¿WhatsApp para PC? Más bien un nuevo timo…
He de confesar que soy de las que me he resistido a utilizar WhatsApp. Veía siempre a mis amigos enganchadísimos a los mensajes y no quería caer en esa esclavitud. Pero al final, hay tecnologías que, por mucho que te resistas, te ves abocado a utilizarlas…, sobre todo cuando no te enteras de las cañitas porque “habíamos quedado por WhatsApp” 
. Y una vez que lo he probado, he de decir que es comodísimo… y que la tecnología no tiene nada que ver con lo pesados que sean tus amigos.
Pues bien, ahora que la popular aplicación es ampliamente conocida y usada por millones de usuarios, no era de extrañar que fuera utilizada para intentar llevar a cabo timos y engaños… ¡Como siempre! Los cibercriminales siempre están a la orden del día e intentan aprovecharse de nombres y marcas bien conocidos, porque ya llevan parte del trabajo hecho. Y claro… ¿a quién no le molesta estar trabajando en el PC y tener que contestar a un mensaje por el móvil pudiendo hacerlo desde el mismo teclado cómodo y espacioso del ordenador?
Pues eso precisamente es lo que han debido pensar estos señores:
¡Qué bien! ¡Venga! Una aplicación más de escritorio. Le damos al gran botón de “Descargar”. Lo primero que nos encontramos es que, de primeras, se abre una nueva ventana del navegador para solicitar nuestro número de teléfono con el propósito de enviarnos un código de descarga. Mal empezamos…
Pero como ya estamos muy escarmentados en estas lides, nos decantamos por leer antes los “términos y condiciones”. Y en su segunda cláusula, nos cuenta:
Pues pensábamos que WhatsApp era gratis… Veamos por qué conceptos pretenden cobrarnos…
Bien, ya sabemos que tiene gato encerrado. Además de la ventanita de introducción del número de teléfono, se nos abre otra ventana más que nos indica quién es el desarrollador… La verdad, una aplicación creada por “El_Java” seguro que es buenísima, pero no me fiaría yo mucho… Máxime si leemos las instrucciones que vienen justo debajo:
Nos vamos a cotillear las descargas, y el colmo del descaro, nos ofrecen un sitio con links pero además con un banner que anuncia… ¡sí! ¡El WhatsApp espía!
Si le damos a cualquier link de descarga nos pide el número. Si le damos al banner del espía… ¿a que no sabéis con qué nos sale? ¡Nos pide el teléfono!
Y vuelta a empezar… Si el anterior decía ser una empresa basada en Cataluña, esta es una holandesa… que cobra exactamente por lo mismo:
No dudamos de que en algún caso una de estas aplicaciones lleguen a funcionar, pero lo que está claro es que su principal objetivo no es darnos un servicio, sino suscribirnos a servicios de suscripción Premium para sacarnos el dinero. Imaginaos 6 € al mes por… ¿1.000 víctimas? Vayan ustedes multiplicando. De hecho, el negocio debe de dar muchos beneficios, porque incluso se permiten el lujo de lanzar campañas a través de redes sociales como Facebook, por ejemplo. La página no está activa en este momento, pero seguramente en cuestión de días comenzarán a salir otras que promueven lo mismo:
Las que prometen espiar las conversaciones de nuestros amigos tampoco funcionan, además de que interceptar conversaciones privadas y ajenas es un delito, por mucho que sospechemos que nuestra pareja tiene “amig@s” íntimos.
Así que, sea como sea, nuestro consejo es que evitéis hacer clic en este tipo de reclamos. Pero si lo hacéis, desconfiad en el momento en el que os soliciten el número de teléfono, porque algo irregular van a intentar colarte como sea.
Feliz semana, ¡trop@!
Seguridad en iOS 7: una de cal y otra de arena
Cuando se presentó iOS 7 el pasado lunes, muchos usuarios quedaron sorprendidos por la cantidad de nuevas características que incorporaba, aunque algunas de ellas estén incluidas en otros dispositivos desde hace tiempo (sí, te estamos mirando a ti, Control Center).
No obstante, como apasionados de la seguridad que somos, nos centramos en revisar qué nuevas opciones incorporaba esta versión de iOS para mantener seguro nuestro iPhone. Es en este aspecto donde tenemos que informar de una noticia de cal y otra de arena.
En la parte positiva tenemos el Activation Lock, una nueva característica que evita que un usuario no autorizado pueda desconectar nuestro iPhone del servicio de Apple Find my iPhone. Hasta ahora, si nos robaban el móvil podíamos intentar recuperarlo usando este servicio, pero, por desgracia, muchos amigos de lo ajeno descubrieron que apagando el dispositivo y devolviéndolo a sus valores predeterminados de fábrica se podía evitar su localización.
Para evitar esta situación nace Activation Lock, una nueva funcionalidad que obliga a proporcionar nuestro usuario y contraseña de iCloud siempre que queramos desconectarnos del servicio Find my iPhone o queramos restaurar el terminal a sus valores predeterminados de fábrica. En caso de no proporcionar los datos correctos, el terminal quedaría bloqueado y sin ninguna utilidad para el ladrón, más allá de ser un elegante y caro pisapapeles.
Pero no todo iba a ser tan bonito, y conociendo la experiencia de Apple y su dispositivo estrella en materia de bloqueo del terminal, no nos extraña que ya se haya conseguido saltar la pantalla de bloqueo y se permita acceder a nuestra galería fotográfica. En esta ocasión ha sido un investigador español quien, a las pocas horas de haberse publicado la versión beta para desarrolladores de iOS 7, consiguió saltarse la pantalla de bloqueo y acceder a las fotos almacenadas, pudiendo también borrarlas, enviarlas por email o twittearlas, todo ello sin conocer la contraseña del dispositivo.
Como vemos en el vídeo anterior, acceder a nuestra galería de fotografías es realmente sencillo y se reduce a ejecutar la aplicación de la calculadora desde el nuevo Control Center y, a continuación, ejecutar la aplicación de la cámara. Con esos simples pasos, cualquiera podría tener acceso a nuestras imágenes privadas y, lo que es peor, borrarlas o difundirlas.
Somos conscientes de que este fallo se encuentra presente en una versión preliminar del nuevo sistema operativo iOS 7 y que, ahora que se ha hecho público, es más que probable que Apple lo solucione antes de su lanzamiento el próximo otoño. No obstante, esto no deja de ser una llamada de atención para que, además de presentar nuevas e interesantes características, Apple se centre también en mejorar la seguridad de sus dispositivos.
Smartphones y aplicaciones sociales ¿privadas?
He tenido la oportunidad de probar un móvil nuevo, aunque solo fue un ratito. Para poder “juguetear” con él, saqué la tarjeta SIM de mi antiguo móvil y la puse en el nuevo. Se supondría que el antiguo móvil quedaría “inutilizado”.
Pues no. Ya hemos dicho muchas veces que un móvil no es más que un ordenador desde el que se pueden hacer llamadas. Y un ordenador como tal no necesita para nada una tarjeta SIM.
Con el teléfono sin tarjeta SIM pude hacer muchas cosas, y todas preocupantes. ¿Twitter? Perfecto. ¿WhatsApp? Sin problemas. ¿Facebook? Como si nada. ¿LinkedIn? A tope. Es decir, ninguna de estas aplicaciones depende de la tarjeta SIM para funcionar, son únicamente programas de ordenador, no “programas de teléfono”.
Desgraciadamente, el móvil que me habían dejado era solo para un rato, y el rato se acabó. Tuve que devolvérselo a su dueño (con gran dolor de mi corazón) y mi viejo móvil recuperó su tarjeta SIM. No hubo ningún cambio con la situación anterior, simplemente me pedía el PIN para poder acceder a la tarjeta y ya tenía, además de todo lo que tenía antes, la posibilidad de hacer y recibir llamadas.
Este hecho es alarmante, sobre todo para aquellas personas que tengan un mínimo de preocupación por su seguridad. Si el teléfono móvil lo perdemos (o peor, nos lo roban), estamos en un serio apuro. Lo más lógico que deberíamos hacer es hablar con nuestro operador y comunicarle el robo. Ellos se encargarán de dar de baja nuestra tarjeta SIM para que no esté operativa, no se puedan hacer llamadas desde el teléfono y evitar sustos a la hora de pagar facturas.
Además habría que indicar al operador el código IMEI del teléfono, de manera que el teléfono quede inutilizado. Sí, gracias al código IMEI (es único para cada teléfono) podemos evitar que se use no ya solo con una tarjeta SIM nueva, sino que no se podrán hacer llamadas en ningún operador. Ese aparato queda inutilizado telefónicamente hablando. Si no conocéis el IMEI, simplemente hay que marcar (como si fuera un teléfono al que queréis llamar) *#06#, y el teléfono os mostrará el código, es un número de 15 o 17 cifras. Conviene que lo conozcáis y tengáis apuntado.
Pero un momento… Estos procesos solo nos aseguran que el teléfono no funciona. ¿Qué pasa con la parte “ordenador” del aparato? Nada. Seguirá funcionando como el primer día. Simplemente le hemos bloqueado una parte de sus funciones, pero no las demás. Seguirá funcionando la conexión Wi-Fi, los archivos seguirán estando, la memoria funcionará… Nada ha cambiado.
Y no ha cambiado nada, efectivamente, se puede acceder a cualquier App. Mal hecho. Cuando nos instalamos una App “social”, damos por hecho que no habrá que escribir nuestro nombre de usuario y contraseña para empezar a trabajar con ellas. Error. Y gordo. Si perdemos el teléfono, estamos regalando a alguien nuestra vida social. “Pues le cambio la contraseña”, se suele pensar. Puede que sea tarde y ya lo haya hecho el nuevo propietario del teléfono, pero puede que nos dé igual.
Tal y como mostró hace tiempo nuestro amigo Dabo, mientras tengas una sesión en Twitter iniciada en un sistema (puede ser el ordenador o el teléfono), da igual que cambies tu contraseña en otro sistema. La sesión que iniciaste seguirá estando activa, a pesar del cambio. Es decir, el usuario del teléfono perdido puede seguir Twitteando en tu nombre aunque no lo quieras.
Para que la pérdida o el robo de un teléfono no suponga un auténtico quebradero de cabeza, deberemos tener un sistema que nos permita bloquearlo a distancia, de manera que el que lo encuentre no pueda hacer nada con el teléfono. Y, además, deberemos poder borrarlo para que la información personal almacenada quede a salvo. Y eso es tan sencillo como instalar ESET NOD32 Mobile Security.
Evitando disgustos con la factura del móvil: encuestas, premios y SMS de pago
Desde hace tiempo venimos informando en nuestro blog de una serie de sorteos a los que accedemos tras pulsar sobre un enlace recibido por correo electrónico y que nos lleva a una web en la que deberemos contestar a una serie de preguntas y proporcionar datos personales. Los usuarios completan las encuestas y proporcionan sus datos con la esperanza de poder optar a alguno de los suculentos premios que se anuncian y que varían desde coches de alta gama a dispositivos electrónicos como un portátil o un móvil.
Normalmente todo empieza con la recepción de un correo electrónico, aunque también pueden encontrarse enlaces que nos lleven al mismo sitio en redes sociales. Dicho correo puede tener relación, o no, con las webs de los sorteos, pero todos incluyen un enlace en el que el usuario debe pulsar. Una de las muestras más recientes que hemos recibido en nuestro laboratorio nos habla de un cambio en nuestra línea de crédito, algo que no tiene relación aparentemente con el enlace al que se nos envía, pero que llama la atención de los usuarios.
Una vez hemos pulsado sobre el enlace, la web a la que se nos dirige detecta la ubicación desde la que nos conectamos y modifica su contenido misma acordemente. En esta ocasión, ha detectado que nos conectamos desde la provincia de Valencia, por lo que nos indica que hemos sido seleccionados en nuestra región para optar a premios muy interesantes. Una cosa importante que debemos notar es que, desde esta primera página, se muestran las condiciones del servicio con letra pequeña en la parte inferior de la web.
Si leemos esas condiciones ya podemos sospechar que aquí hay gato encerrado, pero imaginemos que, como hace la mayoría de usuarios, no leemos esas condiciones y pulsamos sobre el botón “Comience Ahora!”. Seguidamente, realizaremos una breve encuesta acerca de nuestros hábitos de Internet (o cualquier otro tema).
Una vez hayamos completado la encuesta se nos ofrecerán varios premios a los que podremos optar. Para hacer más creíble el sorteo, puede que aparezcan artículos agotados, de forma que los usuarios tienen que elegir entre aquellos otros artículos que aún están disponibles.
Una vez seleccionado el premio pasamos a la parte donde se piden nuestros datos personales o, como en esta ocasión, nuestro número de teléfono. Aquí ya deberíamos empezar a sospechar si no hemos leído la letra pequeña de este concurso, ya que si introducimos nuestro número de móvil y aceptamos las condiciones de uso que se nos enviarán, empezaremos a recibir mensajes por SMS con un coste de 1.45 € cada uno hasta un máximo de 23 mensajes (36€) por mes.
Hay que tener en cuenta que detrás de estos concursos se encuentran empresas de publicidad con sede en varios países como Alemania, Holanda o Estados Unidos, todas ellas registradas y realizando actividades aparentemente legales. Es por ello que, si no queremos pagar el elevado precio de los mensajes que nos empezarán a enviar si introducimos nuestro número de móvil y aceptamos las condiciones, tenemos derecho a darnos de baja de este servicio. Para ello tan solo tendremos que visitar las condiciones de uso y averiguar cuál es el número al que hay que enviar un SMS para darnos de baja o el correo electrónico al que hay que escribir para solicitarla.
En los últimos tiempos este tipo de servicios Premium por SMS han realizado varias campañas para captar clientes, y si bien son legales, puesto que avisan de las condiciones de uso, del cobro por envío de SMS y del empleo que se va a hacer de nuestros datos personales, estamos seguros de que mucha gente terminará contratando un servicio que no desea por no leer la letra pequeña.
La mejor opción es descartar tanto los correos que incluyen estos enlaces como evitar seguirles el juego a estas empresas. De esta forma evitaremos sustos indeseados cuando recibamos nuestra factura mensual de consumo de nuestro móvil.
Mi nuevo móvil, seguramente seguro (II)
Tras mi publicación de hace un par de días, he recibido varios comentarios de personas sobre la posibilidad de que alguien tenga tanto interés como para robar la información de su móvil. Se quedaban sorprendidos al pensar que allí pudiera haber algo que le interesara a alguien.
Y lo más curioso, sobre la técnica de congelar el móvil para obtener información, es que dudaban que alguien pudiera llegar a conseguir temperaturas tan bajas. Aquí hay dos errores fundamentales. El primero, el desconocimiento de qué es un congelador. Yo en casa tengo uno, y no es que sea especialmente “friki”. Me gusta tener cubitos de hielo, y conservo comida en él. ¿Su temperatura? -18º C, menos de los -10ºC que emplearon para la prueba.
Y el segundo error, el despreciar la información personal que tenemos. Recientemente ha aparecido una noticia que dice que los “Me gusta” de Facebook pueden desvelar mucha información del usuario. No por obvio ha dejado de sorprender. Si digo “Me gusta” a un vídeo de AC/DC y no lo digo de un vídeo de Justin Bieber “puede” intuirse algo de mis gustos musicales.
En nuestro teléfono tenemos, de entrada, un estupendo registro de las llamadas. Se puede saber a quién hemos llamado y cuándo. Con las fotos podemos saber dónde hemos estado, y mucho más si tenemos activada la georreferenciación de las imágenes. Y si hablamos de los SMS y los MMS (o Whatsapp), ya no solo tenemos información de con quién hablamos, sino el contenido de las conversaciones.
¿Hablamos de los documentos que hay almacenados? Como el móvil sea de uso profesional, la probabilidad de que haya información interna de nuestra empresa es prácticamente 1. Y si el teléfono es personal, no perderíamos mucho si apostamos a que hay algo que no queremos que los demás vean. Todos tenemos información que no debe ser pública en nuestro teléfono.
Aunque no lo creamos, todos esos datos pueden ser una golosina para un cibercriminal, y pueden hacernos daño. Evidentemente, es mucho más tentador el móvil de Barak Obama, el de Charlize Theron o el de Hugo Silva que el nuestro, pero estamos expuestos y debemos tomar todas las precauciones posibles. Solamente hay dos tipos de usuarios de móviles: los que ya han visto comprometida su información y los que van a verla comprometida próximamente. ¿En qué grupo estás?
Fernando de la Cuadra
@ferdelacuadra
Vulnerabilidad en el bloqueo de pantalla del Samsung Galaxy Note II
Los iPhone de Apple no son los únicos dispositivos con vulnerabilidades que permiten saltarse la pantalla de bloqueo y permitir ejecutar algunas aplicaciones o realizar llamadas. Recientemente se ha publicado una vulnerabilidad que permitiría hacer algo similar en un Samsung Galaxy Note II solamente con ser un poco habilidoso con los dedos.
El investigador que ha publicado esta vulnerabilidad ya avisa que solo se puede aprovechar de forma limitada y únicamente con aquellas aplicaciones presentes en la pantalla de inicio pero, al resultar tan fácil aprovechar este fallo (simplemente se ha de utilizar la opción de “llamada de emergencia”), son muchos los usuarios que pueden quedar con su información personal expuesta. Todo esto queda bien explicado en el siguiente vídeo:
Tal y como vemos, se ha de ser lo suficientemente rápido para pulsar sobre uno de los iconos presentes en la pantalla de inicio y el ataque queda limitado a las aplicaciones que el usuario tenga ubicadas en esa pantalla. No obstante, estas aplicaciones suelen ser las más usadas o importantes, por lo que, con un poco de maña, se podrían realizar llamadas, acceder a una red social suplantando al usuario o leer el correo electrónico aunque el dispositivo se encuentre bloqueado.
Obviamente, para que este tipo de ataques se puedan realizar con éxito se debe tener acceso físico al dispositivo, por lo que su alcance es limitado. Samsung ya está informada acerca de esta vulnerabilidad pero aún no se han tomado medidas para solucionarla.
Este tipo de fallos son bastante recurrentes en los dispositivos móviles y, a pesar de las continuas actualizaciones de firmware que los fabricantes les aplican, siguen apareciendo métodos para saltarse la protección del bloqueo de pantalla. Por si acaso, la mejor solución para evitar este tipo de ataques es tener controlados siempre nuestros móviles para evitar que caigan en manos inadecuadas.
Los móviles HTC ponen en riesgo la privacidad de sus usuarios
Estos días, la cantidad de noticias acerca de nuevos teléfonos y dispositivos móviles se multiplica por la celebración en Barcelona del Mobile World Congress. No obstante, no todo van a ser presentaciones de nuevos dispositivos, aplicaciones o gadgets de dudosa utilidad. En el apartado de la seguridad también tenemos noticias importantes que contar, empezando por el riesgo al que están expuestos los usuarios de más de 18 millones de dispositivos del fabricante taiwanés HTC.
Según la Comisión Federal de Comercio, agencia independiente del Gobierno de los Estados Unidos, HTC personaliza de tal forma sus dispositivos móviles basados en Android y Windows que permiten a aplicaciones de terceros instalar software que puede usarse para robar información personal, según leemos en The Hacker News.
Esto implica que la información privada de millones de usuarios podría estar en riesgo, puesto que aplicaciones aparentemente inofensivas podrían estar enviando mensajes de texto, grabando audio e instalando software adicional (que podría incluir malware) sin que el usuario tuviera conocimiento de estas actividades.
Según esta comisión, se han identificado varias vulnerabilidades que incluyen una implementación insegura de dos aplicaciones de registro como son Carrier IQ (que ya protagonizó su propia polémica hace más de un año) y HTC Loggers. También se han descubierto fallos en la programación que permitirían a aplicaciones de terceros saltarse el modelo de seguridad basado en permisos de Android.
Estos fallos de seguridad son los que permitirían a las aplicaciones de terceros acceder a los números de teléfono, los mensajes de texto, historial de navegación e información personal, como los números de las tarjetas de crédito e información acerca de transacciones bancarias. Por todo esto, la Comisión Federal de Comercio ha apremiado a HTC a que solucione estas vulnerabilidades presentes en millones de dispositivos.
Parece mentira que una multinacional con una base de usuarios tan grande como HTC siga fallando en el diseño de los sistemas que gobiernan sus dispositivos. Este problema, no obstante, no es únicamente achacable a esta empresa, ya que en este mismo blog hemos visto otros ejemplos en dispositivos de todo tipo como routers, Smart tv, cámaras IP, impresoras o cualquier otro que incluya un protocolo vulnerable.
Por desgracia, el ritmo de aparición de nuevas tecnologías que llevamos actualmente hace que, en muchas ocasiones, no se dediquen los esfuerzos necesarios para crear un dispositivo seguro. La situación se agrava cuando estos dispositivos quedan obsoletos y el fabricante deja de publicar actualizaciones de seguridad para ellos, quedando los usuarios desprotegidos y con la única alternativa de volver a pasar por caja y adquirir la versión más reciente.
Esta tendencia no parece que vaya a cambiarse en un futuro próximo, por lo que es nuestro derecho como usuarios de estos productos exigir un mínimo de seguridad y soporte para todos los dispositivos que usemos, más aun si estos almacenan datos privados.
Lanzamos el nuevo ESET Endpoint Security para dispositivos móviles basados en Android con control remoto para entornos corporativos
Más de 1.100 millones de usuarios de todo el mundo nos conectamos a Internet a través de nuestros dispositivos móviles, de los cuales un 47% usan Android. Además, las tablets se han convertido en un dispositivo muy popular, ya que las usan más de 492 millones de usuarios para acceder a Internet, de los cuales un 39% utilizan Android como sistema operativo. Creo que no hace falta explicar el por qué: podemos trabajar en cualquier sitio, llevar toda nuestra información con nosotros y estar permanentemente conectados. ¡Ay! ¡Dónde han quedado los móviles antiguos que solo servían para llamar!
Si los usamos solo para nuestros contactos, familia y amigos, nos fastidiaría mucho perderlos o que nos lo robaran, o que quedaran inutilizados por cualquier tipo de problema o anomalía. Pero claro, no se queda aquí la cosa: cada vez más, estos dispositivos portátiles almacenan no solo datos privados personales, sino también información confidencial de las empresas, similar a la que se almacena en los ordenadores de sobremesa o portátiles. Yo, personalmente, viajo constantemente con mi oficina a cuestas, y tanto el móvil como la tablet son parte del equipaje.
En este mismo blog hemos hablado muchas veces de problemas derivados del robo o la pérdida de estos dispositivos, y hemos visto en las noticias cómo políticos y famosos han tenido problemas por olvidarse el dispositivo en un taxi o perderlo no se sabe dónde (no contamos con los del Senado, cuyo problema real no quedó demasiado claro .
Pues bien, en este contexto, y ahora más que nunca, los administradores de sistemas y los que velan por la seguridad empresarial necesitan herramientas a su alcance que les permitan, de forma cómoda, centralizada y fácil gestionar todos estos dispositivos que están en continua itinerancia, comprobar su estado, poder bloquearlos en caso de pérdida o robo, etc.
Por eso, hoy lanzamos el nuevo ESET Endpoint Security para Android para dispositivos móviles corporativos. Esta solución incorpora todos los beneficios que se hicieron populares en la versión anterior de ESET Mobile Security Business e incorpora ahora ESET Remote Administrator y la herramienta de control ESET USSD.
ESET Endpoint Security para Android se puede gestionar desde la herramienta ESET Remote Administrator, lo que permite a los administradores de sistemas de la empresa revisar el estado de los dispositivos móviles usados por los empleados, realizar análisis a petición, aplicar las políticas de seguridad establecidas y recopilar información de los dispositivos, versiones del sistema operativo y acceder a otras informaciones útiles.
Además, incluye antirrobo, que permite localizar el dispositivo cuando se pierde y bloquearlo remotamente para evitar accesos no autorizados a datos de la empresa. También incluye una opción para eliminar remotamente todos los contactos, mensajes y datos almacenados en el dispositivo.
Y también dispone de los beneficios de una suite de seguridad para dispositivos móviles como antispam para mensajes SMS y MMS y bloqueo de llamadas. Puede utilizarse en cualquier dispositivo móvil basado en Android -teléfonos, tablets y lectores de libros electrónicos-, añadiendo una capa de protección adicional a las soluciones Endpoint de ESET.
Otro aspecto fundamental de la nueva solución de seguridad es la herramienta de control ESET USSD, que permite al usuario revisar posibles números de teléfono maliciosos (códigos USSD) que pretendan marcarse automáticamente. Asimismo, hace posible el bloqueo de sitios webs maliciosos y la revisión en busca de códigos maliciosos antes de que se ejecuten. La herramienta de control ESET USSD se asegura de que todos los datos almacenados en el dispositivo Android están seguros.
Si quieres probarlo, ponte en contacto con nosotros, que estaremos encantados de contarte más cosas de este nuevo producto corporativo.
Yolanda Ruiz
Josep Albors
Vulnerabilidad permitiría ejecutar malware en Blackberry Enterprise Server
Aunque Blackberry haya perdido en los últimos años una importante cuota de mercado en el rango de móviles enfocados especialmente al segmento corporativo, aún sigue siendo un referente, especialmente por la buena reputación que tiene la herramienta Blackberry Enterprise Server.
Esta herramienta permite sincronizar dispositivos inalámbricos como teléfonos móviles con servicios tan esenciales en el entorno corporativo como puedan ser el correo electrónico. Entre los servicios que soporta la sincronización encontramos algunos tan usados como Microsoft Exchange o Lotus Domino de IBM.
Recientemente, RIM anunció la existencia de una vulnerabilidad en esta herramienta, y más concretamente en Blackberry MDS Connection Service y BlackBerry Messaging Agent. Esta vulnerabilidad reside en la manera en la que se manejan imágenes con formato TIFF cuando se visualizan en correos electrónicos, páginas web o el propio servicio de mensajería de Blackberry.
Aprovechándose de esta vulnerabilidad, un atacante podría preparar una imagen TIFF de forma especial y enviarla al usuario en forma de enlace o fichero adjunto al correo. Dependiendo del vector de ataque usado, el usuario deberá pulsar sobre el enlace proporcionado o tan solo recibir el mensaje enviado por el atacante sin ninguna otra interacción por su parte para que se aproveche la vulnerabilidad.
Una vez se ha conseguido aprovechar este fallo de seguridad, un atacante podría obtener acceso a ejecutar código en Blackberry Enterprise Server. Dependiendo de la configuración de los permisos disponibles en la cuenta comprometida, el atacante podría obtener acceso a otras secciones de la red.
De esta forma se puede llegar a alojar malware en este tipo de servidores de BlackBerry y acceder de forma remota a ellos o a la propia red de la empresa. También se podría causar, bajo algunas circunstancias, la caída de la red corporativa. Lo que cabe resaltar en este caso es que la vulnerabilidad no se encuentra en los dispositivos móviles, sino en el Blackberry Enterprise Server.
Por su parte, RIM ha informado de que no tienen constancia de que se hayan realizado ataques de este tipo en sus clientes, aunque se recomienda que actualicen el software a la versión más reciente o se realicen una serie de pasos para mitigar el agujero de seguridad en el caso de que no se pueda proceder a la actualización.
Es importante que las empresas tomen conciencia de los peligros a los que se exponen si no toman las medidas adecuadas y responden rápidamente ante incidentes de seguridad como el que acabamos de comentar. Actualmente son un objetivo muy apetecible para los ciberdelincuentes y debemos estar preparados para evitar ser víctimas fáciles de un ataque que pueda comprometer los datos sensibles de nuestro negocio, independientemente de su tamaño.
Citmo: variante del troyano Carberp afecta a móviles Android
La evolución que han seguido amenazas clásicas para ordenadores a la hora de trasladarse a dispositivos móviles ha sido relativamente rápida y sabiendo adaptarse a las características únicas que presentan estos dispositivos. Dentro de los diferentes tipos de malware que podemos encontrar en nuestros móviles, teníamos variantes de conocidos troyanos como Zeus (Zitmo), SpyEye (Spitmo) y desde ahora también Citmo.
Estas tres variantes están especializadas en el robo de información bancaria y están pensados para romper los sistemas de doble autenticación que incorporan algunas entidades bancarias. Estos sistemas de protección requieren del envío de un SMS con un código de seguridad cada vez que el usuario desee realizar una operación de banca online. Al ser un código de un solo uso se evita que lo podamos perder o nos lo roben y se realicen transferencias de dinero sin nuestra autorización.
Este tipo de troyanos para móviles Android han ido afectando a diversas entidades bancarias desde que en 2010 apareciera la primera variante de Zitmo. La mayor parte de entidades pertenecen a países europeos, destacando España, Italia, Polonia y Alemania, entre otros. Sin embargo, al estar centrado el troyano Carberp en usuarios de Rusia, es comprensible que su versión para móviles se centre en entidades que operen en este país.
Así pues, en las últimas semanas se han venido observando hasta tres aplicaciones subidas a Google Play que simulaban ser aplicaciones pertenecientes a bancos rusos. ¿Cómo es posible que se colasen tres troyanos de esta índole en el mercado de aplicaciones de Google? Para empezar, no es la primera vez y es algo que se viene produciendo con demasiada frecuencia. Seguidamente, debemos tener en cuenta que resulta difícil determinar si una aplicación es maliciosa observando únicamente los permisos que solicitan y estas variantes de Citmo no se caracterizan por solicitar nada fuera de lo normal.
Con este tipo de malware, los ciberdelincuentes se aseguran de obtener todos los datos necesarios para poder robar dinero de las cuentas bancarias de los usuarios. El único esfuerzo adicional que han de realizar para poder saltarse las medidas de doble autenticación, implementadas por algunas entidades bancarias, consiste en realizar una sencilla aplicación y conseguir subirla a Google Play. De esta forma, bien proporcionando el enlace de la aplicación maliciosa por emails u otros medios o bien porque el usuario la encuentra en la tienda de aplicaciones y la instala, se consigue un interesante número de víctimas potenciales.
Como vemos, a pesar de que estas técnicas son bien conocidas y llevan ya bastante tiempo funcionando, no dejan de resultar efectivas, sobre todo si el usuario que tiene que tomar la última decisión falla a la hora de comprobar que la aplicación que quiere instalar es en realidad un malware.
Artículos Anteriores »