Archivo mensual: Diciembre 2018

Huella dactilar utilizada por aplicaciones estafa en iOS

El uso de la huella dactilar en los sistemas Apple es una actividad bastante frecuente para ejecutar acciones siempre relacionadas con la seguridad del dispositivo. Como por ejemplo, desbloqueo del mismo o incluso autorizar todo tipo de compras. Por este motivo, engañar al usuario para que acepte algún tipo de transacción utilizando el Touch ID es una actividad bastante frecuente entre ciberdelincuentes.
Suelen aparecer como inofensivas aplicaciones de tracking de actividad física o cualquier otra con apariencia legítima. Una vez el usuario ha puesto su huella dactilar en el Touch ID, la app realiza una compra mostrando rápidamente un pop-up y a la vez bajando el brillo de la pantalla para que el usuario no note qué operación se está realizando. Acto seguido, se carga una cantidad entre USD$90 y USD$120, para de esa forma cumplir la normativa de pequeños cargos de Apple.
Algunas de estas apps maliciosas han sido eliminadas del Apple Store, como por ejemplo “Heart Rate Monitor”, “Fitness Balance” o “Calories Tracker App”. No está claro si vienen de diferentes desarrolladores o es una persona operando con varias cuentas. Lo curioso es que no han sido eliminadas por malware sino por duplicidad, al realizar todas una función parecida. El sentido común suele ser el mejor aliado en estos casos, simplemente pensando dos veces si es necesario que una aplicación necesita realmente acceso con Touch ID.

Los usuarios de iPhone X de momento no tienen este problema pero en cambio, la gran mayoría de usuarios de teléfonos Apple usan modelos anteriores los cuales son propensos a sufrir un ataque de estas características. Pagar con Touch ID es realmente cómodo pero también tenemos que tener en cuenta los riegos que esta práctica puede acarrear.
Recomendamos tener precaución en el funcionamiento de aplicaciones que nos soliciten la huella dactilar para otra cosa que no sea el pago de algo, aunque no todas las aplicaciones que realizan esto son maliciosas (un buen ejemplo son las aplicaciones de administración de contraseñas)

Sophos incorpora protección de movimientos laterales a su XG Firewall para detener el avance de los ciberataques

Sophos (LSE: SOPH), líder global en seguridad para protección de redes y endpoints, ha anunciado que su firewall de nueva generación: Sophos XG Firewall ahora incluye la protección contra movimientos laterales para prevenir ataques dirigidos manualmente o impedir que exploits avancen en una red comprometida.
En El informe de ciberamenazas 2019 de SophosLabs se ha analizado el aumento en el ransomware dirigido. Se estima que más de 6,5 millones de dólares han sido recaudados gracias a la campaña del rasomware SamSam, por lo que no es una sorpresa que los delincuentes se sientan atraídos por este método. En estos ataques, los ciberdelincuentes se dirigen a los puntos débiles de entrada y las contraseñas de Protocolo de Escritorio Remoto (RDP, por sus siglas en inglés) mediante fuerza bruta. Una vez dentro, se mueven de forma lateral, trabajando paso a paso para robar las credenciales de administrador del dominio, manipular los controles internos y deshabilitar las copias de seguridad, entre otros ataques. Para cuando la mayoría de los administradores de TI se den cuenta de lo que está ocurriendo, el daño estará hecho.
“La mayoría de las organizaciones están centradas en protegerse contra los bots automáticos, pero no contra los ataques interactivos y dirigidos por humanos. Si los adversarios activos entran en el sistema pueden “pensar lateralmente” para sortear obstáculos, evadir las detecciones y moverse por todo el sistema. Es difícil detenerlos a no ser que se tomen las medidas de seguridad adecuadas” afirmó Dan Schiappa, senior vice president y general manager of products de Sophos. “La mayoría de los movimientos laterales se producen en el endpoint, por ello la sincronización en la seguridad es importante. Los atacantes intentarán avanzar sin usar técnicas de malware, tales como exploits, Mimikatz y escalada de privilegios. La red necesita saber para poder responder y apagar o aislar automáticamente los dispositivos infectados antes de que alguien o algo continúe propagándose”.
Ataques similares como BitPaymer, Dharma y Ryuk, usan técnicas de movimientos laterales parecidas para distribuir el rasomware de forma manual. Estos ataques son muy diferentes a los kits de herramientas de Rasomware como servicio (RaaS) que se venden en la dark web. Desde Sophos se espera que los ataques controlados manualmente continúen en 2019.
“Detener los movimientos laterales, tanto de atacantes activos como de exploits de tipo gusano, compartiendo información entre el firewall y los endpoints y aislar automáticamente los sistemas infectados es fundamental para todas las empresas hoy en día”, comentó Schiappa. “Desafortunadamente, muchos entornos empresariales pueden tener puntos ciegos en los switches de red o sus segmentos LAN, y estos se pueden convertir en secretas plataformas de lanzamiento para los ataques. Las nuevas características del XG Firewall de Sophos previene que las amenazas se extiendan, incluso cuando el firewall no tenga control directo sobre el tráfico”.
La Protección de Movimiento Lateral se habilita a través de la Seguridad Sincronizada
Sophos XG Firewall interactúa automáticamente con las soluciones endpoint de Sophos, incluyendo el nuevo Intercept X Advanced con Endpoint Detection and Response (EDR), para ofrecer esta nueva capa de protección. Estos anclajes de seguridad esenciales se conectan a través del Security Heartbeat en la tecnología de Seguridad Sincronizada de Sophos. Esto crea una solución inteligente que puede predecir y proteger contra las amenazas proactivamente, detectar y prevenir nuevas infecciones al aislar automáticamente las máquinas y poner remedio a la infección. La tecnología Security Heartbeat permite aislar automáticamente endpoints de alto riesgo del resto de máquinas en el mismo dominio de difusión o segmento de red.
“Nuestros ingeniosos y agresivos adversarios están pendientes de desarrollar nuevas ciberamenazas, aprovechando los exploits o atacando a las empresas de forma manual, accediendo a través de un punto débil en la red, seguido por un movimiento lateral y la elevación de credenciales, es una técnica habitual a día de hoy”, ha dicho Frank Dickson, research vice president, Security Products, IDC. “Al conectar la red y la información de los endpoints a través de Security Heartbbeat, Sophos ha implementado una significativa e innovadora característica para identificar y mitigar los ciberataques centrados en movimientos laterales en cuestión de segundos, automatizando la prevención de la propagación de una amenaza al aislar el endpoint. Esencialmente, Intercept X se fortalece con la aplicación de Sophos XG Firewall para crear un enfoque más integrado y sinérgico de la ciberdefensa para las empresas, aliviando la carga administrativa para los profesionales de ciberseguridad”.
“Hace unos años, cuando todo el mundo hablaba sobre la necesidad de tener los mejores productos para crear un enfoque por capas, Sophos ya era pionero en la Seguridad Sincronizada y había revolucionado el mercado de la ciberseguridad con su solución Security Heartbeat. En el mundo de hoy de ciberamenazas en constante cambio, tener soluciones para protección de endpoints y redes que se comuniquen entre ellos y que compartan inteligencia es más importante que nunca”, ha declarado Brandon Vancleeve, vice president, Pine Cove Consulting, un partner de Sophos en Bozeman, Montana. “La Protección de Movimiento Lateral es una gran mejora de la ya impresionante Seguridad Sincronizada de Sophos. Ahora, la protección del XG Firewall y del endpoint podrán aislar los dispositivos dentro de su propia subred. Esto es un importante desarrollo que solo aumentará la seguridad de nuestros clientes, permitiéndoles una visibilidad instantánea de las amenazas más allá de la red. La mayoría de nuestros clientes tienen varios segmentos LAN o Layer 3 Networks, por lo que la nueva capacidad de detección se suma a lo que consideramos la mejor protección disponible en el mercado”.
Las nuevas y mejoradas funciones en Sophos XG Firewall incluyen:
Mejoras en la protección

Cobertura IPS más profunda y amplia con mayor granularidad en los patronesProtección de JavaScript contra el cryptojacking
Mejoras en el sandboxing de Sandstorm

La integración con Intercept X para identificar las amenazas el día cero antes de que entren en la redAnálisis profundo de comportamiento, redes y memoria con machine learning, CryptoGuard y detección de vulnerabilidades de seguridad
Mejoras de networkingNuevo cliente Sophos Connect IPSec VPN con soporte para Seguridad Sincronizada
Herramientas de formación
Compatibilidad con la autenticación del cliente de Chromebook para la política basada en el usuario e informesSoporte de políticas de usuario/grupo para las restricciones de SafeSearch y YouTube
Disponibilidad
Sophos XG Firewall está disponible a través de los partners registrados de Sophos en todo el mundo. No es necesario ningún hardware para una prueba gratuita de XG Firewall, disponible en Makros.

Twittean vulnerabilidad 0-Day de Windows

El investigador de seguridad conocido como SandboxEscaper, liberó vía Twitter la prueba de concepto (PoC) de un exploit para una vulnerabilidad, hasta el momento desconocida, que afecta al sistema operativo Microsoft Windows.
SandboxEscaper es el mismo investigador quien previamente liberó exploits para dos vulnerabilidades 0-Day, dejando expuestos a ataques a todos los usuarios de Windows, hasta que Microsoft liberó las correspondientes actualizaciones de seguridad.
Esta nueva vulnerabilidad expuesta consiste en un problema de lectura arbitraria de archivos, la cual podría permitir que un usuario con pocos privilegios (o a un programa mal intencionado) leer el contenido de cualquier archivo (al que no debiese tener acceso a menos de ser Administrador) en un sistema Windows.
Esta vulnerabilidad reside en la función “MsiAdvertiseProduct” la cual es responsable de generar “un script de aviso o aviso de productos para el computador y además habilita al instalador para que escriba en el registro junto con los atajos de información usados para asignar o publicar un producto”.
De acuerdo al investigador, debido a una validación impropia, la función afectada puede ser abusada para instalar forzadamente una copia de cualquier archivo, asignándole privilegios de Sistema y leer su contenido, resultando en una vulnerabilidad de lectura de archivos arbitraria (Arbitrary File Read).
El investigador añadió: “Aún sin un vector de enumeración, estas son malas noticias, debido a que bastante software de documentos (como Office) mantienen archivos en ubicaciones estáticas que contienen la ruta completa y los nombres de archivo de los documentos recientemente abiertos”.
“Además de leer documentos como estos, es posible obtener nombres de archivos de documentos creados por otros usuarios; el sistema de archivos es una telaraña y las referencias a archivos creados por diversos usuarios son posibles de hallar en cualquier parte”
El sitio de Github en el cual fue publicado el exploit fue bajada y la cuenta de este investigador suspendida.
Para evitar la explotación de amenazas avanzadas como esta, recomendamos implementar un sistema de protección contra amenazas avanzadas (Advanced Endpoint Security) como Sophos InterceptX Advanced con EDR.
El Deep Learning hace que Intercept X sea más inteligente, más escalable y que ofrezca un mayor rendimiento que las soluciones de seguridad para endpoints que utilizan únicamente el Machine Learning tradicional o la detección basada en firmas.
Más información acerca de Sophos InterceptX en https://www.makros.cl/sophos

Anonymous prepara ataque bancario a escala global

Hace algunas horas fue dado a conocer mediante el Twitter de Bank Security un aviso del grupo hacktivista Anonymous, el cual indica que serán atacados bancos a nivel mundial.
Mediante los hastags #Anonymous #‎OpIcarus #ShutDownTheBanks ya se están informando las primeras víctimas de este ataque, que corresponderían a bancos en Australia e Italia.
La lista de principales objetivos se encuentra publicada en https://ghostbin.com/paste/m2uoo e incluye a prácticamente todos los bancos centrales del mundo, incluyendo al Banco Central de Chile

No se descarta que bancos privados (no centrales ni estatales) también sean víctimas de estos ataques por lo que se recomienda preparar defensas por posibles ataques de tipo DDoS y SQLi
Noticia en desarrollo

Ciberseguridad preventiva ante fraude bancario

La noche del 11 de diciembre de 2018, el programa periodístico chileno Informe Especial, emitió un reportaje acerca de la ciberseguridad bancaria en Chile. Dejando de lado las implicaciones legales tocadas en este programa, queremos nombrar los principales métodos de ataque a los cuales los clientes son expuestos, y algo en lo que nos gustaría profundizar: como evitar ser víctima.
Este tipo de estafas consiste en utilizar los medios tecnológicos e imagen de una institución financiera con tal de usurpar los datos personales y claves de acceso del cliente y de esta forma realizar movimientos bancarios como giros, transferencias, uso de tarjeta de crédito, etc. que beneficien al ciberdelincuente. Si años atrás era utilizado el método conocido como “el cuento del tío”, hoy este cuento aparece en forma de correos electrónicos, llamadas telefónicas, publicidad malintencionada en algunos sitios web, aplicaciones de celular intervenidas y otras.
La base de la protección para el usuario cliente de un banco es la desconfianza, no confiar en contactos inesperados, correos que nos solicitan algo, sitios bancarios inusuales y llamadas de ejecutivos con asuntos que atañan directamente a la cuenta y requieran demasiada información.
Llamadas telefónicas
Supongamos esta situación: Usted recibe una llamada telefónica de una persona que se identifica como “ejecutivo” de su banco; éste le indica que han detectado intentos de intrusión en su cuenta y que necesita que repase sus claves de acceso para garantizar que sólo usted tenga acceso a su cuenta. Luego de un largo discurso y verificación de datos, le solicita “el código de 3 dígitos de la parte anterior de su tarjeta de crédito”.
Listo, con este código mas toda la información recopilada previamente por estos delincuentes, tienen el uso absoluto de su tarjeta de crédito en medios digitales, ya que cuentan con toda la información para por ejemplo, realizar transacciones en linea con su dinero… el cual va a parar a manos de ellos.

Debemos siempre tener la claridad de que un agente bancario jamás le pedirá un dato confidencial como lo es éste código de 3 dígitos – código de seguridad- o una clave de acceso ya sea telefónica, de sitio o pin pass de tarjeta.
Correos electrónicos
Una de las formas mas frecuentes no sólo de estafa bancaria, pero además robo de contraseñas, instalación de malware, secuestro de archivos -ransomware- entre otras.

Usualmente una de las formas de ataque via correo electrónico es la llamada “phishing”, la cual consiste en un correo electrónico malicioso que simula ser de la entidad financiera a la cual suplanta. El contenido de este tipo de correos invita al usuario a hacer click en un vínculo que lo lleve al sitio del banco, cuando en realidad se trata de un sitio malicioso diseñado para engañar al cliente y obtener sus claves de acceso, también puede significar la descarga de malware espía con el mismo objetivo u otro con peores consecuencias.

WhatsApp, Facebook, Instagram, etc…
El mismo método de estafa es replicado mediante aplicaciones de mensajería instantánea y redes sociales, siempre debemos sospechar de un mensaje inesperado que contenga un link para visitar una página que no sabemos que es, sobretodo si proviene de un contacto desconocido.

Aplicaciones móviles
Estas estafas cibernéticas generalmente tienen una preparación planificada previamente y constan de varios pasos, en uno de estos métodos consiste en crear una aplicación móvil fraudulenta, que por citar un ejemplo: proporcione monedas infinitas en CandyCrush.

Este tipo de aplicaciones son publicadas frecuentemente en sitios de descarga de aplicaciones ya sean oficiales o alternativos, además muchas veces el objetivo de éstas es la infección del dispositivo del usuario con algún malware espía que puede capturar las claves de diversos servicios (no sólo bancarios). Un ejemplo es el troyano que afectó a PayPalhttps://www.helpnetsecurity.com/2018/12/12/android-trojan-paypal/
Consejos
Para resumir las medidas básicas de precaución que deben tener los usuarios para prevenir ser víctima de fraude cibernético:
Verificar que estamos accediendo efectivamente al sitio del banco del cual somos clientes, éste debe ser el que ingresa habitualmente y no contener nombres extraños.
Además verificar que aparezca el indicador de que se visita una página segura (aunque esto no garantiza la total seguridad de que sea la página que deseamos).
Jamás entregar datos personales de forma telefónica al recibir llamadas inesperadas de supuestos “ejecutivos bancarios”. Para su seguridad, contacte usted a su ejecutivo de cuenta inmediatamente si sospecha de algo.
No dar click a hipervínculos recibidos por cualquier medio y de forma inesperada, con nombre sospechoso, por ejemplo

https://fkadkfhaas.banco.xyz.com.estoesfalso

o similares.

Descargar sólo las aplicaciones móviles legítimas de las tiendas oficiales de aplicaciones por plataforma: GooglePlay y AppStore.
Ante la duda, ¡absténgase!
Estos consejos no sólo lo ayudarán a prevenir el fraude bancario, también es válido para evitar el robo de su información en diversas plataformas, como además la infección por malware.
La ciber-higiene debe ser un tema de concientización transversal entre los usuarios con los servicios que utilizan, existen muchas recomendaciones de seguridad relacionadas. De forma global y específica seguiremos entregando guías como esta.

Nuevo ransomware se propaga rápidamente en China, infectando sobre 100.000 computadores

Un nuevo ransomware se está propagando rápidamente en China. Este ya ha infectado más de 100.000 computadores en los últimos cuatro días como resultado de un ataque de cadena de producción, y el número de afectados crece cada hora.
Algo interesante en este malware es que no demanda un pago en Bitcoins, en vez de eso los atacantes solicitan el pago de 100 yuanes (cerca de 16 dólares) como rescate mediante WeChat Pay (el sistema de pagos ofrecido por la aplicación de mensajería más usada en China).
Al contrario de las epidemias de WannaCry y NotPetya que ocasionaron caos a nivel mundial el año pasado, este ransomware sólo está afectando a usuarios de China.
Además, incluye una habilidad adicional de robar las contraseñas de los usuarios de Alipay, NetEase, Baidu Cloud Disk, Jingdong, Taobao, Tmall, AliWangWang y QQ.
De acuerdo a lo informado por la empresa china de ciberseguridad Velvet Security, los atacantes agregaron un código malicioso en el software de programación “EasyLanguage”, utilizado por un gran número de desarrolladores.
El programa modificado maliciosamente está diseñado para inyectar este ransomware en cada aplicación y software compilado por esta plataforma, en otro ejemplo de un ataque en cadena de producción para distribuir el malware rápidamente.
Este malware encripta todos los archivos en el sistema infectado, exceptuando aquellos con extensión .gif, .exe, y .tmp.
Para defenderse de los antivirus tradicionales, los atacantes firmaron el código de su malware con una firma digital de confianza de Tencent Technologies, esto además evita que se encripten datos de algunos directorios específicos como “Tencent Games”, “League Of Legends”, entre otros.
Si el rescate no es pagado en el tiempo indicado, el malware amenaza con borrar la llave de desencriptación de sus servidores de comando y control.
Junto con la encriptación de archivos y el robo de credenciales, este ransomware ademas colecta información del equipo infectado: modelo de CPU, resolución de pantalla, información de la red y un listado del software instalado.
Los investigadores de ciberseguridad encontraron que el ransomware fue programado de manera simple y los atacantes mienten acerca del proceso de encriptación, ya que la nota de rescate indica que los archivos fueron encriptados utilizando el algoritmo DES, pero en realidad están encriptados con un algoritmo mucho menos seguro llamado Xor y además almacena una copia de la llave de desencriptación localmente en %user%AppDataRoamingunname_1989dataFileappCfg.cfg
Usando esta información, Velvet Security creó una herramienta de desencriptación gratuita que puede desencriptar los archivos fácilmente sin la necesidad de pagar por algún rescate.
Debido a la innovación en la forma que se están produciendo las amenazas, de forma cambiante continuamente, es recomendado contar con alguna herramienta de protección avanzada de amenazas y análisis de comportamiento como Sophos Intercept X
Fuente: https://thehackernews.com/2018/12/china-ransomware-wechat.html