mitocondria

Cuide su tarjeta al pagar en las gasolineras

2011-09-30T00:41:00.001-07:00

MySQL.com comprometido y sirviendo malware

2011-09-26T20:38:00.000-07:00

Mysql.com es de nuevo golpeado. Su sitio web ha sido comprometido mediante una inyección javascript (1).

El código malicioso está ofuscado y contiene un iFrame que redirecciona a los visitantes a un servidor en Alemania (2), que a su vez nos lleva a otro site donde se encuentra un exploit pack BlackHole (3).
1. http://mysql.com/common/js/s_code_remote.js?ver=20091011
2. http://falosfax.in/info/in.cgi?5&ab_iframe=1&ab_badtraffic=1&antibot_hash=489613682&ur=1&HTTP_REFERER=http://mysql.com/
3. http://truruhfhqnviaosdpruejeslsuy.cx.cc/main.php

Se trata de un Drive-by-Download donde el usuario puede infectarse con sólo visitar la página, sin necesidad de hacer clic en ningún sitio. De momento se desconoce el tipo de malware cuya tasa de detección todavía es realmente baja (un 9% en Virustotal).

También se desconoce la identidad de los atacantes, aunque en un foro underground ruso un usuario con nick ‘sourcec0de’ vende accesos a algunos de los servidores de mysql.com y sus subdominios.

Permaneceremos atentos para obtener más información al respecto. Mientras tanto, se recomienda no visitar la página de mysql.com hasta que se corrija definitivamente.

Fuente: http://hackplayers.blogspot.com/2011/09/mysqlcom-comprometido-y-sirviendo.html

SSL/TLS ya no tan seguros

2011-09-26T20:34:00.000-07:00

SSL (Secure Socket Layer) se encuentra en la pila OSI entre los niveles de TCP/IP y de los protocolos HTTP, FTP, SMTP, etc. Proporciona sus servicios de seguridad cifrando los datos intercambiados entre el servidor y el cliente con un algoritmo de cifrado simétrico.

SSL se ejecuta en una capa entre los protocolos de aplicación como HTTP, SMTP, NNTP y sobre el protocolo de transporte TCP, que forma parte de la familia de protocolos TCP/IP. Aunque pueda proporcionar seguridad a cualquier protocolo que use conexiones de confianza (tal como TCP), se usa en la mayoría de los casos junto a HTTP para formar HTTPS. HTTPS es usado para asegurar páginas World Wide Web para aplicaciones de comercio electrónico, utilizando certificados de clave pública para verificar la identidad de los extremos.

Lo anterior es simplemente algo de información técnica, para mostrar la importancia que tiene actualmente este protocolo en la Web. Gracias a SSL existe HTTPS y gracias a HTTPS es que “tenemos conexiones seguras” y podemos mandar datos por la red sin el peligro de que sean capturados, sitios Web como Gmail, Hotmail, Facebook, Twitter, Amazon, eBay, Paypal entre muchos otros se encuentran (encontraban) a salvo gracias a HTTPS.

Thai Duong y Juliano Rizzo son los responsables de haber vencido las resistencias del protocolo SSL/TLS demostrando en primer lugar cómo podían superar la seguridad de PayPal.

Rizzo y Duong mostrarán BEAST (Browser Exploit Against SSL/TLS) en la conferencia ekoparty esta semana en Argentina. ”Describiremos una aplicación atacante que permite a un adversario de manera eficiente descifrar y obtener los tokens de autenticación y cookies de peticiones HTTPS. Nuestro exploit viola una vulnerabilidad presente en la implementación de SSL/TLS de los principales navegadores weben el momento de la escritura”.

De este modo el secreto de los datos que intercambiamos en Internet los usuarios con los proveedores que nos facilita correo electrónico, acceso a redes sociales o transacciones comerciales queda en entredicho. Al parecer el problema tiene que ver con SSL/TLS (Transport Layer Security) que permite este acceso no autorizado a los datos protegidos.

El problema se complica porque TLS 1.1 y 1.2 no son compatibles con ningún navegador actualmente y los sitios web no quieren actualizar desde 1.0 para no perder a sus visitantes.

Fuente: http://aisha-style.blogspot.com/2011/09/ssltls-ya-no-tan-seguros.html?spref=tw

Trabajan en una nueva herramienta para hacer Jailbreak

2011-09-26T20:30:00.001-07:00

Sin duda alguna el móvil inteligente de Apple, el tan conocido y exitoso iPhone, cuenta con un gran número de funciones y posibilidades, solamente limitado por algunas restricciones de fábrica, las cuales ya pueden ser ignoradas gracias a la magia del Jailbreak.

El Jailbreak consiste en liberar el iPhone y aprovechar todas sus posibilidades a fondo. Existen varias maneras de realizar esto, gracias a varios programas creados por diferentes grupos de desarrolladores, tales como Redsn0w y JailbreakMe por mencionar algunos, pero el día de hoy ha llegado la noticia de parte de un conocido hacker especializado en iOS de que está trabajando en una nueva herramienta para realizar Jailbreak.

Este es Semaphore, quien es el creador de una de las herramientas más conocidas para guardar los registros SHSH del iPhone, TinyUmbrella. Su nuevo proyecto tiene por nombre TinyPwn, y en este planea incluir el código de LimeRa1n, creado por otro hacker conocido como GeoHot, por lo cual se supone que serviría para realizar Jailbreak además de su anunciada función de instalar firmwares en los iDevices sin necesidad de pasar por iTunes.

Fuente: http://www.chullohack.com/2011/09/26/trabajan-en-una-nueva-herramienta-para-hacer-jailbreak/?utm_source=rss&utm_medium=rss&utm_campaign=trabajan-en-una-nueva-herramienta-para-hacer-jailbreak

Los residuos informáticos pueden poner en peligro nuestra privacidad

2011-09-26T20:29:00.000-07:00

Según la cadena Australiana SBS, los contenedores con residuos de ordenadores que llegan a África pueden ser empleados para el robo de datos personales que todavía contengan sus discos duros, un problema que tiene millones de víctimas potenciales en todo el mundo.

Lo cierto es que las leyes sobre los residuos de hardware son laxas y permiten que cualquiera pueda acceder a la información que no se haya borrado en esos equipos, de forma que se podría robar la identidad del antiguo dueño.

La noticia aparecida en Australia explica que para los habitantes de países como Ghana es relativamente sencillo acceder a los datos almacenados en los discos duros que llegan a sus cementerios de ordenadores.

Eso sí, el problema no parece exclusivo de Australia si no algo global, ya que cada año se producen 40 millones de toneladas de residuos informáticos en todo el mundo.

Según el doctor suizo Mathias Schluep, miembro de EMPA (Laboratorios Federales Suizos de Investigación y Ensayo de Materiales), Europa no está haciendo lo suficiente para asegurarse de que los discos duros de los ordenadores sean destruidos.

En ese sentido, el experto cree que las empresas que se dedican a recoger los residuos informáticos deberían dar a los usuarios la posibilidad de decidir si desean que esos componentes sean destruidos o reutilizados en países pobres.

Así, en caso de que los usuarios quisieran donar esos equipos, tendrían la oportunidad de borrar los datos de sus discos duros y así evitar posibles accesos a los mismos con intenciones fraudulentas.

Fuente: http://www.theinquirer.es/2011/09/26/los-residuos-informaticos-pueden-poner-en-peligro-nuestra-privacidad.html

Troyano disfrazado de PDF ataca Mac OS X

2011-09-24T17:08:00.000-07:00

Investigadores de la firma de seguridad informática F-Secure descubrieron un troyano que ataca el sistema operativo de Apple, el Mac OS X, presentado como un archivo PDF, el cual pretende engañar a los usuarios a descargarlo, al más puro estilo de los malware para Windows.

El troyano detectado es el “Trojan-Dropper:OSX/Revir.A” y empieza colocando un archivo PDF incrustado en su cuerpo.

Al ejecutarse, el malware instala una “puerta trasera” en el sistema denominada “BackDoor:OSX/Imuler.A”, asimismo descarga el archivo PDF, que contiene declaraciones políticas en chino, cuya única función es distraer al usuario y evitar que se dé cuenta de la actividad sospechosa, informó F-Secure.

El servidor no es capaz de ponerse en contacto con el malware, sin embargo, los investigadores descubrieron que el troyano trabaja por sí solo al momento en que es instalado en el equipo de la víctima.

El experto en seguridad Topher Kessler, mencionó en el blog de CNET el procedimiento para detectar el malware en caso de no contar con un antivirus.

“Se puede comprobar la presencia de este troyano abriendo, en la Mac, Activity Monitor, asegúrese de estar viendo todos los procesos y luego buscar un proceso llamado “checkvir”. Si ve que este proceso se está ejecutando seleccione y haga clic en el botón rojo de stop para cerrar el programa, utilizando Activity Monitor, acto seguido remuévalo del siguiente directorio de su sistema: /username/Library/LaunchAgents/”, escribió Kessler.

Aún se desconoce el método de propagación de este malware, debido a que la firma de seguridad lo recibió de parte de VirusTotal, sitio que se encarga de analizar archivos y dominios sospechosos, sin embargo, se cree que el plan es propagarlo adjunto en correos electrónicos.

El Troyano aún no es considerado una amenaza fuerte para los usuarios de OS X ya que el programa es fácilmente detectable y extraíble y al parecer no está muy extendido.

Asimismo parece no funcionar del todo pues aún no recibe instrucciones de servidores remotos, según Kessler.

Habrá que ver la respuesta de la gente de Apple para los usuarios que ya se encuentran infectados, pues la última vez que se descubrió un troyano para su plataforma el “Mac Defender”, la compañía de Cupertino no dio soporte a los usuarios con equipos infectados.

Fuente: http://www.bsecure.com.mx/featured/troyano-disfrazado-de-pdf-ataca-mac-os/

Un fallo de última hora en la pantalla podría retrasar la llegada del iPhone 5

2011-09-24T17:06:00.000-07:00

Suministradores de componentes asiáticos aseguran que parte de los primeros envíos del flamante iPhone 5 podrían no estar listos para la fecha prevista debido a un defecto conocido como “burbuja” que estaría afectando a las pantallas.

Por el momento se trata de un mero rumor que procede de la industria taiwanesa y que ha sido recogido por el diario DigiTimes.

Según esta información, el fabricante de paneles Wintek estaría tratando de solucionar a contrarreloj un fallo en la pantalla del iPhone 5 que obligaría a la firma de Cupertino a retrasar la fecha de llegada al mercado de su nuevo smartphone.

Estas mismas fuentes explican que el defecto se conoce como “burbuja” y es difícil de solventar, sobre todo si como en este caso el fallo no se detecta durante el proceso de laminación de los paneles sino en el montaje.

Al parecer, este defecto sólo ha afectado a los paneles fabricados por Wintek, que representan entre un 20% y un 25% del total, mientras que la firma TPK Holding se encarga de producir entre un 60% y un 65% de las pantallas y Chimei Innolux el resto.

De ser cierto este rumor Apple podría retrasar la llegada del iPhone 5 a determinados mercados. La compañía de Cupertino aún no ha anunciado la fecha de presentación de su nuevo teléfono, pero personas cercanas han confirmado que será el 4 de octubre cuando el iPhone 5 vea la luz y algunas semanas más tarde cuando llegue a las tiendas.

Fuente: http://www.theinquirer.es/2011/09/23/un-fallo-de-ultima-hora-en-la-pantalla-podria-retrasar-la-llegada-del-iphone-5.html

Una fiscal investiga iTunes tras una compra con su tarjeta robada

2011-09-24T17:04:00.000-07:00

La Fiscal General de Massachusetts (EE.UU.), Martha Coakley, ha anunciado que investigará si la política de admisión de datos de tarjetas de crédito de iTunes respeta las reglas de su Estado. Coakley denuncia que se puedan usar datos de tarjetas robadas o la suplantación de la identidad en el servicio sin que Apple lo impida, y quiere comprobar la legalidad de esa acción. Martha Coakley ha decido investigar iTunes después de sufrir un uso fraudulento de su cuenta bancaria en la tienda de Apple.

La Fiscal General de Massachussetts fue víctima del robo de datos de su tarjeta de crédito. Con los datos, los ladrones acudieron a iTunes para realizar compras a cargo de la tarjeta de Coakley. La Fiscal ha denunciado que el servicio de iTunes permita la utilización de datos robados. Según informa el blog de Sophos Naked Security, Martha Coakley ha asegurado que su departamento investigará si iTunes tiene responsabilidad en este tipo de casos y si las políticas de la compañía y su servicio respetan las normas estatales. Los usuarios que quieren realizar compras en iTunes pueden introducir los datos de una tarjeta. El sistema solicita los dígitos que identifican la tarjeta y los números de control. Al ser un sistema online, la validación de la identidad se realiza con los dígitos de control, por lo que el sistema no detecta anomalías a no ser que la tarjeta esté desactivada.

En el portal Naked Security explican que la iniciativa legal de la Fiscal General de Massachusetts seguramente no encuentre fallos en el servicio. Apple se limita a registrar los datos facilitados, pero no es responsable de las tarjetas que usan los usuarios. En este sentido, el mejor mecanismo para que los usuarios se protejan en casos de robo de sus datos es la cancelación de las tarjetas e informar a las autoridades de cualquier movimiento inusual en sus cuentas.

Fuente: http://www.elpais.com/articulo/tecnologia/fiscal/investiga/iTunes/compra/tarjeta/robada/elpeputec/20110923elpeputec_6/Tes

JailOwnMe o cómo mutar JailbreakMe 3.0 y meter una shell

2011-09-24T17:03:00.000-07:00

Cuando se publicó JailbreakMe 3.0 insistíamos en la necesidad de instalar cuanto antes PDF Patcher 2.0, un parche que cerraba los bugs explotados por Comex, y que fueron premieados en BlackHat 2010, para liberar el terminal de Apple. Nos basábamos en que cualquiera podría descargarse los documentos PDF que se utilizaban y modificarlos para ejecutar otras cosas menos apetecibles para el usuario.

Figura 1: Los exploits en PDF indexados en Google

José Selvi, investigador español de Pentester.es hizo una demostración de esto en la pasada NoCONname 2011, en una charla en la que explicaba como hacer debugging de payloads para conseguir modificar el comportamiento de un exploit a gusto de cada uno. Para ello, mediante la manipulación de los exploits de JailbreakME 3.0 creo JailOwnMe, un exploit para instalar en el dispositivo "otras cosas". En el siguiente vídeo tenéis un ejemplo de como funciona este caso en el que se instala un payload que abre una shell reversa.

http://www.youtube.com/watch?feature=player_embedded&v=4vvlFnmNNK8

Por último, nos gustaría recordaros que, en el momento en que sale un parche o un exploit, las técnicas de ingeniería inversa de hoy en día, permite a los buenos exploiters hacer nuevos exploits de ataque, por lo que es necesario tomar precauciones lo antes posible.

Fuente:http://www.seguridadapple.com/2011/09/jailownme-o-como-mutar-jailbreakme-30-y.html?utm_source=feedburner&utm_medium=feed&utm_campaign=Feed:+Seguridadapple+%28SeguridadApple%29

Cómo afecta la Línea de Tiempo de Facebook a tu privacidad

2011-09-24T16:50:00.001-07:00

Usuarios de Facebook sujétense de sus asientos, porque todo lo que estamos viendo en Facebook es completamente diferente a los “cambios geniales” que durante la Conferencia F8 Zuckerberg y compañía habían dicho que implementarían. Los cambios en el flujo de noticias y la manera de publicarlas son algo de lo que muchos se han quejado, y esto apenas es el prólogo. La verdadera historia está a punto de comenzar.

Facebook está por introducir una nueva característica llamada “Línea de Tiempo” (Timeline) y es un elemento de cambio real en tanto qué cantidad de información compartida está involucrada.

A decir del blog de Facebook: “Imagina si existiera una manera sencilla para redescubrir las cosas que has compartido, así como almacenar todos tus mejores momentos en un solo lugar”.
Bien, como Facebook lo diría, no necesitamos imaginar más. Sólo nos queda esperar unas cuantas semanas y estar a la expectativa de nuestra “propia Timeline”.

La premisa de la nueva característica es muy simple: Nos brinda un espacio para guardar todos los momentos importantes que consideremos de nuestra vida. La forma en que Facebook opera en este momento, entierra todas nuestras publicaciones con el paso del tiempo, sin importar qué tan relevantes sean.

Las actualizaciones de tu estado sobre los momentos importantes de tu vida finalmente se pierden con aquéllas rutinarias, como lo que ibas almorzar o incluso peticiones de Farmville. La única manera actual para que la gente vea publicaciones verdaderamente importantes es dar clic sobre el botón 'Publicaciones más antiguas" una y otra vez a fin de inspeccionar entre los escombros - un proceso muy molesto que no muchos harían o que ni siquiera tratarían de hacer.

Con línea de tiempo, sólo se muestra lo que es realmente importante. Se trata de una ingeniosa característica que hará que sea mucho más fácil ponerse al día con viejos amigos y conocer lo que ha pasado con sus vidas en los últimos años y viceversa.

Hasta el momento, parece que la línea de tiempo se generará automáticamente en un primer momento, entonces el usuario podrá configurar a través de su "registro de actividad privada" donde verá todo lo que ha compartido desde que se unió a Facebook. A continuación, podrá elegir qué mensajes agregará a su línea de tiempo con el fin de llenar los vacíos que con Facebook se hicieron. Luego, puede optar por publicar inmediatamente su línea de tiempo o tomar unos días para llenarla y luego publicarla cuando esté completa.
La línea de tiempo no tiene que ver exclusivamente con los hechos que hayan marcado tu vida, tus actividades diarias también pueden tener un lugar en ella. Además, puedes agregarse algunas aplicaciones con el fin de mostrar a todos lo que estás viendo, escuchando, leyendo, o incluso cocinando. Del mismo modo, puedes ver lo que otras personas están haciendo, si también instalaron la aplicación.

En cuanto a la configuración de tu privacidad, puedes elegir si quieres que lo publicado en tu Timeline sea visible u oculto. También tienes que elegir si la línea de tiempo será visible para el público en general, sólo amigos o para ti mismo.
Con todo, la línea de tiempo parece que va a revolucionar la manera de compartir nuestros datos personales. Las reacciones a esta idea han sido mixtas. Hay algunos que no pueden esperar para probarla, mientras que otros son más reservados y piensan que la aplicación es un billete de ida a "Villa Acoso".

Por supuesto, si vas a publicar tu línea de tiempo o no depende de ti. Si decides publicarla, ten mucho cuidado al elegir quién puede verla. Si agregas gente que ni siquiera conoces a tu cuenta de Facebook, incluso a potenciales estafadores o hackers, entonces sólo estarías haciendo mucho más fáciles sus intentos de phishing.

La línea de tiempo estará disponible para todos los usuarios, pero puedes ver esta guía en Mashable si quieres conocerla desde ahora.

Fuente: http://www.seguridad.unam.mx/noticias/?noti=4879

El FBI se encargará del caso del bot Rustock: Microsoft

2011-09-23T08:43:00.000-07:00

La empresa de software, Microsoft, espera que el Federal Bureau of Investigation (FBI) detenga a uno de los redes de spam más grandes de la historia, mejor conocido como Cosma2k, y le otorga toda la evidencia.

Según fuentes de Microsoft, Cosma2k era el controlador del botnet Rustock el cual era usado para la distribución masiva de correo basura, malware y fraudes cibernéticos.

El bot Rustock fue completamente deshabilitado en meses pasados por la Unidad de Crímenes Digitales de Microsoft (DCU, por sus siglas en inglés), junto con las fuerzas federales, académicos y expertos en seguridad, pues se presume que mandaba 30,000 millones de mensajes al día.

Durante la investigación, diferentes pistas llevaron a la gente de Microsoft a Azerbaiyán, con el revendedor de los equipos en los que se usó Rustock por última vez antes que desapareciera. El vendedor dijo que el único trato con el comprador fue vía mensajes instantáneos y usaba el nombre de Cosma2k y que se ubicaba en Rusia.

Microsoft ofreció recompensas de hasta $250,000 dólares por cualquier tipo de información que llevará a identificar y arrestar al o los implicados en la manipulación del peligroso botnet Rustock.

“Hemos tenido algunas buenas pistas de algunas fuentes interesantes”, dijo Richard Boscovich, abogado senior de la DCU de Microsoft.

El gigante del software seguirá ofreciendo remuneraciones por datos que puedan servir para el caso, aunque hace entrega de toda la información al FBI que ya abrió una cuenta correo electrónico especial para recibir pistas: MS_Referrals@ic.fbi.gov

Según el blog Hacking Expose, el ciberdelincuente Cosma2k, cuyo supuesto nombre es Dmitr A. Sergeev, tenía aspiraciones de trabajar en Google pues había mandado su currículo, a la empresa del navegador, con ese fin.

Cabe señalar que no está claro que Sergeev sea el verdadero distribuidor de spam, pues esta teoría sólo está basada en que el ruso tenía como nombre de usuario de correo electrónico Cosma2k.

Fuente: http://www.bsecure.com.mx/ultimosarticulos/el-fbi-se-encargara-del-caso-del-bot-rustock-microsoft/

Intel adopta nuevas medidas de seguridad para la informática del futuro

2011-09-23T08:41:00.000-07:00

Ya sea en la nueva categoría de portátiles denominada Ultrabook, como en la fabricación de los diferentes tipos de chips, Intel destaca la necesidad de desplegar nuevas metodologías de seguridad asociadas a los procesadores para acabar con el panorama actual de virus y amenazas en cada uno de los dispositivos.

Muchas han sido las novedades anunciadas por Intel en base a la reciente celebración de su evento IDF 2011 (Intel Developer Forum), el cual tiene lugar anualmente en San Francisco (USA). En varias ocasiones he tenido la oportunidad de acudir, y ciertamente, el evento es un anticipo a las novedades tecnológicas que posteriormente son presentadas. En esta última edición, nadie duda de que los productos estrella han sido los nuevos equipos definidos como Ultrabook. Ahora bien, la palabra seguridad ha estado presente en todas y cada una de las presentaciones llevadas a cabo por sus principales directivos. Por un lado, tanto los Ultrabook, como los nuevos equipos que estén basados en procesadores Intel Core (Sandy Bridge en la actualidad e Ivy Bridge el próximo año), van a incorporar la tecnología de seguridad Intel Anti Theft, con la que se ofrecen medidas adicionales ante posibles robos o pérdidas de equipo, con el fin de poder desplegar el borrado remoto de datos o información relevante.

Otra característica de los nuevos chips es Intel Identity Protection Technology (IPT). Se trata del sistema de autentificación segura que favorece todo lo relacionado con las transacciones seguras en entornos de comercio electrónico, además de proteger la identidad del usuario en todo momento.

El otro gran anuncio ha sido sin duda la tecnología DeepSAFE, fruto del trabajo de estos años realizado por Intel y su subsidiaria McAfee. Aunque todavía es pronto para indicar qué productos serán los primeros en implementarlo, resulta interesante la nueva filosofía con la que Intel concibe la seguridad en la informática del futuro. De hecho, DeepSAFE se desliga del sistema operativo, ya que se trata de una capa adicional de protección que quedará ubicada entre la CPU y el sistema operativo instalado en el equipo. Por lo que entendemos, se trata de un componente de software de inspección que actuará desde fuera, independientemente del sistema operativo, con el fin de que no haya sido posible corromper o alterar su función. La tecnología McAfee DeepSAFE utiliza prestaciones de hardware que ya se encuentran en los actuales procesadores de Intel. Desde este punto de vista, puede aplicar nuevas técnicas de protección en tiempo real y anticiparse a cualquier tipo de actividad maliciosa.

En el mercado de servidores, los procesadores Intel Xeon E5 basados en Sandy Bridge, entrarán en fase de producción antes de que finalice el año. Estos chips cuentan con modelos de hasta 8 núcleos por cada CPU, e integran igualmente instrucciones de seguridad orientados al mercado de los servidores.

La informática del futuro, incluyendo la de los terminales móviles o Smartphone, pasa por la necesidad de poder ofrecer un entorno más seguro para los usuarios. En este campo de dispositivos móviles, Intel se encuentra por detrás de otros fabricantes de chips como Qualcomm o ARM. Sin embargo, parece depositar grandes esperanzas en asociar la seguridad a sus chips, lo que le podría introducir rápidamente en mercados como el de los teléfonos móviles inteligentes o Tablets.

Fuente:http://www.idg.es/pcworldtech/Intel-adopta-nuevas-medidas-de-seguridad-para-la-i/doc113496-seguridad.htm

XSS en el chat de Skype para iOS permite robar contactos

2011-09-23T08:39:00.000-07:00

Si eres uno de los que utiliza Skype en iOS debes extremar las precauciones de seguridad, ya que se ha descubierto una vulnerabilidad de XSS con el que un atacante puede robar la libreta de direcciones con todos los contactos.

Todo lo necesario para explotar esta vulnerabilidad es simplemente un mensaje de chat con el exploit de XSS. Segúnn TechCrunch, el problema fue encontrado por Phil Purviance, quién dice que esta vulnerabilidad fue descubierta hace un mes.

El atacante enviará un mensaje de chat a la víctima mediante Skype, el cual lo estará utilizando en un terminal iPhone, iPad o iPod Touch. Tan pronto como la víctima ve el mensaje, el código "malicioso" empieza a ejecutarse en el dispositivo móvil. El atacante recibirá información, como puede ser la ansiada libreta de direcciones, las cookies, etc. Una vez esa información está en manos del atacante puede sentarse con un café a filtrar los datos y ver lo que ha conseguido. El siguiente video presenta una demostración de como se puede llevar a cabo el proceso del robo de información en Skype.

El fallo es totalmente de Skype, y nada tiene que ver Apple en esta ocasicón. Además, como piropo a los chicos de Cupertino se ha de decir que, gracias a como se ha diseñado iOS, "sólo" determinados archivos, incluyendo la libreta de direcciones, son vulnerables. Skype está trabajando para solucionar el problema de seguridad, el cual esperan atajar de manera inminente con un parche. Skype 3.0.1 y versiones anteriores son vulnerables a este XSS.

¿Cómo se realiza el ataque de XSS?

El problema radica en que Skype no filtra correctamente los nombres de los perfiles de los usuarios, un problema clásico en los chats vía web, por lo que si un usuario malintencionado inserta algo del estilo <iframe src=' ' onload=alert('hola')> (cerrando previamente con > el nombre) cuando inicie un chat con otro usuario ejecutará dicho código sobre el iOS remoto. Sencillo y efectivo, así que ten cuidado.

Fuente: http://www.seguridadapple.com/2011/09/xss-en-el-chat-de-skype-para-ios.html

Proponen que el robo de datos por Internet se prevea en el Código Penal Argentino

2011-09-23T08:35:00.000-07:00

En el Senado Nacional, fue presentado un proyecto de ley que propone que la sustracción de datos personales a través de Internet constituya un delito autónomo dentro del Código Penal, contemplando sanciones que podrían llegar hasta los dos años de prisión.

El proyecto de ley fue presentado por los senadores pampeanos María Higonet y Carlos Verna, quienes procuran regular en el plano nacional un delito que ya se encuentra legislado internacionalmente.

La iniciativa contempla modificar el artículo 157 bis del Código Penal en lo vinculado a la sustracción de datos personales, con el fin de que se reprima la conducta de quien engañe, por cualquier medio, a otro para obtener indebidamente datos personales, financieros o confidenciales.

Específicamente, el comportamiento que los senadores pretenden encuadrar es la utilización del método conocido como phishing, que consiste en engañar al usuario de Internet para que crea que opera dentro de un sitio seguro de su entidad financiera y, así, revele una serie de contraseñas, números de tarjetas de crédito, o cualquier tipo de información bancaria que luego serán utilizadas para defraudar.

De esta manera, se sugirió la sanción por medio de multas que van desde $10.000 hasta $100.000 , o bien, penas que irían de un mes hasta dos años de prisión a quien “mediante cualquier forma de ardid o engaño, indebidamente obtuviere o captare datos personales, financieros o confidenciales”, según la redacción propuesta por el proyecto.

Asimismo, uno de los propulsores de la iniciativa, el senador Higonet, consideró que “es necesaria la tipificación de esta conducta por ser la raíz y el acto preparatorio de otro tipo de delitos vinculados al fraude electrónico, como la transferencia de activos de cuentas bancarias, acceso indebido a casilla de correos electrónicos y diversos delitos relativos al robo de identidad”.

Fuente:http://www.informaticalegal.com.ar/2011/09/15/proponen-que-el-robo-de-datos-por-internet-se-prevea-en-el-codigo-penal-argentino/

Arresta FBI hackers de LulzSec y Anonymous, uno de ellos es un vagabundo

2011-09-23T08:33:00.000-07:00

El FBI arrestó en Estados Unidos a dos ciberdelincuentes presuntos miembros de los grupos hackivistas, Anonymous y LulzSec. Asimismo, se realizaron cateos en Nueva Jersey, Montana y Minnesota, según dijo un oficial del FBI a la cadena de noticias Fox News.

Se presume que uno de los detenidos es Cody Andrew Kretsinger de 23 años, miembro de LulzSec y acusado a principios de año del ciberataque contra la división de Sony Picture Entertainment, en el que se comprometieron más de 4.5 millones de datos confidenciales.

El joven hacker cuyo nombre en línea era “recursion” fue acusado por un gran jurado federal de conspiración y uso inapropiado de una computadora protegida usando servicios de proxy a través del sitio hidemyass.com.

Recursion y otros copartícipes, presuntamente comprometieron el sistema de Sony y robaron decenas de miles de solicitudes de información confidencial, para posteriormente publicarla en su página web y en Twitter, según un comunicado del FBI.

Además de la detención de Kretsinger, miembros del FBI de Los Angeles arrestaron a un presunto miembro del grupo Anonymous de San Francisco, que resultó ser un vagabundo y que se le relaciona con los hackeos hechos a sitios del gobierno local del Condado de Santa Cruz.

Aunque aún no se han dado detalles sobre el nombre, nacionalidad o edad de este supuesto hacker. Diversos medios especializados aseguran que el hackivistas podría haber realizado los ataques en computadoras públicas, como las colocada en escuelas, cibercafés o centros de conexión.

El grupo LulzSec publicó en Pastebin “Irrumpimos en SonyPictures.com y extrajimos información personal de más de un millón de usuarios, incluyendo contraseñas, correos electrónicos, direcciones, fechas de nacimiento y todos los datos relacionados con sus cuentas”.

Con el fin de evadir la aplicación de la ley, Kretsinger borró los discos duros utilizados para llevar a cabo el ataque Sony, según dice la acusación.

En los últimos meses se han dado varios golpes a estos grupos hacktivistas, con arrestos en todo el mundo principalmente en Estados Unidos y Gran Bretaña.

Fuente: http://www.bsecure.com.mx/ultimosarticulos/arresta-fbi-hackers-de-lulzsec-y-anonymous-uno-de-ellos-es-un-vagabundo/

De hacker a ejecutivo tech: el ataque como carta de presentación

2011-09-23T08:31:00.000-07:00

Los casos de hackers que tras hacerle la vida imposible a las empresas TIC más prestigiosas acaban trabajando para ellas (o para la competencia) llenan portadas. ¿Es la norma?

Si no puedes vencer a tu enemigo, únete a él. Esta máxima parece estar en la mente de muchos jefes de recursos humanos de empresas TIC que, tras sufrir los ataques perpetrados por algún hacker (normalmente todavía en edad de instituto), en vez de perseguir al malhechor le ofrecen un trabajo. Eso le ocurrió, por ejemplo, a Chris Putnam, que tras juguetear con Facebook haciendo que pareciese MySpace y otras fechorías, acabó con un contrato en la red social. Eso sí, hasta que no lo firmó no las tenía todas consigo de que no se tratara de una trampa y no fuese a acabar en la cárcel.

Claro que no todas las empresas tienen esa filosofía y son capaces de contratar a alguien que, muchas veces con la única intención de exponer agujeros de seguridad para que los corrijan, les ha hecho perder mucho dinero. No obstante, aunque no vengan de la empresa atacada, sí es cierto que muchos de estos hackers ven cómo junto con las demandas llegan algunas ofertas de trabajo. ¿Es la forma más rápida de conseguir empleo en una gran empresa tech? ¿La vía tradicional está siendo abandonada?

Por supuesto, los expertos en seguridad y los grandes ejecutivos de compañías advierten de que se trata tan solo de casos muy puntuales, y de que un 99% de los hackers lo único que consiguen son problemas legales. Sin embargo, las noticias de hackers reconvertidos en honrados trabajadores no hacen más que llegar. A veces trabajan para sus víctimas, a veces para la conferencia, y otras veces son contratados por el mismo Gobierno o se reconvierten en periodistas.

Víctimas comprensivas: Facebook y Apple

Para ofrecer un trabajo a alguien que te ha atacado o simplemente ha traspasado todas tus medidas de seguridad para hacer algún cambio en tus productos es necesaria una combinación de visión estratégica de negocio y actitud poco vengativa. Facebook y Apple hicieron gala de estas dos características al contratar a Chris Putnam y Peter Hajas respectivamente.

El primero, Putnam, saltó a la fama en 2005, cuando, junto con sus amigos Marcel Laverdet y Kyle Stoneman, creó varios gusanos que cambiaban la apariencia de los perfiles de Facebook afectados para parecerse a otras webs como MySpace. El problema fue que el gusano también borraba alguna información de las cuentas afectadas, por lo que Dustin Moskovitz, cofundador de Facebook, le escribió a Putnam para decirle que lo del cambio de apariencia sí, era divertido, pero borrar datos no lo era. A partir de ahí empezaron a intercambiar emails, hasta que Putnam le comentó que tenía una entrevista de trabajo en Silicon Valley, a lo que Moskovitz contestó con una oferta para una entrevista en Facebook.

Los casos de hackers que tras hacerle la vida imposible a las empresas TIC más prestigiosas acaban trabajando para ellas (o para la competencia) llenan portadas. ¿Es la norma?

El mismo Putnam cuenta la historia en Quora, y asegura que al ser una época en la que muchos hackers habían acabado con problemas legales por fechorías menores él estaba un poco asustado. “Entré en el ascensor, subí al segundo piso donde me había quedado con Dustin, las puertas se abrieron y Dustin -y no policías -apareció delante de mí. Fue un gran alivio”, indica Putnam, que desde ese momento, a principios de 2006, trabaja en la red social.

Otro caso sonado fue el de Peter Hajas, creador de la aplicación MobileNotifier, un sistema de notificaciones para dispositivos iOS hackeados, que enamoró tanto a los usuarios como a los propios ejecutivos de Apple: conclusión, en junio de este año, Hajas anunció que se iba a California a trabajar en una “compañía de frutas”. Su perfil de Facebook lo dejó claro: Hajas está en prácticas en Apple.

La víctima denuncia, la competencia contrata

Por supuesto, no todas las compañías tienen la buena fe de ofrecer un trabajo a los hackers que han logrado entrar en su sistema, pero eso no significa que estos no vayan a conseguir ofertas. En este sentido, uno de los casos más recientes es el de George Hotz, conocido como Geohot, y autor de pequeñas hazañas como desbloquear el iPhone para que funcionase con cualquier operadora o hackear la PlayStation 3. Esto último le valió una demanda de Sony que finalmente se saldó con un acuerdo, además de provocar que todas las miradas se centraran en él tras el ataque sufrido por la Playstation Network el pasado mes de abril. Geohot negó tener algo que ver, y en mayo ya estaba trabajando en Facebook.

Michael Mooney, Mikeyy, tenía 17 años cuando en 2009 creó un gusano que tuvo a Twitter en jaque durante unos días. Su objetivo, según aseguró más tarde, no era hacer ningún daño a la red de microblogging, sino hacer que se dieran cuenta de una vulnerabilidad del sitio que podía ser explotada por hackers con peores intenciones. Mooney aseguró también que al principio había contactado directamente a Twitter para alertarles del problema, pero no recibió respuesta y la vulnerabilidad seguía ahí, por lo que optó por la vía del ataque. Desde Twitter no le llegó ninguna oferta de trabajo, pero sí desde un par de compañías: ahora trabaja en exqSoft Solutions, una empresa de desarrollo de aplicaciones web que quiso hacerse con él en cuanto vio lo que había hecho.

Otras salidas: de asesor gubernamental a periodista

Pero no todos los hackers con historias de éxito acaban trabajando en alguna empresa tech. Jeff Moss, por ejemplo, jefe de seguridad del ICANN y asesor de seguridad informática en la Administración de Obama, era conocido en el universo hacker por ser el fundador de sus dos conferencias más importantes: Black Hat y DEF CON. Antes de eso, por supuesto, hizo sus pinitos en el mundo hacker manipulando teléfonos para poder llamar gratis y creando modos de saltarse las protecciones anti-copia de videojuegos. Del resto de sus hazañas, se supone que más grandes, prefiere no hablar ahora que está en el lado de los buenos.

Otro camino sorprendente es el tomado por Kevin Poulsen, que lejos de seguir de alguna forma metido en el mundo del código, en el que llegó a ser uno de los cibercriminales más conocidos de Estados Unidos, estar perseguido por el FBI y servir un tiempo en prisión, decidió dejar atrás todo ese universo y reconvertirse en periodista. Poulsen es ahora editor senior de la revista Wired y no quiere saber nada de su pasado criminal.

¿Es ser hacker una vía rápida para lograr un trabajo en el mundo tech? La atención mediática recibida por estos casos parece decir que sí. Expertos e incluso hackers reconvertidos dicen que no: es necesario mucho talento, mucha suerte y víctimas comprensivas. Ser demandado por empresas del calibre de Sony o Nintendo no debe de ser agradable, y menos sabiendo que la demanda no siempre llega acompañada de una oferta de trabajo.

Fuente: http://www.siliconnews.es/2011/09/21/de-hacker-a-ejecutivo-tech-el-ataque-como-carta-de-presentacion/

Casi la mitad de las empresas ha sufrido más de 25 ataques en 2 años

2011-09-23T08:28:00.000-07:00

El coste de los ataques dirigidos por ingeniería social de las empresas oscila entre 18.000 y 73.000 euros

Un informe elaborado por Check Point revela que el 48% de las empresas han sufrido más de 25 ataques de ingeniería social en los últimos dos años, siendo las principales fuentes de ataque el phishing y las redes sociales.

Estos ataques han cambiado, además, el modus operandi. Si antes iban dirigidos a personas con información delicada o con acceso a la misma, ahora recurren a diversas técnicas y aplicaciones para obtener esta información.

El estudio advierte que la mayoría de estos ataques pueden pasar desapercibidos por la omnipresencia de la Web 2.0 y las tecnologías móviles. También influye la poca familiarización de los empleados y contratistas con las políticas corporativas de seguridad, que aumenta la exposición a estos ataques.

”Los empleados deberían ser la primera línea de defensa”, advierte Oded Gonda, vicepresidente de productos de seguridad de red de Check Point.

El coste de los ataques podría oscilar entre los 18.00 y los 73.000 euros, teniendo en cuenta factores como la disrupción del negocio, la pérdida de ingresos y daños en la marca.

Para evitar estas pérdidas, el estudio advierte que el desarrollo de políticas de seguridad y programas de formación. Las compañías deberán de prestar más atención a estas cuestiones, ya que sólo el 34% de las empresas las promueven.

Fuente:http://www.siliconnews.es/2011/09/22/casi-la-mitad-de-las-empresas-ha-sufrido-mas-de-25-ataques-en-2-anos/

Reto Forense Ekoparty 2011: Analiza un iPad y quédatelo

2011-09-21T21:04:00.001-07:00

Dragon (@dragonJAR), alma de la Comunidad DragonJar ha planteado un divertido Reto Forense sobre iPad en la presente edición de la Ekoparty. El objetivo es analizar una imagen de un iPad para conseguir resolver un misterio que está basado en situaciones muy reales. Para hacer más fácil la resolución de la competicón, antes ha publicado una serie de artículos de obligada lectura para los analistas forenses.

- Análisis Forense iOS: Fase de evaluación

- Análisis Forense iOS: Fase de adquisición

- Análisis Forense iOS: Fase de análisis

- Análisis Forense iOS: Fase de informes

Además, el miércoles, dentro de los Workshops de la Ekoparty, dará un resumen de los mismos, que serán el lanzamiento del reto que completará con una charla en el track de conferencias. Tanto si quieres competir por el iPad, como practicar informática forense, te recomendamos el juego. Para ello, bájate la imagen y prepara tu entorno.

La contraseña será liberada más tarde, pero nosotros actualizaremos este post, y lo sacaremos por la cuenta twitter de informática64 para que puedas jugar. En tu casa y en el reto podrás utilizar lo que quieras, herramientas manuales, o kits profesionales como Oxygen Forensics, y probarte a tí mismo en este tipo de disciplinas. Aquí tienes toda la información del reto.

Escenario Planteado

El iPad del reto

Diego Armando Quintero, un estudiante de Ingeniería de Sistemas de la Universidad de Manizales, Colombia, lleva 3 días desaparecido, sus familiares desconocen su paradero y temen lo peor ya que el grado para obtener el titulo como ingeniero de sistemas se realizó hace 2 días y siguen sin tener noticias de él.

Julian Quintero, mientras buscaba el paradero de su hermano, recibió una llamada de un amigo, en la que le avisaba que había visto el iPad que su hermano Diego se había ganado en un concurso universitario, en una casa de empeño, el cual pudo identificar fácilmente ya que tenia un sticker de la comunidad DragonJAR y un trozo de velcro en su parte posterior.

Este iPad es la única pista que tiene la familia Quintero, para saber lo sucedido con Diego Armando, y el resultado de su análisis es de vital importancia para resolver este caso.

Objetivo del reto

El objetivo de este reto, es realizar el análisis forense al iPad encontrado en la casa de empeño; Para ello se entrega una imagen del sistema iOS, la cual debe ser analizada y resolver los siguientes puntos.

A. Determinar si Diego Armando Quintero se suicido, lo secuestraron, lo asesinaron, lo robaron o si su desaparición es voluntaria.

B. Si fue un suicidio, identificar las causas que hicieron que Diego Armando, se suicidara.

C. Si fue un homicidio, determinar el autor y el motivo por el cual se cometió el asesinato.

D. Dar una ubicación aproximada del cuerpo de Diego Armando, si se suicido o fue asesinado.

E. Si fue un robo determinar donde se realizó y quienes lo cometieron.

F. Si su desaparición fue voluntaria, determinar los motivos de esta y la razón por la que no asistió a su grado.

G. Determinar como llego el iPad a la casa de empeño.

Al tratarse de un reto diseñado para ser resuelto en un máximo de 3 días (duración de la EKO Party), no se pedirán informes ejecutivos y solo se debe entregar un informe técnico detallado que respalde las respuestas a las preguntas planteadas, el cual tendrá una calificación máxima de 100 puntos, distribuidos de la siguiente forma:

A. 30 Puntos – Metodología, Procedimiento y Documentación

B. 30 Puntos – Evidencia y Correlación con el Caso

C. 20 Tiempo de Entrega (el primero 20 puntos y a los siguientes se les restara de a 5 puntos, según el orden de llegada)

D. 20 Puntos – Extras (para las personas que realizaron algo más de lo que nosotros solicitábamos, que aporte a la investigación)

NOTA IMPORTANTE: El archivo entregado a los analistas corresponde a una copia logica de la raiz del sistema iOS que contiene el iPad, ya que por motivos logisticos y de distribucion, se decidío no hacer una copia bit a bit del dispositivo (con un tamaño de 16GB), pero el analista debe trabajar con ella como si de una copia bit a bit se tratara, conservando adecuadamente la cadena de custodia.

La imagen del reto, la podrás descargar del siguiente enlace y la clave la daremos a la hora de presentar el reto en la EKO Party:

Descargar imagen (1.07GB ) del reto “Analiza un iPad y GANATELO!!!” de la ekoparty 2011

Analiza1iPad.zip (Hash de MD5: 09b992b05d9343bcead8320ffebda5c4 Hash SHA1: 7f8a2405cba66c958ce7d405e5696d5327831dac)

Diego Armando.zip (Hash de MD5: ff05c2d92ddf0a0547a821c66a264471 Hash SHA1: df39d4ad1284b313003073341572e8b0742104b0)

Tiempos de Entrega

El reto inicia el día 21 de Septiembre desde el anuncio realizado y el tiempo de entrega máximo del informe técnico, es hasta el día viernes, 23 de septiembre, a las 11:00AM. Solo se reciben informes al correo forense@ekoparty.org y los tiempos de entrega, serán los mismos de llegada en la bandeja de este correo.

Nota Personal

Una iniciativa muy interesante de parte de la comunidad, puede ser que este miembro de DragonJAR sea ahora otra victima de la delincuencia organizada.

Fuente:http://www.seguridadapple.com/2011/09/reto-forense-ekoparty-2011-analiza-un.html?utm_source=feedburner&utm_medium=feed&utm_campaign=Feed:+Seguridadapple+%28SeguridadApple%29

Spring Security – Introducción a la seguridad declarativa

2011-09-21T21:01:00.001-07:00

Esta va ser la primera de las n entradas que vamos a dedicar a Spring Security. Para los que todavía no lo conocen, Spring Security es uno de los framework de seguridad J2EE más populares y completos usado por parte de instituciones, empresas e universidades muy importantes.

Con Spring Security es bastante trivial incorporar la infraestructura básica de seguridad en una aplicación ya implementada sin necesidad de escribir ni una línea de código gracias a su naturaleza no invasiva.

Además, posee componentes ya implementados que permiten la integración con sistemas externos con mucha facilidad. Inicialmente fue basado en el proyecto Acegi Security, que con los años se fue convirtiendo en un producto robusto y maduro, actualmente miembro de la familia de productos Spring. Debido a que muchos de los conceptos como la inyección de dependencias y programación orientada a aspectos los hereda de Spring, es aconsejable que tengamos nociones básicas de las mismas.

La seguridad de la aplicación en sí se considera como un requisito transversal, y por lo tanto se puede encapsular en forma de aspecto y más tarde aplicarse de forma declarativa en cualquier punto de nuestra aplicación. Spring Security ofrece módulos que aíslan ese tipo de lógica, permitiendo además que la aplicación tenga una arquitectura robusta, limpia y débilmente acoplada.

Otro de los elementos que ayuda a que los componentes de nuestra aplicación tengan acoplamiento bajo es el patrón de diseño llamado inyección de dependencias. En vez de que las clases se encarguen de obtener sus propias referencias, éstas son instanciadas e inyectadas desde una entidad externa llamada contenedor. El bajo acoplamiento también se consigue con las interfaces. Es importante que los objetos conozcan sus referencias a través de las interfaces, ya que se consigue ocultar la implementación y cambiarla sin necesidad de tocar la referencia. Para cualquier proyecto no trivial es casi un patrón de uso obligatorio. Para más información se puede consultar el manual de Spring.

Como esta entrada va a ser mera introducción teórica, no vamos a entrar en los detalles de configuración y puesta en marcha del framework, sino simplemente conocer la arquitectura básica y todas las posibilidades que nos ofrece.

Spring Security trata dos aspectos de seguridad fundamentales: autorización e autenticación. Para eso ofrece toda una serie de filtros que se encargan de interceptar las peticiones HTTP y aplicar procesamientos de índole variada antes de que estas alcancen el destino final. Como símil pensemos por un momento en la cebolla y las capas que la forman: para llegar al corazón es necesario quitar todas las capas. De la misma forma, la petición tiene que pasar por toda la cadena de interceptores antes de alcanzar el destino. En la plataforma J2EE los filtros son artefactos representados por la interfaz javax.servlet.Filter, y a menudo combinados en la cadena de filtros a través de la interfaz javax.servlet.FilterChain siguiendo un orden determinado. Así, por ejemplo, antes de que al usuario se le acceda acceso a un recurso determinado como puede ser una página o invocación a un método, el primer filtro de la cadena se encargará de comprobar si el usuario está autenticado en el sistema. El siguiente paso consiste a partir de la entidad determinar si el usuario tiene permisos suficientes para acceder al recurso, etc. Spring Security ofrece su propia abstracción de la cadena de filtros, permitiendo crearlo dinámicamente a través del fichero de configuración como veremos en las entradas siguientes.

La protección de los métodos de la capa de negocio se realiza a través de aspectos y se puede securizar la invocación al método, antes y después. Las llamadas a los métodos se protegen utilizando anotaciones Java estándar, o bien mediante declaraciones de puntos de corte para la protección global de los servicios.

Para el proceso de autenticación tenemos a nuestra disposición un gran número de mecanismos, y además la posibilidad de extender el propio framework y crear nuestro propio proveedor de autenticación. Los datos que precisa el proveedor para la correcta autenticación de los usuarios se pueden almacenar en memoria (útil en las fases de desarrollo o pruebas sencillas), bases de datos relacionales, repositorios LDAP, sistemas OpenID o Kerberos entre otros. Para el usuario queda totalmente transparente la forma de autenticación, por lo que en una aplicación funcionando en entorno de producción podemos cambiar el tipo de autenticación sin tocar el propio código.

Las posibilidades de Spring Security no acaban aquí. En los proveedores de autenticación que utilizan las bases de datos relacionales es posible incrementar el nivel de protección de las contraseñas a través de algoritmos de encriptación adicionales. Además, ofrece técnicas para el control de sesiones y nos protege de ataques que pueden provocar el robo de las mismas. Para algunos servicios como el remember me, login o logut, dispone de componentes ya implementados y listos para usarlos en nuestras aplicaciones.

Fuente:http://www.securityartwork.es/2011/09/21/spring-security-%E2%80%93-introduccion-a-la-seguridad-declarativa/?utm_source=feedburner&utm_medium=feed&utm_campaign=Feed:+SecurityArtWork+%28Security+Art+Work%29

Los ciberdelincuentes, atraídos por Angry Birds

2011-09-21T20:59:00.001-07:00

Angry Birds, el popular juego en el que una bandada de pájaros tiene que recuperar los huevos robados por una piara de cerdos, es el último reclamo por el que se han sentido atraídos los ciberdelincuentes.

Según informa BitDefender, una tienda online que vendía souvenirs de Angry Birds ha visto cómo su página web ha sido hackeada e infectada con malware a fin de afectar a los usuarios que entraran en ella.

No obstante, al parecer no han sido muchos los usuarios que se han visto afectados por esta acción gracias a que los administradores de la web fueron capaces de eliminar el ataque en breve tiempo.

Según BitDefender, el malware que se había almacenado en la página web era un troyano diseñado para robar datos de los ordenadores de los usuarios.

Fuente: http://www.idg.es/pcworldtech/Los-ciberdelincuentes_-atraidos-por-Angry-Birds/doc113425-seguridad.htm

A los cibercriminales les gusta la comida rápida

2011-09-21T20:57:00.001-07:00

Los cibercriminales están utilizando el lema “I’m loving it” de McDonald’s como gancho para sus estafas a través de la red.

Kaspersky Lab denuncia el envío masivo de correos electrónicos remitidos supuestamente por la cadena de comida rápida McDonald’s, en el que se informa al usuario que participe en una encuesta a cambio de 60 euros.

Bajo el lema “I’m loving it” añaden además un enlace que lleva a una página con una encuesta de satisfacción del cliente. Piden el número de tarjeta de crédito, la fecha de caducidad y el código CVV para poder recibir los 60€ prometidos en un principio.

La dirección a través de la que se emiten los correos es mcdonalds@mcdonaldss.com, por lo que los expertos de Kaspersky advierten que hay que fijarse en la “s” adicional para identificar que se trata de una estafa.

Recomiendan también visitar el site oficial de la empresa en cuestión si se tiene algún tipo de duda sobre la procedencia del correo además de la actualización del antivirus que se haya instalado en el equipo.

Fuente: http://www.siliconnews.es/2011/09/19/a-los-cibercriminales-les-gusta-la-comida-rapida/

Alertan de Spitmo, un troyano bancario para Android

2011-09-21T20:54:00.003-07:00

Cada vez es más frecuente que los usuarios accedan a servicios de banca online desde sus smartphones y tablets, los ciberdelincuentes lo saben y por eso han diseñado una variante de SpyEye capaz de interceptar los datos en dispositivos Android.

Se trata del troyano Spitmo que logra colarse en los teléfonos y tablets Android a través de falsas páginas web que simulan ser los sites de las principales entidades bancarias.

Cuando el usuario visita esta página falsa aparece un mensaje en el que se le insta a descargar una aplicación de seguridad con el objetivo de evitar la intercepción de mensajes. Si el internauta no se percata de que la web que está visitando no es realmente la de su banco y accede a instalar la aplicación, Spitmo tiene todas las de ganar ya que tendrá vía libre para introducirse en el dispositivo.

Una vez que el troyano ha logrado entrar en el sistema comienza a interceptar todos los SMS que recibe el usuario, también los que le envía su entidad bancaria para verificar la identidad del usuario y recibir su autorización cuando se realizan operaciones.

De esta forma, Spitmo es capaz de obtener datos personales relativos a los servicios de banca online de sus víctimas y enviarlos a servidores externos.

Este troyano es una variante de SpyEye, un malware para PC conocido por su capacidad para “robar datos de operaciones bancarias online y engañar a los usuarios, haciéndoles creer que están realizando operaciones válidas, pero que terminan con el dinero en las manos de los ciberdelincuentes”, según explican los expertos en seguridad de ESET.

Fuente: http://www.theinquirer.es/2011/09/20/alertan-de-spitmo-un-troyano-bancario-para-android.html

Ciberataque acaba con DigiNotar: se declara en bancarrota

2011-09-21T20:54:00.001-07:00

La empresa holandesa DigiNotar que en días pasados se vio en vuelta en un escándalo mediático tras enfrentar el ciberataque y eventual robo de más de 531 certificados SSL (Secure Sockets Layer) de sitios web como Facebook, Google, Yahoo, Microsoft, la CIA, MI6, entre otros, se declaró en bancarrota.

El comunicado fue liberado por Vasco, empresa norteamericana proveedora de autentificaciones y propietaria de DigiNotar. En él se menciona que las pérdidas sufridas en el ataque del pasado julio, hecho supuestamente por el ciberdelincuente conocido como ComodoHacker, habían sido considerables.

Al paso de los días desde el ataque ocurrido la confianza en DigiNotar se desvaneció y firmas como Google, Microsoft, Mozilla y Apple tomaron medidas de seguridad para sus navegadores Chrome, Internet Explorer, Firefox y Safari con las que dejaron de aceptar certificados emitidos por la compañía holandesa.

“Aunque estamos tristes por esta acción y por las circunstancias, era algo que se necesitaba”, dijo T. Kendall Hunt, CEO y presidente de la mesa directiva de Vasco.

En el anuncio, Hunt hizo énfasis de que lo sucedido a DigiNotar no afecta directamente a la empresa Vasco, “queremos recordarle a nuestros clientes e inversionistas que el incidente sufrido por nuestra compañía DigiNotar no tuvo impacto en la autentificación tecnológica. Las infraestructuras tecnológicas se encuentran completamente separadas, esto quiere decir que no hay riesgo de infección para Vasco”.

El vicepresidente ejecutivo y CFO de Vasco dijo que se está trabajando por cuantificar los daños ocurridos en el ciberataque ejecutado contra el sistema de DigiNotar y que pronto darán a conocer el rango de pérdidas que tuvo la empresa de certificación.

Mientras tanto Jan Valcke, presidente y COO de Vasco enfatizó que la compañía no tiene planeado reincorporarse a dar certificados SSL en el futuro cercano. Mencionó que de la empresa recién quebrada simplemente incorporarán algo de la tecnología que se tenía.

Fuente: http://www.bsecure.com.mx/featured/ciberataque-acaba-con-diginotar-se-declara-en-bancarrota/

Vulnerabilidades de Bluetooth cada vez más fáciles de explotar

2011-09-21T20:52:00.001-07:00

Codenomicon advierte a los consumidores sobre la mala calidad y seguridad de los equipo Bluetooth.

Los resultados se basan en pruebas de robustez de Codenomicon, las cuales usan un modelo inteligente de herramientas basadas en fuzzing, en 80% de las pruebas realizadas a varios dispositivos Bluetooth se hallaron fallas críticas. Todos los dispositivos fallaron en al menos un conjunto de pruebas sobre un perfil crítico de comunicación.

"Conjuntamente con nuestros socios, este año realizamos pruebas a diez diferentes kits para auto que cuentan con Bluetooth habilitado", dijo Ari Takanen, director de tecnologías de Codenomicon. "Encontramos fallas críticas en todos ellos".

Bluetooth es particularmente vulnerable a datos de entrada incorrectos. Éstos pueden causar que la operación del dispositivo Bluetooth sea lenta, muestre un comportamiento inusual o falle completamente.

En el peor caso, las entradas incorrectas de datos pueden ser usadas por un atacante externo para obtener acceso no autorizado al dispositivo Bluetooth.

Cuando las vulnerabilidades son en perfiles de comunicación de bajo nivel como L2CAP, los dispositivos no están protegidos por el proceso de emparejamiento. Estas fallas críticas pueden aprovecharse sin que el usuario las acepte, e incluso sin que note siquiera la conexión.

Hasta el momento, la calidad y seguridad de Bluetooth no había sido percibida como un problema. El proceso de emparejamiento y las pruebas de conformidad están pensados para proveer suficiente protección; como las aplicaciones Bluetooth no ofrecen acceso a información confidencial, la realización de ataques a la interfaz Bluetooth ha provocado poca motivación.

Sin embargo, Bluetooth se está haciendo más y más fundamental. Kits modernos para auto y equipos para el cuidado de la salud, por ejemplo, usan tecnología Bluetooth. Cuando el número de aplicaciones críticas se incrementa, la importancia de robustez y fiabilidad del equipo también lo hace.

"Bluetooth es usado principalmente en productos de consumo y los consumidores tienden a comprar lo más barato sobre lo de mejor calidad. A menos que los consumidores exijan que se realicen pruebas a los equipos, los fabricantes no están obligados a crear código seguro", concluye Takanen. "Ojalá que los reportes de pruebas como las que realizamos ayuden a cambiar el comportamiento del mercado y que eventualmente resulten equipos Bluetooth en los que podamos confiar".

Fuente:http://www.seguridad.unam.mx/noticias/?noti=4871&utm_source=twitterfeed&utm_medium=twitter

Hackean al mayor contratista de defensa de Japón

2011-09-21T20:51:00.001-07:00

(cc) mashleymorgan

Mitsubishi Heavy Industries, la mayor empresa proveedora de elementos de defensa en Japón, fue víctima de un ciberataque que tuvo acceso a información sobre submarinos, misiles y plantas nucleares.

“No podemos descartar que se haya filtrado otra información, pero por el momento datos cruciales sobre nuestros productos o tecnologías se han mantenido a salvo. Hemos encontrado que algunas informaciones del sistema, como direcciones IP, han sido filtradas y eso ya es escalofriante”, señaló un vocero de la empresa a la agencia Reuters.

Aproximadamente 80 sistemas de la empresa fueron infectados con malware en las oficinas centrales de Tokyo, incluyendo las divisiones dedicadas a la investigación y desarrollo. La empresa se enteró del ataque el 11 de agosto, pero no se informó sobre la seriedad del problema hasta hace pocos días, lo que le ha valido el reproche de distintos sectores a la empresa.

La compañía no tiene pistas respecto de quién podría estar detrás de los ataques. Sin embargo, ante la especulación de que el responsable podría ser China, un vocero de ese país salió a descartar los rumores.

“El gobierno chino se ha opuesto consistentemente a los hackeos. Las leyes lo prohíben estrictamente (…) Criticar a China como la fuente de hackeos no sólo no tiene fundamento, sino que no es bueno para promover la cooperación internacional para la seguridad de internet”, dijo el vocero chino Hong Lei.

Cualquier filtración de información clasificada puede resultar en grandes multas para Mitsubishi Heavy Industries. El año pasado, la empresa consiguió 215 contratos para trabajar en proyectos por un total de 260.000 millones de yenes (US$3.397 millones), muchos en conjunto con Estados Unidos y la empresa Lockheed Martin, que también fue hackeada hace unos meses.

Los casos de hackeos a gobiernos y entidades relacionadas parecen estar volviéndose frecuentes, por lo que todo indica que habrá que invertir más en esta área si se quiere que los secretos sigan manteniéndose como tales.

Fuente: http://www.fayerwayer.com/2011/09/hackean-al-mayor-contratista-de-defensa-de-japon/