DISI 2009 criptored, Universidad Politécnica de Madrid.

Cuarto Día Internacional de la Seguridad de la Información DISI 2009, celebrado el 30 de noviembre de 2009 en la EUITT de la UPM y organizado por la Cátedra UPM Applus+ de Seguridad y Desarrollo de la Sociedad de la Información CAPSDESI.
Intervienen D. José Manuel Perales Vicerrector de TI de la UPM, D. Ramón Capellades Subdirector Técnico de Applus+, D. César Sanz Director de la EUITT, D. Jorge Ramió Director de la Cátedra UPM Applus+.

DISI 2009_2: Hashing Aleatorio: Firmas Digitales Seguras sin Resistencia a Colisiones

DISI 2009: Hashing Aleatorio: Firmas Digitales Seguras sin Resistencia a Colisiones D. Hugo Krawczyk, IBM Research, Estados Unidos.
Ponencia inaugural en el Cuarto Día Internacional de la Seguridad de la Información DISI 2009, celebrado el 30 de noviembre de 2009 en la EUITT de la UPM y organizado por la Cátedra UPM Applus+ de Seguridad y Desarrollo de la Sociedad de la Información CAPSDESI.

Sistema operativo sin virus Google Chrome OS

Una nueva arquitectura de seguridad que eliminará los virus, malwares, troyanos y otros males de la red más el uso provechoso de un kernel Linux constituyen la carta secreta de Google para enfrentar cara a cara a Microsoft en la batalla de los sistemas operativos, cuando sea lanzado dentro de un año.

“Estamos completamente abocados en un nuevo diseño de la arquitectura de seguridad de un sistema operativo en el que los usuarios ya no tengan que enfrentar a los virus y malware, como también realizar actualizaciones de seguridad”. Esto lo dijo Linus Upson, director de ingeniería de Google, en un artículo publicado en la revista  New Scientist, dejando en claro que el sistema operativo Chrome OS dejará obsoleto a los códigos malignos actuales.

Basado en un kernel de Linux, la mayor parte del sistema operativo Chrome OS serán ejecutados en la nube, lo que implicará descargar menos elementos en la computadora personal del usuario, una característica que según Linus Upson, beneficiará. La razón está en que a la hora de hacer las descargas, “la nube pacheará con mayor rapidez”, según coincide Paul Jackson, analista de Forrester Research, aunque para él ésto no significa que los usuarios de Chrome OS deberán despreocuparse para siempre de los virus, sino que todo lo contrario: sostiene que ese sistema operativo será vulnerable a los ataques hechos contra el navegador o en su defecto, contra el kernel de Linux.

Robert Caunt, un analista de CCS Insight en Londres, cree en las palabras de Linus Upson, al afirmar que Google tiene un buen historial en materia de seguridad. “El filtro del motor de búsqueda y de detección de phishing es bueno. Ellos saben lo que es necesario hacer”…[]

Fuente www.diariouno.com.ar

Por fin Microsoft publica el esperado parche para la vulnerabilidad de Internet Explorer

Microsoft ha publicado la actualización para su navegador Internet Explorer. La instalación inmediata de este parche es imprescindible, ya que la vulnerabilidad es crítica y está siendo aprovechada de forma activa por atacantes.
El problema puede permitir al atacante la ejecución de código arbitrario, sin interacción del usuario con tan solo visitar una página web comprometida. La vulnerabilidad, que afecta a todas las versiones de Internet Explorer, reside en el manejo de etiquetas XML. Además se ha comprobado que el fallo lleva tiempo siendo activamente aprovechado por webs para instalar malware.

Según algunos medios el número de ordenadores infectados puede llegar a los dos millones, a través de más de 100.000 sitios web legítimos (aunque la mayoría de ellos chinos) comprometidos para aprovechar la vulnerabilidad e infectar automáticamente a los visitantes.

El fallo que se hizo público la semana pasada, justo el día antes de la publicación mensual de boletines, ha obligado a Microsoft a trabajar contrarreloj y en apenas nueve días ha publicado un boletín fuera de ciclo (el MS08-078) en el que anuncia la esperada actualización. Hay que tener en cuenta que en este tiempo se ha desarrollado, corregido, probado, evaluado y distribuido la actualización para todas las versiones de IE, en todas las plataformas e idiomas posibles (más de 300 versiones diferentes según Microsoft). Aunque todo esto no impide que en el futuro pueda detectarse algún problema con el parche, debido a las prisas con que se ha llevado a cabo todo el proceso.

La actualización está disponible a través de los medios habituales, desde Windows Update o a a través de los enlaces de descarga disponibles en el boletín MS08-078:
http://www.microsoft.com/spain/technet/security/bulletin/ms08-078.mspx
Los sistemas configurados para la instalación automática de las actualizaciones ya han debido actualizarse.

Fuente Hispasec.com

Boletín de seguridad de Microsoft MS08-078 – Crítico
Actualización de seguridad para Internet Explorer (960714)
http://www.microsoft.com/spain/technet/security/bulletin/ms08-078.mspx

0-day en Internet Explorer 7

Un día antes del segundo martes del mes de diciembre un mensaje en un foro chino hacía pública una vulnerabilidad en Internet Explorer 7 -se acredita descubierta al grupo chino ‘KnownSec’-. No existe parche oficial disponible, no necesita interacción por parte del usuario y permite, si consigue explotar el fallo, ejecutar código arbitrario con los permisos del usuario.
Estamos por lo tanto ante un 0-day que solo ha tardado unas pocas horas en ver como se multiplicaban los exploits públicos capaces de infectar a un usuario con solo visitar un sitio web malicioso. Eso sin tener en cuenta la probable explotación semanas atrás de una pieza, que con tales características, cotiza muy alto en el mercado del malware.

La vulnerabilidad reside en el manejo de etiquetas XML que efectúa Internet Explorer. En los análisis de algunos exploits se ha hallado un vector común de ataque. Sin entrar en detalles, usa XML para incluir código HTML a la vez que provoca una corrupción de memoria que es aprovechada con javascript para volcar una cadena que contiene el shellcode, el cual descargará un binario que a su vez descarga componentes que ensamblan un troyano.

Microsoft ha informado que se encuentra trabajando en una solución y que en breve se podrá disponer de una actualización, probablemente será, sin no cambian las cosas, el boletín MS08-078. Como factor que ayude a mitigar el riesgo recomienda activar DEP (Data Execution Prevention), ya que por defecto se encuentra desactivado en Internet Explorer, para prevenir la ejecución de código en zonas de memoria no marcadas como ejecutables…sigue

Fuente Hispasec.com

Microsoft
“Vulnerability in Internet Explorer Could Allow Remote Code Execution”
http://www.microsoft.com/technet/security/advisory/961051.mspx

Dancho Danchev
“IE7 XML parsing zero day exploited in the wild”
http://blogs.zdnet.com/security/?p=2283

BreakingPoint Labs
“Patch Tuesdays And Drive By Sundays”
http://www.breakingpointsystems.com/community/blog/patch-tuesdays-and-drive-by-sundays

Microsoft baja al barro y limpia un millón de ordenadores en nueve días

Su Malicious Software Removal Tool ataca directamente a los falsos antivirus, que se aprovechan de los agujeros de seguridad en los sistemas Windows para tomar control del PC y pedir luego un rescate por devolver el control

La última herramienta de Microsoft en su tibia lucha contra los agujeros de seguridad de los sistemas operativos de la familia Winddows, que son aprovechados maliciosamente por centenares de programadores en todo el mundo, ha conseguido un éxito inédito.

Casi un millón de PCs asegura haber limpiado la compañía de Redmond con su Malicious Software Removal Tool (MSRT) en los nueve días posteriores a su lanzamiento, ejecutado el pasado 11 de noviembre como parte de última gran actualización de seguridad.

Bombero pirómano

La información, comunicada por Microsoft en su blog oficial en materia de malware, y de la que se hace eco PCWorld, señala que MSRT purgó a 994.000 máquinas de un conjunto de parásitos englobados bajo la marca “W32/FakeSecSen”, y que se caracterizan por actuar como verdaderos bomberos pirómanos.

Disfrazados de antivirus y similares, estos programas en realidad sirven para bloquear el ordenador del usuario, o para torturarle con centenares de ventanas emergentes.

Creado el incendio, acuden a apagarlo, y recomiendan el pago de una cantidad variable (que suele oscilar en torno a los 40 euros) a cambio de que todo vuelva a la normalidad…[]

Via adn.es

Phishing a entidades registrantes: ¿Necesitan los atacantes nuevos dominios?

Desde ayer se está produciendo una verdadera avalancha de correo basura que simula ser de registrantes reputados como Enom y Networksolutions. Bajo la excusa de que el domino está a punto de caducar, su objetivo es robar las contraseñas de clientes de registrantes y por tanto adueñarse de sus dominios. Ayer además se dio a conocer que ICANN ha retirado la licencia a Estdomains, uno de los registrantes supuestamente aliados con el mundo del malware… ¿Será que los atacantes andan escasos de dominios?

Se ha observado una avalancha de correos de tipo phishing. Esta vez no intentan simular portales de entidades bancarias, sino que están destinados a simular registrantes reputados de dominios como Enom y Networksolutions. El asunto del correo suele ser: “Attention: domain will be expired soon.” En su interior en un cuidado inglés y en texto plano se avisa al usuario de que su domino está a punto de caducar y que debe visitar la web del registrante e introducir su usuario y contraseña para renovar el dominio. En otras ocasiones en el correo se habla de que a causa de un corte temporal en el servicio, es necesario que el usuario se autentique.

En cualquiera de los casos el enlace lleva a una página que simula fielmente el portal de Enom o Networksolutions. Los dominios (adquiridos para la ocasión y camuflados en dominios de tercer nivel) bajo los que se alojan estos phishing suelen tener la estructura:
http://www.enom.com.comXY.biz, o http://www.networksolutions.com.sysXY.mobi/ siendo XY números cualesquiera. Aunque esto puede cambiar en cualquier momento…

Hacía tiempo que no se observaba una campaña tan virulenta contra dueños de domino. Por otro lado (o quizás está relacionado), el pasado martes ICANN eliminó a Estdomains de su lista de registrantes acreditados: ya no pueden ejercer más su función. Estdomains siempre ha estado bajo la sospecha de ser un registrante que se lleva bien con el crimen organizado en Internet. Una buena parte de los dominios contratados en esta empresa han servido y sirven para la difusión del malware 2.0 y todo tipo de actividades ilegales. Siempre se les ha acusado de ser excesivamente “tolerantes” con estas prácticas. ICANN en un movimiento sin precedentes (que ha sido muy aplaudido), ha anunciado en un comunicado público que debido a la eterna sospecha sobre Estdomains (ellos siempre han negado que toleren el abuso de sus dominios), les retira la licencia. Aunque Estdomains ha presentado alegaciones (en estonio) y el proceso está temporalmente parado en espera de que ICANN las estudie. El dueño de Esdomains ha estado en prisión anteriormente por fraudes con tarjetas de crédito…sigue

Source hispasec.com

ICANN
http://www.icann.org/correspondence/burnette-to-tsastsin-28oct08-en.pdf

Último parche de Microsoft: ¿Sufriremos otro Blaster?… No.

El día 23 Microsoft publicó un parche fuera de su ciclo habitual, de carácter crítico, en el que se solucionaba un problema de seguridad en el servicio Server de las distintas versiones del sistema operativo Windows. Avisó con un día de antelación. Hoy, el exploit ya es público. Las características de la vulnerabilidad hacen que sea “ideal” para ser aprovechado por un gusano tipo Blaster, que se convirtió en epidemia en 2003. ¿Podría pasar lo mismo con este fallo?

En julio de 2003 se descubre el desbordamiento de memoria intermedia en la interfaz RPC de sistemas Windows que, a la postre, permitiría la aparición del fatídico gusano Blaster. Otro fallo parecido un año después propició el nacimiento de Sasser, otro popular gusano. El último parche publicado por Microsoft de forma urgente, el MS08-067, tiene las mismas características: un desbordamiento de memoria intermedia en el procesamiento de peticiones RPC (Remote Procedure Call) que efectúa el servicio Server. ¿Se creará otro gusano parecido?

Lo que hace que esta vulnerabilidad sea especialmente peligrosa, es que es explotable de forma remota sin interacción del usuario: un atacante envía una petición especialmente manipulada a un puerto, y ya puede ejecutar código en el sistema con los máximos privilegios. Candidato ideal para un gusano “como los de antes”. De ahí que Microsoft, con buen criterio, se haya lanzado a romper su ciclo habitual. Quizás motivado porque el fallo ha sido descubierto cuando ya se estaban produciendo ataques muy concretos. No a gran escala, pero sí que se han detectado incidentes que demostraban que los atacantes conocían el problema y lo estaban aprovechando en secreto. La última vez que Microsoft publicó una actualización de seguridad fuera de su ciclo habitual de actualizaciones fue el 3 de abril de 2007.

El último problema de este tipo (explotable enviado peticiones a un servicio) se vio hace más de dos años. Lo trataba el boletín MS06-040 y también afectaba al servicio Server (de hecho este nuevo boletín lo reemplaza). Se hizo público el exploit y hubo malware que lo aprovechaba, pero no fue epidemia. En este caso pensamos que tampoco se convertirá en el problema que antaño suponían estas vulnerabilidades. Por varias razones.

¿Por qué creemos que el potencial gusano no se convertirá en epidemia?

Microsoft cometió enormes y numerosos fallos de seguridad de este tipo en el pasado. Los gusanos de infección masiva campaban a sus anchas. Pero intentó solucionarlo a través de varios métodos. Primero con su nueva estrategia de seguridad anunciada hacia 2002. Desde entonces (tarde quizás) la seguridad sería prioridad. El problema es que, sobre una base tan débil, los resultados han tardado en observarse… pero están ahí. Por ejemplo, sobre Vista y Windows 2008 esta última vulnerabilidad no es crítica sino sólo “importante”, que no es poco. En las últimas versiones de Windows el atacante debe estar autenticado para poder hacer que el exploit ejecute código. Si no, sólo se provocará una denegación de servicio.

Con el Service Pack 2 de Windows XP se activa el cortafuegos entrante por defecto. Esto mitiga enormemente las posibilidades de explotación de este tipo de fallos. De hecho, desde que el Sevice Pack fue lanzado en agosto de 2004, el malware se trasladó al navegador. Al no poder aprovechar fallos en los servicios por culpa del cortafuegos, necesitaban colarse en los sistemas de otra forma, e Internet Explorer sufrió la consecuencias. Todavía hoy es la forma favorita del malware de ejecutar código. Por si fuera poco, hoy en día, los usuarios están más que nunca detrás de un router casero que protege, en principio, los puertos del ordenador…sigue

Hispasec.com