martes, 16 de diciembre de 2014

Y vuelta al "phising"

Estaba esta mañana leyendo en el blog de ontinet - noooo, no tiene nada que ver que hace un par de semanas conociera en Cybercamp 2014 a Josep Albors  y a Fernando de la Cuadra (grandísimos profesionales) - acerca de las últimas amenazas que corren por ahí, en concreto la de correos electrónicos supuestamente enviados por Correos cuando ¡zas! en "" el "inbox" me encuentro con uno de FedEx diciéndome que "el pasado día 12 no me pudieron entregar un paquete"... Y me adjuntan en un fichero comprimido la documentación necesaria para reclamarlo, supongo.

sábado, 8 de noviembre de 2014

Dos antivirus NO protegen más que uno...

Eso estaba intentando hacer comprender un compañero de bits a un usuario del S.O. Windows esta mañana. Todo ello debido a que el antivirus que tiene -de pago, legal y actualizado- no ha sido capaz de detectar una infección que se ha llevado por delante los tres ordenadores de la oficina.
Y, claro, "si el que tengo no ha funcionado, pongo otro más y estoy más seguro", pensaba él.

miércoles, 24 de septiembre de 2014

¿Seguimos con el WPS activado en nuestros routers domésticos?

Hace ya unos meses, allá por diciembre del año pasado, colgué una entrada en este blog sobre el problema de seguridad que representa tener la función WPS activada, algo que viene por defecto.
Y hoy ha llegado a mis manos un "log" con el resultado, que obviamente he ocultado, de un ataque realizado a un router doméstico, en este caso -que no es el único- de Vodafone:


20140923

ESSID: VodafonexxxX

Pin cracked in 4049 seconds
[+] WPS PIN: 'xxxxxx81'
[+] WPA PSK: 'XXXXXXXXXXXXXX'
[+] AP SSID: 'vodafonexxxX'

---
 Como podéis ver, toda la seguridad que nos ofrece una encriptación WPA con 14 caracteres alfanuméricos se va al traste por la debilidad de implantación del WPS. Y deja nuestra red WiFi "con el culo al aire", si me permitís la expresión.
Este resultado el de ejecutar el programa de testeo de seguridad Reaver, desde el que con la friolera de ¡¡cuatro!! líneas de comando a partir de una terminal se averigua logra. Y, a partir de aquí, el "malo" se entretuvo en entrar en la red, ejecutar un Nmap una vez dentro y ver cuántos hosts, cuántos equipos, estaban conectados... y alguna cosita más:


sábado, 6 de septiembre de 2014

¡Y mis fotos por ahí!

OMG! Mis fotos "sólo mías" están por todos lados...

Esta semana hemos tenido como noticia más mediática, en lo que a seguridad informática se refiere, el "robo" de fotos a famosas de muy buen ver en situaciones comprometidas. Vaya por delante que yo no las he visto ni, por supuesto, he sido el autor de la filtración, aunque no me importaría tener la capacidad de tamaña fechoría, dados los conocimientos que implica tener.

Pero vamos a lo nuestro, que no es lamentarnos de lo que no sabemos sino intentar extraer alguna ensañanza de ello.

Leyendo por aqui y por allí vimos que la culpa en primera instancia se la llevó Apple por una flagrante falla de seguridad en un servicio (find my iPhone) que permitió acceder a su sistema de almacenaje en la nube, iCloud, consistente en que las copias de seguridad de sus dispositivos se hacen sin cifrar, en claro. A lo que se añade que hasta hace poco no han adoptado la autenticación en dos pasos, algo así como una doble contraseña: la "normal" y otra que se genera en el momento en que queremos acceder al servicio y recibimos por un segundo medio (otra cuenta de correo electrónico, una aplicación en el móvil...) Pero esta segunda medida de seguridad no viene "de serie" sino que aunque está disponible hay que activarla sí o sí voluntariamente. Y, claro, eso es un "coñazo" que va en contra de la comodidad de pulsar un botón y que esté todo hecho. ¿Hablamos del almacenamiento en "la nube"? Porque si la doble autenticación nos supone un trabajo excesivo, el mero hecho de buscar un servicio que lo guarde cifrado es un "extra" al que no estamos dispuestos... ¡y no hablemos de cifrar el contenido y subirlo, ya encriptado, a un servidor tipo dropBox, Copy... ¡o Google Drive! sin ir más lejos. Trabajo para chinos, dicho sea con todo el respeto pero en lenguaje de la calle. Eso sólo lo hacen los frikis o los neuras.

martes, 1 de julio de 2014

De cómo nos instalamos el malware Selfmite en el teléfono móvil

Una de las últimas infecciones que llega a los móviles, el gusano SMS bautizado como “Selfmite”, hace un uso encadenado de varias técnicas para llegar a nuestros teléfonos inteligentes con Android.

Todo empieza cuando nos queremos descargar una aplicación, en este caso concreto“The Self-Timer” a la que llegamos haciendo clic en un hipervínculo acortado vía Google (goo.gl) para despertar menos sospechas y que nos muestra una página web con “instrucciones” para descargar e instalar la aplicación TheSelftimerV1.apk

Tan pronto la instalamos tenemos un icono en el menú para que no dejemos de ejecutarla inmediatamente, con lo que la aplicación accederá a nuestra lista de contactos en el teléfono y mandará un SMS a los veinte primeros “invitándolos”, en nuestro nombre, a probar la aplicación... Después se conecta a una página web que también está acortada con goo.gl y realiza otras tareas necesarias (instalar otra aplicación, visitar una página web) para que el creador de la infección cobre por terminal infectado.

Los detalles más técnicos los podéis encontrar aquí, que es de dónde he sacado la información, pero lo que a nosotros nos interesa de cara a prevenir infecciones es ver qué técnicas de engaño se usan:
  1. Se hace uso de direcciones url acortadas para dirigirnos a páginas maliciosas, donde además nos pueden infectar vía watering-hole
  2. La aplicación no se instala desde la tienda oficial de Google, sino que se instala vía paquete descargado y sin controlar. No es que las aplicaciones de la tienda oficial sean todas, todas, todas legítimas, pero sí hay un mayor control frente a la descarga vía fichero.apk
  3. Recibimos una invitación por SMS de uno de nuestros contactos instándonos a probar la aplicación en cuestión... Ingeniería social pura: ¿quién no se fía de sus amigos?


Si echamos cuentas, la infección se extendería de forma exponencial: 1, 20, 400... Sigue tú calculando los cuadrados de 20, que yo me pierdo con tanto cero. Afortunadamente esto no es así ya que un número elevado de los destinatarios del SMS lo borrarán, lo ignorarán e incluso su antivirus les protegerá al intentar la instalación...


Porque también tienen antivirus en el smartphone, como tú ¿verdad?

viernes, 6 de junio de 2014

El ¿fin? de Windows XP no termina de llegar...

El pasado día ocho de abril finalizó el soporte que Microsoft daba a Windows XP. Desde ese "fatídico" día los millones de usuarios que no han podido (bien por razones técnicas o económicas) o no han querido cambiar su sistema operativo tras más de una década juntos se encuentran desprotegidos frente a las amenazas que día a día van surgiendo. Pero no nos referimos sólo a los usuarios "normales", sino también a otros más específicos como pueden ser las Administraciones Públicas, la banca con sus miles de cajeros automáticos o nuestro propio negocio con su TPV, que corren XP bien como sistema operativo de escritorio o embebido como base para aplicaciones específicas.
En el caso de las grandes empresas, que no han querido o no han sabido reaccionar a tiempo, ha bastado con poner una sustanciosa cantidad de dinero encima de la mesa y Microsoft les liberará parches de seguridad, si bien de modo reactivo; es decir, pondrá remedio tras comprobarse la vulnerabilidad, lo que de modo castizo expresa el refrán de que "a burro muerto, cebada al rabo" que decía mi abuela.
Esto sentimos que nos afecta de un modo lejano, aunque no es así de ningún modo habida cuenta la cantidad de datos nuestros que maneja la Administración; pero ¿y en el caso de los TPV? Aquí parece que pinta un tanto mejor ya que aún siendo XP el sistema operativo que corre por debajo, desde Microsoft han decidido seguir dando soporte hasta dentro de unos años (¿2019 he leído por ahí?). Esto nos permite un par de cosas: primera, ganar algo de tiempo para que los comercios se puedan plantear un plan de renovación tecnológica mientras mantienen y amortizan su hardware actual; y segunda, totalmente desaconsejada por Microsoft -por supuesto-, que mediante una simple entrada en el registro de Windows tengamos acceso con nuestros XP "normales" a las actualizaciones que se seguirán liberando para los sistemas embebidos, que no olvidemos corren en máquinas conectadas a Internet.
¿Cómo se hace? te estarás preguntando. Pues asómate aquí, donde te explican cómo modificar el registro; pero no sin antes leer y pensarte lo que quieres hacer, como te advierten tanto Microsoft como en distintos blogs de empresas de antivirus, ya que esta treta no mantiene el sistema operativo seguro como si de actualizaciones específicas se trataran. ¡Avisado estás!
Y si quieres saber mi opinión... ¡duda razonable! Aún tengo un equipo "en producción" con WinXP, y tan pronto tenga un hueco pondré en práctica esta "treta" y os contaré...
Y tú ¿qué vas a hacer?  ¡Anímate a contármelo!
Un cordial saludo,
Pedro.

martes, 20 de mayo de 2014

El "virus de la policía" llega a los móviles

¿Os acordáis del famoso virus de la policía? Ese que te bloqueaba el ordenador con una llamativa pantalla de fondo amarillo y escudos de la Policía, Guardia Civil, FBI... acusándote de descargas ilegales o tenencia de pornografía infantil y te pedía 100 €/$ por desbloquearlo? 

Seguro que sí, ése de la "familia" Reveton que evolucionó a Cryptoware-Cryptolocker y pasó a encriptar los ficheros más valiosos para el usuario: imágenes, vídeos, documentos de texto, pdf... con una clave de cifra asimétrica. En ambos casos el pago del rescate no aseguraba la recuperación del equipo, al margen de dejarnos con la sospecha de qué más nos habrían metido.

La penúltima versión, hasta donde yo sé -que no es mucho, todo sea dicho- mientras dejaba bloqueado el ordenador para nuestro uso lo hacía trabajar en segundo plano como minero de bitcoins: tal vez no cobraran por el rescate, pero mientras les ayudaba a generar bitcoins dentro de una red de ordenadores zombies.

Ahora, la última versión, ha saltado a los teléfonos móviles con nuestro querido Android, y somos nuevamente nosotros quienes lo instalamos de modo inconsciente: nos requieren instalar un reproductor de vídeo y nos ofrecen su descarga... Obviamente se trata de una descarga que no se hace desde la Google Play Store, y que en función de la configuración de nuestro terminal móvil adapta el contenido del "aviso" e imágenes al idioma y país del equipo.