Ayer Charlie Millerse descubrió una vulnerabilidad muy importante en iOS que permite esquivar los filtros de la App Store de Apple y, por medio de una aplicación que puede ser gratuita, conectarse a un server remoto y simplemente poseer control total de tu iPhone… ¿la respuesta de Apple? le sacaron sus credenciales de desarrollador
Una de las movidas más estúpidas de las que tenga memoria, un smartphone es cada día más importante en la vida cotidiana y piensen por un segundo en la cantidad enorme de información privada, personal y confidencial que uno tiene en el teléfono… no, tus fotos “intimas” es lo menos importante porque seguro tenés hasta datos de acceso a sistemas, a aplicaciones, datos bancarios y claves a otros servicios.
Seguridad
Un Drone o UAV es un vehículo aéreo controlado remotamente que cada día son más usados por la Fuerza Aérea Estadounidense, los más conocidos son el MQ9 Reaper y el MQ1 Predator ambos evolucionaron de maquinas de reconocimiento a maquinas de ataque usadas por USA en sus últimas “batallas por la libertad”… pero su principal ventaja es su principal punto débil, para manejarlos hay que emitir y recibir información.
(así se maneja un bombardeo :S)
Ya en 2009 los iraquíes interceptaban sus feeds de video con una simple antena de internet satelital y eso les permitía saber que se filmaba y que espiaban los de la USAF… ahora resulta que les metieron un Keylogger en su red, que no saben que tipo de información les capturaron, no saben como entró el virus y hasta un analista dice que “creemos que es benigno” claro, lo dicen como si no fuera importante deducir que una red militar con capacidad para bombardear demotamente tenga conexión a Internet pública (sino el virus debe haber entrado físicamente en la red y eso es peor), que esa red no está totalmente encriptada (sino no podrían sacarle los feeds de video) y encima que no pueden analizarlo forénsicamente porque no pudieron removerlo.
Ah, como es público van a decir que es una operación de prensa de la CIA … en fin :S
leer complete
Hay cosas que no termino de entender.. por ejemplo, que la gente siga usando Twitter como una herramienta para comunicaciones críticas o internas cuando no está pensado para eso y no es intrínsecamente seguro por diseño, que se entienda bien esto no es una crítica a la herramienta sino al uso que algunos le dan… y que todos conocemos como #DMFail
¿Que es un verdadero #DMfail? Decir 12 horas antes del lanzamiento de Facebook Music que la mejor función es “Listen with your friend” la que te va a permitir compartir en el muro de Facebook no sólo lo que estás escuchando sino que le permitiría a tus amigos hacer click y escuchar lo mismo que vos…
leer completePocas cosas me gustan más que leer noticias de la DefCon, algunas de las mejores son la cobertura que hace un amateur en el tema como DEF CON: The event that scares hackers de John D. Sutter que cuenta ese aire de leyenda donde “los hackers tiran las notebooks que usan en ese evento al terminar” hasta las muestras de que nada es totalmente seguro como Defcon Lockpickers Open Card-And-Code Government Locks In Seconds donde ponen en ridículo a Kaba y al Homeland Security con un clip… o a Android cuando descubren que Android could allow mobile ad or phishing pop-ups pero tal vez lo mejor son siempre los debates éticos que se dan en la “Escena” donde se discute desde el poder del anonimato en Internet hasta si los hacktivistas hacen mas daño que bien al atacar a diestra y siniestra cualquier tipo de institución financiera o liberar información sin siquiera revisar si es cierta o no al 100% en ese punto The Economist: Black hats, grey hairs es una buena cobertura sobre el tema :)
leer completeHay un buen análisis de Sergey Golovanov de Kaspersky Labs sobre TDL-4 un virus troyano que infectó a más de 4.5 millones de PCs sumándolas a una botnet que evoluciona más rápido que los que la combaten.
Y es interesante leer el reporte por que explica básicamente (además de detallar los componentes del virus) como este se esconde, borra troyanos de la competencia, actualiza su código y hasta previene ser borrado…
leer completeHace un tiempo, cuando el hackeo a Playstation network y varios sitios de Sony alrededor del mundo eran noticia, la empresa culpó a varias organizaciones aunque todavía no hayamos visto pruebas reales de esas acusaciones; pero recién hoy me aparece una duda basada en los datos de una demanda contra Sony:
leer complete“Apenas dos semanas antes de la intrusión de abril, Sony despidió a un porcentaje considerable de su fuerza laboral de Sony Online Entertainment, incluyendo un número de empleados del Centro de Operaciones de Red, que, según “testigo confidencial 2″, es el grupo responsable de la preparación y respuesta a las violaciones de seguridad, y que aparentemente tenía las habilidades para mantener la seguridad de la Red al día”
En 50 días de Lulz se anuncia el fin de LulzSec el grupo de hackers que estuvo de moda en estos días por algunos archivos que expuso al público algunas cosas pero lo único realmente interesante fueron los papeles del Departamento de Seguridad Pública de Arizona y no mucho más… ahora lo raro: un documento en PasteBin con datos de identificación de usuarios del grupo por otro grupo de hackers.
Leo a Marco Arment de Instapaper en un post sin desperdicio: The FBI stole an Instapaper server in an unrelated raid donde se describe como el FBI entra en una empresa de hosting/colocation con una orden para frenar a un distribuidor de Scareware y en el operativo se lleva decenas de servers de otras empresas/clientes ¿como se llama apropiarse de propiedad de terceros sin una orden judicial? Robar.
leer complete
Si una de las medidas de éxito de una comunidad es la velocidad en la que una empresa libera actualizaciones de seguridad, Movable Type parece estar muerto porque recien publican una actualización de seguridad casi 10 días despues que unos hackers lograron entrar en PBS.org y publicar noticias falsas… y sinceramente me da mucha lástima ver que el software que fue uno de los pilares del nacimiento del blogging como algo masivo esté en este estado.
Ah, el reconocimiento oficial: “A remote attacker could create, read or modify the contents in the system” via TechCrunch
leer completeEn una sentencia que va a sentar un precedente peligrosísimo un juez de USA acaba de dictaminar que el Ocean Bank de Maine no es responsable por el hackeo a una cuenta de Patco Construction uno de sus clientes. Los hechos son bastante simples de explicar, un hacker instaló un sniffer en una PC de la empresa, en cuanto robaron las claves del banco hicieron 6 transferencias por u$s540.000, el banco vió transferencias raras pero no le prestó atención a las banderas rojas y el cliente cuando recibió un resúmen de cuenta, y el banco en ese momento bloqueó la cuenta y pudo recuperar solo u$s240.000
Ahora, el fallo del juez da una serie de frases que de sentar precedente van a hacer de USA un paraiso hacker:
leer complete“el banco no es responsable si el cliente pierde sus contraseñas”
“Aparentemente y viendo las evidencias, los procesos de seguridad de 2009 no son óptimos y podrían haber usando un sistema de transferencias riesgosas en vez de hacer preguntas de seguridad”
“la ley no obliga al banco a tener los mejores sistemas de seguridad disponibles”
Hace una semana dije que Sony no podía frenar los ataques en su contra y que eso estaba logrando dos problemas mas graves que los directos que eran, la pérdida de confianza de sus consumidores y la pérdida de su mundo ideal interconectado para generar ingresos… apenas una semana después y cuando ya hablaban de volver a la normalidad aparece LulSec y libera un torrent mostrando los problemas ENORMES de Sony:
personal information, including passwords, email addresses, home addresses, dates of birth, and all Sony opt-in data associated with their accounts. Among other things, we also compromised all admin details of Sony Pictures (including passwords) along with 75,000 “music codes” and 3.5 million “music coupons”.
Due to a lack of resource on our part (The Lulz Boat needs additional funding!) we were unable to fully copy all of this information, however we have samples for you in our files to prove its authenticity. In theory we could have taken every last bit of information, but it would have taken several more weeks.
Our goal here is not to come across as master hackers, hence what we’re about to reveal: SonyPictures.com was owned by a very simple SQL injection, one of the most primitive and common vulnerabilities, as we should all know by now. From a single injection, we accessed EVERYTHING. Why do you put such faith in a company that allows itself to become open to these simple attacks?
What’s worse is that every bit of data we took wasn’t encrypted. Sony stored over 1,000,000 passwords of its customers in plaintext, which means it’s just a matter of taking it. This is disgraceful and insecure: they were asking for it.
This is an embarrassment to Sony; the SQLi link is provided in our file contents, and we invite anyone with the balls to check for themselves that what we say is true. You may even want to plunder those 3.5 million coupons while you can.
Included in our collection are databases from Sony BMG Belgium & Netherlands. These also contain varied assortments of Sony user and staffer information.
Follow our sexy asses on twitter to hear about our upcoming website. Ciao! ^_^
Y perdón por no haberlo traducido pero ¿alguien tiene idea de lo que significa esto? ¿alguien entiende lo que es para no Sony no poder frenar esto? Ya es inexplicable la idea de que “bueno, quizas descubrieron los huecos y los están explotando” ahora es literalmente “entraron, hicieron lo que quisieron y ahora van a destruir tu reputación online día a día” y junto a esto.. la idea de que porque estás poniendo tus datos en un server de una empresas grande estos están seguros.
Ah, no puse el link al Torrent pero todos lo van a encontrar :S
leer complete
En un almuerzo hoy con @briascoi surgió el tema del hack a Sony, primero tirando abajo la Playstation Network por casi un mes y poniendo en peligro los datos de 100 millones de usuarios, y luego los episodios de So-Net robando datos de clientes, el phishing en un dominio oficial de Sony Thailandia, el DDoS a Grecia, Indonesia y Canadá… en definitiva, Sony está afrontando una intrusión o hack diferente por semana a sus redes desde hace casi ya dos meses.
Y pese a que su respuesta haya sido poco menos que del manual de buenas prácticas comunicaciones (aceptar el problema, cerrar el acceso total, comunicarse con los potenciales afectados, etc.) esto tiene dos problemas más allá del típico de los usuarios enojados y que son más graves aún:
leer completeSi usás WordPress te recomiendo actualizar a la última version, la 3.1.3 que corrige principalmente problemas de seguridad en URLs canónicas, en la subida de archivos multimedia, en el upload de archivos a empresas de hosting descuidadas y hasta incluye protección para clickjacking en nuevos navegadores.
Un detalle de orgullo, además del Microsoft Security Response Center, hay arreglos de seguridad en esta versión hechos desde Perú por Alexander Concha y desde Argentina por Verónica Valeros :)
leer complete“Los Estados tienen un derecho inherente a su auto-defensa que puede ser disparada por actos agresivos en el ciberespacio.” … “Ciertos actos hostiles conducidos en el ciberespacio pueden acarrear acciones bajo los compromisos que tenemos con nuestros socios militares,” … “De ser necesario, los Estados Unidos responderan a esos actos hostiles como a cualquier otra amenaza a nuestro país”
Estados Unidos acaba de presentar su Estrategia Internacional para el Ciberespacio y en la misma equipara oficialmente ataques digitales a los tradicionales y, por consiguiente, su respuesta puede ser tambien equiparable… a las que ya conocemos.
leer completeEn su blog oficial WordPress reconoció que un hacker logró tener acceso total a algunos de sus servidores pero no dicen exactamente a cuales o que lograron acceder efectivamente… por ejemplo, no se sabe a ciencia cierta si pudieron acceder al código de los blogs o las claves de los usuarios que estan aseguradas con PHPPass
leer complete