Fallo en actualización de Mac OS X permite ver las contraseñas de acceso al sistema
Últimamente, Apple no gana para disgustos. Por si los cientos de miles de ordenadores Mac infectados por el troyano Flashback no fueran suficiente problema para los chicos de Cupertino, ahora una actualización de seguridad de Lion contiene un fallo que podría revelar las contraseñas de todos los que se hayan registrado en el sistema desde que se aplicó la actualización.
Este fallo afecta especialmente al sistema de cifrado que incorpora Mac OS X, FileVault, ya que permitiría a usuarios no autorizados a acceder sin problemas a archivos protegidos con este sistema. Debido a que el fichero que contiene las credenciales es accesible desde fuera del área cifrada, es posible para un usuario con permisos de administrador obtener estos datos, incluso conectando el disco duro vía Firewire.
Peor aun. Si usamos Time Machine, la aplicación que proporciona Apple para la realización de copias de seguridad de nuestros datos en discos externos y lo perdemos, los ladrones podrían acceder a los datos almacenados aunque estos se encuentren cifrados. Esto supone un grave problema de seguridad para todos aquellos usuarios que hayan confiado en estas aplicaciones para proteger sus datos de miradas no autorizadas.
Este fallo en la actualización de seguridad de Mac OS 10.7.3 puede traer muchos quebraderos de cabeza a los usuarios, si no los ha traído ya, puesto que dicha versión se lanzó el 1 de febrero, lo que supone hasta tres meses de posibles accesos no autorizados a todos aquellos usuarios que realizaran dicha actualización.
Hasta la fecha, Apple no ha realizado mención alguna sobre este fallo y es posible que, ahora que ya es público, veamos una actualización que lo solucione en poco tiempo. Desde el laboratorio de ESET en Ontinet.com recomendamos aplicar el correspondiente parche cuando este se encuentre disponible.
Josep Albors
@JosepAlbors
Sabpab: nuevo malware para Mac
Llevamos unos días muy intensos en lo que a seguridad en sistemas Mac OS X se refiere. Tras todo el revuelo que armó el troyano Flashback con una cantidad que, según un análisis realizado en los laboratorios de ESET, podría superar los 600.000 equipos que se anunciaron en primera instancia formando parte de una botnet, en los últimos días estamos detectando una nueva amenaza para esta plataforma de nombre OSX/Sabpab.A.
Hemos detectado que este nuevo troyano usa dos vectores de ataque para infectar al sistema. Una primera variante se aprovechaba de una vieja vulnerabilidad de Microsoft Office 2004 y 2008 para Mac, usando un fichero de Word especialmente modificado para engañar al usuario e instalar el troyano en el sistema. Esta técnica está relacionada con la usada para atacar a ONGs tibetanas y que comentamos el mes pasado en este mismo blog.
Por otra parte, una variante mas reciente se aprovecha de la misma vulnerabilidad en Java que usó el troyano Flashback para infectar a sus víctimas, si bien hay una diferencia importante entre esta amenaza y la finalidad que persigue Sabpab. Si bien Flashback buscaba infectar al máximo número de equipos posibles, Sabpab está centrada en ataques dirigidos (APT), en una propagación muy pequeña pero con víctimas especialmente escogidas de las que obtener valiosa información. Esto le ha permitido a esta amenaza pasar desapercibida durante casi dos meses desde su creación.
Como vemos, el malware para Mac ha pasado de ser una anécdota a una amenaza real para los usuarios de esta plataforma y, aunque desde el laboratorio de ESET en Ontinet.com aun vemos pocos ejemplares de malware orientados a Mac, es importante que se usen medidas de seguridad adecuadas independientemente del sistema operativo.
Josep Albors
@JosepAlbors
El troyano Flashback infecta más de 600.000 Mac
La Semana Santa que acabamos de dejar atrás ha estado sin duda protagonizada en materia de seguridad por el descubrimiento de más de 600.000 equipos Mac infectados con una nueva variante del troyano Flashback.
Este troyano, del cual ya hemos hablado en este blog, lleva infectando equipos con sistemas Mac OS desde mediados de 2011 y, con el paso del tiempo, mejora sus técnicas, pasando de ser un falso instalador de Adobe Flash Player en sus primeras versiones a aprovecharse de diversas vulnerabilidades en Java en la versión más reciente y que ha causado este elevado número de sistemas infectados.
Pero, ¿cómo ha podido producirse una infección tan grande (comparable a la de Conficker en Windows) en un sistema que siempre ha presumido de seguridad e inmunidad al malware? Para encontrar la respuesta, primero de todo hay que analizar uno por uno los diversos factores que han intervenido en esta infección masiva.
Por una parte tenemos a Apple y su manera de entender la seguridad. Actualmente, la compañía de la manzana no se caracteriza por la rapidez a la hora de lanzar parches de seguridad, pudiendo pasar meses entre ellos y dejando una ventana de tiempo bastante amplia para que los ciberdelincuentes hagan de las suyas.
Luego tenemos al software de Java que ha sido usado para propagar e infectar con las últimas variantes de Flashback aprovechando diversas vulnerabilidades. Estas vulnerabilidades se conocían desde hace tiempo y ya fueron solucionadas en otros sistemas operativos hace semanas mediante una actualización del software. El problema en Mac es que no es Oracle (la desarrolladora de Java) la que lanza las actualizaciones para los usuarios con una versión vulnerable, sino la propia Apple, y esta ha tardado más de lo debido.
Por último tenemos al, normalmente, eslabón más débil: el usuario. Si en sistemas Windows el engaño y el uso de ingeniería social es algo que funciona muy bien a los ciberdelincuentes, en Mac no es una excepción, acrecentado además por la falsa sensación de tener un sistema “invulnerable” cuando la verdad es que las últimas versiones de Flashback no necesitaban siquiera que el usuario introdujese su contraseña de administrador.
Ante este panorama, ¿deben los usuarios de Mac asustarse ante una inminente llegada de grandes cantidades de malware para su sistema? De momento no hay motivos para que cunda el pánico, puesto que el número de muestras que se detectan cada día de malware para Mac sigue siendo muy bajo si lo comparamos con las destinadas a afectar sistemas Windows.
No obstante, todos los laboratorios antivirus hemos visto en los últimos meses un creciente interés de los desarrolladores de malware en los sistemas Mac OS, por lo que sería aconsejable que los usuarios empezasen a tomar medidas preventivas y destierren de una vez por todas el mito de usar un sistema invulnerable.
Es por ello que desde el laboratorio de ESET en Ontinet.com nos gustaría dar una serie de consejos a aquellos usuarios de Mac que quieran obtener más información sobre cómo proteger su sistema:
- Comprobar si nuestro sistema está infectado por el troyano Flashback. Para ello se pueden seguir las instrucciones que nuestros compañeros de Seguridad Apple han preparado para tal efecto.
- Si no se ha hecho ya, aplicar las actualizaciones correspondientes que Apple lanzó para solucionar las vulnerabilidades en Java aprovechadas por el troyano para infectar los sistemas. Se puede forzar una búsqueda de actualizaciones desde el menú Aplicaciones > Preferencias del sistema > Actualización de software > Buscar ahora.
- Desactivar Java. Si no se usa este software, cuyas vulnerabilidades son de las más aprovechadas actualmente para instalar malware, es recomendable desactivarlo. Para ello accedemos al menú Aplicaciones > Utilidades > Preferencias de Java y desmarcamos las casillas correspondientes a la versión de Java usada.
- Por último, recordamos que existen varias soluciones de seguridad como ESET Cybersecurity para Mac que pueden ayudarnos a detectar y eliminar este tipo de amenazas.
En conclusión, las amenazas para Mac han dejado de ser algo anecdótico para pasar a ser un riesgo real. Con más de 600.000 sistemas infectados, Flashback ha demostrado que es perfectamente posible portar el malware que estamos acostumbrados a ver en Windows a Mac con buenos resultados. Es por ello que es necesario que tanto los usuarios como la propia Apple tomen medidas ahora que aún están a tiempo para protegerse proactivamente y evitar más infecciones de este tipo.
Josep Albors
@JosepAlbors
Nueva variante de OSX/Imuler sigue siendo una amenaza para Mac OS X
El malware para Mac OS X sigue siendo poco en relación a las ingentes cantidades de códigos maliciosos que analizamos diariamente en nuestros laboratorios. No obstante, durante los últimos meses estamos viendo un crecimiento importante en la cantidad de muestras destinadas a infectar sistemas Mac, lo que denota el interés cada vez más creciente de los ciberdelincuentes en esta plataforma.
Cuando hablamos de técnicas de infección en Mac OS, vemos que no son muy diferentes a las usadas en Windows. Tenemos ejemplos como los del malware Flashback, que ha ido evolucionando durante meses hasta convertirse en una elaborada amenaza. Sin embargo, los ciberdelincuentes también pueden optar por usar la ingeniería social y engañar al usuario para que ejecute él mismo el archivo infectado, como en este caso.
La variante del código malicioso OSX/Imuler que vamos a analizar hoy se encuentra camuflada como una supuesta fotografía dentro de dos archivos comprimidos que se están propagando actualmente y tienen los siguientes nombres:
- “Pictures and the Ariticle of Renzin Dorjee.zip”
- “FHM Feb Cover Girl Irina Shayk H-Res Pics.zip”.
Si abrimos cualquiera de los dos archivos observaremos una serie de fotografías de diferente temática según el archivo abierto. Si, por ejemplo, abrimos el archivo que contiene imágenes de la modelo Irina Shayk, actual novia del futbolista Cristiano Ronaldo, encontraremos la siguiente galería:
Como vemos todo parece normal hasta que nos fijamos en un detalle. Hay un archivo que simula ser una foto pero la extensión es la de una aplicación. Este es el sencillo truco que han usado los ciberdelincuentes para hacer que el usuario caiga en la trampa y ejecute el código malicioso.
El malware que se instala en nuestro sistema una vez ejecutado es un troyano que roba información de la víctima (capaz de enviar archivos y capturas de pantalla a un servidor remoto) y que además incluye el sistema infectado en una botnet. Estas funcionalidades son muy similares a las que realizaban versiones anteriores de este mismo código malicioso, por lo que es probable que esta nueva variante se haya lanzado para intentar eludir la detección por los software antivirus.
Además, OSX/Imuler tiene la capacidad de enviar archivos aleatorios del sistema al centro de control de la botnet. Para ello se usa un ejecutable adicional y específico llamado CurlUpload, que se descarga desde el C&C de la botnet cada vez que se inicia el malware. Este archivo ejecutable independiente fue visto por primera vez a principios de 2011 y presenta unas interesantes líneas de código que sugieren la posibilidad de que, inicialmente, fuera diseñado para Windows pero después fue recompilado para ser usado en Mac OS X.
Para evitar que nuestro sistema Mac OS X quede infectado es importante saber reconocer una aplicación maliciosa cuando esta simula ser otro tipo de archivo. Para ello, al igual que en explorador de Windows, tenemos la posibilidad de hacer que se muestren las extensiones de los archivos en el Finder, opción que se activa desde el panel de preferencias de esta aplicación.
Además, como protección adicional, siempre podemos contar con la ayuda de un antivirus como ESET Cybersecurity que detecta esta amenaza como OSX/Imuler.C. El creciente número de amenazas para el popular sistema operativo de Apple, hace recomendable que nos preocupemos cada vez más en la seguridad de nuestro sistema y dejemos de lado ciertas campañas de marketing que prometían un sistema invulnerable.
Es por ello que, desde el laboratorio de ESET en Ontienet.com recomendamos aplicar las mismas políticas de seguridad independientemente del sistema operativo que usemos. Solo así evitaremos caer en la sensación de falsa inmunidad y mantendremos nuestro sistema seguro ante posibles amenazas.
Josep Albors
@JosepAlbors
Retiran WhatsApp de iTunes por posibles problemas de seguridad
Hoy leemos que, una vez más, la popular aplicación de mensajería Whatsapp es protagonista en las noticias de seguridad: no es la primera vez ni será la última… En este caso, no está muy claro por qué, pero se ha retirado de la App Store, según ha confirmado la cuenta twitter de WhatsApp:
Lo cierto es que la conocida y popular aplicación ya ha sufrido de varios problemas de seguridad, pero hasta ahora, ninguno de ellos había propiciado que se tomaran decisiones tan drásticas como esta. Que se sepa, de momento se ha retirado solo del App Store de iTunes -y puede ser que haya sido ya restituida-, pero no se tienen noticias de que también se haya quitado o sustituido la del Android Market.
En este blog ya nos hemos hecho eco del problema derivado del no cifrado de los mensajes que se intercambian a través de esta aplicación, lo que dejaría nuestra información descubierta y a disposición de cualquiera que quisiera interceptarla. Pero hay más. Según la compañía de seguridad SEC Consult Singapore, los riesgos pudieran ser mayores y alertan de la posibilidad de:
1) Cambiar el estado de cualquier persona que utilice WhatsApp, al no haber una comprobación fuerte de quién está poniendo el estado nuevo.2) Realizar un ataque de fuerza bruta al código de registro del teléfono.3) Capturar las conversaciones al no ir cifradas, algo conocido ya, y que ha llevado a la aparición de herramientas de sniffing especializadas.
De cualquier modo, y mientras se aclaran las causas -si es que se conocen algún día-, lo que está claro es que el equipo de Whatsapp no ha querido poner en riesgo su reputación y ha optado por una solución rápida y efectiva. Esperamos que la nueva versión resuelva lo que tenga que resolver y si ya de paso arreglan el resto, mejor que mejor.
Yolanda Ruiz
Los ciberdelincuentes también reciclan: la amenaza de 2002 Linux/Tsunami ataca ahora a Mac
La creatividad de los ciberdelincuentes no tiene límites, ni tampoco su capacidad de reciclaje. Hoy nos hacemos eco, desde el laboratorio de investigación de ESET, de una nueva variante de un backdoor creado en 2002. Lo más curioso es que esta amenaza, originalmente desarrollada para atacar a sistemas Linux, ha sido remozada para infectar a sistemas Mac OS X.
Una vez instalado en el sistema, este backdoor permite tomar el control remoto del Mac mediante IRC para crear una red de bots que lancen ataques DDoS (ataques de denegación de servicio). El ejemplar analizado contiene una extensa lista de servidores IRC y de canales a los que intenta conectarse y desde los que lee e interpreta diferentes órdenes. Podéis ver la lista de los comandos utilizados en la siguiente imagen, que contiene una porción del código fuente de la variante de Linux.
Además de permitir ataques DDoS, el troyano permite la descarga de ficheros de forma remota, tales como otro tipo de malware o actualizaciones del propio código de la muestra. Además, como sucede en la mayoría de botnets, se pueden ejecutar comandos que permiten tomar el control de la máquina afectada. En términos de funcionalidad, la variante para Mac de este backdoor es similar a su antigua versión para Linux, con cambios tan solo en el servidor IRC, el canal y la contraseña, siendo la mayor diferencia que en esta ocasión se trata de un binario de Mach-O (Mac OS) en lugar de un binario ELF (Linux).
Desde el laboratorio de ESET en Ontinet.com recordamos que nuestras soluciones de seguridad (incluyendo ESET Cybersecurity para Mac) detectan este nuevo ejemplar como OSX/Tsunami.A. No obstante, hay que estar alerta ante nuevas amenazas “recicladas” ya que, al tener como base el sistema operativo UNIX, hay amenazas para Linux que pueden ser portadas a Mac OS (y viceversa) sin muchas dificultades.
Josep Albors
Apple actualiza XProtect mientras aparece un nuevo troyano para Mac
Como reacción a la aparición del troyano Revir/Imuler, Apple ha decidido lanzar una actualización de XProtect, el sistema de detección de malware que viene incorporado en los Mac. Este sistema tan solo tenía hasta este momento 18 bases de firmas de virus, cantidad que se nos antoja más que insuficiente para hacer frente a las cada vez más elaboradas y numerosas amenazas para Mac.
Esta estrategia para combatir el malware hace muchos años que dejó de ser efectiva y las casas antivirus nos hemos adaptado al nivel de amenazas actuales desarrollando potentes heurísticas de detección y utilizando la nube para reaccionar a las nuevas amenazas con mayor rapidez. Pero parece que Apple sigue anclada en el pasado en lo que respecta a la seguridad de sus sistemas.
Por ejemplo, nada más publicarse esta nueva base de firmas para detectar al troyano Revir/Imuler, la empresa Intego anunció el descubrimiento de una nueva amenaza para sistemas Mac OS X conocida como OSX/Flashback, esta vez camuflada bajo un falso instalador de Adobe Flash Player.
Si el usuario lo descarga y ejecuta, el código malicioso simulará la instalación de Flash Player, simulación que está realizada con un acabado profesional y que emula muy bien al instalador real. Mientras se siguen los pasos indicados por el instalador, se abrirá una puerta trasera en el sistema usando una librería dinámica llamada Preferences.dylib.
Una vez finalizada la instalación, el malware empezará a realizar comunicaciones con un servidor remoto usando un cifrado RC4 y transmitiendo información como la dirección MAC de la tarjeta de red y la versión del sistema operativo. Potencialmente, este código malicioso también podría usarse para permitir a un atacante inyectar código en el Mac afectado.
Por suerte, la propagación de esta amenaza aún es escasa y requiere de la intervención del usuario. Desde el laboratorio de ESET en Ontinet.com aconsejamos descargar este tipo de actualizaciones únicamente desde sitios oficiales, desactivar en Safari la opción de abrir automáticamente los archivos “seguros” y contar con una solución antivirus actualizada.
Josep Albors
Nuevo troyano para Mac oculto en un archivo PDF
El malware para Mac, a pesar de que en cantidades muchísimo menores que en sistemas Windows, sigue creciendo. Recientemente hemos visto cómo se ha ido propagando un nuevo troyano para esta plataforma, supuestamente pensado para atacar a los usuarios chinos de Mac.
Este nuevo troyano se oculta dentro de un archivo PDF, adjunto a un correo electrónico, y contiene un artículo escrito en chino que habla acerca de la disputa territorial sobre las islas Diaoyu que mantienen desde hace años China y Japón.
Al ejecutar el archivo PDF, este abrirá el documento en chino mientras, en segundo plano, instala un código malicioso. Así, mientras el usuario está ocupado leyendo el documento, la instalación del troyano se completará y el sistema podrá ser accedido de forma remota por un atacante.
Esta táctica no es nada novedosa en sistemas Windows y viene siendo aprovechada desde hace años, sobre todo debido a las continuas vulnerabilidades que aparecen constantemente en los productos de Adobe. No obstante, una amenaza de este tipo es una novedad en sistemas Mac, y es probable que muchos usuarios se vean afectados por no estar acostumbrados a tomar precauciones manejando archivos PDF potencialmente peligrosos.
Las soluciones de seguridad como ESET Cibersecurity para Mac, detectan estas amenazas como los troyanos OSX/Revir.A o OSX/Imuler.A trojan. No obstante, desde el laboratorio de ESET en Ontinet.com recomendamos evitar abrir todos aquellos archivos adjuntos a correos electrónicos que no estemos esperando recibir y, sobre todo, no creernos nunca inmunes por usar un sistema operativo en concreto.
Josep Albors
Fallo en la gestión de contraseñas de usuarios de Mac OS X Lion
La protección de las cuentas de usuario es un punto vital en la seguridad de cualquier sistema operativo. Esto es así independientemente de si usamos Windows, Linux o Mac, aunque cada uno de esos sistemas lo implemente de forma distinta.
En el caso del sistema operativo de Apple, las contraseñas de los usuarios se cifran y almacenan en una especie de ficheros conocidos como “Shadow Files”, que se ubican luego en puntos seguros del disco. El contenido de estos archivos solo puede ser modificado por su usuario propietario o por otro usuario con permisos de administrador, algo lógico y que se respetaba, al menos, hasta la aparición de Lion.
Recientemente, el investigador Patrick Dunstan publicó un artículo donde demostró cómo Lion no respeta esta máxima de la seguridad y permite a cualquier usuario cambiar las contraseñas de otros usuarios, aun sin disponer de permisos de administrador, con tan solo ejecutar el siguiente comando desde el terminal:
$ dscl localhost -passwd /Search/Users/NombreUsuario
En versiones anteriores de Mac OS X, para poder establecer una nueva contraseña primero se solicitaba la anterior, cosa que evitaba cambios no autorizados. No obstante, en Lion este control no existe, lo cual supone un grave problema, puesto que, por poner un ejemplo, un usuario al que se le ha cambiado la contraseña sin él saberlo perdería el acceso a sus datos si se está usando el sistema de cifrado de disco FileVault 2.
Hasta que Apple lance un parche que solucione este grave fallo, desde el laboratorio de ESET en Ontinet.com recomendamos proteger el acceso a nuestro sistema con Mac OS X Lion. Para ello es importante establecer una serie de medidas de seguridad, como desactivar el registro automático de usuarios en el sistema, establecer contraseñas para desactivar el salvapantallas o el modo de hibernación, desactivar las cuentas de invitado y realizar una gestión eficaz de usuarios limitando el acceso a herramientas como la terminal del sistema.
Josep Albors
Varias vulnerabilidades en sistemas Apple
Las últimas semanas han sido muy movidas en Apple debido a la presentación de nuevos productos, como el nuevo sistema operativo Lion o los nuevos modelos de MacBook Air. No obstante, no todo han sido alegrías para la empresa de Steve Jobs, ya que se han producido varios incidentes que afectan a la seguridad de los productos Apple.
Uno los fallos de seguridad que más repercusión mediática ha tenido ha sido el que afecta a las baterías de los MacBook. Charlie Miller, conocido investigador que ya descubrió vulnerabilidades en productos Apple anteriormente, anunció que había conseguido acceder al firmware de las baterías de estos portátiles y controlarlas de forma absoluta.
Este fallo ha sido exagerado en algunos medios, hasta el punto de que se ha llegado a afirmar que un código malicioso podría incendiar una batería. Dudamos que se alcance ese extremo pero, no obstante, se podría llegar a instalar malware dentro de este firmware de forma persistente, de manera que ni siquiera con una reinstalación completa del sistema se conseguiría eliminarlo.
Otra de las vulnerabilidades descubiertas afecta a la seguridad de las conexiones SSL en dispositivos iOS. Esta vulnerabilidad se debe a una falta de comprobación del emisor de los certificados y, sorprendentemente, ya fue descubierta hace diez años por el investigador Moxie Marlinspike, aunque en sus orígenes afectaba al navegador Internet Explorer. Asimismo, este investigador ha actualizado su herramienta SSLSniff para poder aprovechar esta vulnerabilidad.
La reacción de Apple ha sido lanzar la actualización 4.3.5 del iOS para solucionar esta vulnerabilidad, por lo que se recomienda actualizar nuestros dispositivos Apple que usen dicho sistema operativo (iPhone, iPad, iPod Touch y Apple TV). En caso de no hacerlo, seremos susceptibles de sufrir un ataque Man in the Middle, mediante el cual se nos podría interceptar datos sensibles como las claves de acceso a nuestro banco al conectarnos a sitios con certificados falsos, pero que nuestro sistema acepta como auténticos.
Por último, una de las características de los sistemas operativos modernos de Apple, como Snow Leopard o Lion, es la de almacenar las contraseñas de inicio de sesión de los usuarios en todo momento, incluso con el sistema bloqueado o en estado de suspensión. Esto permite que algunas herramientas forenses puedan extraer estas credenciales en cuestión de minutos.
Al tratarse de una característica inherente al sistema operativo, los usuarios solo pueden evitar que alguien no autorizado acceda a su sistema apagando completamente su equipo o desactivando la opción de registro automático en el sistema. Asimismo, si consideramos que los datos almacenados en nuestro ordenador Mac son valiosos, podemos usar un sistema de cifrado distinto a Filevault para proteger el acceso a esta información.
Como vemos, el crecimiento de usuarios que usan productos Apple repercute en un mayor descubrimiento de vulnerabilidades en dichos productos. Esto es algo que en el laboratorio de ESET en Ontinet.com venimos observando, y es que, cuanto mayor es el número de víctimas potenciales, más crece el interés de los ciberdelincuentes hacia una plataforma.
Josep Albors