SmartThings Hub es un dispositivo que sirve para gestionar y conectar entre sí diferentes sensores y dispositivos IoT para casas inteligentes. En la última actualización de su firmware, Samsung ha solucionado más de 20 vulnerabilidades que podrían comprometer el dispositivo y afectar a los dispositivos conectados:Dos vulnerabilidades de denegación de servicio en ‘hubCore Port 39500’ y en el firmware de ‘ZigBee’ (CVE-2018-3918 y CVE-2018-3926) podrían permitir a un atacante remoto desconectar las cámaras o interrumpir el servicio ZigBee por medio de paquetes especialmente manipulados.

Desbordamientos de buffer y otros errores a la hora de gestionar la memoria en el componente ‘video-core’ de SmartThings Hub podrían permitir la ejecución de código arbitrario (CVE-2018-3863 a CVE-2018-3866, CVE-2018-3872, CVE-2018-3878, CVE-2018-3880, CVE-2018-3897, CVE-2018-3902 a CVE-2018-3906, CVE-2018-3912 a CVE-2018-3917, CVE-2018-3919, CVE-2018-3925).

Una falta de comprobación en el parámetro ‘camera-password’ de la configuración del componente ‘video-core’ podría permitir a un atacante remoto ejecutar comandos arbitrarios en el sistema (CVE-2018-3856).

Otra vulnerabilidad en el componente ‘video-core’ podría permitir la inyección de comandos SQL a través del módulo ‘credentials’, al no sanear correctamente el JSON enviado en las peticiones POST del usuario a ‘/credentials’ (CVE-2018-3879).

Múltiples vulnerabilidades a la hora de procesar peticiones HTTP segmentadas permitirían a un atacante manipular las peticiones HTTP e insertar datos maliciosos en el servidor HTTP del componente ‘video-core’ (CVE-2018-3907, CVE-2018-3908, CVE-2018-3909).

El componente ‘hubCore Port 39500’ presenta una vulnerabilidad de inyección de cabeceras HTTP que podría ser explotada y combinada con otras vulnerabilidades presentes en el dispositivo para ejecutar código arbitrario (CVE-2018-3911).

Por último, un error en el controlador de excepciones del componente ‘hubCore‘ permitiría a un atacante interceptar los volcados con información de debug que el componente envía al servicio de ‘backtrace.io‘ para su posterior análisis (CVE-2018-3927).

Se recomienda actualizar actualizar inmediatamente el firmware a la última versión disponible.

 

Electron se ha convertido estos últimos años en una alternativa económica y sencilla de construir apps multiplataforma para escritorio. En vez de invertir recursos y dinero en crear aplicaciones nativas, es posible crear aplicaciones web que se ejecutarán en su propio navegador, sin la barra de direcciones. Esta propiedad de Electron, impide al usuario conocer qué sitio web se está visualizando, lo que puede aprovecharse para redirigir a un sitio de phishing sin que se dé cuenta.

La app de Hangouts para escritorio, que hace uso de Electron, soluciona en parte este problema abriendo con el navegador del sistema los enlaces externos a la aplicación web que ejecuta (https://chat.google.com). El analista Michal Bentkowski investigó este hecho en su blog, descubriendo que la aplicación sigue los enlaces de redirección, y que podría emplearse para redirigir a un phishing. Haciendo uso de un Open Redirect conocido en https://accounts.google.com/ServiceLogin?continue= (que también está presente en chat.google.com), es posible redirigir al usuario a un sitio arbitrario, como una página falsa de login de Google, tal y como puede comprobarse en esta url de demostración:

https://chat.google.com/accounts/ServiceLogin?continue=https://appengine.google.com/_ah/conflogin?continue=http://bentkowski.info/&service=ah

Google Open URL Redirection :
https://vagmour.eu/google-open-url-redirection/

Ejecución remota de código en aplicaciones Electron:
https://unaaldia.hispasec.com/2018/01/ejecucion-remota-de-codigo-en.html

Ejecución remota de código en el editor Atom:
https://unaaldia.hispasec.com/2017/11/ejecucion-remota-de-codigo-en-el-editor.html

El autor del malware, que se hace llamar «Anarchy» es el responsable de otras botnets variantes de Mirai, como Sora o Owari. «Anarchy» ha conseguido infectar más de 18.000 routers Huawei HG532 en tan solo un día y utilizando un solo exploit. Su motivación es, probablemente, la ejecución de ataques DDoS bajo demanda.Lo preocupante de esto es que lo ha hecho utilizando una vulnerabilidad ampliamente conocida y parcheada hace casi un año: CVE-2017-17215 utilizada además en otras botnets como Mirai o Satori.

La vulnerabilidad permitiría a un atacante remoto autenticado ejecutar código arbitrarioenviando paquetes especialmente manipulados al puerto 37215.

Pese a que los fabricantes publican los parches, es responsabilidad de los usuarios su aplicación, lo que refleja todavía una gran falta de concienciación en materia de seguridad.

ZombieBoy tiene características de gusano, valiéndose de WinEggDrop para buscar nuevos hosts y propagarse. Para infectar a la víctima el virus utiliza la herramienta que le da nombre: «ZombieBoyTools». Esta herramienta aprovecha dos conocidos exploits, EternalBlue y DoublePulsar para instalar la DLL maliciosa en la máquina de la víctima.

Captura de la herramienta ZombieBoyTools. Fuente: www.alienvault.com

Una vez instalada la DLL en la máquina, se descarga y ejecuta el binario «123.exe» desde ca[.]posthash[.]org:443. Este se encargará de descargar el resto de componentes del malware:

«64.exe», además de estar encriptado con el packet «Themida» implementa algunas técnicas de evasión bastante sofisticadas. Se encarga de la propagación del virus y de ejecutar el miner (XMRIG), para ello utiliza «WinEggDrop» un escaner TCP que buscará víctimas potenciales contra las que ejecutar el exploit DoublePulsar. Adicionalmente «64.exe» utiliza el software XMRIG para minar Monero y enviarlo a las direcciones:

• 42MiUXx8i49AskDATdAfkUGuBqjCL7oU1g7TsU3XCJg9Maac1mEEdQ2X9vAKqu1pvkFQUuZn2HEzaa5UaUkMMfJHU5N8UCw
• 49vZGV8x3bed3TiAZmNG9zHFXytGz45tJZ3g84rpYtw78J2UQQaCiH6SkozGKHyTV2Lkd7GtsMjurZkk8B9wKJ2uCAKdMLQ

El otro componente descargado tiene el nombre de «74.exe». Se encarga de descargar y ejecutar la DLL «NetSyst96.dll», heredada del RAT «Gh0stRat», permitirá al administrador del malware realizar algunas acciones sobre la máquina infectada de forma remota, como capturar la pantalla, grabar sonidos o alterar el portapapeles de la víctima.

«84.exe» es otro de los módulos droppeados por «123.exe». Al igual que «74.exe» es un RAT utilizado para extraer información adicional sobre la víctima: SO utilizado, velocidad de la CPU o antivirus instalados. Además añade una entrada al registro que sirve para comprobar si el malware se está ejecutando por primera vez.

Flujo de actividad. Fuente: www.alienvault.com

Para comprobar si está infectado por ZombieBoy puede buscar si alguno de los binarios implicados se encuentra entre sus procesos:

• 123.exe
• 64.exe
• 74.exe
• 84.exe
• CPUinfo.exe
• N.exe
• S.exe
• Svchost.exe (OJO, siempre que no provenga de C:\Windows\System32)

Si es así debería detener estos procesos y borrar los ficheros implicados, así como las entradas al registro introducidas por el virus.

Entradas de registro maliciosas:

• SYSTEM/CurrentControlSet/Services/Dazsks Fsdgsdf
• SYSTEM/CURRENTCONTROLSET/SERVICES/ANqiki cmsuuc

• C:\%WindowsDirectory%\sys.exe
• C:\windows\%system%\boy.exe
• C:\windows\IIS\cpuinfo.exe
• C:\Program Files(x86)\svchost.exe
• C:\Program Files\AppPatch\mysqld.dll
• C:\Program Files(x86)\StormII\mssta.exe
• C:\Program Files(x86)\StormII\*
• C:\Archivos de programa (x86)\svchost.exe
• C:\Archivos de programa\AppPatch\mysqld.dll
• C:\Archivos de programa (x86)\StormII\mssta.exe
• C:\Archivos de programa (x86)\StormII\*

 

A poco que te muevas por Internet, si usas Google Chrome para navegar es bastante posible que éste te haya avisado de que cierto sitio no era seguro. A veces porque el responsable de la web olvidó actualizar el certificado HTTPS (tienen caducidad), otras veces porque la página web envía sin cifrar contraseñas o información de tarjetas de créditos… La cuestión es que te salta un aviso, a veces bastante difícil de esquivar, informándote de que la página no es segura.

Como ya muchos sabréis, HTTP es el protocolo clásico para servir páginas web (que son principalmente contenido HTML) en Internet. El problema de HTTP es que no permite saber si efectivamente quien sirve la web es quien dice ser, y que la información viaja sin cifrar entre el navegador y el servidor. Esto es un problema, ya que permite a un atacante situado entre el navegador y el servidor espiar y modificar el tráfico, entre otros escenarios.

Hace un par de años Google anunció que en enero de 2017 iba a empezar a marcar como no seguros los sitios HTTP que manejase contraseñas e información de tarjetas de crédito. Este fue el primer paso dado por Google hacia un objetivo final: marcar todas las páginas HTTP como no seguras. Las estadísticas que dieron en febrero de este año avalan esta decisión: más de dos tercios del tráfico que pasa por las versiones de Android y Windowsestá protegido, así como más de tres cuartos del de Chrome OS y Mac. También afirman que 81 de los 100 sitios en el top 100 usan HTTPS por defecto.

Para los usuarios, esto no tiene más que ventajas, pero ¿qué pasa con los responsables de las webs? Ya sabemos que la seguridad no suele ser cómoda y que una medida de seguridad es una configuración más, pero hoy en día hay miles de tutoriales para ello, y muchos servicios de creación de páginas web incluyen la opción de activarlo con un solo click. Y si no cuentas con el apoyo de una plataforma, al menos te queda el consuelo de que con iniciativas como Let’s Encrypt te sale gratis.

Amigo webmaster, ya no te quedan excusas.

Más información:

En esta ocasión el malware utiliza la fiebre del Mundial de Rusia para conseguir sus objetivos. La aplicación «Golden Cup«, aparentemente legítima, podía descargarse de Google Play y utilizarse para mostrar en tiempo real los resultados de los partidos. Tras ella se escondía el malware que se descargaba en varias fases con objeto de eludir a los sistemas de seguridad.
Una vez instalada la aplicación se establecía la comunicación con el C&C utilizando el protocolo de transporte MQTT a través del puerto 1883.
A partir de ahora el malware puede recibir órdenes del servidor de C&C y actualizar el estado del dispositivo.

Mozilla Thunderbird es un cliente de correo electrónico multiplataforma de código abierto y libre, cliente de noticias, cliente de RSS y de chat desarrollado por la Fundación Mozilla. Utiliza el lenguaje de interfaz XUL y viene instalado por defecto en los sistemas de escritorio de Ubuntu.

«De buen gusto», dice la página de diccionarios en línea WordReference.com que significa «stylish«, entre otras acepciones. La verdad es que de buen gusto no se puede decir que haya sido lo que ha hecho SimilarWeb, la empresa detrás de esta famosa extensión. Y no decimos «famosa» como manida coletilla periodística, estamos hablando de la que ha sido la extensión de referencia con su funcionalidad: permitir especificar hojas de estilo personalizadas para modificar la apariencia de una web. Los datos: cerca de dos millones de usuarios en Google Chrome, y casi trescientos mil en Mozilla Firefox. Datos extraídos gracias a la caché de Google, ya que ambas versiones han desaparecido de las páginas de Chrome y Firefox.

La mecánica del espionaje es sencilla: Este tipo de extensiones necesitan acceder a la URLdel navegador para saber si está en una página a la que debe aplicar una hoja de estilos personalizada. Y ya que accedes a la URL, pues te la quedas y la envías a tus servidores, que hay empresas que compran el historial de visitas de la gente… ¿Qué hay de malo en ésto? Bueno, éstas empresas estudian los hábitos de navegación de la gente, y de las peores cosas que pueden hacer dentro de la legalidad es venderle a otra empresa que a una persona en concreto le gustan los nomos de jardín. Así, esa última empresa como anunciante en Internet te puede bombardear con publicidad sobre unos nomos chulísimos cada vez que pases por una página que contiene anuncios gestionados por esa empresa.

En realidad, que Stylish se dedicase a esos menesteres no es una novedad. Cuando fue comprado a un desarrollador independiente por SimilarWeb en enero de 2017, ésta anunció que iba a recopilar ciertos datos «anónimos» sobre los usuarios. De hecho, ese mismo mes se publicó un artículo avisando de este cambio en la política de privacidad, donde se comentaba que efectivamente se obtenía información sobre los sitios que se visitaban. Lo que pasa es que a veces es necesario escribir un artículo incendiariocomo el de Robert Heaton, con capturas de pantalla donde se ve claramente cómo mandan esa información a los servidores de SimilarWeb:

Extraída de robertheaton.com

Como ya comentábamos en otra Una-al-día, existen distintos tipos de datos personales, y los que probablemente recopila SimilarWeb son datos personales despersonalizados. Es decir, datos personales que conforman un perfil, pero que no se asocian directamente a una persona. El problema es que es demasiado fácil, a pesar de recopilarlos sin identificar a la persona en concreto, terminar vinculándolos a una. Y es que como dice Robert Heaton en su artículo, si saben que alguien está visitando https://www.linkedin.com/in/<NOMBRE_DE_USUARIO>/edit/ (página visitada por un usuario para modificar su perfil), ¿quién podrá ser ese usuario? Guiño, guiño.

En definitiva, se dice que «si un servicio es gratis, el producto eres tú», y este es otro caso más. Otra de las acepciones de «stylish» según WordReference.com es «a la moda«, que también hace justicia al concepto recopilar datos personales para luego venderlos: está de moda. Y lo que nos queda.

Major Stylish add-on changes in regards to privacy
https://www.ghacks.net/2017/01/04/major-stylish-add-on-changes-in-regards-to-privacy/

Ocho horas, desde las 20:20 (UTC) del 28 de junio hasta las 04:26 del día siguiente. Esta fue la ventana de tiempo que tuvieron los atacantes para introducir código malicioso en la cuenta de GitHub. Código malicioso que tenía como objetivo borrar todos los archivos del sistema donde se ejecutase, a través de archivos usados por el sistema de paquetería. Los archivos modificados para contener código malicioso son los llamados «ebuilds», que no son más que archivos de texto con información sobre una pieza de software concreta, especificando el nombre, el autor, cómo se debe construir el software a partir del código fuente y otras librerías…

Por suerte, la repercusión final del ataque es bastante limitada. Lo primero que pone freno a la efectividad del ataque es que el código malicioso no funciona tal y como está, probablemente por un fallo en la programación por parte de los atacantes. Y lo segundo es que la cuenta de GitHubcomprometida se usa como espejo, y no es la infraestructura principal usada por defecto por el sistema de paquetería. La principal está en servidores controlados directamente por la organización de Gentoo.

Otra medida de protección que se puede deducir del comunicado oficial de Gentoo es la verificación de los commits (unidades de actualización de código usadas en repositorios de código como Git). Cada vez que un desarrollador de Gentoo sube código al repositorio a través de un commit, ese commit va firmado por él, y el comunicado da a entender que los commitsconteniendo código malicioso no venían firmados por desarrolladores de Gentoo.

Saber si estás afectado es bastante simple: si has usado esa cuenta de GitHub en los últimos días, es probable que hayas descargado código malicioso. Pero según comentaban, el código no funcionaba. Así que bastaría con sincronizar usando la infraestructura principal en vez de la cuenta de GitHub, para que los paquetes con ebuilds modificados para incluir código malicioso se sobreescriban con versiones buenas, y posteriormente poder reinstalar los paquetes instalados en los últimos días.