1 de abril de 2018

DRUPAL. Ejecución remota de código en el core del CMS

El equipo de seguridad de Drupal ha publicado una actualización del core de drupal que corrige una posible ejecución remota de código considerada como muy crítica en versiones 7.x y 8.x, y también en versiones no soportadas como Drupal, catalogada de Importancia: 5 - Crítica
Detalle de vulnerabilidades
La vulnerabilidad conocida permitiría una ejecución remota de código y ha sido calificada como muy crítica por el equipo de Drupal. Se ha asignado el identificador CVE-2018-7600 para esta vulnerabilidad.
Drupal ha informado que la vulnerabilidad permitiría a cualquier visitante de la página web que pueda ejecutar código arbitrario en el sitio web, y acceder a la información del servidor web.
Esta vulnerabilidad ha sido descubierta por Jasper Mattsson durante una investigación general sobre la seguridad de Drupal y por el momento no se conoce la existencia de ningún código que permita explotarla.
Recursos afectados:
Las versiones de Drupal afectadas son:
·        8.x
·        7.x
·        6.x
Recomendación
Actualizar el core de Drupal a la última versión:
·        Drupal 8.5.1
·        Drupal 7.58
En el caso de versiones 8.3.x o 8.4.x, versiones que actualmente ya no son soportadas, también se han publicado parches que corrigen esta vulnerabilidad, en concreto las versiones 8.3.9 y 8.4.6.
En el caso de Drupal 6, esta es una versión “End of Life” y se recomienda ponerse en contacto con un mantenedor de Drupal 6 LTS.
Más información
Fuente: INCIBE

FACEBOOK. La "fea verdad" contada por su vicepresidente

Los problemas de Facebook van in crescendo. Anoche, el portal de noticias Buzzfeed filtraba un memorando escrito hace dos años por el vicepresidente de la compañía e íntimo de Mark Zuckerberg, Andrew Bozworth, el cual apunta a que la red social estaba determinada a crecer a pesar de los riesgos de sus usuarios.
"La fea verdad es que creemos tanto en conectar a las personas que cualquier cosa que nos permita conectar más gente y más a menudo es buena 'de facto'", asegura el memorando al que dio el nombre de 'The Ugly'.
My statement on the recent Buzzfeed story containing a post I wrote in 2016 pic.twitter.com/lmzDMcrjv5
? Boz (@boztank) 29 de marzo de 2018
El escrito afirma que aunque conectar a las personas puede traer resultados positivos, como encontrar el amor o prevenir el suicidio, también puede tener consecuencias negativas. "Tal vez puede costar una vida al exponer a alguien a acoso", afirma el texto de Bozworth.
El memorando de Bozworth revela hasta qué punto el liderazgo de Facebook comprendía riesgos físicos y sociales que conllevaban los productos de la plataforma, incluso cuando la empresa minimizaba esos riesgos en público. "Quizás alguien muera en un ataque terrorista coordinado con nuestras herramientas", continúa. "Conectamos personas", reafirma el memorando. "Es por eso que todo el trabajo que hacemos para crecer está justificado".
Con más de 2.000 millones de usuarios, la incesante búsqueda de crecimiento de Facebook ha llevado a la compañía a aumentar su capitalización de mercado a más de 450 mil millones de dólares. Bozworth es conocido por ser un gran defensor de Facebook y por sus pocos frenos al expresar lo que piensa. "No estoy de acuerdo con el texto hoy y no lo estaba incluso cuando lo escribí", dijo Bozworth en un comunicado enviado a la agencia de noticias AFP."El propósito de ese memo, como muchos otros que he escrito internamente, era llevar a la superficie asuntos que creo que merecen más discusión en la compañía", ha asegurado en su defensa Bozworth.
Por su parte, el presidente de la compañía, Mark Zuckerberg, se ha referido a Bozworth como un líder talentoso que dice cosas provocadoras, como las del escrito. "Esa fue una con la que la mayoría de las personas en Facebook, incluido yo mismo, no estuvimos de acuerdo", ha asegurado. "Nunca hemos creído que el fin justifica los medios", ha insistido.
"why did you write a post you dont agree with?" It was intended to be provocative. This was one of the most unpopular things I've ever written internally and the ensuing debate helped shape our tools for the better.
? Boz (@boztank) 29 de marzo de 2018
La filtración del memorando llega en momentos en que Facebook continúa luchando con un escándalo por los datos usados por la compañía británica Cambridge Analytica, una firma consultora vinculada con la campañía presidencial de Donald Trump.Facebook se enfrenta investigaciones a ambos lados del Atlántico por el uso indebido de los datos de 50 millones de usuarios por parte de la firma.
Fuente: El Mundo.es

FACEBOOK. Recopiló detalles de llamadas y mensajes de sus usuarios de Android

A raíz del escándalo de Facebook y Cambridge Analytica ha comenzado a extenderse la iniciativa de borrar la cuenta personal en la red social. Sin embargo muchos usuarios han descargado su información personal antes de hacerlo y han descubierto que la red social recopiló además los detalles de llamadas y SMS realizados desde su teléfono.
Esta recopilación de información se hacía en los teléfonos Android y la aplicación recogía el tipo de llamada que se había hecho, la hora, la duración y a quién se había realizado. Un seguimiento que también se hacía en los sms -incluso si no se había establecido Facebook Messenger como lector de mensajes-.
Según recoge The Verge, algunos usuarios de Twitter expusieron en la red social que han encontrado meses o años de datos del historial de llamadas en su archivo descargable de datos de Facebook. Por su parte, Ars Technica informó que la red de Zuckerberg solicitó acceso a estos contactos, datos de SMS e historial de llamadas en dispositivos Android para mejorar su algoritmo de recomendación de amigos.
Facebook se defiende
La compañía ha hecho un comunicado oficial en el que explica que esta función en los teléfonos Android requiere el permiso de los usuarios. "El registro del historial de llamadas y mensajes de texto es parte de una función que requiere la autorización de las personas que usan Messenger. Si bien recibimos ciertos permisos de Android, la carga de esta información siempre ha sido voluntaria. La gente tiene que aceptar expresamente usar esta característica", agregó el comunicado.
El problema de esta autorización es que cuando un usuario descarga la aplicación de Facebook, ésta solicita acceso a los contactos del teléfono y la recolección de llamadas y mensajes -que, según la red, se usa para mejorar el algoritmo de recomendación de amigos-.
Sin embargo, anteriormente no se dejaba claro que también quiere acceder a registros de llamadas y registros de SMS, con lo que los primeros usuarios que instalaron la aplicación sus smartphones de Google aceptaron sin saberlo esta recopilación de datos.
Fuente: El Economista.es

Denunciante caso Facebook: Empresa canadiense creó software para detectar votantes republicanos

Un denunciante de Cambridge Analytica dijo el martes que la empresa canadiense AggregateIQ trabajó en el software llamado Ripon que se utilizó para identificar a votantes republicanos antes de las elecciones presidenciales estadounidenses del 2016.
AggregateIQ no respondió de inmediato a la solicitud de comentarios sobre los dichos de Christopher Wylie, quien previamente denunció a la consultora política británica Cambridge Analytica.
Wylie ha revelado antes cómo los datos de usuarios de Facebook fueron utilizados por Cambridge Analytica para ayudar a elegir al presidente de Estados Unidos, Donald Trump.
Ripon, la ciudad en la que se fundó el Partido Republicano en 1854, fue el nombre dado a una herramienta que permite administrar a una campaña su base de datos de votantes, apuntar a votantes específicos, realizar encuestas y gestionar la recaudación de fondos.
“Ahora hay pruebas tangibles en dominio público de que AIQ en realidad desarrolló Ripon, que es el software que usó el algoritmo de los datos de Facebook”, dijo Wylie al Comité Digital, de Cultura, Medios y Deporte del Parlamento británico.
AggregateIQ dijo a Reuters el 24 de marzo que nunca había sido y no es parte de Cambridge Analytica ni ha ingresado en un contrato con Cambridge Analytica, que funciona en total cumplimiento legal y de requisitos reglamentarios y que nunca se había involucrado a sabiendas en ninguna actividad ilícita.
Cambridge Analytica dijo el martes que no había compartido ninguno de los datos de perfil de Facebook brindados por un académico de Cambridge con AggregateIQ. Además, manifestó que no había tenido comunicación con AggregateIQ desde diciembre del 2015.
Fuente: Reuters

FACEBOOK MESSENGER. Diferentes niveles de control y seguridad para los administradores de grupos

Facebook Messenger ha implementado una serie de funciones que permiten a los administradores de grupos establecer diferentes niveles de control y seguridad, entre las que destacan la función de añadir nuevos integrantes al grupo y la posibilidad de hacer administrador a otro usuario o privarle de ese poder.
Con esta nueva actualización de la 'app' de mensajería de Facebook, los usuarios podrán invitar a nuevos integrantes a unirse al grupo a través de un enlace. Las personas que presionen sobre el enlace serán agregadas automáticamente al grupo, siempre y cuando estas nuevas funciones estén desactivadas, según ha detallado la compañía a través de un comunicado publicado en su blog Newsroom.
En este sentido, si el administrador quiera ejercer un mayor control sobre los integrantes del grupo "deberá activar estas nuevas funciones", que por defecto aparecen desactivadas, porque, según entienden desde Messenger, no todos los grupos necesitan el mismo nivel de control.
Estos "privilegios funcionan en un segundo plano, es decir, si el administrador no desea realizar ese nivel de control, "no interferirá en ningún momento en su mensaje grupal". En el caso de ser activado, las invitaciones de nuevos integrantes para participar en el grupo deberán se aprobadas por el administrador.
La utilidad de esta nueva función puede emplearse principalmente en la gestión de grandes grupos, ya que existe la posibilidad de mantener una conversación escrita con hasta 250 personas conectadas a la vez.
Fuente: Europress

GOOGLE. Bloqueo de capturas de pantalla del modo incógnito del navegador Chrome para Android en su versión 65 y superiores

Google Chrome, el navegador web, ha bloqueado las capturas de pantalla en su modo incógnito para Android, esta restricción existe desde la versión 65 de Chrome en adelante. Al intentar hacer una captura los usuarios recibirán una notificación que dice: "No se ha podido realizar la captura de pantalla".
La versión 65 de Chrome se lanzó a principios de este mes en Android con cambios como las nuevas preferencias de idiomas o la posibilidad de leer artículos en 'vista simplificada'. Según el portal "9to5Google", con esta nueva versión, el buscador también bloquea la opción de realizar capturas de pantalla. Al intentar realizar la captura, aparece un mensaje que dice: "No se ha podido realizar la captura de pantalla".
También hay novedades en las pestañas privadas, que ya no aparecerán en el menú 'Recientes' de Android. En Chrome 65 y superiores, la vista previa solo mostrará un cuadro en blanco con el nombre y el logotipo del navegador web.
El citado medio informa de que tampoco está permitido realizar capturas de pantalla en otras aplicaciones como Play películas o Netflix. Al intentarlo, aparecerá el siguiente mensaje: "Solicitar captura de pantalla no está permitido por la app ni la organización". También desplegará un mensaje en caso de que se quiera usar el asistente para compartir: "Algo salió mal. Inténtelo de nuevo más tarde".
Estos cambios de Google buscan que el usuario tenga una mayor seguridad y privacidad cuando navega en el modo incógnito.
Fuente: Europapress

ESPAÑA. Arrestado el líder detrás de Cobalt y Carbanak.

El líder de la banda detrás de Carbanak y Cobalt, malwares que tenían como objetivo cerca de 100 instituciones financieras alrededor del mundo, ha sido detenido en Alicante, España. La detención se ha producido gracias a la colaboración de las autoridades españolas, en colaboración con la Europol, el FBI y autoridades rumanas, bielorrusas y taiwanesas.
Desde 2013, la banda ha intentado atacar distintas entidades bancarias, concretamente los sistemas de pago electrónico usando distintas piezas de malware diseñados por ellos. Esta banda logró afectar a bancos de más de 40 paises y provocado pérdidas cercanas a mil millones en la industria. La magnitud de las pérdidas es enorme, ya que permitió a los atacantes robar cerca de 10 millones de euros por ataque.
El modus operandi del grupo criminal comenzó a finales de 2013, lanzando el malware Anunak dirigido a cajeros automáticos de distintas instituciones bancarias alrededor del mundo. Al año siguiente, los autores de Anunak mejoraron el código del malware a una versión más sofisticada llamada Carbanak, usado hasta finales de 2016. A partir de entonces, los autores dedicaron sus esfuerzos a desarrollar unas oleadas de ataques más sofisticadas usando Cobalt Strike, un software de pentesting.
En todos estos ataques se utilizaba un modus operandi similar, los criminales enviarían a empleados de la banca correos cuyo contenido era spear-phishing (phishing dirigido a usuarios concretos) con un archivo adjunto malicioso. Al ser descargado, el software permitía a los criminales controlar remotamente las máquinas de las víctimas, y obtener acceso a la red interna del banco para poder infectar los servidores que controlan los cajeros automáticos. Gracias a esto, los atacantes poseían la información suficiente para poder extraer dinero de los cajeros.
Para poder sacar dinero, los atacantes enviaban órdenes a los cajeros de manera remota. El dinero era recolectado por grupos criminales organizados, que daban soporte al sindicato criminal principal. Al enviarse la orden, un miembro del grupo estaba esperando cerca de la máquina para extraer el dinero del cajero. La red de pagos electrónicos se utilizaba para transferir el dinero a otras cuentas de la organización o de distintas entidades bancarias. Las bases de datos también eran manipuladas, para aumentar las cantidades de dinero que luego eran extraidas por las mulas. Finalmente, el dinero se lavaba a través de criptomonedas, utilizadas para comprar casas y coches de lujo.
La Europol facilitó el intercambio de información entre las distintas partes de la investigación, quienes de la misma manera afirma: "El arresto de la figura clave en este caso confirma que los cibercriminales no pueden continuar escondiendose detrás de la anonimidad internacional."
Más información:
·        Mastermind behind EUR 1 billion cyber bank robbery arrested in Spain https://www.europol.europa.eu/newsroom/news/mastermind-behind-eur-1-billion-cyber-bank-robbery-arrested-in-spain
Fuente: Hispasec

SQL Injection en componente MilestoneFinder de Gitlab CE/EE


Clasificada como crítica, esta vulnerabilidad fue encontrada en GitLab Community Edition y Enterprise Edition 10.1/10.2/10.2.4.
Seguramente conozcais GitHub, sistema de control de versiones en git. GitLab es básicamente GitHub en vuestros servidores, con sus ventajas y desventajas. Entre las desventajas podemos destacar mantener al día las actualizaciones de seguridad tanto del servidor como de GitLab.
Una función que aún se desconoce del componente MilestoneFinder es afectada por esta vulnerabilidad. A través de la manipulación de un input desconocido se causa una vulnerabilidad de clase SQL Injection. Esto tiene repercusión sobre la confidencialidad, integridad y disponibilidad.
Existe un error en el componente MilestoneFinder que podría ser aprovechado por un atacante remoto para realizar ataques de inyección SQL y afectar a la confidencialidad, la integridad y a la disponibilidad.
No hay información respecto a posibles contramedidas. Se recomienda actualizar a las últimas versiones disponibles.
Mas información
·        Gitlab CE and EE version 10.1, 10.2, and 10.2.4 are vulnerable to a SQL injection in the MilestoneFinder component. https://www.cvedetails.com/cve/CVE-2017-0914/
·        GitLab Security Release: 10.3.4, 10.2.6, and 10.1.6 https://about.gitlab.com/2018/01/16/gitlab-10-dot-3-dot-4-released/
Fuente: Hispasec

MOVISTAR. Calidad 4K de TV y alianza con Cloudera para BIG DATA

Movistar prepara estos días el lanzamiento comercial de su primer descodificador de ultra alta definición (4K). Entre otras ventajas, este nuevo hardware permitirá mejorar la experiencia audiovisual a los clientes que dispongan de televisores compatibles con la tecnología 4K.
Tras superar con éxito la fase de pruebas, el futuro descodificador de los clientes de Movistar Fusión ofrecerá una calidad de resolución cuatro veces superior a la actual Alta Definición (High Definition, HD), con cerca de 4.000 píxeles de resolución horizontal. Además, el dispositivo permitirá apreciar la calidad 4K UHD con HDR (Alto rango dinámico), sistema que ajusta la exposición perfecta de la iluminación en todas las partes de la escena que aparece en la pantalla.
Fuentes de la filial española de Telefónica ya reconocieron a finales del año pasado la intención de lanzar el nuevo descodificador 4K "de forma masiva en el segundo trimestre del año próximo", sin que por el momento se hayan producido incidencias que inviten a cambiar los planes iniciales.
Actualización muy esperada
Con este nuevo paso al frente tecnológico, la compañía de telecomunicaciones se pone al día en un ecosistema que ya han acogido con entusiasmo los proveedores de contenidos y los fabricantes de televisores. Los primeros ya consideran el 4K como el nuevo estándar para la producción de sus series y películas, mientras que los segundos esperan multiplicar las ventas de dispositivos compatibles con 4K a lo largo de este año.
Asimismo, tanto Orange, Vodafone como Euskaltel -entre otros operadores de TV de pago- ya disponen de descos capaces de procesar las imágenes en ultra alta definición. Entre las fortalezas del futuro dispositivo de Movistar sobresale la conectividad adicional través de WiFi (además del sistema tradicional vía ethernet), aunque inicialmente el acceso inalámbrico sólo estará al alcance de aquellos que dispongan del nuevo HGU de Movistar o un adaptador WiFi+.
Todo apunta a que la puesta de largo del nuevo descodificador se complementará con una mayor oferta de contenidos en 4K. En la actualidad, la oferta de Movistar TV sólo incluye el fútbol en calidad 4K una vez por semana, en concreto el Movistar Partidazo 4K (en el dial 440) y beIN Sports 4K (en el dial 441). En poco tiempo, se enriquecerá el catálogo con la Fórmula 1, estrenos, series, así como todo tipo de eventos deportivos, como torneos de tenis del Grand Slam y los partidos de la NBA. Según datos del mercado, la venta de televisores con tecnología Ultra Alta Definición creció en España el pasado año más de un 350%.
Según explicaron fuentes de Telefónica España en el último 4K Summit celebrado en Málaga, "Movistar ha cambiado la forma de consumo audiovisual, ya que el 40% de la televisión que se ve en Movistar+ no se disfruta en directo, sino en otro momento y con otros dispositivos distintos al televisor".
Alianza con Cloudera en 'Big Data'
La compañía Cloudera, especializada en análisis de datos optimizados para la nube, ha adaptado su tecnología de 'Big Data' para Telefónica España, en un proyecto orientado a la mejora de toma de decisiones, de la calidad del servicio y de la experiencia del usuario. De este modo, la 'teleco' ha desarrollado un sistema de análisis que recoge, almacena y procesa los más de más de 10 billones de registros diarios de datos anónimos de las interacciones de los usuarios, con el objetivo de ayudar a Telefónica a ser más precisa en la personalización de ofertas de TV, en la optimización de resoluciones de cumplimiento y en la gestión logística de los terminales.
Fuente: El Economista.es

EEUU. Dron de EEUU armado como un F35 y que despegará desde portaaviones

El Ejército de EEUU está trabajando en el desarrollo de un gigantesco dron que llevará el mismo armamento que el caza F-35 de Lockheed Martin y que será capaz de despegar desde cualquier portaaviones para facilitar su agilidad y rapidez en operaciones de todo tipo
Esas han sido las especificaciones que la Marina norteamericana ha detallado que contará el proyecto MUX, una iniciativa que desarrolla el grupo de trabajo Marine Air Ground Force y que busca que el arma esté en funcionamiento en el 2034.
El grupo ha especificado que el nuevo dron será de categoría 5, la misma que los actuales Predator y Reaper del ejército estadounidense con lo que contará con una envergadura de unos 20 metros y una longitud de alrededor de 11 metros. Sin embargo, a diferencia de éstos, el proyecto MUX contará con un sistema de aterrizaje y despegue en vertical, con lo que no hará falta un aeródromo para ponerlos en vuelo.
Según informa Military.com, la idea de que puedan despegar desde los portaaviones llega porque se busca que este nuevo dron pueda servir de escolta de los actuales F-35. Y es que los marines buscan un dron autónoma que les permita transportar carga y servir de escudo a sus naves, pero que además tenga capacidad operativa temprana con un sistema de despegue y aterrizaje en el mar para 2028, aunque también podrá hacerlo desde tierra desde 3 años antes.
La escolta de los F-35
Para que el dron pueda escoltar a los F-35 Lightning II, la variante naval de los aviones de Lockheed Martin, contará con una carga completa de armas con un alcance de 700 millas naúticas (unos 1.300 kilómetros), una serie de sensores con los que se podrá acoplar a la ruta de los aviones y la capacidad de volar a 30.000 pies (la altitud de crucero típica de un avión comercial)
El dron escoltará y establecerá una red con otros aviones tripulados y llevará a cabo ataques aéreos coordinados con las naves que sí están tripuladas, una coreografía aérea que busca la integración entre hombre y máquina para "cubrir nuestras costuras", explica el teniente general Jon "Dog" Davis, vicecomandante de aviación de la Marina a Military.com
Davis explica que el objetivo del proyecto es maximizar la eficiencia y el tiempo por misión y, en última instancia, busca un dron que pueda hacer lo mismo que podría hacer un avión tripulado. "Se trata de asegurarse de que los marines tengan la mejor protección donde sea que vayan, hagan lo que hagan", añade
Fuente: El Economista.es

XSS en WordPress Plugin Duplicator

Permite que código arbitrario JavaScript pueda ser ejecutado en el lado del cliente si un atacante persuade a la víctima para que pulse sobre la URL bajo el control de éste.
El plugin Duplicator realiza la migración de datos al vuelo entre hosts que tengan instalado el CMS WordPress. Permite tanto backups completos del sitio como partes del mismo.
Simplemente con instalarlo y a golpe de ratón, los usuarios que tengan su blog u ofrezcan algún tipo de servicio pueden utilizarlo para por ejemplo, mover su sitio a otro hosting que le ofrezca un mejor precio.
Como has podido deducir, un gran número de sitios tienen este tipo de plugins. En este caso el Plugin Duplicator tiene según el autor +1 millón de instalaciones. La versión afectada es la 1.2.32 (aunque es probable que las anteriores también lo sean).
Según en las instrucciones de la web del autor, la ruta de instalación se encuentra en:
/wp-content/plugins/duplicator
Vamos a investigar qué nos cuenta Google indicando la ruta de instalación:
Se puede acotar la búsqueda para localizar el fichero “Readme” que contiene información útil como puede ser la versión actual del plugin. Ampliamos la búsqueda para que nos muestre el contenido del “Index Of” del directorio en cuestión:
Comprobamos la versión actualmente instalada:
Para explotar esta vulnerabilidad XSS el atacante debe enviar la siguiente petición POST al servidor:
POST /wp-content/plugins/duplicator/installer/build/view.step4.php
Finalmente se obtendría la respuesta donde se ve la cadena inyectada:
Esta vulnerabilidad se puede explotar si el instalador no ha sido eliminado por el administrador del sitio.
Se recomienda actualizar este plugin a la última versión disponible. En este caso a la 1.2.34.
Más información:
Fuente: Hispasec

Fallo en la función de Asistencia Remota de Windows permite robar información

Se descubre vulnerabilidad crítica que afecta a todas las versiones de Windows.
La Asistencia Remota de Windows es una herramienta preinstalada que permite que alguien de confianza tome el control de tu PC. Usualmente se utiliza para prestar ayuda sin necesidad de desplazamiento.
Esta herramienta está basada en RDP (Remote Desktop Protocol) para establecer las conexiones de manera segura. Sin embargo, el investigador de Trend Micro "Nabeel Ahmed" ha descubierto una vulnerabilidad de fuga de información (CVE-2018-0878) que podría permitir a los atacantes obtener información para comprometer el sistema. El fallo de seguridad reside en la forma que Windows procesa las Entidades Externas XML (XXE).
Microsoft corrigió la vulnerabilidad este mismo mes. Por ello, el investigador ha lanzado los detalles técnicos y el código de la prueba de concepto.
El ataque se basa en la inclusión de carga maliciosa en la invitación de acceso. Al configurar la asistencia remota, Windows ofrece dos opciones: invitar a alguien o responder. Al escoger la opción invitar a alguien, se genera un archivo de invitación que contiene una serie de parámetros XML. Como el analizador no valida el contenido, se puede modificar este archivo para que envíe el contenido malicioso a través del mismo.
Por tanto se recomienda a todos los usuarios que actualicen Windows a la última versión.
Más información:
Fuente: Hispasec

TELERAT. El troyano que utiliza la API de Telegram para exfiltrar información

Investigadores de Palo Alto Networks analizan una nueva familia de RAT que utiliza exclusivamente la API de Telegram para enviar y recibir la información.
TeleRAT es un troyano para Android diseñado para robar información. Sus objetivos principales parecen apuntar a ciudadanos iraníes y guarda bastante relación con otro troyano de similares características y objetivos: IRRAT.
La novedad que introduce esta nueva familia es que utiliza únicamente la API de Telegram para comunicarse con el C2 para recibir comandos y enviar la información.
El malware funciona de la siguiente forma:
En primer lugar se crean los archivos 'telerat2.txt' con información técnica sobre el dispositivo. Y 'thisapk_slm.txt' con la dirección del canal de Telegram y una lista de comandos aceptados.
Una vez instalado en el sistema, el malware envía a los atacantes un mensaje con la fecha y la hora, indicando que está operativo. A la vez, el malware inicia varios servicios que monitorizan el portapapeles del dispositivo y otros que quedan a la espera de actualizaciones desde la API de Telegram.
Utilizando esta vía de comunicación los atacantes pueden dar ordenes al troyano para recibir diversa información: la lista de contactos, su localización, información sobre la batería, el portapapeles, etc. También permite exfiltrar ficheros utilizando el método 'sendDocument'. Al utilizar exclusivamente la API de Telegram hace más difícil la detección de estos comportamientos
El malware se ha distribuido en algunos markets iraníes y canales de Telegram haciéndose pasar por aplicaciones legítimas con nombres como "Telegram Finder" o "Profile Cheer".
Más información:
Fuente: Hispasec

FAKEBANK. El troyano bancario que intercepta tus llamadas

El troyano bancario está dirigido a bancos coreanos y es capaz de interceptar las llamadas entre las víctimas y el banco.
A diferencia de versiones anteriores de Fakebank, esta nueva variante es capaz de interceptar las llamadas entre el usuario y su entidad bancaria y viceversa. Para ello, el troyano recolecta en primer lugar información personal del usuario y la envía al servidor de C&C. Posteriormente, el C&C responde con varios parámetros de configuración, especificando entre otras cosas el número de teléfono que será usado en el fraude:
  • phoneNum_ChangeNum: El número legítimo del banco, que será reemplazado por el número fraudulento cuando el usuario haga la llamada.
  • phoneNum_To: El número de los atacantes que simulará ser el banco.
  • phoneNum_Come: El número del atacante que llamará a la víctima. Se falsificará el ID de la llamada.
  • phoneNum_ShowNum: El número legítimo del banco que se mostrará cuando los atacantes realizan la llamada.
Cuando el usuario llame a su entidad bancaria el malware interceptará la llamada y la redirigirá a los atacantes. Y al contrario, cuando los atacantes simulen una llamada de la entidad bancaria, suplantarán la identidad de ésta falsificando el ID de la llamada.
De este modo los atacantes tienen un mecanismo bastante efectivo para engañar a sus víctimas.
No solo esto, el malware también ha mejorado su sistema de permisos, ajustándose a las distintas versiones de Android para conseguir pasar más inadvertido:
  • Versiones anteriores a Android 6 especificarán el permiso de 'android.permission.SYSTEM_ALERT_WINDOW' en el 'manifest' de la aplicación, por lo que se notificará en la instalación.
  • En Android 6 y 7 los permisos se conceden de forma silenciosa si se declaran en el 'manifest' y la aplicación proviene de Google Play.
  • A partir de la versión 8 de Android ya no se permite superponer ventanas desde aplicaciones, por lo tanto el malware no funcionaría.
Como recomendaciones de seguridad se recomienda siempre instalar aplicaciones de repositorios oficiales y poner especial atención a los permisos que se solicitan.
Más información:
Fuente: Hispasec

INTEL. Múltiples vulnerabilidades en SGX

Se han encontrado dos vulnerabilidades en SGX de Intel, una de criticidad alta y otra de criticidad media. Estas vulnerabilidades podrían permitir a un usuario local el acceso a información no autorizada, la elevación de privilegios y la ejecución de código arbitrario.
Detalle de vulnerabilidades
La vulnerabilidad de criticidad alta podría permitir la elevación de privilegios a un usuario local y la ejecución arbitraria de código como administrador. Se ha reservado el identificador CVE-2018-5736 para esta vulnerabilidad.
Recursos afectados:
Productos desarrollados con el kit de desarrollo (SDK) Intel Softwar Guard Extensions (SGX):
  • Versiones 2.12 y anteriores para Linux.
  • Versiones 1.9.6 y anteriores para Windows.
  • Intel Software Extension Platform Software Component en versiones 1.9.105.42329 y anteriores
Recomendación
Intel ha puesto a disposición de los usuarios diversas medidas para solucionar las vulnerabilidades según las necesidades:
1.    Actualizar SGX  SDK:
1.1. Para sistemas operativos Linux con la versión 2.1.2 aplicar el parche de seguridad. https://01.org/intel-software-guard-extensions/downloads
1.2. Para sistemas operativos Windows con la versión 1.9.6 aplicar el parche de seguridad. https://registrationcenter.intel.com/en/forms/?productid=2614
2.    Los desarrolladores deberán recompilar y reeditar sus enclaves (regiones de memoria privada) tras la aplicar el parche de seguridad.
Si los desarrolladores han empleado los atributos "string"  y/o "sizefunc" en la interfaz de sus enclaves, deberán revisar la guía técnica y determinar  cuales deben recompilar tras la actualización.
Más información
Fuente: Hispasec

AMD. Vulnerabilidades en algunos procesadores

CTS Labs ha descubierto múltiples vulnerabilidades en productos de AMD que podrían permitir la evasión de las medidas de seguridad, la instalación de malware de dificil detección y el acceso físico a la memoria, catalogadas de  Importancia: 4 - Alta
Detalle de vulnerabilidades
MASTERKEY: Un atacante con privilegios de administrador que previamente haya comprometido la seguridad del sistema, podría comprometer la seguridad de las actualizaciones del sistema, corrompiendo sus contenidos y eludiendo los controles de seguridad. Las comprobaciones de AMD Secure Processor (PSP) no detectan esta corrupción. Estos cambios son persistentes al reinicio del sistema.
RYZENFALL y FALLOUT: Un atacante con permisos de administrador que previamente haya comprometido la seguridad del sistema, podría escribir en los registros del procesador y explotar las vulnerabilidades en la interfaz entre SMM (x86) y AMD Secure Processor (PSP). El atacante podría instalar malware  difícil de detectar en SMM(x86).
CHIMERA: Un atacante con permisos de administrador que previamente haya comprometido la seguridad del sistema, podría instalar un controlador malicioso que expusiera ciertas funciones Promontory. El atacante podría acceder a la memoria física a través del chipset. Podría instalarse malware difícilmente detectable en el chipset pero no sería persistente a los reinicios.
Recursos afectados:
Procesadores AMD Zen de los últimos 6 meses, esto incluye:
  • EPYC (afectados por MASTERKEY y FALLOUT)
  • Ryzen (afectados por MASTERKEY, RYZENFALL y CHIMERA)
  • Ryzen Pro (afectados por RYZENFALL y CHIMERA)
  • Ryzen Mobile (afectados por RYZENFALL)
Recomendación
MASTERKEY, TYZENFALL y FALLOUT: AMD publicará un parche de firmware a través de una actualización de BIOS indicando que no se espera un impacto en el rendimiento y está trabajando en actualizaciones de firmware para AMD Secure Processor (PSP).
CHIMERA: AMD publicará un parche de firmware a través de una actualización de BIOS indicando que no se espera un impacto en el rendimiento y está trabajando con el proveedor que diseñó y fabricó el chipset "Promontory" para ofrecer una mitigación apropiada.
Más información
Fuente: INCIBE

Actualizaciones de seguridad para Citrix XenServer

Se han descubierto varias vulnerabilidades en Citrix XenServer que podrían permitir a un atacante ejecutar código arbitrario, provocar una denegación de servicio o realizar una escalada de privilegios, catalogada de  Importancia: 5 - Crítica
Recursos afectados:
1.    XenServer 7.3
2.    XenServer 7.2
3.    XenServer 7.1 LTSR Cumulative Update 1
4.    XenServer 7.0
Recomendación
Los clientes que utilicen el modo de red "Linux bridge" no se verán afectados por el problema de compromiso de host.
Descargar y aplicar las siguientes actualizaciones:
Detalle de vulnerabilidades:
Openvswitch MPLS, en Citrix XenServer versiones 7.0 y 7.1, presenta una vulnerabilidad crítica de desbordamiento de buffer que puede permitir a un atacante remoto ejecutar código arbitrario a través de paquetes MPLS. Se ha reservado el código CVE-2016-2074 para esta vulnerabilidad.
Una en Xen 4.10.x puede permitir a un usuario invitado causar una denegación de servicio o realizar una escalada de privilegios activando una transicion en la tabla de v2 a v1. Se ha reservado el código CVE-2018-7541 para esta vulnerabilidad de criticidad alta.
Para la vulnerabilidad de severidad media se ha reservado el código CVE-2018-7540.
Más información
·        Citrix XenServer Multiple Security Updates  https://support.citrix.com/article/CTX232655
Fuente: INCIBE