Emisión 45

1. NSO suplanta a Facebook para hackear objetivos
2. Asesino serial cae por usar la tarjeta de crédito de su víctima
3. “La seguridad de iOS está jodida», dice Zerodium, el broker de exploits y desploma los precios para los exploits de Apple
4. Nace el estándar SD 8.0 ¡Esperen SDs ultra rápidas!
5. Samsung presenta un nuevo navegador para Android
6. Hackers rusos usan los códigos del estatus de HTTP para controlar sus malwares

Pues los chicos malos de la seguridad informática Israelí: NSO Group, vuelven a aparecer en los encabezados. Ya previamente escuchamos noticias sobre su software de hackeo PEGASUS que puede controlar completamente tu móvil con sólo recibir un mensaje de texto. De hecho tiene dos vertientes, uno que necesita 1 clic para ser activado y otro que no necesita interacción alguna. También son los mismos que usaron una vulnerabilidad de whatsapp para atacar algunos objetivos.

Bueno, pues según la revista Motherboard, un ex-empleado de NSO Group, les filtró información de una dirección IP de un servidor en estados unidos que la firma usó para atacar objetivos fingiendo ser un sitio del equipo de seguridad de Facebook.

La revista Motherboard pudo confirmar a través del investigador de citizen lab John Scott-Railton que dicha IP está relacionada con la infraestructura del grupo NSO y que se hospeda en un servidor dentro de la nube de Amazon AWS.

A través de servicios que relacionan históricamente los nombres de dominio y las Ips a las que resuelven, revelaron que efectivamente un dominio se usó para fingir ser parte de la estructura de Facebook. De hecho, Facebook, al darse cuenta de esto, adquirió posteriormente dicho dominio a través de la empresa de gestión de dominios MarkMonitor.

Y como ya se han de imaginar, el despedorre legal ya se puso al 100. Facebook ya cuenta con demandas activas en contra de NSO y hasta el momento no se sabe si Amazon actuará legalmente contra el grupo israelí por infringir sus políticas de uso.

Y la pregunta de los 64mil para nuestros escuchas es ¿por qué la NSO Group cuenta con tanta libertad de acción en suelo americano? ¿Habrá de pormedio algún acuerdo de intercambio de inteligencia que solape dicho comportamiento?

The Register: “La seguridad de iOS está jodida», dice Zerodium, el broker de exploits y desploma los precios para los exploits de Apple. ¿Quien es Zerodium? Según su página web: ZERODIUM es la plataforma de adquisición de exploits líder en el mundo para premium 0 Days y capacidades avanzadas de ciberseguridad. Pagamos GRANDES recompensas a los investigadores de seguridad para adquirir sus 0 days sin reportar. Mientras que la mayoría de los programas de recompensas existentes aceptan casi cualquier tipo de vulnerabilidades y PoC, pagan recompensas muy bajas, en ZERODIUM nos enfocamos en vulnerabilidades de alto riesgo con exploits completamente funcionales y pagamos las recompensas más altas (hasta $ 2,500,000 por cada uno “movil”). Hace 5 años, Zerodium ofrecia 1M de dólares por ciertos exploits para dispositivos Apple, pero ahora la compañía ha anunciado que no pagará por exploits nuevos debido a la enorme cantidad que está recibiendo. Via Twitter la compañía dijo que no aceptará nuevos exploits tipo Escalamiento de Privilegios Local, Ejecución de Código Remota en Safari, sandbox escapes durante los próximos 3 meses. También dijo “Los precios para los exploits en cadena con un click vía Safari sin persistencia, por ejemplo, probablemente también bajen de precio”.
https://zerodium.com/program.html#changelog. iOS 13 ha sido muy defectuoso, tanto que Craig Federighi, vicepresidente senior de ingeniería de software de Apple, tuvo que revisar el proceso de pruebas de software. Por otro lado Patrick Wardle, fundador de Objective-See, dijo que la supuesta sobreoferta de vulnerabilidades también puede ser una consecuencia de la actual crisis de salud global. «Es probable que haya muchos hackers atrapados en casa con tiempo extra en sus manos, o tal vez que han perdido sus trabajos o están en una situación financiera difícil, como lo es una gran parte de la población» “Agrega tiempo y motivación financiera, y obtendrás más bugs.”

Pero cómo utilizan esos exploits para comprometer un teléfono iOS. Este es un ejemplo de LightSpy, un “full remote iOS exploit chain (Exploit remoto en cadena, es decir, si el primero es exitoso, el segundo puede ejecutarse y así…)“ que ataca a usuarios en Hong Kong y le permite a los atacantes una vigilancia profunda y un control total sobre los dispositivos iOS infectados. Esta actividad se detectó durante el pasado Enero.

Actividad:
Los atacantes escriben un post muy atractivo en un foro que atrae la atención de las víctimas “Watering hole attack”.
Al darle clic al link dentro del post son redirigidos a un sitio infectado y bajo control de los atacantes.
Cuando la página carga en el navegador del usuario, la página carga un iFrame que carga otra página en el background, la cual ejecuta código malicioso que explota una vulnerabilidad de “Ejecución de Código Remoto” en el navegador,
La “Ejecución de Código Remoto” permite ejecutar códigos dentro del dispositivo que permite la ejecución del exploit para tomar el control total del dispositivo.
Dentro del proceso del “exploit” se ejecuta una otro código que permite elevar los privilegios “Local Privilege Escalation”, en resumen te permite saltar de un nivel usuario a un nivel administrador.
Ya con premisos de administrador en el dispositivo, se descarga un malware (en este caso un troyano), lo instala y lo ejecuta.
Ya que este troyano ya está siendo ejecutado con privilegios de administrador, puede tomar el control total o parcial del dispositivo.

¿Alguna vez han tenido que copiar un archivo muy grande de un lugar a otro? Puede ser una pesadilla, inclusive si lo intentas copiar a un disco duro.

Pues para todos los desesperados como yo, hay buenas noticias en el horizonte. La nueva especificación de SD 8.0 está planteando mejoras importantes sobre todo con respecto la velocidad.

Para que nos demos una idea, el estándar de velocidad con discos duros de estado sólido SATA 3.0 que puede ser el que ustedes tengan conectado en éste momento, nos soporta una velocidad máxima de 560M/s.

Suponiendo que hoy día tardas 4 horas y media en transferir un archivote de 1TB, las nuevas SD 8.0 te permitirán hacer lo mismo en tan solo 37 minutos a una velocidad insana de 4GBs.

Las nuevas SDs tendrán la misma carcacita o forma, lo que cambiará es que tendrán una nueva hilera de contactos para lograr esa velocidad.

Imaginen todo el procesamiento de inteligencia artificial sobre imágenes que podremos tener cuando estas pequeñas gigantes salgan al mercado.

Hackers rusos usan los códigos de estado de HTTP para controlar sus malwares. Investigadores de Kaspersky han identificado una nueva versión del malware COMpfun que controla los hosts infectados utilizando un mecanismo que se basa en códigos de estado HTTP. Se han atribuido estos ataques al grupo de hackers rusos financiados por el gobierno ruso llamado Turla (aka Snake o Uroburos), uno de los grupos de hackers más avanzados del mundo. Turla es conocido por hackear telecomunicaciones satelitales para enviar malware a áreas remotas alrededor del mundo, fueron los desarrolladores del malware que era controlado desde los comentarios escritos en las fotos en Instagram de Britney Spears, desarrollaron una herramienta llamada LightNeuron, que fue el primer backdoor para Servidores Microsoft Exchage y que es controlado por a través de correos electrónicos con archivos adjuntos PDF o JPG. Una vez que el servidor ME es vulnerado, se instala el backdoor LightNeuron, los atacantes nunca se conectan al servidor directamente, sino que envían correos electrónicos al servidor con archivos adjuntos en PDF o JPG. Estos archivos contienen comandos insertados a través de esteganografía, que el LightNeuron lee y ejecuta. LightNeuron es capaz de leer y modificar cualquier correo electrónico que pase por el servidor Exchange, crear y enviar nuevos correos electrónicos y bloquear que un usuario reciba ciertos correos electrónicos.
Regresando a la nueva técnica descubierta, según Kaspersky, este nuevo protocolo de malware C&C no utiliza un patrón clásico en el que los comandos se envían directamente a los hosts infectados como solicitudes HTTP o HTTPS que llevan comandos claramente definidos.
Los investigadores de seguridad y herramientas de seguridad a menudo analizan el tráfico HTTP / HTTPS en busca de patrones que parezcan comandos de malware. Cuando ven parámetros similares a CLI en encabezados o tráfico HTTP, generalmente es una señal obvia de que está sucediendo algo malicioso.

Kaspersky dice que Turla adaptó este mecanismo básico de servidor-cliente que ha existido durante décadas al protocolo C&C de COMpfun, donde COMpfun C&C desempeña el papel de un servidor, y los implantes COMpfun que se ejecutan en hosts infectados desempeñan el papel de clientes. Kaspersky dice que cada vez que un implante COMpfun hace ping al servidor C&C si el servidor responde con un código de estado 402 (pago requerido), todos los códigos de estado posteriores son comandos futuros. Por ejemplo, si el servidor COMpfun respondería con un código de estado 402, seguido de un código de estado 200, el implante de malware cargaría todos los datos que recopiló de la computadora de un host al servidor Turla C&C.

Nuestras Redes

@creadoresdigita	CreadoresDigitales

Sigue a León, Hiram y Alina en Twitter

¡Escúchanos!

En Ivoox	En Spotify
ApplePodcast	En Youtube
Google podcast