ElevenPaths Boletín semanal de ciberseguridad 16-22 enero Actualización del compromiso de SolarWinds Se han dado a conocer nuevos detalles acerca del compromiso a la cadena de suministro de software desvelado en diciembre: Los investigadores de FireEye han publicado...
Amador Aparicio CVE 2020-35710 o cómo tu RAS Gateway Secure revela el espacio de direccionamiento interno de tu organización Parallels RAS (Remote Application Server), es una solución de entrega de aplicaciones e infraestructura de escritorio virtual (VDI) que permite a empleados y clientes de una organización acceder y...
ElevenPaths #CyberTricks de ElevenPaths El pasado jueves, 30 de noviembre, se celebró el Día Mundial de la Ciberseguridad. Desde ElevenPaths hemos redactado un decálogo de #CyberTricks con ciberconsejos de algunos de nuestros expertos: Chema Alonso, Pablo...
ElevenPaths #CyberSecurityPulse: El parcheo de vulnerabilidades de forma transparente también es cosa de todos El año 2018 ha comenzado con una noticia que ha copado las portadas de medios especializados y generalistas de todo el mundo. Las vulnerabilidades bautizadas como Meltdown y Spectre han...
ElevenPaths Boletín semanal de ciberseguridad 16-22 enero Actualización del compromiso de SolarWinds Se han dado a conocer nuevos detalles acerca del compromiso a la cadena de suministro de software desvelado en diciembre: Los investigadores de FireEye han publicado...
Diego Samuel Espitia Detectando los indicadores de un ataque En seguridad siempre optamos por implementar mecanismos de prevención y disuasión, más que de contención. Sin embargo, la implementación de estos mecanismos no siempre son eficaces o sencillos de...
ElevenPaths Certificados falsos, CRLSets y sospechas Se han detectado más certificados fraudulentos que pretenden legitimar páginas falsas de Google (aunque podría hacerlo con cualquier dominio). Una entidad de confianza (para todos los Windows) ha firmado...
ElevenPaths News: Nuevo plugin de Latch para ownCloud El equipo de desarrolladores de Eleven Paths ha creado un nuevo plugin para Latch. En este caso ha sido el de ownCloud. Se trata de una aplicación de software...
ElevenPaths Boletín semanal de ciberseguridad 16-22 enero Actualización del compromiso de SolarWinds Se han dado a conocer nuevos detalles acerca del compromiso a la cadena de suministro de software desvelado en diciembre: Los investigadores de FireEye han publicado...
Diego Samuel Espitia Detectando los indicadores de un ataque En seguridad siempre optamos por implementar mecanismos de prevención y disuasión, más que de contención. Sin embargo, la implementación de estos mecanismos no siempre son eficaces o sencillos de...
Gabriel Bergel Descubriendo el mundo del biohacking No es la primera vez que hablamos sobre biohacking en el blog de ElevenPaths, si quieres conocer su historia te invitamos a visitar este post en el que hablamos...
ElevenPaths Informe de tendencias: Ciberamenazas Hacktivistas 2019 Las amenazas hacktivistas han seguido ganando terreno durante 2019, especialmente asoaciados a movimientos ideológicos pero, ¿qué peligros implican?
Los sesgos del arte del engañoGabriel Bergel 22 noviembre, 2018 Hace un par de semanas atrás, un compañero escribía una entrada en el post explicando “Los seis principios de la influencia que utilizan los cibercriminales para hackear tu cerebro”, y también, en algún webinar de los ElevenPaths Talks hemos conversado sobre la Ingeniería Social como “A la Pesca de Víctimas” y “El Arte del Engaño”. A partir de haber definido en varias ocasiones que la Ingeniería Social es una mezcla de ciencia, psicología y arte, como “cualquier acto que influya en una persona para tomar una acción que puede o no ser lo mejor para él”, creemos que la ingeniería social no siempre es negativa y abarca el cómo nos comunicamos con nuestros padres, terapeutas, hijos, cónyuges… como lo define el propio Kevin Mitnick en su libro “The Art of Deception”. En la entrada anterior, comentábamos sobre las formas de influir, pero en esta ocasión, queríamos tratar el tema de los sesgos. Los sesgos no son más que las desviaciones de un estándar de racionalidad o buenos juicios. Hay muchos tipos diferentes, sin embargo, estos 7 son los más importantes que queremos mencionar: Quid Pro Quo: Significa algo para algo, muy utilizado por policías y agencias de inteligencias, pero también por ingenieros sociales. Un atacante llama a números aleatorios en una empresa que reclama llamar desde el soporte técnico. Eventualmente llegaran a alguien con un problema legítimo, agradecidos de que alguien los llame para ayudarlos. El atacante “ayudará” a resolver el problema y, en el proceso, la victima tendrá que escribir comandos que le den acceso al atacante o inicien la instalación de algún código malicioso (malware). Baiting: Es como el caballo de Troya contemporáneo, se utilizan medios físicos, por lo general periféricos y se basa en la curiosidad o la codicia de la víctima. En este ataque, el atacante deja un pendrive USB infectado con malware o un disco duro externo USB en una ubicación segura (baño, ascensor, acera, estacionamiento), le da una etiqueta de aspecto legítimo y curioso, y simplemente espera a que la víctima use el dispositivo. Hoy en día no es necesaria la interacción del usuario para tomar control del computador de la victima, solo es necesario que lo conecte para que se ejecute el payload. Pretexting: Es el acto de crear y usar un escenario inventado para involucrar a una víctima específica de manera que aumente la posibilidad de que la víctima divulgue información o realice acciones que serían poco probables en circunstancias normales. Esta técnica se puede utilizar para engañar a una empresa para que divulgue información del cliente, así como por investigadores privados para obtener registros telefónicos, registros de servicios públicos, registros bancarios y otra información directamente de los representantes del servicio de la compañía. La información puede ser utilizada para establecer una legitimidad aún mayor bajo un cuestionamiento más intenso con un gerente, por ejemplo, para hacer cambios en la cuenta, obtener saldos específicos, etc. Diversion Theft: También conocido como “Corner Game” o “Juego de la esquina”, originado en el East End of London, el robo de diversión es una “estafa” ejercida por ladrones profesionales, normalmente, en contra de una empresa de transporte o mensajería. El objetivo es persuadir a las personas responsables de una entrega de que el envío se solicita en otro lugar. Tailgaiting o Piggybacking: Un atacante busca ingresar a un área restringida donde el acceso es desatendido o controlado por un control de acceso electrónico. Esta técnica consiste en simplemente entrar detrás de una persona que tiene acceso, mayormente utilizada en organizaciones donde se tiene más de una puerta o tal vez una salida secundaria al establecimiento. La persona legítima generalmente mantendrá la puerta abierta para el atacante, además, no solicita la identificación y asume que el atacante ha olvidado o perdido la tarjeta de identidad correspondiente. Phishing: Técnica de suplantación de identidad mediante correos electrónicos fraudulentos que conducen a sitios web falsos. El objetivo de este ataque es el robo de credenciales y datos sensibles, además de infección del equipo y la red. Se diferencian dos tipos de phising: Phising genérico – Características: El phishing no es necesariamente dirigido. Se cuelga de servidores y dominios existentes, y envía spam masivamente.Su efectividad es baja, pero debido al alto número de muestra, es viable. Spear Phishing – Características: El phishing es dirigido. Cuenta con dominio personalizado. Es altamente efectivo ya que si el atacante se dedica a autenticar el correo este llegaría a la bandeja de entrada de la víctima. Registro SPF, Firma DKIM, DMARC, etc. Phising de una falsa advertencia sobre una multa no pagada en una autopista de Chile. El link tiene URL de Francia, pretende que bajemos un ZIP infectado con un ransomware Sitio web falso que simula ser un Banco Estado Una de las principales conclusiones del reporte DBIR (Data Breach Investigation Report) del 2018 es que los cibercriminales siguen teniendo éxito con las mismas técnicas probadas y comprobadas, y sus víctimas siguen cometiendo los mismos errores. Hoy en día, las personas siguen cayendo en las mismas trampas de los cibercriminales, y siguen cayendo en campañas de phishing. Vishing: Esta técnica utiliza un sistema de respuesta de voz (IVR) fraudulento para recrear una copia legítima de un sistema de IVR de un banco u otra institución. Se le solicita a la víctima (generalmente a través de un correo electrónico de suplantación de identidad) que llame al “banco” a través de un número (idealmente gratuito) proporcionado para “verificar” la información, incluso puede hacer la llamada directamente haciéndose pasar por el ejecutivo del banco. Recomendaciones Las personas deben establecer marcos de confianza. (Deben de responder a estas preguntas: cuándo, dónde, porqué, cómo se debe manejar la información privada y confidencial.Verificar siempre las fuentes de información de los correos y llamadas entrantes.Nunca ingresar un link directamente desde el correo.Revisar periódicamente tus cuentas bancarias.Pedir detalles siempre sobre la identidad de quien llama, si alguien llama y no puede acreditar quien es o de qué empresa habla, no mantengas la conversación.No debes sentir obligación/urgencia/felicidad de recibir un correo/llamada y proporcionar información privada o información de tu tarjeta bancaria, por lo general si lo sientes, es un phishing. Como cita Kevin Mitnick: “Pueden contar con procesos bien definidos y robustos, además de la mejor y última tecnología disponible, sin embargo, lo único que necesita es un llamado a un usuario no capacitado o desprevenido, para vulnerar toda la seguridad de una compañía”. Conclusiones Hay que tener mucho cuidado cuando recibes un correo de un desconocido o una llamada de un extraño, las personas somos el eslabón mas débil de la ciberseguridad. Para despedirme, os invito a conocer más sobre los #11PathsTalks, webinars gratuitos impartidos por los Chief Security Ambassadors. Movistar lanza Conexión Segura: Un antivirus en red para mantener seguros todos tus dipositivos y red WiFi#CyberMonday 2018 en ElevenPaths
ElevenPaths Boletín semanal de ciberseguridad 16-22 enero Actualización del compromiso de SolarWinds Se han dado a conocer nuevos detalles acerca del compromiso a la cadena de suministro de software desvelado en diciembre: Los investigadores de FireEye han publicado...
Diego Samuel Espitia Detectando los indicadores de un ataque En seguridad siempre optamos por implementar mecanismos de prevención y disuasión, más que de contención. Sin embargo, la implementación de estos mecanismos no siempre son eficaces o sencillos de...
Amador Aparicio CVE 2020-35710 o cómo tu RAS Gateway Secure revela el espacio de direccionamiento interno de tu organización Parallels RAS (Remote Application Server), es una solución de entrega de aplicaciones e infraestructura de escritorio virtual (VDI) que permite a empleados y clientes de una organización acceder y...
Área de Innovación y Laboratorio de ElevenPaths #CyberSecurityReport20H2: Microsoft corrige muchas más vulnerabilidades, pero descubre bastantes menos Existen muchos informes sobre tendencias y resúmenes de seguridad, pero en ElevenPaths queremos marcar una diferencia. Desde el equipo de Innovación y Laboratorio acabamos de lanzar nuestro propio informe...
ElevenPaths ElevenPaths Radio 3×07 – Entrevista a Mercè Molist ¿Conoces la historia del hacking en España? Primero debemos conocer su ética, su forma de vida y de pensamiento, su cultura… Para hablar sobre hackers y hacking en España, tenemos...
ElevenPaths Noticias de Ciberseguridad: Boletín semanal 9-15 de enero Sunburst muestra coincidencias en su código con malware asociado a Rusia Investigadores de Kaspersky han encontrado que el malware Sunburst utilizado durante el ataque a la cadena de suministro SolarWinds,...