AutorMargarita Gil

Inicio/Artículos Publicados por Margarita Gil (Page 22)

“La innovación de las amenazas sigue en aumento” [Cisco]

Mientras que continuamente emergen defensas de seguridad más efectivas, los atacantes responden con técnicas innovadoras que permiten poner en peligro a usuarios y sistemas, y así lograr esquivar las medidas de defensas.

El informe de inteligencia de amenazas y análisis de tendencias de mitad de 2015 de Cisco revela cómo las técnicas de evasión basadas en agilidad, rapidez, adaptación e inclusive destrucción, continúan creciendo.

Los puntos destacados del informe incluyen:

  • Crecimiento de vulnerabilidades y sus respectivos exploits
  • Datos sobre exploits kits como Angler
  • Incremento en el uso de macros que involucran Microsoft Office
  • Nuevas tácticas para evadir la detección
  • El crecimiento del malware como el ransomware
  • Como las soluciones adaptables e integradas pueden acelerar el tiempo de detección
  • La necesidad de un marco de cybergovernance mundial
  • La continuidad del spam como medio de propagación

El informe completo en PDF se puede descargar desde aquí.

Fuente: Segu.Info

OpenSSLX509Certificate: Vulnerabilidad crítica en Android (sí otra)

Hace unos días se abrió la caja de Pandora y ahora no paran de aparecer fallos de seguridad de Android. Después del descubrimiento de Stagefright y Certifi-Gate que permitían infectar millones de dispositivos Android con sólo un mensaje maliciosos, ahora los investigadores han advertido de otro agujero de seguridad crítico que afecta más del 55 por ciento de todos los usuarios de Android.

Investigadores de seguridad en IBM han descubierto una nueva vulnerabilidad (CVE-2015-3825) [PDF] que permite escalamiento de privilegios en la plataforma Android y que podría permitir a una aplicación maliciosa sin privilegios la capacidad de convertirse en “root” y tomar control del dispositivo.

La vulnerabilidad de serialización afecta de Android 4.3 o superior (incluido Android M) y se encuentra el componente OpenSSLX509Certificate y puede ser explotado para comprometer el proceso desystem_server y obtener acceso a nivel de sistema.
En un video, los investigadores mostraron una prueba de concepto y cómo fueron capaces de explotar el defecto y, utilizando una aplicación maliciosa, lograr sustituir la aplicación real de Facebook para robar credenciales.

Una vez que el usuario ejecuta la aplicación sin privilegios, descarga un código para sobrescribir la aplicación existente y ejecuta un exploit para escalar privilegios.

Además de esta vulnerabilidad, los investigadores descubrieron otra serie de errores en el que permite desarrollar aplicaciones a terceros y que permitirían ejecutar código remoto utilizando dicho SDK.

IBM notificó de las fallas al equipo de seguridad de Google y ya existe un parche. Sin embargo y como siempre, seguramente la mayoría de los usuarios de Android no recibirán el parche debido a su proceso de actualización OTA.

Fuente: Segu.Info

La NASA quiere que le ayudes a diseñar su app para Smartwatches

La NASA no es ajena a modas, y mucho menos a tecnologías de consumo que por su reducido coste puedan suponer una interesante mejora en la condiciones de los astronautas que van al espacio. Por ello, y a pesar de que ya confirmó que la agencia estaba trabajando en su propio smartwatch, pide ayuda para diseñar la app que los astronautas usarán en este reloj inteligente espacial.

En este sentido, la agencia espacial está organizando un concurso en la webFreelancer.com, desafiando a todos los participantes que quieran diseñar la mejor aplicación para smartwatches que sería utilizada por los astronautas de la Estación Espacial Internacional, con un premio además de 1500 dólares y utilizando un Samsung Gear 2 como modelo de desarrollo.

Las intenciones de la NASA son que los participantes ayuden a los astronautas a estar mejor organizados a través de esta app, que deberá incluir un temporizador, una forma sencilla de mostrar los calendarios y eventos de cada día y un sistema de alertas en caso de que se encuentren en peligro o falle algún sistema importante de la estación o de los vehículos, como por ejemplo la cercanía o proximidad de posibles desechos espaciales en órbita.

Si eres diseñador o entusiasta de los smartwatches tienes una oportunidad de ayudar a la NASA a proteger a los astronautas puede ser una oportunidad más que interesante.

Fuente: Hipertextual

Mozilla publica Firefox 40 y corrige 21 nuevas vulnerabilidades

Mozilla ha anunciado la publicación de la versión 40 de Firefox, junto con 14 boletines de seguridad destinados a solucionar 21 nuevas vulnerabilidades en el navegador. 

Hace mes y medio que Mozilla publicó la versión 39 de su navegador. Ahora acaba de publicar una nueva versión que incorpora nuevas funcionalidades y mejoras. Entre otras, la nueva versión incluye soporte para Windows 10 y se emite un aviso si se visita una página conocida por contener software malicioso.

Por otra parte, se han publicado 14 boletines de seguridad (del MSFA-2015-79 al MSFA-2015-92). Cuatro de ellos están considerados críticos, siete altos, dos moderados y uno de gravedad baja; que en total corrigen 21 nuevas vulnerabilidades en el navegador.

Las vulnerabilidades críticas residen en un uso después de liberar memoria en la reproducción de MediaStream (CVE-2015-4477), diversos problemas de corrupción de memoria en el motor del navegador (CVE-2015-4473 alCVE-2015-4474), diversos desbordamientos en el tratamiento de vídeo MPEG4 y dos desbordamientos en la librería Libvpx al descodificar vídeo WebM (CVE-2015-4485 y CVE-2015-4486).

Además, también se han corregido otras vulnerabilidades de gravedad moderada debidos a un uso después de liberar en llamadas recursivas open() en un XMLHttpRequest en un SharedWorker (CVE-2015-4492), tres vulnerabilidades encontradas a través de inspección de código (CVE-2015-4487 al CVE-2015-4489), una escritura fuera de límites si el actualizador abre un archive MAR con un nombre específicamente creado (CVE-2015-4482), una sobreescritura de archivos arbitrarios a través de Mozilla Maintenance Service en Windows (CVE-2015-4481) y una lectura fuera de límites con archivos MP3 específicamente manipulados (CVE-2015-4475).

La nueva versión está disponible a través del sitio oficial de descargas de Firefox:

http://www.mozilla.org/es-ES/firefox/new/

o desde la actualización del navegador en Ayuda/Acerca de Firefox.

Más información:

Firefox Notes

Version 40.0

https://www.mozilla.org/en-US/firefox/40.0/releasenotes/

Mozilla Foundation Security Advisories

https://www.mozilla.org/en-US/security/advisories/

una-al-dia (03/07/2015) Mozilla publica Firefox 39 y corrige 22 nuevas vulnerabilidades

http://unaaldia.hispasec.com/2015/07/mozilla-publica-firefox-39-y-corrige-22.html

Fuente: Hispasec

Continuar leyendo

Las Presentaciones del Black Hat USA 2015

Ya tenemos disponible la mayoría de las presentaciones de la Black Hat USA 2015.

La lista es la siguiente:

Fuente: Segu-Info

Clonar SIMs utilizando tecnicas de Differential Power Analysis en algoritmos MILENAGE de 3G & 4G

Revisando las charlas de BlackHat USA 2015 apareció una charla que tal vez no ha tenido tanta repercusión en los medios de comunicación como el caso del bug de Stagefright en Android, el control remoto del Jeep Cherokee o la modificación del disparo de un rifle mediante una conexión remota, pero que quizá vaya a tener mucho impacto en el futuro de nuestras vidas. Se trata del trabajo de extracción de datos de la zona segura de las USIM (Universal SIMs) utilizadas hoy en día aprovechándose de la implementación de algoritmos para 3G y 4G, utilizando para ello un side-channel, lo que abre nuevos ataques a sistemas de comunicaciones móviles.

El trabajo, que ha sido titulado “Small Tweaks do Not Help: Differential Power Analysis of MILENAGE Implementations in 3G/4G USIM Cards” lo que hace es extraer de la zona seguridad de la SIM, los datos necesarios para poder clonarla, haciendo un análisis de las diferencias de energía que existen para los diferentes datos de entrada. Esta aproximación es totalmente distinta a los ataques por medio del ataque COMP128: A Birthday Suprise que se han hecho en las antiguas SIM basadas en COMP128.

Tras aumentar el nivel de seguridad de las tarjetas, las nuevas COMP128(v2), COMP128(v3) y COMP128(v4) no habían sido vulnerables a estos ataques que pudieran extraer la Master Key K, y los nuevos valores OPc (Clave de Operador) y los secretos de operación que se agregaron a las USIM. Con este nuevo enfoque, lo que se hace es aprovechar que en 3G y 4G se implementan los algoritmos MILENAGE con AES, para lograr sacar la Clave Maestra K, la Clave de Operador OPC, y las secretos de operación definidos por el operador r1,c1.. r5, c5. El proceso es introducir valores conocidos y medir el side-chanell de energía para reconocer las variaciones.

En el trabajo se explica en detalle cómo basta con un osciloscopio para poder realizar las mediciones de energía y aplicar el estudio DPA haciendo ejecutar sucesivas veces el algoritmo MILENAGE con el objeto de conseguir ir sacando los bits de las claves K, OPc inicialmente.

Fuente: Segu.Info

Nueva vulnerabilidad descubierta en Facebook

Una vulnerabilidad en Facebook permitiría a un atacante acceder a los datos personales de sus usuarios utilizando números de teléfono.

Facebook se toma muy en serio la seguridad de sus usuarios, pero debe seguir mejorando. Así lo pone de manifiesto el último agujero de seguridad descubierto en esta red social, que permitiría a un atacante acceder a los datos personales de miles de usuarios tan solo utilizando sus números de teléfono, señala Perú21.

Reza Moaiandin, el ingeniero que ha alertado de esta falla, ha explicado que creó un algoritmo capaz de generar miles de números de teléfono por segundo y después envió esos números a la API de Facebook, una aplicación que permite a terceros crear servicios basados la red social. Moaiandin descubrió que, si un número está vinculado con una cuenta de la plataforma, se puede acceder a la información de esa cuenta, como el nombre de usuario, la localización o las fotografías, entre otros datos.

La información a la que accedió el investigador era pública, pero la posibilidad de unir números de teléfonos con datos personales a gran escala permitiría a un ciberdelincuente hacerse con una enorme base de datos que podría vender en el mercado negro.

Por ello, Moaiandin considera que Facebook debería tomar medidas, como encriptar las comunicaciones con su API o limitar el número de búsquedas que se pueden hacer. Los responsables de la red social han dicho que ya hay límites establecidos y no hay de qué preocuparse.

Fuente: CCM