¿Se habrán parado a pensar en la seguridad de esa conexión inalámbrica??, me temo que de momento no…… ?
Nov 11
Artículo: El gusano Morris.
El 2 de noviembre de 1988, la historia de Internet y la seguridad informática cambió radicalmente. El gusano Morris, liberado ese día a las 6 PM, paralizó Internet y causó el mayor daño por malware visto hasta el momento, aprovechando las vulnerabilidades de miles de computadoras y paralizando sus sistemas. La actividad normal de los equipos afectados se vio interrumpida y las conexiones quedaron obstruidas durante varios días, a medida que el primer malware para plataformas múltiples se extendía por Internet.
Publicación de nuestros compañeros de welivesecurity.
http://www.welivesecurity.com/la-es/2016/11/08/retrospectiva-gusano-morris/
Nov 11
Artículo:Secure your router: How to help prevent the next internet takedown.
Opinión: No nos cansaremos de decirlo, por activa y pasiva…. Te invito a leer mis artículos anteriores que versan sobre el mismo tema. Es mejor perder un poco de tiempo configurando nuestros equipos en pro de proteger los datos privados e invasión de la privacidad. Cada vez que queramos adquirir un nuevo router o dispositivo que se conecte a internet (IoT), tenemos que optar por una opción que sea de calidad, la calidad se demuestra, básicamente, en que sea un dispositivo de reconocio prestigio, CONFIGURABLE, de fabricación reciente y que el firmware soportado sea actual y actualizable hasta su fin de uso, ( esto significa que posibles vulnerabilidades encontradas sean parcheadas con sus correspondientes actualizaciones de firmware)
http://www.welivesecurity.com/2016/11/08/secure-router-help-prevent-next-internet-takedown/
Traducción Google:
Quién sabe lo que se esconde el mal en los corazones de webcams ? Después de que el mes pasado Dyn DDoS, esta es una pregunta en la mente de mucha gente de seguridad. Hace poco alguien me preguntó si no debería adoptar un nuevo nombre para la Internet de los objetos (IO) porque el término existente es demasiado vaga.Respondí que esta vaguedad era de hecho el efecto deseado; muchas personas tienen poco o ningún conocimiento de la cantidad de dispositivos en su casa ahora están interconectados. Esto nos deja rodeado de cosas que son efectivamente los ordenadores habilitados para Internet, que la mayoría de las personas ni siquiera saben que necesitan ser asegurados.
Entonces, ¿qué es lo que hay que hacer para ayudar a proteger sus dispositivos, para disminuir las posibilidades de que se utilice para mal? Hay algunas cosas que puede hacer, sin importar si usted sabe exactamente qué dispositivos necesitan protección.Usted puede ser capaz de mejorar la seguridad de los dispositivos IO sí mismos, lo cual es ideal si el dispositivo es uno que le acompañe en sus viajes diarios.
Pero el endurecimiento de la configuración de su router puede ayudar a proteger a todos sus dispositivos mientras están en su casa.
Cambiar el nombre de usuario y contraseña por defecto
Routers y dispositivos de IO ponen a la venta con las credenciales predeterminadas que se encuentran fácilmente con un viaje rápido a su motor de búsqueda favorito. Utilice la página web o aplicación proporcionado por el fabricante del enrutador que le permite ajustar la configuración. Cambiar tanto el nombre de usuario y la contraseña a algo fuerte y única.dispositivos IO también pueden permitirle cambiar su nombre de usuario y / o contraseña, y debe hacerlo si es posible.
Desactivar Universal Plug and Play ( UPnP )
A menos que específicamente le conoce necesidad de utilizar UPnP, debe deshabilitar esta opción en la configuración del router. Si esto no es un servicio que usted sabe que usted utiliza, es poco probable que notará ninguna diferencia después de su desactivación.Dejando activar esta característica permite a las personas acceder a su red sin autenticación.
Desactive la gestión remota
Al desactivar la administración remota (que también se puede llamar algo así como «Web Access»), será necesario el acceso físico al router para cambiar su configuración.
Cambiar el nombre del punto de acceso
Elija un nombre que no significa que sea obvio qué tipo de router que está usando, o cuyo punto de acceso que es. Si bien esto no es algo que hace una gran diferencia en su seguridad, por lo general es un cambio muy fácil y sí lo hace un poco más difícil para los atacantes.
Requerir una contraseña para su conexión Wi-Fi
Permitiendo que las personas se conecten a su red Wi-Fi sin una contraseña invita mal uso, a fin de utilizar el cifrado fuerte ( WPA2 es mejor ) para limitar el número de personas capaces de utilizar el punto de acceso. Elige una buena contraseña, y que no lo haga que la gente pueda verlo.
Actualizar el software en su router y los dispositivos IO
La mayoría de la gente no sabe para comprobar su router o dispositivos IO en favor de las actualizaciones de seguridad en absoluto. Si usted no consigue desplegados para aplicar parches de seguridad tan pronto como estén disponibles, establecer un elemento en su calendario para indicarle que debe comprobar si hay actualizaciones sobre una base mensual o trimestral.
La investigación de sus compras
Si estás pensando en comprar un nuevo router o dispositivo, un poco de investigación adicional puede ayudar a mejorar las probabilidades de conseguir uno que fue diseñado pensando en la seguridad desde el principio (o al menos uno que no tienen demasiados problemas existentes) .
Lee los comentarios
Leer los comentarios en línea de routers y dispositivos de IO antes de comprarlos, con un ojo hacia la facilidad de uso, especialmente cuando las características de seguridad se refiere. Si bien es posible ajustar cualquier router para que sea más seguro, si no quiere entrar en el meollo de la cuestión de lograr que – como la instalación de 3 rd software del router partido – software de configuración inteligible es una necesidad. Dispositivos IO son suficientes de una novedad que el software alternativo aún no es una opción, por lo que es aún más importante para que sean fáciles de conseguir.
Compruebe si hay vulnerabilidades conocidas
Búsqueda de proveedores y productos específicos enCVE Detalles para ver si tienen vulnerabilidades conocidas. Si el producto que está considerando tiene vulnerabilidades, se puede hacer una búsqueda para el número CVE específica para ver si un parche disponible.Naturalmente, lo mejor es evitar los dispositivos que tienen problemas con los agujeros de seguridad, sin parches en curso.
Compruebe si hay problemas conocidos
Búsqueda de vendedores en la Better Business Bureausitio para ver si otros clientes han informado de problemas, o si hay acciones del gobierno contra la compañía. Utilice su motor de búsqueda favorito para buscar el nombre del producto o proveedor con la palabra «recuperación» para ver si hay cualquier recuerda en curso.
Examine el sitio web del proveedor
Mira la página web del proveedor para averiguar su política de privacidad, para ver si es fácilmente legible y clara. Mientras esté allí, buscar una política de divulgación responsable, ya que esto puede indicar que un vendedor está dispuesto y es capaz de responder rápidamente a los problemas a medida que se descubren.
Si bien es poco probable que sus dispositivos domésticos desempeñaron un papel en ataque DDoS del mes pasado, es muy posible que este evento fue sólo una prueba preliminar. Si las empresas reforzar su seguridad y rentabilidad dispositivos retirados del mercado , y si todos empezamos a endurecer nuestros dispositivos en el hogar, que pueden disminuir el número de dispositivos disponibles para malhechores para usar en su siguiente intento.
Nov 10
Artículo:China’s New Cybersecurity Law Worries Foreign Firms – Infosecurity Magazine
La Ley de Seguridad Cibernética fue aprobada por gran parte ceremonial de China ‘parlamento’ Congreso Nacional del Pueblo el lunes día 7 de noviembre.
http://www.infosecurity-magazine.com/news/chinas-new-cybersecurity-law/
Traducción Google:
Beijing ha aprobado una nueva ley de seguridad cibernética que los críticos han afirmado que empeorará la censura y la vigilancia en el interior del país e incluso podría obligar a algunas empresas extranjeras fuera de China.
Aunque muchas de las normas estipuladas ya están en su lugar, se les formaliza por primera vez y envía un mensaje sin concesiones a las empresas y los ciudadanos chinos.
«La elevación de estos poderes en la Ley de Seguridad Cibernética envía una señal de que el gobierno puede hacer cumplir los requisitos de forma más estricta, dejando menos margen para las empresas de tecnología para evitar la ejecución», dijo Human Rights Watch en un blog .
«Mientras que muchos estados están debatiendo la legislación de seguridad cibernética, la ley de China debe ser vista dentro de un marco legal donde las amenazas a la» seguridad de la información «se definen de manera suficientemente amplia para incluir el intercambio de información que se desvía de las narrativas oficiales, y donde» la preservación de la soberanía Internet ‘es el objetivo general «.
Para estos fines, la ley exige a las empresas en varias industrias para censurar cualquier contenido prohibido y efectivo el registro de nombre real para varios servicios, incluyendo plataformas de mensajería instantánea muy populares.
También exige «operadores de infraestructuras críticas de información» para almacenar la información personal de los usuarios y cualesquiera otros datos de negocios importantes dentro de China. El alcance de estos datos se ha reducido para incluir sólo la relacionada con operaciones en China, pero tampoco se ha definido, al igual que la gama de empresas / sectores que se aplicarán a.
Cualquiera de ellos querer transferir datos fuera del país debe saltar por el aro adicional de una evaluación de seguridad.
Las empresas también deben supervisar e informar de cualquier «incidentes de seguridad de la red» para el gobierno y proporcionar «apoyo técnico» para ayudar en las investigaciones, así como mantener registros de red durante al menos seis meses.
Mientras que muchos de los requisitos suena como una buena práctica de seguridad, siempre hay una preocupación de que ellos y leyes anteriores introducidas por el régimen Xi podrían utilizarse para justificar la investigación de antecedentes de código fuente de las autoridades, o que requieren las empresas de tecnología de puerta trasera productos, por ejemplo.
Si no lo hacen, el argumento, que podrían echar fuera del país – una afirmación negada por un portavoz de la Administración de Seguridad Cibernética de China, en una conferencia de prensa el lunes, de acuerdo con informes .
Sin embargo, no hay duda de que después de las revelaciones de Edward Snowden NSA espiar a las redes chinas de Beijing tiene una razón válida para el fortalecimiento de la seguridad cibernética, a pesar de ver que muchos como una cubierta para el proteccionismo.
Los expertos dijeron al Wall Street Journal que la nueva ley por lo menos obligar a algunas empresas a cambiar su modelo de negocio y dar lugar a costes adicionales.
Sin embargo, otros culparon a las compañías de tecnología extranjera como LinkedIn, Apple y Microsoft por no hacer retroceder lo suficiente contra el Beijing anterior.
«Las empresas extranjeras deben dejar su mal humor sobre esta ley,» Charlie Smith, co-fundador de la anti-censura cuerpo Greatfire.org , dijo Infosecurity. «Hicieron su cama. Si estas empresas no habían dado su conformidad con tanta frecuencia a las peticiones de las autoridades en el pasado, puede que la ley no sería tan duro «.
Nov 10
Artículo: The November 2016 Security Update Review
Actualizaciones de seguridad y parches que estarán disponibles en este mes de noviembre presentado por «Trend Micro»:
http://blog.trendmicro.com/november-2016-security-update-review/
Traducción Google:
Tomar un descanso de la creación de su más reciente desafío maniquí , dejar de lado que la papeleta y unirse a nosotros en echar un vistazo a los parches de seguridad publicados por Adobe y Microsoft para el mes de noviembre de 2016.
Adobe Parches para noviembre el año 2016
Adobe lanzó dos actualizaciones de este mes. El más crítico de los dos parches trata nueve CVEs en el flash player. Esto se produce tan sólo dos semanas después de Adobe emitió una emergencia flash actualización para corregir un problema que actualmente se explota. Veremos más adelante en este explotar una actualización de Windows, también. Actualización de memoria Flash de hoy no está siendo explotada en la naturaleza, pero no solucionan vulnerabilidades críticas que podrían provocar que un atacante tomar el control del sistema afectado. Los nueve de los temas tratados en la actualización de Flash de hoy fueron reportados a través del programa ZDI.
Otro boletín de Adobe para noviembre soluciona una vulnerabilidad de validación de entrada en el módulo de registro de eventos dentro de Adobe Connect para Windows. Este solitario CVE no aparece como estar bajo ataque activo, pero podría ser utilizado para la explotación cross-site scripting.
Parches de Microsoft para noviembre el año 2016
Aquellos que esperan para una actualización de la luz desde Microsoft se sentirán decepcionados, ya que la gente de Redmond nos regaló 14 boletines de direccionamiento 77 CVEs en Internet Explorer, Edge, Windows, SQL Server y Office. Seis de estos boletines se considera crítica, con los otros ocho calificado como importante.
Dos CVEs diferentes parcheado este mes se reportaron estar bajo ataque activo.
|
|
Si usted tiene que dar prioridad a su prueba, centrándose en los boletines que abordan los ataques activos, más MS16-129 y MS16 142 parece un buen lugar para comenzar. Ambos navegadores – Internet Explorer y Edge – tienen múltiples problemas críticos-nominal. Es interesante ver que muchos de los CVEs parcheados en Edge recibe un Exploit Índice (XI) Las calificaciones de 1. Esta es la calificación de Microsoft que indica la explotación es más probable para estas cuestiones. Aunque generalmente se considera más seguro que IE, parece explotan cazadores están encontrando problemas dentro Edge ahora también.
Otros errores críticos parcheado este mes incluyen actualizaciones para Windows visualización de archivos ,control de video y componentes gráficos .Además de las Office y SQLactualizaciones, también hay una actualización para el registro común de sistema de Windows (LFS) del archivo .Mientras que sólo un local de EOP, que es un componente no es a menudo actualizado. Las actualizaciones importantes también existen para Windows kernel y el disco duro virtualconductor .
Los dos últimos boletines importantes justifican un poco más de atención.MS16-137 se ocupa de cuestiones en los métodos de autenticación de Windows.Según el boletín, las actualizaciones de parches de Windows NTLM para endurecer el cambio de contraseña caché, cambia la forma en que maneja las solicitudes LSASS especialmente diseñados, y corrige la forma de Windows Modo seguro virtual trata los objetos en memoria. Esto suena como correcciones que podrían ayudar a prevenir » Pasar el hash » ataques de estilo, lo que sería fantástico si es cierto. También podría ser simplemente un error de lógica en LSASS. Esperemos que Microsoft finalmente te proporcionará más información acerca de esta corrección.
Por último, MS16-140 se dirige a un escenario que requiere un atacante que estar físicamente presente en el sistema de destino. Los ataques que requieren acceso físico rara vez son parcheados, por lo que es bueno ver que Microsoft aborda uno aquí. El arreglo es inusual y aunque será diferente para diferentes personas. La solución se revocará afectada políticas de arranque en el firmware, y el nivel de protección de revocación depende de firmware de la plataforma. Vamos a tener que mirar de cerca esta actualización para determinar si cualquier problema de calidad se filtran.
Microsoft dio a conocer su versión de la citada flash actualización para redondear bandada de este mes de cambios. No hay nuevos avisos de Microsoft fueron liberados este mes.
Mirando hacia el futuro
Si bien era de esperar, la liberación de este mes hace oficialmente 2016 el año más activo para las actualizaciones de Microsoft. A sólo 135 boletines fueron puestos en libertad en 2015, en comparación con los 142 lanzado ya a noviembre de este año. Será interesante ver si Microsoft – y otros proveedores de parches en niveles récord – puede mantener este nivel de producción.
El próximo martes de parches cae el 13 de diciembre, y estaremos de vuelta con más detalles a continuación. Síguenos en Twitter para ver mejor y más nuevo que viene del programa ZDI. Hasta entonces, parches feliz y puede todos sus reinicios ser lisa y limpia!
Nov 10
Artículo: Extendiendo el perímetro: proteger a los empleados para proteger a la empresa.
Opinión: Está constatado que más del 70% de las fugas de información y más del 50% de ataques por malware en una empresa, está involucrado el empleado. Muchas de las veces por desconocimiento en el uso adecuado de los sitsemas informáticos que la empresa pone a su disposición otros, intencionados. Un buen aprendizaje y formación, solventaría, muchas veces, los problemas de infección por malware. Estas palabras bienen a colación del siguiente artículo de «securityweek».
http://www.securityweek.com/extending-perimeter-protecting-employees-protect-enterprise
Traducción Google:
En los primeros días de la computación del perímetro de seguridad cibernética y el perímetro de seguridad física eran una y la misma. El acceso a los datos implicaba el acceso a los medios informáticos o de almacenamiento reales. A partir de ahí nos graduamos a las redes cerradas, donde los ordenadores sólo hablaban entre sí dentro de un edificio o de una red privada, pero rápidamente comenzaron módems para permitir el acceso de las personas fuera de los espacios controlados.La edad del hacker había comenzado.
El Internet y la web soplaron las cosas bien abiertos con PCs hablar con los servidores, servidores a los servidores y ordenadores de PC en una red exponencial de la complejidad. Las paredes están llenas de puertas, agujeros y túneles que se asemejan queso suizo más de una barrera impenetrable.
Hoy añadimos a que la movilidad extrema, teléfonos inteligentes, tabletas, y la tendencia hacia los empleados que utilizan sus propios dispositivos para el trabajo (BYOD). Las personas pueden estar trabajando en las computadoras de escritorio cableadas en un momento y que trabaja en un ordenador portátil en el starbucks próximos.Utilizan las VPN, Wi-Fi pública, y redes corporativas abiertas en rápida sucesión a medida que avanzan a través del mundo. El resultado es nuestro modelo de seguridad de edad en torno a un castillo como la formación de una pared que rodea bastión las joyas de la corona ya no tiene ningún parecido con la realidad. Ahora las joyas se extienden en los bolsillos de la gente por todo el campo. La gente toma estos dispositivos dentro y fuera de los entornos y redes de todo el tiempo que pasa constantemente dentro y fuera del perímetro nocional restante corporativos.
Un mejor enfoque es considerar el perímetro no como una pared de castillo que defender, sino como una descripción de todas las superficies expuestas a los ataques. En ese punto de vista existe un perímetro alrededor de la red local, sino también un perímetro asociado con cada dispositivo, el servidor y la aplicación.
Del mismo modo que un atacante podría intentar penetrar en una organización por la piratería en a través del cortafuegos, puede ser que en lugar de poner en peligro un navegador que es (o será) dentro de esa red. El perímetro se convierte en una membrana que separa la esfera de datos valiosos, infraestructuras o capacidades del reino de los atacantes. Los ejemplos de las amenazas internas hacen que este tipo de arquitectura y análisis aún más importante debido a que el atacante puede que ya estemos en el interior del perímetro de edad estilo. La movilidad también ha traído amenazas físicas a la seguridad cibernética a la vanguardia. Si bien es difícil entrar en un centro de datos para robar las agrupaciones de almacenamiento, es fácil y común para los ordenadores portátiles y dispositivos móviles para ser robados. Consideraciones de la nueva perímetro necesitan incluir la dotación física del dispositivo y lo que un atacante con ella en su posesión puede hacer.
Para enfocar nuestros esfuerzos de seguridad debemos tener en cuenta en este nuevo perímetro es más débil y donde es relativamente fuerte.Muchas vulnerabilidades sólo pueden ser atacados de forma indirecta. Por ejemplo, una vulnerabilidad en Microsoft Word sólo se puede aprovechar una vez que un archivo infectado ha sido introducido en el ordenador de la víctima por correo electrónico o alguna otra ruta. En la mayoría de los ordenadores personales del navegador es el punto más débil porque está directamente y constantemente expuesto a contenido potencialmente hostil, pero siendo a la vez una de las aplicaciones más complejas ricas y vulnerabilidad. Un estudio reciente mostró que 5 de los 6 mejores aplicaciones con las vulnerabilidades más descubiertos en 2015 eran del navegador o del navegador plugins.
Convencionalmente un perímetro de seguridad protege una pequeña región vulnerable de una peligrosa mucho más grande. Una vieja broma me hizo pensar acerca de cómo podemos invertir esa situación:
Un matemático, un físico, un ingeniero y se les dice que la construcción de la valla más pequeño posible alrededor de un rebaño de ovejas. El ingeniero pone una valla suelta alrededor de las ovejas, tira de ella lo más ajustado posible, desplazando a todos en, y pide que la respuesta.El físico asume ovejas esférica y calcula la valla circular ideal. El matemático toma una estrategia completamente diferente. Se construye una pequeña valla alrededor de sí misma y que define como «exterior».
Del mismo modo podemos ver algo así como un navegador y definirlo como «fuera» a continuación, crear un perímetro de seguridad en torno a esa sola aplicación. Esto permite a los perímetros dentro de los perímetros donde podríamos estar defendiendo toda la PC contra un conjunto de amenazas mientras que la defensa contra los ataques al mismo tiempo que la vectorización través de vulnerabilidades en las aplicaciones que se ejecutan en ese mismo PC.
El perímetro también tiene que extenderse más allá de los equipos y recursos propiedad de la compañía. Los empleados y contratistas accedan de forma rutinaria información altamente sensible desde sus dispositivos personales. Ellos leen empresa de correo electrónico, páginas web de empresas de acceso, y con frecuencia VPN en la red corporativa a partir de estos puntos finales externos de la empresa. Ellos pueden ser un blanco rico para los atacantes, incluso si no pueden tener acceso a la red corporativa;proporcionar acceso a las credenciales corporativas, inteligencia de negocios y datos de ingeniería social que puede ser utilizado en ataques de seguimiento.
La seguridad de los dispositivos personales de los empleados realmente necesita ser hecho negocio de la compañía – pero las prácticas de gestión de dispositivos existentes por desgracia no será aceptada o tolerada. La gente no va a permitir que las empresas controlar la totalidad de sus actividades en sus dispositivos personales y ordenadores personales, pero es en el mejor interés de las empresas para asegurarse de que estos equipos estén tan bien protegidos como sea posible.
Extendiendo el perímetro para ordenadores y equipos personales significa proporcionar las herramientas de seguridad, apoyo e incentivos para hacer más fácil y automático para los empleados para asegurar sus dispositivos por su propia seguridad al mismo tiempo proteger sus empleadores.
El modelo de la pared del castillo viejo de seguridad perimetral es casi sin valor y, a menudo conduce a arquitecturas y estrategias mal diseñados. La idea del perímetro como una especie de superficie que necesita ser considerado para los controles de seguridad y se analiza en busca de vulnerabilidades en todos los niveles puede conducir a un mayor conocimiento y soluciones más eficaces. Al descubrir los tipos más importantes de vulnerabilidades y protegerlos con medidas de prevención adecuadas en los planos amplios y granulares podemos hacer grandes progresos en nuestro nivel general de seguridad.
Nov 09
Artículo: El ciclo de vida de aprendizaje en seguridad informática, por etapas
Qué recuerdos….. lástima que opté por otras doctrinas. Lectura obligatoria si quieres saber más.
http://www.welivesecurity.com/la-es/2016/09/07/ciclo-aprendizaje-en-seguridad-informatica/
Nov 09
Artículo: «Threat Crowd». Sistema para encontrar y buscar artefactos relacionados a Ciber Amenazas.
ThreatCrowd es un sistema para encontrar e investigar artefactos relacionados con amenazas cibernéticas. Te permitirá saber si una dirección IP, dominio o e-mail es legítimo o por el contrario está falseado (viendo las resoluciones de dominio que aparecen en el resultado)
Esto sirve para poder verificar si, por ejemplo, recibes un correo electrónico aparentemente de un dominio conocido y deseas verificar si procede de uno legítimo o por el contrario es falso.
La página web es: https://www.threatcrowd.org/
Tutorial del funcionamiento Aquí
Espero sea de gran ayuda.
Nov 08
Artículo: Ransomware en la empresa: prevenir antes que curar
A colación de este artículo publicado por «Globbsecurity», os recomiendo también la lectura de mi artículo: Artículo: Minimizar los riesgos ante un ataque de ransomware en tu empresa… es posible?
en las que doy unas directrices mínimas, que toda pequeña o medina empresa con unos recursos mínimos, debería de seguir, en pro de segurizar la red de la empresa y proteger los datos sensibles ante un posible ataque por malware.
Nov 07
Artículo: New Bizarro Sundown Exploit Kit Spreads Locky.
Desde Trend Micro, compartimos su publicación. Un nuevo «exploit kit» que está propagando versiones del ya conocido Lockyransomware.
Traducción Google:
Un nuevo exploit kit ha llegado que se está propagando diferentes versiones de Lockyransomware . Vimos dos casos de esta nueva amenaza, que se basa en la anterior Sundown explotan kit. La puesta del sol se levantó a la prominencia (junto con aparejo ) después de que el entonces dominante Neutrino explotar kit se neutralizó .
Llamado Bizarro ocaso, la primera versión fue descubierto el 5 de octubre con un segundo avistamiento dos semanas más tarde, el 19 de octubre los usuarios de Taiwán y Corea compuesta por más de la mitad de las víctimas de esta amenaza. Bizarro Sundown comparte algunas características con su predecesor, pero el ocaso características anti-análisis agregado. El ataque perpetrado en octubre 19 también cambió su formato de URL para parecerse estrechamente publicidad web legítimos. Ambas versiones fueron utilizadas exclusivamente por la campaña Shadowgate / WordsJS.
Identificado por primera vez en 2015, la campaña dirigida Shadowgate revivir y servidores de publicidad de código abierto de OpenX que se han instalado localmente.Una vez comprometida, los servidores actúan como puertas de entrada al paquete de exploits para la distribución de software malicioso. Algunos de los dominios asociados a esta campaña fueron tomadas abajo . Recientemente, hemos visto la campaña con 181 sitios comprometidos para entregar ransomware. En septiembre vimos Shadowgate usando el kit de Neutrinos explotar para dejar caer una variante de Locky (con los archivos cifrados que tienen la .zepto extensión). El 5 de octubre, la campaña se desplazó a Bizarro ocaso. Dos semanas más tarde (19 de octubre), fue descubierta una versión modificada del Bizarro ocaso.
Escala y la distribución de los ataques
El número de víctimas Bizarro Ocaso conduce a un resultado interesante de inmediato: el número de víctimas se reduce a cero los fines de semana.
Figura 1. Línea de tiempo y el número de víctimas Bizarro Ocaso
Hemos observado la campaña Shadowgate el cierre de sus cambios de dirección y la eliminación de la secuencia de comandos de redirección maliciosa desde el servidor comprometido durante los fines de semana y reanudar sus actividades maliciosas en los días laborables. En cuanto a la distribución, más de la mitad de las víctimas fueron localizados en sólo dos países: Taiwán y Corea del Sur. Alemania, Italia y China completaron los cinco primeros países.
Figura 2. Distribución de los ataques Bizarro Ocaso, por base del país
Descripción de los ataques
La primera versión de Bizarro ocaso como objetivo una vulnerabilidad de corrupción de memoria en Internet Explorer ( CVE-2016 hasta 0189 , se fijaron en de mayo de 2016) y dos fallos de seguridad en Flash: una vulnerabilidad uso después de liberación ( CVE-desde 2015 hasta 5119 ) y una salida -de-atado de errores de lectura ( CVE-2.016-4117). El primero de ellos se fijó hace más de un año (julio de 2015), con el segundo parche a principios de este año (mayo de 2016). La segunda versión de Bizarro Sundown aprovechar sólo los dos vulnerabilidades de Flash.
Los primeros ataques Bizarro Ocaso comparten un formato URL similar a la del ocaso.Sin embargo, se ofusca sus páginas de destino de manera diferente, sin necesidad de utilizar una cadena de consulta. Bizarro Sundown también agregó funcionalidad anti-rastreo. Una característica cada vez más común encontrar en explotar los kits de hoy, funciones anti-rastreo están diseñados para derrotar a los rastreadores automatizados utilizados por los investigadores y analistas. Fue utilizado para entregar una variante Locky cual les añade la .odin extensión para archivos cifrados.
Figura 3. Tráfico de la puesta del sol (arriba) y Bizarro Sundown (abajo) paquetes de exploits (clic para ampliar)
Dos semanas más tarde, vimos una nueva versión de Bizarro ocaso que incluía cambios en su cadena de redirección; sus URL son ahora más similar al tráfico de la publicidad típica. Ahora se puede integrar de forma más directa en el nuevo método de redireccionamiento de Shadowgate, que solía depender de scripts a posibles víctimas de ruta a los servidores maliciosos. Se utiliza un archivo malicioso Flash (.SWF) para este propósito.
Este archivo determina la versión de Flash Player, que se transmite al paquete de exploits a través de una cadena de consulta. Bizarro Sundown utiliza esa información para entregar el flash adecuada explotar. Esto se puede ver como una manera de simplificar redirecciones mediante la eliminación de los intermediarios (páginas de destino) de la cadena de infección. Durante este tiempo, hemos visto Shadowgate la entrega de otra variante Locky (detectado por Trend Micro como RANSOM_LOCKY.DLDSAPZ) que añade un .thor extensión a los archivos cifrados.
Figura 4. Segunda versión de Bizarro ocaso de un servidor de anuncios comprometida (clic para ampliar)
Figura 5. Parte del código que determina la versión de Flash Player instalado en el sistema (haga clic para agrandar)
Mitigación
Mientras que un sólido estrategia de copia de seguridad es una buena defensa contra ransomware, doblar en la gestión de parches de sonido ayuda a asegurar aún más el perímetro del dispositivo. Mantener el sistema operativo y otro software instalado hasta a la fecha mitiga los riesgos de exploits dirigidos vulnerabilidades que ya han sido fijados por los proveedores de software.
Figura 6. Una instantánea de Trend Micro ™ Deep Security ™ proporciona parches virtuales
Los usuarios y las empresas también pueden beneficiarse de un enfoque de múltiples capas de seguridad-de puerta de enlace , puntos finales , redes y servidores . El uso de una solución de seguridad proactiva que puede proporcionar la defensa también se recomienda contra los ataques que aprovechan las vulnerabilidades del sistema y de software.
Sombrero de punta a @kafeine quien colaboramos con en esta investigación / análisis
Algunos de los indicadores de compromiso (IOC) incluyen:
SHA1 detectado como RANSOM_LOCKY.DLDSAPZ
- 867ed6573d37907af0279093105250a1cf8608a2
Relacionada con Shadowgate:
- earwhig joyería de [.] [.] net
- anuncios [.] phoenixhealthtechnology [.] com
Relacionada con Bizarro Sundown Exploit Kit:
- asistido por [.] theteragroup [.] com
- referencias [.] vietnamesebaby [.] com
- anuncios [.] dubleywells [.] com
Actualizado el 5 de noviembre, 2016, 09:45 AM (GMT-7)
Aclaramos lo que estaba escrito originalmente en el tercer párrafo con respecto a cómo se quitaron los dominios utilizados por Shadowgate. También encontrarás una lista de SHA-1 que detectamos como RANSOM_LOCKY.DLDSAPZ, y algunos de los instrumentos de compromiso en relación con Shadowgate y Bizarro ocaso.