Noticias de Seguridad Diciembre 2018

Las 25 peores contraseñas del 2018

En el ranking de las peores contraseñas del 2018, podemos ver que ‘123456’ y ‘password’ se mantienen en primer lugar, al igual que en el TOP del año pasado.

Cada año SplashData evalúa millones de credenciales a partir de filtraciones de datos y realiza un ranking de las contraseñas más inseguras. Este año entre las 25 primeras podemos encontrar combinaciones nemotécnicas de teclado, como ‘123456’, ‘qwerty’ o ‘zxcvbnm’, nombres propios, como ‘charlie’, e incluso el presidente de los estados unidos ‘donald’ no se libra de aparecer como contraseña.

Aquí puedes ver la lista de las 100 peores contraseñas.

Para evitar caer en esta lista y ser vulnerable a ataques de fuerza bruta es importante seguir una serie de directrices para que tus credenciales sean seguras:

• Crea contraseñas que combinen letras mayúsculas y minúsculas, números y símbolos.
• Importante que la contraseña no tenga menos de 15 caracteres: cuantos más dígitos tenga la contraseña, más difícil es romperla por fuerza bruta si se consigue su hash.
• No reutilizar la misma contraseña en diferentes servicios. Si es necesario, utilizar un gestor de contraseñas como KeePass, Bitwarden, etc. Con ellos puedes generar contraseñas seguras.
• No utilizar patrones de teclado, por ejemplo ‘qwertyuiop’ o ‘1qaz2wsx3edc’
• No apuntar la contraseña en notas y pegarlas al escritorio u ordenador, aunque parezca obvio, es algo muy común.
• Por último una buena acción es comprobar que la contraseña no está en diccionarios de passwords públicos.

Más información: 

TeamsID
https://www.teamsid.com/100-worst-passwords-top-50/

Ejecución remota de código a través de Microsoft Edge

El pasado 11 de diciembre, Microsoft hacía pública una vulnerabilidad en Microsoft Edge que permitía a un atacante ejecutar código arbitrario de forma remota.

La vulnerabilidad, etiquetada con CVE-2018-8629, se encuentra en el componente “Chakra”, el interprete de JScript utilizado por el navegador. Y se debe a un fallo a la hora de gestionar los objetos en memoria que podría ser aprovechado por un atacante para corromper dicha memoria y ejecutar código arbitrario en el contexto y con los permisos del usuario actual. Pudiendo así instalar programas, ver, modificar o eliminar información o crear nuevas cuentas de usuario.

En un posible escenario, el atacante podría utilizar una web especialmente diseñada o vulnerada para explotar el fallo en el sistema de la víctima que visite la página.

El equipo de investigadores de @phoenhex ha publicado una prueba de concepto que, en a penas 70 líneas, permite leer información de la memoria.

Se recomienda instalar cuanto antes el parche publicado por Microsoft para solucionar esta vulnerabilidad.

Más información

OOB read leak by bkth from phoenhex for ChakraCore https://github.com/phoenhex/files/blob/master/pocs/cve-2018-8629-chakra.js

Un nuevo ransomware infecta servidores Linux a través de IPMI

Se ha detectado un nuevo malware de tipo ransomware utilizado para infectar servidores Linux a través IPMI

Cibercriminales chinos atacan las redes de HP e IBM y luego atacan a sus clientes

Cibercriminales que trabajan presuntamente para el Ministerio de Seguridad del Estado de China han perpetrado un ataque contra HP e IBM y posteriormente atacaron a sus clientes con el objetivo de robar información sensible.

Como ya sabemos, en la época en la que vivimos, la información es poder, y no dejaremos de leer noticias como ésta en la que dos gigantes se enfrentan para obtener información que deje entrever los trapos sucios de unas u otras empresas.

Tal es así que Estados Unidos, a través de su secretario de estado Mike Pompeo y la responsable de Seguridad Nacional Kirstjen Nielsen, afirman estar recibiendo una amplia campaña de ciberataques por parte de China contra su propiedad intelectual y con motivo de la obtención de datos comerciales. Estados Unidos afirma que la campaña china no solo afecta a sus infraestructuras sino que Europa y Asia también pueden verse involucrados.

IBM declara que no tiene pruebas de que sus datos confidenciales se hayan visto comprometidos, mientras que HP declara que no puede hacer comentarios al respecto.

China niega todo lo relacionado con los ciberataques pero vuelven a tensarse las comunicaciones con EEUU. Ha calificado las denuncias como difamatorias y ha presentado una nueva queja formal contra Estados Unidos, que se suma a la presentada hace apenas dos semanas por el denominado caso Huawei.

Dos ciudadanos chinos, Zhu Hua y Zhang Jianguo, supuestamente vinculados a una agencia de espionaje, han sido acusados de robar datos confidenciales de agencias gubernamentales del país y de empresas de todo el mundo. Empresas como la NASA, la Marina o el Departamento de Energía pudieron ser el objetivo de estos cibercriminales.

Estos piratas informáticos han sido acusados de conspirar para cometer intrusiones en empresas de Estados Unidos y de todo el mundo y los relacionarían con la agencia de inteligencia del Ministerio de Seguridad del Estado de China.

“Ningún país representa una amenaza más amplia y severa a largo plazo para la economía y la infraestructura informática de nuestro país que China” Afirmó el director del FBI, Chris Wray, en una rueda de prensa.

Según el responsable de la oficina federal de investigación la intención de China es ocupar el lugar de estados unidos como “Potencia líder en el mundo”

¿Qué opináis vosotros?

Fuentes:

https://thehackernews.com/2018/12/chinese-hacker-wanted-by-fbi.html

Amazon envía por error 1.700 grabaciones de Alexa de otro cliente

Las conversaciones permitieron encontrar fácilmente a la persona afectada y a su pareja, además de conocer sus hábitos y horarios

El Reglamento General de Protección de Datos (GDPR) de la Unión Europea permite solicitar a un consumidor los datos que tiene una empresa sobre él. Un usuario alemán de Amazon, amparándose en dicha ley, recibió en un zip de 100MiB unos 50 archivos con sus búsquedas e información privada, además de 1.700 ficheros de audio junto con transcripciones, a pesar de que nunca había usado Alexa.

El usuario intentó hablar con Amazon, pero al no recibir respuesta contactó con la revista c’t Magazine para buscar a la persona que aparecía en las grabaciones que recibió. A pesar de que durante este tiempo Amazon borró el enlace para descargar el zip (tal vez al darse cuenta del error), ya se había realizado una copia de seguridad, lo que permitió continuar la investigación.

Gracias a la grabaciones, la revista pudo obtener un perfil de la persona que aparecía un ellas. No fue complicado, ya que aparecía nombres de transportes públicos que utilizaba, personas con las que hablaba, sus nombres, sus trabajos, gustos musicales… También se escuchaba en las grabaciones a la víctima hablar con su novia, a la que se llega a oír cómo se ducha en uno de los audios.

Tras conocer a la víctima y hablar con ella a través de Twitter, el medio contactó también con Amazon para exponer los hechos, pero sin revelar que habían descubierto a la persona afectada. Finalmente, la empresa respondió a los 3 días, asegurando que había llamado a las personas involucradas para explicarles que todo había sido debido a un error humano, y que iban a tomar medidas para que algo así no volviese a suceder.

Amazon se negó a responder preguntas a la prensa, pero aseguró que fueron conscientes del fallo por sí mismos. Esto plantea un posible problema legal en Europa para Amazon, ya que la nueva ley (GDPR) obliga a las empresas a notificar este tipo de incidencias a las 72 horas de descubrirse. Si lo sucedido se hubiese ocultado, podría estar obliga a pagar hasta 20 millones (o el 4% de su facturación) por haber incumplido la ley.

Fuente:

Alexa, Who Has Access to My Data?
https://www.heise.de/downloads/18/2/5/6/5/3/9/6/ct.0119.016-018_engl.pdf

Nuevo malware: recibe comandos de memes de Twitter

La empresa Trend Micro ha sido la descubridora de este novedoso tipo de ataque que recoge los comandos de una cuenta de Twitter controlada por los atacantes.

¿Cuál es el malware en cuestión?

El malware utilizado es denominado “TROJAN.MSIL.BERBOMHTHUM.AA“. Su forma de trabajo es infectar un equipo, y tras ello descargar las imágenes que contienen las instrucciones a seguir.

¿Que información sacan de las imágenes?

Los memes publicados en la cuenta hacían uso de técnicas de Esteganografía para ocultar los comandos que ejecutaba el malware. Estos, tras ejecutar las instrucciones, accedían a una publicación de Pastebin para conseguir la dirección del servidor al que enviaban la información robada.

Según los investigadores, la cuenta de Twitter analizada se creó en 2017 y contenía solo dos memes que entregaban comandos “/ print” al malware para indicarle que realizara capturas de pantalla.

Este malware mandaba las capturas al servidor C&C sacado de la URL de Pastebin facilitada en la imagen.

¿Desde cuando se realiza este tipo de ataque?

Según VirusTotal, el malware surgió a mediados de octubre, pues fue cuando se creó la publicación en Pastebin.

Sin embargo, en los memes analizados, la dirección del servidor es local, lo que hace pensar que los ciberdelincuentes aún se encontraban realizando pruebas con el mismo antes del ataque.

Tras el reporte realizado por TrendMicro, Twitter tomó cartas en el asunto y cerró la cuenta involucrada.

Más información:

Post de TrendMicro:
https://blog.trendmicro.com/trendlabs-security-intelligence/cybercriminals-use-malicious-memes-that-communicate-with-malware/

Revelación de información a través de Twitter

Un fallo en uno de los formularios de soporte de Twitter ha podido ser utilizado por atacantes financiados por el estado para revelar información sensible.

El pasado 15 de noviembre fue descubierto un ‘bug’ en uno de los formularios de Twitter utilizado para reportar incidencias que permitía revelar el código del país del número de teléfono asociado a una cuenta de Twitter o el estado (bloqueada o no) de dicha cuenta.

Tras investigar el fallo de seguridad, la compañía descubrió cierta actividad inusual relacionada con la API asociada a dicho formulario: un gran volumen de peticiones desde direcciones IP de China y Arabia Saudi que, según la compañía, pueden estar relacionadas con actores financiados por estos estados; como ha declarado Twitter en su anuncio oficial.

La vulnerabilidad fue resuelta el 16 de noviembre y aunque no era posible revelar el número de teléfono completo ni ninguna otra información personal, Twitter ha advertido a las cuentas afectadas.

Uso de técnicas de hacking con fines propagandísticos para un famoso youtuber: PewDiePie

PewDiePie es un youtuber sueco, quizás el youtuber más popular de internet. Actualmente su cuenta es la más seguida, junto con T-Series, una compañía musical india, de la que hablaremos en unas líneas.

Lo acontecido es cuando menos, premonitorio o claramente descriptivo de la sociedad en la que vivimos hoy en día, lo que puede ser considerado algo gracioso o anecdótico para algunos, nos alarma y preocupa profundamente a otros.

El popular Youtuber PewDiePie vio recientemente su trono amenazado al ver como la cuenta T-Series llegaba a igualarle en millones de suscriptores. Este caso fue usado por PewDiePie para crear contenido alrededor de este hecho y hacer un llamamiento a sus fans para no caer del primer puesto. En este vídeo de su canal podemos hacer un seguimiento en directo de ambas cuentas.

Pues bien, al menos dos de sus seguidores llevaron a cabo un ataque en cerca de 2 millones de impresoras de las cuales al menos en 100.000 de ellas lograron imprimir panfletos haciendo un llamamiento para buscar suscriptores de la cuenta de PewDiePie.

https://twitter.com/Thrillka/status/1074016514804715520/photo/1

Estas impresoras estaban abiertas a internet a través de los protocolos IPP, JetDirect y LPD, por lo que perfectamente podrían haber sido encontradas a través de la herramienta Shodan.

Al margen de lo ‘script kiddies’ del asunto, lo delirante del tema y sobre lo que debemos de poner el foco es sobre cómo un fanatismo, si bien es cierto que sustentado por un tono jocoso, ha llevado a estas dos personas a cometer un delito para, como se suele decir, llenarse de ‘loles’ y acrecentar su imagen virtual.

Fallo crítico en SQLite podría afectar a miles de apps

El grupo Blade de Tencent ha descubierto un fallo de seguridad en SQLite, que permite realizar RCE, o provocar rupturas inesperadas del programa que utiliza este servicio.

SQLite es un gestor de base de datos relacional y multiplataforma que encontramos embebido en multitud de aplicaciones y sistemas. Lo que diferencia a SQLite de otros SGBD es que no es un proceso independiente con el que el programa principal se comunica, sino que se lanza con el programa pasando a ser parte integral del mismo. Por eso esta vulnerabilidad estará presente durante largo tiempo en diferentes sistemas y aplicaciones, ya que es necesario actualizar la librería utilizada dentro de la aplicación.

Los investigadores de Tencent han descubierto la posibilidad de encontrar fugas de información del programa que se está ejecutando, detener su ejecución o incluso conseguirejecutar comandos de forma remota simplemente accediendo a una página web malintencionada, si se da el caso en el que el navegador soporte SQLite junto con la ya obsoleta API WebSQL, que es capaz de traducir el código del exploit a sintaxis SQL. Firefox y Edge no dan soporte a WebSQL, pero otros navegadores basados en el proyecto open-source de Chromium como motor del navegador sí, como es el caso de Google Chrome, Opera, Vivaldi, etc.

Pero, aún siendo los navegadores el principal objetivo de ataque, El equipo Blade afirmó en este comunicado que “ha sido posible explotar ‘Google Home’ con esta vulnerabilidad y actualmente no tienen pensado revelar el código utilizado para explotarla”. Mostrando así que el fallo no solo afecta a algunos navegadores, sino que todos los sistemas que utilicen SQLite que no estén actualizados y cumplan las características necesarias son vulnerables.

El fallo fue reportado al equipo de SQLite y actualizado en la versión SQLite 3.26.0 al igual que se reportó a Chromium y se ha limitado el uso de WebSQL en la nueva versión 71.

En esta prueba de concepto se bloquea el proceso del rendizador utilizando ‘Magellan’.

Claro que para que cause efecto es necesario utilizar el navegador adecuado, por ejemplo Google Chrome en una versión menor que la 71. En el código podemos ver que se utiliza el motor de búsqueda de texto completo (full-text) FTS3, y que se están alterando los datos de las ‘shadow tables’ manualmente.  Por otra parte, la nueva actualización de SQLite da la opción de utilizar estas mismas tablas con permiso ‘read-only’, lo que nos hace pensar en que el fallo nace en los permisos de acceso a las ‘shadow tables’.

Fuentes

zdnet
https://www.zdnet.com/article/sqlite-bug-impacts-thousands-of-apps-including-all-chromium-based-browsers/#ftag=RSSbaffb68

Tencent
https://blade.tencent.com/magellan/index_en.html

Github
https://github.com/zhuowei/worthdoingbadly.com/blob/master/_posts/2018-12-14-sqlitebug.html

SQLite Doc
https://www.sqlite.org/fts3.html#*shadowtab

Microsoft parchea una vulnerabilidad 0-day explotada activamente

Microsoft ha liberado el habitual paquete mensual acumulativo de parches de su sistema operativo Windows para el mes de diciembre.

En esta ocasión se han parcheado un total de 39 vulnerabilidades, 10 de las cuales tienen criticidad alta y otras tantas son valoradas como importantes.

Según Kaspersky, una de las vulnerabilidades era un 0-day que está siendo activamente explotado por varios grupos maliciosos (o APTs) tales como FruityArmor o SandCat.

El fallo en cuestión que está siendo aprovechado permite elevar privilegios a debido a un fallo en el kernel de Windows (ntoskml.exe) y ejecutar código arbitrario. A este fallo se le ha dado el identificador CVE-2018-8611 y consiste en una mala gestión en el procesado de ciertas operaciones en modo kernel. Lo que permite evitar las (modernas) políticas configuradas para los procesos.

Este fallo afecta a todas las versiones de Windows; desde Windows 7 hasta Windows Server 2019.

Otra vulnerabilidad con el identificador CVE-2018-8517 es una denegación de servicio remota presente en aplicaciones web desarrolladas con el framework .NET cuya causa es un manejo incorrecto de solicitudes web malformadas.

De esta última vulnerabilidad no se tienen evidencias de que haya sido explotada a gran escala.

El resto de parches cubren parches para distintos productos de la familia de Microsoft, tales como Edge, Internet Explorer, Office, etc.

Como siempre, se recomienda aplicar los parches de seguridad tan pronto como sea posible.

Más información:

https://thehackernews.com/2018/12/microsoft-patch-updates.html

https://portal.msrc.microsoft.com/en-us/security-guidance/releasenotedetail/6c54acc6-2ed2-e811-a980-000d3a33a34d

 

Google + descubre un nuevo fallo de seguridad y acelera su cierre

Google, a través de un comunicado, ha acelerado el cierre de su plataforma Google + a 90 días hábiles desde el 10 de diciembre, en lugar del mes de abril de 2019, fecha prevista para el cierre definitivo de la fallida red social de Google.

Este comunicado ha sido propiciado por un nuevo fallo de seguridad encontrado por los propios procesos de seguridad del gigante tecnológico. El fallo fue introducido en una actualización de noviembre.

El fallo permitía a una aplicación de terceros solicitar información confidencial de un usuario aún cuando este no lo había autorizado, este fallo habría afectado a 52.5 millones de usuarios. La vulnerabilidad, concretamente estaba en la API “People: get” y potencialmente permitía la sustracción de la información personal de todos los usuarios de la red social, incluyendo nombres, direcciones de correo, ocupación laboral, edad, etc.

Cabe recordar que en el mes de octubre, ya nos hicimos eco desde en este mismo boletín, de la vulnerabilidad sufrida que precipitaba el cierre de la misma para el mes de abril.

 

Más información:

Notificación de Google: https://www.blog.google/technology/safety-security/expediting-changes-google-plus/

Unaaldía: https://unaaldia.hispasec.com/2018/10/google-expone-los-datos-de-500-000-usuarios-y-cierra-su-plataforma.html

Actualización crítica de phpMyAdmin

El proyecto phpMyAdmin, uno de los sistemas de administración de bases de datos MySQL más populares, dio un aviso el pasado domingo en su blog avisando sobre la última actualización de seguridad, algo que no habían hecho antes.

“Nos inspiramos en el flujo de trabajo de otros proyectos que a menudo anuncian con anticipación cualquier lanzamiento de seguridad para permitir que los encargados de paquetes y proveedores de alojamiento se preparen. Estamos experimentando si dicho flujo de trabajo es adecuado para nuestro proyecto”, explicaba el gerente de lanzamiento de phpMyAdmin, Isaac Bennetch.

Además de la típica corrección de errores, esta versión corrige tres vulnerabilidades críticas de seguridad.

Vulnerabilidades corregidas en la versión 4.8.4:

1. LFI (CVE-2018-19968):
   Las versiones de phpMyAdmin de entre 4.0 y 4.8.3 incluyen un error de inclusión de archivos locales que podría permitir la lectura de archivos locales del servidor a un atacante remoto.Para explotar esta vulnerabilidad, el atacante debe tener acceso a las tablas de almacenamiento de configuración de phpMyAdmin, aunque puede crearse fácilmente en cualquier base de datos a la que tenga acceso el atacante.
2. CSRF/XSRF (CVE-2018-19969):
   Las versiones de 4.7.0 a 4.7.6 y de 4.8.0 a 4.8.3 incluyen un defecto deCross-site Request Forgery que de ser explotado, permitiría a los atacantes realizar operaciones SQL malintencionadas.Para explotar esto únicamente deberían de convencer a las víctimas de que abran enlaces especialmente diseñados.
3. XSS (CVE-2018-19970):
   Hay un fallo de Cross-site Scripting entre las versiones 4.0 y 4.8.3 con el que un atacante puede inyectar código a través de un nombre de tabla/base de datos especialmente diseñado.

Se recomienda a todos los usuarios de este software que actualicen a la última versión cuanto antes.

Mas información:

Descarga de la versión 4.8.4:
https://www.phpmyadmin.net/files/4.8.4/

Comunicado de pre-lanzamiento:
https://www.phpmyadmin.net/news/2018/12/9/upcoming-security-release-pre-announcement/

Actualizaciones para múltiples productos Apple

Apple ha publicado 8 boletines de seguridad que solucionan vulnerabilidades en los productos iOS, macOS, watchOS, tvOS, Safari, iTunes e iCloud para Windows y Shortcuts para iOS. Entre todos los productos se corrigen 26 fallos de seguridad.

Los boletines publicados con las actualizaciones y problemas solucionados se resumen a continuación.

El boletín para el sistema operativo para dispositivos móviles de Apple (iPad, iPhone, iPod, etc.), iOS 12.1.1, resuelve 20 vulnerabilidades relacionadas con múltiples componentes, entre los que se incluyen ‘Airport’, ‘Disk Images’, ‘FaceTime’, el kernel y ‘WebKit’ entre otros. Cuatro de los fallos permitirían la ejecución de código arbitrario a través de una web especialmente manipulada (CVE-2018-4441, CVE-2018-4442, CVE-2018-4443 y CVE-2018-4438). Estas vulnerabilidades también están presentes en Safari, watchOS y tvOs. Otras dos vulnerabilidades en el kernel permitirían la ejecución de código arbitrario con privilegios de sistema (CVE-2018-4447 y CVE-2018-4461).

macOS Mojave 10.14.2 y los Security Update 2018-003 para High Sierra y 2018-006 para Sierra. En este caso se solucionan 13 vulnerabilidades que afectan a múltiples componentes, que entre otros incluyen a ‘Carbon Core’, ‘Disk Images’, ‘IOHIDFamily’, el kernel y ‘WindowServer’. Siete de estas vulnerabilidades podrían permitir la ejecución de código arbitrario con privilegios de kernel (CVE-2018-4463, CVE-2018-4465, CVE-2018-4427, CVE-2018-4447, CVE-2018-4461, CVE-2018-4449 y CVE-2018-4450).

Safari 12.0.2 cuenta con otro boletín que soluciona 9 vulnerabilidades debidas, en su mayoría, a problemas en ‘WebKit’, el motor de código abierto que es la base de este navegador. También varios de los errores corregidos permitirían que una web maliciosa suplantase la URL mostrada al usuario para hacerle creer que se encuentran en un sitio web legítimo (CVE-2018-4440 y CVE-2018-4439).

El boletín para el sistema operativo de los relojes inteligentes de Apple, watchOS 5.1.2, soluciona 15 vulnerabilidades entre las que también se encuentran algunas que podrían permitir la ejecución de código arbitrario (CVE-2018-4438, CVE-2018-4441, CVE-2018-4442, CVE-2018-4443, CVE-2018-4437, CVE-2018-4464, CVE-2018-4461, CVE-2018-4447, CVE-2018-4427).

tvOS, el sistema operativo de los televisores de la marca, se actualiza a la versión 12.1.1, donde se corrigen 14 vulnerabilidades en múltiples componentes. Dos de ellas permitirían elevar privilegios en el sistema (CVE-2018-4435 y CVE-2018-4303) y/o la ejecución de código arbitrario (CVE-2018-4438, CVE-2018-4441, CVE-2018-4442, CVE-2018-4443, CVE-2018-4437, CVE-2018-4464).

Las versiones iTunes 12.9.2 e iCould 7.9 para Windows corrigen 8 vulnerabilidades cada una, algunas también de gravedad alta.
Todas estas versiones que corrigen los problemas de seguridad publicados en los boletines se encuentran disponibles en la página oficial de Apple, así como a través de los canales habituales de actualización.

Más información:

Apple security updates
https://support.apple.com/en-us/HT201222

Nueva versión del troyano bancario ‘Marcher’ para Android

Una nueva versión del troyano bancario ‘Marcher’ ha sido detectada recientemente en Koodous, nuestro antivirus colaborativo

Bancos atacados mediante conexiones locales

Al menos ocho bancos de Europa del Este han sido atacados usando el mismo modus operandi, bautizado por Karspersky como DarkVishnya, causando más de diez millones de dólares en pérdidas.

 

Durante el año 2017 y también durante este mismo año, especialistas de la compañía antivirus Kaspersky investigaron varios incidentes de robo en al menos ocho bancos europeos.

Todos ellos compartían el mismo patrón de actuación; un dispositivo conectado diréctamente a la red local de la organización. En ocasiones en alguna oficina central, en otras, en una oficina regional o incluso, en otro país distinto.

El ataque comprende 3 fases bien definidas:

En una primera fase, se consigue acceso físico con la excusa de entregar un paquete, buscar un empleo en la compañía, etc. Una vez dentro de las instalaciones, se conecta un dispositivo a un PC o a alguna regleta con conexiones RJ45 (en alguna sala de reuniones o en lugares apartados sin llamar mucho la atención).

Éste dispositivo comunmente puede ser un netbook o un portátil barato, una Raspberry Pi o un Bash Bunny. Una vez conectado, el acceso a la red se conseguía mediante una conexión GPRS/3G/LTE presente en el dispositivo.

Más tarde, en una segunda fase, los atacantes comienzan a ganar acceso a directorios compartidos, servidores web y cualquier otro recurso abiertamiente disponible con el objetivo de obtener la mayor cantidad de información sobre la red. También usaban fuerza bruta o esnifaban conexiones de red para moverse lateralmente hasta llegar finalmente a las máquinas responsables de hacer pagos.

En la tercera y última fase, se mantenía el acceso a las máquinas de la organización mediante técnicas habituales para poder acceder en cualquier otro momento, tales como la habilitación de puertas traseras, escritorios remotos, etc.

 

Más información:

https://securelist.com/darkvishnya/89169/

 

Elevación de privilegios en Kubernetes

Una vulnerabilidad en el sistema de orquestación de Google permitiría a un atacante sin autenticar, conseguir privilegios de administrador en cualquier nodo de un cluster basado en Kubernetes.

Kubernetes es un sistema de orquestación open-source para gestionar aplicaciones en contenedores Docker, entre otros.

La vulnerabilidad, considerada de gravedad crítica, se encuentra en el componente OpenShift Container Platform 3.x y permitiría comprometer los “pods” en ejecución de un determinado nodo. Los “pods” son las unidades mínimas que puede manejar Kubernetes, y se componen de uno o más contenedores y volúmenes.

El fallo reside en una conexión TCP vulnerable, a través de la cuál un atacante remoto podría enviar peticiones especialmente manipuladas al servidor de API de Kubernetes y establecer una conexión con el “backend” utilizando las credenciales TLS de dicho servicio. De esta forma, podría acceder a cualquier “pod” en ejecución y acceder a información secreta, variables de entorno, procesos en ejecución, volúmenes, etc. Así como acceder a contenedores privilegiados. Adicionalmente, en versiones 3.6 y superiores de OpenShift Container Platform, la vulnerabilidad permitiría acceder con permisos de “administrador de cluster” a cualquier API del servidor de API de OpenShift, como por ejemplo los servicios ‘metrics-service’ y ‘servicecatalog’.

Un atacante con privilegios de administrador de cluster podría desplegar código malicioso o alterar alguno de estos servicios en ejecución.

Decir, que el servidor de API de OpenShift está incluido por defecto en todas las instalaciones de Kubernetes.

La vulnerabilidad ya se ha corregido y se recomienda actualizar cuanto antes.

Versiones seguras de OpenShift Container Platform:

• v3.11.43-1
• v3.10.72-1
• v3.9.51-1
• v3.8.44-1
• v3.7.72-1
• v3.6.173.0.140-1
• v3.5.5.31.80-1
• v3.4.1.44.57-1
• v3.3.1.46.45-1
• v3.2.1.34-2

 

Más información:

CVE-2018-1002105: proxy request handling in kube-apiserver can leave vulnerable TCP connections
https://github.com/kubernetes/kubernetes/issues/71411

Kubernetes Security Announcement – v1.10.11, v1.11.5, v1.12.3 released to address CVE-2018-1002105
https://groups.google.com/forum/#!forum/kubernetes-announce

Kubernetes privilege escalation and access to sensitive information in OpenShift products and services – CVE-2018-1002105
https://access.redhat.com/security/vulnerabilities/3716411

Acceso root en Polkit para usuarios con uid mayor a INT_MAX

El fallo, que aún no está solucionado, es reproducible ejecutando cualquier aplicación que utilice PolicyKit

PolicyKit, comúnmente llamado Polkit, es un componente para los sistemas Unix que permite a procesos no privilegiados ejecutar funciones que requieren permisos de superusuario, sin que estos tengan que ejecutarse como root. A diferencia de sudo, no requiere que todo el proceso sea ejecutado con privilegios del sistema, dando un mayor control sobre los permisos.

Este componente, empleado en la mayoría de distribuciones GNU/Linux y utilizado por múltiples programas, no controla correctamente los permisoscuando el usuario tiene un número de identificación (UID) superior al de INT_MAX (2147483647), pudiendo utilizar Polkit sin ninguna restricción y sin que se pida ninguna contraseña.

Ejemplo de explotación con un usuario con uid 4000000000. El usuario es capaz de parar un servicio, sin que este tenga permisos para ello.

Un ejemplo de programa que utiliza Polkit es Systemctl: cuando no son necesarios permisos, por ejemplo para ejecutar ‘systemctl status nginx’, se ejecuta el comando sin restricciones. No obstante, para ejecutar ‘systemctl stop nginx’ (parar un servicio), aparece una ventana de confirmación solicitando la contraseña del usuario, y sólo si éste estuviese autorizado podrá realizar la acción. Con esta vulnerabilidad, el comando se ejecuta sin necesidad de estar autorizado y sin que aparezca la ventana de confirmación.

La vulnerabilidad, con identificador CVE-2018-19788, todavía no se encuentra solucionada, aunque su explotación es complicada salvo que exista ya un usuario con un uid superior a 2147483647, algo de por sí difícil, y que probablemente sea la razón por la que ha pasado el fallo tanto tiempo desapercibido. Para probar la vulnerabilidad, basta con crear un nuevo usuario del sistema y modificar el uid, pudiendo ejecutar cualquiera de los comandos anteriores.

Más información:

CVE-2018-19788:
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-19788

unprivileged users with UID > INT_MAX can successfully execute any systemctl command:
https://github.com/systemd/systemd/issues/11026

Freedesktop issue:
https://gitlab.freedesktop.org/polkit/polkit/issues/74

Nuevo ransomware se difunde rápidamente en China

Un nuevo y característico ransomware se está propagando por China. De momento, ha infectado más de 100.000 equipos y va en aumento.

¿Por qué es diferente al resto de ransomwares vistos?

Lo característico de este malware es que, a diferencia del resto de ransomwares conocidos, no pide como rescate un pago en Bitcoin, sino 110 yuanes (alrededor de 14€) que se deben enviar a través de la aplicación WeChat Pay, la función de pago que ofrece la aplicación de mensajería más popular de China.

¿Cómo funciona el ransomware?

Propagación:

Según los investigadores de Velvet Security, los atacantes agregaron código malicioso al software de programación “EasyLanguage” utilizado por un gran número de desarrolladores de aplicaciones.

El software modificado fue diseñado para inyectar el código del ransomware en cada aplicación y producto de software compilado a través de él.

Evasión de antivirus:

Para evadir los programas de antivirus, los atacantes firmaron su código con la firma digital confiable de Tencent Technologies.

Rescate:

Una vez cifrado, el ransomware crea una nota y le pide a los usuarios que paguen la cantidad de 110 yuanes a la cuenta de WeChat de los atacantes en un plazo de tres días. Si no se paga dentro del tiempo mostrado, amenazan con eliminar automáticamente la clave de descifrado de su servidor C&C.

Robo de información y credenciales:

Una vez infectado el dispositivo, el malware recopila las credenciales de inicio de sesión de los sitios web chinos más populares y las envía a un servidor remoto.

Además, recopila información del dispositivo como: modelo de CPU, resolución de pantalla, información de la red, software instalado, etc.

¿Existen soluciones contra este malware?

Los investigadores de seguridad han descubierto que el cifrado utilizado por el ransomware es más débil de lo que parecía. Mientras que los atacantes especifican en la nota que utilizan DES para cifrar los archivos, realmente utilizan XOR y almacenan una copia de la clave de descifrado localmente.

Ruta de la clave de cifrado:
% user% \ AppData \ Roaming \ unname_1989 \ dataFile \ appCfg.cfg

Con está información, el equipo de seguridad de Velvet ha lanzado una herramienta gratuita de descifrado de este ransomware que puede desbloquear fácilmente los archivos cifrados.

Más información:

Información oficial:
https://www.huorong.cn/info/1543934825174.html

Fuga de información en la cadena hotelera Marriott

La compañía hotelera Marriott ha declarado que la base de datos de reservas deStarwood (filial de Marriott) ha sido comprometida, viéndose expuestos datos de hasta 500 millones de clientes, de los cuales 327 millones incluirían los datos de las tarjetas de crédito con la que se ha realizado el pago.

El 8 de septiembre de 2018 la cadena Marriott recibió la alerta del acceso a la base de datos de reservas de la red de Starwood a través de una herramienta interna de seguridad. En ese momento, la corporación contrató un servicio externo de expertos en seguridad para investigar el caso. Durante la investigación se descubrió que ha existido un continuo acceso no autorizado desde 2014. Por el momento no se han revelado los datos exactos extraídos de la base de datos, pero se estima que hasta 500 millones de personas que hicieron una reserva podrían estar afectados por esta brecha de seguridad.

Se estima que entre los afectados, existirían unos 327 millones de registros que contendrían información sensible acerca del medio de pago utilizado (número de tarjeta de crédito, fecha de vencimiento, etc.), datos personales del usuario (nombre, dirección, teléfono, correo electrónico, fecha de nacimiento, documento de identidad / pasaporte, etc.), información de la reserva (Check-in y Check-out), preferencias de comunicación y el identificador Starwood Preferred Guest (“SPG”).

La información referente a los medios de pago utilizados por los usuarios se encontraría cifrada con el algoritmo AES-128 y se necesitarían dos componentes para descifrarla, aunque aun no se ha confirmado si estos habrían sido conseguidos por los atacantes.

La cadena hotelera ha declarado que esta brecha de seguridad ha afectado únicamente a la red de Starwood, no habiendo sufrido ninguna modificación ni filtración la base de datos de Marriott.

Marriott International adquirió Starwood Hotels and Resorts Worldwide por 13 billones de dólares en 2016, Incluyendo las siguientes propiedades potencialmente afectadas: St. Regis, Sheraton Hotels & Resorts, W Hotels, Westin Hotels & Resorts, Aloft Hotels, Tribute Portfolio, Element Hotels, Le Méridien Hotels & Resorts, The Luxury Collection, Four Points by Sheraton y Design Hotels.

Se han establecido diversos números de teléfono para que aquellos usuarios que hayan realizado una reserva en alguno de los hoteles mencionados en fechas comprendidas entre el año 2014 y el pasado 10 de septiembre de 2018 puede comunicarse con la compañía y recibir información al respecto.

Más información:
Starwood Guest Reservation Database Security Incident
https://answers.kroll.com/

500 Million Marriott Guest Records Stolen in Starwood Data Breach
https://thehackernews.com/2018/11/marriott-starwood-data-breach.html

Inyección de comandos en el lanzador de Epic Games

Se ha detectado una vulnerabilidad que podría permitir la inyección de comandos en el lanzador o ‘launcher’ de Epic Games.

Epic Games es una empresa de desarrollo de videojuegos estadounidense, bien conocida tanto por los motores de juegos Unreal Engine como por videojuegos de la talla de la serie de ‘shooters’ en primera persona Unreal, la saga Gears of War y Fortnite.

El problema se debe a un error de falta de comprobación al procesar una URI por parte del manejador del protocolo ‘com.epicgames.launcher’. Esto podría desencadenar la ejecución de una llamada al sistema compuesta por una cadena proporcionada por el usuario, que podría ser aprovechada para inyectar comandos en el contexto del usuario.

Esta vulnerabilidad permitiría a un atacante remoto ejecutar código arbitrario en instalaciones vulnerables de Microsoft Visual Studio con herramientas para el desarrollo de Unreal Engine instalado. Es necesaria la interacción del usuario para aprovechar exitosamente esta vulnerabilidad (lo que podría lograrse sin su conocimiento al ser engañado para visitar una página web maliciosa o abrir un archivo malicioso).

Esta vulnerabilidad, descubierta por el usuario ‘rgod’ de ‘9sg Security Team’, ha sido identificada como CVE-2018-17707 y puntuada con 8.8 sobre 10 debido a su peligrosidad. Ha sido corregida en la versión 8.2.2 del lanzador de Epic Games.

Más información:

Epic Games Launcher Protocol Command Injection Remote Code Execution Vulnerability
https://www.zerodayinitiative.com/advisories/ZDI-18-1359/