Archivo de la etiqueta: Protección de datos

Encontrando agujeros en la Seguridad Bancaria: Operación Emmental

David Sancho (Senior Threat Researcher)

Al igual que el queso suizo Emmental, la forma en que sus cuentas bancarias on line están protegidas podría estar llena de agujeros. Los bancos han estado tratando de evitar que los delincuentes tengan acceso a sus cuentas en línea desde siempre. Contraseñas, PINs, tarjetas de coordenadas, TANs, tokens de sesión – todos fueron diseñados para ayudar a prevenir el fraude bancario. Recientemente hemos encontrado una operación criminal que tiene como objetivo derrotar a una de estas herramientas: tokens de sesión. Así es como lo consiguen.

Esta banda criminal intenta dar en el blanco de los bancos que utilizan los tokens de sesión enviados a través de SMS (es decir, mensajes de texto). Este es un método de autenticación de dos factores, que utiliza los teléfonos de los usuarios como canal secundario. Tratando de iniciar sesión en el site de un banco, el mismo banco debería enviar a los usuarios un SMS con un número. Los usuarios tienen que introducir ese número, junto con su usuario y contraseña habituales con el fin de realizar transacciones con la entidad bancaria. Por defecto, este es utilizado por algunos bancos en Austria, Suecia, Suiza, y otros países europeos.

Los cibercriminales spamean a los usuarios desde esos países con correos electrónicos spoofing que parecen venir de minoristas on line. Los propios usuarios hacen clic en un enlace malicioso o en un archivo adjunto e infectan sus ordenadores con malware. Hasta ahora, todo es bastante típico y desde una perspectiva de amenaza, un tanto aburrido.

Pero aquí es donde se pone interesante. Los equipos de los usuarios en realidad no se infectan, desde luego no con el malware bancario habitual. El malware sólo cambia la configuración de sus ordenadores y luego se elimina a sí mismo. ¿Qué te parece esto como infección indetectable? Los cambios son pequeños …. pero de grandes repercusiones.

Así es como funciona: la configuración de los DNS de los «ordenadores» de los usuarios se cambia para que apunte a un servidor externo controlado por ciberdelincuentes. El malware instala un certificado raíz SSL en sus sistemas para que los servidores HTTPS maliciosos confíen y no vean ninguna advertencia de seguridad.

1

Figura 1. ¿Qué sucede en el proceso de autenticación de 2 factores cuando el PC está infectado por la Operación Emmental?

Ahora, cuando los usuarios con ordenadores infectados intentan acceder a la página web del banco, se dirigen a un site malicioso que se parece al de su banco. Hasta ahora, esto es sólo un sofisticado ataque de phishing, pero estos criminales son mucho más retorcidos que eso. Una vez que los usuarios introducen sus credenciales, se les indica que instalen una aplicación en su smartphone.

Esta aplicación Android maliciosa está disfrazada de generador de tokens de sesión del banco. En realidad, interceptará mensajes SMS desde el banco y los remitirá a un servidor de comando y control (C & C) o a otro número de teléfono móvil. Esto significa que el ciberdelincuente no sólo obtiene las credenciales de banca online de las víctimas a través de la página web de phishing, sino también las sesiones de tokens necesarias para operaciones bancarias en línea. Los delincuentes terminan con un control total de las cuentas bancarias de las víctimas.

Es una gran operación de malware. Campañas de spam adaptadas al país, malware no persistente, servidores DNS maliciosos, páginas de phishing, malware para Android, servidores C & C y servidores back end. No se puede decir que estos criminales sean perezosos.

Los criminales detrás de esta operación en particular tienen como objetivo a los usuarios de Internet en Suiza, Austria y Suecia. En mayo, añadieron a los usuarios japoneses a su lista de potenciales víctimas. Hemos sido capaces de rastrear los operadores de vuelta mediante los apodos: – = FreeMan = – y Northwinds. Estos cibercriminales han estado activos desde 2011. En aquel entonces, expandían paquetes de malware como SpyEye y Hermes. En cuanto a los binarios que se desplegaron recientemente, creemos que los criminanles hacen uso de al menos dos servicios de cifrado diferentes. Uno de estos servicios está dirigido por una persona de Uzbekistán. No hemos sido capaces de identificar el otro.   

Puedes encontrar más información sobre este ataque en nuestro informe Finding Holes: Operation Emmental, que habla de esta técnica en profundidad. SWITCH.CH, el CERT de Universidades en Suiza, también realizó investigaciones sobre Emmental  y publicó sus conclusiones en su site.

Todo el mundo tiene un secreto

por

La gente rara vez es un libro  abierto. Es de sentido común mantener algunos asuntos como los registros financieros y médicos lejos de miradas indiscretas. Esto va desde algo trivial y tonto (como puedes ser, por ejemplo, un gusto vergonzoso en la música) a algo más grave (como un acontecimiento traumático del pasado) .

Con tantas formas de compartir , mantener las cosas en privado resulta cada vez más difícil. Los sitios web a menudo piden información personal para realizar después un seguimiento de los hábitos on line de los usuarios y así poder proporcionar una experiencia más «a medida» . A pesar de los métodos de intercambio de información dentro de un grupo seleccionado , compartir on  line , se ha convertido en sinónimo de compartir con el público. No importa el nivel de privacidad de la cuenta , cualquier cosa publicada on line, tarde o temprano encontrará su camino hacia el público.

Este tipo de actividad está impulsando a algunos usuarios a reconsiderar la cantidad de información que están dispuestos a compartir. En 2014 ,  los usuarios se esforzarán más en proteger sus datos y controlar lo que comparten. Este año será el de  asegurarse de que los secretos se mantienen precisamente así, en secreto .

No son sólo las personas las que tienen secretos que guardar. Ocurre lo mismo en las empresas. Estos inlcuyen estrategias y planes de futuro, procedimientos de trabajo actuales , registros de empleados y clientes. Expuesto al público – y sus competidores – éstos pueden costar millones de negocios , y tal vez en el pero de los casos, suponer la ruina.

La protección de los datos debe convertirse en la principal prioridad de todas las organizaciones de este año, teniendo en cuenta que habrá un incidente mensual grave violación de los datos . 2013 estuvo marcado por varias violaciones de datos importantes y  este tipo de incidentes continurña este año.

Como parte de nuestras predicciones 2014 , hemos desarrollado este video, con la ayuda de  Raimund Genes, CTO de Trend Micro para hablar de lo que  usuarios y las organizaciones pueden hacer para protegerse a sí mismos y mantener su secretos secretos en el paisaje digital de hoy :

http://about-threats.trendmicro.com/us/security-predictions/2014/blurring-boundaries/video/secrets/

Entonces, ¿qué podemos hacer para proteger nuestros secretos? Nuestro consejo a los usuarios : evitar sobrecompartir en los medios sociales . No hacer compras on line en los sitios que no sean de confianza . Llevar un registro de los datos, donde quiera que esté – ya sea en la nube o en uno de sus dispositivos. En definitiva, ser un buen ciudadano de  Internet le ayudará a mantener sus secretos lejos de los cibercriminales y otros malos actores que estén on line.

Para los pasos más concretos que describen lo que puede hacer para proteger sus secretos , se puede visitar la página web de los Secretos, que forma parte de nuestras más amplias 2.014 predicciones.

Reporte de seguridad Q2 2013

Ya tenemos disponible el report de seguridad que resume las principales amenazas acaecidas durante estos tres últimos meses (abril, mayo y junio de 2013).

Destacamos en este reporte:

  • El número de aplicaciones maliciosas para Android continua batiendo records con un      total de 718.000 amenazas.
  • Las amenazas para banca online ha incrementado en tres, comparado con el último quarter. Los países más afectados son: Estados Unidos, Brasil, Australia y Francia.
  • El decremento del precio de los kits de exploits en el tiempo, tal y como muestra SpyEye, que ahora puede ser adquirido gratis si se compran otros kits.

Puedes leer el reporte en detalle en este enlace.

Yahoo liberará antiguas cuentas de correo: consideraciones de seguridad

Yahoo ha anunciado que liberará aquellas cuentas de correo de su dominio que no han sido utilizadas durante muchos años. Esto implica que «nombres de usuario» de cuentas de yahoo que antes pertenecían a alguien, ahora quedarán libres para que otros puedan utilizarlos.

Esto puede tener implicaciones desde el punto de vista de la seguridad y la privacidad. Si diera la casualidad de que un antiguo amigo tuyo tuviera una cuenta de correo tuya, antigua, y ahora te escribiera, puede que ese username ya sea de otro nuevo usuario que lo haya elegido. Podría leer tus correos sin problemas.

Esta moticia, con más detalles puedes leerla aquí

Asimismo, te recomendamos la lectura de estas guías, buenas prácticas .

* Cómo mantener seguras tus cuentas de correo online

* Cómo mantener la privacidad de tu información online de forma segura

 

El portal documental corporativo: la protección necesaria frente al panorama del malware actual

Es normal que en las empresas se fije la atención en los puestos de trabajo de los usuarios a la hora de aplicar la máxima seguridad. También se invierte en la seguridad para los dispositivos móviles, debido sobre todo al efecto de la consumerización y el BYOD (Bring Your Own Device). Los servidores también son protegidos, de forma genérica, a través de un agente antimalware que proporciona prevención frente a infecciones para cualquier tipo de malware. Pero en organizaciones, que cuenten o no con un datacenter, existen servidores con funcionalidades específicas que deben ser protegidos apropiadamente y con herramientas de seguridad adaptadas a sus requisitos. En relación a este punto, vale la pena detenerse en un tipo de servidor con el que interaccionan continuamente los trabajadores desde dentro de la red e incluso usuarios externos (teletrabajadores o colaboradores, partners etc…) y que alberga información de muy diversa índole e importancia. La pérdida de información confidencial almacenada en este servidor de forma intencionada o por error, puede acarrear pérdidas de todo tipo en la empresa (monetarias, por penalizaciones que imponga la ley; de confianza de nuestros colaboradores, de reputación…). Por eso, la protección de un servidor específico de este tipo no es trivial y tenemos que analizar sobre qué puntos tenemos que actuar y crear una barrera de seguridad que se ajuste y adapte a lo que se necesite.
Vamos a hacer un breve análisis de las necesidades de seguridad para estos servidores documentales:

1. Evitar el malware: Esta es la primera idea que nos viene a la cabeza; proteger nuestro servidor documental frente a amenazas. Es de vital importancia ya que si un virus, troyano, gusano, malware mixto entra en el portal, la propagación por el resto de la red puede ser rápida y afectar gravemente a otras máquinas.

1

2. Protección de cara a la web: Es también imprescindible monitorizar las interacciones que el servidor tenga con Internet ya que la mayor parte de las amenazas proceden de aquí. Contar con un sistema de reputación web que evite el acceso a sitios web maliciosos, fraudulentos, o que contengan malware, se hace fundamental hoy en día para nuestro servidor documental dado el panorama de las amenazas con el que nos encontramos.

2

3. Prevenir la fuga de datos: La pérdida o robo de información confidencial del servidor documental puede desencadenar problemas muy graves para la compañía. El instalar herramientas que monitoricen y bloqueen la salida de información de este tipo del servidor puede evitar que la empresa se vea involucrada en procesos legales, pago de multas por ley, pérdida de resputación e incluso confianza de sus colaboradores.

3

4. Mantener el servidor actualizado y monitorizar sus posibles vulnerabilidades: Muchas de las interacciones que se producen con el portal documental quedan fuera del control del departamento de IT corporativo: teletrabajadores, contratistas, partners, colaboradores, clientes…todos ellos acceden desde Internet a nuestro servidor de ficheros a través del portal documental. Al ser público, un hacker podría también interactuar con él, buscar vulnerabilidades abiertas e introducir su ataque o exploit en cuestión de segundos. Por eso, el disponer de una herramienta capaz de detectar/prevenir vulnerabilidades y en caso necesario poner un «parche virtual» para cerrar dichas vulnerabilidades, puede salvarnos de ser infectados o sufrir un ataque.

4

Las necesidades de seguridad para los portales documentales han ido creciendo a medida que ha ido pasando el tiempo. Estudios nos demuestran que ya no es suficiente con proteger el servidor frente a malware o evitar cargar ficheros maliciosos. Todas las recomendaciones anteriores demuestran que ahora la seguridad que tenemos que implantar en nuestro servidor de ficheros debe ser mucho más sofisticada. Pero además, algo que afecta muy de cerca al portal documental y a su seguridad son las amenazas persistentes avanzadas y los ataques dirigidos. Los cibercriminales monitorizan los servidores en busca de «puertas traseras» por las que colarse. Pueden llegar a analizar exhaustivamente el servidor, recopilar datos importantes a todos los niveles y utilizarlos en nuestra contra. Estos ataques dirigidos y creados específicamente para ciertas víctimas están afectando últimamente a organismos públicos, gobiernos y empresas importantes en todo el mundo. Pero esto no quiere decir que los hackers no vayan a atentar contra nuestro servidor. Cualquier «ventana abierta» es válida para que ellos hagan uso de sus herramientas para sacar cualquier tipo de beneficio.

6

 

Trend Micro™ PortalProtect™ protege el portal documental SharePoint, el más utilizado en la industria,  con una  capa de protección específica que nos mantendrá seguro frente a malware,  enlaces maliciosos y otras amenazas que normalmente los administradores  de SharePoint no conocen. Su tecnología de reputación Web evita que los  enlaces maliciosos se introduzcan en los portales Web mientras que su  eficaz filtrado de contenidos analiza los archivos y los componentes Web  de SharePoint.

5