Paquetes maliciosos en el repositorio de python PyPI

Se ha descubierto un total de 12 librerías maliciosas en el repositorio de Python PyPI, subidas al repositorio, usando técnicas de ‘Typosquatting’ con del popular framework de desarrollo web Django.

 

PyPI logo, extraído de https://pypi.org/

PyPI (Python Package Index) es el repositorio de librerías de Python por excelencia. El repositorio permite la descarga e instalación de los paquetes necesarios para nuestros proyectos de desarrollo de forma fácil y cómoda.

La forma de instalar los paquetes que tiene PyPI es utilizando sentencia:

python pip install <nombre_de_paquete>

Donde <nombre_de_paquete> será sustituido por el paquete que queramos instalar en nuestro proyecto.

La forma en la que los atacantes alojan código malicioso en este tipo de repositorios no es comprometiendo un paquete legítimo, sino poniendo en los repositorios oficiales paquetes fraudulentos. Para realizar este tipo de ataques se utiliza (descarga) el paquete oficial como base, y partiendo desde aquí, se va añadiendo el código malicioso, y una vez terminado, se sube al repositorio oficial con nombres similares al original. A modo de ejemplo, los paquetes encontrados fueron: ‘Diango’, ‘Djago’, ‘Dajngo’, ‘Djanga’ que fueron creados para suplantar al paquete ‘Django’.

El ataque utilizado es el denominado ‘Typosquatting’ que consiste en la utilización de nombres similares, pero con algún error ortográfico al que se quiere suplantar esperando un error tipográfico por parte de los desarrolladores.

Ejemplo del ataque ‘Typosquatting’

Los paquetes han sido detectados por un investigador con el seudónimo ‘Bertus’, el cual utilizó un sistema de escaneo automatizado que creó él mismo.

Actualmente los paquetes detectados han sido eliminados del repositorio PyPI.

 

Más información:

Encuentran 12 bibliotecas maliciosas en Python PyPI:

http://noticiasseguridad.com/tecnologia/encuentran-12-bibliotecas-maliciosas-en-python-pypi/

Nueva versión de Signal permite encriptar la identidad del remitente

La aplicación de mensajería Signal planea implementar una nueva función que pretende ocultar la identidad del remitente de posibles atacantes que intercepten la comunicación.

Desde hace algún tiempo las aplicaciones de mensajerías como WhatsApp o Telegram entre otras han implementado cifrados en la comunicación, pero estos paquetes cifrados contenían y contienen pequeñas dosis de información que podría permitir conocer los agentes implicados en la comunicación y la hora de los mensajes. Aquí tenemos una comparativa sobre el cifrado en la comunicación de las distintas aplicaciones.

  1. WhatsApp: la aplicación de Whatsapp basa su cifrado en el protocolo de Signal.
  2. Telegram: la aplicación de Telegram basa su cifrado en el protocolo MTProto.
  3. SignalAES por cada conversación y se basa en OTR con modificaciones incluyendo ahora “Sealed Sender”.

En el caso de Signal la aplicación encripta el mensaje usando su protocolo habitual, en este mensaje se incluye el certificado del remitente y se empaqueta todo. Este paquete se cifra y se envía junto con un token de entrega que el destinatario finalmente descifra mensaje tras validar la clave de la identidad del remitente.

Se debe tener en cuenta que la nueva técnica de Signal elimina la capacidad de la compañía de verificar (por parte de ella) el certificado del remitente aunque la compañía ya está introduciendo soluciones alternativas que permiten a los usuarios poder verificar quién les envió determinado mensaje. Esta nueva característica se encuentra en fase beta, por lo que los usuarios que tengan esta versión podrán probarla.

Mas información:

Signal Secure Messaging App:
https://thehackernews.com/2018/10/signal-secure-messaging-metadata.html

Whatsapp PDF Tech:
https://www.whatsapp.com/security/WhatsApp-Security-Whitepaper.pdf

Telegram FAQ MTProto:
https://core.telegram.org/techfaq

Signal FAQ Tech:
https://support.signal.org/hc/en-us/articles/360007320391-Is-it-private-Can-I-trust-it-

Vulnerabilidad en la gestión de paquetes ICMP en el kernel de XNU de Apple

El investigador de seguridad Kevin Backhouse ha descubierto una vulnerabilidad en el núcleo de XNU de Apple relacionada con la gestión de los paquetes ICMP.

apple_logo

La vulnerabilidad se produce cuando el kernel XNU recibe un paquete ICMP especialmente diseñado. De forma que, cualquier dispositivo que se encuentre en la misma red, solamente debe enviar este paquete para explotar la vulnerabilidad. Y, como se puede apreciar en el vídeo de la prueba de concepto, no requiere ningún tipo de interacción por parte de la víctima.

Video of my PoC for CVE-2018-4407. It crashes any macOS High Sierra or iOS 11 device that is on the same WiFi network. No user interaction required. pic.twitter.com/tXtp7QRCp8

— Kevin Backhouse (@kevin_backhouse) October 30, 2018

Más especificamente, la vulnerabilidad se trata de un desbordamiento de del buffer en el heap, que se produce porque el atacante controla el tamaño y contenido del buffer utilizando diferentes campos del paquete. Por ello, aunque de momento solamente se ha realizado una prueba de concepto que hace que el dispositivo se reinicie debido al fallo, debería poderse aprovechar esta vulnerabilidad para lograr la ejecución de código remoto.

Teniendo en cuenta que XNU es el kernel utilizado en los sistemas operativos de los dispositivos Apple, esta vulnerabilidad afecta tanto a iOS como a macOS. Las siguientes versiones de los sistemas operativos son vulnerables:

– iOS 11 e inferiores
– macOS High Sierra 10.13.6 e inferiores
– macOS Sierra 10.12.6 e inferiores
– Mac OSX El Capitan e inferiores

Más Información:
Entrada de blog Kevin Backhouse:
https://lgtm.com/blog/apple_xnu_icmp_error_CVE-2018-4407

Prueba de concepto:
https://twitter.com/kevin_backhouse/status/1057352656560287746

Actualizaciones para múltiples productos de Apple

 

Apple ha publicado 7 boletines de seguridad que solucionan vulnerabilidades en los productos Safari, iCloud para Windows, iTunes, watchOS, iOS, tvOS y macOS. Entre todos los productos se corrigen 177 fallos de seguridad.

apple-vulnerabilidades-uadLos boletines publicados con las actualizaciones y problemas solucionados se resumen a continuación.

El boletín para el sistema operativo para dispositivos móviles de Apple (iPad, iPhone, iPod, etc.), iOS 12.1, resuelve 31 vulnerabilidades relacionadas con múltiples componentes, entre los que se incluyen ‘Wi-Fi’, ‘FaceTime’, el kernel y ‘WebKit’ entre otros. Uno de los fallos permitiría a una web maliciosa suplantar la URL mostrada para hacer creer a los usuarios que se encuentran en un sitio web legítimo (CVE-2018-4385).

macOS Mojave 10.14.1 y los ‘Security Update 2018-001 High Sierra’ y ‘2018-005 Sierra’. En este caso se solucionan 71 vulnerabilidades que afectan a múltiples componentes, que entre otros incluyen a ‘afpserver’, ‘AppleGraphicsControl’, ‘APR’, ‘CFNetwork’, ‘CoreCrypto’, ‘Dock’ y el kernel entre otros. Nueve de estas vulnerabilidades permitirían ejecutar código arbitrario con privilegios de sistema (CVE-2018-4126, CVE-2018-4331, CVE-2018-4334, CVE-2018-4350, CVE-2018-4393, CVE-2018-4402, CVE-2018-4410, CVE-2018-4415, CVE-2018-4426).

Safari 12.0.1 cuenta con otro boletín que soluciona 12 vulnerabilidades debidas, en su mayoría, a problemas en ‘WebKit’, el motor de código abierto que es la base de este navegador. Varios de los errores corregidos permitirían a una web maliciosa la ejecución de código arbitrario (CVE-2018-4372, CVE-2018-4373, CVE-2018-4375, CVE-2018-4376, CVE-2018-4382, CVE-2018-4386, CVE-2018-4392, CVE-2018-4416).

El boletín para el sistema operativo de los relojes inteligentes de Apple, watchOS 5.1, soluciona 21 vulnerabilidades entre las que también se encuentran algunas que podrían permitir la ejecución de código arbitrario (CVE-2018-4372, CVE-2018-4373, CVE-2018-4375, CVE-2018-4376, CVE-2018-4382, CVE-2018-4386, CVE-2018-4392, CVE-2018-4416, CVE-2018-4378).

tvOS, el sistema operativo de los televisores de la marca, se actualiza a la versión 12.1, donde se corrigen 15 vulnerabilidades en múltiples componentes. Cinco de ellas podrían permitir la ejecución remota de código (CVE-2018-4372, CVE-2018-4382, CVE-2018-4386, CVE-2018-4392, CVE-2018-4416).

Las versiones iTunes 12.9.1 e iCould 7.8 para Windows corrigen 14 y 13 vulnerabilidades respectivamente, algunas también de gravedad alta.
Todas estas versiones que corrigen los problemas de seguridad publicados en los boletines se encuentran disponibles en la página oficial de Apple, así como a través de los canales habituales de actualización.

 

Más información:

Safari 12.0.1
https://support.apple.com/es-es/HT209196

iCloud for Windows 7.8
https://support.apple.com/kb/HT209198

iTunes 12.9.1
https://support.apple.com/kb/HT209197

watchOS 5.1
https://support.apple.com/kb/HT209195

iOS 12.1
https://support.apple.com/kb/HT209192

tvOS 12.1
https://support.apple.com/kb/HT209194

macOS Mojave 10.14.1, Security Update 2018-001 High Sierra, Security Update 2018-005 Sierra
https://support.apple.com/kb/HT209193