Informatika-segura

Hay fallos que generalmente suelen ser pasados por alto a la hora de corregir problemas o hacer una valoración de la seguridad, problemas como cross-site scripting o denegación de servicio suelen pasar desapercibidos y no se les presta gran atención . Sin embargo pueden causar graves perjuicios o permitir la realización de ataques más avanzados sin son combinados o encadenados con otras vulnerabilidades, incluso aunque también estas últimas sean de impacto moderado. En muchas ocasiones en nuestros trabajos de auditoría nos planteamos cómo calificar la gravedad de un cross-site scripting o una denegación de servicio; desde luego, no permite " entrar " en el servidor o volcar la base de datos (al menos, no directamente), pero el alcance que puede provocar puede ser igual de serio. En las revisiones realizadas una vez que el cliente ha implantado las medidas recomendadas, o en posteriores auditorías periódicas, comprobamos como problemas como cross-site scripting...

Hay fallos que generalmente suelen ser pasados por alto a la hora de corregir problemas o hacer una valoración de la seguridad. En la anterior entrega hablamos de problemas como cross-site scripting o denegación de servicio suelen pasar desapercibidos y no se les presta gran atención . Sin embargo pueden causar graves perjuicios o permitir la realización de ataques más avanzados sin son combinados o encadenados con otras vulnerabilidades, incluso aunque también estas últimas sean de impacto moderado. Cross-site Request Forgery, la vulnerabilidad incomprendida Este tipo de vulnerabilidad permite a un atacante ejecutar funcionalidad de una web determinada a través de la sesión en esa web de otro usuario. Su mecanismo es sencillo, pero entender como funciona y su impacto no lo es y mucho menos para profesionales ajenos al mundo de la seguridad. Para ello necesitamos montar una prueba de concepto realista y detallar cada paso efectuado en el ataque. Si no se entiende este ...

El equipo de seguridad de Chrome ha publicado un boletín de seguridad para su navegador Google Chrome para todas las plataformas (Windows, Mac, Linux y Chrome Frame) que se actualiza a la versión 30.0.1599.101. Apenas 15 días después de la publicación de la versión 30 de Chrome, se distribuye esta actualización que corrige cinco nuevas vulnerabilidades. Como es habitual, Google solo proporciona información sobre los problemas solucionados reportados por investigadores externos. Las vulnerabilidades de gravedad alta están relacionadas con el uso de punteros después de liberar en XHR (CVE-2013-2925), en la edición (CVE-2013-2926) y en formularios (CVE-2013-2927). También del trabajo de seguridad interno, con CVE-2013-2928, varias correcciones procedentes de auditoría interna, pruebas automáticas y otras iniciativas. Esta actualización está disponible a través de Chrome Update automáticamente en los equipos así configurados. Según la política de la compañía las vulne...

Dentro del curso gratuito de Privacidad y Protección de Comunicaciones Digitales que se encuentra en el MOOC Crypt4you, se publica con fecha 24/09/2013 la Lección 6 " Malware: orígenes y evolución " a cargo de Sergio de los Santos, consultor y auditor técnico de seguridad, durante muchos años ligado a diversos proyectos en Hispasec y actualmente liderando el laboratorio técnico de ElevenPaths. El objetivo de la lección que aporta Sergio de los Santos a este MOOC es ofrecer una visión global y realista del malware contemporáneo, contemplando fundamentalmente las bases de sus técnicas de difusión, infección y robo de datos. Igualmente repasar las diferentes categorías y clasificaciones del malware que se pueden realizar, centrándose en la experiencia real que supone hoy la investigación de la industria del malware, y alejándose de la " literatura clásica " sobre el malware tradicional. Lección  6. Malware: orígenes y evolución Apartado 1. Introducc...

Metasploit, la herramienta más utilizada para poner a prueba redes, equipos y páginas web, ha recibido una nueva actualización. Ya podemos descargar la versión 4.7.0 (Update 2013091801), que incluye 10 nuevos módulos de explotación , incluyendo entre ellos dispositivos D-Link, Aplicaciones de protección web de Sophos, el Administrador HP ProCurve, etc… y lo más importante aún, cuenta también con los módulos de autentificación de la mayoría de los servicios que pasaremos a describir a continuación. Además de añadir estos nuevos módulos a explotar, esta actualización corrige 4 problemas conocidos de versiones anteriores. Nuevos Módulos 1. Dispositivos D-Link UPnP SOAP, vía comando de ejecución por Telnet.  Diferentes routers de la prestigiosa marca D-Link son vulnerables a la inyección de comandos del sistema operativo de la interfaz SOAP UPnP. Dado que es una vulnerabilidad de inyección ciega de comandos OS, no hay salida para el comando que se ejecuta cuand...

   Apple corrige dos saltos de restricciones en iOS 7 Después de la publicación de iOS 7 el pasado día 18, Apple se ha apresurado a lanzar una nueva versión (la 7.0.2) que corrige dos nuevas vulnerabilidades. Ambas están relacionadas con el código de desbloqueo de los dispositivos. La primera de ellas, con CVE-2013-5160 permite que cualquier persona con acceso al dispositivo pueda realizar llamadas sin conocer el código de desbloqueo del mismo. Esto ocurre en iPhone 4 y posteriores debido a un error conocido como puntero de deferencia nula. Estando en la pantalla de llamada de emergencia, se teclea el número al que se desea llamar y posteriormente se pulsa repetidas veces el número de llamada. El dispositivo se reiniciará y llamará al número marcado. La segunda vulnerabilidad con CVE-2013-5161 también afectaría a los iPhone 4 y posteriores, además de los iPod touch y los iPad 2 y posteriores. Se podría tener acceso a la lista de aplicaciones, a las últimas...

Una parte importante de los troyanos realizan acciones de modificación del archivo hosts, son los conocidos como " modificadores de hosts " o como " host modifier ". Durante el análisis de un malware de este tipo en nuestro laboratorio, y con gran sorpresa, observamos que no fue detectado por ningún antivirus. Lo hemos analizado para ver su código malicioso y comprender por qué no fue detectado.    Dentro del departamento antifraude de Hispasec, una de las acciones que solemos realizar diariamente es el análisis de malware que afecta a los clientes de las entidades bancarias suscriptoras de nuestros servicios antifraude . Estamos acostumbrados a tratar con múltiples muestras, aunque generalmente solemos encontrar versiones de las familias más habituales. Sin embargo, de vez en cuando, encontramos alguna muestra que nos sorprende por no ser detectada por antivirus, aportar alguna técnica novedosa, etc. El análisis de esta nueva muestra (con hash ...