Mostrando entradas con la etiqueta seguridad. Mostrar todas las entradas
Mostrando entradas con la etiqueta seguridad. Mostrar todas las entradas

martes

Crece la demanda de programadores de malware

0 comentarios
La escasez de profesionales dedicados al campo del malware ha hecho que las mafias que trabajan en internet cambien sus métodos de captación y recurran a los anuncios online.

El experto en seguridad Brian Krebs, asegura que la mayor demanda de cibercriminales expertos en el desarrollo de malware se da en Rusia.

Las bandas necesitan principalmente programadores que dominen el manejo y configuración de aplicaciones que permitan cambiar el aspecto del malware, para de esa forma lograr modificarlo para que pase inadvertido para los antivirus.

El salario que se ofrece por ese tipo de trabajos ilegales, oscila entre los 2.000 euros al mes del salario básico y los 5.000 euros del superior, y el programador debe ofrecer también asistencia técnica a sus empleadores.

Para optar a este tipo de trabajos no se requiere experiencia previa en el área del malware, ya que en muchos casos las propias cibermafias se encargan de la formación de sus programadores.

Además, se trata de trabajos relativamente estables, ya en la mayoría de casos los contratantes prefieren profesionales que trabajen en el largo plazo.

Otro campo donde se mueven ofertas de empleos ilegales es el de los conocidos como Web Infects, que vienen a ser plug-ins de los kits de malware que buscan infectar páginas webs.

Krebs también explica que los grupos de cibermafias invierten importantes cantidades de dinero en labores de I+D.
Read full story

lunes

Cuidado: malware en los eventos de Facebook

0 comentarios
El supuesto evento que te permitirá ver quien visita tu perfil




Esta situación fue informada por la compañía de seguridad BitDefender y, en los últimos días, empezó a afectar a los usuarios de habla hispana. Todo comienza cuando (supuestamente) un amigo nos invita a un evento, en cuya descripción hay una URL recomendada, donde se promete que podremos saber quiénes nos visitaron.

De acuerdo con la página maliciosa a la que ingresemos, se nos pide otorgar autorización para utilizar nuestra cuenta o copiar y pegar un código en el navegador. Si cumplimos con esos pasos, se genera automáticamente un evento en nuestro nombre, con cientos de amigos invitados.

¿Cuál es el mayor problema? La apariencia de la invitación es totalmente legítima. Encima, como presuntamente proviene de alguien conocido, es más fácil que algún desprevenido lo pruebe, aunque sea por mera curiosidad. Y ya sabemos cuál es la consecuencia de esto: gracias a la viralidad, en cuestión de minutos llega a miles de personas.

La principal recomendación de BitDefender es buscar información sobre cada aplicación que pretendemos autorizar. Por ejemplo, en este caso específico, la red social no ofrece mecanismos para determinar quiénes ingresaron a nuestro perfil. Es decir, que no es posible diseñar aplicaciones de este estilo, por lo cual el propio Facebook sugiere denunciarlas.

Pero si ya caímos en la trampa, aparte de eliminar el evento en cuestión, es conveniente ingresar a la configuración de la cuenta y verificar que no haya nada extraño. Desde ahí, siempre viene bien comentar el inconveniente con nuestros contactos, para generar conciencia y protegernos entre todos.
Read full story

Averigua quien ve tu perfil de Facebook

0 comentarios

Si has pinchado en el título esperando una forma de saber quien visita tu perfil en Facebook eres un claro candidato a ser infectado por alguna aplicación maliciosa. Este es el cebo más utilizado según un reciente estudio de BitDefender, que muestra como las estafas basadas en falsas aplicaciones son el fraude más extendido en Facebook.[/size]

Basado en las estadísticas ofrecidas por Bitdefender safego, una herramienta gratuita de BitDefender para proteger las cuentas de Facebook contra los riesgos de privacidad, amenazas online y spam, el estudio detalla los tipos de mensajes usados como cebo en las estafas en redes sociales. El cebo más usado es el que promete al usuario decirle quién ha visto su perfil, ofreciéndole información sobre cuántos amigos y quién ha visto su perfil (34,7% de los fraudes).

Las aplicaciones que prometen complementos o ayudas para juegos sociales en Facebook como Farmville (con un 16,2%) y los vídeos o imágenes impactantes, del tipo “Esta chica arruinó su vida en 1 minuto. Descubre cómo” (14,1%), fueron los otros ganchos más utilizados por los ciberdelincuentes.

El estudio de BitDefender recoge también las palabras y frases más usadas en los mensajes de spam, proporcionando así un diccionario muy útil del correo basura en redes sociales. Una sección separada está dedicada al estudio en detalle de una oleada de spam y ofrece información sobre los mecanismos de propagación de aplicaciones ilegítimas y el número de clicks que pueden llegar a alcanzar.

La distribución geográfica del fraude en Facebook muestra que Estados Unidos, India, Reino Unido, Canadá y Australia son los países cuyos habitantes hacen más veces click en links fraudulentos. Además, el fenómeno “likejacking”, que recientemente se ha convertido en una de las principales amenazas en Facebook, también es explicado en detalle en el estudio de BitDefender para que los usuarios caigan menos en este tipo de trampas.

Estas falsas aplicaciones de Facebook se suelen distribuir en oleadas, a fin de aparecer a la vez en varios perfiles y lograr así mayor viralidad en unas redes sociales que, además, facilitan por su propia estructura esa viralidad. "Según nuestras estadísticas, las estafas basadas en falsas aplicaciones para redes sociales han obtenido un millón y medio de clicks por oleada. Estas cifras nos ayudan a encontrar una posible explicación sobre el hecho de que esos fraudes estén siendo clonados en otras plataformas sociales, como Twitter" ,explica Jocelyn Otero Ovalle, directora de Marketing de BitDefender en España y Portugal.

Fuente: elhacker.net
Read full story

jueves

Una nueva amenaza se extiende en Twitter tras una inocente pregunta

0 comentarios
Expertos en seguridad han alertado de una nueva amenaza que utiliza la red de microblogging para infectar a los usuarios tentándoles con la posibilidad de saber cuánto tiempo llevan en Twitter.

 “He pasado 11,6 horas en Twitter ¿Cuanto has pasado tú? Descúbrelo aquí”, con este simple gancho los ciberdelincuentes han conseguido infectar ya a cientos de usuarios que sienten curiosidad por saber cuanto tiempo llevan en la red social.

El mensaje está acompañado por una dirección URL acortada con el servicio de bit.ly que redirige al usuario a una página que conecta su perfil con la aplicación maliciosa “Time on Twitter”.

 Si el usuario pincha en la dirección y da permiso para conectarse a la aplicación, ésta publica en el timeline de la víctima el mismo mensaje de “he pasado 11,6 horas en Twitter (…)” para hacerlo visible a todos sus contactos y continuar con la campaña viral, además de descargar código malicioso en el equipo del usuario.

 “Los usuarios afectados deben revocar el permiso de acceso a la aplicación de inmediato, o ésta continuará generando más vínculos desde su perfil de Twitter, y crearán más spam y enlaces a la web maliciosa”, según explica Pablo Teijeira, de Sophos Iberia.

 Los expertos reconocen que este tipo de estafas son muy comunes en Facebook pero ahora se están empezando a extender por Twitter gracias a las URL acortadas.


Fuente: http://foro.elhacker.net
Read full story

lunes

Implicaciones de seguridad en la implantación de IPv6

0 comentarios
Read full story

Google Hacking

0 comentarios
Read full story

sábado

NAVEGACIÓN SEGURA

0 comentarios
Navegando por la red me encontré esta información que me pareció muy buena y la quise compartir "Para navegar e interactuar por Internet en forma segura, le invitamos a ver los videos explicativos sobre las situaciones de riesgo más usuales y las recomendaciones sobre cómo actuar frente a ellas para prevenir y evitar daños."


Navegación Segura
Read full story

miércoles

Twitter modificará los tweets de sus usuarios como ´medida de seguridad´

0 comentarios
 
 
La compañía cambiará los enlaces que se envían como mensajes directos para protegerse del spam y los renombrará con el estándar twt.tl.

Los crecientes ataques de hackers a Twitter y el aumento del número de spam y malware en la plataforma de microblogging han impulsado a la compañía a tomar medidas para proteger a sus usuarios.

Así, la firma acaba de anunciar que, como medida de seguridad, modificará los tweets de sus clientes. En concreto, los cambios se harán extensibles a los links adjuntados en los mensajes directos que se envían a otros usuarios, que desde ahora pasarán a codificarse bajo el shortener nativo twt.tl, según señalan en su blog oficial.

En realidad se trata de una forma de estandarizar estos microcorreos y `reenvasarlos´para que se puedan identificar como `limpios´ por los propios adeptos a la red social y por los responsables de seguridad de la misma. Sin embargo, existen algunas voces critican que Twitter meta mano en las actualizaciones y las cambie a placer, algo que de seguir sucediéndose en un futuro podría perjudicar a otros acortadores como bit.ly.

Twitter ha probado esta característica durante los últimos días, aunque su implantación se irá haciendo de forma paulatina.

Fuente: ITexpresso


Read full story

¿Qué es STRIDE?

0 comentarios
Contar además con un completo análisis de las amenazas que pueden darse una vez que el producto esté funcionando sirve para diseñar una aplicación que esté preparada para "defenderse o resistir". Esto es el nuevo matiz que hay que aprender. Hacer una aplicación utilizando "programación defensiva", es decir, pensar en los "casos de uso", pero también en los "casos de abuso".

La herramienta SDL Threat Modeling Tool proporciona las siguientes características:

    * Integración: Un sistema de seguimiento de los problemas detectados durante el análisis.
    * Automatización: orientación e información en la elaboración de un modelo de seguridad para la aplicación en desarrollo.
    * Análisis STRIDE por elemento del sistema: guía de análisis de amenazas y mitigación de los vectores de ataque STRIDE.
    * Informes: Actividades sobre el diseño de la seguridad y ensayos en la fase de análisis y verificación.

STRIDE es un acrónimo que resume 6 categorías de amenazas: Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service, and Elevation of Privilege. Dado que cada categoría tiene un conjunto específico de medidas de seguridad que las puede evitar, una vez que se analizan las amenazas y las clasificamos, ya podemos saber que será necesario para mitigarlas. Voy a explicar cada una de las categorías aglutinadas bajo el acrónimo STRIDE:

    * S - Suplantación (Spoofing) Un ataque de suplantación se produce cuando un atacante se hace pasar por alguien que no es.
    * T - Manipulación (Tampering)La manipulación ataques se producen cuando el atacante modifica los datos en tránsito.
    * R - Repudio (Repudiation)
      Negar la autoría de una acción o evento en los sistemas de información.
    * I - Revelación de información (Information Disclosure)
      Cuando la aplicación revela información sensible de forma no controlada debido a un error en la programación o un fallo en la configuración del servicio o aplicación.
    * D - Denegación de servicio (Denial of Service)
      Introducción de información maliciosa que logre la saturación o el bloqueo de la aplicación y de los servicios que esta proporciona generando como consecuencia la caída de la aplicación o el sistema informático.
    * E Elevación de privilegios (Elevation of Privilege) Una elevación de privilegios se produce cuando un atacante tiene la capacidad para obtener privilegios que normalmente no tendrían. Esto se logra mediante la alteración o ataque a la aplicación obteniendo unos niveles de acceso mayores de los inicialmente otorgados, saltándose así la política de control de acceso predefinida.

Con mucho ingenio, la gente de Microsoft ha sacado un juego llamado Elevation of Privilege (EoP) card game que plantea al programador los diferentes escenarios de amenazas para que piense en ellos y cómo evitarlos.
Las cartas del juego las podéis descargar aquí. El resto de información sobre esta herramienta de análisis de requisitos de seguridad puede ser obtenida en The Microsoft SDL Threat Modeling Tool.

Fuente: Segu - Info
Read full story

Zero Day recompensa a los investigadores de seguridad informática

0 comentarios
Zero Day Initiative, es un programa que investiga las vulnerabilidades de los sistemas informáticos, ya sean Sistemas operativos, dispositivos como laptops, smarthphone, navegadores y software en general.  Este es un programa fundado por TippingPoint, para recompensar a los investigadores de seguridad por divulgar vulnerabilidades responsablemente.

Zero Day que inicia sus actividades en el 2005 tiene como objetivos: Aprovechar metodologías y experiencias de los expertos, alentar a informes responsables y romper con la mala reputación de los Hackers, y proteger los sistemas de información contra intrusiones.

¿Como funciona?

La idea es proporcionar información exclusiva a cerca de vulnerabilidades nuevas o no corregidas, luego se valida la información para supervisar aspectos económicos y éticos. El pago a los colaboradores depende del tipo de vulnerabilidad y puede ir creciendo si lo descubierto es mas crítico de lo esperado. Aquí les dejo el proceso detallado:

   1. Un investigador descubre una vulnerabilidad.
   2. El investigador inicia sesión en el portal seguro de ZDI y envía la vulnerabilidad para su verificación y valuación.
   3. Se genera una ID del caso, que permite al investigador identificar la vulnerabilidad de forma exclusiva y rastrearla a lo largo del portal seguro de ZDI.
   4. TippingPoint verifica la vulnerabilidad y decide si desea hacer una oferta.
   5. TippingPoint hace una oferta para la vulnerabilidad. La oferta se envía al investigador por correo electrónico.
   6. El investigador acepta la oferta, asignando exclusividad de la información a TippingPoint.
   7. Se le paga al investigador mediante un cheque, una transferencia electrónica o Western Union. TippingPoint notifica al proveedor del producto afectado y los filtros de protección de IPS se distribuyen a los clientes de TippingPoint.
   8. Después TippingPoint comparte el aviso anticipado de los detalles de la vulnerabilidad a los otros proveedores de seguridad antes de la divulgación pública.
   9. TippingPoint y el proveedor del producto afectado coordinan la divulgación pública mediante una recomendación de seguridad una vez que la corrección está lista. Se le otorga al investigador todo el crédito por el descubrimiento de la vulnerabilidad o éste puede elegir permanecer anónimo ante el público.

Muy interesante esta propuesta, la persona experta en seguridad que nos informó sobre esta forma de monetizar las habilidades de los hackers, nos indicó que es el sistema que mejor paga y mas serio. Además que tu trabajo será conocido y nadie se llevará tus créditos.
Si estas interesado accede a Zero Day Initiative, también encontraras preguntas frecuentes para despejar las dudas.

Fuente: Segu - Info
Read full story

Súper hacker revelará 20 nuevos agujeros de MacOS

0 comentarios
El conocido experto en seguridad informática Charlie Miller ha detectado 20 nuevas vulnerabilidades en el sistema operativo de Apple y se propone revelarlas la próxima semana.

Charlie Miller tiene un estatus legendario en círculos de hackers. Entre sus logros se cuenta haber hackeado MacOS X en cuatro oportunidades y haber vulnerado además el sistema iPhone OS. Según Forbes, Miller se propone revelar 20 agujeros de seguridad de Mac OS X durante la conferencia de seguridad informática CanSecWest, a iniciarse el 24 de marzo.


Miller dice haber detectado 20 procedimientos que pueden ser aprovechados por ciberdelincuentes para intervenir un sistema Macintosh mediante un archivo PDF infectado visualizado por Safari en un sitio web maligno.

El experto recalca ante Forbes que su intención no es ufanarse de sus habilidades, sino demostrar lo fácil que es encontrar bugs (errores de programación) vulnerables en software de uso corriente. Miller describe un procedimiento denominado "dumb fuzzing" mediante el cual compara cuatro aplicaciones de software: Adobe Reader, Apple Preview, Microsoft PowerPoint y Open Office de Oracle, ejecutando un script propio que sistemáticamente induce errores de funcionamiento en el software, detectando a la vez las posibilidades de intervenir la aplicación precisamente mediante los errores generados.

Luego de haber ejecutado el programa de "dumb fuzzing" durante tres semanas en cada aplicación, Miller concluyó que Apple Preview generó 20 bugs explotables, contra 3 y 4 en Adobe Reader, PowerPoint y OpenOffice.

A juicio de Miller, sus conclusiones demuestran que Apple no se toma en serio la seguridad y que no adopta medidas elementales de detección de errores de seguridad. Miller dice sentirse "conmocionado" de que Apple no haga pruebas similares, agregando que la única habilidad suya ha sido "la paciencia".

Apple se negó a comentar ante Forbes los hallazgos ni comentarios de Miller.

Fuente: Diario Ti
Read full story

viernes

Cómo los organismos de seguridad se infiltran en las redes sociales

0 comentarios
Un documento interno del Departamento de Justicia de los EEUU menciona la actividad que realizan agencias como el FBI en sitios como facebook, MySpace, LinkedIn y twitter

Todos los organismos de seguridad estadounidenses se han sumergido en los servicios de redes sociales de internet, registrándose con nombres y datos falsos para comunicarse con gente sospechosa y buscar información de actividades ilegales, según un documento interno del Departamento de Justicia que pone sobre el tapete una cantidad de posibles conflictos entre el derecho a la privacidad y la lucha contra la delincuencia.

El documento, obtenido por la Electroning Frontier Foundation de San Francisco invocando la ley de libertad de información, deja en claro que los agentes de las fuerzas de seguridad se conectan con las redes sociales e intercambian mensajes con sospechosos, con amigos o parientes de estos, y revisan información privada, incluidos comentarios de la gente, fotos y videos.

La incursión en la red tiene varios usos: les permite, por ejemplo, ver si lo que un sospechoso dice allí coincide con lo que le dijo a la policía.

Los mensajes de twitter son particularmente delatores, ya que tienden a revelar el lugar donde se encontraba una persona a determinada hora.

Fotos de una jornada de compras excesivas pueden alimentar las sospechas de que una persona estuvo involucrada en un robo.

Los organismos de seguridad nacionales, estatales y municipales coordinan sus incursiones en la red con el servicio secreto, el FBI y otras dependencias del gobierno para evitar conflictos.
"Uno puede armar tremendo lío en una investigación si dos agencias investigan a la misma persona y comienzan a hacer cosas que resultan contraproducentes", comentó el detective Frank Dannahey, de la policía de Rocky Hill, Connecticut, especialista en operaciones encubiertas.

Las redes sociales contienen una cantidad de información personal, incluidas fotos, videos y audio, que pueden suministrar datos importantes en una investigación de un delito.

El documento del Departamento de Justicia dice que los portales como facebook, twitter, MySpace, LinkedIn y otros similares son de gran valor para las investigaciones, pero "no habla de ningún mecanismo que garantice que el gobierno los usa en forma responsable", sostuvo Marcia Hoffman, abogada de la Electronic Frontier Foundation, una organización que defiende las libertades civiles.

Funcionarios del Departamento de Justicia afirman que las incursiones en internet están regidas por ciertas normas, pero no dicen cuáles son esas normas.

Antecedentes
No hace mucho, una mujer de Missouri fue enjuiciada por usar una cuenta en MySpace con datos falsos para hostigar a otra persona. Eso es básicamente lo mismo que están haciendo las autoridades ahora, aunque con diferentes motivos.

La mujer, Lori Drew, se hizo pasar por un niño adolescente que coqueteaba por internet con una vecina de 13 años. La niña se ahorcó en octubre del 2006 luego de recibir un mensaje en el que el amigo virtual le decía que el mundo se vería mejor sin ella.

Un jurado la condenó por varias violaciones de las reglas de MySpace sobre la creación de cuentas con datos falsos, pero un juez anuló los veredictos el año pasado por considerar que las leyes son demasiado vagas.

"¿Si un agente viola las normas de un portal, incurre en una actividad ilegal?", plantea el documento del Departamento de Justicia.

Casi todos los portales estipulan que el usuario no puede difundir datos ni información falsa.

Un ex fiscal especializado en temas de internet, Marc Zwillinger, considera que los investigadores tienen derecho a actuar en forma encubierta en internet, del mismo modo que lo hacen en el mundo real, incluso si violan las normas de los portales. Pero que hay un límite para todo.

"Tiene que haber una buena supervisión para que los agentes no se pasen de la raya", manifestó Zwillinger.

A veces ni hace falta una operación encubierta para encontrar a alguien que ha cometido un delito, pues las personas cometen torpezas increíbles, como cuando un sospechoso de fraude que era buscado por las autoridades puso fotos en facebook que indicaban que estaba dándose la gran vida en México.

La policía determinó el sitio exacto donde se encontraba y pidió su detención. El individuo, Maxi Sopo, fue arrestado y está a la espera de su deportación.

Fuente: InfoBae
Read full story

lunes

Kevin Mitnick: "En mi época, 'hackeábamos' por diversión. Hoy, por dinero"

0 comentarios
Encarcelado e incomunicado durante cinco años, Kevin Mitnick fue condenado, tras varias detenciones por parte del FBI, por su sucesiva afición a entrar en sitios donde supuestamente no debería. Desde compañías de teléfono a instituciones públicas. Su vida ha sido objeto de películas y libros, aunque hasta 2011 no saldrá la primera biografía autorizada por él. Además de dedicarse a llevar su propia consultora de seguridad, es frecuente conferenciante. En Campus Party Brasil, es algo más que un ponente, sus hazañas de jalean; se aplaude cada demostración en el estrado y hay peleas por conseguir una de sus tarjetas de visita que incluyen unas ganzúas, por si se resiste alguna puerta.

La ingeniería social consiste en una serie de técnicas para obtener información de los usuarios y poder entrar en sistemas supuestamente seguros. Basándose en premisas como que todo el mundo quiere sentirse halagado, pretende ayudar y que, en general, nos cuesta mucho decir no, Kevin Mitnick es capaz de conseguir claves para entrar en sitios, aunque con las redes sociales esto es cada vez más fácil.

"Los sitios de consumo y entretenimiento son el nuevo objetivo de los hackers. Twitter y Facebook son las nuevas fuentes para saber debilidades. Ahí la gente da información valiosa que les hace vulnerable. Hay que estar alerta con qué contamos ahí", expone el idolatrado ponente.
Read full story