Noticias

Vulnerabilidad crítica en el software de Cisco ASA

Hispasec - Fri, 12/02/2016 - 21:00
Cisco ha anunciado la existencia de una vulnerabilidad crítica en el software Cisco ASA (Adaptive Security Appliances) que podría permitir a un atacante remoto tomar el control de los dispositivos afectados.
La vulnerabilidad (con CVE-2015-6325 y CVSS de 10) se debe a un desbordamiento de búfer en la implementación de Internet Key Exchange (IKE) versión 1 (v1) e IKE versión 2 (v2) del software Cisco ASA. Un atacante remoto sin autenticar podría aprovechar el problema mediante el envío de paquetes UDP manipulados al sistema afectado, lo que podría permitir ejecutar código arbitrario y tomar el control del dispositivo.
Se ven afectados los dispositivos: 
  • Cisco ASA 5500 Series Adaptive Security Appliances
  • Cisco ASA 5500-X Series Next-Generation Firewalls
  • Cisco ASA Services Module for Cisco Catalyst 6500 Series Switches and Cisco 7600 Series Routers
  • Cisco ASA 1000V Cloud Firewall
  • Cisco Adaptive Security Virtual Appliance (ASAv)
  • Cisco Firepower 9300 ASA Security Module
  • Cisco ISA 3000 Industrial Security Appliance 
Cisco ha publicado actualizaciones para todas estas versiones que pueden obtenerse desde el Software Center de Cisco.com en http://www.cisco.com/cisco/software/navigator.html
Más información:
Cisco ASA Software IKEv1 and IKEv2 Buffer Overflow Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160210-asa-ike

Antonio Roperoantonior@hispasec.com
Twitter: @aropero
Categories: Seguridad

Moto G 3ª Generación se actualiza a Android 6.0 Marshmallow

Canal PDA - Fri, 12/02/2016 - 12:08
Moto G 3ª Gen recibirá de manera inminente Android 6.0 Marshmallow, la última versión del sistema operativo más usado del mundo. Esta actualización llegará de forma progresiva a las dos versiones del Moto G 3ª Generación, tanto 8GB como 16GB. Esta nueva versión de Android incluye novedades que te permitirán sacar el máximo partido a […]
Categories: PDA / PPC

Giesecke & Devrient recibe la acreditación AMEX Enabled para la prestación de servicios de pago en nube

Canal PDA - Fri, 12/02/2016 - 10:07
Giesecke & Devrient (G&D) se complace en anunciar que su solución Convego CloudPay ha obtenido la acreditación AMEX Enabled para especificaciones basadas en nube. La acreditación AMEX Enabled abarca servicios básicos, como la gestión de credenciales digitales, el aprovisionamiento y administración del ciclo de vida de tarjetas bancarias, y la generación de datos online y […]
Categories: PDA / PPC

ST simplifica el diseño de wearables para transacciones móviles seguras

Canal PDA - Fri, 12/02/2016 - 10:03
Wearables como Smart Watches podrían sustituir a los Smartphones como el principal elemento de nuestra vida digital con la ayuda del nuevo ecosistema de desarrollo de producto de STMicroelectronics, que aumenta el rendimiento y la seguridad de transacciones móviles. Más de 500 millones dispositivos estarán conectados a Internet en 2019. Así, una enorme base de usuarios […]
Categories: PDA / PPC

Ya disponible Elastix 4.0

Sinologic - Fri, 12/02/2016 - 09:51

Hoy nos hemos despertado con el anuncio por parte del equipo de desarrollo de Elastix, de la publicación de la última versión de Elastix: Elastix 4.0, una nueva versión que viene a sustituir a las Elastix 2.x y que cuenta con tantas novedades que habría que analizarlas en próximos artículos.

Una de las novedades principales es, sin duda, un nuevo aspecto gráfico mucho más moderno, “responsible“, organizado y que se adapta a varios formatos de pantalla. Pese a que mostramos algunas capturas hace meses, el aspecto final ha variado un poco con respecto a esas “primeras imágenes de la Elastix 4” que mostramos entonces.

Otra de las novedades es el sistema operativo: CentOS 7 en lugar de la antigua versión 5. Mayor compatibilidad con el hardware, librerías más rápidas, eficientes y seguras, algo que llevábamos tiempo esperando y que, aunque no sea algo visualmente atractivo, es sin duda uno de los principales cambios.

Elastix 4 también incluye soporte de códec Opus y VP8 incluido de serie, así que los nuevos terminales que soportan estos códecs ya pueden disfrutar de vídeo y sonido UltraHD.

También nos han sorprendido con la inclusión de soporte de WebRTC, de manera que podremos utilizar software WebRTC como softphone web, aplicaciones de callcenter y demás utilidades con la nueva Elastix 4.

Ahora es el momento de descargar la nueva Elastix 4 y ver cómo funciona.

Categories: Asterisk

Norton alerta de que los cibercriminales aprovechan la expansión de Netflix para acceder a datos de los usuarios

Canal PDA - Thu, 11/02/2016 - 15:02
El equipo de Respuesta de Seguridad de Symantec/Norton ha observado dos métodos de ataque diferente: malware disfrazado de Netflix y ataques phising para robar los datos de acceso.El primer tipo de ataque se trata de una campaña de malware que simula ser software de Netflix alojado en el escritorio de los ordenadores comprometidos. Estos ficheros […]
Categories: PDA / PPC

Oracle permite a Telefónica España potenciar nuevos servicios

Canal PDA - Thu, 11/02/2016 - 14:01
En un movimiento dirigido a evolucionar su red para proveer comunicaciones convergentes, Telefónica España ha elegido a Oracle como suministrador y usará Oracle Communication Session Border Controller para su portfolio completo de servicios, los cuales incluyen servicios residenciales, servicios de comunicaciones móviles enriquecidos (RCS), servicios de negocio incluyendo la conexión SIP trunking, acuerdos de soporte […]
Categories: PDA / PPC

Garmin desafía a los asistentes del MWC 2016

Canal PDA - Thu, 11/02/2016 - 13:28
Garmin, líder mundial en navegación por satélite, estará presente en el Mobile World Congress 2016, el encuentro más importante del sector de las telecomunicaciones móviles, que tendrá lugar en Barcelona del 22 al 25 de febrero. Además de dar a conocer sus dispositivos más innovadores, la compañía tendrá especial protagonismo al ser la pulsera oficial […]
Categories: PDA / PPC

La nube permite al 92% de las compañías innovar más rápido, según un estudio de Oracle

Canal PDA - Thu, 11/02/2016 - 13:25
Más del 90% de las compañías cree que la nube les permite innovar más rápido, según un nuevo estudio de Oracle. El estudio, realizado por IDG Connect para Oracle, revela que la mitad (51%) de las empresas habrá alcanzado la madurez cloud en un plazo de dos años, mientras que las preocupaciones y dudas sobre […]
Categories: PDA / PPC

Samsung presenta en European Forum 2016 innovaciones para un estilo de vida más inteligente

Canal PDA - Thu, 11/02/2016 - 11:39
En el marco de Samsung European Forum 2016, que está celebrando en Mónaco, Samsung ha presentado hoy nuevas e innovadoras tecnologías que supondrán una diferencia fundamental en las vidas de los consumidores. La compañía ha dado a conocer su propuesta para responder a los estilos de vida inteligentes y conectados en toda Europa y ha […]
Categories: PDA / PPC

El "Cómo se hizo" del reportaje de "Soy Noticia"

Hispasec - Thu, 11/02/2016 - 11:35
Hace unos días, la cadena de televisión Cuatro emitió un reportaje sobre el "Espionaje en la Red" al cual Hispasec fue invitado con la propuesta de ilustrar a la audiencia de los peligros que supone el uso, irresponsable o al menos despreocupado, de la tecnología. Tras la emisión del programa muchos de los lectores de Una-al-día y algunos clientes nos han hecho llegar varias preguntas que giran en torno a "¿Cómo lo habéis hecho?". Vamos a haceros partícipes del "Cómo se hizo" en un plano técnico que permita darle una perspectiva más profunda.
En primer lugar, para los que no pudisteis ver el programa en su momento:
http://www.cuatro.com/_7ecc7b7a
Los requisitos iniciales eran claros: se quería demostrar el potencial de los dispositivos móviles para poder ser espiados. Para ello nos pusimos a desarrollar una aplicación "ad-hoc" con las siguientes características:
  • Registro de credenciales bancarias
  • Monitorización GPS
  • Lectura de contactos del dispositivo
  • Fotografías con la cámara frontal y trasera
  • Extracción de las fotografías del dispositivo
  • Lectura de los SMS enviados y recibidos
  • Vídeos en tiempo real
La aplicación, que se puede considerar un malware o troyano, fue realizada para Android ya que es el sistema operativo móvil más usado junto a iOS y sobre todo debido a la flexibilidad de crear aplicaciones para él.
Antes de nada, el estudio sobre la vida social de Nacho Medina y el phishing donde se le pide que instale la nueva versión de su aplicación de Banca Online fue igualmente efectuado bajo estricta planificación y ejecución. El APK y la infraestructura del phishing fueron alojados en un servidor controlado por Hispasec.
Interfaz
En primer lugar, para la presentación de los datos recogidos del dispositivo se decidió crear una interfaz de usuario para hacer más visual la información recopilada del usuario. Algo necesario para mostrar al público en general la operativa de manera gráfica. En ésta se mostraban los contactos de la agenda del teléfono, los SMS enviados y recibidos, el mapa de posicionamiento de la víctima (en este caso Nacho Medina, el presentador) y un pequeño visor de las imágenes del dispositivo. La interfaz era completamente operacional. Agradecemos su diseño a nuestro compañero Daniel Vaca (@Diviei), ninja experto en Javascript.
Registro de credenciales bancarias
La primera característica que debería tener el malware era poder robar las credenciales bancarias de la víctima. Para ello copiamos la interfaz de usuario de su aplicación bancaria y redirigimos el envío de datos hacia nuestro servidor. Así, cuando Nacho introdujo sus credenciales las guardamos para posteriormente analizar todos sus movimientos bancarios (visible en la parte final del reportaje). Un esquema clásico del comportamiento del malware actual. Captura y "dropeo" de los datos robados.
Monitorización GPS
Otra de las características que se mostró fue la monitorización de la víctima geográficamente, es decir, dónde estaba en cada momento. Para esto utilizamos el GPS del teléfono móvil y una rutina en "background" en el dispositivo, que cada 5 segundos nos enviaba la ubicación GPS (longitud y latitud) junto con la exactitud de la misma.
Con esta información se procedió a mostrarla de forma interactiva en un mapa para ver en qué posición se encontraba en cada momento. Como es lógico, la tecnología GPS no es totalmente exacta, y menos cuando se trata de un móvil que puede perder la cobertura cuando se encuentra en sitios cerrados, por eso en ciertas ocasiones durante el reportaje aparecen fluctuaciones en el mapa visualizado. Aunque esto último podríamos haberlo simulado parcialmente para evitar "rarezas", preferimos adherirnos a la realidad y mostrarlo con sus virtudes y defectos.
Lectura de contactos del dispositivo
Leer la agenda de la víctima es otro de los puntos de este reportaje, así se podía mostrar la peligrosidad de la aplicación en este aspecto, el robo de los contactos de cualquier víctima potencial. Este mecanismo en Android, hablando de la parte programática, es bastante simple, por lo que se recogió la agenda, con los números de teléfono y se envió al servidor para posteriormente visualizarlos en la interfaz de usuario, eso sí, con todos los datos alterados cuando se muestran en la interfaz.
Fotografías con la cámara frontal y trasera
Se quería enseñar cómo un malware puede tomar el control de las cámaras de nuestro dispositivo sin que nosotros seamos conscientes. Para ello se implementó un simple sistema que bajo demanda tomaba fotografías con la cámara frontal o trasera sin mostrar ningún tipo de aviso o pantalla al usuario. Estas fotografías, una vez tomadas, eran enviadas hacia nuestro servidor y posteriormente visualizadas en la interfaz.
Extracción de las fotografías del dispositivo
Muchas aplicaciones que tenemos instaladas en nuestro dispositivo tienen los permisos y la capacidad para acceder a nuestras fotos y vídeos, aunque no seamos conscientes. En este caso con la ayuda del malware desarrollado, justo después de instalarse en el dispositivo, se procedió a recorrer la galería de fotografías y enviarlas al servidor que preparamos para el evento. Posteriormente a través de la interfaz desarrollada se podía visualizar en un carrusel.
Lectura de SMS enviados y recibidos
La mayoría del malware bancario para Android realiza este tipo de acción. La razón es muy simple, muchas entidades bancarias recurren al envío de SMS como segundo método de autenticación para la emisión de transferencias u otras operaciones. Para poder capturar estos SMS y poder completar las transferencias fraudulentas los atacantes realizan este tipo de malware. En nuestro caso, en primer lugar recogimos todos los SMS que el usuario tenía en el teléfono y cada vez que enviaba o recibía uno, se volvía a contactar con el servidor para registrarlo. Así David y Jorge podían ver los SMS que Nacho Medina estaba enviando.
Vídeos en tiempo real
El vídeo en tiempo real mejor con 4GOtra de las características que tiene el malware es la del vídeo en tiempo real. Esto le da vistosidad a la grabación del reportaje, así que estuvimos realizando algunas pruebas en el Laboratorio y vimos que técnicamente era posible, pero la conexión 3G (el móvil no soportaba 4G) hacía que la calidad del vídeo fuese muy baja y no lo suficientemente llamativa para ser mostrada en un reportaje televisivo. Finalmente decidimos simularlo grabando vídeos off-line y posteriormente insertándolos en la interfaz. Es decir, es posible grabar video y extraerlo, pero en el reportaje quedaba mejor ilustrar este concepto con videos de alta calidad.
Tanto el código de la infraestructura como el de la aplicación móvil no van a ser liberados. Aunque quien sabe, igual Nacho lo envió a Koodous y ahora descansa perdido entre los ocho millones de muestras ;)



Antonio Sánchezasanchez@hispasec.com

Categories: Seguridad

Cabify rediseña su App y personaliza aún más el servicio según las preferencias del pasajero

Canal PDA - Thu, 11/02/2016 - 10:53
Después de 4 años de su lanzamiento y del sólido crecimiento a nivel global, Cabify, la empresa que permite solicitar un coche privado con conductor a través de un Smartphone o la web, presenta una nueva actualización de la aplicación con un sistema más intuitivo y cambios que mejoran la experiencia de los usuarios en […]
Categories: PDA / PPC

Microsoft premia a Banco Sabadell por su proyecto de transformación digital

Canal PDA - Thu, 11/02/2016 - 09:04
Banco Sabadell ha sido el primer banco en conseguir el Premio Microsoft por su proyecto de transformación digital. El premio se entregó en el seno del primer Fórum Microsoft, celebrado en Madrid, y Pol Navarro, director de Transformación Digital de Banco Sabadell, fue el encargado de recogerlo. Microsoft ha destacado los seis proyectos de transformación […]
Categories: PDA / PPC

Actualización para productos Adobe: Flash Player, Photoshop, Connect y Experience Manager

Hispasec - Wed, 10/02/2016 - 22:15
Adobe ha publicado actualizaciones para diversos productos. En esta ocasión los productos afectados son Flash Player, Photoshop, Connect y Experience Manager, en total se han solucionado 32 vulnerabilidades.
En el boletín de seguridad APSB16-03de Adobe, se recoge una actualización para Adobe Photoshop CC 16.1.1 (2015.1.1 y anteriores) y Adobe Bridge CC (6.1.1 y anteriores) para Windows y Macintosh. Este parche está destinado a corregir tres vulnerabilidades relacionadas con corrupción de memoria (CVE-2016-0951, CVE-2016-0952 y CVE-2016-0953) que podrían permitir la ejecución de código.
Se recomienda a los usuarios actualicen sus productos a través de los mecanismos disponibles en cada aplicación (Help/Updates).
En el boletín APSB16-04 Adobe distribuye una nueva actualización para Adobe Flash Player, que en esta ocasión soluciona 22 vulnerabilidades, todas ellas podrían permitir la ejecución de código arbitrario y por tanto tomar el control de los sistemas afectados.
De estas 22 vulnerabilidades, una es de confusión de tipos, seis por usar memoria previamente liberada, un desbordamiento de búfer y 14 por corrupción de memoria. Los CVEs asignados son del CVE-2016-0964 al CVE-2016-0985.
Adobe ha publicado las siguientes versiones de Adobe Flash Player destinadas a solucionar las vulnerabilidades, y se encuentran disponibles para su descarga desde la página oficial: 
  • Flash Player Desktop Runtime 20.0.0.306
  • Flash Player Extended Support Release 18.0.0.329
  • Flash Player para Linux 11.2.202.569
Igualmente se ha publicado la versión 20.0.0.306 de Flash Player para Internet Explorer, Edge y Chrome (Windows y Macintosh).
También se han actualizado AIR Desktop Runtime, AIR SDK, AIR SDK & Compiler a la versión 20.0.0.260 (Windows, Macintosh, Android e iOS). Las actualizaciones se encuentran disponibles a través de los mecanismos a tal efecto en los propios productos. Hay que destacar que esta actualización de Flash Player también se encuentra incluida dentro de las actualizaciones publicadas por Microsoft (en el boletín MS16-022). 
También se ha publicado el boletín APSB16-05 que soluciona cuatro vulnerabilidades en Adobe Experience Manager versiones 6.1.0, 6.0.0 y 5.6.1 para Windows, Unix, Linux y OS X.

Se ha incluido un agente de mitigación de fallos de deserialización en Java, y se soluciona una vulnerabilidad de cross-site scripting, una divulgación de información que afecta a Apache Sling Servlets Post 2.3.6 y Dispatcher 4.1.5 (y superiores) resuelve una vulnerabilidad de salto de filtro de URL. Los CVEs son del CVE-2016-0955 al CVE-2016-0958.
Por último, en el boletín APSB16-07 se recoge una actualización para Adobe Connect 9.4 que soluciona tres vulnerabilidades.
Adobe Connect es una solución de conferencias web para reuniones, aprendizaje electrónico y seminarios Web. Hace posible el uso de soluciones de conferencias en múltiples dispositivos a través de tecnología web.
Adobe Connect 9.5.2 incluye una característica de protección ante Cross-Site Request Forgery, también se resuelve una validación insuficiente de los parámetros en una URL y una vulnerabilidad que se podría emplear para falsear la información presentada en la interfaz de usuario (suplantación de contenido). Los CVE asignados son CVE-2016-0948 al CVE-2016-0950.
Más información:
APSB16-07 Security updates available for Adobe Connect https://helpx.adobe.com/content/help/en/security/products/connect/apsb16-07.html
APSB16-05 Security updates available for Adobe Experience Managerhttps://helpx.adobe.com/content/help/en/security/products/experience-manager/apsb16-05.html
APSB16-04 Security updates available for Adobe Flash Player https://helpx.adobe.com/content/help/en/security/products/flash-player/apsb16-04.html
APSB16-03 Security updates available for Adobe Photoshop CC and Bridge CChttps://helpx.adobe.com/content/help/en/security/products/photoshop/apsb16-03.html


Antonio Roperoantonior@hispasec.comTwitter: @aropero

Categories: Seguridad

Un poderoso smartphone que va a tu ritmo: Xperia M5

Canal PDA - Wed, 10/02/2016 - 18:06
Una cámara poderosa de alta definición, batería de máximo rendimiento, amplio almacenamiento y sobre todo la capacidad de realizar varias tareas simultáneas en pocos minutos, son algunas de las funciones que los usuarios de hoy en día exigen en un smartphone y las principales características del nuevo Xperia M5 de Sony Mobile, pensado y diseñado […]
Categories: PDA / PPC

Huawei y el Atlético de Madrid lanzan el pack edición limitada Huawei P8 lite Atlético

Canal PDA - Wed, 10/02/2016 - 16:17
Huawei, líder mundial en el mercado de smartphones, ha presentado esta mañana el pack especial Huawei P8 lite Atlético, de la mano del Atlético de Madrid en la Ciudad Deportiva del Cerro del Espino. El acto ha contado con la presencia del jugador rojiblanco Antoine Griezmann, el máximo goleador del equipo y ha sido el […]
Categories: PDA / PPC

Instant Network traslada su sede a Barcelona

Canal PDA - Wed, 10/02/2016 - 13:54
La Fundación Vodafone ha anunciado el traslado a Barcelona de la sede de Instant Network, una iniciativa global que tiene como objetivo llevar conectividad a los lugares más desfavorecidos y a afectados por catástrofes naturales y crisis humanitarias. A partir de esta semana, el programa Instant Network se instalará en las oficinas de Vodafone en […]
Categories: PDA / PPC

Todo a salvo en segundos con las memorias USB Philips Dual

Canal PDA - Wed, 10/02/2016 - 13:40
La familia de soportes de grabación Philips incorpora a su catálogo la nueva memoria USB 3.0 con conector dual. Un dispositivo 2 en 1 que destaca por estar dotado de tecnología 3.0, lo que le permite transferir información con gran velocidad (lectura hasta 55MB/s y escritura hasta 10MB/s), entre diferentes dispositivos. Al incluir un conector […]
Categories: PDA / PPC

Hackforgood celebra su 4a edición en 14 ciudades en busca de apps que ayuden a mejorar el mundo

Canal PDA - Wed, 10/02/2016 - 11:13
Madrid, Barcelona, Valencia, Alicante, Murcia, Ciudad Real, Sevilla, Málaga, Las Palmas, Cáceres, Salamanca, Valladolid, León y Vigo serán sede de la 4ª edición de HackForGood Los retos de HackForGood 2016 girarán en torno al desarrollo de aplicaciones y servicios que contribuyan a crear un mundo mejor a partir del uso masivo de datos (Big Data) […]
Categories: PDA / PPC

Orange despliega su red 4G en toda la red de metro de Barcelona

Canal PDA - Wed, 10/02/2016 - 11:07
Orange cubrirá toda la red de metro de Barcelona con su red 4G a lo largo de 2016 y ofrecerá está avanzada tecnología móvil en la nueva línea 9 desde el momento de su inauguración, antes del Mobile World Congress que se celebrará en la capital catalana del 22 al 25 de febrero. En la […]
Categories: PDA / PPC

Pages