Oracle corrige 284 vulnerabilidades en su actualización de seguridad de enero

Oracle publica su actualización correspondiente al mes de abril. Contiene parches para 284 nuevas vulnerabilidades diferentes en múltiples productos pertenecientes a diferentes familias, que van desde el popular gestor de base de datos Oracle Database hasta Solaris, Java o MySQL.

Los fallos se dan en varios componentes de múltiples productos y como es habitual la lista completa de productos afectados es cada vez más extensa. Se concreta en las siguientes familias:

  • Oracle Database Server
  • Oracle Communications Applications
  • Oracle Construction and Engineering Suite
  • Oracle E-Business Suite
  • Oracle Enterprise Manager Products Suite
  • Oracle Financial Services Applications
  • Oracle Food and Beverage Applications
  • Oracle Fusion Middleware
  • Oracle Health Sciences Applications
  • Oracle Hospitality Applications
  • Oracle Hyperion
  • Oracle Insurance Applications
  • Oracle Java SE
  • Oracle JD Edwards Products
  • Oracle MySQL
  • Oracle PeopleSoft Products
  • Oracle Retail Applications
  • Oracle Siebel CRM
  • Oracle Sun Systems Products Suite
  • Oracle Supply Chain Products Suite
  • Oracle Support Tools
  • Oracle Utilities Applications
  • Oracle Virtualization

A continuación ofrecemos una relación de productos y el número de vulnerabilidades corregidas:

  • Tres nuevas vulnerabilidades corregidas en Oracle Database Server, ninguna es explotable de forma remota sin autenticación.
  • 33 nuevas vulnerabilidades afectan a Oracle Communications (29 de ellas podrían ser explotadas por un atacante remoto sin autenticar).
  • 4 nuevos parches para la suite Oracle Construction and Engineering, todas explotables remotamente sin autenticación.
  • Otras 16 vulnerabilidades explotables de forma remota y sin autenticación en la suite de Oracle E-Business.
  • 11 nuevas vulnerabilidades en Oracle Enterprise Manager (9 de ellas explotables remotamente por un usuario sin autenticar).
  • Otros 9 parches que solucionan vulnerabilidades explotables remotamente y sin autenticación en Oracle Financial Services.
  • 6 nuevos parches para las aplicaciones de Oracle Food and Beverage (3 de ellos solucionan vulnerabilidades explotables por un usuario remoto no autenticado).
  • 62 parches para Oracle Fusion Middleware (57 de estos arreglan fallos que pueden ser explotables de forma remota sin autenticación).
  • 6 vulnerabilidades en Oracle Health Sciences, de las cuales, 2 podrían ser explotadas por un atacante remoto sin autenticar.
  • 5 nuevas vulnerabilidades en Oracle Hospitality Applications (ninguna de ellas es explotable remotamente sin autenticación).
  • Una vulnerabilidad en Oracle Hyperion, no explotable de forma remota.
  • Referente a Oracle Insurance Applications, se han publicado 5 nuevos parches, tres de los cuales son explotables de forma remota sin autenticación.
  • En cuanto a Oracle Java SE, se han corregido 5 nuevas vulnerabilidades que pueden ser explotadas por un atacante remoto sin autenticar.
  • La actualización para Oracle JD Edwards corrige 2 vulnerabilidades explotables remotamente sin autentcación.
  • Otras 30 actualizaciones de seguridad para Oracle MySQL (3 de ellas corrigen vulnerabilidades explotables de forma remota sin autenticación).
  • Una actualización en Oracle People Soft soluciona 20 problemas de seguridad, 15 de ellos pueden ser explotados por un atacante remoto sin autenticar.
  • También se solucionan 16 nuevas vulnerabilidades en Oracle Retail Applications (15 de ellas son explotables de forma remota sin autenticación).
  • Un nuevo parche para Oracle Siebel CRM que corrige una vulnerabilidad explotable remotamente.
  • 11 nuevas vulnerabilidades para Oracle Sun Systems (5 de ellas podrían ser explotadas por un atacante remoto sin autenticación).
  • Otras 5 actualizaciones de seguridad para Oracle Supply Chain, 4 de estas podrían ser explotadas de forma remota sin autenticación.
  • Una vulnerabilidad en Oracle Support Tools, que podría ser explotada remotamente.
  • Adicionalmente se solucionan 2 nuevas vulnerabilidades en Oracle Utilities Applications, ambas serían explotables por un atacante remoto sin autenticar.
  • Por último, también se ha publicado una actualización que soluciona 30 fallos de seguridad en Oracle Virtualization (4 de estos fallos podría ser explotados por un atacante remoto sin autenticación).

Se recomienda comprobar las matrices de productos afectados, gravedad y la disponibilidad de parches, disponibles desde la notificación oficial en:

Oracle Critical Patch Update Advisory – January 2019
https://www.oracle.com/technetwork/security-advisory/cpujan2019-5072801.html

XSS en Fornite permite el robo de cuentas

Se ha descubierto una brecha de información en el famoso juego multiplataforma Fornite de Epic Games que afecta a sus usuarios; dejando al descubierto información que podría ser aprovechada para ganar acceso a las cuentas de los jugadores donde pueden estar registradas sus tarjetas de crédito, pudiendo así comprar mejoras del juego y revenderlas.

Para los que no lo conozcan, Fornite es un juego lanzado por Epic Games en julio de 2017. Inicialmente los jugadores tenían que cooperar online para sobrevivir a una epidemia de muertos vivientes que intentan conquistar la Tierra. Posteriormente lanzaron la versión de Battle Royal, que fue la que impulsó este juego a la fama.

Actualmente hay más de 200 millones de usuarios registrados y se juegan cerca de 80 millones de partidas al mes.

Desde hace un tiempo se están detectando ataques de phishing hacia los jugadores de Fornite, pero los investigadores Alon Boxiner, Eran Vaknin y Oded Vanunu de la empresa Check Point decidieron buscar una alternativa más “sofisticada y siniestra” como describen ellos.
A raíz del descubrimiento de una vulnerabilidad XSS en uno de los subdominios de Epic Games, les fue posible conseguir las credenciales de la víctima, a tan solo un click.

El fallo encontrado tiene varios factores que lo hacen posible:

  • Un XSS en un antiguo dominio de Epic Games, http://ut2004stats.epicgames.com, actualmente deshabilitado.
    http://ut2004stats.epicgames.com/index.php?stats=map&SearchName=[Código JS]
  • Un redirector que se pasa como parámetro en la URL que se genera cuando el jugador pulsar ‘Sign In’, y es fácilmente manipulable.
  • El uso de SSO o Single Sign-On, con las plataformas PlayStationNetwork, Xbox Live, Nintendo, Facebook y Google+

Siguiendo ese vector de ataque fue posible conseguir las credenciales de jugadores, como podemos ver en el siguiente video:

El equipo describe detalladamente en su post el flujo de ejecución del ataque.

Magecart infecta de nuevo cientos de webs de comercio electrónico

Esta vez, el grupo Magecart ha comprometido 277 webs de comercio electrónico mediante la inserción de código JavaScript malicioso en una librería usada por la empresa de publicidad Adverline.

magecart

Normalmente el grupo Magecart cuando compromete un sitio web de comercio electrónico, inserta código malicioso después para capturar la información del pago realizado. Así es como en el pasado lograron acceder a la información bancaria de los clientes de las plataformas TicketmasterBritish Airways y Newegg.

Sin embargo, investigadores de RiskQ y Trend Micro descubrieron cómo esta vez, en lugar de comprometer directamente webs de comercio electrónico, insertaron código JavaScript en una librería alojada en una compañía de publicidad francesa llamada Adverline. Lo que permitió interceptar la información de pago de todos los sitios web que usaban esta librería.

Magecart-hacking-group

Durante la infección, se comprueba que la web pertenezca a una plataforma de comercio electrónico reconocida, mediante la detección de cadenas en la URL como ‘checkout’, ‘billing’, ‘purchase’, etc.

Una vez que alguna de esas cadenas es detectada en la URL, el script entonces copia los valores introducidos por el usuario en el formulario y los envía a una máquina controlada por los atacantes.

Más información:

New Year, Same Magecart: The Continuation of Web-based Supply Chain Attacks

TicketMaster, un drama en tres actos (y un epílogo)

Magecart detrás de la sustracción de información de pago de los clientes de British Airways

Newegg es la nueva víctima del grupo delictivo Magecart

https://thehackernews.com/2019/01/magecart-hacking-credit-cards.html

Fallo en Twitter expone tweets privados en Android

Un error en la aplicación para Android de Twitter deja abierta la posibilidad de acceder a tweets protegidos. Este fallo existe desde 2014, como podemos ver en la publicación de Twitter del pasado 17 de este mes.

Autor fayerwayer.com

Si se da el caso en el que quieres que tus tweets sean privados, Twitter te da la opción “proteger tus tweets”, lo que obliga a otros usuarios a seguirte para poder ver tu contenido. Pero si utilizas Android es posible que tus tweets hayan estado públicos debido a un fallo de la aplicación. El problema lo provocó que Twitter deshabilitara la configuración “proteger tus tweets” a los usuarios que realizaron ciertos cambios en la configuración de su cuenta, como cambiar la dirección de email asociada a la cuenta.

La compañía ha afirmado que este problema se ha resuelto a principios de esta semana y que tan solo afecta a dispositivos Android. Las versiones web e iOS no se han visto afectadas. Los usuarios que hayan visto vulnerada su privacidad ya fueron avisados. No es la primera vez que Twitter tiene problemas a la hora de asegurar nuestra privacidad, si recordamos, hace unos meses la red social expuso mensajes privados de sus usuarios.

Para asegurarte de que tu cuenta está protegida puedes acceder dentro de la aplicación de Twitter a la opción de “Configuración y privacidad” y una vez allí a “Privacidad y seguridad”. Ahí encontrarás la opción de “Proteger mis tweets”, donde podrás ver si está protegida o no.

Más información:

Twitter:
https://help.twitter.com/en/protected-tweets-android

Theverge
https://www.theverge.com/2019/1/17/18187143/twitter-bug-android-protected-tweets-turned-off

Ejecución remota de código en el gestor de paquetes APT

El investigador de seguridad Max Justicz ha descubierto una vulnerabilidad que permite la ejecución remota de código en la utilidad apt-get del gestor de paquetes APT, usada por distribuciones basadas en Debian.

linux-apt-https-hacking

La falla, con identificador CVE-2019-3462, demuestra cómo si se usase HTTPS por parte de APT se podría evitar completamente este tipo de ataques.

El problema reside en la falta de comprobación de ciertos parámetros durante las redirecciones HTTP, permitiendo a un atacante en un escenario de hombre en el medio (MiTM) inyectar contenido malicioso en los paquetes descargados por APT y engañar así al sistema para que instale paquetes alterados.

Las redirecciones HTTP en este caso sirven para encontrar servidores espejos cercanos a la ubicación del cliente que solicita un paquete determinado. Si el primer servidor falla por alguna razón, devuelve una redirección con la localización del siguiente servidor que el cliente puede usar para la descarga.

El problema reside en el proceso de extracción de las URL. A la hora de decodificar la cabecera HTTP Location, se añade el código de respuesta 103 (indicando al cliente que el servidor enviará la respuesta final junto con las cabeceras incluidas).

En el siguiente video, se demuestra cómo el atacante intercepta el tráfico entre apt-get y el servidor espejo (o simplemente sólo un servidor espejo) para servir paquetes maliciosos y ejecutar código arbitrario como root.

Por defecto, Debian y Ubuntu usan repositorios HTTP. Para poder usar repositorios HTTPS se requiere la instalación del paquete apt-transport-https.

Para solucionar esta falla, se ha liberado la versión 1.4.9 de APT y como es habitual, se recomienda actualizar a la mayor brevedad posible.

Más información:

https://justi.cz/security/2019/01/22/apt-rce.html

https://thehackernews.com/2019/01/linux-apt-http-hacking.html

Apple corrige 34 vulnerabilidades en su parche de seguridad

Apple ha publicado un boletín de seguridad en el que corrige varias vulnerabilidades para varios de sus productos: iCloud para Windows, Safari, watchOS, tvOS, maCOS e iOS.

El boletín de seguridad corrige un total de 34 vulnerabilidades distintas que se reparten entre los productos descritos anteriormente. Para una mejor comprensión de las vulnerabilidades que afectan a los distintos productos, hemos realizado una tabla donde puede verse de mejor manera. A continuación detallamos las vulnerabilidades corregidas por productos.

iCould para Windows
Afecta a la versión 7.10 y corrige un total de 12 vulnerabilidades.

  • 3 vulnerabilidades en el componente SQLite que permitirían ejecutar código arbitrario a través de una consulta SQL especialmente manipulada.
  • 9 vulnerabilidades en el componente Webkit que podría permitir la ejecución de código arbitrario.

Safari
Afecta a la versión 12 y corrige un total de 10 vulnerabilidades.

  • 1 vulnerabilidad en Safari Reader que podría permitir un XSS.
  • 9 vulnerabilidades en el componente Webkit que podría permitir la ejecución de código arbitrario.

watchOS
Afecta a la versión 5.1.3 y corrige un total de 17 vulnerabilidades.

  • 1 vulnerabilidad en el componente AppleKeyStore que podría permitir el salto de restricciones de la sandbox.
  • 1 vulnerabilidad en el componente Core Media que permitiría escalar privilegios.
  • 2 vulnerabilidades en el componente CoreAnimation que podría permitir la lectura de memoria restringida e incluso salir fuera de la sandbox.
  • 1 vulnerabilidad en el componente FaceTime que podría permitir la ejecución de código arbitrario.
  • 1 vulnerabilidad en el componente IOKit que podría permitir salir de la sandbox.
  • 3 vulnerabilidades en el Kernel que podrían permitir la ejecución de código arbitrario con privilegios de kernel.
  • 1 vulnerabilidad en el componente Natural Language Processing que podría causar una denegación de servicio.
  • 3 vulnerabilidades en el componente SQLite que podrían ejecutar código arbitrario a través de una consulta SQL especialmente manipulada.
  • 4 vulnerabilidades en el componente Webkit que podría permitir la ejecución de código arbitrario.

tvOS
Afecta a la versión 12.1.2 y corrige un total de 24 vulnerabilidades

  • 1 vulnerabilidad en el componente AppleKeyStore que podría permitir el salto de restricciones de la sandbox.
  • 2 vulnerabilidades en el componente CoreAnimation que podría permitir la lectura de memoria restringida e incluso salir fuera de la sandbox.
  • 1 vulnerabilidad en el componente FaceTime que podría permitir la ejecución de código arbitrario.
  • 1 vulnerabilidad en el componente IOKit que podría permitir salir de la sandbox.
  • 6 vulnerabilidades en el Kernel que podrían permitir la ejecución de código arbitrario con privilegios de kernel.
  • 1 vulnerabilidad en libxpc que podría permitir la ejecución de código arbitrario con privilegios de kernel.
  • 3 vulnerabilidades en el componente SQLite que podrían ejecutar código arbitrario a través de una consulta SQL especialmente manipulada.
  • 9 vulnerabilidades en el componente Webkit que podría permitir la ejecución de código arbitrario.

MacOS
Afectan a la versión Mojave 10.14.3, Sierra y High Sierra con la actualización 2019-001 y corrige un total de 23 vulnerabilidades.

  • 1 vulnerabilidad en el componente AppleKeyStore que podría permitir el salto de restricciones de la sandbox.
  • 1 vulnerabilidad en el componente Bluetooth que podría permitir la ejecución de código arbitrario.
  • 2 vulnerabilidad en el componente Core Media que podría provocar una escalada de privilegios.
  • 2 vulnerabilidades en el componente CoreAnimation que podría permitir la lectura de memoria restringida e incluso salir fuera de la sandbox.
  • 1 vulnerabilidad en el componente FaceTime que podría permitir la ejecución de código arbitrario.
  • 1 vulnerabilidad en el componente Hypervisor que podría provocar una escalada de privilegios.
  • 1 vulnerabilidad en el componente Intel Graphics Driver que podría permitir la ejecución de código arbitrario con privilegios de kernel.
  • 1 vulnerabilidad en el componente IOKit que podría permitir salir de la sandbox.
  • 6 vulnerabilidades en el Kernel que podrían permitir la ejecución de código arbitrario con privilegios de kernel.
  • 1 vulnerabilidad en libxpc que podría permitir la ejecución de código arbitrario con privilegios de kernel.
  • 1 vulnerabilidad en componente Natural Language Processing que podría causar una denegación de servicio.
  • 1 vulnerabilidad en el componente QuartzCore que podría permitir una revelación de información sensible.
  • 3 vulnerabilidades en el componente SQLite que podrían ejecutar código arbitrario a través de una consulta SQL especialmente manipulada.
  • 1 vulnerabilidad en el componente WebRTC que podría permitir la ejecución de código arbitrario.

iOS
Afecta a la versión 12.1.3 y corrige un total de 31 vulnerabilidades.

  • 1 vulnerabilidad en el componente AppleKeyStore que podría permitir el salto de restricciones de la sandbox.
  • 1 vulnerabilidad en el componente Bluetooth que podría permitir la ejecución de código arbitrario.
  • 2 vulnerabilidad en el componente Core Media que podría provocar una escalada de privilegios.
  • 2 vulnerabilidades en el componente CoreAnimation que podría permitir la lectura de memoria restringida e incluso salir fuera de la sandbox.
  • 1 vulnerabilidad en el componente FaceTime que podría permitir la ejecución de código arbitrario.
  • 1 vulnerabilidad en el componente IOKit que podría permitir salir de la sandbox.
  • 6 vulnerabilidades en el Kernel que podrían permitir la ejecución de código arbitrario con privilegios de kernel.
  • 1 vulnerabilidad en el componente Keyboard que podría revelar información sensible.
  • 1 vulnerabilidad en libxpc que podría permitir la ejecución de código arbitrario con privilegios de kernel.
  • 1 vulnerabilidad en el componente Natural Language Processing que podría causar una denegación de servicio.
  • 1 vulnerabilidad en Safari Reader que podría permitir un XSS.
  • 3 vulnerabilidades en el componente SQLite que podrían ejecutar código arbitrario a través de una consulta SQL especialmente manipulada.
  • 9 vulnerabilidades en el componente Webkit que podría permitir la ejecución de código arbitrario.
  • 1 vulnerabilidad en el componente WebRTC que podría permitir la ejecución de código arbitrario.

A continuación mostramos la tabla de vulnerabilidades.

Vulnerabilidad Componente iCloud Safari WatchOS tvOS macOS iOS
CVE-2018-20346 SQLite
CVE-2018-20505 SQLite
CVE-2018-20506 SQLite
CVE-2019-6215 WebKit
CVE-2019-6212 WebKit
CVE-2019-6216 WebKit
CVE-2019-6217 WebKit
CVE-2019-6226 WebKit
CVE-2019-6227 WebKit
CVE-2019-6233 WebKit
CVE-2019-6234 WebKit
CVE-2019-6229 WebKit
CVE-2019-6228 Safari Reader
CVE-2019-6235 AppleKeyStore
CVE-2019-6202 Core Media
CVE-2019-6230 CoreAnimation
CVE-2019-6231 CoreAnimation
CVE-2019-6224 FaceTime
CVE-2019-6214 IOKit
CVE-2019-6210 Kernel
CVE-2019-6213 Kernel
CVE-2019-6209 Kernel
CVE-2019-6219 Natural Language Processing
CVE-2019-6225 Kernel
CVE-2019-6205 Kernel
CVE-2019-6208 Kernel
CVE-2019-6218 Libxpc
CVE-2019-6200 Bluetooth
CVE-2019-6221 Core Media
CVE-2018-4467 Hypervisor
CVE-2018-4452 Intel Graphics Driver
CVE-2019-6220 QuartzCore
CVE-2019-6211 WebRTC
CVE-2019-6206 Keyboard

Más información:

Apple security updates
https://support.apple.com/en-us/HT201222

Aparecen dos nuevas campañas de malware que se propagan a través de macros de MS Word

Investigadores de seguridad han descubierto dos nuevas campañas de malware, una de las cuales distribuye el troyano Ursnif, mientras que la otra además de propagar el mismo malware, infecta al objetivo con el ransomware GandCrab.

Aunque ambas campañas parecen ser trabajo de grupos de ciberdelincuentes separados, hay muchas similitudes en su ‘modus operandi‘.

Similitudes del ataque:

Ambos ataques comienzan con correos eletrónicos en la que suplantan la identidad de un conocido para adjuntar un documento de Microsoft Word. Este documento contiene macros de VBS maliciosas que hacen uso de Powershell para ejecutar su carga útil e infectar al objetivo.

Infección de Ursnif & GandCrab:

Como hemos explicado, el documento de MS Word contiene una macro maliciosa en VBS. Si esta se ejecuta con éxito, hace uso de Powershell para descargar y ejecutar tanto Ursnif como GandCrab en los sistemas infectados. En la siguiente imagen se puede ver de manera más clara:

La primera carga útil es una línea de Powershell codeada en base64 la cual evalúa la arquitectura del sistema objetivo y, dependiendo de la misma, descarga una carga adicional de Pastebin. Esta se ejecuta en memoria para hacer bypass de los antivirus comunes.

Finalmente, la carga útil instala una variante del ransomware GandCrab en el sistema de la víctima, bloqueándolo hasta que pague el rescate pertinente.

Infección de Ursnif:

Al igual que el anterior malware comentado, hace uso de macros VBS sobre un documento Word malicioso para iniciar la infección.

En este caso, una vez que se ha ejecutado, el malware recopilar información del sistema, la coloca en un archivo con formato CAB y la envía a su C&C a través de una conexión HTTPS.

Los investigadores de la compañía Talos han publicado una lista de indicadores de compromiso, junto con los nombres de los nombres de archivo de carga que utilizan sobre las máquinas comprometidas.

Más información:

Publicación de Carbon Black sobre GandCrab:
https://www.carbonblack.com/2019/01/24/carbon-black-tau-threatsight-analysis-gandcrab-and-ursnif-campaign/

Publicación de Talos sobre Ursnif:
https://blog.talosintelligence.com/2019/01/amp-tracks-ursnif.html

Se detecta una familia de Ransomware, Anatova

McAfee ha publicado una noticia en la que anuncia (y alerta) una nueva familia de Ransomware detectada, la cual han bautizado con el nombre de Anatova.

La detección de esta familia se realizó a través de redes P2P privadas, y se cree que Anatova puede ser un peligro serio para la red en general debido a la extensión modular con la que se ha creado el malware y al auto cifrado del que dispone sus recursos a través de estas redes.

El método de entrada que utiliza Anatova normalmente es el engaño de la víctima a través de un camuflado de su iconos con uno de juegos o aplicaciones conocidas en estas redes P2P, lo que lo hace más amigable para las víctimas.

El objetivo de la familia, como todo ransomware es el cifrado de todos los documentos de la máquina infectada para después pedir un rescate en criptomonedas, que en las muestras analizadas asciende a 10 DASH, que al cambio a dólares son unos 700$. Aunque esta muestra también es capaz de cifrar archivos compartidos en unidades montadas en el sistema.

Sobre el proceso de cifrado, los investigadores de McAfee  que descubrieron el malware alertan de que será imposible la creación de un software para desinfectar el sistema y recuperar los archivos cifrados, debido a que la muestra genera un par de claves RSA para el cifrado de los archivos para cada usuario.

El malware en cuestión analizado, dispone del hash ‘170fb7438316f7335f34fa1a431afc1676a786f1ad9dee63d78c3f5efd3a0ac0’ y cuenta con unas técnicas que dificultan su análisis:

  • Cifrado de la mayoría de las cadenas de texto utilizadas.
  • Llamadas a funciones utilizadas de forma dinámica.
  • Protección anti-debug que hace que en las fases de análisis estático encuentre el final del programa rápidamente.

A parte de estos comportamientos avanzados, también cuenta con otras comprobaciones que hace que el malware no se ejecute como puede ser el nombre de usuarios del sistema, el  entorno de ejecución o el lenguaje del sistema.

Esta familia no afectará a las máquinas en países de la CEI, Siria, Egipto, Marruecos, Irak e India. Un comportamiento que a menudo es habitual en los creadores de este tipo de malware, lo que puede dar pistas del lugar de origen de la muestra.

Tambien han publicado una gráfica con las detecciones en varios paises, Siendo los Estados Unidos donde más muestras se han detectado, aunque afecta seriamente a los países Europeos.

Más información:
Blog de McAfee
https://securingtomorrow.mcafee.com/other-blogs/mcafee-labs/happy-new-year-2019-anatova-is-here/

Bug en iPhone FaceTime permite escuchar y ver a la otra persona antes de descolgar

Ha sido encontrado un fallo en la aplicación de videoconferencias FaceTime, disponible tanto en iOS como en Mac por defecto, que permite escuchar y ver a la persona que se está llamando antes de que ésta acepte la llamada.

Group-FaceTime-iOS-12.12

El fallo es reproducible tanto en iPhone como Mac sin necesidad de conocimientos técnicos y sin que la otra persona se dé cuenta de que está siendo espiada. Para la explotación, no se requieren conocimientos técnicos, aunque si se quiere obtener también vídeo el método es más complicado. Para obtener sólo el audio deben seguirse los siguientes pasos:

  1. Comenzar una llamada usando FaceTime con otro contacto.
  2. Mientras la llamada queda a la espera de aceptación, deslizar hacia arriba para acceder al menú de la llamada, y pulsar en “Añadir persona”.
  3. Añade tu propio número de teléfono a la llamada.
  4. Listo. Comenzará una llamada grupal entre tú mismo y la persona afectada, sin necesidad de que acepte la llamada grupal.

Para obtener además el vídeo, existen diferentes métodos. Según @Jessassin, si otro dispositivo accede a la llamada mediante invitación, la víctima transmitirá también su vídeo. Otra opción, es si la víctima pulsa el botón de encendido en la pantalla de desbloqueo, tras lo cual también enviará el vídeo.

Now you can answer for yourself on FaceTime even if they don’t answer🤒#Apple explain this.. pic.twitter.com/gr8llRKZxJ

— Benji Mobb™ (@BmManski) January 28, 2019

El fallo se ha vuelto popular en la redes sociales bajo el “hashtag” #facetimebug, con usuarios probando por sí mismos el fallo para su asombro. Desde Apple ya han confirmado el error, y van a solucionarlo en una actualización de seguridad esta misma semana. Para evitar ser víctima de este error, se recomienda desactivar Facetime accediendo al menú de opciones del Iphone, acceder al botón de FaceTime, y pulsar en el primer interruptor para ponerlo en gris.

Actualización: debido a la repercusión que ha tenido el bug, Apple ha decidido deshabilitar las llamadas grupales.

Fuente:

Major iPhone FaceTime bug lets you hear the audio of the person you are calling … before they pick up:
https://9to5mac.com/2019/01/28/facetime-bug-hear-audio/

 

Descubierta Facebook bonificando a usuarios por instalar una aplicación que accede a todo el tráfico de red

Recientemente la empresa TechCrunch ha publicado un completo informe en el que demuestran como Facebook estaba bonificando a usuarios, de edades comprendidas entre 23 y 35 años, con hasta 20$ al mes por instalar la aplicación Facebook Research fuera del market oficial de Apple.

La aplicación era distribuida a través de aplicaciones como BetaBound, uTest y Applause y daba capacidad de recopilar la siguiente información:

  • Mensajes privados en aplicaciones de redes sociales.
  • Chats desde aplicaciones de mensajería instantánea.
  • Fotos y vídeos enviados a través de cualquier aplicación.
  • Correos electrónicos.
  • Búsquedas en Internet.
  • Actividad de navegación web.
  • Cualquier información adicional que requiriesen otras aplicaciones, como la ubicación en tiempo real.

Esto lo conseguía a través de la instalación de un certificado raíz, lo cual le permitía a Facebook acceder a todo el tráfico de red.

Esta funcionalidad supone una violación de los términos de servicio de Apple por lo que Facebook se expone a sanciones que pueden llegar hasta el punto de retirarles el certificado usado para la firma de la aplicación.

La aplicación ya ha sido retirada por Facebook en iOS pero sigue disponible para Android, por lo que faltaría que Google se pronunciase al respecto. Koodous muestra que hay versiones de la aplicación desde el 15 de octubre de 2017.