mASAPP Online o cómo analizar tus apps móvilesMiguel Carrillo 14 noviembre, 2018 La proliferación de aplicaciones móviles en distintas plataformas como iOS o Android abre nuevas y jugosas oportunidades de ataque contra personas y empresas. El canal móvil es un atractivo campo de operaciones para atacantes porque aún no existe suficiente consciencia de la necesidad de aplicar medidas de seguridad en nuestros teléfonos móviles y tablets, que suelen estar muy desprotegidos. Como se anunció el pasado Security Innovation Day 2018, ElevenPaths ha creado un servicio 100 % contratable online para la detección de potenciales vulnerabilidades de apps llamado mASAPP Online. La creación de un usuario es gratuita y posteriormente cada uno puede elegir un plan de pago (mediante PayPal) de entre un catálogo de opciones en términos de duración y de número de aplicaciones que se puede analizar en el periodo contratado. El servicio se presta extremo a extremo de modo autónomo, evitando al usuario la necesidad de intermediarios en la contratación y uso del servicio. Como resultado final, para cada aplicación se puede ver en pantalla una lista de vulnerabilidades a corregir y de comportamientos sospechosos a evaluar. ¿Por qué debería proteger mis apps móviles? Al plantearse los riesgos de mantener un canal móvil, lo primero que se podría pensar es que alguien puede instalar malware en mi dispositivo. Las distintas variantes que se han ido descubriendo en entornos móviles pueden someternos a todo un florido catálogo de disgustos: ralentización, utilización de recursos, espionaje de nuestra actividad, robo de datos, ransomware… Sin embargo, no todos los riesgos residen en las aplicaciones maliciosas. Una aplicación perfectamente legítima puede suponer un riesgo tanto para la organización que la desarrolla como para el usuario que la instala. Supongamos que el banco Nevele Bank quiere publicar una aplicación en Google Play y otra similar para iOS. Antes de hacerlo debe pasar obligatoriamente por una valoración de los riesgos que asume y hace asumir a sus clientes. Cualquier fallo tendrá un impacto sobre su imagen y, desde luego, Nevele Bank no quiere ser blanco de sensacionalistas titulares si alguna brecha de seguridad expone a sus clientes o pone en riesgo su negocio. Hay muchas cosas que Nevele Bank no quiere que pasen. No quiere que un hacker pueda entrar al sistema accediendo a las cuentas de un usuario o realizando operaciones en su nombre. Tampoco quiere que desde otra aplicación maliciosa en el mismo terminal se pueda interactuar con la suya. Hay muchos más escenarios a controlar; otro ejemplo relevante es que alguien con los suficientes conocimientos pueda hacer ingeniería inversa de sus apps y gane un conocimiento de sus servicios de backend. Esta información podría facilitar la planificación de ataques directos contra su infraestructura. ¿Y qué hago entonces? La primera respuesta es que debemos asumir que hay que convivir con el riesgo, pero con responsabilidad y sentido común. La seguridad total no existe, pero sí se pueden poner los medios para alcanzar un razonable nivel de protección. Cuando nos relacionemos con aplicaciones de otros, debemos evitar descargas de apps de sitios no oficiales. A menudo ofrecen aparentes chollos de apps gratuitas, que demasiado frecuentemente son realmente versiones modificadas con código malicioso. Y, por supuesto, igual que se protege un equipo de sobremesa con un antivirus, debemos adoptar similares medidas en nuestros móviles y tablets. Cuando se trata de nuestras propias aplicaciones, debemos aplicar una serie de buenas prácticas que compliquen la actuación de “los malos”: El ciclo de desarrollo debe tener en cuenta aspectos básicos de seguridad para evitar vulnerabilidades en el resultado. Una vez terminamos el desarrollo (o incluso en versiones intermedias), debemos analizar la app con algún tipo de herramienta como mASAPP Online, capaz de detectar vulnerabilidades. El resultado de este análisis seguramente motivará una serie de correcciones y nos ayudará a reforzar nuestras buenas prácticas de seguridad en la fase de desarrollo. Idealmente, un hacker ético nos puede hacer un gran servicio poniendo a prueba la seguridad de nuestras apps, pero esto último no está al alcance de todos. Este breve vídeo, de poco más de un minuto de duración, hace un recorrido desde el momento en que nos registramos en mASAPP Online hasta que obtenemos los resultados del análisis de nuestras apps. m33tfinder: Vulnerabilidad en Cisco Meeting Server descubierta por ElevenPathsPresentamos CapaciCard, nuestra tecnología física de identificación y autorización de forma sencilla
Telefónica Tech Boletín semanal de Ciberseguridad, 28 de enero – 3 de febrero LockBit Green: nueva variante de LockBit Recientemente, investigadores de vx-underground han detectado que los gestores del ransomware LockBit están utilizando una nueva variante de ransomware, denominada LockBit Green. Esta nueva variante...
Martiniano Mallavibarrena Ciberseguridad en el cine: mito vs. realidad con 10 ejemplos Los múltiples aspectos de la ciberseguridad (ataques, investigaciones, defensa, empleados desleales, negligencia, etc.) llevan años siendo parte del argumento de infinidad de películas y series de TV. En la...
Daniel Pous Montardit Resiliencia, clave en sistemas Cloud-Native En el primer post de la serie Cloud-Native, ¿Qué significa que mi software sea Cloud Native?, presentamos la resiliencia como uno de los atributos fundamentales que nos ayudan a...
Telefónica Tech Boletín semanal de Ciberseguridad, 21 – 27 de enero Killnet apunta contra objetivos en España Esta semana el grupo hacktivista Killnet anunció una campaña de ataques contra Alemania, dando lugar a la realización de ataques de Denegación de Servicio...
Gonzalo Fernández Rodríguez ¿Qué significa que mi aplicación sea Cloud Native? El término Cloud Native es algo que va más allá de mover las aplicaciones alojadas en un data center a una infraestructura proporcionada por un proveedor Cloud, sea Cloud...
Telefónica Tech Boletín semanal de Ciberseguridad, 14 – 20 de enero Vulnerabilidades críticas en los router Netcomm y TP-Link Se han descubierto una serie de vulnerabilidades en los routers Netcomm y TP-Link. Por un lado, los fallos, identificados como CVE-2022-4873 y CVE-2022-4874, se tratan de un...