Millones de dispositivos inteligentes bajo riesgo por falla de 3 años de antigüedad

Según Trend Micro hasta 6,1 millones de dispositivos inteligentes, incluyendo televisores inteligentes y routers no han arreglado una vulnerabilidad de software que data del 2012.


Millones de televisores inteligentes, routers y teléfonos están en riesgo debido a la presencia de una vulnerabilidad de 3 años de edad en un software que utilizan. Según los expertos de Trend Micro, el fallo de seguridad no ha sido arreglado por muchos vendedores a pesar de la disponibilidad de un parche desde el 2012.
"Un total de 6,1 millones de dispositivos - teléfonos inteligentes, routers, televisores inteligentes - estan actualmente en riesgo a ataques de ejecución de código remoto, debido a vulnerabilidades que han sido corregidas desde el 2012." escribió Veo Zhang, analista de amenazas móviles en Trend Micro. "Existen vulnerabilidades en el SDK portátil para dispositivos UPnP ™, también llamado libupnp. Esta biblioteca particular, se utiliza para implementar la reproducción de medios (DLNA) o NAT transversal (UPnP IGD). Las aplicaciones en un smartphone pueden utilizar estas funciones para reproducir archivos multimedia o conectarse a otros dispositivos dentro de la red principal de un usuario ".

Trend Micro descubrió 547 aplicaciones que utilizan una versión sin parches del componente de software, 326 están disponibles en la tienda de aplicaciones de Google Play y la mayoría de las aplicaciones son muy populares y son utilizadas por millones de usuarios. Una de las aplicaciones afectadas es QQMusic que se distribuye por Tencent, la compañía lanzó rápidamente una actualización para la aplicación de Android el 23 de noviembre después de la divulgación de la noticia.

"Estas son aplicaciones muy populares y pusieron a millones de usuarios en peligro; aparte de los dispositivos móviles, routers y televisores inteligentes siguen en riesgo" agregó.

Los expertos de Trend Micro confirmaron que los ciberdelincuentes ya están atacando estos dispositivos vulnerables, explotando las fallas estos podrían tomar el control completo del sistema de destino.


Una vez identificado un dispositivo vulnerable, un atacante puede enviar un paquete especialmente diseñado para provocar un desbordamiento de búfer. En el código de abajo, el búfer TempBuf puede desbordarse y colgarse.
"Con más investigación un exploit podría no sólo utilizarse para causar que se cuelgue el equipo destino, pero para ejecutar código arbitrario en un dispositivo afectado. La capacidad de ejecutar código arbitrario daría al atacante la capacidad de tomar el control del dispositivo, como en un PC ". Continúa el escrito. "Hemos visto exploits en internet abusando de equipos que no utilizan protecciones de mitigación tales como canaries stack, DEP y ASLR. Para los sistemas bien protegidos, no conocemos exploits que actualmente sean capaces de ejecución remota de código ".

La vulnerabilidad de la seguridad afecta a la biblioteca 'libupnp' de código dentro del SDK portátil para dispositivos UPnP, se utiliza para la reproducción de los medios de comunicación y también para funcionalidades NAT.

A continuación una lista de las aplicaciones más populares afectadas:

Nombre Nombre del Paquete
AirSmartPlayer com.gk.airsmart.main
Big2Small com.alitech.dvbtoip
CameraAccess plus jp.co.pixela.cameraaccessplus
G-MScreen mktvsmart.screen
HexLink Remote (TV client) hihex.sbrc.services
HexLink-SmartTV remote control com.hihex.hexlink
Hisense Android TV Remote com.hisense.commonremote
Netflix com.netflix.mediaclient
nScreen Mirroring for Samsung com.ht.nscreen.mirroring
Ooredoo TV Oman com.ooredootv.ooredoo
PictPrint – WiFi Print App – jp.co.tandem.pictprint
Mozaic GO qa.MozaicGO.Android
QQMusic com.tencent.qqmusic
QQ音乐HD com.tencent.qqmusicpad
Smart TV Remote com.hisense.common
Wifi Entertainment com.infogo.entertainment.wifi
モバイルTV(StationTV) jp.pixela.px01.stationtv.localtuner.full.app
에브리온TV (무료 실시간 TV) com.everyontv
多屏看看 com.letv.smartControl
海信分享 com.hisense.hishare.hall

Spyware de Hacking Team utiliza un Rootkit de UEFI BIOS para obtener persistencia

Documentos filtrados en línea después del ataque a Hacking Team revelaron que la compañía utiliza un rootkit de BIOS UEFI para obtener persistencia de su software espía.

La violación de datos reciente sufrida por la empresa de vigilancia de Hacking Team esta impactando a la industria de la seguridad informática, los hackers filtraron correos electrónicos de la empresa, códigos fuente y contratos que revelan verdades incómodas.

Los expertos en seguridad centraron principalmente su análisis en las herramientas de hacking y códigos exploits incluidos en el paquete de 400 GB  que se filtró en Internet. El archivo incluye una serie de exploits de día cero para Adobe Flash Player y Microsoft Internet Explorer, estos códigos son sólo parte del arsenal de hacking de la empresa de vigilancia, que desarrolló el popular software espía Sistema de control remoto (RCS), también conocido como Galileo. RCS tiene una estructura modular que le permite poner en peligro varios objetivos mediante la carga de los exploits de día cero necesarios.
La última revelación hecha por los expertos de Trend Micro en orden cronológico, es la disponibilidad de un rootkit UEFI BIOS en el arsenal del Hacking Team que permite a la empresa garantizar la persistencia de su software malicioso incluso si las víctimas formatean su disco duro y vuelven a instalar el sistema operativo.

"Hacking Team utiliza un rootkit UEFI BIOS para mantener su agente del sistema de control remoto (RCS) instalado en los sistemas de sus objetivos". Esto significa que incluso si el usuario formatea el disco duro, vuelve a instalar el sistema operativo, e incluso si compra un disco duro nuevo, los agentes se implantan después de que Microsoft Windows sea instalado". Afirma Trend Micro.

El rootkit UEFI BIOS utilizado por el Hacking TEam fue diseñado específicamente para comprometer los sistemas BIOS UEFI desarrollados por dos de los vendedores más populares, los proveedores Insyde y AMI.

Los expertos del Hacking Team explicaron que los atacantes necesitan acceso físico a la máquina de destino para servir el rootkit BIOS UEFI por el BIOS.

"Una presentación de diapositivas de Hacking Team afirma que la infección con éxito requiere acceso físico al sistema de destino; Sin embargo, no podemos descartar la posibilidad de la instalación remota. Un escenario ejemplo de ataque sería: El intruso obtiene acceso al equipo de destino, se reinicia en consola UEFI, vuelca el BIOS, instala el rootkit BIOS, reflashea el BIOS, y luego reinicia el sistema de destino ", continúa el mensaje.

Para evitar este tipo de ataques Trend Micro recomienda:

• Asegúrate que UEFI SecureFlash está habilitado
• Actualiza la BIOS cada vez que haya un parche de seguridad
• Establecer una contraseña de BIOS o UEFI

Hackers de Gaza atacan a Israel con Malware propagado a través de un video pornografico

Trend Micro ha dado a conocer un ataque de malware que se encuentra en progreso y se dirige a las personas israelíes y su sistema base en Alemania. La campaña tiene fuertes lazos de atribución a los partidos árabes situados en la franja de Gaza y en otros lugares.

Ellos han revelado dos peleas diferentes, pero vigorosamente interconectadas:

Operación Arid Viper: Este es un ataque altamente dirigido a sujetos de alto rango israelí en el que las conexiones una vez más de los asaltantes se encuentran en Gaza, Palestina. La metodología habitual de la ataque incluye la utilización de mensajes de phishing con un malware de conexión que contiene un video pornográfico. El malware hace horarios para la exfiltración de información para una vasta reserva de archivos acumulados de las máquinas de su población comprometida en una especie de asalto "aplastar y saquear" . El ejemplar de malware relacionado fue visto por primera vez a mediados del 2013.
Operación Advtravel: Este es un ataque mucho menos específico con cientos de víctimas en Egipto, cuyos sistemas infectados parecen ser computadoras portátiles personales. Esto nos lleva a pensar que la campaña no es tan sofisticada como el de la Operación Arid Viper. Los atacantes involucrados con la Operación Advtravel se pueden rastrar hasta Egipto.

Sin embargo, lo que es quizás aún más interesante que cualquiera de los ataques por si solos, es que estas dos campañas estan tan estrechamente vinculadas entre sí:

• Ambos están alojados en los mismos servidores en Alemania
• Los dominios para ambas campañas han sido registrados por los mismos individuos
• Ambas campañas se pueden atar de nuevo a la actividad de Gaza, Palestina.

Por un lado, tenemos un ataque dirigido sofisticado, y por el otro un ataque menos calificado que tiene todas las características de hackers principiantes. Así que ¿por qué estos grupos trabajarián juntos?

La hipótesis de trabajo (y sujeto de investigación en curso) es que puede haber una organización global o comunidad subterránea que apoyar a los hackers árabes en la lucha contra los supuestos enemigos del Islam. Pueden hacerlo ayudando a establecer infraestructuras, sugerir objetivos y así sucesivamente.

Esta historia continua desarrollándose y será actualizada cuando haya nuevos detalles.

Fuente: The Hacker Herald

Nueva Vulnerabilidad Dia Cero (0-Day) en Adobe Flash usando Dailymotion.com En Campaña de Publicidad Maliciosa

Foto: ThreatPost

Adobe Flash Player ha visto de nuevo un exploit día cero que ha aparecido en internet debido a una vulnerabilidad crítica que permite infectar equipos con solo visitar una página web maliciosa. Los EE.UU. parece estar lleno de ataques basados en publicidad maliciosa que tiene sus fundamentos en la explotación.

Adobe Flash Player 16.0.0.296 y versiones anteriores para Windows y Mac son los sistemas afectados con Internet Explorer y Firefox en Windows 8.1 y anteriores. La vulnerabilidad ocasiona fallos del sistema y, posiblemente, permitiría a los atacantes tomar el control del sistema, dice Adobe.

Trend Micro informó que las personas que han visitado el conocido sitio "dailymotion.com" han sido redirigidos a una serie de sitios que finalmente terminan en el  URL hxxp://www.retilio.com/skillt.swf, donde el exploit está hospedado. La infección se produce automáticamente cuando los usuarios visitan el sitio. Esto es porque los anuncios están diseñados de tal manera en la que el anuncio se carga tan pronto como un sitio es visitado.
La empresa informó que la primera etapa de análisis que se produjo indicó que esto podría haber sido ejecutado por el funcionamiento del Angler Exploit Kit ya que ha habido partidos entre las técnicas de ofuscación y cadenas de infección. Asimismo, la firma dijo que hay una alta probabilidad de que esto no sólo se vio limitada a la página web Dailymotion como el contenido del sitio web no fue la razón para desencadenar la infección, sino que fue la plataforma de publicidad que fue responsable.

El ataque paso a ser algo recurrente desde al menos el 14 enero, dijo Trend Micro. Pero la situación empezó a ponerse realmente mal como 27 de enero ocupa con un aumento en los accesos a la zona afectada.

Se espera que una actualización de Flash Player para ser lanzado esta semana y que Adobe está trabajando activamente en el tema.

Esta es la tercer vulnerabilidad día cero para Flash en el mes de enero y es asombroso como el fallo anterior que infecta a cualquier versión de Internet Explorer o Mozilla Firefox en cualquier versión de Windows. De nuevo hay que subrayar que la explotación en la naturaleza se debe a la utilización de la Angler Exploit Kit que utiliza el tema en un ataque publicidad maliciosa. Angler estaba instalando el troyano Bedep. Este troyano está entonces siendo utilizado para secuestrar PC por fraude anuncio (el PC que es atacado se convierte como un zombi en la generación de botnet para conseguir clics falsos en los anuncios de los ingresos de pago por clic) y para la descarga de ransomware como CryptoLocker.

Fuente: HackRead

¿Quién ataca a quién? Rastreo de ataques en tiempo real

Pareciera que casi todos los días leemos acerca de ataques de Internet enfocados en sacar sitios fuera de línea e irrumpir en redes, pero a menudo es difícil de visualizar este tipo de actividad. En este post vamos a echar un vistazo a múltiples formas de dar seguimiento en linea en tiempo real de estos ataques y atacantes alrededor del mundo.

Un par de notas sobre estos gráficos. Muchos de los datos que alimentan estos mapas en vivo se extrae de una mezcla de objetivos reales y "honeypots", sistemas de señuelo que las empresas de seguridad despliegan para recopilar datos sobre las fuentes, los métodos y la frecuencia de los ataques en línea. Además, las organizaciones mencionadas en algunos de estos mapas como "atacantes" son típicamente sistemas comprometidas dentro de esas organizaciones que están utilizando para retransmitir los ataques lanzados desde otro lugar.
El Mapa de Amenaza Cibernética de FireEye recientemente se hizo famoso en un segmento de 60 minutos sobre ciberataques contra tiendas minoristas (retaiil) y sus sistemas de tarjetas de crédito. Este gráfico recuerda a los monitores de ICBM de NORAD, tal como se presenta en la película Juegos de Guerra (War Games) de 1984 (se supone que la asociación es intencional). No hay muchos datos en bruto incluidos en este mapa, pero es divertido de ver.

Mapa de Amenaza Cibernética de FireEye

El favorito - y tal vez con el que más fácil se pierde la mitad de su jornada de trabajo (y ancho de banda) proviene de la gente de de Nors Corp. Su mapa - IPViking - incluye una gran cantidad de datos sobre cada ataque, tal como el nombre de la organización que ataca y dirección de Internet , la ciudad y el servicio del objetivo siendo atacado, así como los países objetivo y origen más populares.

IPViking

Otro de los servicios en vivo con montones de información sobre cada ataque viene del Mapa de Ataque Digital de Arbor Networks. Arbor dice que su mapa es impulsado por datos alimentados de 270+ clientes ISP de todo el mundo que han acordado compartir las estadísticas de tráfico y ataquez anónimos. Este es un servicio realmente útil, ya que permite dar un paso atrás en el tiempo de los ataques a fechas anteriores hasta junio de 2013.

Mapa de Ataque Digital

El Mapa de Amenaza Cibernética en Tiempo Real de Kaspersky es de gran entretenimiento, y probablemente parezca más a un juego de vídeo interactivo. Debajo de este mapa caleidoscópico en 3D hay datos anónimos de varios servicios de escaneo de Kaspersky. Como tal, este mapa bastante interactivo te permite personalizar su diseño al filtrar ciertos tipos de amenazas maliciosas, tales como el malware de correo electrónico, los ataques de sitios web, análisis de vulnerabilidad, etc.

Mapa de Amenaza Cibernética en Tiempo Real

El Cyberfeed de Anubis Networks, lleva al visitante en un viaje automatizado por mundo usando algo similar a Google Earth y datos de mapas basados ​​en infecciones de las principales familias de malware conocidas. Es una idea ingeniosa, pero es más de un mapa de infección de malware que un mapa de ataques.

Cyberfeed

El proyecto Honey Map de Honeynet no es super sexy, pero sí incluye una buena cantidad de información útil acerca de las amenazas en tiempo real de los sistemas honeypot, incluyendo enlaces de análisis de malware de Virustotal para cada amenaza o ataque.

Honey Map

Adicional, los chicos de OpenDNS Labs tienen un rastreador de ataques decente que incluye algunos datos ingeniosas y gráficos.

Rastreador de Ataques

Si todos estos mapas te parecen un tanto Hollywood, entonces te encantará la sencillez y el humor detrás PewPew, que debe su nombre a los efectos de sonido añadidos. Puede que quieras bajar el volumen de tus bocinas antes de visitar este mapa (especialmente si estás en el trabajo mientras lo ves).

Fuente: KoS