BIOMETRIA. De la huella dactilar al reconocimiento facial "

Realizar un pago con la huella dactilar o abrir una cuenta bancaria mediante un selfie ya es posible en España gracias a la biometría. Esta tecnología se basa en la identificación mediante rasgos o características físicas, únicos en cada persona, por lo que se convierte en una fórmula más segura que las tradicionales contraseñas.

Aunque no fue hasta el 2007 cuando los lectores de huella se instalaron en los teléfonos móviles. Acer, Toshiba o HTC, entre otros, lanzaron dispositivos con este sistema, pero pasaron desapercibidos hasta que en 2013 Apple lanzó el iPhone 5S con un sensor de huellas. Ahora, cuatro años más tarde, no hay smartphone de gama media o alta que se precie sin esta tecnología y la tendencia apunta a otras fórmulas biométricas, como el reconocimiento del iris o el escáner facial.

Nuevas fórmulas

Samsung fue la primera compañía en equipar un teléfono con la función de desbloqueo mediante el iris y reconocimiento del rostro. Fue en el Note 7, que tuvo que ser retirado por problemas con la batería, así que hasta el Galaxy S8, lanzado en marzo de este año, los usuarios no han podido disfrutar de esta tecnología. "El reconocimiento facial y el escáner de iris son métodos diferentes y complementarios. La tecnología de reconocimiento facial que incluye Samsung Galaxy S8, independiente del escáner de iris, ofrece un método rápido y cómodo para desbloquear el dispositivo. Por su parte, el escáner de iris resulta útil para aquellos casos en los que se necesite una capa extra de seguridad, como los pagos móviles con Samsung Pay. Según los expertos, es doscientas veces más seguro que la huella dactilar y aún más que el reconocimiento facial", explican desde Samsung.

En cada dispositivo sólo es posible registrar un patrón de iris y Samsung asegura que "hemos desarrollado nuestros propios algoritmos de escáner de iris, garantizando que las lecturas de los patrones de iris sean precisas y la información encriptada quede almacenada en un contenedor de máxima seguridad dentro de Samsung Knox. Incluso si el usuario perdiera o le robaran el teléfono, sus datos de iris no se verían comprometidos".

Según apuntan los expertos, el nuevo iPhone que será lanzado en septiembre, también contará con estas tecnologías biométricas. Las filtraciones que se han conocido hasta el momento parecen indicar que en la parte delantera del nuevo iPhone se incluyen unos sensores que podrían servir para el reconocimiento facial o para el escáner de iris. Por ahora sólo son rumores, pero todo apunta a que esta nueva tecnología será adoptada en los teléfonos de gama alta que lleguen en los próximos meses. "El propósito de Samsung es seguir ofreciendo experiencias móviles que resulten al mismo tiempo completamente seguras y cómodas para los usuarios. Nuestros equipos de I+D trabajan en esa dirección, incorporando los últimos avances en tecnología biométrica a cada uno de nuestros dispositivos", afirman desde Samsung.

USO EN LA BANCA

La búsqueda de la máxima seguridad en el uso de los teléfonos móviles como monedero ha llevado a algunas entidades bancarias a trabajar con biometría.
 "En noviembre de 2016 lanzamos la opción de darse de alta como cliente a través de un selfie, tras recibir la aprobación del regulador, que aprobó que esta tecnología podía funcionar en un banco. La respuesta está siendo muy buena y en el primer trimestre del año el 18% de las altas mensuales de nuevos clientes de BBVA España son digitales", apunta Raúl Uriarte, director adjunto de Transformación Digital de BBVA en España.

Los planes de BBVA respecto al uso de la biometría, no se quedan en los selfies. "Tenemos muchas claves y no es fácil recordarlas. La biometría facial elimina este proceso tedioso y hace que la posibilidad de que alguien use un terminal de forma fraudulenta sea imposible. Hemos empezado por usar esta tecnología en el alta en el banco y a medida que los clientes vayan respondiendo se irán incorporando en otros procesos más relacionados con la contratación de productos. Por ejemplo, para operaciones de importe elevado en los que se requiera de una autentificación, o a la hora de cambiar datos personales o domicilios de correspondencia. Sabemos que el reconocimiento de la cara y del iris es más seguro incluso que la huella, por lo que seguiremos apostando por ello", añade Raúl Uriarte.

Del empleo de la biometría en la banca saben mucho en la compañía FacePhi. "Somos el único fabricante de biometría facial con una base instalada de 13 bancos en producción con el usuario final del banco, en banca móvil, banca web, kioscos, sucursales, ventanillas, proceso de On-Boarding y wallets. En este momento estamos en pruebas de muchos bancos en el mundo y terminaremos el año con más de veinte bancos en producción", explica Salvador Martí.

La compañía con sede en Alicante trabaja con entidades a nivel mundial, como el Banco Banregio y Banco Inbursa de México, el Banco Pichincha, Banco Pacífico y Banco Guayaquil en Ecuador, el Banco Nacional, Coopeservidores y Grupo Mutual en Costa Rica, Arquia de España o el Banco ICBC.

Por su parte, MasterCard también ha empezado a trabajar con tecnología biométrica y ha revelado sus planes para simplificar la experiencia de compra online de sus clientes a través de selfies. Según explica Fabrice Méndez, director de ventas para Iberia de la plataforma de pagos SlimPay, "Algunos expertos han cuestionado su seguridad. Sin embargo MasterCard insiste en que dispone de controles de seguridad para detectar comportamientos sospechosos. Además, la aplicación requiere que el usuario parpadee, con el fin de garantizar que se trata de una foto en vivo del usuario y no de un estafador que simplemente ha hecho una foto de la foto original".

Los datos

- Un estudio de Visa realizado en 2016 en Europa demuestra que más de dos tercios de los consumidores europeos están dispuestos a utilizar una identificación biométrica a la hora de realizar un pago. 
- La mitad de los europeos (51%), mantiene que la autentificación mediante biometría en los pagos podría hacer que la experiencia de compra fuera más rápida y fácil que con los métodos tradicionales. 
- Un tercio de los encuestados por Visa (31%) considera que la tecnología biométrica mantiene sus datos más seguros, incluso si se roba el dispositivo. 
- Más de la mitad de los europeos aseguran que el uso de la huella dactilar es su fórmula biométrica favorita.

Fuente: Expansion.com

CLOUD COMPUTING. La IA está haciéndose con el control de la nube y llegando a toda la sociedad

La computación en la nube depende cada vez más de la inteligencia artificial para exprimir al máximo su rendimiento. Y gracias a los gigantes que ofrecen servicios de IA a través de la nube, la tecnología empieza a llegar a cada usuario y empresa

La nube se vuelve más inteligente cada minuto que pasa. De hecho, pronto sabrá más sobre las fotos que usted ha subido que usted mismo.

La compañía de almacenamiento en nube Box ha anunciado que está agregando tecnología de visión artificial de Google a su plataforma. Los usuarios podrán buscar fotos, imágenes y otros documentos utilizando sus herramientas visuales, en lugar de tener que limitarse al nombre del archivo o sus etiquetas. El CEO de la empresa, Aaron Levie, afirma: "A medida que aumentan los datos en la nube, nos damos cuenta de que necesitamos formas más poderosas de organizar y entender su contenido".

La tecnología de visión automática ha mejorado mucho en los últimos años gracias a un enfoque de aprendizaje automático conocido como aprendizaje profundo (ver 10 Tecnologías Emergentes: Aprendizaje profundo). Una red neuronal profunda, ligeramente inspirada en cómo las neuronas humanas procesan y almacenan información, puede aprender a reconocer categorías de objetos, como por ejemplo un "suéter rojo" o una "camioneta". La investigación en curso, incluyendo el trabajo de los investigadores de Google, está mejorando la capacidad de los algoritmos para describir qué está sucediendo en las imágenes.

Las funciones de visión artificial de Box podrían ser una buena herramienta para que las empresas empiecen a sumergirse en la inteligencia artificial (IA) y en el aprendizaje automático. Esto eliminaría la necesidad de etiquetar manualmente miles de imágenes y permitiría buscar en archivos antiguos de formas imposibles en el pasado. Levie afirma que una de las compañías que están probando la tecnología la está usando para buscar imágenes para particulares.

El anuncio de Box es la última señal de que la computación en la nube se está reinventando a través del aprendizaje automático y de la inteligencia artificial. La IA es ya el arma preferida en la batalla por dominar este tipo de computación, con empresas que ofrecen servicios computacionales a demanda (como Google, Amazon y Microsoft entre ellas), y alardean de tener cada vez más características agregadas de aprendizaje automático.

El catedrático de Google Cloud y profesor de la Universidad de Stanford (EEUU) Fei-Fei Li, especializado en visión artificial y aprendizaje automático, dijo en un comunicado que este anuncio muestra lo ampliamente disponible que se está volviendo la IA. "Por fin, la inteligencia artificial se está democratizando entre las personas y las empresas", afirma el experto.

Levie ha explicado que su compañía intenta aplicar el aprendizaje automático a otros tipos de contenido. Esto podría incluir audio y vídeo, pero también texto. Para esto, un algoritmo podría agregar análisis semántico, ofreciendo la posibilidad de buscar en un documento por su significado, en lugar de por palabras clave específicas.

También es significativo que Box esté confiando en la visión por ordenador de Google, en lugar de desarrollar la tecnología internamente. La medida refleja la realidad de que sólo hay un puñado de empresas convertidas en los grandes jugadores que dominan los aspectos más fundamentales de la IA, como la visión artificial, el reconocimiento de voz y el procesamiento del lenguaje natural. Levie detalla: "Si piensas en la fuerza que Google tiene en el reconocimiento de imágenes, sería estratégicamente imprudente para nosotros tratar de competir con ellos". El CEO indica que los investigadores de su compañía están explorando maneras de aplicar el aprendizaje automático al comportamiento de sus clientes. Este proceso podría ofrecer formas de optimizar el servicio de Box, y ayudar también a identificar las tareas que podrían estar listas para ser automatizadas.

La API Cloud Vision de Google puede reconocer miles de objetos cotidianos en imágenes. Sin embargo, algunos clientes podrían necesitar disponer de la capacidad de reconocer y de buscar en tipos específicos de imágenes, por ejemplo, imágenes médicas o arquitectónicas. Por ello, los investigadores de Box están explorando diferentes estrategias para que los clientes puedan entrenar sus propios sistemas de visión si es necesario.

Fuente: MIT Technology Review

WANNACRY. La amarga letanía de los servidores samba

Actualmente, el término “viernes negro” se asocia a nuestras ansias consumistas. Un día diseñado para el consumidor, en el que puede liberar esa fuerza inhumana que impulsa a ciertas personas a volatilizar cualquier atisbo de ahorro. Pero esto no es así. Originalmente, un viernes negro era un día fatídico, señalado así por la ocurrencia de un acto luctuoso, o incluso un desastre financiero (no, el crack del 29 cayó en jueves), que vendría a ser recordado así en años venideros.

El viernes 12 de mayo fue un verdadero “viernes negro” para muchísimos administradores de sistemas y personal de seguridad. Esa mañana, con un mecanismo clásico y nada original, inaugurado por el gusano de Morris hace 30 años, comenzó a replicarse WannaCry. Fue tal el latigazo mediático que hasta las cabeceras de los noticieros se llenaron de palabros incomprensibles para el espectador medio. El resto es historia, reciente y conocida por todos, sufridas en sus carnes por algunos compañeros de oficio.

Nunca se supo con absoluta certeza si el arponazo original fue una campaña de phishing dirigida (spear phishing) o servicios samba expuestos públicamente. La primera opción, desde luego, fue perdiendo fuelle conforme pasaba el tiempo y no arrojaba resultados conclusivos. El supuesto correo original no aparecía por ninguna parte, sin embargo, a la luz del hecho de que un gran número de corporaciones y grandes empresas comenzarán a activar sus protocolos de contención, alguna que otra voz se alzó teorizando acerca de un posible uso de un zeroday. El muy efectivo ETERNALBLUE. Resultó curioso, porque el vector característico del ransomware es el correo, a la caza del usuario desprevenido, y nadie se esperaba un RCE con replicación a la Conficker.

No dudamos en que se tomaron las medidas adecuadas, se actualizaron protocolos y se endurecieron políticas de seguridad (recordemos las lecciones aprendidas por Google tras la operación Aurora). Pero sí o sí el fallo, bastante grave, estaba allí. No nos estamos refiriendo a la exposición de un servicio sin parchear, que ya de por sí otorgaría la suficiente fuerza para arquear las cejas, nos referimos a la muy cuestionable idea de exponer un servicio que no es (o no debería serlo) a priori vital para la organización.

Si pensamos en cómo están estructuradas algunas redes internas, en cómo algunos clientes conectan "a las bravas" con carpetas compartidas en una topografía plana y seguimos tiramos del hilo hasta alcanzar un servidor samba escuchando hacia Internet, probablemente la segunda opción de la que hablábamos no suene tan alocada. Toda una combinación de factores inocentes por sí mismos pero letales cuando entran en combinación. Un zombi da con el servidor que "teníamos por ahí perdido", infecta, nuestro servidor se vuelve contra nosotros, redes planas, equipos sin parchear y...París era una fiesta.

¿Si una infección por ransomware vía ingeniería social nos está evidenciando un nivel de concienciación deficiente, qué nos está enseñando un ataque como el de WannaCry? En primer lugar, dejar un servicio probablemente no vital escuchando hacia Internet. No, no valen las excusas de que era necesario, puesto que si lo era no estaba debidamente parcheado, filtrado o controlado. En segundo lugar, no fragmentar adecuadamente un servicio de la DMZ con la red interna donde se conectan los empleados. En tercer y último lugar, es evidente que las estaciones de trabajo tampoco estaban parcheadas. Podríamos seguir tirando del hilo: ausencia de IDS, actualización de las reglas del mismo, etc, pero creemos que con esto es suficiente.

Realmente, deberíamos sopesar si en la clásica ecuación seguridad-flexibilidad nos estamos dejando llevar por las quejas de los usuarios o los ajustadísimos presupuestos (talla 34) de los departamentos de seguridad no dejan margen para las sutilezas. 
El "todo deprisa y corriendo" es una fortuna caprichosa que golpea en el momento más inesperado. Mientras el truco funciona la seguridad siempre parece un desperdicio de recursos, pero cuando los planetas se alinean y los sambas susurran entre ellos...nos encontramos a milímetros de la tragedia y entonces, durante un breve espacio de tiempo, la seguridad nos parece atractiva, elegante, necesaria, confortable y ¡chas!, por arte de magia, ya no hay fondo en el bolsillo. 

Más información

• Gusano Morris  https://es.wikipedia.org/wiki/Gusano_Morris
• Un ransomware ataca a múltiples compañías  http://unaaldia.hispasec.com/2017/05/un-ransomware-ataca-multiples-companias.html
• WannaCry y las lecciones que nunca aprendemos  http://unaaldia.hispasec.com/2017/05/wannacry-y-las-lecciones-que-nunca.html

Fuente: Hispasec.com

ZLOADER. Variantes del malaware afectan a entidades españolas

En ocasiones anteriores hemos podido observar cómo, a través de distintos correos electrónicos, los atacantes intentaban provocar que nos descargaramos archivos para infectar nuestros dispositivos. Las últimas tendencias, apuntaban a que sería el ransomware lo que más suscitaria el interés de los atacantes. Sin embargo, en esta ocasión nos encontramos ante un troyano bancario.

Recibimos un correo con el típico modus operandi de la factura pendiente. Esta incluye un documento de de Microsoft Office. Concretamente para esta oleada han predominado los documentos XLS.

El documento nos solicita habilitar el contenido. Lo que pretenden es que la victima habilite las macros para, mientras ojea el documento, se ejecute código malicioso.

Ese código, ofuscado para evitar que sea sencillo de analizar, se encarga de realizar descargas de distintos sitios web. En caso de que uno de los dos sitios web no responda hará uso del siguiente para continuar con su ataque.

hxxp://forminore.co/game-for-windows/keys.exe

hxxp://forstraus.co/dfhguserhivesbvhio-84u84jdfkvkdf/utilite.exe

Estos dos archivos .exe corresponden a un Terdot/ZLoader, un troyano bancario que roba datos de los clientes de las entidades incluidas en su configuración. Quedan almacenados en el directorio %APPDATA% del usuario, lugar donde rara vez mira el usuario común.

Algunos de los webinjects del troyano bancario.

La configuración del troyano cuenta con inyecciones de código para distintas entidades españolas, entre ellas:

1. Santander España
2. BMN
3. Abanca
4. Ruralvia
5. *.de (Entidades alemanas)

En el escaneo inicial, únicamente 8 motores antivirus detectaban la amenaza. Un par de días después, más de 40 motores lo detectaban.

Recomendación 

La recomendación estrella en este tipo de ocasiones, a parte de contar con una base de datos de virus actualizada, es evitar habilitar las macros en documentos de este tipo. Si no estamos seguros de la procedencia del archivo, es preferible no abrirlo. Si procede de alguien conocido, siempre puedes asegurarte preguntando para evitar este tipo de infecciones.

Fuente: Hispasec.com

Nuevos kits de explotación infectan equipos para minar criptomonedas

Tras la caída de Angler y Nuclear, dos de los más conocidos kits de explotación de los últimos tiempos, se ha percibido una disminución del uso de este tipo de herramientas. A pesar de esto, todavía siguen apareciendo campañas de malvertising que utilizan este tipo de artillería para comprometer la seguridad de tantos equipos como sea posible.

Recientemente se han detectado dos kits utilizados en campañas de malvertising cuyo objetivo es implantar malware de minado de criptomonedas en los equipos infectados.

Se trata de Disdain y Neptune Exploit Kit (antiguamente "Terror Exploit Kit"). Ambos utilizan vulnerabilidades contra las aplicaciones más habituales en este tipo de ataques: Internet Explorer y Adobe Flash.

Estos kits se "alquilan" en el mercado negro por tarifas que oscilan entre los 80 y los 600 dólares al día.

El método utilizado por los atacantes consiste en redirigir a las víctimas desde una publicidad maliciosa a una landing que aloja el kit que intentará infectar a las víctimas.

Vulnerabilidades explotadas

Neptune explota las siguientes vulnerabilidades:

1. CVE-2014-6332 (MS Windows Server 2003, Vista, Server 2008, 7, 8, 8.1, Server 2012)
2. CVE-2015-2419 (JScript 9 en Microsoft Internet Explorer 10 y 11)
3. CVE-2015-6086 (Microsoft Internet Explorer 9, 10 y 11)
4. CVE-2015-7645 (Adobe Flash Player 18.x hasta 18.0.0.252 y 19.x hasta 19.0.0.207 en Windows)
5. CVE-2016-0034 (Microsoft Silverlight 5)
6. CVE-2016-0189 (Microsoft JScript 5.8, VBScript 5.7 y 5.8)
7. CVE-2016-4117 (Adobe Flash Player 21.0.0.226 y anteriores)
8. CVE-2016-7200 (Motor de JavaScript Chakra en Microsoft Edge)
9. CVE-2016-7201 (Motor de JavaScript Chakra en Microsoft Edge)
10. CVE-2017-0037 (Microsoft Internet Explorer 11 y Microsoft Edge)
11. CVE-2017-2995 (Adobe Flash Player 24.0.0.194 y anteriores)
12. CVE-2017-3289 (Java SE 7u121, Java SE 8u111, Java SE 8u112)
13. CVE-2017-3823 (Cisco WebEx browser)

Disdain por su parte utiliza las siguientes vulnerabilidades:

1. CVE-2016-0189 (Internet Explorer 9)
2. CVE-2015-2419 (Internet Explorer 10 y 11)
3. CVE-2013-2551 (Internet Explorer 6, 7, 8, 9 y 10)
4. CVE-2017-0037 (Internet Explorer 10 y 11)
5. CVE-2017-0059 (Internet Explorer 9, 10 y 11)

Recomendación

Estas vulnerabilidades se encuentran parcheadas por lo que se recomienda actualizar a las últimas versiones disponibles.

Más información:

• Informe de FireEye sobre Neptune https://www.fireeye.com/blog/threat-research/2017/08/neptune-exploit-kit-malvertising.html
• IOCs de Disdain https://paladionitsecurity-my.sharepoint.com/personal/souti_dutta_paladion_net/_layouts/15/WopiFrame.aspx?docid=08fddc7f266bf43e7bce4177648ba0983&authkey=AXO8XWwhi5bWjd4c9WXm9mQ&action=view
• Publicación de Trend Micro sobre Disdain http://blog.trendmicro.com/trendlabs-security-intelligence/new-disdain-exploit-kit-detected-wild/
• Fuente: Hispasec.com

CHIP-IN-THE-MIDDLE. O cómo atacar dispositivos móviles desde dentro

En un estudio convenientemente titulado "Shattered trust" ("Confianza hecha añicos") investigadores de la Universidad Ben-Gurión del Néguev han analizado la posibilidad de instalar componentes maliciosos en las pantallas de teléfonos móviles.

La motivación principal para explorar este vector de ataque es que, a diferencia de otros componentes externos del dispositivo, se asume que el código de los controladores internos es seguro y su autenticidad apenas es probada más allá de algunas pruebas de integridad.

Teniendo en cuenta que las pantallas, como otras piezas de reemplazo no originales, son fabricadas por terceras partes ajenas al fabricante de teléfono, su bajo coste (las hay por menos de 10 dolares), la facilidad de producción en masa, y, por qué no decirlo, la extraña facilidad que tenemos para romperlas, este tipo de ataque es, en palabras de los investigadores, posible y práctico.

Un punto importante en el desarrollo, tal y como podemos comprobar en la prueba de concepto al pie del post, es que se supone cierto que el técnico que reemplaza la pantalla no es un actor malicioso, es decir, simplemente cambia una pantalla defectuosa por la nueva tal como le ha sido distribuida.

Ataque "chip-in-the-middle"

El estudio ha combinado dos técnicas que difieren en enfoque. En primer lugar, instalaron un micro-controlador haciendo uso de los mismo pines usados en la comunicación entre la placa controladora de pulsaciones y la placa principal, en lo que han llamado un ataque "chip-in-the-middle". El posicionamiento de este micro-controlador le permite tanto espiar las pulsaciones del usuario como inyectar pulsaciones propias, controlando incluso la interacción con el teclado.

Hasta aquí el ataque ya cuenta con bastante gravedad, pero es posible llevarlo más allá. Además, el micro-controlador puede ser aprovechado para explotar vulnerabilidades en el sistema operativo. En este caso, se explotó un desbordamiento de buffer en el código del driver del controlador de pantalla, situado en el mismo núcleo de Android, que permitió la ejecución de varios payloads arbitrarios.

Combinando ambas técnicas, los investigadores pudieron comprometer la identidad del usuario y tomar control sobre las acciones y los datos del dispositivo. Estos resultados han sido presentados la semana pasada en la conferencia WOOT'17 celebrada en Vancuver, Canada.

En definitiva, este estudio intenta hacer hincapié en la poca atención que reciben las vulnerabilidades situadas a bajo nivel, como en aquellas en los drivers del sistema. Pero sobre todo pone el foco no solo en las falsificaciones, sino también en otros accesorios y componentes no originales. Aunque su bajo precio y su conveniencia los hacen muy populares, sus componentes internos son en muchas ocasiones de baja calidad y, lo que es peor, quedan fuera de la cadena de confianza del fabricante, lo que los hace vulnerables a la instalación de componentes maliciosos.

Más información:

• Shattered Trust: When Replacement Smartphone Components Attack [PDF] https://iss.oy.ne.ro/Shattered.pdf
• Canal de Youtube con demostraciones adicionales: https://www.youtube.com/channel/UChyrYOp3neDyY0vnYj1c1RQ

Fuente: Hispasec.com

DIAGRAMA DE PRUEBA DE CONCEPTO

BITCOIN. Cuidado dónde los gastas, puede que te estén vigilando

Un estudio presentado por la Universidad de Princeton, ha puesto de manifiesto cómo empresas que utilizan criptomonedas como forma de pago podrían estar comprometiendo la privacidad de las transa

Un total de 130 empresas de venta online han sido incluidas en este estudio y, en algunos casos, la información compartida llegaba hasta la dirección de Bitcoin del usuario. Del total, sólo 23 de ellas no compartían ningún tipo de dato, lo que representa un 17,7% de los sitios estudiados que hacían un uso seguro de esta información.

Este tipo de noticias pone de manifiesto que Bitcoin puede ser anónimo, pero nosotros no lo somos en Internet. Es relativamente fácil que estemos compartiendo, sin saberlo, información sobre nuestras transacciones y que estas empresas la puedan estar incluso vendiendo a terceros sin nuestro conocimiento.

Más información

• Los detalles sobre el estudio se puede consulta directamente desde  https://arxiv.org/pdf/1708.04748.pdf

Fuente: Hispasec.com

FAKETOKEN. El troyano que evoluciona y apunta a nuevos objetivos

Investigadores de seguridad de Kaspersky han descubierto una nueva variante del troyano Faketoken llamado Faketoken.q el cuál es capaz de detectar y grabar todas las llamadas telefónicas que se realizan con el dispositivo infectado. Además ataca a aplicaciones móviles que hagan uso de pagos con tarjeta.

El vector de ataque usado son los SMS. En ellos solicitan a los usuarios móviles descargar una imagen, que acaba siendo el punto de entrada del malware en el dispositivo.

Los investigadores aseguran que ha sido diseñado para usuarios rusos por lo que utiliza tal idioma como lenguaje principal en su interfaz.

Como graba las conversaciones telefónicas

Una vez descargado, el malware instala los módulos necesarios y el payload principal en el smartphone.

Cuando una llamada comienza en el dispositivo infectado, el malware comienza a grabarla y la envía simultáneamente al servidor principal del atacante.

Superposición de aplicación para robar credenciales de tarjetas de crédito

Además de la característica anteriormente mencionada, Faketoken.q comprueba que aplicaciones se están usando en el smartphone. En caso de que alguna aplicación tenga una interfaz simulable por el troyano, este superpone una falsa interfaz para el robo de información.

Para conseguir esto, el troyano usa una opción de Android - que usan otras muchas aplicaciones y malware - para colocar la ventana por delante de las demás.

La falsa interfaz aparece para que la víctima introduzca sus datos bancarios y estos puedan llegar a usarse más adelante para realizar transacciones fraudulentas.

La muestra analizada por Kaspersky puede encontrarse en Koodous: https://koodous.com/apks/8508e1db6ca569937f9bda2a5e696c06b5bb1b6277af3da2dbcc67d27adbb67a

Más información:

Booking a Taxi for Faketoken  https://securelist.com/booking-a-taxi-for-faketoken/81457/

Fuente: Hispasec.com

Actualización de la clave para la firma de la llave de la zona raíz de DNSSEC

Se va a proceder a la actualización de la clave de validación de la zona raíz (Root Zone) de DNS usada en DNSSEC, cataligada de  Importancia: 4 - Alta

Recursos afectados:

Implementaciones de DNS que usen DNSSEC para validación

Detalle e impacto de la actualiazación

El 11 de octubre de 2017, la Corporación de Internet para la Asignación de Nombres y Números (ICANN) llevará a cabo una actualización de clave en el Root Zone Key Signing Key (KSK) utilizado en el protocolo  DNSSEC.

Recomendación

La actualización de clave (key rollover) puede llevarse a cabo de manera automática o manual:

Actualización automática: el protocolo DNS permite en la mayoría de los casos al cliente DNSSEC actualizar automáticamente sus claves de confianza cuando la zona DNS de confianza señala que está cambiando su clave. Los administradores deben consultar la documentación de su implementación para obtener los detalles de configuración. El cambio automático de clave puede probarse utilizando el ICANN KSK Rollover Testbed.

Actualización manual: si el cliente DNS utiliza DNSSEC, pero no admite el protocolo automatizado de renovación de claves, se debe actualizar la clave manualmente, consultando la documentación propia de cada implementación. La nueva clave (Root Zone key) se puede agregar al conjunto de claves de confianza en cualquier momento, pero se debe agregar antes de que se revoque la clave antigua.

Más información

• Traspaso de la KSK de la Zona Raíz https://www.icann.org/resources/pages/ksk-rollover-2016-07-27-es

Fuente: INCIBE

Múltiples vulnerabilidades en HP Integrated Lights-Out 4

Se ha descubierto una vulnerabilidad crítica en la característica iLO de Hewlett Packard Enterprise (HPE) de gestión remota de equipos, catalogadas de  Importancia:  5 - Crítica

Recursos afectados:

HP Integrated Lights-Out 4 (iLO 4), versiones anteriores a la 2.53

Detalle e impacto de las vulanerabilidades

El investigador Fabien Perigaud ha identificado una vulnerabilidad de seguridad en un producto de Hewlett Packard Enterprise (HPE), la cual permite a un atacante remoto evitar autenticarse además de poder ejecutar código arbitrario.

Recomendación

• HPE ha publicado una actualización que resuelve el problema de seguridad, que puede ser descargada desde http://www.hpe.com/support/ilo4

Más información

• HPESBHF03769 rev.1 - HPE Integrated Lights-out 4 (iLO 4) Multiple Remote Vulnerabilities http://h20566.www2.hpe.com/hpsc/doc/public/display?docId=hpesbhf03769en_us

Fuente: INCIBE

Vulnerabilidades en productos Lenovo

Se han detectado varias vulnerabilidades en diversos productos Lenovo. Los errores, de gravedad alta, se corresponden con saltos de restricciones de seguridad, elevación de privilegios dentro del sistema y/o ejecución de código arbitrario.

Lenovo es un conocido fabricante de ordenadores, tabletas, smartphones, servidores, etc. También provee servicios de soporte y tecnología de información de integración, teniendo incluso servicios de acceso a Internet. La compañía es poseedora desde 2005 de la división de ordenadores IBM, convirtiéndose en uno de los fabricantes de ordenadores más grandes del mundo, teniendo los derechos de marcas tan importantes como Thinkpad, Aptiva o Ideapad.

Los errores se detallan a continuación:

•      CVE-2017-3751: Existe un error al no poner entre comillas determinadas rutas de servicios en el driver del ThinkPad Compact USB Keyboard. Un atacante local autenticado podría valerse de este error para escalar privilegios dentro del sistema y potencialmente ejecutar código arbitrario dentro del sistema a través de entradas de rutas de determinados servicios especialmente manipuladas. Esta vulnerabilidad afecta a versiones anteriores a la 1.5.5.0 .

•      CVE-2017-3752: Existe una vulnerabilidad en la implementación del protocolo de red para encaminamiento “Primer Camino Más Corto” (OSPF) en determinados switches Lenovo. Para explotar esta vulnerabilidad, el atacante tendría que controlar un router o dispositivo que soporte OSPF, de modo que mediante el envío de mensajes OSPF especialmente manipulados podría alterar o incluso borrar tablas de encaminamiento de todos los routers o dispositivos dentro del mismo dominio. Esta vulnerabilidad afecta a los dispositivos y versiones indicados en el siguiente enlace: https://support.lenovo.com/es/es/product_security/len-14078

•      CVE-2017-3753: Esta vulnerabilidad se debe a un error en la UEFI (BIOS) desarrollada por American Megatrends (AMI) e incorporada de serie en muchos dispositivos Lenovo. Un atacante con permisos administrativos o acceso físico al sistema podría ser capaz de ejecutar código arbitrario dentro del sistema saltando restricciones de seguridad tales como Device Guard y Hyper-V. AMI ha proporcionado parches para solucionar esta vulnerabilidad, pero aun así se recomienda seguir las siguientes medidas de seguridad:

1. Habilitar arranque seguro en el sistema.
2. Deshabilitar la consola UEFI en el arranque,
3. Deshabilitar cualquier opción de arranque que no sea el disco duro primario.
4. Establecer una contraseña para la BIOS, para asegurarse de que el arranque seguro y el arranque de la consola UEFI no vuelvan a ser re establecidas.
5. Trabajar como “No” administrador dentro del sistema Windows.
6. Ejecutar código o software de fuentes fiables y conocidas.

Esta vulnerabilidad afecta a un amplio número de dispositivos, para ver el listado completo de dispositivos y versiones afectadas: https://support.lenovo.com/es/es/product_security/len-14695

Recomendación

• Se recomienda actualizar a versiones superiores en todos los dispositivos vulnerables.

Fuente: INCIBE

ASSANGE: "Quienes financian a ISIS son los mismos que financiaron la Fundación Clinton"

“Son los Gobiernos de Qatar y de Arabia Saudita los que han financiado al Estado Islámico”, resalta el fundador de Wiki Leaks.

El fundador de Wiki Leaks, Julian Assange, revela en una entrevista en exclusiva con el periodista australiano John Pilger un correo electrónico demuestra que quienes financian al ISIS son los mismos que los que financian la Fundación Clinton.

El correo fue enviado por Hillary Clinton a su jefe de campaña, John Podesta, donde la entonces candidata a la presidencia de Estados Unidos manifiesta que el actual Estado Islámico es financiado por los gobiernos de Arabia Saudí y Qatar, y no por “algún príncipe canalla" que "utiliza el dinero del petróleo para eso pero que, en realidad, su gobierno no está de acuerdo”.

“Son los Gobiernos de Qatar y de Arabia Saudita los que han estado financiando al Estado Islámico”, según Asssange desprende de ese correo.

En la entrevista con el fundador de WikiLeaks, de noviembre de 2016, Assange agrega que “el dinero catarí y saudita está repartido por todas partes, incluyendo muchos medios de comunicación”.

Assange señala a Hillary Clinton como un elemento central y representativo del ‘establishment’ estadounidense o el llamado consenso de Washington y sus influencias: “Ella es un centralizador. Hay un montón de engranajes en el mecanismo: desde los grandes bancos, como Goldman Sachs, hasta los elementos principales de Wall Street, pasando por los servicios de inteligencia, personal del Departamento de Estado, los sauditas, etc.”, asegura.

Otro correo filtrado demuestra que la Fundación Clinton recibió un millón de dólares de Qatar. Dicha Fundación no informó inicialmente al Departamento de Estado, según informó Reuters.

Según se desprende de un correo electrónico, Qatar prometió ese dinero en 2011 para el 65.º cumpleaños de Bill Clinton, y solicitó reunirse con el expresidente estadounidense en persona al año siguiente para entregarle un cheque.

VER VIDEO

• https://youtu.be/_sbT3_9dJY4

Fuente: Publico.es

ADN cargado con un virus informático hackea un ordenador por primera vez

El trabajo demuestra que es posible codificar malware en un gen y utilizarlo para tomar el control de un programa de ordenador. Aunque el ataque se realizó en condiciones especiales y es poco probable que se utilice en un futuro próximo, los expertos lo consideran un nuevo tipo de amenaza

Parece que la ciencia ha conseguido, por primera vez, hackear con éxito un programa de software con un fragmento de ADN. Según los investigadores responsables de la hazaña, el malware que incorporaron a una molécula genética les permitió tomar el control de la computadora usada para analizarla.

El malware biológico ha sido creado por científicos de la Universidad de Washington en Seattle (EEUU), en lo que consideran el primer "exploit basado en ADN de un sistema informático".

Para llevar a cabo el hackeo, los investigadores, liderados por Tadayoshi Kohno y Luiz Ceze, codificaron software malicioso en una corta secuencia de ADN que compraron en internet. Luego lo usaron para lograr el "control total" de un ordenador para que procesara datos genéticos leídos por una máquina de secuenciación de ADN.

Los investigadores advierten de que en un futuro los hackers podrían usar muestras falsas de sangre o saliva para obtener acceso a ordenadores universitarios, robar información de laboratorios forenses de la policía e infectar archivos genómicos compartidos por científicos.

Aunque, de momento, el malware de ADN no plantea un gran riesgo de seguridad. Los investigadores admiten que para infliltrarse en el sistema, diseñaron un escenario con las "mejores posibilidades" de éxito al deshabilitar funciones de seguridad e incluso añadir una vulnerabilidad a un programa bioinformático poco utilizado.

"Su exploit es sencillamente poco realista", opina el genetista y programador Yaniv Erlich, que es director científico de MyHeritage.com, una página web de servicios de genealogía.

Kohno fue una de las primeras personas en mostrar cómo hackear un automóvil a través de su puerto de diagnóstico, y más tarde también demostró cómo obtener acceso en remoto al atacar las conexiones Bluetooth de los coches.

El nuevo malware de ADN se está presentando esta semana en el Simposio de Seguridad de Usenix en Vancouver (Canadá). El estudiante de postgrado en el Laboratorio de Investigación de Seguridad y Privacidad de Kohno Peter Ney detalla: "Nos fijamos en las tecnologías emergentes y nos preguntamos si podrían dar lugar a nuevas amenazas de seguridad, con la idea de llevar la delantera".

Para hacer el malware, el equipo tradujo un simple comando de ordenador a una breve secuencia de 176 letras de ADN, denominadas A, G, C y T. Después de encargar copias del ADN a un proveedor por unos 75 euros, los investigadores introdujeron las moléculas en un máquina de secuenciación, que leyó las letras genéticas, almacenándolas como dígitos binarios, ceros y unos.

Erlich explica que el ataque aprovechó un efecto de desbordamiento, cuando los datos que exceden un búfer de almacenamiento pueden ser interpretados como un comando de computadora. En este caso, el comando contactó con un servidor controlado por el equipo de Kohno, desde el que tomaron el control de la computadora de su laboratorio que estaban utilizando para analizar el archivo de ADN.

Las empresas que fabrican cadenas de ADN sintético y las envían a científicos ya están en alerta ante posibles bioterroristas. Los investigadores sugieren que en el futuro también podrían tener que empezar a revisar secuencias de ADN por amenazas informáticas.

El equipo de la Universidad de Washington también advierte de que los hackers podrían usar medios más convencionales para elegir como blanco los datos genéticos de las personas, precisamente porque cada vez aparecen más en internet (véase 10 Tecnologías Emergentes 2015: Internet se llena de ADN) e incluso se accede a ellos a través de tiendas de aplicaciones (ver 10 Tecnologías Emergentes 2016: Apps para el ADN).

En algunos casos, los programas científicos para organizar e interpretar los datos de ADN no se actualizan de forma activa, y eso podría crear riesgos, en opinión del experto en bioinformática del Instituto Sanger James Bonfield. Bonfield afirma ser el autor del programa que los investigadores de la Universidad de Washington apuntaron en su ataque y que este pequeño programa, "fqzcomp," fue escrito como un experimento para una competición de compresión de archivos y probablemente nunca haya sido usado.

Fuente: MIT Technology Review

PULSE WAVE. Nueva modalidad de ataques DDoS:

Como su nombre sugiere, el nuevo método Pulse Wave ejecuta los ataques de denegación de servicio (DDoS) mediante oleadas de pulsos. Algunas soluciones de mitigación están teniendo dificultades para contener a Pulse Wave.

El método en cuestión ha sido analizado por Imperva Incapsula, empresa dedicada precisamente a la mitigación de ataques DDoS. En su análisis, Imperva escribe que al ser colocados en un gráfico, los ataques clásicos tienen la forma de un triángulo que crece en la medida que los atacantes van sumando recursos, por ejemplo botnets, para alcanzar su objetivo.

Los nuevos ataques Pulse Wave, en tanto, comienzan en cero y alcanzan un alto nivel de intensidad en un corto período de tiempo, para luego volver a cero e iniciar nuevamente el proceso durante ciclos continuos activados mediante breves intervalos.

Según la empresa, una botnet especialmente activa ha estado utilizando la técnica de manera regular durante los últimos meses. Imperva Incapsula escribe que los ataques DDoS de esta red, que no identifica, alcanzaron en una oportunidad un máximo de 350Gbps, nivel que supera con creces el 1 Gbps de los ataques DDoS clásicos.

En su análisis, Imperva Incapsula escribe que durante el breve período de suspensión del ataque, la botnet no se desactiva para luego reiniciarse, sino es dirigida hacia otro objetivo. Este nivel de precisión y control es propio de botnets disponibles mediante el formato DDoS como servicio, donde se ofrece capacidad máxima constante.

Un reto para la mitigación tradicional

·        La nueva táctica de ataque mediante pulsos está causando dificultades para las soluciones de mitigación híbrida, es decir, una combinación de herramientas on-premise y en la nube. Los elementos on-premise consisten normalmente de hardware configurado para activar la protección Cloud cuando el equipo está siendo desbordado por el ataque DDoS. En otras palabras, este tipo de protección es adecuado para los ataques DDoS clásicos, que van incrementando su intensidad con el paso de las horas.

·        Los ataques wave, en tanto, tienen una intensidad tal que el equipo local se ve rápidamente desbordado, sin tener tiempo, o el ancho de banda necesario, para invocar la solución basada en la nube.

·        Según la entidad, recuperarse de un pulso toma normalmente algunos minutos, pero para entonces habrá llegado un nuevo pulso, que paralizará la red. Utilizando esta técnica, los atacantes pueden desconectar a organizaciones por prolongados períodos de tiempo, y paralelamente atacar otros objetivos.

Más información

• Imperva Incapsula https://www.incapsula.com/blog/pulse-wave-ddos-pins-down-multiple-targets.html (su descarga requiere registro).

Fuente: Diarioti.com

CIBERATAQUES. Delincuente solitario ataca a más de 4.000 empresas

La escala global del ataque, y las compañías afectadas, sugerían que un grupo de expertos o una agencia patrocinada por algún Estado eran responsables. Sin embargo, todo fue obra de un nigeriano veinteañero.

Check Point® Software Technologies Ltd. (Nasdaq: CHKP), el proveedor mundial especializado en seguridad, ha revelado la identidad del delincuente responsable de una serie de ciberataques contra más de 4.000 empresas de los sectores de energía, minería e infraestructuras.

La campaña comenzó en abril de 2017, y se ha dirigido a algunas de las multinacionales más grandes en las industrias de petróleo y gas, fábricas, banca y construcción. Su escala global, y las compañías a las que apuntaba, sugerían que un grupo de expertos o una agencia patrocinada por algún Estado eran responsables. Pero la realidad es que es obra de un solo nigeriano de unos 20 años que vive cerca de Abuya, la capital del país. En su cuenta de Facebook, utiliza el lema: “hacerse rico o morir en el intento”.

Su ataque utilizó emails fraudulentos, en los que se hacía pasar por el gigante del petróleo y gas Saudi Aramco, el segundo mayor productor de petróleo del mundo. Los correos iban dirigidos al personal financiero de las empresas, y pretendían engañarlos y robar sus datos bancarios.

El ciberdelincuente utilizó NetWire, un troyano de acceso remoto que permite el control total de las máquinas infectadas, y Hawkeye, un programa de keylogging. La campaña ha resultado en 14 infecciones exitosas, lo que ha generado miles de dólares de ingresos para el autor.

Maya Horowitz, directora del equipo de Inteligencia de Amenazas de Check Point, explica: “Este individuo utiliza emails de phishing de baja calidad y malware genérico fácil de encontrar en la red. Sin embargo, su campaña ha sido capaz de infectar a varias organizaciones y ha apuntado a miles más en todo el mundo. Muestra lo fácil que es para un ciberdelincuente relativamente poco cualificado lanzar una ofensiva a gran escala que tiene éxito incluso en las grandes empresas, lo que les permite cometer fraude”.

“Esto hace hincapié en la necesidad de que las corporaciones mejoren su seguridad para protegerse contra el phishing y las amenazas que comprometen sus correos electrónicos, y para formar a los empleados sobre la apertura de mensajes, incluso de compañías o personas que reconocen”.

Desde el descubrimiento de la campaña y el establecimiento de sus orígenes, el equipo de investigación de Check Point ha notificado a las autoridades policiales nigerianas, así como a los cuerpos de seguridad internacionales, y ha compartido sus conclusiones con ellos.

Los ataques que comprometen los correos corporativos han aumentado de forma drástica en los últimos 18 meses. El FBI ha reportado un aumento del 270% en las víctimas desde el inicio de 2016. Esto ha costado a las empresas de todo el mundo más de tres mil millones de dólares en el periodo transcurrido entre 2013 y 2016. También se estima que las víctimas de este tipo de amenaza pierden una media de 50.000 dólares.

Check Point Anti-Spam & Email Security Software Blade protege a sus clientes de ser víctimas de las estafas por email. Su enfoque multidimensional protege la infraestructura del correo electrónico, proporciona cobertura anti-spam muy precisa y defiende a las organizaciones de una amplia variedad de amenazas de virus y malware difundidas a través de mensajes. Además, la tecnología SandBlast ™ Agent with Zero Phishing™ protege a las compañías contra nuevos sites de phishing, así como de amenazas contenidas en documentos y enlaces dentro de correos electrónicos.

Fuente: Diarioti.com

CISCO. Múltiples vulnerabilidades de algunos productos

Cisco ha publicado 3 avisos de seguridad que afectan a los productos Cisco Application Policy Infrastructure Controller (APIC) y Cisco Virtual Network Function (VNF), catalogadas de Importancia: 4 – Alta

Recursos afectados:

·       Cisco Application Policy Infrastructure Controller (APIC) bajo determinadas condiciones.

• Cisco Virtual Network Function (VNF) Element Manager versiones anteriores a 5.0.4 y 5.1.4.

Detalle e impacto de las vulnerabilidades

Cisco ha publicado los siguientes avisos de seguridad:

·        Cisco Application Policy Infrastructure Controller (criticidad alta): Esta vulnerabilidad podría permitir a un atacante remoto autenticado obtener mayores privilegios de los asignados a la cuenta.

·        Cisco Application Policy Infrastructure Controller (criticidad alta): Esta vulnerabilidad podría permitir a un atacante local autenticado obtener privilegios de root.

·        Cisco Virtual Network Function Element Manager (criticidad alta): Esta vulnerabilidad podría permitir a un atacante remoto autenticado obtener mayores privilegios y ejecutar comandos en el servidor en modo root.

Recomendación

·        Cisco ha publicado actualizaciones para corregir las vulnerabilidades. Dichas actualizaciones pueden descargarse desde el panel de descarga de Software Cisco

·        No obstante, recomienda que antes de desplegarlas, los clientes verifiquen la compatibilidad con los entornos en los que serán aplicadas.

Fuente: INCIBE