Terracotta: la red VPN que ayuda a los atacantes

SOURCE: Noticias de seguridad informática http://noticiasseguridad.com/importantes/terracotta-la-red-vpn-que-ayuda-a-los-atacantes/
TAGS: APT, RSA, Terracotta, VPN

Una red VPN que está comercialmente disponible en China está siendo utilizada por atacantespara enmascarar sus ataques a organizaciones alrededor del mundo, de acuerdo a un nuevo reporte de RSA.

El estudio, titulado “Terracotta PVN: Enable of Advanced Threat Anonymity“, presenta cómo el servicio VPN es utilizado por varios actores que están llevando adelante diferentes ataques del tipo APT (Advanced Persistent Threats), incluyendo Shell_Crew y Deep Panda, para ingresar a servidores y lograr nodos.

RSA afirma que la red VPN “de soporte de malware”, que ha sido llamada Terracotta, ha adquirido hasta el momento 1.5000 nodos, principalmente de servidores Windows. Esto se alcanza subrepticiamente, mediante organizaciones comprometidas y que no están al tanto que sus sistemas han sido penetrados por atacantes que son capaces de ocultar sus actividades a través de la red VPN.

“Lo que es notable de Terracotta, a diferencia de redes VPN similares, es que se origina en China y, además de conducir tráfico legítimo y potencialmente ilegítimo, ha sido utilizada para anonimizar y ofuscar actividad de APTs pertenecientes a grupos de atacantes,” explicó Peter Beardmore, Senior Consultant de RSA.

“A menudo, los profesionales de ciberseguridad de grandes organizaciones (que tienen más chances de ser blanco de APTs) restringen o bloquean direcciones IP redes VPN conocidas. Los atacantes que utilizan la red Terracotta han sobrepasado efectivamente esa línea de defensa, ya que las prácticas de Terracotta son fundamentalmente diferentes de las redes VPN comerciales.”

En su exhaustivo paper, cuyos hallazgos fueron presentados en la conferencia BlackHat que se desarrolla en Las Vegas, RSA describió que entre los blancos se encuentran algunos gobiernos occidentales y empresas.

Terracotta además es de gran atractivo para los atacantes ya que les permite enmascarar efectivamente sus actividades ilegales, haciéndolos parecer como provenientes de fuentes auténticas. Incluso, cualquier intento de bloquear, restringir o detectar las direcciones IP son obstaculizados por el hecho de que se agregan nuevos nodos, que están alojados en servidores de organizaciones genuinas.

RSA afirma que es la primera vez que han observado actividades maliciosas de este tipo en una red VPN.

Fuente:http://www.welivesecurity.com/

Noticias de seguridad informática

Muchos curriculum vitae enviados son en realidad malware

SOURCE: Noticias de seguridad informática http://noticiasseguridad.com/malware-virus/muchos-curriculum-vitae-enviados-son-en-realidad-malware/
TAGS: Malware, ransomware

Aunque la mayoría de ataques van dirigidos a usuarios particulares, las empresas también se encuentran en el punto de mira de los ciberdelincuentes. La última argucia utilizada por estos es el envío de malware camuflado como si se tratase de un curriculum vitae, cifrando los archivos del disco duro dejándolos inaccesibles.

Aunque hay algunas empresas que recurren a los formularios web y no dan pie a que los usuarios envíen archivos a una cuenta de correo, cada vez son más los que optan por la otra vía, es decir, que los candidatos a un puesto de trabajo envíen un documento Word con la información de su curriculum vitae, algo que hasta este momento no había dado problemas pero que desde hace unos meses se está utilizando por los ciberdelincuentes para infectar los equipos de las grandes empresas.

Expertos en seguridad afirman que desde el pasado mes de marzo este tipo de prácticas son frecuentes y confirman que se trata de un grupo de ciberdelincuentes cuya única finalidad es estafar a las empresas y que realicen el pago para liberar los archivos cifrados.

El virus encontrado bloquea el ordenador o los archivos

Los investigadores detallan que el ransomware incluido en los archivos comprimidos posee dos tipos de comportamientos: el primero de ellos es bloquear el equipo mientras que el segundo solo dejar inaccesibles los archivos.

Afirman que el más extendido es el segundo, ya que permite al usuario interactuar con el equipo y ver que los archivos no son accesibles, existiendo la posibilidad de que se acepte la realización del pago para la supuesta liberación del material cifrado, algo que nunca sucede, siendo esta la guindilla de la estafa.

Otro problema con el que se han encontrado es que el malware es capaz de extenderse a los ordenadores que rodean al equipo infectado, es decir, utiliza las redes LAN para replicarse de forma mucho más rápida, por no hablar de las unidades USB externas.

Si estás infectado, la mejor forma de combatir el malware es desconectar el equipo de la red

Los expertos recomiendan aislar el equipo infectado. Teniendo en cuenta que la amenaza utilizada está diseñada para afectar a equipos Windows, una vez que este se haya aislado se debe iniciar en modo a prueba de errores y utilizar varias herramientas de seguridad para realizar una desinfección del sistema, asumiendo la pérdida de los archivos.

Sin embargo, en estos casos es cuando se ve el valor de una copia de seguridad del sistema, ya que siempre podemos optar por una restauración del mismo, asegurándonos de esta forma la recuperación de los datos y la eliminación por completo de la amenaza.

Fuente:http://www.redeszone.net/

Noticias de seguridad informática

Kit de explotación Rig 3.0 infecta a millones

SOURCE: Noticias de seguridad informática http://noticiasseguridad.com/importantes/kit-de-explotacion-rig-3-0-infecta-a-millones/
TAGS: Malware, Rig

La última versión del kit de explotación Rig ha infectado a 1.25 millones de máquinas en las últimas seis semanas, según un estudio llevado a cabo por Trustwave.

Conocido como Rig 3.0, la última versión del malware puede infectar hasta 27 mil computadoras en un sólo día; la investigación sugiere que, a pesar tener una estructura similar a la generación anterior, ahora es más segura que nunca.

La publicación llega después de que una sección del código fuente de Rig 2.0 se filtró en Internet por un cliente insatisfecho a principios de este año. Sin embargo, para los investigadores de seguridad es de particular interés el tiempo de respuesta de esta nueva versión.

El kit de explotación Rig surgió hace aproximadamente un año y es utilizado para difundir publicidad maliciosa y explotar fallas en Flash, Java y Microsoft Silverlight, principalmente.

La investigación de Trustwave reveló que 90 por ciento del tráfico que fluye a través de Rig fue resultado de la publicidad maliciosa.

"Muchos sitios web grandes fueron víctimas de campañas de publicidad maliciosa con el fin de redirigir a los visitantes al kit Rig. Estos incluyen a grandes sitios de noticias, empresas de consultoría de inversión, proveedores de soluciones de TI, etc., todos ellos en el TOP 3000 del ranking de Alexa", según el informe.

Sin embargo, la tasa de infección sigue siendo una característica crítica de Rig. Desde el lanzamiento de la nueva versión, el kit ha encontrado 3.5 millones de víctimas potenciales.

Una de las razones de la alta tasa de infección es que Rig se aprovecha de las vulnerabilidades descubiertas recientemente en Flash como consecuencia de las fugas de información del Hacking Team.

"Algunos de los exploits han sido el resultado de parches de ingeniería inversa y otros son el resultado directo de la fuga de información del Hacking Team, que incluye los exploits de día cero para Adobe Flash CVE-2015-5119 y CVE-2015-5122", menciona el informe.

Fuente:http://www.seguridad.unam.mx/

 
Noticias de seguridad informática

Nuevo envío de malware simulando correos de Movistar

SOURCE: Noticias de seguridad informática http://noticiasseguridad.com/malware-virus/nuevo-envio-de-malware-simulando-correos-de-movistar/
TAGS: Malware, Movistar, OSI

Hay que tener mucho cuidado con lo que recibimos en el correo electrónico, porque determinados ciberdelicuentes aprovechan esta vía para atacar nuestros ordenadores. Hace tiempo vimos cómo se usaba de excusa una factura de Movistar para infectar los equipos, y poco después supimos que se intentó lo mismo con una app de Movistar como reclamo. Pues a día de hoy está teniendo lugar un nuevo envío de malware simulando correos de Movistar. Otra amenaza preocupante, que conocemos mediante la Oficina de Seguridad del Internauta (OSI).

Estos email maliciosos parecen proceder de la misma fuente y, si siempre se usa como "cebo" a Movistar, es porque esta técnica debe estar funcionando. Desde luego, motivo de más para mantenerse alerta. Movistar se trata de una de las empresas con más clientes en España, así que es normal que se use su imagen, ya que resulta probable encontrar personas que tengan relación con la operadora de comunicaciones y confíen en ella.

Un mensaje convincente

En el mensaje falso nos piden un número de teléfono y correo electrónico, y se incluye un archivo adjunto en forma de fichero comprimido ZIP. El aspecto del correo da lugar a engaños, fíjate lo logrado que se encuentra:

Virus incluido en el correo

Lo peor es que si descargamos ese fichero adjunto, que se hace pasar por un formulario, nuestro ordenador se infectará por un virus. Se trata de un malware, cuyo objetivo no conocemos, pero que seguro que no es bueno. Podríamos encontrarnos ante un ramsonware, un tipo de amenaza que secuestra los archivos de nuestro PC, y nos pide dinero para recuperarlos. Un virus de este tipo ya se extendió en el pasado usando mensajes de Correos como excusa.

¿Lo adecuado en estos casos? Tener un antivirus en el ordenador, y desconfiar de cualquier mensaje que no esperemos recibir, mucho más si trae archivos adjuntos o nos pide cualquier tipo de dato personal o financiero. Así que ya conoces el nuevo envío de malware simulando correos de Movistar, ¡no caigas en la trampa!

Fuente:http://www.elgrupoinformatico.com/

Noticias de seguridad informática

Así funciona Galileo RCS, el software de espionaje de Hacking Team

SOURCE: Noticias de seguridad informática http://noticiasseguridad.com/importantes/asi-funciona-galileo-rcs-el-software-de-espionaje-de-hacking-team/
TAGS: RCS, Spy, TOR

En este vídeo elaborado por la firma de seguridad 4Armed se revelan las funciones más destacadas de Galileo RCS y se simula una operación de espionaje, tanto desde el punto de visto del atacante como del sujeto, usando el software de Hacking Team.

Cuando ya ha pasado un mes desde el hackeo a la empresa italiana Hacking Team (y todo el consiguiente revuelo que levantó la noticia), y cuando ya pensábamos que poco a poco se iban quedando en el olvido los más 400 GB de datos filtrados que ponían en el ojo del huracán a cientos de clientes de la compañía, así como el código fuente de su software, la empresa de ciberseguridad 4Armed ha creado un vídeo en el que se demuestra cómo funciona exactamente el producto estrella de Hacking Team: Galileo RCS.

En la propia web oficial de Hacking Team se describe Galileo RCS como una solución diseñada para saltarse el cifrado que evita que la policía y autoridades puedan monitorizar y prevenir crímenes y amenazas para la sociedad. El software se instala directamente en el dispositivo que se quiere espiar y las pruebas recogidas de forma discreta son enviadas de manera cifrada e irrastreable hasta el servidor RCS.

Sistema de Control Remoto Galileo: la suite de hackeo para espionaje gubernamental.

Pues bien, los chicos de 4Armed se han hecho con Galileo RCS y han preparado esta demostración en vídeo de más de 15 minutos de cómo se llevaría a cabo una operación de espionaje usando el software desarrollado por Hacking Team.

El vídeo que demuestra cómo funciona Galileo RCS

Aunque no es el mejor vídeo que hemos encontrado en YouTube últimamente, su contenido es bastante revelador en cuanto al funcionamiento de Galileo RCS. La simulación muestra todas las posibilidades del programa y hace un extenso recorrido por su panel de control mostrando las opciones más interesantes a la hora de crear un ‘proyecto’ de espionaje, desde elegir el número de sujetos dentro de la misma operación, la relación entre ellos, la construcción del agente de infección y lo que resulta más interesante: todas las diferentes posibilidades de espionaje.

A partir del minuto 1:25 del vídeo podréis observar el amplio abanico de opciones de espionaje disponibles, pudiendo configurar Galileo RCS para registrar llamadas (también conversaciones por Skype), espiar mensajes (tanto SMS como por aplicaciones de mensajería instantánea), copiar documentos y fotos, realizar capturas de pantalla con el intervalo deseado, obtener la ubicación del sujeto cada X minutos, acceder a los contactos, calendario y webs visitadas por el sospechoso, registrar todas las teclas pulsadas, clics de ratón y contraseñas introducidas por el usuario y, por supuesto, acceder a la cámara del dispositivo en cuestión.

Cabe decir que en el vídeo en cuestión se pretende simular cómo una fuerza de seguridad intentaría espiar a dos sujetos sospechosos de alguna actividad delictiva, en este caso traficar con drogas, y que emplean la red TOR para comunicarse a través de Internet. Lamentablemente, no queda claro que todos los clientes de Hacking Team usaran este software con tan nobles intenciones. Además, ahora que el código fuente de este programa está circulando libremente por la Red, cualquiera podría crear su propia versión de Galileo RCS, que en las manos equivocadas puede ser tremendamente peligroso.

Fuente:http://www.malavida.com/

Noticias de seguridad informática

Tras intento de 'hackeo', Ting restablecerá todas las contraseñas

SOURCE: Noticias de seguridad informática http://noticiasseguridad.com/hacking-incidentes/tras-intento-de-hackeo-ting-restablecera-todas-las-contrasenas/
TAGS: móvil

La operadora móvil virtual dijo que no hay que alarmarse, ya que nadie pudo entrar a su plataforma, pero está forzando a todos los usuarios a cambiar sus contraseñas.

Ting, una operadora móvil virtual, anunció el martes querestablecería todas las contraseñas de sus usuarios después de que unos "malhechores" intentaron hackear su plataforma.

Ninguna persona ajena a Ting pudo acceder su sistema, aseguró la compañía. La decisión de restablecer las contraseñas va dirigida a cerrar cualquier posible vulnerabilidad que pueda tener su plataforma móvil.

"No tenemos ninguna prueba de que se accedió a las cuentas o de que se robaron datos sensibles", dijo Andrew Moore-Crispin, el director de contenido de la empresa. "Como podrán imaginarse, nuestros ingenieros de seguridad y de la red están trabajando tiempo extra para entender qué pasó".

Moore-Crispin compartió que los usuarios notarán que sus contraseñas actuales no funcionarán y deben usar el enlace "se me olvidó mi contraseña" para entrar a la página donde podrán ingresar un nuevo código.

El que Ting requiera que sus usuarios cambien de contraseñas tiene sentido, ya que algunos usuarios usan contraseñas fáciles de adivinar, como "1, 2, 3, 4". Los expertos sugieren tener una mezcla de letras, números y caracteres especiales como "!" o "%".
"Estamos siendo hipercautelosos porque su privacidad y seguridad personal son de suma importancia para nosotros", dijo Moore-Crispin. "No hemos encontrado razón alguna para preocuparnos, pero forzar a todos a restablecer sus contraseñas es una manera de estar 100 por ciento seguros".

Fuente:http://www.cnet.com/

Noticias de seguridad informática

'Hackers' utilizaron la red publicitaria de Yahoo para infectar a millones

SOURCE: Noticias de seguridad informática http://noticiasseguridad.com/importantes/hackers-utilizaron-la-red-publicitaria-de-yahoo-para-infectar-a-millones/
TAGS: Flash, Malware, Yahoo

Piratas cibernéticos utilizaron la red publicitaria de Yahoo por siete días, afectando a un porcentaje de las 6,900 millones de usuarios mensuales del sitio.

Hackers utilizaron la red publicitaria de Yahoo durante siete días para intentar infectar a los millones de visitantes a los diversos sitios de la compañía, de acuerdo con la firma de seguridad Malwarebytes que descubrió el ataque.

La compañía de seguridad dice que se trata de uno de los ataques de malware de publicidad más grandes hasta ahora, pues afectó a todos los sitios de Yahoo que en conjunto reciben 6,900 millones de usuarios al mes.

[caption id="attachment_5289" align="alignnone" width="610"] Hackers' utilizaron la red publicitaria de Yahoo para infectar a millones[/caption]

La vulnerabilidad, presente por un problema de seguridad en Adobe Flash, fue aprovechada por hackers durante siete días y el último ataque fue detectado el 28 de julio, según Malwarebytes. Los hackers aprovecharon esta vulnerabilidad de la siguiente forma: compraban espacio de publicidad en los sitios de Yahoo y cuando una computadora con Windows entraba al mismo, se le instalaba código malicioso.

"Yahoo está comprometida a asegurar de que nuestros anunciantes, así como los usuarios, tengan una experiencia confiable y segura. Tan pronto como nos enteramos de este problema, nuestro equipo tomó acción y continuará investigando lo sucedido", dijo Yahoo en un comunicado a la compañía de seguridad.

El malware por publicidad (malvertising, en inglés) es muy peligroso por no necesitar de interacción con el usuario; simplemente se necesita que el usuario visite una página con publicidad infectada, y es suficiente para resultar infectado.

Yahoo, Adobe y Malwarebytes no dieron una cifra de personas afectadas con esta vulnerabilidad. Después de darse a conocer el problema de seguridad, Adobe emitió una alerta para actualizar la versión de Flash para Windows -- puedes descargar la última versión en este enlace.

Fuente:http://www.cnet.com/

Noticias de seguridad informática