Accesos directos como vía de infección de malware

2 de diciembre de 2016 Por

Últimamente hemos estado conviviendo con muchas campañas de propagación de malware por correo que está llenando de SPAM la bandeja de entrada de mucha gente con ficheros maliciosos de todo tipo.

Desde nuestro laboratorio de malware estamos observando que la mayoría de ficheros maliciosos recibidos son bastante poco sutiles. Por ejemplo, ficheros de tipo “Script” con extensiones más raras como “.js”, “.vbs” o “.wsf”, o ficheros ofimáticos de desconocidos, con nombres en otro idioma y que piden que les permitas la ejecución de macros, las cuales el propio Word te bloquea y te recuerda que pueden ser peligrosas (con mucha razón).

No obstante, un caso algo más particular que estamos recibiendo, es el de los accesos directos de Windows con “truco”. No es la primera vez que nos topamos con este método de infección, y a principios de este último mes de 2016 hemos vuelto a recibir ficheros como estos.
[Read more…]

Deutsche Telekom, uno más en la lista de Mirai

1 de diciembre de 2016 Por

Y después de Dyn, llegó Deutsche Telekom. Si hace unos días alertábamos sobre la existencia de una nueva variante de Mirai, el pasado domingo 27 de noviembre, un ataque contra los routers de la operadora Deutsche Telekom dejó sin Internet a un gran número de alemanes, pues casi un millón de hogares se vieron afectados por el no funcionamiento de sus routers y reinicios constantes cada quince minutos.

Esta vez, Mirai atacó basándose en una vulnerabilidad en el firmware de los dispositivos que utiliza la empresa proveedora de servicios Deutsche Telekom. Esta utiliza el protocolo TR-064 asociado al puerto 7457 expuesto a todo Internet para configurar de forma remota el router. A pesar de que algunos modelos tienen restringido el acceso a direcciones IP relacionadas con el ISP, para una gran parte no es así.

Entre los comandos que ofrece el servicio está la capacidad de obtener datos como el SSID, la MAC o la clave Wi-Fi, sin embargo el exploit se basa en la posibilidad de ejecución de código remota mediante la instrucción de configuración del servidor NTP.
[Read more…]

La CCI rusa (II). Contexto: Rusia

30 de noviembre de 2016 Por

Antes de hablar de la CCI rusa debemos saber que Rusia es el país más extenso y con más kilómetros fronterizos (un número que supera los 20.000) del mundo; posee las mayores reservas de recursos energéticos y minerales del mundo todavía sin explotar, por lo que es considerada la mayor superpotencia energética, así como también la mayor reserva mundial de recursos forestales, y dispone además de la cuarta parte de agua no congelada del mundo.

Desde un punto de vista ciber, presuntamente Rusia es el único país que ha ejecutado una acción militar combinada (física y lógica) contra otro país (Georgia, en agosto de 2008) o que ha logrado degradar infraestructuras críticas de un tercero mediante una aproximación ciber (Estonia, 2007); su potencial militar y de inteligencia en este ámbito es indudable, así como también lo son sus capacidades “físicas” o tradicionales. Los servicios de inteligencia están fuertemente implicados en la política –sin ir más lejos, es público que Vladimir Putin fue agente del KGB y director del FSB- o en la empresa pública o privada, y mantienen adicionalmente estrechas relaciones –siempre supuestas- con el crimen organizado.
[Read more…]

Análisis tráfico de red dispositivos móviles

29 de noviembre de 2016 Por

En un post anterior se explicó como capturar tráfico de red en una red local utilizando para ello una Raspberry Pi 3.

A continuación vamos a ver cómo podemos analizar el tráfico que hemos capturado en formato pcap.

La primera opción por la que me decanto es la herramienta Capanalysis. Esta herramienta nos permite ver de una forma gráfica las peticiones realizadas, filtrar por tipo de tráfico (HTTP, DNS, ARP, …), filtrar por IP, país, etc. Por tanto, permite acceder a toda esta información de una forma sencilla y visual.

En primer lugar, instalamos la aplicación de Capanalysis. En mi caso he optado por instalarlo en una máquina virtual de la distribución Caine, la cual está orientada a realizar análisis forenses y está basada en Ubuntu 14.04.
[Read more…]

La CCI rusa (I). Introducción: ¡que vienen los rusos!

28 de noviembre de 2016 Por

Muchas veces hablamos de APT rusas, de malware ruso, de grupos rusos… Pero, ¿quiénes son “los rusos”? Vamos a analizar, en una serie de posts, quiénes son realmente “los rusos”, qué es Rusia (desde el punto de vista de inteligencia y seguridad), cuáles son sus servicios –y sus APT-, qué relaciones tienen con el resto del ecosistema en la guerra de información rusa, qué objetivos tienen, qué información buscan, etc. En definitiva, vamos a tratar de conocer un poco mejor a la Comunidad de Ciberinteligencia rusa, a estas amenazas supuestamente rusas que nos encontramos día sí día también en diferentes organizaciones.

Por supuesto, toda la información recogida aquí ha sido obtenida de fuentes públicas y no representa más que opiniones particulares, interpretaciones, análisis, cuestiones… seguramente todas ellas equivocadas porque… ¿qué es eso de la atribución?

Empecemos: como no podía ser de otra forma (en caso contrario no estaríamos dedicándole una serie) uno de los principales actores en el ámbito de la (ciber)inteligencia es Rusia; quizás éste es actualmente el país que más sofisticación aplica en sus ataques: dirigidos, sigilosos y técnicamente brillantes, con unos índices de persistencia muy elevados debido a la complejidad de detección (por supuesto, con el permiso de Estados Unidos…). Habitualmente, las APT rusas tienen perfectamente identificada la información que necesitan, dónde está y quién la maneja, y de esa forma se centran en el robo exacto de esos datos, como hemos dicho de la manera más sigilosa posible.
[Read more…]

Hasta el infinito y más allá. Bienvenido IPv6 (I)

25 de noviembre de 2016 Por

Seguro que muchos de los lectores de este blog conocen el protocolo de comunicación IPv6: algunos de oídas, otros de forma teórica y unos pocos habrán jugado con él -y probablemente se habrán encontrado con problemas al aplicarlo-. Por eso se pretende realizar una serie de posts para que los lectores puedan tener una visión global. Si bien este nuevo protocolo tiene diferencias con su antecesor, son sus ventajas -y desventajas- lo que lo hacen interesante.

El principal motivo de la creación de IPv6 fue la falta de direcciones IPv4 por la expansión de países altamente poblados como China e India. La principal y más conocida ventaja es el tamaño de su rango de direcciones. Como todo el mundo sabe, una dirección IPv4 consta de 32 bits, lo cual posibilita un direccionamiento de 2^32 máquinas (4.294.967.296). En cambio, una dirección IPv6 está formada por 128 bits, dando lugar a 2^128 direcciones posibles, este número es muy difícil de imaginar, o de manejar, ya que el ser humano no esta acostumbrado a números de tal magnitud, por ello voy a hacer unos símiles para poder evidenciar el tamaño del mismo:
[Read more…]

Nuevos retos y oportunidades con el nuevo Reglamento Europeo de Protección de Datos

24 de noviembre de 2016 Por

Qué duda cabe que el nuevo paradigma digital, el big data, la innovación constante en ingeniería social, los procesamientos masivos de información personal, imponen un nuevo modelo en la gestión de datos personales. Esto es inapelable.

Las empresas deben asumir nuevos retos en la gestión de la protección de datos, retos que sin ningún género de dudas, se convertirán en grandes oportunidades que nadie debería desestimar.

Con la misión de responder a estos nuevos retos y aportar soluciones más efectivas que la actual LOPD, nacida antes de la revolución digital, nace el nuevo reglamento europeo de protección de datos, cuya fecha límite de aplicación es mayo de 2018. Para entonces todas las empresas deberán haber realizado la transición hacia una nueva forma de concebir la protección de datos.
[Read more…]

Mirai Strikes Again

22 de noviembre de 2016 Por

Tras provocar la caída del proveedor de soluciones DNS Dyn y, por ende, la de portales web como Twitter, Amazon o Spotify, la botnet de moda sigue expandiéndose mediante nuevos mecanismos.

Tal y como os contamos en nuestro artículo anterior sobre la detección de Mirai este verano en uno de los sensores en nuestra Honey, durante estas últimas semanas hemos podido observar como el número de conexiones diarias se ha mantenido constante, por lo que se podía determinar que el número total de dispositivos susceptibles a la infección podía estar en su máximo.

Sin embargo, la habilitación de las credenciales root:ikwb para la creación de un entorno de alta interacción en el honeypot Hontel, ha permitido la captura de un nuevo binario.
[Read more…]

Pongamos que hablo de Madrid

21 de noviembre de 2016 Por

Me he propuesto ser muy previsora a la hora de viajar a otra ciudad/país, así que para prepararme ante mi nuevo destino lo primero que haré será buscar información sobre el mismo. Pongamos que hablo de Madrid -que diría Sabina- como el próximo lugar al que viajaré…

Podría empezar por buscar qué dice la prensa sobre Madrid. Seguro que googleando un poco no nos costará ponernos al día de la actualidad de lo que sucede en la ciudad. Siguiendo con Google, podríamos consultar https://www.google.es/trends/ para ver qué está buscando la gente sobre Madrid (en esta última hora por ejemplo las tendencias son las siguientes):

Tendencias Madrid
[Read more…]

Voto online

18 de noviembre de 2016 Por

La democracia es un sistema de gobierno en el cual todos los habitantes de un país se implican para decidir cuáles serán los representantes del parlamento. Una de las partes más importantes de este sistema son las elecciones y, durante este proceso, los votantes muestran sus preferencias a través del voto.

Hoy en día podemos distinguir entre dos sistemas de voto diferentes utilizados en países democráticos: voto sobre papel y voto electrónico. Dentro de la categoría de voto electrónico podemos hablar de dos métodos diferentes: voto en colegios electorales y voto remoto por Internet. A diferencia del voto en colegios electorales, el voto remoto por Internet (o voto online), no está físicamente supervisado y puede ser realizado desde cualquier lugar siempre que se tenga una conexión a Internet.
[Read more…]