Corrupción de la memoria del kernel a través de Webroot SecureAnywhere

Un fallo en el software antivirus SecureAnywhere de Webroot permitiría a un usuario sin privilegios leer o escribir una dirección de memoria arbitraria.

El pasado 13 de septiembre, investigadores de Trustwave han descubierto una vulnerabilidad de corrupción de memoria en la versión de macOS de SecureAnywhere, el software antivirus desarrollado por la empresa Webroot.

La ausencia de control de acceso en uno de los procesos que se comunican con el driver del kernel de Webroot SecureAnywhere, permitirían la desreferencia de un puntero controlado por un usuario (sin privilegios) para leer y escribir en una dirección arbitraria.

La siguiente prueba de concepto publicada por Trustwave provocaría un ‘kernel panic’ al intentar escribir una dirección que no se encuentra actualmente en memoria:

PoC publicada por Trustwave

La vulnerabilidad ha sido corregida en la versión 9.0.8.34 de SecureAnywhere.

Más información:
 

Exploit basado en CSS puede bloquear tus dispositivos Apple

Se ha revelado la PoC que únicamente contiene unas pocas líneas de código CSS y HTML.

Sabri Haddouche es el nombre del investigador que ha descubierto este fallo. La prueba de concepto liberada fue colgada en Twitter y en su Github. Más allá de un simple bloqueo, la página web, si se visita, provoca un pánico en el kernel del dispositivo y un reinicio completo del sistema. 

Explicación del fallo:

El exploit aprovecha una debilidad en el motor de renderizado de Apple Webkit, que es utilizado por todas las aplicaciones y navegadores de la conocia marca. Dado que Webkit no cargaba correctamente varios elementos como etiquetas <div> dentro de una propiedad del filtro CSS, el investigador creó una web que utiliza todos los recursos del dispositivo, provocando el apagado y reinicio del mismo. 

Prueba de concepto:

Todos los navegadores que corren sobre iOS son vulnerables a este ataque. Por otro lado, los usuarios de Windows y Linux no se ven afectados por esta vulnerabilidad.

De momento no hay parche disponible contra este fallo, pero se presupone que Apple está investigando el problema.

Más información:
 

Descubierta aplicación anti-adware espiando a los usuarios de Mac

Una aplicación situada en el puesto número uno de las aplicaciones de pago de la AppStore cazada espiando a sus usuarios
Se trata de la aplicación “Adware Doctor”, esta aplicación está diseñada para proteger a sus usuarios de adware y malware e irónicamente ha sido descubierta robando el historial de navegación de los usuarios sin su consentimiento y enviándolo a servidores localizados en China.
AdwareDoctor
Fuente: thehackernews.com
El investigador de seguridad ‘@privacyis1st’ detectó un comportamiento sospechoso de spyware en la aplicación antes citada y le reportó los resultados de la investigación a Apple junto con la prueba de concepto de este incidente, pero la aplicación seguía siendo hospedada por el famoso market.
Una investigación más exhaustiva de la aplicación desveló que elude el entorno de ‘Sandboxing’ presente en la ejecución de cada aplicación dentro del sistema operativo del gigante tecnológico. Lo cual conlleva a una violación de los acuerdos de desarrollo de aplicaciones.
Los datos obtenidos por la aplicación son principalmente todos los sitios web que el usuario haya visitado por los navegadores más famosos (Google Chrome, Firefox, Safari) y los envía a servidores chinos (hxxp://yelabapp.com) que está a cargo de los creadores de la aplicación. La aplicación se salta la protección de sandboxing y accede a estos datos, comprimiéndolos para posteriormente mandarlos al servidor a través de ‘sendPostRequestWithSuffix’.
Esta aplicación tiene más historia detrás antes podíamos encontrarla con el nombre de ‘Adware Medic’, que era una aplicación que simulaba ser otra llamada AdwareMedic. Se marcó como falsa con la ayuda de MalwareBytes y se eliminó de la AppStore, pero luego apareció Adware Doctor y se convirtió en la mejor aplicación de pago de la AppStore.
Dado que la aplicación viola flagrantemente los términos y condiciones del market de aplicaciones recopilando datos de los usuarios sin su consentimiento y saltándose las protecciones de sandboxing presentes se le comunicó a Apple el incidente, esta comunicación se lleva a cabo hace algunas semanas, pero la compañía aún no ha hecho nada al respecto.

Fue después cuando la información se hizo pública cuando Apple tomó cartas en el asunto y la aplicación fue finalmente borrada junto con la otra aplicación presente del mismo desarrollador ‘AdBlock Master’ y la URL donde se enviaban los datos ha dejado de ser accesible.

Se recomienda a los usuarios que hayan instalado esta aplicación que la borren inmediatamente de sus dispositivos.

Explicando WPA3: más seguridad y más fácil de usar

Esta nueva versión incluye el nuevo protocolo SAE, que hará inviable nuevos ataques como KRACK; aunque también se incluyen mejoras para hacer más fácil y seguro compartir redes y usar redes públicas

Durante más de una década, el uso de PSK (clave pre-compartida, comúnmente conocido como ‘four-way handshake’) se ha considerado seguro, hasta que en 2016 un grupo de investigadores belgas descubrieron lo que se denominaría KRACK, dejando de manifiesto la necesidad de buscar una alternativa: SAE (Simultaneous Authentication of Equals).

Este nuevo protocolo empleado por WPA3 (que en realidad data de 2008), se trata de una variación de dragonfly handshake, contando entre sus novedades resistencia a ataques como el de KRACK, pero además hace inútil los ataques por diccionario a los paquetes interceptados. Por si fuese poco, además cuenta con forward secrecy’. Esto significa, que aunque se obtenga la clave, un atacante no podrá descifrar los mensajes anteriormente cifrados con dicha clave, porque ésta cambia con cada comunicación.

SAE a diferencia de PSK, tal y como indica su nombre (Simultaneous Authentication of Equals) trata a cada cada parte como iguales, y cualquiera de ellas puede establecer la comunicación. Este nuevo método se contrapone a la forma de trabajar de PSK, en que router y cliente se encontraban diferenciados, y era posible forzar la desconexión entre ambos para analizar los ‘handshake’ (tal y como hace KRACK).

Además de SAE, WPA3 en su modalidad WPA3-Enterprise contará con cifrado de 192-bits, al contrario que WPA3-Personal, que utilizará 128-bits. Esta seguridad adicional puede ser excesiva para el mercado doméstico, pero su uso puede ser requerido por instituciones y gobiernos.

WPA3 no es sólo más seguro, sino también más fácil de usar. Muestra de ello es Easy Connect, un nuevo protocolo que ha sido creado para facilitar compartir (y seguro) el acceso a una red. Esta nueva modalidad hace uso de códigos QR únicos, que deben ser escaneados por los dispositivos. Para aquellos dispositivos sin posibilidad de escanear el código QR, también será posible utilizar un código legible por un ser humano, e incluso compartirlo mediante sonido. Este tipo de medidas evitan compartir la contraseña (lo cual es más inseguro) y reduce los errores comunes al almacenar la clave para compartirla (a.k.a apuntarlo en un post-it). Sólo esperemos que estas nuevas facilidades, no se conviertan en un agujero de seguridad, como ya ocurrió con WPS.

Relacionado con lo anterior, el nuevo protocolo Enhanced Open protegerá a los usuarios que se conecten a redes abiertas, como aeropuertos o cafés, de ver sus datos comprometidos por el resto de usuarios de la red. Éste es un problema grave existente hasta ahora del que muchos usuarios no son conscientes, siendo la única solución utilizar una VPN (algo, que la mayoría de personas no utilizarán). Aunque el uso de una VPN en una red desconocida seguirá siendo aconsejable (porque no sabemos quien controla la red), este nuevo protocolo protegerá en gran medida a los usuarios que no usen una VPN.

Más información:

Wi-Fi Gets More Secure: Everything You Need to Know About WPA3

Vulnerabilidad de falsificación de sitios web descubierta en Safari

Se ha descubierto una vulnerabilidad que podría permitir a los atacantes falsificar direcciones de sitios web legítimos para robar credenciales

Si bien Microsoft solucionó el mes pasado esta misma vulnerabilidad que le afectaba en su navegador Edge, Safari aún no está parcheado.

El fallo ha sido descubierto por el investigador de seguridad Rafay Baloch. La vulnerabilidad (CVE-2018-8383) se debe a un problema de condición de carrera que permite a JavaScript actualizar la dirección de la página web en la URL mientras se carga la página. 

Funcionamiento de la vulnerabilidad

La explotación de esta vulnerabilidad podría permitir que un atacante inicialmente comience a cargar una página legítima y luego reemplazar el código en la web por uno malicioso.

“Al solicitar datos de un puerto inexistente, la dirección se conservó y, por lo tanto, debido a una condición de carrera sobre un recurso solicitado desde un puerto inexistente combinado con el retraso introducido por la función setInterval logró activar la suplantación de barra de direcciones”, explica Baloch en su blog.

Prueba de concepto

Los desarrolladores de Microsoft arreglaron el fallo antes de que pasara la fecha límite de 90 días desde que se le informó, pero Apple aún no ha puesto solución al error.

Baloch sigue sin exponer el código de la prueba de concepto de este último, pero dado que el de Microsoft Edge es público y el fallo es muy similar, cualquier persona con un conocimiento decente de JavaScript podría hacerlo funcionar en Safari.

El propio investigador asegura que este fallo no afecta ni a Chrome ni a Firefox.

Más información:

Blog de Rafay Baloch:


Denegación de servicio y revelación de información en FreeBSD

Una vulnerabilidad en el procesador del formato ELF en el cargador de ejecutables permite forzar el apagado del sistema y extraer información del espacio de memoria del núcleo

Denegación de servicio y revelación de información sensible si puedes correr un ejecutable en la máquina. Ese es el impacto de la última vulnerabilidad reportada en FreeBSD, vulnerabilidad que se puede explotar a través de la ejecución de un ejecutable ELF especialmente diseñado. El código responsable de cargar los ejecutables en memoria es un código especialmente sensible, debido a la cantidad de veces que es llamado por el sistema operativo y a tener que tratar en el núcleo con datos que provienen del usuario.

Lo cierto es que la mayoría del código útil cumple la última condición y procesa en el núcleo datos que vienen del usuario. El problema real es la complejidad de los datos a procesar. Como ejemplo contrario al que nos ocupa, podemos pensar en una llamada al sistema que escribe datos a un archivo. Simplificando, esa llamada al sistema tendría tres argumentos: la ruta del archivo, los datos a escribir y la longitud de estos datos. Los datos a escribir no tienen complejidad alguna para ser procesados: pueden contener cualquier cosa, y se volcarán directamente al archivo. Lo único que debería respetarse es que la longitud de los datos fuese correcta, pero si no lo es, tampoco pasa nada. El sistema operativo volcará más datos de los reales, cogiendo del siguiente trozo de memoria, o llegando a cerrar el proceso que llama si por especificar mal la longitud termina leyendo memoria a la que no tiene acceso.

El último argumento que nos queda es la ruta del archivo. Una ruta de un archivo tiene un formato relativamente sencillo, una serie de nombres separados por barras. Hay algunos caracteres que no pueden contener, así como otros caracteres que pueden dar problemas en ciertos sistemas de archivos, pero es sencillo saber si una ruta de archivo está bien formada y extraer la información que necesitemos de ésta. Otro cantar es el tema que nos ocupa, el procesamiento del formato ELF en los ejecutables:

Descripción básica del formato ELF. Extraído de www.cs.bgu.ac.il

Sinceramente, la imagen que acabo de poner no me parece muy didáctica, pero con esa cantidad de flechas retorcidas sirve perfectamente para lo que quiero transmitir: una estructura de datos como la del formato ELF no es una estructura de datos fácil de procesar. Otro ejemplo que da indicios sobre su complejidad es el número de páginas de esta referencia del formato ELF.

Al final, el procesamiento de una estructura de datos es similar al procesamiento de lenguajes de programación (parsing), en el sentido de que ambos tienen una estructura predefinida y una lista de construcciones permitida. Y el problema de muchos formatos de archivo, incluido el formato ELF, es que se equiparan a una categoría de lenguajes difíciles de procesar. Por tanto, la complejidad del código para procesarlos aumenta, aumentando también la posibilidad de que exista un fallo de seguridad en el código. Hay publicaciones científicas con proposiciones para simplificar este tipo de formatos sin perder expresividad, como ésta, pero lo cierto es que lo ideal es intentar simplificar lo máximo posible las estructura de datos. De esta forma, se simplificaría el código que las procesa, y los fallos de seguridad serían mucho menos frecuentes.

Pero como siempre, la seguridad aquí se enfrenta a la necesidad de retrocompatibilidad y diseño fácil (que no es lo mismo que el resultado del diseño sea complejo). Tenemos que recordar que la seguridad es un compromiso, y hacer algo seguro al 100% es hacerlo inútil o excesivamente costoso.

Más información:
 
FreeBSD-SA-18:12.elf – Improper ELF header parsing
https://www.freebsd.org/security/advisories/FreeBSD-SA-18:12.elf.asc

Occupy Babel! – LANGSEC explained in a few slogans
http://langsec.org/occupy/

Context Parsing (Not Only) of the Object-File-Format Description Language
http://elib.mi.sanu.ac.rs/files/journals/csis/28/100408.pdf

Wikipedia – Context-sensitive language
https://en.wikipedia.org/wiki/Context-sensitive_language

Varias extensiones de Kodi comprometidas para minar criptomonedas

El equipo de investigadores de ESET ha encontrado varias extensiones de Kodi utilizadas para distribuir malware de minado de criptomonedas.

 

Kodi (antiguo XBMC) es un popular ‘Media Center’ soportado de forma nativa en las principales plataformas: Linux, Mac OS X y sistemas operativos de Microsoft Windows.

Kodi por si solo no provee ningún contenido, está pensado para ser extendido mediante aplicaciones de terceros. Esta característica ha sido explotada más de una vez por algunos atacantes para incluir código malicioso en las instalaciones de sus usuarios.

En el caso que nos ocupa se trata de una campaña de software de minado de criptomonedas distribuido desde dos populares repositorios de plugins para Kodi: Bubbles y Gaia (y sus respectivos forks).

El análisis de ESET reveló que el malware funciona sobre Windows y Linux para minar la criptomoneda Monero (XMR).

La infección puede ocurrir de tres formas:

  1. Incluyendo un repositorio malicioso e instalando alguna de las extensiones comprometidas.
  2. Instalando una versión de Kodi que incluya el repositorio malicioso de serie.
  3. Instalando una versión de Kodi con las extensiones comprometidas de serie.
Etapas de ejecución del malware. Fuente: https://www.welivesecurity.com

Los países más afectados han sido Estados Unidos, Israel, Grecia y Reino Unido.

Para evitar y/o contrarrestar la amenaza recomendamos bloquear aquellos repositorios de terceros no confiables y escanear el dispositivo con algún software antivirus actualizado.

Algunos IOCs proporcionados por ESET:

B8FD019D4DAB8B895009B957A7FEBAEFCEBAFDD1
BA50EAA31441D5E2C0224B9A8048DAF4015735E7
717C02A1B040187FF54425A64CB9CC001265C0C6
F187E0B6872B096D67C2E261BE41910DAF057761
4E2F1E9E066D7D21CED9D690EF6119E59CF49176
53E7154C2B68EDBCCF37FB73EEB3E042A1DC7108
FF9E491E8E7831967361EDE1BD26FCF1CD640050
3CC8B10BDD5B98BEA94E97C44FFDFB1746F0C472
389CB81D91D640BA4543E178B13AFE53B0E680B5
6DA595FB63F632EE55F36DE4C6E1EB4A2A833862
9458F3D601D30858BBA1AFE1C281A1A99BF30542
B4894B6E1949088350872BDC9219649D50EE0ACA
79BCC4F2D19A394DD2DB2B601208E1D1EA57565B
AAAEDE03F6C014CEE8EC0D9C0EA4FC7B0E67DB59
C66B5ADF3BDFA87B0731512DD2654F4341EBAE5B
F0196D821381248EB8717F47C70D8C235E83A12E
7CFD561C215DC04B702FE40A199F0B60CA706660
08406EB5A8E75F53CFB53DB6BDA7738C296556D6
2000E2949368621E218529E242A8F00DC8EC91ED
5B1F384227F462240178263E8F2F30D3436F10F5
B001DD66780935FCA865A45AEC97C85F2D22A7E2
C6A4F67D279478C18BE67BEB6856F3D334F4AC42
EE83D96C7F1E3510A0D7D17BBF32D5D82AB54EF3
38E6B46F34D82BD23DEACD23F3ADD3BE52F1C0B6
90F39643381E2D8DFFF6BA5AB2358C4FB85F03FC
B9173A2FE1E8398CD978832339BE86445ED342C7
D5E00FB7AEA4E572D6C7C5F8D8570DAB5E1DD156
D717FEC7E7C697D2D25080385CBD5C122584CA7C
DF5433DC7EB272B7B837E8932E4540B216A056D8

Más información:
 

Los ataques ‘Cold Boot’ vuelven una década después

Los ataques ‘Cold Boot’ vuelven una década después

Aunque el ataque ‘Cold Boot’ no es nuevo y parecía estar subsanado, los investigadores de seguridad Olle Segerdah Pasi Saarinen, de F-Secure, aseguran haber conseguido realizar el ataque a varios ordenadores de forma exitosa aprovechando una vulnerabilidad en la forma en las que los ordenadores protegen el firmware, existente en la mayoría de los ordenadores de la actualidad.

Extraída de https://thehackernews.com

El ataque ‘Cold Boot’ o de ‘Inicio en frío’ es un ataque que se descubrió hace una década y que permitiría a un atacante con acceso físico a una máquina robar claves de cifrado entre otra información sensible. Este ataque consistía en reiniciar el ordenador sin en proceso adecuado de apagado, lo que podría permitir recuperar los datos existentes en la memoria RAM antes de que sean eliminados.

Pasos de realización del ataque, extraída de https://blog.f-secure.com

El problema fue subsanado aplicando un proceso de sobreescritura a los datos existentes en la memoria, impidiendo que la información pudiera ser robada. Ahora los investigadores de seguridad aseguran haber descubierto una manera de deshabilitar este proceso, lo que les permitiría realizar un ataque ‘Cood Boot’ al sistema.

Los investigadores también alertan de que este error existe en la mayoría de los ordenadores de hoy en día y aunque los ataque son en frío, no son fáciles de llevar a cabo. Los atacantes deben disponer de tiempo y formas consistentes y confiables para comprometer los equipos objetivos, ya que hay que tener acceso físico a ordenador en cuestión y herramientas adecuadas.

“It’s not exactly easy to do, but it’s not a hard enough issue to find and exploit for us to ignore the probability that some attackers have already figured this out,” says Olle. “It’s not exactly the kind of thing that attackers looking for easy targets will use. But it is the kind of thing that attackers looking for bigger phish, like a bank or large enterprise, will know how to use.”

Los investigadores aseguran que el error no tiene fácil solución y que cada fabricante tendrá que lidiar con el problema. Aún así, Microsoft y Apple están trabajando en una solución conjunta.

Aunque ahora mismo no existe ningún parche oficial, los de Redmon han actualizado sus contramedidas con BitLocker. Por su parte, los de la manzana, han actualizado sus recomendaciones de seguridad, en especial para aquellas personas cuyo ordenador no posea un chip T2, el cual supuestamente ya está protegido frente a este ataque.

El error ha sido presentado en la conferencia SEC-T en Suecia, y el próximo día 27, volverán a hacer una presentación en la conferencia de Microsoft BlueHat v18.

Actualmente los errores han sido reportados a Microsoft y a Apple con los que colaboran para una correcta solución.

Más información:
The Chilling Reality of Cold Boot Attacks:
https://blog.f-secure.com/cold-boot-attacks/

New Cold Boot Attack Unlocks Disk Encryption On Nearly All Modern PCs
https://thehackernews.com/2018/09/cold-boot-attack-encryption.html

Lest We Remember: Cold Boot Attacks on Encryption Keys
https://www.usenix.org/legacy/event/sec08/tech/full_papers/halderman/halderman.pdf

[VIDEO] SEC-T 0x0Beyond – Conference day 1
https://www.youtube.com/watch?v=ISE3pxAj7yk

Newsletter de julio agosto de 2018 de Criptored y su actividad mensual en el grupo de LinkedIn

Estas noticias las podrás encontrar en el histórico de Criptored del mes de junio de 2018 en este enlace.

Y también en la sección “Debates” del grupo en LinkedIn en el siguiente enlace.

Además, te invitamos a que participes en la cuarta conferencia TASSI 2018 este jueves 13 de septiembre en Madrid, ‘Inteligencia colectiva con Koodous y YayaGen’, a cargo de Andrea Marcelli y Fernando Denis, destacados expertos de Hispasec Sistemas.

https://www.bbvanexttechnologies.com/tassi/#1535621132034-e1259a9f-dee4

Actividad en el web de Criptored durante el mes de julio y agosto de 2018:25/07/18: Nos vamos de vacaciones y volveremos en septiembre (España).
23/07/18: CFP Special Issue Secure Embedded IoT Devices for Resilient Critical Infrastructures (IEEE).
20/07/18: XI Congreso Internacional de Ciberseguridad Industrial en Madrid (España).
18/07/18: Cuaderno de Laboratorio de Criptografía CLCript 7: Ataque a RSA por la paradoja del cumpleaños con genRSA v2.1 (España).
11/07/18: Curso gratuito de criptografía post-cuántica en septiembre en el BECAM de Bilbao (España).
06/07/18: Actualización del software genRSA v2.1 para prácticas de criptografía con RSA (España).
04/07/18: Cuaderno de Laboratorio de Criptografía CLCript 6: Números no cifrables en RSA (España).
02/07/18: Hackatón Expodrónica 4 y 5 de Julio 2018 en Recinto Ferial en IFEMA de Madrid (España).
02/07/18: Disponible el Newsletter de la revista Red Seguridad del mes de junio de 2018 (España).
02/07/18: 23.085 accesos al MOOC Crypt4you en junio de 2018 y acumulados 1.097.879 accesos (España).
02/07/18: 13.908 visualizaciones de las píldoras Thoth en junio de 2018 y acumuladas 321.521 visitas (España).
02/07/18: 4.533 visualizaciones de las lecciones Intypedia en junio de 2018 y acumuladas 784.411 visitas (España).
02/07/18: 36.235 accesos a Criptored en junio de 2018 acumulando 214.123 visitas y 333,29 Gigabytes en todo el año 2018 (España).
02/07/18: Newsletter de la actividad de Criptored en el mes de junio de 2018 (España).

Vulnerabilidad de rutas cruzadas en Cisco Data Center Network Manager

Cisco ha publicado un parche de seguridad que corrige una vulnerabilidad en su producto Data Center Network Manager que podría facilitar a un atacante el acceso a información sensible.

Data Center Network Manager, es un gestor de equipos Cisco que permite crear, monitorizar y administrar redes enfocada a los Data Centers.

La vulnerabilidad, encontrada por el equipo de seguridad de la empresa Tenable (conocida por su producto, Nessus), podría permitir a un atacante sin autenticación la obtención de archivos con información sensible. Mediante esta técnica, se podría escalar privilegios hasta llegar a obtener el control del sistema afectado.

El fallo, que ya ha sido corregido, se basa en una falta de filtrado adecuado en las cadenas de peticiones http procedentes del usuario. En determinados parámetros, es posible emplear una ruta hacia un archivo del sistema, haciendo que la aplicación lea su contenido o sirva dicho archivo a través de la aplicación web.

Las versiones anteriores a la 11.0(1) se encuentran afectadas. Cisco ha publicado una actualización para los sistemas afectados disponible a través de la web de soporte. La vulnerabilidad posee una puntuación 8.1 bajo el estándar CVSS y se le ha asignado el CVE-2018-0464.

Más información: