Oct 03

Artículo: Anti-worm ‘Nematode’ Could be Answer to Mirai Botnets – Infosecurity Magazine

Un «gusano»  guardián que vela contra los accesos no autorizados….una posible solución a corto plazo??

http://www.infosecurity-magazine.com/news/anti-worm-nematode-could-be-answer/

Traducción Google:

Un investigador de seguridad ha descubierto lo que se afirma que es una forma efectiva para mitigar la amenaza de los botnets IO alimentados por Mirai como el que causó un corte masivo de Internet hace más de una semana.

El desarrollador reclamó el anti-gusano nematodo ‘podría ayudar parche dispositivos conectados vulnerables explotadas por Mirai – que analiza las credenciales de Telnet predeterminado.

La siguiente explicación fue publicada el GitHub:

«La idea es mostrar que los dispositivos se pueden asignar por un gusano que borra a sí mismo después de cambiar la contraseña a algo dispositivo- específica o aleatoria. Tal herramienta teóricamente podría ser utilizado para reducir la superficie de ataque. Esto está destinado a ser probado sólo en ambientes cerrados de investigación. El uso de este software es a su propio riesgo «.

Aquellos discutir la prueba de concepto  en Reddit se hizo eco de la cautela del autor, advirtiendo que los investigadores estarían infringiendo la ley si intentan esto en la naturaleza sin el permiso del propietario de cualquier dispositivo IO inseguro.

El Internet fue brevemente en crisis el 21 de octubre después de proveedor de DNS Dyn fue tomada por un DDoS lanzados desde una fuerza de 100.000 botnet IO.

El efecto en cadena para los clientes Dyn significó la talla de Amazon, Twitter, Reddit y Spotify se tomaron en línea el viernes.

El proveedor confirmó la botnet fue impulsado principalmente por los dispositivos comprometidos por Mirai, el malware lanzado públicamente sólo unas semanas antes.

Sin embargo, se negó a involucrarse en la que podrían haber estado detrás del ataque, o si fue – como algunos han afirmado – una masiva 1.2Tbps.

En noticias relacionadas, la firma de seguridad Invincea afirmó la semana pasada haber encontrado un error desbordamiento de pila en el código fuente de Mirai que, si se explota, podría prevenir un ataque de inundación HTTP.

Sin embargo, no aborda el problema subyacente de dispositivos IO vulnerables y con eficacia los deja intacta para ser explotado en ataques futuros.

Oct 03

Artículo: Capítulo 2º- Ciberamenazas más comunes y su prevención. Los  «GUSANOS»

Mi intención con los presentes artículos es el de mostrar a los usuarios las ciberamenazas más comunes a las que se enfrenta. A éstos habría que incluir las múltiples variantes que existen y que continuamente están apareciendo. Además incluiremos su posible «prevención» para intentar minimizar una posible «infección».  Es este segundo artículo, hablaremos de los «GUSANOS».

Explicaciones sencillas y claras, sin muchos tecnicismos y entendibles por todos.

GUSANOS: Un «gusano» es un tipo de malware que tiene la propiedad de duplicarse así mismo. Se diferencia de un virus en que no altera los archivos de los programas, éste reside en memoria y se va duplicando así mismo e infectando los archivos. Por regla general, los «gusanos» provocan un alto consumo de banda ancha depreciando la velocidad y los recursos del sistema. Los virus, corrompen los archivos haciendolos inaccesibles. Este tipo de «malware» lleva en su código acciones concretas, bien para instalar otro tipo de malware en los sistemas infectados u otra actividad oculta a nosotros.

 PREVENCION PARA LA INFECCION DE LA AMENAZA:

.- Tener activo el «Cortafuegos» del sistema operativo y un antivirus con actualizaciones contínuas.

.- Instalaciones de programas «legítimos» y/o de fuentes confiables y no abrir archivos de remitentes desconocidos o poco fiables en los programas de correo electrónico.

.- Programas legítimos y mantenimiento de las actualizaciones tanto del SO como de los programas.

 

 

Oct 03

Artículo: Malware en Google Play Store: ¿una tendencia a futuro?

El filtraje que realiza Google Play, no es suficiente para atajar la entrada de aplicaciones maliciosas. Pero el sentido común debe de prevalecer a la hora de descargar qué tipo de aplicaciones, que ya de por sí, no dan muy buena espina…..

http://www.welivesecurity.com/la-es/2016/09/29/malware-en-google-play-tendencia/

Oct 02

Laboratorio: Identificación, básica, de procesos de «malware» en el equipo.

Me disponía a realizar un artículo explicando cómo podemos identificar procesos no autorizados o ocultos en nuestros equipos cuando me acordé de un sitio en donde exponían de manera clara un «proceso básico para la identificación de actividades sospechosas en nuestros ordenadores», realizado por un colega.  Aunque es de algunos años, la identificación ha variado poco por lo que nos podemos dar una idea si hay algún proceso que no debería estar allí.

Además nos muestra cómo podemos averiguar si ese proceso es legítimo o no mediante la consulta en una página web.

Os trascribo el artículo, pero lo podéis encontrar en el siguiente enlace

Transcripción literal:

Identificación de Actividad Maliciosa en nuestro equipo.

 Introducción

 

En muchas ocasiones, nos enfrentamos a problemas típicos como: “mi equipo se tarda en arrancar”, “está lento”, “las páginas de internet no cargan o se tardan bastante en hacerlo”, “se comporta de manera extraña” y un sinnúmero de ejemplos relacionados.

En la mayoría de los casos, cuando el equipo se comporta de una forma que no debería,  se le atribuye a la infección por algún código malicioso que el software antivirus instalado, no alcanzó a detectar y se cree que la solución más “rápida” ante el problema consiste en llevar a cabo la reinstalación del Sistema Operativo.

En este artículo se explicará de forma básica, la manera de identificar actividad maliciosa enfocándonos en cuatro aspectos fundamentales: los Procesos del sistema, la Actividad de red, el Registro de Windows y el Sistema de Archivos.

Para llevar a cabo la tarea de identificación de actividad maliciosa se emplearán diversas herramientas  gratuitas, para Windows, que pueden ser descargadas desde los siguientes enlaces:

Las Herramientas

Para analizar el comportamiento de nuestro equipo, cuando creemos que algo anda mal, es necesario contar con herramientas que nos ayuden a identificar con cierta facilidad aquellos elementos que están causando anomalías en nuestro equipo, para ello utilizaremos las herramientas señaladas anteriormente.

En algunas ocasiones, pueden descargarse directamente en el equipo “infectado”, pero en otras, es imposible, ya que los sitios para su descarga, están bloqueados. Este tipo de comportamiento es muy común cuando un equipo está infectado, por ejemplo, con Conficker, pero definitivamente no es una acción exclusiva de este gusano.

Lo más recomendable es descargar estas herramientas en un equipo alterno “seguro”, es decir, un equipo que se considere no está infectado, dependerá de nosotros escoger el equipo adecuado para realizar esta tarea. Posteriormente, se deberá crear una carpeta y copiar en ella todos los ejecutables que se obtienen al descomprimir los archivos .zip descargados. En la siguiente imagen (Imagen1) se muestran los ejecutables de las seis herramientas que utilizaremos a lo largo de este artículo, almacenadas en la carpeta Tools.

 

 

Las herramientas ProcessExplorer, TCPView y Autoruns, manejan una interfaz gráfica para una mayor sencillez y mejor visualización de la información. Por otro lado, MD5sum, ListDlls y los ejecutables de la suite PsTools, son programas que se ejecutan a través de la línea de comandos.

Una vez que se tenga la carpeta con las herramientas de análisis, el segundo paso será copiarla a un dispositivo de almacenamiento externo, como una USB. Este dispositivo deberá ser utilizado únicamente para este propósito, además de ser formateado cada vez que se vaya a realizar el análisis del algún equipo y se copiará en éste la carpeta (Tools en nuestro caso) con las herramientas descargadas anteriormente.

Es recomendable que después del análisis de algún equipo, la USB utilizada no se conecte a ningún equipo con Windows, ya que en ocasiones, los códigos maliciosos llegan a infectar el dispositivo y al ser insertadas en estos equipos, la infección se propaga. Es posible introducir la USB en algún S.O basado en Unix para visualizar los archivos que contiene y si alguno de ellos es un autorun.inf, con características parecidas al que se muestra en la siguiente imagen (Imagen2), entonces, el dispositivo está infectado y es posible que más equipos se contaminen.

 

 

El procedimiento

La forma más rápida de identificar actividad maliciosa en el equipo, es a través de los procesos que están en ejecución en ese momento. Para poder apreciarlos, se va a utilizar la herramienta ProcessExplorer, localizada en la carpeta copiada dentro del dispositivo USB. Al momento de ejecutarla, se va a abrir una ventana como la que se muestra en la siguiente imagen (Imagen3), en la cual aparece el árbol de procesos del sistema, con su PID (ProcessID), el porcentaje de utilización del CPU, información de la memoria que está utilizando y una descripción del mismo.

 

 

Los procesos que dependen del proceso System (smss, winlogon, services, lsass, spoolsv, alg y las diversas instancias de svchost) son procesos del sistema que muchas veces pueden llegar a ser suplantados (nuevos procesos que se hacen pasar por los originales) o modificados (inyectando código en ellos) de tal forma que su comportamiento es anómalo. Debido a lo anterior, es necesario prestarle cierta atención a la actividad que realizan.

Por otro lado, los procesos que dependen del proceso explorer.exe van a ser ejecutados por el usuario y en ellos deberemos centrar nuestra investigación. Todo aquel proceso que esté en ejecución y que resulte extraño (con nombre parecido a alguno del sistema, cualquier nombre sospechoso, mucha actividad de procesador, entre otras cosas), tendrá que ser analizado de manera particular.

En nuestro caso, analizaremos el proceso _Postal_.exe, ya que tiene todas las características necesarias para sospechar de él.

 

 

ProcessExplorer nos permite determinar la ubicación en el sistema de archivos desde donde se está ejecutando dicho proceso. Al hacer clic derecho sobre él, y seleccionar la opción Propiedades del menú contextual, se abre una ventana en cuya pestaña Image, se muestran tres rutas: Path, Command line y Current directory. En esta última, es desde donde se está ejecutando el proceso (Imagen5).

 

 

En el Explorador de Windows (Imagen6) nos dirigimos a la ubicación anterior y ahí podremos apreciar el ejecutable_Postal_.exe. Utilizaremos ahora la herramienta md5sum.exe para determinar el valor hash del archivo y con él, a través de herramientas web como VirusTotal y ThreatExpert, sabremos si es malicioso o no.

 

 

Para hacerlo, deberemos ingresar desde la línea de comandos a la carpeta donde se encuentra el ejecutable sospechoso, en este caso C:\Documents and Settings\usuario1\Configuración local\Temp. Una vez ahí deberemos ejecutar la herramienta md5sum desde la USB, de la siguiente forma:

<unidad>:\<Carpeta_con_las_herramientas>\md5sum.exe <archivo>. Ej. E:\Tools\md5sum.exe _Postal_.exe

En la siguiente imagen (Imagen7) se muestra el comando y la salida del mismo.

Hash MD5: 144c2e51cf6cc1396a86bc8590e48597

 

 

La salida de la herramienta es un número hexadecimal de 32 elementos o 128 bits que es único para ese archivo. Este valor lo utilizaremos para buscar información acerca del ejecutable en las páginas: https://www.virustotal.com/#search y  http://threatexpert.com/threats.aspx(Imagen8).

En VirusTotal resulta que 37 motores antivirus de 43 lo detectan como amenaza. Por su parte, Threatexpert muestra un resumen del comportamiento de la muestra.

 

El link del reporte de Threatexpert es:

http://www.threatexpert.com/report.aspx?md5=144c2e51cf6cc1396a86bc8590e48597

Este mismo procedimiento se deberá realizar para todos aquellos procesos y ejecutables asociados de los cuales  se sospeche.

 

Retomando la ventana de propiedades del proceso _Postal_.exe, existen varios elementos útiles que podemos considerar. El primero está localizado en la pestaña Image, mencionada anteriormente, y se trata del botón Verify, a través del cual se puede comprobar el autor del archivo ejecutable. Además, en la pestaña TCP/IP es posible comprobar si este proceso está generando tráfico de red.

 

Otro programa que nos permite apreciar el tráfico de red generado por los procesos en ejecución, es TCPView. Este programa muestra la misma información que la pestaña TCP/IP de ProcessExplorer: nombre del proceso, PID, protocolo, dirección IP origen, puerto local, dirección IP destino, puerto remoto y el estado de la conexión.

Si el estado de la conexión que reporta TCPView o ProcessExplorer indica, por ejemplo SYN_SENT, quiere decir, entre otras cosas, que la IP a la cual se está tratando de conectar está dada de baja y no es posible completar la conexión. En nuestro ejemplo (Imagen11), esto no representa una amenaza mayor ya que no son muchos los intentos de conexión que se están realizando, pero en otros casos, es posible que este número aumente significativamente, lo que puede repercutir en el rendimiento del sistema.

 

En el caso de que el estado de la conexión sea ESTABLISHED y el puerto remoto sea diferente al 80 (HTTP) o a cualquier otro de los “bien conocidos”, es muy probable que se trate de una conexión IRC, es decir, que el equipo está conectado a su servidor de Control y Comando recibiendo instrucciones, o mandando información del equipo, comportamiento muy común de los bots (Imagen12).

La ventaja de estas dos herramientas es que nos permiten “matar” los procesos maliciosos del sistema, para lo cual, es necesario hacer clic derecho en el proceso y en el menú contextual, seleccionar la opción “Kill Process” o “End Process” para ProcessExplorer y TCPView, respectivamente.

 

Las alternativas en línea de comando para estos programas son PsList y Netstat. PsList se encuentra dentro de la carpetaPsTools localizada en la USB y muestra una lista de los procesos en ejecución dentro del equipo. Netstat es un programa nativo de Windows que nos permite obtener información de las conexiones de red del equipo. Ambos se pueden utilizar con la opción -h para mostrar la ayuda de los mismos. En la Imagen13, se muestra la salida de ambos comandos.

 

 

Para “matar” procesos específicos desde línea de comando, existe la herramienta PsKill que nos permite hacerlo ya sea por PID o por nombre del proceso. También se localiza en la carpeta PsTools de la USB. Con la opción -h se muestra la ayuda del programa. En la siguiente imagen, se muestra cómo eliminar el proceso _Postal_.exe.

 

 

Desafortunadamente, los problemas no se acaban cuando “matamos” el o los procesos maliciosos que hayamos identificado, porque es muy probable que cuando se presente el siguiente reinicio del sistema, se vuelvan a ejecutar. Existen varias técnicas que los creadores de malware utilizan para garantizar la ejecución de sus programas en los equipos comprometidos y la más común es llevar a cabo la modificación del Registro de Windows.

La herramienta que utilizaremos para identificar actividad maliciosa en el Registro de Windows, es Autoruns, la cual se localiza, de igual manera en la carpeta Tools de nuestra USB.

 

Al momento de ejecutar la herramienta se muestran diversas pestañas que hacen referencia a cuestiones muy específicas del equipo. Las únicas que vamos a considerar en esta ocasión, se relacionan con el proceso de inicio del sistema (Logon) y con el proceso explorer.

En la pestaña Logon (Imagen15), podemos ver 3 valores llamados Windows Defender que están presentes en tres lugares distintos del Registro de Windows. El primero hace referencia a la llaveHKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run y todo programa que esté presente en este sitio, será ejecutado cuando se reinicie el sistema. En este caso, se va a ejecutar el archivo u57oxubmc0.exe.

 

El segundo valor creado en el registro se localiza en la llaveHKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run, la cual va a hacer que el proceso explorer ejecute de inicio el mismo programa, u57oxubmc0.exe.

 

El tercer valor es muy parecido al primero, la diferencia radica en que se localiza bajo HKCU (HKEY_CURRENT_USER) y va a afectar al usuario actual del sistema, ejecutando de inicio el mismo programa.

 

 

 

Autoruns permite eliminar los valores de las llaves del registro mencionadas al hacer clic derecho sobre cada uno y seleccionar la opción Delete del menú contextual. También pueden ser eliminados al presionar la tecla Supr, cuando el valor correspondiente esté seleccionado.

En la pestaña Explorer están presentes ciertos elementos que el proceso explorer va a cargar cuando se ejecuta durante el inicio del sistema. En la imagen 16 se muestran elementos identificados como n/a que van a ejecutar el programau57oxubmc0.exe. Pueden ser eliminados de la manera señalada anteriormente.

 

 

 

Es muy importante mencionar que se debe tener mucho cuidado al borrar valores en el registro de Windows, ya sea a través de esta herramienta o directamente a partir del programa regedit.exe, ya que cualquier cambio efectuado en él, se refleja de manera automática en el comportamiento del sistema. Como medida de precaución, es posible desactivar, en lugar de eliminar, el valor que está presente en determinada llave del registro, para que no se lleve a cabo su ejecución. Para realizar lo anterior, únicamente se tendrá que desactivar el “checkbox” presente en el extremo izquierdo del valor involucrado.

 

Es muy frecuente que cuando un código malicioso se ejecuta en el sistema, se copia a sí mismo en una ubicación diferente dentro del sistema de archivos, con el mismo nombre o con otro diferente y además, se elimina de su localización inicial. En nuestro ejemplo, identificamos que el proceso _Postal_.exe se ejecuta desde  C:\Documents and Settings\usuario1\Configuración local\Temp y a través de Autoruns determinamos que el programa u57oxubmc0.exe se va a ejecutar en cada reinicio del sistema, desde  C:\documents and settings\usuario1\datos de programa.

 

Para determinar si se trata del mismo código malicioso, se utilizará la herramienta md5sum.

 

Desde una ventana de línea de comando nos dirigimos a la primera ubicación y ejecutamos el comando e:\Tools\md5sum _Postal_.exe. Hacemos lo mismo para el archivo u57oxubmc0.exe.En la Imagen 17 se muestra que la salida del comando, en ambos casos, regresó el mismo valor hash.

 

 

Sólo hasta este momento tenemos la certeza de que el ejecutable presente en las llaves del registro es malicioso y podemos eliminar los valores sin ningún problema. Sin embargo, cuando encontramos que los hash no son los mismos, es importante recurrir nuevamente a VirusTotal o Threatexpert para tener una idea más clara de si el ejecutable es malicioso.

 

 

Suplantación de procesos del sistema

 

 

Existen casos en los cuales procesos maliciosos se hacen pasar por procesos del sistema. El acercamiento para determinar si en verdad son maliciosos es el mismo que se ha descrito a lo largo de este manual.

En el ejemplo siguiente se encontró que al ejecutar ProcessExplorer y TCPview en un equipo “comprometido”, un procesos llamado IEXPLORE.exe, con PID 756 estaba generando tráfico de red hacia el puerto 82 y otros más, de un servidor remoto. Lo extraño fue que IEXPLORE.exe es el nombre del ejecutable del navegador web de Microsoft, Internet Explorer y éste no se encontraba en ejecución en el equipo.

 

Al intentar ver desde dónde se estaba ejecutando el proceso, conProcessExplorer, encontramos que en la sección “Current directory” de la pestaña “Image” de las propiedades del proceso, se tenía la ruta: C:\Documents and Settings\usuario1 y al dirigirnos a dicha ubicación, no encontramos algún archivo sospechoso.

Sin embargo, en las propiedades del proceso desde TCPView, encontramos que estaba ejecutándosedesde C:\Archivos de programa\install\WinUpdate.exe.

 

Para comprobar la naturaleza maliciosa de este ejecutable, obtuvimos el valor hash MD5 de dicho archivo, lo buscamos en VirusTotal y el resultado fue el siguiente:

 

 

Sólo dos fabricantes de antivirus lo detectan como amenaza. Aspecto mínimo necesario para considerarlo una amenaza real.

Hash MD5 del archivo: aa55f9a9d6484259b9401cd8c57a622b

 

 

Posteriormente, “matamos” el proceso desde ProcessExplorer y ejecutamos Autoruns para verificar si llevó a cabo la modificación de alguna llave del registro.

En la pestaña “Logon” identificamos cuatro valores sospechosos que hacían referencia al ejecutable winupdate.exe:

  • El primero llamado word, localizado en la llave HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
  • Un segundo valor identificado como n/a, localizado en HKLM\Software\ActiveSetup\InstalledComponents
  • El tercer valor, también llamado word, localizado en HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
  • El último valor llamado HKCU, localizado en  HKCU\Software\Microsoft\Windows\CurrentVersion\Run.

 

 

Otra forma de identificar el proceso que se está ejecutando en realidad, es con la herramienta ListDlls, contenida en la carpeta Tools de la USB. ListDlls muestra todas las Bibliotecas de Enlace Dinámico que utilizan los programas para su ejecución.

Al ejecutar la herramienta desde la línea de comando, se tiene que escribir el nombre del proceso del cual se quieran saber las dlls, como se muestra en la Imagen22. Como resultado, se despliega una lista de todas las dlls que utiliza dicho proceso y se puede notar que en la primera línea de ésta, aparece el nombre del ejecutable responsable de levantar ese proceso.

 

 

 

Conclusión

 

A lo largo de este artículo se mostró una forma básica pero efectiva de identificar actividad maliciosa en un equipo de cómputo, sin embargo, en la actualidad puede no ser tan fácil hacerlo ya que existen códigos maliciosos mucho más complejos que utilizan técnicas especializadas para ocultar su comportamiento y que al utilizar las herramientas vistas en este documento, no muestran actividad relevante.

El procedimiento contemplado en este manual pretende ofrecer una alternativa a los usuarios antes de pensar en formatear el equipo. No creemos que sea el único método para llevar a cabo la identificación de actividad maliciosa, pero sí un acercamiento bastante sencillo para detectar problemas en los equipos de cómputo, atribuidos, la mayoría de las veces, a códigos maliciosos.

 

Oct 02

Artículo: Yahoo! Mobile Mail Wide Open Even After Password Reset

En las consecuencias de Yahoo! anuncia la brecha de 500 millones de cuentas de usuario, los investigadores Zero Day Initiative de Trend Micro (ZDI) están advirtiendo que un restablecimiento de contraseña desde el dispositivo móvil  no se le pide que actualice sus contraseñas..
http://www.infosecurity-magazine.com/news/yahoo-mobile-mail-wide-open/

Traducción Google:

Como los mil quinientos millones de consumidores afectados por este incumplimiento saben, Yahoo! está recomendando a los usuarios actualicen su contraseña para rectificar la situación. Pero ZDI señaló que los usuarios que acceden a sus cuentas desde un dispositivo móvil no se le pide que actualice sus contraseñas. Esto permite a cualquier persona con las credenciales de cuenta para continuar el acceso a la cuenta de correo electrónico, lo que podría obtener datos personales adicionales para atacar más al individuo.

ZDI de Simon Zuckerbraun dijo que recibió una notificación de que su cuenta ha sido incluido en la brecha. Al igual que muchos otros, él se conectó a su cuenta y cambió su contraseña. Luego abrió su aplicación para iPhone de correo desde que se había configurado la aplicación para utilizar su cuenta de Yahoo. Se espera que se le pregunte por su nueva contraseña y era más que un poco sorprendido cuando descubrió que no era necesario. A pesar de que había cambiado la contraseña asociada con su cuenta de Yahoo, el teléfono estaba todavía conectada.

«Al investigar, se hizo evidente que Yahoo había emitido una credencial permanente al dispositivo,» ZDI señaló, en un análisis . «Esta credencial no caduca y no se revoca, cuando los cambios de contraseña. En otras palabras, si alguien ya tuvo acceso a su cuenta y configurar la aplicación para iOS Correo usarlo, todavía tendrían acceso a la cuenta, incluso después de los cambios de contraseña. Lo que es peor es que lo más probable sería que no se dan cuenta de que alguien todavía tiene acceso a su correo electrónico «.

Obviamente, esto podría conducir a una situación en la que millones de personas creen que están protegidos a pesar de que no lo son. Y ZDI señalar que, incluso para la seguridad consciente, que es difícil de ser diligentes; dispositivos asociados no están listadas en la pestaña «Seguridad de la cuenta» en la interfaz web, más bien, son intuitivamente no listadas en la pestaña «Actividad reciente». Y en la configuración del teléfono, no hay opción a través de la aplicación para cambiar la contraseña.

«Aquí son capaces de ver qué aplicaciones están conectadas a su cuenta con una opción para eliminarlos», señaló ZDI. «También es interesante ver las aplicaciones y los dispositivos están acabamos de mencionar por nombre de producto, en este caso iOS y la fecha autorizada. Es responsabilidad del usuario de averiguar qué es legítimo y qué no «.

Para mantener la seguridad, los usuarios deben cambiar su contraseña de Yahoo! en la web y en cualquier lugar que pueden haber reutilizado la contraseña de Yahoo comprometido con otros servicios en línea. A continuación, configurar la autenticación de dos factores (2FA) o el uso de grandes cuentas de Yahoo. A continuación, vaya a través de la página web de quitar cualquier material asociado.

Yahoo! no respondió de inmediato a una solicitud de comentarios. Vamos a actualizar la historia con cualquier declaración de que el gigante en línea.

Oct 02

Artículo: Ransomware’s busy week with new varieties and updates being debuted. 

Desgraciadamente, semana con nuevos variedades de ransomware y actualizaciones. Más que nunca hay que preocuparse en la protección de nuestros datos…..

http://www.scmagazine.com/ransomwares-busy-week-with-new-varieties-and-updates-being-debuted/article/526300/

Traducción Google:

Con la masiva violación de datos Yahoo! acaparamiento de los titulares de ciberseguridad en los últimos tiempos, podría ser fácil olvidar los delincuentes todavía están ocupados empujando ransomware con dos nuevas variedades que se han introducido recientemente y otro tipo más antiguo están renovando.

Kaspersky Labs y que pita ordenador conocer oficialmente Trojan-Ransom.Win32.Xpan y la princesa Locker, respectivamente. Mientras tanto, la firma Netskope informó sobre un nuevo modelo de Virlock ransomware en el suelto que está utilizando la nube como un posible método de propagación.

Trojan-Ransom.Win32.Xpan, una variante mejorada de un programa malicioso más años, está siendo acreditado a un grupo brasileño llamado TeamXRat.Esto es interesante, ya que bandas brasileñas cibernéticos son normalmente conocidos por sus troyanos bancarios de alta competencia, pero Kaspersky señaló que están agregando rápidamente ransomware a su arsenal. el malware TeamXRat ‘s está siendo utilizada para infectar a las empresas locales y hospitales.

TeamXRat utiliza un protocolo de escritorio remotoataque de fuerza bruta para forzar su camino en el servidor de destino, en cuyo punto se inyecta el malware. Una vez descargado el ransomware utiliza un cifrado basado en XOR para encerrar a los archivos.

TeamXRat también está utilizando un método de rescate demanda no tradicional. La nota de rescate, escrito en portugués brasileño, no pide un pago monetario específico, sino que instruye a la víctima a ponerse en contacto a través de correo electrónico. Una vez que las dos partes están en contacto un proceso de negociación comienza y luego TeamXRat exige un pago de 1 Bitcoin. También, posiblemente para calmar su conciencia, TeamXRat insiste en llamar el pago de una donación diciendo lo que sugiere el grupo merece el dinero porque su obra ayudó a aumentar la seguridad de la víctima.

Princesa Locker es un animal totalmente diferente.Bleeping ordenador acredita Michael Gillespie e investigador independiente SenseCy con el descubrimiento de este recién llegado que una vez instalado en un sistema exige la suma real de 3 bitcoins, o alrededor de $ 1.800 a descifrar los archivos.Fundador bleeping ordenador Lawrence Abrams dijo SCMagazine.com en un correo electrónico que no se sabe mucho sobre Princess Locker.

«De lo que se ha recogido, cuando una persona está infectada, el ransomware cifrará los archivos de la víctima y luego añadir una extensión al azar a los archivos cifrados y se crea un identificador único para la víctima. Esta identificación, extensión, y el cifrado es lo más probable es enviada hasta el servidor de comando y control del ransomware «, dijo.

Ninguna muestra de la ransomware es aún disponibles para el análisis, Abrams añadió.

A diferencia de lo que es la entrega de TeamXrat, princesa Locker es bastante sencillo con un sitio de pago que es muy similar al que se usa por Cerber. Su rescate se estableció inicialmente en 3 bitcoins con la amenaza de duplicar esa si el pago no se hace.

Otros cibercriminales han estado ocupados dando los mayores Virlock el malware algunos trucos nuevos.

análisis más reciente de los dos años de edad Virlock de Netskope encontró el ransomware ahora se puede transmitir a través de los servicios de almacenamiento en la nube debido a la naturaleza extraña de cifrado utilizado.

«Virlock se destaca como una familia única de ransomware que no sólo encripta los archivos, sino que se convierte en una infecta archivos polimórfico. Un archivo infectado Virlock contiene código polimórfico, código malicioso y código limpio embebido «, NetSkope investigador escribió Ashwin Vamshi .

Esto significa que los archivos infectados almacenados en la nube pueden propagarse a través del ransomware sincronización nube o cuando se comparte.

«Un solo usuario infectado con Virlock ransomware puede infectar el resto de la empresa a través de compartir archivos existentes / colaborado», escribió Vamshi.

Oct 02

Artículo: SSH brute force attacks compromise servers for DDoS attacks. 

«Los ataques por fuerza bruta por SSH, compromenten a los servidores para realizar ataques DDoS.»

http://www.scmagazine.com/researchers-examines-hacker-motives-with-ssh-brute-force-experiment/article/526302/

Traducción Google:

Sucuri investigador Daniel Cid encontró que sólo tomó un atacante de 12 minutos para comprometer un servidor IPv4 y poco después, lo utilizan para lanzar un ataque DDoS en una víctima inocente mientras se realiza un experimento para ver cuánto tiempo se tardaría en vigor compromiso bruta IPv4 sólo y sólo IPv6 servidores.

Para ello, el investigador configurado cinco servidores de la nube en Linode y el Océano Digital con la contraseña de root se establece en «contraseña», según de 28 de septiembre el blog puesto. El experimento encontró que no pasó mucho tiempo después de que el primer servidor IPv4 fue hackeado para comprometer los servidores IPv4 restantes.

Los servidores IPv6, sin embargo, aún no se han atacado y Cid se sospecha que la oscuridad de IPv6 ayuda a minimizar el ruido de los ataques. Esto fue probablemente debido a que es más difícil para asignar el rango de las direcciones IPv6 que es (2 ^ 128) lo que es con el rango de direcciones IPv4 que es (2 ^ 32), dijo en el poste.

«No creo que IPv6 es más seguro, pero la oscuridad que ofrece hace que sea más difícil para los escáneres de fuerza bruta para encontrar e intente ataques de fuerza bruta», dijo Cid SCMagazine.com a través de los comentarios enviados por correo electrónico. «El espacio de direcciones IPv4 es tan pequeña que dentro de los 12 minutos de una nueva IP siendo empujados en vivo, que ya se escanea.»

Después de los ataques, Cid fue capaz de analizar los comandos ejecutados, herramientas, puertas traseras y descargados de malware que se instalaron durante los ataques DDoS.

Los atacantes descargaron tres herramientas que incluyen dos.py, down.pl y viteza.py para los ataques DDoS específicos, inyectaron todos los servidores hackeados con el mismo tipo de código, que sospechosos Cid es probable que se utilizan para llevar a cabo otros ataques DDoS, el Linux / Xor .DDoS malware, y un «trabajo de cron», que corrió cada hora para volver a habilitar el malware en el caso de que se retira, dijo el blog.

Cid señaló que cuando se combinan la potencia de los servidores comprometidos con la de los dispositivos IO hackeados , un atacante podría probablemente generar la energía necesaria para llevar a cabo ataques similares a la de proporciones históricas que dirigen el sitio web del investigador de seguridad Brian Krebs.

«Lo que realmente me sorprendió es que todos los servidores que quedó comprometidos fueron utilizados para ataques DDoS», dijo Cid. «Solíamos estar viendo los utilizaron para correo no deseado y la distribución de software malicioso, pero su comportamiento está cambiando y DDoS se está volviendo más y más común.»

Cid también dijo que la próxima vez que intenta un experimento como éste que será seguro para desactivar la red de forma inmediata después de haber sido comprometida para limitar las bajas. 

Sep 30

Artículo: El ransomware en 2015 costó 325 millones de dólares a las empresas – Globb Security

En el artículo nos indican unas sugerencias para protegerse de este tipo de malware. Recomiendo también la lectura del artículo: Minimización impacto ransomware en la empresa

http://globbsecurity.com/ransomware-2015-325-millones-empresas-39728/

Sep 30

Pregunta: ¿He sido hackeado?. Comprueba si tu cuenta ha estado comprometida.

Te has preguntado alguna vez si tu cuenta ha estado comprometida por algún hackeo efectuado en alguna sitio web que estas o has estado registrado?

Te presento una página web española https://www.hesidohackeado.com, en donde podrás saber si tu cuenta ha estado comprometida alguna vez y el sitio en donde se ha producido la fuga de datos,  es decir, se ha accedido a un sitio mediante vulnerabilidades en su sistema y se difunde la información obtenida públicamente.

Aunque me imagino que ya lo sabrás, nos está de menos en recordarla y , de vez en cuando, comprobar el «registro» de las fugas posibles.

Con solo introducir nuestro correo electrónico, sabremos si nuestra cuenta ha sido comprometida. Es caso de que así sea, se nos mostrará qué sitios se ha  comprometido su seguridad y en qué fecha se ha publicado el fichero.

Un saludo.

Sep 30

Artículo: Normalización, una estrategia para lograr los objetivos de seguridad. 

«Adopción, adaptación y aplicación de buenas prácticas de seguridad» algo esencial en las empresas que tengan visión de futuro. 
http://www.welivesecurity.com/la-es/2016/09/29/normalizacion-lograr-objetivos-seguridad/