Oct 18
«Interesante la lectura de este artículo. La protección de los más pequeños tiene que ser una tarea primordial para todos los padres. Un internet seguro para los más pequeños, empieza con una buena cultura por parte de los padres»
http://www.welivesecurity.com/la-es/2015/06/15/como-proteger-a-los-ninos-online/
Oct 17
Este laboratorio está dirigido para aquellos usuarios sin muchos conocimientos de informática y nivel de usuario básico.
Lo que voy a exponer se puede encontrar en muchos sitios, pero considero que este tema es muy importante sobre todo lo que concierne a la seguridad y protección de los datos. Saber que los datos que eliminamos y que van a la papelera de reciclaje, pueden ser rescatados por otros muy fácilmente. Un compañero de trabajo haciendo uso del ordenador de nuestro puesto de trabajo, puede averiguar y recuperar «datos personales» que no quisiéramos, pensando que estaban eliminados, cuando es todo lo contrario. La seguridad de los datos privativos es fundamental y más cuando accedes desde el puesto de trabajo.
Vamos a proceder a explicar la función de la bandeja de reciclaje, qué sucede cuando eliminamos los datos y además recalcar que -esos datos- pueden ser fácilmente recuperados por un usuario de nivel medio o avanzado o mediante técnicas forenses básicas. Aquí, lo explicaremos.
Dónde se trasladan los archivos cuando los eliminamos o movemos a la papelera de reciclaje? Pues a ningún sitio, siguen estando exactamente donde estaban. Si los queremos volver a recuperar podemos ir a la papelera y volverlos a recuperar.
En caso de que se elimine el archivo de la papelera de reciclaje o presionemos Shift+Delete, éste pasa a un espacio llamado «sin alojar» es decir un espacio «libre» dónde el SO puede volver a escribir permitiendo sobrescribir el fichero eliminado, así pues, la recuperación por parte del usuario se hace casi imposible. Solamente un usuario medio podría recuperar los archivos en caso de que ese espacio que ocupa el fichero eliminado no haya sido sobrescrito por otro.
En caso de que se desee recuperar un fichero o ficheros que ya hayan pasado a ese «estado», podemos utilizar alguna de las utilidades que existen en el mercado ya sea de libre distribución o de pago, para poderlos recuperar, tanto en linux como en windows. En windows (y linux) tenemos una excelente que se llama «TESTDISK» que la podéis descargar desde su página web. Una excelente herramienta que en caso de querer recuperar archivos nos lo va a poner muy fácil.
Pero igual queremos que esas datos sean aún más difíciles de recuperar para lo que tenemos varias opciones:
1.- Podemos realizar una desfragmentación del disco. Con esto lo que hacemos es que se realojen los datos sobrescribiéndose de nuevo en el disco (dígase de una manera muy somera, mira la definición en la wikipedia o en el link que he señalado anteriormente). Con esta desfragmentación, al realojarse los ficheros que no están eliminados, pueden sobrescribir los que habían pasado a un espacio del disco «libre», perdiendo parte de los datos que el fichero eliminado contenía, haciéndose por consiguiente más difícil su recuperación. Solamente con algunas técnicas forenses informáticas se podrían recuperar «parte» del contenido y aún así sería complicado, pero no imposible.
2.- Podemos realizar con alguna utilidad una «limpieza del espacio libre del disco (wipe free space) » . Lo que conseguimos es que, esos ficheros eliminados que están en esa porción de espacio libre, sean eliminados definitivamente haciendo imposible su recuperación. La eliminación se consigue sobrescribiendo el espacio «libre» con ceros y unos y en sucesivas pasadas. El tiempo para su proceso suele ser elevado según las pasadas que elijas, por lo que si es un ordenador de un puesto de trabajo…….
Puedes buscar por internet y encontrarás infinidad de utilidades que te permitirán realizar este proceso.
3.- Combinar ambos procedimientos. Esto te asegurará que los datos estén definitivamente eliminados y que sea muy muy complicada su recuperación. Solamente con técnicas forenses se podría recuperar algo, pero el costo del proceso sería casi inviable (según los datos que se quisieran recuperar claro ? )
Oct 15
Si la inventiva que tiene esta gente se utilizará para realizar proyectos útiles y software de calidad, los sistemas serían 10 veces más seguros.
http://www.securityweek.com/crypy-ransomware-uses-unique-key-each-file
Traducción Google:
Una familia ransomware recién observado que fue escrito en Python obtiene una clave única para cada uno de los archivos de la víctima antes de la encriptación, los investigadores advierten de Kaspersky.
Apodado CryPy , esta no es la primera ransomware que ser escrito en Python, con amenazas como HolyCrypt, Fs0ciety Locker, y otros observó antes. Sin embargo, no se destacan por su uso de claves únicas para los archivos cifrados y porque se abusa de un servidor comprometido israelí de mando y control (C & C) de comunicación.
Una falla en el Magento sistema de gestión de contenidos permite a los atacantes cargar un script PHP y archivos adicionales para que puedan utilizar el servidor comprometido como del ransomware C & C. Además, apalancado el servidor de ataques de phishing, y los investigadores sugieren que un actor de amenaza de lengua hebrea estaba detrás de estos ataques.
Ejecutable Python del ransomware se compone de dos archivos principales, uno llamadoboot_common.py, y otra llamada encryptor.py . Los investigadores de seguridad de Kaspersky explican que, mientras que la primera se encarga de registro de errores en las plataformas Windows, el segundo es el armario real.
Durante el análisis, los investigadores descubrieron que el malware no fue la encriptación de los archivos en el equipo de destino, supuestamente porque el actor amenaza migra a un nuevo servidor. En el proceso, dicen los investigadores, podrían tener «eliminado las trazas restantes de los archivos PHP que utilizaron para la recolección de datos de máquina de la víctima.»
En las máquinas comprometidas, el ransomware podría desactivar una serie de características al sobrescribir las políticas de registro, incluyendo Herramientas del registro, administrador de tareas, CMD y Ejecutar. A continuación, se deshabilita la recuperación y mueve la política de ignorar el estado de arranque.
CryPy se observó enviando datos al servidor C & C a lo largo de un canal HTTP no cifrado en texto, lo que permite la inspección del tráfico fácil. código Python del ransomware contiene llamadas codificadas a los scripts PHP en el servidor C & C, en la forma de una petición GET.
Entre la información transmitida entre el malware y el C & C, los investigadores encontraron información del sistema, nodo, la liberación, la versión, la máquina y el procesador (todos codificados con Base64), una dirección IP y la identificación única de la víctima para solicitar sus claves de descifrado después del pago.
Los investigadores de seguridad explican que el malware envía el nombre de archivo y el ID de la víctima con el servidor, que responde con una clave única después del cifrado (que se añadirá a la cabecera del fichero), y un nuevo nombre de archivo. Al generar un token único para cada archivo, los investigadores explican, los atacantes pueden proporcionar a las víctimas la posibilidad de descifrar un par de archivos de forma gratuita, lo que supuestamente demuestran la confianza y la integridad.
Oct 14
Desde welivesecurity nos hacen llegar este interesante resumen Trimestral de Amenazas. Interesante y demoledor.
http://www.welivesecurity.com/la-es/2016/10/06/resumen-de-amenazas-malware-enganos/
Oct 14
Sigue el juego….ojo.
http://www.scmagazine.com/researchers-spot-wsf-files-leverage-in-phishing-campaign/article/548348/
Traducción Google:
Los investigadores de Symantec observó un aumento en los ataques de phishing de correo electrónico con archivos de Windows script malicioso (FSM) adjuntos para infectar a los usuarios con Locky , y en algunos casos Cerber , ransomware.
En un día, Symantec reportó el bloqueo de 1,3 millones de correos electrónicos que llevan la línea de asunto «itinerarios de viaje» que se disfraza para aparecer como si proceden de una gran compañía aérea y contenían un archivo adjunto que consistía en un archivo WSF dentro de un archivo .zip, de acuerdo con una Oct. 12 el blogpuesto.
Al día siguiente de Symantec bloqueó otros 918.000 correos electrónicos similares, que pretendían haber sido enviado por alguien que representa a un cliente de presentación de quejas «en relación con el archivo de datos que nos ha facilitado.»
«Los atacantes con frecuencia cambiarán sus métodos de ataque con el fin de ser menos predecible,» Symantec Superior Información del desarrollador Dick O’Brien dijo a través de SCMagazine.com contenido del correo electrónico. «Creemos archivos WSF son populares en este momento porque los atacantes creen que son menos propensos a ser marcado por algunos productos anti-spam y anti-virus.»
Los archivos con la extensión FSM no se bloquean automáticamente por algunos clientes de correo electrónico, puede ser lanzado como un archivo ejecutable y están diseñados para permitir una mezcla de lenguajes de script dentro de un solo archivo, dijeron los investigadores en el poste.
Anteriormente, los atacantes estaban usando documentos de Word que contienen macros y luego a principios de este año comenzaron a usar maliciososde JavaScript adjuntos.
Cualquier tipo de archivo que permite la escritura o la ejecución de código potencialmente se puede aprovechar, dijo.
Además de mantener los sistemas actualizados, los investigadores recomiendan a los usuarios tomar una serie de mejores prácticas en cuenta para garantizar que estén protegidos de los ataques de ransomware, incluyendo copias de seguridad de archivos con regularidad, evitando correos electrónicos sospechosos, y se mantienen cautelosos de los archivos adjuntos de Microsoft Office.
Oct 14
De nuevo los dispositivos de Internet de las cosas y su conexión con el mundo real. Mala cosa con configuraciones por defecto, y vulnerabilidades sin solución.
http://www.infosecurity-magazine.com/news/iot-devices-enslaved-via-12yearold/
Traducción Google:
Los atacantes están esclavizando a Internet de las Cosas (IOT) para montar los dispositivos de forma remota campañas DDoS, mediante el uso de una vulnerabilidad de 12 años de edad en OpenSSH.
Akamai investigadores Tecnología Ory Segal y Ezra Caltum han bautizado como el tema del proxy SSHowDowN.
No es un nuevo tipo de vulnerabilidad o técnica de ataque, sino más bien una debilidad continua en muchas configuraciones predeterminadas de dispositivos conectados a Internet. Sin embargo, una amplia gama de dispositivos están siendo explotados en las campañas de ataque en masa a gran escala, incluyendo dispositivos de circuito cerrado de televisión para la vigilancia de vídeo, grabadoras de DVD, equipos de antena de satélite, routers, puntos de acceso Wi-Fi, módems de cable y ADSL, conectado en Internet Network Attached Storage (NAS dispositivos) y mucho más.
Esta red malicioso está ataques contra una multitud de objetivos de Internet y servicios orientados a Internet, como HTTP, SMTP y la red de exploración en aumento, y en contra de las redes internas que alojan los dispositivos conectados. Una vez que los usuarios malintencionados accedan a la consola de administración web, han sido capaces de poner en peligro los datos del dispositivo y, en algunos casos, totalmente hacerse cargo de la máquina.
«Estamos entrando en un momento muy interesante cuando se trata de DDoS y otros ataques web; «La Internet de las Cosas ‘Unpatchable por así decirlo,» explicó Segal.»Los nuevos dispositivos están siendo enviados desde la fábrica no sólo con esta vulnerabilidad expuesta, pero también sin ningún medio eficaz para fijarlo. Hemos estado escuchando durante años que era teóricamente posible que los dispositivos de la IO para atacar. Que, por desgracia, ahora se ha convertido en la realidad.
Oct 14
Corrección de cuatro vulnerabilidades de día cero por parte de Microsoft.
Microsoft Patches Four Zero Days in Latest Update http://www.infosecurity-magazine.com/news/microsoft-patches-four-zero-days/
Traducción Google:
Microsoft publicó 10 boletines de seguridad el martes, cinco de los cuales son críticos y cuatro de los cuales corrigen las vulnerabilidades de día cero en varios sistemas.
El gigante de Redmond ha hecho que sea más fácil para los administradores, sin embargo, mediante la consolidación de todas las correcciones de IE y OS en una sola actualización. Estos serán servidos a los usuarios de dos maneras: a sólo actualización de seguridad o en un paquete mensual acumulativo que también incluye correcciones no son de seguridad.
«Ahora hay 10 boletines, pero el número real de paquetes de implementación es menor.Sólo habrá continuación de seguridad o la seguridad, que bundle MS16-118, MS16-120, MS16-122, MS16-123, MS16-124, MS16-125 y MS16-126 juntos en un único instalador «, explicó producto Shavlik gerente, Chris Goettl.
«Para los sistemas donde se ha instalado una nueva versión de .Net que tendrá el paquete acumulativo de .Net. Skype, Lync, Office y Flash son actualizaciones independientes todavía. Lo que podría tener hasta siete paquetes para entregar a algunos puntos finales, pero la mayoría va a obtener alrededor de cinco paquetes reales para poner a prueba «.
Todos los parches críticos son para los insectos RCE y los cuatro cero días se encuentran en MS16-118, MS16-119, MS16-120 y MS16-121.
MS16-118 resuelve 11 defectos es decir, incluyendo una hazaña en la naturaleza (CVE-2016-3298), mientras que MS16-119 corrige 13 errores en Edge y MS16-120 es una actualización crítica para .Net Framework, Oficina, Skype para empresas, Lync y Silverlight.
MS16-118 corrige un error de divulgación de información de día cero (CVE-2.016-3298) se da a conocer por primera vez en abril y utilizado por el grupo AdGholas como parte de una campaña de publicidad maliciosa.
MS16-122 resuelve una vulnerabilidad crítica en Windows y MS16-127 soluciona 12 fallos críticos en Adobe Flash Player plug-in para Internet Explorer.
Para no ser menos, Adobe lanzó su propia actualización de seguridad: APSB16-32 soluciona 12 fallos críticos (prioridad) en un reproductor de Flash para Windows, Macintosh, Linux y Chrome.
Oct 14
Imprescindible su lectura este artículo de los compañeros de welivesecurity.
http://www.welivesecurity.com/la-es/2016/10/12/consejos-fanaticos-de-las-redes-sociales/
Oct 14
Oct 13
El StrongPity APT ha resurgido, con especial atención a los usuarios de herramientas de cifrado. Particularmente utilizando el Phising como medio para propagar el troyano.
http://www.infosecurity-magazine.com/news/strongpity-apt-emerges-with/
Traducción Google:
Según Kaspersky Lab, fuertes, herramientas de software de criptografía ampliamente disponibles ayudan a proporcionar comunicaciones seguras y privadas que ahora se obtienen fácilmente y utilizables.En el verano de 2016, varias aplicaciones de software de cifrado habilitado fueron atacados con tácticas de ingeniería social y spyware por el StrongPity APT.
El grupo utilizó un mecanismo para entregar los instaladores WinRAR WinRAR troyanizado (paquetes y encripta los archivos con suites fuertes como AES-256 en modo CBC con una clave basada en HMAC-SHA256 PBKDF2 fuerte).
Los malos actores establecieron un nombre de dominio que imita el sitio legítimo de distribución de WinRAR, y luego se colocan enlaces en un sitio legítimo «distribuidor certificado» en Europa para redirigir a los usuarios a sus instaladores envenenados. En Bélgica, los atacantes colocaron un enlace de «recomendado» al sitio malicioso en el medio de la página de distribución de WinRAR localizada. Un gran botón azul vinculado al instalador malicioso, mientras que todos los otros enlaces en la página dirigirse al software legítimo.
StrongPity también dirigió a los visitantes específicos de los sitios de intercambio de software populares, localizados en Francia y Bélgica directamente a los instaladores troyanizado de TrueCrypt. TrueCrypt ofrece una solución de cifrado de disco completo de código abierto efectivo para Windows, Apple, Linux y sistemas Android.
Esta actividad se prolongó hasta finales de septiembre de 2016, lo que resulta en más de 1.000 sistemas infectados con un componente StrongPity. Los cinco países más afectados son Italia, Turquía, Bélgica, Argelia y Francia.
«Esta actividad nos recuerda un poco de la actividad que se agacha principios de 2014 Yeti,» dijo Kurt Baumgartner, director investigador de seguridad en el grupo de grandes Kasperky. «Gran parte de las intrusiones Yeti Agacharse fueron posibles gracias a trojanizing instaladores de software relacionados con TI-ICS legítimos como instaladores del cliente SCADA con el medio VPN e instaladores de controladores de software de la cámara industrial. A continuación, se pondría en peligro los sitios legítimos de distribución de software de empresa y reemplazar los instaladores legítimos con el que se agacha Yeti troyanizado versiones. Las tácticas comprometidas con eficacia ICS e instalaciones relacionadas con SCADA y redes en todo el mundo «.
En pocas palabras, incluso cuando se visita un sitio de distribución compañía legítima, el personal de TI se descarga e instalación de software malicioso ICS-enfocadas. Los esfuerzos de StrongPity hicieron lo mismo.
«El grupo ha desplegado en silencio de día cero en el pasado, los objetivos de eficacia spearphished y mantiene un conjunto de herramientas modulares», dijo Baumgartner.»Mientras que los agujeros de riego e instaladores envenenados son tácticas que se han utilizado con eficacia por otra APT, nunca hemos visto el mismo enfoque en el software criptográfico permitido.»
Y añadió: «Se describe el StrongPity APT ya que no sólo determinados y con buenos recursos, pero bastante imprudente e innovador también.»
Durante la visita a los sitios y la descarga de software de cifrado habilitado, el personal de TI debe verificar la validez de los lugares de distribución y la integridad del archivo descargado en sí. sitios de descarga que no usan PGP o fuertes certificados digitales de firma de código es necesario volver a examinar la necesidad de hacerlo por sus propios clientes, así, Kaspersky recomienda.