"Bienvenido a Noticias de Ciberseguridad"

viernes, 27 de diciembre de 2019

A mí me ha pasado, si, lo reconozco

A mí me ha pasado, si, lo reconozco.

He sido víctima de un ataque a mi cuenta PayPal, quién lo iba a decir.


Llevo alrededor de 15 años, comprando artículos por Internet, pero, los tiempos van cambiando, las formas van cambiando, la tecnología va cambiando, pero, algo sucede en nosotros.

Os cuento cómo me ha pasado, y creo casi firmemente, que así ha sido

En un día de octubre, compré a una tienda publicada en AliExpress, un artículo para mí vehículo, el artículo observado, cumplía los requisitos y carácter que yo necesitaba, pues bien comencé a charlar con el vendedor, los costes, el envío, la garantía, etc..y todo fue genial.


10 días después, llego el artículo a mi domicilio, muy rápido para proceder de china, exactamente de Taiwan.

Abrí el paquete y mi sorpresa, venía roto, muy poco, pero lo justo para hacerlo inservible, las patillas de sujeción.

Volví a ponerme en contacto con el vendedor, para enviarle fotos del artículo roto, y sin problema, me dijo, que lo devolviera.




PaypalOtro problema añadido, los costes valían 10 veces más que el artículo, no merecía la pena.

Tuvimos un mes de charlas pero el vendedor me ofrecía continuamente, una indemnización irrisoria, con lo que decidí, abrir una disputa por la cuenta de PayPal.


PayPal intentó mediar con los datos que le envié, pero el vendedor, seguía en sus trece.

Al final de la disputa, hotel por decirle a PayPal que no quería el dinero del producto sino que lo único que quería era que esa empresa no volverá a vender productos y pagarlos mediante PayPal, cosa que creo será imposible, ya que influyen otras cosas más importante es que mi artículo.

Pero ahí no creo que quedase la cosa, coincidencias de la vida, unos días más tarde, mi mujer me pregunta por cuánto dinero me he gastado en Internet en estos últimos días, yo le contesto que únicamente dos operaciones de poco valor.

Mi sorpresa fue cuando al revisar los movimientos de mi banco de uso diario reflejaba alrededor de 7 cargos por valor de 700 €.

Aquí fue cuando mi cultura de ciberseguridad entra en juego, lo primero calma, lo segundo piensa dónde has comprado, lo tercero cómo te ha pasado.

Inmediatamente lo primero que hice fue acceder a mi banco online y bloquear los cargos de cualquier vendedor a esa cuenta o por esa tarjeta.


A continuación ir a esos recibos por valor de 700 € y realizar petición de devolución a mi banco cotidiano.

Después accedí a mi cuenta de PayPal, mi gran sorpresa el factor doble no estaba funcionando, algo que me llamó la atención.

Mis primeras acciones en la cuenta de PayPal fue cambiar la contraseña, que por cierto no fue nada fácil ya que los niveles de seguridad de PayPal no me permitían realizar ese cambio de contraseña como yo quería, teniendo que realizar llamada a paypal para poder proseguir, y claro, no me dejaba cambiar la contraseña por que tenia un déficit en la cuenta, al haber solicitado a mi banco, las devoluciones, se generó una deuda en paypal, con lo que me bloquearon la cuenta, teniendo que realizar algunas gestiones sencillas, a las cuales, el personal de paypal me atendió correctamente, y me solventaron el problema.

En un par de días, obtuve los resultados y todo volvió a su sitio, pero el susto te lo llevas, algunos no pueden recuperar el dinero, debido a la forma de actuar de estos señores, por llamarles algo.

Sinceramente, mi opinión es, que cambies las claves cada poco tiempo, al menos cada 90 días, y como máximo cada 6 meses.
Los banco tienen métodos para saber, si has sido tu el que ha realizado las compras o a sido una intrusión en tus cuentas.
¿Que podemos hacer para intentar no ser victima?

Lo principal y más importante, es utilizar el sentido común:
  • Asegurar que nuestro banco dispone de seguros antifraude para nuestras compras online, nos protegerá en casos de robo de datos bancarios.
  • No descargar aplicaciones bancarias de sitios dudosos, consulte con su banco.
  • Compre en los sitios de confianza, compare los productos, consulte las garantías, los reembolsos, las pasarelas seguras del banco para gestionar el pago. Las tiendas online, fuera de Europa debes de prestar muchísima atención.
  • Comprueba el protocolo https en las áreas privadas y la zona de pago.
  • Comprobar que la web cuente con una sección de “Aviso legal” o similar donde podamos consultar las condiciones del servicio, la política de privacidad y la de cookies y siempre que sea posible, un numero de teléfono para llamar.
  • Recuerda, las ofertas GANGAS no son GANGAS, pueden ocultar un timo.

miércoles, 25 de diciembre de 2019

Nvidia parchea vulnerabilidad en GeForce Experience


nvidia
Nvidia acaba de lanzar nuevo parche de seguridad contra una vulnerabilidad en Windows, específicamente con la aplicación GeForce experience.
A través de su web oficial, Nvidia informó una nueva actualización para Windows GeForce Experience, de acuerdo con el fabricante, este bug dejaba una brecha de seguridad por ataques de denegación de Servicios o incluso proveerse de permisos de administrador.
La fallo podría saltarse los niveles de seguridad del sistema operativo y escalar privilegios que permitirían acceder a todos los permisos del mismo. 
Esta brecha podría vulnerar todo el sistema operativo incluso saltar las actuaciones de seguridad implementados en Windows.
La vulnerabilidad conocida como GameStream podría permitir un borrado forzado de ficheros del sistema, así como también dañar archivos importantes, esta se ha catalogado como gravedad alta debido a que puede conducir a la denegación del servicio o la escalada de privilegios.
Nvidia, recomienda, tanto para este fallo en Nvidia GeForce Experience como en cualquiera de sus productod, actualizar inmediatamente.

lunes, 23 de diciembre de 2019

Cuidado con las Estafas en Navidad

En estas fechas algunos amigos de lo ajeno, se aprovechan del espíritu navideño para llamar la atención a través de juegos, vídeos y correos electrónicos con tarjetas de felicitaciones que parecen ser inocentes. Sin embargo, la realidad puede ser otra.
Cuando estamos en Navidad solemos relajarnos y bajar la guardia, para compartir estos momentos con nuestros amigos y familiares. Pero los ataques, los fraudes se propagan, los virus, los softwares con código malicioso, infectan nuestros equipos, nos roban información privada, hasta nos estafan nuestros pequeños ahorros.
Evita ser engañado, y aprende después de leer esta entrada
¿Cuáles son las estafas más comunes?
Feliz Navidad
Tarjetas felicitando las navidades. Ojo a los mensajes, tanto de correo electrónico, como aquellas que nos vengan por app de mensajería instantánea. Cerciórate que procede de una persona de confianza lo primero. Además, debes de saber como es esa persona, Si recibes algo extraño de alguien conocido, desconfía, no lo abras, mándale tu un mensaje felicitándole, de esa manera, tu habrás cumplido con el sueño de lo que cada uno recibimos, que es Feliz Navidad.

App´s con engaños
App´s con engaños. Cuando vayas a descargar una aplicación “navideña”, cuidado con los permisos que requieren, algunas de estas apps, te solicitan una forma de pago, que lo abones con la factura del móvil, etc. En estas fechas suelen surgir muchas apps nuevas.
Acuérdate que, aunque estén en las famosas tiendas de appel y Google, (Appstore, Playstore) entre otras, como las de las operadoras de telefonía que te precargan en tu teléfono, cosas que uno no quiere, etc.…, Tienes que tener precaución.

Tarjetas de regalo
Tarjetas de regalo. Existen sitios creados donde te venden un tipo de tarjetas o cupones, para realizar regalos. Muchas veces, y se está poniendo de moda, adquirimos una de estas tarjetas, que al final resultan ser una estafa, recomendación, si vas a regalar una de estas tarjetas, compra un sobre, pon el dinero en metálico, y haz el regalo como si de una boda se tratase, es más fiable..

Smishing
Smishing. El smishing (de Smishing; a su vez, de SMS y fishing) es un nuevo tipo de delito o actividad criminal a base de técnicas de ingeniería social con mensajes de texto dirigidos a los usuarios de telefonía móvil. Se trata de una variante del phishing
En estos días, también salen a la luz, algunas de las estafas más creíbles, bueno, creíbles, según con quien caigan, Se trata de empresas que te hacen regalos estupendos, a veces totalmente gratis, descuentos increíbles, algunas te llegaran por SMS. Por eso, tenemos que tener cuidado con estas técnicas, las personas mayores y los niños, son muy vulnerables.
Los estafadores se hacen pasar por distintas entidades de buena reputación, para confirmar información personal y bancaria “a modo de seguridad y creíble”

Como estas, tenemos una gran cantidad de formas infinitas de poder ser engañados, tened precaución, lo mejor es pensar.
Nadie regala duros a cuatro pesetas (Para los más mayores)
Nadie regala 1 euro por 90 cents. (Para los más Jóvenes)

¡¡¡ Muy Importante!!!

Sospecha siempre de las ofertas excesivamente llamativas
Evitar abrir e-mails desconocidos, aunque parezcan de un amigo.
Revisar la información de las páginas web, sobre todo, los avisos legales, (CIF, dirección y Tlf. y comprobar).
Buscar información sobre la tienda en Internet.

sábado, 21 de diciembre de 2019

Grave fallo en Whatsapp

A principios de octubre, se descubrió un grave fallo (CVE-2019-11932) en Whatsapp con ciertas particularidades.

Se originaba en el código de una librería de código abierto de tratamiento de GIFs. Fue descubierta en mayo. 
Whatsapp

Lo verdaderamente complejo era la explotación, que entraña conseguir ejecución a partir de una doble liberación de un búfer.

No se aprovecha el fallo por enviar un GIF, sino al abrir la galería de WhatsApp. Y la ejecución heredaría todos los permisos de la aplicación vulnerable.

Luego Whatsapp sufriría otro grave problema de seguridad.

La popularidad de Whatsapp ocultó que esa librería, libpl_droidsonroids_gif.so, está presente en muchas otras apps muy populares sobre las que no se ha puesto el foco pero que podrían no haberse actualizado tanto en su versión oficial como a nivel de usuario y por lo que merece la pena recordarlo.

La lista cuenta con casi 30.000 apps con la librería a las que al menos habría que prestar especial atención para saber si han actualizado.

Entre las apps se encuentra Viber, Wattpad, Instagram...

La lista completa está en apartado de más información:

Más información: https://gist.github.com/wdormann/874198c1bd29c7dd2157d9fc1d858263

Protege tus datos personales


Protege tus datos personales
Protege tus datos personales.
📃 Algunos consejos para proteger sus datos personales:

1. No proporcione su dirección de correo electrónico si no está seguro de las intenciones de quien la requiere.

2. A la hora de facilitar datos de carácter personal en internet asegúrese de la fiabilidad y seguridad que ofrece quien los solicita y aporte exclusivamente los necesarios para la finalidad con la que están siendo recabados.

3. Si en su país existe la certificación de sitios web, verifique que el certificado del sitio haya sido emitido por la autoridad de certificación que corresponda.

4. No facilite nunca datos personales en una sala de chat, tales como nombres de pantalla o direcciones de correo electrónico, a personas no conocidos.

5. En caso de utilizar un equipo público, no seleccione la característica de inicio de sesión automática.

6. Consulte las condiciones, el código de conducta y las declaraciones de privacidad del sitio de chat antes de iniciar la conversación en línea.

7. En las conversaciones de mensajería instantánea, evite proporcionar información personal confidencial.

8. Si le piden que introduzca un sobrenombre o que se registre para participar en un chat, elija uno que no revele su identidad personal.

9. Comuníquese únicamente con las personas que figuran en la lista de contactos o conocidos.

10. No acepte abrir ni descargar imágenes, archivos, ni vínculos de mensajes de desconocidos.

11. No envíe fotografías suyas a otras personas que conozca en una sala de chat.

12. Cuando facilite datos personales en una sala de chat, tenga en cuenta que todos los usuarios que se encuentren conectados en ese momento tengan acceso a dichos datos.

13. No complete formularios sin conocer su propósito, uso y destinatario.

14. Evite completar estos formularios si no confía en la seriedad de quien los ofrece.

15. No suministre su información personal a menos que sea estrictamente necesario.

16. No suministre más información personal que la necesaria.

17. Si se solicita su información personal exija la justificación y el destino que se le dará. Niéguese a entregarla si no lo satisfacen las explicaciones.

18. Sospeche de los formularios que se ofrecen en la vía pública o a través de Internet y que se relacionan con concursos, premios y obsequios, ya que frecuentemente son empleados para obtener sus datos personales.
datos personales

19. Destruya en forma inmediata la documentación que no necesite de manera que resulte imposible su reconstrucción o la recuperación de la información allí contenida.

20. Efectúe su destrucción con medios propios y equipo adecuado, preferiblemente mediante la trituración o en cortes en tiras o cruzado.

21. Evite depositar documentos que contengan información personal con el resto de la basura, aunque estos hayan sido previamente despedazados.

22. Evite desechar sus documentos en la vía pública, al alcance de cualquier persona, o de forma que puedan ser retirados y reconstruidos por terceros.

23. Cerciorese si la persona que está solicitándole información, documentos o archivos está debida autorizada para realizar dichos actos de recopilación de información, si por la naturaleza de los datos que que se pretenden recopilar existe alguna regulación o ley de la materia, pida la acreditación de la persona que intenta recopilar la información. 

Campaña EMOTET

Campaña EMOTET

Emotet ha vuelto con fuerza en estos últimos días de diciembre con campañas contra países. Han usado todo tipo de reclamos en diferentes países, incluso a Greta Thunberg como reclamo para que el usuario acceda a abrir el documento con las macros infectadas. Los países afectados son muchos, y los idiomas en los que llegan los correos también.

EMOTET


Según la información que hemos extraído de https://diario.e-paths.com, técnicamente las macros siguen siendo habitualmente tres. Ya no se basan tanto en los VB_Control, y ahora introducen trozos de palabras sacadas del "Lorem ipsum" para sus cadenas que intentan despistar a los antivirus.

Más información: https://twitter.com/executemalware/status/1207661920423235584

Versión falsa python3

github
Versión falsa python3

Han conseguido colar dos librerías maliciosas en el repositorio oficial de Python que robaban claves GPG y SSH. Un desarrollador encontró dos librerías sospechosas buscando en PyPI. Una de ellas llevaba un año y la otra unos días. Simulaban ser las librerías "datetutil" y "jellyfish". Simplemente les había cambiado el nombre con "python3-dateutil" y "jeIlifish". El código malicioso descargaba código codificado desde un repositorio GitLab (codificado a su vez con la dirección http://bitly.com/25VZxUbmkr).

Lo decodificaba y resultaba ser código Python a su vez que exfiltraba claves GPG y SSH del sistema a una dirección: http://68.183.212.246:32258

Curiosamente, el código malicioso se encontraba en la supuesta librería jellyfish falsa, y dateutil, más reciente, simplemente la llamaba. Ya han retirado ambas librerías.

Si nos fijamos en el histórico de visitas de https://bitly.com/25VZxUbmkr+, se comprueba que todas las visitas se han producido este mes (casi 800) por lo que el impacto de este ataque puede haber sido bajo, aunque las estadísticas de los paquetes (antes de ser retirados) hablaban de pocos cientos de descargas.

Más información: https://github.com/dateutil/dateutil/issues/984

Agujero en Caja Rural

Agujero en Caja Rural

Ahora va de bancos, mejor dicho de cajas, Caja Rural, que engloba a 29 cajas rurales repartidas por todo el estado español, además del Banco Cooperativo Español, Rural Servicios Informáticos y Seguros RGA, se acaba de encontrar con un serio problema.
Caja Rural

Según informaciones a las que tenemos acceso, el servicio de banca online del Grupo, ha visto difundida una base de datos de unos 600 clientes con información personal y privada, su correo electrónico, su número de teléfono, su dirección, etc.. y el hash de su contraseña para acceder a la banca online, que puede ser desencriptado.

Por el momento se desconoce si la difusión de la base de datos, responde a un ciberataque dirigido hacia la entidad o a una brecha de datos interna que habría dado lugar al acceso, filtración y difusión de la información de carácter personal de sus clientes.
Esperemos que sea esto ultimo.
Aun así, no dudes en consultar en tu caja, para que cambies los datos de tus accesos a la parte online desde la que operas.
Desde aquí recomendamos a todos, que cambien sus datos regularmente.

Nombres y teléfonos de Facebook, están al descubierto

Nombres y teléfonos de Facebook, están al descubierto
Facebook lleva dos años con constantes filtraciones de nuestros datos, además de varios escándalos de nuestra privacidad. Ahora, la red social ha sufrido un fallo en el que una base de datos con unos cuantos millones de registros de información personal de los usuarios ha quedado al descubierto.


Facebook
El día 14 de diciembre el investigador de seguridad Bob Diachenko, que ha colaborado con Comparitech para hacer un análisis detallado encontró la base de datos que estaba alojada en un servidor de Elasticsearch sin ningún tipo de contraseña o protocolo de seguridad que la protegiera. Como es posible esto.
La base de datos no contenía los correos y las claves, pero sí que tenía números de teléfononombres y apellidos, y el Identificador único ID de cada usuario; además de la fecha en la que fue obtenido.
La mayoría de los datos son de usuarios de Estados Unidos, Otro aspecto que se añade al hackeo, es que Diachenko, comunicó la existencia de la BBDD el 14 de diciembre al operador que gestionaba la dirección IP del servidor para que la bloquease.
No sabemos los días que el operador tardó en hacerlo, pero la base de datos ha estado disponible durante dos semanas para cualquiera. Después de todas las acciones realizadas por Diachenko, finalmente, el día 19 la base de datos ha dejado de estar disponible.
Desde aquí se recomienda cambiar los ajustes de privacidad de Facebook, asi como las claves de acceso.
No es posible saber aun que grupo pudiera estar detrás de esto, se cree, que la BBDD se haya creado a partir de información pública disponible en los perfiles de los usuarios.

viernes, 20 de diciembre de 2019

Mozilla retira extensiones para su navegador.

Mozilla
Mozilla ha retirado cuatro extensiones para su navegador Firefox de Avast (y AVG, que le pertenece) por atentar contra la privacidad del usuario. Las extensiones son: Avast Online Security, AVG Online Security, Avast SafePrice, y AVG SafePrice. El creador de AdBlock descubrió en octubre que recogían información confidencial como el historial del usuario para analizarlo, pero: aunque prometían anonimato, los datos podrían ser desanonimizados; no toda la información recopilada resultaba esencial para el trabajo que realizaban las extensiones; y la política de uso no lo explicaba bien.
Pero lo interesante de esta noticia es cómo se han desarrollado los acontecimientos temporales y la importancia de la tracción mediática.

* Wladimir Palant analiza las extensiones de Avast para Firefox y Chrome, y se da cuenta de que pueden suponer un problema de privacidad.
* Al día siguiente se da cuenta de que alguien ya escribió sobre ello en 2015, aunque con menos detalles y pasó desapercibido.
* Su noticia no toma tracción en los medios, por lo que decide escribir directamente a Firefox para que las elimine. Y así lo hace. También Opera.
* En Chrome, sabe que no serán eliminadas hasta que haya cobertura mediática. No harán caso al único medio para reportar de "report abuse link". Y efectivamente no ha sido eliminada aún.

Da que pensar sobre la importancia de la cobertura en los medios de las noticias para que se consideren relevantes, independientemente de su importancia técnica real o el impacto sobre el usuario.

Más información: https://palant.de/2019/10/28/avast-online-security-and-avast-secure-browser-are-spying-on-you/

jueves, 19 de diciembre de 2019

Fallo de seguridad en WhatsApp

Tenemos un gran agujero de seguridad en WhatsApp.

Se ha hecho público un
whatsapp
fallo en la app de WhatsApp. Este fallo podría explotarse mediante un vídeo, del formato MP4, manipulado de forma maliciosa. Después de enviar el vídeo, la víctima receptora del mismo, los  ciberdelincuentes propietarios del vídeo, pueden ejecutar código malicioso en el teléfono de manera remota.

Estos fallos afectan al menos a estos dispositivos:

  • Android con versión anterior a 2.19.274;
  • iOS con versión anterior a 2.19.100;
  • Enterprise Client, versión anterior a 2.25.3;
  • Windows Phone, versión 2.18.368 y anteriores;
  • WhatsApp Business para Android, versión anterior a 2.19.104;
  • WhatsApp Business para iOS, versión anterior a 2.19.100.

La mejor solución

Se realiza una recomendación de actualizar la aplicación lo antes posible. solo tienes, que acceder a tu Play Store, Apple Store o Microsoft Store, dependiendo de cual sea el sistema operativo de tu teléfono, y descargar la última versión disponible.
También puedes hacerlo desde la página oficial de WhatsApp.
Te recomendamos que siempre tengas el teléfono o el ordenador, actualizado, posiblemente seras menos vulnerable.

A veces es así