18 de enero de 2015

NSA. Preparada para la guerra mundial cibernética, según Der Spiegel

El semanario alemán detalla el funcionamiento del programa Politerain, que fue desvelado por Edward Snowden
La profecía de McLuhan que en 1968 pronosticó que la tercera guerra mundial sería una  “guerra de guerrillas de información” que implicaría, sin distinciones a los militares y a la población civil ha adquirido una peligrosa actualidad a causa de un programa secreto que puso en marcha la famosa y polémica Agencia Nacional de Seguridad (NSA) y que fue bautizada con el nombre de “Politerain”, que oculta un eficaz ejercito de francotiradores cibernéticos, un exclusivo grupo de guerrilleros que forman parte de la operación que lleva el nombre de TAO (Tailored Acces Operations).
La tropa de guerrilleros tiene como única misión, manipular y destruir ordenadores enemigos, acabar con sus discos duros y descubrir, en último término como piensa y qué herramientas utiliza el enemigo.
El programa que se puso en marcha hace ocho años hizo posible que el ejército de francotiradores cibernéticos lograra diseñar estrategias de combates en Internet destinados a infiltrar y paralizar las redes de ordenadores enemigas y, de esta forma, tener acceso al suministro de agua potable, electricidad, fábricas, aeropuertos y transacciones de pago y capitales. La existencia de Politerain fue descubierta por el exagente de la NSA, Edward Snowden, y varios documentos que resumen el trabajo del programa fueron examinados por la revista Der Spiegel, que publica este sábado un amplio reportaje bajo un título sugerente: “Escalada controlada”.
“Los servicios secretos ya no se ocupan solo del espionaje. Documentos de Edward Snowden muestran que desean dominar Internet y se preparan para una guerra digital”, señala el semanario que revela que los espías digitales trabajan en servicios secretos que forman la llamada “Alianza de los Cinco Ojos”, integrada por Estados Unido, Reino Unido, Canadá, Nueva Zelandia y Australia.
Los documentos en poder de Snowden revelan que la NSA es consciente de que el próximo gran conflicto mundial se iniciará en Internet, una certeza que convenció a la agencia a solicitar un aumento sustancial en su presupuesto para reforzar el “potencial de ataque” en las operaciones en cubiertas destinadas a invadir redes de ordenadores enemigas.
Los documentos señalan que uno de los ataques más exitosos realizados por la NSA fue la utilización del virus Stuxnet para paralizar el programa atómico de Irán. Otra herramienta desarrollada por los guerreros cibernéticos de la NSA fue el virus Regin, con el que se intentó infiltrar la red de ordenadores de la cancillería alemana. El virus también fue utilizado para espiar a la Comisión Europea.
La NSA y sus aliados también han utilizado los ataques cibernéticos que han padecido en carne propia para utilizarlos en su provecho bajo un lema bélico apropiado: “¡Robad sus herramientas, su know-how, sus víctimas y sus resultados!”. Por ejemplo, la respuesta que dio la NSA, cuando una de sus unidades de espionaje cibernético detectó el robo de datos en el Pentágono. El equipo de expertos de la NSA logró detectar la dirección IP en Asia, una pista que finalmente les llevo a localizar el inicio del ataque en China. El contraataque fue fulminante y exitoso. Los espías lograron descubrir el resultado del ataque chino, pero también descubrieron que el gigante asiático era el responsable de un ataque que sufrió Naciones Unidas
El núcleo duro de los espías de la NSA trabaja, bajo el código S321, en el Remote Center Operation ubicado en Fort Meade, en el Estado de Maryland, ocupa la tercera planta de uno de los edificios principales del complejo y, en varios turnos, vigilan sus ordenadores las 24 horas del día.
“La prioridad de la NSA son los ataques y no la defensa”, admitió Snowden en una entrevista reciente, al referirse a la nueva estrategia de la agencia que vigila y, cuando puede, ataca junto con sus aliados del grupo Cinco Ojos, a todos los demás países que no pertenecen a ese exclusivo grupo de espionaje, incluidos Alemania y España.
Fuente: El País.com

JUEGOS DE GUERRA . Maniobras de ciberguerra a ambas orillas del Atlántico

EE UU y Reino Unido lanzan ejercicios conjuntos y equipos mixtos de expertos para responder a la oleada de ataques informáticos
A lo largo de 2015 los poderosos sectores financieros de Estados Unidos y Reino Unido, posiblemente el Banco de Inglaterra y Wall Street, serán objeto de un simulacro de ciberataque.
 El primero de una serie de ejercicios conjuntos entre los servicios de espionaje, que se producirán en el marco de un acuerdo “sin precedentes” entre los dos aliados, para poner a prueba los mecanismos de seguridad en las “infraestructuras nacionales críticas” ante la amenaza de los cibercriminales.
Así lo confirmaron el viernes en Washington el primer ministro británico, el conservador David Cameron, y el presidente estadounidense, Barack Obama. “Dado el urgente y creciente peligro de los ciberataques, hemos decidido expandir nuestra cooperación en ciberseguridad para proteger nuestra infraestructura más crítica, nuestros negocios y la privacidad de nuestros pueblos”, dijo Obama.
A renglón seguido, el primer ministro británico coincidió en la necesidad de forjar una estructura conjunta que pueda proteger “mejor” a sus países ante los ciberataques, en referencia al asalto atribuido a Corea del Norte contra la compañía Sony a finales de año o el que esta semana afectó a la cuenta en Twitter del Mando Central de EE UU, lanzado presuntamente por simpatizantes del Estado Islámico (EI).
Cameron, que ya adelantó los planes conjuntos de ambos aliados antes de reunirse con Obama, ha intensificado, tras el ataque contra el semanario francés Charlie Hebdo, su campaña para lograr que los Gobiernos dispongan de más poderes para acceder a la actividad en Internet de los sospechosos de terrorismo, y busca aliados en su empeño.
Precisamente el viernes, la policía británica detuvo a un presunto hacker de 18 años, en una operación conjunta con el FBI en Southport, al noroeste de Inglaterra. La detención se enmarca en la investigación de los ciberataques sufridos por PlayStation y Xbox, las plataformas de videojuegos de Sony y Microsoft, respectivamente, las pasadas navidades. La policía británica declaró que espera seguir su colaboración con el FBI. La puesta en marcha de “ejercicios de guerra cibernética”, ha explicado Cameron a la BBC, persigue mejorar el flujo de información entre los dos países sobre estas amenazas. Se crearán “cibercélulas” mixtas, compuestas por personal del MI5 y el FBI.
Los planes de ambos Gobiernos incluyen dedicar fondos, cuyo monto se desconoce, a entrenar “la próxima generación” de ciberagentes, y becas para investigadores en ciberseguridad de los dos países, que empezarían el próximo año. Según el primer ministro británico, Reino Unido ya está preparado para un ciberataque y el GCHQ (organismo que vigila las comunicaciones) dispone de “grandes expertos”, pero hay aún mucho trabajo por hacer. Cameron intentó obtener de Obama el compromiso de aumentar la presión a las grandes compañías de Internet, como Facebook o Twitter, para que intensifiquen su cooperación con los servicios de inteligencia para rastrear las comunicaciones encriptadas de los sospechosos de terrorismo.
Fuente: El País.com

SEGURIDAD VERSUS PRIVACIDAD. Reino Unido propone prohibir la mensajería cifrada para combatir el terrorismo

Las comunicaciones cifradas impiden que se pueda interceptar los mensajes que emplean estos métodos de seguridad. Algunas aplicaciones, como WhatsApp o iMessage de Apple, son virtualmente imposibles de franquear. El primer ministro británico ha manifestado su oposición a que se mantenga esta situación, especialmente tras la reacción al atentado contra la publicación francesa Charlie Hebdo por parte de terroristas yihadistas.
“No podemos permitir esta situación”. Expresamente David Cameron se ha referido con estas palabras al hecho de que ni siquiera con una orden judicial se puede acceder al contenido de los mensajes que intercambian usuarios de plataformas de mensajería como WhatsApp, iMessages, Snapchat y similares.
El sistema de cifrado que emplean diversas herramientas impide la vulnerabilidad de las comunicaciones entre sus usuarios, algo que aprovechan quienes tendrían graves problemas si la autoridad conociese el contenido de sus mensajes. A nadie nos gusta que husmeen sin nuestro conocimiento ni autorización en nuestras llamadas o mensajes, pero lo normal es que si las fuerzas de seguridad leyesen nuestros emails no terminásemos detenidos. Esa es la diferencia, quizá, que hay quien sí tendría realmente problemas legales si alguien tuviese acceso a sus correos electrónicos o, en este caso, mensajes enviados a través de los distintos sistemas que permitan el cifrado.
Dentro de los tipos de cifrado hay algunos que son virtualmente inquebrantables, no hay ordenador capaz de romper los códigos que protegen la información que se intercambia como no sea a lo largo de miles de años o incluso de siglos de trabajo continuo. Y es precisamente este tipo de cifrados el que David Cameron pretende prohibir, algo que en la práctica parece complicado y que desde luego no va a ser una medida bien recibida ni fácil de implementar llegado el casi, aunque ya tenemos al primer mandatario de una nación importante abogando por esta medida que para muchos es la última frontera de la privacidad en la Red.
Más información
Fuente: The Inquirer

ANDROID. Mil millones de dispositivos de este SO. no reciben actualizaciones de seguridad

iOS y Android, dos sistemas operativos frente a frente con una gran cantidad de diferencias. Una de ellas es sin lugar a dudas el soporte que se da a las versiones existentes, y en este aspecto Apple sale victoriosa. No solo posee una fragmentación muy reducida de iOS sino que las actualizaciones de seguridad y de estabilidad del sistema operativo alcanzan a casi la totalidad de los dispositivos existentes, algo que no es aplicable en los sistemas de Google.
Según un estudio realizado, más del 60% de los dispositivos Android que existen en la actualidad no han recibido las actualizaciones de seguridad durante el último año, demostrando que Google se ha centrado en las versiones de KitKat y Lollipop, dejando de lado por ejemplo a aquellos que ejecutan Jelly Bean. Para poner cifra a lo que estamos diciendo, más de 930 millones de usuarios tendrían un sistema operativo desactualizado y con importantes sistemas de seguridad, provocando que los datos de los usuarios puedan quedar expuestos. Sin ir más lejos esta misma semana hemos hablado de una vulnerabilidad en los ficheros manifest de las aplicaciones que permiten el bloqueo del terminal de forma remota.
Tal y como indican en MovilZona, estos dispositivos estarían al descubierto ante una nueva vulnerabilidad detectada en el componente WebView del sistema operativo.
Aunque parezca rematadamente complicado, la realidad que tenemos que afrontar es que si disponemos de un dispositivo Android la única manera de permanecer actualizados a medida que transcurre el tiempo es ir cambiando de terminal o tableta por uno o una más reciente.
Los cibercriminales tienen las de ganar ante un terminal Android desactualizado
  • A la vista del volumen de usuario con dispositivos con versiones obsoletas del sistema operativo los hackers van a centrar sus esfuerzos en explorar las vulnerabilidades que poseen estas versiones para así crear aplicaciones que sean capaces de aprovechar estas debilidades, permitiendo el robo de datos o la monitorización de la actividad del usuario al hacer uso del terminal.
  • Si no se recurre a las ROM desarrolladas por terceros para obtener alguna actualización de seguridad más, los usuarios con dispositivos que poseen la versión Jelly Bean o anteriores se han quedado de forma definitiva sin actualizaciones. Este tema siempre ha estado candente, en el que se ha culpado de igual forma tanto a los fabricantes como a los de Mountain View. Sin embargo, a este aspecto también hay que sumar los requisitos mínimos de hardware de las versiones más recientes, siendo imposible instalarlas en los dispositivos más antiguos. Sin embargo, sí que se ha buscado por parte de los usuarios de alguna forma realizar presión para que el Gigante de Internet porte al menos las actualizaciones de seguridad a las versiones más antiguas, sin ningún tipo de éxito.
Fuente: Softpedia

ANDROID. Vulnerable indefinidamente con versión inferior a KitKat

Google no va a desarrollar más parches de seguridad para las versiones de Android inferiores a la 4.4 'KitKat'.
Esa fue la respuesta que recibieron, por parte del equipo de seguridad de Android, investigadores independientes, cuando enviaron una nueva vulnerabilidad encontrada en el componente WebView que afectaba a versiones anteriores a 'KitKat'.
La seguridad de Android en cifras  
  • Según la propia Google, 'KitKat', el sistema aun soportado, representa el 39,1% de la base de usuarios de Android. El resto son versiones anteriores sin soporte directo, lo cual se traduce en millones de dispositivos vulnerables, 930 millones en cifras del investigador Tod Beardsley de Metasploit.
  • Sigamos con Tod, interlocutor en este caso con el equipo de seguridad de Android y quien expuso la respuesta que le ofrecieron desde Google. Beardsley, uno de los desarrolladores más activos de Metasploit, comenta en el blog de Rapid7 como solo Metaploit, suite de explotación de vulnerabilidades, contiene hasta 11 exploits orientados a sacar partido a distintos fallos documentados en el componente WebView. Este componente, del que hemos hablado varias veces en Una-al-Día, permite incrustar contenido web en cualquier aplicación Android nativa sin necesidad de que el usuario tenga que abrir un enlace en el navegador web.
  • WebView se basa en el motor WebKit para "dibujar" el contenido web. WebKit posee un espectacular historial de errores de seguridad que arrastra a cada aplicación o componente software que hereda su funcionalidad, a eso añádase los fallos propios del software que haga uso de WebKit (el caso de WebView). Google ya incluía WebKit hasta la versión 28 de Chrome, siendo reemplazado por "cuestiones técnicas" por el motor de renderizado Blink, fork de WebKit promovido por Google y Opera. A partir de 'KitKat' WebView se apoya en Chrome para generar el contenido web, motivo en parte por el cual las vulnerabilidades en WebView afectan a versiones anteriores a 'KitKat'.
  • Vamos a quitarle algo de hierro a las doscientas toneladas de inseguridad que tenemos en ciernes matizando la repuesta. Google no se niega a publicar más parches para versiones antes de 'KitKat', simplemente no va a desarrollarlos salvo en el caso de "…otros componentes, como por ejemplo reproductores multimedia…". Esto quiere decir que salvo que el parche les llegue de un tercero no van a mover un dedo para echar tierra en el agujero. O eso o esperar a que sea el propio fabricante el que produzca y publique un parche para sus usuarios.
  • Android representa un paradigma abierto respecto de otras soluciones cerradas como iOS. El código es abierto, compartido y usado por terceros como sistemas para el hardware que producen. Es un interesante juego de tensiones e intereses, Google ha dejado parte de la pelota en el terreno de los fabricantes, a los que quizás les pide más apoyo y compartir responsabilidad a la hora de dejar a los usuarios expuestos.
  • Por otro lado queda el sentimiento de abandono y obsolescencia prematura que pueden sentir los usuarios a los que les toca la parte rancia de la tarta que representa más del 60%. Una porción que puede llegar a costarles una indigestión.
Más información:
Fuente: Hispasec

SPOTLIGHT. Un fallo de la aplicación provoca fuga de información de usuarios de Apple

Spotlight ha sido una apuesta firma por parte de Apple permitiendo una mejora en la velocidad de obtención de resultados de búsqueda. Sin embargo, un fallo de seguridad en esta aplicación ha salpicado su gran utilidad para los usuarios.
Todo este problema comienza con algo bastante habitual en el mundo de los spammers: los correos de confirmación. Estos correos poseen un archivo de imagen que tiene la capacidad de comunicar a un servidor si el correo electrónico se ha abierto, permitiendo de esta forma que los ciberdelincuentes conozcan qué cuentas de correo están activas y con qué frecuencia se consulta la bandeja de entrada. Estas imágenes contenidas no son visibles para los usuarios, ya que en muchos casos solo poseen el tamaño de un píxel, evitando que estos puedan verlas.
Aunque la aplicación de correo Apple Mail permite el bloqueo de estas imágenes anulando por completo la finalidad de estas, la aplicación Spotlight no posee dicho bloqueo y al indexar todo lo relacionado con los correos también se produce una fuga de información adicional vinculada a este problema.
Información que los ciberdelincuentes pueden recibir gracias a Spotlight
  • Entre los datos que el complemento de Apple es capaz de filtrar se encuentran la dirección IP que en ese momento posee el equipo, el navegador web que se está utilizando y la versión del sistema operativo.
  • La información sustraida permitiría que los ciberdelincuentes sean capaces de diseñar un ataque mucho más personalizado, sobre todo a la hora de que el usuario resulte engañado por un correo electrónico, permitiendo la instalación de un virus en el ordenador o bien redirigir a este a una estafa que propicie el robo de la cuenta de algún servicio.
Recomendación
  • Evidentemente esto ya se ha puesto en conocimiento de los de Cupertino pero hasta el momento la respuesta ha sido inexistente.
  • Sin embargo, existe una posibilidad para que los usuarios puedan prevenir este problema y es desactivar Spotlight o bien que la aplicación sea capaz de indexar los correos electrónicos y sus contenidos.
Fuente: Softpedia

RED STAR. Sistema operativo de Corea del Norte que permite ejecución de comandos con privilegios

Con la disponibilidad del sistema operativo en varios portales de descargas este ya ha sido objeto de varios análisis realizados por expertos del sector, mostrando que este sistema basado en Linux no tiene nada de diferente con respecto a los otros, al menos en lo referido a problemas de seguridad.
Para hacernos un poco a la idea de la exclusividad que existía hasta este momento, solo 1000 direcciones IP se identificaban con el nombre de este sistema operativo, todas ellas ubicadas en Corea del Norte. Esto permitía desde un punto estratégico disfrutar de ventajas a la hora de predecir y protegerse frente a ataques, ya que estos no conocían las debilidades de su sistema operativo. Pero a pesar de todos los esfuerzos esto ha dejado de ser así y ya no cuentan con esa ventaja, o al menos con las versiones 3.0 y 2.0 de Red Star.
Varios expertos en temas de seguridad han comenzado el análisis del sistema operativo y se han encontrado con varios fallos de seguridad.
Red Star permite la ejecución de comandos con permisos de administrador
  • El fallo de seguridad más importante encontrado hasta el momento hace referencia al gestor de dispositivos, conocido con Udev. Tanto en la versión 3.0 como 2.0 se permite desde el escritorio la edición de variables de entorno, permitiendo que una persona que carezca de permisos de administrador pueda editar y crear estas variables y hacer que se ejecuten siempre que se conecte al equipo un nuevo dispositivo.
  • Esta vulnerabilidad podría ser explotada tanto de forma remota como accediendo de forma física al equipo.
  • Relacionado con lo anterior es la próxima vulnerabilidad, ya que se ha detectado la presencia de una puerta trasera que podría haberse colocado a propósito (ya sabemos lo obsesionados que están en ese país con el espionaje) permitiendo el control del equipo, la ejecución de comandos y la monitorización de la actividad, permitiendo sobre todo el control de los paquetes de red que se envían y recibe el equipo.
Fuente: Softpedia

MOZILLA. Lanza Firefox 35 y corrige 10 nuevas vulnerabilidades

Mozilla ha anunciado la publicación de la versión 35 de Firefox, junto con nueve boletines de seguridad destinados a solucionar 10 nuevas vulnerabilidades en el propio navegador, el gestor de correo Thunderbird y la suite SeaMonkey.
Detalle de la actualización
  • Firefox 35 entre otras novedades incluye la tienda de aplicaciones Mozilla (Firefox Marketplace), el soporte nativo para H264 (MP4) en Mac OS X Snow Leopard (10.6) y superiores, mejoras en el servicio de videollamadas Hello, reducción del uso de recursos para imágenes escaladas y también se ha actualizado PDF.js a la versión 1.0.907.
  • Por otra parte, se han publicado nueve boletines de seguridad (tres de ellos considerados críticos, uno importante, cuatro moderados y un último de gravedad baja) que corrigen 10 nuevas vulnerabilidades en los diferentes productos Mozilla:
  1. MFSA 2015-01: Boletín considerado crítico por diversos problemas de corrupción de memoria en el motor del navegador (CVE-2014-8634 y CVE-2014-8635).
  2. MFSA 2015-02: Soluciona una vulnerabilidad de gravedad alta debido al uso de memoria sin inicializar en la representación de imágenes (CVE-2014-8637).
  3. MFSA 2015-03: Boletín de carácter moderado, que corrige un problema con navigator.sendBeacon() que podría dar permitir ataques Cross-site request forgery (XSRF) (CVE-2014-8638).
  4. MFSA 2015-04: Corrige una vulnerabilidad de gravedad de gravedad moderada que podría permitir la inyección de cookies (CVE-2014-8639).
  5. MFSA 2015-05: Soluciona una vulnerabilidad de gravedad moderada por una lectura de memoria sin inicializar en Web Audio (CVE-2014-8640).
  6. MFSA 2015-06: Soluciona una vulnerabilidad considerada crítica por un uso después de liberar en WebRTC (CVE-2014-1551).
  7. MFSA 2015-07: Boletín de carácter alto que permite escapar de la sandbox GMP (Gecko Media Plugin) en sistemas Windows (CVE-2014-8643).
  8. MFSA 2015-08: Soluciona un problema de impacto bajo, por un fallo en el reconocimiento de la extensión id-pkix-ocsp-nocheck por OCSP (Online Certificate Status Protocol) (CVE-2014-8642).
  9. MFSA 2015-09: Destinado a corregir una vulnerabilidad de gravedad moderada que podría permitir una escalada de privilegios debido a que determinados objetos DOM podrían evitar XrayWrappers (CVE-2014-8636).
Recomendación
Más información:
Fuente: Hispasec

ADOBE FLASH PLAYER . Boletín de seguridad

Adobe se suma a Microsoft y publica esta semana una actualización para Adobe Flash Player que soluciona nueve vulnerabilidades que podrían tomar el control del sistema afectado.
Recursos afectados
Las vulnerabilidades afectan a las versiones de:
  1. Adobe Flash Player 16.0.0.235 (y anteriores) para Windows y Macintosh
  2. Adobe Flash Player 13.0.0.259 (y 13.x anteriores) para Windows y Macintosh
  3. Adobe Flash Player 11.2.202.425 (y anteriores) para Linux
  4. Adobe AIR 15.0.0.356 (y anteriores).
Detalle de la actualización
  • Esta actualización, publicada bajo el boletín APSB15-01, resuelve un error de validación de ficheros con impacto desconocido (CVE-2015-0301), otro error que permitiría capturar las pulsaciones de teclado (CVE-2015-0302).
  • Múltiples errores de corrupción de memoria (CVE-2015-0303, CVE-2015-0306), desbordamientos de memoria intermedia basado en 'heap' (CVE-2015-0304, CVE-2015-0309), un error de confusión de tipos (CVE-2015-0305) y una vulnerabilidad de tipo 'use-after-free' (CVE-2015-0308) que podrían permitir la ejecución remota de código arbitrario.
  • También soluciona una lectura fuera de límites que podría dar lugar a divulgación de información o denegación de servicio (CVE-2015-0307).
Recomendación
  • Adobe ha publicado las siguientes versiones de Adobe Flash Player destinadas a solucionar las vulnerabilidades, y que se encuentran disponibles para su descarga desde la página oficial:
  1. Flash Player Desktop Runtime 16.0.0.257
  2. Flash Player Extended Support Release 13.0.0.260
  3. Flash Player para Linux 11.2.202.429.
  4. Adobe AIR desktop runtime 16.0.0.245
  5. Adobe AIR SDK y AIR SDK & Compiler 16.0.0.272
  6. Adobe AIR para Android 16.0.0.272
  • Igualmente se actualizarán automáticamente a la versión 16.0.0.257, Flash Player para Google Chrome e Internet Explorer en Windows 8.x.
Más información:
Fuente: Hispasec

SAMBA. Elevación de privilegios

Se ha identificado una vulnerabilidad en algunas versiones de SAMBA que puede ser explotada para obtener una elevación de privilegios. Dicha vulnerabilidad se ha catalogado de Importancia:2 - Baja
Recursos afectados
  • Todas las versiones de Active Directory Domain Controller de SAMBA (incluída la 4.0.0 y pre-releases).
Detalle e impacto de la vulnerabilidad
  • Samba Active Directory Domain Controller permite a un administrador delegar la creación de usuarios y cuentas a otros usuarios o grupos específicos. El problema reside en que no todas las versiones publicadas implementan el chequeo adicional del bit UF_SERVER_TRUST_ACCOUNT en el atributo userAccountControl.
  • Se ha reservado el CVE-2014-8143 para esta vulnerabilidad
Recomendación
Más información
Fuente: INCIBE

ARBITER SYSTEMS 1094B GPS CLOCK. Manipulación del reloj GPS

 Arbiter Systems ha identificado una vulnerabilidad de «spoofing» del reloj GPS en los modelos 1094B, que se ha catalogado de Importancia: 3 - Media
Recursos afectados
  • El modelo 1094B de GPS Substation Clock.
Detalle e impacto de la vulnerabilidad
  • A través del fallo, el cual es explotable de manera remota, un atacante puede conseguir afectar a la precisión del reloj.
  • Se ha reservado el identificador CVE-2014-9194 para esta vulnerabilidad.
Recomendación
  • En caso de que un reloj 1094B haya sido comprometido, se puede recuperar reemplazando la batería interna del receptor.
  • Además, Arbiter Systems ha creado una nueva línea de productos, la serie 1200, que no es vulnerable a este tipo de ataque.
Más información
Fuente: INCIBE

PROFICY HMI/SCADA - CIMPLICITY. Violación de acceso a memoria

El investigador Said Arfi ha identificado una vulnerabilidad de violación de acceso a memoria en la aplicación CIMPLICITY CimView de GE, que se ha catalogado de Importancia: 4 - Alta
Recursos afectados
  • Proficy HMI/SCADA–CIMPLICITY, Version 8.2 y anteriores.
Detalle e impacto de la vulnerabilidad
  • El fallo reside en la manera en la que los componentes CIMPLICITY CimView y CIMPLICITY CimEdit procesan la información almacenada en los ficheros .CIM, de manera que un fichero de ese tipo, que haya sido especialmente manipulado, puede derivar en una violación del acceso a memoria y permitir a un atacante ejecutar comandos arbitrarios en el sistema afectado.
  • Se ha reservado el CVE-2014-2355 para la vulnerabilidad.
Recomendación
GE ha desarrollado una actualización para mitigar la vulnerabilidad.
  1. Proficy HMI/SCADA – CIMPLICITY 8.1 SIM 29 (DN4219), disponible en http://support.ge-ip.com/support/index?page=dwchannel&id=DN4219
  2. Proficy HMI/SCADA–CIMPLICITY 8.2 SIM 26 (DN4197), disponible en http://support.ge-ip.com/support/index?page=dwchannel&id=DN41
En los casos en los que la actualización no sea factible, se recomienda seguir los siguientes pasos:
  • Tomar las medidas necesarias para proteger los ficheros .CIM.
  • Evitar el uso de ficheros .CIM recibidos de orígenes desconocidos.
  • Evitar enviar ficheros .CIM desprotegidos a través de redes sin cifrar o Internet.
  • Valorar la utilización de un algoritmo para validar la integridad de los ficheros .CIM para asegurarse de que no hayan sido modificados.
Más información
Fuente: INCIBE

MALWARE. Utilizan el virus Chanitor para instalar el troyano Vawtrak

Los ciberdelincuentes han publicado una nueva versión del troyano bancario Vawtrak, distribuyéndose gracias a el malware Chanitor, que también se encuentra muy extendido.
El segundo de ellos es una popular aplicación maliciosa que se está distribuyendo utilizando correos electrónicos spam y sitios web infectados, permitiendo una vez que se ha instalado de forma correcta la llegada de más virus informáticos al equipo. 
Proceso de infección
  • Los correos electrónicos que poseen a Chanitor como archivo adjunto indican que se han realizado compras no autorizadas con la tarjeta crédito o utilizando una cuenta existente en algún servicio, como por ejemplo la Apple Store. 
  • De esta forma, se obliga al usuario a consultar una factura adjunta que este acepta descargar. Sin embargo, al abrir el archivo se produce la instalación del malware en el equipo, aunque hay que decir que si existe en este una herramienta de seguridad activa la instalación podría detenerse de forma satisfactoria.
  • Tal y como es habitual en estos casos los equipos afectados son Windows, desde las versiones de XP hasta las más recientes de Windows 8.1.
El servidor de control de Chanitor está localizado en la red TOR
  • Nuevamente el debate está abierto. Las ventajas de la red TOR no se aprovechan de forma legítima y una vez más nos encontramos con la presencia de un servidor de control de un virus ubicado en esta red, evitando de esta forma que pueda desconectarse. Este servidor permite a Chanitor recibir órdenes, descargas de más contenidos malware que se instalarán en el equipo y también actualizaciones para mejorar sus funciones y mejorar la compatibilidad con las últimas versiones de los sistemas operativos Windows.
Vawtrak es capaz de manipular sesiones en los navegadores web
  • En lo referido a la variante de Nerverquest, hay que confirmar que posee muchas mejoras con respecto a la versión anterior, instalando en el navegador un complemento que permite conocer en qué momento se accede a páginas de banca en línea para realizar una modificación de la ruta de navegación del usuario en función del sitio web visitado, desviando esta hacia páginas web falsas donde el usuario introducirá los datos de acceso para posteriormente ser recopilados en un servidor propiedad de los ciberdelincuentes.
  • Sin embargo, tal y como ya hemos comentado, la presencia de este pasa por disponer de una herramienta de seguridad que detenga la instalación del primero, ya que Vawtrak actualmente no se está distribuyendo utilizando otras vías.
Fuente: Softpedia

CIBERDELINCUENCIA. Los propietarios de TorrentLocker consiguen 224.000 dólares pormes

Según algunas informaciones se estima que TorrentLocker habría recaudado 224.000 dólares en un mes.
O lo que es lo mismo, 398 euros por cada usuario que haya decidido “recuperar” los datos cifrados de su disco duro. Y es que no hay que olvidarse de considerarlo como una mezcla de CryptoLocker juntocon otras características propias de CryptoWall. esto quiere decir que cuando el troyano llega al equipo y una vez que este comienza a ejecutarse se produce un cifrado parcial del disco duro, impidiendo que el usuario pueda acceder a estos archivos. Esto significa que para recuperar el acceso (o al menos eso se dice aunque no siempre funcione) se debe abonar una cierta cantidad de dinero para que de forma remota los ciberdelincuentes realicen el descifrado.
224.000 dólares o 190.000 euros por mes es el beneficio que actualmente están consiguiendo los hackers gracias a TorrentLocker.
Personal de seguridad de TrendMicro ha detectado que un monedero de Bitcoin ha tenido una actividad frenética desde el pasado mes de noviembre, contabilizando hasta 1.200 transacciones en poco más de un mes. La transferencia del dinero se hace utilizando la red TOR, garantizando de esta forma el anonimato de los ciberdelincuentes. También han añadido que la mayoría de los usuarios afectados pertenecen a Australia, siendo una minoría la que actualmente se encuentra repartida por el resto de los países.
La ingeniería social ha sido clave para difundir TorrentLocker
  • De nuevo la astucia de los ciberdelincuentes ha sido clave para engañar a tantos usuarios. El mensaje de correo electrónico más difundido utilizaba la imagen del gobierno australiano para solicitar a los usuarios el abono de una cuantía que desde hace año se debía. Sin embargo, al descargar el impreso donde a priori se debía rellenar los datos con la información bancaria para enviarlo posteriormente al órgano de gobierno los usuarios descargaban el instalador del virus, provocando su posterior instalación en el equipo, de ahí que la mayoría de los equipos pertenezcan a ese país.
Fuente: Softpedia

LINUX. Detectadas graves vulnerabilidades en el kernel

Recientemente se han detectado una serie de vulnerabilidades críticas en el núcleo de Linux que afectan a la seguridad de los usuarios y pueden comprometer la integridad del sistema operativo. Estas vulnerabilidades podrían generar un ataque DoS que dejara sin servicio a los usuarios del sistema e incluso ganar privilegios de acceso al mismo para poder llegar a tomar el control de él y de los datos.
Recursos afectados y solución 
  • La versión actual del Kernel es la 3.18.2 (sin contar con la 3.19 Release Candidate). Todas las versiones anteriores de la rama 3.18 son vulnerables ante estos fallos de seguridad detectados. Igualmente las versiones anteriores con soporte han sido actualizadas cada una a su versión correspondiente. El nuevo Ubuntu 14.10, por ejemplo, utiliza la rama de Kernel 3.16.0, cuya versión actualizada y segura que se está distribuyendo es la 3.16.0-29.39. Al igual ocurre con las demás distribuciones de Linux con kernels diferentes.
  • Los sistemas Ubutnu 12.04, Ubuntu 14.04 y Ubuntu 14.10 recibirán el correspondiente parche para los kernel por defecto del sistema operativo a través del centro de software y actualizaciones del sistema operativo, sin embargo, si los usuarios han instalado manualmente una nueva versión del kernel deberán descargar, compilar e instalar la nueva igualmente de forma manual para solucionar las vulnerabilidades.
  • Esta actualización obliga a todos los usuarios que tengan módulos del kernel desarrollados por terceros (controladores, ajustes de rendimiento, etc) a volver a compilarlos todos para el nuevo kernel, por lo que es muy importante hacer copia de seguridad de los datos y contar con el tiempo suficiente para este proceso. Una vez se instale la nueva versión del kernel el sistema ya volverá a estar seguro.
Fuente: Redeszone.net

VIOLACION DE DATOS. Factores fundamentales que los evitan

McAfee, que ahora forma parte de Intel Security, lanzó hoy un nuevo informe sobre prevención de amenazas proactiva incluye respuesta en tiempo real, inteligencia integrada y ocho indicadores de ataques clave.
Una encuesta encargada por Intel Security y llevada a cabo por Evalueserve, junto con el informe, indica que la mayoría de las empresas no confían en su capacidad para identificar a tiempo los ataques dirigidos.
Algunos de los descubrimientos clave son:
  • El 74 % de las personas encuestadas informó que los ataques dirigidos son una de las principales preocupaciones en sus organizaciones.
  • El 58 % de las organizaciones investigó 10 o más ataques el último año.
  • Sólo el 24 % de las compañías confían en su capacidad de detectar un ataque en minutos y un poco menos de la mitad informó que tardarían días, semanas o incluso meses antes de observar un comportamiento sospechoso.
  • El 78 % de las organizaciones que pueden detectar ataques en minutos contaban con un sistema de información de seguridad y gestión de eventos (SIEM, Security Information and Event Management) proactivo y en tiempo real.
  • La mitad de las compañías encuestadas reveló que cuenta con las herramientas y las tecnologías adecuadas para proporcionar una respuesta a incidentes más rápida, pero con frecuencia no se separan los indicadores fundamentales del conjunto de alertas generadas, por lo que los equipos de TI deben examinar cuidadosamente los datos de amenazas.
Debido a la importancia de identificar los indicadores fundamentales, en el informe de Intel Security se revelan las ocho actividades de ataque más comunes que las organizaciones rastrean para detectar y bloquear ataques dirigidos. De estos ataques, en cinco se encontraron eventos de rastreo durante el tiempo transcurrido, lo que muestra la importancia de la correlación contextual:
  1. Hosts internos que establecen comunicaciones con destinos malos conocidos o con un país extranjero con el que la organización no está asociada.
  2. Hosts internos que establecen comunicaciones con hosts externos a través de puertos no estándar o discrepancias de protocolos/puertos, como el envío de shells de comandos (SSH) en lugar de tráfico HTTP por el puerto 80, el puerto web predeterminado.
  3. Hosts de acceso público o zona desmilitarizada (DMZ, demilitarized zone) que establecen comunicaciones con hosts internos. Esto habilita los saltos de afuera hacia adentro y de nuevo hacia afuera, lo que permite el filtrado de datos y el acceso remoto a los activos. De este modo se neutraliza el valor de la DMZ.
  4. Detección tardía de malware. Las alertas que se detectan fuera del horario estándar de la empresa (durante la noche o el fin de semana) pueden ser indicadores de que un host corre riesgo.
  5. Los análisis de red realizados a través de hosts internos que establecen comunicaciones con diversos hosts en un período corto, que pueden revelar a un delincuente que se mueve de manera lateral por la red. Las defensas del perímetro de red, como firewall e IPS, no suelen configurarse para supervisar el tráfico de la red interna (aunque pueden configurarse).
  6. Varios eventos de alarma de un único host o eventos duplicados en diversos equipos en la misma subred en un período de 24 horas, como fallas de autenticación repetidas.
  7. Luego de limpiarse, un sistema se infecta nuevamente con malware en cinco minutos; las infecciones repetidas indican la presencia de un rootkit o un riesgo persistente.
  8. Un usuario intenta iniciar sesión en diversos recursos en pocos minutos desde diferentes regiones; es un indicador de que se han robado las credenciales del usuario o el comportamiento del usuario es indebido.
Más información
Fuente: Diarioti.com

INCIDENTES DE SEGURIDAD . Los 12 principales de 2014 por meses

ESET ha dado un vistazo a "doce meses tremendamente intensos en cuanto a ciberseguridad".
En este panorama, destacar unas amenazas o ataques sobre otros resulta una labor complicada. Sin embargo, siguiendo criterios de relevancia en cuanto a alcance, ESET España ha elaborado el “Top 12” de incidentes más relevantes por mes.
  1. Enero: WhatsApp cobró protagonismo por una serie de correos falsos que invitaban a los usuarios a descargarse una nueva versión de la popular aplicación de mensajería que, en realidad, no era más que un troyano bancario. Además, hubo nuevas filtraciones de la NSA, algo que no nos sorprendió en absoluto, ya que seguía con la misma tendencia de los últimos meses de 2013.
  2. Febrero: este mes quedó marcado como especialmente convulso para la moneda criptográfica bitcóin, ya que al cierre de Mt. Gox, uno de los mayores mercados de transacción de bitcoines, se unieron numerosos ataques tanto contra los usuarios de la moneda virtual como contra algunas de las plataformas de intercambio y operaciones encargadas de su gestión.
  3. Marzo: en marzo hubo bastante movimiento de amenazas, estafas y bulos por redes sociales y uno de los ganchos más utilizados por los ciberdelincuentes fue la desaparición del vuelo de Malaysia Airlines, MH370. Fueron muchos los enlaces de supuestos vídeos exclusivos mostrando imágenes de accidentes aéreos que se hicieron pasar por contenido relacionado con la noticia y no pocos usuarios cayeron en la trampa, haciendo clic sobre ellos y descargando malware o terminando en webs con molestas encuestas online.
  4. Abril: el mes de abril estuvo protagonizado sin duda por una de las vulnerabilidades más graves en la historia de Internet tanto por importancia como por su alcance: Heartbleed. Este agujero de seguridad encontrado en algunas versiones de OpenSSL permite a un atacante acceder a partes de la memoria de muchos servidores conectados a la red.
  5. Mayo: la brecha de seguridad más comentada durante mayo fue sin duda la sufrida por eBay. Al parecer, la empresa sufrió un ataque que logró comprometer una base de datos con contraseñas cifradas y otros datos no financieros. Esto fue posible porque los atacantes lograron obtener las credenciales de acceso de algunos empleados. Algo similar le sucedió también a Spotify.
  6. Junio: este mes estuvo marcado por el comienzo del Mundial de Fútbol en Brasil y los delincuentes no quisieron perderse la cita, por lo que prepararon todo tipo de engaños y amenazas con los que engatusar a los usuarios más desprevenidos.
  7. Julio: el conocido sistema de pago online PayPal vio cómo su sistema de autenticación de doble factor sufría un fallo que podría permitir a un atacante acceder a las 143 millones de cuentas que la compañía tiene actualmente. El agujero de seguridad se encontraba en la versión para móviles de PayPal.
  8. Agosto: este fue el mes de los casos de robo de información confidencial. Comenzó con la noticia de la filtración de unas 76.000 cuentas de desarrolladores de la fundación Mozilla. Al poco tiempo saltó la noticia de que un misterioso grupo de delincuentes rusos había robado alrededor de 1.200 millones de usuarios y contraseñas y más de 500 millones de direcciones de correo electrónico. Entre estos datos se encontraban usuarios y empresas de todo tipo, datos obtenidos del mercado negro, redes sociales o incluso procedentes de vulnerabilidades en sitios web para robar los datos de sus usuarios. Además, UPS, la mayor empresa de logística y transporte del mundo, también comunicó que había sufrido un ataque debido al cual se había robado la información bancaria de sus clientes en 51 oficinas en Estados Unidos en una operación que había durado 7 meses, entre enero y agosto. Sin embargo, el robo de datos más impactante del que tuvimos constancia fue el que se produjo en los sistemas relacionados con la investigación del vuelo MH370.
  9. Septiembre: este mes pasará a la historia por el que se ha llamado como el “Celebgate”, y es que muchas famosas, sobre todo norteamericanas, que alojaban sus fotos más íntimas en servicios en la nube vieron cómo éstas se filtraban a la opinión pública.
  10. Octubre: Poodle es como se denominó a una vulnerabilidad descubierta a mediados de dicho mes y que puso el último clavo en el ataúd del protocolo de comunicación SSL v3.0, el cual, a pesar de contar con quince años de antigüedad, sigue siendo bastante utilizado.
  11. Noviembre: este fue el mes donde se conocieron varias e importantes amenazas para sistemas operativos, como  Wirelurker, un malware diseñado para infectar a sistemas Mac OS y Windows y para robar la información de los dispositivos con iOS (iPhone principalmente) conectados al sistema infectado.
  12. Diciembre: diciembre nos sorprendió con la utilización de un viejo ejemplar de ransomware muy bien hecho y especialmente diseñado para el mercado español que se hacía pasar por un email de Correos. Técnicamente nada nuevo, pero la ingeniería social hizo que se produjeran numerosos casos de infecciones en nuestro país y que los usuarios vieran cómo su información quedaba secuestrada automáticamente. No sabemos cuántos de ellos pagaron el rescate, que iba de los 300€ a los 600€, según cuándo se hiciera el pago.
Más información
Fuente: Diarioti.com

PEERIO. Encriptador de mensajes y archivos

El miércoles se lanzaba oficialmente la beta abierta de Peerio, una nueva suite de productividad enfocada a la seguridad que intentará presentarse como una alternativa a aplicaciones consolidadas como Google Drive, HipChat o DropBox. Esto lo intentará utilizando el potente sistema de cifrado end-to-end PGP, veterano pero cada vez más popular desde que el propio Google lo implementó.
El proyecto viene de mano de Nadim Kobeissi, un desarrollador de 24 años que ya ha lanzado otros productos como Cryptocat o Minilock, que pretendían ayudar a proteger fácilmente cualquier mensaje instantáneo o archivo compartido. Con Peerio, Kobeissi fusiona los dos anteriores conceptos en un sólo producto, que ofrecerá almacenamiento en la nube y un sistema de mensajería con una interfaz que cualquier usuario de Google Drive sabrá utilizar desde el primer momento.
Acercando el PGP a todos los públicos
  • A día de hoy, la tecnología PGP es una de las mejores a la hora de cifrar nuestras comunicaciones, de hecho es de las pocas con las que la NSA aun no ha podido. Aun así, como ya os contamos hace unos meses en nuestros especiales sobre Cómo cifrarlo todo, esta tecnología tiene el handicap de ser una bastante difícil de utilizar por el usuario medio.
  • Esta suite evitará la complejidad que requiere el uso de las claves PGP pidiéndole al usuario una frase de 30 caracteres, a partir de la cual se creará una clave de 100 bits de entropía que será utilizada para encriptar nuestros documentos de forma local. Así, ni el propio servidor de Peerio ni ningún otro usuario podrá acceder a nuestros datos, pues seremos nosotros los que tengamos en nuestro ordenador la clave para descifrarlos.
  • Otro punto a favor de este servicio, es que cada vez que nos identifiquemos el sistema creará una clave única en el ordenador para poder acceder y utilizar nuestros archivos. Esta clave se eliminará automáticamente cuando salgamos del programa, de manera que no tengamos miedo de acceder a él en cualquier ciber u ordenador ajeno.
  • Además, cuando compartamos una de nuestros archivos con otras personas no perderemos el control sobre ellos, de manera que por mucho que esos compañeros los puedan difundir una y otra vez, nosotros siempre tendremos la posibilidad de bloquearlos desde nuestra cuenta.
Aprendiendo de los errores
  • Cryptocat, la anterior aplicación de mensajería de Nadim Kobeissi, acabó bastante mal después de que diferentes criptógrafos la dejasen en evidencia después de realizarle unos tests de penetración. Al parecer, a los desarrolladores se les pasaron por alto unos cuantos bugs que acabaron haciendo que no fuera tan difícil saltarse las protecciones de la app.
  • Pero el equipo de Peerio no quiere repetir los errores del pasado, y han hecho que su aplicación sea auditada por una empresa alemana experta en la materia llamada Cure53. Gracias los diferentes test de penetración realizados por esta empresa de criptógrafos, todos los bugs encontrado han podido ser solucionados antes del lanzamiento oficial de la aplicación.
Gratis y sin publicidad
  • Peerio será una aplicación gratuita y sus responsables se han comprometido mantenerla siempre limpia de publicidad por mucho que saquen en el futuro cuentas de pago con más espacio de almacenamiento para mantener el proyecto. Además, su código es abierto y está disponible para cualquiera que quiera echarle una ojeada en la plataforma Github.
  • La aplicación ocupa 1,2 GB en nuestros equipos, y tiene clientes compatibles con Windows y Mac OS X. Además, también han lanzado un cliente web para Chrome, de manera que los usuarios de Linux o Chrome OS puedan también beneficiarse de sus ventajas. Peerio también está trabajando en crear aplicaciones para Android e iOS, las cuales no deberían tardar demasiado en llegar.
Fuente: Genbeta.com

MICROSOFT. Boletines de seguridad de enero

Este martes Microsoft ha publicado ocho boletines de seguridad (del MS15-001 al MS15-008) correspondientes a su ciclo habitual de actualizaciones. Según la propia clasificación de Microsoft solo uno de los boletines presenta un nivel de gravedad "crítico" mientras que los siete restantes son "importantes". Se han solucionado ocho vulnerbailidades.
Detalle de los boletines de seguridad de Microsoft publicados
  1. MS15-001: Boletín considerado "importante" que resuelve una vulnerabilidad que podría permitir evitar la comprobación de permisos que se realiza durante la modificación de cache en el componente Microsoft Windows Application Compatibility y ejecutar código arbitrario con privilegios elevados (CVE-2015-0002). Afecta a Windows Server 2008 R2, Windows 7, Windows 8 (y 8.1) y Windows Server 2012.
  2. MS15-002: Este boletín está calificado como "crítico" y soluciona una vulnerabilidad de desbordamiento de búfer en el servicio de Telnet que podría permitir la ejecución remota de código (CVE-2015-0014). Afecta a Windows Server 2003, Windows Vista, Windows Server 2008, Windows 7, Windows 8 (y 8.1) y Windows Server 2012.
  3. MS15-003: Destinado a corregir una vulnerabilidad de elevación de privilegios considerada "importante", en la forma  en que Windows User Profile Service (ProfSvc) valida los privilegios de usuario (CVE-2015-0004). Afecta a Windows Server 2003, Windows Vista, Windows Server 2008, Windows 7, Windows 8 (y 8.1) y Windows Server 2012.
  4. MS15-004: Boletín de carácter "importante" destinado a corregir una vulnerabilidad (con CVE-2015-0016) de elevación de privilegios en el componente Windows TS WebProxy. El problema se da cuando Windows falla en limpiar adecuadamente las rutas de archivos. Afecta a Windows Vista, Windows Server 2008 R2, Windows 7 y Windows 8 (y 8.1).
  5. MS15-005: Este boletín está calificado como "importante" y soluciona una vulnerabilidad (con CVE-2015-0006) en Microsoft Word y Office Web en el servicio NLA (Network Location Awareness) que podría relajar de forma inintencionada las políticas del firewall y/o la configuración de determinados servicios. Afecta a Windows Server 2003, Windows Vista, Windows Server 2008, Windows 7, Windows 8 (y 8.1) y Windows Server 2012.
  6. MS15-006: Destinado a corregir una vulnerabilidad "importante" (CVE-2015-001) en Windows Error Reporting (WER) que podría permitir a administradores visualizar el contenido de memoria de procesos protegidos con "Protected Process Light". Afecta a Windows 8 (y 8.1) y Windows Server 2012.
  7. MS15-007: Destinado a corregir una vulnerabilidad de denegación de servicio considerada "importante" (CVE-2015-0015) en la autenticación RADIUS en Internet Authentication Service (IAS) o Network Policy Server (NPS). Afecta a Windows Server 2003 y Windows Server 2008.
  8. MS15-008: Destinado a corregir una vulnerabilidad "importante" (CVE-2015-0011) de elevación de privilegios en el controlador modo kernel WebDAV (mrxdav.sys). Afecta a Windows Server 2003, Windows Vista, Windows Server 2008, Windows 7, Windows 8 (y 8.1) y Windows Server 2012.
Recomendación
  •  Las actualizaciones publicadas pueden descargarse a través de Windows Update o consultando los boletines de Microsoft donde se incluyen las direcciones de descarga directa de cada parche. Se recomienda la actualización de los sistemas con la mayor brevedad posible.
Más información:
Fuente: Hispasec

HART COMMUNICATION DE CODEWRIGHTS. Desbordamiento de búfer

El investigador Alexander Bolshev ha identificado una vulnerabilidad provocada por la validación incorrecta de datos de entrada en las librerías CodeWrights GmbH HART Device Type Manager (DTM). Dicha vulnerabilidad se ha catalogado de Importancia:2 - Baja
Recursos afectados
  1. Versiones del DTM anteriores a la 1.5.151.
  2. Así mismo, se ven afectadas las versiones de las librerías DDCH*Lib anteriores a la 1.4.181.
Detalle e Impacto de la vulnerabilidad
  • La vulnerabilidad causa un desbordamiento de búffer en el HART provocando la parada abrupta del DTM y de la aplicación Field Device Tool. Se ha reservado el CVE-2014-9191.
  •  Entre los distribuidores de este producto se encuentran:
  1. ABB
  2. Berthold Technologies
  3. Emerson
  4. Endress+Hauser,
  5. Magnetrol
  6. Pepperl+Fuchs
  7. Referencias
  8. CodeWrights GmbH HART DTM Vulnerability
Recomendación
  • CodeWright ha desarrollado una actualización de la librería para resolver el fallo, la cual están enviando a los usuarios con contratos de soporte en vigor. Se recomienda contactar con el proveedor si se está utilizando el HART DTM para comprobar si el producto desplegado está afectado.
Más información
Fuente: INCIBE

SIMATIC WINCC SM@RTCLIENT. Vulnerabilidades de autenticación en la versión para iOS

Se han identificado varias vulnerabilidades en el sistema de autenticación de la aplicación SIMATIC WinCC Sm@rtClient, que pueden ser utilizadas por un atacante con acceso local para escalar privilegios en la propia aplicación o en los servidores con los que se comunica. Se han catalogado de Importancia:3 - Media
Recursos afectados
Están afectadas las siguientes versiones de SIMATIC WinCC Sm@rtClient:
  1. SIMATIC WinCC Sm@rtClient: Todas las versiones anteriores a V1.0.2
  2. SIMATIC WinCC Sm@rtClient Lite for iOS: Todas las versiones anteriores a V1.0.2.
Detalle e Impacto de la vulnerabilidades
  • Siemens ha identificado y corregido tres vulnerabilidades en el producto SIMATIC WinCC Sm@rtClient para iOS, que permite la operación móvil remota y observación de los sistemas SIMATIC HMI.
  • Las vulnerabilidades reportadas son:
  1. Insuficiente protección de las credenciales, el mecanismo de almacenamiento para las contraseñas podría permitir a los atacantes extraer las mismas y acceder a la aplicación si se dispone de acceso local. Se ha reservado el CVE-2014-5231.
  2. Autenticación irregular, en los casos en que una contraseña específica es validada, al volver la aplicación a primer plano no se requiere la contraseña. Se ha reservado el CVE-2014-5232.
  3. Insuficiente protección de credenciales, si se dispone de acceso local, el mecanismo implementado para procesar las credenciales en Sm@rtServer podría permitir a los atacantes extraer las mismas.
Recomendación
  • Siemens ha liberado la versión V1.0.2 de la aplicación WinCC Sm@rtClient V1.0.2 para iOS que corrige estas vulnerabilidades. Se recomienda aplicar la actualización lo antes posible. 
  • Estas actualizaciones están disponibles en iTunes:
  1. https://itunes.apple.com/gb/app/simatic-wincc-sm-rtclient/id871870286
  2. https://itunes.apple.com/de/app/simatic-wincc-sm-rtclient/id874209707
Más información
Fuente: INCIBE

VULNERABILIDAD. Validación incorrecta en DNP3 de productos GE Proficy HMI/SCADA

 El investigador Adam Crain, de Automatak, ha identificado una vulnerabilidad de validación incorrecta de datos de entrada en el driver para DNP3 de Catapult Software presente en productos GE Proficy HMI/SCADA. Se han catalogado de Importancia:4 - Alta
Recursos afectados
Los siguientes productos de GE Intelligent Platform están afectados:
  1. iFix (todas las versiones): Catapult v7.20.62.
  2. CIMPLICITY 8.2 y anteriores: Catapult v8.2.62.
  3. CIMPLICITY 9.0: Catapult v9.0.62.
  4. Proficy HMI/SCADA DNP3 I/O Driver (“DNP): Version v7.20k (Catapult v7.20.60) y anteriores.
  5. Servidores Proficy HMI/SCADA – iFIX o CIMPLICITY con el Driver I/O vulnerable instalado (incluyendo instalaciones iFIX o CIMPLICITY que sean parte de sistemas Proficy Process).
Detalle e Impacto de la vulnerabilidades
  • La vulnerabilidad puede ser explotada para generar excepciones no controladas o denegación de servicio.
  • Está localizada en la DNP master station server (DNPDrv.exe), que procesa mensajes entrantes a través del puerto Serie, IP, o Modem, no validando correctamente todas las entradas.
  • Se ha reservado el identificador CVE-2013-2811 para esta vulnerabilidad.
Recomendación
Instalar la versión 7.20L o posterior del driver DNP. Existen actualizaciones para los siguientes productos:
  1. IFix (todas las versiones): Driver DNP, versión 7.20L (7.20.62.7) o posterior.
  2. CIMPLICITY 8.2 y anteriores: Driver DNP, versión 8.2.62.7 o posterior.
  3. CIMPLICITY 9.0: driver DNP, versión 9.0.62.7 o posterior.
Más información
Fuente: INCIBE

GENERAL ELECTRIC MULTILINK SWITCH. Detectadas graves vulnerabilidades

 IoActive y General Electric anuncian vulnerabilidades que afectan a varias líneas de productos GE Multilink Switch, catalogadas de Importancia: 5 - Crítica
Recursos afectados
 Las líneas de productos afectadas son:
  1. GE Multilink ML800/1200/1600/2400 Version 4.2.1 y anteriores.
  2. GE Multilink ML810/3000/3100 series switch Version 5.2.0 y anteriores.
Detalle e Impacto de la vulnerabilidades
  • La línea de switches GE Multilink ML800 continene credenciales escritas en el código del firmware, lo que posibilita accesos no autorizados. Se ha reservado el identificador CVE-2014-5419 para esta vulnerabilidad crítica.
  • Adicionalmente, existe una vulnerabilidad de consumo de recursos en el servidor Web que permite a un atacante causar denegación de servicio a través del envío de paquetes manipulados. Se ha reservado el identificador CVE-2014-5418 para esta vulnerabilidad.
Recomendación
Para corregir la vulnerabilidad de credenciales en código y generar nuevas claves RSA, aplicar las actualizaciones de firmware según corresponda:
  1. Version 4.2.1 para la línea ML800, ML1200, ML1600 y ML2400.
  2. Version 5.2.0 para la linea ML810, ML3000, y ML3100.
Para mitigar la vulnerabilidad de denegación de servicio, se recomienda:
  • Deshabilitar el interfaz web del producto afectado desde de línea de comandos vía telnet o conexión serie.
Información adicional sobre las contramedidas y su aplicación desde:  http://www.gedigitalenergy.com/products/support/multilink/MLSB1214.pdf

Más información
Fuente: INCIBE