Parche de Microsoft generaría error y pantalla negra en algunos casos

noviembre 30, 2009 § Deja un comentario

Muchos sitios especializados se están haciendo eco de una noticia que publicó la empresa de seguridad Prevx.

Según Prevx en algunos casos, y posiblemente debido a los últimos parches de seguridad de Microsoft, luego de reiniciar el equipo e ingresar el usuario y contraseña, no aparece el escritorio y queda la pantalla negra.

El problema afectría a Windows 7, Vista, XP, NT, W2K, W2K3 o W2K8 PC o servidor. Esta empresa menciona haber identificado más de 10 escenarios en el cual sucede esto.

Prevx no identifica cual de todos los parches publicados este mes sería el causante del problema. El origen del problema sería un cambio en las reglas de ACL de algunas entradas del registro.

La empresa ofrece una herramienta gratuita para solucionar este problema y describe como usarla.

Hasta el momento no hay ningun comentario de Microsoft. El CEO de Prevx dice no haber contactado aún a Microsoft.(!)

Fuentes: Prevx, Networkworld, Infoworld, PCworld
Raúl de la Redacción de Segu-info en base a las fuentes.

Anuncios

Empresa australiana contrata al creador del primer gusano para iPhones

noviembre 30, 2009 § Deja un comentario

Una empresa australiana hacontratado a Ashley Towns, el creador de Ikee, el primer gusano paraiPhones, para que se una a su equipo.

Towns se dio a conocer mundialmente por haber creado un programa informático para iPhonesque algunos consideran como el primer gusano para estos dispositivos.El gusano irrumpía en iPhones vulnerables y cambiaba su fondo depantalla por una imagen del cantante pop de los 90 Rick Astley.

Aunque no causaba daños mayores, a excepción de algunos incidentescausados por errores en el código, el gusano de Towns sirvió como basepara la creación de otro gusano más dañino que roba los datos de sus víctimas.

La empresa Mogeneration, que asegura ser “líder en el desarrollo deaplicaciones para iPhones” en Australia, aseguró que escogió a Townsporque reunía los requisitos que la empresa exige a sus trabajadores.

“Entrevistamos a Ashley, lo examinamos con nuestra prueba paradesarrolladores de iPhones, que pasó con mucho éxito, y lo empleamos eldía de hoy”, dijo un portavoz de Mogeneration.

El hacker también publicó un mensaje en Twitter anunciando que había conseguido el empleo.

Pero muchos dudan que esa haya sido la principal razón por la que laempresa fijó su vista en el pirata, y creen que en realidad esta es unamovida publicitaria. “No veo ninguna buena razón para contratarlo, perosí veo muchas para no hacerlo”, opinó Rik Ferguson de Trend Micro.

“Hay muchísimos programadores jóvenes que no habrían actuado de unaforma tan tonta y que son igual de merecedores de un puesto en unaempresa como esta. Además es muy posible que sean incluso mejores queTowns, que cometió varios errores en su código”, opinó Graham Cluley dela empresa de seguridad Sophos.

La idea de emplear a hackers y cibercriminales en empresas deinformática no es nueva: sin ir más lejos, el año pasado una empresa detelecomunicaciones contrató al conocido cibercriminal Owen Thor Walker como consultor de seguridad.

Los expertos de empresas de seguridad siempre expresan su desacuerdoen estos casos, entre otras razones, porque rechazan la idea de que semotive a los criminales a seguir atacando para conseguir empleo. “Dejauna mala sensación ver que [Towns] ha sido premiado de esta manera perono ha expresado su arrepentimiento por sus acciones”, dijo Cluley.

Fuente:
BBC News
The Register
V3.co.uk

Autor: Gabriela Villarreal
Fuente: Viruslist

Día de la seguridad informática: cómo proteger el ordenador y la información personal

noviembre 30, 2009 § Deja un comentario

Unas buenas prácticas en todas las cuestiones de seguridad informáticapermiten vivir más tranquilo y minimizar los riesgos de problemas

Desde hace algún tiempo se celebra el 30 de noviembre el Día de la Seguridad Informática,una buena excusa para concienciar a la gente de la importancia deproteger los ordenadores, defenderse ante ataques externos y valorar yponer a buen recaudo la información que en ellos se guarda. Algunosexpertos creen que la mejor forma de prevenir los problemas es recordara los usuarios que “esto de la informática es como una jungla” en laque hay todo tipo de peligros: más vale conocerlos y saber cuáles sonlas medidas a tomar. En el fondo, se trata más bien de que cualquierasea capaz de evaluar los riesgos y sus consecuencias. A partir de ahí,basta encontrar el equilibro entre lo que es práctico y lo que esseguro.

Hay decenas de áreas relacionadas con la seguridadinformática tanto en los ordenadores personales como en Internet. Milesde empresas basan sus negocios en ello y a veces es incluso difícilsaber qué productos comprar si es que acaso alguno es necesario. Parael usuario final, las cosas son en cualquier caso un poco mássencillas, tanto a nivel particular como si trabaja en una empresa.Estos son algunos de los consejos habituales:

  • Quienes trabajen en entornos corporativos deben conocer y respetar las normas marcadas por los administradores.La seguridad de una red en la que hay decenas o cientos de sistemas estan débil como lo sea el más débil de los eslabones. Los responsablessaben esto y recopilan y publican la información pertinente alrespecto. En caso de dudas, mejor preguntar.
  • Cambiar las contraseñas de vez en cuando, y no usar la misma para diferentes servicios. Hay toda una serie de normas básicas respecto a las contraseñasque conviene conocer y respetar; no hace falta un gran esfuerzo. Estoes una primera barrera defensiva ante muchos problemas. Además deelegir una buena contraseña conviene cambiarla de vez en cuando, y nousar la misma en diferentes equipos o servicios de Internet.
  • Los equipos físicos deben estar protegidos por contraseña.De ese modo se hace más difícil el acceso a las personas no autorizadasy son menos vulnerables en caso de robo (por ejemplo, un portátil o unteléfono inteligente). Se debe programar el equipo de modo que seactive el salvapantallas con contraseña pasados unos minutos: de esemodo se evita que alguien que pase por allí pueda usarlo si se haquedado encendido,.
  • La información especialmente delicada debe estar cifrada.Existen diferentes sistemas, más o menos seguros, para hacer que sólose pueda descifrar el contenido de un fichero si se conoce sucontraseña. Las funciones de este tipo que incluyen muchas aplicacionesno son gran cosa, pero hacen su labor si no es necesario guardarsecretos industriales. Es un experto quien debe explicar cuál es el másconveniente. De poco sirve llevar la información secreta en unportátil, un CD o una llave USB si luego se pierde en el taxi ycualquiera puede leerla.
  • Estar alerta ante ataques mediante ingeniería social.Muchos atacantes se hacen pasar por empleados, técnicos o consultoresde la empresa para hacerse con información delicada. Hace años unestudio informal desveló que nueve de cada diez personas desvelaban su contraseña a un extraño a cambio de un bolígrafo barato. Educar a los conocidos y empleados sobre esto ayuda a evitar males mayores.

Otro área relevante de la seguridad informática que con el tiempo ha ido empeorando es el de los virus informáticos en sus múltiples variantes: troyanos, botnetsy demás. En los últimos años estas “redes de robots” se han vuelto tansofisticadas que su “software maligno” es capaz de tomar el control deun ordenador de forma remota y sigilosa. Entonces aprovecha susrecursos y su conexión a Internet para enviar, sin que su propietariolo sepa, correo basura, o para interceptar datos tales como cuentas ycontraseñas, números de cuentas de banco y demás, además de infectar aotros equipos. Algunas botnetscuentan con cientos de miles de ordenadores ya infectados y sus“servicios” se revenden en el mercado negro. Por suerte, se puedendetectar y eliminar con un buen antivirus.

Lo mejor paraprotegerse de este tipo de amenazas es contar con un buen antivirus enel equipo, y mantenerlo activado y, sobre todo actualizado. Puedesuponer un gasto adicional, aunque también existen algunos gratis.Nuevamente aquí suele ser necesario el consejo de un experto paralimpiar un ordenador y protegerlo de forma adecuada. Adicionalmente,conviene evitar las formas típicas de “contagio”, principalmente abrirficheros ejecutables de dudosa procedencia, mensajes encadenados ysimilares.

En el terreno relativo a las copias de seguridadsiempre se ha dicho que sólo existen dos tipos de usuarios: los que yahan perdido alguna vez sus datos o los que van a perderlos. La mejorforma de evitar el desastre es realizar de forma periódica copias deseguridad de todos los datos relevantes. En los entornos corporativoslos administradores de sistemas suelen encargarse; a título personalcada vez es más fácil y barato hacerse con una unidad de discos de grancapacidad y programarla fácilmente para que salvaguarde toda lainformación. Triste es perder los informes de la oficina, pero mástriste es perder toda la vida digital que acumulamos en laactualidad en forma de miles de recuerdos en fotos y vídeos, que si noson guardados adecuadamente pueden desaparecer para siempre. Para unaseguridad total, mejor hacer una copia extra de vez en cuando (porejemplo, grabando unos DVDs) y guardarla en otro lugar, protegida deposibles desastres físicos.

La universalización de la Red trajo un montón de cosas buenas, pero también atrajo problemas tales como las estafas a través de Internet, los fraudes y los robos de tarjetas de crédito y otros datos personales.Todos ellos pueden causar pérdidas económicas tremendas y requierenestar alerta. Aunque sea infantil, conviene estar al tanto de lo queson las estafas nigerianas,incluyendo las relacionadas con la lotería. No está tampoco de mássaber que los “malos” usan correos y páginas web falsas con aspecto decomunicaciones oficiales, especialmente de bancos (a veces sin quesiquiera tengamos una cuenta con ellos) y otras entidades o empresas desoftware o de Internet para intentar hacerse con datos personales:números de cuenta, contraseñas y demás. Nunca hay que revelar lascontraseñas y siempre hay que asegurarse que la página a la que estamosaccediendo es realmente la correcta y no una imitación falsa.

Finalmente, en los últimos años también se han incrementado los problemas de seguridad informática relativos al uso de las redes socialesy los cada vez más numerosos servicios de Internet a los que el usuarioenvía información privada, en ocasiones para compartir con los amigos.Hay decenas de cuestiones relacionadas con la intimidad y laprivacidad, que varían de persona a persona, pero que no se puedenignorar.

Si hubiera una regla general, podría ser “no subas nada a Internet que no te gustaría ver publicado junto a tu curriculum“.Desde el punto de vista práctico, hay que asegurarse de entender yconfigurar correctamente las preferencias de privacidad de cadaservicio, asegurándose de qué información es pública y cual se va apublicar sólo de forma privada o para los amigos. También aquí hay queser cauto con qué personas se agregan a la red personal y evitar laingeniería social que se utiliza a veces para engañar y conseguirinformación delicada de otras personas. Respecto a los niños y suseguridad en el mundo digital, existen tanto programas como técnicasespeciales para que los adultos puedan acompañarles y supervisarles ensus andanzas por la red. Un primer paso sería explicarles someramente“todo lo que hay en esa jungla” y los consejos que mejor puedanentender para que puedan valerse por sí mismos.

Autor: Alvy – Microsiervos
Fuente: lainformacion.com

Scam a Microsoft (cómo se realiza la estafa)

noviembre 29, 2009 § Deja un comentario

Hace unos días les comentaba como se estaba propagando correos del tipo scam utilizando las marcas de Microsoft y BMW. En el primer caso decidí seguir el correo para poder compartir ustedes el intercambio completo de los mismos, hasta el momento que se me solicita el dinero.

En el post original podrán observar el primer correo electrónico que da comienzo al engaño, informando al usuario que ha ganado la suma de 500 mil libras que serán cobradas si el usuario brinda una serie de datos (nombre, apellido, ocupación, teléfono y otros). Contesté indicando que quería el dinero, otorgando datos personales falsos a modo de precaución:

No tardó mucho en llegar un nuevo correo, indicando que debía comunicarme con el banco para obtener mi dinero, y solicitando nuevamente que envíe información personal para poder avanzar con el cobro del dinero. Muestro los fragmentos más importantes del mensaje. Pueden hacer clic en la imagen para ver el correo completo:

Luego de brindar nuevamente información falsa, en esta oportunidad supuestamente al banco, llegó el correo final solicitando que deposite la módica suma de 640 dólares para cobrar mi dinero. Cabe mencionar que el correo también incluye una alternativa “más segura” y para cobrar el dinero más rápido que asciende a los 2 mil dólares (nuevamente pueden hacer clic en la imagen para ver el correo completo).

Por cuestiones de fondos no he podido avanzar en la transferencia, pero creo que ya es suficiente para comprender el ataque. Si el usuario deposita el dinero, ya habrá sido estafado por estos atacantes.

Recuerden nunca contestar este tipo de correos ni brindar información personal, y mucho menos ¡depositar dinero!

Fuente: ESET Latinoamérica

Estudio acerca de la seguridad en la autenticación de clientes Twitter

noviembre 29, 2009 § Deja un comentario

INTECO-CERT ha elaborado un informe en el que se aborda el nivel de seguridad de la comunicación entre los clientes utilizados por los usuarios y el servicio central de difusión.de la conocida red social Twitter. En este informe se analizan los clientes más comunes de cada una de las plataformas desde las que podemos acceder al servicio.

El objetivo de este estudio es hacer una revisión de la seguridad de estos clientes, para los que se ha comprobado los aspectos de autenticación, y cifrado que tienen lugar durante la comunicación entre cliente y servidor, además del almacenamiento de contraseñas con los que evaluar si el rápido crecimiento de la plataforma ha provocado que la seguridad se haya relegado a un segundo plano, suponiendo un riesgo de suplantación de identidad para los usuarios de estos clientes.
Para el estudio se han utilizado los clientes más representativos de diferentes plataformas: Windows, Linux, MacOS, iPhone, Android y Blackberry. Se ha tratado de abarcar el mayor número de plataformas, y dentro de éstas las aplicaciones más utilizadas.
Del análisis se concluye que:

  • La mayoría de los clientes no usan la autenticación más avanzada que ofrece Twitter (OAuth), aunque se espera que aumente el uso de este sistema.
  • Aunque se use la autenticación básica, la mayoría de los clientes cifran la comunicación, lo que aporta seguridad ante el robo de credenciales.
  • Se confían las credenciales de acceso a un programa que muchas veces no conocemos su legitimidad ni seguridad.

Con lo expuesto, desde INTECO-CERT realizamos las siguientes recomendaciones:

  • Los usuarios deben buscar un compromiso entre seguridad y funcionalidad en el cliente Twitter, pero debemos inclinarnos por autenticación OAuth y cifrado de la comunicación.
  • Los desarrolladores deben conocer y seguir las indicaciones de seguridad de Twitter en el sentido de utilizar OAuth y comunicaciones cifradas.
  • Por parte de Twitter una posible medida para incrementar la seguridad podría ser utilizar SSL en las peticiones, como opción de configuración en la cuenta.

También está disponible una versión en inglés del informe.

Fuente: Inteco

El hacker no será un delincuente

noviembre 29, 2009 § Deja un comentario

El término “hackers” no será sinónimo de “delincuenteinformático” ya que ha sido retirado del nuevo proyecto de Código Penalque prepara el Ministerio de Justicia. Un término, denostado endemasiadas ocasiones por los medios de comunicación y también por ellegislador, que vinculaba a este experto en seguridad informática yredes con los ataques informáticos. Su exclusión del derecho penal enla nueva regulación sobre delitos de revelación de secretos y dañosinformáticos es justo.

Estaréis cansados, como nosotros, de ver y oír en los medios de comunicación –especialmente generalistas- como se endosaal “hacker” cualquier ataque a sistemas computacionales o laresponsabilidad de los delitos relacionado con la informática eInternet, actividades más propia del “cracker”.
Un término el del “hacker” ciertamente ambiguo pero que no puede sersinónimo del criminal informático y sí una definición como la quepropone el glosario RFC 1392 que lo define como “personaque disfruta de un conocimiento profundo del funcionamiento interno deun sistema, en particular de computadoras y redes informáticasmejorando la seguridad de las mismas y poniendo estas mejoras ensistemas y aplicaciones bajo el dominio público”.

Utilizar esos conocimientos asaltando sistemas para obtener un lucro personal o para dañar los mismos no forma parte de la “cultura hacker”tal y como estimaba la comunidad de entusiastas programadores ydiseñadores de sistemas originada en los sesenta alrededor delInstituto Tecnológico de Massachusetts (MIT), caracterizada por ellanzamiento del movimiento de software libre e incluso la WWW e Internet que se consideran en sí mismas creaciones de hackers. 

Sin duda el término “hacker” puede ser ambiguo y oscuro por desconocido y da para muchas otras acepciones, pero al menos el derecho español se pondrá al día en infromática con esta nueva normativa, como explican desde el Bufet Almeida, dando respuesta de paso, a nuevas formas de criminalidad derivadas de las nuevas tecnologías.

Autor: Juan Martín
Fuente: MuyComputer

El hacker que infectó 75.000 ordenadores usaba YouTube como método de infección

noviembre 29, 2009 § Deja un comentario

Con apenas 16 años, hace justamente unos días fue detenido por hackear más de 75.000 ordenadores e infectarlo gracias a un método de infección vía YouTube.

Este chico de Tenerife apodado con un subnick de N3ptunO atacó a miles y miles de PCs y además a la web de El Hacker, llegandole unas 12 millones de visitas en unos instantes.

Fue una investigación que duró unas horas y que se llevó a cabo tras llegar algunos cabos donde el presunto ” hacker ” dejó algunas huellas de la que la Guardia Civil pudo coger.

Creó un virus con el cual intentó tener el control absoluto de todosestos ordenadores, llegando a poder hacerse con datos privados yincluso imágenes de estos.

El plan corría a cargo de colgar vídeos en el portal YouTube y así atraer a anzuelos ( usuarios ) para infectarlos, llegando a tener a más de 75.000 usuarios en vilo.

Dicho joven ha sido detenido y está ya arrestado, además de ser eljoven que infectó y atacó a la web, llegando a ser juzgado por delitosen daños de sistemas.

Será juzgado por un Juez de Menores para que se le dictamine un juicio donde posiblemente llegue a estar en un Correccional durante dos años como mínimo.

Fuente: Noticias2D

¿Dónde estoy?

Actualmente estás viendo los archivos para noviembre, 2009 en Seguridad Informática.