Cualquiera que sepa lo que es la ingeniería social, estará de acuerdo en que la “pregunta secreta” es una de las peores ideas de la historia en cuanto a seguridad. Es MUY fácil dar con la respuesta buscando un poco sobre el propietario de la cuenta, tener acceso así a sus cuentas de correo, y de ahí a su cuenta bancaria, dominios, planes y proyectos. Nunca uses la opción de la “pregunta secreta” si te la ofrecen.

Pero quiero destacar un detalle sobre cómo de débiles son los mecanismos de seguridad en Twitter. Hasta hace un par de días, la contraseña para acceder a los servidores de Twitter era “password”. Así de obvio e idiota, como el mismo registro en Twitter te indica. Cualquiera que probara suerte con algo tan simple podía acceder al panel de administración del sitio, con lo que eso supone.

¿Qué significaría una intromisión a nivel de administrador en un sitio del calibre de Twitter? Sé que muchos genbeteros son detractores de este servicio de microblogging, pero hasta los más recalcitrantes estarán de acuerdo que podría formarse un caos considerable. Pocos sitios están logrando una repercusión similar en medios tradicionales, por ejemplo.

En cuanto a los documentos expuestos, no van a acabar con Twitter, pero desde luego dejan a la compañía en una situación muy embarazosa. Según Biz Stone, “podrían enrarecer las relaciones con socios actuales o en proyecto”. Entre ellos había acuerdos con empleados, agendas de los fundadores, horarios de citas con candidatos a varios puestos, registros y facturas de teléfono, previsiones financieras, proyecto para un show de TV sobre Twitter, acuerdos de confidencialidad con AOL, DELL, Ericsson o Nokia, lista de restricciones de dietas a empleados, tarjetas de crédito, cuentas de Paypal…

Son especialmente delicados los resúmenes de reuniones. En ellas trazan no sólo los planes de futuro de la empresa, sino aspectos de relaciones con Google, Microsoft y otros socios de menor tamaño. Por ejemplo, un tema del día fue “¿Compramos TwitPic?”, y se decidió no hacerlo. En las reuniones se da el visto bueno a webs y aplicaciones de tercero, y las que no pasan el corte en estas reuniones llegan a desaparecer, como el sitio de micropagos Mogees.

Pero sobre todo hay una lección en todo esto. Nunca, jamás consideres que tus documentos confidenciales están suficientemente protegidos. Una falsa sensación de seguridad es lo peor que puede pasarte. Si varias personas tienen acceso a documentos que pueden poner en riesgo proyectos y contratos, asegúrate de que entienden la importancia de este hecho, y que no usan “password” como contraseña.

Fuente: genbeta.com

Mozilla Firefox

El pasado miércoles, un tal Guido Landi hacía públicos (sin previo aviso) los detalles de una vulnerabilidad que permite la ejecución de código en el navegador con solo interpretar un archivo XML especialmente manipulado. En principio la prueba de concepto publicada hace que el navegador deje de responder, pero es posible de forma relativamente sencilla modificar el exploit para que permita la ejecución de código.

El problema afecta a todas las versiones (actual y anteriores) del navegador sobre cualquier sistema operativo.

Los desarrolladores de Mozilla han calificado la vulnerabilidad como crítica y urgente, y afirman que ya lo tienen solucionado (en realidad se trata simplemente de un cambio de orden de una línea de código), pero que no publicarán Firefox 3.0.8 hasta principios de la semana que viene.
Si el fallo es también reproducible en Thunderbird, es previsible que haya que esperar incluso más tiempo para que se publique una nueva versión.

Se recomienda no visitar páginas sospechosas. Los usuarios más avanzados pueden descargar el archivo corregido directamente del repositorio y recompilar.

Opina sobre esta noticia:

http://www.hispasec.com/unaaldia/3806/comentar

Más información:

Exploitable crash in xMozillaXSLTProcessor::TransformToDoc

https://bugzilla.mozilla.org/show_bug.cgi?id=485217

Firefox Fix Due Next Week After Attack Is Published http://www.pcworld.com/article/161988/

Sergio de los Santos
Fuente: hispasec.com

El pasado martes 10 de febrero, en su boletín MS09-002, Microsoft solucionó dos vulnerabilidades críticas que afectaban sólo a Internet Explorer 7. Ambas permitían la ejecución de código arbitrario si la víctima visitase una web especialmente manipulada. Apenas una semana después de que Microsoft hiciese público el parche, se han detectado los primeros ataques. Una vez con el parche en su poder, los atacantes aplican ingeniería inversa para conocer las zonas de código que modifica la actualización, y averiguar los detalles técnicos concretos de la vulnerabilidad para así aprovecharla en su beneficio con exploits.

Normalmente este tipo de vulnerabilidades que permiten ejecución de código en el navegador necesitan que la víctima visite una web manipulada. En este caso, además de este vector, los atacantes se están ayudando de un documento Word con un objeto ActiveX incrustado en su interior. Cuando se interpreta con Word el documento, Internet Explorer 7 visita la web que sí contiene el exploit y se aprovecha la vulnerabilidad (si la víctima no ha aplicado el parche). Se establece un paso previo que al parecer puede resultar rentable al atacante: en vez de inducir a la visita de una página web, se incita al usuario a abrir un documento que, gracias a su interactividad con el navegador, abrirá una página web que sí permite infectar al sistema.

La ventaja adicional para los creadores del malware es que esto se produce de forma transparente al usuario. Pero sólo si se ha sido descuidado en la configuración de su paquete ofimático. Si se evita la ejecución de macros en Word, el control ActiveX no se instanciará y no se descargará nada. Por defecto Microsoft bloquea la ejecución de macros en Office. Obviamente, la visita directa a la página (sin abrir el documento) también infectará a la víctima siempre que no esté parcheada y no haya elevado la seguridad de su navegador para evitar la ejecución de JavaScript en sitios desconocidos.

Una vez infectado, como es habitual, el malware descarga diferentes componentes y robará información confidencial de la víctima. En diciembre se dio ya el primer caso de vulnerabilidades en Internet Explorer 7 aprovechadas a través de documentos Word.

Aunque McAfee habla de que el exploit está “in the wild”, en VirusTotal.com, mientras se redacta este artículo, solo hemos recibido una muestra que McAfee haya denominado así. Trend Micro, por el contrario, sugiere que el ataque es todavía limitado. Por firmas (el sistema de detección que se usa en VirusTotal.com), son los dos únicos antivirus que detectan el archivo DOC por ahora. En cualquier caso, se recomienda actualizar el navegador lo antes posible.

Más información:

MS09-002 Exploit in the wild uses MSWord Lure http://www.avertlabs.com/research/blog/index.php/2009/02/17/ms09-002-exploit-in-the-wild-uses-msword-lure/

Another Exploit Targets IE7 Bug
http://blog.trendmicro.com/another-exploit-targets-ie7-bug/

Cumulative Security Update for Internet Explorer (961260) http://www.microsoft.com/technet/security/bulletin/MS09-002.mspx

Fuente: Hispasec.com