Continua Leyendo...
Por Redacción - 30 Septiembre 2013
Septiembre ha supuesto la vuelta al trabajo de mucha gente, pero también es uno de los meses preferidos por las empresas para presentar sus novedades de cara al nuevo curso. Uno de los anuncios más esperados era el lanzamiento del nuevo iPhone 5S, el nuevo modelo del exitoso móvil de Apple que venía acompañado del iOS 7 y con interesantes novedades en materia de seguridad.
iOS7 y Android
Sin duda, la característica más llamativa fue la incorporación de un sensor biométrico en el nuevo iPhone 5S, que permite autenticarnos tanto en el teléfono como en muchos servicios a los que accedemos a través de él tan solo con nuestra huella dactilar. Había mucha expectación por saber cómo de segura sería esta nueva medida de seguridad, pero solo hicieron falta unos pocos días para que un grupo de investigadores consiguieran saltársela con una huella falsa. Si bien burlar esta medida de seguridad no está al alcance de cualquiera, su rápida vulneración representó un duro golpe a la característica estrella en seguridad de este lanzamiento. Por su parte, iOS 7 tampoco corrió mejor suerte, ya que si bien la nueva versión de este sistema operativo solucionaba hasta 80 vulnerabilidades, no tardaron en descubrirse nuevos fallos.
Muchos de estos fallos estaban relacionados con saltarse la pantalla de bloqueo, algo que se consiguió de varias maneras diferentes y de forma relativamente sencilla. También comprobamos cómo podía desactivarse la función de localización del teléfono en caso de robo o pérdida tan solo usando al asistente Siri para activar el modo avión.
No obstante, los fallos de seguridad que más interesan a los investigadores son aquellos que permiten relacionar el conocido como Jailbreak. Ya hay algún grupo que ha declarado estar cerca de conseguirlo, por lo que puede ser cuestión de días o semanas que veamos cómo se consigue desbloquear un iPhone con el nuevo iOS 7, permitiendo así la ejecución de código no aprobado por Apple.
“El lanzamiento de un dispositivo tan esperado como el iPhone 5S siempre llama la atención de los investigadores” comenta Josep Albors, responsable del laboratorio de ESET España. “Muchos de estos investigadores llevan meses analizando los entresijos del nuevo sistema operativo iOS 7 gracias a las versiones enviadas a los desarrolladores y preparando exploits que aprovechen las vulnerabilidades encontradas, por lo que no es extraño que, nada más aparecer el nuevo dispositivo, aparezcan todo tipo de agujeros de seguridad”.
Por su parte, Android también ha tenido su protagonismo durante el pasado mes en forma de una vulnerabilidad en el manejo de WebView en las versiones anteriores a la 4.2 que, de llegar a ser aprovechada por un atacante, podría hacer que se descargase malware en el dispositivo al visualizar una web preparada a tal efecto. Esto no supondría mayores problemas si todos los dispositivos afectados pudieran actualizarse a la versión más reciente de Android. Por desgracia, hay millones de dispositivos que no pueden realizar esta actualización y quedarán expuestos a futuros ataques que se aprovechen de esta vulnerabilidad.
Engaños en redes sociales
Precisamente, el lanzamiento del iPhone 5S fue utilizado por varias campañas de falsos sorteos en Facebook que ofrecían la posibilidad de obtener de forma gratuita uno de estos dispositivos. Muchos de estos falsos sorteos requerían de la instalación de una aplicación para obtener todos los datos de nuestro perfil y, una vez instalada en nuestra cuenta de Facebook, se promocionaba entre todos nuestros contactos para intentar conseguir nuevas víctimas. También encontramos los típicos engaños que nos piden nuestro número de teléfono para suscribirnos a servicios de tarificación especial, con el consecuente prejuicio económico que eso supone para el usuario que se ve afectado por este tipo de engaños.
Otro engaño similar a la vez que recurrente ha sido el que anunciaba una versión de WhatsApp para PC, engaño que hemos venido viendo en repetidas ocasiones durante las últimas semanas. La finalidad es la misma que en ocasiones anteriores y esta no es otra que obtener nuestro número de teléfono para suscribirnos a servicios Premium de tarificación especial. El éxito de WhatsApp hace que no sean pocos los usuarios que caigan en esta trampa y por eso vemos cómo aparecen aplicaciones falsas suplantándola de forma periódica.
Fraudes económicos: Hesperbot, un troyano bancario avanzado y el regreso del virus de la policía
Con respecto al malware, este mes le hemos hecho un seguimiento especial a Hesperbot, un troyano bancario avanzado que ha estado propagándose durante las últimas semanas por varios países europeos y Turquía. Este troyano tiene versiones para varias plataformas móviles como Android, Blackberry o Symbian y cuenta con alguna característica avanzada como la creación de un servidor VNC en el sistema infectado.
Un viejo conocido que suele hacer aparición casi todos los meses es el “Virus de la Policía”. Durante septiembre vimos cómo aparecían nuevas variantes en español que adjuntaban fotos de pornografía infantil para ser más persuasivos y conseguir que las víctimas pagasen la supuesta multa sin pensárselo mucho. Esta variante ya fue observada hace meses en Alemania y Reino Unido, y en aquella ocasión ya avisamos de la posibilidad de que se adaptaran a otros países como finalmente ha sido.
Precisamente comentando el caso de los ransomware, hablamos en nuestro blog de un extenso análisis realizado a Filecoder, un ransomware orientado a empresas que cifra los datos almacenados en sistemas Windows 2003 Server y que suele propagarse aprovechando vulnerabilidades en el protocolo RDP y contraseñas débiles. De una forma relativamente sencilla los ciberdelincuentes consiguen cifrar toda la información sensible de la empresa y solicitan un rescate por ella, algo a lo que no pocas empresas ceden.
Más malware
Los sistemas Mac tampoco se han librado de su ración de amenazas, y en las últimas semanas hemos observado varios ejemplos de lo que, a primera vista, parecen ataques dirigidos. Por un lado vimos cómo se aprovechaba una vulnerabilidad en Java para descargar un backdoor en un sistema Mac.
También se observó otra muestra de malware que se hacía pasar por una fotografía de una pareja besándose pero que en realidad era una aplicación maliciosa, también pensada para espiar la máquina infectada y recibir órdenes de un atacante de forma remota. Como dato curioso, esta amenaza intentaba descargar en el sistema infectado una imagen del Ejército Electrónico Sirio, conocido grupo hacktivista.
Los ciberdelincuentes también aprovecharon el esperado lanzamiento del videojuego Grand Theft Auto V para preparar trampas a los usuarios desprevenidos. Varias fueron las webs maliciosas que prometían descargar una versión de prueba o un código de activación de la versión completa del juego. No obstante, cuando el usuario pulsaba sobre los enlaces proporcionados no solo no obtenía el juego, sino que era redirigido a enlaces externos que podían contener desde molestas encuestas online hasta malware.
También los enlaces para descargar conocidas series de televisión como Breaking Bad fueron utilizados para conseguir que los usuarios fueran dirigidos a sitios web con contenido no deseado o potencialmente peligroso. Esto se realizaba desde páginas que aparecían temporalmente entre los primeros resultados en motores de búsqueda a la hora de buscar el capítulo de una serie, pero también en enlaces proporcionados en sitios como Pastebin.
En septiembre hemos visto cómo se descubrían, como es habitual, toda una serie de vulnerabilidades en diversos sistemas y aplicaciones. Quizá la más grave fue la que afectó a todas las versiones del navegador Internet Explorer y que permitiría a un atacante ejecutar código arbitrario dentro del navegador. Esta vulnerabilidad permite que se diseñen webs maliciosas para explotar esta vulnerabilidad y luego conseguir que la víctima los visite, infectándola a continuación.
En Mac OS X también observamos una vulnerabilidad que permitiría acceder a este sistema con permisos de root (el usuario con más privilegios). Esta vulnerabilidad afecta a todas las versiones de SUDO (herramienta que permite ejecutar aplicaciones con los permisos de otro usuario, normalmente root o administrador de sistema) presentes en OS X, ya que, a pesar de que existen versiones superiores en el sitio web oficial de esta herramienta que solucionan el problema, los usuarios de OS X, a diferencia de los de GNU/Linux, deben esperar a que Apple lo distribuya en una futura actualización.
Espionaje: Smart TV y NSA
Durante septiembre también repasamos uno de los temas que fueron protagonistas durante las pasadas conferencias de seguridad Black Hat y Defcon: la seguridad en las Smart TV. Estos dispositivos forma parte ya de nuestro salón y sus ventas se incrementan año tras año, pero varios grupos de investigadores han demostrado cómo vulnerar sus sistemas de seguridad y realizar acciones tan preocupantes como grabar al usuario que está viendo la televisión, entre otras cosas.
El espionaje llevado a cabo por la NSA siguió dando de qué hablar y durante las pasadas semanas conocimos dos revelaciones más que afectan directamente a nuestra privacidad. La primera de ellas era especialmente preocupante ya que indicaba que la NSA era capaz de espiar comunicaciones supuestamente cifradas a través de Internet. Esto supone un duro golpe para todos aquellos usuarios preocupados por su privacidad, ya que permite saltarse la mayoría de medidas aplicadas hasta el momento. Obviamente y otro nivel mayor, permite al gobierno de Estados Unidos obtener información privilegiada de otros gobiernos o empresas que sean de especial interés, con la ventaja estratégica que ello supone.
Pero este no fue el único dato preocupante relacionado con el espionaje de la NSA. En otro de los documentos filtrados por Edward Snowden se puede observar cómo esta agencia cuenta con un programa para realizar seguimiento de transacciones económicas. Esto incluye aquellos pagos realizados con tarjetas de crédito emitidas por empresas como Visa, siendo todos estos datos recopilados y almacenados en un sistema propio gestionado por la NSA.
Y hablando de transacciones económicas, en septiembre también conocimos dos casos de robo en entidades bancarias utilizando un sencillo dispositivo diseñado para espiar todas las pulsaciones de teclado, pulsaciones realizadas con el ratón y datos mostrados en pantalla de un equipo en concreto. Gracias a la instalación de este sencillo dispositivo, un grupo de delincuentes consiguió robar en abril 1,3 millones de libras de una sucursal de Barclays en Reino Unido. La misma operación se intentó realizar el pasado mes en una sucursal del Santander también en Reino Unido, pero por fortuna se consiguió detener a los delincuentes.
