Retiran WhatsApp de iTunes por posibles problemas de seguridad
Hoy leemos que, una vez más, la popular aplicación de mensajería Whatsapp es protagonista en las noticias de seguridad: no es la primera vez ni será la última… En este caso, no está muy claro por qué, pero se ha retirado de la App Store, según ha confirmado la cuenta twitter de WhatsApp:
Lo cierto es que la conocida y popular aplicación ya ha sufrido de varios problemas de seguridad, pero hasta ahora, ninguno de ellos había propiciado que se tomaran decisiones tan drásticas como esta. Que se sepa, de momento se ha retirado solo del App Store de iTunes -y puede ser que haya sido ya restituida-, pero no se tienen noticias de que también se haya quitado o sustituido la del Android Market.
En este blog ya nos hemos hecho eco del problema derivado del no cifrado de los mensajes que se intercambian a través de esta aplicación, lo que dejaría nuestra información descubierta y a disposición de cualquiera que quisiera interceptarla. Pero hay más. Según la compañía de seguridad SEC Consult Singapore, los riesgos pudieran ser mayores y alertan de la posibilidad de:
1) Cambiar el estado de cualquier persona que utilice WhatsApp, al no haber una comprobación fuerte de quién está poniendo el estado nuevo.2) Realizar un ataque de fuerza bruta al código de registro del teléfono.3) Capturar las conversaciones al no ir cifradas, algo conocido ya, y que ha llevado a la aparición de herramientas de sniffing especializadas.
De cualquier modo, y mientras se aclaran las causas -si es que se conocen algún día-, lo que está claro es que el equipo de Whatsapp no ha querido poner en riesgo su reputación y ha optado por una solución rápida y efectiva. Esperamos que la nueva versión resuelva lo que tenga que resolver y si ya de paso arreglan el resto, mejor que mejor.
Yolanda Ruiz
Nos colamos en la beta privada de So.cl, la nueva red social de Microsoft, y suspende en seguridad y privacidad
Imprimir
Después de la resaca de las Navidades y de las emociones de los Reyes Magos (esperamos que os hayan traído muchos caprichos), volvemos a nuestro quehacer diario. Ya sabéis que siempre andamos trasteando con nuevos sistemas y herramientas, y en estas estábamos cuando nos llegó una invitación para probar de forma privada la beta de la nueva red social de Microsoft, So.cl (pronunciado como “Social”). Si hace poco hablábamos del nuevo TimeLine de Facebook y de cómo las condiciones de seguridad y privacidad se podrían ver resentidas por los cambios que se están implementando, en esta ocasión evaluamos la nueva red desde la misma perspectiva.
So.cl no aporta realmente nada nuevo al mundo de las redes sociales, con la salvedad de que ha unificado su buscador Bing con la aplicación, por un lado, y que ha incluido un nuevo desarrollo que llaman “Video Parties”, que permite compartir vídeos con los seguidores y comentarlos en directo.
Lo primero que nos llama la atención es el login con el ID de Facebook. Este sistema es ampliamente utilizado por muchos sitios, hasta aquí nada nuevo, pero considerando que Google ha lanzado su propia red social, Google+, y ya ha anunciado una unificación de sus servicios, donde el buscador sigue siendo el rey, el que Microsoft facilite su login con Facebook e incluya Bing como parte del servicio nos hace sospechar un movimiento de acercamiento al gigante de las redes sociales.
Pero hay más… utilizar el ID de Facebook para hacer login implica, según confirman en su Política de Privacidad, que a partir de ese momento el sistema recoge todas y cada una de las actividades que llevas a cabo en la red social cuyos datos van a parar no sólo a Microsoft, sino también a Facebook, que almacena dicha información recolectando cada vez más información asociada a tu perfil.
¿Y qué información recogen? Según declaran en su web, cualquier búsqueda que hagas a través de Bing, cualquier comentario que hagas, cualquier link que sigas, cualquier tipo de interés que etiquetes (una forma que la red social brinda a sus usuarios para marcar favoritos), las páginas que visitas mientras mantienes la sesión abierta, los complementos de tu navegador, la información que tu navegador puede enviar a través de la Red tipo a tu dirección IP, la versión de tu sistema operativo, la versión de tu navegador, el idioma y el origen, el tiempo de acceso, algunos ID de tu hardware…
¿Para qué utilizan dicha información? Según apuntan los responsables, la información se utiliza para poder ofrecer una experiencia de usuario más personalizada y adecuada a tus necesidades, además de compartir dichos datos con terceras partes.
Revisamos las configuraciones de privacidad del sitio, para averiguar si hay alguna forma de poder regular qué tipo de información guarda el sistema o cuál es el mecanismo que nos ofrece para elegir qué información compartimos y cuál no. Ciertamente, hay que tener en cuenta que la versión es beta, y suponemos que la mejorarán a la hora de lanzarla abiertamente. Porque hoy por hoy, en cuestiones de privacidad, la red social de Microsoft suspende: sólo podemos borrar el historial guardado de nuestra actividad o borrar la cuenta.
Entendemos que al integrar el motor de búsqueda Bing en su totalidad, también aparecerán a los usuarios los links de Black Hat SEO que hayan posicionado de forma maliciosa los ciberdelincuentes para conseguir víctimas, y que estos links viralizarán más dado que compartimos nuestra actividad a través de la red social de forma pública con otros usuarios. Además, cuando vas a compartir una actualización de estado, el sistema te permite elegir entre “Público” o “Privado”, pero no queda muy clara la diferencia entre ambas, dado que los seguidores no pueden ser clasificados de ninguna manera de momento.
Así como los desarrolladores intentan llegar a la carrera de lanzar redes sociales incluyendo cada vez más innovaciones que su competencia, siguen olvidándose de una asignatura tan importante como delicada: la seguridad y la privacidad de los usuarios. Seguiremos de cerca la evolución de estas nuevas aplicaciones y os mantendremos informados de todas las novedades.
Yolanda Ruiz
@yolandaruiz
Spam suplantando a Bankinter propaga troyano bancario
Estamos acostumbrados a recibir en nuestro buzón de entrada de correo electrónico mensajes que dicen provenir de las más diversas entidades bancarias. En la mayoría de ocasiones estos mensajes son la enésima repetición de un caso de phishing. El usuario acede a una web que simula ser la del banco, introduce los datos de su tarjeta y el delincuente los utiliza para sustraer importantes cantidades de dinero.
No obstante, hoy os vamos a hablar de otro tipo de engaños que, si bien tienen el mismo objetivo, utilizan técnicas diferentes. Todo empieza con la recepción de un correo electrónico de una conocida entidad bancaria como el que vemos a continuación:
Como se puede observar, dice lo típico en este tipo de correos: se están realizando unas supuestas mejoras en la seguridad del banco y solicitan que sus clientes accedan a un enlace para comprobar que sus datos personales son correctos. En caso de no realizarse esta operación, se amenaza con suspender la cuenta, para darle más vidilla al asunto.
Lo normal es que accediéramos a una web donde se solicitan nuestros datos, incluyendo el número de nuestra tarjeta de crédito, el código cvv de la misma e incluso todos los campos de nuestra tarjeta de coordenadas, pero en esta ocasión los ciberdelincuentes han pensado que mejor ya recopilan ellos estos datos por su cuenta. Así, lo que sucede tras pulsar sobre el enlace es que nos descargaremos un archivo ejecutable con más peligro que el bautizo de un gremlin.
Efectivamente, el archivo descargado contiene un código malicioso que las soluciones de seguridad de ESET identifican como Win32/Spy.Banker.UCO, o lo que es lo mismo, un troyano bancario que registrará nuestros datos cada vez que realicemos una operación online en nuestro banco.
En esta ocasión, los ciberdelicuentes no han esperado a que el usuario sea el que les proporcione los datos, ya que directamente fuerzan la instalación de un malware para robárselos. En el laboratorio de ESET en Ontinet.com ignoramos si es que los ciberdelincuentes tienen prisa por obtener el dinero y así hacer frente a los regalos de reyes o simplemente están probando diversas estrategias para averiguar cuál es más efectiva. Lo que sí es seguro es que debemos protegernos de este tipo de amenazas ignorando este tipo de mensajes y contando con una protección adecuada que bloquee estas amenazas.
Josep Albors
[PODCAST] Amenazas en dispositivos móviles
Es difícil imaginar multitud de acciones de nuestra vida cotidiana actual sin los ya comunes dispositivos móviles. Nuestro teléfono móvil o tablet nos permite estar comunicados a todas horas, realizar nuestro trabajo independientemente de donde nos encontremos o proporcionaros horas de ocio. Por desgracia, su uso de forma masiva también supone un interesante objetivo para los ciberdelincuentes y cada vez vemos más casos de amenazas orientadas a estos dispositivos.
En el podcast de hoy trataremos la situación de las amenazas en este tipo dispositivos y como prevenirlas.
Nuevo gusano se propaga por Facebook e instala variante de Zeus
Cuando hablamos de riesgos en redes sociales podemos referirnos a problemas con la privacidad de los datos que publicamos o, como en este caso, a amenazas que usan este tipo de redes para propagarse.
La última amenaza que se ha detectado se propaga mediante un enlace enviado por mensajes entre usuarios de esta red social. Este enlace simula dirigirnos a una imagen de dos señoritas que en realidad es un archivo .scr (protector de pantalla).
Si se ejecuta este archivo, se descargará un fichero malicioso desde una dirección web ubicada en Israel que infectará nuestro sistema con diversos códigos maliciosos, incluyendo una variante de Zeus, una de las botnet más importantes actualmente especializada en el robo de información.
Los diversos archivos que componen esta amenaza se propagan usando servidores comprometidos que han visto su seguridad vulnerada. La mayoría de estos servidores ya han sido identificados, y si se intenta descargar algún código malicioso, las soluciones de seguridad de ESET bloquearán el acceso, tal y como vemos en la imagen a continuación:
Como vemos, no se usa una técnica excesivamente complicada para infectar a los usuarios. Más bien se intenta usar una imagen sugerente (las dos señoritas rubias de la foto) para conseguir que el usuario pulse sobre el enlace malicioso, algo similar a lo que se usaba hace años para propagar malware por sistemas de mensajería instantánea.
Desde el laboratorio de ESET en Ontinet.com recordamos que es importante tomar precauciones ante este tipo de enlaces, aunque provengan de contactos conocidos. Usar una solución antivirus capaz de detectar este tipo de amenazas nos puede evitar más de un disgusto, pero mucho más importante es informarnos sobre si ese contacto que nos envía un enlace lo hace conscientemente o ha sido víctima de una infección.
Josep Albors
Sobre el malware para móviles y la necesidad de proteger estos dispositivos
Las declaraciones de Chris DiBona, director de programas de código abierto de Google, en las que hablaba sobre si es realmente necesario disponer de una protección antivirus en dispositivos móviles, ha levantado cierta polémica recientemente. Entre sus declaraciones se encuentra, quizá, la más grave y que más repercusión ha tenido en diversos medios: la acusación de charlatanes y estafadores a todos los fabricantes que nos dedicamos a ofrecer soluciones antivirus para proteger dispositivos móviles.
No cabe duda de que, como parte implicada, muchos estarán esperando la respuesta de la industria antivirus ante tales acusaciones. Nuestro compañero David Harley, investigador senior de ESET, respondió a esas declaraciones en su blog, como también han hecho otros investigadores pertenecientes a diferentes casas antivirus.
Si bien desde el laboratorio de ESET en Ontinet.com entendemos que DiBona quiere defender la plataforma Android (desarrollada por Google) de las acusaciones que la mencionan como el sistema operativo móvil más afectado por el malware, la realidad no puede ser obviada.
Negar la evidencia de que cada vez se detectan mayor cantidad de muestras de malware para esta plataforma, y que estas son cada vez más sofisticadas, no es la solución. Tampoco lo es acusar de estafadores a aquellas empresas antivirus que, como ESET, disponen de un producto para proteger este tipo de sistemas, puesto que son las casas antivirus las que están ofreciendo protección a unos usuarios de un sistema que sufre constantes ataques de malware.
Con solo realizar una búsqueda de noticias referentes a códigos maliciosos en dispositivos móviles en este blog, o en cualquier otro sitio donde se hable de seguridad informática, se observará que los casos de dispositivos móviles afectados por malware se han multiplicado en los últimos años. Cierto es que este tipo de dispositivos aún están lejos de soportar cantidades de malware como las que hay en sistemas Windows, pero no por haber menos cantidad de casos debemos bajar la guardia.
En resumen, obviando intereses comerciales, la realidad no es otra que esta: todos los sistemas operativos van a tener algún problema de malware en uno u otro momento. Usar la técnica del avestruz y esconder la cabeza cuando este aparezca no es la mejor solución. En el mundo de la seguridad se ha de ser proactivo y estar preparado ante las amenazas existentes y futuras, y eso es algo en lo que tanto los creadores de sistemas operativos como los fabricantes de soluciones antivirus hemos de colaborar.
Josep Albors
Anonymous ataca las web del PP de Cataluña y de la Academia de las Ciencias y las Artes
Mientras que los candidatos de los diferentes partidos políticos queman sus últimos cartuchos ante la jornada electoral del próximo 20 de noviembre, Anonymous sigue con su operación 20N (#Op20N), revelando información confidencial de los partidos y sus miembros y atacando a páginas web del Gobierno o de partidos políticos.
En el día de ayer, la web del Partido Popular de Cataluña apareció de la siguiente forma (gracias de nuevo a Chema Alonso por la información publicada en su blog, del cual hemos extraído esta imagen).
La web sufrió una intrusión que permitió a los atacantes colgar un fotomontaje donde se criticaba a los candidatos de los principales partidos políticos. Exactamente el mismo fotomontaje es el que hemos visto hoy en un enlace de la Academia de las Ciencias y las Artes de la Televisión.
No obstante, en esta ocasión se ha subido información confidencial. En concreto, se han publicado datos de miembros de CIU a los que Anonymous acusa de recibir donaciones extrañas. Entre estos datos se encuentran el nombre, apellidos, DNI, email, teléfono y dirección postal.
Como vemos, a pocos días de la finalización de la campaña electoral, Anonymous acelera el ritmo de sus ataques y filtraciones. Desde el laboratorio de ESET en Ontinet.com creemos que en estas últimas horas antes de las elecciones pueden revelarse datos confidenciales importantes, incluyendo aquellos relativos a la investigación del 11-M que estos hacktivistas dijeron poseer, por lo que iremos publicando en este blog cualquier información que se produzca en relación a este tema.
Josep Albors
Nuevo ataque a Facebook publica imágenes pornográficas y violentas en miles de perfiles
Imprimir
Hoy nos hemos despertado con las noticias de un ataque a Facebook que está inundando miles de perfiles de imágenes pornográficas y violentas. Varios medios, tanto especializados nacionales e internacionales como generalistas, se han hecho eco de este nuevo ataque a la red social más famosa.
Todavía no se sabe exactamente cómo se ha producido este ataque aunque ya han surgido diversas teorías: desde la que sugiere que se trata de un nuevo gusano generado por miembros de Anonymous hasta la que apunta a una intrusión en los servidores de Facebook.
Lo que está claro es que los usuarios afectados se cuentan por millares, si hacemos caso a la gran cantidad de comentarios en Twitter que se han generado tras este ataque. Lo que no cabe duda es que la seguridad del sistema está en entredicho. Pero… ¿de qué sistema? Cuando nos conectamos a Facebook, el sistema está formado por tres elementos: el servidor de Facebook, el ordenador del usuario y el usuario en sí.
Por la parte que le toca a Facebook, la seguridad es la que es, y no podemos hacer nada por mejorarla aparte de quejarnos si no nos gusta. Son sobradamente conocidas las carencias presentes por defecto con respecto a la privacidad de la información compartida por los usuarios y la posibilidad de una intrusión en los servidores de Facebook no resulta descabellada si nos atenemos a incidentes recientes.
El segundo elemento es el ordenador del usuario. Nunca nos cansaremos de repetir que los sistemas deben estar protegidos y configurados correctamente. Una adecuada protección y un conocimiento de las medidas de seguridad que el propio sistema incorpora, unido a una pizca de sentido común, pueden evitar que el malware haga de las suyas en nuestro ordenador.
Y por último, el elemento más débil y peligroso: nosotros, los usuarios. Cualquier red social incluye una serie de puntos para proteger nuestros perfiles, para respetar nuestra intimidad en la red… que no siempre conocemos o no aplicamos porque, reconozcámoslo, muchas veces limitan las posibilidades de “cotilleo”.
Aunque la cantidad de perfiles afectados es elevada no se han observado patrones claros que nos indiquen cuáles son más propensos de verse afectados. Lo que sí está claro es que aquellos usuarios con una configuración de su cuenta más estricta, que impidan publicar comentarios en su muro a desconocidos o ser etiquetados de forma automática en una foto, tienen menos posibilidades de verse afectados por lo que, desde el laboratorio de ESET en Ontinet.com recomendamos modificar (al menos temporalmente) la configuración de nuestro perfil para evitar publicaciones no deseadas.
Fernando de la Cuadra y Josep Albors
Win32/Duqu: tras los pasos de Stuxnet
Imprimir
Durante los últimos días, los investigadores de malware han dedicado mucho tiempo al nuevo código malicioso identificado por ESET como Win32/Duqu. Los investigadores de nuestro laboratorio Aleksandr Matrosov, Eugene Rodionov y David Harley han analizado su código a fondo y han extraído información más que interesante.
Una de las características que hacen de este malware un ejemplar singular es que se parece bastante a Stuxnet, uno de los gusanos más sofisticados (si no el que más) de los detectados en los últimos años. Ahora nos encontramos en el proceso de diseccionar los binarios de Duqu.
Tras unos primeros análisis preliminares es evidente que Duqu está basado en el código fuente de Stuxnet. Desde el punto de vista de la arquitectura del malware, Duqu es prácticamente idéntico a Stuxnet: en esencia, hay un driver en modo kernel que inyecta una librería DLL en procesos específicos del sistema. Esta DLL incluye la carga maliciosa en su interior y exporta una serie de rutinas que realizan unas acciones específicas. Además de las similitudes en la arquitectura, los módulos de Duqu son muy similares a Stuxnet desde un punto de vista binario: se usaron las mismas clases y estructuras para compilar tanto Stuxnet como Duqu. Obviamente, estos módulos no son 100% idénticos, pero hemos encontrado patrones idénticos de código.
Desde que los investigadores empezaron a analizar Duqu se han formulado muchas preguntas, muchas de las cuales permanecen sin respuestas. En concreto, no tenemos ninguna información (pública) sobre el archivo que descargaba Duqu ni de cómo y cuándo se instaló en las máquinas infectadas. Esta información es vital a la hora de realizar un análisis forense. Con respecto a la fecha en la que este malware fue instalado, esta puede encontrarse en el archivo de configuración. Debido a que Duqu tiene especificado permanecer en el sistema solo durante un periodo de tiempo (después del cual se elimina del sistema), creemos razonable asumir que la fecha de la infección se almacenaba en algún lugar del archivo de configuración. No fue difícil averiguar el código responsable de implementar este almacenamiento y, por tanto, determinar qué ubicación se usaba en los datos de configuración para almacenar la fecha de la instalación.
La fecha en la que Duqu se ejecuta por primera vez en el sistema infectado se almacena en format UTC, en el offset 0×123 desde el principio del archivo de configuración. Basándose en estos datos, es posible determinar la fecha en la que Duqu penetró en el sistema.
En el informe “Duqu: el precursor del siguiente Stuxnet”, el autor menciona que una de las modificaciones de Duqu que ellos analizaron tiene una esperanza de vida de 36 días y, cuando alcanza esa fecha, el malware se elimina a si mismo del sistema.
Para obtener este valor necesitamos descifrar el archivo de configuración con el siguiente criptoalgoritmo personalizado:
Resulta interesante destacar que el array gamma usado para descifrar los datos consiste en 8 elementos, de los cuales solo los 7 primeros son usados. A pesar de que esto puede ser intencionado, consideramos que es más probable que se trate de un pequeño error en su implementación.
Basándonos en el análisis de varias muestras, observamos que la esperanza de vida es diferente según la muestra analizada. Este valor se define en los datos de configuración (palabra en el offset 0x124E). En las imágenes mostradas a continuación se pueden ver fragmentos de archivos de configuración mostrando información acerca de la esperanza de vida.
- Datos de configuración resaltando la fecha en la que infectó el sistema: 11/08/2011 a las 07:50:01 y con una esperanza de vida de 36 días.
- Datos de configuración resaltando la fecha en la que infectó el sistema: 18/08/2011 a las 07:29:07 y con una esperanza de vida de 30 días.
Existe muchos más detalles técnicos más que interesantes en el código de Duqu que iremos publicando conforme avance nuestra investigación.
Asimismo, nos gustaría añadir un par de útiles herramientas disponibles desde los siguientes enlaces:
- script de python para descifrar los archivos de configuración de Duqu
- configuraciones de Duqu descifradas, como las que hemos mostrado en este post.
Aleksandr Matrosov, Eugene Rodionov, David Harley
R2D2, de entrañable robot a posible troyano gubernamental
A lo largo de la historia de la seguridad informática muchas veces se ha comentado la posibilidad de que los Gobiernos espiasen a sus ciudadanos usando troyanos para obtener información. En algunas ocasiones se ha reconocido el uso de este tipo de códigos maliciosos, previa autorización judicial, para espiar a sospechosos de cometer algún delito.
No obstante, no son pocos los usuarios que siguen con la mosca detrás de la oreja y sospechan que los Gobiernos y agencias estatales usan constantemente las mismas técnicas empleadas por los ciberdelincuentes contra sus ciudadanos.
El pasado sábado, el veterano grupo de hackers alemanes Chaos Computer Club (CCC) hizo público un estudio donde se analizaban las funcionalidades de un troyano que este grupo atribuía al Gobierno alemán. Al analizar el código se encontró la cadena de texto “C3PO-r2d2-POE”, usada por el troyano para iniciar la transmisión de datos.
Es por ese motivo que la mayoría de softwares antivirus que detectan este troyano han decidido nombrarlo con el nombre del popular robot de la saga Star Wars. Por pura casualidad, el mismo día en que se publicó el informe del grupo CCC, empezaba en Madrid la Cificom, el primer Salón de Cine, Ficción, Coleccionismo y Merchandising, y allí estaba él, ignorando que sería noticia destacada en el mundo de la seguridad informática en pocas horas.
Si nos centramos en el troyano en sí, este no se limita a espiar las comunicaciones realizadas a través de Skype o MSN Messenger. También es capaz de registrar las pulsaciones que realicemos en un navegador como Firefox, Internet Explorer u Opera, conectarse con un servidor remoto para recibir actualizaciones o incluso generar capturas de pantalla para registrar la actividad del usuario.
Con respecto a las acusaciones de este grupo, en las que hacen responsable al Gobierno alemán de la creación de este troyano, es difícil que sepamos la verdad a menos que el propio Gobierno lo confirme. Asimismo, no está de más recordar que las compañías antivirus detectan este tipo de amenazas, independientemente de su procedencia, y en el caso de las soluciones de seguridad de ESET le hemos asignado el nombre Win32/R2D2.A.
Desde el laboratorio de ESET en Ontinet.com no podemos afirmar con certeza que el troyano provenga del Gobierno alemán. Aunque haya indicios para sospecharlo, no debemos olvidar que hay pistas que pueden haber sido puestas a propósito y siempre existe la posibilidad de que se quiera atribuir la autoría a un Gobierno por motivos políticos.
Josep Albors
Artículos Anteriores »