIV Technologies. La empresa asiática ha tratado de desarrollar "un ecosistema universal, personal, conectado y abierto", para lo que incluirá este asistente virtual en una amplia variedad de dispositivos de la marca, desde las Smart TV a los frigoríficos Family Hub. De esta manera, Bixby se sitúa "en el centro del ecosistema de inteligencia de los consumidores".

Bixby 2.0 incluye facilidades de conexión "con un lenguaje natural y sencillo, mejorando el reconocimiento de cada usuario y creando una experiencia predictiva y personalizada que permite anticiparse a sus necesidades", ha explicado Samsung. La compañía pondrá a disposición herramientas para que la plataforma llegue a un mayor número de aplicaciones y servicios. El SDK de Bixby estará disponible en primera instancia para determinados desarrolladores a través de un programa beta privado, para en un futuro anunciar su disponibilidad al completo.

Samsung también ha mostrado Project Ambience, un pequeño 'dongle' o chip que se puede acoplar a una amplia variedad de objetos, lo que les permite conectarse sin problemas y crear una experiencia Bixby omnipresente. Este nuevo concepto refleja la próxima generación de IoT, la de la 'Inteligencia de las Cosas', que combina IoT y la inteligencia para facilitar la vida de los usuarios.

Asimismo, Samsung ha anunciado que, mediante un acuerdo con Google, los desarrolladores podrán utilizar el SDK de ARCore para llevar la realidad aumentada a los usuarios de Galaxy S8, Galaxy S8+ y Galaxy Note8. Este acuerdo estratégico con Google "ofrece nuevas oportunidades de negocio para los desarrolladores, y al mismo tiempo crea las mejores experiencias de uso para los consumidores", ha destacado la firma surcoreana.

Fuente: Europa Press

GOOGLE CHROME 62.Nueva versión que corrige 35 vulnerabilidades

Google ha lanzado una nueva actualización de su navegador, Google Chrome 62, muy importante en términos de seguridad, pues la versión llega con importantes mejoras y correcciones como vamos a ver a continuación.

Una de las novedades que iba a llegar a Google Chrome 62 es una nueva forma de gestionar las conexiones HTTP, considerando todas aquellas que cuenten con cuadros de introducción de texto como inseguras, así como todas las webs HTTP que se carguen desde el modo incógnito.

Esta nueva medida de seguridad está pensada para seguir forzando a los desarrolladores y administradores de páginas web a implementar el uso del protocolo HTTPS en todas las páginas, incluso aunque no manejen datos personales. A diferencia de lo que ocurría hace ya algunos años, hoy en día es muy sencillo implementar una conexión segura en una página web, y podemos hacerlo de forma gratuita gracias a proyectos como Let’s Encrypt. Además, con CloudFlare, es posible configurar conexiones HTTPS en cualquier página web solo con un clic de ratón, más sencillo y rápido imposible.

Además de esta nueva medida de seguridad, Google Chrome 62 también soluciona 35 vulnerabilidades y fallos de seguridad descubiertos tanto por los propios ingenieros de Google como por investigadores externos.

Una de las vulnerabilidades más importantes solucionadas por esta versión ha costado más de 8800 dólares a la compañía y, a falta de los detalles técnicas, permitía realizar UXSS a través de MHTML.

La segunda de las vulnerabilidades más importantes ha tenido una recompensa de 5000 dólares y se basaba en un fallo Heap overflow en el componente Skia.

Las demás vulnerabilidades consideradas como “peligrosidad alta” han recibido recompensas de 3000 dólares cada una y, principalmente, se basan en permitir el uso después de la liberación de recursos en los componentes PDFium, WebGL y WebAudio.

En total, estas 35 vulnerabilidades han supuesto a la compañía más de 37.500 dólares en recompensas Bug Bounty. Por motivos de seguridad, Google no ha publicado aún toda la información relacionada con estas vulnerabilidades, aunque sí debería hacerlo a lo largo de los próximos días.

Podemos ver información detallada sobre estas vulnerabilidades en el siguiente enlace. https://chromereleases.googleblog.com/2017/10/stable-channel-update-for-desktop.html

El nuevo Google Chrome 62 está ya disponible para Windows, macOS y Linux, y llegará a Android y iOS en las próximas horas.

Recomendación

Todos los usuarios de Google Chrome deberían recibir automáticamente esta nueva versión del navegador.

Para comprobar si ya tenemos instalada esta versión, o forzar a que el navegador busque actualizaciones, lo único que debemos hacer es ir al apartado de Opciones > Ayuda > Información de Google Chrome y ver qué versión nos aparece aquí.

Igualmente, también podemos descargar esta nueva versión de forma totalmente gratuita desde su página web principal. https://www.google.com/chrome/browser/desktop/index.html

Fuente: Redes Zone.net

Hackers norcoreanos robaron información militar a Corea del Sur y Estados Unidos

 Según un legislador surcoreano, los 235 GB de datos fueron robados de Corea del Sur y contienen planes detallados en colaboración con los Estados Unidos, así como información sobre contingencias e infraestructuras.

El servicio de noticias Yonhap informó que un miembro legislador del partido político gobernante en el país confirmó que los infiltrados de Corea del Norte adquirieron documentos militares con éxito. Según el servicio, el Pentágono no ha confirmado la naturaleza de la brecha de seguridad ya que no es una cuestión de inteligencia, pero su portavoz, el Coronel Rob Manning, aseguró: "confiamos en la seguridad de nuestros planes de operaciones y en nuestra capacidad de hacer frente a cualquier amenaza de Corea del Norte".

Según la BBC, el hack se llevó a cabo en septiembre del 2016, ya que en mayo Corea del Sur observó que se había tomado una gran cantidad de datos y aseguró que Corea del Norte pudo ser el culpable, pero no dio detalles sobre cuándo tuvo lugar el ataque.

Sea como haya sido, esta noticia llega en un momento muy delicado. El líder norcoreano ya declaró hace unas semanas que los tweets incendiarios de Trump eran equivalentes a las declaraciones de guerra en su país. Además, hace una semana se informaba que Estados Unidos había estado participando en una gran campaña para paralizar el acceso a internet del departamento de espionaje de Corea del Norte saturando sus conexiones con mucho tráfico. Aunque el país podría haber encontrado una alternativa accediendo desde Rusia.

Fuente: es.engadget.com

MICROSOFT. Publicados los boletines de seguridad de octubre de 2017

La publicación mensual de actualizaciones de seguridad de Microsoft este mes consta de 63 vulnerabilidades, 28 clasificadas como críticas y 35 como importantes, siendo el resto de severidad media o baja.

Recursos afectados:

1. Internet Explorer
2. Microsoft Edge
3. Microsoft Windows
4. Microsoft Office and Microsoft Office Services and Web Apps
5. Skype for Business and Lync
6. Chakra Core

Detalle de la actualización

En el boletín de actualizaciones de seguridad correspondiente al mes de septiembre se han publicado vulnerabilidades de seguridad de los siguientes tipos:

• Ejecución remota de código
• Evasión de la seguridad
• Defense in Depth
• Escalado de privilegios
• Denegación de servicio
• Divulgación de información

Recomendación

• Instalar la actualización correspondiente. En la página de información de instalación de las actualizaciones de seguridad, se informa de los distintos métodos de actualización desde https://support.microsoft.com/en-us/help/20170912/security-update-deployment-information-september-12-2017

Más información

• Certsi_ https://www.certsi.es/alerta-temprana/avisos-seguridad/boletines-seguridad-microsoft-octubre-2017

Fuente: INCIBE

MICROSOFT. Con S/MIME, Outlook no envíaba mensajes cifrados

El fallo de seguridad, registrado como CVE-2017-11776, fue descubierto entre mayo y junio, tanto por un investigador de seguridad como por un usuario de los foros de Microsoft que aseguraba que su Outlook no estaba cifrando correctamente los mensajes enviados con S/MIME.

Microsoft, finalmente empezó a estudiar este problema de seguridad y, tras identificarlo, finalmente lo solucionó, intentando guardarlo en secreto hasta que el parche llegara a todos los usuarios para evitar que piratas informáticos pudieran aprovecharse de él.

Sí que es verdad que para que este fallo pudiera explotarse se tenían que dar una serie de circunstancias que permitieran a un atacante hacerse con la información de estos correos, entre ellas:

1. Que se utilizara S/MIME con claves públicas (PGP y GPG no están afectados).
2. El filtrado solo puede realizarse al enviar los mensajes, no al recibirlos.
3. Los mensajes en formato HTML (formato por defecto de Outlook) no se filtraban, solo los enviados como texto plano.

Microsoft ha solucionado este problema de seguridad en Outlook hoy mismo

Así es, desde hoy está disponibles los nuevos parches de seguridad de Microsoft para octubre de 2017, parches con los que la compañía ha solucionado un gran número de problemas y errores, entre los que se encuentra este fallo con el cifrado S/MIME.

Además de este fallo de seguridad de Outlook, Microsoft también ha solucionado varios fallos de seguridad en todas las versiones con soporte de Windows, por lo que es recomendable instalar estos parches cuanto antes para evitar seguir expuestos ante los fallos de seguridad ya solucionados y evitar tener que lamentarnos después por no haberlos instalado, como ocurrió hace unos meses con WannaCry.

Fuente: bleepingcomputer

MICROSOFT. Grave fallo en los DNS de Windows permite ejecutar código

Hace algunas horas, Microsoft daba a conocer un nuevo fallo de seguridad descubierto por un investigador de seguridad de la empresa BishopFox para su sistema operativo, un fallo bastante grave que podía permitir a piratas informáticos ejecutar código remoto en el sistema con el máximo nivel de privilegios en el sistema. 

Detalle de la vulnerabilidad

El fallo de seguridad se encuentra en la librería DNSAPI.dll y afecta a todas las versiones de Windows 8, 8.1 y Windows 10.

Este fallo de seguridad ha sido registrado como CVE-2017-11779 y, a continuación, vamos a ver en detalle cómo funciona.

La grave vulnerabilidad permite ejecutar código malicioso con permisos SYSTEM

Tal como ha explicado el experto de seguridad, un pirata informático podría enviar una respuesta DNS modificada de una forma especial de manera que la librería DNSAPI.dll del sistema operativo no fuera capaz de procesar correctamente dicha respuesta y abriera la puerta a la ejecución de código remoto.

Para poder explotar este fallo de seguridad, lo único que necesita el pirata informático es configurar un servidor DNS malicioso de manera que pueda tomar el control del tráfico DNS y suplantarlo por los paquetes maliciosos. Una vez que el servidor DNS malicioso está en funcionamiento, el atacante solo necesita que una aplicación con un elevado permiso en el sistema (es decir, prácticamente cualquier aplicación) haga una petición DNS para poder ejecutar el código remoto a través de la librería DNS de Windows.

Además, la librería DNSAPI.dll también se encarga de gestionar las peticiones DNS de distintos servicios base de Windows, por lo que no sería muy complicado tomar el control de estas peticiones DNS y devolver los paquetes maliciosos para ejecutar código con permisos SYSTEM en Windows, el máximo nivel de privilegios del sistema operativo.

Por si fuera poco, el servicio de caché DNS de Windows se reinicia solo cuando este servicio falla, por lo que los atacantes pueden tener intentos ilimitados para explotar esta vulnerabilidad.

Cómo protegernos de esta vulnerabilidad DNS en Windows

Este, y otros fallos de seguridad, han sido solucionados por Microsoft con los últimos parches de seguridad de Microsoft correspondientes a octubre de 2017, parches que debemos instalar lo antes posible para protegernos de todos estos fallos de seguridad y poder hacer un uso lo más seguro posible de nuestro sistema operativo.

Además, debemos tener en cuenta que para poder explotar este fallo el atacante debe situarse en un punto intermedio entre nuestro ordenador y los DNS legítimos, es decir, dentro de una red local. Fuera de la misma, al responder los DNS (como el de Google) a estas peticiones, los piratas informáticos no podrán hacer mucho. Eso sí, tanto en nuestra red local (si ha sido comprometida) como en bares o puntos de acceso públicos, estamos totalmente expuestos a esta amenaza, por lo que, si nos conectamos a estas redes debemos tener cuidado, o al menos haber actualizado ya nuestro Windows con los últimos parches de seguridad.

Fuente:Microsoft

SAP. Actualización de seguridad de octubre 2017

SAP ha corregido problemas de seguridad en diferentes productos, catalogados de Importancia: 4 - Alta

Recursos afectados:

1. SAP NetWeaver AS Java Web Container
2. SAP Standalone Enqueue Server
3. SAP Mobile Platform SDK 3.0
4. SAP NetWeaver Instance Agent Service
5. e-recruiting
6. SAP ERP Funds Management Account Assignments
7. Adobe Document Services
8. SAP CRM Mail Form Editor
9. SAP CRM IC WebClient
10. SAP NetWeaver Instance Agent Service
11. LDAP Authentication for SAP BusinessObjects Enterprise
12. SAP NetWeaver System Landscape Directory
13. SAP Point of Sale Store Manager
14. SAP NetWeaver Mobile Client

Recomendación

Visite el portal de soporte de SAP para localizar e instalar los parches de seguridad que el fabricante haya proporcionado.

Detalle de la actualización

SAP, en su comunicado mensual de privacidad ha publicado 13 notas de seguridad y 4 actualizaciones, siendo 2 de ellas de criticidad alta, 11 de criticidad media y 4 calificadas con criticidad baja.

Las notas de seguridad calificadas como altas se refieren a:

Vulnerabilidad de salto de directorio en SAP NetWeaver AS Java Web Container, la cual podría permitir a un atacante leer archivos arbitrarios que no debería accederse.

Vulnerabilidad de denegación de servicio en SAP Standalone Enqueue Server, la cual podría permitir a un atacante explotar remotamente el servidor Enqueue, haciendo que sus recursos no estén disponibles.

Más información

• Certsi_  https://www.certsi.es/alerta-temprana/avisos-seguridad/actualizacion-seguridad-sap-octubre-2017

Fuente: INCIBE

ATMII. Malware para robo en cajeros simple pero efectivo.

Investigadores de Kaspersky recibieron en Abril de 2017 una muestra correspondiente a un malware cuyo objetivo era robar dinero de cajeros automáticos, de ahora en adelante ATM.

Este malware conocido como ATMii, requiere de acceso a un cajero ya sea a través de red o físicamente (vía USB). En caso de instalarse con éxito, los ladrones podrán sacar todo el dinero del cajero.

Se trata de un malware sencillo a la par que efectivo, compuesto por un ejecutable que hace de inyector y una DLL que cuenta con la funcionalidad del troyano. Debido a que el valor de la constante PROCESS_ALL_ACCESS difiere entre versiones de Windows, no se ejecuta en versiones XP a pesar de ser la más utilizada aún.

Los cajeros funcionan bajo la arquitectura XFS, por lo que primero el malware debe encontrar el servicio que se encargue de dispensar dinero. En caso de exito, la información se guardará en un log como podremos ver a continuación.

Los atacantes necesitan saber el contenido de los cartuchos, por tanto implementan el comando info para obtener dicha información.

El comando cmd_disp se utiliza para obtener el dinero del cajero. Los argumentos de la función son concretamente la cantidad y la moneda. La moneda se recoge en un struct y solo acepta aquellas recogidas en el.

Este malware es un ejemplo de lo que los criminales son capaces de hacer con muy poco código. Como medidas cautelares, una gestión control de los dispositivos y politicas permitirian no ejecutar dispositivos USB o prevenir la ejecución de código no autorizado

Más información:

ATMii: a small but effective ATM robber:

https://securelist.com/atmii-a-small-but-effective-atm-robber/82707/

https://es.wikipedia.org/wiki/XFS

Fuente: Hispasec

ESPAÑA. Conexión a Internet de Movistar, caída durante hora y media en grandes ciudades

Desde las 15.00 horas del martes y hasta las 16.30 horas ha sido prácticamente imposible conectarse a Internet a través de Movistar, tal y como ha reconocido la propia compañía.

Por razones que no ha detallado, se ha registrado un fallo técnico que ha impedido a los usuarios, tanto de ADSL como a los de fibra, poder acceder a Internet, lo que ha provocado un colapso del número de atención al cliente, el 1004.

Las más afectadas han resultado ser las grandes ciudadades, con mayor número de usuarios de fibra, y las incidencias han sido múltiples en Madrid, Barcelona, Valencia, Bilbao y Sevilla, entre otras ciudades.

Nada más tener conocimiento de la incidencia, que no ha concretado, la compañía se ha disculpado a través de su Twitter, notificando que estaba intentando resolver el problema.

La conexión a internet a través de dispositivos móviles no se ha visto afectada y desde los teléfonos se ha podido hacer uso normal de las aplicaciones.

Para los que nos comentáis problemas de conexión, os indicamos que nuestros técnicos están trabajando en ello. Disculpad las molestias.— Movistar España (@movistar_es) 10 de octubre de 2017

Os comunicamos que la incidencia que afectaba a algunas zonas ha quedado prácticamente resuelta. Nuevamente disculpad las molestias.— Movistar España (@movistar_es) 10 de octubre de 2017

Fuente: 20minutos.es

NVIDIA. Presenta su nuevo cerebro para coches autónomos de nivel 5

El fabricante ha presentado su primer ordenador con inteligencia artificial, el Drive PX Pegasus, una plataforma que será capaz de ofrecer conducción autónoma de nivel 5, la máxima categoría de dependencia humana que permite al conductor despreocuparse de pedales, volante y cualquier tipo de atención en la carretera.

Este nuevo cerebro de cálculo es capaz de ofrecer 320 billones de operaciones por segundo, 10 veces más que su predecesor, y aunque creas que formará parte de tu futuro coche, en realidad este hardware está pensado para utilizarlo en taxis robotizados que nos lleven de un lado a otro.

De hecho, NVIDIA asegura que 25 de sus clientes ya trabajan en taxis completamente autónomos. La idea de NVIDIA no es otra que conseguir una solución de hardware compacta que elimine la gran cantidad de ordenadores conectados que inundan los prototipos que actualmente se usan para los cálculos.

Además, el anuncio llega como una bocanada de aire fresco para los fabricantes de vehículos, ya que el nuevo hardware reducirá el número de componentes que se necesitan para procesar todos los datos a la máxima velocidad, un poder de cálculo que hasta ahora requería un nivel de computación con bastante hardware, a lo que había que sumar los numerosos sensores, cámaras, sensores LiDAR y radares. ¿Y qué necesita todo eso? Energía de la batería.

Pero el trabajo de NVIDIA es tan bueno que han conseguido reducir el tamaño del Drive PX Pegasus al de una matrícula, y para colmo, consume menos energía que la anterior generación. Todavía tendremos que esperar mucho para ver a este cerebro tomar las riendas de un coche (el hardware no estará listo hasta la segunda mitad del 2018), aunque algunas compañías como DHL ya planean colocar en las calles camiones de reparto con el Drive PX en su interior.

Fuente : NVIDIA

Google Home Mini. El Chiquitín ha estado grabando todo como un campeón

El problema lo ha descubierto Artem Russakovskii de Android Police, quien se percató de que los leds de su unidad no paraban de parpadear. Estos leds suelen activarse tras pronunciar "OK Google" o pulsando el panel táctil del frontal, pero en el caso del Home Mini de Artem no era así. Sus sospechas se confirmaron cuando revisó el panel de actividad de su cuenta de Google, donde pudo comprobar la infinidad de grabaciones en el servidor de Google.

Un ingeniero de Google ya ha revisado el dispositivo y ha podido descubrir que el panel táctil no funcionaba correctamente, provocando continuas activaciones del asistente en todo momento. Esto provocaba que el micrófono del altavoz estuviese escuchando prácticamente las 24 horas del día, algo que desde luego suena aterrador. Tras este análisis, Google lanzó una actualización que desactivaba inmediatamente el panel táctil, por lo que los usuarios ahora sólo podrán hacer la llamada del asistente por voz.

El dispositivo se pondrá a la venta el próximo 19 de octubre, así que si piensas hacerte con uno deberías de revisar que el firmware instalado sea el 1.28.100122, que ha sido el último lanzado el 7 de octubre con la desactivación del panel táctil.

Fuente:  9to5google

ONEPLUS. Recopila datos privados de los smatphones sin permiso

Chris Moore, ingeniero especializado en seguridad, ha publicado un artículo en su blog en el que acusa a OnePlus y concretamente a su sistema OxygenOS (basado en Android) de a recolectar información privada sin permiso de sus usuarios. Además el fabricante estaría vinculando dicha información a dispositivos individuales y cuentas de usuario particulares. 

Gran parte de los datos almacenados son bastante "ordinarios", como el número de veces que desbloqueas el teléfono, las aplicaciones que abres y usas o las redes WiFi a las que te conectas. El problema es que OnePlus está transfiriendo esta información junto con el número de serie de tu teléfono, lo que significa que tu actividad es personalmente identificable.

OnePlus no se ha hecho de rogar y ha emitido un breve comunicado en el que se excusa explicando que recoge dos "flujos" de datos bajo HTTPS y que son enviados a un servidor de Amazon. 

1. El primero se denomina "análisis de uso" y está destinado a mejorar su software. 
2. El segundo es el perteneciente a la información del dispositivo y se recoge para ofrecer una mejor ayuda de post-venta. 

La firma apunta que el intercambio de los "análisis de uso" se puede desactivar entrando en la configuración del teléfono, seleccionando "Avanzado" y desactivando la opción "Unirse al programa de experiencia del usuario". Respecto al segundo flujo, no dice nada más.

We securely transmit analytics in two different streams over HTTPS to an Amazon server. The first stream is usage analytics, which we collect in order for us to more precisely fine tune our software according to user behavior. This transmission of usage activity can be turned off by navigating to 'Settings' -> 'Advanced' -> 'Join user experience program'. The second stream is device information, which we collect to provide better after-sales support.

La compañía china no es ni mucho menos la primera que recopila datos de sus usuarios, el problema radica en cómo lo está haciendo. OnePlus no pide explícitamente permiso a sus usuarios para acumular este tipo de información y la gran mayoría de ellos muy probablemente desconocen qué tipo de datos están compartiendo. 

Fuente: es.engadget.com

¿PRIVACIDAD?. Cortana puede leer sus conversaciones en Skype para Android y Apple

A Microsoft se le ha ocurrido implementar Cortana en Skype, concretamente en las apps para Android y iOS de este cliente de mensajería, de manera que este asistente personal pueda mostrarnos información de especial interés mientras hablamos con otras personas a través de este chat.

La versión de Skype para Android y iOS incluye Cortana como asistente personal

Tal como podemos leer en el blog oficial de Skype, Microsoft está buscando que Cortana nos proporcione información útil basada en nuestra conversación, como, por ejemplo, información sobre restaurantes o recomendaciones de películas de forma rápida y sencilla, sin tener que escribir ni hacer nada más que hablar.

Cortana en Skype también nos puede ayudar a organizar nuestros eventos mientras estamos hablando en un chat, incluso si intentamos hacer planes para un momento que, según nuestra agenda, está ocupado, nos avisará del conflicto de planes y horas y nos ayudará a organizarnos para tener tiempo para todo.

Está claro que Microsoft está convirtiendo Cortana en un completo asistente virtual, incluso superior a Google Assistant y Siri, sin embargo, el precio a pagar es muy caro. Para que Cortana pueda mostrarnos toda esta información es necesario que el asistente personal lea y procese todos nuestros chats y todas nuestras conversaciones, lo que, sin duda, supone una grave violación para nuestra privacidad.

Aunque es poco probable, no sabemos qué puede y no puede hacer Microsoft con la información que saque a partir de nuestras conversaciones. Igual que Google se está convirtiendo poco a poco en Apple, Microsoft se asemeja en muchos sentidos a Google, por lo que tampoco será descabellado pensar que toda la información que se pueda extraer de nuestros chats podría ser utilizada con fines publicitarios.

Esta nueva función de Skype irá llegando a todos los usuarios del mundo gradualmente a partir de hoy. De momento, como suele ocurrir en todos estos casos, Microsoft está empezando por Estados Unidos, por lo que no sabemos cuándo llegará esta función a España.

Fuente: Skype

WHATSAPP. Grave vulnerabilidad permite monitorizar hábitos de sueño de usuarios

Un ingeniero de 'software' ha descubierto una vulnerabilidad en WhatsApp que permite conocer información sobre su actividad mediante el indicador de 'En línea' de la 'app'. Para ello, ha desarrollado una extensión para el navegador Google Chrome que es capaz de monitorizar la actividad de otros usuarios.

El ingeniero de 'software' Rob Heaton ha publicado un 'post' en su página web personal donde detalla que WhatsApp permite a sus usuarios elegir qué personas pueden ver su última conexión en la aplicación --todo el mundo, todos sus contactos o nadie--, pero no es posible ocultar el indicador de estado 'En línea' que se muestra en tiempo real.

En base a esta vulnerabilidad, Heaton ha desarrollado una extensión para Google Chrome que, puesta en funcionamiento con la versión web de WhatsApp, permite monitorizar y elaborar una gráfica de las rutinas de actividad de la aplicación por parte de sus usuarios, y obtener así información personal tal como los hábitos de sueño de la persona espiada.

Rob Heaton ha planteado en su publicación un escenario en el que un individuo se vale de esta extensión, configurable "con cuatro líneas de JavaScript", para controlar los hábitos de uso de WhatsApp de una persona, y así determinar cuáles son sus horarios de sueño. Es más, el ingeniero informático ha logrado combinar los datos monitorizados de varios usuarios para precisar si estos están en contacto entre sí.

El autor de esta extensión de Chrome ha alertado que estos datos podrían ser vendidos a aseguradoras de salud y agencias de crédito, "ambas muy suspicaces con gente que está despierta a las cuatro de la mañana".

Fuente: The Next

ANDROID OREO. Instalado en el 0,2% de dispositivos y Nougat incrementa su presencia

Android Oreo actualmente está presente en el 0,2% de los dispositivos existentes que operan con el sistema operativo móvil de Google, según datos publicados por la compañía, y su predecesora, Android Nougat, ha incrementado su difusión y experimentado un crecimiento del 2% respecto al mes anterior.

Google ha publicado a través del sitio web de desarrolladores de Android los últimos datos de difusión de versiones del sistema operativo móvil de Google, correspondientes a un periodo de siete días hasta el pasado 2 de octubre. En la nueva versión del informe ha aparecido por primera vez Android Oreo, la octava versión de este 'software', que se ha estrenado con un 0,2% de presencia.

Por el momento, la presencia de Oreo ha sido reducida debido, principalmente, a que apenas está disponible en modelos a la venta en estos momentos. Este sistema operativo ha sido incorporado de serie en el 'smartphone' Xperia XZ1 de Sony --también estará presente en el Xperia XZ1 Compact, que saldrá a la venta este mes de octubre-- y está habilitado para su descarga en varios terminales de la propia Google: los modelos Pixel, Pixel XL, Pixel C y Nexus Player, según ha recogido el portal The Leaker. Varios fabricantes están probando esta versión en sus 'smartphones' más recientes, y algunos como Motorola han hecho pública la lista de modelos que incorporarán Android Oreo en próximas fechas.

Las cifras del sitio de desarrolladores de Android también han confirmado un incremento de la presencia de dispositivos que operan con la edición Nougat del 'software', correspondiente a las versiones 7.0 y 7.1. El total de 'gadgets' que presentan este sistema operativo representa un 17,8% del total, lo que ha supuesto un 2% más respecto al 15,8% que se había alcanzado el pasado mes, cuando Nougat consiguió por fin situarse como la tercera versión más extendida. Este porcentaje se distribuye entre un 15,8% de dispositivos con Android 7.0 y un 2% con 7.1.

La versión más extendida continúa siendo Marshmallow, con un 32% de presencia en dispositivos, mientras Lollipop se mantiene en el segundo lugar con un 27,7% que se reparte entre el 6,7% de la versión 5.0 y el 21% de la 5.1. El 17,8% de Nougat hace que siga en el tercer puesto, seguida por KitKat (14,5%), Jelly Bean (6,6%), Ice Cream Sandwich (0,6%) y Gingerbread (0,6%). La debutante Oreo cierra la lista con un 0,2%.

Fuente: Europa Press

Utilizan actualizaciones falsas de navegadores web para distribuir el malware Kovter

Expertos en seguridad han sido los encargados de detectar esta nueva campaña que está presente en una gran cantidad de sitios web de temática muy diversa. Pornografía, descarga de software pirata y buscadores de torrents son las principales vías de difusión. 
Es decir, los ciberdelincuentes saben elegir qué sitios web deben utilizar para lograr su objetivo. Al final, cuantas mayores sean el número de infecciones más posibilidades tendrán de alcanzar su objetivo.

Teniendo en cuenta que disponen de la ayuda de la ingeniería social, los atacantes son capaces de personalizar el mensaje mostrado a los usuarios en función del sistema operativo y navegador web. Google Chrome, Mozilla Firefox o Internet Explorer son los navegadores web utilizados para distribuir Kovter.

Detalles de Kovter: no es realmente el peligro

Aunque pueda parecer algo contradictorio, sobre todo si hablamos de malware, la realidad es que este software que se instala en equipos Windows se trata de un mero intermediario. O lo que es lo mismo, tiene como función servir como puente a la llegada de más amenazas.

Ransomwares, troyanos bancarios, adware, y así hasta completar un listado bastante amplio. Tal y como podemos imaginar, algunas supondrán un peligro mayor que otras.

El archivo que descargan los usuarios es de tipo JavaScript en el caso de Google Chrome o Firefox y HTA si hacemos mención a Internet Explorer. Una vez realizada esta descarga y su posterior ejecución, comienza el proceso de comprobación del equipo.

Antes de realizar la instalación, se verifican cuáles son las condiciones, sobre todo en lo que se refiere a la presencia de herramientas de seguridad.

Tras asegurarse de que están desactivadas o que no existe ninguna instalada, comienza con la descarga del instalador. Todo esto se lleva a cabo en segundo plano y sin que el usuario sea consciente de qué es lo que está sucediendo en su dispositivo.

Selección de usuarios a afectados

Uno de los aspectos más destacables de esta amenaza es que escoge qué usuarios debe afectar. Es decir, posee un filtro geográfico para afectar solo a los usuarios que se encuentren dentro de un país. Podría darse el caso que el instalador se encuentre en tu equipo y que no se ejecute (o, mejor dicho, se complete la instalación) porque no estás dentro de la región perseguida por los ciberdelincuentes.

Es cierto que este problema queda resuelto con la presencia de una herramienta de seguridad en el equipo. Un software antivirus sería capaz de detener la primera instalación, evitando de esta forma la llegada de otros softwares no deseados al dispositivo.

La otra recomendación que realizan los expertos en seguridad es no acceder nunca al contenido a través de pop-ups que aparecen en la parte superior de la pantalla, ya que en un porcentaje próximo al 100% se trata de contenido utilizado por ciberdelincuentes para distribuir malware y estafar al usuario.

Fuente: Bleeping Computer

Ejecución remota de comandos en Netgear ReadyNAS Surveillance

Se ha reportado una vulnerabilidad que podría permitir la ejecución remota de comandos en Netgear ReadyNAS Surveillance.

ReadyNAS Surveillance es un software para sistemas de video vigilancia en red (Network Video Recorder o NVR por sus siglas) que se instala y aloja las grabaciones directamente en un dispositivo de almacenamiento ReadyNAS.

La vulnerabilidad es debida a un error de falta de comprobación de parámetros introducidos por el usuario. Concretamente, el parámetro 'uploaddir' utilizado por la página 'upgrade_handle.php' de la interfaz del sistema. Esto podría permitir la ejecución de comandos en el sistema sin necesidad de autenticación.

Para aprovechar la vulnerabilidad simplemente sería necesaria una petición como la siguiente: http://IP-ADDRESS/upgrade_handle.php?cmd=writeuploaddir&uploaddir=%27;COMMAND_TO_EXECUTE;%27

Este error fue descubierto por el investigador Kacper Szure y reportado a Netgear a finales del mes de junio, quien aún no se ha pronunciado en cuanto a la corrección del mismo.

Más información:

·        Netgear ReadyNAS Surveillance Unauthenticated Remote Command Execution https://blogs.securiteam.com/index.php/archives/3409

Fuente: Hispasec

STEVE WOZNIAK. "Google y Facebook deberían repartir sus ingresos con los usuarios"

El ingeniero cofundador de Apple se desmarca de voces alarmistas y afirma que la tecnología traerá nuevos servicios y puestos de trabajo a la sociedad. "Y aún no podemos ni imaginar lo que está por llegar", asegura.

REVOLUCIÓN DIGITAL

"Todas las compañías están volviéndose digitales. La tecnología se vuelve cada vez mejor, más simple y agradable para los usuarios, y de hecho hay personas cuyo trabajo es exclusivamente conseguir esa mejoría. ¿Quién dice que eso no es disrupción?",.

"Sería falso decir que antes se hicieran cosas fascinantes y ahora ya no. En mi opinión el cambio es continuo y muy profundo, y así lo será también en el futuro. Pero no hay que tenerle miedo", afirma.

"Lo que la tecnología hace por el bien de la sociedad es increíble, y aún no podemos ni imaginar lo que está por llegar". Y pone un ejemplo: "Nuestros datos ya no están en un portátil o un smartphone, sino en un servidor en alguna parte del mundo. Eso tiene grandes ventajas para el usuario, que ya no pierde la información si cambia o pierde su ordenador".

DATOS PERSONALES

Cuarenta y un años después del nacimiento de Apple, uno de los grandes desafíos tecnológicos tiene que ver con la privacidad. Hoy, los modelos de negocio de las grandes puntocom se apoyan en la explotación publicitaria de los datos de sus usuarios. A este respecto, Wozniak responde contundente: "Si empresas como Google o Facebook hacen dinero a costa de los datos personales de millones de personas, de violar su privacidad y vender esa información, ¿por qué no comparten ese dinero?", critica. "Los usuarios deberían recibir la mitad", propone.

EL FUTURO DEL EMPLEO

Otro de los grandes temores de la evolución de la tecnología es que ésta continúe destruyendo empleo a mayor ritmo del que se produce.

Pero hay otra vertiente de opinión, precisamente la que defiende Wozniak, mucho más optimista. "La gente se pregunta: 'Oh, ¿y si pierdo mi empleo?' Pues ya encontrarás otro. Por supuesto que se destruirán muchos puestos de trabajo, pero se crearán otros muchos", sostiene el cofundador de Apple.

La disrupción tecnológica elimina intermediarios o procesos, pero que a más largo plazo la productividad y la riqueza derivadas de esas innovaciones repercuten en mayor crecimiento económico y, en consecuencia, en una nueva generación de empleo.

Además, la democratización de tecnologías como el cloud computing y el big data ha permitido la creación de una infinidad de nuevos productos y start up digitales. "Fíjate en la cantidad de servicios que utilizamos en nuestro día a día y que tenemos gratis o a muy bajo precio, con sólo estirar el brazo para coger el móvil. Hace sólo una década, no estaban ahí".

INTELIGENCIA ARTIFICIAL

Desde mi punto de vista, la Inteligencia Artificial consiste simplemente en una serie de algoritmos que responden a una serie de normas establecidas previamente por una persona. Los algoritmos pueden programarse para mejorar sus respuestas con el tiempo, pero no piensan por sí mismos. Es más, no hay ninguna evidencia de que las máquinas puedan a llegar a razonar como las personas", sostiene el cofundador de Apple.

RENTA BÁSICA UNIVERSAL

"Woz" se muestra partidario de la implantación de una renta básica universal, o como mínimo de "una maquinaria que cubra las necesidades básicas de la sociedad", pero desvincula este tema al debate sobre el impacto de la automatización en el empleo.

Para el cofundador de Apple, independientemente de si el grueso de la población tiene o no cabida en el mercado laboral, una renta básica sería positiva, pues aportaría a los ciudadanos un colchón igualitario y les permitiría centrarse en buscar una profesión que verdaderamente les satisfaga, en formarse y ultraespecializarse, en desarrollar nuevos hobbies e intereses, o en pasar más tiempo con la familia. "A partir de cierto nivel de vida, también disminuye la criminalidad", apunta.

Una de las posibles consecuencias adversas de una renta básica universal, reconoce, es la inflación. "Los precios podrían incrementarse de forma que el esfuerzo económico para comprar bienes y servicios acabaría siendo el mismo que antes de repartir ese dinero".

Fuente: Expansion.com

GOOGLE. Acusa a Microsoft de vulnerabilizar Windows 7 y 8 al actualizae Windows 10

El equipo de Project Zero de Google vuelve a dejar en evidencia malas prácticas de seguridad en Microsoft. El mismo grupo de expertos que nos ha alertado antes sobre vulnerabilidades en Edge e Internet Explorer, o fallo tras fallo en Windows Defender, ahora pone en evidencia a Windows, específicamente el problema con la forma en la que Microsoft actualiza sus sistemas.

Ya que las actualizaciones de seguridad llegan a Windows 10 primero y luego es que se añaden a Windows 7 y 8, como los sistemas comparten el mismo código base, los hackers pueden comparar los cambios en el código y detectar una vulnerabilidad que aún no se ha arreglado en los Windows viejos.

Para el investigador Mateusz Jurczykm cuando Microsoft introduce mejoras de seguridad y arregla bugs solo en la más reciente plataforma de Windows, crea una falsa sensación de seguridad en los usuarios de las versiones más viejas y los deja vulnerables a fallos que pueden ser detectados simplemente viendo los pequeños cambios en el código correspondiente de cada versión diferente de Windows.

El investigador de Google Project Zero explica en un post cómo encontró fácilmente un exploit zero day que solo afecta a Windows 7 y Windows 8 aprovechándose de que el parche ya existía en Windows 10.

Explica que su objetivo es ilustrar que cuando hay diferencias relevantes a la seguridad entre versiones de un mismo producto de software que aún tienen soporte, estás pueden ser usadas por entes maliciosos para encontrar vulnerabilidades o simplemente un bug en las versiones más anticuadas de ese software.

Fuente: genbeta.com

GOOGLE. Descubrió anuncios publicitarios pagados por agentes rusos en YouTube y Gmail:

Google descubrió que agentes rusos gastaron decenas de miles de dólares en anuncios publicitarios en YouTube, Gmail y en otros productos en internet, reportó el lunes el diario The Washington Post.

Los anuncios no parecen provenir de la misma entidad vinculada al Kremlin que gestionó publicidad en Facebook Inc, lo que podría sugerir que existen esfuerzos de amplio espectro en Rusia en torno a una campaña de desinformación, dijo el diario.

Google administra el mayor negocio global de publicidad en internet y YouTube es el sitio de videos online más grande del mundo.

Google, controlada por su matriz Alphabet Inc, no respondió de inmediato a los pedidos por emitir comentarios.

El motor de búsquedas online ha desestimado la posibilidad de una influencia de Rusia en sus plataformas, pero lanzó una investigación sobre el tema, de acuerdo al Washington Post. Tanto Twitter Inc como Facebook han dicho que Rusia compró avisos y tenía cuentas en sus plataformas.

En tanto, el Congreso estadounidense dio inicio a numerosas investigaciones sobre la interferencia de Rusia en las elecciones del 2016. Legisladores y políticos han dicho que Moscú incitó a la discordia en Estados Unidos, diseminando propaganda e intentando inclinar la balanza electoral en favor del ahora presidente Donald Trump.

Se espera que ejecutivos de Google testifiquen públicamente ante comisiones de inteligencia de ambas cámaras del Congreso el 1 de noviembre, junto a delegados de Twitter y Facebook, a fin de revelar detalles sobre los intentos de funcionarios o agentes rusos de utilizar sus plataformas para influenciar en las elecciones estadounidenses.

Fuente: Reuters