Archivo de la categoría: Seguridad & Internet

Trend Micro ofrece más de 500.000 dólares en Mobile Pwn2Own 2017

Zero Day Initiative de Trend Micro apoya y fomenta la divulgación de zero-day en los últimos dispositivos móviles del mercado

 

Madrid, 29 de agosto de 2017 – Como parte de su continuo esfuerzo por impedir y frustrar los ataques maliciosos contra consumidores y empresas, Trend Micro Incorporated (TYO: 4704; TSE: 4704), líder global en soluciones de ciberseguridad, ha puesto en marcha el concurso Mobile Pwn2Own de Zero Day Initiative. El evento de este año tendrá lugar los días 1 y 2 de noviembre, durante la celebración de la Conferencia PacSec 2017 en Tokio, Japón. El concurso recompensa a los investigadores de seguridad por demostrar y revelar ataques zero-day contra los dispositivos móviles más recientes y populares.

 

Los concursantes recibirán dinero en efectivo y premios durante la competición por descubrir vulnerabilidades y técnicas de explotación contra los parches más actualizados en las plataformas móviles más populares. Los objetivos de este año incluyen el iPhone de Apple 7, Samsung Galaxy S8, Google Pixel y Huawei Mate9 Pro. Después del concurso, los fabricantes tendrán 90 días para producir parches para estos errores, en lugar de la ventana de divulgación estándar de 120. Esto refleja la integridad de los exploits ocasionados con éxito durante el concurso. Dado que se trata de vulnerabilidades prácticas con aplicaciones demostradas, una ventana de parche acortada ayuda a proteger más rápidamente al usuario final contra fallos potencialmente dañinos.

 

“Este concurso encarna y reproduce la responsabilidad de Trend Micro para alentar y facilitar el descubrimiento de vulnerabilidades zero-day”, afirma Mike Gibson, vicepresidente de investigación de amenazas de Trend Micro. “Recompensar la divulgación responsable de estos errores promueve nuestro objetivo general de hacer que todos estén más seguros online. Los investigadores que participan en el concurso ganan notoriedad y puede obtener una cantidad económica significativa, y los fabricantes tienen la oportunidad de parchear vulnerabilidades zero-day que podrían haber causado estragos en sus sistemas”.

 

Para destacar la importancia de vigilar estas amenazas y la divulgación responsable, la edición del concurso este año ofrece premios más grandes que nunca, con un premio de más de 500.000 dólares. El concurso consta de cuatro categorías que incluyen navegadores, corta distancia y WiFi, mensajería y banda base, que regresa este año. A continuación se muestra la lista completa de objetivos y premios:

 

Categorías Objetivo Premio en Metálico Puntos Máster Pwn
Navegador Chrome 50.000 $ 10
Safari 40.000 $ 10
Browser 30.000 $ 8
Corta distancia y WiFi Bluetooth 40.000 $ 8
NFC 50.000 $ 8
WiFi 60.000 $ 8
Mensajería SMS 60.000 $ 12
MMS 60.000 $ 12
Banda base * 100.000 $ 20

 

Además de las categorías estándar y los premios, hay bonus adicionales por ejecutar código con privilegios del kernel y tener la carga útil persistente después de un reinicio. Estos bonos ayudarán a los concursantes a alcanzar el codiciado título de “Máster Pwn”, agregando puntos adicionales a su total por cada exploit exitoso.

 

Para obtener más información sobre Mobile Pwn2Own, visite: https://www.zerodayinitiative.com/blog/2017/8/24/mobile-pwn2own-2017-returns-to-tokyo
Siga a @thezdi y @trendmicro durante el evento, o siga el hashtag #MP2O para obtener una cobertura actualizada.

El Reglamento General de Protección de Datos (GDPR). ¿Por dónde empezar?

Ha comenzado la cuenta atrás para la entrada en vigor del GDPR y las empresas ya están luchando por implantarlo en sus soluciones dentro de los plazos establecidos por la Comisión Europea.

 

Sin embargo, antes de meterse de lleno en el proceso de implantación sin mirar atrás, es necesario entender bien que la nueva ley de protección de los datos personales va a suponer una revolución en la manera en que las empresas recopilan, almacenan, tratan y comparten los datos personales de sus clientes y colaboradores. Este nuevo enfoque del tratamiento de datos va a necesitar que las empresas tengan una organización interna específica y medidas adaptadas para responder a las directivas impuestas por la ley. Entonces, ¿puede considerarse el GDPR como una tarea de enormes dimensiones? Todo depende de la empresa y de la utilización que haga de los datos personales que posea; en cualquier caso, es un paso obligatorio que tendrán que ir dando en función de las diferentes fases para asegurar los datos personales.

 

Primera fase: el enfoque metodológico o el compromiso con la puesta en marcha

Como se va a valorar la empresa por sus procesos internos, conviene, en primer lugar, iniciar una fase de reflexión en la que todas las partes interesadas de la empresa se planteen las políticas que están en vigor ahora y si dichas políticas serían capaces de responder a las directivas del GDPR. ¿Qué soluciones de seguridad se desarrollan in situ? ¿Son recientes y se actualizan con regularidad? ¿Responden a las necesidades de protección frente a nuevas amenazas? Hacer un análisis de los riesgos de antemano permitirá detectar los fallos potenciales de la empresa, determinar el impacto sobre los derechos y libertades y, finalmente, asociarlos a las medidas adecuadas. La noción de responsabilidad está también muy desarrollada en el GDPR, por lo que es importante, de ahora en adelante, impartir cursos de formación interna al personal para sensibilizarlo con el compromiso de la empresa, las filtraciones de datos y el panorama actual de las amenazas.

 

Segunda fase: el enfoque jurídico o cómo demostrar “una irreprochabilidad” ante las autoridades competentes

El responsable del tratamiento de los datos debe notificar la mayoría de las violaciones relacionadas con los datos a las autoridades competentes en un plazo de 72 horas desde la detección del incidente. Por lo tanto, para cumplir con la ley, será necesario que la empresa cree un plan de notificación de las violaciones que englobe a todos los departamentos y que sea capaz de identificar un ataque antes de que se produzca. Además, en el artículo 32 se indica que el responsable y el encargado del tratamiento de datos deben, en caso de que se produzca un incidente de seguridad, informar a los individuos y a las autoridades competentes si la violación de los datos supone un riesgo elevado para sus derechos y libertades, a excepción de si se han empleado “las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo”, o si compromete la “la seudonimización y el cifrado de datos personales”. Por ello, para cumplir lo dispuesto en los diferentes artículos modificados por la ley, es importante desarrollar un sistema de seguridad exhaustivo que agilice la prevención, detección y responsabilización de las nuevas amenazas (como los ransomware), mediante la mejora del control general de la infraestructura de seguridad.

 

Tercera fase: el enfoque tecnológico o el desarrollo de una línea de defensa holística

Aunque se deben implementar las técnicas de protección de datos personales obligatoriamente dentro de los plazos establecidos por la ley, se sabe que la solución milagrosa capaz de detener cualquier amenaza que se presente no existe todavía. Por tanto, es imprescindible combinar varias técnicas avanzadas para alcanzar un nivel de protección máxima (antimalware, filtrado de URL, análisis de comportamiento, control de aplicaciones, entorno de pruebas, firmas, etc.) y, a la vez, actuar de manera coordinada con el fin de optimizar la prevención, reacción y visibilidad frente a las amenazas. El mero hecho de adoptar un enfoque de seguridad exhaustivo basado en una protección centrada en los datos integrada en toda la empresa, además del cifrado, el parcheo virtual y una supervisión potente para conocer constantemente el estado de seguridad de la infraestructura informática, ayudará a construir unos grandes muros de defensa y a detectar las amenazas de forma más rápida y precisa.

 

Por tanto, respetar el GDPR constituye el primer paso hacia una mejor seguridad de la empresa.

 

Fuentes relacionadas:

  1. El ransomware WannaCry pone de manifiesto fallos de seguridad graves antes de la llegada del GDPR
  2. Las PYME y el almacenamiento de datos

Este contenido se ha publicado en Best practices, su autor es Renaud Bidou y está clasificado con la etiqueta GDPR. Guárdelo en favoritos mediante el permalink.

 

Última hora: Lo que necesitas saber sobre el brote de ransomware ‘Petya’ Ransomware

El martes 27 de junio la actualidad volvió a inundarse con noticias sobre otra epidemia de ransomware del estilo a WannaCry que estaba causando estragos y sembraba el caos en organizaciones de todo el mundo. En pocas horas, al parecer, había infectado a grandes firmas, compañías de servicios públicos, departamentos gubernamentales y muchos otros.

El equipo global de investigadores de amenazas de Trend Micro ha estado siguiendo de cerca el rápido desarrollo de esta campaña de ataque de ransomware, así que aquí está lo que los líderes y responsables de TI de España deben saber.

¿Qué es este último ataque?
Es una variante de Petya, una familia de ransomware vista por primera vez en 2016 y detectada por Trend Micro como RANSOM_PETYA.SMA. Después de infectar con éxito una máquina, esta versión modificará su registro de arranque maestro (MBR) haciendo que el sistema no arranque y confirmando que los usuarios quedan bloqueados mientras se muestra una nota de rescate que exige un pago de 300 dólares en Bitcoins. A continuación, cifra más de 60 tipos de archivos poniendo especial foco en los que se utilizan con mayor frecuencia en configuraciones de empresa – por ejemplo, los tipos de archivo de imagen y vídeo se salvan.

Se insta a las organizaciones afectadas a NO PAGAR el rescate ya que la cuenta de correo electrónico utilizada por los atacantes para validar los pagos ha sido desactivada por el proveedor Posteo.

¿Cómo se propaga?
Esta amenaza primero intentará propagarse a través de una versión modificada de PsExec, una herramienta de administración del sistema legítima, para instalar el ransomware. Si no tiene éxito, abusa de Windows Management Instrumentation Command (WMIC), otra interfaz de secuencias de comandos legítima, para ejecutar el ransomware en la máquina. Se cree que el uso de herramientas legítimas como esta ayuda a evadir los controles de seguridad tradicionales.

Solo si estas tácticas fallan, la amenaza recurrirá al mismo vector de infección que WannaCry: el exploit EternalBlue de la NSA que apunta a (MS17-010), una vulnerabilidad en Server Message Block de Windows.

Para ayudar a su propagación localmente, la amenaza también despliega una versión de Mimikatz, una herramienta de seguridad legítima que extraerá nombres de usuario y contraseñas de la máquina objetivo. Si ese PC tiene credenciales de administrador instaladas,  entonces la amenaza podría extenderse a todas las máquinas de la red a través de PsExec/WMIC.

¿Cómo puedo mitigar la amenaza?
Como puede ver, esta amenaza es más compleja que WannaCry, con múltiples métodos de infección incorporados. Eso significa que la forma más efectiva de mitigar el riesgo es a través de un enfoque multicapa de defensa en profundidad. Esto debe incluir:

La Concienciación del Usuario es fundamental, estar alerta antes de abrir correos electrónicos que procedan de fuentes desconocidas o de pinchar en enlaces que no parezcan correctos. También es importante sensibilizar y concienciar a los usuarios sobre lo que deben hacer si creen que han recibido un email sospechoso o si les anima a visitar un sitio dañino

Actualización de sistemas con los últimos parches para bloquear el riesgo de explotación a través de EternalBlue. Considere el uso de parches virtuales si por alguna razón no puede implementar inmediatamente los parches del proveedor.

Aplicar políticas de “privilegios mínimos” a todos los PC corporativos para ayudar a restringir su propagación.

Restringir y proteger las herramientas de administración del sistema como PowerShell y PsExec.

Deshabilitar herramientas y protocolos en sistemas que no los requieran. Comience por bloquear el puerto TCP 445.

Hacer copias de seguridad con regularidad siguiendo la regla 3-2-1: 3 copias de seguridad en 2 medios diferentes con 1 copia de seguridad fuera de sitio.

Monitorización proactiva de las redes en busca de comportamiento sospechoso.

Implementar segmentación de red y categorización de datos para detener la propagación de ransomware.

Monitorizar el comportamiento puede bloquear la actividad inusual, como los sistemas de cifrado.

La seguridad el gateway de correo electrónico y la categorización de URL para bloquear sitios maliciosos pueden reducir aún más la superficie de ataque.

Tenemos más información sobre la amenaza aquí, y aquí. Trend Micro continuará analizando de esta amenaza, así que permanezca atento a cualquier otro avance.

Ataque de ransomware a gran escala, golpea duramente a Europa

Madrid, 28 de junio de 2017 – Un ataque de ransomware a gran escala del que se ha comunicado que ha sido causado por una variante del ransomware Petya está golpeando actualmente a varios usuarios, particularmente en Europa. Esta variante, que Trend Micro ya detecta como RANSOM_PETYA.SMA, es conocida por utilizar tanto el exploit EternalBlue como la herramienta PsExec como vectores de infección. Tanto a usuarios como a organizaciones se les aconseja seguir los siguientes pasos de mitigación inmediatamente para prevenir y evitar la infección:

  • Aplicar el parche de seguridad MS17-010
    • Desactivar el puerto TCP 445
    • Restringir las cuentas con acceso al grupo de administradores

Trend Micro también protege a sus clientes contra esta amenaza con Predictive Machine Learning y otras importantes funciones de seguridad frente al ransomware que se encuentran en Trend Micro XGen™ security. Actualmente, la compañía está trabajando en el análisis de esta amenaza y actualizará esta publicación tan pronto tenga más detalles disponibles.

Corriente de infección

Como se mencionó anteriormente, la entrada inicial de este ransomware en el sistema implica el uso de la herramienta PsExec, una herramienta oficial de Microsoft utilizada para ejecutar procesos en sistemas remotos. También utiliza la vulnerabilidad de EternalBlue -previamente empleada en el ataque de WannaCry– que se dirige a una vulnerabilidad en Server Message Block (SMB) v1. Una vez en un sistema, esta variante Petya utiliza el proceso rundll32.exe para ejecutarse por sí misma.  El cifrado real es llevado a cabo por un archivo llamado perfc.dat, ubicado en la carpeta de Windows.

Este ransomware añade entonces una tarea programada, que reinicia el sistema después de al menos una hora (Mientras tanto, la Master Boot Record (MBR) también se modifica para que el encriptador realice el cifrado y se muestre la nota de rescate correspondiente. Inicialmente, se muestra una notificación falsa de CHKDSK, es decir, cuando el cifrado se lleva a cabo realmente. Normalmente el ransomware, no cambia las extensiones de los archivos cifrados. Más de 60 extensiones de archivos están dirigidas al cifrado, vale la pena señalar que las extensiones de archivo objetivo se centran en los tipos de archivo utilizados en la configuración de la empresa; imágenes y archivos de vídeo (dirigidos por otros ataques de ransomware) están particularmente ausentes.

Figura 1. Diagrama de infección

   

Figuras 2 y 3. Avisos de Ransomware que se muestran después del reinicio 

Aparte del uso del exploit EternalBlue, hay otras similitudes a WannaCry. Al igual que este ataque, el proceso de rescate de esta variante Petya es relativamente simple: también utiliza una dirección Bitcoin codificada, haciendo que el descifrado sea un proceso mucho más laborioso por parte de los atacantes. Esto contrasta con los ataques anteriores de Petya, que tenían una interface de usuario (UI) más desarrollada para este proceso. A cada usuario afectado se le pide que pague un rescate de 300 dólares. Hasta este momento, se han pagado aproximadamente 7.500 dólares en la dirección de Bitcoin. Como en todos los ataques de ransomware, Trend Micro aconseja no pagar el rescate –en este caso, esto es particularmente importante, ya que la cuenta de correo electrónico mencionada en la nota de rescate ya no está activa.

PsExec y línea de Comando de Información de Administración de Windows (WMIC)
Petya utiliza hábilmente los procesos legítimos de Windows PsExec y Windows Management Information Command-line, que es una interfaz que simplifica el uso de Windows Management Instrumentation (WMI).

Una vez que Petya se ha descargado, descargará psexec.exe como dllhost.dat en la máquina de destino. El malware también desgarta una copia de sí mismo en \\{nombre de máquina remota}\admin $\{malware filename}. A continuación, ejecuta la copia eliminada utilizando dllhost.dat localmente (que es el nombre de archivo de la herramienta PSExec) con los parámetros siguientes:

dllhost.dat \\{remote machine name} -accepteula -s -d C:\Windows\System32\rundll32 “C:\Windows\{malware filename}”,#1 {random number minimum 10} {enumerated credentials}

El formato de {enumerated credentials} es el siguiente:

“Un1: pw1” “un2: pw2” “un3: pw3” … “unN: pwN”

Si esto no tiene éxito, entonces Petya utilizará WMIC.EXE para ejecutar el archivo en la máquina remota:

%System%\wbem\wmic.exe /node:”{node}” /user:”{user name}” /password:”{password}” process call create “C:\Windows\System32\rundll32 \”C:\Windows\{malware filename}\” #1 {random number minimum 10} {enumerated credentials}”

Petya utilizará PSExec o WMIC para difundir el malware a otros sistemas dentro de la red local. Si esta parte de la cadena de infección no funciona, solo entonces Petya explotará la vulnerabilidad EternalBlue.

Método de extracción de información
Trend Micro ha descubierto que esta variante de Petya utiliza un método avanzado para extraer información del sistema infectado. Utiliza un Mimikatz personalizado, una herramienta de seguridad legítima, para extraer nombres de usuario y contraseñas. Los ejecutables Mimikatz de 32 bits y 64 bits se cifran y almacenan en la sección de recursos del ransomware. El método de extracción se ejecuta cuando el proceso de malware principal abre un conducto, que es utilizado por el Mimikatz personalizado para escribir sus resultados. Estos resultados son leídos por el proceso principal del malware. Como se mencionó anteriormente, Petya es capaz de extenderse a otros sistemas dentro de la red local utilizando esta información extraída.

Procedimiento de modificación del disco
Antes del cifrado, Petya modificará primero el MBR como parte de su proceso. Inicialmente, el sector después Volume Boot Record (VBR) se escribe con código (0xBAADF00D), lo que hace que el sistema no arranque.

También accede a los siguientes sectores:

  • Los sectores 0 a 18 (desplazamiento de disco 0 a 25FFh) se sobrescriben con su propio programa de arranque.
    • El sector 32 (desplazamiento del disco 4000h a 41FFh) se escribe con algunos datos aleatorios estructurados.
    • El sector 33 (offset de disco 4200h a 43FFh) se llena con 07h.

El MBR original está cifrado:

  • El sector 34 (desplazamiento de disco 4400h a 45FFh) se escribe con el MBR original cifrado XOR.

Si el proceso anterior falla, sobreescribirá los sectores 0-9 con código (0xBAADF00D).

Soluciones de Trend Micro

Puedes encontrar más información sobre las soluciones de Trend Micro en este artículo.

Los siguientes hashes SHA256 están relacionados con esta amenaza:

  • 027cc450ef5f8c5f653329641ec1fed91f694e0d229928963b30f6b0d7d3a745
  • 64b0b58a2c030c77fdb2b537b2fcc4af432bc55ffb36599a31d418c7c69e94b1

Noticias falsas y ciberpropaganda: el uso y abuso de los medios sociales

Cuando el término “noticia falsa” (fake news) aparece, solemos pensar en los mensajes de las redes sociales con historias bastante fantásticas e inverosímiles, mientras que los mensajes compartidos en las redes sociales son su aspecto más visible, hay mucho más en las noticias falsas que títulos de artículos exagerados en los medios de comunicación social.

Accede a “Fake News and Cyber Propaganda: The Use and Abuse of Social Media” de Trend Micro

Noticias falsas y ciberpropaganda
Las noticias falsas pueden parecer algo nuevo, pero la plataforma utilizada es la única novedad. La propaganda ha existido durante siglos, e Internet es solamente el último instrumento de comunicación en ser explotado para esparcir mentiras y extender la desinformación.

El triángulo de fuego representa los tres elementos que un fuego necesita para quemar: oxígeno, calor y un combustible. Del mismo modo, las noticias falsas requieren tres elementos diferentes para tener éxito. Estos representan colectivamente el Triángulo de las Noticias Falsas: si no hay ninguno de estos factores, es incapaz de extenderse y alcanzar a su audiencia.

Figura 1. Triángulo de Noticias Falsas

 

El primer requisito: herramientas y servicios para manipular y difundir el mensaje a través de redes sociales relevantes, muchas de las cuales se venden en varias comunidades online de todo el mundo. Hay una amplia variedad de herramientas y servicios disponibles; algunos son relativamente sencillos (likes/followers pagados, etc.), mientras otros son más inusuales -algunos servicios prometen rellenar encuestas online, mientras que otros fuerzan a los propietarios de sites a retirar sus historias. En cualquier caso, las herramientas y los servicios de promoción de los medios sociales están disponibles, tanto dentro como fuera de la escena del underground o mercado clandestino.

Por supuesto, para que estas herramientas sean de cualquier uso, las redes sociales tienen que existir como una plataforma para difundir propaganda. Con la gente pasando cada vez más tiempo en estos sitios como forma de obtener las últimas noticias e información, su importancia en la difusión de noticias falsas no se puede subestimar. Sin embargo, hay una diferencia entre simplemente publicar propaganda y convertirla en algo que el público objetivo consume. Trend Micro muestra qué tipo de técnicas son utilizadas por los spammers para atraer a los usuarios y que vean sus historias.

El estudio de los medios de comunicación social también nos da una visión de las relaciones entre los bots y los destinatarios de la promoción de los medios sociales en Twitter. Esto nos da una idea del alcance y la organización de las campañas que intentan manipular la opinión pública.

Finalmente, la campaña de propaganda siempre viene con la pregunta: ¿por qué? Comentamos las motivaciones que hay detrás de las noticias falsas: a veces se trata simplemente de un deseo de ganar dinero a través de la publicidad. En otros casos, los objetivos pueden variar de lo criminal a lo político. Independientemente del motivo, el éxito de cualquier campaña de propaganda se basará, en última instancia, en lo mucho que afecta al mundo real.

Casos de estudio
Para mostrar la efectividad de estas campañas, el trabajo de Trend Micro incluye varios casos de estudio que muestran cómo varios agentes utilizarían herramientas para difundir noticias falsas para sus propios fines. Los casos de estudio de Trend Micro incluyen:

Las herramientas específicas para cada campaña no son especialmente diferentes: seguidores / fans, likes, reposts, comentarios, vídeos. Algunas campañas pueden encontrar que vale la pena comprar versiones de “alta calidad” de estos productos, que son teóricamente más difíciles de detectar por las redes de los medios sociales.

Figuras 2-4. Varios usos de noticias falsas

Contramedidas
Los gobiernos, empresas y usuarios se están dando cuenta de lo seria que puede ser la manipulación de la opinión pública, tal como se manifiesta en la investigación “noticias falsas”.

Los gobiernos están comenzando a reconocer que las noticias falsas son algo que debe ser combatido activamente. Varias agencias gubernamentales ya están estableciendo servicios para desmentir historias que consideran falsas. También están considerando la imposición de reglamentos y castigar a los sitios que publican información errónea.

Los objetivos de estas nuevas regulaciones incluirían los servicios de redes sociales. Esto haría de las noticias falsas algo muy malo para los negocios, de hecho, y por eso, están tomando medidas para combatirlo. Los pasos que se están siguiendo incluyen la suspensión de bot / cuentas sospechosas, añadir características para permitir a los usuarios informar de noticias falsas, y la contratación de más personal para ayudar a tratar con estos informes.

Al final, sin embargo, esto se reduce a usuarios formados. El trabajo de Trend Micro plantea algunas de las señales de las falsas noticias, con la esperanza de que los lectores puedan determinar por sí mismos cómo detectarlas. Este documento también debate sobre la psicología de las noticias falsas -qué hace que estas campañas funcionen y cómo pueden convencer a la gente- con la esperanza de que la concienciación sobre estas técnicas permita a los lectores resistirlas.

Para obtener más detalles en relación a los aspectos de las noticias falsas y la ciberpropaganda, consulta el documento de investigación: “La máquina de noticias falsas:  ¿cómo los propagandistas abusan de Internet y manipulan al público?”.