domingo, 25 de noviembre de 2012

App maliciosa de android convierte a los dispositivos en herramientas de vigilancia secreta

Si tienes un dispositivo Android, tu teléfono puede volverse en tu contra. Una investigación, publicada el pasado septiembre, presentaba una nueva herramienta dirigida a los dispositivos Android. Ésta toma el control de la cámara y saca fotos clandestinamente, construyendo imágenes 3D del entorno del usuario. Esta evolución del malware móvil puede utilizarse para facilitar el espionaje o el robo, sin mencionar, el abuso de la privacidad del usuario.

El trabajo, dirigido por investigadores del Naval Surface Warfare Center y la Facultad de Ciencias Informáticas de la Universidad de Indiana, presentó este nuevo tipo de malware, conocido como PlaceRaider. Durante mucho tiempo, el malware móvil se limitaba a troyanos que se dirigían contra la información confidencial guardada en los dispositivos móviles. En cambio,  PlaceRaider nació a partir de herramientas móviles de ataque, las cuales podían encender, de manera remota, el micrófono de un dispositivo; grabando y monitorizando las conversaciones del usuario.
“Los ladrones  pueden, de esta manera, descargar imágenes del espacio físico, estudiar el entorno cuidadosamente y robar objetos virtuales: documentos financieros, información de los monitores del ordenador o información personal identificable” – afirman los investigadores.
Lo que hace que PlaceRaider sea tan traicionero es que sólo necesita, para empezar a trabajar, un usuario que, involuntariamente, descargue la aplicación maliciosa. Además, a este hecho se suma que la mayoría de los usuarios hacen caso omiso a los avisos de permiso, garantizando que la aplicación tenga el acceso necesario para funcionar.  Estos permisos incluyen el acceso a la cámara, almacenamiento externo o conexión a Internet – permisos necesarios para la mayoría de las aplicaciones de cámara y a los cuales el usuario está totalmente acostumbrado.
Esta aplicación dañina también desactiva el sonido que produce el obturador cuando sacamos una foto. Además, inhabilita la función de previsualización de imagen, eliminando dos pruebas de que la cámara está funcionando sin el conocimiento del usuario.
Además, PlaceRaider también consigue el acceso a los datos del acelerómetro, giroscopio y magnetómetro del dispositivo móvil, proporcionando al atacante la orientación de los archivos.
El ataque es totalmente automático: la aplicación funciona de fondo, la cámara se programa para sacar fotos en los intervalos que se deseen y los algoritmos del ordenador deciden qué  los datos son los más importantes. Esto supone que se puedan recoger una gran  cantidad de información confidencial de forma rápida.
Aunque esto es un posible problema para los consumidores, PlaceRaider también se puede utilizar como herramienta de vigilancia; haciendo peligrar  bases militares y  compañías.
Gracias a este informe, obtenemos una posible solución: se pueden ajustar las plataformas operativas para que sólo se saquen imágenes si se presiona físicamente el botón de la cámara.

Fuente: kaspersky

Informe Flu – 99 Informes Seguridad Informática

Comenzamos con el resumen de la semana:
Lunes 19 de Noviembre

Martes 20 de Noviembre

Miércoles 21 de Noviembre

Jueves 22 de Noviembre
Viernes 23 de Noviembre
Sábado 24 de Noviembre
Fuente: flu-project

Editor básico PDFedit de código abierto

  • Fabricante: PDFedit
  • / Precio: Gratuito

Este proyecto de código abierto está basado en la librería PDFedit, y lo que hace es añadir una interfaz gráfica que permite un uso más cómodo desde Windows

PDFedit

Análisis

El verdadero potencial de PDFedit lo encontramos en la línea de comandos. Esta utilidad permite realizar diferentes tareas sobre los archivos PDF vía comandos de terminal, lo que la convierte en una utilidad muy interesante para la automatización de procesos, o como complemento a aplicaciones más grandes que necesiten realizar un tratamiento básico de documentos en PDF.
Fuera de este entorno, la interfaz gráfica del programa es bastante pobre y, sobre todo, con funciones bastante limitadas. Es cierto que nos permite modificar texto, añadir imágenes y comentarios, pero la estabilidad no es aún su fuerte (está en fase beta), y los resultados son mediocres en muchos casos. Por ello, hasta que mejore su funcionamiento, es una opción interesante fundamentalmente para uso personal o necesidades muy básicas.

Valoraciones

  • Calidad interfaz (máx. 2): 0,5
  • Nivel de funcionalidad (máx. 3): 1
  • Facilidad de uso (máx. 2): 2
  • Calidad del archivo final (máx. 3): 1

Lo mejor

  • > El hecho de ser gratuito y contar con la posibilidad de realizar tareas desde la línea de comandos para automatizar procesos

Lo peor

  • > Las opciones y su eficacia son muy limitadas.
  • > Solo recomendable para necesidades básicas

Nuestros datos en Facebook Ojito con la Seguridad

Banco de datos de Facebook


Introducción. Cada persona de la UE tiene el derecho a acceder a todos los datos que una compañía almacena sobre ella. En la página “Obtén tus datos” se puede ver la forma de acceder a tus datos de facebook. Tras recibir la primera respuesta por parte de facebook, teníamos claro que debíamos publicar esta información en la red. Haciendo esto, queremos hacer facebook más transparente y mostrar a cada usuario qué datos almacena facebook sobre nosotros.





Chrome OS, ¿por qué sigue Google empeñado con un sistema que no convence?

Chrome OS, ¿por qué sigue Google empeñado con un sistema que no convence?
Esta semana Google ha estado realizando promoción de sus ChromeBook en Times Square, un portátil del que sacó un nuevo modelopresentado hace un mes, esta vez con procesador ARM y que no necesita ventilación. Y todo esto movido con su sistema operativo para trabajar en la nube Chrome OS. Lo cierto es que hasta ahora los ChromeBook han pasado sin pena ni gloria, sin despertar el interés de los usuarios a pesar de los esfuerzos de Google por su promoción. Por eso me pregunto al respecto de Chrome OS, ¿por qué sigue Google empeñado con un sistema que no convence?
Lo cierto es que la compañía parece que ha conseguido un precio algo más competitivo que en versiones precedentes, en trono a los 200$ pero sigue adoleciendo de los mismos defectos. Para empezar sólo está disponible en Estados Unidos y Reino Unido. Además es un sistema para trabajar en la nube, con un portátil en pleno auge de popularidad de los tablets. El portátil se ve como un dispositivo adecuado para aquellos que necesitan aplicaciones instaladas para trabajar de forma productiva, pero que Google con Chrome OS limita a sus aplicaciones en la nube, y una mínima funcionalidad offline, con lo que no consigue mejorar la experiencia que podemos tener con un tablet.

Algunas de las ventajas de Chrome OS ya no son tales. El mundo ha cambiado, ¡Adaptate Google!



Si miramos cuales son las ventajas de este tipo de equipos, llama la atención que destaquen un arranque muy rápido, en 10 segundos. Algo que si tienes una tablet Android, que no se suelen apagar, no nos importará. Pero si tenemos un portátil con un disco SSD seguro que hemos reducido mucho los tiempos de arranque y no será ya tan importante ni tan novedosos estos tiempos de arranque. Después para paliar la falta o escasez de almacenamiento físico del dispositivo nos ofrece 100 GB de almacenamiento en la nube gratis durante los dos primeros años. Y después si queremos mantenerlo nos tocará pagar, 5$ al mes. Google Drive tampoco es que tenga el precio más barato en almacenamiento, donde quizás tenemos otras opciones algo más ajustadas en precio, como SkyDrive sin ir más lejos.
Pero la cuestión fundamental es, ¿nos basta sólo con las aplicaciones disponibles en la nube?. Es aquí donde Google pincha, para la mayoría de los usuarios la nube en exclusiva, sin nada más instalado hoy en día no es una opción. Además aunque Google ha ido mejorando sus herramientas pero le queda mucho si quiere que podamos hacer la mitad de lo que podemos hacer con aplicaciones instaladas. Y para todo lo demás smartphones y tablets parecen más atractivos que los ChromeBooks, donde Chrome OS hoy en día no aporta prácticamente nada de valor al usuario.
Porque desde que se presentó Chrome OS todo ha cambiado y Google no parece darse cuenta. Y tampoco es que el sistema contara con la admiración de los usuarios en su salida. Ha pasado el tiempo y ahora Android parece mucho más sólido como sistema que en 2009.

Android la apuesta más segura


Lo que no entiendo es por qué no se apuesta por subvencionar portátiles con Android directamente. Android es un sistema que ya cuenta con la aceptación de los usuarios, que es bien valorado y cuenta con el interés de los mismos. Claro que es un sistema pensado para móviles, que ha evolucionado hacia las tablets, que quizás no aprovecharía las pantallas de mayor tamaño de los portátiles, pero el caso es que estos dispositivos, de una manera u otra, ya están en el mercado. Asus Transformer
Porque tenemos una gran cantidad de dispositivos híbridos, donde el teclado que se añade al tablet lo convierte de facto en un portátil de los cuales tenemos excelentes ejemplos. Al igual que Google ha sacado la gama Nexus en tablets y teléfonos, fuertemente subvencionada, lo mismo podría hacerlo con los portátiles, de manera que salieran a un precio competitivo y resultaran atractivos para los usuarios, dispuestos a competir con los dispositivos con Windows RT por ejemplo.
¿Un Nexus 10 con teclado y sin pantalla táctil?. Esta podría ser la opción básica de la gama. Puede que contara con algunas de las objeciones que los usuarios le ponen a sistemas operativos más pensados para trabajar de forma táctil, algo que sufre Windows 8 con su Modern UI y en menor medida Ubuntu con Unity, pero el camino ya lo tienen abierto. ¿Sería cómodo de utilizar Android sin ser táctil? De todas formas creo que por poca aceptación que tuviera el dispositivo sería mucho mayor que la conseguida por los ChromeBooks.
Para Google y sus servicios el negocio sería el mismo. Android es la pieza clave en los servicios de Google, mucho más de los que es Chrome OS, y si quiere un portátil para trabajar en la nube esta sería su mejor opción. Lo cierto es que sería mejor dedicar los esfuerzos en esta dirección que seguir obcecados con Chrome OS, por lo menos tal y como está planteado hoy en día el sistema operativo.
Más información | For Everyone
En Genbeta | [Especial Sistemas Operativos para tablets] Chrome OS, excelente sólo en lo que se propone


Fuente: Genbeta

Múltiples vulnerabilidades en Moodle

Se han publicado siete boletines de seguridad para Moodle que solucionan vulnerabilidades que podrían permitir la revelación de información sensible, secuestro de sesión, eludir restricciones de seguridad, y realizar ataques XSS.
Moodle es una aplicación web del tipo LMS (Learning Management System), escrita en PHP que se utiliza para la gestión de cursos en línea. Está publicada bajo licencia GNU GPL y ha sido traducida a más de 91 idiomas. Además de la comunicación entre profesorado y alumnos, dispone de distintas herramientas, como la subida de ficheros, calendario y foros.
Los siete boletines de seguridad de Moodle que se han dado a conocer son los siguientes:
  • MSA-12-0057 (CVE-2012-5471): cuando un usuario inicia sesión en Dropbox a través del repositorio de Moodle, dicha sesión permanece abierta hasta que se cierra el navegador a pesar de que el usuario se haya desconectado. Esto podría permitir que otros usuarios pudiesen acceder y utilizar los datos del primero. Ha sido descubierta por Alexander Bias.
       
  • MSA-12-0058 (CVE-2012-5472): existe un fallo en 'formslib.php' que podría permitir a un usuario remoto autenticado eludir restricciones de acceso modificando datos de un campo de un formulario ya enviado. El fallo ha sido reportado por Rossiani Wijaya.
      
  • MSA-12-0059 (CVE-2012-5473): un error de falta de filtrado en el módulo 'Database activity' podría permitir a un usuario ver la información de entradas creadas por miembros de otros grupos a los que él no pertenece a través de una búsqueda avanzada. Richard Meyer ha descubierto esta vulnerabilidad.
        
  • MSA-12-0060 Petr Škoda Jenny Donnelly han descubierto un error de falta de comprobación en la librería YUI 2 que podría permitir llevar a cabo ataques Cross-Site Scripting y ejecutar código HTML y javascript arbitrario en el navegador de un usuario en el contexto de un sitio afectado.
         
  • MSA-12-0061 (CVE-2012-5479): el plugin 'Portfolio' podría permitir la carga local de ficheros (Local File Inclusion, LFI) y ejecución de comandos de forma remota (RCE) a través de la respuesta de una llamada a la API especialmente manipulada. Cristóbal Leiva es el descubridor de este error.
        
  • MSA-12-0062 (CVE-2012-5480): Tabitha Roder ha descubierto un fallo en el módulo 'Database activity' de Moodle que podría permitir a cualquier usuario, incluso a los invitados, leer las entradas de otros usuarios.
        
  • MSA-12-0063 (CVE-2012-5481): Existe un fallo que permite revelar información en la página 'Check Permissions', al permitir que usuarios no administradores pudiesen ver los roles de todos los usuarios de la plataforma. ha sido descubierto por Jody Steele.

La mayoría de estas vulnerabilidades afectan a las versiones 2.1.x, 2.2.x y 2.3.x de Moodle. El boletín MSA-12-0058 no afecta a la rama 2.1, mientras que el MSA-12-0063 únicamente atañe a la 2.3. La rama 1.9 también se ve involucrada en el error reportado en el boletín MSA-12-0060.
Se encuentra disponible, en la página oficial, la última versión de Moodle que corrige las vulnerabilidades anteriores.
Más información:
MSA-12-0057: Access issue through repository
MSA-12-0058: Possible form data manipulation issue
MSA-12-0059: Information leak in Database activity module
MSA-12-0060: Cross-site scripting vulnerability in YUI2
MSA-12-0061: Remote code execution through Portfolio API
MSA-12-0062: Information leak in Database activity module
MSA-12-0063: Information leak in Check Permissions page
  
Juan José Ruiz
 
Fuente: Hispasec

Ejecución de código arbitrario en Opera 12

Opera Software ha publicado dos boletines de seguridad referentes a sendas vulnerabilidades que afectan a su navegador Opera. Éstas podrían ser explotadas de forma remota para revelar información sensible y ejecutar código arbitrario.
La primera vulnerabilidad, considerada crítica, se debe a un error de falta de comprobación de tamaño cuando Opera almacena la respuesta en un buffer, tras una petición HTTP. Esto podría causar un desbordamiento de memoria que podría ser aprovechado por un atacante remoto para provocar una denegación de servicio, e incluso ejecutar código arbitrario.
La otra vulnerabilidad es considerada de severidad baja. Se debe a un fallo al manejar las páginas de error que podría permitir determinar la existencia de archivos locales, revelando información que no debería ser accesible por estas páginas.
Por el momento no se ha asignado ningún identificador CVE a estas vulnerabilidades.
Ambas afectan a las versiones de Opera inferiores a la 12.11, que ha sido lanzada para corregir estas vulnerabilidades. Se puede descargar desde la página oficial.
Más información:
Advisory: HTTP response heap buffer overflow can allow execution of arbitrary code
Advisory: Error pages can be used to guess local file paths
Juan José Ruiz
 
Fuente: Hispasec

Enlaces de la SECmana - 150 (Seguridad Informática)

Fuente: securitybydefault

viernes, 23 de noviembre de 2012

Algunos consejos para mantener una cuenta profesional en Twitter

Mucho he comentado ya sobre Twitter, sobre sus usos, sobre sus posibilidades… incluso tenéis disponible un libro (PDF gratuito) que publiqué en 2009 sobre el tema, dando una visión general de la red, tanto para quien está empezando como quien quiere conocer algunas aplicaciones originales de esta red de contenido.
El caso es que después de mucho tiempo gestionando varias cuentas de Twitter, tanto profesionales como personales, quiero compartir con vosotros algunas lecciones que he aprendido con el tiempo. Espero que alguna de ellas os sirva de algo.
- Si mantenéis la cuenta de Twitter de una publicación online, intentad que los textos se publiquen con un intervalo de más de 45 minutos. En caso contrario la linea de tiempo de vuestros seguidores puede llenarse con vuestras noticias, dando la sensación de un monopolio de espacio que a nadie le gusta.
- Una cuenta de Twitter de una publicación, que mezcla noticias con mensajes personales a los seguidores, puede generar un volumen de información excesivo, estresando a los que leen las noticias y que no están muy interesados en las respuestas personales que se dan. Una solución podría ser la de crear dos cuentas distintas: una para informar y otra para responder mensajes y enviar textos de otro orden de relevancia. Es algo parecido a lo que hago yo con @wwwhatsnew (sólo noticias) y @juandiegopolo (respondo y comento asuntos personales).
- Usad el buscador de Twitter para encontrar posibles clientes. En search.twitter.com tenemos la posibilidad de filtrar mensajes de personas. Si alguien publica un texto “necesito alojamiento en Barcelona” y gestionamos la cuenta de un hotel en dicha zona, sería un error perder la oportunidad de ofrecer un servicio solicitado. No confundirlo con las ofertas de productos no solicitados, eso sería spam…
- Visitad el perfil de los usuarios antes de responder una cuestión. Si recibimos una pregunta de una persona, tenemos que responder, en 140 caracteres, de la mejor forma posible. Conociendo el perfil de quien pregunta podremos configurar la respuesta de forma más efectiva y personal.
- Tened siempre listo un formulario en la web donde los usuarios puedan realizar preguntas con más detalle. Muchas veces es necesario indicar la url de un formulario más completo para que los clientes puedan explicar mejor su problema o necesidad (algo muy difícil en el espacio disponible en Twitter).
- No transforméis Twitter en un chat. Es muy fácil engancharse en una conversación con un cliente, pero Twitter no es el lugar para hacer eso. Un flujo de mensajes direccionados a una misma persona puede tener un efecto negativo en los otros seguidores, que no están interesados en dicha conversación. De la misma forma que podéis tener un formulario web siempre listo, es fácil configurar una sala de chat para tratar asuntos más personales. Aquí os dejo algunas opciones preparadas para ello.
En fin, ya sé que la mayoría responden al sentido común, pero nunca viene mal recordar que lo que se escribe en Twitter lo pueden leer TODOS los seguidores.

Fuente: hatsnew

PasswordLive, generador online de contraseñas únicas a partir de una palabra clave


Si el crear contraseñas seguras y recordarlas te resulta un problema, puedes tener en cuenta a PasswordLive. Es una aplicación online que promete una contraseña segura a partir de una palabra clave, y con el bonus de no tener que recordarla.
El funcionamiento es simple, tienes que escribir una palabra clave secreta, señalar para que servicio deseas utilizarla y especificar algunos detalles, como por ejemplo la cantidad de caracteres, qué tipo de combinaciones deseas, entre otros. Ello dará como resultado una clave única basado en la palabra que señalamos y el servicio a utilizar.
Podemos utilizar la misma palabra clave para generar contraseñas a todos los servicios web que utilizamos, ya que irá generando una combinación diferente. De esa manera, si hemos olvidado la contraseña, podemos recurrir  a PasswordLive y con solo recordar la palabra secreta podremos tener acceso a todas las contraseñas creadas para los diferentes servicios
Según especifica el equipo de PasswordLive la aplicación se basa en el algoritmo de SHA-256, por lo que prometen generar contraseñas fuertes y seguras, aunque dependerá también de que cada usuario  utilice una palabra clave difícil de adivinar.
Enlace: PasswordLive

Fuente: hatsnew

lockerpress, una extensión de WordPress para hacer el sitio más seguro



Es difícil evitar un ataque hacker organizado a un sitio web, pero siempre hay detalles que podemos cuidar para evitar los más sencillos, principalmente en plataformas tan conocidas como WordPress.
La mayoría de invasiones llegan a través de la página de login de administración, página que puede cambiarse usando el plugin lockerpress que hoy os presentamos. Podemos hacer que los usuarios se identifiquen usando la página /entrar-secreto, por ejemplo, en lugar del clásico /wp-admin, o configurar el sistema para ser avisados por email cada vez que “algo raro” ocurra con nuestros archivos en el servidor.
LockerPress WordPress Security  protege el sitio ofreciendo más soluciones que las arriba mencionadas, como la posibilidad de habilitar reCAPTCHA en la página de login, deshabilitar el botón derecho del ratón, no mostrar mensajes de error, cambiar prefijos de base de datos y un largo etcétera que comentan en la página de wordpress.org

Fuente: hatsnew

Comandos para conocer el sistema (identificar hardware y algunas configuraciones de software)


Hace unos días vimos cómo instalar Debian 6. Ahora que tenemos instalado nuestro sistema vamos a conocerlo un poco más a fondo, explicando algunos comandos básicos que, en realidad, sirven para cualquier distribución. 

D4ny R3y es uno de los ganadores de nuestra competencia semanal: "Compartí lo que sabés sobre Linux". ¡Felicitaciones Dany!


Introducción

Un equipo de cómputo consta de dispositivos físicos llamados de forma global hardware, y componentes lógicos llamados software. Existen herramientas que permiten identificar ambas partes, ya sea para conocer las características del equipo como para medir su desempeño y/o diagnosticar posibles fallas.

Cuando existe la necesidad de solicitar apoyo en la resolución de problemas es importante poder aportar toda la información que sea posible y necesaria sobre el hardware y el software que conforman el equipo. En ese sentido, este artículo puede verse como una expansión de otro más antiguo en el que explicábamos dónde se encuentran los archivos de registro del sistema.


Justificación

A la hora de buscar respuestas a los problemas que puedas enfrentar al usar Linux es necesario proporcionar toda la información necesaria sobre el problema en cuestión, como por ejemplo: el tipo de computadora que tienes, versión de Debian, versión del kernel, sistema de escritorio, etc. Eso ayudará a describir los pasos que llevaste a cabo para provocar o solucionar el problema.

Es más fácil solicitar y obtener apoyo cuando se sabe cómo proporcionar dicha información, y este artículo pretende ofrecer una lista de comandos para alcanzar dicho objetivo. Muchos usuarios nuevos de Debian GNU/Linux no saben cómo aportar toda la información posible y podrían no recibir la ayuda adecuada, simplemente por no saber proporcionar la información adecuada.


Convenciones

En algunos comandos la información resultante excede la altura de la pantalla, así que para facilitar la lectura de dicha información se usa el paginador less y de esta manera es posible desplazarse hacia abajo y hacia arriba visualizando toda la información. Para salir del paginador simplemente se presiona la tecla Q (quit). A continuación 2 ejemplos de cómo se usará dicho paginador:

dmesg | less

y

less /etc/apt/sources.list


Información del fabricante y del modelo

Fabricante del equipo:

sudo dmidecode -s system-manufacturer

Nombre del producto:

sudo dmidecode -s system-product-name

Versión del producto:

sudo dmidecode -s system-version

Número de serie del equipo:

sudo dmidecode -s system-serial-number

SKU (Stock Keeping Unit) ó P/N (Part Number) del producto:

sudo dmidecode | grep -i sku

Más información detallada:

sudo dmidecode


Información del procesador

Mostrar el nombre del fabricante, modelo, y velocidad:

grep 'vendor_id' /proc/cpuinfo ; grep 'model name' /proc/cpuinfo ; grep 'cpu MHz' /proc/cpuinfo

Mostrar la arquitectura (32 o 64 bits):

sudo lshw -C CPU | grep width

Nota: El paquete lshw no está instalado de manera predeterminada, por lo que antes de usarlo es necesaria su instalación.

Mostrar el tipo de máquina:

uname -m

Mostrar si el procesador soporta "Extensiones de Virtualización" (Intel-VT ó AMD-V), las cuales se activan desde la configuración de BIOS del equipo:

Si el procesador es Intel, se necesita saber si aparece el valor "vmx":

grep -i vmx /proc/cpuinfo

Si el procesador es AMD, se necesita saber si aparece el valor "svm":

grep -i svm /proc/cpuinfo


Información de la batería

acpi -bi

ó

acpitool -B

Nota: el comando acpitool no se encuentra instalado de forma predeterminada.


Memoria RAM y partición SWAP

Mostrar el total de memoria RAM y la partición swap (cambiar el último parámetro por: -b = Bytes, -k = Kilobytes, -m = Megabytes, -g = Gigabytes, según convenga):

free -o -m

y otra forma de hacerlo es así:

grep 'MemTotal' /proc/meminfo; grep 'SwapTotal' /proc/meminfo

Para mostrar en qué partición (y el tamaño) está el swap:

sudo swapon -s


Kernel

Mostrar el nombre y versión del kernel:

uname -sr


Shell

Mostrar el shell en uso:

echo $SHELL


Distribución

Mostrar el nombre, versión y nombre clave de la distribución:

lsb_release -idc


Entorno del usuario

Nombre del usuario actual:

echo $USER

Nombre del equipo:

echo $HOSTNAME

Directorio base del usuario actual:

echo $HOME

Directorio de trabajo actual:

echo $PWD

o

pwd


Hardware

Listar los dispositivos PCI / PCIe

lspci

Listar todos los dispositivos PCMCIA

/sbin/lspcmcia

Listar todos los dispositivos USB:

lsusb

Listar todos los dispositivos detectados como SCSI:

lsscsi

Nota: El paquete anterior no está instalado de manera predeterminada, por lo que antes de usarlo es necesaria su instalación.

Módulos que se han indicado al kernel que cargue durante el arranque:

cat /etc/modules

Listar todos los módulos que cargó el sistema:

lsmod | less

Listar el hardware (información resumida):

sudo lshw -short

Listar el hardware (información extensa):

sudo lshw | less

Nota: El paquete lshw no está instalado de manera predeterminada, por lo que antes de usarlo es necesaria su instalación.


Medios de almacenamiento y arranque

Listar las particiones en los medios de almacenamiento:

sudo fdisk -l

Conocer el espacio usado y disponible en las particiones:

df -h

Conocer en qué partición (y el tamaño) está swap:

sudo swapon -s

Mostrar las entradas registradas para el gestor de arranque GRUB "Legacy" (hasta la versión 0.97):

sudo grep -i title /boot/grub/menu.lst | grep "#" -v

Mostrar las entradas registradas para el gestor de arranque GRUB 2:

sudo grep -i menuentry /boot/grub/grub.cfg | grep "#" -v

Mostrar la tabla de particiones (File System TABle) que el sistema monta automáticamente durante el arranque:

less /etc/fstab

Mostrar el valor UUID (Universally Unique IDentifier) de todas las particiones:

sudo blkid


Redes

Listar los dispositivos de red alámbricos PCI:

lspci | grep -i ethernet

Listar los dispositivos de red inalámbricos PCI:

lspci | grep -i network

Listar los dispositivos de red USB:

lsusb | grep -i ethernet ; lsusb | grep -i network

Mostrar los módulos cargados por el sistema, para controlar tarjetas de red inalámbricas:

lsmod | grep iwl

Mostrar información del controlador usado por un dispositivo de red específico (se debe sustituir la palabra interfaz por el nombre lógico de la tarjeta de red, por ejemplo eth0, wlan0, ath0, etc.):

sudo ethtool -i interfaz

Nota: El paquete anterior no está instalado de manera predeterminada, por lo que antes de usarlo es necesaria su instalación.

Configuración de las tarjetas de red y sus direcciones IP asignadas:

cat /etc/network/interfaces

Resolución de Nombres de Dominio:

cat /etc/resolv.conf

Mostrar el contenido del archivo HOSTS:

cat /etc/hosts

Nombre del equipo, tal y como se verá en la red local:

cat /etc/hostname

ó

grep 127\.0\.1\.1 /etc/hosts

ó

echo $HOSTNAME

Direcciones IP locales de las tarjetas de red alámbricas (resumen):

/sbin/ifconfig | grep -i direc | grep -i bcast

si el sistema está en inglés se usa:

/sbin/ifconfig | grep -i addr | grep -i bcast

Direcciones IP locales de las tarjetas de red alámbricas (detalle):

/sbin/ifconfig

Direcciones IP locales de las tarjetas de red inalámbricas (resumen):

/sbin/iwconfig | grep -i direc | grep -i bcast

si el sistema está en inglés se usa:

/sbin/iwconfig | grep -i addr | grep -i bcast

Direcciones IP locales de las tarjetas de red inalámbricas (detalle):

/sbin/iwconfig

Mostrar la tabla de enrutamiento:

sudo route -n

Para conocer la dirección IP pública (externa):

curl ip.appspot.com


Repositorios / actualización del sistema

Visualizar el contenido del archivo sources.list, el cual contiene las direcciones de los repositorios:

less /etc/apt/sources.list


Video

Listar las tarjetas de vídeo (PCI / PCIe):

lspci | grep -i vga

Para determinar si el equipo soporta aceleración de gráficos es necesario que esté instalado el paquete de herramientas mesa-utils. Dicho paquete contiene el comando glxinfo:

glxinfo | grep -i render

Para calcular los FPS (frames per second) se ejecuta el siguiente comando:

timeout 60 glxgears

El cual mostrará durante 60 segundos (con la ayuda del comando timeout) una ventana pequeña con una animación de 3 engranajes, mientras que al mismo tiempo en la ventana de la terminal se mostrarán los valores promedios de fotogramas por segundo (FPS, frames per second):

Ejemplo del desempeño gráfico de un sistema:

338 frames in 5.4 seconds = 62.225 FPS
280 frames in 5.1 seconds = 55.343 FPS
280 frames in 5.2 seconds = 54.179 FPS
280 frames in 5.2 seconds = 53.830 FPS
280 frames in 5.3 seconds = 53.211 FPS
338 frames in 5.4 seconds = 62.225 FPS
280 frames in 5.1 seconds = 55.343 FPS
280 frames in 5.2 seconds = 54.179 FPS
280 frames in 5.2 seconds = 53.830 FPS
280 frames in 5.3 seconds = 53.211 FPS

Ejemplo de un mejor desempeño gráfico en otro sistema:

2340 frames in 5.0 seconds = 467.986 FPS
2400 frames in 5.0 seconds = 479.886 FPS
2080 frames in 5.0 seconds = 415.981 FPS
2142 frames in 5.0 seconds = 428.346 FPS
2442 frames in 5.0 seconds = 488.181 FPS
2295 frames in 5.0 seconds = 458.847 FPS
2298 frames in 5.0 seconds = 459.481 FPS
2416 frames in 5.0 seconds = 483.141 FPS
2209 frames in 5.0 seconds = 441.624 FPS
2437 frames in 5.0 seconds = 487.332 FPS

Para mostrar la configuración actual del servidor X (X Window System):

less /etc/X11/xorg.conf

Para conocer la resolución actual (anchura x altura) y frecuencia de barrido (MHz):

xrandr | grep '*'

Para conocer todas las resoluciones que la configuración actual soporta:

xrandr

Para mostrar las cámaras web (USB):

lsusb | grep -i camera

El siguiente ejemplo muestra el resultado de 2 cámaras web conectadas a un mismo equipo:

Bus 001 Device 003: ID 0c45:62c0 Microdia Sonix USB 2.0 Camera
Bus 002 Device 004: ID 0ac8:3420 Z-Star Microelectronics Corp. Venus USB2.0 Camera
Las cámaras web se "montan" en orden consecutivo en la ruta /dev/ :

Bus 001 ---> /dev/video0
Bus 002 ---> /dev/video1
Bus 003 ---> /dev/video2
[...]
Para comprobar que las cámaras web se han "montado" en su ruta correspondiente:

ls /dev/video* -lh


Audio

Listar hardware de audio:

lspci | grep -i audio

ó

sudo lshw | grep -i audio | grep product

Nota: El paquete anterior no está instalado de manera predeterminada, por lo que antes de usarlo es necesaria su instalación.

Listar los dispositivos de reproducción de audio:

aplay -l | grep -i tarjeta

si el sistema está en inglés entonces se usa:

aplay -l | grep -i card

Listar todos los módulos que cargó el sistema, para ser usados por los dispositivos de sonido:

lsmod | grep -i snd

Las siguientes son pruebas para verificar si los altavoces están correctamente conectados y distribuidos. Los altavoces deben estar encendidos y durante la prueba se puede ajustar el volumen, cables, y disposición. Cada prueba emite un sonido en un ciclo, y se repite 2 veces más:

Si el sistema de sonido es de 1 canal (monoaural):

speaker-test -l 3 -t sine -c 1

Si el sistema de sonido es de 2 canales (stereo):

speaker-test -l 3 -t sine -c 2

Si el sistema de sonido es de 5.1 canales (surround):

speaker-test -l 3 -t sine -c 6


Registros (logs)

Visualizar las 30 últimas líneas del buffer del kernel:

dmesg | tail -30

Visualizar todo el buffer del kernel:

dmesg | less

Los registros del servidor X dan información útil sobre la configuración actual del mismo, y sobre la tarjeta de video:

cd /var/log/
ls Xorg* -hl

ello mostrará todos los archivos de registros del servidor X, siendo el archivo Xorg.0.log el más reciente.

Para ver los mensajes de error (errors) y mensajes de advertencia (warnings):

grep -E "(WW)|(EE)" Xorg.0.log | grep -v unknown

Si se desea ver toda la información del registro:

less Xorg.0.log

Si se desea ver el contenido de algún registro anterior al actual sólo basta sustituir el nombre de archivo Xorg.0.log por el nombre del archivo que se desee visualizar.

Para visualizar el registro de arranque (boot) es necesario activarlo primeramente. Se debe abrir el archivo /etc/default/bootlogd y sustituir el valor no por yes, quedando así:

# Run bootlogd at startup ?
BOOTLOGD_ENABLE=yes

Durante el próximo inicio del sistema se generará el archivo /var/log/boot el cual ya podrá ser revisado:

sudo less /var/log/boot

Los registros anteriores de arranque pueden visualizarse con:

sudo ls /var/log/boot* -hl

y consultarse como ya se ha mostrado.

Para ver otros registros: La mayoría de los registros (logs) del sistema se encuentran en el directorio /var/log/, así como también en varios subdirectorios, por lo tanto sólo basta entrar a dicho directorio y realizar un listado para conocerlos:

cd /var/log/
ls -hl


Otras formas de conocer el sistema

Aunque existen también herramientas gráficas que permiten conocer el sistema, es posible que el ambiente gráfico no funcione, por ello el uso de la terminal es indispensable. Algunas de las herramientas gráficas más conocidas son hardinfo y sysinfo, y para instalarlas desde la terminal basta con ejecutar:

sudo aptitude install hardinfo sysinfo

Nota: hardinfo aparece como System Profiler and Benchmark, y sysinfo aparece con el nombre Sysinfo.
 
Fuente: UsemosLinux

Los iPads de sus señorías

Hace unas semanas saltaba en la prensa una noticia que no me pudo pasar desapercibida [1] [2] [3] [4]. La noticia decía que unos 20 diputados españoles habían perdido el iPad que a principios de la legislatura, hace menos de un año, les habían dado para el desempeño de sus funciones. Dejando a un lado la controversia suscitada acerca de la necesidad o no de esta herramienta para todos los diputados y la responsabilidad que tienen estos diputados respecto a los dispositivo corporativos, vayamos a lo que nos preocupa en este blog: la seguridad.
Como es evidente, en estos dispositivos se pueden guardar documentos, correos electrónicos, teléfonos, en general información que podemos considerar sensible para una organización y en este caso para el conjunto del Estado. Me gustaría pensar que para usar estos dispositivos habrán tomado todas las medidas de seguridad necesarias, como puede ser cifrado, bloqueo e incluso borrado de la información ante varios intentos de acceso fallidos, acceso mediante contraseña, etc., además de tomar las medidas adecuadas para que ante una posible pérdida estos puedan ser bloqueados remotamente e incluso ser borrado su contenido.

Pues al parecer, esto va a quedarse en un mero deseo pues ya ha salido en algunos medios información indicando que estos dispositivos ni siquiera tenían activada la herramienta “Find my iPad” que se puede instalar en los dispositivos con iOS y que en caso de pérdida permite localizarlo, enviar un mensaje al dispositivo, incluso borrar el contenido del mismo. Después de conocer esto yo pregunto: ¿qué información contenían esos dispositivos? ¿Podían contener información confidencial? ¿Podían contener información con datos de carácter personal?
Como toda organización el Congreso de los Diputados debería tener y aplicar, cosas que desconozco, una política de uso de los dispositivos que ponen a disposición de los parlamentarios para el desempeño de sus funciones y estos firmar una aceptación de la misma. Además el servicio, área o departamento competente para los asuntos tecnológicos debería tomar las medidas oportunas para evitar que ante una pérdida del dispositivo cualquier persona pudiera acceder a la información confidencial y sensible, aun cuando este tipo de medidas chocasen con las reticencias de los diputados. Me parece que nunca vamos a saber la información que contenían esos dispositivos, ni siquiera las medidas de seguridad aplicadas, pero quiero seguir pensando que la información no era importante o confidencial y que se habían tenido en cuenta medidas como las que desde S2 Grupo hacíamos algún tiempo para la seguridad del iPad.
(Puedes seguirnos en Twitter: @SecurityArtWork)

DVWA training para nuevos ninjas Enviar por correo electrónicoEscribe un blogCompartir con TwitterCompartir con Facebook


Yo siempre dije que para realmente entender algo y sumar conocimiento siempre hay que practicarlo, resulta que si no puede vivir esa experiencia me cuesta mucho comprender  las cosas, lo mismo me pasa con el hacking, solo que dar práctica a algunas técnicas y explotación de vulnerabilidades puede ser tomado con un acto ilícito y nos podríamos estar metiendo en grandes problemas.

Si la idea es practicar y vivir la experiencia de utilizar herramientas y avanzar en los conocimientos hacking, yo le recomiendo que instalen el entorno controlado llamado DVWA Damn Vulnerable Web App, basta con tener un entorno LAMP, un navegador web para accederlo y ganas de aprender a explotar fallos de seguridad.

Entre los training que encontramos podemos explotar vulnerabilidades de Ejecución de Comandos, XSS, RFI, LFI, SQL Injection, File Uploads, CSRF y Fuerza bruta entre los más conocidos, además para mejorar las habilidades podemos escoger diferentes niveles de dificultades para los novatos y los más experimentados.

Como les comentaba al principio del post, este entorno es fantástico si la intención es aprender  y sumar conocimiento, en las técnicas hacking más utilizadas y ranqueadas en la OWASP

Saludos!

Fuente: caceriadespammers

Dionaea, proyecto para el estudio de ataques y malware

El estudio de los ataques automatizados es muy interesante para poder ver, como los “malos” consiguen acceso a servidores desde los cuales luego hacen formar parte de su botnet, por ejemplo.
Uno de los proyectos MAS interesantes que he visto hasta ahora se trata de Dionaea, este proyecto suple al ya conocido Nephentes. Que seguro que mas de uno conoce.
Después de solo UN dia de tener Dionaea en funcionamiento ya me ha dado resultados bastante interesantes.
Para hacer la instalación lo tienen muy bien documentado, lo podremos encontrar aquí:
Dionaea
Recomiendo hacer la instalación en Ubuntu, mucho mas sencillo jeje :P
No volveré a poner la parte de instalación, mirad la web oficial, está explicadito, eso si, seguid todos los pasos.
Cuando hayamos arrancado Dionaena, pondrá a la escucha una serie de servicios:
root@marc:/home/marc# lsof -nPi
dionaea 31345 root 10u IPv4 833300 0t0 TCP 127.0.0.1:80 (LISTEN)
dionaea 31345 root 11u IPv4 834271 0t0 TCP 127.0.0.1:443 (LISTEN)
dionaea 31345 root 13u IPv4 834272 0t0 UDP 127.0.0.1:69
dionaea 31345 root 15u IPv4 834273 0t0 TCP 127.0.0.1:21 (LISTEN)
dionaea 31345 root 16u IPv4 834274 0t0 TCP 127.0.0.1:42 (LISTEN)
dionaea 31345 root 17u IPv4 834275 0t0 TCP 127.0.0.1:445 (LISTEN)
dionaea 31345 root 18u IPv4 834276 0t0 TCP 127.0.0.1:135 (LISTEN)
dionaea 31345 root 19u IPv4 834277 0t0 TCP 127.0.0.1:5061 (LISTEN)
dionaea 31345 root 20u IPv4 833301 0t0 UDP 127.0.0.1:5060
dionaea 31345 root 21u IPv4 833302 0t0 TCP 127.0.0.1:5060 (LISTEN)
dionaea 31345 root 22u IPv4 833303 0t0 TCP 127.0.0.1:1433 (LISTEN)
dionaea 31345 root 23u IPv4 833304 0t0 TCP 127.0.0.1:3306 (LISTEN)
dionaea 31345 root 24u IPv4 833305 0t0 TCP.153:80 (LISTEN)
dionaea 31345 root 25u IPv4 833306 0t0 TCP .153:443 (LISTEN)
dionaea 31345 root 26u IPv4 833307 0t0 UDP153:69
dionaea 31345 root 27u IPv4 833308 0t0 TCP 153:21 (LISTEN)
dionaea 31345 root 28u IPv4 833309 0t0 TCP 153:42 (LISTEN)
dionaea 31345 root 29u IPv4 833310 0t0 TCP .153:445 (LISTEN)
dionaea 31345 root 30u IPv4 833311 0t0 TCP .153:135 (LISTEN)
dionaea 31345 root 31u IPv4 833312 0t0 TCP 46.4.94.153:5061 (LISTEN)
dionaea 31345 root 32u IPv4 833313 0t0 UDP .153:5060
dionaea 31345 root 33u IPv4 833314 0t0 TC 94.153:5060 (LISTEN)
dionaea 31345 root 34u IPv4 833315 0t0 TCP 53:1433 (LISTEN)
dionaea 31345 root 35u IPv4 833316 0t0 TCP 53:3306 (LISTEN)
dionaea 31345 root 36u IPv6 833319 0t0 TCP [:fe00:26db]:80 (LISTEN)
dionaea 31345 root 37u IPv6 833324 0t0 TCP [:fe00:26db]:443 (LISTEN)
dionaea 31345 root 38u IPv6 833329 0t0 UDP [:fe00:26db]:69
dionaea 31345 root 39u IPv6 833334 0t0 TCP [:fe00:26db]:21 (LISTEN)
dionaea 31345 root 40u IPv6 833339 0t0 TCP [:fe00:26db]:42 (LISTEN)
dionaea 31345 root 41u IPv6 833344 0t0 TCP [fe00:26db]:445 (LISTEN)
dionaea 31345 root 42u IPv6 833349 0t0 TCP [fe00:26db]:135 (LISTEN)
dionaea 31345 root 43u IPv6 833354 0t0 TCP [fe00:26db]:5061 (LISTEN)
dionaea 31345 root 44u IPv6 833359 0t0 UDP [fe00:26db]:5060
dionaea 31345 root 45u IPv6 833364 0t0 TCP [f:fe00:26db]:5060 (LISTEN)
dionaea 31345 root 46u IPv6 833369 0t0 TCP [:fe00:26db]:1433 (LISTEN)
dionaea 31345 root 47u IPv6 833374 0t0 TCP [:fe00:26db]:3306 (LISTEN)
dionaea 31345 root 54u IPv4 846555 0t0 TCP .153:41598->.45:80 (CLOSE_WAIT)
He modificado las IP’s por razones evidentes :P juju
Dionaea expone servicios a la red como SMB, SIP, SMB, MYSQL y todos los resultados los guarda en una base de datos SQLite.
Además es capaz de capturar binarios que se utilicen en los ataques :D Simplemente, brillante.
De los servicios que emula y que guarda en base de datos, he mirado la base de datos de SQLite para que me diera los resultados, a continuación, algunos de ellos:
Hay muchísima cantidad de intentos de acceso por MYSQL, además también he sido capaz de registrar los usuarios y los passwords que se han usado en los intentos de acceso.
La cantidad de accesos simultáneos es impresionante….
También ha sido capaz de capturar 5 binarios :D
:D Ya miraré los binarios mas adelante jeje
Además veo que se utiliza de manera automatizada herramientas como SIPvicius para auditarlos.
Os recomiendo usar Dionaea, se pueden aprender muchas cositas jeje.
Aunque no es indetectable, nmap puede detectar si un servidor tiene corriendo Dionaea
443/tcp open ssl/https?
| ssl-cert: Subject: commonName=Nepenthes Development Team/organizationName=dionaea.carnivore.it/countryName=DE
| Not valid before: 2012-09-10 17:54:34
|_Not valid after: 2013-09-10 17:54:34
|_http-title: Directory listing for /
445/tcp open microsoft-ds Dionaea honeypot smbd
1433/tcp open ms-sql-s Dionaea honeypot MS-SQL server
Mas adelante mostraré mas resultados de este pedazo de softwar
;)  Fuente: flu-project

Web alternativa del senado Low-Cost

En tiempos de crisis, el coste de los 500.000 € que había costado la web del Senado, y que encima se comía un HTML Injection hizo pupa en la sociedad. En esta ocasión, además, llovía sobre mojado porque ya en el año 2007 pasó algo similar con la web del Congreso y volvió a pasar en el año 2010 con la famosa web de la Presidencia Europea de España y el HTML Injection de Mr. Bean.
Figura 1: HTML Injection en la web de la presidencia europea de España
Tanto fue así, que en la radio le dedicamos un buen rato a hablar de este tema, porque a la gente le tenía muy molesto por Twitter. Uno de los oyentes se ha molestado en dedicar unos días a hacer una copia de la web del Senado utilizando 0 Euros, solo su trabajo, para tener una replica.
Figura 2: Web del Senado hecha con 0 euros
Ha documentado todo el trabajo qué ha realizado en la web, y la ha subido a varios sitios online, para que puedas verla.  Dicen que en el punto medio está la virtud, y no sé si gastarse 500.000 € en una web como la del Senado era lo más apropiado en estos momentos. Vosotros diréis.
Saludos Malignos!
 
Fuente: Chema Alonso

Dile cositas bonitas al oído a los chicos de Apple

Desde hace unas semanas tengo un iPhone 5 que ha pasado a engrosar mi colección de smartphones y tablets que uso para aprender cositas. Una de las primeras cosas que quisimos probar en iPhone 5, además de cómo trabaja Oxigen Forensics con iOS 6, fueron las funciones nuevas que vienen con iOS6 y no están disponibles en los iPhone 4 e iPhone 4S, así que había que jugar mucho con Siri.
Siri es el asistente personal de iOS que te ayuda, entre otras cosas, a que otros usen tu dispositivo aunque lo tengas bloqueado, también ha obligado a Apple a parchear iOS 6 porque permitía acceder a las contraseñas de Passbook aún con el dispositivo bloqueado, o a tener que reprogramar la propia "inteligencia" de Siri porque les salió respondón y cuando preguntaban qué smartphone era el mejor contestaba que un Nokia Lumia con Windows Phone.

Figura 1: Enviando correos electrónicos con Siri en un iPhone bloqueado
Además de esos "detalles" insignificantes en seguridad, Siri tuvo que ser bloqueado en muchas redes de empresas, porque tiene la peculiaridad de que el reconocimiento de voz no se hace en el terminal sino en los servidores de Apple. Es decir, cuando tu hablas a Siri lo que estás haciendo es generar un fichero de audio que es enviado a los servidores de Apple que devuelven su interpretación en modo texto.
A muchas personas de empresas preocupadas por la seguridad - de esas que son capaces de poner los smartphones en cajas faraday en las reuniones - eso de que Siri se active solo cuando va el terminal en el bolsillo no les gusta nada, y por supuesto, que se almacenen todos los mensajes de voz, a las empresas que venden sistemas de seguridad biométrica basados en voz no les parece nada inteligente que se vayan dejando grabaciones de voz en servidores ajenos.
El caso es que en el teclado de iOS6 también está escondido Siri, y yo pensaba que no era así. Entre las teclas aparece un botón con un micrófono que reconoce tu voz para escribir el mensaje sin teclearlo, y la verdad es que funciona muy bien. El problema es que, aunque no lo creas, es Siri, y todo lo que estés escribiendo en un mensaje de correo está siendo grabado en los servidores de Apple. Para probadlo, activa el modo avión de tu iOS6 y verás como el micrófono desaparece.
Figura 2: Siri escondido en el teclado desconectado porque no hay Internet

Es decir, si Apple ya se llevó los SMS con el iMessage, y tiene asociado tu Apple ID con tu UDID del terminal - ese que se puede utilizar para hacer un ataque dirigido con un troyano para iOS - y vas tú y ahora le lees los correos electrónicos confidenciales que vas a escribir, olvídate de PGP, S/MIME o lo que quieras.
Como se puede ver en las imágenes, el teclado con Siri sale en todas las aplicaciones, como las notas, el despertador, las búsquedas en Internet, e incluso las que hagas en tu teléfono, así que utiliza sólo este sistema para decirle cosas al oído y no para escribir correos confidenciales o para pedir "servicios especiales" en países donde estén prohibidos }:O
Figura 3: Escribiendo una nota con voz para dejar un mensaje bonito en Apple
Para eso, que Apple siga teniendo que reconstruir los mensajes de Carrier IQ, el "troyano" ese que se instala en los smartphones para reconstruir lo que haces en paso a paso en cada equipo y hacer un debugging "como debe hacerse". Por cierto, un amigo me dijo hace poco que si en el anuncio de Apple pone que tu dedo pulgar va de aquí a aquí, porque el teclado en horizontal no aprovecha toda la pantalla en iPhone 5... y tiene toda la razón como podéis ver en la Figura 3.
Saludos Malignos!
 
Fuente: Chema Alonso

Vulnerabilidad en Instagram para iOS

Se ha descubierto una vulnerabilidad en Instagram que podría permitir a un atacante el acceso no autorizado al contenido y descargar o eliminar las fotos sin el consentimiento de la víctima.
Instagram es una aplicación gratuita, disponible para iOS y Android, que permite aplicar una serie de filtros, efectos y marcos a las fotografías tomadas y enviarlas a diferentes redes sociales para compartirlas.
Instagram realiza las comunicaciones a través de conexiones HTTP y HTTPS, siendo el método de autenticación una cookie estándar que se envía sin cifrar al servidor cuando el usuario inicia la aplicación Instagram. Es posible interceptar esta cookie (mediante un ataque Man-in-the-Middle, por ejemplo, por parte de un usuario en la misma red local) para acceder al servidor suplantando al usuario legitimo y poder realizar acciones sobre el contenido, tales como descargarlo o eliminarlo.
Este fallo de seguridad ha sido descubierto por Carlos Reventlov quien, tras ponerse en contacto con el desarrollador el 10 de noviembre  y obtener una respuesta automática, ha publicado la información acerca de la vulnerabilidad junto a una prueba de concepto como demostración, capaz de obtener la cookie y eliminar las fotografías del usuario.
Se ha comprobado que la última versión de Instagram 3.1.2 para iOS es vulnerable, aunque también podrían estar afectadas otras versiones y plataformas. Por el momento no existe solución oficial.
Más información:
Instagram 3.1.2 For iOS, Plaintext Media Information Disclosure Security Issue
Juan José Ruiz

Fuente: Hispasec

Descubierto un nuevo rootkit para servidores Linux

Se ha descubierto un rootkit interesante para servidores Linux, que inyecta código en todas las páginas servidas por el servidor Proxy nginx, muy usado como "puerta" hacia Apache en servidores *nix en sitios de tráfico intenso.
Un usuario envió un correo a la lista de seguridad Full Disclosure afirmando que había descubierto sus sistemas Debian infectados por lo que parecía un "rootkit trabajando junto con nginx". Se trataba de un administrador que se había percatado de que los visitantes de su web estaban siendo redireccionados a sitios infectados. Varios tipos de petición hacia ese servidor web, devolvía un iframe inyectado en la página, que llevaba a un punto donde se intentaba infectar a los usuarios de Windows. El administrador descubrió también procesos ocultos (típico comportamiento de un rootkit) y los módulos del kernel responsables del problema, que adjuntó al correo de alerta para que pudiera ser estudiado.
Parece que el sistema de este administrador ha sido efectivamente comprometido (a nivel de root, al tratarse de un módulo para el kernel) para incluir un rootkit en él, y modificar el comportamiento de su servidor web. Así, todos los visitantes podían ser redirigidos a páginas de malware.
Nos encontramos pues ante una pieza más del puzle. Un nuevo método de distribución que implica una pieza de software interesante que previamente se desconocía. Se ha dado en llamar Rootkit.Linux.Snakso, y por ahora su detección es mínima (6 de 43 motores).
El principal problema para este rootkit es que si bien puede pasar desapercibido en el sistema, es muy fácilmente detectable por su propio funcionamiento: cualquier visitante de la web puede comprobar que se añaden iframes hacia ciertas webs sospechosas.
Cómo funciona
Está diseñado para atacar sistemas Linux de 64 bits y se ha compilado para la versión 2.6.32-5 que utiliza Debian Squeeze. Intercepta las llamadas a ciertas funciones del kernel para poder cumplir su función y, además, acepta instrucciones de un sistema central. Puede que esté en desarrollo aún. El atacante ha sido muy descuidado, porque el binario todavía contiene toda la información de "debug", y no ha sido "strippeado" (eliminada esa información). También se intuye que no es muy profesional. Algo interesante es que llega a muy bajo nivel para inyectar los iframes, sustituyendo la función de sistema tcp_sendmsg, así que el troyano modifica directamente los paquetes TCP que salen del servidor. Para saber qué inyectar, se conecta a su controlador con protocolo propio, protegido por contraseña cifrada.
Las IPs públicas que aparecen en el módulo son:
91.123.100.207
149.20.20.133
149.20.4.69
64.189.125.254
Como curiosidad, en vez de comprobar que la página servida ofrece un 200 para "inyectarse" (un OK en código HTTP) está programado para no mostrarse solo cuando se da un 403, 304 o la cadena "not found on this server" (o sea, un 404). Esta lógica es un poco extraña y seguro ha acelerado el proceso de descubrimiento.
Conclusiones
Los rootkits o el malware en Linux no son nuevos. La novedad consiste en que se ha creado un rootkit nuevo para entornos Linux, cuando lo habitual es nutrirse de código ya hecho. Otro asunto extraño es el aroma a "novato" de este rootkit. No parece un ataque dirigido, sino algo que apuntaba a infectar más sistemas. Sin embargo no cuenta con ningún mecanismo de reproducción. El atacante ha debido o bien tener acceso como root a la máquina infectada o el administrador ha quedado infectado a través de algún método que desconocemos. Hasta aquí, todo misterios.
Eliminando estos aspectos, el encuadre del ataque no es nada nuevo: los atacantes se nutren de servidores en cualquier plataforma (páginas comprometidas habitualmente) para infectar Windows. El "objetivo" de la infección es habitualmente Windows, pero no es extraño que el "medio" sea cualquier otra plataforma para maximizar su difusión.
Es, en realidad, un paso más allá en el sistema de distribución de malware. Si bien hasta ahora habíamos sido testigos de páginas comprometidas donde se añadían enlaces maliciosos, no eran comunes ataques en los que todo el sistema del servidor web se viese comprometido hasta sus entrañas... y mucho menos a través de un rootkit para Linux.
Más información:
linux rootkit in combination with nginx
HTTP iframe Injecting Linux Rootkit

Sergio de los Santos
Twitter: @ssantosv
 
Fuente: Hispasec