Secuestro de cuenta en Facebook
Se ha hecho público la existencia de un salto de restricciones en la protección CSRF en Facebook que podría permitir a un atacante remoto obtener la cuenta de otro usuario de la red social.
Para que el ataque pueda hacerse efectivo es necesario la implicación de la víctima para que acceda a un enlace especialmente manipulado previamente preparado por el atacante. Dicho a groso modo, este enlace vulnerable, bajo el dominio de Facebook, hará otra petición a una dirección escogida por el atacante la cual añadirá el parámetro ‘fb_dtsg’ en el cuerpo de la petición, esto junto a algunas redirecciones, permitirán al atacante hacerse con el control de la cuenta de la víctima.
Aunque a groso modo parece una tarea sencilla, no lo es. A continuación se detalla el proceso de toma de control de otra cuenta de la red social.
Para la toma de control de la cuenta es necesario la adición en la cuenta de la víctima una cuenta de correo electrónico o número de teléfono en manos del atacante. Esto cuenta con el problema de que la víctima debería de visitar dos direcciones web, una para añadir el correo/teléfono y otra para confirmar la acción.
Para evitar esto, el engaño se hará mediante la autorización de una aplicación del atacante mediante un enlace similar al que se muestra en la siguiente imagen.
Esto autorizará la aplicación y redireccionará a una página en manos del atacante con el token de acceso de la víctima como parámetro en la dirección web gracias una redirección intermedia a https://www.facebook.com/v3.2/dialog/oauth
Una vez realizadas las redirecciónes, el atacante tendrá en su poder el token de acceso de la víctima, y a continuación añadirá el correo electrónico bajo su control como punto de contacto de la cuenta, que volverá a redireccionar a una página bajo el control del atacante mediante una petición similar a la siguiente.
Con esto el sitio web del atacante obtendrá el ID del usuario y podrá confirmar por su parte el correo añadido. Para confirmar el correo por la parte de la víctima el atacante redireccionará a la siguiente dirección gracias a que los datos necesarios son extraídos del correo de confirmación del atacante.
Después de esto solo quedará hacer que la víctima acceda a la dirección https://www.facebook.com/settings?section=emailque volverá a redirigir al recurso “/confirm_code/dialog/submit/” para terminar de realizar la validación del correo electrónico.
Tras esto, el atacante podrá tener acceso a la cuenta de la victima gracias a la funcionalidad de restablecer la contraseña. Un proceso que parece muy tedioso y largo, pero que realmente se hace en poco tiempo de forma automática.
El error fue reportado a Facebook el día 26 de enero y fue corregido 5 días después, por lo que actualmente no supone ningún peligro,. Aún así queremos hacer hincapié en el peligro que puede suponer el visitar un enlace que puedan tener un origen sospechoso o desconocido, ya que un error de este calibre puede permitir al atacante hacerse pasar por la víctima con todo lo que ello conlleva, incluso eliminar la cuenta.
Más información:
Bug bounty write-ups
https://ysamm.com/?p=185
RCE en dispositivos Android al visualizar una imagen PNG
Un atacante remoto podría ejecutar código en dispositivos Android si el usuario visualizara una imagen PNG especialmente manipulada. Esto es debido a nuevas vulnerabilidades descubiertas y publicadas en el ‘Android Security Bulletin‘ de febrero.
thehachernews.comSon varias las vulnerabilidades descubiertas e incluidas en el citado boletín, aunque las más críticas se encuentran al nivel de Framework.
Los ingenieros de Google aun no han revelado los detalles técnicos de estos fallos, aunque se sabe que hace referencia a errores enSkPngCodec, y explican que “El problema más grave es una vulnerabilidad crítica en el Framework que podría permitir que un atacante remoto ejecutar código arbitrario a través de un archivo PNG especialmente diseñado. “
Las vulnerabilidades identificadas como CVE-2019-1986, CVE-2019-1987 y CVE-2019-1988 ya han sido parcheadas por Android Open Source Project (AOSP) junto con las que aparecen en la lista de actualizaciones de seguridad de febrero. Sin embargo debido a la demora de los fabricantes en aplicar las actualizaciones en sus productos, es difícil saber cuando estará disponible la actualización para los dispositivos afectados. Las versiones de Android afectadas van desde 7.0 Nougat hasta la actual 9.0 Pie.
Por último, Google destaca que no hay indicios de explotación de estas vulnerabilidades por el momento.
Más información:
Android Security Bulletin
https://source.android.com/security/bulletin/2019-02-01.html
The hacker way
https://thehackernews.com/2019/02/hack-android-with-image.html
Un fallo de seguridad en Facebook permite ver fotos privadas de otros usuarios
Un investigador ha reportado recientemente un fallo de seguridad en Facebook que permitía visualizar las fotos privadas de otros usuarios.
La vulnerabilidad se descubrió en portal.facebook.com, la web de Facebook para su dispositivo ‘Portal’, que está diseñado principalmente para realizar videollamadas.
En la web de Portal disponemos de una pequeña ventana de chat para soporte, en la que podemos realizar consultas a un bot. Además de texto, es posible incluir imágenes y archivos en el chat, introduciendo esta funcionalidad la vulnerabilidad. Aunque inicialmente este fallo fue descubierto en este chat de soporte, según el investigador, el chat de Facebook también era vulnerable.
El problema se encontraba en que al subir un fichero o una foto, este recibe un identificador numérico de igual forma que ocurre con el resto de fotos subidas a Facebook. Después de realizar la subida de la foto,se realiza una nueva petición que envía un nuevo mensaje de tipo foto al chat. Si se sustituye en dicho mensaje el identificador de la foto por el identificador de cualquier otra foto, al enviar el mensaje y visualizarlo veremos automáticamente la foto correspondiente al identificador modificado.
Nueva campaña de Phishing contra Facebook
Si eres de los que confían en las comprobaciones básicas para detectar si la web que se muestra se trata de una copia fraudulenta es muy posible que caigas en esta nueva campaña de phishing contra Facebook.
El equipo de Antoine Vincent Jebara, cofundador y director ejecutivo del software de gestión de contraseñas Myki, descubrió una nueva campaña de phishing.
Los atacantes están distribuyendo enlaces a blogs y servicios que inciten a los usuarios a “iniciar sesión con su cuenta de Facebook” para leer documentos exclusivos u obtener descuentos en la compra de artículos.
Hasta aquí todo bien, el inicio de sesión con Facebook está siendo utilizado por gran cantidad de páginas para facilitar al usuario la suscripción a servicios, sin embargo, el equipo de Vincent descubrió que los blogs y servicios en línea maliciosos están mostrando un mensaje, muy realista, de inicio de sesión con Facebook.
como se muestra en el vídeo, el falso mensaje de inicio de sesión creado con HTML y JavaScript, es igual a la ventana que muestra Facebook de forma legítima cuando queremos iniciar sesión a través de su servicio.
Según Vincent la única forma de darnos cuenta de que nos están intentando dar gato por liebre es tratar de arrastrar la ventana POPUP fuera de la ventana en la que se está mostrando. Si falla, es decir, parte del menú de la ventana POPUP desaparece más allá del borde de la ventana, es una señal de que la ventana es falsa.
Otra recomendación es activar la autenticación en dos pasos, para evitar que los atacantes accedan a nuestra cuenta si por algún casual nuestros datos han sido comprometidos.
Los ataques de phishing siguen siendo una de las principales amenazas contra empresas y usuarios y cada día que pasa descubrimos maneras mucho más creativas de engañarnos y robar nuestros datos.
¡Estad atentos!
Actualizaciones para múltiples dispositivos Cisco
Cisco ha publicado 20 boletines de seguridad para solucionar otras tantas vulnerabilidades (una crítica, 8 de gravedad alta y 11 de gravedad media) en múltiples productos que podrían permitir a atacantes provocar condiciones de denegación de servicio, de cross-site scripting, ejecutar código arbitrario o acceder al dispositivo sin autorización.
Los productos afectados son:
- Cisco ACI Virtual Edge
- Cisco Aironet 1560, 1815, 2800, 3800 Series
- Cisco AMP Virtual Private Cloud Appliance
- Cisco Application Policy Infrastructure Controller
- Cisco Cloud Services Platform 2100
- Cisco CloudCenter
- Cisco Common Services Platform Collector
- Cisco Container Platform
- Cisco Defense Orchestrator
- Cisco DNA Center
- Cisco Elastic Service Controller
- Cisco Elastic Services
- Cisco Emergency Responder
- Cisco Enterprise NFV Infrastructure Software (NFVIS)
- Cisco Enterprise Service Automation
- Cisco Evolved Programmable Network Manager
- Cisco Expressway Series
- Cisco Finesse
- Cisco Firepower 9000 Series
- Cisco Firepower eXtensible Operating System
- Cisco Firepower Management Center
- Cisco Firepower Threat Defense
- Cisco FireSIGHT System Software
- Cisco HyperFlex
- Cisco Identity Services Engine
- Cisco IOS XE Software
- Cisco IoT Field Network Director
- Cisco IOx Fog Director
- Cisco IP Phone 7800, 7832, 8800 Series
- Cisco MDS 9000 Series Multilayer Switches
- Cisco MediaSense
- Cisco Meeting Management
- Cisco Meeting Server
- Cisco Mobility Services Engine
- Cisco Network Analysis Module
- Cisco Network Assurance Engine
- Cisco Network Assurance Engine
- Cisco Network Convergence System 1000 Series
- Cisco Nexus 3000, 7000, 9000 Series
- Cisco Paging Server
- Cisco Policy Suite
- Cisco Prime Collaboration
- Cisco Prime Collaboration Assurance
- Cisco Prime Infrastructure
- Cisco Prime Infrastructure
- Cisco Prime Network Registrar Virtual Appliance
- Cisco Prime Service Catalog Virtual Appliance
- Cisco Secure Access Control System (ACS)
- Cisco SocialMiner
- Cisco SPA112, SPA525, y SPA5x5 Series
- Cisco TelePresence
- Cisco Tetration Analytics
- Cisco Threat Grid Appliance
- Cisco UCS B-Series M5 Blade Servers
- Cisco UCS Standalone C-Series M5 Rack Server
- Cisco Umbrella Virtual Appliance
- Cisco Unified Communications
- Cisco Unified Contact Center
- Cisco Unified Intelligence Center
- Cisco Unity Connection
- Cisco Unity Connection
- Cisco vEdge 100, 1000, 2000, 5000 Series
- Cisco vEdge Cloud Router Platform
- Cisco Video Surveillance 8000 Series IP Cameras
- Cisco Virtual Topology System
- Cisco Virtualized Voice Browser
- Cisco Webex Hybrid Data Security Node
- Cisco Webex Meetings Server
- Cisco Webex Room Kit
- Cisco Webex Video Mesh Node
- Cisco Wireless LAN Controller (WLC 5520, WLC 8540, WLC 3504, Virtual Wireless Controller)
La vulnerabilidad considerada crítica, con CVE-2018-0121, afecta al portal web de Cisco Elastic Services y permitiría a un atacante remoto sin autenticar acceder al sistema como administrador. Las ocho vulnerabilidades de gravedad alta permitirían escalar privilegios en dispositivos Cisco ASA, Cisco Nexus, Cisco IOS XE, Cisco IOS XR entre otros (CVE-2019-5736); realizar ataques man-in-the-middle contra el túnel SSL establecido entre los servicios Cisco Service Identity Engine y Cisco Prime (CVE-2019-1659); acceder a partes no autorizadas del software Cisco Prime Collaboration Assurance (PCA) utilizando algún nombre de usuario válido (CVE-2019-1662); recuperar ficheros del servidor TFTP utilizado en Cisco Network Convergence System 1000 (CVE-2019-1681); permitir a un usuario adyacente sin autenticar ejecutar comandos como administrador (CVE-2018-15380) o a un usuario local elevar privilegios a administrador en Cisco HyperFlex (CVE-2019-1664).
Otra de las vulnerabilidades de gravedad alta afecta al kernel Linux de algunos dispositivos (CVE-2018-5391) y permitiría a un atacante remoto sin autenticar provocar una denegación de servicio enviando paquetes IPv4 o IPv6 especialmente manipulados.
La última de las vulnerabilidades de gravedad alta reside en el componente encargado de la autenticación de Cisco Network Assurance Engine (NAE) y permitiría a un atacante local provocar una denegación de servicio en el servidor (CVE-2019-1688).
Vulnerabilidades consideradas de importancia media podrían ser aprovechadas para inyectar contenido en Cisco Webex (CVE-2019-1680) o subir ficheros arbitrarios en su versión para IOS (CVE-2019-1689). Espiar el tráfico TLS en Cisco SPA112, SPA525 y SPA5x5 (CVE-2019-1683); un XEE en Cisco IoT Field Network Director (CVE-2019-1698); denegaciones de servicio en Cisco Firepower y Cisco IP Phone (CVE-2019-1691, CVE-2019-1700, CVE-2019-1684); un XSS en Cisco HyperFlex y Cisco Unity (CVE-2019-1665, CVE-2019-1685) o accesos de lectura y escritura no autorizados a las estadísticas de Cisco HyperFlex (CVE-2019-1667, CVE-2019-1666).
Cisco ha publicado actualizaciones para las vulnerabilidades consideradas de gravedad crítica y alta. Se recomienda consultar las alertas publicadas para obtener información sobre disponibilidad de parches y actualizaciones.
Más información:
Container Privilege Escalation Vulnerability Affecting Cisco Products
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190215-runc
Cisco Prime Infrastructure Certificate Validation Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190220-prime-validation
Cisco Prime Collaboration Assurance Software Unauthenticated Access Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190220-pca-access
Cisco Network Convergence System 1000 Series TFTP Directory Traversal Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190220-ncs
Cisco HyperFlex Software Command Injection Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190220-hyperflex-injection
Cisco HyperFlex Software Unauthenticated Root Access Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190220-chn-root-access
Cisco Webex Meetings Online Content Injection Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190206-webex-injection
Cisco Webex Teams for iOS Arbitrary File Upload Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190220-webx-ios-file
Cisco SPA112, SPA525, and SPA5x5 Series IP Phones Certificate Validation Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190220-ipphone-certs
Cisco IoT Field Network Director XML External Entity Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190220-iot-fnd-xml
Cisco Hyperflex Stored Cross-Site Scripting Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190220-hyper-xss
Cisco HyperFlex Arbitrary Statistics Write Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190220-hyper-write
Cisco HyperFlex Unauthenticated Statistics Retrieval Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190220-hyper-retrieve
Cisco Firepower Threat Defense Software SSL or TLS Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190220-fpwr-ssltls-dos
Cisco Firepower 9000 Series Firepower 2-Port 100G Double-Width Network Module Queue Wedge Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190220-firpwr-dos
Cisco Unity Connection Reflected Cross-Site Scripting Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190220-cuc-rxss
Cisco IP Phone 7800 and 8800 Series Cisco Discovery Protocol and Link Layer Discovery Protocol Denial https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190220-cdp-lldp-dosof
Linux Kernel IP Fragment Reassembly Denial of Service Vulnerability Affecting Cisco Products
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180824-linux-ip-fragment
Cisco Network Assurance Engine CLI Access with Default Password Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190212-nae-dos
Cisco Elastic Services Controller Service Portal Authentication Bypass Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180221-esc
Nuevas vulnerabilidades en redes móviles 4G y 5G
Un grupo de investigadores universitarios han descubierto nuevas vulnerabilidades en las redes de telefonía 4G y 5G que podría permitir a un atacante remoto evadir las protecciones de seguridad implementadas en dichos protocolos.
A continuación se describen los tres ataques descubiertos.
- Ataque ToRPEDO
Es la abreviación de “TRacking via Paging mEssage DistributiOn“. Afecta a las redes 4G y la implementación actual de 5G.
Este ataque permite a atacantes remotos comprobar la localización del terminal de la víctima, inyectar mensajes de aviso o “paging“, y provocar denegaciones de servicio.
Cuando el dispositivo no está comunicándose con la red GSM, entra en un modo de bajo consumo. De modo que cuando se recibe una llamada o un SMS, la red GSM envía un mensaje “paging” para notificar al dispositivo de la llamada/SMS entrante.
Los mensajes “paging” incluyen un valor llamado “Temporary Mobile Subscriber Identity” del dispositivo, el cual no cambia con frecuencia. Sin embargo los investigadores descubrieron que si un atacante comienza una llamada e inmediatamente después la cancela varias veces en un corto periodo de tiempo, la estación base actualiza el valor de TMSI con bastante frecuencia en los mensajes “paging“.
Por tanto, un atacante que logre interceptar tráfico de una víctima mediante el uso de dispositivos “stingrays“, podrá ver los mensajes “paging” y deducir si dicha víctima se encuentra dentro del rango de interceptación o no.
- Ataque Piercer e IMSI-Cracking
El ataque ToRPEDO abre la puerta a otros dos tipos de ataque; Piercer e IMSI-Cracking, llegando a revelar elIMSI (identidad persistente)
PIERCER (Persistent Information ExposuRe by the CorE netwoRk), permite a un atacante que conozca el número de teléfono de la víctima, obtener el IMSI en las redes 4G y 5G, usando fuerza bruta debido a un error de diseño.
Una vez el IMSI ha sido comprometido, las llamadas de la víctima, localización y demás información sensible pueden ser espiadas.
Más información:
New Attacks Against 4G, 5G Mobile Networks Re-Enable IMSI Catchers
https://thehackernews.com/2019/02/location-tracking-imsi-catchers.html
Vulnerabilidades en la app SHAREit de Android permiten el robo de ficheros
La aplicación, muy popular en la Play Store con más de 500 millones de descargas, permitía descargar archivos desde un dispositivo de la misma red.
SHAREit es una conocida aplicación disponible para Android, iOS y Windows, que permite compartir ficheros con otros usuarios de forma sencilla. Con sus más de 1.500 millones de usuarios entre las 3 plataformas (500 millones en Android), es una de las aplicaciones más populares para este fin.
De las diferentes modalidades y servicios utilizados para compartir archivos en SHAREit, se han descubierto varios fallos en Download Channel (a través de http en el puerto 2999), encargado de la descarga de ficheros.
El primer fallo se encuentra en el identificador único ‘msgid’ (‘http://shareit_sender_ip:2999/download?metadatatype=photo&metadataid=1337&filetype=thumbnail&msgid=c60088c13d6?) que valida en la descarga que el fichero solicitado es el entregado por el cliente. Una incorrecta validación de dicho valor, permite a cualquier usuario autenticado solicitar cualquier fichero del dispositivo, sin que se haya autorizado previamente.
Aunque el error en ‘msgid’ es de por sí grave, se sigue requiriendo estar autenticado para realizar la descarga. No obstante, un fallo en la implementación del servidor HTTP de Download Channel, provoca que los paths no definidos en vez de devolver un error 404, devuelvan un 200, y se llegue a crear una sesión válida en el servidor. Así pues, autenticarse es tan fácil como realizar una petición a una ruta no existente, como por ejemplo ‘http://shareit_sender_ip:2999/DontExist’.
Estos dos errores son de por sí muy graves, pero sigue sin conocerse los ficheros disponibles para descargar. No obstante, el fichero de historial de SHAREit, el cual se encuentra en una ruta conocida, contiene las rutas de todos los ficheros compartidos, lo cual revela bastantes rutas del sistema. Además, en las últimas versiones de SHAREit se incluye una base de datos de medios (también en una ruta conocida) con ficheros del sistema, junto con muchísima información interesante como claves o cookies si se ha utilizado el modo webview de SHAREit.
Estos fallos ya han sido corregidos tras la versión 4.0.38 de la aplicación, aunque la relación entre los desarrolladores y los investigadores no ha sido buena. Shareit Technologies no ha respondido por la mayoría de las vías de comunicación, se ha negado a publicar el fallo con un CVE, y no ha agradecido de ninguna forma el reporte de los errores. Tampoco han notificado de ninguna forma a los usuarios, limitándose a lanzar una nueva versión en silencio.
El equipo de investigadores de RedForce, quienes han descubierto los fallos, han liberado una prueba de concepto en su cuenta de Github.
Fuentes:
SHAREit Multiple Vulnerabilities Enable Unrestricted Access to Adjacent Devices’ Files:
https://blog.redforce.io/shareit-vulnerabilities-enable-unrestricted-access-to-adjacent-devices-files/
An exploit for SHAREit <= v 4.0.38:
https://github.com/redforcesec/DUMPit/
Administradores de contraseñas, ¿tan seguros como parecen?
Se han descubierto debilidades en administradores de contraseñas que muestran las credenciales en texto plano en el momento de ejecución e incluso las mantiene almacenadas en memoria mientras la aplicación está funcionando, aún habiéndose cerrado sesión o bloqueado el administrador de passwords.
El equipo de investigadores de Independent Security Evaluator (ISE) ha analizado diferentes gestores de contraseñas, y en cada uno de los casos han obtenido fallos a la hora de gestionar la interacción con las bases de datos o en el uso de la clave maestra.
La buena noticia es que todos los administradores que han sido analizados mantienen con éxito las contraseñas seguras cuando el software no se esta ejecutando, permaneciendo cifradas en su base de datos.
Sin embargo, la cosa cambió cuando observaron cómo estos productos protegen las contraseñas cuando se está ejecutando, tanto en el estado de bloqueo (Cuando la aplicación está encendida pero no está la sesión iniciada) como de desbloqueo (sesión activa, después de ingresar la contraseña maestra). A continuación veremos una breve explicación de los resultados de la investigación.
1Password4 para Windows (v4.6.2.626)
Como puntos positivos de esta versión, en el caso de que un usuario acceda a varias contraseñas de la base de datos, una vez que está logeado, el programa se encarga de eliminar de memoria la contraseña anterior para cargar la nueva seleccionada.
Como punto negativo, tras iniciar sesión, la contraseña maestra se mantiene almacenada en memoria (aunque ofuscada), y al cerrar sesión el programa falla al limpiar dicha contraseña. Por otro lado encontraron un fallo cuando un usuario realiza ciertas acciones, la contraseña maestra se almacena en texto plano en memoria incluso cuando está bloqueado.
1password7 para Windows (v7.2.57)
A pesar de ser una versión actual, se descubrió que es menos segura que su predecesor 1password4, ya que descifra y cachea todas las contraseñas de la base de datos en vez de una por una. También falló al eliminar las contraseñas de memoria, incluyendo la maestra al cerrar sesión.
Dashlane para Windows (v6.1843.0)
Como puntos positivos Dashlane, al igual que 1password4, solo carga en memoria la contraseña que se está utilizando, eliminando la utilizada anteriormente. También destacar el uso de frameworks para el manejo de memoria y GUI que evitan que la información pase por diferentes APIs del sistema.
Como punto negativo, cuando el usuario actualiza algún dato, se expone la base de datos entera en texto plano, manteniéndose hasta incluso cuando cerramos sesión en la aplicación.
KeePass Password Safe (2.40)
Keepas es un proyecto Open Source, y al igual que 1password4, va descifrando según vamos utilizando cada contraseña, almacenándola en memoria. Lo que ocurre es que no va eliminando los registros después de ser utilizados por lo que al rato de ser utilizado, tendremos la lista de contraseñas usadas cargada en memoria. Por otro lado, una vez utilizada la contraseña maestra, se elimina y se vuelve irrecuperable.
LastPass (v4.1.59)
La base de datos entera permanece en memoria incluso cuando está bloqueada o cerramos sesión. Además, cuando se obtiene la clave de descifrado, la contraseña maestra se filtra en un string buffer, de donde no se elimina, incluso cuando la aplicación se bloquea.
Algunas de las marcas afectadas han defendido públicamente sus productos, afirmando que estos problemas descubiertos son parte de complejas decisiones o ‘trade-offs’ de diseño.
LastPass afirmó que había solucionado los problemas encontrados en su producto y señaló que un atacante aún requeriría acceso privilegiado a la máquina del usuario.
Más información:
Nakedsecurity.sophos.com
https://nakedsecurity.sophos.com/2019/02/21/password-managers-leaking-data-in-memory-but-you-should-still-use-one/
Independent Security Evaluators
https://www.securityevaluators.com/casestudies/password-manager-hacking/
WinRAR tarda 19 años en corregir una vulnerabilidad
Muchos somos los que hemos ayudado a que se proclame como uno de los programas más descargados de la historia, prácticamente ha llegado a convertirse en una pieza imprescindible para muchos usuarios. Actualmente se calcula queWinRAR está instalado en más de 500 millones de ordenadores, que ahora mismo son vulnerables al ataque.
Haciendo uso de este fallo el atacante puede elegir la ruta en la que quiere que se descomprima el archivo, sin importar la que haya elegido el usuario.
WinRAR ha tardado 19 años en corregir un grave fallo de seguridad. Investigadores de Check Point han publicado los detalles técnicos de ésta vulnerabilidad. Afecta a las últimas versiones lanzadas en los últimos 14 años. El fallo se encuentra en una librería de terceros que estaba usando WinRAR para descomprimir archivos con formato ACE. La librería afectada se llama UNACEV2.DLL.
El problema en WinRAR se da porque detecta el formato de los archivos basándose en su contenido, y no en la extensión. Eso hace que simplemente cambiando la extensión .ACE a .RAR, para que parezca un archivo normal, un atacante pueda ejecutar código arbitrario en un ordenador que intente descomprimir el archivo, siempre que se usen versiones vulnerables del programa, en un fallo conocido como “Absolute Path Traversal”.
Haciendo uso de este fallo el atacante puede elegir la ruta en la que quiere que se descomprima el archivo, sin importar la que haya elegido el usuario.
El equipo de Check Point nos muestra cómo explotan la vulnerabilidad en el siguiente video.
Como hemos visto descomprimen el archivo en el escritorio, pero en realidad se ha creado un archivo .exe en Inicio, por lo que cuando nuestro ordenador se encienda ese archivo se ejecutará.
WinRAR ha corregido la vulnerabilidad eliminando la librería afectada en la versión 5.70 Beta 1, por lo que se recomienda actualizar a la última versión.
Vulnerabilidad crítica en WordPress pasa desapercibida durante más de 6 años
Investigadores de seguridad de RIPS Technologies GmbH han publicado una investigación en la que se revela la existencia de una ejecución remota de código (RCE) que afecta a todas las versiones de worpress liberadas desde hace 6 años atrás.
Este RCE se reportó al equipo de seguridad de WordPress a finales de 2018 y permite a un atacante con una cuenta con permisos de edición de tipo “author” ejecutar código PHP arbitrario. Este requisito reduce la severidad hasta cierto punto.
Para lograr la ejecución remoto de código, se combina un Path Traversal (escapada de ruta) con un Local File Inclusion(inclusión arbitraria de ficheros).
Los investigadores se dieron cuenta de como una cuenta de tipo “author” puede modificar la información de las imágenes, pudiendo establecer valores arbitrarios que desembocan en un Path Traversal.
La idea es asignar a _wp_attached_file to evil.jpg?shell.php para más tarde realizar una solicitud HTTP a una URL como esta: https://targetserver.com/wp-content/uploads/evil.jpg?shell.php
Según los investigadores, la ejecución de código no es explotable en las versiones 5.0.1 y 4.9.9 ya que en esas versiones se parcheó otra vulnerabilidad que impide la explotación de la primera.
Más información:
https://blog.ripstech.com/2019/wordpress-image-remote-code-execution/
https://thehackernews.com/2019/02/wordpress-remote-code-execution.html
Una nueva familia de malware para MacOs pasa desapercibida al disfrazarse de un ejecutable de Windows
El laboratorio de Trend Micro ha compartido un análisis en la que detectaron una nueva variedad de malware para MacOS. La peculiaridad de la familia analizada reside en que se oculta disfrazándose de un archivo ejecutable de Windows .EXE.
La ejecución es posible debido a dos cosas:
- La comprobación de firma de código de MacOs solo se aplica a aplicaciones nativas.
- La aplicación ha sido creada con el framework mono e integra la posibilidad de la ejecución de este tipo de ficheros.
Lo curioso, que pese a ser un ejecutable de Windows, falla su ejecución en estas plataformas.
Examinando el comportamiento del malware podemos observar cómo, en primer lugar, recopila todas las aplicaciones instaladas y la siguiente información:
Nombre del modelo
Identificador de modelo
Velocidad del procesador
Detalles del procesador
Número de Procesadores
Numero de nucleos
Memoria
BootROMVersion
SMCVersion
Número de serie
UUID
Una vez recopilada y enviada la información a un servidor externo, el malware descarga y ejecuta algunas aplicaciones para MacOs ocultando la instalación de la misma como si se tratase de la aplicación de Adobe Flash
El código analizado ha sido encontrado en una aplicación que simulaba ser un popular firewall llamado Little Snitch, descargada a través de torrent.
IOCs:
setup.dmg
c87d858c476f8fa9ac5b5f68c48dff8efe3cee4d24ab11aebeec7066b55cbc53 TrojanSpy.MacOS.Winplyer.A
Installer.exe
932d6adbc6a2d8aa5ead5f7206511789276e24c37100283926bd2ce61e840045 TrojanSpy.Win32.Winplyer.A
OSX64_MACSEARCH.MSGL517
58cba382d3e923e450321704eb9b09f4a6be008189a30c37eca8ed42f2fa77af Adware.MacOS.MacSearch.A
chs2
3cbb3e61bf74726ec4c0d2b972dd063ff126b86d930f90f48f1308736cf4db3e Adware.MacOS.GENIEO.AB
Instalador (2)
e13c9ab5060061ad2e693f34279c1b1390e6977a404041178025373a7c7ed08a Adware.MacOS.GENIEO.AB
búsqueda de macs
b31bf0da3ad7cbd92ec3e7cfe6501bea2508c3915827a70b27e9b47ffa89c52e Adware.MacOS.MacSearch.B
Servidor C&C:
hxxp: //54.164.144.252: 10000 / loadPE / getOffers.php
Descubierto el primer malware en Play Store con secuestro de portapapeles
El investigador de seguridad Lukas Stefanko, ha descubierto un nuevo malware con la capacidad de secuestrar y cambiar el portapapeles para robar criptomonedas.
Oficialmente, Metamask es una extensión para los navegadores Chrome, Firefox, Opera y Brave, que permite establecer una “puerta de enlace” entre el navegador web y la red Ethereum, sin necesidad de instalar software adicional ni descargar toda la cadena de bloques de dicha red.
Este malware, de tipo “Clipper” se hace pasar por una aplicación legítima llamada Metamask (aunque no existe versión para android) y reemplaza las direcciones copiadas al portapapeles de android con la dirección del atacante.
La aplicación maliciosa se aprovecha del hecho de que las direcciones de los monederos se componen de caracteres alfanuméricos, de modo que los usuarios casi siempre prefieren copiarlas y pegarlas.
Como resultado, aquellos usuarios que transfirieron fondos en Ethereum a otros monederos, en realidad se depositaban en el monedero del atacante, mediante el reemplazo de la dirección pegada desde el portapapeles.
Después de reportar esta aplicación a Google, ésta ya no se encuentra en este momento en el Play Store.
En Koodous podemos encontrar una muestra de este malware, con hash 24d7783aaf34884677a601d487473f88:
Más información:
https://lukasstefanko.com/2019/02/android-clipper-found-on-google-play.html
https://www.welivesecurity.com/2019/02/08/first-clipper-malware-google-play/
https://thehackernews.com/2019/02/android-clickboard-hijacking.html
Múltiples clientes RDP vulnerables a ejecución remota de código
Un servidor malicioso sería capaz de ejecutar código en 3 de los principales clientes RDP: FreeRDP, rdesktop y mstsc.exe (el cliente de serie de Microsoft). No existe un parche para este último.
RDP (Remote Desktop Protocol) es un popular protocolo desarrollado por Microsoft para controlar equipos mediante interfaz gráfica de forma remota, para el que existen múltiples clientes tanto de software libre, como el propietario de Microsoft. Tras analizar el cliente oficial (mstsc.exe) y otros dos de software libre (FreeRDP y rdesktop), se ha encontrado que los 3 permitirían la ejecución remota de código en el cliente.
En el caso de FreeRDP, el más popular y maduro de los disponibles de software libre, se han encontrado 4 vulnerabilidades de tipo heap overflow (CVE 2018-8784 hasta CVE 2018-8787) que provocarían una corrupción de memoria, y probablemente la ejecución de código remoto. También se han encontrado otras dos de escritura fuera de límites (CVE-2018-8788 y CVE-2018-8789), ocasionando la primera corrupción de memoria con posible RCE (Remote Code Execution) y la segunda Denegación de Servicio (Segfault).
rdesktop, incluido de serie en Kali Linux y también bastante popular, es de los tres analizados el peor parado, con 11 vulnerabilidades graves, junto con otras 19 de diferente transcendencia. Los identificadores abarcan desde el CVE-2018-8791 hasta CVE-2018-8800, y desde CVE 2018-20174 hasta CVE-2018-20182. La mayoría de vulnerabilidades son de tipo lectura fuera de límites y diferentes tipos de overflow.
Finalmente, Mstsc.exe, el oficial de Microsoft, también sería vulnerable a un fallo RCE, aunque esta vez a través del portapapeles. El portapapeles, compartido entre servidor y cliente, presenta como principal problema que ambas partes podrían revelar información sensible como contraseñas que se hayan copiado, lo que podría considerarse una ‘feature’. No obstante, lo que se ha descubierto va más allá, al no controlar el cliente que la ruta de los archivos en el portapapeles no tengan un path traversal (como ‘..\file.txt’).
Un posible ejemplo de explotación, sería un usuario con una conexión RDP abierta a un servidor malicioso, que copia unos archivos (no necesariamente remotos) y los pega en un directorio local de su máquina. El servidor malicioso, al poder modificar el portapapeles, podría añadir un archivo adicional que se escribiría en una ruta del sistema, con los programas de arranque, y sin que el usuario pueda darse cuenta de que su portapapeles ha sido modificado.
El error ha sido notificado a Microsoft, pero ésta ha respondido que aunque reconoce el fallo, no considera el reporte válido al no cumplir sus criterios (Microsoft Security Servicing Criteria for Windows). Debido a esto, el error no puede tener CVE, y no cuenta con un parche. En caso de necesitar utilizar el cliente RDP de Microsoft, se recomienda desactivar el portapapeles compartido para evitar ser víctima de un posible ataque.
Fuente:
Reverse RDP Attack: Code Execution on RDP Clients:
https://research.checkpoint.com/reverse-rdp-attack-code-execution-on-rdp-clients/
Vulnerabilidades en el plugin de WordPress Forminator
Se han hecho públicas 5 vulnerabilidades que afectan a Forminator en su versión 1.5 y han sido calificadas de alto riesgo.
Forminator es un plugin para WordPress, con el que se pueden realizar de forma cómoda formularios de contacto, encuestas, pruebas, etc.
La primera de las vulnerabilidades permitiría a un atacante no autenticado realizar un ataque XSS persistente través de un formulario de encuesta. Este error es debido a una incorrecta codificación en uno de los campos a la hora de mostrar los resultados de dicha encuesta.
La segunda vulnerabilidad permite la extracción de información sensible de la base de datos a través de una inyección SQL relaccionada con la acción de eliminar envíos. Para aprovechar este fallo de seguridad sí es requerido que el atacante esté autenticado en el sistema y tenga permisos para realizar esta acción.
La siguiente vulnerabilidad existe gracias a la carga de archivos, la cual podría ser aprovechada para realizar un ataque XSS, debido a que el fichero que se sube a través del formulario es añadido directamente al DOM.
Otra vulnerabilidad existe debido a una falta de protección al abrir una pestaña nueva en el navegador, la cual podría permitir a un atacante remoto el robo de información sensible a través de la recarga de una página falsa en la pestaña origen. A este tipo de ataque se le conoce como ‘Tab Napping’.
La última vulnerabilidad reportada aparece en la acción de exportación de resultados, que podría ser aprovechada para revelar información sensible a través del envío de datos especialmente manipulados en un formulario.
Las vulnerabilidades, que actualmente tienen pruebas de concepto para su explotación, fueron reportadas el día 25 de noviembre de 2018, y disponen de una solución oficial desde el día 10 de diciembre.
Más información
Forminator 1.5.4 – Unauthenticated Persistent XSS, Blind SQL Injection, Misc
https://security-consulting.icu/blog/2019/02/wordpress-forminator-persistent-xss-blind-sql-injection/
Nueva herramienta de Google alerta cuando utilizas credenciales comprometidas en una web
Hoy, 5 de febrero, Google ha lanzado un servicio que ha sido diseñado para alertar a los usuarios cuando usan una combinación exacta de nombre de usuario y contraseña para cualquier sitio web que haya sido expuesto anteriormente a violación de datos de terceros.
El nuevo servicio denominado Password Checkup, compara las credenciales ingresadas con una base de datos cifrada que contiene más de 4 mill millones de credenciales comprometidas.
Google asegura que la compañía ha hecho uso de una implementación orientada a la privacidad que mantiene toda su información privada y anónima al cifrar sus credenciales antes de compararlas con su base de datos en línea.
Explicación del funcionamiento de la extensión.
La extensión en cuestión está disponible en el Chrome Store y cualquiera puede descargarla gratuitamente.
Si quieres usar alguna alternativa a la extensión, puedes revisar contraseñas manualmente en el sitio HaveIBeenPwned.
Más información:
Password Checkup:
https://chrome.google.com/webstore/detail/password-checkup/pncabnpcffmalkkjpajodfhijclecjno
Malware en Mac roba cookies relacionadas con las casas de cambio de criptomonedas
CookieMiner, así han apodado al nuevo malware responsable de robar cookies relacionadas con el intercambio de criptomonedas. Este malware ha sido diseñado específicamente para usuarios de Mac y se cree que su funcionamiento está basado en DarthMiner, otro malware diseñado para Mac que se detectó en diciembre del año pasado.
Ha sido detectado por el equipo de Unit 42 de Palo Alto Networks. CookieMiner no solo roba las cookies de nuestros exchanges, también instala de forma encubierta el software necesario para minar criptomonedas con nuestro equipo.
En este caso parece que el malware está orientado a la minería de “Koto”, una criptomoneda menos conocida que se usa principalmente en Japón.
Una vez estamos infectados con CookieMiner, se pone en marcha la búsqueda de todos los nombres de usuario, contraseñas e información de la tarjeta de crédito que podamos tener guardados en Chrome, nuestros datos del wallet y las claves privadas para poder acceder a ellos y por último los mensajes de texto de las víctimas del iPhone almacenados en las copias de seguridad de iTunes.
Se detectó que cookieMiner está apuntando a servicios como Binance, Coinbase, Poloniex, Bittrex, Bitstamp, MyEtherWallet y cualquier sitio web con “blockchain” en su dominio y que utilice cookies para rastrear a sus usuarios temporalmente. Si observamos la combinación de las vías de ataque expuestas en las que obtendrían credenciales de inicio de sesión, cookies web y datos SMS robados, es posible que un atacante pueda saltarse la autenticación en dos pasos.
Cabe destacar que los investigadores aún no han encontrado ninguna evidencia de que los atacantes hayan retirado fondos de la billetera o cuenta de algún usuario, pero están especulando sobre el comportamiento del malware.
Fuentes:
https://unit42.paloaltonetworks.com/mac-malware-steals-cryptocurrency-exchanges-cookies/
https://thehackernews.com/2019/02/mac-malware-cryptocurrency.html
El FBI planea cerrar la botnet Joanap
‘Joanap’ la botnet que lleva activa desde 2009 y que ha infectado a usuarios de Windows de más de 17 países diferentes está siendo mapeada por el gobierno de los Estados Unidos.
Se cree que sus responsables son el grupo ‘Hiden Cobra‘, también conocido como ‘Lazarus Group’ o ‘Guardians of Peace’ y que están respaldados por el gobierno de Corea del Norte. Hace algún tiempo @devploit habló sobre Joanap en este mismo blog, donde hizo un breve resumen del funcionamiento de dicho malware.
El Departamento de Justicia (DoJ) de Estados unidos anunció el pasado miércoles su esfuerzo por mapear la red de bots vinculada a este malware. El FBI y la Oficina de Investigaciones Especiales de la Fuerza Aérea (AFOSI) obtuvieron órdenes legales de búsqueda que permitieron a las agencias unirse a la botnet infectando intencionadamente máquinas en entornos controlados para imitar el comportamiento de los demás usuarios infectados y recolectar información técnica que permita identificarlos.
La información recopilada sobre los usuarios infectados incluía direcciones IP, puertos y marcas de tiempo que permitieron construir un mapa de la red de bots actual. Las agencias están ahora contactando con las víctimas para notificar de la presencia del malware en sus equipos a través de sus proveedores de servicios de internet e incluso enviando notificaciones personales.
El Departamento de Justicia de los Estados Unidos y el FBI también coordinarán la notificación a las víctimas extranjeras del malware ya que comparten los datos con gobiernos de otros países.
Fuentes:
https://thehackernews.com/2019/01/north-korea-hacker.html
https://www.fayerwayer.com/2019/01/estados-unidos-botnet-joanap/
Descubierta Facebook bonificando a usuarios por instalar una aplicación que accede a todo el tráfico de red
Recientemente la empresa TechCrunch ha publicado un completo informe en el que demuestran como Facebook estaba bonificando a usuarios, de edades comprendidas entre 23 y 35 años, con hasta 20$ al mes por instalar la aplicación Facebook Research fuera del market oficial de Apple.
La aplicación era distribuida a través de aplicaciones como BetaBound, uTest y Applause y daba capacidad de recopilar la siguiente información:
- Mensajes privados en aplicaciones de redes sociales.
- Chats desde aplicaciones de mensajería instantánea.
- Fotos y vídeos enviados a través de cualquier aplicación.
- Correos electrónicos.
- Búsquedas en Internet.
- Actividad de navegación web.
- Cualquier información adicional que requiriesen otras aplicaciones, como la ubicación en tiempo real.
Esto lo conseguía a través de la instalación de un certificado raíz, lo cual le permitía a Facebook acceder a todo el tráfico de red.
Esta funcionalidad supone una violación de los términos de servicio de Apple por lo que Facebook se expone a sanciones que pueden llegar hasta el punto de retirarles el certificado usado para la firma de la aplicación.
La aplicación ya ha sido retirada por Facebook en iOS pero sigue disponible para Android, por lo que faltaría que Google se pronunciase al respecto. Koodous muestra que hay versiones de la aplicación desde el 15 de octubre de 2017.
+54 11 7078-0111
+54 911 7013-0298
Comments are closed.