¿Cuán malos pueden ser los "emojis"?

 Long, long time ago... como dice la canción.

Mucho tiempo ha pasado desde la última entrada que subí al blog y no por falta de ganas, ya que tanto a nivel profesional como particular sigo predicando en el desierto de la concienciación sobre ciberseguridad como bien sabéis quienes me conocéis.

Entonces ¿por qué no he subido nada? Porque como se ve en las entradas del blog y alguno sufrís en directo (léase estados de Whatsapp) lo que más me motiva para interactuar y soltar alguna "chorrada", algún comentario "out-of-the-box" es que el mensaje me "toque" un poquito. Y algo me tocó al encontrarme con esta noticia en un diario online:

"Investigators from the Israel Defense Forces (IDF) reached the conclusion after finding identical emoji messages on the phones of Hamas military wing fighters on the day of the assault in southern Israel.

The Jerusalem Post reported that ...'Hamas likely used the emojis as coded commands to make its communications harder to detect."

Para quienes no entendáis el inglés o no queráis hacer un copia-pega (que igual os vais y no volvéis), os lo cuento brevemente:

Los luchadores de Hamas recibieron la orden de ataque el 7 de octubre a través de emojis. Investigadores de las Fuerzas israelíes de Defensa llegaron a esa conclusión tras encontrar mensajes idénticos con emojis en los teléfonos de los miembros de Hamas el día del ataque a Israel.

El Jerusalén Post informó que: "...Hamas probablemente usó los emojis como órdenes codificadas para hacer más difícil la detección de sus comunicaciones."

Si os pica la curiosidad, que hay más miga, al traductor de Google con la url y a leer la noticia y seguir los links.

Y esto ¿en qué te ha tocado? os preguntaréis. Al lío.

En 2016 Mozilla creó una herramienta gráfica llamada Codemoji, hoy en día descontinuada, para enseñar los principios básicos del cifrado de mensajes y su aplicación a las comunicaciones a través de Internet.

En noviembre de 2017 en la HoneyCON y en mayo del 2018 en X1Red+Segura, los talleres que se hicieron a cargo de Hack&Kids ya se ¿jugaba? con los mensajes secretos a base de emojis, sólo que en lugar de enviarlos individualmente a dispositivos móviles los publicábamos online "para ocultarlos" y descifrándolos se finalizaba el taller de criptografía simétrica.

Esta ocultación "pública", que podríamos incluso llamar "por ofuscación" ya la hicimos, también, en el taller de ciberseguridad de las XV Jornadas Técnicas en el CFIFP Los Enlaces de Zaragoza, dentro del track del área de Sonido e Informática, en el que la contraseña que buscábamos se encontraba oculta con esteganografía en una imagen de una web cuya URL se obtenía descifrando previamente un mensaje.

¿Os suena? Pues es, más o menos, el mecanismo del que se (supone) se valieron los autores del atentado del 22 de marzo del 2017 en Londres. El día 21, el anterior, apareció publicado en el foro POL (políticamente incorrecto) del boletín 4chan una fotografía con dos pistolas y un mensaje en código Morse...

Si quieres conocer más detalles puedes verlo aquí y aquí, por ejemplo.

Total, que de repente me he encontrado con que los juegos didácticos / talleres de cripto (clásica, simétrica) que hacemos con los kids y con los no tan kids para concienciarles sobre ciberseguridad ¿jugando? tienen, amén de una base técnica indiscutible, una utilidad tan buena o tan mala, una finalidad tan loable o tan despreciable como la intención de quien la emplee.

Nosotros para el bien, quede claro.

¡Hala! que me he despachado a gusto, pero cuando algo me toca...

¿Me dejas robarte "el WhatsApp"?

No fue el día de los Santos Inocentes, sino el siguiente y temprano, por la mañana, al poco de empezar la jornada laboral.
Suena el teléfono y tras los buenos días la pregunta: ¿Has visto el whatsapp que te he mandado? Me lo ha enviado mi hermana, mosqueada...

De libro. Efectivamente, era lo que parecía y lo que esta buena amiga ya sospechaba: era un intento de estafa, aunque no tenía muy claro de qué tipo.

"A vuelta de correo" la explicación: se trata de un intento de robo de cuenta de WhatsApp. ¿Qué hacer? Ignorar completamente los mensajes que nos lleguen, tanto a través del propio WhatsApp como por SMS, ya que sin nuestra interacción con los ciberdelincuentes éstos no conseguirán su objetivo.
En este caso lo que quieren los "malos" es intentar registrar el (nuestro) número de móvil en un dispositivo que está bajo su control, y lo primero que hace el sistema (WhatsApp) es enviar automáticamente al número de teléfono objetivo un SMS con un código de verificación, que de ser introducido en el terminal de los "malos" haría que se cerrase la sesión abierta en nuestro móvil (el de los buenos).

El método de los ciberdelincuentes para hacerse con el código de verificación se basa en técnicas de ingeniería social: amenazan con la pérdida de la cuenta (¿?) y apremian para que se les envíe rápidamente el código que lo evite...

En este caso, afortunadamente, la víctima no se dejó asustar y pidió consejo (¡¡nuestro trabajo da sus frutos!!), ignorando los sucesivos mensajes que "incluían" una "cuenta atrás" del tiempo que quedaba para introducir el código.

Cierto es, también, que la propia plataforma te notifica que se ha solicitado un código de registro de WhatsApp para tu número de teléfono, advirtiendo de que NO se comparta con nadie si no hemos sido nosotros mismos quienes lo hemos solicitado.

Mientras, los ciberdelincuentes, a quiénes sí apremia el tiempo, intentan como sea que se les envíe el código... ¡hasta pidiéndolo en inglés!

¿Será que la "plantilla", su "despabilaburros", en español no contempla la posibilidad de que las víctimas se resistan hasta el final y por eso terminan, a la desesperada, escribiendo en inglés y llamando desde teléfonos con ¿supuestos? números de países anglófonos?

En este caso la concienciación del usuario, el pararse a pensar un momento antes de dejarse llevar por las prisas, fue más que suficiente para evitar los quebraderos de cabeza que le hubiera supuesto el perder, aunque la recuperase después, la cuenta de WhatsApp.

Y, si hemos prestado un poco de atención a los mensajes, nos habremos dado cuenta de que nos pedían los "cinco dígitos" del código, cuando éste está formado por seis: dos grupos de tres separados por un guión medio. Una incongruencia que denota un mal hacer, una escasa "deontología profesional"... ¡Qué también hay malotes chapuzas!
¿Y para qué querrían los "malos" hacerse con esta cuenta? Pues así, a bote pronto, conseguir una agenda telefónica completa que después podrían emplear para, actuando en nombre de la víctima, engañar o estafar a sus contactos de un modo más fácil amparándose en la confianza que nos inspira cualquier comunicación que proviene de un conocido, por ejemplo.
Y con esto nos quedamos: con un buen sabor de boca para terminar el año, y un empujoncito de moral que nos ayuda a no desfallecer en nuestra tarea de concienciación, que en las más de las ocasiones no parece sino un predicar en el desierto...

Gracias por haber llegado hasta aquí, y mis mejores deseos para todos en este 2022 que asoma a la vuelta de la esquina.

Para saber más:

WhatsApp
Infobae
Xataka

Un fantasma acecha en la SoMBra, SMBGhost

Hemos empezado el fin de semana con una nueva alerta del CCN-CERT relativa a una amenaza a la seguridad de nuestros equipos informáticos que corren Windows 10, y a la que han llamado SMBGhost. ¿Grave? Crítica, equiparable a las últimas “famosas” por los daños que causaron a lo largo y ancho del globo: NotPetya y WannaCry.

Esta amenaza aprovecha una vulnerabilidad en el protocolo SMB, una forma de comunicación entre dispositivos que permite la compartición de carpetas y de impresoras en una red, entre ellas la doméstica que tenemos en casa.

Me explico. Todos los dispositivos que están conectados a nuestro router conforman nuestra red doméstica, y el protocolo SMB permite que se puedan compartir las carpetas y documentos que hay en un equipo con el resto de dispositivos de la red; y otro tanto ocurre con las impresoras: tenemos una impresora conectada directamente a un equipo, por USB es lo normal, y la "compartimos" con el resto de usuarios de casa para que cualquiera pueda imprimir a través de ella teniendo, eso sí, el equipo encendido.

El exploit (el bicho) que se aprovecha de esta vulnerabilidad, que además cuenta con la capacidad de auto-distribuirse a todos los dispositivos de la red - como buen gusano que es – permite al malote hacerse con el control del o de los dispositivos infectados con privilegios de administrador. A partir de ese momento tiene nuestro ordenador, y cualquier otro de los de la red, a su entera disposición, pudiendo hacer cuánto mal quiera: desde robarnos información a instalarnos un ransomware y pedirnos un rescate, pasando por convertirnos en un bot más de su red.

Si bien esta vulnerabilidad fue descubierta y solucionada hace unos meses vía parche de seguridad de Microsoft, es lo suficientemente grave (crítica, os recuerdo, la máxima gradación) como para lanzar un nuevo aviso a “navegantes” y que actualicemos urgentemente nuestros sistemas Windows ¡que el segundo martes de junio ya ha pasado!

Eso sí, los que aún ¿disfrutéis? De Windows 7 no tenéis que preocuparos, ya que no os afecta… Esta, pero todas las demás derivadas de un sistema operativo descontinuado están acechándoos y deseando encontraros.

Una vez más me permito unir mi voz a las de quienes claman en el desierto y pediros que actualicéis, constantemente. Que la seguridad informática es una tarea constante y que es imposible llegar al 100%. Así que, al menos, vamos a no facilitar la vida a los ciberdelincuentes.

Tened cuidado ahí fuera. ;-) 

Fuentes:

https://wwwhatsnew.com/2020/06/14/smbghost-el-problema-de-seguridad-por-el-que-debes-actualizar-tu-windows-10/

https://techcrunch.com/2020/03/12/microsoft-releases-emergency-patch-for-leaked-windows-10-security-bug/

Lo que soporta el soporte (fake) de Windows

Lo prometido es deuda, así que toca pagar.

Sábado, 8 de la mañana. Día de descanso y el teléfono, fijo, que suena. Un tipo con acento extranjero que dice ser del “Servicio Técnico de Microsoft” y que llama porque mi “computadora” está llena de errores se tiene que escuchar de todo, que en ningún caso es más suave que “sinvergüenza”, pensando en la cantidad de personas a las que pueden llegar a engañar. Me cuelga, y se lleva unas cuantas lindezas más mientras me preparo el desayuno. Total, ya se me ha pasado el sueño.

Mi cabeza empieza a dar vueltas a la llamada y me arrepiento de haber sido tan brusco: era la primera vez que me pasaba, y he perdido la oportunidad de conocer de primera mano su modus operandi. Mala suerte: para la próxima, concluyo.

A punto de empezar con la tarea de empapar la segunda magdalena (casera ¿eh?) en el café con leche vuelve a sonar el teléfono. El día no empieza tranquilo, precisamente, y acabarán despertando a todos los de casa...

¡O sí! Ahora, veinte minutos después de la primera llamada, es una tal Ana, técnico de Microsoft que malamente habla español con un acento rumano inconfundible, quien me dice que mi ordenador tiene muchos errores y que me van a ayudar a solucionarlo. No me lo puedo creer: el karma existe.

Y mi buena Ana empieza a decirme en su mal español, que es mejor que mi inexistente rumano, dicho sea de paso, que por usar el navegador de internet se me han descargado problemas en mi ordenador. Algo malo debe ser eso de usar el navegador porque me lo repitió cual mantra varias veces mientras ambos esperábamos a que arrancase el ordenador (tiene suerte: el portátil que tengo a mano sólo tiene Windows instalado), mientras yo le voy agradeciendo las molestias y me disculpo porque es una “máquina vieja” y tarda lo suyo.

Una vez tengo el equipo encendido se lo digo, y ella empieza a darme instrucciones:

- “Tienes tecla C-t-r-l abajo izquierda, si ¿no?

- A veeer… (me hago pasar por una persona mayor poco técnica) ¡Sí, aquí está!

- Tú derecha tecla Ctrl ¿qué tienes? Tecla Windows cuatro banderitas Windows?

- Huy, no. Una que pone “Fn”, y esa de las banderitas a su derecha…

- Esa, esa- me interrumpe. Tu pulsa tecla Windows y tecla “R”, da mismo a la vez…

- Voy, voy… Muchas gracias por su paciencia, señorita…

- Tú pulsa tecla Windows y “R” y dime que ves…

- Huy, nada aún.

- ¿Tú pulsado tecla Windows y “R”?¿Sí?

- Sí, sí. ¡Espere, señorita, que aquí pone algo! Es un cuadradito en el que pone algo de “Ejecutar” y luego “Abrir” al lado de otro cuadradito en blanco…

- Sí, sí. Tu escribe yo digo letras: e de España, v de Valencia, e de España, n de Navarra… r de Roma. ¿Sí? ¿Tú escribes?

- Espere, espere, que lo ha dicho muy deprisa y no me ha dado tiempo (leches, que lo tengo que escribir en el papel donde tomé las notas y luego en “su sitio”)

- Sí, sí, tu escribes yo repito: e de España, v de Valencia… r de Roma ¿sí?¿sí?

- Casi, casi… e...v...e...n...t...v… Me he perdido ¿puede repetirmelo? Es que estoy muy nervioso ¿sabe?

- Sí, si. Tu escribes yo repito: e de España, v de Valencia… r de Romanía

¡Corcho! Los nervios la han traicionado: la “r” ha pasado de ser la de Roma a ser la de Rumanía…

- Ya lo tengo, señorita. Qué amable es usted, que paciencia…

- Pulsa tecla Intro. Tú que ves pantalla? (me vuelve a cortar ¡qué poco empática!)

- Huy, una ventana que pone… Visor de eventos

- Sí, sí (empiezo a estar hasta el moño de tanto refuerzo positivo). Tú haces doble clic en Vistas personalizadas. Sí. ¿Ya?

- Sí, ya está…

- Tú haces doble clic Eventos Administrativos ¿sí?

- Espere… ¿es donde está ese embudo?

- Tú haces doble clic Eventos Administrativos yo digo ¿sí?

(Y yo digo: ¿por qué me tutea directamente y de modo tan brusco? Estos de Microsoft...)

- Ya está…¡halaaa! Cuánta señal roja y amarilla de peligro...

- ¿Ves, tú ves? Computadora muchos errores tu navegar Internet tú muchos errores. Yo ayudar quitar errores ¿sí? Tú abrir Google Chrome ¿sí?

(Pues va a ser que no tengo Chrome, espero que me sirva Firefox, porque a esta moza no voy a ser capaz de hacérselo entender)

- Voy, voy… Ya está, señorita. ¿Qué hago ahora?

- Tú escribe yo digo: s de Sevilla, u de…

Ni me acuerdo ya: estaba tronchado de la risa. Y a punto de despertar al resto de la casa…

- … s… u… p… r… e… m… o… Tú pulsa Buscar ¿Tú que ves?

(Nada, borroso: estoy llorando de la risa)

- “Descarga Supremo, software de control…”

- Sí, sí. Tú pulsa descarga ¿sí? Tú baja pantalla tu ves botón naranja ¿sí?

- Sí, donde pone “Descargar Supremo” ¿no?

- Sí, sí. Tu descargas ¿sí?

- Ya está descargado.

- ¿Sí? Tu doble clic Ejecutar Exe. ¿sí?

- ¿Aquí dónde pone…?

- Sí, sí. Tu doble clic Ejecutar Exe, ¿sí?

(Para mí que se estaba desesperando ¡qué prisas me metía!)

- Ya está. ¡Huy! Otra ventana...

- Tú ahora ves ventana números ¿sí?

- Sí

- Tú dices números yo arreglo computadora ¿sí?

(Hombre, claro; que para eso llevo más de veinte minutos al teléfono, el café con leche enfriándose y esa pobre magdalena que ya parecerá más bien cualquier cosa ahí empapuzada dentro de la taza…)

- Sí, sí. Apunta: cero-seis-dos-cero-nueve-uno-cero-nueve-dos… po...lí...cí...a

-No, no. Tú dices sólo números ¿sí?

- Pues eso, bonita: cero-nueve-uno-cero-seis-dos-cero-nueve-dos… po...li...cí...a

¿y qué ocurrió?¿Pensáis que me colgó? ¡¡Qué va!! Ocurrió lo que todos los clientes queremos cuando nos atiende una teleoperadora que no nos soluciona el problema: ¡¡se puso el encargado!!

- Hola, soy Max no-se-qué, del departamento de Microsoft. Su computadora…

Y aquí se acabó mi paciencia: sinvergüenzas, estafadores, ladrones, delincuentes… hasta que, entonces sí, me colgaron.

Tronchado de la risa y más feliz que una perdiz apagué mi portátil (sí, miré a ver si tenía algo que antes no estaba) y me fui a terminar mi casi frío desayuno, rescatando esa pobre magdalena de su sufrimiento.

Ciertamente, el día mejoró: no hay como unas risas mañaneras… ¡salvo que hubiera tenido Windows en alguna máquina virtual y haber seguido con el juego! Pero eso ya os lo dejo a vosotros…

Nota: esta noche, mientras escribo esta entrada, he comprobado como al ejecutar el instalador ya sale un mensaje advirtiendo del uso de la herramienta de control remoto por parte de ciberdelincuentes. Eso les honra.

Tras un hack cambia la pass

Ayer, 25/08, nos enterábamos vía redeszone que la empresa de alojamiento Hostinger había sido hackeada el pasado día 23, accediendo los atacantes a datos privados de sus 14 millones de usuarios (sí, yo tengo un par de webs alojadas con ellos…) Entre los datos robados figuran las cuentas de correo electrónico de acceso al servicio y las contraseñas, hasheadas, eso sí. Aún con todo, Hostinger ha reseteado las contraseñas de todos sus usuarios quienes nos hemos visto forzados a un cambio ¡Y digo c-a-m-b-i-o y no volver a poner la misma! ¿Por qué aconsejan siempre lo mismo cada vez que hay un hackeo de este tipo, o un leak (fuga) de información de bases de datos de hackeos?

Porque el ser humano es vago por diseño, y tendemos a usar la misma cuenta de correo y la misma contraseña para todos los servicios que empleamos ¿o me vas a decir que tus correos de acceso a Facebook, a Instagram, a Twitter son distintos al de Gmail que tienes en el móvil Android?. Con un poco de suerte haces lo que ¿recomiendan? De añadir al final de la misma contraseña la “fb” para Facebook, o “ig” para Instagram o… #OMG. Ya hablaré en otro momento de contraseñas…

Ser noticia por ransomware: no, gracias

Un día cualquiera, laboral, en un mes casi cualquiera, julio por ejemplo. Suena el teléfono:

- Informática, buenos días

- Pedro (tienen mi extensión anotada en el post-it de turno) tengo un correo que me da “mal rollo”, que pone cosas raras y no entiendo qué dice ni si es para nosotros…

- ¡Tate quieta! No hagas nada que voy en un momento…

Dicho y hecho: al ordenador de marras a ver qué es lo que ha llegado al correo y que ha disparado las alarmas del usuario.

Y era lo que se podía esperar: un correo electrónico de un remitente desconocido con un mensaje redactado en un español “de traductor malo” urgiendo a resolver un problema con una entrega de mercancías y aduanas de por medio, acompañado por un adjunto en ¿.pdf?

No pintaba bien.

Seguridad y privacidad online

Este era el título de la formación que impartió Pablo Yglesias los pasados 15 y 16 de mayo en el CIFE "María de Ávila" para profesores... ¡y un polizón!
Pero es que era irresistible: Pablo al mando de la palabra, y Cristina coordinadora de las jornadas. What else? como puso de moda cierto actor resultón hace ya un tiempo.
A priori el tema de la seguridad y la privacidad digital, la presencia online ¿qué les puede importar a los profesores más allá de conseguir que sus alumnos se desconecten de "las maquinitas"? Craso error el de quien haya llegado a pensar eso porque había expectación e interés.