Estudio sobre seguridad en móviles
Debido al creciente número de amenazas para dispositivos móviles, en ESET España quisimos averiguar la concienciación sobre seguridad en este tipo de dispositivos que tenían los usuarios españoles. Fruto de esa investigación surgió el siguiente estudio en el que pueden verse reflejados algunos datos interesantes sobre las principales cuestiones de seguridad en dispositivos móviles que más preocupan.
Códigos QR como vector de ataque
Imprimir
Venimos hablando desde hace algunos meses del creciente número de amenazas para dispositivos móviles, como los smartphones, que tan comunes se han vuelto en nuestra vida diaria. Hemos comprobado cómo los creadores de malware utilizaban diversas estrategias para conseguir infectar nuestros teléfonos, pero, recientemente, hemos visto que han empezado a usar un vector de ataque bastante peculiar.
Según informa el investigador Denis Maslennikov, se han empezado a usar códigos QR para propagar enlaces maliciosos entre los usuarios que descargan troyanos. Este tipo de códigos están usándose cada vez más con fines publicitarios, debido sobre todo a que los terminales móviles hace tiempo que tienen la capacidad de leerlos e interpretarlos.
Aprovechándose de esta circunstancia, los ciberdelincuentes están usando estos códigos QR para publicar enlaces en los que se aloja malware. Realmente solo se está reutilizando una vieja técnica como la de introducir un enlace en un contenedor como puede ser un correo electrónico, una publicación en Facebook, una imagen o incluso un archivo multimedia.
Además de para propagar malware, un uso malintencionado de este tipo de códigos puede emplearse para preparar ataques de phishing, como nos demuestran desde el blog de spamloco.net. También puede usarse la ingeniería social para obtener datos de los usuarios que capturen un código especialmente preparado con su móvil, muy útil para conseguir números de teléfono de chicas guapas, como apuntan en el blog de Flu Project.
Como vemos, cualquier vector de ataque puede ser aprovechado por los ciberdelincuentes para propagar malware. Desde el laboratorio de ESET en Ontinet.com recomendamos evitar acceder a enlaces proporcionados por códigos QR de origen desconocido (enviados por SMS, email o impresos en papel y colocados en lugares con gran afluencia de gente). Asimismo, instalar una solución antivirus en nuestro dispositivo móvil puede ayudarnos a evitar problemas si nos puede la curiosidad.
Josep Albors
Los ataques a dispositivos móviles siguen en aumento
Las amenazas orientadas a dispositivos móviles están empezando a representar un número elevado con respecto al global de malware que se genera a diario. Los ciberdelincuentes también observan las tendencias de los usuarios, que apuntan a un aumento del uso de dispositivos móviles en detrimento de los ordenadores personales (ya sean sobremesa o portátiles), y ya hace tiempo que empezaron a enfocar sus creaciones a este terreno.
Si hace unos meses el nivel de amenazas que afectaban a nuestros dispositivos móviles aún era anecdótico, en la actualidad su ritmo de propagación está creciendo peligrosamente y hace que nos preguntemos si la seguridad que implementan estos dispositivos es la adecuada.
Android se ha posicionado como el sistema para dispositivos móviles más extendido, pero también es el más atacado con diferencia. Actualmente existen dos vulnerabilidades especialmente graves que permiten la instalación de aplicaciones maliciosas sin pedir permiso al usuario o la posibilidad de que instalaciones con permisos limitados obtengan el control total del dispositivo.
Son este tipo de vulnerabilidades, y el poco control que se realiza sobre las aplicaciones que se distribuyen en el Android Market, lo que hacen que el sistema operativo de Google sea el más atacado en la actualidad. Asimismo, la dificultad o, directamente, la imposibilidad de actualizar a nuevas versiones de Android por parte de muchos terminales hace que estos permanezcan vulnerables a dicho tipo de amenazas.
Por su parte, iOS tampoco está exento de fallos. Si consideramos que la realización del Jailbreak mismamente se basa en aprovechar agujeros de seguridad, no podemos afirmar que el sistema de Apple sea un ejemplo de robustez. Sí que es cierto, no obstante, que las aplicaciones están mucho más controladas en la App Store que en el Android Market.
A pesar de ello, aplicaciones legítimas también pueden presentar fallos de seguridad como, por ejemplo, la conocida aplicación de mensajería y videollamadas Skype. Se ha descubierto una vulnerabilidad en esta aplicación para iOS similar a la que se descubrió hace un par de meses para la versión de sistemas de sobremesa.
Esta vulnerabilidad XSS descubierta por el investigador Phil Purviance permitiría a un atacante acceder a datos almacenados en el dispositivo, tales como la libreta de direcciones. Este ataque se realiza mediante el envío de un mensaje de chat a través de Skype a un usuario de dispositivos con iOS, como pueden ser un iPhone, iPad o iPod Touch. Solo con visualizar ese mensaje, se ejecutaría el malware y se accedería a información privada almacenada en el dispositivo, como la ya mencionada libreta de direcciones.
Como vemos, la tendencia es clara y apunta a que a corto y medio plazo veremos cada vez más presencia de códigos maliciosos en nuestros dispositivos móviles. Desde el laboratorio de ESET en Ontinet.com consideramos importante que los usuarios tomen conciencia de estas amenazas para que puedan defenderse y proteger este tipo de dispositivos, tal y como lo han hecho con sus ordenadores desde hace años.
Josep Albors
Spitmo. Nuevo troyano afecta a dispositivos Android
Parece que los creadores de malware están orientando, cada vez más, sus creaciones a los dispositivos móviles, especialmente hacia aquellos que usan el sistema Android. Siendo la plataforma más usada en la actualidad, es también lógico que sea la más atacada, y vemos cómo amenazas propias de los sistemas operativos usados en nuestros ordenadores van migrando a los dispositivos móviles.
Si este verano hablábamos de una variante de la botnet Zeus para dispositivos Android, ahora es el turno de otra familia de malware conocida como SpyEye. Estos códigos maliciosos son conocidos por robar datos de operaciones bancarias online y engañar a los usuarios, haciéndoles creer que están realizando operaciones válidas, pero que terminan con el dinero en las manos de los ciberdelincuentes.
Conforme esta clase de transacciones han pasado de realizarse en nuestro ordenador a hacerse en dispositivos móviles, como teléfonos o tabletas, los creadores de este tipo de amenazas han sabido adaptarse a dicho nuevo entorno. Así pues, estamos reviviendo en los dispositivos móviles actuales las infecciones que afectan a nuestros ordenadores desde hace años.
La técnica usada para infectar nuestros dispositivos no es nueva, y usa una página web falsa de una entidad bancaria en la que se nos solicita la instalación de una aplicación de seguridad para evitar la intercepción de mensajes. Obviamente, esta aplicación realiza justamente lo contrario y, a partir de ese momento, todos nuestros mensajes SMS serán interceptados, incluyendo aquellos que nos envía nuestra entidad bancaria y que tienen como finalidad tanto actuar como verificar la identidad del usuario y recibir su autorización cuando se realizan operaciones bancarias.
Este variante de SpyEye orientada a dispositivos móviles está siendo analizada con detalle por varios investigadores, que comparan sus características con malware ya existente y similares funcionalidades como ZitMo. Si algo se puede extraer de sus conclusiones, es que toda esta clase de malware evoluciona muy rápidamente.
Desde el laboratorio de ESET en Ontinet.com analizamos la evolución del malware en dispositivos móviles y hemos observado un importante crecimiento en los últimos meses, tanto en el número de muestras como en su complejidad. Parece claro que el nuevo campo de batalla serán nuestros teléfonos móviles y tablets, por lo que conviene estar protegido con soluciones como ESET Mobile Security.
Josep Albors
Spam de marca blanca. Usan a Mercadona como gancho para un nuevo timo telefónico
El uso de nombres de empresas u organismos oficiales conocidos como gancho para conseguir la atención de los usuarios es otra de las técnicas más usadas recientemente. Si ayer comentábamos en este blog la utilización de asuntos sugerentes para llamar la atención hoy vamos a analizar cómo se intenta suplantar a una conocida empresa de supermercados para promocionar un timo telefónico.
Todo comienza con la recepción en nuestra bandeja de entrada de correo de una supuesta promoción con la que podemos conseguir una tarjeta regalo valorada en 990€. Suena interesante, y más sabiendo lo que cuesta últimamente llenar el carrito de la compra.
Si nos fijamos en el mensaje, aparece como remitente Mercadona pero esto no es más que un engaño puesto que la dirección real de envío es la de una empresa especializada en este tipo de promociones. Se oculta este dato para confundir a los usuarios y, como vamos a ver a continuación, no es la única estrategia usada.
Si nos fijamos en la imagen mostrada en el correo, no se menciona en ningún lado de la misma a la cadena de supermercados pero si que se usa una imagen corporativa muy similar. Tan solo tenemos que pasarnos por la página web de Mercadona para observar las similitudes con los colores corporativos y su logotipo. Cabe recordar que la web de esta empresa utiliza el protocolo seguro https para la comunicación con sus usuarios.
Siguiendo con el correo recibido, si pulsamos en los enlaces proporcionados se nos solicitará que introduzcamos un número de teléfono para enviarnos un código que, una vez recibido en nuestro terminal deberemos introducir para poder participar en esta supuesta promoción.
En este punto es importante detenernos a observar a que dirección web hemos accedido. Si nos fijamos en la barra de direcciones del navegador, observamos cómo se nos ha dirigido a un dominio que no parece tener nada que ver con el de la empresa Mercadona. Si además nos fijamos en la letra pequeña, observaremos que, si enviamos nuestro número de teléfono y proporcionamos el código recibido se nos suscribirá a un servicio de recepción de mensajes sms de tarificación especial.
Como nos extraña que una empresa como Mercadona autorice promociones de este tipo, decidimos ponernos en contacto con su servicio de atención al cliente, contestando poco después y confirmando que ellos no estaban realizando ningún tipo de promoción como la anunciada en el correo electrónico.
De nuevo estamos ante un caso de suplantación de identidad corporativa, pensado para ganarse la confianza de usuarios desprevenidos. Si bien, en esta ocasión no se usa para propagar malware, seguro que a nadie le hace gracia que su factura de teléfono se vea incrementada por haberse suscrito a un servicio de envío de sms de tarificación especial sin saberlo.
Desde el laboratorio de ESET en Ontinet.com aconsejamos a los usuarios que desconfíen de promociones similares, lean bien la letra pequeña y, en caso de seguir con dudas, contactar con el servicio de atención al cliente de la empresa afectada para que estas sean resueltas.
Josep Albors
Zeus, ahora también en Android
Desde que la botnet Zeus empezó a afectar a dispositivos móviles en septiembre del año pasado, varios han sido los sistemas operativos móviles que se han visto afectados. La infección empezó en Symbian para, poco después, extenderse a Windows Mobile y Blackberry.
La posibilidad de crear una red zombie de dispositivos móviles, tal y como ya ocurre con ordenadores de sobremesa y portátiles, fue algo demasiado atractivo para los ciberdelincuentes como para dejar pasar la oportunidad.
No obstante, Android, a pesar de ser el sistema móvil más usado, aún no había recibido su correspondiente versión. Al menos hasta hace poco, puesto que ya se han empezado a detectar las primeras muestras.
En los laboratorios de ESET se han detectado muestras de un troyano de nombre Spy.SmsSpy camuflado como una aplicación de seguridad de la compañía “Trusteer”, pero, a diferencia de las variantes de Zeus en otros sistemas móviles, la funcionalidad de la versión para Android es bastante reducida.
En concreto, las variantes detectadas hasta el momento interceptan los mensajes de autenticación que son enviados por algunas entidades bancarias cuando realizamos alguna operación bancaria y los reenvían a los delincuentes. De esta forma, si el usuario se conecta a la banca online desde su dispositivo móvil, el troyano recopilará todos los datos necesarios para realizar transacciones fraudulentas.
A pesar de no contar aún con características como la recepción de comandos vía SMS o el cambio de los servidores de control si estos son desactivados, es muy probable que se añadan en futuras versiones de este malware.
Desde el laboratorio de ESET en Ontinet.com pensamos que la base de usuarios de Android es demasiado grande para que los delincuentes detrás de la botnet Zeus la ignoren. Es por eso que esperamos que aparezcan versiones mejoradas de esta familia de troyanos por lo que es esencial contar con una protección eficaz en nuestro dispositivo móvil.
Josep Albors
La protección en dispositivos móviles sigue siendo muy baja
Móviles y tablets, junto con otros tipos de dispositivos, han experimentado un crecimiento impresionante en los últimos años. Prueba irrefutable de su popularidad es lo cotidiano que se ha vuelto ver a usuarios de telefonía móvil usando un Smartphone.
Las posibilidades de estos dispositivos son muy amplias: con ellos podemos acceder a nuestro correo, navegar por Internet o relacionarnos con todos nuestros contactos usando aplicaciones de chat, videollamada o, simplemente, comentando nuestras vivencias en las redes sociales.
No obstante, estos dispositivos también pueden ser víctimas de amenazas diseñadas específicamente para ellos. Es por eso que nuestros compañeros de ESET Latinoamérica realizaron una encuesta en la que preguntaron a los usuarios cuáles eran las amenazas que pueden afectar a su Smartphone que más les preocupan.
Los resultados que muestra el gráfico son bastante significativos. Destaca que la mayoría de usuarios encuestados tenían miedo de perder la información almacenada en su teléfono. Esto es totalmente comprensible, debido a que nuestro móvil se ha convertido en depósito de nuestra vida personal y laboral, donde almacenamos contactos, documentos personales y relacionados con nuestro trabajo e información privada diversa que, en caso de ser robada, puede causarnos graves problemas.
La preocupación se incrementa cuando comprobamos que muchas de las aplicaciones que usamos en estos dispositivos son vulnerables a que los datos que manejan puedan ser obtenidos sin nuestro consentimiento.
En igual proporción, los usuarios muestran su preocupación por el robo físico de su terminal y los códigos maliciosos que puedan afectar a su Smartphone. La preocupación por el robo físico de nuestro terminal es comprensible, ya que afecta prácticamente a cualquier bien material que apreciemos. Con respecto a los códigos maliciosos, hemos visto cómo se ha incrementado el número de estos, sobretodo en la plataforma Android, con varios ejemplos de malware y visos de que esta cantidad aumente en el futuro.
El spam también preocupa, aunque en menor medida, a los usuarios encuestados, aunque la cantidad de este tipo de mensajes no deseados puede fluctuar bastante dependiendo de los hábitos de los usuarios e incluso de la operadora contratada y el país en el que se resida.
Como conclusión, este tipo de encuestas reflejan que los usuarios son cada vez más conscientes de las amenazas que pueden afectar a su Smartphone, pero, aun así, son pocos los que toman medidas para protegerse, situándose sobre el 80% los usuarios que no toman medida alguna para proteger la información almacenada en el móvil.
Existen soluciones, no hay duda. Desde aplicar una serie de buenas prácticas para mantener nuestro dispositivo seguro hasta instalar soluciones de seguridad que nos ayuden en esta tarea. Desde el laboratorio de ESET en Ontinet.com nos gustaría recordar la disponibilidad de la versión Beta de ESET Mobile Security para Android, que junto a las versiones ya disponibles para Symbian y Windows Mobile ayuda a los usuarios de estas plataformas a proteger sus teléfonos.
Josep Albors
WhatsApp. Otra aplicación más que descuida nuestra privacidad
Una de las mayores novedades y que más relevancia han tenido en los últimos años en el mundo de los dispositivos móviles han sido las aplicaciones. Desde que Apple presentara en 2007 su flamante iPhone, se vio que las aplicaciones iban a formar parte de nuestro dispositivo móvil de forma inseparable. El tiempo así lo ha confirmado y la gran mayoría de usuarios no duda en instalar aplicaciones en su dispositivo, ya sea para fines educativos, de trabajo o lúdicos, entre otros.
Una de las aplicaciones que más éxito ha tenido ha sido WhatsApp, que permite la posibilidad de enviarse mensajes entre usuarios de la aplicación sin coste alguno, siempre que se disponga de un plan de datos o se esté conectado a una red Wi-Fi. Esta aplicación ha hecho que muchos usuarios dejen de usar el servicio sms para así ahorrarse importantes cantidades de dinero. No obstante, siempre nos queda la duda de saber qué pasa con la información que enviamos. La semana pasada informábamos de cómo algunos servicios de Google usados en dispositivos Android enviaban información personal sin cifrar y cómo esta podía ser interceptada para suplantar nuestra identidad. Google no tardó mucho tiempo en reaccionar y pocos días después este fallo ya estaba solucionado.
No obstante, hay multitud de aplicaciones que son usadas a diario por millones de personas y pocas veces nos paramos a preguntarnos si son realmente seguras. En el caso de WhatsApp, un investigador holandés decidió hacer la prueba para ver si la información transmitida por esta aplicación estaba a salvo de miradas indiscretas, pero el resultado no pudo ser peor para los usuarios de esta aplicación.
Si bien a primera vista el uso de HTTPS y SSL que realiza la aplicación puede hacer pensar que estamos a salvo de ataques man-in-the-middle (ataques en los que un tercero tiene acceso a información intercambiada entre dos partes, sin que los implicados lo sepan), la realidad es que todos los datos se transmiten en texto plano sin cifrar. Esto hace que cualquiera que esté en la misma red Wi-Fi desprotegida que nosotros pueda capturar todo lo que enviemos y obtener datos como el nombre y número de teléfono, e incluso el mensaje enviado. Tan fácil como usar Wireshark y ponernos a analizar paquetes de datos.
Puestas así las cosas y viendo que no son pocas las aplicaciones que sufren este tipo de fallos, desde el laboratorio de ESET en Ontinet.com recomendamos ir con mucho cuidado cuando nos conectemos a una red Wi-Fi pública que no sea segura. Estamos a punto de empezar el periodo vacacional y la mayoría de nosotros nos llevaremos nuestros dispositivos móviles para seguir conectados, por lo que es mejor prevenir para evitar disgustos que nos amarguen nuestro merecido descanso.
Josep Albors
Privacidad de dispositivos Android afectada por un fallo de Google
Durante los últimos meses hemos visto como Android se convertía en una plataforma utilizada por multitud de dispositivos, principalmente teléfonos móviles y tabletas. No obstante, esa popularización también ha traído, tal y como hemos analizado en este blog en anteriores ocasiones, un incremento en la inseguridad de este sistema ya sea por el interés de los ciberdelincuentes o por fallos de diseño.
El caso que nos ocupa hoy no se trata de ninguna nueva amenaza pensada para afectar a esta plataforma, sino de un fallo por parte de Google que puede hacer que un atacante suplante la identidad de un usuario si se conecta a ciertos servicios con su dispositivo Android en una red insegura. Los descubridores de este fallo son los investigadores de la universidad Alemana ULM, quienes descubrieron como acceder a los servicios de Google Calendar, Picassa e incluso a la lista de contactos analizando las comunicaciones de dispositivos Android.
El fallo está producido por ClientLogin, API proporcionada por Google para que las aplicaciones puedan solicitar un token de autenticación (authToken), válido durante las dos semanas siguientes a su solicitud. Esta solicitud se realiza bajo una conexión HTTPS, pero cuando es la aplicación la que solicita autenticarse con Google, estas solicitudes utilizan conexiones sin cifrar HTTP, por lo que pueden ser fácilmente capturadas por un atacante conectado a la misma red inalámbrica, siempre que la misma no use un cifrado seguro.
Porcentaje de versiones de Android usadas actualmente
Hay dos factores que amplifican la magnitud de este fallo y estos son que la mayoría de los usuarios no se preocupan de revisar la seguridad de las redes inalámbricas a las que se conectan y que el fallo se soluciona a partir de la versión 2.3.4 de Android dejando al resto de versiones vulnerables. El problema es que la mayoría de usuarios usa versiones vulnerables y resulta difícil actualizar el firmware del dispositivo puesto que, en la mayoría de ocasiones, son las operadoras las que deciden cuando lanzan estas actualizaciones y no todos los dispositivos pueden actualizarse a la versión más reciente.
Debido a que muchos usuarios se quedarán sin poder actualizar a una versión no afectada por este fallo, bien porque su terminal no lo soporta o porqué su operadora no lo permite, la solución que nos queda es evitar las redes inalámbricas inseguras y, en caso de no tener más remedio que conectarse a ellas, desde el laboratorio de ESET en Ontinet.com aconsejamos evitar acceder a sitios donde se nos requieran datos de acceso para evitar que los mismos puedan ser robados.
Josep Albors
Vulnerabilidad en Skype para Android permite acceder a datos confidenciales
Las aplicaciones para Android siguen siendo un quebradero de cabeza para los usuarios de esta plataforma. Si hace unas semanas comentábamos la eliminación del Android Market de una elevada cantidad de aplicaciones que habían sido catalogadas como maliciosas, ahora vemos como, recientemente, algunos investigadores han comprobado que aplicaciones de terceros podrían acceder a información confidencial de nuestra cuenta de Skype debido a una vulnerabilidad en esta aplicación.
Así pues, una aplicación maliciosa podría acceder a la información relativa a la aplicación Skype para Android almacenada en nuestro dispositivo. Esta información incluye datos del perfil de usuario y mensajes enviados. En la aplicación Skype para Android, los archivos privados se almacenan en una carpeta llamada de igual forma que el nombre de usuario de Skype. Esta carpeta contiene archivos donde se almacenan los contactos, registros de los mensajes, perfil del usuario, etc. No obstante, estos archivos tienen unos permisos inadecuados, permitiendo su lectura a cualquier usuario o aplicación que accediese a la carpeta, ya que además no se encuentran cifrados.
Por defecto, la aplicación de Skype almacena el nombre de usuario en una ubicación conocida, por lo que es fácil para una aplicación maliciosa conseguir acceder a ese fichero. Una vez obtenida esa información, solo se ha de buscar la carpeta con ese nombre para proceder al robo de la información confidencial. Este tipo de información abarca todo tipo de datos personales, como el nombre, dirección, teléfono móvil, fecha de nacimiento, etc.
El acceso a esta información puede hacer que se lancen ataques dirigidos a los usuarios que hayan visto sus datos comprometidos por esta vulnerabilidad. Conociendo esta información privada e incluyéndola en correos de phishing, el usuario será menos propenso a desconfiar y será más probable que caiga en la trampa preparada por los ciberdelincuentes.
Desde Skype ya han asegurado que se encuentran trabajando para solucionar esta vulnerabilidad por lo que, desde el laboratorio de ESET en Ontinet.com, confiamos en que los usuarios pronto dispongan de una versión que solucione este agujero de seguridad.
Josep Albors
Actualización: Skype acaba de anunciar que ha lanzado una actualización de su software para Android que soluciona esta vulnerabilidad. Es recomendable que todos los usuarios de esta aplicación actualicen a esta nueva versión para evitar la fuga de datos.
« Artículos Posteriores — Artículos Anteriores »