La tostadora falsa que demuestra la inseguridad del Internet de las Cosas

SOURCE: Noticias de seguridad informática http://noticiasseguridad.com/seguridad-informatica/la-tostadora-falsa-que-demuestra-la-inseguridad-del-internet-de-las-cosas/
TAGS:

El Internet de las Cosas, IoT para los amigos, ha demostrado ser un agujero negro de inseguridad. Seguro que muchos os acordáis de Mirai, aquel malware del Internet de las cosas que demostró que el Internet de las Cosas puede ser hackeada por amateurs en media hora. Y, con su código fuente publicado, los ataques sólo podían ir en aumento.

Seguro que también os acordáis de aquel ataque que tumbó a Twitter, Spotify y WhatsApp, entre muchos otros. Las redes zombie del Internet de las Cosas ya son una realidad. No son exclusivas de los ordenadores. Y el Internet de las Cosas es tan inseguro que tus bombillas pueden ser hackeadas en apenas media hora. Sin que tú tengas que hacer nada.

El experimento de la tostadora insegura

Andrew McGill, editor en The Atlantic, ha montado un experimento curioso para averiguar cómo es hackeado el Internet de las Cosas. Ha cogido un pequeño servidor de Amazon, lo ha montado de tal forma que parezca una tostadora con conexión a Internet insegura, y lo ha dejado conectado a Internet sin más. Es lo que solemos llamar ‘Honeypot’: una trampa para que los hackers piquen y veamos sus trucos.

El caso es que Andrew esperaba que el primer ataque no se produjese en días o semanas. Y se equivocó, porque su “tostadora” recibió el primer ataque a los 40 minutos. El primer ataque fue intentar entrar con un usuario y contraseña típicos, ‘root/root’, y ejecutar sh para instalar sus propios programas. Después de eso, y a lo largo de un día, la tostadora fue hackeada más de 300 veces.

Obviamente, todo esto no lo hace un hacker tras una pantalla. Se tratan de bots que hacen todo el trabajo sucio. Escanean Internet buscando dispositivos vulnerables, prueban con esta base de contraseñas comunes, y se hacen con el control del dispositivo. Los hackers que han programado estos bots sólo tienen que esperar, y dar órdenes a su ‘red zombie’ cuando les apetezca.

Esto es más peligroso que nunca ahora, porque es ahora cuando cualquiera puede escanear todo Internet en una hora. Estar escondidos en un mar de direcciones IP es una falsa sensación de seguridad, porque esos bots programados por hackers terminarán llegando hasta tu cosa con Internet tarde o temprano.

La carrera por poner Internet en cualquier parte va mal

El problema viene a ser la carrera en la que nos hemos metido. Estamos metidos de lleno en una obsesión por poner Internet en cualquier parte. Tostadores, neveras, cámaras de vigilancia, básculas, lavadoras, bombillas… hasta en los equipos médicos de los hospitales. Y hemos estado corriendo mucho a la hora de integrar la red con ellos. Pero nadie se ha parado a pensar en la seguridad.

La mejor demostración de esto es que los ataques se hacen sólo a dispositivos inseguros. Estos bots tienen una lista de usuarios y contraseñas que el Internet de las Cosas suele tener. Por ejemplo, 1234, root, o admin. Así es como ganan acceso y montan una red colosal de zombies. Gracias a dispositivos que no tienen apenas seguridad para impedir accesos.

Y los usuarios no tienen la culpa de esto, o no deberían tenerla. La culpa es de los fabricantes por no saber proteger sus dispositivos. O por no dar la posibilidad sencilla a los usuarios de protegerlos ellos mismos. Aunque piezas como el firewall de tu router ya te protegen de la mayoría de los ataques, los fabricantes tienen que tomar medidas ya para evitar que esto siga expandiéndose.

En cualquier caso, estos ataques de los que hablamos serán más y más comunes según avance el Internet de las Cosas. Y ser una gota de agua más en el océano que supone Internet no te protegerá de nada.

Fuente:http://www.omicrono.com/

Noticias de seguridad informática

¡12 años de ekoparty! Hold The Backdoor, en primera persona

SOURCE: Noticias de seguridad informática http://noticiasseguridad.com/tecnologia/12-anos-de-ekoparty-hold-backdoor-en-primera-persona/
TAGS: Backdoor, Konex, Malware

Pasó otra ekoparty y, tras 12 años de conferencias, ya podemos decir que además del alto voltaje técnico de todas las ponencias, también logramos conseguir un alto estándar de calidad en la organización del evento.

No fue fácil cumplir con las expectativas de más de 2500 hackers ansiosos por entrar al Konex sin demora, o terminar en estricto horario y antes de las 18 hs. las más de 25 charlas que fueron presentadas este año, ni tampoco administrar el caos que representa la logística de más de 40 ponentes, trainings y workshops; sin mencionar toda la infraestructura técnica de video, audio, traducción simultánea y diseño que podemos encontrar en la ekoparty, que vale decir, supera a varias de las mejores obras teatrales de la Avenida Corrientes.

Sin dudas, ¡esta fue una de las ekoparty que mejor salió! Y si no me creen, miren el siguiente video:

https://youtu.be/CnBL04th44Q

A diferencia de las ediciones anteriores, este año cambiamos el formato de un día de workshops más 2 días de conferencias, por tres días completos de conferencias con workshops en paralelo durante las tardes. Como siempre, debemos agradecer al Comité de Selección de la ekoparty, que tuvo la difícil tarea de seleccionar 25 charlas de entre más de 200 propuestas recibidas. Este año, el Comité estuvo integrado por Nicolás Waisman, Juliano Rizzo, Alfredo Ortega, César Cerrudo y Hernán Ochoa.

Otra de las novedades, aparte de los Food Trucks estacionados en el patio, fueron los ekoLabs, en donde los desarrolladores de herramientas de seguridad tuvieron la oportunidad de presentarlas a la comunidad. Tampoco podían faltar clásicos como el Wardriving de la ekoparty, con el barquito de la alegría repleto de hackers buscando redes Wi-Fi por Buenos Aires, este año organizado por BASE4; o los desafíos de lockpicking, que en cada edición suman cada vez más adeptos al arte de romper la seguridad física, como siempre, organizados por Infobyte.

Wardriving en ekoparty 2016

Este año, desde la organización, continuamos los esfuerzos por concientizar sobre los riesgos que presenta el voto electrónico para la sociedad y lanzamos una “invitación” a las autoridades electorales y la empresa que fabrica las máquinas de voto, para que nos permitan auditar la seguridad del sistema. Lamentablemente, este pedido fue ignorado totalmente, pero sí tuvo una importante repercusión en los medios, que comienzan a interesarse cada vez más sobre las vulnerabilidades del voto electrónico.

Por su parte, Javier Smaldone e Iván Ariel Barrera Oro presentaron “Una mala elección (actualizada)”, una secuela de su charla del año pasado con varias actualizaciones y una gran sorpresa para el final: la demostración de que, con una radio de onda corta, de las que se puede comprar en cualquier casa de electrodomésticos, es posible escuchar a una distancia de alrededor de un metro la señal generada al leer la boleta de voto desde un dispositivo móvil con una aplicación de RFID.

Si bien hasta ahora solo se capta la señal y aún no se pudo descifrar su contenido, quedó demostrado que, optimizando algunos factores, esa distancia de escucha podría ser de varios metros más.

Otro de los temas candentes a los que le pusimos foco fue la seguridad de los automóviles, con la charla “Don’t Be a Dummy: A Crash Course in Automotive Security” de los estadounidenses Andrew Suarez y Daniel Mayer; y la charla “Backdooring CAN Bus for Remote Car Hacking” de los argentinos Claudio Caracciolo y Sheila Berta, quienes hicieron una impresionante demostración en vivo comandando desde el escenario una camioneta estacionada en el patio del Konex.

También estuvo presente Alan Mond, un prestigioso ingeniero mecánico argentino que reside en los Estados Unidos, y que creó una plaqueta Open Source que permite acceder a toda la información del vehículo. Alan dictó un entrenamiento de dos días en el Hackerspace de la ekoparty y un workshop durante la conferencia.

Los Workshops también se destacaron este año, entre ellos, “The Kali Linux Dojo”, sobre dicha distribución tan masivamente usada en la comunidad de seguridad. Fue dictado por Mati Aharoni (“muts“), el fundador y desarrollador principal de Kali, y Joe Steinbach, el CEO de Offensive Security. También contamos con el workshop “Faraday 2.0: Collaborative Pentest & Vulnerability Management” sobre la herramienta FARADAY de pentest colaborativo, que fue realizado por la empresa argentina Infobyte.

Los ekoAwards tampoco podían faltar. Es el clásico que nació con el aniversario de los 10 años de la ekoparty que festejamos en Punta Carrasco y todos esperan en cada edición.

Estos fueron los premios entregados:

• Trayectoria: este ekoAward es la manera de homenajear a personas excepcionales que han realizado importantes aportes a nuestra comunidad. Quien fue galardonado este año es Ivan Arce. ¡Felicitaciones, Ivan!


• Mejor Charla 2016: quienes recibieron este ekoAward fueron los amigos Nicolás Economou y Diego Juarez, por su charla “Abusing GDI for ring0 exploit primitives: Reloaded”. Cabe destacar que Nicolás Economou también fue honrado por haber presentado, en los últimos nueve años, diez charlas, siendo el ponente más prolífico de la ekoparty. ¡Felicitaciones, Nico, y por 10 charlas más! ;-)


• Golden Badge: es el premio que permite a su poseedor el acceso irrestricto de por vida a la ekoparty, y el ganador de este año fue el CyberGaucho, Alfredo Ortega. Entre muchas otras cosas, Alfredo descubrió el año pasado una importante vulnerabilidad en el sistema de voto electrónico, y este año realizó una inolvidable presentación en el Congreso de la Nación ante Diputados que querían conocer de primera mano los riesgos del voto electrónico. ¡Felicitaciones, Alfredo!

Por último, me gustaría agradecer a todos los sponsors de la ekoparty que nos permiten concretar este sueño compartido entre tantos, y muy especialmente a ESET y WeLiveSecurity por el continuo apoyo y acompañamiento de cada edición. ¡Gracias y hasta la próxima!

Fuente:http://www.welivesecurity.com/

Noticias de seguridad informática

Microsoft anuncia el fin de soporte de su herramienta anti-exploits EMET

SOURCE: Noticias de seguridad informática http://noticiasseguridad.com/seguridad-informatica/microsoft-anuncia-el-fin-de-soporte-de-su-herramienta-anti-exploits-emet/
TAGS: EMET, Enhanced Mitigation Experience Toolkit

Los exploits son pequeñas aplicaciones creadas por piratas informáticos con el fin de explotar un fallo de seguridad en el sistema operativo, o en alguna aplicación instalada en él, con el fin de abrir un nuevo vector de ataque, ganar permisos dentro del sistema y conseguir ejecutar código directamente en la memoria o instalar aplicaciones sin el permiso de los usuarios. Para protegernos de los exploits, además de un antivirus, es recomendable utilizar un software específico como EMET.

EMET, acrónimo de Enhanced Mitigation Experience Toolkit, es una herramienta de seguridad desarrollada por Microsoft para sus sistemas operativos Windows que funciona como una capa de seguridad, por encima del sistema operativo y de las aplicaciones, de manera que todo lo que se tiene que ejecutar en el sistema debe pasar por ella, siendo capaz de detectar y bloquear todo aquel software malicioso que intente explotar un fallo de seguridad.

Esta herramienta de seguridad fue lanzada para ofrecer esta protección a los usuarios de Windows 7 y Windows 8, sin embargo, con el lanzamiento de Windows 10, Microsoft ya incorporó la mayoría de las medidas de seguridad de EMET en el propio sistema operativo, por lo que actualmente es una herramienta totalmente innecesaria y la compañía ha decidido descontinuarla.

Aunque en un principio Microsoft tenía planes de acabar con esta herramienta en menos de 3 meses, el 27 de enero de 2017, recientemente la compañía ha decidido ampliar un poco más el margen antes de acabar por completo con el soporte de esta herramienta. De esta manera, Microsoft dejará de actualizar y dar soporte a EMET a partir del próximo 31 de julio de 2018.

Para Microsoft, EMET tiene serias limitaciones, y por eso es mejor acabar con él

Aunque EMET siempre ha sido una herramienta de seguridad bastante avanzada y completa, Microsoft considera que esta tiene serias limitaciones que impiden que los usuarios puedan protegerse al 100% de los exploits, y la mayoría de estas limitaciones se deben a que no está integrada en el propio sistema operativo, sino que se ejecuta como una aplicación más, y a que tampoco fue desarrollada desde sus inicios como un software de seguridad robusto. Microsoft asegura también que EMET suele reducir el rendimiento del ordenador y consumir demasiados recursos cuando ejecutamos determinadas aplicaciones.

Esto, unido a que muchos piratas informáticos han creado exploits capaces de evadir este software de seguridad, Microsoft ha decidido poner punto final, coaccionando, en cierto modo, a que los usuarios de Windows 7 y Windows 8 que quieran una protección eficaz contra exploits, actualicen su sistema operativo al nuevo Windows 10.

De todas formas, en caso de no querer actualizar y querer estar realmente protegidos contra los exploits, siempre podremos recurrir al Malwarebytes Anti-Exploit.

Fuente: http://www.redeszone.net

Noticias de seguridad informática

Descubren que es posible rastrear los móviles a través del WiFi en cualquier lugar

SOURCE: Noticias de seguridad informática http://noticiasseguridad.com/tecnologia/descubren-que-es-posible-rastrear-los-moviles-traves-del-wifi-en-cualquier-lugar/
TAGS: móviles, WiFi

Los usuarios de teléfonos móviles nos enfrentamos a varios problemas relacionados con la privacidad todos los días. Los dispositivos que llevamos con nosotros en todo momento están equipados con una serie de tecnologías que permiten conectarnos a Internet o posicionarnos en un mapa para navegar al destino que queramos sin perdernos. No obstante, esas mismas tecnologías se pueden volver en nuestra contracuando son aprovechadas para localizarnos o rastrearnos sin nuestro conocimiento.

Desde hace mucho tiempo, tanto las agencias de espionaje como los ciberdelincuentes, han podido rastrear a los usuarios y su localización con el uso de antenas falsas de telefonía móvil. Sin embargo, los investigadores han descubierto que existe un método mucho más sencillo y económico para hacer esto y pasa por el uso de un simple punto de acceso WiFi. Los investigadores Piers O’Hanlon y Ravishankar Borgaonkar del departamento de informática de la Universidad de Oxford han sido los encargados de localizar este nuevo problema de seguridad.

IMSI catchers, WiFi y rastreo de móviles

Antes de entrar en materia, es necesario explicar qué es eso del IMSI. Se trata del acrónimo de International Mobile Subscriber Identity y es un código de identificación único para dispositivo integrado en la tarjeta SIM. Este permite la identificación del mismo en las redes GSM y UMTS. Está formado por un código de 3 dígitos correspondientes al país, uno de 2 o 3 dígitos de la red móvil y un número de 9 o 10 como identificación de la estación móvil. El máximo son 15 dígitos y tiene una forma tal que así: 7160652952503786.

Las falsas antenas de las que hablábamos antes no son otra cosa que IMSI catchers o dispositivos para interceptar estos códigos. El robo de esta información sirve, entre otras cosas, para interceptar llamadas. Algunas agencias gubernamentales, como el FBI, los han utilizado durante muchos años, aunque este descubrimiento supone acercarlo a todo el mundo de forma más o menos sencilla.

Todo está relacionado con el uso de funciones como las conexiones WiFi o las llamadas WiFi, que muchos operadores están potenciando para descongestionar sus redes móviles. La forma en que los dispositivos se conectan a las redes y se autentifican de forma automática (usando el código IMSI) permite replicar estos falsos puntos de acceso con el mismo SSID. Los protocolos implicados son Extensible Authentication Protocol (EAP) y Authentication and Key Agreement (AKA).

Los operadores y los fabricantes de sistemas operativos móviles han reconocido el problema, pero también han reconocido que no es sencillo de resolver. Desplegar una infraestructura basada en certificados seguro requiere mucho dinero y, además, es muy cara de mantener. Por el momento, la solución no parece fácil.

Fuente:http://www.adslzone.net/

Noticias de seguridad informática

Linux/Moose todavía sigue activo

SOURCE: Noticias de seguridad informática http://noticiasseguridad.com/hacking-incidentes/linuxmoose-todavia-sigue-activo/
TAGS: Linux/Moose, Zmap

Linux/Moose es una familia de malware que ataca principalmente a los routers basados en Linux, pero que también puede infectar otros tipos de dispositivos con sistemas Linux a los que obtenga acceso. Los dispositivos infectados se utilizan para robar tráfico de red no cifrado y ofrecer servicios de proxy al operador de la botnet. En la práctica, estas capacidades se utilizan para robar cookies HTTP en sitios de redes sociales populares y llevar a cabo acciones fraudulentas, tales como hacer clics no legítimos en “Seguir”, “Visto” y “Me gusta”.

En mayo de 2015, ESET publicó un whitepaper sobre esta familia de malware. Tras la publicación del artículo, los servidores de comando y control (C&C) de Linux/Moose cayeron y perdimos la pista del malware. Unos meses después, en septiembre de 2015, recibimos una nueva muestra de Linux/Moose, que, como era de esperar, había evolucionado desde nuestra publicación.

Durante el último año, ESET y la empresa de seguridad GoSecure sumaron esfuerzos para investigar más a fondo a Linux/Moose. GoSecure investigó el aspecto del fraude en redes sociales y arrojó algo de luz sobre un mercado hasta ahora desconocido, al que llamaron “The Ego Market”. Este mercado se describe en un nuevo whitepaper publicado por GoSecure.

En este artículo explicamos los cambios técnicos detectados entre las variantes de Moose que describimos inicialmente en el whitepaper y las nuevas variantes que aparecieron en septiembre de 2015.

Ocultamiento de las direcciones de C&C

Lo primero que notamos en la nueva muestra es que ya no había más direcciones IP del servidor de C&C en el archivo binario. Parece que, tras leer nuestro informe, los operadores decidieron dificultarnos un poco más las cosas. En esta nueva versión, la dirección IP del servidor de C&C figura como un argumento de línea de comandos cifrado, como se muestra en la siguiente imagen:

Esta nueva característica implica que ya no podemos seguir ejecutando la muestra nosotros mismos; ahora, nuestras máquinas de pruebas tienen que infectarse mediante un dispositivo incrustado que propague la amenaza activa en el mundo real para poder recuperar la dirección IP del servidor de C&C. El lector atento observará que la dirección IP mostrada está en el formato de enteros de 32 bits.

El propósito de cifrar la dirección IP es el siguiente: en caso de que se detecte el archivo binario solo, será inútil sin el valor que se pasa como argumento. Por otra parte, el valor por sí solo tampoco tiene sentido si el binario no cuenta con el valor correcto para descifrar el argumento. El valor está codificado con XOR con un valor estático, como se muestra en el siguiente fragmento de código:

Resultado del descompilador

Por lo que sabemos, este valor sigue siendo el mismo de los últimos meses. El siguiente es un fragmento de código en Python para descifrar el valor del entero de 32 bits correspondiente al servidor de C&C:

Descifrado de la dirección IP del servidor de C&C

Comunicación de red

Otra de las cosas que cambiaron es el protocolo de red: aunque la base se mantuvo, se agregaron nuevas capas. A continuación se ve una captura de paquetes de ambas muestras. Al parecer, el cambio principal es que, en lugar de usar el protocolo binario, se pasó al protocolo de caracteres ASCII imprimibles. En la Imagen 1, a la izquierda figura el antiguo protocolo de red y, a la derecha, el nuevo.

Imagen 1: Diferencias en los protocolos de red

En la muestra más antigua, el servidor de C&C enviaba la configuración al malware con varios campos: un campo de bits para determinar qué característica se iba a habilitar, varios campos de direcciones IP, un campo de listas blancas y un campo de listas de contraseñas. Aunque estos campos siguen presentes en la nueva versión, se entregan por separado, bajo tres claves distintas (ver Tabla 1).

Los operadores usan los campos de encabezado HTTP Cookie: y  Set-Cookie: para enviar la configuración. Esta configuración está cifrada con un simple bucle XOR similar a la primera versión, pero también está codificada para poder imprimirse en los encabezados HTTP mediante la siguiente función:

Resultado del descompilador

La Tabla 1 (tabla de valores de clave) resume la configuración principal de la versión 2 de Moose:

Clave	Valor
PHPSESSID	Configuración principal (exploración local/externa, robo de datos, finalización de procesos)
LP	Lista de contraseñas
WL	Listas blancas

La clave PHPSESSID contiene el valor cifrado de los campos de bits que permiten activar o desactivar algunas funciones de Moose (exploración local/externa, robo de datos, finalización de procesos). La clave LP contiene la lista de contraseñas. Linux/Moose sigue tratando de propagarse adivinando las credenciales de Telnet mediante ataques de fuerza bruta. Hubo un gran cambio en esta lista, que pasó de tener alrededor de 300 inicios de sesión y contraseñas en 2015, a tener solo alrededor de 10 en 2016:

La clave WL contiene las listas blancas. Una vez más, la lista se redujo de 50 a 10 direcciones IP, que están en la sección de indicadores de sistemas comprometidos. Linux/Moose aún mantiene su capacidad de ejecutar un servicio proxy escuchando en el puerto TCP 20012. La variante anterior escuchaba en el puerto 10073. La función de proxy permite que las direcciones IP en la lista blanca interactúen con el malware.

Conclusión

Es claro que los autores de Linux/Moose trabajaron mucho para permanecer bajo el radar con su nueva versión, ya que ocultaron la ubicación del servidor de C&C de manera más efectiva y cambiaron el protocolo de red. De esta forma, Moose evita los indicadores de sistemas comprometidos (IoC) que se publicaron en el whitepaper de ESET en 2015. La estrategia de Moose de acortar la lista blanca y la lista de contraseñas muestra que ahora usa un enfoque más comedido. Sin embargo, hay algunos rastros dentro del binario que se usan para engañar a los investigadores, como el dominio falso www.challpok.cn, que se encuentra en la lista de cadenas de texto sin codificar, o incluso nombres de archivo que pueden corresponder a programas extractores de Bitcoins o a malware para ejecutar ataques de DDoS. La amenaza Linux/Moose sigue alojándose exclusivamente en memoria; por lo tanto, reiniciar el dispositivo incrustado finalizará su ejecución.

Source:http://www.welivesecurity.com/

Noticias de seguridad informática

NUEVAS VULNERABILIDADES EN MYSQL PERMITIRÍAN EL ACCESO COMPLETO A SERVIDORES

SOURCE: Noticias de seguridad informática http://noticiasseguridad.com/vulnerabilidades/nuevas-vulnerabilidades-en-mysql-permitirian-el-acceso-completo-servidores/
TAGS: MariaDB, MySQL

Menos de dos meses después de su última publicación, de nuevo el investigador Dawid Gulonskide Legal Hackers ha publicado los detalles de dos exploits que aprovecharían sendas vulnerabilidades críticas en MySQL y sus variantes MariaDB y PerconaDB.

Estas vulnerabilidades podrían llegar a permitir la ejecución de código arbitrario, obtener privilegios de root y comprometer completamente el servidor donde se alojan estas bases de datos.

PRIMERA VULNERABILIDAD

Los usuarios del popular gestor de base de datos de código abierto MySQL y sus variantes MariaDB y Percona se ven afectados si están utilizando versiones 5.5.51, 5.6.32, 5.7.14 y anteriores. Esto representa millones de instalaciones en todo el mundo y puede plantear un serio problema si los encargados de mantener estos sistemas no actualizan periódicamente.

Con respecto a las vulnerabilidades, la primera de ellas (con CVE-2016-6663) es una escalada de privilegios / condición de carrera, y permitiría a un usuario local con permisos limitados realizar una escalada de privilegios y ejecutar código arbitrario como un usuario system de la base de datos.

Con estos permisos, un atacante podría, por ejemplo, acceder a todas las bases de datos almacenadas en el sistema. Este fallo es especialmente grave si pensamos en aquellos servidores que almacenan bases de datos de empresas diferentes, algo bastante frecuente en centros de datos para optimizar recursos y que muchos usuarios utilizan por su menor precio frente a un servidor dedicado.

El asunto se complica cuando vemos que un atacante podría utilizar esta vulnerabilidad de forma conjunta con la que el mismo investigador reveló a mediados de septiembre, puesto que esto le permitiría tomar control total del servidor y no solo de las bases de datos almacenadas en él.

SEGUNDA VULNERABILIDAD

En lo que respecta a la segunda vulnerabilidad, estaríamos ante un fallo que permite la escalada de privilegios hasta hacerse root que, además, permite combinarse con la anterior vulnerabilidad.

En esta ocasión, la segunda vulnerabilidad (con CVE-2016-6664) permite, una vez aprovechada la escalada de privilegios realizada sobre el sistema MySQL con la primera vulnerabilidad, obtener permisos de root en el sistema que aloja las bases de datos.

En resumen y según las palabras del propio investigador: “la combinación de estas dos vulnerabilidades permitirían a un usuario local con pocos permisos obtener permisos de root en el sistema y, a continuación, comprometer el servidor completamente”.

MITIGANDO EL PROBLEMA

Es más que probable que muchos administradores de sistemas se lleven las manos a la cabeza tras leer las noticias sobre estas vulnerabilidades. Sin embargo, tenemos buenas noticias para la mayoría de ellos. La primera es que el usuario que quiera realizar un ataque aprovechando estas vulnerabilidades ha de ser local, algo que impide ataques remotos.

Además, estas vulnerabilidades han sido solucionadas casi por completo por los desarrolladores de MySQL y Percona, publicando parches de seguridad para estos fallos de seguridad una vez que el investigador se puso en contacto con ellos de forma privada para comunicarles los detalles.

Por su parte, MariaDB tan solo ha publicado de momento un parche para la primera vulnerabilidad. En palabras de los propios desarrolladores, debido a que la segunda vulnerabilidad requiere de la primera, se le ha dado preferencia a mitigar solo una de ellas de momento, pensando en publicar un parche para la segunda en una versión futura.

CONCLUSIÓN

Tanto el investigador como los desarrolladores de estos tres conocidos gestores de bases de datos han hecho su trabajo descubriendo las vulnerabilidades, reportándolas de manera responsable y publicando los parches de seguridad necesarios. Ahora es el turno de los encargados de gestionar bases de datos que utilicen los gestores afectados para aplicar estos parches y evitar así el acceso no autorizado a la información almacenada en ellas.

Fuente:https://blogs.protegerse.com

Noticias de seguridad informática

Consiguen evadir la doble autenticación de Outlook Web App y Office 365

SOURCE: Noticias de seguridad informática http://noticiasseguridad.com/seguridad-informatica/consiguen-evadir-la-doble-autenticacion-de-outlook-web-app-y-office-365/
TAGS: Microsoft Outlook Web Access, Outlook Web

Con la gran cantidad de ataques informáticos que se llevan a cabo a diario es necesario implementar medidas de seguridad adicionales a nuestros servicios de manera que los piratas no puedan apoderarse de nuestra información. En el caso de los servidores online, una de las medidas de seguridad que se deben implementar es la doble autenticación de manera que, si el código aleatorio que recibimos en nuestro dispositivo, no se puede iniciar sesión aunque nos roben la contraseña. Sin embargo, ninguna medida de seguridad es infalible.

Recientemente, la empresa de seguridad Black Hills ha encontrado una debilidad en la plataforma Outlook Web App y en Office 365 que puede permitir a un atacante acceder a los correos electrónicos de los usuarios evadiendo los sistemas de doble autenticación.

Para demostrar la debilidad, los expertos de seguridad montaron su propia plataforma Microsoft Outlook Web Access e implementaron en ella el proveedor de doble autenticación DUO Security vinculado a un smartphone. A la hora de intentar iniciar sesión a través del navegador, DUO enviaba el correspondiente código de acceso al dispositivo de manera que, sin el smartphone correspondiente, un atacante no podría lograr acceder a la cuenta aunque tuviera la contraseña.

Sin embargo, aunque el acceso web está protegido por DUO, si un atacante intenta hacer uso del servicio Exchange, podrá ver cómo dicho protocolo ignora por completo la doble autenticación y, si tiene la contraseña, se puede llegar a acceder libremente a toda la bandeja de entrada ya que dicho protocolo solo necesita un usuario y una contraseña para conectarse, nada más.

Tras encontrar este fallo de seguridad en Outlook Web App, los expertos de seguridad han intentado repetirlo, con éxito, en otras plataformas de Microsoft como Azure e incluso en las cuentas de correo de Office 365. En todos los casos, aunque se activara la doble autenticación, tanto con el servicio de Microsoft como con software de terceros como DUO, a través del protocolo Exchange es posible acceder libremente a toda la bandeja de entrada y buscar correos en ella simplemente habiendo conseguido la contraseña, por ejemplo, con ingeniería social.

Microsoft es consciente del fallo de seguridad en Outlook Web App y Office 365 pero no lo arregla

Mientras que la compañía se queja porque Google hace pública una vulnerabilidad reportada hacía una semana, Black Hills reportó la vulnerabilidad en privado a Microsoft el pasado 28 de septiembre y, hasta la fecha, la compañía ha pasado por completo del fallo de seguridad. Por ello, ayer 2 de noviembre, la compañía decidió poner contra las cuerdas a la compañía y hacer público el fallo de seguridad, demostrando además la existencia del mismo con las pruebas que se pueden ver en su página web principal.

Por el momento Microsoft sigue en silencio en cuanto a este fallo de seguridad. Debemos tener en cuenta que el servidor Exchange es utilizado especialmente por empresas, por lo que se trata de un fallo bastante grave.

Por desgracia, a día de hoy, la única forma de protegerse de este fallo es que todos aquellos usuarios que hagan uso de Outlook u Office 365 desactiven el servidor Exchange de manera que solo se pueda acceder a las bandejas de entrada a través de la web, pasando sí o sí por el sistema de doble autenticación.

Fuente: http://www.redeszone.net

Noticias de seguridad informática