Noticias de actualidad informática

[True_Detective]

Campaña Malvertising Pop-Under Entrega CryptoWall Via el Kit Exploit Magnitud

Los operadores del Kit Exploit pueden distribuir diferentes piezas de malware.

Una campaña de publicidad maliciosa descubierta por los investigadores de Malwarebytes aprovecha los anuncios pop-under distribuidos a través de la red de publicidad Popcash para infectar ordenadores con CryptoWall y posiblemente otros tipos de malware.

A diferencia de los pop-ups o anuncios regulares incrustados en las páginas web, los pop-unders son más difíciles de notar, ya que se cargan en una pestaña del navegador. Esta particularidad, sin embargo, no es relevante para las infecciones que se producen a través de los ataques llamados drive-by download por publicidad maliciosa.

El Exploit Kit Magnitud EK explota Flash, entregando CryptoWall mediante Necurs dropper

Según Jerónimo Segura de Malwarebytes, los ciberdelincuentes utilizan la herramienta de ataque Magnitud basada en la web para ofrecer exploits para Internet Explorer y Flash Player (CVE-2015-3090) los cuales a su vez descargan malware.

Segura dice que Necurs dropper, agrega una variante del infame cripto-malware CryptoWall en el sistema comprometido. El investigador señala que el operador del kit exploit no sólo se limita a la distribución de estas piezas de malware sino que envía otras amenazas que pueden ser enviados a los ordenadores vulnerables.

Una vez más, la responsabilidad cae sobre los hombros de los usuarios para garantizar la seguridad del sistema, mediante la instalación de las últimas versiones de Flash Player e Internet Explorer.

Vale la pena señalar que Chrome e Internet Explorer (en Windows 8 en adelante) reciben parches para el plugin de Adobe automáticamente. O en su defecto actualizara manualmente los programas, si el mecanismo de actualización automática no está habilitada.

Un esfuerzo conjunto es necesario para evitar incidentes de Malvertising

Con CryptoWall instalado en el equipo, los usuarios sin copias de seguridad de sus archivos no tienen ninguna posibilidad de recuperar sus datos de nuevo sin tener que pagar el rescate impuesto por los ladrones. Segura dice que la tarifa se establece entre $ 500 / € 440, un precio que no muchos son capaces de pagar.

"Pagar el rescate es una medida desesperada para recuperar esos archivos importantes, según los entendidos, sino que también mantiene este tipo de delito como floreciente", advierte el investigador, haciéndome eco de la recomendación a largo tiempo de los expertos en seguridad , usted no debe pagar.

La lucha contra la publicidad maliciosa requiere de un esfuerzo colectivo de editores, redes de anuncios y visitantes. Los editores deben seleccionar cuidadosamente sus socios, las redes deben asegurarse de que el código que entrega esté limpio y los usuarios de mantener sus programas actualizados, esta es la receta para protegerse contra este tipo de riesgos.

Fuente: Softpedia

Y se dan casos que despues de haber pagado siguen sin poder recuperar los archivos encryptados. Por eso siempre se recomienda tener copia periodica de seguridad de los datos y nunca pagar.

Enviado desde mi GT-I9300 mediante Tapatalk

 

[Bronce]

Adobe repara vulnerabilidad de día cero en Flash Player utilizado en ataques dirigidos

La vulnerabilidad ha sido aprovechada por un grupo dedicado al ciber espionaje en China durante varias semanas, según afirma la firma de seguridad FireEye.

Adobe Systems lanzó una actualización de emergencia para Flash Player el día martes para solucionar una vulnerabilidad crítica que ha sido aprovechada por un grupo de ciberespionaje en China.

En las últimas semanas, un grupo de hackers identificado como APT3 por la empresa de seguridad FireEye ha utilizado la vulnerabilidad para atacar a las organizaciones de la industria aeroespacial, defensa, construcción, ingeniería, tecnología, telecomunicaciones y las industrias de transporte.

El grupo de hackers atacaban a las empresas con correos electrónicos de phishing genéricos que contenían un enlace a un servidor comprometido, según los investigadores de FireEye en un post de su blog el día martes. El servidor utilizaba código JavaScript según el perfil de las víctimas potenciales y luego servía el exploit para flash a los que cumplían los criterios de los atacantes, dijo la compañía.

Los atacantes utilizaron el exploit para instalar un backdoor conocido como SHOTPUT o CookieCutter y luego recorría la red de la organización, utilizando otras técnicas y vulnerabilidades para comprometer sistemas adicionales.

Con el fin de protegerse contra esta vulnerabilidad, que es señalado como CVE-2015-3113, Adobe informa a los usuarios actualizar a las versiones más recientes de Flash Player: 18.0.0.194 para Windows y Mac, 11.2.202.468 para Linux y 13.0.0.296 para la versión de soporte extendido.

El plug-in de Flash Player que se instala por defecto con Google Chrome e Internet Explorer en Windows 8.x se actualizará automáticamente. Y los usuarios de Windows o Mac que han seleccionado "permitir a Adobe instalar las actualizaciones" también recibirán la actualización automáticamente.

APT3 es un grupo sofisticado conocido que utiliza vulnerabilidades de día cero en el navegador para Internet Explorer, Firefox y Flash Player según FireEye. El grupo también utiliza puertas traseras personalizadas y cambia a menudo la infraestructura del comando y control, lo que hace que sea difícil para los investigadores realizar un seguimiento de su actividad.

Fuente: Infoworld

 

[Bronce]

Malwarebytes adquiere Junkware Removal Tool

Malwarebytes, creador de la popular aplicación de seguridad Anti-Malware y herramienta anti-Exploit para el sistema operativo Windows, anunció el día lunes la adquisición del programa Junkware Removal Tool de su desarrollador Filipos Mouliatis.

Junkware Removal Tool es un programa gratuito para Windows que ha sido específicamente diseñado para detectar y eliminar los llamados PUPs (programas potencialmente no deseados). Es una herramienta en línea de comandos que puede parecer anticuada a primera (y segunda) vista pero es bastante potente a la hora de detectar y eliminar barras de herramientas y otros programas no deseados de los sistemas Windows.

El programa se encarga de los programas no deseados automáticamente, eliminando sus archivos, servicios, procesos, los plug-ins y Add-ons del navegador y las entradas del registro automáticamente.

La mayoría de antivirus y productos deseguridad que producen productos para los usuarios finales han puesto su atención recientemente en los PUPs, que se han convertido en lo más común y generalizado.

El auge de la adición en los programas descargados de portales populares de software es por ejemplo un fuerte factor que contribuye al aumento y la creciente demanda de soluciones que permitan detectar, bloquear y eliminar el software no deseado en máquinas con Windows.

Malwarebyte Anti-Malware apoya la detección y eliminación de programas potencialmente no deseados aunque para algunos su función de limpieza es aceptable, aún no es una solución del todo práctica y nunca ha sido ese su función más resaltante.

La empresa quiere integrar los fragmentos del código de Junkware Removal Tool, especialmente en las definiciones del programa y en las instrucciones de eliminación en los productos existentes en el transcurso de los próximos meses.

El programa Anti-Malware probablemente se actualizará ya que es el producto principal de la empresa.

Teniendo en cuenta que Junkware Removal Tool ha sido diseñado para exactamente ese propósito, es probable que la integración mejorará las capacidades del Anti-Malware significativamente en este sentido.

La compañía no sólo adquirió el programa sino que también contrató al desarrollador así que él trabajará en la detección de PUP y su eliminación en Malwarebytes.

Malwarebytes señala que aún estará disponible Junkware Removal Tool . Sin embargo no está claro si la herramienta recibirá actualizaciones en el futuro o será liberada por su creador en una versión final.

Fuente: Ghacks

 

[Bronce]

Un fallo en Internet Explorer permite a los atacantes acceder a la memoria del ordenador

• Afecta a cualquier versión de 32 bits y facilita a los atacantes acceder a la memoria del ordenador, por lo que se aconseja emplear un navegador alternativo.
• Según 'Zero Day', Microsoft no va a parchear este fallo de seguridad, puesto que considera que está solucionado con la versión actualizada de 64 bits.

El Instituto Nacional de Ciberseguridad (Incibe), con sede en León, ha alertado este martes de un fallo de seguridad que afecta potencialmente a cualquier versión de 32 bits de Microsoft Internet Explorer.

Ha precisado que investigadores de la iniciativa Zero Day (ZDI) de la empresa tecnológica HP han divulgado la existencia de un fallo de seguridad que afectaría a todas las versiones de 32 bits del popular navegador de Microsoft.

El Incibe ha advertido de que el fallo de seguridad puede ser aprovechado por un atacante para acceder de una manera más sencilla a la memoria del ordenador y, desde ese acceso, realizar algún tipo de actividad maliciosa.

Las recomendaciones para prevenir este fallo de seguridad en los usuarios son comprobar en las características del ordenador si utiliza una arquitectura de 32 bits o de 64 bits (estos bits tienen que ver con el diseño de la memoria de cada ordenador).

Pasos a seguir

Para ello, hay que hacer clic sobre el icono 'Mi equipo' y a continuación pulsar el botón derecho del ratón. En la nueva ventana que aparece, se debe seleccionar la opción 'propiedades', donde se podrá ver en el apartado 'sistemas' si la arquitectura del ordenador es 32 bits o 64 bits.

Para quienes estén utilizando un ordenador que funciona con una arquitectura de 32 bits, la recomendación es dejar de navegar con Internet Explorer y emplear un navegador alternativo. El fallo de seguridad reportado permitiría que un virus llegara con más facilidad a hacer uso de la memoria del ordenador.

Respecto a la solución, según informan desde la iniciativa Zero Day (ZDI), Microsoft como fabricante del navegador Internet Explorer ha comunicado que no va a parchear este fallo de seguridad en la versión de 32 bits, puesto que considera que está solucionado en la versión de Internet Explorer que ya va instalada en sus versiones actuales del sistema operativo Windows, la versión de 64 bits.

Fuente: 20minutos.es

 

[Bronce]

Movistar alerta de un nuevo virus enviado en un e-mail sobre su factura sin papel

La operadora Movistar está avisando a sus clientes a través de los foros oficiales acerca de un nuevo correo electrónico fraudulentoque se estaría enviando desde una cuenta de correo perteneciente a Telefónica realizada por responsables ajenos a la compañía. Este correo incluye un archivo con extensión zip que esconde un virus para infectar nuestro sistema.

El envío de spam o correo electrónico fraudulento está a la orden del día y cuando el gancho utilizado para hacernos caer en la trampa es la imagen de una importante empresa, se multiplican los riesgos para que nuestro equipo quede infectado con algún tipo de malware. El último caso de este tipo de ataques informáticos ha sido alertado en los foros de la compañía Movistar, quien también mediante redes sociales ha dado la voz de alarma sobre este virus enviado desde la cuenta “clientes@comunicacion.movistar.es”.

Los usuarios podrían recibir en su bandeja de entrada un correo con el motivo “Facturas Sin Papel: sus últimas facturas ya están disponibles” y acompañando al supuesto e-mail informativo, encontraríamos adjunto un archivo zip de 165 KB de peso que escondería un virus en su interior. Movistar ha querido dejar claro que este e-mail no se corresponde con las comunicaciones que normalmente suele hacer a sus clientes, a pesar de que el correo electrónico remitente pertenece a Telefónica, ya que los responsables de dicho envío son ajenos a la operadora.

Dentro del mencionado archivo se encuentra un archivo ejecutable con el que se puede infectar el ordenador mediante un virus si lo descargamos y abrimos. La compañía recomienda eliminar el correo sin llegar a abrirlo para evitar cualquier tipo de riesgo para el sistema informático, asegurándonos de no abrir el archivo que se acompaña. Tanto el remitente como el aspecto del correo electrónico pueden inducir al engaño al hacernos creer que se debe a un servicio facturado erróneamente o bien a una consulta que hayamos podido hacer o solicitar en algún momento previo.

Consulta la factura electrónica de Movistar en su web o app

Si queremos consultar la factura electrónica de nuestro servicio de telecomunicaciones contratado con la operadora Movistar, podremos hacerlo bien mediante la aplicación móvil disponible o bien a través del área de clientes de su web, accediendo con nuestras credenciales personales. Como ya os hemos dicho en alguna ocasión, es importante comprobar bien el tipo de mensaje que recibimos en nuestra bandeja de entrada para evitar caer en casos de phising o correos fraudulentos a pesar de que a primera vista parezca que el e-mail pueda parecer verídico.

Fuente: adslzone.net

 

[Bronce]

Utilizan Adf.ly para distribuir malware entre los usuarios

Los servicios que ofrecen publicidad en páginas web siempre se encuentran en el punto de mira de ls ciberdelincuentes, siendo a día de hoy una de las mejores vías para alcanzar el mayor número de los usuarios y distribuir malware. Primero fue Google Adsense el utilizado y en esta ocasión es el servicio Adf.ly el que se ha visto afectado.

Expertos en seguridad han detectado que ciertos anuncios disponibles lo que hacen es redirigir al usuario a ciertas páginas donde se encuentra disponible el exploit HanJuan. Aunque no se conocen muchos detalles sobre este, parece que utiliza vulnerabilidad disponibles en los navegadores de Internet y complementos para realizar la descarga en el equipo de un ejecutable que contiene un malware que posteriormente se encargará de robar información del equipo del usuario.

Concretamente, el virus informático busca el robo de las credenciales de acceso de los servicios que el usuario hace uso en el equipo infectado.

Dos de las vulnerabilidades que utiliza son la CVE-2015-0359, perteneciente a Adobe Flash Player y la CVE-2014-1776 de Internet Explorer. Ambas aplicaciones poseen actualizaciones que resuelven estos problemas, sin embargo, poco son los usuarios que han realizado el proceso.

Tinba es el troyano que se distribuye haciendo uso de Adf.ly

Con respecto al malware distribuido, hay que decir que ya es conocido por la amplia mayoría de usuarios de nuestro portal y que ya tiene varios años de antigüedad. Tiny Banker (o Tinba) es uno de los troyanos bancarios más utilizados por los ciberdelincuentes. Cuando este se instala en el sistema utiliza el proceso explorer.ex para inyectar de forma satisfactoria código en Firefox, Google Chrome o Internet Explorer. Esto permitirá al virus informático monitorizar la actividad del usuario y recopilar las credenciales de acceso introducidas por el usuario.

Redes sociales, cuentas de entidad de banca en línea, servicios de mensajería, y así hasta confeccionar una larga lista de servicios que podrían verse afectados.

Fuente: redeszone.net

 

[Bronce]

Kaspersky pone en funcionamiento en Facebook una aplicación para comprobar si nuestro equipo posee malware

Hace unos días hablábamos de un reconocimiento de los usuarios en las imágenes aunque su rostro esté cubierto y hoy otro avance más relacionado con la seguridad: un escaneo del equipo gracias a Kaspersky. Sin lugar a dudas en la red social Facebook están trabajando duro y esta nueva función es una muy buena noticia para los usuarios.

Esta función solo está disponible cuando el equipo de seguridad de la madre de las redes sociales ha detectado una actividad sospechosa en la cuenta, como por ejemplo, la publicación masiva de mensajes con enlaces páginas web maliciosas. Una vez detectado el problema, se impide que el usuario inicie sesión con normalidad y se obliga en primer lugar a que el usuario pase una serie de controles, o mejor dicho, el equipo desde donde ha iniciado sesión.

Es algo que los usuarios demandaban desde hace mucho tiempo y que puede evitar que las cuentas se utilicen para finalidades ilícitas, una práctica que resulta bastante frecuente hoy en día y de la que muchos usuarios no son conscientes.

Facebook analizará tu equipo en busca de malware

Aquí es donde entra en juego la utilidad desarrollada por Kaspersky. Al acceder a realizar el escaneo al usuario le aparece la siguiente ventana en su navegador:

El escaneo invierte bastante tiempo por lo que desde la red social piden a los usuarios paciencia. A medida que se detecten problemas se ofrecerán instrucciones a los usuarios para resolver cada uno de forma individual.

Desde Kaspersky han hablado sobre la utilidad y han confirmado que posee una eficiencia muy alta y unos resultados fiables que ayudarán al usuario a eliminar de su equipos los posibles problemas de seguridad existentes.

En Facebook están siguiendo la política de ofrecer al usuario el máximo de servicios posibles para evitar que tengan que acudir a otros para encontrar lo que necesitan.

Fuente: redeszone.net

 

[Bronce]

Malwarebytes ofrece 12 meses de su producto antimalware premium gratis a los usuarios con claves piratas o que han sido estafados

Malwarebytes, una empresa de seguridad conocida por su producto Malwarebytes Anti-Malware (MBAM), ha debutado un programa de Amnistía para los usuarios de Windows. Si Malwarebytes Anti-Malware ha sido pirateado con un keygen, o se obtuvo una versión falsificada del software, o tiene problemas con su clave en general, la empresa está ofreciendo una clave de reemplazo de forma gratuita.

Malwarebytes ofrece una amplia variedad de soluciones de seguridad, incluyendo un producto antimwalware gratuito para usuarios domésticos. La versión premium tiene un costo de $24,95 por un año y puede ser utilizado en hasta tres ordenadores.

El programa de Amnistía es para clientes Premium de Malwarebytes Anti-Malware "que han sido afectados por la piratería o por abuso de esta". La nueva clave que recibirá será en exclusiva para usted mientras la anterior "dejará de trabajar después de un período de tiempo."

Aproveche la oferta, y ejecute Malwarebytes Anti-Malware Premium y elija una de las dos opciones la que mejor describa cómo obtuvo su clave:

• "No estoy seguro donde me dieron mi clave y la he descargado de Internet" o
• "Compré mi clave".

Para los primeros, Malwarebytes le expedirá una nueva clave que será 12 meses gratis para Malwarebytes Anti-Malware Premium. Y para los segundos, Malwarebytes emitirá una clave de reemplazo que tendrá la misma duración que su clave original.

No todos están contentos con este arreglo. Al menos un cliente ha escrito su queja en el foro de Malwarebytes pidiendo la devolución de su dinero.

En un post, el CEO Marcin Kleczynski explica el razonamiento detrás del programa:

Cuando empecé con Malwarebytes, absolutamente no tenía idea de lo exitoso que sería hoy en día. Estoy sumamente agradecido por todo el apoyo de todo el mundo y por lo rápido que hemos crecido. Elegí un algoritmo para la clave de licencia muy insegura y como tal, generar una clave pirateada fue muy sencillo.

El problema con las claves piratas es que pueden chocar con una clave legítima sólo por los números generados. Por ejemplo, Larry puede generar una clave pirateada que coincide con la clave exacta que he comprado. Sí, es tonto y sí, esto es, literalmente, lo que primero debe pensar una empresa de software profesional para la generación de sus claves de licencia antes de crearlas, pero cuando crees que estás creando un producto para muy pocas personas no tomas muy en cuenta estos detalles para crear los hashes.

Ahora hemos crecido y tenemos un nuevo sistema de licencias que avanzada en varias etapas. El único problema es que tenemos millones de usuarios al cual hemos vendido claves, y a su vez los distribuidores venden más claves a las cuales no les hemos seguido las pistas. Es un lío, y usted como consumidor tiene todo el derecho de estar molesto.

La primera etapa de este programa es recopilar los datos de nuestros usuarios. Cuáles aún están vivas, y cuáles de estrás, están siendo utilizadas. Si eres un pirata, con una clave de más de un año ahora tendrás la oportunidad de usar una de sólo un año de Malwarebytes. Ojalá pudiéramos manejar cada una de las claves manualmente y determinar cuáles si son legítimas, pero hay decenas de millones de estas y tenemos que automatizar el proceso para quitar algunas. Después de quitarlas, un usuario tendrá que seleccionar una opción, a través de las sugerencias de la aplicación manualmente.

Una vez más, sé que esto no es excusa para aquellos que se sienten engañados porque compraron el software. Quizás pudiera ofrecerles por el inconveniente unas camisetas, o una copia gratuita del programa anti-exploits de Malwarebyte a medida que continúen con nosotros y nos apoyen en este proceso.

En definitiva, Malwarebytes quiere modernizar su sistema de licencias porque el actual está obsoleto y no realiza un seguimiento adecuado de los clientes legítimos. En el proceso, la empresa espera convencer a los que pagaron por una clave existente o que no pagaron en absoluto por ella regalarles una suscripción de un año.

Es un paso audaz y que sólo podría resultar en nuevos clientes fieles al producto.

Fuente: Venturebea

 

[Bronce]

Utilizan una vulnerabilidad de Adobe Flash Player para distribuir CryptoWall

Las vulnerabilidades en este software se encuentran a la orden del día y el usuario debe estar muy atento a las actualizaciones para mantener su equipo con las últimas versiones. Los ciberdelincuentes aprovechan cualquier oportunidad para distribuir malware y una de estas vulnerabilidades de Adobe Flash Player sirve para instalar CryptoWall en los equipos de los usuarios.

La catalogada como CVE-2015-3113 se detectó a mediados de este mes y el día 23 la compañía se vio obligada a publicar una actualización urgente para resolver el desbordamiento del buffer. Expertos en seguridad descubrieron que desde hace al menos un mes la inteligencia china estaba utilizando este fallo de seguridad para espiar a determinadas organización y compañías. Ahora se ha demostrado que este también sirve a los ciberdelincuentes para distribuir malware entre los usuarios, concretamente una variante de CryptoWall.

Un archivo SWF seguido de un FLV es la vía para explotar esta vulnerabilidad y conseguir que el ejecutable llegue al equipo del usuario. Google Chrome, Firefox, Internet Explorer o Safari están expuestos ante este problema de seguridad.

Más complicado lo tienen los usuarios de los sistemas operativos Mac OS X, ya que Apple debe revisar la actualización y aún pueden transcurrir varios días o incluso semanas hasta que finalmente sea aprobada, algo que no sucede en Windows o Linux.

Dos vulnerabilidades de Adobe Flash Player y el respaldo de un codec

Aunque los expertos en seguridad aún desconocen la metodología para crear el exploit que se aprovecha de esta vulnerabilidad, todo parece apuntar (o al menos de momento) que jugaría un papel muy importante otra catalogada como CVE-2015-3043 y que fue descubierta en el mes de abril.

Esto nos dibujaría un boceto del bajo grado de actualización que posee este software entre los usuarios a nivel mundial. Con las dos vulnerabilidades citadas con anterioridad y un codec que permite la aparición del desbordamiento del buffer, sería más que suficiente para los ciberdelincuentes para hacer llegar este malware al equipo del usuario.

CryptoWall y el cifrado de los datos del disco

No necesita carta de presentación y la mayoría de los usuarios son conscientes de las características de este. El cifrado de datos es la única función que posee, además de la solicitud de cierta cantidad de dinero para recuperar el acceso a los archivos.

Fuente: redeszone.net

 

[Bronce]

Si se instala Java sin cuidado se podría terminar usando el buscador de Yahoo!

Marissa Meyer, CEO de Yahoo! anunció un acuerdo con Oracle que, si no nos fijamos, nos haría cambiar nuestro buscador de preferencia en el navegador web.

Seguramente en más de una ocasión, mientras actualizaban Java, apareció una opción que les ofrecía instalar la barra de herramientas de Ask.com. Si ponían atención, quitaban la palomita rechazando la oferta. Sino, bueno, una nueva y molesta barra aparecería en su navegador. Algo similar está a punto de suceder, pero con Yahoo.

De acuerdo a la misma Yahoo, "nos hemos asegurado que el proceso sea altamente transparente y les demos a los usuarios la opción de elegir". Habrá que ver que tan claro es el proceso cuando se instale o actualice Java, para omitir -o aceptar- que Yahoo tome posesión de nuestras búsquedas.

Este tipo de prácticas, no son exclusivas de Ask o Yahoo. Microsoft las ha usado por años en sus productos y hasta Google ha tenido alguna cosa que ver. Solo me resta decir, presten atención a todos esas opciones que aparecen cuando instalan algo en su PC. Más vale hacer las cosas con calma a que por las prisas, terminemos con cosas que no queremos.

¿Cómo evitar que Yahoo! sea el buscador por defecto?

Si al instalar Java se nos establece como página de inicio y buscador por defecto Yahoo! podemos corregirlo fácilmente. Tan solo tenemos que cambiar el buscador por defecto del navegador y la página de inicio.

La otra forma más sencilla es evitar que esto ocurra durante la instalación o actualización de Java. Así en el asistente de instalación cuando vemos una casilla de “Establecer Yahoo como página de inicio y buscador por defecto en Chrome, Internet Explorer, además de nueva pestaña en Chrome”, desmarcamos esta antes de pulsar “Siguiente”.

Fuente: Fayerwayer

 

[Bronce]

Download.com ya no instala adware junto a las descargas

Empezando por Softonic y continuando con cientos de páginas web similares como Download.com y SourceForge existen cientos de páginas web desarrolladas para concentrar prácticamente todo el software que existe en la red y permitir a los usuarios buscar y descargar aplicaciones fácilmente, aunque a cambio de un precio. El precio que estas webs ponen a sus descargas es un “downloader” que a la vez que descarga e instala la aplicación que hemos buscado llena nuestro sistema de software no deseado que en segundo plano remunera a los administradores de los portales.

Algunos portales de descargas como Softonic, por ejemplo, están eliminando poco a poco las descargas de software no deseado para recuperar la confianza de sus usuarios. Recientemente, tal como podemos leer en gHacks, el conocido portal de descargas Download.com también ha decidido eliminar el adware de su plataforma y redirigir a los usuarios directamente a las descargas oficiales sin pasos intermedios.

En estas webs de descargas por lo general solemos encontrarnos con un botón de descarga grande que nos lleva directamente a la aplicación de la plataforma desde donde descargaremos el software deseado junto al adware. Por debajo de dicho botón, mucho más pequeño y escondido podremos ver otro enlace que nos lleva directamente a la web oficial del software, desde donde podemos descargar la aplicación limpia de software no deseado.

Si entramos ahora en el portal de Download.com veremos que sólo nos aparece un botón de descarga, y no aparecerá ningún enlace más. Si pulsamos sobre él descargaremos la aplicación desde los servidores de Download.com pero libre de adware y cualquier tipo de software no deseado.

¿Por qué los portales de descargas están eliminando el adware?

Google quiere que Internet sea un lugar seguro y limpio. Por ello en su buscador sanciona a los portales que contienen adware, software no deseado y malware. Igualmente el navegador Google Chrome ha empezado a mostrar una ventana roja de advertencia cuando los usuarios accedían a estos portales, lo que ha hecho que el tráfico de estas webs haya disminuido radicalmente.

Con el fin de recuperar el tráfico perdido y la confianza de los usuarios finalmente quieren dar un cambio en su modelo de negocio y buscarán otras formas de obtener ingresos que no sea a costa de la seguridad y privacidad de sus usuarios.

SourceForge, el gran criticado

SourceForge es un portal conocido por albergar una gran cantidad de proyectos de código abierto. Hace varias semanas los desarrolladores introdujeron un nuevo sistema de descargas sin permiso de los desarrolladores que instalaba software no deseado en los sistemas de los usuarios y que el 100% de la recaudación se quedaba en SourceForge, los desarrolladores no veían ni una parte de dichos ingresos.

Muchos programadores han eliminado sus proyectos de dicho portal (Gimp, por ejemplo) y aunque desde SourceForge se han visto obligados a dar marcha atrás por las críticas de la comunidad difícilmente recuperará a los usuarios y programadores perdidos.

Poco a poco el software no deseado y el adware desaparecerá de la red, aunque para ello aún queda un largo camino por delante. Por ello siempre os recomendamos descargar las aplicaciones desde las páginas web oficiales de los desarrolladores ya que así nos aseguramos de no descargar software no deseado y de tener siempre las versiones más actualizadas del software.

Fuente: redeszone.net

 

[Bronce]

Un exploit 0-day para Magento permite robar datos bancarios de las tiendas online

Magento es una plataforma de comercio electrónico de código abierto propiedad de eBay que permite crear fácilmente tiendas online de forma gratuita donde los usuarios puedan vender cualquier tipo de contenido. Las tiendas online mueven a menudo un gran número de datos bancarios de sus clientes, por lo que deben tener activadas una serie de medidas de seguridad que eviten la fuga no autorizada de información y permitan a los clientes tener cierta confianza a la hora de introducir sus datos bancarios en ella.

Recientemente se ha podido conocer que un grupo de piratas informáticos está utilizando un exploit zero-day que aprovecha una vulnerabilidad (hasta ahora desconocida) para desviar la información bancaria de los clientes de tiendas basadas en Magento hacia sus propios servidores.

Expertos de seguridad están estudiando el exploit, aunque a primera vista lo que parece es que este consigue inyectar código malicioso en el archivo base de Magento o en alguno de los módulos para conseguir así acceder a la información bancaria de los clientes.

Lo más probable es que en los próximos días se pueda conocer más información sobre la vulnerabilidad y que los responsables del desarrollo publiquen una actualización que evite que se sigan robando datos bancarios en las tiendas online. Será responsabilidad del administrador de la tienda el actualizar su plataforma a la última versión para proteger lo mejor posible a sus clientes.

No es el primer ataque contra Magento

Este no es el primer fallo aprovechado por piratas informáticos. El pasado mes de abril una vulnerabilidad permitía ejecutar código remoto en los servidores que ejecutaban Magento de manera que los piratas informáticos podían obtener acceso a los datos de las tarjetas de crédito de los clientes y otra información financiera así como a la información personal de los clientes.

Más de un millón de sitios web utilizan Magento como base, por lo que las proporciones de este ataque son enormes. Por desgracia los usuarios no pueden saber que han sido víctimas de un robo hasta que sea ya demasiado tarde, por lo que es recomendable mantener siempre un control sobre los movimiento de nuestras cuentas y si detectamos alguno sospechoso debemos acudir a nuestra entidad bancaria lo antes posible para bloquear la tarjeta, poner la denuncia correspondiente y bloquear el pago a la espera de que si hay suerte podamos recuperar la totalidad o al menos una parte del dinero.

Fuente: redeszone.net

 

[Bronce]

OpenDNS pasa a formar parte de Cisco

OpenDNS es una empresa de seguridad conocida por empresas y usuarios especialmente por su proveedor de servicios DNS que ofrece a los usuarios una serie de servidores de nombre de dominio gratuitos como alternativa a los servidores de los proveedores de Internet y a los servidores del gigante Google. Desde esta compañía también trabajan, especialmente de cara a empresas, por mejorar la seguridad de las conexiones a Internet para bloquear e incluso prevenir ataques que aún no han empezado.

Dentro de OpenDNS existen una serie de servicios especializados en la seguridad informática, tanto para usuarios (por ejemplo ofrece servidores DNS con protección contra ataques informáticos) como para empresas, ya que analizando la red es capaz de predecir complejos ataques informáticos dirigidos. Esto último es lo que ha llamado la atención al gigante Cisco, quien ha llegado a un acuerdo de 635 millones de dólares para comprar este proveedor de servicios DNS.

Uno de los elementos decisivos de la compra ha sido NLPRank, una tecnología lanzada a principios de año capaz de identificar ataques de red y phishing simplemente analizando y estudiando los patrones del tráfico DNS que se genera en la red.

Desde hace tiempo Cisco busca la forma de proteger cualquier tipo de dispositivo en cualquier lugar, especialmente con el auge del concepto “Internet de las cosas“, con el que prácticamente cualquier electrodoméstico estará conectado constantemente a la red. Actualmente más de 40.000 dispositivos se conectan a Internet desde cualquier lugar, por lo que se necesitan grandes infraestructuras y tecnologías para poder protegerlos de las amenazas, que cada vez son más complejas y potentes.

Según los responsables de OpenDNS la decisión de vender la compañía a una gran multinacional como Cisco va a permitirles mejorar la seguridad, mejorar los equipos y desarrollar e implementar nuevas e increíbles tecnologías a sus servicios.

Los empleados actuales de OpenDNS pasarán a formar parte del “Security Business Group” de Cisco, por lo que seguirán trabajando en la compañía tanto en el ámbito de seguridad como en mantenimiento de diferentes servicios, por ejemplo, los DNS. Por el momento Cisco ha confirmado que no va a cancelar ninguno de los servicios que ofrece la compañía. Esto significa que los servicios de DNS abiertos y gratuitos seguirán funcionando con normalidad tras la venta.

Fuente: SecurityWeek

 

[Bronce]

Dino, el spyware francés desarrollado para espiar a objetivos importantes

Cada día se crea un gran número de malware de todo tipo, cada vez más y más complejo. Los piratas informáticos son cada vez más profesionales y programan sus piezas de software de forma silenciosa para evadir las protecciones y evitar ser detectados por las empresas de seguridad, quienes están constantemente mejorando su software y optimizando sus técnicas de detección y eliminación de malware para poder ir un paso por delante de estos piratas, aunque cada vez es más difícil adelantar ese paso.

La empresa de seguridad Eset ha analizado un nuevo software espía que ha empezado a trabajar de forma oculta en la red. Este software, llamado Dino ha sido desarrollado por el grupo de piratas informáticos “Animal Farm“, quienes anteriormente ya han desarrollado otras piezas de malware conocidas como Babar (una completa plataforma de espionaje),Bunny (una puerta trasera) y Casper (un software sencillo de análisis de sistemas). Dino comparte con estos anteriores una parte considerable de código y en las primeras versiones analizadas el servidor de comando y control era el mismo que el de los 3 malwares anteriores.

Se cree que el malware tiene un origen francés ya que muchas variables y los datos del sistema donde fue compilado están configurados en francés. Aunque por lo general los piratas informáticos suelen eliminar estos datos para dificultar aún más el rastreo del software malicioso, en esta ocasión los datos han quedado guardados junto al programa.

Algunos de los comandos funcionales de Dino son:

• sysinfo: Muestra la información del sistema de la víctima.
• conf: Muestra y actualiza los módulos del malware (actualización remota).
• wget: Descarga un archivo desde el servidor de control al sistema de la víctima.
• showip: Muestra la IP del sistema infectado.
• search: Permite buscar prácticamente cualquier elemento en el sistema de la víctima.
• !<comando>: Permite ejecutar comandos de CMD.

También se ha podido ver que algunas partes del código hacen referencia a un directorio llamado “arithmetique”, palabra francesa que se traduce como “aritmética”.

Como hemos dicho Dino es un software espía destinado a objetivos importantes. Se cree que los piratas informáticos utilizaron en un primer lugar un software mucho más sencillo como Casper para analizar a sus víctimas y, una vez identificadas se procedía a instalar Dino en sus sistemas para empezar un espionaje mucho más en profundidad.

Dino ha sido programado en C++ con las ideas bien puestas. Este software espía prácticamente no deja ningún rastro en los sistemas de las víctimas. El binario de Dino muestra una especial delicadeza durante el desarrollo, desde la creación de estructuras de datos personalizadas hasta un sistema de archivos propio.

Al igual que con el resto del malware de Animal Farm se demuestra que los piratas informáticos de este grupo son desarrolladores profesionales y con notable experiencia. Pese a ello estos piratas informáticos no están al día de las medidas anti-análisis que suelen aplicar otros piratas informáticos, por ejemplo, eliminando los datos de región o del sistema donde se ha compilado el malware.

Fuente: WeLiveSecurity

 

[Bronce]

Detectan una página web falsa de verificación de cuentas de Twitter

El robo de cuentas de redes sociales continúa siendo una de las acciones más practicadas por los ciberdelincuentes. Una prueba de ello es la última estafa que ha sido detectada y que utiliza la imagen de la red social Twitter para engañar a los usuarios y redirigirlos a una página falsa para confirmar su cuenta.

Se desconoce cuánto lleva activa la estafa, sin embargo, lo que sí se ha podido confirmar es el número de visitas que ha tenido la web el pasado mes, situándose en 17.000. Estas podrían convertirse en 17.000 víctimas potenciales cuyos credenciales habrían sido robados.

Cuando hablamos de verificación en este caso no es la de la pertenencia de una cuenta a un usuario sino de que tu nombre de usuario quede verificado en la red social y sea considerado como único, algo que ya s ha aplicado a algunos perfiles de personajes famosos o de sitios web de temática variada.

Además del nombre de usuario y la contraseña de acceso, parece bastante probable que los usuarios que hayan caído en el engaña hayan perdido cierta cantidad de dinero.

Verificar un perfil de Twitter pagando 4,5 euros

A la hora de realizar la verificación al usuario además de las credenciales se le pide abonar una cantidad de dinero que se realiza mediante un TPV virtual, disponible hoy en día en muchas tiendas en línea.

Sin embargo, el pago no sirve de nada ya que en realidad es una estafa que solo pretende robar las cuentas de los usuarios y acompañar este con una pequeña cantidad de dinero.

Los expertos en seguridad estiman que al menos 3.000 usuarios acceden a la página a lo largo de una semana y que esta sigue estando disponible en el momento de la redacción de esta noticia, aunque es probable que Twitter realice movimiento necesarios para que se lleve a cabo su cierre.

Fuente: Softpedia

 

[Bronce]

Aparece un nuevo malware cada 18 segundos para dispositivos móviles

Prácticamente todos solemos instalar un antivirus y un firewall en nuestro ordenador convencional para evitar que este sea víctima de un ataque informático y podamos acabar infectados por un virus. El uso de dispositivos móviles es cada vez mayor llegando muchos usuarios incluso a dejar de lado el PC, por lo que los piratas informáticos cada vez muestran un mayor interés en este tipo de dispositivos y en los beneficios que les pueden aportar.

Durante el primer trimestre de 2015 se han registrado más de 440.000 nuevas piezas de malware para dispositivos móviles, alrededor de 5000 nuevos malwares cada día. Si comparamos estos resultados con los registrados durante el último trimestre de 2014 se puede ver un aumento del 6.4% en cuanto al nuevo malware desarrollado para dispositivos móviles. Si se comparan los resultados con el primer trimestre de 2014, sólo con un año de diferencia, el aumento de la creación de malware alcanza el 21%.

Android es el sistema operativo móvil más utilizado, tanto en smartphones como en tablets. Por ello la mayor parte del software malicioso se desarrolla para él. Cada 18 segundos se descubre una nueva aplicación maliciosa para Android, y del total el 50% tienen una motivación financiera directa centrándose en el robo de datos bancarios y en el desvío de transacciones financieras, ya que cada vez los smartphones son más utilizados para todo tipo de consultas y transacciones bancarias.

Por el momento no se han publicado los datos de malware correspondientes al segundo trimestre de 2015, aunque lo que sí es seguro es que desde ahora hasta finales de año el malware móvil seguirá en aumento y se empezarán a desarrollar nuevas piezas de software no deseado para otros dispositivos aprovechando el auge que está teniendo el “Internet de las cosas”.

Los sistemas informáticos convencionales no están exentos de malware

Aunque el malware crece exponencialmente para dispositivos móviles, los ordenadores y los sistemas convencionales no quedan en el olvido para los piratas informáticos.

Como ya hemos hablado en otras muchas ocasiones, las amenazas para los ordenadores son cada vez más peligrosas. A día de hoy el malware más desarrollado es el ransomware (software que cifra los datos de los usuarios y pide un rescate por ellos) y el software espía centrado en buscar y robar datos personales y bancarios para venderlos en el mercado negro.

Las principales formas de infección en un ordenador normal son tanto a través del correo electrónico como aprovechando vulnerabilidades en el software que mediante un exploit permita al pirata informático instalar el software malicioso de forma remota en el sistema de la víctima.

Fuente: G-Data

 

[Bronce]

Varios nodos de Tor roban contraseñas e intentan inicios de sesión

El funcionamiento de la red Tor se resume en redirigir el tráfico de los usuarios a través de una serie de proxies distribuidos de manera que el usuario no pueda ser identificado ni rastreado. Estos proxies, también llamado relés, están montados y mantenidos por voluntarios y aunque tienen cierto mantenimiento por parte de Tor Project en ocasiones usuarios malintencionados montan servidores maliciosos con los que espiar o robar datos de los usuarios que se conectan a través de dicho relé.

Un investigador de seguridad ha estado trabajando un mes en identificar nodos de la red Tor maliciosos encargados de robar datos personales y privados de los usuarios (por ejemplo contraseñas) y de iniciar sesión de forma remota con los datos robados. Para ello ha utilizado una técnica original y bastante curiosa que se resume en utilizar un cebo para engañar al nodo.

Para ello el investigador de seguridad compró un dominio sencillo y llamativo (bitcoinbuy, como una web de compra y venta de bitcoin) y acto seguido creó un subdominio “admin” desde donde en teoría se gestionaría toda la plataforma. A esta web la añadió un sencillo script de inicio de sesión muy similar al de muchas páginas web y configuró una contraseña aleatoria terminada en “sbtc”.

El script de inicio de sesión registra también los errores, la dirección IP del intento de inicio de sesión y la hora de dicho intento. Acto seguido empezó a navegar por su web iniciando sesión en su web desde cada nodo de salida. Desde hace tiempo se sabe que en la red Tor hay “nodos buenos” y “nodos malos”, sin embargo uno de los resultados más llamativos es que alguno de los nodos que intentó iniciar sesión en la web durante el primer día fue estaban denominados como “seguros” por Tor Project.

El investigador de seguridad ha estado haciendo esto durante 32 días. Al iniciar sesión desde cada nodo de salida la web guardaba una entrada de “conexión exitosa”. Si al revisar el registro de la web se observaba que desde alguna IP se han intentado establecer dos conexiones es que el nodo ha estado haciendo de las suyas. Durante este tiempo su página web ha registrado 12 intentos fallidos de conexión y 16 inicios de sesión exitosos automáticos por parte de diferentes nodos de la red Tor, lo que significa que esos nodos han “espiado” sus conexiones y robado sus credenciales de acceso a su web para posteriormente poder hacer de las suyas en el panel de administración.

Este investigador de seguridad ya ha reportado sus resultados a los responsables del mantenimiento de Tor a la espera de que tomen las medidas necesarias para el bloqueo y cierre de dichos nodos, especialmente el que se configura como “seguro” y luego utiliza los datos de inicio de sesión para intentar acceder a la administración de la web.

Fuente: ehackingnews

 

[Bronce]

Han hackeado Plex. Cambia la contraseña lo antes posible

Plex es un centro multimedia muy utilizado por los usuarios tanto a nivel local como para retransmitir vídeos, canciones e imágenes a través de Internet o dentro de una red local. Plex es utilizado por un gran número de usuarios, lo que significa que tarde o temprano terminaría por ser un objetivo para piratas informáticos interesados en la información de sus usuarios. Por desgracia finalmente ha llegado ese día.

Los responsables de seguridad de Plex han emitido un comunicado donde informan a los usuarios de que un grupo de piratas informáticos ha conseguido acceder a la base de datos de los foros de la comunidad y desde allí han conseguido tener acceso a las direcciones IP, de correo electrónico, los mensajes (tanto públicos como privados) y el hash de las contraseñas de los usuarios.

Como medida preventiva los responsables de seguridad de Plex han bloqueado el acceso de todos los usuarios hasta que cambien la contraseña y se ha enviado un correo electrónico donde se informa del ataque y se indican los pasos a seguir para el cambio de contraseña.

Los datos de pago y las tarjetas de crédito no se almacenan en sus servidores, por lo que estos datos no se han visto comprometidos.

Sólo se han visto afectados los usuarios que alguna vez han accedido al foro con su cuenta de usuario (vinculada o no con la cuenta general de Plex). Si eres usuario de Plex y nunca has iniciado sesión en el foro no es necesario cambiar la contraseña porque no se ha visto vulnerada, aunque sí que es recomendable hacerlo por si acaso. De igual manera al haberse filtrado otra información personal (direcciones de correo, por ejemplo) si utilizamos esa misma contraseña en otros servicios es recomendable cambiarla también para que los piratas informáticos no puedan iniciar sesión en otras plataformas con nuestros mismos credenciales.

Podemos leer la información oficial del ataque desde el blog principal de Plex.

Fuente: redeszone.net

 

[Bronce]

Utilizan Google Drive para distribuir el ransomware CryptoWall 3.0

CryptoWall es uno de los ransomware más pioneros y peligrosos. Cuando este malware se ejecuta en el ordenador de sus víctimas automáticamente empieza a cifrar todos los datos del disco duro con un algoritmo RSA de 2048 bits. Una vez se completa el cifrado se establece una conexión a través de la red Tor para pedir un pago o “rescate” por los datos, o de lo contrario se perderán para siempre.

Recientemente se ha descubierto una nueva campaña de distribución de ransomware que aprovecha una vulnerabilidad en Google Drive para distribuir a través de la nube de Google una versión renovada del temido ransomware CryptoWall 3.0.

La vulnerabilidad en cuestión permite al pirata informático enviar una pequeña descarga inofensiva del ransomware de manera que el usuario no sospeche de ella. Mientras esta descarga tiene lugar se accede a un fichero de servidores desde donde se empieza a descargar también esta versión de CryptoWall

El exploit genera un archivo de direcciones de Google Drive que cuando el usuario accede a ellas se encuentra con un fichero comprimido llamado “resume.zip” y que en su interior hay un script “my_resume_pdf_id-4535-4553-293.scr”. Google Drive ejecuta este script por error y conecta con una serie de servidores desde donde comienza la descarga y ejecución del malware en el sistema de la víctima.

El proceso de infección puede resumirse en 3 pasos:

• Lo primero es asentarse en el sistema con la función ShimCacheMutex.
• A continuación el malware se inyecta y oculta dentro del proceso dwwin.exe.
• Una vez en el proceso anterior CryptoWall empieza el cifrado de archivos.
• Una vez finaliza el proceso de cifrado conecta con la red Tor y pide al usuario el pago del rescate por recuperar sus datos.

El exploit para explotar esta vulnerabilidad se distribuye a través del kit RIG. Este kit de exploits ha ganado una especial fama en los últimos meses principalmente por su reducido precio de alquiler (150 dólares a la semana) que si se compara con otros kits como Neutrino es un 75% más económico e igual de peligroso.

Los antivirus son ineficaces con esta nueva versión ya que, además de que este método de distribución pasa desapercibido para las herramientas de seguridad, el malware también ha sido programado para evadir las diferentes técnicas de seguridad y CryptoWall no es detectado hasta su fase final, aunque para entonces ya es demasiado tarde. Esta nueva versión es polimórfica y cuenta con una infraestructura avanzada y extensa que pueden evadir la detección de los sistemas de seguridad.

La mejor (y única) forma de protegerse de CryptoWall y de otro ransomware similar es por nosotros mismos. Debemos tener cuidado con los enlaces a los que accedemos, aunque sea de sitios web fiables, y evitar siempre abrir enlaces de personas desconocidas que vengan adjuntos en el correo electrónico.

Fuente: Info-Security

 

[Bronce]

Android Analyzer, una aplicación disponible para Android que roba datos de los usuarios

Las herramientas para optimizar los terminales son muy demandadas por los usuarios, buscando incrementar el rendimiento de su terminal y reducir el consumo de recursos, sobre todo la batería. Sin embargo, los ciberdelincuentes también son conscientes de este aspecto y están utilizando la aplicación Android Analyzer para espiar a los usuarios.

Tal y como se puede deducir del nombre de la aplicación, está llamada a afectar a los usuarios del sistema operativo móvil de los de Mountain View y solo está disponible en aquellas tiendas de aplicaciones no oficiales. La finalidad de esta herramienta es espiar al usuario y robar información de aquellas aplicaciones de mensajería que se encuentren instaladas en el terminal, así como mensajes de texto. A todo esto hay que sumar también la posibilidad de obtener la geolocalización del dispositivo en cualquier instante y los archivos multimedia almacenados tanto en el terminal como en las tarjetas microSD.

Aunque en un principio se situó su zona de influencia en países asiáticos, expertos en seguridad de varias compañías de seguridad han puntualizado que en las últimas semanas la amenaza ha comenzado a afectar a usuarios de Estados Unidos y Europa.

Android Analyzer y otros malware similares

No se trata de la primera vez que nos encontramos con un virus de estas características, ya que este tipo de software se conoce como RAT y permiten al atacante controlar todo lo que sucede en el terminal infectado de forma remota.

Sin embargo, esta amenaza no puede llegar por sí sola al equipo, por lo que necesita la acción del usuario para instalarse y así desempeñar las funciones que posee.

Por este motivo los ciberdelincuentes utilizan aplicaciones llamativas y que poseen cierto interés de cada al usuario. En esta ocasión ha sido una aplicación de mejora del rendimiento del dispositivo Android pero en ocasiones anteriores hemos podido comprobar como estos utilizaban aplicaciones de pago, sobre todo videojuegos populares entre los usuarios.

Fuente: Softpedia