HackerOne conecta a “white hats” con compañías dispuestas a pagar recompensas

Nota original: Nicole Perlroth - The New York Times. Traducción original: La Gaceta.

SAN FRANCISCO.- En 2011, dos hackers holandeses, de 20 y pico de años, hicieron una lista de las 100 compañías de alta tecnología a las que tratarían de entrar. Rápidamente, encontraron vulnerabilidades de seguridad en Facebook, Google, Apple, Microsoft, Twitter y otros 95 sistemas de empresas. 

Llamaron a su lista “Hack 100”. 

Cuando alertaron a los ejecutivos de esas compañías, cerca de una tercera parte no les prestó atención. Otro tercio les dio las gracias, cortésmente, pero nunca arreglaron las fallas; mientras que el resto se apresuró a resolver sus problemas. Afortunadamente para los jóvenes hackers, nadie llamó a la policía.

Ahora la pareja, Michiel Prins y Jobert Abma, está entre los cuatro cofundadores de la empresa emergente en tecnología, en San Francisco, que se orienta a convertirse en una mediadora entre las compañías con problemas de ciberseguridad y piratas y buscar solucionar problemas en lugar de causarlos. Esperan que su establecimiento, llamado HackerOne, pueda persuadir a otros hackers para que reporten, en forma responsable, las fallas de seguridad, en lugar de explotarlas, y conectar a esos “sombreros blancos” con las compañías que estén dispuestas a pagar una recompensa por sus hallazgos.

En el último año, la empresa emergente ha persuadido a algunos de los nombres más grandes en la tecnología -incluidos Yahoo, Square y Twitter- y a empresas, bancos y compañías petroleras, que nunca se esperaría que trabajaran con su servicio. También han convencido a capitalistas de riesgo de que, dado que hay miles de millones de aparatos más que se mueven en la red y que es inevitable que cada uno tenga fallas, HackerOne tiene el potencial de ser muy lucrativa. La empresa recibe una comisión de un 20% sobre cada recompensa que se paga por medio de su servicio.

“Cada compañía va a hacer esto”, notó Bill Gurley, un socio en Benchmark, que invirtió U$S 9 millones en HackerOne. “No probar esto es estar descerebrado”, enfatizó.

La alternativa a los llamados programas de recompensa por errores moderados es apegarse al actual modelo de incentivos perversos. Los hackers que ha encontrado agujeros en los sistemas corporativos pueden, dependiendo de la gravedad, esperar sumas de seis dígitos al vender sus descubrimientos a los delincuentes o los gobiernos, donde esas vulnerabilidades están almacenadas en ciberarsenales y es frecuente que nunca las arreglen. En forma alternativa, cuando les pasan las debilidades a las empresas para que las arreglen, es frecuente que ignoren a los hackers o los amenacen con la cárcel. En esencia, la gente con las habilidades para arreglar los problemas de seguridad en internet tiene más razones para dejarla totalmente abierta a un ataque.

“Queremos facilitarles las cosas y que sean provechosas para que el siguiente grupo de hackers hábiles tenga una carrera viable si se queda en la defensa”, señaló Katie Moussouris, directora de normas de HackerOne, quien fue pionera en el programa de recompensas en Microsoft. “En este momento, estamos sobre la barda”, añadió.

Prins y Abma empezaron HackerOne con Merijn Terheggen, un emprendedor holandés que vive en Silicon Valley. Los tres conocieron al cuarto cofundador por medio del esfuerzo “Hack 100”, cuando enviaron un correo electrónico en el que alertaban a Sheryl Sandberg, la directora de operaciones de Facebook, sobre una vulnerabilidad en sus sistemas. Sandberg no sólo les dio las gracias, sino que imprimió su mensaje, se lo entregó a Alex Rice, el gurú de seguridad en los productos en ese momento, y le dijo que la corrigiera. Rice invitó a los hackers a comer, trabajó con ellos para arreglar el programa, les pagó una recompensa de U$S 4.000 y se les unió un año después. 

“Toda tecnología tiene vulnerabilidades y si no tienes un proceso público para que los hackers responsables las reporten, solo te vas a enterar de ellas por los ataques en el mercado negro”, explicó Rice. “Eso es simplemente inaceptable”. 

No es ningún secreto que, en forma constante, los ciberdelincuentes están escaneando los sistemas corporativos en busca de debilidades o que dependencias gubernamentales las están acumulando.

Fallas de vigilancia

Los ciberdelincuentes utilizaron una de esas debilidades en un servicio de aire acondicionado para meterse en el sistema de pagos de Target. Tales fallas son críticas en los esfuerzos gubernamentales de vigilancia, así como ingredientes cruciales en “ciberarmas” como Stuxnet, el gusano informático desarrollado por Estados Unidos e Israel para el cual se usaron varios errores a fin de encontrar el camino para ingresar y destruir las centrífugas de uranio en una instalación nuclear iraní.

Los errores han sido tan críticos para los ciberarsenales del gobierno, que una dependencia de la administración estadounidense les pagó medio millón de dólares a unos hackers por un simple exploit en el sistema operativo iOS de Apple. Esta compañía no le habría pagado nada al hacker por arreglarlos. Otra quizá habría llamado a la policía.

Ese es precisamente el tipo de incentivo perverso -castigar a los programadores que arreglan errores y recompensar a quienes nunca informan- que HackerOne quiere cambiar.

Las compañías de tecnología empezaron a recompensar a hackers hace cinco años, cuando Google empezó a pagarles U$S 3.133,70 por errores (31337 es el código “hacker” para elite). Desde entonces, Google ha pagado algo así como U$S 150.000 en una sola recompensa y distribuido más de U$S 4 millones entre los hackers. Rice y Moussouris ayudaron a liderar los programas de recompensas en Facebook y Microsoft.

Otros se están dando cuenta de que ya no impacta simplemente darles crédito o mandarles alguna cosa.

Ramses Martínez, el director de seguridad de Yahoo, dijo que lanzó el programa de recompensas en 2013, después de que dos “hackers” arremetieron contra Yahoo porque les mandaron camisetas a cambio de cuatro errores con los que pudieron haberse embolsado miles de dólares en el mercado negro. Martinez aseguró que considera que las recompensas por errores son “pan comido”.

“Ahora que suficientes compañías grandes y muy conocidas echaron a andar esto, se acabó mucho el miedo a estos programas”, dijo.

Sin embargo, la mayoría de ellas todavía no paga a los programadores por sus hallazgos, incluida Apple, que reportó alrededor de 100 problemas de seguridad este año, algunos tan graves que permitieron a los atacantes secuestrar las contraseñas de los usuarios. Claro que con una etiqueta de U$S 500.000 pegada a una inseguridad informática en Apple -equivalente a todo lo que Microsoft ha desembolsado para los “hackers” a la fecha-, las recompensas de aquélla tendrían que ser bastantes altas para equipararse a las tarifas del mercado. “Muchas empresas tienen hackers; solo que no lo saben”, comentó Terheggen, ahora director ejecutivo de HackerOne. “Los malos ya están allí. Los buenos no aparecen, a menos que los invites”.

Alrededor de 1.500 hackers están en la plataforma de HackerOne. Han arreglado cerca de 9.000 errores y se han embolsado más de U$S 3 millones en recompensas. Para las compañías que apenas están empezando a considerar las recompensas por los errores, HackerOne les ofrece una comunidad de “hackers” respetables y maneja los trámites administrativos, incluidos los pagos y las formas fiscales. HackerOne no es la única compañía en el espacio. Compite con programas de recompensa que sus fundadores ayudaron a iniciar en Facebook, Microsoft y Google (Chris Evans, un asesore en HackerOne, ayudó a liderar el programa en Google).

Algunas compañías, como United Airlines, empezaron hace poco su propio programa. United comenzó a ofrecerles a los “hackers” millas gratuitas por usuario frecuente después de que un investigador en seguridad tuiteó sobre las vulnerabilidades del sistema wi fi en el vuelo y le dijo a la FBI que había examinado las redes del avión durante el mismo.

HackerOne también compite con Bugcrowd, una empresa emergente similar que cobra a las empresas una tarifa anual por manejar sus programas de recompensas. Bugcrowd trabaja con compañías jóvenes, como Pinterest, e instituciones como Western Union.

HackerOne y sus competidores podrían enfrentarse a significativos obstáculos regulatorios en los próximos meses. Los funcionarios están considerando hacer cambios al “Wassenaar Arrangement” (Arreglo de Wassenaar), un acuerdo de control de exportaciones de 20 años de antigüedad entre 40 países -incluidos Rusia, algunos europeos y Estados Unidos- para que los investigadores obtengan permiso de los gobiernos antes de entregar sus artificios a una compañía extranjera. “Es posible que a los gobiernos no les importe dejar pasar problemas leves, pero los problemas críticos pudieran ser otra cuestión”, dijo Kymberlee Price, el director sénior de operaciones de seguridad en Bugcrowd. “¿Realmente deberíamos dejarle al gobierno ruso que decida si un investigador puede informar de una vulnerabilidad a Citibank?”. / Nota original: Nicole Perlroth - The New York Times. Traducción original: La Gaceta.-

Original:

• HackerOne Connects Hackers With Companies, and Hopes for a Win-Win. "In 2011, two Dutch hackers in their early 20s made a target list of 100 high-tech companies they would try to hack. Soon, they had found security vulnerabilities in Facebook, Google, Apple, Microsoft, Twitter and 95 other companies’ systems. They called their list the Hack 100". Por Nicole Perlroth - The New York Times.--

El poder de las redes

Hace unos días el excelente blog "Administraciones en Red" publico un post sobre un libro que estoy leyendo desde ayer: "El poder de las redes", de David de Ugarte, quien hace entrega de él al Dominio Público. Como ya lo han dicho, me parece un libro interesante para entender lo de las redes sociales, la blogosfera y la web 2.0.

Me está gustando como está escrito. En el prologo ya lo embarcan a uno a seguir leyendo, le transcribo una de las verdades que plantea:

El hacker representa la superación de las distinciones entre el trabajo y el ocio y entre retribución y reputación. En un mundo en el que la información y el poder fluyen por una red distribuida, la abundancia es más relevante que la escasez e impone sus figuras retóricas.
Lo importante no es ciertamente la remuneración, sino la reputación de saber conducir sobre este terreno, y el origen del poder no está en el secreto, sino en su divulgación, no en atesorar, sino en el regalo gratuito, en el potlach de ideas.

por Juan Urrutia

Y sigue...la verdad muy bueno.

Informan que Anonymous habría "bajado" páginas de la CIA

Se está informando que el sitio Web de la CIA había sido "bajado" esta tarde en lo que parecía un ataque de denegación de servicio, según se dio a conocer por los miembros del grupo activista Anonymous, vía Twitter.

Las noticias indican que un portavoz de la CIA se negó a comentar sobre el asunto a CBS News, más allá de ofrecer esta declaración: ". Estamos investigando estos informes". Se señala que los servidores de cia.gov estaban innaccesibles, en lo que ya es una caída de varias horas.

Por otro lado, también se ha informado que en el día de hoy un hacker o un grupo que va por el apodo de "Casi", se ha atribuido haber hackeado el sitio web de la Naciones Unidas.

Notas relacionadas:

• Hackers hit CIA, UN Web sites.- "The CIA's Web site was down this afternoon in what looked like a distributed denial-of-service attack publicized by members of the online activist group Anonymous". by CNET News.com.
• Anonymous targets the CIA.- Websites affiliated with the CIA and the state of Alabama were down Friday, allegedly done in by hackers, a state official and a well-known hacking group reported. by CNN Security Clearance.

(CC)Creative Commons

"Hackeado" y parcheado Google Chrome

Hace unos días fue noticia la oferta de 1 millon de dólares para quien pueda "hackear" Google Chrome. El tema es que Google ofreció un millón de dólares en premios que se dividían en diferentes categorías, según la vulnerabilidad encontrada. Ayer se difundió la noticia que el ganador del concurso Pwn2Own, durante la Conferencia CanSecWest Security, fue un estudiante universitario ruso, consiguió romper el sistema de seguridad de Google Chrome.

El joven Sergey Glazunov logró con éxito ejecutar el navegador de Google a través de un "exploit", la técnica para lograr el "asalto" fue evitar la restricción de la llamada "sandbox" de Chrome.

Según las noticias, un miembro del equipo de seguridad de Chrome, Justin Schuh, señalo que el ataque fue impresionante, requiere de un conocimiento y comprensión muy profundo sobre el "funcionamiento" de Chrome. Sergey Glazunov obtuvo un premio de 60.000 dólares por la hazaña.

Ayer nos enterábamos que desde Google lanzaron una actualización del navegador y casi naturalmente nos preguntamos si fue por que fue hackeado en la Pwn2Own. Y así fue, hoy FayerWayer informa en un post que "menos de 24 horas después de que un hacker ruso del grupo Vupen hiciera caer a Chrome explotando una vulnerabilidad crítica hasta ahora desconocida del navegador, Google presentó un parche para eliminar el problema de seguridad".

Sobre los blogstorms

Vía el blog Noticias de Consumo de Daniela Hacker, llego a un interesante artículo publicado por El Mercurio acerca de los blogstorms, o tormenta de comentarios online que pueden acabar con la "fama" de un producto, ante la insatisfacción de los usuarios. Muy interesante de leer.

El Mercurio de Chile: “Los nuevos asesinos de productos están en Internet”.

I want 2

Cuando leí el post de Landahlauts en su blog LA ARBONAIDA, en seguida recorde dos sucesos, el caso de Gary McKinnon, el hacker más famoso de Gran Bretaña, que afirmaba haber visto una fotografía de un ovni (objeto volador no identificado) en un servidor de la NASA. Y mi experiencia personal, que comente en LA ARBONAIDA.

En el año 1983, por el mes de junio, fui testigo de un avistamiento de un objeto volador luminoso muy impresionante. Estábamos al este (22 km. aprox.)de una localidad llamada Toba, que está en la línea ferrea que une Quimilí con Añatuya (Santiago del Estero, Argentina). El área era en ese tiempo muy despoblada y está al borde de un conjunto de lagunas saladas.

Una noche apareció un objeto volador muy luminoso, se nos aproximó a una altura (estimada) de 100 metros hasta unos 300 metros de nosotros. El objeto no emitía ningún sonido. Realizó un estático durante unos pocos minutos y luego ascendió en un ángulo de unos 70 u 80 grados a una velocidad increíble, casi como un asteroide pero para arriba, y reitero absolutamente silencioso.

No supimos nunca que fue, pero desde entonces a mi me cuesta creer que el vehículo fuese terrestre.

Todos los que estábamos quedamos perplejos, y seguramente los demás mantienen el recuerdo del suceso como yo.

Tumbaron el segundo mayor banco de Rusia

El banco estatal ruso VTB golpeado por el mayor ataque de DDoS en su historia

Publicado por Reuters.

MOSCOW, 6 de diciembre (Reuters) - El Banco No. 2 de Rusia VTB (VTBR.MM) fue golpeado por el mayor ataque cibernético en su historia, dijo el martes que advierte sobre dificultades temporales para acceder a su aplicación y sitio web móviles, pero asegurando a los clientes que sus datos se mantuvieron seguros.

Imagen vista en Reuters

VTB de propiedad estatal dijo que estaba repeliendo el ataque distribuido de denegación de servicio (DDoS), en el que los piratas informáticos intentan inundar una red con volúmenes inusualmente altos de tráfico de datos para paralizarlo.

"La infraestructura tecnológica del banco está bajo un ataque cibernético sin precedentes del extranjero", dijo VTB en un comunicado. "El más grande no solo este año, sino en todo el tiempo el banco ha operado".

Las entidades gubernamentales rusas y las empresas estatales han sido atacados sobre eventos en Ucrania, los sitios web del Kremlin, el operador insignia Aeroflot (AFLT.MM) y el principal prestamista Sberbank (Sber.MM) entre aquellos que han visto interrupciones o problemas de acceso temporal .

Los piratas informáticos también retrasaron el inicio del discurso del presidente Vladimir Putin en el foro económico insignia de Rusia a principios de este año.

Mientras tanto, los piratas informáticos pro-rusos se han atribuido a la responsabilidad o han sido culpados de ataques a sitios web e infraestructura en Lituania, Noruega y Estados Unidos este año.

VTB dijo que la mayoría de los ataques habían venido del extranjero, pero que estaba particularmente preocupado por el tráfico de las direcciones IP rusas. Dijo que entregaría todas las direcciones IP rusas identificadas a la policía. / Publicado por Reuters. Informes de Alexander Marrow, edición de Louise Heavens.-

Otras fuentes han informado que "se piensa que la persona o personas que han actuado han utilizado servidores proxy locales para lanzar el ataque. Además, ha sido el grupo hacker pro-ucraniano ‘IT Army of Ukraine‘, el que se ha atribuido los ataques DDoS contra VTB Bank, ya que anunció que lo iba a llevar a cabo a finales de noviembre de este año. Por lo tanto, ya se conoce cuál es el responsable de esto, mientras que la entidad bancaria ya venía sufriendo diferentes problemas en su servicio desde el mismo 1 de diciembre de este mes. En cualquier caso, la entidad sigue combatiendo este ataque masivo, por lo que es normal que tanto sus portales web como sus apps tarden en estar en completo funcionamiento un tiempo hasta que consigan resolver este problema".-

#GuerraRusiaUcrania

___________________

NOTA: Las cookies de este sitio se usan para personalizar el contenido y los anuncios, para ofrecer funciones de medios sociales y para analizar el tráfico. Además, compartimos información sobre el uso que haga del sitio web con nuestros partners de medios sociales, de publicidad y de análisis web. Ver detalles.

IMPORTANTE: Todas las publicaciones son sin fines comerciales ni económicos. Todos los textos de mi autoría tienen ©todos los derechos reservados. Los contenidos en los link (vínculos) de las notas replicadas (reproducidas) y/o citadas son de exclusiva responsabilidad de sus autores. Éste blog ni su autor tienen responsabilidad alguna por contenidos ajenos.

El "spear phishing", una modalidad de estafa cibernética vía e-mail que se impone

Imagen por Jorge S. King ©Todos los derechos reservados

El "spear phishing" es una modalidad de phishing cada vez más común, cuyo objetivos son gobiernos y empresas. Se trata de ataques dirigidos, vía correos electrónicos (e-mails), para que las víctimas abran un archivo adjunto (no solicitado) que posee un código malicioso, o hagan clic en un enlace que los lleve a un website con exploits. Éstos ataques son cada vez más específicos y "personalizados".

Los correos suelen referirse o dirigirse a sus objetivos por su nombre específico, rango o posición, en lugar de utilizar títulos genéricos en el asunto del email como ocurre en las campañas de phishing más amplias. Más del 90% de los correos electrónicos dirigidos, con ésta modalidad delictiva, estarían utilizando archivos maliciosos adjuntos como fuente de infección, en su mayoría de formato .DOC, .PPS .RTF, .XLS y .ZIP

Los intentos más recientes, de ésta modalidad de phishing, han tomado como objetivo a clientes de bancos y servicios de pago en línea, como así también a esquemas gubernamentales. La acción delictiva se complementa con el robo de identidad de la víctima, el delito de más rápido crecimiento en el mundo.

El atacante conoce el nombre de la víctima, su dirección de correo electrónico, y tiene un mínimo de información acerca de la misma. Por lo general, el saludo del mensaje de correo es personalizado: "Hola, Bob", en lugar de "Estimado señor". Es posible que el correo haga referencia a un "amigo en común", y/o también puede referirse a alguna compra online reciente. Dado que el correo electrónico parece provenir de alguien conocido, es posible que la víctima esté menos atento y proporcione la información que le solicitan. Y cuando se trata de una empresa que conoce y le solicita que actúe con urgencia, seguramente lo hará sin pensarlo, en la mayoría de las veces.

¿Cómo se convierte en el blanco de ataques de spear phishing? A partir de la información que publica en Internet desde su PC o su smartphone. Por ejemplo, puede que analicen sitios de redes sociales, encuentren su página, su dirección de correo electrónico, su lista de amigos y una publicación reciente en la que comenta a sus amigos lo estupenda que es la nueva cámara que se compró en un sitio de ventas online. Con esa información, un atacante de spear phishing puede simular ser amigo suyo, enviarle un correo electrónico y solicitarle la contraseña de su página de fotos. Si usted le da la contraseña, el atacante la usará, junto con otras variantes, para intentar acceder a su cuenta de ese sitio de ventas online del que habló. Si la descubren, la usarán y le dejarán una buena deuda. También es posible que el atacante utilice esa misma información para hacerse pasar por alguien del sitio de ventas online y solicitarle que restablezca su contraseña o que vuelva a verificar su número de tarjeta de crédito. Si usted le responde, el atacante le hará un gran daño financiero.

Mantenga en secreto sus secretos

Su nivel que seguridad y el de su información depende, en parte, de ser cuidadoso. Analice su presencia online. ¿Cuánta información acerca de usted hay publicada que podría combinarse para estafarle? ¿Su nombre? ¿Su dirección de correo electrónico? ¿Nombres de amigos? ¿Sus direcciones de correo electrónico? ¿Usted tiene un perfil, por ejemplo, en algún sitio conocido de redes sociales? Examine sus publicaciones. ¿Hay algo allí que no desea que caiga en manos de un estafador? ¿Publicó algún dato en la página de un amigo que podría resultar revelador? / Norton.

La descubierta red de espionaje Octubre Rojo, que pone en jaque datos gubernamentales, envía malware vía ésta modalidad. Se aprovecha de víctimas, cuidadosamente seleccionados dentro de una organización, cuyos equipos contienen al menos tres vulnerabilidades diferentes en Microsoft Excel y Word. Les enván mensajes de correo electrónicos con archivos infectados adjuntos, que una vez descargado en el equipo de la víctima, deja caer un troyano que escanea la red local para detectar si hay otros dispositivos vulnerables a la falla de seguridad similar.

La industria informática también tiene su mercado negro, algo conocido y sufrido por muchos desde hace ya mucho tiempo, a la góndola de discos, vídeos y programas pirateados, se le sumó un nuevo producto: los códigos para robar mediante la suplantación de identidad.

Fuentes:

• El método de infección utilizado en la "Operación octubre rojo". 18/01/2013
• "Octubre Rojo" uno de los ciberataques más significativos jamás descubiertos. 15/01/2013.
• The "Red October" Campaign - An Advanced Cyber Espionage Network Targeting Diplomatic and Government Agencies. Securelist - Kaspersky Lab Expert.
• Spear Phishing: estafa, no deporte. Norton. 08/06/2011.

En España proponen que la policía pueda usar troyanos para investigar ordenadores y tabletas

La policía podrá usar troyanos para investigar ordenadores y tabletas

Publicado por EL PAÍS

Se trata de un arma de indudable utilidad para las fuerzas de seguridad, pero puede presentar problemas de constitucionalidad y chocar de frente con derechos fundamentales. El borrador de anteproyecto de Código Procesal Penal del Ministerio de Justicia —encargado por el departamento que dirige Alberto Ruiz-Gallardón a una comisión de expertos coordinada por su secretario de Estado— permite a los jueces que autoricen a la policía la instalación de troyanos en los ordenadores de los investigados para obtener la información que contienen o a la que se puede acceder a través de ellos. El texto prevé el acceso remoto de equipos informáticos —lo que incluye tabletas y teléfonos inteligentes— para delitos con penas máximas superiores a tres años, para el cibercrimen y para el terrorismo y el crimen organizado siempre que el juez justifique la proporcionalidad de la intervención. Hasta el momento, solo Alemania ha aprobado una regulación similar, aunque solo para casos de terrorismo, ante la invasión de la intimidad que supone.

El borrador recoge esta posibilidad en su artículo 350, que permite al Tribunal de Garantías —el que supervisa la instrucción del caso, que en la propuesta de Justicia dirige el fiscal— la autorización “a petición razonada” del ministerio público de “la utilización de datos de identificación y códigos, así como la instalación de un software, que permitan, de forma remota y telemática, el examen a distancia y sin conocimiento del titular o usuario del contenido de un ordenador”. Es decir, permite la instalación de un troyano, uno de esos programas maliciosos —spyware, aunque en este caso utilizado para fines legítimos— que se instalan a distancia en un ordenador para poder controlar su contenido de forma remota sin que su propietario o usuario lo advierta.

El ministerio asegura que, aunque el borrador elaborado por los expertos será la base de su anteproyecto, por el momento no hay decisión tomada sobre registro remoto de ordenadores. “Escucharemos con atención lo que nos digan sobre este asunto, pero no tomaremos la decisión hasta que hayamos analizado las conclusiones que nos hagan llegar desde distintos ámbitos y colectivos”, asegura una portavoz de Justicia.

Una vez instalado ese programa, las posibilidades para la policía son infinitas. “No solo se puede acceder a la información que se almacena en el disco duro, sino también a las contraseñas que suelen guardarse en la memoria”, explica Juan Carlos Ortiz Pradillo, profesor de Derecho Procesal de la Universidad de Castilla-La Mancha y especialista en el uso de este software pirata por las fuerzas de seguridad. “Con esas contraseñas puede accederse al correo electrónico y a todas las redes sociales como Facebook y conocer donde has estado últimamente, con quién te relacionas o cuáles son tus aficiones... O a programas de comunicaciones como Skype. Incluso a todo lo que el investigado almacene en servidores extranjeros, como puede ser el Gmail, la nube... Las claves para al desencriptado de la información, si está protegida, o los movimientos de las cuentas bancarias, si se gestionan online”, continúa Ortiz. El troyano puede además proporcionar las IP (el código identificador) de los ordenadores o dispositivos con los que se haya compartido información o dar acceso a las búsquedas de Internet del supuesto criminal, los blogs que visita... “Se puede llegar a conocer la personalidad del delincuente y, en algunos casos, predecir lo que va a hacer”, dice Ortiz.

La posibilidad de instalar esos troyanos con permiso del juez no solo afecta a ordenadores. Se extiende también a cualquier sistema informático, como tabletas o teléfonos inteligentes, lápices o tarjetas de memoria, o discos duros portátiles. Las empresas proveedoras de Internet pasan, en estos casos, a estar obligadas a colaborar con los agentes para facilitarles ese acceso a los datos del ordenador en el que se pretende entrar. También cualquier otra persona “que conozca el funcionamiento del sistema informático o las medidas aplicadas para proteger los datos informáticos contenidos en el mismo que facilite la información que resulte necesaria”. Es decir, desde el jefe de sistemas de una empresa hasta un especialista en informática. Incluso un hacker, si es la persona idónea para entrar en el ordenador investigado debe colaborar

En principio, el borrador solo prevé estas técnicas para los delitos cometidos intencionadamente (con dolo) cuya pena máxima supere los tres años de cárcel. También para los perpetrados por un grupo u organización criminal, es decir, los relacionados con el crimen organizado y el terrorismo, y para todos aquellos que se consumen a través de instrumentos informáticos: estafas por internet, pornografía infantil, grooming (acoso sexual a menores por internet), cyberbullying (acoso en la red)... El ordenador a investigar, además, se tiene que encontrar en España.

“Se trata de una diligencia que, desde el punto de vista de operatividad policial, puede ser muy útil, pero desde el punto de vista de los derechos fundamentales es muy invasiva”, explica el profesor de Derecho Procesal de la Universidad del País Vasco (UPV) Alberto Sáiz, especialista en intervención de comunicaciones y, actualmente, director de lo Contencioso en el departamento jurídico del Gobierno vasco. “Afecta al derecho a la intimidad del investigado, pero también al secreto de las comunicaciones de una forma extensiva al permitir entrar en chats, Facebook, Skype, Twitter...”. “Además, a diferencia de un teléfono, un ordenador puede ser utilizado por varias personas que, a pesar de no ser objeto de la investigación, verían afectados sus derechos fundamentales”, avisa. Por esa razón, Saiz considera que el catálogo de delitos que pueden indagarse de esta manera es excesivamente amplio (todos los que conlleven una pena máxima superior a los tres años). “Debería establecerse un catálogo cerrado de delitos”, propone el profesor.

Desde el Consejo General de la Abogacía Española (CGAE) consideran “positivo” que se apueste por las nuevas tecnologías en el nuevo Código Procesal Penal, pero creen que la intervención remota de ordenadores es un tema “delicado”. Fuentes del organismo se preguntan por la necesidad de entrar en un ordenador. “Si se ha podido identificar la IP y se trata de un equipo que está en España, ¿por qué no entrar y recogerlo y después investigar su contenido?”, afirma un portavoz. Desde el CGAE aseguran que, al vulnerar el derecho a la intimidad, la resolución judicial que autorice la diligencia “debe aprobarla con un objeto concreto y determinado”. Aunque, aseguran, una vez abierta la ventana a un ordenador “es difícil concretar”.

“Es por esa razón que el borrador de anteproyecto prevé unos requisitos muy rigurosos para su aprobación por el juez”, explica Nicolás González-Cuéllar, catedrático de Derecho Procesal y miembro de la comisión de expertos que ha elaborado el texto. “Se exige que el delito tenga una gravedad mayor que la prevista para una mera intervención telefónica y la resolución debe justificar que ese método es proporcional a la gravedad de los hechos y especialmente idóneo para investigarlos. Además, esa resolución debe delimitar muy bien lo que la policía puede y lo que no puede hacer”, añade González-Cuéllar.

Las otras preguntas fundamentales son: ¿quién fabrica el troyano a utilizar?, ¿cuáles serán sus características? Juan Carlos Ortiz Pradillo, el procesalista especialista en este tipo de registros, asegura que, debido al tipo de delincuentes especializados al que esta herramienta está enfocada, es esencial que su código sea secreto para evitar que los delincuentes puedan enviar a través de sus ordenadores información falsa o, incluso, usarla en su propio beneficio al saber que están siendo investigados. El profesor recuerda que se trata de auténticos delincuentes informáticos y que los delitos a investigar pueden ser de especial peligrosidad, como el terrorismo o el crimen organizado.

Si la utilización de troyanos que propone el borrador de anteproyecto finalmente se aprueba, España será el segundo país europeo en regularlo tras Alemania. En ese país, sin embargo, el Tribunal Constitucional declaró inconstitucional la norma, aprobada por el Estado de Renania del Norte-Westfalia, al considerarla contraria “al derecho fundamental a la garantía de confidencialidad e integridad de los equipos informáticos”, explica Ortiz. En esa misma sentencia se establecieron unos límites muy estrictos para futuras regulaciones de este tipo: que exista autorización judicial, que se trate de delitos de especial gravedad que afecten a la vida, la libertad o la seguridad del Estado y que se proteja “el núcleo esencial de la vida privada”, añade el profesor de Castilla-La Mancha. Con esas limitaciones, el Gobierno federal aprobó una nueva ley que permite el uso de este tipo de software solo para casos de terrorismo. / EL PAÍS.

EE.UU. responderá al sabotaje informático con la fuerza militar

Cyberwar significa sencillamente guerra. The Wall Street Journal ha informado que "el Pentágono ha concluido que el sabotaje informático procedente de otro país puede constituir un acto de guerra".

Cyber Combat: Act of War.- "The Pentagon's first formal cyber strategy, unclassified portions of which are expected to become public next month, represents an early attempt to grapple with a changing world in which a hacker could pose as significant a threat to U.S. nuclear reactors, subways or pipelines as a hostile country's military". By Siobhan Gorman and Julian E. Barnes - The Wall Street Journal

En relación a ésto la frase del momento es: “Si cierras nuestra red eléctrica, tal vez pongamos un misil en tu chimenea”, cita el WSJ a un oficial del ejército.

La situación no es sencilla, las acciones en el campo de lo cibernético desde hace rato que viene tomando un color cada vez más oscuro. Recientemente se han descubierto acciones contra sistemas SCADA en infraestructura crítica, algo realmente muy peligroso. El suceso más destacado fue la acción contra la planta nuclear iraní.

El responder con la fuerza militar al sabotaje en infraestructura crítica por parte de otra nación, es considerado en todas las estrategias de defensa. Este tipo de sabotaje siempre fue considerado un acto de guerra, si uno analiza la historia de los conflictos.

Notas Relacionadas:

• Analysis: Lockheed hack highlights cyber-blame snags. Reuters, 30/05/2011
• Exclusive: Hackers breached U.S. defense contractors. Reuters, 27/05/2011

Post relacionados:

• Vulnerabilidades en sistemas SCADA. JSK_SDE 23/03/2011
• Stuxnet el arma. JSK_SDE 15/02/2011
• The cyberwar - un tema que gana prioridad en las agendas. JSK_SDE 18/10/2010

Más notas y post relacionados en Cyberwar y Seguridad Informática.

(CC)Creative Commons

Sobre la "posibilidad" de hackear una elección presidencial

Nuevamente se impone el tema acerca de la seguridad en relación a la implementación de un sistema electrónico de votación. Una lectura recomendada:

¿Es realmente posible hackear una elección presidencial?

"¿Te imaginas que el presidente de tu país haya sido elegido por un hacker? Esta premisa, que parece sacada de una película de ciencia ficción, no está tan lejos como piensas. La posibilidad de que un especialista pueda intervenir los computadores de los candidatos, para robar información confidencial, hasta directamente hackear los sistemas de votación electrónica, no es remota". Por aetecno de AméricaEconomía.

La nota vale el tiempo que Ud. le de. Tenga en cuenta que “cualquier plataforma y ambiente hoy día es posible de ser hackeado", lo dicen los expertos en ciberseguridad, y lo señala la nota de aetecno.

Post relacionado:

• Boleta Única Electrónica ¿para las próximas elecciones legislativas?. 07/04/2016.
• La Boleta Única Complementaria podría ser una solución. 28/08/2015
• El sistema de boleta única no es la solución. 27/08/2015.
• Advierten sobre un agujero de seguridad en le sistema e-voto que se usará en Buenos Aires. 03/07/2015.
• El voto electrónico no es inviolable y puede ser fácil de manipular. 15/04/2015.
• Sobre la trampa del voto electrónico. 18/11/2013.
• Nuevas denuncias por el manejo de voto electrónico en Salta. 08/11/2013.
• El voto electrónico, en Argentina muchos le seguimos desconfiando. 07/11/2013.
• El voto electrónico o e-voto, en Argentina muchos no lo consideramos confiable. 21/03/2011.
• Voto electrónico ¿seguro?. 29/03/2010.

___________________
Nota: Las cookies de este sitio se usan para personalizar el contenido y los anuncios, para ofrecer funciones de medios sociales y para analizar el tráfico. Además, compartimos información sobre el uso que haga del sitio web con nuestros partners de medios sociales, de publicidad y de análisis web. Ver detalles.

Sobre ciberejercitos y cibersoldados

De hacker a soldado.

Por Juanjo Galán, business strategy de All4Sec, publicado por Innovadores / La Razón.es.

Tal y como describe la OTAN —tradicionalmente convertida en doctrina— un dominio de operaciones militares debe responder a características diferenciales que tienen como objetivos (1) operar en él, (2) no estar completamente incluido en otro dominio, (3) implicar la actuación de fuerzas de los bandos, (4) ejercer el control sobre el oponente, (5) impulsar la sinergia con otros dominios, y (6) proporcionar la oportunidad de generar desequilibrios con otros dominios.

Foto de Reuters, vista en El Confidencial

Utilizando esta definición, resulta evidente que la transformación digital de la sociedad ha traído consigo un 5º dominio de acción que se ha convertido en un nuevo entorno de operaciones militares, tanto ofensivas como defensivas. Un entorno al que se ha denominado ciberespacio.

Reglas en el ciberespacio

En este nuevo ‘campo de batalla’ el control del entorno se hace casi inabordable. Cada cinco años nos encontramos con que los equipos en red se multiplican por tres. Equipos que interactúan unos con otros ampliando sus límites. De facto, se estima que para el año 2040 el número de elementos interconectados superará los 5.000 millones a nivel mundial.

Desde la perspectiva militar, una particularidad de este dominio es que menudo se desconoce cuál es el adversario, no existen alertas previas, los engaños y señuelos son más sencillos de desplegar y la gestión de las amenazas resulta compleja —más aún cuando las acciones que podrían anticipar un ataque se muestran ambiguas.

Nuevo certificado SSL fraudulento de Google renueva las dudas sobre los certificados

"Hace algunos meses, un hacker iraní se infiltró en los servidores de la empresa Comodo, dedicada a vender certificados SSL, creándose una serie de certificados fraudulentos que le permitían hacerse pasar por sitios como Gmail, Hotmail, Yahoo y otros, e infiltrarse en las cuentas de correo de los usuarios, por ejemplo". Por Cony Sturm para FayerWayer.

Post relacionado:

• Se detecta otro certificado falso de Google, 30/08/2011

(CC)Creative Commons

Sobre los ciberataques a la Casa Blanca y a las empresas estadounidenses

Recientemente, según una nota del diario The Washington Post, ciberatacantes accedieron a la red EOP (Executive Office of the President), utilizada por personal de la oficina ejecutiva del presidente de Estados Unidos y con la que se maneja información no clasificada.

Según el diario The Washington Post, el ataque encaja con el tipo de acciones promovidas por algunos estados y Rusia es uno de los que presenta una amenaza más probable.

Rusia, ¿detrás de los ataques cibernéticos a Estados Unidos?
Por José Pagliery para CNN

NUEVA YORK (CNNExpansión) — Es fácil decir que los rusos están hackeando a la Casa Blanca y a las principales empresas estadounidenses. Es más difícil demostrarlo.

Cuando las empresas de seguridad cibernética y los funcionarios de Estados Unidos atribuyen los ataques al Gobierno de Rusia -o a hackers independientes que operan con la aprobación del Kremlin- la evidencia típica que utilizan es bastante circunstancial: un virus informático fue escrito en ruso, fue creado durante horas laborales de Moscú contra objeivos antirrusos.

Pero el mundo digital no es como el físico. La evidencia física rara vez existe.

Los hackers permanecen anónimos enmascarando su ubicación, rebotando sus señales de computadora alrededor del mundo. Los hackers que hablan un idioma pueden escribir código malicioso en otro. Y habitualmente trabajan en horas irregulares de todos modos.

“Son solamente indicadores. Nunca se sabe a ciencia cierta”, dijo Rick Howard, director de seguridad de la firma de seguridad cibernética Palo Alto Networks. “No habrá una prueba irrefutable".

Sin embargo, Rusia fue culpado recientemente de hackear a JPMorgan, de atacar empresas de petróleo y gas, y de colocar una “bomba digital” en el Nasdaq.

C. Thomas, un hacker de toda la vida conocido como 'Rogue Space' quien ha testificado ante el Congreso sobre la seguridad informática, advierte en contra de llegar a conclusiones inquebrantables.

“La atribución es casi imposible de hacer”, dijo. “Cualquier cosa puede ser falsificada. Las personas que hacen estas cosas para ganarse la vida -y cuyas vidas dependen de ello- falsificarán esas cosas”.

Por ejemplo, ciberespías estadounidenses, británicos, franceses, israelíes y rusos han sido conocidos por dejar señuelos que hacen que los ataques parezcan provenir de otro lugar, de acuerdo con varios expertos en seguridad cibernética con experiencia militar relacionada. Solamente los hackers chinos tienen la reputación de ser obvios de manera descuidada. El director del FBI James Comey recientemente comparó a los hackers chinos con un “ladrón borracho”.

Incluso la Agencia de Seguridad Nacional de Estados Unidos (NSA, por sus siglas en inglés) tiene dificultades para identificar a los atacantes. Por ejemplo, el presidente Barack Obama no obtuvo respuestas por parte de los principales asesores de inteligencia cuando preguntó quién hackeó a JPMorgan, de acuerdo con The New York Times.

Entonces, ¿cómo saber quién realiza los ataques cibernéticos? Se requiere de forenses muy cuidadosos.

Identificar a los arquitectos

Los ataques cibernéticos utilizan el software como un arma. Es construido pieza por pieza, como una bomba. Y al igual que la escena del crimen, los analistas de seguridad separan fragmentos para desenmascarar a los fabricantes.

El truco promedio se basa en gran medida en herramientas “off-the-shelf” que están comúnmente disponibles en los rincones más oscuros de Internet, según los analistas. Pero introducirte en una red informática en particular requiere de algunas herramientas personalizadas. Los grupos de hackers tienden a tener un estilo particular al crear sumalware, el cual los identifica.

Considerar el momento del ataque

Poco después de que Estados Unidos impuso sanciones a Rusia por su agresión en Ucrania, los bancos estadounidenses y europeos fueron golpeados por una ola sin precedentes de ataques cibernéticos.

La firma de ciberseguridad Trend Micro, que supervisa una red de detección inteligente de casi 110 millones de dispositivos, vio su red encenderse como pólvora el 24 de julio.

“Hubo una oleada de cientos de miles de ataques que sólo estuvieron dirigidos contra instituciones financieras”, dijo Tom Kellerman, jefe de ciberseguridad de Trend Micro. “Y no sólo por uno o dos equipos de hackers, sino por docenas de ellos”.

Analizar las víctimas

Los amigos no atacan a los amigos.

Por ejemplo, Kellerman dijo: “Los hackers chinos no hackean a los bancos. Los chinos poseen el sector financiero. No hackeas bancos de tu propiedad. No tiene sentido geopolítico...”.

En otro caso, que involucró al grupo de hackers 'SandWorm Team', identificado por la firma de inteligencia iSight Partners, los objetivos incluyeron al Gobierno de Ucrania y a un académico estadounidense que realizaba consultorías sobre el conflicto de Ucrania. El denominador común: todos eran considerados hostiles a Rusia.

El cebo utilizado para hackearlos importa demasiado. Los empleados del Gobierno de Ucrania fueron atraídos para descargar un PowerPoint que afirmaba ser una lista de separatistas prorrusos.

Seguir tu instinto

Sin embargo, al final, culpar a Rusia por un ataque cibernético es hacer una apuesta: Nadie iría tan lejos como para crear un señuelo tan convincente. La explicación más simple es la más probable, dijo Dave Aitel del proveedor de software de seguridad Immunity.

Por lo tanto, siempre es una suposición -una muy buena conjetura- pero sigue siendo una conjetura. / Por José Pagliery para CNN.--

---.---

Captura de pantalla del mapa de NORSE

La firma de seguridad informática con sede en EE.UU. NORSE, lanzò un mapa animado en tiempo real que ilustra los ataques cibernéticos en curso en todo el mundo. En el momento de la captura de pantalla, Estados Unidos estaba recibiendo cinco mil ataques de múltiples regiones del mundo.

CyberWar: Ciberataque a Australia

Australia, bajo un ciberataque masivo: su primer ministro sospecha de un estado extranjero.

Publicado por Infobae con información de AFP y Reuters.

"Actualmente, hay organizaciones australianas que están siendo blanco [de un ataque] de un actor estatal sofisticado", declaró Scott Morrison en una rueda de prensa en Canberra

El primer ministro de Australia, Scott Morrison, indicó en la mañana del viernes (hora local) que el país es víctima de un amplio ciberataque de un “actor estatal” extranjero que actuó contra los sistemas informáticos del gobierno, administraciones y empresas.

“Actualmente, hay organizaciones australianas que están siendo blanco [de un ataque] de un actor estatal sofisticado”, declaró Scott Morrison en una rueda de prensa en Canberra, precisando que el ataque afectaba a “organizaciones australianas de toda una gama de sectores, a todos los niveles del gobierno, de la economía, de organizaciones políticas, de los servicios de salud y de otros operadores de infraestructuras estratégicas”.

El mandatario dijo que los expertos cibernéticos del Gobierno identificaron que se trata de un actor cibernético estatal “por la escala y la naturaleza del objetivo y el oficio utilizado”. “No hay un gran número de actores estatales que puedan participar en este tipo de actividad”, indicó. Sin embargo, no especificó qué actor extranjero puede ser.

Morrison sostuvo que no sacan a la luz este tema “para despertar preocupaciones en la mente del público, sino para concientizarlo”. Detalló, además, que aunque la amenaza era constante, la frecuencia de los ataques aumentó en los últimos meses.

Pese a la magnitud del ataque, el primer ministro australiano enfatizó que no hay evidencia de una violación “a gran escala” que afecte la información personal de las personas y que muchos de los ataques no tuvieron éxito.

“No son riesgos nuevos, pero son riesgos específicos”, dijo, instando a las empresas e instituciones australianas a protegerse. Y añadió: “Alentamos a las organizaciones, en particular a las de la salud, las infraestructuras críticas y los servicios esenciales, a que acepten el asesoramiento de expertos y pongan en marcha defensas técnicas”. Es probable que esa advertencia haga saltar las alarmas, ya que las instalaciones médicas del país, que ya están en crisis debido a la pandemia del coronavirus, podrían sufrir más presión.

Se sabe que China, Irán, Israel, Corea del Norte, Rusia, Estados Unidos y varios países europeos han desarrollado capacidades de guerra cibernética.

Sin embargo, es probable que las sospechas recaigan sobre Beijing, que recientemente ha impuesto sanciones comerciales a los productos australianos en medio de una creciente disputa por la influencia china.

Australia enfureció a China al pedir que se investigara el origen de la pandemia de coronavirus y acusar al gigante asiático de alimentar un virus “infodémico” y de ejercer “coacción” económica.

China, cada vez menos dispuesta a tolerar las críticas a sus políticas exteriores más agresivas, ha advertido a sus estudiantes y turistas de que no vayan a Australia, ha amenazado con más sanciones y ha condenado a un ciudadano australiano a muerte por tráfico de drogas.

Morrison dijo que había notificado los ciberataques al líder de la oposición y a los líderes del Estado, a los que calificó de “maliciosos”.

Por su parte, la agencia Reuters informó tiempo atrás que Canberra había determinado en marzo del año pasado que China era responsable de un ataque de piratería a contra el parlamento australiano. El país oceánico, no obstante, nunca hizo públicas esas sospechas, pese a que Beijing negó los trascendidos. / Publicado por Infobae con información de AFP y Reuters.-

---.---

Cómo fue el ciberataque que golpeó a empresas, escuelas y hospitales en Australia.

Publicado por Infobae.

Según la prensa inglesa hay entre diez y 15 gobiernos que podrían estar detrás del ataque, incluidos Rusia, China, Irán y Corea del Norte.

El primer ministro de Australia, Scott Morrison, dijo que los expertos cibernéticos del Gobierno identificaron que se trata de un actor cibernético estatal “por la escala y la naturaleza del objetivo y el oficio utilizado”.

El mandatario no nombró a ningún sospechoso, pero dijo que “no hay un gran número” de países que puedan llevar a cabo operaciones cibernéticas tan masivas.

Sin embargo, el experto en cibernética y director de negocios estratégicos de Forcepoint, Nick Savvides, dijo en una entrevista en Australia al medio británico Daily Mail, que hay entre diez y 15 gobiernos que podrían estar detrás del ataque, incluidos Rusia, China, Irán y Corea del Norte.

“Los hackers pueden hacer que las operaciones parezcan venir de otro estado imitando a otro actor estatal” aseguró Savvides, luego agregó que “para algunos puede parecer que Scott Morrison está tratando de dejar de nombrar a un sospechoso, pero simpatizo con él...estamos en un clima geopolítico elevado, por lo que querrá estar absolutamente seguro y tener evidencia que pueda declarar públicamente antes de nombrar a alguien”.

El primer ministro dijo que las investigaciones hasta el momento no han arrojado que se hayan filtrado datos personales.

Dijo que “muchas” entidades han sido atacadas, pero el éxito de los ataques ha sido “menos significativo”.

Savvides dijo que el Primer Ministro había usado un “lenguaje muy poderoso” al declarar que el ataque fue de un estado y que las actuales tensiones comerciales con China pueden hacer que la gente crea que el ataque fue ordenado por Beijing, pero otro gobierno podría estar aprovechando esto para salirse con la suya.

Para el experto en cibernéutica la motivación para un ciberataque puede ser afianzarse en los sistemas de un enemigo para cerrar escuelas, hospitales e industrias clave en caso de guerra.

A pesar de las declaraciones del Primer Ministro, la inteligencia nacional australiana ya ha concluido que China se encuentra detrás de este ataque.

LOS ACONTECIMIENTOS

En febrero de 2019, Australia reveló que los piratas informáticos habían violado la red del parlamento nacional australiano. Morrison dijo en ese momento que el ataque era “sofisticado” y probablemente llevado a cabo por un gobierno extranjero. No nombró a ningún gobierno sospechoso de estar involucrado.

Cuando se descubrió el ataque, el presidente de la Cámara de Representantes y el presidente del Senado dijeron a los legisladores australianos y a su personal que cambiaran urgentemente sus contraseñas, según una declaración parlamentaria de la época.

La investigación de la ASD estableció rápidamente que los hackers también habían accedido a las redes del gobernante partido Liberal, su socio de coalición -el partido Nacional- y el opositor partido Laborista, dijeron dos de las fuentes.

El momento en que se produjo el ataque, tres meses antes de las elecciones de Australia, y después del ciberataque al Partido Demócrata de EEUU antes de las elecciones de 2016 en EEUU, había suscitado preocupaciones de injerencia electoral, pero no había indicios de que la información reunida por los piratas informáticos se utilizara de ninguna manera, dijo una de las fuentes.

Morrison y su coalición Liberal-Nacional ganaron por poco las elecciones de mayo, un resultado que Morrison describió como un “milagro”.

El ataque a los partidos políticos dio a sus autores acceso a documentos sobre temas como impuestos y política exterior, y correspondencia privada por correo electrónico entre los legisladores, su personal y otros ciudadanos, dijeron dos fuentes. Los miembros independientes del parlamento y otros partidos políticos no se vieron afectados, dijo una de esas fuentes.

Los investigadores australianos encontraron que el atacante utilizó códigos y técnicas que se sabe fueron utilizadas por China en el pasado, según las dos fuentes. La inteligencia australiana también determinó que los partidos políticos del país eran un objetivo del espionaje de Beijing, añadieron, sin especificar ningún otro incidente.

Los atacantes utilizaron técnicas sofisticadas para tratar de ocultar su acceso y su identidad, dijo una de las personas, sin dar detalles. Las conclusiones del informe también se compartieron con al menos dos aliados, los Estados Unidos y el Reino Unido, dijeron cuatro personas familiarizadas con la investigación. El Reino Unido envió un pequeño equipo de expertos cibernéticos a Canberra para ayudar a investigar el ataque, tres de esas personas dijeron.

¿CÓMO SE LLEVAN A CABO LOS ATAQUES?

El Centro de Seguridad Cibernética de Australia identificó al actor utilizando diversas técnicas que en inglés se les denomina como de spearphishing, para pescar ciertos accesos en la web.

Esta técnica engancha los enlaces a sitios web de obtención de datos como correos electrónicos con enlaces a archivos maliciosos, o con el archivo malicioso directamente adjunto, enlaces que solicitan a los usuarios que otorguen tokens al actor.

"Hackear" un avión comercial desde el sistema de entretenimiento es muy difícil

Desde hace un mes que venimos leyendo noticias, y comentado en éste blog, sobre la posibilidad de los ataques cibernéticos a los aviones, que dicho sea de paso ya se ha instalado como otro de los miedos que tiene la gente a volar, aunque, y repito, los expertos están señalando que representan un riesgo menor.

Como han señalado las noticias, que replique aquí, recientemente "el gobierno de Estados Unidos le solicitó a su Oficina de Fiscalización Superior (GAO, por sus siglas en inglés) que realizara una auditoría de las amenazas latentes para el sector aéreo. Y los expertos concluyeron que los servicios de wi-fi en pleno vuelo podrían terminar abriéndole una puerta a ataques terroristas". Según los expertos, no sería fácil, en realidad muy difícil, pero podría pasar.

United business class sleeper seats (B767). Foto de Matt Blaze en Flickr
 in-flight entertainment system

En éstos días surgió la noticia, tras la detención, al bajar de un avión, del investigador en seguridad Chris Roberts, que según el FBI, "habría intentado manipular los sistemas informáticos de los aviones en los que viajaba al menos en 20 ocasiones y en una de ellas habría conseguido mandar comandos y mover uno de los motores".

El agente especial del FBI, Marcos Hurley escribió en su reporte, que Roberts declaró que "él utilizó el software para monitorear el tráfico desde el sistema de cabina". La publicación especializada Wired, accedió y ha publicado ese reporte, que se puede bajar en formato pdf desde una nota en su website. 

La información publicada señala que Roberts declaró que pudo acceder al sistema del avión a través del SEB, un sistema de acceso para los pasajeros destinado al entretenimiento. Es más, el mismo Roberts publicó por Twitter que tenía parte del sistema bajo control, además de mofarse del hecho.

Cabe destacar que la constructora aeronáutica, del avión Boeing, niega el hecho, es más, considera una incursión pirata a los sistemas internos de sus aviones como algo "imposible". Sin embargo, se ha informado que United Airlines lanzó un premio para que todos los "hackers" que descubran vulnerabilidades en sus sistemas de seguridad, reciban un millón de millas que pueden ser canjeadas por billetes de la compañía.

Pero no pocos dudan, y buena parte de ellos se consultan ¿hasta donde ha tenido el control? si es que lo tuvo. Y todo es materia de investigación.

A continuación les recomiendo dos interesantes notas que apuntan a que Roberts no pudo acceder tanto como se dice que declaró.

• Hackers, aviones y FBI: no alimentemos la paranoia. - "A pesar de que existe un punto de interconexión en el que coinciden ambos sistemas (entre muchos otros como la conexión por satélite, tal y como analizó Rubén Santamarta en la pasada edición de BlackHat USA) hay algo que parece que no se está tomando en consideración. Esto es que los sistemas de control de un avión son sistemas propietarios que nada tienen que ver con los que estamos acostumbrados a ver. Un supuesto atacante con su portátil conectado al sistema de entretenimiento del avión poco podría hacer ante el sistema de control, puesto que, para empezar, no sería capaz de lanzar ningún comando". Por Josep Albors publicado en Welivesecurity / ESET.-

• Aviation experts dispute hacker’s claim he seized control of airliner mid-flight. - "Peter Lemme, chairman of the Ku and Ka satellite communications standards told industry blog Runway Girl Network: “The claim that the thrust management system mode was changed without a command from the pilot through the mode control panel, or while coupled to the flight management system is inconceivable”. He added that the links between the entertainment system and flight control systems “are not not capable of changing automatic flight control modes”." Por Samuel Gibbs publicado en Theguardian Technology.-

Post Relacionado:

• Advierten sobre riesgos de ciberataques vía Internet a los aviones comerciales. 20/04/2015.

Se realizó la EkoParty, demostraron que nada es enteramente seguro

Hace unos días, entre el 27 y 29 de Septiembre se realizó en la Ciudad de Buenos Aíres la la 13ra edición de EkoParty. La cita fue en el Centro Cultural Kónex y reunió a muchísima gente "especial", hackers en su mayoría, auditores de sistemas especializados en seguridad. Seguramente también estuvieron los "bad boys", crackers que en nada bueno andan. Éstos eventos son así, juntan a todos, a los buenos, a los malos y a los feos.

Foto de pantalla

En este evento, asistentes, invitados, especialistas y referentes en la materia de todo el mundo, tuvieron la oportunidad de involucrarse con las más recientes innovaciones tecnológicas, vulnerabilidades y herramientas. Las charlas se tradujeron en simultáneo y se puedo escuchar en español e inglés.

Se cuenta que hubo trainings, charlas, juegos, desafíos y premios. En el website del evento anticipaban wargames defendiendo tu territorio, aperturas de cerraduras, diferentes tecnologías, armado de antenas. Participantes han contado que entre lo tratado no faltó el acceso a los sistemas de las tarjetas de crédito y el "phishing" para pescar accesos a sistemas bancarios. Hubo casi de todo y los afters para compartir unas cervezas entre todos.

"Bajo el título “Rusos, chinos, y todos los que se vengan” se abordaron temas sobre espionaje, robo de código fuente, violación a la propiedad intelectual, filtración de cuentas de usuario y extorsión a servicios de inteligencia, embajadas, milicia y proveedores de infraestructura crítica. Mientras que Dmitry Chastuhin experimentó en vivo cómo un atacante puede lograr el acceso a los sistemas de las tarjetas de crédito" (Clarín).

También hubo recorridos por las calles de Buenos Aires para demostrar las potenciales vulnerabilidades de las redes Wi-Fi. Por ahí cuentan que no se salvaron ni las principales alarmas de autos que existen en el país.

"Para Robert Lipovsky, eslovaco e investigador de ESET, los ataques a sistemas críticos de control industrial, monitoreo de procesos, infraestructuras sensibles como controles en centrales nucleares o seguimiento de aviones, ya son una realidad y pueden ocurrir. En diciembre de 2016, por ejemplo, Ucrania tuvo un apagón de luz provocado por Industroyer, el primer malware específicamente diseñado para atacar plantas de energía. Sí, los malwares también son capaces de atacar servicios vitales como la energía, el gas y el agua" (La Nación).

Las vulnerabilidades de los sistemas de votación también fueron un tema tratado, se cuenta que se realizó una demostración similar a la realizada en feria de seguridad informática DefCon, en Estados Unidos, y mostraron cómo se pueden crackear los equipos. Dicho sea de paso, los políticos, los gobernantes, los legisladores y la justicia deberían seriamente pensar en la boleta única en papel. Digo, una opinión personal.

La Ekoparty es considerada la cumbre hacker más importante de la región, estuvieron destacados investigadores del Mundo. Las charlas y talleres sobre voto electrónico, hackeo de autos y robots, mecanismos de espionaje y fallas en criptomonedas y muchos otros tips de ciberseguridad aportaron información muy importante para estados, gobiernos, entidades y personas que entienden que la ciberseguridad es una temática de importancia y que no debe ser tomada a la ligera e irresponsablemente.

___________________

NOTA: Las cookies de este sitio se usan para personalizar el contenido y los anuncios, para ofrecer funciones de medios sociales y para analizar el tráfico. Además, compartimos información sobre el uso que haga del sitio web con nuestros partners de medios sociales, de publicidad y de análisis web. Ver detalles.

IMPORTANTE: Todas las publicaciones son sin fines comerciales ni económicos. Todos los textos de mi autoría tienen ©todos los derechos reservados. Los contenidos en los link (vínculos) de las notas replicadas (reproducidas) y/o citadas son de exclusiva responsabilidad de sus autores. Éste blog ni su autor tienen responsabilidad alguna por contenidos ajenos.

Para consumidores y ofertantes

La mayoría de los usuarios de los servicios en este país estamos, en lineas generales, molestos por la "calidad" con que en la practica se ofrecen, esto es un hecho indiscutible.

Atento a ello, la periodista Daniela Hacker lanza su blog Noticias de Consumo. Un blog dirigido a periodistas, funcionarios, asociaciones, empresas y, principalmente, a todos los consumidores y usuarios. El objetivo es difundir los derechos del consumidor y guiar, a quienes lo necesiten, por el camino de los reclamos.

Visto en Dutto Relaciones Públicas

Cyberwar: En EE.UU. acusan a China como origen de los ciberataques

El diario The New York Times (NYT) informó en una extensa nota que firma de seguridad Mandiant indicó que la mayoría de ataques cibernéticos a los Estados Unidos proviene de un edificio ubicado en Shanghai. Se trataría de una torre de oficinas de 12 pisos ubicada a las afueras de Shanghai, y desde allí se habrían realizado gran parte de los ataques cibernéticos contra Estados Unidos, "un enclave que apunta directamente al ejército chino" que denominan Unit 61398.

El NYT informó que contrató a la firma de seguridad Mandiant para llevar a cabo la investigación, y la empresa presentó un extenso informe de 60 páginas donde dice que ha identificado a Unit 61398, perteneciente al Ejército de Liberación del Pueblo, como responsable de un ataque sostenido contra una importante cantidad de corporaciones estadounidenses, agencias gubernamentales y organizaciones del país. El NYT "asegura que un grupo de ctackers, al que identifica como APT-1, cuenta con el `apoyo directo del Gobierno´ chino para perpetrar una `amplia campaña de espionaje´ cibernético a largo plazo".

"La naturaleza del trabajo de la Unit 61398 es considerada por China como secreto de estado, sin embargo, creemos que está comprometida en operaciones de redes informáticas dañinas", dijo Mandiant en el informe, que además indicó que "Unit 61398 tiene su sede en el distrito Pudong de Shanghái, refugio económico y bancario de China, y tiene miles de trabajadores que hablan inglés y que además están especializados en programación informática y operaciones de redes".

Según Mandiant en la unidad habría "cientos de terabytes de datos de al menos 141 organizaciones de una serie de industrias desde 2006". La mayoría de las víctimas estaban en Estados Unidos y un número más bajo en Canadá y Reino Unido. La información robada estaría relacionada con detalles sobre fusiones y adquisiciones remitidos en correos electrónicos de directivos.

A partir de éste "descubrimiento", hay opiniones que pronostican que se elevará más la temperatura en las "ciberguerras" intergubernamentales, que se vienen dando en los últimos años.

Rik Ferguson, un alto ejecutivo de la empresa de seguridad Trend Micro, a The Guardian: "Este es un informe muy convincente, con evidencias recogidas a lo largo de un período prolongado de tiempo Apunta muy fuertemente a la participación del mercado chino.

Notas relacionadas:

• Chinese Army Unit Is Seen as Tied to Hacking Against U.S..- "On the outskirts of Shanghai, in a run-down neighborhood dominated by a 12-story white office tower, sits a People’s Liberation Army base for China’s growing corps of cyberwarriors. The building off Datong Road, surrounded by restaurants, massage parlors and a wine importer, is the headquarters of P.L.A. Unit 61398. A growing body of digital forensic evidence — confirmed by American intelligence officials who say they have tapped into the activity of the army unit for years — leaves little doubt that an overwhelming percentage of the attacks on American corporations, organizations and government agencies originate in and around the white tower". Por David E. Sanger, David Barboza y Nicole Perlroth para The New York Times.
• China 'aiding hacker attacks on west'.- "Study claims military unit based in Shanghai has stolen vast amounts of data from companies and defence groups. The Chinese army has launched hundreds of cyber-attacks aganist western companies and defence groups from a nondescript office building in Shanghai, according to a new report that warns hackers have stolen vast amounts of data from their targets". Por Charles Arthur para The Guardian.

Software de seguridad, ¿enemigo intimo?

El software antivirus puede convertirse en una herramienta de espionaje con facilidad.
Por Nicole Perlroth, publicado por The New York Times.

Es un secreto conocido desde hace mucho por las agencias de inteligencia —pero rara vez revelado a los consumidores— que el software de seguridad puede ser una poderosa herramienta de espionaje.

Imagen de Jorge S. King ©Todos los derechos reservados

El software de seguridad está más cerca de las partes esenciales de una computadora y tiene acceso privilegiado a casi todos los programas, aplicaciones, exploradores web, correos electrónicos y archivos. Hay una muy buena razón para esto: los productos de seguridad tienen el propósito de evaluar todo lo que toca tu máquina en búsqueda de cualquier programa maligno o incluso vagamente sospechoso.

Al descargar el software de seguridad, los consumidores también corren el riesgo de que un fabricante de antivirus poco confiable —o un ciberatacante o espía con acceso a su sistema— pueda abusar de ese acceso profundo para dar seguimiento a todos los movimientos digitales de los clientes.

“En la batalla contra el código malicioso, los productos antivirus son básicos”, dijo Patrick Wardle, investigador en jefe en Digita Security, una empresa de seguridad. “Irónicamente, estos productos comparten muchas características con los implantes avanzados de ciberespionaje de recolección que buscan detectar”.

Wardle lo sabe, pues es un antiguo hacker de la Agencia de Seguridad Nacional (NSA, por su sigla en inglés) y hace poco logró subvertir un software de antivirus que vende Kaspersky Lab, y lo convirtió en una poderosa herramienta de búsqueda para documentos clasificados.

La curiosidad de Wardle aumentó con las noticias recientes de que espías rusos habían utilizado los productos antivirus de Kaspersky para extraer documentos clasificados de la computadora personal de un desarrollador de la NSA y pudieron haber desempeñado un papel esencial en una recolección rusa de inteligencia más extensa.

Durante años, las agencias de inteligencia sospecharon que los productos de seguridad de Kaspersky ofrecían una puerta trasera de entrada para la inteligencia rusa. Un borrador de un informe ultrasecreto filtrado por Edward Snowden, el antiguo contratista de la NSA, describió una iniciativa ultrasecreta de la NSA en 2008 que concluyó que el software de Kaspersky recolectaba información delicada de las máquinas de los clientes.

Los documentos mostraron que Kaspersky no fue el único blanco de la NSA. Sus siguientes blancos incluyeron casi dos decenas de fabricantes extranjeros de antivirus, entre ellos Checkpoint de Israel y Avast de la República Checa.

En la NSA, los analistas tenían prohibido utilizar el software antivirus de Kaspersky debido al riesgo de darle al Kremlin acceso extendido a sus máquinas y datos. Sin embargo, con la excepción de la sede de la NSA en Fort Meade, Kaspersky logró asegurar contratos con casi dos decenas de agencias gubernamentales en Estados Unidos a lo largo de los últimos años.

En septiembre, el Departamento de Seguridad Nacional les ordenó a todas las agencias federales que dejaran de utilizar los productos de Kaspersky debido a la amenaza de que “proporcionaran acceso a archivos”.