viernes, 26 de agosto de 2016

Vulnerabilidades en vBulletin exponen más de 27 millones de cuentas

Más de 27 millones de cuentas de usuarios, la mayoría del dominio mail.ru, se han visto expuestas debido a vulnerabilidades no parcheadas en foros con software vBulletin.

vBulletin es un software desarrollado por vBulletin Solutions, para la creación y mantenimiento de foros en Internet. Está basado en PHP y MySQL y según la propia compañía más de 100.000 sitios funcionan bajo este sistema, incluyendo compañías como Electronic Arts, Sony, NASA o Steam.

En total se han visto afectadas más de 27 millones de cuentas de usuario a través de casi una docena de sitios web. La mayoría de las cuentas comprometidas, hasta 25 millones, están vinculadas a los foros de tres juegos (CFire, Parapa y Tanks) alojados bajo el dominio mail.ru. También se han visto expuestas, más de 190.000 cuentas de expertlaw.com y más de 100.000 cuentas en gamesforum.com.

Según el grupo LeakedSource en torno a la mitad de contraseñas han sido fácilmente obtenidas mediante herramientas de cracking, debido a que todos los sitios usan alguna variación de MD5 con o sin salt única. Algo que como ya hemos comentado no es nada recomendable.

"Not a single website used proper password
storage, they all used some variation of
MD5 with or without unique salts.
"

Entre los datos filtrados se encuentran nombres de usuario, direcciones de correo, contraseñas, números de teléfono, direcciones IP y cumpleaños.

Los dominios afectados han sido:
  • cfire.mail.ru
  • parapa.mail.ru
  • parapa.mail.ru (forums)
  • tanks.mail.ru
  • expertlaw.com
  • ageofconan.com
  • anarchy-online.com
  • freeadvice.com
  • gamesforum.com
  • longestjourney.com
  • ppcgeeks.com
  • thesecretworld.com (inglés)
  • thesecretworld.com (francés)
  • thesecretworld.com (alemán)

Todos los sitios comprometidos funcionaban con una versión sin parchear del software vBulletin, que permitía la realización de ataques de inyección SQL a través del complemento (add-on) incluido Forumrunner en versiones anteriores a la 4.2.2 o 4.2.3. La actualización estaba disponible desde mediados de junio. Una vez más, la importancia de mantener actualizado todo el software.

La compañía Funcom ha reconocido la intrusión y el compromiso de los datos de los usuarios de los foros TheSecretWorld.com, AgeofConan.com, Anarchy-Online.com y LongestJourney.com. Aunque confirman que el software se actualizó el día 19 de agosto no pueden determinar exactamente cuando se produjo la intrusión. Como medida de seguridad temporal Funcon ha reiniciado todas las contraseñas de estos foros.

No es la primera vez que algún tipo de vulnerabilidad en este popular gestor de foros expone las cuentas de los usuarios de un foro. En 2013 se anunció una intrusión en el servidor correspondiente a los foros de la comunidad de Ubuntu (ubuntuforums.org), también se habían sustraído cuentas de correos de los usuarios así como los hashes de las contraseñas de acceso a los foros. Incluso, el propio equipo de vBulletin se vio obligado a reconocer una intrusión en su sitio oficial que comprometió hasta 480.000 cuentas de usuarios en un ataque combinado sobre la propia vBulletin.com y sobre el foro de Foxit Software.

Más información:

Leaked Source. Mail.ru

una-al-dia (02/02/2016) Los sitios web que no amaban a las contraseñas

Security Update for vBulletin 4

una-al-dia (31/07/2013) Crónica del ataque a los foros de Ubuntu

una-al-dia (03/11/2015) Intrusión en los foros de vBulletin y Foxit Software

Data Breach on Funcom Forums




Antonio Ropero
Twitter: @aropero




jueves, 25 de agosto de 2016

Apple publica iOS 9.3.5 tras el descubrimiento de un spyware

Apple acaba de publicar la versión 9.3.5 de iOS, su sistema operativo para dispositivos móviles. Está versión está destinada a solucionar tres vulnerabilidades 0-day empleadas por un software espía.

Los problemas fueron descubiertos hace 10 días, por investigadores de Citizen Lab (Munk School de la Universidad de Toronto) y la compañía Lookout. Se trata de tres vulnerabilidades, bautizadas como Tridente, que forman una cadena de ataques que pueden permitir evitar toda la protección del sistema iOS. Una combinación que canaliza un ataque desde un simple click a un enlace a la elevación de privilegios dentro del dispositivo.

Este "Tridente" de vulnerabilidades se ha empleado en un spyware conocido como Pegasus, desarrollado según sus descubridores por la organización israelí NSO Group, una empresa con productos similares a los ofrecidos por Hacking Team.
Imagen de un folleto de NSO Group. Fuente: Citizen Lab

"Pegasus es altamente avanzado en su
uso de 0-days, ofuscación, cifrado y
explotación a nivel del kernel.
"

La cadena de vulnerabilidades funciona según la siguiente sucesión:

CVE-2016-4657: Un exploit para WebKit, que permite la ejecución del shellcode inicial cuando el usuario pulsa un enlace.
CVE-2016-4655: Un exploit para saltar la protección Kernel Address Space Layout Randomization (KASLR) que permite al atacante calcular la localización del kernel en memoria.
CVE-2016-4656: Vulnerabilidades a nivel del kernel iOS de 32 y 64 bits que permiten la ejecución de código en el kernel, empleadas para realizar un jailbreak del dispositivo y ejecutar software espía sin conocimiento del usuario.

La secuencia de ataque se realizaba mediante un clásico esquema de phishing: enviar un mensaje de texto, abrir el navegador, cargar una página, explotar las vulnerabilidades e instalar el software persistente para recopilar información. Todo ellos, realizado de forma invisible y silenciosa, de manera que las víctimas no llegan a saber que han sido comprometidos.

Según los investigadores de Lookout el software espía es altamente configurable, dependiendo del país de uso y el conjunto de características adquiridas por el usuario, podía permitir acceder a los mensajes, llamadas, correos electrónicos, registros y datos desde aplicaciones como Gmail, Facebook, Skype, WhatsApp, Viber, FaceTime, Calendar, Line, Mail.Ru, WeChat, SS, Tango y otras. El kit parece persistir incluso cuando el software del dispositivo se actualiza y podía actualizarse a sí mismo para reemplazar módulos o funcionalidades obsoletas.

El equipo de Citizen Lab ha rastreado los ataques a varios activistas de derechos humanos y periodistas de diferentes partes del mundo, mientras que Lookout se ha centrado en los detalles técnicos del malware, desde la cadena del exploit hasta su uso. Ambos grupos de investigadores han publicado completos, y muy interesantes, informes con análisis detallados de las vulnerabilidades, de cómo se han llevado a cabo los ataques y del software espía.

Esta nueva versión de iOS está disponible para los dispositivos Apple iPhone 4s y posteriores, iPad 2 y posteriores e iPod touch de 5ª generación. La actualización está disponible a través de iTunes o del propio dispositivo (en Ajustes/General/Actualización de software).

Este hallazgo nos permite comprobar el principio de "no hay sistema seguro". Quizás podemos encontrar más o menos malware orientado a una plataforma concreta. En Koodous, es continuo el crecimiento en volumen de detecciones de malware, algo que experimentamos a diario. Pero los exploits o vulnerabilidades no poseen una "plataforma preferente", todo aquello que ejecuta código es explotable. Ni iOS, ni Android ni lo que esté por llegar se libran.

Más información:

About the security content of iOS 9.3.5

Sophisticated, persistent mobile attack against high-value targets on iOS

The Million Dollar Dissident: NSO Group’s iPhone Zero-Days used against a UAE Human Rights Defender

Technical Analysis of Pegasus Spyware

una-al-dia (08/07/2015) Sombreros verdes y 400 gigas de caramelos



Antonio Ropero
Twitter: @aropero