Parches de seguridad de este mes de diciembre de 2016.

http://blog.trendmicro.com/december-2016-security-update-review/

Traducción Google:

Baja el ponche de huevo, de nuevo lejos de sus compras navideñas y la poda de árboles, y unirse a nosotros en echar un vistazo a los parches de seguridad publicados por Adobe y Microsoft para el mes de diciembre de 2016.

Adobe Parches para diciembre el año 2016

Para este mes, Adobe lanzó nueve parches de seguridad que abordan cuestiones en Flash, Robohelp, ColdFusion Builder, InDesign, Convertidor DNG, Adobe Digital Editions, animador, Experiencia Manager y experiencia Representante Formas. Obviamente, la mayoría de la gente se centrará en los 17 CVEs corregidos por la actualización para Flash. Adobe informa CVE-2016 a 7.892 – resuelve esta revisión – se ha visto en la naturaleza y está siendo dirigida contra los usuarios que ejecutan Internet Explorer (32 bits) en Windows. Este es el único boletín de este mes de Adobe aparece como Prioridad 1 – calificación más alta de Adobe. También debemos señalar nueve de los 17 CVEs abordados en el flash llegaron a través del programa ZDI. Uno de los CVEs de las ediciones digitales también actualizaciones llegaron a través de ZDI.

Curiosamente, Adobe no ha publicado una actualización de Acrobat desde octubre . Tomando un pico en los próximos ZDI de avisos , que probablemente indica que están trabajando en una gran actualización en los próximos meses.

Parches de Microsoft para diciembre el año 2016

Esta temporada de vacaciones, la gente de Redmond lanzó 11 nuevos boletines de direccionamiento 47 CVEs únicos en Internet Explorer, Edge, Windows, Office y .NET Framework. Cinco de estos boletines se considera crítica con los otros seis calificado como importante. Ninguno está listado como estar bajo ataque activo, aunque algunas de las ECV son públicas. Microsoft también incluyó su boletín para Adobe Flash, con lo que el total de los boletines lanzado este año a un récord de 155. Este registro es probable que permanecerá para siempre, ya que Microsoft ha anunciado su Guía de actualizaciones de seguridad  será la sustitución de los boletines de seguridad a partir de febrero de 2017. Hora dirá si este movimiento hace que sea más fácil o más difícil para los administradores para obtener información necesaria acerca de las actualizaciones de seguridad. En cualquier caso, continúa la tendencia de Microsoft de eliminar u ocultar información sobre sus parches de seguridad. Es de esperar que esta tendencia afecta a los atacantes más que las del mantenimiento del sistema.

Si usted tiene que dar prioridad a su prueba, se centran en los navegadores – Edge e Internet Explorer – y la actualización de Office. Estas aplicaciones tienen una amplia base de usuarios y están dirigidos de forma rutinaria. Al igual que en el mes pasado, muchos de los CVEs parcheados en Edge y el IE recibió un índice de calificación Exploit (XI) de 1 para ambos navegadores. Esta es la calificación de Microsoft que indica la explotación es más probable para estas cuestiones. Aunque Microsoft ofrece muchos de los de seguridad mejoras en Edge, algo de código compartido sigue siendo claramente.

Otros errores críticos parcheado este mes incluyen un parche para la Oficina suite. Esto es inusual, ya que la mayoría de los parches de Office aparecen como importantes por los usuarios que necesitan para hacer clic a través de cuadros de diálogo para abrir archivos maliciosos. Tal vez CVE-2016-7298 – CVE crítico solitario – logra evadir estos cuadros de diálogo.

La actualización para GDI también aparece como crítico. Gráficos errores siempre son preocupantes como simplemente ver una imagen puede desencadenar la vulnerabilidad. En esencia, lo que hace cada sitio web que muestra anuncios de un huésped potencial para un anuncio malicioso explotar el fallo. Piense en eso por un segundo. La última actualización es crítica para diciembre se dirige a un error en Ventanas Uniscribe . Similar a GDI, visitar una página web maliciosa – o ver un anuncio malicioso en una página web legítima – pueden desencadenar la vulnerabilidad.

Del resto de boletines importantes, los que está para Kernel Mode Secure y el instalador de Windows tanto se destacan como interesante. Para el tema de seguro de modo de núcleo, los atacantes podrían usar esto para violar los niveles de confianza virtuales (VTL) y escalar privilegios en un sistema. El error de instalación es también una elevación local de privilegios (EOP). No es difícil imaginar que los atacantes que unen este error al instalar el software de otro modo legítimo para obtener acceso a un sistema. Esto podría ser un error muy impactante, sobre todo desde que Microsoft incluye en la lista con un XI 1. El boletín para los controladores en modo kernel también se traduce en una EOP, pero la tasa más baja en la escala XI.

Las versiones de Kernel , conductor CLFS y .NET Framework están listados como la divulgación de información, pero eso no quiere decir que se deben ignorar. La obtención de información se da a conocer a través de estos tipos de errores es a menudo el primer paso de una cadena de explotar.

Por último, Microsoft dio a conocer su versión de la citada flash de actualización para completar su cosecha de cambios para diciembre. No hay nuevos avisos fueron liberados este mes. 

Actualizaciones móvil 

Seríamos negligentes si no mencionamos las versiones de iOS y Android recientemente publicados. El 10.2 actualización para iOS se dirige a 12 CVEs documentadas, incluso un ingenioso truco para acceder a fotos y contactos en un iPhone bloqueado. La gente de Google liberado actualizaciones para Android en tanto 1 de diciembre y 5 º . Los parches combinados frente a 69 el total de los CVE – 11 de los cuales se considera crítica. En particular, los parches solucionan el » sucio vaca vulnerabilidad», así como dos bichos – CVE-2.016 a 5.196 y CVE-2016-5197-dan a conocer a través de nuestra reciente Pwn2Own móvil competencia. 

Mirando hacia el futuro 

El próximo martes de parches cae el 10 de enero, y estaremos de vuelta con más detalles a continuación. Síguenos en Twitter para ver mejor y más nuevo que viene del programa ZDI

Artículo publicado por «dealerworld». No está de más echar un vistazo…

http://www.dealerworld.es/actualidad/como-combatir-el-ransomware-en-la-pyme-con-windows-10

Artículo publicado por nuestros compañeros de welivesecurity. Ojo…

http://www.welivesecurity.com/la-es/2016/12/01/encuesta-no-usa-antivirus/

En avance tecnológico, Estonia lleva la delantera, siendo el primer país en ofrecer permisos de residencia electrónica a cualquier ciudadano del mundo.
http://www.welivesecurity.com/la-es/2016/11/08/estonia-residencia-electronica-extranjeros/

Dios mio este traductor Google…. Lástima que no tengo tiempo para corregirlo….

http://blog.trendmicro.com/trendlabs-security-intelligence/mobile-ransomware-pocket-sized-badness/

Traducción Google:

Hace unas semanas, hablé en Europa Sombrero Negro 2016 de tamaño de bolsillo para ser malo: ¿Por qué ransomware se presenta como un Vuelco de la trama en el juego del gato-ratón . Mientras ve ransomware móvil desde abril 2015 hasta abril 2016, he notado un gran aumento en el número de muestras ransomware Android.Durante ese año, el número de Android ransomware se incrementó en un 140%. En ciertas áreas, ransomware móvil representa hasta el 22 por ciento del malware móvil en general! (Estas cifras se obtuvieron del Servicio de reputación de Trend Micro Mobile App.) Una tendencia notado durante este tiempo es que refleja fielmente el camino pavimentado por ransomware tradicional: al igual que otros tipos de ransomware, ransomware móvil está en constante evolución y crecimiento.

Esta investigación se inició durante mi tiempo en el Politécnico di Milano ( POLIMI ), y el equipo de investigación de Trend Micro Mobile ha contribuido en gran medida a esta investigación. A continuación se presentan algunos de los aspectos técnicos de prominentes variantes ransomware móviles, junto con técnicas de detección para ayudar a mitigar estas preocupaciones.

Lo que hace que la garrapata móvil ransomware? Cerraduras y miedo

De lo que mis colegas y yo hemos analizado, el bloqueo de la pantalla y asustar a las víctimas a pagar para recuperar el acceso a sus dispositivos es todo lo que se necesita para ser exitoso para ransomware móvil. Vamos a echar un vistazo a las técnicas más interesantes para la pantalla de bloqueo o dispositivo.

Bloqueo de la pantalla

El SMSLocker  familia (detectado como ANDROIDOS_SLOCKER o ANDROIDOS_SMSLOCKER) fue el comienzo de lo que ahora consideramos ransomware Android. Originalmente no utilizar el cifrado, sino que simplemente se ocultó archivos específicos más allá del alcance de los usuarios de todos los días.La variante 2015 de cifrado utilizado con claves por dispositivo, lo que hacía muy difícil crear una «. Desbloqueador» genérico En su mayoría se utiliza SMS para el mando y control (C & C) de comunicación;algunas variantes usan Tor. La mayor contribución que hizo a SLocker ransomware móvil fue el abuso de la interfaz de usuario de Android API para bloquear la pantalla del dispositivo. Esta fue la primera vez que vi el malware tomar el control de un dispositivo que utiliza esta técnica, que se pueden resumir de la siguiente manera en base a la KeyEvent.Callback llamada a la API:

• Obligar a la devolución de llamada onKeyDown () y / o onBackPressed) ( funciones,
• Las devoluciones de llamada se activan cada vez que la víctima presiona los botones físicos,
• De acuerdo con la API, devolviendo «true» para la próxima devolución de llamada en la cadena (es decir, «no se propagan, el evento ha sido procesado ya»), la aplicación evita eficazmente la actividad actual de movimiento en el fondo.

Figura 1. Documentación de la  onKeyDown ()  función en la lista del índice de paquetes Android

ransomware Android ahora comúnmente se utiliza esta técnica para hacer que el dispositivo inutilizable para un usuario inexperto. El reinicio no resuelve necesariamente el problema, sobre todo si la familia de malware utiliza técnicas de persistencia. Sin embargo, un usuario experimentado todavía puede desinstalar la aplicación maliciosa.

La técnica actual de bloqueo del estado de la técnica se basa en abusar de las API del dispositivo de administración. El atacante puede aprovechar para cambiar subrepticiamente el código de acceso con un uno generado de forma aleatoria para bloquear el dispositivo. Mientras que las API del dispositivo de administración tienen un caso de uso legítimo (es decir, lo que permite a las empresas gestionar los dispositivos de sus empleados) que ofrecen una superficie de ataque interesante.

Por ejemplo, la muestra con el hash  a6dedc5f639b2e1f7101d18c08afc66d  (detectado como ANDROIDOS_FAKETOKEN.FCA) utiliza esta técnica. El primer lugar para inspeccionar es el manifiesto, que debe declarar (y pedir permiso para) el uso de los métodos de la API de interés:

Las figuras 2 y 3. Las partes de aplicación de ejemplo manifiesto  en que se solicita el permiso API dispositivo de administración y la política.

El manifiesto anterior es código de ejemplo de la guía de desarrolladores de Android . Si ahondamos en el código (desmontado y descompilada) de la muestra de malware antes mencionado, nos encontramos con esto:

Las figuras 4 y 5. Los fragmentos de código desde el malware

Nos encontramos con una llamada a la lockNow () la función para bloquear el dispositivo, y, en otro método de objeto, una llamada a la removeActiveAdmin ()  función, que es necesaria para «eliminar» aplicación para dispositivo-administración (es decir, el malware). Antes de llamar al lockNow () método, las muestras ransomware normalmente llaman el resetPassword () función, que forzosamente cambiar el código de acceso. LockDroid.E utiliza una contraseña generada al azar, que es esencialmente la información secreta que el criminal envía a las víctimas después de recibir el pago.

La próxima versión de Android, Android 7.0 turrón, tiene una contramedida para esto. Excavar en el código revela que Turrón comprueba si hay un código de acceso ya establecido por el usuario. Si ese es el caso, no hay ningún dispositivo-administrador de aplicaciones, independientemente de si es legítimo o no está permitido cambiar-o reiniciarlo.

Figura 6. Código de Android 7.0 Turrón

Las variantes y técnicas anteriores proporcionan datos sobre cómo los desarrolladores de malware son capaces de bloquear los dispositivos móviles a través de ransomware moderna. Entonces, ¿cómo los atacantes consiguen sus víctimas a pagar?

Cómo ransomware móvil utiliza el miedo para ganar

Cuando se habla de cómo ransomware utiliza el factor miedo, una familia interesante de ver es Koler(detectado como ANDROIDOS_KOLER). A pesar de una familia bastante estándar desde una perspectiva puramente técnica, que utiliza una extensa red de distribución con la localización de unos 60 países. El ransomware obligatoria «advertencia» aparece a la víctima como si estuviera en realidad proviene de las fuerzas del orden locales. Este esfuerzo en la creación de campañas de bien localizadas es, por supuesto, la intención de persuadir a las víctimas a pagar la cuota requerida.

Figura 7. advertencias ransomware en varios idiomas (Click para ampliar)
(Imágenes proporcionadas por Kafeine )

La versión Inglés va en la línea del siguiente ejemplo:

Figura 8. advertencia ransomware Inglés-idioma (Imagen proporcionada por Kafeine )

Esta nota de rescate se acompaña de la pantalla de pago obligatorio, similar a la observada aquí:

Figura 9. pantalla de pago ransomware (Imagen proporcionada por Kafeine )

Otra familia que debe ser mencionado es Svpeng  (detectado como ANDROIDOS_SVPENG). Puede haber comenzado como un troyano bancario, pero las 2.000 muestras que analizamos ahora exhibir las características clásicas de ransomware móvil moderno. Por ejemplo, aquí es cómo funciona la rutina de cifrado:

Figura 10. La obtención de una clase de cifrado

Después de obtener una instancia de la cifra de clase, la muestra recorre todos los archivos que se encuentran en la tarjeta SD y los cifra. Este efecto es similar al ransomware en la plataforma Windows: archivos que han sido almacenados en el dispositivo, son inaccesibles.

Figura 11. La búsqueda y el cifrado de archivos en la tarjeta SD

ransomware móvil ha adaptado las mismas tácticas que hicieron ransomware escritorio un potente amenaza, ganando millones de dólares para las personas responsables. ¿Cómo podemos detectar y bloquear estas amenazas?

Publicado por el blog de Segu-Info. Merece la pena echarle un vistazo y que cada cual saque sus consecuencias… 

http://blog.segu-info.com.ar/2016/12/nuevo-reglamento-europeo-de-proteccion.html?m=1

http://www.infosecurity-magazine.com/news/only-a-quarter-of-firms-can-detect/

Traducción Google:

Sólo una cuarta parte de las organizaciones efectivamente puede detectar y responder a las infracciones, de acuerdo con un nuevo estudio de Tripwire .

La compañía de software de seguridad contratado Investigación dimensional para sondear 500 profesionales de TI en sus desafíos de seguridad y cumplimiento clave.

La pluralidad más grande (32%) afirmó que a pesar de que tenían la tecnología para detectar las infracciones, no podían responder de manera efectiva, y el 29% dijo que si bien tienen «mucha tecnología,» no pueden detectar de forma fiable o responder a una violación grave.

Las estadísticas se confirman prácticamente todos los meses como noticia de otro importante violación de datos en los titulares.

En la última semana o dos solos hemos escuchado la noticia de una violación masiva en vídeo Dailymotion sitio para compartir lo que expone más de 86 millones de cuentas. Además, los detalles de alrededor de 380.000 usuarios de sitio porno xHamster están circulando en la web oscura, que fue descubierto.

«Las oportunidades para la automatización son clave para mantener la eficacia operativa cuando las organizaciones se enfrentan a una escasez de personal calificado que no se alivia con rapidez», dijo Tim Erlin, director senior de seguridad de TI y la estrategia de riesgo en Tripwire.

«El uso de las herramientas a la mano para dar prioridad a las alertas puede ahorrar un tiempo precioso en la respuesta a un incidente. Poner los datos contextuales adecuados al alcance del analista puede permitir que una persona que simplemente hacer más cosas en un período de tiempo más corto «.

Sin embargo, sólo el 21% de los profesionales de TI dijo que podría correlacionar los datos y las alertas de seguridad de sus herramientas de seguridad en tiempo casi real.

Erlin afirmó compartir información es clave para mejorar la postura de seguridad de la organización.

«Con el fin de proteger a una organización efectiva, es increíblemente valioso saber cómo otras organizaciones similares están siendo atacadas o violadas», argumentó.

Las organizaciones son todavía reacios a hacerlo, en parte por la creencia de que van a perder su ventaja competitiva.

Sin embargo, fue revelado recientemente que el sector bancario del Reino Unido promulgó planes de contingencia que permitieron a los miembros a compartir información crucial tras el ataque de alto perfil en Tesco Banco el mes pasado.

Interesante su lectura a padres con hijos menores. 

http://www.welivesecurity.com/la-es/2016/12/07/como-ser-padres-internet/

Concienciación… 

http://globbsecurity.com/entrevista-alberto-hernandez-incibe-40317/