TecnoFrikeando.com

Te roban el coche sin romper nada (relay, duplicación de señal, inhibidores y bus CAN): Así funciona y como protegerte

2026-10-24T14:18:56.467+01:00

El robo del coche se ha vuelto digital

Robar un coche ya no significa romper una ventanilla y hacer un puente. Hoy, en la mayoría de los casos, no se rompe nada: el robo es un problema de ciberseguridad que ataca la conversación por radio entre la llave y el vehículo.

Los datos lo confirman. En España se roban en torno a 33.000 coches al año — unos 90 vehículos al día contando turismos y motos. Y cada vez más sin forzar: en Reino Unido, las aseguradoras cifran en torno al 89 % los vehículos sustraídos por vía electrónica, y la red de recuperación Tracker situó en el 93 % los robados sin las llaves entre enero y octubre de 2025. En Países Bajos, el 59 % de los turismos robados en 2025 tenían acceso sin llave.

La vulnerabilidad es casi universal. En su estudio de 2025, el ADAC (el club automovilístico alemán) analizó más de 800 modelos y encontró 685 vulnerables al ataque de relay: un 86 % de la muestra.

Este artículo explica, a nivel técnico, cómo funcionan los cuatro métodos electrónicos más usados — y, sobre todo, cómo protegerse de cada uno. No es un manual: el objetivo es que el lector entienda la amenaza para defenderse mejor.

El punto débil: cómo “dialogan” la llave y el coche

Para entender los ataques hay que entender la conversación que los hace posibles. Existen dos sistemas, y conviene no confundirlos porque cada método ataca a uno u otro.

• Mando con botón (RKE, Remote Keyless Entry): abres o cierras pulsando un botón. La llave solo emite cuando la pulsas. Es lo que ataca la captura y reenvío de señal.

• Llave de proximidad (PKE, keyless o arranque sin llave): el coche y la llave se reconocen automáticamente cuando la llave está cerca; abres tocando la manilla y arrancas con un botón, sin sacar la llave del bolsillo. Es lo que ataca el relay.

En ambos casos, toda la seguridad descansa sobre una conversación por radio: la llave y el coche se autentican intercambiando señales en cuestión de milisegundos. Ese diálogo es el talón de Aquiles.

Los cuatro métodos no son más que cuatro formas distintas de interferir en esa conversación:

1. Amplificarla para engañar al coche sobre dónde está la llave (relay).

2. Grabarla y reproducirla más tarde (replay / RollJam).

3. Bloquearla para que una orden no llegue (inhibidor).

4. Saltársela por completo y hablar directamente con la red interna del coche (inyección en el bus CAN).

Los tres primeros atacan la radio exterior; el cuarto se mete, literalmente, por dentro.

Cuatro formas de robar un coche sin romper nada

La capa física. En Europa, el enlace del mando (RKE) opera típicamente en la banda ISM de 433,92 MHz (315 MHz en Norteamérica); el keyless pasivo (PKE) usa un enlace dual: el coche despierta la llave con baja frecuencia (LF, 125 kHz) de muy corto alcance y la llave responde en UHF. El protocolo es un challenge-response: el coche lanza un reto, la llave lo firma con su clave y contesta. La criptografía del diálogo suele ser sólida; lo que los ataques explotan casi siempre es la capa física o de enlace — amplificarla, grabarla, bloquearla o puentearla —, no el cifrado.

Método 1 — Ataque de relay (amplificación de señal)

Es el método más extendido y el que explica la mayoría de los robos “sin rastro”. Ataca a las llaves de proximidad (keyless).

La idea. Un coche keyless pregunta constantemente si su llave está cerca. La llave solo debería responder a muy corta distancia — un par de metros — para que el coche se abra. El ataque de relay no copia ni descifra nada: simplemente alarga artificialmente esa distancia. Hace creer al coche que la llave está pegada a la puerta cuando en realidad está dentro de casa.

Cómo se ejecuta. Intervienen dos personas con dos dispositivos. Uno se coloca junto al coche y capta la señal LF de interrogación que este emite; el otro se acerca a donde está la llave — colgada junto a la puerta, en el recibidor, en un bolso — y retransmite esa conversación de ida y vuelta. El coche “ve” la llave al lado, se abre y permite arrancar. Todo el proceso dura menos de 30 segundos y no deja cristales rotos ni cerraduras forzadas.

Un matiz importante. El relay reproduce el comportamiento de la llave en tiempo real, pero no la clona. Una vez el coche está en marcha sigue circulando; sin embargo, si el motor se apaga lejos de la llave, puede que no vuelva a arrancar. Por eso muchas bandas lo combinan con la clonación posterior de una llave nueva.

Alcance. Según el ADAC, en 2025 el 86 % de los modelos probados eran vulnerables. La excepción notable: los coches con keyless basado en UWB (ultra-wideband), que no estima la proximidad por intensidad de señal (RSSI) sino por el tiempo de vuelo del pulso de radio (IEEE 802.15.4z): una distancia que el relay no puede falsear sin violar la física. En las pruebas del ADAC no pudo abrirse ni arrancarse.

Ataque de relay: la señal viaja de la llave al coche

El coche cree que la llave está a su lado: se abre y permite arrancar sin que la llave real salga de casa.

Método 2 — Captura y reenvío de la señal (replay y RollJam)

Este método ataca al mando con botón (RKE). Aquí sí se “copia” la señal, y la historia de cómo los fabricantes intentaron impedirlo — y cómo los atacantes lo sortearon — es muy ilustrativa.

El replay simple. Los primeros mandos usaban un código fijo: la misma orden abría siempre. Bastaba grabar una pulsación y reproducirla para abrir el coche. Un fallo evidente.

La respuesta: el código rodante. Se introdujo el rolling code, popularizado por esquemas como KeeLoq: llave y coche mantienen un contador sincronizado que, cifrado con una clave compartida, genera en cada pulsación un código distinto y de un solo uso. El receptor lo valida dentro de una ventana de sincronización y descarta los ya vistos. En teoría, un código grabado ya no sirve.

Cómo se sortea: RollJam. En la DEF CON de 2015, el investigador Samy Kamkar demostró RollJam, un dispositivo de unos 30 dólares que derrota al código rodante combinando interferencia y captura. La secuencia, conceptualmente, es esta:

1. El dueño pulsa el mando. RollJam bloquea la señal (el coche no la recibe) y la graba. Al dueño le parece que “no ha funcionado”.

2. El dueño pulsa otra vez. RollJam vuelve a bloquear y grabar la segunda pulsación, pero esta vez reenvía el primer código que había guardado. El coche se abre y el dueño no sospecha nada.

3. RollJam se queda con un código válido y sin usar — el segundo — que el atacante puede emplear después para abrir el coche.

Técnicamente, RollJam usa un jammer de banda estrecha desplazado respecto al centro de recepción — el coche no capta la orden, pero el atacante sí la graba con un SDR — y retiene el último código válido. Kamkar demostró que funcionaba contra chips de control de acceso muy extendidos, como KeeLoq. La mitigación es que los códigos caduquen también por tiempo, o pasar a esquemas challenge-response bidireccionales; algo que los sistemas modernos ya incorporan.

Método 3 — Inhibidores de frecuencia (jamming)

Es el método más tosco, más barato y, probablemente, el más común en los robos “de oportunidad” (lo que hay dentro del coche más que el coche en sí). Un inhibidor satura con ruido la banda del mando — habitualmente 433 MHz — elevando el nivel de piso de ruido para que el receptor del coche no distinga la orden legítima. Es, en esencia, una denegación de servicio sobre la capa física.

El inhibidor: el coche cree que se cerró, pero no

El engaño clásico. El ladrón espera cerca mientras la víctima aparca y se aleja pulsando el botón de cierre. El inhibidor bloquea esa orden: el coche no llega a cerrarse, pero el conductor, que oye el “clic” mental de siempre y no lo comprueba, cree que sí. El ladrón abre luego la puerta sin forzar nada. De ahí el consejo de toda la vida: tirar físicamente de la manilla para confirmar que el coche quedó cerrado.

Más allá del coche. Los inhibidores también se usan para anular alarmas inalámbricas de viviendas y negocios, bloqueando el aviso a la central. Por eso existen las alarmas con anti-inhibidor, que detectan la interferencia y avisan por un canal alternativo.

En España son ilegales. El uso de inhibidores de señal con fines delictivos está totalmente prohibido. No es un problema teórico: el informe de la aseguradora Línea Directa sobre el robo de vehículos en España señala los inhibidores como una herramienta cada vez más frecuente, y en zonas como Baleares se han denunciado oleadas de este tipo de robo en pleno centro urbano.

Un efecto curioso. Los inhibidores que las fuerzas de seguridad usan como medida antiexplosivos (en inmediaciones de cuarteles, edificios oficiales o comitivas) también bloquean los mandos de los coches cercanos. Si alguna vez tu llave “no ha funcionado” junto a un edificio oficial, probablemente fuera eso.

Método 4 — Inyección en el bus CAN (el “hackeo de los faros”)

Es el método más sofisticado y el único que no toca la llave ni su señal: se mete directamente en la red interna del coche.

Qué es el bus CAN. El Controller Area Network (CAN bus, ISO 11898) es el bus multimaestro por el que dialogan las centralitas (ECU): motor, frenos, luces, cierre, receptor de la llave. Nació en los años 80 priorizando robustez y determinismo, no seguridad. Sus tramas se identifican por un ID que fija la prioridad mediante arbitraje por bits dominantes y — su gran debilidad — no van autenticadas ni cifradas: cada ECU acepta cualquier trama con el ID que espera. El emisor es, en la práctica, anónimo.

Inyección CAN: entrar por el faro y suplantar la llave

El ataque. Si alguien logra pinchar físicamente en un punto accesible del cableado, puede inyectar tramas falsas haciéndose pasar por el receptor de la llave y decirle al coche: «llave válida presente». En la práctica, el dispositivo satura antes el bus con tramas de alta prioridad para silenciar a la ECU legítima del receptor de llave. El coche abre y permite arrancar, saltándose el inmovilizador. El punto de acceso no tiene por qué ser evidente: en los casos documentados suele ser el conector de un faro, porque se alcanza desde fuera con poco daño y la reparación barata no resta valor al coche robado.

El caso que lo destapó. En 2022, al investigador de ciberseguridad del automóvil Ian Tabor le robaron su Toyota RAV4 tras aparecer con el faro desmontado y el cableado manipulado. Junto a Ken Tindell (Canis Automotive Labs) reconstruyó el robo analizando los códigos de error que el coche había registrado, y publicó el análisis en 2023. Descubrieron que el dispositivo usado para la inyección se vendía disfrazado de altavoz Bluetooth tipo JBL.

Lo que hay que retener. Como este ataque no usa la señal de la llave, una funda Faraday no protege de él. Las defensas van por otro lado: dificultar el acceso físico y que el fabricante autentique los mensajes del bus CAN, algo que la industria empieza a incorporar.

¿Y por qué no rompen simplemente el cifrado?

Una pregunta razonable: si todo depende de una conversación por radio, ¿por qué no graban la señal y descifran la clave para clonar la llave? La respuesta explica por qué los ataques reales tienen la forma que tienen.

Contra la criptografía moderna bien implementada — AES-128, por ejemplo —, romper la clave por fuerza bruta es computacionalmente inviable: no alcanzaría ni con todo el cómputo del planeta en un tiempo razonable. Ese cifrado, en la práctica, aguanta.

El problema histórico es que muchos sistemas no usaron criptografía fuerte, sino cifras propietarias, con claves cortas o mal diseñadas. Y esas sí se han roto, documentado por investigadores académicos:

• DST40 (Texas Instruments, clave de 40 bits): roto por la Universidad Johns Hopkins en 2005, con clonado de la llave. Se usaba en inmovilizadores de Toyota, Ford y Nissan de la época.

• Megamos Crypto: roto hacia 2012-2013 por el equipo de Flavio Garcia; afectaba a Audi, Porsche, Bentley y Lamborghini. Volkswagen logró una orden judicial que retrasó la publicación del estudio hasta 2015.

• Hitag2: cifra de transpondedor muy extendida, rota criptográficamente y recuperable en minutos.

• DST40/DST80 en coches recientes: en 2019, el trabajo Fast, Furious and Insecure recuperó la clave del keyless del Tesla Model S (y de McLaren y Triumph). El mismo grupo (Wouters et al.) extendió el ataque en 2020 al cifrado DST80 de modelos de Toyota, Hyundai y Kia.

• KeeLoq (el del código rodante): roto en 2007-2008 mediante criptoanálisis y ataques de canal lateral.

Pero incluso estos ataques exigen pericia, tiempo de cómputo y, a menudo, que el modelo use una de esas cifras vulnerables; no son un robo “de aparcamiento” en 30 segundos.

Y de ahí la conclusión que ordena todo el panorama: a los ladrones les resulta mucho más fácil rodear el cifrado que romperlo. El relay aprovecha el intercambio legítimo sin tocar la clave; la inyección CAN se salta la llave por completo; y la clonación que de verdad se ve en la calle suele hacerse después de entrar, programando una llave nueva por el puerto OBD. El cifrado fuerte resiste: lo que falla es todo lo que lo rodea.

Cómo responde la industria

La defensa de fondo no está en manos del conductor, sino del fabricante, y avanza en tres frentes:

• Autenticación en el bus. El estándar SecOC (Secure Onboard Communication, de AUTOSAR) añade un código de autenticación de mensaje (MAC) y un contador de frescura a las tramas críticas: una trama inyectada sin la clave se descarta. Con segmentación por gateways y buses separados, acota el alcance de una inyección CAN.

• Medición de distancia real. El keyless sobre UWB (IEEE 802.15.4z) sustituye la estimación por intensidad de señal (RSSI) por distance bounding basado en tiempo de vuelo, lo que neutraliza el relay.

• Marco regulatorio. La norma ISO/SAE 21434 define el proceso de ciberseguridad a lo largo del ciclo de vida del vehículo; los reglamentos UNECE R155 (sistema de gestión de ciberseguridad) y R156 (actualizaciones de software) son obligatorios para homologar vehículos nuevos en la UE, con plena aplicación desde julio de 2024.

Los cuatro métodos de un vistazo

Método	Capa atacada	Qué explota	Dificultad / coste	Rastro	Defensa principal
Relay	Radio (enlace LF/UHF)	Alcance de la llave keyless	Medio-alto: equipo específico, dos personas	Ninguno visible	Faraday / UWB / desactivar keyless
Captura (RollJam)	Radio (enlace RKE)	Señal del mando con botón	Medio: dispositivo casero + SDR	Ninguno; el dueño no sospecha	Códigos con caducidad / challenge-response (fabricante)
Inhibidor	Radio (capa física)	Bloqueo de la orden de cierre	Muy bajo: dispositivo barato	El coche queda abierto, sin daños	Comprobar físicamente el cierre
Inyección CAN	Red interna (bus CAN)	Falta de autenticación de tramas	Alto: acceso físico + dispositivo	Daño en faro y errores (DTC)	Bloqueos físicos, SecOC / segmentación (fabricante)

Dos conclusiones se leen directamente en la tabla. La funda Faraday, la medida estrella, solo frena los dos métodos que usan la señal de la llave — no el inhibidor ni la inyección CAN. Y las defensas más robustas (UWB, caducidad de códigos, autenticación del bus) dependen del fabricante, no del usuario: por eso la protección del conductor es necesariamente por capas.

¿Qué coches son objetivo en España?

Conviene distinguir dos fenómenos que a menudo se mezclan. Los coches más robados en España no son los mismos que los que sufren los ataques de alta tecnología.

Según el Balance de Criminalidad del Ministerio del Interior, los cinco coches más robados en 2024 fueron, por este orden:

Puesto	Modelo	Perfil típico
1	SEAT Ibiza	3.ª generación (2005-2008); muy abundante en la calle
2	Volkswagen Golf	4.ª generación; popular y con buen valor de reventa
3	SEAT León	Modelo masivo, fácil de revender por piezas
4	Ford Focus	Gran volumen de parque, piezas comunes
5	BMW Serie 3	E46; “aspiracional” y valioso por despiece

El matiz importante. Estos son, en su mayoría, coches de más de diez años, con una antigüedad media en torno a los 11 años y un valor aproximado de 9.500 €. La mayoría no llevan sistema keyless: se roban por métodos tradicionales — inhibidor, ganzúa, “puente” — y, sobre todo, para despiece (retrovisores, catalizadores, equipos de sonido). Los tres primeros concentran más del 20 % de todas las sustracciones.

Los métodos de alta tecnología de este artículo — relay e inyección CAN — apuntan a otro perfil: coches modernos y premium con keyless. Por eso, en el ranking de marcas más robadas encabezan Mercedes-Benz y BMW, seguidas de Audi, Toyota, Ford y Volkswagen.

En lo geográfico, Cataluña — y Barcelona en particular — lidera en cifras absolutas; el lunes y el mes de enero son el día y el mes con más robos.

Cómo protegerse: defensa por capas

Ninguna medida aislada cubre las cuatro amenazas. La estrategia realista es sumar capas para encarecer y ralentizar el robo.

Protección por capas: qué frena cada amenaza

Sobre la llave (frena relay y captura):

• Funda o caja Faraday. Guardar la llave en una funda que bloquea la radio impide que el relay “encuentre” la señal. Es la medida más barata y eficaz contra el método más común.

• Alejar la llave de puertas y ventanas. En casa, no dejarla en el recibidor ni cerca de la fachada; dificulta que el repetidor la alcance.

• Desactivar el keyless. Muchas llaves tienen un modo reposo (a menudo una doble pulsación) que detiene la emisión pasiva por la noche. Consulta el manual de tu modelo.

Sobre el vehículo (frena inhibidor y añade barreras al resto):

• Comprobar el cierre al bajar. Tirar de la manilla es la defensa directa contra el inhibidor. Gratis.

• Bloqueos físicos visibles. Cepo de volante, bloqueo de pedales o de palanca: disuaden y ralentizan, y son de los pocos recursos útiles también frente a la inyección CAN.

• Proteger los accesos. Cubrir o reubicar el puerto OBD y vigilar manipulaciones en faros y parachoques — el punto de entrada de la inyección CAN.

• Baliza o localizador GPS oculto. No evita el robo, pero mejora mucho la recuperación; conviene que sea independiente del sistema del coche.

Sobre el entorno:

• Aparcar en garaje cerrado o en zona iluminada y con cámara reduce de forma notable la probabilidad de ser elegido como objetivo.

Al comprar coche: valora los modelos con keyless por UWB, que mide la distancia real a la llave y neutraliza el relay. Es, hoy, la protección de fábrica más sólida contra el método más frecuente.

Y una dosis de honestidad: ninguna de estas capas es infalible. El objetivo no es volver el coche inexpugnable, sino dejar de ser el blanco fácil.

Marco legal en España

(Esta sección es informativa; no constituye asesoramiento jurídico.)

Los inhibidores están prohibidos. El uso de inhibidores de señal con fines delictivos es ilegal en España, y su tenencia y uso por particulares está fuertemente restringido — también por la interferencia que causan a comunicaciones y servicios de emergencia.

El robo con medios tecnológicos es robo. Que no haya fuerza visible no cambia la calificación penal: abrir y sustraer un vehículo por vía electrónica se persigue como robo, y suele ir acompañado de otros delitos — falsificación de los elementos identificativos del coche y de las matrículas, pertenencia a organización criminal…

Es, sobre todo, crimen organizado. La Unidad Central Operativa (UCO) de la Guardia Civil persigue estas bandas de forma habitual. En la Operación Biturbo, por ejemplo, se detuvo a cinco personas y se recuperaron 13 vehículos; entre el material incautado figuraban inhibidores y captadores de frecuencia, más de 100 llaves vírgenes para programar y una troqueladora de matrículas. Los coches salían de España rumbo al este de Europa.

Conclusión

El robo de coches se ha convertido en una disciplina más de la ciberseguridad. Ningún vehículo moderno es 100 % inmune: contra un atacante decidido y bien equipado, siempre hay una vía. Pero la mayoría de los robos no son obra de ese atacante ideal, sino de bandas que buscan el objetivo más rápido y menos protegido. Ahí es donde el conductor sí decide.

Checklist rápido:

• Guardar la llave en funda Faraday, lejos de puertas y ventanas.

• Activar el modo reposo del keyless si el coche lo permite.

• Comprobar siempre, tirando de la manilla, que el coche quedó cerrado.

• Usar un bloqueo físico visible (cepo de volante, pedal).

• Aparcar en garaje o zona iluminada con cámara.

• Valorar el UWB en la próxima compra.

• Instalar una baliza GPS para mejorar la recuperación.

Preguntas frecuentes (técnicas)

¿Una funda Faraday protege contra todo? No. Solo frena los ataques que usan la señal de la llave — relay y captura. No tiene efecto sobre el inhibidor ni sobre la inyección CAN.

¿El relay clona la llave? No: la retransmite en tiempo real, sin extraer la clave. Si el motor se apaga lejos de la llave, el coche puede no volver a arrancar. La clonación persistente exige un paso extra (programar una llave nueva, normalmente vía OBD).

¿El código rodante basta contra la captura? Frena el replay simple, pero no a RollJam, que guarda un código válido sin usar. La defensa efectiva es la caducidad temporal del código o un challenge-response bidireccional.

¿Por qué el UWB frena el relay y el keyless convencional no? Porque mide la distancia por tiempo de vuelo (ToF), no por intensidad de señal (RSSI). El atacante puede amplificar la potencia, pero no acortar el tiempo de propagación.

¿Tapar el puerto OBD frena la inyección CAN? Ayuda, pero no basta: la inyección puede hacerse desde cualquier punto del mismo bus (el faro, por ejemplo). La defensa de fondo es autenticar las tramas (SecOC) y segmentar la red con gateways.

¿Hay algún coche inmune? Ninguno al 100 %. Los que combinan keyless por UWB, autenticación del bus CAN y actualizaciones de seguridad (UNECE R155/R156) elevan mucho el listón.

Fuentes

• Motorpasión / ADAC 2025 — vulnerabilidad al relay y datos de España

• Tracker / Reino Unido — robos sin llave en máximos

• Help Net Security — defensa por capas y datos de Países Bajos

• The Hacker News — RollJam (Samy Kamkar, DEF CON 2015)

• The Register — inyección en el bus CAN (Tabor / Tindell)

• SecurityWeek — dispositivo de inyección CAN disfrazado de altavoz

• Línea Directa — informe sobre el robo de vehículos en España

• The Objective — Operación Biturbo de la UCO

• Ken Tindell (Canis Automotive Labs) — análisis técnico de la inyección CAN

• Samy Kamkar — diapositivas de RollJam, DEF CON 2015

• Bono et al. (Johns Hopkins) — análisis de seguridad del transpondedor DST40, USENIX Security 2005

• Verdult, Garcia y Ege — “Dismantling Megamos Crypto”, USENIX Security

• Wouters et al. — “Fast, Furious and Insecure”, TCHES 2019

Tu Smart TV te vigila: así funciona ACR, el sistema que registra todo lo que ves sin que lo sepas

2026-02-22T13:11:00.006+00:00

Tu Smart TV te vigila: así funciona ACR, el sistema que registra todo lo que ves sin que lo sepas

Las Smart TV que millones de hogares utilizamos a diario incorporan un sistema que identifica automáticamente qué contenido se reproduce, cuándo se visualiza y durante cuánto tiempo, mediante la captura periódica de fragmentos de audio y vídeo que se comparan con grandes bases de datos.

El televisor inteligente se ha convertido en el eje del entretenimiento doméstico. Plataformas de streaming, canales tradicionales, aplicaciones y dispositivos externos confluyen en una misma pantalla que ya no solo reproduce imágenes, sino que también analiza patrones de consumo. Y es que estos aparatos incorporan un sistema llamado ACR que identifica automáticamente qué contenido se reproduce, cuándo se visualiza y durante cuánto tiempo, mediante la captura periódica de fragmentos de audio y vídeo que se comparan con grandes bases de datos.

Cómo funciona realmente el ACR

El ACR opera generando huellas digitales a partir de pequeños fragmentos de sonido o imagen capturados directamente desde la señal que muestra la pantalla. Esos fragmentos se transforman en códigos únicos que se contrastan con repositorios masivos donde están indexados programas, películas, anuncios y videojuegos. Y cuando se produce una coincidencia, el sistema identifica el contenido y lo asocia a metadatos como título, canal, duración y horario.

Este mecanismo se ejecuta en segundo plano y no altera la experiencia de visionado. Su alcance no se limita a las aplicaciones instaladas en la Smart TV, sino que también puede analizar señales procedentes de dispositivos conectados por HDMI, como consolas, decodificadores o reproductores multimedia.

En la práctica, el televisor actúa como un medidor de audiencia permanente capaz de registrar tanto una serie en streaming como una partida en una videoconsola. La repetición constante de este proceso permite construir un historial extremadamente preciso. A partir de ese registro pueden inferirse preferencias culturales, rutinas diarias y patrones de comportamiento asociados a determinadas franjas horarias.

Qué se hace con los datos recopilados

La información obtenida a través de ACR tiene un alto valor dentro del ecosistema publicitario digital. Permite ajustar recomendaciones en la interfaz del propio televisor y mostrar anuncios adaptados al perfil de consumo del usuario.

Cuando el dispositivo está vinculado a una cuenta común o a otros equipos del hogar, los datos pueden contribuir a sincronizar campañas en diferentes pantallas.

Además, estos registros sirven para elaborar métricas de audiencia mucho más detalladas que los sistemas tradicionales. Las marcas pueden conocer con mayor precisión qué contenidos generan mayor interés y en qué momentos del día se consumen.

Sin embargo, el seguimiento no siempre resulta evidente para el usuario. “Muchas personas no son conscientes de que su televisor puede estar recopilando información de forma continua sobre lo que ven y cuándo lo ven”, explica Josep Albors, director de Investigación y Concienciación de ESET España.

“El problema no es tanto la tecnología en sí, sino que suele venir activada por defecto y el consentimiento se integra en largos textos de condiciones de uso que rara vez se leen con detalle”, añade.

Riesgos asociados a la exposición de información

Más allá de la personalización comercial, el envío de estos datos a servidores externos amplía la superficie de exposición ante posibles incidentes de seguridad. En caso de una brecha, el historial de visionado podría quedar comprometido o utilizarse con fines distintos a los previstos inicialmente.

La combinación de horarios, contenidos y dispositivos conectados permite construir un perfil digital muy completo. Determinados patrones podrían revelar rutinas domésticas o intereses específicos que exceden el ámbito puramente audiovisual.

También existe un factor de opacidad. Cada fabricante emplea terminologías distintas para referirse a estas funciones, lo que dificulta su localización en los menús.

Opciones vinculadas a experiencia personalizada, datos de visualización o publicidad avanzada pueden ocultar en realidad sistemas de reconocimiento automático de contenidos.

Por qué conviene revisar la configuración

El ACR suele estar habilitado desde el primer encendido del televisor. Su desactivación no afecta al funcionamiento básico del dispositivo ni impide acceder a plataformas o aplicaciones.

Revisar los ajustes de privacidad tras la configuración inicial y después de cada actualización relevante resulta clave para mantener el control sobre la información compartida.

Albors lo resume de forma clara: “Desactivar el ACR permite cortar uno de los flujos de datos más intrusivos de la Smart TV, reducir la personalización agresiva de anuncios y limitar el riesgo asociado a posibles filtraciones o usos no deseados de la información”.

Explorar con detenimiento los apartados de privacidad, publicidad o información de visualización puede marcar la diferencia. Mantener el firmware actualizado y comprobar los permisos tras cada actualización contribuye igualmente a reforzar la protección.

Vía Escudodigital.com

Cómo romper el cifrado Bitlocker de Windows con una Raspberry Pi de 15€.

2024-02-11T21:15:00.002+00:00

Hace muy poco se ha publicado un vídeo titulado "Breaking Bitlocker: Bypassing Windows Disk Encryption" donde se ha conseguido romper el cifrado de Windows BitLocker usando una Raspberry Pi Pico que cuesta unos 15€. Una hazaña increíble teniendo en cuenta el tiempo que lleva BitLocker instalado en todos los ordenadores con Windows usando esta arquitectura.

Figura 1: Cómo romper el cifrado Bitlocker de Windows con un ataque de 15€.

El bug en la comunicación entre TPM y CPU

El objetivo del ataque es extraer la clave de cifrado de Bitlocker interceptando la comunicación entre el Módulo de Plataforma de Confianza (TPM) y el procesador del sistema, y lo logra en menos de un minuto y como he comentado antes, con un coste inferior a 20€. A pesar de la Inteligencia Artificial, menos mal que aún queda hacking de ingeniería inversa al más puro “old style” ;)

Bitlocker es la solución de cifrado de disco completo que protege los datos en dispositivos Windows contra accesos no autorizados. Utiliza un TPM, un chip criptográfico en la placa base, para almacenar de forma segura las claves de cifrado. El TPM asegura que la clave de cifrado solo se comparta si la configuración del hardware no ha sido alterada desde el último arranque.

Figura 4: Chip TMP.

Explicado un poco más en detalle, el proceso de medición del TPM verifica la integridad del sistema al arrancar, utilizando los Registros de Configuración de Plataforma (PCR). Cada componente crítico del sistema (BIOS, bootloader, etcétera) se mide, es decir, se calcula un hash de su configuración y este hash se almacena en las PCR. Sólo si los valores de las PCR coinciden con los esperados, el TPM libera la clave de cifrado a Windows.

Vulnerabilidad en la Comunicación TPM-CPU

La vulnerabilidad que se ha conseguido explotar, reside en la comunicación no cifrada entre el TPM y el CPU. Cuando el sistema arranca y verifica la integridad del hardware, si todo está ok, el TPM envía la clave de cifrado a la CPU en texto plano.

Figura 5: Breaking BitLocker. Bypassing Windows Disk Encryption

Y claro, aquí tenemos el problema. Por lo tanto, el problema radica en este diseño (más que en BitLocker como tal) permite que un atacante, con acceso físico al bus de comunicación entre el TPM y la CPU, intercepte dicha clave de cifrado, comprometiendo así la confidencialidad de la información sin necesidad de conocer la contraseña o PIN del usuario.

Figura 6: Master Key encontrada en menos de 43 segundos

En la explotación se utiliza una Raspberry Pi Pico y pogo pins, contactos que permiten crear una conexión física temporal con los puntos de prueba o los pines de un circuito impreso. El objetivo es acceder físicamente al bus LPC (Low Pin Count), un bus de comunicación utilizado por el TPM para transmitir datos al CPU. Se seleccionó este bus por su simplicidad y la facilidad con la que se pueden interceptar los datos.

Figura 7: Conexión de la Raspberry Pi Pico al bus LPC

El primer paso es un proceso de ingeniería inversa y análisis detallado del protocolo LPC para entender cómo se transmiten los datos entre el TPM y el CPU. Una vez que se analizado, creamos un firmware personalizado para el Raspberry Pi Pico, que permita capturar y decodificar las señales transmitidas a través del bus LPC durante el proceso de arranque del sistema. Esta es quizás la parte más compleja de todo el ataque ya que requiere un alto conocimiento de electrónica para poder crear ese firmware.

Figura 8: Datos capturados directamente desde los pines del bus.

Una vez que el dispositivo está correctamente conectado al bus LPC mediante los pogo pins, actúa como un "sniffer" de bus, escuchando y registrando la comunicación entre el TPM y el CPU. Al interceptar esta comunicación, el firmware del Raspberry Pi Pico analiza los datos capturados para identificar y extraer la clave de cifrado de Bitlocker enviada en texto plano. Y ya lo tenemos, a partir de ahora con esta clave podemos descifrar la información del disco. Todo el material utilizado para este ataque puedes encontrarlo aquí.

Las implicaciones de este ataque

La capacidad de descifrar Bitlocker a través de este ataque tiene consecuencias realmente significativas y críticas en la seguridad de la información almacenada en dispositivos que confían en esta tecnología para la protección de datos (que son muchos, ya que es el que se usa habitualmente en Windows).

Figura 9: Hacking Windows: Ataques a sistemas y redes Microsoft 2ª Edición

escrito por Carlos García, Valentín Martín y Pablo González en 0xWord.

Y quizás el punto más importante es que este ataque expone a riesgos críticos la confidencialidad de los datos, permitiendo a un atacante con acceso físico al dispositivo, obtener de manera relativamente sencilla (y con un costo mínimo), acceso completo a la información previamente considerada segura bajo el cifrado de Bitlocker. Esto incluye documentos personales, datos empresariales sensibles, información financiera, entre otros, poniendo en peligro la privacidad de individuos y la seguridad de organizaciones.

Figura 10: Picto-Tpmsniffer en GitHub

Moraleja: el hardware es importante en el pentesting los ataques físicos, aunque requieren acceso al hardware objetivo, pueden llevarnos a descubrir vulnerabilidades críticas que no serían tan evidentes mediante técnicas de software. El bajo costo y la disponibilidad de herramientas como el Raspberry Pi Pico (o el conocido Flipper Zero) hacen que tengamos acceso a técnicas de pentesting más avanzadas, permitiendo a los investigadores de ciberseguridad explorar nuevas vías de ataque y defensa.

Figura 11: Adaptador utilizado para la explotación,

se puede descargar desde el Github del autor.

El pentesting usando hardware es un aviso claro: la seguridad de los sistemas informáticos no solo depende del software y la configuración, sino también de la integridad física y la seguridad del hardware subyacente. En el contexto de la seguridad informática, es vital considerar y protegerse contra ataques físicos, implementando medidas como el cifrado de disco con autenticación previa al arranque y la protección de los componentes de hardware críticos.

Ya para terminar, lo que realmente llama la atención de este ataque es la ingeniosidad y la simplicidad del mismo contra Bitlocker, una técnica de cifrado que hasta hoy pensábamos que era segura y que realmente lo sigue siendo, porque como hemos podido comprobar, el problema está en la implementación no en el algoritmo como tal. La innovación en herramientas de pentesting, especialmente en el ámbito del hardware, juega un papel crucial en la identificación y mitigación de vulnerabilidades de seguridad que de otra forma sería imposible detectar, asegurando la protección efectiva de los datos en un panorama de amenazas en constante evolución.

Fuente | Un informático en el lado del mal

Gusano Raspberry Robin

2024-02-11T21:00:00.001+00:00

El malware Raspberry Robin ha experimentado una evolución significativa al adquirir acceso temprano a exploits de Windows.

El gusano Raspberry Robin sigue sorprendiendo a la comunidad de ciberseguridad al utilizar dos nuevas explotaciones de tipo 1-day LPE (Local Privilege Escalation) antes de su divulgación pública, revelando su posible acceso a vendedores de exploits o la capacidad de sus autores para desarrollar estas herramientas en un corto período. Esta táctica subraya la sofisticación y evolución constante del malware para mantenerse indetectable.

Raspberry Robin, identificado por primera vez en 2021 por Red Canary, ha demostrado ser uno de los malwares más intrigantes debido a su distribución activa, sus capacidades de evasión y su papel como proveedor de acceso inicial para despliegues de malware adicionales por parte de grupos criminales. En recientes oleadas de ataques, este gusano ha incorporado métodos de comunicación y movimiento lateral modificados para evadir firmas de comportamiento basadas en su versión anterior, además de adoptar métodos de entrega novedosos que se disfrazan como componentes legítimos de Windows.

Cuando Raspberry Robin se ejecuta por primera vez en un equipo, intentará automáticamente elevar privilegios en el dispositivo mediante diversos exploits de día cero. La utilización de exploits 1-day, es decir, explotaciones de vulnerabilidades conocidas pero no parcheadas en el momento de su uso, como CVE-2023-36802, indica que Raspberry Robin tiene acceso a explotaciones avanzadas, posiblemente adquiridas a desarrolladores de exploits. Estas técnicas de escalada de privilegios apuntan a versiones específicas de Windows y son inyectadas en procesos legítimos para evitar detecciones.

Un cambio notable en las campañas recientes es el uso de la plataforma Discord para dejar archivos de archivo maliciosos, probablemente después de enviar los enlaces por correo electrónico al objetivo. Los archivos contienen un ejecutable firmado digitalmente (OleView.exe) y un archivo DLL malicioso (aclui.dll) que se carga lateralmente en el ejecutable, activando así Raspberry Robin en el sistema.

La campaña más reciente destaca el uso de la plataforma Discord para distribuir archivos maliciosos. El uso de tales tácticas por parte de Raspberry Robin refuerza la necesidad de actualizaciones de seguridad constantes por parte de los usuarios.

Se espera que este malware continúe evolucionando añadiendo nuevos exploits, por ello, Check Point proporciona indicadores de compromiso para ayudar en la detección y mitigación.

Fuente | Hispasec.com

Mas info | Research.checkpoint.com

Joker, el troyano para Android, sigue colándose en Google Play

2021-12-05T17:32:00.002+00:00

No es la primera vez que Joker, el troyano para Android, se cuela en aplicaciones que se encuentran en Google Play. En este caso, el malware ha sido encontrado en 15 aplicaciones, algunas de ellas con más de 100.000 descargas.

Este troyano, descubierto por primera vez en 2017, realiza fraudes SMS a través del envío de mensajes a números no gratuitos. Además, puede suscribir a los usuarios a sitios webs que ofrecen servicios de pago, realizando así también el fraude mediante suscripciones premium. Algunas víctimas se han visto pagando más de 280 euros al año por estas suscripciones.

Ya en 2020, infectó a más de 500 mil móviles de la marca Huawei, y en esta ocasión, ha logrado colarse en varias aplicaciones que, a simple vista, parecen inofensivas. Sin embargo, estas contienen el peligroso malware. Dichas apps ya han sido retiradas de la Play Store pero lo más efectivo es eliminarlas del dispositivo en el caso de que se tengan instaladas. Las aplicaciones contaminadas serían las siguientes:

Classic Emoji Keyboard
EmojiOne Keyboard
Dazzling Keyboard
Smart TV remote
Battery Charging Animations Battery Wallpaper
Battery Charging Animations Bubble Effects
Flashlight Flash Alert On Call
Halloween Coloring
Easy PDF Scanner
Now QRcode Scan
Blender Photo Editor-Easy Photo Background Editor
Super Hero-Effect
Super-Click VPN
Volume Booster Louder Sound Equalizer
Volume Booster Hearing Aid

Todo muestra que esta no será la última vez que veamos a este virus propagarse libremente en la Google Store, por lo que si no queremos convertirnos en víctimas de Joker, debemos tener mucho cuidado con las aplicaciones que descarguemos.

Lo más importante es asegurarnos de que el contenido que bajemos tenga una fuente real y un registro verificado, no solo de la tienda, sino también del propio desarrollador.

Via | Hispasec

Nueva vulnerabilidad crítica en Linux denominada Sequoia

2021-08-19T19:18:00.002+01:00

El grupo de investigación Qualys detectó una vulnerabilidad en el sistema de archivos de Linux que permite a los atacantes una elevación de privilegios. Ha sido denominada Sequoia.

La vulnerabilidad ha recibido este nombre debido a la forma en que se realiza la explotación del sistema de ficheros, creando una estructura de más de un millón de carpetas anidadas, haciendo la analogía al crecimiento de una secuoya.

Logotipo de GNU/Linux

Se ha verificado que esta vulnerabilidad afecta a las versiones 20.04, 20.10 y 21.04 de Ubuntu, Debian 11 y Fedora 34 Workstation. Otras distribuciones de Linux son vulnerables y probablemente explotables.

La metodología de ataque requiere que un usuario sin privilegios cree una estructura profunda de alrededor de un millón de directorios anidados, y posteriormente montar y desmontar un dispositivo. Para más información detallada de la explotación, consultar la seccción de Explotation overview explicada por el grupo de investigación Qualys.

El día 20 de Julio se lanzó un parche en la versión 5.13.4 del kernel de Linux que soluciona la vulnerabilidad.

Este grupo de investigación también ha detectado otra vulnerabilidad en los últimos días con el identificador CVE-2021-33910. Esta vulnerabilidad afecta a systemd que permite una denegación de servicio.

Referencias:

Publicaciones relacionadas

Linux Rabbit: nuevo criptominero diseñado para infectar servidores Linux

17 diciembre, 2018

Se publica el kernel Linux 2.4.21

Se acaba de publicar la versión 2.4.21 del kernel Linux, que da solución a numerosos problemas de seguridad anunciados en las últimas semanas.Las vulnerabilidades eliminadas son, al menos, las siguientes:* Obtención de privilegios de administrador "root" utilizando lasfuncionalidades "ptrace".* Ataque de denegación de servicio por colisiones en la estructuraHASH de…

15 junio, 2003

Investigadores de seguridad descubren como mitigar las restricciones impuestas tras los ataques de Spectre en Linux

1 abril, 2021

Roban más de 600 millones en criptomonedas de la plataforma Poly Network

2021-08-19T19:17:00.001+01:00

Unos hackers han conseguido desviar unos 611 millones de dolares en diferentes criptomonedas de una red financiera basada en Blockchain, aprovechándose de vulnerabilidades en su código.

El pasado 10 de agosto, el twitter de Poly Network anunciaba que su plataforma había sido comprometida, y que parte de sus activos habían sido transferidos a una serie de direcciones controladas por el atacante:

Poly Network es una plataforma descentralizada que para el intercambio de tokens o cryptomonedas entre diferentes blockchains, como pueden ser Ethereum, Binance Smart Chain, Polygon, etc. Mediante una red de bloques propia y smart contracts desplegados en las redes participantes, permite la transferencia segura de activos entre las mismas.

Una transferencia de tokens entre dos blockchains consiste, por un lado, en el bloqueo de los activos en la red de origen, y posteriormente transferirlos a la cuenta en la red de destino. Este proceso requiere que los diferentes contratos dispongan de liquidez suficiente en la red de destino, que fue el objetivo del atacante.

Aunque en un principio se rumoreaba que las claves privadas de Poly Network habían sido filtradas, un análisis realizado por la empresa china SlowMist determinó que la causa del hackeo fue una vulnerabilidad en el código de los smart contracts que gestionan las llamadas entre cadenas, en concreto, la función _executeCrossChainTx del contrato EthCrossChainManager.

Tanto el contrato llamado, como su método o los aragumentos no son verificados adecuadamente y están bajo el control del usuario. Es posible, por tanto, realizar llamadas arbitrarias a otras funciones, obteniendo un nombre de método, mediante un proceso de fuerza bruta, cuya firma colisione con la de la función que se quiere llamar.

En las transacciones realizadas durante el ataque, se comprueba que el objetivo fue reemplazar la clave pública que controla el desbloqueo de fondos. Aunque ésta se encuentra definido en otro contrato, EthCrossChainData, su propietario es el contrato vulnerable. Una vez reemplazado, es posible realizar transacciones que envíen cantidades arbitrarias de fondos a cualquier dirección, que es lo que hizo el atacante.

Dada la repercusión que ha tenido este robo, el más grande del que se tiene referencia, y la dificultad de llegar a disfrutar de los fondos obtenidos, el hacker o grupo ha decidido devolver los tokens sustraidos.

Como ocurre con otras tecnologías, es fundamental auditar adecuadamente el código de aplicaciones críticas, especialmente cuando se confian en ellas cantidades de dinero tan elevadas.

Para los interesados en la auditoría de smart contracts, en la plataforma de retos Una al Mes (UAM) disponemos de un reto de iniciación.

Referencias

https://thehackernews.com/2021/08/hacker-steal-over-600-million-worth-of.html
https://slowmist.medium.com/?p=8112a35beb39

FUENTE | https://unaaldia.hispasec.com/2021/08/roban-mas-de-600-millones-en-criptomonedas-de-la-plataforma-poly-network.html

Técnica permite modificar ficheros PDF con firma digital

2021-02-28T20:49:00.002+00:00

Investigadores han demostrado una nueva clase de ataques que permitirían romper a la integridad de documentos PDF con firma digital

Denominada como “Shadow attacks” por los investigadores, la técnica no explota ningún bug en los clientes, sino que se aprovecha de la enorme flexibilidad del estándar PDF.

La idea principal detrás de este ataque es el concepto de capas. Diferentes conjuntos de contenido que pueden apilarse unos encima de otros, dentro de un mismo documentos PDF. Una vez firmado el documento, es posible realizar modificaciones que no afectan a la firma, pero que permiten alterar qué capa está visible.

Para llevar a cabo el ataque, se prepara un documento PDF con dos contenidos distintos: uno que será presentado a la persona que va a realizar la firma digital , y otro que será visible tras ésta, y que puede alterar la integridad del mensaje firmado.

La técnica fue presentada el pasado día 22 en el NDSS, y está disponible en un paper donde se analizan en detalle las diferentes maneras de alterar los documentos, abusando de características propias del estándar PDF y que, en el momento de su descubrimiento, afectaba a 16 de las 29 aplicaciones que se analizaron.

Las vulnerabilides en la aplicación de Adobe tienen asignados los CVE-2020-9592 y CVE-2020-9596, y fueron corregidos por la empresa el pasado mayo, según su boletín de seguridad.

Referencias
https://thehackernews.com/2021/02/shadow-attacks-let-attackers-replace.html
https://www.ndss-symposium.org/wp-content/uploads/ndss2021_1B-4_24117_paper.pdf
https://www.zdnet.com/article/new-shadow-attack-can-replace-content-in-digitally-signed-pdf-files/

Liberados parches de seguridad de Cisco que corrigen vulnerabilidades críticas y altas en varios de sus productos

2021-02-28T20:45:00.005+00:00

Cisco ha publicado nuevos parches de seguridad que corrigen vulnerabilidades críticas que afectan a los productos Application Centric Infrastructure (ACI) Multi-Site Orchestrator (MSO), la familia de switches Cisco Nexus 3000 y Cisco Nexus 9000, y el motor de servicios Cisco Application Services Engine.

Algunas de las vulnerabilidades detectadas han sido establecidas con una puntuación de 10 (sobre 10) en el sistema de puntuación CVSS (Common Vulnerability Scoring System) v3.

El parche de seguridad que afecta a los productos ACI MSO, corrige un fallo de seguridad en el sistema de autenticación. La vulnerabilidad, con código CVE-2021-1388, ha sido clasificada con una puntuación de 10 en CVSS v3.

CVE-2021-1388: Esta permite a un atacante, sin necesidad de estar autenticado, realizar un bypass del sistema de autenticación a través de una petición especialmente diseñada sobre la API de los productos ACI MSO. El parche de seguridad se encuentra disponible en el siguiente enlace.

Además, Cisco a publicado un parche para corregir un fallo en la implementación de la gestión de ficheros interna que afecta a la serie de switches Cisco Nexus 3000 y Cisco Nexus 9000. La vulnerabilidad ha sido identificada con el código CVE-2021-1361, con una puntuación de 9.8 en CVSS v3. La vulnerabilidad afecta a todos los productos de las series Cisco Nexus 3000 y 9000 por defecto.

CVE-2021-1361: La vulnerabilidad permite a un atacante crear, borrar o sobreescribir ficheros con privilegios de administración (root), y por consiguiente, pudiendo crear cuentas de usuario del dispositivo afectado sin la autorización del usuario administrador legítimo. El parche de seguridad se encuentra disponible en el siguiente enlace.

Por último, se ha liberado un parche de seguridad sobre el motor de servicios Cisco Application Services Engine, que corrige un fallo de seguridad sobre el sistema de control de acceso basado en privilegios de la API. Las vulnerabilidades han sido identificadas con los códigos CVE-2021-1393 y CVE-2021-1396, con una puntuación de 9.8 en el sistema CVSS v3.

CVE-2021-1393 y CVE-2021-1396: Ambas vulnerabilidades permiten a un atacante acceder a servicios privados con necesidad de privilegios sobre la API, evitando el sistema de control de acceso del mismo. El parche de seguridad se encuentra disponible en el siguiente enlace.

Además de las anteriores, Cisco ha publicado parches de seguridad sobre vulnerabilidades de riesgo alto que afectan a múltiples productos de la compañía. Las vulnerabilidades han sido identificadas con los códigos CVE-2021-3156, CVE-2021-1228, CVE-2021-1227, CVE-2021-1387 y CVE-2021-1230.

Desde Hispasec, y debido al alto riesgo de las vulnerabilidades detectadas, recomendamos aplicar los parches de seguridad de Cisco sobre los productos afectados a la mayor brevedad posible.

Más información:

Cisco – Boletín de parches de seguridad
https://tools.cisco.com/security/center/publicationListing.x

The Hacker News – Cisco Releases Security Patches for Critical Flaws Affecting its Products
https://thehackernews.com/2021/02/cisco-releases-security-patches-for.html

Fuente | https://unaaldia.hispasec.com/2021/02/liberados-parches-de-seguridad-de-cisco-que-corrigen-vulnerabilidades-criticas-y-altas-en-varios-de-sus-productos.html

Progresión de Babuk, el primer ransomware del año

2021-02-27T13:36:00.014+00:00

El año pasado ya pronosticaban los expertos que 2021 seguiría cargado de ransomware. No se hizo esperar con Babuk (Babuk Locker, Babyk Ransomware. Vasa Locker), un nuevo ransomware que asomó a nuestras vidas a principios de Enero de 2021, y que usa algunas de las técnicas presentes en otras familias.

Entra dentro de lo que conocemos como RaaS (Ransomware-as-a-Service), donde diferentes actores participan en la creación del código y su posterior distribución. Los atacantes por lo general pedirán rescate, pero también amenazarán con la publicación del contenido. Precisamente, como se describe en un artículo anterior de este mismo medio, el código de CyberPunk 2007 fue vendido este febrero justamente tras ser la compañía víctima de un ransomware.

Conforme al informe publicado por McAfee el pasado 23 de Febrero, diferentes sectores se han visto afectados en todo el mundo por Babuk, entre los que destacan: servicios de asistencia sanitaria, instituciones bancarias y financieras, hosting y transportes. El mapa de severidad proporcionado por la herramienta MVISION de McAfee muestra que España y Chile son dos de los países más afectados en el momento de redacción de este artículo.

Mapa de infección. Fuente: McAfee (MVISION Insights)

Los informes de los analistas indican que por lo general el código no se encuentra ofuscado, aunque las últimas variantes registradas en febrero aparecen empaquetadas. Algunos comentarios de autores vinculados con este malware (biba99, RAIDforums), apuntan a nuevas variantes para sistemas Unix.

Comentario de usuario biba99 en RAIDforums

Entre la operativa habitual comprueba los servicios en ejecución para detener aquellos que permitirían su detección o análisis. También incluye una lista de procesos que cerrar en caso de encontrarse en la máquina afectada. Tras preparar el entorno empleará comandos para cifrar los recursos de la máquina, afectando también a los recursos compartidos.

Babuk usa su propio esquema de cifrado. Emplea ChaCha8, una variante de Salsa20, cifrado de flujo usado por ejemplo en el malware REvil (Sodinokibi), así como criptografía de curva elíptica (ECDH). Durante el cifrado lanzará múltiples hebras para cifrar los discos, variando la carga de las hebras conforme el tamaño del disco.

Aunque no es un malware complejo de analizar, y tampoco emplea técnicas novedosas, ya hay empresas que han sido víctimas de este ransomware, por los mecanismos de engaño habituales. Los precios anunciados en la nota de rescate oscilan entre 65.000 y 85.000 dólares (algo menos de 70.000 euros). Como medidas preventivas más allá de la concienciación sobre ciberseguridad y la monitorización de los recursos, se encuentran la política de backups y la segmentación de la red de la organización.

Más información:

Technical Analysis of Babuk Ransomware. Alexandre Mundo, Thibault seret, Thomas Roccia y John Fokker. McAfee. https://www.mcafee.com/enterprise/en-us/assets/reports/rp-babuk-ransomware.pdf

Babuk Ransomware. Chuong Dong, 3 Enero 2021. http://chuongdong.com/reverse%20engineering/2021/01/03/BabukRansomware/

Babyk Ransomware won’t hit charities, unless they support LGBT, BLM. Lawrence Abrams, 2 Febrero 2021. https://www.bleepingcomputer.com/news/security/babyk-ransomware-wont-hit-charities-unless-they-support-lgbt-blm/

TOP Malware Series: REvil Ransomware. CRONUP. 16 Septiembre 2020. https://www.cronup.com/post/top-malware-series-revil-ransomware

Fuente | Unaaldia

Detectada una extensión activa desde frebrero en Chrome Web Store que roba tarjetas de crédito

2019-01-16T18:21:00.001+00:00

Hemos detectado una extensión para Google Chrome, aún activa, que roba los datos de los formularios de las páginas que son visitadas por las víctimas. El complemento, que aún se encuentra disponible en el market de extensiones para Chrome, lleva activo desde febrero del año pasado. Está oculto a las búsquedas en la Web Store, y solo puede accederse a través de un enlace que los atacantes están distribuyendo por medio de ataques de inyección de JavaScript en webs que los redirige a él.

La extensión simula ser un "Reader Flash" creada por el supuesto desarrollador fbsgang.info. Una vez instalada, incrusta una pequeña función en todas las páginas que visita el usuario, en concreto, explota la funcionalidad que posee la API webRequest.onBeforeRequest que permite registrar un "hook" que será llamado justo antes de que el usuario emita una nueva petición HTTP dentro de la página (por ejemplo, pulsar un enlace o enviar un formulario).

Esta función registrada monitoriza con expresiones regulares los números de tarjeta de crédito (si observamos el código, vemos expresiones regulares para Visa (vvregex), MasterCard (mcregex), etc. Es decir, si alguno de los datos contenidos en la petición es un número de tarjeta, los enviará codificados en JSON al atacante mediante una petición AJAX. En concreto, emplea la función "sendFormData", que contiene codificado en base64 la URL de destino:

aHR0cDovL2Zic2dhbmcuaW5mby9jYy9nYXRlLnBocA==

que una vez decodificada es:

hxxp://fbsgang.info/cc/gate.php

Como vemos, se trata de una extensión sencilla que aprovecha un gran poder al alcance de una sola llamada de una API. Al momento de la detección contaba con unas 400 instalaciones. La infraestructura no se ha difundido masivamente, de momento. Está en la tienda desde febrero de 2018, pero gracias a que los atacantes solo han hecho pública la extensión para quien conoce el enlace, no es posible encontrarla a través de una búsqueda "normal".

¿Cómo se distribuye entonces?
En vez de captar víctimas a través de la búsqueda o a través de un envío masivo de mails, cosa que haría que la campaña fuese más exitosa pero seguro más "detectable", los atacantes han preferido otra técnica. Infectan páginas webs (hostings completos con todas sus webs, como hemos observado) con un JavaScritpt que detecta si el navegador es Chrome. Si es así, simplemente redirigen a una página que indicará que debe instalar Flash y así, será redirigido a esta extensión. Este es el fragmento de JavaScript inyectado en las webs.

El detalle es que los autores no han finalizado correctamente la pieza aún (o la han desactivado por alguna razón), por lo que el contenido actual que presenta es el índice de archivos del servidor:

Esto no afecta a la extensión, solo a la fórmula de difusión. Si volvemos "atrás en el tiempo", en concreto, vemos que el aspecto anterior era mucho más creíble:

Si observamos su código fuente:

El código JavaScript, posteriormente a su decodificación, presenta el siguiente aspecto:

Es decir, presenta al usuario la petición para instalar Adobe Flash y lo redirige al market de extensiones para Chrome. Justo a la extensión que comentábamos al comienzo. Cerrando el círculo de la infección y robo de información. Hemos alertado a Google sobre esta extensión para que sea retirada cuanto antes. Entre las páginas web, sería recomendable buscar un JavaScript con la estructura mostrada por si alguna estuviese infectada. Aunque el ataque parezca "detenido" la extensión sigue suponiendo una grave amenaza. Su hash es: 4d2efd3eebcae2b26ad3009915c6ef0cf69a0ebf.

Recordad que para analizar extensiones en general, disponemos de nuestra herramienta NETO. Aquí el resultado que vuelca la herramienta.

Vía | Elevenpaths.com

Las peores noticias en seguridad informática de 2017

2018-01-17T15:59:00.002+00:00

Todos los años, pero especialmente estos últimos, la seguridad informática está siendo noticia y no precisamente por buenos motivos. Es un síntoma más de la imparable digitalización de la sociedad y un problema que no debería dejar de preocuparnos. Sabemos que la seguridad absoluta en Internet no existe, eso es una completa utopía, pero como la vida misma los beneficios superan con creces las fatalidades. Aunque a veces, observando la actualidad, cueste creerlo.
Este es un balance de fin de año de lo sucedido en estos últimos doce meses en cuando a ciberseguridad. Un repaso a ataques informáticos, brechas de seguridad, aplicaciones maliciosas globales, filtraciones de datos masivas... Son las malas noticias sobre seguridad informática de este 2017.

El temible WannaCry: alrededor de 150 países afectados

El ransomware, ese tipo de programa dañino que bloquea el acceso a determinadas partes o archivos del sistema pidiendo un rescate a cambio del desbloqueo, se ha vuelto más común este año. De hecho, según un análisis de la firma de seguridad informática Bitdefender, el pago de estos rescates ha alcanzado en 2017 los 2.000 millones de dólares estadounidenses.
El más conocido de todos, por su afectación y alcance mundial, ha sido WannaCry. Ha afectado a más de 150 países dirigiéndose especialmente a empresas de todo tipo, también otra clase de instalaciones como hospitales, que empleaban versiones de Windows no actualizadas. Muchos de los afectados pagaron los rescates. Una de las últimas novedades al respecto es que Estados Unidos ha acusado formalmente a Corea del Norte de estar detrás del ataque.

Caso Equifax, una de las peores brechas de la historia

Aunque el ciberataque se reveló dos meses después, fue en julio cuando unos ciberdelincuentes accedieron a los sistemas de Equifax, una importante agencia de créditos, robando los datos personales de más de 140 millones de personas, incluyendo información sensible como números de seguros sociales.
Dada la magnitud del ataque, se ha considera una de las peores brechas de seguridad de los últimos años y de todos los tiempos. La afección es todavía más grave cuando los expertos señalan que con los datos obtenidos se podían suplantar identidades ahora pero también en el futuro si continúan invariables. Richard Smith, CEO de Equifax, dimitió tras el suceso y vertió la responsabilidad sobre un empleado que despidieron.

El encubrimiento de la brecha de Uber y el pago de 100.000 dólares al atacante

Aunque sucedió en octubre de 2016, la noticia saltó hace escasamente un mes porque la compañía había ocultado el ciberataque. Más de un año atrás en el tiempo un hacker robó los datos personales de 57 millones de clientes y conductores entre los que se incluyen nombres, direcciones de correo electrónico, números de teléfono y, en el caso de chóferes estadounidenses, números de licencia de conducir.
El problema de seguridad podría haber sido uno más de los que hemos conocido en los últimos tiempos, pero que la multinacional lo ocultase pagando además 100.000 dólares estadounidenses al atacante indignó a gran parte de la comunidad. Iba en contra de la confianza de usuarios y conductores, así como en contra, con toda probabilidad, de la obligación legal que tenían de comunicar el suceso a las agencias gubernamentales y a las personas afectadas.

3.000 millones de cuentas robadas a Yahoo, todas las que tenía en 2013

En los últimos meses del año también, en octubre, nos enteramos de que el ataque a Yahoo que había sido catalogado como el mayor de su historia, era todavía peor. Si cuando se supo, en septiembre de 2016, se hablan de 500 millones de cuentas afectadas, esa cifra subió a más de mil millones en hace un año y a 3.000 millones este pasado mes de octubre.
Esta cifra significa que el robo afectó a todas las cuentas que tenía la compañía en 2013 siendo una violación masiva que expuso un sinfín de datos. Desde nombres reales, nombres de usuario, correos electrónicos o conversaciones hasta números de teléfono, fechas de nacimiento, contraseñas, la firma digital y preguntas de seguridad con sus respuestas. Verizon, con su compra, se llevó un regalo.

Supuestas herramientas de espionaje estadounidenses filtradas

El grupo The Shadow Brokers se hizo mundialmente conocido por filtrar herramientas de la NSA tras haber conseguido acceder a sus sistemas. Aseguraron ser los primeros en acceder a los archivos de esta agencia gubernamental estadounidense. En septiembre, revelaron una nueva herramienta supuestamente perteneciente al organismo, UNITEDRAKE. Según revelaron, sirve para tomar el control de un ordenador con Windows de forma remota.
Esta filtración de herramientas se suma a otras hechas por ellos mismo y también por Wikileaks. La organización fundada por Julian Assange anunció el pasado mes de marzo su mayor filtración sobre la CIA, Vault 7, con miles de documentos de supuestas herramienta. A ella se sumó Vault 8, filtración en la que se reveló una plataforma de comunicaciones encubiertas para los programas maliciosos de la CIA que se hacía pasar por Kaspersky.

Bad Rabbit, otro ransomware con predilección por Europa

En octubre, nuevamente, otro ransomware importante en afectación. Bad Rabbit comenzó a infectar ordenadores especialmente en Europa, mostrando una pantalla en la que se informa del ataque, el cifrado de los datos y la cantidad a pagar por el rescate. Una cifra que, además, amenaza con subir cuanto más tiempo pasase.
La infección parecía producirse descargando una versión infectada de Adobe Flash y comenzó en Rusia y Ucrania, según se dijo, aunque afectó a la mayoría de países europeos. Bad Rabbit afectó a una importante agencia de noticias rusa, Interfax, y Kaspersky informó que sus investigaciones habían detectado que muchas páginas afectadas estaban relacionadas con medios de comunicación.

Lexnet, la justicia española expuesta en la red

Lexnet es una plataforma de intercambio de información y documentos que emplean abogados, procuradores y administraciones para comunicarse con los órganos judiciales del país. Se envían sentencias, demanda y otra clase de documentos judiciales. Es, por tanto, un lugar en el que se manejan datos sumamente sensibles que afectan a muchísimas personas, empresas e instituciones.
El problema es que esta plataforma tenía un grave fallo de seguridad que, según confirmó el Ministerio de Justicia español, provocó que se filtrasen más de 11.000 documentos. Estos expuso la arquitectura de sus sistemas informáticos y parte de su código fuente. Pero además, la brecha implicó que cualquier usuario de la plataforma pudiese entrar en los perfiles de otros letrados y cuentas registradas accediendo a sus documentos.

NotPetya, la vuelta de un ransomware ya conocido

Decíamos con WannaCry que este año los ransomware se habían vuelto más comunes y ha sido tal la dimensión de este fenómeno que incluso hemos visto nuevas cepas de otros ya conocidos, aunque estos no sea estrictamente una excepcionalidad. NotPetya es, concretamente, una nueva versión de Petya.
Se trató de nueva aplicación maliciosa que durante el mes de junio afectó a empresas e instituciones de países como Ucrania, España, Reino Unido, India, Holanda o Dinamarca. La suerte es que, aunque no existe una forma de detener el ataque de forma efectiva, un investigador de seguridad llamado Amit Serper sí descubrió una vacuna contra la infección.

1.400 millones de correos electrónicos y contraseñas al descubierto

Hasta el momento, la mayor exposición de credenciales se situaba cerca de los 800 millones. La base de datos fue conocida como Exploit.in. Sin embargo, el récord fue superado hace escasamente unas semanas. Según análisis realizados por 4iQ y The Hacker News, una nueva base de datos recogía nada más y nada menos que 1.400 millones de correos electrónicos y contraseñas.
Era una recopilación de datos aparecidos en la mencionada Exploit.in, en otra base de datos conocida como Anti Public, así como filtraciones de Bitcoin, Pastebin, LinkedIn, MySpace, Netflix, YouPorn, Last.FM, Zoosk, Badoo, RedBox, juegos como Minecraft y Runescape. A las credenciales conocidas hasta ahora, se sumaban 385 millones pares de credenciales, 318 millones de usuarios únicos y 147 millones de contraseñas. Según Julio Casal, fundador y CTO de la compañía responsable del descubrimiento, "el 14% de los pares expuestos de nombre de usuario/contraseñas no habían sido descifrados previamente por la comunidad y ahora están disponibles en texto plano".

Grandes desastres en el mundo de las criptomonedas

En un año en el que las monedas digitales han despuntando de una forma notable, en el que prácticamente todo el mundo sabe de su existencia aunque no sepa muy bien qué son, los ciberataques a casas de cambio, carteras u otra clase de espacios en los que poder apropiarse de estas lucrativas divisas.
En Genbeta, en un artículo especialmente dedicado al asunto, te hemos explicado el acceso ilegítimo a una cartera de la que se llevaron el equivalente a ocho millones de dólares estadounidenses, la extracción del equivalente a 600.000 dóalres por un despiste en el código fuente de Zcoin o el peor de los robos: el de NiceHash. Los atacantes se llevaron 63 millones de dólares.

Via | Genbeta

Digmine se propaga a través de Facebook Messenger para minar cripto-monedas a tu costa

2017-12-27T16:26:00.002+00:00

Utilizar los recursos de tu máquina para minar cripto-monedas está siendo una técnica cada vez más habitual entre los ciber delincuentes. A diferencia de los ya conocidos "ransomwares", que utilizan técnicas más agresivas, secuestrando literalmente los archivos de tu máquina. Los troyanos de minado de cripto-monedas utilizan la capacidad de procesado del dispositivo infectado para obtener las criptodivisas sin que la víctima se entere.

El pasado 21 de diciembre el equipo de Trend Micro publicó en su blog el análisis sobre una nueva familia: Digmine.

Digmine está programado en 'AutoIt', un lenguaje de programación utilizado para automatizar procesos en Windows. Tiene la característica de se propaga a través de Facebook Messenger, utilizando como cebo un supuesto vídeo que en realidad contiene el ejecutable de AutoIt. Cuando la víctima abre el archivo queda infectada y reenvía el mensaje malicioso a sus contactos.

Mensaje-cebo enviado a través de Facebook Messenger.
Fuente: http://blog.trendmicro.com/

El proceso de infección ocurre de la siguiente forma:

La víctima ejecuta el malware, que se conecta al C&C para descargar su configuración y otros componentes al directorio %appdata%\<username> de la víctima.
Posteriormente modificará el registro de Windows para ejecutarse al iniciar el ordenador.
A continuación ejecutará Chrome e instalará una extensión que se utilizará para mostrar un servicio fraudulento de streaming de vídeo mientras se comunica con el C&C para descargar más configuraciones y manipular Facebook Messenger para propagar el virus.

Captura del servicio fraudulento de streaming.
Fuente: http://blog.trendmicro.com/

El componente usado para minar las cripto-monedas es XMRig, un software open-source utilizado para minar 'Monero'.

Fichero de configuración de XMRig.
Fuente: http://blog.trendmicro.com/

Tanto el 'downloader' como el 'miner' usan el protocolo HTTP para comunicarse con el C&C. Utilizando el 'User-Agent: Miner' para prevenir en cierta medida conexiones no autorizadas.

GET /api/apple/config.php HTTP/1.1
Connection: Keep-Alive
Accept: */*
User-Agent: Miner
Window: <Window name of active window>
ScriptName: <filename of malware>
OS: <OS version>
Host: <C&C>

Como medida de seguridad se recomienda bloquear los mensajes de desconocidos o que no hayamos solicitado, así como asegurar nuestra cuenta de Facebook para evitar accesos no autorizados.

Trend Micro ha compartido además algunos indicadores de compromiso con los que actualizar nuestro IDS:

TROJ_DIGMINEIN.A
beb7274d78c63aa44515fe6bbfd324f49ec2cc0b8650aeb2d6c8ab61a0ae9f1d

BREX_DIGMINEEX.A
5a5b8551a82c57b683f9bd8ba49aefeab3d7c9d299a2d2cb446816cd15d3b3e9

TROJ_DIGMINE.A
f7e0398ae1f5a2f48055cf712b08972a1b6eb14579333bf038d37ed862c55909

Via | http://unaaldia.hispasec.com

He instalado todos los malware de Android: esto es lo que ocurre si te saltas los consejos de seguridad

2017-12-27T16:16:00.002+00:00

"Más vale prevenir que curar". Siempre que explicamos cómo eliminar virus o malware en Android acabamos llegando a esa conclusión. Pero para conocer al enemigo a fondo hay que acercarse a él y por ello hemos llevado a cabo un pequeño experimento que pasamos a compartir con vosotros. Después de instalar aplicaciones para ganar dinero queríamos ir más allá, así que ni corto ni perezoso he descargado todas esas aplicaciones que no recomendamos a nadie instalar.
El malware puede llegar de todas partes, desde una inocente aplicación de fotos hasta una guía para tu juego favorito. Existen muchos mecanismos para evitar estas aplicaciones maliciosas pero al final la responsabilidad recae en el propio usuario, quien debe ser consciente de qué está instalado y cómo puede llegar a afectarle.
Si quieres conocer qué le ocurre a tu móvil si no vigilas lo que instalas aquí os dejamos nuestra experiencia. He formateado de fábrica mi Huawei P8 Lite 2017, creada una nueva cuenta de Gmail y únicamente introducido mi cuenta personal de Telegram. Una vez instaladas las básicas y tradicionales, he empezado a seguir añadiendo y añadiendo aplicaciones, algunas cada vez más extrañas y comprometedoras. Vamos a repasar cuáles son los pasos que no se deben hacer para mantener tu móvil seguro.

Empecemos: consejos para mantener tu Android seguro

Malware, spyware, virus, ransomware... hay muchísimos tipos de amenazas en Android pero las soluciones y los consejos suelen ser equivalentes. Revisar permisos, activar Google Play Protect, no dar datos sensibles en webs que no estén cifradas, mantener actualizados los parches de seguridad... son medidas que la mayoría de usuarios acostumbrados a la tecnología ya tienen interiorizadas, pero a veces sea por desconocimiento o por tentaciones diversas caemos en el error. A veces puede no ocurrir nada, pero en otras ocasiones estaremos arriesgándonos a comprometer nuestros datos.
A continuación tenéis diez errores que pueden poner en peligro la privacidad de vuestro dispositivo. Algunos de ellos no representan un problema por sí solos, pero sí contribuyen a disminuir la seguridad del dispositivo. Si veis que alguna persona conocida comete estos errores, aseguraros que sabe lo que está haciendo. Por otro lado, hemos querido descargar estas aplicaciones y poner en peligro nuestra privacidad por ver de primera mano qué tipo de alertas, mensajes o problemas adicionales van apareciendo.

Cuidar el móvil puede parecer sencillo, pero al final acabamos activando y descargando aplicaciones que no nos aportan gran cosa y comprometen nuestra seguridad.

Error 1: Activar los orígenes desconocidos

Desde Ajustes > Privacidad y seguridad > Aplicaciones de origen desconocido podemos permitir que se instalen en el móvil aplicaciones fuera de Google Play. Es la opción que tenemos que activar para instalar APK en nuestro Android. Desde Oreo ha cambiado su funcionamiento y es cada aplicación individualizada la que permite instalar estas APK. Mi P8 Lite 2017 se encuentra en Nougat 7.0 y esta opción es similar a la que encontrarán muchos usuarios.
Una vez activada podremos descargar aplicaciones desde el navegador e instalarlas manualmente. Es el paso necesario para instalar tiendas de terceros, juegos del Humble Bundle o desarrollos no permitidos por la tienda de Google. Recomendamos ir con cuidado al activar esta opción y sobre todo vigilar desde donde descargamos las APK.

Error 2: No vigilar los permisos

Google Play Protect es una de las incorporaciones más importantes a nivel de seguridad de los últimos años. Se trata de una capa de seguridad que analiza las distintas aplicaciones y comprueba que no contengan amenazas de seguridad. Sin embargo en este proceso nos ha dado la sensación que lo deja pasar todo. Incluso descargando las aplicaciones menos valoradas y con peor aspecto, Google Play Protect no nos ha avisado a tiempo.
Aquí entramos en un tema peliagudo y es la definición de peligrosidad. ¿Para qué querría por ejemplo una app que solo muestra fotos, acceder a nuestro micrófono o a nuestros contactos? ¿Es esto suficiente motivo para que Google la prohíba? En esta fina línea es donde los algoritmos no pueden determinar si una aplicación necesita esos permisos extra para su funcionamiento o simplemente para aprovecharse de nuestros datos. Google debe ir una por una y es la razón por la que acabamos luego viendo tantas noticias de malware en Google Play.
Sí hemos visto que al intentar instalar aplicaciones de fuera también nos han saltado avisos de seguridad, pero casi todas las apps de Google Play pasan el filtro. Si queréis llevar cuidado con nuestro móvil, no instaléis aplicaciones a lo loco sin mirar todos los permisos.

Error 3: Las aplicaciones de linterna son básicas

Nos habían dicho que las aplicaciones de linterna son de las más problemáticas. Así que hemos cogido las más sorprendentes de Google Play y las hemos instalado. Aplicaciones con puntuaciones por debajo de los tres estrellas siempre son reflejo de que no sirven para nada y contienen muchísima publicidad.
En estas aplicaciones de linterna tenemos algunas que simplemente son un láser que al pulsar cambia de color. Ojo, nos referimos a simplemente una imagen, que todavía hay gente que piensa que un puntero láser saldrá de nuestro móvil. Otras como la genial balanza de peso de nuestro dedo, simplemente nos proporciona un número basado en la presión que se ejerce sobre la pantalla, nada que ver con el peso real de nuestro dedo.
¿Cuál es el problema de estas aplicaciones? Los troyanos las utilizan para robar datos bancarios ya que algunas prometen ganar dinero al compartirlas. Los datos también se consiguen al sincronizar la aplicación con las redes sociales y por supuesto la publicidad es inevitable, incluso al pulsar atrás para salir de la aplicación nos fuerza a ver un anuncio a toda pantalla.

Error 4: ¿Cómo que no hay Animojis para Android?

Las aplicaciones de linterna me han dejado mal cuerpo pero decidimos continuar. Ya avisamos que los Amimoji del iPhone X no existían para Android pero decidimos adentrarnos en ese maravilloso mundo y descargamos algunas apps tan prometedoras como "Animoji para teléfono X", "Animoji" con su extraordinaria puntuación de 2,1 estrellas o todavía mejor, la magistral "Animoji IPHONEX emoji" con una puntuación de 1,8 estrellas que consideramos totalmente injusta. Estas aplicaciones deberían estar directamente prohibidas. Lo cierto es que Google Play debería plantearse bloquear automáticamente una aplicación si su puntuación baja de los dos puntos.
En estas apps de Animojis tenemos o bien una lista de imágenes fijas para compartir, totalmente ocultas bajo un mar de publicidad o unas cámaras con efectos que disponen de reconocimiento facial. Algunas de ellas sí logran crear un efecto curioso pero nos obligan a aceptar una política de privacidad claramente enfocada a compartir nuestros datos.

Error 5: Cheetah es nuestra amiga

Para que nuestro móvil vaya rápido nos han recomendado aplicaciones de optimización y para conseguir más batería tenemos alternativas como DU Battery Saver, cuyos permisos entre otros detalles incluye el llamar directamente a números de teléfono y generar costes adicionales.
Pongamos un poco de contexto. Para poder ganar dinero hacen falta muchos usuarios. De nada sirve tener una aplicación si nadie la utiliza. Por eso empresas como Cheetah Mobile o DU Apps Studio se basan en comprar aplicaciones muy conocidas o crear apps muy populares como antivirus, potenciadores, galerías y demás aplicaciones que son miles de veces. Por poner algunos ejemplos Security Master tiene más de 500 millones de descargas y Clean Master otros tantos. Son números dignos de las grandes ligas, por encima de otras como Spotify o Pinterest.
Una vez instaladas todas ellas y evitando asociar mi cuenta de Facebook a pesar de todos los intentos, es cuando empiezan los bombardeos de publicidad. El sistema empieza a recibir popups por todas partes, la barra de notificaciones se llena de banners y lo peor, de vez en cuando mi móvil con la pantalla apagada se enciende y empieza a emitir un anuncio de vídeo y con sonido. Un pequeño susto al que me he tenido que acostumbrar en estos días con el móvil "tuneado".

Error 6: las mejores guías para Pokemon GO o Clash Royale son estas desconocidas apps

Con el boom de juegos como Pokemon GO o Clash Royale muchos vieron un filón en las aplicaciones maliciosas. Además de la app oficial, han empezado a surgir todo tipo de apps que prometen poder hacer trampas o conseguir trucos. Unos juegos que a pesar de su bajada de usuarios sigue siendo objetivo para el malware de todo tipo.
Estas aplicaciones son las más agresivas a la hora de solicitar permisos que no necesitan y las más inestables. Varias de ellas son aplicaciones flotantes mal creadas que deben cerrarse desde menús poco accesibles, tienen un método de registro muy poco tranquilizante y a veces se cierran inesperadamente. A partir de aquí es cuando hemos instalado varios antimalware y hemos detectado que empezaban a advertirnos repetidamente.

Error 7: Un teclado más bonito no puede causar daño

¿Qué más aplicaciones pueden comprometer nuestra privacidad? Básicamente aquellas desde las cuales ingresamos información más relevante. Hay dos tipos de apps donde la privacidad debería ser el criterio número uno para escogerlas: las aplicaciones de mensajería y los teclados.
Una de las aplicaciones más inseguras son los clones de WhatsApp. Si bien existen algunas apps de terceros interesantes, lo más fácil es que sean clones o aplicaciones que acceden a nuestro historial de conversaciones. Nadie puede saber quién accede a tu perfil. WhatsApp es muy popular por lo que todavía es más importante vigilar.
El segundo tipo son los teclados. Aquí es todavía más grave ya que no solo estamos escribiendo mensajes, también direcciones de correo, páginas webs, números e incluso contraseñas. ¿De qué sirve que el sitio donde insertas la contraseña esté cifrado, si el teclado no lo está? Casi ningún teclado tiene este problema, pero sí nos hemos encontrado importantes fallos de seguridad en teclados que enviaban datos privados de millones de usuarios a servidores remotos.

Error 8: ¿Cosas de espías? Suena bien

Hace unas semanas Google anunció que iba a limitar el acceso a los servicios de accesibilidad, sin embargo este plan de baneo de aplicaciones se ha retrasado. Si bien hay apps muy interesantes que hacen uso de este permiso especial, hay muchas aplicaciones que lo utilizan para intentar ofrecer "cosas de espías".
Que si agente secreto, que si espiar al vecino, que si ocultar los mensajes de WhatsApp para que no sepan cuando te conectas... casi todas se basan en crear una capa de terceros que interceda entre los servidores finales y lo que tu recibes. Pero claro está, ese punto intermedio es donde toda nuestra seguridad desaparece. Hay algunas como Spy Chat muy ambiciosas en estos términos y habrá algunos usuarios que tengan la tentación de utilizarla.
Otras son bastante más sencillas y simplemente hacen uso de consultas a los servidores DNS. La problemática de todo esto es que estas aplicaciones han tenido acceso a los datos de mi smartphone y el WiFi de casa, datos que serán utilizados a su favor y muy probablemente en mi contra.

Error 9: Me voy a hacer rico con apps de casino

De la misma manera que los bares están llenos de máquinas tragaperras, Google Play también está plagado de juegos de cartas, casinos, ruletas de la suerte y todo tipo de aplicaciones para intentar ganar dinero basándose en la pura suerte. Lo que ocurre aquí es que el algoritmo además está muy bien definido para que sigas jugando desde casa, compartas la aplicación e intentes aspirar a premios mucho más ambiciosos. Si la ludopatía es un problema en las calles, con la soledad de casa puede incrementarse.
Después de probar apps como Gran Macau Slots, Cats Casino (genios!), Lucky Time o Jackpot Poker... me he dado cuenta que no es lo mío y por unos supuestos premios, no voy a añadir los datos de mi tarjeta de crédito en sistemas de pago poco fiables.

Error 10: En tiendas de terceros encontraré lo que necesito

Hay muchos dispositivos que no vienen con Google Play preinstalado, por ello aparecieron inicialmente tiendas de terceros como Aptoide, F-Droid o la Amazon Appstore. También tenemos alternativas como Uptodown o APKMirror. No dudamos que pueden ser alternativas válidas pero la seguridad de esas tiendas no llega al nivel de Google Play y ya es decir. No quiere decir que no haya métodos de análisis fiable pero cuando la cantidad crece, es mucho más difícil controlarlo todo.
Uno de los detalles que más preocupa es la absorción de su porción de pastel por parte de estas tiendas. Lo que hacen es analizar las que tienes instaladas y te ofrecen instalarlas desde su plataforma. Es decir, borran tus aplicaciones y las vuelven a instalar ellos para que así quede bajo su sistema. Un método con el que debemos llevar cuidado ya que se pueden crear incompatibilidades y se vuelve más difícil conocer de dónde proviene cada aplicación.

Los spyware y troyanos pueden aparecer desde cualquier aplicación

Con nuestro pequeño experimento hemos comprobado que no merece la pena apostar por aplicaciones exóticas y llenas de opciones. Puede parecer que son muy útiles pero simplemente tienen un diseño llamativo. Tampoco recomendamos hacer algo así sin la supervisión de un adulto (uno de verdad).
Google Play tiene un problema con el malware pero al menos cada cierto tiempo elimina centenares de aplicaciones de golpe. Lo que sí debemos evitar es descargar directamente APKs de sitios aleatorios, sin duda una de las formas más fáciles de encontrarse con peligrosos malware.

Lo gratis acaba saliendo muy caro. Evita por completo descargar en páginas aleatorias aplicaciones APK que son de pago. Además de reprochable es perjudicial en múltiples aspectos.

En una clásica búsqueda de "paid apps free APK" nos descargamos diversas y todas ellas eran peligrosas. Mucho cuidado ya que precisamente cuando más interés hay en arriesgarse es cuando más posibilidades hay que la aplicación pueda causarnos problemas.

A todo esto ¿sirven de algo los antivirus?

GhostCtrl, ZTorg, Xavier, Chrysaor, Skyfin, Skinner, SMSVova... parecen villanos de película pero son simplemente nombres de malware. Según los datos de G-Data el número sigue creciendo y Android es el objetivo favorito del ransomware. Pero lo cierto es que a pesar de instalar todo tipo de aplicaciones problemáticas el móvil sigue ahí, funcionando, aprovechándose de mis datos en segundo plano y afectando poco a poco al rendimiento del dispositivo.

Los peligros de Android quedan normalmente fuera de los ojos del usuario. Se confía ciegamente en los sistemas de seguridad pero hace falta más transparencia y mayor privacidad; tanto a nivel de aplicaciones como en el propio sistema Android.

Si analizamos el móvil con programas como VirusTotal o Malwarebytes, que a pesar de ser gratuitos también tienen sus propias ganancias, vemos como detectan básicamente AdWare. Tenemos una sensación constante que sí sabemos que hay publicidad por todas partes y que hemos concedido demasiados permisos, pero no si están realmente traficando con nuestros datos o van a intentar acceder a nuestros sistemas. Harían falta mejores herramientas para analizar realmente qué ocurre en nuestro móvil, también por parte del propio sistema Android.

Si no cuidas tu privacidad, no esperes que tu móvil te cuide a ti

El mayor problema de la mayoría de antivirus es que no dejan de ser un ejemplo más del tipo de aplicaciones a evitar. Empresas que nos intentan convencer que utilicemos sus trucos para simplemente añadir más publicidad y recolectar más datos. Lo primero que haré al terminar este artículo será resetear de fábrica el móvil y eliminar por fin todos esos anuncios, banners y sorpresas inesperadas. Todo esto teniendo en cuenta que realmente no he permitido que estas aplicaciones consiguieran todo lo que se proponen.

¿Estás seguro que necesitas esa aplicación? ¿Confías en su procedencia? Siempre pregúntate esto antes de descargar cualquier cosa.

Si no cuidamos nuestra seguridad y descargamos todo tipo de aplicaciones, no podemos pretender que luego nuestro dispositivo vaya como el primer día. Todos estos malware extra además de poner en riesgo nuestra privacidad también provocan que haya muchos más procesos en segundo plano y el móvil acaba resistiéndose.
Nuestro consejo es claro, hay que vigilar lo que hacemos con nuestro móvil y sobre todo evitar instalar aplicaciones de dudosa calidad, que lejos de suponer un beneficio consiguen incluso que nos cansemos de Android al disminuir su rendimiento de manera alarmante.

Fuente | https://www.xatakandroid.com

El revolucionario blockchain sigue sin demostrar lo revolucionario que es

2017-12-27T16:14:00.001+00:00

l fenómeno de las criptodivisas se ha disparado en los últimos meses, pero es la tecnología subyacente, la cadena de bloques o blockchain, la que lleva tiempo prometiendo verdaderas revoluciones en diversos ámbitos.
Esas revoluciones no se han producido a pesar de las promesas de los que evangelizan sobre este concepto, y como ocurre con otras "tecnologías del hype", la cadena de bloques sigue sin encontrar su sitio en nuestras vidas.

Los bancos siguen mandando

Cuando bitcoin apareció muchos lo vieron como la alternativa clara a los sistemas bancarios actuales. "Descentralizar el dinero" parecía por fin factible, lo que también haría que el coste de las transferencias económicas fuera cero y que éstas se realizaran de forma instantánea.

El problema es que pronto quedó claro que bitcoin no era la solución al problema: las limitaciones de su diseño han acabado siendo una barrera de momento infranqueable que ha hecho que sí aparezcan otras criptodivisas que traten de ofrecer opciones a los sistemas de pago tradicionales.
Ninguna de ellas (ni de sus cadenas de bloques) se han logrado imponer por ahora, y tanto el dinero de curso legal como los sistemas de pago que le rodean (transferencias, tarjetas de crédito y débito o servicios tipo PayPal) siguen siendo "suficientemente buenos" para los usuarios.
De hecho entre las ventajas iniciales que planteaba el bitcoin era el de servir para micropagos, pero ese escenario ha quedado descartado ante unas transacciones que tardan ya entre unos minutos y varias horas o hasta días y que además cuentan con unas comisiones cada vez más preocupantes por la congestión de la red y por un modelo que está dando prioridad a las transacciones (quién completa el pago primero) a aquellas que pagan más comisiones, sin más.
Las alternativas que tratan de aportar soluciones a algunos sistemas bancarios tampoco acaban de cuajar. Tenemos por ejemplo a Ripple, una prometedora forma de transferir dineros entre bancos que no obstante sigue sin ganar terreno al tradicional sistema de la red SWIFT. El interés por Ripple ha crecido en las últimas semanas —bancos como el Santander han invertido en esta tecnología—, pero los propios bancos también llevan tiempo investigando cadenas de bloques propias (controladas por ellos, claro) y la adopción de alternativas que ellos no han desarrollado parece improbable.

Las criptodivisas siguen sin estar (del todo) seguras

Uno de los grandes problemas de esta tecnología es que a pesar de que en su diseño se integran grandes medidas de seguridad para proteger cosas como el anonimato de las transacciones o su privacidad, la propia seguridad de nuestras carteras sigue estando comprometida.

Lo está porque al final dependemos normalmente de un usuario y una contraseña. Hemos leído ya historias varias sobre la gente que ha perdido bitcoins por no recordar las contraseñas de sus carteras virtuales, pero a eso se le suma un problema mayor: el de la seguridad de los mercados de intercambio de criptodivisas (exchanges), que es muy discutible.
De hecho se han producido diversos robos a gran escala en esa especie de sucesores de los bancos actuales. En agosto de 2016 se robaron 72 millones de dólares en Bifinex, en noviembre de 2017 los responsables de Tether sufrieron un ciberataque en el que perdieron 31 millones de dólares y hemos tenido desastres como el del fallo del servicio Parity, que perdió 300 millones de dólares en Ether debido a un error de programación en el servicio.

Todos esos problemas han hecho que surjan recomendaciones de todo tipo a la hora de almacenar estas criptodivisas, tanto para los usuarios (como carteras hardware o carteras de papel) como para los mercados de intercambio, que ahora suelen almacenar esos fondos en los llamados sistemas de almacenamiento en frío, desconectados de internet para evitar posibles ciberataques.

Las ventajas y desventajas del anonimato y privacidad

Con la cadena de bloques y bitcoin también llegaron grandes beneficios para la realización de transacciones seguras y anónimas que teóricamente ofrecían muchas ventajas para ciertos escenarios, tanto positivos como... no tan positivos.

Fuente | https://www.xataka.com

Ataques DDoS en el tercer trimestre de 2016

2016-11-29T08:54:00.000+00:00

A continuación os dejo un interesante análisis hecho por los chicos de Kaspersky Lab sobre los últimos ataques DDoS:

Acontecimientos del trimestre

Ciberdelincuencia como servicio

Durante los últimos meses se ha visto el alcance masivo de la infraestructura “Ciberdelincuencia como servicio” global, que vende DDoS como uno de sus servicios más populares para lanzar ataques de una magnitud y complejidad tecnológica nunca antes vista.
Al respecto, el informe 2016 Internet Organized Crime Threat Assessment (IOCTA) publicado por la Europol el 28 de septiembre y que recoge las experiencias de las instituciones de seguridad de los estados miembros de la Unión Europea, afirma que los ataques DDoS son una amenaza clave y primordial: “Cualquier entidad con acceso a Internet, sin importar su propósito o rubro, debe considerarse a sí misma y a sus recursos como un blanco de los cibercriminales”.
La oleada de ataques de este año comenzó a principios de septiembre cuando Brian Krebs, un experto en seguridad informática, publicó una investigación que describe el esquema corporativo de vDOS, una de las mayores redes zombi DDoS como servicio, y el rol de sus principales dueños, dos jóvenes de Israel. Las autoridades ya han arrestado a los criminales y las investigaciones siguen en curso, pero la magnitud de su negocio criminal es sorprendente:
El precio de las subscripciones al servicio vDOS empezaban en 19.99 dólares al mes, con lo que decenas de miles de clientes pagaron más de 600 000 dólares a lo largo de dos años. En sólo cuatro meses, entre abril y julio, este servicio lanzó más de 277 millones de segundos de ataque, o el equivalente a alrededor de 8.81 años de tráfico de red.
Era de esperarse que los cibercriminales buscaran represalias: poco después de publicar el informe, el sitio web de Brian Krebs recibió un ataque DDoS que lo dejó inactivo con un volumen de tráfico de unos 620 Gbps, lo que lo convirtió en uno de los ataques más grandes que se hayan presenciado en Internet hasta el día de hoy. Pero no se detuvo allí: pocos días después, otro ataque de casi 1Tbps afectó al servidor French OVH. El vector de ataque, según informó Octava Klaba, Director de Tecnología de OVH, parece ser una red zombi de dispositivos del Internet de las cosas que está compuesta por 152 464 cámaras web, routers y termostatos que atacaron el sitio web de Brian Krebs.
Para empeorar las cosas, los cibercriminales acaban de publicar el código fuente de Mirai, el programa malicioso al que los expertos en seguridad apuntan como responsable de los ataques DDoS antes mencionados. Este código incluye un escáner integrado que busca dispositivos IoT vulnerables para unirlos a su red zombi. Esto nos pone a la expectativa de una nueva oleada de servicios comerciales como ataques vDOS y DDOS en los próximos meses.
El Internet de las cosas se está convirtiendo en una herramienta poderosísima para los atacantes, que se potencia cuando las compañías vendedoras y los usuarios prestan poca atención a la seguridad de la información.
Por eso es importante que revise que sus dispositivos conectados a Internet tengan una configuración segura.

Un ataque DDoS “político”

Los ataques DDoS se usan en gran escala en la lucha política. Después de que en julio de este año un tribunal internacional reconociera las reivindicaciones territoriales de China sobre el archipiélago Spratly en el Mar del Sur de China, al menos 68 sitios pertenecientes a diferentes instituciones gubernamentales de las Filipinas sufrieron potentes ataques DDoS. La prensa internacional consideró estos incidentes como parte de una campaña de espionaje cibernético a largo plazo lanzada por China en el marco de la lucha por la soberanía sobre el archipiélago Spratly.

Ataque contra una compañía de corretaje

Los cibercriminales descubrieron cuales son los blancos más vulnerables a extorsión mediante ataques DDoS. Se trataba de compañías de corretaje, cuyas actividades se caracterizan por el movimiento de grandes capitales y que dependen en alto grado de los servicios web. Personas desconocidas pidieron a la compañía taiwanesa First Securities un rescate de 50 bitcoins (unos 32 000 dólares). Después de que los atacantes recibieran una respuesta negativa, el sitio web de la compañía fue víctima de un brutal ataque DDoS, que hizo imposible que los clientes de First Securities pudieran continuar con sus operaciones en la plataforma. Al mismo tiempo, el presidente de la compañía hizo una declaración a la prensa afirmando que se observaba “una desaceleración de las operaciones” que afectaba solo a una parte de los inversores.

Evaluación de los daños causados por ataques DDoS

La compañía B2B International, a petición de Kaspersky Lab, llevó a cabo el estudio IT Security Risks 2016. Los resultados obtenidos permiten constatar que las empresas están sufriendo cada vez más daños causados por los ataques DDoS: un solo ataque DDoS puede generar perjuicios de más de 1 600 millones de dólares. 8 de cada 10 empresas sufren varios ataques durante el año.

Tendencias del trimestre Ataques DDoS mediante SSL

Según Kaspersky DDoS Protection, en el tercer trimestre de 2016 aumentó el número de ataques DDoS “inteligentes” lanzados mediante HTTPS contra aplicaciones. Este tipo de ataques tiene una serie de importantes ventajas en términos de probabilidad de éxito del ataque.
Establecer una conexión segura requiere recursos considerables, a pesar de que la velocidad de los algoritmos criptográficos se incrementa constantemente (por ejemplo, el algoritmo de curvas elípticas permite aumentar la velocidad de cifrado conservando su nivel de seguridad). Comparación: un servidor web correctamente configurado puede manejar decenas de miles de nuevas conexiones de HTTP por segundo, mientras que si se trata de conexiones cifradas solo puede manejar cientos de conexiones por segundo.
El uso de hardware de aceleración criptográfica puede aumentar este último valor en unas 10 veces. Sin embargo, esto no ayuda mucho en las condiciones modernas de bajos precios y disponibilidad de servidores alquilados, canales de comunicación de alta capacidad, así como la presencia de vulnerabilidades conocidas, que permiten crear botnets más grandes. Para llevar a cabo un ataque DDoS con éxito, los atacantes pueden crear una carga que exceda la capacidad de las soluciones caras de hardware.
Un ejemplo típico de un ataque “inteligente” es la creación de un flujo relativamente pequeño de solicitudes dirigidas a la parte “pesada” de los sitios web (por lo general los blancos son los formularios de búsqueda) dentro de un pequeño número de conexiones cifradas. Estas solicitudes son prácticamente invisibles en el flujo general de tráfico y a menudo tienen una eficacia significativa cuando se las usa con baja intensidad. Al mismo tiempo, la decodificación y análisis del tráfico sólo es posible en el lado del servidor web.
El cifrado también complica el trabajo de los sistemas especializados diseñados para proteger contra ataques DDoS (sobre todo las soluciones utilizadas por los operadores de telecomunicaciones). Durante estos ataques a menudo no es posible descifrar el tráfico “sobre la marcha” para analizar el contenido de los paquetes de red debido a razones técnicas y de seguridad (no se puede pasar la clave privada del servidor a terceras organizaciones y las limitaciones matemáticas no permiten el acceso a la información dentro de los paquetes cifrados en el tráfico de tránsito). Esto reduce en gran medida la eficacia de la protección contra este tipo de ataques.
Sobre todo porque el aumento de la proporción de los ataques de DDoS “inteligentes” se debe a que los ataques “de amplificación” se están haciendo cada vez más difíciles de implementar. Internet está disminuyendo sistemáticamente el número de servidores vulnerables mediante los cuales se puede organizar este tipo de ataques. Además, la mayoría de estos ataques tienen características similares, que hacen muy fácil neutralizarlos con un 100% de eficiencia, y por lo tanto su eficacia disminuye con el tiempo.
El deseo de los propietarios de recursos de red de proteger la información y mejorar el nivel de privacidad, así como de bajar los precios de la potencia de cálculo ha provocado el surgimiento de una tendencia estable: el HTTP clásico se sustituye por HTTPS, lo que conduce al aumento de la proporción de recursos usados para el cifrado. Y el desarrollo de tecnologías web contribuye a la introducción activa del nuevo protocolo HTTP/2, en el que el modo de funcionamiento sin cifrado no es compatible con los navegadores modernos.
Creemos que crecerá el número de ataques mediante cifrado. Esto requiere que los desarrolladores de sistemas de defensa reconsideren radicalmente los enfoques para resolver el problema de la protección contra los ataques distribuidos, porque las soluciones probadas pueden dejar de ser eficaces en un futuro próximo.

Estadística de ataques DDos lanzados por medio de botnets

Metodología

Kaspersky Lab tiene años de experiencia en la lucha contra las amenazas cibernéticas, entre ellas los ataques DDoS de diversos tipos y grados de complejidad. Los expertos de la compañía realizan un seguimiento constante de las actividades de las botnets con la ayuda del sistema DDoS Intelligence.
El sistema DDoS Intelligence es parte de la solución Kaspersky DDoS Prevention y está diseñado para interceptar y analizar las instrucciones que los centros de administración y control envían a los bots, pero sin necesidad de infectar ningún dispositivo del usuario ni de ejecutar las instrucciones de los delincuentes.
Este informe contiene las estadísticas de DDoS Intelligence del tercer trimestre de 2016.
En este informe consideraremos como un ataque DDoS aislado (es decir, un ataque) aquel cuya pausa entre periodos de actividad no supere las 24 horas. Por ejemplo, si un solo recurso sufrió ataques de la misma botnet y la pausa entre ellos fue de 24 horas o mayor, los consideraremos como dos ataques. También se consideran ataques diferentes los lanzados contra un solo recurso, pero ejecutados por bots de diferentes botnets.
Determinamos la ubicación geográfica de las víctimas de los ataques DDoS y los servidores desde donde se enviaron las instrucciones por sus direcciones IP. El número de blancos únicos de ataques DDoS en este informe se calculará por el número de direcciones IP únicas en la estadística trimestral.
Es importante mencionar que la estadística de DDoS Intelligence se limita a las botnets detectadas y analizadas por Kaspersky Lab. También hay que tener en cuenta que las botnets son sólo uno de los instrumentos con los que se realizan ataques DDoS y los datos que se presentan en este informe no abarcan todos los ataques ocurridos durante el periodo indicado.

Resultados del trimestre

En el tercer trimestre de 2016 se registraron ataques DDoS contra objetivos situados en 67 países del mundo (en el segundo trimestre de 2016 fueron 70 países).
El 62,6% de los ataques afectó a objetivos ubicados en China.
Tanto por el número de ataques DDoS, y el número de sus objetivos los primeros puestos les pertenecen a China, los EE.UU. y Corea del Sur. Italia apareció en ambas clasificaciones por primera vez.
El ataque de DDoS más prolongado en el tercer trimestre de 2016 duró 184 horas (7,6 días), cifra que está muy por debajo del récord del segundo trimestre (291 horas, 12,1 días).
El mayor número de ataques durante el período (19) los sufrió un popular motor de búsqueda chino
Los métodos más populares de ataque siguen siendo SYN-DDoS, TCP-DDoS y HTTP-DDoS. En la distribución de los métodos de ataque siguió creciendo la presencia de los ataques SYN-DDoS, que se incrementó en 5 puntos porcentuales, mientras que el número de ataques ICMP-DDoS y TCP-DDoS siguió disminuyendo.
En el tercer trimestre de 2016 la proporción de ataques lanzados desde botnets Linux siguió creciendo y alcanzó el 78,9% de los ataques detectados.

Geografía de los ataques

En el tercer trimestre de 2016 se registraron ataques DDoS en 67 países. De ellos, el 72,6% tuvo lugar en China (4,8 puntos porcentuales menos que en el trimestre anterior). Los diez primeros países sumaron el 97,4% de los ataques. Estados Unidos este trimestre (12,8%) dejó atrás a Corea del Sur (6,3%), que acabó en el segundo puesto.

Distribución de ataques DDoS por países, segundo y tercer trimestre de 2016

Destacamos que este trimestre Italia (0,6 %) entró por primera vez en la clasificación. En total según los resultados del trimestre tres países de Europa occidental (Italia, Francia, Alemania) entraron en el TOP 10.
En el tercer trimestre de 2016 el 96,9% de los ataques DDoS afectaron a los países del TOP 10.

Distribución de blancos únicos de ataques DDoS, segundo y tercer trimestre de 2016

Los objetivos ubicados en China, recogieron este trimestre el 62,6% de los ataques, 8,7 puntos porcentuales menos que en el último trimestre. En cambio, los blancos ubicados en los Estados Unidos llamaron más la atención de los delincuentes: este país recibió el 18,7% de los ataques, frente al 8,9% del segundo trimestre. El tercer puesto lo ocupa Corea del Sur, cuyo índice bajó en 2,5 puntos porcentuales hasta alcanzar el 8,7 %.
La participación de los demás países países de TOP 10 (excepto Francia que perdió el 0.4 %), por el contrario aumentó. Japón (1,6%) e Italia (1,1%), ganaron 1 punto porcentual y como resultado, Italia por primera vez entró en el TOP 10 para ocupar directamente el sexto lugar (Ucrania abandonó el TOP 10). También aumentó perceptiblemente la proporción de ataques en Rusia, del 0,8 al 1,1%.
Tres países de Europa occidental también ingresaron a esta clasificación: Italia, Francia y los Países Bajos.

Dinámica del número de ataques DDoS

En el tercer trimestre de 2016 los ataques se distribuyeron de manera muy desigual, porque se observó un periodo de alta actividad del 21 de julio al 7 de agosto con picos agudos el 23 de julio y el 3 de agosto, pero desde el 8 de agosto empezó una fuerte caída, que a partir del 14 de agosto se convirtió en una relativa calma que duró hasta 6 de septiembre. La menor cantidad de ataques se registró el 3 de septiembre (22 ataques). La mayor cantidad de ataques, 1746, se observó el 3 de agosto. Hacemos notar que este es el mayor índice alcanzado en los tres trimestres de 2016. La mayor parte de estos ataques se lanzó contra los servidores de un solo proveedor ubicado en EE.UU.

Dinámica del número de ataques DDoS*, tercer trimestre de 2016

* Debido a que los ataques DDoS pueden prolongarse de forma ininterrumpida por varios días, en la línea de tiempo un ataque puede contarse varias veces, una por cada día.
El día de la semana más tenso del tercer trimestre fue el viernes, con un 17,3% de los ataques, seguido por el jueves, con un 15,2% de los ataques. El días en que hubo menos ataques DDoS este trimestre fue el lunes, con un 12,5 % de ataques, número que contrasta con el del segundo trimestre, que fue del 15 %.

Distribución de ataques DDoS por días de la semana, segundo y tercer trimestres de 2016

Tipos y duración de los ataques DDoS

La distribución de ataques DDoS por métodos no han sufrido cambios significativos: el porcentaje de uso de SYN-DDoS aumentó otra vez (de 76 % al 81%), mientras que la proporción de los demás tipos de ataque se redujo ligeramente. El método que más disminuyó fue ICMP-DDoS, en 2,6 puntos porcentuales.

Distribución de ataques DDoS por países, segundo y tercer trimestre de 2016

La proporción de los ataques cortos, de hasta 4 horas, aumentó en 9,2 puntos porcentuales, llegando a alcanzar el 69 %. Los ataques de 5 a 9 horas de duración mantuvieron sus posiciones, pero al mismo tiempo, se redujo en gran medida la proporción de ataques de larga duración. La más notable fue la disminución de la proporción de ataques de 100 a 149 horas, del 1,7% en el segundo trimestre al 0,1%. Los ataques más prolongados fueron solo casos aislados.

Distribución de ataques DDoS por duración, segundo y tercer trimestre de 2016

El récord de duración de los ataques en el tercer trimestre es también bajo, sólo 184 horas (el ataque estaba dirigido contra un proveedor de Internet chino). Esto es considerablemente menos que las 291 horas del trimestre anterior. Por el número de ataques lanzados contra una sola víctima el “campeón” fue un sistema de búsqueda chino, que sufrió 19 ataques en el tercer trimestre.

Servidores de administración y tipos de botnets

En el tercer trimestre, el mayor número de servidores de administración identificados (45,8%) se encontraba en Corea del Sur, una cifra significativamente menor que el trimestre anterior (69,6%).
Los tres líderes, Corea del Sur, China y Estados Unidos mantienen sus posiciones, pero representaron solo el 67,7% de servidores de administración, frente al 84,8% del trimestre anterior.
Observamos el creciente número de servidores de administración activos en los países de Europa Occidental: entre los diez primeros estuvieron los Países Bajos (4,8%), el Reino Unido (4,4%) y Francia (2%). Recordemos que tanto en la clasificación de países según el número de ataques, como según el número de objetivos atacados entraron 3 países de Europa occidental.
Entre los recién llegados también está Hong Kong y Ucrania, ambos con el mismo índice del 2%.

Distribución de los servidores de administración de botnets por países,
tercer trimestre de 2016

En el tercer trimestre el liderazgo de los bots para Linux siguió siendo indiscutible: la proporción de ataques desde botnets Linux siguió creciendo y alcanzó el 78,9%, frente al 70,8% en el trimestre anterior. Esto se correlaciona con el aumento de la popularidad de SYN-DDoS, para el que los bots Linux son la herramienta más adecuada. Además, esto se puede explicar por la creciente popularidad de los dispositivos IoT con Linux que se usan para lanzar ataques DDoS, y cuyo uso podría recrudecer después de la filtración del código de Mirai.

Proporción de los ataques lanzados desde botnets Windows y Linux, segundo y tercer trimestre de 2016

Hacemos notar que la tendencia iniciada el trimestre anterior continuó en este. Anteriormente, la diferencia entre los índices de las botnets basadas en Linux y las basadas en Windows no excedió los 10 puntos porcentuales durante varios trimestres.
La aplastante mayoría de los ataques (99,8 %) todavía se lleva a cabo usando bots de una sola familia. En consecuencia, en el 0,2% de los casos se observó el uso de dos familias diferentes para lanzar ataques contra el mismo objetivo.

Conclusión

Los ataques de botnets “clásicas” basados en instrumentos maliciosos de gran difusión como Pandora, Drive y similares ya están bien estudiados por los analistas, y han desarrollado métodos efectivos y simples para neutralizarlos. Esto hace que los delincuentes utilicen métodos cada vez más sofisticados para organizar los ataques, entre ellos el uso del cifrado de datos, y apliquen nuevos enfoques en el desarrollo de herramientas de organización de ataques y construcción de redes de bots.
Otra tendencia interesante de este trimestre fue el aumento de la actividad de las botnets DDoS en Europa Occidental. Por primera vez en el año tres países de Europa Occidental, Italia, Francia y Alemania entraron en la estadística de países atacados. Esta estadística se correlaciona con el aumento del número de servidores de control activos en Europa occidental, a saber, en Francia, Gran Bretaña y Holanda. En general, los países de Europa occidental representaron alrededor del 13 % de los servidores de comando de botnets DDoS activos.

Via | Securelist.lat

¿Cómo salvar los datos del SSD soldado en placa del Macbook Pro?.

2016-11-29T08:42:00.005+00:00

Uno de los problemas que encontrábamos en la unidad SSD soldada en placa del MacBook Pro era la de poder salvar los datos en caso de avería. Con las memorias soldadas en placa no podemos acceder a la unidad como normalmente veníamos haciendo, ya que no habrá manera de "retirar el disco" y conectarlo a un adaptador externo para acceder a la información. Entonces, ¿perderemos la información apara siempre?
No, afortunadamente existe una solución, aunque desde ya te advertimos que no será sencilla, y mucho menos estará al alcance de todos. Y es que por ahora estará limitada al servicio técnico oficial de Apple, ya que para poder leer la unidad SSD habrá que hacer uso de un adaptador especial que conectaremos a un desconocido puerto ubicado en la placa base (indicado en la imagen que encabeza el artículo). Es justo lo que cuentan en 9to5mac, donde han tenido acceso a la herramienta y han publicado una imagen de la misma para que podamos hacernos una idea de cómo funciona.

9to5mac

Básicamente, conectaremos un cable al puerto de conexión, otro USB-C a un ordenador que pueda acceder a los datos y finalmente una fuente de alimentación que alimente el dispositivo de lectura. Según cuentan, Apple ofrece la posibilidad de obtener los datos del equipo en garantía incluso si la placa base no arranca. Veremos cuánto tardan en sacar una solución comercial similar a esta.

Fuente | Engadget

Menú oculto en tu iPhone: Cómo acceder.

2016-08-22T17:20:00.002+01:00

Todos los teléfonos tienen una serie de opciones que pueden desbloquearse con un código secreto desde el teclado numérico. Algunas son universales, como la que muestra el IMEI, y otras son específicas del operador, como las que muestran el saldo. Estos son los siete códigos del iPhone que deberías conocer.

Para utilizarlos, abre la aplicación Teléfono, ve al teclado numérico e introduce el número tal y como está escrito, entre asteriscos o almohadillas. La mayoría requiere que pulses el botón de llamada para activarlos.

*3001#12345#* + llamar. Este código abre el Field Test, un menú de opciones con datos avanzados sobre la red. Si ignoras el menú, mantienes pulsado el botón de apagar del iPhone durante unos segundos y luego mantienes pulsado el botón de inicio, las barras que indican la cobertura desaparecerán y en su lugar aparecerá un número. Este número muestra, en decibelios, la cobertura exacta que tiene el dispositivo. Cuanto mayor sea el número, mejor será la señal (-80 es mejor que -120 dBm).
#31# + teléfono del receptor + llamar. Con este código, el receptor de la llamada no podrá ver nuestro número de teléfono, le saldrá como ID oculta. Si quieres activarlo para todas las llamadas, usa #31# + llamar. Puedes desactivarlo desde Ajustes > Teléfono > Mostrar ID de llamada.
*#06#. Cada teléfono GSM tiene su propio código de identificación, el International Mobile Station Equipment Identity. La manera más rápida de ver el IMEI de tu iPhone es escribiendo este código en la app Teléfono.
*#5005*7672# + llamar. Los SMS que envías pasan por un centro de mensajes proporcionado por tu operador. Este código sirve para conocer el número de teléfono del centro al que van a parar tus mensajes.
*33*pin# + llamar. Bloquea todas las llamadas salientes y entrantes, por ejemplo si estás en el extranjero y no quieres realizar gastos accidentales. Puedes desactivarlo con el código #33*pin# y comprobar el estado de las restricciones con *#33#. Cambia “pin” por la clave de tu tarjeta SIM.
*43# + llamar. Este código pone en espera la llamada actual y todas las llamadas entrantes que recibas a partir de entonces. Puedes desactivar el ajuste con el código #43# o comprobar su estado con *#43#.
*#21# + llamar. Los servicios de desvío te permiten dirigir las llamadas y mensajes a otro teléfono. Puedes activarlos desde Ajustes > Teléfono > Desvío de llamadas. Este código muestra el estado de todos los desvíos. Para desactivar los desvíos puedes usar el código ##002# + llamar.

Malware en OS X: RAT JBifrost

2016-08-22T16:35:00.002+01:00

El grupo de delincuentes que se encuentra detrás de Adwind RAT, uno de los troyanos de acceso remoto desplegados con más actividad, incluso en OSX, ha rebautizado su proyecto con el objetivo de volver al mercado del software malicioso. El nombre elegido para esta vuelta es el de JBifrost. Este malware apareció en Enero de 2012 bajo el nombre de Frutas RAT, y al año siguiente se renombró como Adwind RAT. Como las campañas de malware y la actividad de éste eran expuestos, los delincuentes cambiaban el nombre del malware una y otra vez.

Adwind fue rebautizada como Unrecom en febrero de 2014, como AlienSpy en octubre de 2014 y como JSocket RAT en junio de 2015. JSocket desaparece y JBifrost aparece tres meses más tarde. Después del informe de Kaspersky publicado en febrero de 2016, la ultima encarnación de la RAT conocida como JSocket cerró poco después. Los investigadores de Fortinet han comentado que Adwind fue rebautizada con una nueva interfaz gráfica de usuario, y sólo un pequeño conjunto de nuevas características en comparación a JSocket.

Figura 1: JBifrost y los métodos de pago

El nuevo JBifrost es ahora una comunidad cerrada. La página web JBifrost no está disponible para nadie más, a diferencia de los casos anteriores en los que cualquiera podría comprar la RAT, los usuarios necesitan un código de invitación para registrarse en el sitio web de JBifrost y comprar la RAT. Los delincuentes están vendiendo JBifrost como una suscripción mensual de 45 dólares el primer mes y 40 dólares para una renovación de la suscripción. Otro gran cambio en el funcionamiento está en cómo los delincuentes recogen el dinero. Anteriormente, se aceptaba pagos a través de PerfectMoney, CoinPayments, Advcash, EntroMoney y Bitcoin. Ahora, solo se pueden llevar a cabo los pagos a través de Bitcoin, probablemente debido a que los otros métodos de pago no son anónimos y puede dar lugar a la aplicación de la ley.

Figura 2: Aspecto que tenía como Frutas RAT

Como se ha mencionado anteriormente, JBifrost viene con cambios mínimos en comparación con Adwind. Fortinet indicó que detectó solo cambios menores que incluyen una nueva columna que muestra el estado del teclado de una víctima infectada y una nueva columna que muestra el título de la ventana actual de la víctima. En el momento del análisis, la gente de Fortinet indicó que JBifrost había sido descargada desde el sitio web 1566 veces, y que ha sido detectado en las campañas de distribución de malware actuale.

Vía | Seguridad Apple

Disponible el video de la presentación de Apple en la BlackHat USA de 2016.

2016-08-17T16:29:00.001+01:00

Ya se ha publicado el vídeo de la presentación que Apple hizo en la conferencia Black Hat USA 2016, donde de forma inesperada Apple anunció públicamente la apertura de su programa de Bug Bounty - al que se puede participar solo por invitación -. Eso sí, hay otros programas que pagan más y están abiertos a todo el mundo. El vídeo está disponible en Youtube y lo tienes aquí mismo para que puedas verlo.

Además, tienes el resto del material de las presentaciones de BlackHat disponibles online. Merece la pena estar una hora escuchando la presentación y las reacciones del público en esta primera presentación de Apple ante la comunidad de investigadores de seguridad después de tantos años de "desafortunados encuentros".

Fuente | seguridadaple.com

La nueva forma de robar coches: Hackeándolos con un portátil

2016-07-17T19:18:00.001+01:00

Se veía venir... la policía y las aseguradoras informan de que empieza a haber numerosos casos de robos en los que usan ordenadores portátiles para hackear el arranque electrónico de los coches de última generación, cada vez con más electrónica y componentes informáticos.

Por ejemplo recientemente en Houston un par de ladrones fueron grabados por una cámara mientras usaban un ordenador portátil para arrancar un Jeep Wrangler 2010 y robarlo. La policía dijo que pudo haberse utilizado el mismo método en el robo de otros cuatro Wranglers de último modelo y Cherokees en la ciudad. Ninguno de los vehículos ha sido recuperado.

El National Insurance Crime Bureau, un grupo de seguros de la industria que rastrea los robos de automóviles en los EE.UU., dijo que se se está empezado a ver en los informes policiales un claro enlace entre los robos de coches nuevos y lo que llaman "misteriosos" dispositivos electrónicos.

"Creemos que se está convirtiendo en la nueva forma de robo de autos", dijo Roger Morris el vicepresidente del NICB. "Las fuerzas de seguridad públicas y los fabricantes deben ser conscientes."

Los informes recientes subrayan la aparición de nuevas vulnerabilidades en los coches a raíz de que se vuelven más informatizados y la tecnología avanzada. Fiat Chrysler, General Motors Co. GM, y Tesla Motors Inc. TSLA, han tenido que alterar la electrónica de sus automóviles en los últimos dos años después de enterarse de que podrían ser hackeados.

Puedes leer el artículo completo en WSJ.com.

Ataques Ransomware a iOS.

2016-07-17T19:15:00.002+01:00

Hace un tiempo usuarios de Australia fueron víctimas de ataques de tipo Ransom, bloqueando el uso de dispositivos iPhone, iPad y Mac, gracias a la funcionalidad de Find my iPhone en iCloud. Los dispositivos comprometidos mostraban mensajes de rescate en ruso exigiendo el pago de alrededor de 50 a 100 dólares por el desbloqueo del dispositivo. El secreto de este tipo de ataques residía en que los atacantes fueron recolectado correos electrónicos y contraseñas expuestas en varias brechas de seguridad dónde figuraban cuentas de iCloud.

Se confirmó que Apple iCloud no fue comprometida, y que los atacantes accedían a Find my iPhone a través de identificaciones y contraseñas de Apple expuestas en Internet. Las técnicas de ingeniería social hizo el resto. Ahora se ha descubierto que este tipo de ataque sigue realizándose pero entre los usuarios de Estados Unidos y Europa. Los métodos utilizados por los atacantes son los mismos que en el año 2014, con el incidente de Oleg Pliss. Todo comienza con un Apple ID comprometido, y a partir de ahí, el atacante utiliza el servicio Find My iPhone y coloca el dispositivo de la víctima en modo perdida. En este punto, se puede bloquear el dispositivo y enviar un mensaje a la pantalla de bloqueo y desencadenar un sonido que será reproducido por el dispositivo, llamando la atención sobre él.

En cada uno de los casos reportados públicamente, el rescate exigido ha sido de 30 a 50 dólares. Además, se suele amenazar diciéndole a la víctima que tiene 12 horas para llevar a cabo el pago o se realizará un borrado de sus datos. Al parecer puede haber más de 40 millones de cuentas de iCloud comprometidas, esto haría que muchísima gente fuera extorsionada. Se recomienda utilizar un 2FA en el uso de iCloud, ya que en cualquier instante nuestra contraseña puede ser comprometida y aparecer en un leak en la red. Apple proporciona un documento de seguridad sobre el Apple ID totalmente recomendable para su fortificación, pero lo más básico es que pongas Verificación en 2 Pasos.

Via | http://www.seguridadapple.com/

La historia del virus Jerusalem

2015-11-24T15:32:00.001+00:00

Un viernes 13 no pasa de otro día del calendario, quizá para los más supersticiosos en la cultura occidental sea un día abonado a la mala suerte, y para los más cinéfilos un recordatorio de las sagas de terror protagonizadas por Jason. Nosotros vamos a tratarlo como el virus informático que fue, el primer gran virus de la historia.

Ocurrió un día del mes de octubre de 1987, la Universidad Hebrea de Jerusalén alertaba de lo que pasaría a llamarse el virus Jerusalem (o Jerusalén) o al que por motivos que ahora contaremos se le definió más tarde como el virus Viernes 13. Ese día y en ese momento se comunicó que tras la detección se había conseguido “aislar”, aunque la realidad y la falta de experiencia anterior produjo una expansión masiva.

Para entender la importancia de lo que estaba a punto de ocurrir hay que recordar el momento, la fecha de su aparición y los sistemas y potencia de la época, se trataba de la primera vez que el mundo tenía constancia a nivel masivo y popular de que un ordenador podía llegar a infectarse.

Jerusalem, el virus “orgánico”

Concepto virus. Imagen: Rafal Olechowski / Shutterstock

Jerusalem se auto instalaba en la memoria RAM de los equipos, lo hacía tomando el control de las interrupciones en una franja determinada: entre las 08:00 y las 21:00 horas. Es en ese momento donde el virus infectaba los archivos .exe y .com. De esta forma, si un usuario abría un archivo, el virus se instalaba en el mismo, además lo haría aumentando el peso del archivo en 2 KB.

Pensemos el gran problema que se producía en un equipo de la época. Si cada vez que se abría un archivo este crecía 2 KB, había un momento en el que el SO MS-DOS quedaba saturado, incapaz de controlarlo. La razón es clara, a finales de los 80 y principios de los 90 una memoria RAM de usuario no pasaba de los 640 KB, además los discos duros rondaban entre los 20 y los 30 MB.

Ese año, en 1987, la Universidad Hebrea de Jerusalén lo llegaría a aislar. Dijeron que lo habían descubierto por un fallo en su propia estructura cuando el virus no podía detectar los archivos exe donde ya se había instalado, lo que producía que lo volviera a intentar una y otra vez en bucle, volviendo a infectar el mismo archivo en cuestión.

En cualquier caso, en ese momento no se pensaba que fuera un virus devastador, atacaba y ralentizaba los equipos, pero no se tenía constancia de otro tipo de ataque más letal. No era así evidentemente, Jerusalem era realmente un producto muy similar a un virus orgánico, donde su efecto necesita de un tiempo de “incubación”, en este caso hasta el año siguiente, un 13 de mayo de 1988.

La realidad es que Jerusalem había sido creado para eliminar todos los archivos que había infectado anteriormente. El problema se hizo una bola gigante ese 13 de mayo de 1988, ya que la Universidad Hebrea pensaba que lo había desactivado con uno de los primeros antivirus que se dieron, creado además por la propia universidad.

El virus fue más rápido que la “vacuna”, se auto-reprodujo muy rápido y junto al total desconocimiento que se tenía entre los usuarios sobre la necesidad de protección ante una posible infección, Jerusalem traspasó fronteras y entró en numerosos equipos en el mundo, lo que significó la pérdida de cuantiosos y numerosos datos e información, tanto de grandes empresas como de usuarios particulares. Un ataque o infección a escala global cuya peor parte se la llevaron Europa, Asia y Estados Unidos. Mientras, en la ciudad de Jerusalén se optó por la medida más drástica, la eliminación de todo archivo que hubiera sido infectado por el virus.

Repercusión en el tiempo

Iconos virus. Imagen: Mamanamsai / Shutterstock

Con Jerusalem (Viernes 13 en el tiempo), se impulsó toda una nueva industria para ofrecer respuesta a un nuevo tipo de ataque tecnológico, las empresas de antivirus florecieron tras su aparición. También fue el precursor de un gran número de variantes, hoy algo habitual, pero en ese momento toda una revelación. Con el virus se crearon “versiones” que tomaban el avance de las nuevas tecnologías y los nuevos ordenadores para adaptarse a los mismos y ser aún más dañinos.

Reino Unido y España fueron dos de los sitios más afectados. En España en particular, ya que se daba la circunstancia de que los disquetes eran la fórmula por defecto para intercambiar información. Esto produjo que en 1989 la revista Amstrad User, una de las pioneras en en el país sobre informática, difundiera el virus (sin saberlo) a través de un disquete de utilidades shareware. Lo que acabaría llevando al cierre de la editorial junto a la infección de cientos de usuarios en España.

El mismo Viernes 13 fue una de esas versiones mejoradas que cada día 13 del mes eliminaba todos los archivos infectados, lo que producía el terror para muchos usuarios esperando a que el siguiente mes su equipo no hubiera sido afectado. Además, aumentó el ataque a las extensiones .OVL, .SYS, .BIN y .PIF. Viernes 13 fue también de alguna manera el primer virus “famoso”, con él entraron en juego los medios de comunicación, ávidos de noticias en el sector y fascinados por la naturaleza y poder de un virus.

En cuanto al nombre y su autor, no está muy claro, aunque se cree que el virus Jerusalem original fue creado por un desarrollador israelí para celebrar el 40 aniversario de la creación del estado de Israel.

Vía | Gizmodo español

Crucero para Nomadas digitales.

2015-11-24T15:28:00.003+00:00

El crucero de nómadas digitales que irá de Gran Canaria a Brasil.

Han sido 236 €, que entre 9 sale a 26,22 € al día, alojamiento, comida y traslado incluidos. Internet sí será caro – 72 € por dos horas – pero no pasa nada: aprovecharán para hacer desintoxicación digital y trabajar sin distracciones. Dice un amigo que un crucero debe de ser uno de los mejores sitios del mundo para programar y yo digo que para escribir: es barato, te lo dan todo hecho, te aísla del ciclo correo-Facebook-Twitter-Slack y vuelta a empezar y te permite conectarte sólo para lo justo, esto es, subir el código o consultar referencias.
Johannes Voelkner es alemán, vive viajando y hace WebWorkTravel, uno de los mayores grupos de nómadas digitales que hay. Vio la oferta Gran Canaria – Brasil en Pullmantur y la compartió en Facebook. “No hice mucho marketing. Veinte amigos míos lo compraron de inmediato y ahora somos más de 150”, cuenta. “Era una buena forma de ir a Sudamérica y conocer gente. Lo dejé ahí, funcionó y ahora quiero hacer algo más grande”.
Por algo más grande, Johannes se refiere a los días previos de encuentro en la isla, adonde han ido los asistentes, a las actividades del viaje y a los planes que surjan después. Viajarán del 18 al 26 de noviembre: una vez allí volar de vuelta es caro y además será verano, así que Río, Buenos Aires, Perú o Colombia suenan como opciones para continuar. El día que charlamos, Johannes aún estaba en su anterior localización: Tarifa, que es, junto a Gran Canaria, un conocido destino para quienes combinan trabajo online, vida y viajes, o eso que llaman nomadismo digital.

Poco a poco, sin hacer demasiado ruido, España se está convirtiendo en uno de los lugares favoritos de las comunidades de nómadas, que comparten experiencias e información útil en sitios como WebWorkTravel o Nomadlist. En segundo lugar, por detrás de Chiang Mai – una ciudad de templos y monjes budistas al norte de Tailandia llena de backpackers -, Las Palmas de Gran Canaria abre desde hace pocos meses la portada de esta web, que analiza las mejores ubicaciones para mudarse en función del coste de vida, clima, limpieza del aire, diversión, seguridad y velocidad del wifi.
“Empieza a venir más gente a Las Palmas por eso”, cuenta Carlos Hernández, que vive en la isla, es fundador de Quaderno y organiza desde hace meses el meetup de nómadas Digitales. “Para mí, hay un antes y un después de Surf Office – el sitio en el que por 50 € diarios tienes habitación, oficina y playa a tres minutos andando que montó en 2014 Peter Fabor, un diseñador eslovaco y que ya ha replicado en California y Lisboa. Promocionó la ciudad entre los nómadas. Funciona muy bien como catalizador”.
Como Surf Office, Tarifa cuenta con su coworking particular: Workation Camp, que aunque en la web aún sólo da precios de oficina (15 € al día / 180 € al mes) y consejos de alojamiento, pronto incluirá hostel. Hay casi mil personas en el grupo Tarifa Digital Nomads de Facebook.
“Hemos alquilado varios apartamentos para que puedas quedarte y trabajar”. La iniciativa es, también, de Johannes.

Aunque a veces se parezca, el perfil del nómada no es el de mochilero: no trabaja durante un tiempo, ahorra, viaja y vuelve, sino que lo hace todo a la vez.
“Son freelances o empleados en remoto de tecnológicas. Y el 50% son emprendedores independientes de la localización: tienen su propio negocio, sin oficina y trabajan desde cualquier sitio”, cuenta Johannes. “Hay gente de SEO, traductores, asistentes virtuales, que tiene agencias y hacen marketing como contractors (una figura inglesa a medio camino entre el freelance y el empleado, en la que una empresa contrata los servicios de alguien independiente para un proyecto, muy popular en tecnología)”, continúa Carlos. Otro dato: apenas hay españoles. “Y lo menos frecuente es gente que viaje sólo por viajar”.

Por los siglos de los siglos, países y ciudades se han preguntado cómo atraer turismo y economía a sus territorios. Últimamente, además, buscan talento digital: una variable que aparece en cualquier análisis o promoción sobre el “estado tecnológico”. El “viejo mundo”, explica Andrés García, que asesora a agencias de atracción de inversión, quería que las multinacionales abrieran en el país para crear empleo y ecosistema económico (piensa en el ejemplo de la automoción en España: una gran empresa hace de tractora del sector). Pero con la caída de barreras para crear tecnología, usarla y vivir de ella desde donde sea, ser atractivo como destino depende de muchas más cosas.
“Es más fácil saber qué necesita una gran empresa, porque son menos y más conocidas. Pero en un mundo amplio, donde los proyectos son más pequeños y vienen de cada vez más países de origen, es difícil posicionarte. Hay listados de ciudades atractivas para startups. Pero eso es modelizar una realidad compleja”, dice. “Proponemos a los territorios especializarse: posiciónate en agrotecnología o tecnología aplicada al turismo. Las agencias lo ven como renuncia (si me especializo en una cosa pierdo otras). Y acabas con un modelo en el que todas las regiones intentan venderte de todo”.
En algunas ciudades, véase Londres o Barcelona, el lado público ha entendido bien qué hace falta – teorías como las de Richard Florida, editor de Citylab de The Atlantic, que dice que las regiones más prósperas serán las que atraigan, produzcan y retengan talento y a las que se critica por acarrear problemas de elitismo y desigualdad – y lo ha aplicado. Tech City London o Barcelona Activa son buenos ejemplos.
“Barcelona está a años luz de cualquiera de España y entre las mejores de Europa. Las cosas no pasan porque sí: la estrategia está trabajada”. Por alguna razón el famoso “ecosistema” dobla al de Madrid, que aunque ha intentado cosas (viveros, pero en las afueras; un coworking, pero sólo para extranjeros) se ha quedado a medias.
Con datos de Teleport, una web que te dice cuál es la mejor ciudad para vivir y trabajar según tus preferencias (de clima, salud, coste de vida, transporte público, mercado de trabajo o comunidad startup), Andrés preparó informes comparando la “marca” de las ciudades en el sur de Europa. “Teníamos estadísticas de a cuánta gente le salían ciudades españolas en el top 10. Lisboa tiene el doble de posibilidades de salir que Madrid o Barcelona. Pero mirando cuánta gente hace click en cada una, Barcelona ganaba: el doble de gente quería más información de allí que de Lisboa o Madrid”.
La marca de Barcelona – que en turismo es un inconveniente – es superior: además de hacer cosas, las ha contado.

Ni en Tarifa ni en Gran Canaria hay iniciativa pública para que el talento que llega se quede – lo que en Estados Unidos llaman economic gardening, que más que hacer esfuerzo de atracción es cuidar lo que ya tienes – “pero por otro lado”, reconoce Carlos, “es mejor que no la haya. Además, distinguiría entre el crear ecosistema para startups que hacen todas las ciudades de Europa con lo que está pasando aquí. La gente no viene a montar su empresa, sino a pasar una temporada”.
Sea económico, turístico o ambas dos, que haya nómadas digitales es interesante para una ciudad. “No es turismo agresivo, se mezclan con la población y consumen un montón”, continúa. “La experiencia es tan buena que algunos se quedan durante una larga temporada, muchos repiten, corren la voz y cada vez llegan más. El proceso es de abajo arriba, orgánico, bocaoreja. Si te pasas haciendo promoción la gente huele que es falso. Chiang Mai es famoso y hay tanta gente porque cada vez hay más nómadas y hacen que vayan más: es un pez que se muerde la cola. En Las Palmas empieza a pasar eso. Aprovechando el crucero, mi intención es enseñar a toda la gente las oportunidades de alojamiento, coworking y fiesta que hay. Porque repetirán”.
En Tarifa, a la vuelta del crucero y del verano austral, Johannes tiene el mismo plan. Además de continuar con el comercio online que le paga las facturas y llevar la web y la guía de viaje para nómadas, promoverá Workation Camp.
“Hay mucha gente, es barato, es una ciudad bonita, estamos cerca del Mediterráneo, de Marruecos… Es genial”, considera. “No hay un hub para nómadas digitales en Europa – los destinos más populares están en Asia y Sudamérica – así que la idea es convertir a Tarifa en ese lugar”. O lo que es lo mismo, concluye Andrés: si eres un país al que vienen 70 millones de extranjeros al año y ya hay quien conoce parte de tu oferta (el sol y la playa), “haz un esfuerzo por explicar que aquí también se pueden hacer otras cosas”.

Vía | lia.do

¿Tienes un teléfono con Android?. Pués deberías comprobar si es vulnerable a Stagefright.

2015-08-11T11:44:00.002+01:00

La comunidad androide está en alerta debido a un grave problema de seguridad. Con el nombre de Stagefright, los usuarios podrían sufrir un hackeo en su teléfono por medio de un simple mensaje multimedia (MMS). Este gravísimo agujero fue descubierto por la compañía Zimperum, algo que ha despertado las alarmas de los fabricantes e incluso de la propia Google, y que ha acabado animando a crear un sistema de actualizaciones mensuales con las que poder velar por la seguridad de los terminales. Hora bien, ¿estamos a salvo? Para salir de dudas, Zimperum ha creado una aplicación con la que poder saber si somos vulnerables ante la amenaza.

Los equipos Nexus están a salvo, pero terminales como los de Samsung, HTC o LG podrían caer fácilmente. Evidentemente para infectarnos tendríamos que abrir un MMS de alguien que no conozcamos, pero aún así el riesgo existe, ya que si usas la aplicación Hangouts como gestor de SMS, la aplicación podría capturar los MMS si tienes activada la opción "Recuperar mensaje MMS". Lamentablemente la aplicación no ofrece ninguna solución en caso de detectar que tu dispositivo es vulnerable, y simplemente se limita a mostrar los productos de la compañía (pura estrategia comercial). De todas formas el asunto es bastante serio, y sino, echa un ojo al vídeo que tienes a continuación y mira lo que podrían hacer en caso de que piques.

TecnoFrikeando.com

Te roban el coche sin romper nada (relay, duplicación de señal, inhibidores y bus CAN): Así funciona y como protegerte

Preguntas frecuentes (técnicas)

Fuentes

Tu Smart TV te vigila: así funciona ACR, el sistema que registra todo lo que ves sin que lo sepas

Tu Smart TV te vigila: así funciona ACR, el sistema que registra todo lo que ves sin que lo sepas

Cómo funciona realmente el ACR

Qué se hace con los datos recopilados

Riesgos asociados a la exposición de información

Por qué conviene revisar la configuración

Cómo romper el cifrado Bitlocker de Windows con una Raspberry Pi de 15€.

Gusano Raspberry Robin

El malware Raspberry Robin ha experimentado una evolución significativa al adquirir acceso temprano a exploits de Windows.

Joker, el troyano para Android, sigue colándose en Google Play

Nueva vulnerabilidad crítica en Linux denominada Sequoia

Compártelo:

Publicaciones relacionadas

Roban más de 600 millones en criptomonedas de la plataforma Poly Network

Técnica permite modificar ficheros PDF con firma digital

Liberados parches de seguridad de Cisco que corrigen vulnerabilidades críticas y altas en varios de sus productos

Progresión de Babuk, el primer ransomware del año

Detectada una extensión activa desde frebrero en Chrome Web Store que roba tarjetas de crédito

Las peores noticias en seguridad informática de 2017

El temible WannaCry: alrededor de 150 países afectados

Caso Equifax, una de las peores brechas de la historia

El encubrimiento de la brecha de Uber y el pago de 100.000 dólares al atacante

3.000 millones de cuentas robadas a Yahoo, todas las que tenía en 2013

Supuestas herramientas de espionaje estadounidenses filtradas

Bad Rabbit, otro ransomware con predilección por Europa

Lexnet, la justicia española expuesta en la red

NotPetya, la vuelta de un ransomware ya conocido

1.400 millones de correos electrónicos y contraseñas al descubierto

Grandes desastres en el mundo de las criptomonedas

Digmine se propaga a través de Facebook Messenger para minar cripto-monedas a tu costa

He instalado todos los malware de Android: esto es lo que ocurre si te saltas los consejos de seguridad

Empecemos: consejos para mantener tu Android seguro

Error 1: Activar los orígenes desconocidos

Error 2: No vigilar los permisos

Error 3: Las aplicaciones de linterna son básicas

Error 4: ¿Cómo que no hay Animojis para Android?

Error 5: Cheetah es nuestra amiga

Error 6: las mejores guías para Pokemon GO o Clash Royale son estas desconocidas apps

Error 7: Un teclado más bonito no puede causar daño

Error 8: ¿Cosas de espías? Suena bien

Error 9: Me voy a hacer rico con apps de casino

Error 10: En tiendas de terceros encontraré lo que necesito

Los spyware y troyanos pueden aparecer desde cualquier aplicación

A todo esto ¿sirven de algo los antivirus?

Si no cuidas tu privacidad, no esperes que tu móvil te cuide a ti

El revolucionario blockchain sigue sin demostrar lo revolucionario que es

Los bancos siguen mandando

Las criptodivisas siguen sin estar (del todo) seguras

Las ventajas y desventajas del anonimato y privacidad

Ataques DDoS en el tercer trimestre de 2016

Acontecimientos del trimestre

Ciberdelincuencia como servicio

Un ataque DDoS “político”

Ataque contra una compañía de corretaje

Evaluación de los daños causados por ataques DDoS

Tendencias del trimestre Ataques DDoS mediante SSL

Estadística de ataques DDos lanzados por medio de botnets

Metodología

Resultados del trimestre

Geografía de los ataques

Dinámica del número de ataques DDoS

Tipos y duración de los ataques DDoS

Servidores de administración y tipos de botnets

Conclusión

¿Cómo salvar los datos del SSD soldado en placa del Macbook Pro?.

Menú oculto en tu iPhone: Cómo acceder.

Malware en OS X: RAT JBifrost

Disponible el video de la presentación de Apple en la BlackHat USA de 2016.

La nueva forma de robar coches: Hackeándolos con un portátil

Ataques Ransomware a iOS.

La historia del virus Jerusalem

Jerusalem, el virus “orgánico”

Repercusión en el tiempo

Crucero para Nomadas digitales.

El crucero de nómadas digitales que irá de Gran Canaria a Brasil.

¿Tienes un teléfono con Android?. Pués deberías comprobar si es vulnerable a Stagefright.