Categoría : Noticias de Seguridad

Inicio/Archivo por Categoría Noticias de Seguridad (Page 6)

Zerodium: Un millón de dólares a quién tenga exploit para jailbreak untethered en iOS 9

Zerodium, nueva empresa de compra de 0days de Vupen tira la casa por la ventana ofreciendo un millón de dólares a quien envíe un exploit válido y bien documentado que permita, a través del navegador o mensaje de texto, conseguir un jailbreak untethered en iOS 9, la última versión del sistema operativo para dispositivos iPhone/iPod/iPad.

Las condiciones son muy claras:

  • Sólo se permiten 0days o conjunto de varias vulnerabilidades que permitan evadir los mecanismos de seguridad disponibles en esta nueva versión de firmware de los dispositivos Apple para ejecutar código de terceros (jailbreak)
  • El ataque debe ser persistente (untethered)
  • Los vectores permitidos pueden ser ataques a través del navegador, o mediante mensaje de texto o multimedia.
  • El exploit debe funcionar sin requerir interacción por parte del usuario de ningún tipo.
  • Debe funcionar en todos los dispositivos.
  • Exploits incompletos o parciales no recibirán la recompensa completa, pero Zerodium podría optar a comprarlos también a otro precio.
  • Es necesario incluir documentación completa, exploit y su código fuente en caso de ser necesario.

Campaña muy comercial, en la que seguro que habrá uno o varios ganadores, por muy imposible que parezca, viendo las últimas tendencias e hitos conseguidos contra el sistema operativo de dispositivos móviles de Apple.

Por desgracia, parece ser que las vulnerabilidades que consigan este Bug Bounty no serán publicadas.

 Fuente: Segu.Info

El Primer gran ciberataque contra la Apple Store

La tienda de aplicaciones de Apple (Apple Store) tiende a ser considerada como un refugio seguro para hacer descargas para iPhones y iPads.

Sin embargo, este lunes, en China sufrió lo que se considera el primer ciberataque a gran escala contra la Apple Store, algo que dejó sorprendidos a los usuarios y a la propia compañía.

Apple reconoció la falla de seguridad y afirmó que está tomando de medidas para eliminar el código malicioso: el llamado virus XcodeGhost.

El virus “enagañó” a algunos desarrolladores, quiene crearon aplicaciones que al quedaron disponibles en la tienda a pesar de estar infectadas, abriendo así la posibilidad de robar datos de los usuarios finales.

“Hemos eliminado las aplicaciones de la Apple Store que sabemos se han creado con este software falsificado”, dijo la portavoz de Apple Christine Monaghan.

WeChat (una de las herramientas de mensajería más populares de China); NetEase (descarga de música) y Didi kuaidi (servicio de taxi similar a Uber) figuran entre las aplicaciones afectadas que gozan de mayor popularidad en ese país.

Apple China virus

Apple eliminó las aplicaciones que se crearon con software falsificado. Algunas las herramientas vulnerada también están disponibles fuera de China, como el escáner para digitalizar tarjetas de presentación CamCard y WeChat.

En el blog oficial WeChat, se informó que el problema de seguridad afecta una versión anterior de la aplicación – WeChat 6.2.5 – y que las nuevas versiones no se vieron perjudicadas. Además, aclaró que una investigación inicial mostró que no se había producido el robo de datos o fuga de información del usuario.

“Con la guardia baja”

Apple tiene una herramienta de seguridad, llamada Gatekeeper, diseñada para alertar a los usuarios de programas no autorizados y evitar que se ejecuten.

apple virus china

Especialistas descartan que el incidente afecte las ventas de productos Apple.

Sin embargo, los expertos estiman que los desarrolladores deben haber deshabilitado la instalación, lo que habría permitido crear aplicaciones de iOS con el XcodeGhost.

El especialista en tecnología de BBC, David Lee, afirma que comparado con la “tierra salvaje” de aplicaciones, como muchos consideraban hasta hace poco la tienda Google, la de Apple se esfuerza en reforzar la seguridad.

Lee señala que “dos grupos de personas supuestamente informadas fueron sorprendidas con la guardia baja“.

“Primero los desarrolladores, que los investigadores de seguridad dicen que fueron engañados para usar un software falsificado para construir sus aplicaciones, y los supervisores de calidad de Apple, quien generalmente hacen un muy buen trabajo manteniendo a raya los peligros, aunque en este caso no pudieron detectar la amenaza”.

Fernando Nunez Noda, especialista en temas de ciberpiratería, asegura que el ataque perpetrado contra Apple pone a la empresa en una posición de vulnerabilidad a la que no había estado expuesta previamente.

“Normalmente, todo el proceso de desarrollo, revisión y despliegue de aplicaciones de Apple es muy estricto. Apple siempre se había ufanado de no tener virus, por lo que esta situación representa un golpe psicológico para la empresa”, afirmó Nunez a BBC Mundo.

Nunez Noda descarta que el incidente pueda afectar las ventas de productos Apple, ya que la empresa “tiene suficiente credibilidad e influencia entre sus usuarios como para que no hayan mayores consecuencias”.

Fuente: BBC

Adobe corrige 23 vulnerabilidades críticas en Flash Player

Adobe ha publicado una actualización de Flash Player el cual se encargó de corregir 23 vulnerabilidades críticas en el software, muchas que pueden provocar la ejecución de códigos.

La versión 18.0.0.231 y versiones anteriores de Flash Player para Windows y Mac, Microsoft Edge e Internet Explorer 11 en Windows 10 e Internet Explorer 10 y 11, se ven afectados de acuerdo con un boletín de seguridad publicado por Adobe éste lunes.

Mientras que la compañía no tiene conocimiento de ataque a través de estas vulnerabilidades, Adobe está animando a los usuarios a actualizar a la nueva versión 19.0.0.185, ya sea a través de Centro de descarga de la compañía, o por medio de la actualización automática.

La mayoría de las vulnerabilidades, 18 de 23, podrían provocar la ejecución de códigos, advierte Adobe. Otros podrían resultar en la divulgación de información, origen de políticas y fugas de memoria, según el boletín.

Algunas de las revisiones son más de carácter preventivo, incluyendo una actualización que agrega controles de validación adicionales para asegurarse de que Flash Player rechaza contenido malicioso de las API, y también fortalece la mitigación para defenderse contra las corrupciones.

Diez de las vulnerabilidades se acreditan a los investigadores Google Project Zero, incluyendo un puñado encontrado por  ex miembros de Project Zero Chris Evans, Ben Hawkes, y James Forshaw, por nombrar algunos. Vulnerabilidades adicionales que se están parcheando fueron descubiertas por un grupo de hackers Chinos “Equipo Keen”, que trabajó con Zero Day Initiative de HP, e investigadores que trabajan con el Equipo de Investigación de Alibaba Seguridad y el laboratotio Xuanwu, entre otros.

Este es el segundo mes consecutivo en el que Adobe ha llevado a cabo más de 20 parches para Flash. El mes pasado se realizaron correcciones por más de 30 vulnerabilidades en la plataforma, incluyendo varios que se podría utilizar para tomar el control de un equipo que ejecute una versión antigua del flash.

Fuente: threatpost

Departamento de Justicia de EE.UU. cierra Sharebeast, la web ilegal para compartir música

Los usuarios de Sharebeast, un portal donde se compartían de manera ilegal millones de archivos musicales, amanecieron con una mala noticia: el Departamento de Justicia de Estados Unidos ha incautado el sitio web por violación de derechos de autor.

Según la Asociación Americana de la Industria de la Grabación (RIAA, por sus siglas en inglés), Sharebeast era el portal ilegal más grande para compartir música en los Estados Unidos.

Ahora, al intentar entrar a la página web, aparece una notificación del FBI, el Departamento de Justicia y el Centro Nacional de Coordinación de Propiedad Intelectual:

Screen Shot 2015-09-15 at 11.26.49 AM

“La red de Sharebeast (que incluye otros portales) era responsable de la distribución masiva de álbumes y canciones populares y ha sido particularmente problemática en cuanto a la distribución de música que se filtra o de pre-lanzamientos. La RIAA ha reportado más de 100.000 violaciones de este sitio”, afirma el comunicado de la entidad.

El Director Ejecutivo de la RIAA dijo que esta era una gran victoria para la comunidad musical.

“Sharebeast operaba con una abierta indiferencia por los derechos de los artistas y las disqueras”, afirmó Cary Sherman.

“Millones de usuarios accedían a canciones de Sharebeast cada mes sin pagar un centavo de compensación a los incontables artistas, compositores y sellos musicales que creaban la música. Estamos agradecidos con el FBI y el Departamento de Justicia por su fuerte acción contra Sharebeast y por reconocer que este tipo de sitios ilegales dañan a la comunidad musical”, añadió.

Fuente: CNN

Vulnerabilidades en PHP

Recientemente el equipo de desarrollo de PHP ha publicado actualizaciones para las ramas 5.6, 5.5 y 5.4 de PHP para solucionar múltiples vulnerabilidades que pueden ser aprovechadas para provocar denegaciones de servicio e incluso comprometer los sistemas afectados.

Las actualización incluye la corrección de múltiples problemas y vulnerabilidades, entre las que se incluyen vulnerabilidades de uso después de liberar un serialize en el núcleo de PHP (CVE-2015-6834 y 2015-6835), en GMP y en SPL (CVE-2015-6834). Problemas de referencia a puntero nulo en SPL y XSLT (CVE-2015-6837, CVE-2015-6838), múltiples vulnerabilidades relacionadas con funciones PCRE, una confusión de tipos en SOAP y escalada de directorios en el servidor CLI y en ZIP cuando se crean directorios al extraer archivos.

Se recomienda actualizar a las nuevas versiones 5.6.13, 5.5.29 y 5.4.45 desde:

http://www.php.net/downloads.php

Más información:

PHP 5 ChangeLog

http://php.net/ChangeLog-5.php

Fuente: Hispasec

La versión 4.3.1 de WordPress corrige tres vulnerabilidades

Vulnerabilidades en el motor principal de WordPress no son raras, pero si poco frecuentes. La mayoría de los problemas que afectan a la integridad de los sitios que se ejecutan en el sistema de gestión de contenidos se introducen por los plugins de terceros y éstos ponen los sitios en riesgo de una serie de ataques.

Hoy WordPress se ha actualizado a la versión 4.3.1, donde ha parcheado tres vulnerabilidades, dos de los cuales fueron reportadas por los investigadores de Check Point Software Technologies.

La más grave de las vulnerabilidades parcheadas implica una función de WordPress específica llamada shortcodes. Que no son otra cosa que etiquetas HTML que se introdujeron en la versión 2.5 como una forma sencilla de incorporar macros en el código, lo que ahorra a los desarrolladores la molestia de volver a escribir HTML. WordPress es compatible con una gran cantidad de códigos short predeterminados, como permite la incrustación automática y dinámica de un archivo de vídeo Vimeo en un sitio de WordPress.

El jefe de investigaciones de vulnerabilidades de Check Point, Shahar Tal informó sobre un trío de vulnerabilidades a los ingenieros de seguridad de WordPress hace unos meses y se ha tomado el tiempo para arreglar todos los errores, dijo, sobre todo debido a los posibles problemas de compatibilidad con una serie de plugins de terceros.

Cuando la vulnerabilidad Short se aborda un atacante podría abusar de cómo la plataforma procesa los shortcode e inyectar código JavaScript arbitrario que podría ejecutar cuando una página de WordPress lo hace. Tales ataques cross-site scripting no son nada nuevo en lo que respecta a la seguridad de las aplicaciones basadas en la web y han sido la plataforma de lanzamiento de una serie de ataques, ya sea criminal o patrocinado por el estado.

Además de la vulnerabilidad de cross-site scripting, Tal y su colega Netanel Rubin, que pasó meses investigando las vulnerabilidades de la plataforma, también descubrieron una vulnerabilidad que permitía a los usuarios sin permisos adecuados publicar mensajes en un sitio. En el lapso de unos pocos meses, Rubin fue capaz de encontrar al principio vulnerabilidades que afectan sólo a los usuarios abonados en WordPress hasta el final a los ataques de inyección SQL remoto y cross-site scripting contra fallas en el motor central.

Check Point ha publicado hoy un informe sobre sus conclusiones de cómo sus investigadores fueron capaces de saltarse las protecciones en el lugar que se suponía iban a mantener los atacantes, se logro despojarlos de la whitelisting que niega etiquetas y atributos que no están aprobados.

“Hemos sido capaces de abrir una etiqueta e insertar algo en los atributos shortcode”, dijo Tal. [WordPress] no pensó en todo cuando agregaron la función, que es muy rica y propenso a errores “.

Tal dijo que los ingenieros de WordPress investigaron la base de código en busca de problemas similares en otras áreas también.

Fuente: threatpost

Lockerpin, el peligroso virus que cambia la contraseña de bloqueo de tu celular

Es lo último en amenazas para el sistema operativo Android.

Se inmiscuye en el celular, cambia el PIN (número de identificación personal) de desbloqueo e impide al propietario utilizar su propio dispositivo. Es como si entrara en tu casa y te cerrara por dentro con llave, quedándote fuera y sin poder entrar.

El malware en cuestión se llama Dubbed Android/Lockerpin y ha sido descubierto por la empresa especializada en antivirus Eset.

Es una variedad de ransomware, un tipo de virus que crea una falsa amenaza en el dispositivo y exige al dueño un rescate a cambio de que pueda volver a usarlo.

Lockerpin suele camuflarse como una supuesta actualización del sistema.

                                                          

Sin embargo, al instalarla lo que hace el usuario es otorgarle privilegios de administrador.

Con ellos accede a la configuración del celular y modifica el PIN con el que el dueño del aparato desbloquea la pantalla, dejándolo así sin posibilidad de manipular su propio teléfono inteligente.

Peligro camuflado

“Después de pulsar el botón (de desbloqueo), el dispositivo del usuario queda bloqueado”, dice Lukeas Stefanko, investigador de Eset.

De momento el virus se oculta en aplicaciones relacionadas con la pornografía, pero los expertos advierten que, de llegar por ejemplo a Google Play, la plataforma de distribución digital de aplicaciones móviles para Android, la amenaza se extendería rápidamente.

Además, la cuestión no termina ahí.

Un tiempo después de que su celular haya sido infectado con este malware, el usuario recibe un mensaje en una falsa ventana, supuestamente de la policía u otra autoridad.

                           Lockerpin “secuestra” tu celular y te pide un rescate a cambio de que lo puedas volver a utilizar.

El texto advierte que se ha detectado actividad ilegal desde el terminal, por ejemplo, que el usuario ha visto pornografía ilícita, y que debe pagar US$500 por haber estado relacionado con tales acciones criminales.

Tras salir del mensaje, la pantalla del celular se desbloqueará.

“Hard reset”, la única solución

Para poder volver a utilizar el celular, el usuario tendrá que hacerle un hard reset, restablecerlo de fábrica; esto es, eliminar todo aquello que le añadió a partir de la configuración inicial.

Con ello se borran todos los datos que el usuario almacenó en el terminal, así como los parámetros personalizados como el patrón de desbloqueo, los códigos de acceso de seguridad, etc. La única manera de deshacerte del virus es borrando todo lo que añadiste al celular a partir de la configuración inicial, incluidos todos los datos y la claves.

Es la única manera, advierten los expertos. Y es que, de intentar desinstalar Lockerpin, se generaría un nuevo número PIN de forma aleatoria que reemplazaría al establecido originalmente por el usuario.

Pero para no tener que enfrentarse a una situación así, los expertos recomiendan prevenir y desconfiar de las actualizaciones

Fuente: BBC