Archivos para julio, 2013


 

tarjeta-sim-2

 

Durante años, las tarjetas SIM han sido consideradas como uno de los componentes menos vulnerables en cuanto a posibles amenazas de seguridad en dispositivos móviles. Sin embargo, un reconocido criptólogo e investigador de seguridad alemán, Karsten Nohl, ha logrado hackear tarjetas SIM para lograr control sobre los terminales.

Nohl asegura que ha tardado tres años en descubrir la forma de hackear una tarjeta SIM y, asimismo, asegura que no todos los tipos de tarjeta pueden ser hackeados, pero sí un 13% de todas las que hay en el mundo. Según informa Forbes, el investigador se ha valido de diversos protocolos de seguridad que llevan funcionando sin problema varias décadas. Esto supone la exposición de muchos millones de terminales ante esta vulnerabilidad.

El hackeo se basa en un viejo estándar de cifrado, el DES (Estándar de Cifrado Digital, Digital Encryption Standard en inglés). Una vez que se ha accedido a la tarjeta SIM, el atacante podría utilizar el teléfono de la víctima para copiar por completo el contenido de la tarjeta SIM, grabar llamadas, redirigirlas, enviar SMS desde la tarjeta e incluso, en algunos países, efectuar fraudes de pago.

Nohl afirma que es poco probable que los ciberdelincuentes hayan encontrado este fallo de seguridad, y piensa que no es probable que eso ocurra en los próximos seis meses. Mientras tanto, dos grandes compañías ya están trabajando en la búsqueda de una solución, que se compartirá con otros operadores.

“Las empresas están sorprendentemente abiertas a la idea de trabajar conjuntamente en temas de seguridad, porque la competencia está en otro lugar”, dice Nohl.

La vulnerabilidad que haría posible hackear tarjetas SIM está relacionada con dos factores: el primero, que muchas de las SIM a nivel mundial utilizan el protocolo de cifrado y seguridad DES, el cual fue creado por IBM en la década de 1970, y que hasta ahora no había sido vulnerado. Sin embargo, operadores como AT&T aseguran que sus tarjetas no son vulnerables dado que utilizan un nuevo protocolo llamado 3DS, que nació como evolución del creado por IBM.

El segundo factor tiene que ver con el lenguaje de programación Java Card, con el que han sido programadas unas seis mil millones de tarjetas SIM. Según el investigador Nohl, enviando un mensaje de texto binario (que el usuario ni siquiera podrá ver) se podríanhackear este tipo de tarjetas.

Nohl presentará los detalles de su investigación en la próxima conferencia de seguridad Sombrero Negro, que tendrá lugar en Las Vegas el 31 de julio.

FUENTE


 

images

La compañía de entretenimiento Sony ha decidido no recurrir la sanción impuesta por la Oficina del Comisionado de Información del Reino Unido (ICO) en relación con la violación de datos en PlayStation Network (PSN) en abril de 2011. Sony deberá pagar la multa de 250.000 libras (288.849 euros).

La sanción hacia la compañía japonesa se produjo después de que la plataforma PlayStation Network de Sony fuese hackeada‘ en abril de 2011, comprometiendo la información personal de millones de clientes, incluyendo sus nombres, direcciones, direcciones de correo electrónico, fecha de nacimiento y las contraseñas de la cuenta. Incluso, también estaban en riesgo los detalles de la tarjeta de pago de los clientes.

La ICO multó a Sony en enero de 2012 después de descubrir que la violación era “evitable” y que la empresa, como negocio, “debería haberlo sabido”, como aparece en la Ley de Protección de Datos. Sin embargo, Sony dice que no está de acuerdo con esa decisión pero que aceptará la multa con el objetivo de evitar revelar información sobre sus procedimientos de seguridad.

“Después de una cuidadosa consideración retiramos nuestra apelación. Esta decisión refleja nuestro compromiso de proteger la confidencialidad de nuestra seguridad de la red de la información revelada en el curso del procedimiento,” según explicaba un representante de Sony a V3.

Después de la violación, la compañía de entretenimiento Sony ha reconstruido su plataforma de red para garantizar que la información personal que procesa se mantenga segura para todos los usuarios de PlayStation Network.

FUENTE


90579-620-282

Reunión en Mouscú de los máximos responsables de la empresa de seguridad informática Kaspersky, para analizar la situación respecto a la ciberdelincuencia. Según su director técnico en España, Pedro García-Villacañas, debemos extremar las precauciones de seguridad especialmente ahora en verano. Para el responsable de Kaspersky Lab Iberia aún no se tiene conciencia de los peligros de la red. El último informe anual de amenzas en Internet de Symantec, empresa propietaria del antivirus Norton, cifra en 42% el aumento del ciberespionaje en 2012 respecto al año anterior.

Espionaje, fricciones gubernamentales por el hallazgo de códigos maliciosos para acceder a datos estratégicos de países y recientes filtraciones de información en redes sociales, confirman los agujeros negros que persisten en el cotizado universo de la seguridad en la red, y que exige contundencia, según los expertos. Este lunes se reúnen en Moscú los máximos responsables de la empresa de seguridad informática Kaspersky, para hablar de cibercrimen, robo de información confidencial, blanqueo de dinero en internet. Asimismo, tratarán la seguridad a nivel de usuario y el aumento de ataques a dispositivos móviles, como consecuencia de la explosión de usuarios de este tipo de aparatos, que atraen cada vez más a los ciberdelincuentes, porque encuentran en ellos un filón para acceder a datos ajenos que les reportan ingentes cantidades de dinero.
kaspersky-logo
Extremar las precauciones Se necesita una mayor concienciación del ciudadano para protegerse en Internet Así lo ha explicado el director técnico de Kaspersky Lab Iberia, Pedro García-Villacañas, quien ha animado tanto al internauta como al usuario de dispositivos móviles “inteligentes”, que se conecta con ellos a la red, a extremar las precauciones de seguridad, especialmente ahora en verano que se disparan las amenazas. “Se necesita una mayor concienciación del ciudadano para protegerse en Internet, del mismo modo que toma medidas de seguridad en su vida real”, ha señalado el experto. De acuerdo a los datos de estudios de esta empresa rusa, el “malware” o código malicioso detectado en dispositivos móviles crece como la espuma; así sólo en el primer trimestre del presente año ha superado ya el 50% del total del ejercicio anterior. Según las datos de Kaspersky el ‘malware’ o código malicioso crece como la espuma Además, según las cifras, el 99% de estos ataques a dispositivos móviles “inteligentes” tiene como blanco aparatos con sistema operativo Android (Google), aunque eso no quita que se estén disparando también las amenazas a aparatos de Apple, que ganan cada vez más usuarios. En el ámbito del cibercrimen, los códigos maliciosos desarrollados por criminales son cada vez más sofisticados desde el punto de vista técnico y de mayor alcance en el sentido de que llegan rápido a muchísimos ordenadores y a menudo sin dejar rastro, ha dicho. El experto García-Villacañas ha precisado que, aunque “no se necesita ser gurú” de la informática para llegar a ser ciberdelincuente, sí “se requieren conocimientos técnicos avanzados”. Los “troyanos” En su opinión, “una sola persona competente, con tecnología avanzada y un montón de canales distintos, puede llegar en horas a miles de ordenadores de todo el mundo gracias a la distribución de algún troyano bien configurado”. Ha recordado que, con los troyanos se busca no dejar indicios, al contrario que con los virus convencionales que son evidentes cuando actúan; de ese modo, los ciberdelincuentes pasan muchas veces desapercibidos y obtienen el máximo de información ajena con la que luego lucrarse. Centro europeo contra el cibercrimen Proliferación de redes muy sofísticadas para cometer crímenes en Internet La ciberseguridad preocupa mucho en el mundo, como lo confirma el compromiso no sólo de las empresas que desarrollan sistemas que garantizan la seguridad, sino también de las autoridades gubernamentales, con iniciativas como la reciente creación de un centro europeo de la Europol específico contra el cibercrimen. Su director, Troels Oerting, participó recientemente en una jornada de seguridad en Madrid, en donde advirtió de la proliferación de redes organizadas, cada vez más sofisticadas, para cometer crímenes en Internet. Según sus palabras, incluso la propia red, a cuyos usuarios se intenta proteger de los cibercriminales, es la que paradójicamente pone a disposición de cualquiera todo un sinfín de herramientas de muy fácil acceso para la autoformación como terrorista y delincuente. Incremento del ciberespionaje Miguel Suárez, uno de los expertos en seguridad de la empresa Symantec (propietaria del antivirus Norton), ha destacado el incremento de ataques de ciberespionaje a objetivos muy concretos que se detecta cada año y que confirma una clara tendencia de crecimiento anual de los mismos. Precisamente el último informe anual de amenazas en Internet de Symantec cifra en el 42% el incremento de este tipo de ataques en 2012 respecto al año anterior; además, en el 31% de esos casos, los cibercriminales transgredieron la seguridad de las grandes instituciones atacadas sirviéndose de datos robados anteriormente de pequeñas empresas.


En la App Store están regisradas 575 millones de cuentas, donde hay datos personales, tarjetas de créditos y claves

Kaspersky Lab alerta de un crecimiento en cuanto a intentos de ‘phishing’ a usuarios de dispositivos Apple. La compañía de seguridad asegura que han crecido de 1.000 a 200.000 intentos al día de «phishing» desde 2011 hasta la actualidad.

Los cibercriminales sincronizan sus intentos de «phishing» con las campañas de marketing de Apple. Se llegaron a detectar 900.000 intentos en un sólo día tras anunciar la apertura de iTunes en países como India, Turquía o Rusia. Los cibercriminales sincronizan sus intentos de robo de identidad con las campañas de marketing de Apple.

El 6 de diciembre de 2012, inmediatamente después de la apertura de las tiendas de iTunes en la India, Turquía, Rusia, Sudáfrica y otros 52 países adicionales, Kaspersky Lab detectó el récord absoluto con 900.000 intentos de phishing a los usuarios de Apple en un solo día.

Los métodos utilizados por los ciberdelincuentes para acceder a los datos de usuario de Apple no son nuevos. Incluyen el envío de correos electrónicos que supuestamente proceden de service@apple.como Apple Customer Support, generalmente escritos con un lenguaje profesional e incluyendo el logotipo de Apple y enlaces al site de “Preguntas más frecuentes” con el fin de convencer a los usuarios escépticos.

Los correos electrónicos también contienen enlaces a sitios web falsos de Apple, donde se solicita a los usuarios que introduzcan su ID de Apple y/o contraseña. Tras el robo, los datos quedan a disposición de los ciberdelincuentes.

En otra versión, el objetivo es robar los datos de las tarjetas de crédito de los clientes de Apple. Esto se realiza mediante el envío de un correo electrónico solicitando los usuarios que verifiquen la información de su tarjeta de crédito unida a sus ID de Apple. Después se les pide su tipo de tarjeta de crédito y el número, así como su fecha de caducidad, el código de verificación de la tarjeta, su fecha de nacimiento, y otros datos identificativos.

Comprobar la barra de direcciones

Una forma de diferenciar los sitios web reales y los recreados para utilizar con phishing es comprobar la barra de direcciones. Aunque la mayoría de los sitios falsificados contienen la palabra “apple.com” como parte de su dirección (URL), los usuarios deberían revisar la dirección completa con detenimiento para detectar las falsificaciones.

Pero todo es más complicado cuando la barra de direcciones no se puede ver, como sucede al utilizar el navegador Safari de los dispositivos móviles como iPhone y el iPad. Los ciberdelincuentes también pueden construir sitios web de manera que la dirección de la auténtica se incorpore en el sitio como una imagen y que se muestre en la parte superior de la pantalla.

Los usuarios deben primero verificar si los correos electrónicos que reciben para pedirles que introduzcan cierta información, en realidad proceden de Apple. Al pasar el ratón sobre la barra de direcciones, se muestra el verdadero remitente. Los usuarios pueden así determinar si el correo electrónico en cuestión fue enviado por Apple y el dominio es correcto.


tipos de ataques a Whatsapp

Es constante el que se informe sobre nuevos riesgos a la hora de utilizar WhatsApp. La aplicación va actualizándose constantemente tanto en IOS como en Android.

Vamos a enumerar los cinco ataques más importantes que han reportado distintos investigadores:

LOS ATAQUES

  1. El número telefónico se puede obtener sin permiso o conocimiento del usuario, empleando técnicas de “sniffing” en una red (sobre todo WiFi pública).
  2. El número telefónico de todos los contactos se puede obtener sin permiso del usuario, también empleando técnicas de sniffing.
  3. La cuenta del usuario es la misma que el número telefónico (incluyendo código de país). Por ejemplo, una cuenta en México, para un teléfono en la Ciudad de Guadalajara, tendría el formato: 5233xxxxxxxx
  4. La contraseña se puede derivar fácilmente, a partir de conocer laDirección MAC del dispositivo IOS (por ejemplo, usando técnicas de scanning), o el IMEI en Android (obtenido mediante acceso físico al dispositivo, o por filtración de alguna aplicación).
  5. Es posible tomar el control remoto de una cuenta, conociendo el usuariocontraseña. Por supuesto, este es el riesgo más alto, porque recordemos que la Personificación (tomar la identidad de otro individuo), es una de las tácticas más frecuentes usadas en espionaje corporativo y ataques cibernéticos por Ingeniería Social.

LAS PRUEBAS

1. ¿El número telefónico se puede sniffear? Para verificar el primer ataque, se conecta un Android a una red WiFi abierta. Desde una PC conectada a la misma red, se usa Cain & Abel para interceptar las comunicaciones y Wireshark para sniffearlas:

ataque-whatsapp-1
Resultado: este riesgo sigue vigente. Aunque las comunicaciones aparentementeson encriptadas con SSL, en realidad WhatsApp sigue transmitiendo el número telefónico en texto simple. En la parte inferior derecha de la imagen puede observar el número telefónico de Android (5213XXXXXXXX).
Esta información se puede localizar rápidamente, empleando la funcionalidad “Find Packet” de Wireshark. Simplemente se indica la palabra “Android” o “iphone” como criterio de búsqueda.
2. ¿Se puede sniffear el número telefónico de todos los contactos? Para verificar este riesgo, efectué búsquedas exhaustivas en todas las comunicaciones que había capturado con Wireshark, tratando de localizar los números telefónicos de mis contactos que tengo registrados en WhatsApp:
ataque-whatsapp-2

Resultado: no se ha localizado ninguno. Es decir, ya no se puede obtener la lista de los contactos.

3 y 4. ¿Se puede derivar fácilmente la Cuenta y Contraseña? Para verificar este riesgo, usé el cliente whatsapp.php, incluido en el software WhatsAPI. Lo instalé en Ubuntu 12.04, ejecutando los siguientes comandos:
apt-get install -y git php5
git clone git://github.com/venomous0x/WhatsAPI.git
cd WhatsAPI
Nota: WhatsAPI ya no está disponible en el sitio oficial. Sin embargo, todavía se encuentra en GitHub. Es posible que esta versión también desaparezca pronto, porque los autores fueron contactados por WhatsApp, solicitando que la removieran.
Otra Nota: WhatsAPI acaba de reaparecer en el sitio oficial, y va a continuar su desarrollo. Parece que el autor y los abogados de WhatsApp llegaron a algún tipo de acuerdo.
Después, edité el cliente whatsapp.php, indicando la cuenta ($sender) y contraseña ($imei) de mi teléfono (simulando como si un “hacker” las hubiera obtenido previamente, sniffeando la red WiFi).

ataque-whatsapp-3
Posteriormente, intenté enviar un mensaje a otro de mis celulares, que también está registrado en WhatsApp:

ataque-whatsapp-4
Resultado: este riesgo sigue vigente. La cuenta y contraseña siguen generándose igual. WhatsApp no indicó ningún error.
En comparación, si la cuenta o contraseña fueran incorrectas, aparece el siguiente mensaje:
ataque-whatsapp-5
5. ¿Se puede tomar el control remoto de una cuenta? Para probar el último riesgo, simplemente observamos si la solicitud anterior fue exitosa:
ataque-whatsapp-6
Como puede notar, existe un mensaje de falla, indicando que nuestra petición fue rechazada.
Es decir, aunque se obtenga la cuenta y contraseña, YA NO ES POSIBLE tomar el control de las comunicaciones de esa persona. WhatsApp respondió con el error “not-authorized”, y el mensaje nunca me llegó al teléfono de prueba.
CONCLUSIONES
Las versiones actualizadas de WhatsApp en iPhone y Android solucionaron la mayoría de los ataques. Sin embargo, sigue siendo posible obtener el número telefónico de una persona sin su autorización o conocimiento, simplemente “sniffeandola” cuando se encuentre en una red WiFi. Dependiendo de las circunstancias, esto puede ser un riesgo alto.
En cuanto a tomar el control remoto, es posible que la prueba no funcionara porque WhatsApp aplica algún nuevo tipo de revisión adicional, que todavía no está incluida en el cliente whatsapp.php.