Actualicen Flash de una vez (II)

Un mes atrás publiqué un post sobre una vulnerabilidad en el Adobe Flash Player, que requería de actualización a la nueva versión del mismo (9.0.124) al fin de evitarla.

Dicho agujero de seguridad comenzó a ser explotado abiertamente para distribuir malware, tal como se puede ver en los siguientes enlaces al blog del investigador Dancho Danchev:

http://ddanchev.blogspot.com/2008/05/malware-attack-exploiting-flash-zero.html
http://ddanchev.blogspot.com/2008/06/fake-youtube-site-serving-flash.html

En aquel momento, aproximadamente un mes después de que la nueva versión de Flash estuviera disponible, solamente un 35 % de los visitantes a este blog estaban actualizados a la misma y, por ende, protegidos contra los exploits de dicho agujero de seguridad.

Hoy volví a revisar las estadísticas y me encuentro con que solamente el 55 % de los visitantes a este blog durante la semana pasada tienen la versión 9.0.124 del Adobe Flash Player (la más actual), por lo que el 45 % de los mismos son vulnerables a los códigos maliciosos que aprovechan agujeros de seguridad en versiones anteriores, y se comentan en los posts de más arriba.

Si te interesa la seguridad de tu equipo, revisá la herramienta de chequeo automático de la versión de Adobe Flash Player que preparé y está disponible en este blog. Podrás encontrarla en la parte derecha de esta página, o haciendo click aquí.

Mantener actualizado tu equipo es una de las cuestiones básicas para mantenerlo seguro.

“is”

Confirmado: Algunos resultados de Google Safe Browsing son muy raros y la herramienta no es confiable

Desde el domingo pasado vengo siguiendo los resultados que la herramienta Google Safe Browsing da del dominio google.com.

Primero llamaba poderosamente la atención el hecho de que Safe Browsing detectará algunas cosas en google.com, como marqué en este post:ç

> Google 1 – Yahoo 0 (según Google Safe Browsing)
http://virusattack.blogspot.com/2008/07/google-1-yahoo-0-segn-google-safe.html

Dos días, Safe Browsing ya no detectaba nada en el dominio google.com, lo cuál me pareció muy raro, y dejé mis sensaciones en este post:

> ¿Google 0 – Yahoo 0?
http://virusattack.blogspot.com/2008/07/google-0-yahoo-0.html

El viernes volví a revisar los resultados, y otra vez Safe Browsing detectaba ciertas cosas en el dominio google.com, diferentes a las detectadas en la primera ocasión:

> Si, Google 1 – Yahoo 0
http://virusattack.blogspot.com/2008/07/si-google-1-yahoo-0.html

Y ahora, estos son los resultados de hoy:

Comparando entre los resultados de hoy, y los del viernes, hay un cambio muy raro en la última pregunta “Has this site hosted malware?” (“¿Ha alojado malware este sitio?”). El viernes, el resultado era positivo (con el dominio kst83.com) y hoy, el resultado es negativo.

En teoría, Google Safe Browsing reporta lo encontrado en los últimos 90 días, pero si el martes no reportaba nada, el viernes sí y hoy de vuelta no, ¿qué ha pasado?

Sinceramente, estas inconsistencias sobre los reportes del dominio google.com demuestran claramente que la herramienta Google Safe Browsing, así como está actualmente no es confiable, y sus resultados varían sin explicación aparente, demostrando que aún le queda demasiado por mejorar que podamos usarla para determinar si un sitio es potencialmente dañino para sus visitantes o no.

El problema es que Google ya la está utilizando activamente en los resultados de sus búsquedas y con lo demostrado aquí, podría estar previniendo visitas a ciertos sitios, reportando que los mismos son maliciosos, cuando quizás, se trate de un error de la herramienta. Con lo visto, yo pensaría varias veces antes de confiar en los resultados de Google Safe Browsing.

"is"

¿Por dónde ingresa el malware a tu sistema? Mensajería instantánea (Anexo IIb)

En la última entrada relacionada, revisamos las formas en que el malware puede ingresar a nuestro sistema a través del correo electrónico.

Ahora, vamos a hablar de otra forma que es bastante utilizada por estos lados, y es la mensajería instantánea. Así como el correo electrónico es una herramienta con la que no podríamos aprovechar realmente Internet, la mensajería instantánea, a través de Windows Live Messenger, Yahoo! Messenger, Gtalk, AIM, etc., ha probado ser una excelente forma de ir un paso más allá del email, y permitir comunicación sencilla, rápida y directa con amigos y colegas de cualquier parte del mundo.

Dada su masividad, desde hace tiempo es uno de los vectores de distribución de malware más utilizados.

Básicamente, hay tres formas por las que nos puede llegar malware a través de estos mensajeros instantáneos, las cuales repasaré a continuación.

Envío de archivos

La mayoría de estos mensajeros instantáneos permiten intercambiar archivos entre contactos. En un uso normal, estos archivos suelen ser documentos, fotografías, animaciones y cualquier otra cosa que una persona crea interesante compartir con sus contactos.

Sin embargo, usuarios maliciosos aprovechan la confianza que le pueden tener sus contactos para distribuir malware, tales como troyanos de puerta trasera, entre sus contactos, a fin de poder obtener luego información de sus sistemas.

También existe malware que cuando infecta un sistema, aprovecha los mensajeros instantáneos instalados, para enviar automáticamente algún gusano de internet a todos los contactos del usuario afectado.

Si aceptamos la transferencia de dichos archivos, normalmente ejecutables (.exe) o comprimidos (.zip) y los abrimos, nuestro equipo se verá afectado por algún malware.

Enlaces en mensajes

Dado que algunos mensajeros comenzaron a implementar controles sobre las transferencias de ciertos tipos de archivos, los creadores de malware y usuarios maliciosos comenzaron a utilizar otros trucos, tales como enviar un enlace a una página alojando malware en lugar de enviar directamente el archivo malicioso.

Normalmente, este enlace viene acompañado de algún mensaje de parte del usuario infectado, con el cual se intenta convencer al destinatario para que descargue y abra el archivo (cosas como “mirá las fotos de las últimas vacaciones”, o “¿te acuerdas cuando tenías el cabello así?”).

Respuesta automática

Otra forma que tienen los usuarios maliciosos es a través del robo de cuentas y la modificación de los mensajes de respuesta automáticos que tienen algunos de estos mensajeros instantáneos, tal como pasó en el caso comentado recientemente en este blog en “Homero Simpson no lee Virus Attack!”.

Vulnerabilidades

Todas las aplicaciones son potencialmente susceptibles a las vulnerabilidades y agujeros de seguridad, y obviamente, los mensajeros instantáneos no están exentos de ellas.

En el pasado se han encontrado distintas vulnerabilidades en mensajeros instantáneos que podían ser aprovechadas para distribuir código malicioso.

Aunque los casos han sido mínimos, esto no quita que no se haya dado en el pasado y no pueda volver a suceder en el futuro.

Conclusiones y Recomendaciones

La mayoría del malware que se distribuye automática o manualmente a través de los mensajeros instantáneos se basa en aprovechar la confianza que los usuarios tienen en las personas que están en su lista de contactos.

En base a eso, aunque el lenguaje y método puede variar, el objetivo es aprovechar técnicas de ingeniería social para que las potenciales víctimas caigan en la trampa.

Para evitar esto, es importante que quienes utilicen cualquier aplicación de mensajería instantánea, sigan estas recomendaciones:

• Mantener actualizado su sistema y mensajero instantáneo


• Tener instalado un antivirus y mantenerlo actualizado. Revisar todos los archivos recibidos con el antivirus.


• No aceptar archivos de sus contactos cuando estos no fueron solicitados. Primero corroborar si realmente la otra persona se los ha enviado y cuál es el objetivo del mismo. Si el archivo tiene una extensión ejecutable (p.e., .exe), no aceptarlo.


• No seguir enlaces a páginas web que no fueron solicitados. Primero corroborar si realmente la otra persona se los ha enviado y cuál es el objetivo del mismo.

Solo manteniendo una actitud preventiva ante este tipo de ataques, los usuarios podrán evitar infectarse por códigos maliciosos que se distribuyen a través de mensajeros instantáneos.

“is”

Si, Google 1 - Yahoo 0

Vuelvo al tema un poco más, porque los resultados volvieron a cambiar :-)

El domingo publiqué sobre cómo Google Safe Browsing detectaba que el dominio google.com “había infectado al menos 1 dominio, hoyem.org”. El martes, esta detección ya no aparecía más, lo cual levantó algunas suspicacias, y para ver qué había pasado, dejé un comentario en el blog de Matt Cutts, sin respuesta aún.

Hoy volví a probar el dominio Google.com en la herramienta Google Safe Browsing, y me mostró los siguientes resultados:



En español:

• El primer punto del análisis es algo confuso porque dice que no se ha encontrado contenido sospechoso en los últimos 90 días, pero que el software malicioso encontrado incluye 2 “scripting exploits”.
• El segundo punto comenta que google.com “parece haber sido intermediario para la infección de 2 sitios” en los últimos 90 días. Los sitios son xlovelygirls.com y ww36.com.
• El último punto dice que “Si, este sitio ha alojado software malicioso durante los últimos 90 días. Infectó 1 dominio, incluyendo kst83.com”.

Esta información no aparecía el martes, por lo que si se trata de algo real, debería aparecer así al menos por otros 88 días. Si se trata de un error, la herramienta Google Safe Browsing, es realmente poco confiable porque si comete errores con el propio Google, vaya uno a saber cuantos errores tiene sobre otros dominios.

Sería bueno que alguien de Google se pronuncie sobre el tema, pero tal y como pasó con las redirecciones, dudo que lo hagan.

Eso sí, lo que deja claro es que no se puede confiar en demasiado de lo que aparece en Internet, ni siquiera en las herramientas de Google :(

“is”

Thunderbird y sus no-actualizaciones

Hoy leo en el blog de Hispasec algo que se me había pasado por alto: la fundación Mozilla, responsable del navegador Firefox, y de otros proyectos como el cliente de correo Thunderbird, no viene actualizando este último tan frecuentamente como el navegador del zorrito.

Como bien dice Sergio de los Santos: "La fundación Mozilla ya avisó de que concentraría todos sus esfuerzos en el navegador Firefox, dejando un poco de lado a su hermano Thunderbird... el problema es que no se han relajado sólo en el desarrollo, sino también en cuestión de seguridad. Ambos programas comparten gran parte del código necesario para procesar y mostrar páginas web, por lo que los fallos de seguridad de uno, afectan de forma directa al otro. Si es posible ejecutar código al visitar una página con Firefox, es muy probable que también se pueda ejecutar código al visualizar un correo HTML en Thunderbird."

Firefox ya está por la versión 3.01, Thunderbird se ha quedado en la 2.0.0.14, con temas de seguridad no resueltos en su código, y que al ya conocerse porque han sido resueltos en Firefox, son incluso más fáciles de explotar.

Los problemas aquí se dan en que pese a eso, Thunderbird dirá que está actualizado a la última versión, lo cual no quiere decir que sea la más segura.

Las actualizaciones de Firefox de problemas críticos, en muchos casos pueden llegar a afectar a Thunderbird, dado que comparten funciones para el procesamiento de páginas web. Pero si se arreglan en uno y no en el otro, no solo el cliente de correo termina siendo más inseguro, sino que se termina sabiendo exactamente qué se corrigió, lo cuál facilita saber cómo explotarlo.

Si un proyecto de software libre y/o de código abierto deja de actualizarse y mantenerse, uno de sus mayores problemas es éste: los agujeros de seguridad que se pueden dar y que nunca serán resueltos. Ojo, esto también pasa con los software comerciales, la diferencia es lo que termina estando a la vista de todos: el código del programa.

"is"

¡Conseguí amigos y mucho spam!

El 20 de Julio próximo se celebra en Argentina el día del amigo, y un diario local no tuvo mejor idea que aprovechar el evento para crear una campaña pseudo-viral.

Lo interesante del caso es los desastres en materia de programación, seguridad y privacidad con que fue programado el sitio, y que comenta Cristian en su blog:

http://seguinfo.blogspot.com/2008/07/un-millon-de-amigos-y-de-errores.html

El sitio en cuestión se encuentra en la siguiente dirección:

http://www.amigos.lanacion.com.ar/

Problemas de seguridad y privacidad encontrados:

1. Pide datos de usuario y contraseña de tu mensajero instantáneo para hacerles llegar la invitación a tus amigos. Mi pregunta a quienes pusieron sus datos ahi: ¿saben qué pasa del otro lado con su usuario y contraseña? No es por desconfiar de La Nación, pero personas hay en todos lados y vaya uno a saber cómo se almacenan esos datos y quien (persona) tiene acceso a los mismo.
2. Publica en el sitio direcciones de correo electrónico: la delicia de cualquier spammer. Basta con ir copiando las que aparecen y linda base de datos se armarán para llenarnos las casillas de email con spam y más correo basura.

El día del amigo, quienes hayan puesto su correo ahí, lo van a pasar con la casilla llena de spam :-)

Nunca, jamás, never, ingresen sus datos de usuario y contraseña de cualquier servicio en otro sitio. No importa si es confiable o no, no importa si es lo que sea, no lo hagan. De lo contrario, nunca sabrán lo que pase con los mismos...

"is"

¿Google 0 - Yahoo 0?

El Domingo publicaba un post sobre los resultados publicados por la herramienta Google Safe Browsing respecto de los dominios principales de Google y Yahoo!. Hoy, paranoico que soy, se me dio por volver a revisar los resultados y me encuentro con que los dominios www.google.com y google.com ya no muestran lo mismo que había comentado días atrás. ¿WTF?

Google Safe Browsing solamente muestra los resultados de los últimos 90 días, por lo que pueden haber pasados tres cosas:

• La infección reportada en aquel momento por la herramienta es anterior a 90 días contados desde el día de hoy
• La infección reportada se trataba de un error y/o prueba, y la misma se ha corregido
• La información ha sido cambiada por otros aspectos (modo paranoico)

Me gustaría oír opiniones... porque para teorías, ya tengo demasiadas :)

PD: De paso, dejé un comentario en el blog de Matt Cutts, donde hablaban ayer de temas relacionados, para ver si él si sabe qué pasó :)

PD2: Lo interesante es que desde el Domingo 13 en que posteé esto, hay varios lugares más donde apareció (1 día después)...

PD3: No tengo nada personal con Google, es más, soy fan de muchas de sus cosas, pero esto, así como lo de las redirecciones, me hacen preguntar demasiadas cosas...