webimprints

¿Porqué pop calc cuando puedes utilizar pop Nedry? Esta herramienta contiene un x86-64 payload que recrea la escena de Jurassic Park en la que Dennis Nedry encierra a Ray Arnold fuera de su terminal, explica Jim Gil, un experto de seguridad informática del International Institute of Cyber Security (IICS) acerca de pop Nedry. Cuando se ejecuta pasa lo siguiente: 1. Asigna una ventana en la consola con llamada a AllocConsole 2. Sale un aviso que dice “¡No has dicho la palabra mágica!” repetitivamente con llamadas a WriteConsoleA 3. Al mismo tiempo baja winmm.dll y obtiene la dirección del procedimiento para PlaySound 4. Baja el audio “¡No, no, no...no has dicho la palabra mágica!” de la memoria utilizando PlaySound 5. Baja shell32.dll y obtiene la dirección del proceso para ShellExecuteA 6. Abre el buscador del objetivo en una página web que tiene en infame Nedry GIF utilizando ShellExecuteA 7. Entra en modo reposo durante un tiempo para que el audio se reproduzca 8. Restaura el stack’s y los ret’s Construcción Se utiliza Python script (Windows) El Python Script se realizó para Windows. Para activarlo asegúrese de que tanto nasm y Python 2 estén instalados y añadidos en la variable PATHenvironment. Inicie el siguiente comando desde el directorio de project’s parent para generar la posición independiente del código binario: > python build.py --outfile nedry.bin --url http://127.0.0.1:8080/nedry.html Ésto reunirá lo armado, soltará el binary in .build, y escribe en la página URL de Nedry Construcción manual (Cualquier sistema operativo) También puedes construir el shellcode manualmente para cualquier sistema operativo con nasm > cd .src > nasm -f bin -o pop-nedry.bin pop-nedry.asm Una vez que hayas construido el binary, necesitas un patch en tu URL. Para hacer esto, abre un editor hex y busca 0x1dd. Re-escribe los NULL bytes con tu URL. Asegúrate que comience con http:// o https://. No utilices una URL de más de 63 caracteres para asegurar que quede al menos un NULL para terminar el string. Uso de prueba Construir el shellcode binary > python build.py --outfile nedry.bin --url http://127.0.0.1:8080/nedry.html Inicie un servidor web de Python para instalar la página HTML Nedry > cd .html > python -m SimpleHTTPServer 8080 Pruebe el shellcode con ShellcodeTester.exe incluido (o su explorador favorito). > cd .utils > ShellcodeTester.exe ..buildnedry.bin Fuente: https://github.com/zznop/pop-nedry

¿Cómo sucedió la violación de datos de Uber que impactó a 57 millones de usuarios y cómo prevenirque le suceda a tu negocio? El año 2017 ha sido en el que ha habido mayor violación de datos en los sectores de negocios y alrededor de todo el mundo de acuerdo a los expertos de seguridad informática de Webimprints. Uno de los más recientes incluye a la compañía Uber, que pagó $100,000 USD a hackers para ayudar a cubrir la pérdida de datos de más de 50 millones de usuarios. ¿Cómo se pudo haber prevenido esta falla? ¿Cómo sucedió el hackeo de Uber? Uber admitió públicamente haber sufrido un incidente con la seguridad en la información en su blog en día 21 de Noviembre del 2017, Bloomberg primeramente publico noticias del hackeo, y anunció que dos hackers accesaron a a los códigos GitHub utilizados por Uber y encontraron credenciales de acceso para la cuenta Uber’s Amazon Web Services (AWS). Los desarrolladores de Uber publicaron un código GitHub que incluía credenciales para la empresa de Uber. Las credenciales le permitieron a los hackers accesos privilegiados de la cuenta a la red de Uber. Los hackers pudieron bajar la información de los usuarios directamente del AWS, y posteriormente pedir el pago de rescate a Uber. Uber pagó $100,000 en Bitcoin a través de HackerOne, un sitio de bug bounty menciona Jim Gil, un experto de seguridad informáticade International Institute of Cyber Security (IICS). Uber después pudo identificar al hacker mediante el proceso de pago a través de HackerOne para después lograr que firmaran un acuerdo de confidencialidad. El hacker firmó un NDA y un consentimiento para destruir la información robada. El ataque se hizo público la semana pasada, después de más de un año de que sucedió. ¿Qué información se perdió en este ataque? Se incluía información personal de 57 millones de usuarios de alrededor del mundo, según el blog publicado acerca del incidente. También incluía números de licencia de 600,000 conductores de Uber en los Estados Unidos.Uber anunció que información más delicada como localización, números de tarjetas de crédito, números del banco, o seguros sociales y fechas de nacimiento no estuvieron comprometidas. Uber encubrió el hackeo de la información de lo usuarios. El actual CEO y co-fundador de UberTravisKalanick, supo de la filtración de información en Noviembre 2016, un mes después de lo ocurrido. Sin embargo, él y su equipo decidieron no informar acerca de el hackeo, realizando los pagos mediante el sitio de bug bounty y actuando como si las fallas fueran parte del sistema. El nuevo CEO de Uber, Dara Khosrowshahi, supo de la falla en septiembre 2017, dos semanas después de haber tomado su cargo e inmediatamente ordenó una investigación exhaustiva. Después de que la filtración de información se hizo pública, despidió a su jefe de seguridad y uno de sus encargados por haber ayudado a encubrir el ataque. Joe Sullivan el sobresaliente CSO fue el responsable de separar los asuntos de confidencialidad de la información y del manejo de la información del consumidor. Una reciente investigación de la misma empresa hacia sus operaciones descubrió el ataque y su caso omiso a comunicarlo. Una de las cosas que la nueva CEO,Khosrowshahi, hizo bien después de enterarse del ataque, fue contratar ayuda de terceros para el tema legal. MattOlsen, abogado del departamento jurídico del National Security Agency, reorganizará al equipo de seguridad de la empresa, mientras dirigen una investigación independiente acerca de la mencionada violación de datos. La paga de Uber hacia los atacantes, ha tenido diversas opiniones de los expertos. El experto en seguridad Brain Krebs, la comparó a un pago por ransomware. Otros elogiaron a la compañía por haber pagado para proteger la información de sus clientes. Lo peor del caso ha sido la falla en compartir la información de lo sucedido. Debido a esto, Uber incumplió las leyes de divulgación en varios Estados. Además, Uber cubrió las fallas mientras estaban negociando un acuerdo con FTC acerca del manejo de información de sus usuarios, cuando Uber incumplió la divulgación de información en el 2014. Como resultado, Uber ahora sostiene 3 posibles demandas, al menos 5 investigaciones del procurador del estado y una investigación del FTC. Entidades internacionales están de la mano investigando con la European data protectionauthorities a partir de noviembre. El congreso se ve igualmente involucrado pues ha llamado a los líderes de la empresa Uber a hacer declaraciones. Se levantó un ticket el 30 de Noviembre por la Data Security and BreachNotificationAct, en el que se ordena que las empresas deben reportar las brechas o violaciones a su seguridad en un rango de 30 días, y condenando a 5 años de prisión a quienes escondan mencionadas fallas. Uber se encuentra actualmente en un proceso de evaluación para incrementar su inversión mediante SoftBank, pero con los planes de que la noticia se haga pública para el 2018, se prevé un impacto negativo en la evaluación de la compañía. 5 tácticas de defensa para prevenir hackeos como el de Uber Varias tácticas de defensa hubieran sido efectivas para proveer la perdida de información que tuvo Uber: 1. Autenticación Multifactor. los hackers de Uber tuvieron sus accesos tanto a GitHub como a AWS inmediatamente, No fue dicho como fue que pudieron accesar, pero las credenciales legitimas de Uber con las que se tiene acceso se ven comprometidas. Al implementar autenticación multi-factor, reviene que un hacker obtenga acceso a los sistemas específicos, aun cuando se comprometan credenciales legítimas. Un time-basedsofttoken, hardtoken, SMS (mensajes de texto) o card-basedtoken son maneras efectivas de asegurar los ingresos y puede ayudar a proveer posibles ataques en sistemas vulnerables. 2. Menor privilegio. Los hackers usaron credenciales de un administrador encontradas en GitHub para acceder al AWS de Uber y filtrar millones de récords de información vulnerable. Una de las estrategias para prevenir este tipo de filtración es restringir los privilegios para los usuarios y administradores de la cuenta. Implementando éste principio, el administrador no tendrá derechos a la información vulnerable dentro de AWS y accesará mediante GitHub. Teniendo este tipo de restricciones, el impacto de una pérdida de la cuenta será mínimo. 3. Evaluación del peligro. Otra de las maneras sería que mediante ciberseguridad, realizar análisis de seguridad informáticamencionó Jim Gil, un experto de seguridad informática de International Institute of Cyber Security (IICS). Las compañías pueden revisar sus bienes y sus riesgos para determinar las áreas en las que se necesita mayor control de seguridad. Para Uber esta podría ser los accesos para GitHub y AWS y los depósitos de información vulnerable dentro de AWS, ambos en los que se vería beneficiado por las medidas de acceso controlado. 4. Monitoreo de seguridad mediante la nube. Uber no sabía de la filtración de datos si no hasta que el hacker los contactó vía e-mail para pedir el rescate..Servicios de Nube, especialmente aquellos que contengan información vulnerable. Si dicho monitoreo estuviera al alcance, Uber hubiera detectado el acceso y la filtración de la información de su red. 5. Controles de seguridad. Basarse en los riesgos es la manera más efectiva para que las compañías aumenten su inverso en la seguridad informática mencionó Jim Gil, un experto de seguridad informática de International Institute of Cyber Security (IICS). Realizando una valoración para determinar las áreas de riesgo, los negocios pueden apartar una inversión y esfuerzo a los controles de seguridad que proveerán una reducción considerable en los mencionados riesgos. NIST, CIS/SANS 20 o ISO 27001proveen controles efectivos que pueden ser utilizados en este proceso. Conclusión A Uber le hizo falta controles de seguridad fundamentales que pudieron haber prevenido la pérdida de 57 millones de récords de información de sus usuarios explica Jim Gil, un experto de seguridad informáticade International Institute of Cyber Security (IICS). Accesos remotos y cuentas privilegiadas son dos de los mayores objetivos para los hackers así como vectores de amenaza que necesiten un mayor control de seguridad, Mientras que el pago de Uber a los hackers ayudó a evitar que la información de sus usuarios fuera conocida, su falla en dar a conocer el ataque durante casi un año tendrá repercusiones legales, financieras y en la reputación de la compañía.

La Federal Network Agency es el regulador de la Telecom de Alemania que es el encargado de revisar las telecomunicaciones de Alemania , ha prohibido que los niños utilicen smartwatches pues los clasifica como aparatos para espiar. Así mismo, les pidió a los padres que destruyeran estos aparatos (los smartwatches o relojes inteligentes) que son usados principalmente por niños en un rango de edad de 5 a 12 años de acuerdo a los expertos de seguridad informática de webimprints. La decisión llegó meses después de que la misma agencia prohibiera la muñeca “MyFriendCaylaDoll” mencionando que el smarttoy (juguete inteligente) vigila, escucha las conversaciones de los niños y les responde en tiempo real. La agencia Bundesnetzagentur describió a la muñeca como un auténtico ejemplo de “equipo no autorizado de transmisión de datos vía inalámbrica”. La última decisión de la agencia es de prohibir los relojes ya que los describen como “transmisores no autorizados”. El presidente de la agencia Bundesnetzagentur Jochen Homann declaró: “De acuerdo a nuestras investigaciones, los padres de los niños han utilizado los smartwatches para escuchar a los maestros de sus hijos durante sus clases.” Mientras las autoridades le piden a los padres que se deshagan de los ya mencionados relojes, medidas severas en contra de algunas de las firmas que los venden en línea han sido puestas en marcha. Se les ha pedido también a las escuelas dentro del país que pongan más atención acerca del uso de dichos relojes, nos señala Jim Gil, un experto de seguridad informática de International Institute of Cyber Security (IICS). “A través de una app, los padres pueden utilizar los relojes de sus hijos para escuchar sin que los noten, el ambiente en el que se encuentra el niño, por esto se les considera (a los relojes) sistemas de transmisión no autorizados.” declaró Homann. De acuerdo al comunicado de prensa de Bundesnetzagentur, éstos relojes cuentan con una tarjeta SIM y funciones limitadas de telefonía, que están configuradas y controladas mediante una app. Dicho monitoreo usualmente es llamado “baby monitor” (monitor de bebé) o “monitor function” (función de monitor”. Quien esté utilizando la app puede especificar que sin que el portador lo note el reloj realice llamadas a algún número; esto permite que la persona que está utilizando la app escuche las conversaciones que está teniendo el portador del reloj sin que éste lo note. Dicho monitoreo está prohibido en Alemania . En Octubre del año en curso, el “guardián” del consumo en Noruega, NorwegianConsumer Council (NCC) y equipo de seguridad informática , dijeron que hay muchas fallas de seguridad en los smartwatches que pueden ser explotadas, los pueden hackear y ubicar la localización del niño y engañar a sus padres mostrando una ubicación diferente. Los relojes probados por los investigadores, fueron equipados con ubicación en tiempo real y facilitando llamadas de dos vías con algunos de los contactos seleccionados. NCC también encontró que estos smartwatches guardan y transmiten data sin codificación y una vez que se extrae, se torna en una gran amenaza. “Es muy serio cuando hay productos que pretenden dar seguridad a los niños, los ponen en riesgo debido a su poca seguridad informática y sus características que no funcionan adecuadamente. Importadores y vendedores deben de conocer lo que tienen en almacén y lo que está en venta. Estos relojes no deberían de estar en las tiendas, mucho menos en posesión de los niños.” menciona FinnMyrstad de la NCC.

A diferencia de los ataques que se llevan a cabo utilizando un malware tradicional, los ataques del malware “sin archivos” no hacen que los hackers instalen algún software en la máquina de la víctima. En lugar de eso, los atacantes toman herramientas que están incorporadas a Windows y las usan para llevar a cabo el ataque. Esencialmente, Windows se ataca así mismo. El hecho de que un malware tradicional no se use es un punto importante. Esto significa que no hay una firma de antivirus para detectar, así decrece la efectividad de estos programas detectando los ataques del malware sin archivos, y mientras la siguiente generación de productos de seguridad afirma detectar actividad de PowerShell maliciosa, la realidad es que descubrir malware sin archivos es un verdadero retoexplica Jim Gil, un experto de seguridad informática de International Institute of Cyber Security (IICS). ¿Cómo funciona éste malware? Éste ataque involucra tomar por default las herramientas de Windows, particularmente PowerShell y Windows Management Instrumentation (WMI), y lo utiliza para actividad maliciosa, como mover información a otras máquinas. PowerShell y WMI son herramientas de la preferencia de los hackers ya que están instaladas en cada máquina de Windows, capaz de llevar a cabo comandos (PowerShell por ejemplo, puede ser utilizada para automatizar tareas en múltiples máquinas) y han sido incorporadas al flujo de trabajo diario de muchos profesionales de IT, haciendo casi imposible que los trabajadores se priven de su uso. Usando programas legítimos hace que estos ataques sean casi indetectables para la mayoría de programas de seguridad e incluso analistas de seguridad. La razón es muy sencilla: ya que PowerShell y WMI son programas legítimos, cualquier comando que ejecuten se asume como legitimo explica Jim Gil, un experto de seguridad informática. POWERSHELL Es un lenguaje de programación que provee acceso sin precedentes al interior de una máquina, incluyendo acceso irrestricto a las API de Windows. PowerShell también ofrece el beneficio de ser una parte inherente de Windows que es completamente confiable para que así los comandos que ejecute sean usualmente ignorados por el software de seguridad explica Jim Gil, un experto de seguridad informáticade International Institute of Cyber Security (IICS). . La habilidad de PowerShell de correr remotamente a través de WinRM la hace una herramienta aun mas atractiva. Ésta característica permite a los hackers pasar el Firewall de Windows, correr la programación de PowerShell o simplemente iniciar una sesión interactiva de PowerShell, otorgando un control completo de administración sobre un endpoint. Si WinRM se apaga, se puede prender a través de WMI usando una sola línea de código. Usar PowerShell en el malware sin archivos, borra completamente la linea entre comprometer sólo una máquina y comprometer una empresa. El momento en el que el hacker tiene un nombre de usuario y contraseña para una máquina (que pueden ser fácilmente obtenidas mediante los escenarios de PtH y PtT), el camino para complementar la acción queda completamente abierto. Acercamientos tradicionales a la seguridad quedan inservibles frente el malware sin archivos que utiliza PowerShell ya que la herramienta es de renombre, tiene una firma confiable, se baja carga directamente a través de la memoria del sistema (el cual no puede ser escaneado al tanteo) y tiene acceso libre al sistema operativo porque es una parte integral de Windows. WINDOWS MANAGEMENT INSTRUMENTATION (WMI) WMI permite a los administradores realizar varias acciones , como juntar métricas, instalas software y actualizaciones o hacer consultas al sistema operativo. WMI tiene acceso a todos los recursos de una computadora, y se divide en clases para diferentes tareas como ejecutar archivos, borrar y copiar archivos y cambiar los valores de registro. Ésta herramienta está puesta en cada versión moderna de Windows y es la columna de los “agentless”. Éstas características hacen que WMI sea una bendición pues permite que los administradores realicen tareas muy rápido, pero cuando es usada para operaciones maliciosas se convierte en una maldición. De la misma manera en la que un administrador utiliza WMI para consultar métricas y ejecutar códigos, un hacker lo puede usar para sigilosamente correr un código malicioso a través de una red de computadoras. WMI permite la persistencia para auto-correr programas sigilosamente en el inicio o basado en eventos específicos. WMI no puede ser desinstalado, pero puede ser desabilitado. Sin embargo, esto perjudica y limita lo que el administrador pueda hacer, como actualizaciones de software en varias computadoras. EJEMPLOS DE ATAQUES DEL MALWARE SIN ARCHIVOS Mientras que este malware no es tan conocido como los ransomware o algunos otros cybernasties, estos ataques son un mayor problema de seguridad y usado en muchos ataques. De hecho, Cybereason ha visto el malware sin archivos utilizarse en varias campañas incluyendo OperationCobaltKitty, que apuntaba a un corporativo importante de Asia. Los hackers desarrollaron una infraestructura de PowerShell sofisticado y lo usaron para soltar un payload de PowerShell que consiste en un payloadCobaltStrike’sBeacon en la computadora de la víctima, así como buscar playloads desde el servidor de comando y control. Usando PowerShell para ejecutar los comandos maliciosos permite a los hackers operar sin que sean detectados por casi seis meses menciona Jim Gil, un experto de seguridad informáticadel International Institute of Cyber Security (IICS). Ya que un programa de confianza ejecutó estos comandos, el staff de la seguridad de la compañía así como las herramientas de seguridad asumen que los comandos eran legítimos acuerdo a expertos de seguridad informáticade Webimprints. Otro de los incidentes detectados por el Cybereason demuestra que tan frecuentes se han vuelto los ataques de este malware. Las operaciones de seguridad del equipo de Cybereason observaron actividad inusual en enPowerShell en el ambiente de un cliente. Supuestamente un administrador había ejecutado una sesión de PowerShell usando un comando codificado mediante una línea de comandos. Sin embargo, este comportamiento es típicamente atribuido a una escritura automatizada, no una persona. Después de investigar el incidente, el equipo de operaciones de seguridad determinó que el equipo rojo de la compañía estaba realizando pruebas de penetración y había incorporado el malware Sin archivos a su ejercicio. Si este malware no fuera una preocupación entre los profesionales de la seguridad, los equipos rojos no lo estarían añadiendo a sus pruebas. LA CRECIENTE AMENAZA DEL MALWARE SIN ARCHIVOS Técnicamente, estos ataques no son nuevos. Muchas de las técnicas utilizadas por este malware han estado presentes desde hace tiempo. Las explotaciones “in-memory” eran prominentes en el virus SQL Slammer de inicios del 2000, pero el desarrollo y distribución a gran escala de los kits de explosión ha hecho que los ataques del Sin archivos sean mucho más común. Por ejemplo, los marcos ofensivos del PowerShell como Metasploit y CobaltStrike son especialmente abusados ya que pueden ser utilizados para crear ataques de payload de PowerShell. Y, por supuesto, los ataques de Sin archivos llaman la atención de los hackers pues los softwares de antivirus no pueden detectarlos y muchas herramientas avanzadas de seguridad batallan mucho encontrando el uso malicioso del PowerShell. La dificultad que las organizaciones enfrentan en detectar estos ataques combinado con la disponibilidad de estas técnicas es realmente la razón de porque esta táctica esta siendo adoptada exponencialmente. Ya no es una técnica fraudulenta, un tercio de organizaciones encuestadas por la SANS 2017 ThreatLandscape reportó haber pasado por ataques del Sin archivos. DETECCIÓN Y PREVISIÓN DEL SIN ARCHIVOS MALWARE ¿Qué lo hace tan difícil de detectar? Estos ataques están principalmente en la memoria y usan el sistema legitimo de herramientas para ejecutar y propagarse, haciendo del uso del PowerShell algo legítimo y la actividad del hacker algo muy difícil de encontrar. PowerShell es utilizado por los administradores de IT para realizar varias actividades en un día así que el uso excesivo del PowerShell no es sospecha alguna. Debido a que PowerShell se utiliza muy frecuentemente, los profesionales de seguridad no cuentan con el tiempo de revisar cosas, accesos, notar sospechas e investigar el incidente según expertos de seguridad informática de Webimprints. Además, ciertas características en PowerShell hacen que sea difícil averiguar cuando la herramienta está siendo utilizada por hackers. Por ejemplo, PowerShell 2, que es la versión más utilizada de esta herramienta, genera eventos de acceso que informan cuando el motor se prende y se apaga, pero no da mucha información. Esto significa que estos accesos pueden no ser analizados para determinar si un payload malicioso fue puesto en marcha. En PowerShell 3, Microsoft añade la opción para un acceso manual, que permite a los analistas y productos de seguridad determinar si los archivos escritos fueron invocados y los parámetros correspondientes que les pasaron. El módulo de acceso tiene sus defectos: analistas y productos de seguridad pueden no estar disponibles para manejar la cantidad de información que produce PowerShell incluye innovaciones de seguridad pero no están disponibles por default y los hackers pueden evadir estas características regresando a la versión 2. Un error common es pensar que al desactivar PowerShell se podrán prevenir los ataques del Sin archivos. Desafortunadamente, este acercamiento sólo hará que los trabajos de los profesionales de IT sean más retadores. Microsoft ha hecho del uso de PowerShell algo casi esencial en sus productos. Por ejemplo, empezando con el Exchange 2007, Microsoft diseñó el GUI que sólo permite a los usuarios completar las funciones administrativas comunes. A PowerShell se le pide llevar funciones menos comunes. Adicional, todos los productos de Microsoft usarán PowerShell. Si los administradores se vuelven hábiles en PowerShell, entonces podrán manejar los productos más nuevos de Microsoft. Restringir el uso de PowerShell limita las habilidades de los administradores para perfeccionar habilidades que les ayuden en sus carreras. ¿Cómo puede un profesional de seguridad saber si se está usando PowerShell en contra de una empresa? La detección por conducta es la mejor manera para responder esa pregunta. Buscar señales asociadas a un mal uso de PowerShell (como una sesión de PowerShell ejecutada usando un comando codificado mediante una linea de comandos), provee al equipo de seguridad evidencia que necesitan para investigar incidentes que pueden ser la instancia del mal uso de PowerShell.

Los autores de malwares frecuentemente añaden firmas de certificados expirados o comprometidos para evitar productos AV que no validen esas firmas. La semana pasada, investigadores de la Universidad de Maryland presentaron evidencia acerca de que esta técnica esta mucho más expandida que lo que anteriormente se creía. Además, de medir la prevalencia de esta técnica, los investigadores también la utilizaron para añadir dos certificados diferentes que habían expirado a cinco ransomeware maliciosos de muestra. Obviamente, añadiendo una firma digital, expirada o no, a un pedazo del malware, no lo hace benigno Sin embargo, de acuerdo a los investigadores, esta técnica engaña a algunos nombres importantes de la industria como Crowdstrike, SentinelOne, Malwarebytes, TrendMicro, Microsoft, Symantec, Kaspersky y Sophos. fue una de los motores que marcaron cada uno de las diez muestras creadas como maliciosas. ¿Cómo fue que el Malware Webimprints pasó las pruebas de los investigadores? Primero, revisemos la razón de las firmas y certificados para permitir a los usuarios confiar los códigos ejecutables. Certificados para firmar el código vienen del mismo sistema y arquitectura que los que se utilizan para las conexiones HTTPS en sitios web. Cuando códigos ejecutables son propiamente firmados con estos certificados, quiere decir que esta certificado para originar de la organización de la que el certificado fue emitido y no ha sido manipulado con la ciencia dice Jim Gil, un experto de seguridad informática de International Institute of Cyber Security (IICS). Cuando certificados por firma de código son emitidos, se les da una fecha de expiración, muchas organizaciones tienen una clave para los códigos de fecha de expiración. Para prevenir que los códigos sellados expiren con e certificado, como paso opcional, un sello firmado con la fecha y hora puede ser añadido. Este sello es generalmente emitido por un servidor de tiempo que corre por el Certificate Authority que emite el certificado. Si uno de estos sellos no se añade, entonces la firma se considera inválida si el certificado ya expiró. Esto permite que la verificación se realice mientras el certificado sea válido. Mientras que todas las partes de la información estén presentes, la firma puede ser validada aun cuando haya expirado. Los investigadores encontraron que los motores AV fueron engañados por firmas que podrían no ser válidas. Sin embargo, no pudieron engañar a la Business Control System, una máquina basada en el motor de aprendizaje para detectar ejecutables maliciosos. Hay dos razones principales para esto, primeramente, las características extraídas de los 10 millones de muestras no incluían información de la firma. Las características se centran en un rango de características como librerías importadas, funciones exportadas, y el nombre, tamaño, y complejidad de las secciones en el archivo PE. Ya que no entrenamos en firmas y certificados como aquellos que se usan en estos ataques, Business Control System no se engaña cuando se añaden firmas invalidadas o expiradas a un archivo, y regresa una etiqueta exacta a pesar de su presencia. Encontrar ejecutables maliciosos es un problema bastante serio que se completa con la máquina aprendiendo a tomar decisiones con un whitelisting limitado en hashes y firmas. Esta nueva capa ayuda a reducir los falsos pósitos en el despliegue del cliente. La validación imprecisa de los certificados pudo habernos llevado a confiar en algunas firmas inválidas añadidas al ransomware probadas por los investigadores y falsamente marcadas como benignas. Limitando los certificados que pongamos en la whitelist, y probando a fondo la validación de los códigos de los certificados nos da la confianza que nuestra whitelist solo afecta a software legítimo. Los investigación presentada la semana pasada por la Universidad de Maryland nos provee de confirmación adicional acerca de que nuestro enfoque ayuda a detectar una amplia gama de técnicas para mantener los falsos positivos en un rango bajo comenta Jim Gil, un experto de seguridad informática de International Institute of Cyber Security (IICS). Business Control System ya ha sido probado por muchas agencias independientes y estamos contentes de que los investigadores académicos determinaran nuestra capacidad de detección de malware sea fuerte en contra de este ataque en particular. Continua y rigurosamente, probamos el Business Control System. Internamente para validar que es el mejor motor AV en el mercado, sin embargo, es importante recordad que ningún método de protección es perfecto, es por ello que Webimprints empareja con Business Control System con otra industria líder en la protección de procesos de inyección, escalamiento privilegiado, robo de credenciales, entre otros. El acercamiento por expertos de seguridad informática de Webimprints es más que efectivo para detener una amplia gama de vectores de ataque. Como lo confirmó la investigación de la Universidad de Maryland, esto incluye detener los más nuevos y creativos ataques de malware que se escapen en una solución AV, pero son rápidamente detectados en la plataforma de Webimprints.

Alrededor del 10 por ciento de las credenciales de correo electrónico de todos los empleados en las compañías Fortune 500 se han filtrado en la deep web, según un nuevo estudio del Instituto Internacional de Seguridad Cibernética El reporte de VeriCloud incluye, información de un periodo de 3 años, que analizó a 27 millones de empleados de Fortune 500 y encontró aproximadamente 2,7 millones de credenciales entre los ocho mil millones de credenciales robadas que se encuentran en la Deep Web. Si eso no es lo suficientemente malo. VeriCloud encontró que la información robada fue encontrada en múltiples eso incremento la posibilidad de que los agentes malintencionados los compraran y los utilizaran. La buena noticia es que el número representa un descenso del 7,5 por ciento con respecto a 2016. Vemos que, en promedio, cada dirección de correo electrónico filtrada de Fortune 500, asociada a una cuenta en línea, se encuentra en 2.3 fuentes de datos filtradas. Además, la disponibilidad de datos de credenciales aumenta cuando muchos actores malos vuelven a empaquetar o combinan datos de incumplimiento más antiguos y lo revenden “, afirmó el informe de seguridad informática. Según la empresa de seguridad informática WebImprints, la disponibilidad de estas contraseñas abre una corporación a una gran cantidad de ciberataques potenciales, que incluyen ataques de asalto, rellenado de credenciales y ataques de adquisición de cuentas, lo que puede llevar a que los delincuentes tengan acceso directo al personal o a las redes corporativas. Los trabajadores en los sectores de telecomunicaciones, industria y energía vieron el mayor porcentaje de credenciales robadas debido a este fallo en la seguridad informática con un 23 por ciento, 18 por ciento y 17 por ciento, respectivamente, filtrados. Los campos financiero, tecnológico y salud tienen más registros en la Deep Web, pero esto se debe principalmente al hecho de que esas industrias tienen más empleados en general. En muchos casos, la empresa Fortune 500 no tiene la culpa directa de la pérdida de datos porque sus empleados utilizaron su dirección de correo electrónico corporativo, y posiblemente las mismas credenciales de inicio de sesión, para crear una cuenta en un sitio web de un tercero. Si esta entidad sufre una infracción y la persona utiliza el mismo nombre de usuario, entonces la compañía Fortune 500 podría ser vulnerable. El problema se agrava con la gran cantidad de contraseñas débiles asociadas con sus cuentas. “Las computadoras, la industria de equipos de oficina tiene el mayor porcentaje de contraseñas débiles y comprometidas con un 25 por ciento, seguidas por las industrias de equipos de transporte y telecomunicaciones con un 17,6 por ciento y un 12,9 por ciento, respectivamente”, dijo el informe. Cuando se trata de volumen de corte, los bancos comerciales tienen la mayor cantidad de contraseñas débiles o comprometidas con 109,000; telecomunicaciones es el siguiente con un poco más de 100.000; y la computadora, el sector de equipos de oficina es el tercero con 73,000.

La compañía comercializadora de exploits privados está ampliando su alcance para adquirir errores en compilaciones Linux. De acuerdo a informes de diversas empresas de seguridad informática, Zerodium está ofreciendo $ 45,000 a los hackers dispuestos a reportar de forma privada las vulnerabilidades zero-day en el sistema operativo Linux. zerodium Hasta el día 31 de marzo, Zerodium está dispuesto a ofrecer mayores pagos a los expertos en seguridad informática, hasta $45,000 por exploits de tipo LPE. Las vulnerabilidades de tipo zero-day deberían funcionar con instalaciones predeterminadas de Linux, como las versiones de Ubuntu, Debian, CentOS, Red Hat Enterprise Linux (RHEL) y Fedora. Como sabemos muchos proveedores de tecnología, incluidos Google, Apple y Microsoft, ofrecen recompensas financieras por informes de vulnerabilidades, estos informes se utilizan para parchar el software y proteger los dispositivos de los usuarios. La empresa Zerodium es diferente a las compañías que buscan ayuda externa para descubrir vulnerabilidades. La compañía compra vulnerabilidades en una amplia gama de dispositivos y sistemas de destino, como Microsoft Windows, Google Chrome, Android, Apple OS X y varios servidores de correo electrónico, para vender esta información de forma privada a los clientes; individualmente, a través de las firmas de investigación en seguridad informática o de empresas especializadas en exploits zero-day. Colaboradores del Instituto Internacional de Seguridad Cibernética dicen, que los clientes pueden incluir agencias gubernamentales ya que requieren exploits para diversos fines, como el cifrado del dispositivo de última hora o la supervisión encubierta. Zerodium ha ofrecido recompensas que alcanzaron más de un millón de dólares en el pasado. En el pasado, la compañía ofreció $ 1.5 millones a los expertos en seguridad informática para trabajar con exploits de iOS 10. Las recompensas aumentan dependiendo de la demanda del vendedor de exploits. Según comunicados de empresas de seguridad informática como WebImprints, el año pasado, los gobiernos pidieron prohibiciones o puertas traseras obligatorias en aplicaciones cifradas y servicios de cifrado de extremo a extremo. Teniendo un cambio en las prioridades del gobierno, Zerodium aumentó los pagos de recompensas en 2017 hasta $500,000 por fallas zero-day en aplicaciones encriptadas, como iMessage, Telegram y WhatsApp. tor-zero-day-exploits-hacking El aumento en el precio de las vulnerabilidades de Linux sugiere que puede haber una gran demanda en el mercado en este momento. Zerodium generalmente ofrece hasta $ 30,000 a los investigadores en seguridad informática por una vulnerabilidad zero-day de Linux, pero con el fin de aumentar los envíos, ahora ha aumentado en $ 15,000. En septiembre, Zerodium atrajo a los investigadores con pagos de $1 millón por exploits que trabajan contra el explorador Tor.

Una vulnerabilidad parchada se utiliza para atacar los sistemas Android con una Herramienta de Acceso Remoto (RAT por sus siglas en ingles). Los estudios realizados por expertos en seguridad informática han detectado una nueva variante de AndroRAT, que puede inyectar root exploits, lo que permite a los atacantes acceder al dispositivo. AndroRAT aprovecha el CVE-2015-1805, que se hizo público y parcheó en 2016, y solo afecta a los dispositivos Android anteriores. androrat Profesionales en seguridad cibernética comentan que AndroRat se creó en 2012 como un proyecto universitario para permitir el acceso remoto a dispositivos Android, pero los hackers también encontraron otro uso para él. Los especialistas en seguridad informática explican que la nueva variante pretende ser una aplicación de utilidades llamada TrashCleaner, que probablemente se distribuye a través de una URL maliciosa. La primera vez que AndroRAT se ejecuta, instala una aplicación de calculadora etiquetada en chino que se parece al que normalmente viene incluido con cualquier dispositivo Android. El icono de la calculadora suplanta el ícono del TrashCleaner. El malware se puede controlar de forma remota, de a cuerdo a los informes de los expertos en seguridad cibernética. Algunos de los nuevos bits de robo incluyen; robo de información de la red móvil, capacidad de almacenamiento, aplicaciones instaladas, historial de navegación web de los navegadores pre instalados, calendario de eventos, registro de llamadas, subir archivos al dispositivo víctima, utilizar la cámara frontal, borrar y enviar SMS, captura de pantalla, ejecución de comandos shell y contraseñas de Wi-Fi.

En este artículo trataremos de dar una explicación simple y fácil de seguir de por qué todo el mundo habla de esto y por qué también debería actualizar su seguridad de datos. En pocas palabras, ahora los hackers pueden robar su dinero y su información, mientras aumentan su factura de energía y posiblemente destruyan el hardware de su computadora. cryptojacking Primero debemos saber lo que es Blockchain, es el principio básico de Bitcoin y la mayoría de las otras criptomonedas. Blockchain, resolvió un desafío muy grande. Un archivo digital puede ser copiado, modificado o falsificado. Si bien no se puede obtener una factura directamente de un proveedor y dársela a su amigo, se puede copiar una factura digital para que dos personas puedan gastar esa factura exacta, explica un experto en seguridad cibernética. También había otro problema, para verificar que la factura era original y no una copia o una falsificación, necesitabas que alguien realmente verificara. Al poner esto en manos de un tercero, los usuarios quedan expuestos a muchos riesgos. El protocolo Blockchain elimina al intermediario al hacer que todos sean participantes activos en la transacción. Nuestro especialista en seguridad de datos nos dice que con Blockchain, cada vez que alguien realiza una transacción, esa transacción se registra en un bloque para que permanezca permanentemente disponible. A medida que más y más personas envían dinero, se crean cada vez más bloques y se vinculan entre sí en la cadena. Si alguien quisiera hackear una transacción o duplicarla, tendría que atacar toda la cadena de bloques. Las personas o máquinas que vinculan estas transacciones se llaman mineros. A cambio de una pequeña tarifa, vinculan las transacciones y crean los bloques que se agregarán a la cadena. En algunos casos, hay computadoras especiales diseñadas específicamente para minar criptomonedas, llamadas ASIC. En el pasado, los hackers intentaron robar la información de su tarjeta de crédito para que pudieran usar su dinero. Ahora, los hackers pueden robar los recursos de su computadora para crear dinero. Con Bitcoin, el robo es posible. Sin embargo, el proceso de minería de Bitcoin ahora requiere demasiados recursos para las configuraciones regulares y se realiza en hardware especializado. Con Monero, robar es extremadamente fácil. Porque se puede hacer en una computadora común. Monero también es anónimo e imposible de rastrear. Incluso si las autoridades estuvieran dispuestas a ayudarlo en caso de un ataque, Monero les hace casi imposible identificar a los autores, de acuerdo a un especialista en seguridad cibernética. Ahora hay que saber que es CoinHive, es un minero de Monero que usa Javascript, el lenguaje de programación más popular. Este código se puede incrustar en cualquier página web. Una vez que accede a esa página, utiliza el procesador de su computadora para extraer Monero. Los hackers pueden dirigirse a los sitios web que visitas e implementar el script de CoinHive. Le ha sucedido a miles de sitios web, desde pizzerías, blogs, organizaciones de salud y páginas gubernamentales. Tal ataque se llama cryptojacking, que es un “secuestro de criptomonedas”. Se roba el poder de procesamiento de la computadora para crear criptomonedas y obtener ganancias rápidas e imposibles de rastrear. Básicamente, convierte su PC o dispositivo en un minero de Monero. La secuencia de comandos de CoinHive puede usar el 100% de la potencia de la CPU del visitante y, por lo tanto, reducir la vida útil del hardware. Investigadores de seguridad de datos nos dan algunas medidas de seguridad que ayudan a evitar estos ataques. Protege siempre tu computadora con un antivirus, aunque el malware moderno puede escapar de él. También necesita una solución antimalware para detectar las amenazas antes de que lleguen a su PC. En cualquier navegador, tanto en escritorio como en dispositivos móviles, use un bloqueador de anuncios. Actualice siempre su software, porque la mayoría de los ataques se llevan a cabo debido a vulnerabilidades sin parches. Siempre use contraseñas seguras o un administrador de contraseñas seguro para que, en caso de un ataque, su información personal no se vea comprometida.

Hace unos meses, el Instituto Nacional de Estándares y Tecnología (NIST por sus siglas en ingles) hizo una publicación para mejorar la seguridad cibernética de infraestructura crítica, conocido comúnmente como Cybersecurity Framework. Esto trajo muchas dudas si ya se está familiarizado con ISO 27001. Cybersecurity Framework se diseñó inicialmente para las empresas de EE. UU. Que se consideran parte de la infraestructura crítica. No obstante, es adecuado para ser utilizado por cualquier organización que enfrenta riesgos de seguridad cibernética. Por otro lado, ISO / IEC 27001 es una norma de seguridad cibernética publicada en 2005 y revisada en 2013. Si bien no es obligatorio, se acepta en la mayoría de los países como un marco principal para la implementación de la seguridad de datos. Describe el sistema de gestión de la seguridad de datos y sitúa la seguridad en el contexto de la gestión y los procesos generales de una empresa. Tanto Cybersecurity Framework como ISO 27001 le brindan la metodología sobre cómo implementar la seguridad cibernética en una organización. Podría implementar cualquiera de estos. Probablemente la mayor similitud es que ambos se basan en la gestión del riesgo: esto significa que ambos requieren que las salvaguardas se implementen solo si se detectan riesgos de seguridad cibernética. Cybersecurity Framework Cybersecurity Framework claramente está mejor estructurado cuando se trata de planificación e implementación. Framework Core está dividido en funciones; Identificar, Proteger, Detectar, Responder y Recuperar, y luego en 22 Categorías relacionadas, por ejemplo, Gestión de Activos, Gestión de Riesgos, etc. similares a las secciones en ISO 27001. 98 subcategorías, y para cada subcategoría se hacen varias referencias a otros marcos como ISO 27001, COBIT, NIST SP 800-53, ISA 62443 y CCS CSC. De esta manera, es muy fácil ver cuáles son los requisitos y dónde encontrar la manera de implementarlos. nist-cyber-security-framework-cybersecurity-controls-policy Niveles de Implementación de Cybersecurity Framework; Parcial, informado de riesgo, repetible y adaptable. De esta manera, una empresa puede decidir fácilmente hasta dónde quiere llegar con su implementación, teniendo en cuenta los requisitos. Entonces es el perfil del marco; Perfil actual, Perfil de destino y otros ayudan a las imágenes en las que se encuentra la organización en este momento, relacionadas con las categorías y subcategorías de Framework Core, y dónde quiere estar. Además, Framework Profiles podría usarse para establecer los requisitos mínimos para otras organizaciones como proveedores o socios. Esto no existe en ISO 27001 En general, Cybersecurity Framework permite que tanto la alta dirección como los ingenieros y demás personal de TI comprendan fácilmente qué se debe implementar y dónde están las vulnerabilidades. ISO 27001 Una de las mayores ventajas de ISO 27001 es que las empresas pueden certificarse por ella, esto significa que una empresa puede demostrar a sus clientes, socios, accionistas, agencias gubernamentales y otros que pueden mantener su información segura. Además, ISO 27001 es un estándar aceptado y reconocido internacionalmente: si una empresa desea demostrar su capacidad a sus clientes, socios y gobiernos fuera de su país, ISO 27001 será mucho mejor. iso 27 ISO 27001 se enfoca en proteger todo tipo de información, no solo la información procesada en los sistemas de TI. Es cierto que la información en papel tiene cada vez menos importancia, pero para algunas compañías tal información aún puede presentar riesgos significativos. ISO 27001 define qué documentos y registros son necesarios, y cuál es el mínimo que debe implementarse. Finalmente, mientras que Cybersecurity Framework se enfoca solo en cómo planificar e implementar la seguridad cibernética, ISO 27001 adopta un enfoque mucho más amplio, su metodología se basa en el ciclo Planificar, Hacer, Verificar, Actuar (PDCA), lo que significa que construye el sistema de gestión que mantiene y mejora todo el sistema. Sin una medición constante, revisión, auditoría, acciones correctivas y mejoras, dicho sistema se deteriorará gradualmente y finalmente perderá su propósito. Cual es mejor Esto no debe ser una cuestión de uno u otro, me parece que sería mejor combinarlos. En realidad, Cybersecurity Framework sugiere que puede complementarse fácilmente con otro programa o sistema, e ISO 27001 ha demostrado ser un muy buen marco general para diferentes metodologías de seguridad de datos. Por lo tanto, creo que se pueden lograr los mejores resultados si el diseño de la seguridad de datos completa se establece de acuerdo con ISO 27001 y utilizar Cybersecurity Framework en lo que respecta a la gestión de riesgos y la implementación de las áreas y salvaguardas de seguridad particulares.