Boletín de noticias de ciberseguridad desde el lado oscuro

¡Hola a todos!

Aquí os traigo la última entrega de mi boletín de noticias periódicas/ocasionales de ciberseguridad: las historias más interesantes, recientes y disparatas.

Piratería de manos del Estado

Así es, se cree que el gobierno japonés está planeando hackear 200 millones de dispositivos IdC de sus ciudadanos. No, no es ciencia ficción, al parecer es real. De hecho, así es como los japoneses se están preparando para los Olimpiadas que tendrán lugar en Tokio en el 2020 y todo es legal, ya que está el mismo gobierno detrás de la propuesta. Por tanto, los dispositivos de sus ciudadanos acabarán hackeados utilizando el método favorito de los cibercriminales: diccionarios de contraseñas y contraseñas por defecto. Si descubren que la contraseña de un dispositivo es débil, lo introducirán en una lista de dispositivos inseguros. Esta lista acabará en manos de los proveedores de Internet que tendrán que informar a los suscriptores y asegurarse de incrementen la seguridad cambiando la contraseña. Todo este proceso es una prueba en vísperas de las Olimpiadas para demostrar si los dispositivos del país están suficientemente protegidos e intentar evitar su uso en ataques en la infraestructura de lo Juegos. Los métodos son discutibles, pero el hecho de que las autoridades estén realizando una actividad en concreto de antemano es un buen augurio. De hecho, no olvidemos que las Olimpiadas se han visto previamente en apuros gracias a los ciberdelincuentes y no muy lejos de Japón.

¡Ups!

Un ciberdelincuente de 18 años, Linus Henze, ha publicado un vídeo en el que destapaba una debilidad en MacOS, en concreto en su programa llavero, que almacena y protege las contraseñas de los usuarios. Linus utilizó un ataque de día cero para desarrollar su propia aplicación que pudiera escanear todos los contenidos del llavero.

Sorprendentemente, el ciberdelincuente no tenía pensado compartir su investigación y su aplicación con el gigante tecnológico, ya que Apple no cuenta con un programa bug bounty. Esto solo deja dos opciones a la compañía: negociar con el experto (algo nunca visto en Apple) o intentar remediar el problema ellos mismos, lo cual puede salir bien o mal, evidentemente.

¡Pero no temáis por la seguridad de vuestras contraseñas! Existen (¿quién lo diría?) los gestores de contraseñas multiplataforma que son completamente seguros. Y, en cuanto a los investigadores, existen empresas de software con programas bug bounty.

Ya se puede hackear hasta la autentificación de doble factor

El hackeo de cuentas bancarias va en aumento. Un ejemplo reciente lo encontramos en el Metro Bank del Reino Unido, en el que los delincuentes interceptaban mensajes de texto enviados a los teléfonos de los titulares de las cuentas para la autentificación de doble factor. Este sistema aporta una capa adicional de seguridad, así que, ¿por qué no? El problema es que los SMS no son el método más seguro para transferir datos. Por ejemplo, se pueden aprovechar las vulnerabilidades del protocolo SS7, utilizado por los operadores de telecomunicación de todo el mundo para coordinar mensajes y llamadas. Si los delincuentes consiguen acceder a la red móvil de un operador, podrán enviar mensajes y llamadas sin que el usuario se percate. En primer lugar, necesitan saber el usuario y la contraseña de la banca online, pero esto es fácil para ellos gracias a sus espías de teclado, sus tácticas phishing o los troyanos bancarios.

Una vez dentro de la cuenta bancaria, los delincuentes envían una solicitud para una transferencia bancaria e interceptan el mensaje con el código de un solo uso del banco. Al introducir el código, el banco no percibe nada extraño, ya que tanto la contraseña como el código son correctos, y transfiere los fondos, para regocijo de los ciberdelincuentes.

Por tanto, ¿qué podéis hacer para frenar todo esto? Sigue estos consejos:

• No digas tu usuario y contraseña a nadie, ni siquiera a los empleados del banco, pero seguramente esto ya lo sepas, ya que los bancos lo recuerdan siempre que pueden.
• Protege tus dispositivos del malware con una aplicación antivirus de confianza. Hay uno que conozco que… pero no, elige el que tú quieras.

Cyberespionaje a diplomáticos extranjeros en Irán

Nuestros investigadores han descubierto recientemente múltiples intentos de infección de misiones diplomáticas extranjeras en Irán con malware de ciberespionaje primitivo. La puerta trasera se supone que está asociada con el grupo de ciberdelincuentes conocido como Chafer, que “habla” persa y que, supuestamente, ha sido el responsable de la vigilancia de individuos en Oriente Medio en otras ocasiones. Esta vez, los cibercriminales utilizaron una versión mejorada de la puerta trasera Remexi, diseñada para controlar en remoto (como administrador) el ordenador de la víctima.

El software de Remexi fue detectado por primera vez en el 2015 cuando se utilizó para vigilar ilegalmente individuos y organizaciones de toda la región. Este software dirigido a Windows puede extraer combinaciones de teclas, capturas de pantalla y datos relacionados con el navegador, como las cookies y el historial.

En esta región se utiliza gran parte del malware “casero” que se combina, a menudo, con servicios de dominio público. ¿Pero quién está detrás de estos ataques? Esta particularidad del malware más de estar por casa dificulta la detección, por lo que podría ser cualquiera: iraníes o no iraníes realizando una operación de bandera falsa. Por desgracia, las banderas falsas están al alza y parece que así seguirán.

“Señor, una foca se ha comido mi memoria USB”.

En Nueva Zelanda, un veterinario se encontró con un leopardo marino enfermo en la playa. Como haría cualquier veterinario, procedió… a recoger una muestra de los excrementos de la foca para analizarlos. Esperaba encontrar parásitos o virus o lo que sea, pero en su lugar encontró… una memoria USB. Después de mucha desinfección (espero), el veterinario insertó la unidad en su ordenador (no lo intentéis en casa, se trataba de un caso especial). ¿Y adivináis qué? ¡Se encontró con fotos del hermoso paisaje de Nueva Zelanda! Ahora, el veterinario anda en busca de los dueños del USB con este vídeo. ¿Alguien lo reconoce?