Category Archives: Vulnerabilidad

Home / Archive by category "Vulnerabilidad"

Google descubre serio error en Microsoft Edge y lo hace público

A pesar que los ingenieros de Google notificaron a Microsoft sobre una vulnerabilidad en su navegador Microsoft Edge, la firma excedió los 90 días que usualmente se dejan para que las empresas liberen parches a sus errores, por lo que hicieron pública la información sobre un error en su mecanismo de seguridad.

Microsoft agregó en abril de 2017 la característica Arbitrary Code Guard (ACG), y se suponía que robustecería el navegador evitar que los atacantes usaran JavaScript para cargar código malicioso en la memoria de los computadores con Edge.

Sin embargo, Ivan Fratric, un ingeniero de seguridad del equipo Project Zero de Google, descubrió una forma de eludir el ACG y permitir que un atacante cargue código sin firmar en la memoria, generando una fisura de seguridad potencialmente peligrosa.

Fratric informó el problema a Microsoft el pasado noviembre, en un informe técnico privado, pero la fecha límite para solucionar el error pasó. En declaraciones recogidas por Bleeping Computer, Fratric menciona que la respuesta de la multinacional pasó por alto los plazos que usualmente se manejan para reparar vulnerabilidades. Esto le respondieron:

La solución es más compleja de lo previsto inicialmente y es muy probable que no podamos cumplir con la fecha límite de lanzamiento de febrero, debido a los problemas de administración de la memoria. El equipo de Microsoft Edge está seguro que estará listo para enviarse el 13 de marzo.

Como el equipo encargado de analizar las brechas de seguridad, Google Project Zero, no anda con juegos, publicaron la forma de pasar por alto la seguridad del navegador (ACG), dejando expuestos a los usuarios. Aún está por verse si Microsoft decide dejar esperar hasta marzo para sacar un parche o, dada la contingencia, emite uno antes.

The post Google descubre serio error en Microsoft Edge y lo hace público appeared first on FayerWayer.

Bug en Android permite a atacantes grabar el audio y la pantalla del teléfono

Los teléfonos que utilicen Android en sus versiones Lollipop, Marshmallow y Nougat se encuentran seriamente comprometidos tras un error que permite tomar control del servicio MediaProjection. Las consecuencias de este bug permiten que atacantes puedan grabar tanto el audio del dispositivo como la pantalla en su totalidad.

Android es el sistema operativo móvil más utilizado en el mundo y las tres versiones afectadas por este error de seguridad alcanzan el 77,5% de los dispositivos (Android 5.0, 6.0 y 7.0). Este indicador evidencia la gran cantidad de equipos que podrían ser transgredidos, atentando directamente contra la información y privacidad de sus usuarios.

De momento, todos los dardos apuntan al servicio MediaProjection que existía en Android desde sus inicios, pero para usarlo, las aplicaciones necesitaban tener acceso como administrador total del sistema (root), además de estar firmadas con las claves de lanzamiento del dispositivo. Esto restringió el uso de MediaProjection sólo a un número de aplicaciones desarrolladas por los fabricantes en sus versiones propias de Android, pero con el lanzamiento de Android Lolipop (5.0), Google abrió este servicio, y eliminó los permisos necesario para acceder a él.

Ventanas falsas para obtener privilegios

Para acceder a este servicio, las aplicaciones necesitan solicitar acceso mediante una llamada intencionada (intent call), que muestra una ventana emergente SystemUI de advertencia, indicándole al usuario que el software quiere capturar su pantalla y sistema de audio. Investigadores de MWR Labs descubrieron que los atacantes podían detectar cuando se abría esta ventana y disparar otra arbitraria. La técnica se llama tapjacking y ha sido utilizada por los desarrolladores de malware de Android durante años.

Así lo explican desde el equipo de MWR:

La causa principal de esta vulnerabilidad se debe al hecho de que las versiones de Android afectadas no pueden detectar ventanas emergentes de SystemUI parcialmente oscurecidas […] Esto permite a un atacante dibujar una superposición sobre la ventana emergente SystemUI, que llevaría a la elevación de los privilegios para que la aplicación maliciosa grabe.

La ventana emergente SystemUI legítima es el único mecanismo de control de acceso disponible que evita el abuso del servicio MediaProjection. Un atacante puede pasar por alto este mecanismo usando la técnica tapjacking, que permite capturar los toques sobre la pantalla con una actividad superpuesta intencionalmente. Y con esto, los usuarios creen que están haciendo toques sobre una actividad, aunque sin saberlo autorizan otras.

Google corrigió el problema hace unos meses con el lanzamiento de Android Oreo (8.0), pero las versiones mencionadas siguen por ahí con la falla.

De todas formas, hay esperanza: cuando el ataque ocurre (y si es que ocurre) aparece una notificación en pantalla avisando que se está grabando la información del teléfono, por lo que si ven que esto sucede sin haber hecho nada, tienen opciones como por ejemplo tirarlo a la basura detener el proceso o reiniciar el equipo. Aunque claro, la solución ideal (y lo mínimo en realidad) sería que Google parche el error.

The post Bug en Android permite a atacantes grabar el audio y la pantalla del teléfono appeared first on FayerWayer.

Vulnerabilidad en Microsoft Word es usada para ataques con malware

Se ha descubierto un método usado para explotar una vulnerabilidad dentro de Microsoft Word, el cual facilita los ataques con malware, pues a diferencia de los ataques comúnes, dicho método no requiere que las macros estén habilitadas.

El protocolo DDE (Intercambio Dinámico de Datos, por su significado en inglés) es explotado para ejecutar código malicioso en las computadoras de las víctimas. DDE es usado en cientos de aplicaciones, entre las cuales se encuentran Excel, Visual Basic, Quattro Pro, entre otras.

Para entrar en contexto, el protocolo DDE permite que las aplicaciones intercambien datos de manera continua. Al ser explotado, los atacantes pueden esparcir malware logrando incluso que pase desapercibido por los usuarios (vía The Hacker News).

Necurs Botnet, red con más de 6 millones de computadoras involucradas, está aprovechando esta vulnerabilidad para esparcir el ransomware Locky y el troyano bancario TrickBot. Hasta antes de esta explotación, la campaña dependía por completo de las macros.

Necurs Botnet. (c) The Hacker News

Además, el botnet ahora puede tomar capturas de pantalla de la computadora afectada, datos de telemetría e incluso obtener detalles de los errores encontrados al intentar sus actividades maliciosas, información que es retomada de manera remota por los atacantes.

También se descubrió que otra campaña esta aprovechando el fallo en el protocolo DDE para esparcir el malware Hancitor, también conocido como Chanitor y Tordal. Una vez en la computadora, instala troyanos bancarios, ransomware y malware cuya tarea es robar datos.

Campaña de Hancitor. (c) The Hacker News

Debido a que se trata de una vulnerabilidad en una característica de Microsoft Word, los antivirus son incapaces de detectar cualquier actividad extraña. Sin embargo, se deben tomar en cuenta un par de recomendaciones para protogerse frente a estos ataques.

Primero, y siempre recomendable, es que los usuarios presten atención a las fuentes de correo elctrónico, los archivos que abren y los enlaces dentro de ellos si no confían plenamente. Segundo, evitar la actualización automática de enlaces en Microsoft Word.

El usuario puede desactivar dicha característica yendo al menú Opciones > Avanzado > Actualizar enlaces automáticos al abrir, al menos hasta que Microsoft decida lanzar un parche que mitigue la vulnerabilidad.

The post Vulnerabilidad en Microsoft Word es usada para ataques con malware appeared first on FayerWayer.

Nueva vulnerabilidad en Adobe Flash permite instalar software malicioso en computadores

Los fallos de seguridad en Adobe Flash parecen ser pan de cada día. La empresa a cargo del desarrollo, Adobe Systems, avisó que hackers están explotando el complemento, y que era necesario parchar el software para prevenir ataques.

El aviso se produjo luego de que la empresa de seguridad informática Kaspersky Lab, dijera que un grupo al que rastreaba, denominado BlackOasis, usaba una debilidad en el complemento para instalar software malicioso en computadoras que se conectaba a servidores de Suiza, Bulgaria y Holanda.

La compañía se defendió diciendo que habían lanzado una actualización de seguridad para arreglar el problema e instando a los usuario a parcharlo. El error ha afectado a navegadores como Microsoft Edge, Google Chrome y en general a todos aquellos que no tengan la versión más actualizada.

El fin de Adobe Flash Player

Flash Player llegará a su fin; eso es un hecho. Adobe ha consignado públicamente que en 2020 retirará su tecnología, alguna vez omnipresente en la mayoría de los computadores que reproducían contenido multimedia online

El software fue creado originalmente para mostrar animaciones en 2D y durante buenos años gozó de popularidad para crear contenido interactivo para sitios web. Sin embargo, cada vez se ocupa menos. Solo en Google Chrome, el navegador más usado a nivel mundial, es utilizado en un 17%, por debajo del 80% que 2014 tenía.

La opción a la tecnología de Adobe es HTML5, que permite reproducir contenidos multimedia e incorpora un extenso soporte para diferentes dispositivos, además de que otorga mayor calidad usando menor ancho de banda, corre fácilmente en dispositivos móviles y no necesita de la instalación de un producto particular.

The post Nueva vulnerabilidad en Adobe Flash permite instalar software malicioso en computadores appeared first on FayerWayer.

Microsoft ya parchó el error de seguridad de redes Wi-Fi

Aunque el fallo en el protocolo WPA2 anunciado justo hoy involucra transversalmente a los dispositivos que utilicen este sistema de comunicación, desde la multinacional anunciaron un parche de seguridad que neutralizaría el error.

La firma expresó, mediante un comunicado publicado en el sitio The Verge, que ya solucionó el problema para los clientes que ejecutan versiones compatibles como su sistema operativo:

Hemos lanzado una actualización de seguridad para abordar este problema. Los usuarios que la apliquen que ya la aplicaron o que tienen las actualizaciones automáticas ya activado están protegidos. Y seguimos instando a que activen las actualizaciones automáticas para mayor seguridad.

En tanto, Google ha consignado que la solución al fallo estará disponible para sus dispositivos Android durante esta semana, de los cuales un 41% están afectados de forma crítica. Según las declaraciones de los investigadores que alertaron del error en los four-way handshakes, Mathy Vanhoef, la falla afecta a dispositivos de forma transversal:

Tras nuestra investigación inicial, descubrimos que Android, Linux, Apple, Windows, OpenBSD, MediaTek, Linksys y otros, se ven afectados por alguna variante de los ataques. Para obtener más información sobre productos específicos, puedes consultar la base de datos de CERT / CC o comunicarse con su proveedor”.

The post Microsoft ya parchó el error de seguridad de redes Wi-Fi appeared first on FayerWayer.

About Guardian

All the Lorem Ipsum generators on the Internet tend to repeat predefined an chunks as necessary, making this the first true generator on the Internet. All the Lorem Ipsum generators on the Internet tend to repeat predefined Lorem Ipsum as their default model text, and a search for web sites.