Artículo publicado por nuestros compañeros de welivesecurity. Recomendada lectura.
http://www.welivesecurity.com/la-es/2016/12/02/desmantelamiento-avalanche-a-salvo/
Dic 06
Artículo: Dorkbot: la vida después de su desmantelamiento
Hace un año, el 2 de diciembre de 2015, un grupo conformado por las principales empresas de ciberseguridad, agencias policiales y proveedores de software, incluyendo ESET y Microsoft, logró desmantelar a Dorkbot, una familia de malware que se había estado infiltrando en sistemas en todo el mundo por más de cuatro años…..
http://www.welivesecurity.com/la-es/2016/12/02/dorkbot-despues-desmantelamiento/
Dic 05
Artículo: Cybercamp 2016: ciberseguridad para todos los públicos
Ojala pudiera estar, pero este año, va a ser otro año que va a ser que no.
http://globbsecurity.com/cybercamp-2016-ciberseguridad-para-todos-los-publicos-40300/
Dic 05
Artículo: TrendLabs Security Intelligence BlogNew SmsSecurity Variant Roots Phones, Abuses Accessibility Features and TeamViewer – TrendLabs Security Intelligence Blog
Traducción Google:
En enero de 2016, encontramos varias«SmsSecurity» aplicaciones móviles que decían ser de varios bancos . Estas aplicaciones supuestamente generan contraseñas de un solo uso (OTP) que los titulares de cuentas podrían utilizar para conectarse en el banco; en cambio, resultó ser aplicaciones maliciosas que robaron cualquier contraseña enviada a través de mensajes SMS.Estas aplicaciones también fueron capaces de recibir órdenes de un atacante remoto, lo que les permite tomar el control del dispositivo de un usuario.
Desde entonces, hemos encontrado algunas nuevas variantes de este ataque que añaden nuevas capacidades maliciosos. Estas capacidades incluyen: medidas anti-análisis, enraizamiento automático, detección de idioma, y el acceso remoto a través de TeamViewer. Además, SmsSecurity ahora utiliza hábilmente las características de accesibilidad de Android para ayudar a llevar a cabo sus rutinas de manera sigilosa, sin interacción por parte del usuario.Detectamos estas aplicaciones maliciosas como ANDROIDOS_FAKEBANK.OPSA.
Prevención de manipulación a través de dispositivos Banderas
Las nuevas variantes que hemos visto se han diseñado para no funcionar en emuladores. Esta es la intención de hacer el análisis de estas muestras más difícil. ¿Como hace esto? Se comprueba el build.prop archivo, que contiene las propiedades de generación de la versión de Android instalado en el dispositivo. Estas variantes comprobar los valores en build.prop como producto, la marca y el dispositivo para ver si se están ejecutando en un dispositivo físico real o un emulador.
Figura 1. Código de pruebas para los emuladores
Uno puede ver cómo el código prueba para dispositivos anteriores «genéricas» que es probable que sean los emuladores. Si se está ejecutando en una sola, no va a ejecutar cualquier código malicioso para evitar las herramientas de análisis dinámicos.
Figura 2. Código prevención de ejecución en emuladores
Habilitación de servicios de accesibilidad / controles de administrador de dispositivos
Después de correr, se le pedirá al usuario activar los servicios de accesibilidad para la aplicación maliciosa.Esto le permite simular las acciones del usuario, como toques de la pantalla.
Figura 3. Activar los servicios de accesibilidad para SmsSecurity
La aplicación maliciosa intentará descargar y ejecutar una herramienta de terceros enraizamiento:
Figura 4. Código herramienta de enraizamiento descargan
El servicio de accesibilidad supervisará la actividad denominadacom.shuame.rootgenius.ui.homepage.HomepageActivity , que es la actividad principal de la herramienta de enraizamiento. Si encuentra esta actividad, el servicio de accesibilidad va a encontrar y haga clic en un botón en la actividad que se inicia el proceso de enraizamiento.
Después de conseguir acceso root, la aplicación maliciosa intentará modificar el oom_adj ajuste del valor de su archivo de proceso para evitar que el sistema matarlo debido a baja memoria.
Las figuras 5 y 6. Valor Código modificación de oom_adj
El servicio de accesibilidad intentará activar la aplicación maliciosa como un administrador del dispositivo sin informar al usuario. Para ello, el intento de hacer clic en el botón «Activar» que se encuentra dentro de la aplicación configuración de este.
Figura 7. Código de intentar obtener acceso de administrador
Soporte de TeamViewer
En esta etapa las nuevas variantes SmsSecurity instalarán una aplicación TeamViewer QuickSupport en el dispositivo. Esta es una herramienta de acceso remoto que se supone que debe ser utilizado por equipos de asistencia técnica para ayudar a los usuarios en sus dispositivos móviles. En este caso, se usa en cambio por un atacante tomar el control del dispositivo del usuario.
Figura 8. Código para la instalación de TeamViewer QuickSupport (clic para ampliar)
Para conectarse al dispositivo afectado, el atacante tiene que leer el ID de TeamViewer, que se muestra al usuario en el dispositivo. El servicio de accesibilidad lee esta ID, que permite al atacante para controlar el dispositivo de forma remota. Esto se almacena junto con las otras preferencias en un archivo compartido, al igual que las versiones anteriores de SmsSecurity.
Figura 9. ID de TeamViewer está visualizando
Figura 10. almacenado ID de TeamViewer (clic para ampliar)
En este ejemplo se comprueba si el botón «Activar» en varios idiomas, incluyendo Inglés, alemán, francés e italiano. Esto pone de relieve cómo las versiones actuales comprobar el botón de activación en múltiples sistemas operativos.
Objetivos y Conclusión
Una amplia variedad de bancos en Austria, Hungría, Rumania y Suiza han sido blanco de este ataque.(Muchos de los bancos suizos dirigidos en este ataque son los bancos cantonales .) Los siguientes bancos fueron el blanco de estos ataques:
- Aargauische Kantonalbank
- Bank Austria
- Banco Cantonal de Friburgo
- BKB Banco
- Credit Suisse
- Erste Bank
- Glarner Kantonalbank
- Luzerner Kantonalbank
- Ober Banco
- Obwaldner Kantonalbank
- Raiffeisen Bank
- Schaffhauser Kantonalbank
- Volksbank
- Zürcher Kantonalbank
La relativamente amplia distribución geográfica de estos objetivos podría explicar el carácter multilingüe de sus rutinas, ya que los clientes específicos pueden tener fluidez en varios idiomas.
Estas nuevas variantes SmsSecurity representan una evolución en las capacidades de SmsSecurity. El uso de las funciones de accesibilidad de Android para implementar rutinas maliciosas es una nueva forma de llevar a cabo la actividad automatizada que bien puede ser imitado por otras familias de virus móviles en el futuro. Aplicaciones de seguridad como Trend Micro Mobile Security protegen contra estas amenazas mediante la detección de estas aplicaciones maliciosas.
Los indicadores de Compromiso (IOC)
La siguiente-mando y control servidores (C & C) fueron utilizados por estas variantes:
- hxxp: //clubk-ginza.net/css/3.php
- hxxp: //edda-mally.at/css/3.php
- hxxp: //gruposoluciomatica.com.br/os3/inc/main.php
- hxxp: //izmirsatranckursu.net/includes/main.php
- hxxp: //jbrianwashman.com/images/photo26962/main.php
- hxxp: //losbalonazos.com/wp-admin/3.php
- hxxp: //moseybook.com/blog/wp-includes/main.php
- hxxp: //naritamemorial.com/analog/3.php
- hxxp: //pplweb.pplmotorhomes.com/includes/main.php
- hxxp: //sedalbi.com/img/main.php
- hxxp: //szaivert-numis.at/standardbilder/dll/3.php
- hxxp: //www.ircvenezia.it/free/main.php
- hxxp: //www.oguhtell.ch/cart/3.php
- http://www.santamariagorettimestre.it/img/main.php
- http://www.vanca.com/media/3.php
Las aplicaciones maliciosas son detectados como ANDROIDOS_FAKEBANK.OPSA, y tienen la siguiente SHA1 hashes:
- 323bf07667bf9d65055f80a15a90508e99e05632
- d84353986ee05ac61308063271ade3f8f2876ef9
- 8d0dfd97194f8aef5a15f16e2d410af1f3dcfeae
Dic 02
Artículo: Presentan 6 principios estratégicos para proteger a la IoT
Interesante y de obligada lectura.
http://www.welivesecurity.com/la-es/2016/11/17/principios-estrategicos-proteger-a-la-iot/
Dic 01
Artículo: Gooligan: el nuevo malware para Android que ha expuesto más de un millón de cuentas de Google – Globb Security
Atentos a este malware para Android. Publicado por nuestros compañeros de globbsecurity.
http://globbsecurity.com/gooligan-malware-android-expuesto-millon-cuentas-google-40199/
Dic 01
Artículo: How to Make People Click on a Dangerous Link – The World of IT & Cyber Security: ehacking.net
Concienciación, concienciación y más concienciación……… «Los mensajes que contienen enlaces a sitios web infectados con malware representan una seria amenaza».
http://www.ehacking.net/2016/11/how-to-make-people-click-on-dangerous.html?m=1
Traducción Google:
A pesar de los numerosos esfuerzos de educación de usuarios, la gente sigue haciendo clic en enlaces y archivos adjuntos sospechosos, y sus motivaciones para hacer clic o no hacer clic permanecen ocultos. Argumentamos que saber cómo las personas razonan sobre su comportamiento de clic puede ayudar a los defensores en la creación de mecanismos de protección más eficaces. Con este fin, informamos los resultados de dos estudios de usuarios en los que enviamos a más de 1600 estudiantes universitarios un correo electrónico o un mensaje de Facebook con un enlace de una persona inexistente, alegando que el enlace lleva a las fotos de la fiesta la semana pasada. Al hacer clic, la página web correspondiente mostró el mensaje «acceso denegado».
Registramos las tasas de clics y más tarde enviamos a los participantes un cuestionario que evaluó primero su conciencia de seguridad y luego les preguntó sobre las razones de su comportamiento de clic. Cuando se dirigieron por su nombre, el 56% del correo electrónico y el 38% de los destinatarios de Facebook hicieron clic. Cuando no se abordó por su nombre, el 20% de correo electrónico y el 42,5% de los destinatarios de Facebook hizo clic.
Los encuestados de la encuesta reportaron un alto conocimiento del hecho de que hacer clic en un enlace puede tener malas consecuencias (78%). Sin embargo, el análisis estadístico mostró que esto no estaba conectado a su comportamiento informado de clic. Con mucho, la razón más frecuente para hacer clic fue la curiosidad sobre el contenido de las imágenes (34%), seguida de las explicaciones de que el contenido o contexto del mensaje se ajusta a la situación actual de la persona (27%), Estado en una fiesta con gente desconocida la semana pasada.
Además, el 16% pensaba que conocía al remitente. El motivo más frecuente de no hacer clic fue el remitente desconocido (51%), seguido de la explicación de que el mensaje no se ajusta al contexto del usuario (36%). Por lo tanto, debería ser posible hacer que cualquier persona haga clic en un enlace, ya que cualquier persona tendrá curiosidad acerca de algo, o está interesada en algún tema, o puede encontrar el mensaje plausible porque conoce al remitente o porque se ajusta a sus expectativas ). Esperar de los usuarios la toma de decisiones sin errores en estas circunstancias parece ser muy poco realista, incluso si se les proporciona una formación eficaz de sensibilización.
A largo plazo, basarse en la defensa técnica a fondo puede ser una solución mejor, y se necesita más investigación y evidencia para determinar el nivel factible de defensa que los usuarios no expertos pueden lograr mediante educación y capacitación en seguridad.
Dic 01
Artículo: Insider Threat Enabled by Disloyal Employees and Organizational Failures.
Opinión: Muchas de las ciberamenazas que se suceden en una empresa, provienen de la mala praxis de los empleados. La «no» concienciación en el uso responsable de los equipos que la empresa pone a disposición de los empleados para realizar su labor del día a día, es una vía inagotable de entrada de troyanos, malware, ransomware, virus…… Pero ojo, tampoco podemos echar toda la culpa de estos sucesos a los empleados de las empresas, debe de haber una concienciación por parte de la dirección de explicar, exponer y formar sobre un «uso responsable de los dispositivos digitales de que dispone la empresa», cómo deben de ser usados, qué se puede hacer y que no, acciones a realizar en caso de temer que algún archivo no sea fiable, el uso correcto del correo electrónico y cómo deben de ser tratados todos aquellos correos que vienen de un origen desconocido, eliminación segura de datos digitales – y en papel- …
Toda empresa debería de formar e implantar cursos en las que se expliquen estas normas. También deberían de existir protocolos de actuación, unos protocolos que deban de ser de obligado cumplimiento por todos los empleados y que éstos protocolos sean expuestos en los cursos que hemos mencionado más arriba.
una vez puntualizado, damos el siguiente paso: «empleados desleales y descontentos», este artículo lo expone de manera somera pero es algo que todo empresario debe de tener en cuenta. Publicado en «infosecurity-magazine».
"Amenaza de la información privilegiada habilitada por empleados desleales y fracasos organizacionales"
http://www.infosecurity-magazine.com/news/insider-threat-disloyal-employees/
Traducción Google:
Las organizaciones no están en contacto con los empleados, y «malinterpretar la fuerza de la lealtad de alguien que no necesariamente quieren trabajar 9-5».
Hablando en una mesa redonda organizada por BalaBit a cabo en el centro de Londres sobre el tema de las amenazas internas, ingeniero social y el altavozJenny Radcliffe dice que un ingeniero social no siempre está buscando a alguien que necesita dinero, pero en busca de alguien que no está enamorado en ese momento y tiene ambiciones más allá de la 9 a 5.
«La gente sobre-estimación de cómo los empleados leales son, y lo leal que puede ser, pero son más leales a sí mismos que la empresa que la que trabajan,» dijo Radcliffe.
También en el panel fue el Dr. Lee Hadlington , catedrático de Psicología Cognitiva y psicólogo colegiado en la Universidad De Montfort , quien reconoció el estigma de reportar las amenazas internas, como se dice en el mundo externo que «ni siquiera nuestros empleados son que participan con nosotros» .
Dijo que demuestra que el empleado no se acopla con la cultura de la empresa o ética, y la mayoría de las empresas ignoran y no aceptan el problema.
«Empresas como para creer en la ilusión de seguridad donde pones las cosas en la manera de detener a las personas que atacan el sistema, pero entonces se obtiene al hecho de que para entender el ser humano es el elemento más complicado que podría relacionarse con,» él adicional.
Preguntado sobre cómo una amenaza interna puede ser detectado y detenido, Adrian Asher, CISO del Grupo Bolsa de Londres, dijo que el principal problema es que las organizaciones no saben dónde están sus activos críticos son o dónde están alojados, y la higiene mala cibernético es falta que las organizaciones no obtienen el derecho básico.
«Una vez que sepa lo que están tratando de encontrar, se puede aumentar el nivel de los controles de supervisión de comportamiento o reglas aún más estáticas, y si usted está en la posición privilegiada de entender [a los usuarios] puede empezar a añadir excepción frente a dicha ,» él dijo.
«Para mí, el contexto de si son una persona interna o una persona externa es irrelevante, si alguien está haciendo algo que no estoy esperando que lo hagan si se trata de algo que les he dado o que han secuestrado, necesito para ser capaz de detectar y alertar y dar a la empresa el contexto para tomar una decisión sobre si deben ser cortados o alertar a las autoridades «.
Radcliffe dijo que, si bien se tienen diferentes personalidades en una organización que siempre tienen mal comportamiento y perezoso, y la gente siempre va a tratar de moverse por lo que las defensas se pone en su lugar.