Shell Security - Seguridad informática Noticias diarias de seguridad informática, foros, vulnerabilidades, antivirus, documentación, auditorías, consultorías …

El fundador de Freenode, red de IRC conocida por todos, ha muerto como consecuencia de un atropello sufrido cuando iba en su bicicleta, el día 12.

Desde ese día estuvo ingresado, en estado de coma, en Neuro Trauma Intensive Care Unit, en Houston, donde finalmente murió. Según el anuncio oficial del Staff de Freenode, sufrió grandes lesiones en la cabeza que no pudo superar.

Fuente: Todo Linux, Barrapunto

Vía Dirson conocemos que Google ha hecho pública una lista de urls que realizan prácticas de phishing, contabilizando un total de hasta 4000 urls que intentan engañar a los usuarios. Más allá del simple hecho de hacerla pública, han integrado la detección de estas páginas en su herramienta Google Safe Browsing, incluída dentro de su barra de herramientas Google Toolbar para Firefox.

En la próxima rama de Firefox 2.0, esta utilidad vendrá incluída por defecto, por lo que añadirá más seguridad al navegador. Esto contribuye a realizar un mejor navegador de Mozilla, y continúa con la unión Google-Mozilla.

Por cierto, hace éstos días se debate en el foro sobre los bugs actuales de Mozilla.

Un agujero de seguridad en la comunidad virtual Second Life ha puesto en descubierto datos personales de más de 650.000 usuarios entre los que están, nombres reales, direcciones contraseñas y algunos datos bancarios cifrados referentes a tarjetas de crédito.

Second Life es una comunidad virtual en auge en la cual miles de usuarios interactuan con juegos online, transacciones comerciales dentro del juego utilizando una moneda virtual Dólar Linden y la cual luego puede intercambiarse por dinero real. También organizan debates sobre actualidad y en general realizan actividades muy diversas a través de Internet.

La compañía está investigando el suceso y desconoce hasta el momento la magnitud de la información comprometida pero de conoce que el origen del ataque se produjo el pasado 6 de septiembre cuando un usuario malintencionado accedió a los servidores de la compañía a través de un fallo en su sistema.

La compañía responsable de esta comunidad es Linden Lab, la cual ha aconsejado a sus más de 650.000 usuarios que realicen un cambio en sus contraseñas para evitar que sus datos personales y bancarios resulten comprometidos. Según responsables de la empresa son conscientes de la dificultad que supone para sus usuarios cambiar sus contraseñas pero afirman que es una medida de seguridad importante.

Los troyanos que buscan capturar los datos de identificación en los formularios bancarios están evolucionando peligrosamente en los últimos tiempos. En un primer momento surgieron los capturadores de teclado que guardan las teclas pulsadas por el usuario, actividad conocida como “keylogging”

Estos troyanos capturaban demasiada información y evolucionaron hacia troyanos que sólo capturaban la información tecleada por el usuario cuando accedía al formulario de acceso de la entidad bancaria.

Ante las precauciones adoptadas por las entidades bancarias, instalaron teclados virtuales que impedían introducir las claves por el teclado y permiten introducirlas mediante clic del ratón. Nuevamente los troyanos han evolucionado y hay un nuevo troyano que tiene la capacidad de capturar en video toda la actividad que realiza el usuario cuando accede a un formulario de autentificación en una entidad bancaria.

Este troyano realiza una captación de una parte de la pantalla, concretamente, la de introducción del nombre de usuario y contraseña y de esta forma recoge toda la secuencia de acciones que el usuario realiza en el formulario de autentificación.

Este troyano utiliza dos archivos, msvfw.dll y avifil32.dll que se encuentrán en las instalaciones de Microsoft Windows XP y 2000, no necesitando de esta forma ningún generador de video adicional para generar sus videos y se ampara en que el código que utiliza es muy similar al utilizado por Microsoft.

En el análisis efectuado por Hispasec evidencia que la mayoría de los virus de esta naturaleza provienen de programadores brasileños y es en este país donde se están desarrollando con mayor virulencia esta tecnología. En España la mayoría de los ataques de este tipo provienen de países del este y por el momento no utilizan esta tecnología, sin embargo muchos nos tememos que no tardarán en llegar a nuestras entidades bancarias ataques tan extremadamente sofisticados y peligrosos.

Por otro lado, presentan la evolución natural que suele presentar el malware: cuando se ponen medios para evitar que el malware consiga sus fines, éste crea un nuevo método para burlarlo de nuevo.

El ministro José Montilla anunció en el XX encuentro de las Telecomunicaciones que se celebra en la Universidad Internacional Menéndez Pelayo que se está preparando un borrador sobre la nueva Ley de Impulso de la Sociedad de la Información cuyo objetivo y según palabras textuales es “impedir el acceso desde España a servicios o contenidos cuya interrupción ó retirada haya decidido un organismo competente”

Si finalmente es aprobada está ley, prevista para el final de la actual legislatura, la Asociación de Internautas ha manifestado ya su preocupación por la posible vulneración de la libertad de expresión en un medio tan extendido y plural como Internet.

Según el ministro el objetivo del proyecto es establecer una medidas que impidan el acceso a determinados contenidos o servicios publicados en Internet estableciendo “un mecanismo más efectivo para el control de los contenidos a nivel internacional”

Hasta el momento la información que se dispone sobre el proyecto es muy limitada y no se han facilitado más datos por parte del Ministerio. Según se desprenden de las manifestaciones del Ministro el objetivo son impedir el acceso a las páginas bancarias fraudulentas y páginas de pornografía infantil. Según ha manifestado la Asociación de Internautas prestarán todo su apoyo al proyecto sin embargo han indicado que debe ser un juez quién decrete  la decisión y no se trate de una simple decisión administrativa.

Realmente esta ley reafirmará algo que ya se ha hecho en otras ocasione por parte de entidades judiciales, como es impedir el acceso a determinadas webs (como ocurrió con la web de Batasuna en su día). Es muy importante que estas prohibiciones sólo puedan ser realizadas por los jueces, ya que sino entraríamos en una dictadura de contenidos como ocurre en China y otros países.

También ha estado siendo debatido en Barrapunto estos días.

Webroot, entidad experta en software de protección, acaba de publicar el listado con las más peligrosas alertas de software espía que España y el mundo sufrieron durante el mes de agosto.

Los espías informáticos, más que tomarse vacaciones, prosiguieron implantándose en enorme proporción De este modo los resultados colocan al país español en un preocupante 3er y 4to lugar entre los países del continente europeo vulnerados con Monitores de Sistema y Adware, respectivamente.

Según Webroot, estas son las alertas más peligrosas alertas agosto, por categorías:

Adware

1 Hotbar
Hotbar es una toolbar que tiene dos versiones: una de forma gratuitacon propaganda que muestra anuncios en nuevas ventanas y otra edición por abono, sin propaganda.

2 Security2k Hijacker
Security2k Hijacker es una ampliación para el explorador de Internet que es capaz de tomar el control de la página de inicio predeterminada para cambiarla a una falsa página web de protección.

3 Popuper
Popuper es una aplicación “adware” que es capaz de lazar propagandaes en nuevas ventanas y tomar el control de la página de inicio y la de búsqueda del explorador.

4 Lopdotcom
Lopdotcom es un buscador con resultados patrocinados que pone una enorme proporción de vínculos a páginas de internet en el escritorio, como también en la carpeta de “Favoritos”. Incluso modifica el buscardor predeterminado.

5 ErrorSafe
ErrorSafe es una utilidad de sistema y de protección que se instala sin el acuerdo de la persona y se activa al iniciar MS Windows. Webroot sugiere suprimir este programa si se ha instalado sin habilitación.

6 GAIN - Common Components
GAIN Common Components es un software propagandístico de la red de propaganda GAIN.

7 180search Zango/Zango
180search Zango y Zango son software de “adware” que intentan mostrar sitios web pagados por los sponsors.

8 Spyware Quake
Se trata de una utilidad de sistema y de protección que se instala sin el acuerdo de la persona y se activa al iniciar MS Windows. Webroot sugiere suprimir este programa si se ha instalado sin habilitación.

9 Spyware Quake FakeAlert
Spyware Quake FakeAlert es una aplicación de “adware” que es capaz de mandar propaganda pop-up a la PC y tomar el control de la página de inicio, como también las búsquedas del explorador. Incluso es capaz de bajar programas anti-programas espía sin habilitación de la persona.

10 Maxifiles
Maxifiles es una aplicación de adware que es capaz de lazar propagandaes en la PC.

Troyanos

1 Trojan Downloader-Zlob
Trojan-Downloader-Zlob es una aplicación que es capaz de bajar otros peligros en la PC.

2 Trojan Agent Winlogonhook
Troyano que posibilita a un hacker poseer ingreso completo a la PC mientras el usuario se encuentre en Internet.

3 Trojan-Downloader-Ruin
Trojan-Downloader-Ruin es una aplicación que es capaz de bajar otros peligros en la PC. Incluso es capaz de modificar las direcciones DNS.

4 Troyan-Backdoor-Cyn
Troyan-Backdoor-Cyn es una clase de troyano que posibilita a un hacker poseer ingreso completo a la PC mientras el usuario se encuentra en Internet.

5 Trojan-Backdoor-msdcom32
Trojan-Backdoor-msdcom32 es una clase de troyano que posibilita a un hacker poseer ingreso completo a la PC mientras el usuario se encuentre en Internet.

6 Trojan-Downloader-Apher
Trojan-Downloader-Apher es una clase de troyano que posibilita a un hacker poseer ingreso completo a la PC mientras el usuario se encuentre en Internet.

7 Trojan-Backdoor-us15info
Trojan-Backdoor-us15info es un virus de tipo troyano que se ejecuta en segundo plano y es capaz de juntar información sobre la PC. Una vez recopilada, la información podemos mandar a un destino elegido por el autor.

8 P2pnetwork
p2pnetwork es una clase de troyano que posibilita a un hacker poseer ingreso completo a la PC mientras el usuario se encuentre en Internet.

9 Trojan-Downloader–AC2
Troyan- Downloader-AC2-Lev es una clase de troyano que es capaz de bajar otros peligros en la PC.

10 Trojan-Downloader-WStart
Trojan-Downloader-WStart es una clase de troyano que es capaz de bajar otros peligros en la PC.

Monitores de sistema

1 Perfect Keylogger
Perfect Keylogger es una utilidad de monitorización que graba todas las páginas de Internet visitadas, las teclas que se pulsan en el teclado y los clics de ratón.

2 Digi-Watcher
Digi-Watcher hace screenshots del sistema para monitorizar la actividad de la PC y es capaz de estar preparado para realizar auto-capturas mediante un equipamiento como la Webcam.

3 Password Spectator
Password Spectator es un monitor de sistema que graba en la PC aplicaciones y páginas de internet con sus respectivas claves.

4 KeyboardSpectatorPro
SC-KeyLog es una utilidad de monitorización tiene la habilidad de registrar todas las pulsaciones de teclado.

5 SpyBuddy
SpyBuddy es una utilidad de monitorización que graba en secreto comunicaciones de Chat, las páginas de Internet visitadas, ventanas abiertas y los programas que se usan.

6 UFP 007 Spy
UFP 007 Spy es una utilidad de monitorización que graba en secreto todas las actividades realizadas con la PC.

7 Armadax Keylogger
Armadax Keylogger graba las pulsaciones de teclado y guarda esta información en un documento para rescatarla después.

8 IMBoss
IMBoss.ese es un monitor de sistema que graba en secreto todas las actividades realizadas con la PC.ordenador en ese instante.

9 Golden Eye Cookie
Golden Eye Cookie es una utilidad de monitorización que graba todas las actividades de la PC, como las teclas que se pulsan en el teclado, las páginas de Internet visitadas o las funciones con documentos y carpetas.

10 ElHacker Keylogger
ElHacker Keylogger graba las teclas que se pulsan en el teclado y almacena esta información en un documento para consultarlo más tarde.

Fuente: Sociedadenred.com.ar

Los supuestos premios obtenidos en lotería que llegan por email, es un tipo de estafa muy difundido por Internet, y a pesar de que a priori parezca un engaño poco creíble, la verdad es que nos llegan muchos casos de gente (especialmente de Latinoamérica) que dudan e incluso tieden a pensar que realmente han obtenido un premio de lotería, incluso sin haber jugado. Es evidente que no se puede ganar en ninguna lotería sin jugar. No se debe confundir este tipo de estafas con los servicios de lotería online que ejercen una actividad totalmente legal, citamos por ejemplo a Hispaloto.

Parece que dentro de nuestra labor estamos consiguiendo al menos orientar para que no se caiga en estas estafas, siendo prueba de ello un texto remitido por uno de nuestros visitantes:

“Solo quería contarles que gracias a esta pagina desde Argentina  pude reconocer un intento de estafa de los señores Juan Willson de Lagos Nigeria, James Bulo y dr. Hillari  con cuentas en el Afribank de Nigeria y Australia los  cuales se hacen pasar por responsables de pagos de billetes de lotería de  Australia Lottery Lotto inc. ; que nunca fueron sorteados y no existen y para hacerse acreedor del premio te piden que les deposites una importante suma de dinero a ellos en concepto de gastos anticipados de transferencia. Cuidado que los delincuentes destruyen todo a su paso .. Gracias “

Ciertamente nos llegan una gran cantidad de emails de este tipo, desde una gran cantidad de loterías y países, y recomendamos a todos los usuarios que no crean este tipo de engaños.

Jose Manuel Fernández nos ha remitido amablemente una entrevista en la que trata diversos aspectos de la normativa ISO 27001, respondiendo personalmente a una serie de preguntas relacionadas con la consultoría a la hora de implantar una ISO 27001 en empresas, sirviendo de orientación y resolución de muchas dudas para aquellos que se interesan por este aspecto. La entrevista abarca los siguientes puntos:

- Presentación de Nexus Consultores y Auditores y su relación con ISO 27001.
- Punto de partida del interés en Nexus en trabajar con ISO 27001.
- Empresas y sectores en los que se muestra un mayor interés por la ISO 27001.
- Tareas que debe realizar una empresa para la implantación de un SGSI.
- Servicios externos que suelen requerir las empresas para esta implantación.
- Esfuerzo y costes de la implantación de un SGSI.
- Diferencias entre los requisitos de ISO 27001 y la forma actual de gestión.
- Carencias en gestión de seguridad más destacables y habituales.
- Aspectos que entrañan mayor dificultad en la implantación de un SGSI.
- Aspectos a atender especialmente para la auditoría de certificación.
- Ventajas para la propia empresa, una vez tiene ya implantado el SGSI.
- Resumen de la Jornada de Gestión de Seguridad ISO 27001 celebrada en Málaga

Adicionalmente, encontramos otra entrevista sobre ISO 27001, realizada por Carlos Manuel Fernández (de Aenor), que puede resultar también interesante sobre este tema.

Zcodec es un malware que utiliza un rootkit para ocultarse e iniciar un ataque pero no es lo único que puede hacer ya que puede variar la configuración DNS del ordenador y modificar las búsquedas en Internet además de instalar otros códigos maliciosos en nuestro ordenador.

Zcodec se oculta en un programa que supuestamente instala en el ordenador los codecs necesarios para reproducir una aplicación multimedia. El programa  en realidad no instala ningún codecs sino que al hacer click en el archivo el malware Zcodec se instala en nuestro sistema.

El código malicioso instala un rootkit para que el usuario no pueda ver los archivos que se están ejecutando.  De esta forma instala dos archivos ejecutables. Uno de ellos modifica la DNS del ordenador y de esta forma modifica los resultados obtenidos cuando se realiza una búsqueda en algún motor de búsqueda. El beneficio perseguido con esta acción es evidente, al modificar las búsquedas las dirige hacia sitios de pago por click o páginas que intentan robos de identidad.

Sin embargo la peligrosidad de este código maligno es mayor por el hecho de que instala un segundo archivo que instala un troyano diseñado para descargar otros códigos malignos. Este troyano llamado Ruins.MB es especialmente maligno por cuanto permite la instalación de programas de apuestas en linea.

Este tipo de ataques no son ninguna novedad pero en los últimos tiempos se están reproduciendo cada vez con mayor frecuencia.

Fuente: DiaroTi

Este troyano fue detectado automáticamente a través del motor heurístico ThreatSense, de Eset NOD32, como una variante de Win32/IRCBot.OO, lo cual protegió proactivamente a los usuarios del producto en todo momento contra este código malicioso, al no precisar de una actualización para reconocer el nuevo malware.

Esta variante en particular intenta aprovecharse de una vulnerabilidad en el servicio Servidor de los sistemas operativos Windows 2000, XP y 2003, que fue reportada el 8 de Agosto por Microsoft. Ese mismo día el parche para corregir el agujero de seguridad fue publicado, pero de acuerdo a como se ha estado detectando este troyano, se nota una gran cantidad de usuarios que aún no ha instalado la actualización de seguridad disponible en el boletín MS06-040.

Al igual que la mayoría de las variantes de la familia IRCBot, el objetivo de este nuevo ejemplar es la construcción de botnets, también conocidas como redes de equipos zombis. Una botnet es una red de ordenadores infectados por un malware y que puede ser administrada remotamente por el creador del código malicioso para realizar acciones colectivas como envío de correo no solicitado y/o ataques de denegación de servicio (DoS).

El nuevo código malicioso es muy similar al reportado en la primer semana de Julio, propagándose a través del AOL Instant Messenger, con la particularidad de que además explota la vulnerabilidad antes mencionada.

Esta variante de IRCBot.OO se ubica actualmente en la posición número 33 de los códigos maliciosos más de detectados en las últimas 24 horas, de acuerdo al  sistema de alerta temprana ThreatSense, que ha contabilizado detecciones de más de 6000 malware distintos en ese lapso de tiempo.

Al instalarse en un equipo infectado, el troyano se almacena en un archivo de nombre wgareg.exe, el cual se inicia como un servicio del sistema llamado “Windows Genuine Advantage Registration Service”, que busca hacer creer al usuario que se trata de la herramienta anti-piratería real de Microsoft.

Tras esto, el troyano puede ser utilizado para obtener información del equipo infectado, además de lanzar ataques distribuidos de denegación de servicios, entre otras cosas.