Menú

Mostrar Mensajes

Esta sección te permite ver todos los mensajes escritos por este usuario. Ten en cuenta que sólo puedes ver los mensajes escritos en zonas a las que tienes acceso en este momento.

Mostrar Mensajes Menú

Temas - Dragora

#1

Microsoft ha dejado oficialmente de usar la autenticación NTLM en Windows y los servidores de Windows, lo que indica que los desarrolladores deben realizar la transición a la autenticación Kerberos o Negotiation para evitar problemas en el futuro.

Nueva tecnología LAN Manager, más conocido como NTLM, es un protocolo de autenticación lanzado por primera vez en 1993 como parte de Windows NT 3.1 y como sucesor del protocolo LAN Manager (LM).

Microsoft dice que los protocolos NTLM, que todavía se usan ampliamente en la actualidad, ya no están en desarrollo activo a partir de junio y se eliminarán gradualmente en favor de alternativas más seguras.

Este movimiento no es sorprendente, ya que Microsoft anunció por primera vez su intención de eliminar el protocolo de autenticación obsoleto en octubre de 2023, instando a los administradores a pasar a Kerberos y otros sistemas de autenticación contemporáneos, como Negotiate.

Se ha abusado ampliamente de NTLM en ciberataques conocidos como ataques 'NTLM Relay', en los que se toman el control de los controladores de dominio de Windows obligándolos a autenticarse contra servidores maliciosos.

A pesar de que Microsoft introdujo nuevas medidas para defenderse de esos ataques, como la firma de seguridad SMB, los ataques a la autenticación NTLM continúan.

Por ejemplo, los hashes de contraseñas aún pueden ser arrebatados y utilizados en ataques de "pasar el hash", obtenidos en ataques de phishing o extraídos directamente de bases de datos robadas de Active Directory o de la memoria de un servidor. A continuación, los atacantes pueden descifrar los hashes para obtener la contraseña de texto sin formato de un usuario.

Aparte del cifrado más débil utilizado en NTLM, en comparación con protocolos más modernos como Kerberos, el rendimiento del protocolo es deficiente, requiere más viajes de ida y vuelta a la red y no es compatible con las tecnologías de inicio de sesión único (SSO).

Dicho todo esto, NTLM se considera muy obsoleto según los estándares de seguridad y autenticación de 2024, por lo que Microsoft lo está desutilizando.

Proceso de eliminación gradual de NTLM

NTLM seguirá funcionando en la próxima versión de Windows Server y en la próxima versión anual de Windows. Aun así, los usuarios y los desarrolladores de aplicaciones deben realizar la transición a 'Negociar', que intenta autenticarse primero con Kerberos y recurre a NTLM solo cuando es necesario.

Microsoft recomienda que los administradores del sistema usen herramientas de auditoría para comprender cómo se usa NTLM en su entorno e identificar todas las instancias que deben tenerse en cuenta al formular un plan de transición.

Para la mayoría de las aplicaciones, la sustitución de NTLM por Negotiate se puede lograr mediante un cambio de una línea en la solicitud "AcquireCredentialsHandle" a la interfaz del proveedor de soporte técnico de seguridad (SSPI). Sin embargo, hay excepciones en las que es posible que se requieran cambios más extensos.

Negotiate tiene una reserva integrada en NTLM para mitigar los problemas de compatibilidad durante el período de transición.

Los administradores atascados con problemas de autenticación pueden consultar la guía de solución de problemas de Kerberos de Microsoft.

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
#2
Imagen: Midjourney

La cuenta oficial de Microsoft India en Twitter, con más de 211.000 seguidores, fue secuestrada por estafadores de criptomonedas para hacerse pasar por Roaring Kitty, el nombre de usuario utilizado por el famoso comerciante de acciones de memes Keith Gill.

La cuenta X de Microsoft India tiene un cheque de oro como organización oficialmente verificada en la plataforma, lo que le da más legitimidad a las publicaciones de los secuestradores.

Los actores de amenazas aprovechan el reciente regreso de Gill para atraer a víctimas potenciales e infectarlas con malware de drenaje de billeteras de criptomonedas.

Ahora están usando la cuenta secuestrada de Microsoft India para responder a los tweets, atrayendo a los seguidores de la compañía y a otras personas en X a un sitio web malicioso (presaIe-roaringkitty[.] com) que supuestamente les permitiría comprar criptomonedas GameStop (GME) como parte de una llamada preventa.


Sin embargo, los actores de amenazas robarían los activos de cualquier persona que conecte sus billeteras de criptomonedas al sitio y autorice transacciones al servicio de drenaje.

Muchas cuentas de bots ahora también están retuiteando los tweets de la cuenta secuestrada, una táctica diseñada para aumentar artificialmente el alcance de las publicaciones maliciosas y atrapar aún más víctimas.


En los últimos meses, los usuarios de X han sido objeto de una ola masiva de secuestros de cuentas, lo que ha llevado a que las organizaciones verificadas sean víctimas de hackeos que promueven estafas de criptomonedas y drenadores de billeteras.

La cuenta @SECGov de la Comisión de Bolsa y Valores de EE. UU. también se vio comprometida después de un ataque de intercambio de SIM. La cuenta comprometida se utilizó más tarde para publicar un anuncio falso sobre la tan esperada aprobación de los fondos cotizados en bolsa (ETF) de Bitcoin en los exchanges de valores, lo que provocó un aumento temporal de los precios de Bitcoin.

Más tarde, el equipo de seguridad de X también atribuyó la violación a un ataque de intercambio de SIM que secuestró un número de teléfono asociado con la cuenta de @SECGov, señalando que la cuenta de la SEC no tenía habilitada la autenticación de dos factores (2FA) en el momento del hackeo.

Anteriormente, las cuentas X de Netgear y Hyundai MEA también fueron hackeadas para promocionar sitios diseñados para impulsar los drenadores de billeteras criptográficas, mientras que la cuenta de la empresa de seguridad Web3 CertiK también se vio comprometida días antes con fines maliciosos similares.

Desde principios de año, los actores de amenazas se han dirigido cada vez más a las cuentas X gubernamentales y empresariales verificadas con marcas de verificación "doradas" y "grises" para dar credibilidad a los tuits que redirigen a los usuarios a sitios de phishing que promueven estafas de criptomonedas o propagan drenadores de criptomonedas.

Los usuarios de X también se enfrentan a un aluvión incesante de anuncios maliciosos de criptomonedas, lo que da lugar a estafas, lanzamientos aéreos falsos y drenadores de criptomonedas y NFT.

Según los expertos en amenazas de blockchain de ScamSniffer, una campaña publicitaria de X utilizó un solo drenador de billetera conocido como 'MS Drainer' para robar aproximadamente USD 59 millones en criptomonedas de 63,000 personas entre marzo y noviembre.

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
#3

La compañía de computación en la nube y análisis Snowflake dijo que un "número limitado" de sus clientes han sido señalados como parte de una campaña dirigida.

"No hemos identificado evidencia que sugiera que esta actividad fue causada por una vulnerabilidad, configuración incorrecta o violación de la plataforma de Snowflake", dijo la compañía en un comunicado conjunto junto con CrowdStrike y Mandiant, propiedad de Google.

"No hemos identificado evidencia que sugiera que esta actividad fue causada por credenciales comprometidas del personal actual o anterior de Snowflake".

Además, dijo que la actividad está dirigida contra los usuarios con autenticación de un solo factor, y que los actores de amenazas no identificados aprovechan las credenciales compradas u obtenidas previamente a través de malware que roba información.

"Los actores de amenazas están comprometiendo activamente a los inquilinos de los clientes de Snowflake de las organizaciones mediante el uso de credenciales robadas obtenidas mediante el robo de malware de información y el inicio de sesión en bases de datos que están configuradas con autenticación de un solo factor", dijo el CTO de Mandiant, Charles Carmakal, en una publicación en LinkedIn.

Snowflake también insta a las organizaciones a habilitar la autenticación multifactor (MFA) y limitar el tráfico de red solo desde ubicaciones confiables.

La Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA, por sus siglas en inglés), en una alerta emitida el lunes, recomendó a las organizaciones que sigan la guía descrita por Snowflake para buscar signos de actividad inusual y tomar medidas para evitar el acceso de usuarios no autorizados.

Un aviso similar del Centro Australiano de Seguridad Cibernética (ACSC) de la Dirección de Señales de Australia advirtió sobre "compromisos exitosos de varias empresas que utilizan entornos Snowflake".

Algunos de los indicadores incluyen conexiones maliciosas originadas por clientes que se identifican como "rapeflake" y "DBeaver_DBeaverUltimate".

El desarrollo se produce días después de que la compañía reconociera que ha observado un aumento en la actividad maliciosa dirigida a las cuentas de los clientes en su plataforma de datos en la nube.

Si bien un informe de la firma de ciberseguridad Hudson Rock insinuó anteriormente que la violación de Ticketmaster y Santander Bank puede haberse derivado de actores de amenazas que usaron las credenciales robadas de un empleado de Snowflake, desde entonces ha sido eliminado, citando una carta que recibió del asesor legal de Snowflake.

Actualmente no se sabe cómo se robó la información de las dos compañías, que son clientes de Snowflake. ShinyHunters, la persona que se atribuyó la responsabilidad de las violaciones gemelas en los ahora resucitados BreachForums, le dijo a No tienes permitido ver los links. Registrarse o Entrar a mi cuenta que la explicación de Hudson Rock era incorrecta y que es "desinformación".

"Los ladrones de información son un problema importante, hace tiempo que superaron a las botnets, etc., en el mundo real, y la única solución real es la autenticación multifactor robusta", dijo el investigador de seguridad independiente Kevin Beaumont. Se cree que un grupo criminal adolescente está detrás del incidente.

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
#4

Se ha observado un nuevo y sofisticado ataque cibernético dirigido a los puntos finales geolocalizados en Ucrania con el objetivo de desplegar Cobalt Strike y tomar el control de los hosts comprometidos.

La cadena de ataque, según Fortinet FortiGuard Labs, involucra un archivo de Microsoft Excel que lleva una macro VBA incrustada para iniciar la infección.

"El atacante utiliza una estrategia de malware de varias etapas para entregar la notoria carga útil 'Cobalt Strike' y establecer comunicación con un servidor de comando y control (C2)", dijo la investigadora de seguridad Cara Lin en un informe del lunes. "Este ataque emplea varias técnicas de evasión para garantizar el éxito de la entrega de la carga útil".

Cobalt Strike, desarrollado y mantenido por Fortra, es un conjunto de herramientas de simulación de adversarios legítimo utilizado para operaciones de red teaming. Sin embargo, a lo largo de los años, las versiones crackeadas del software han sido ampliamente explotadas por los actores de amenazas con fines maliciosos.

El punto de partida del ataque es el documento de Excel que, cuando se inicia, muestra contenido en ucraniano e insta a la víctima a "Habilitar contenido" para activar las macros. Vale la pena señalar que Microsoft ha bloqueado las macros de forma predeterminada en Microsoft Office a partir de julio de 2022.

Una vez que se habilitan las macros, el documento supuestamente muestra contenido relacionado con la cantidad de fondos asignados a las unidades militares, mientras que, en segundo plano, la macro codificada en HEX implementa un descargador basado en DLL a través de la utilidad del servidor de registro (regsvr32).

El descargador ofuscado supervisa los procesos en ejecución en busca de los relacionados con Avast Antivirus y Process Hacker, y se cierra rápidamente si detecta uno.

Suponiendo que no se identifique tal proceso, se comunica con un servidor remoto para obtener la carga útil codificada de la siguiente etapa, pero solo si el dispositivo en cuestión se encuentra en Ucrania. El archivo decodificado es una DLL que es la principal responsable de lanzar otro archivo DLL, un inyector crucial para extraer y ejecutar el malware final.

El procedimiento de ataque culmina con el despliegue de una baliza de ataque de cobalto que establece contacto con un servidor C2 ("simonandschuster[.] tienda").

"Al implementar comprobaciones basadas en la ubicación durante las descargas de la carga útil, el atacante tiene como objetivo enmascarar la actividad sospechosa, eludiendo potencialmente el escrutinio de los analistas", dijo Lin. "Al aprovechar las cadenas codificadas, el VBA oculta cadenas de importación cruciales, lo que facilita la implementación de archivos DLL para la persistencia y el descifrado de cargas útiles posteriores".

"Además, la función de autoeliminación ayuda a las tácticas de evasión, mientras que el inyector de DLL emplea tácticas de demora y termina los procesos principales para evadir los mecanismos de sandboxing y antidepuración, respectivamente".

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
#5


Hace unos días, Microsoft presentó su nueva gama Surface con procesadores Qualcomm ARM, que incluyen un NPU de 45 TOPS, superando las especificaciones mínimas de 40 TOPS para un PC con IA según Microsoft. Durante el evento, se anunciaron nuevas funciones exclusivas para estos dispositivos, destacando la polémica función Recall.

Función Recall: Capturas de Pantalla y Búsquedas con IA

La función Recall toma capturas de pantalla cada pocos segundos, almacenándolas localmente para que el usuario pueda revisarlas a través de un registro de actividad. Gracias a la inteligencia artificial, es posible realizar búsquedas en el contenido, ya sea texto o imágenes. Esta característica es exclusiva de los dispositivos con NPU integrada y opera sin conexión a Internet, lo que debería proteger la privacidad del usuario al evitar que los datos se suban a los servidores de Microsoft.

Controversia y Preocupaciones de Privacidad

A pesar de las medidas de seguridad, muchos expertos han expresado preocupaciones sobre la función Recall. La Oficina de Protección de Datos del Reino Unido ha solicitado a Microsoft más información sobre cómo funciona y qué se hace con los datos. Microsoft asegura que Recall está diseñada para proteger la privacidad, no capturando contenido protegido por DRM y usando BitLocker para cifrar los datos, especialmente con la próxima actualización 24H2 de Windows 11.

El problema principal no es la función Recall en sí, sino el riesgo de que capturas de pantalla confidenciales puedan ser accedidas por terceros, ya sea de forma remota o local. Esto podría incluir información sensible como números de cuenta y contraseñas.

Microsoft permite desactivar la función Recall en las opciones de configuración de Windows, lo que ofrece a los usuarios preocupados por la privacidad una solución. Sin embargo, el riesgo de privacidad persiste si terceras personas obtienen acceso al equipo.

Personalmente, considerando que todo el proceso de Recall se realiza localmente y está protegido, no veo un problema significativo con esta función. La posibilidad de acceso no autorizado a un equipo siempre representará un riesgo de privacidad, independientemente de la presencia de Recall.

Conclusión

La nueva gama Surface con procesadores Qualcomm ARM y la función Recall representan un avance en la tecnología de PC con IA. Sin embargo, las preocupaciones sobre la privacidad deben ser abordadas adecuadamente para garantizar la seguridad de los usuarios. Microsoft ha tomado medidas para proteger los datos, pero la capacidad de desactivar la función proporciona una capa adicional de control para los usuarios cautelosos.

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
#6

A pesar de no fabricar ni vender chips a terceros, Google es un líder en el negocio de procesadores para centros de datos. La corporación de Mountain View tiene una cuota de mercado significativa, que está en crecimiento gracias a la explosión de la inteligencia artificial (IA).

Una investigación de Tech Insights posiciona a Google como uno de los mayores diseñadores de chips para centros de datos. Gracias a su experiencia en la cadena de suministro de semiconductores y el mercado de ASIC, Tech Insights señala que la cuota de mercado de Google es comparable a la de Intel y AMD.

Google fue pionera en aceleradores de IA personalizados con sus Unidades de Procesamiento Tensorial (TPU) lanzadas en 2015, superando a competidores como Microsoft y Amazon. Solo Nvidia e Intel tienen una cuota de mercado superior a la de Google en este sector.

En 2023, Google envió dos millones de TPU a sus centros de datos globales. Este negocio creció significativamente en 2021 con la TPU v4, coincidiendo con el auge de los grandes modelos de lenguaje. Broadcom, socio clave de Google en el diseño de ASIC, se benefició enormemente de la TPU v4.

Google utiliza TPU para acelerar cargas de trabajo internas, mientras que las GPU de Nvidia manejan tareas de computación en la nube. Tech Insights reportó que en 2023, Google tenía la mayor base instalada de aceleradores de IA y la mayor infraestructura informática de IA.

La sexta generación de TPU de Google, llamada Trillium, está diseñada para mejorar la arquitectura de hipercomputadoras de IA. Además, Tech Insights observó una corrección significativa del inventario en el mercado de servidores el año pasado, con hiperescaladores invirtiendo en nuevos aceleradores y GPU de Nvidia AI.

Microsoft y Amazon también desarrollan aceleradores de IA personalizados, con Azure Cobalt y Graviton, respectivamente, ambos basados en la arquitectura Arm. Google presentó recientemente el procesador Axion, también basado en Arm, para complementar sus TPU. Según Bernstein Research, la arquitectura Arm se usa en el 10% de los servidores del mundo, con más del 50% en los centros de datos de AWS de Amazon.

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
#7

Al instalar un disipador sobre el procesador, es esencial aplicar pasta térmica para garantizar una transferencia de calor eficiente. Tradicionalmente, este compuesto suele ser blanco o grisáceo. Sin embargo, Cooler Master ha decidido romper con la monotonía y ha desarrollado la pasta térmica CryoFuze 5 AI, disponible en seis vibrantes colores.

Históricamente, la pasta térmica ha presentado tonalidades simples debido a su composición. Las pastas térmicas cerámicas suelen ser blancas, mientras que las metálicas, basadas en óxido de zinc o cobre, son grises. Estas pastas, ocultas bajo el disipador junto con el procesador, no han visto la necesidad de variar su color. Su diseño ha priorizado siempre la eficiencia en la transferencia de calor.

Cooler Master, innovando en el mercado, ha creado la primera pasta térmica con colores RGB. Los fabricantes han enfocado siempre sus esfuerzos en mejorar la conductividad térmica, un parámetro crucial para la disipación del calor. Ahora, Cooler Master ha introducido la pasta térmica CryoFuze 5 AI, que no solo promete alta eficiencia, sino también una gama de colores nunca vista.

El catálogo de Cooler Master ahora incluye el nuevo compuesto CryoFuze 5 AI, que utiliza tecnología de nanodiamantes para ofrecer seis tonalidades distintas. Este lanzamiento, descubierto en la versión china de la página web de Cooler Master, no ha sido anunciado oficialmente por la compañía.

La CryoFuze 5 AI, desarrollada en colaboración con inteligencia artificial, incorpora una combinación de polvo de aluminio y óxido de zinc. Su coeficiente de conductividad térmica es de 12.6 W/mK, posicionándola entre las mejores opciones del mercado. Además, soporta un rango de temperatura de -50 ºC a 240 ºC, lo que la hace ideal para overclocking.

Sorprendentemente, la CryoFuze 5 AI está disponible en negro, azul, verde, blanco, amarillo y rojo. Si todas las variantes mantienen la misma conductividad térmica, los colores serían únicamente un elemento estético, ya que la pasta térmica no se verá una vez instalado el disipador.

A pesar de las dudas sobre la utilidad de los colores y la colaboración con inteligencia artificial, el valor de conductividad térmica es impresionante. Estamos a la espera de un anuncio oficial por parte de Cooler Master para aclarar todas las incertidumbres sobre este innovador producto. Ojalá que los colores no influyan en el precio final del compuesto.

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
#8

Zoom ha anunciado la disponibilidad global del cifrado poscuántico de extremo a extremo (E2EE) para Zoom Meetings, con planes de extenderlo a Zoom Phone y Zoom Rooms próximamente.

Detalles del Cifrado Poscuántico

Zoom Meetings es una popular plataforma de videoconferencia que ofrece video y audio de alta definición, uso compartido de pantalla, chat y administración de participantes. Ahora, Zoom ha incorporado el cifrado resistente a la cuántica Kyber768 en sus comunicaciones cifradas de extremo a extremo, asegurando que todos los datos transmitidos entre sus servidores y clientes sean indescifrables, incluso para las computadoras cuánticas más avanzadas.

Funcionamiento del E2EE Poscuántico

Cuando los usuarios habilitan E2EE para sus reuniones, solo los participantes tienen acceso a las claves de cifrado. Los servidores de Zoom no poseen la clave de descifrado, por lo que los datos transmitidos permanecen indescifrables.

Importancia del Cifrado Poscuántico

El sector de la criptografía avanza rápidamente, y se espera que las computadoras cuánticas futuras puedan romper los esquemas de cifrado actuales. Zoom aborda este riesgo introduciendo algoritmos resistentes a la cuántica, protegiendo a los usuarios contra ataques "cosechar ahora, descifrar después", donde los datos interceptados hoy podrían descifrarse en el futuro con tecnología más avanzada.

Comparación con Otras Plataformas

Al igual que plataformas como Signal, Apple iMessage, Tutanota, y Google Chrome, Zoom utiliza el algoritmo Kyber recomendado por el NIST. Este movimiento coloca a Zoom a la vanguardia de la seguridad en comunicaciones unificadas, siendo el primer proveedor de UCaaS en ofrecer videoconferencias resistentes a la cuántica.

Historial y Compromiso con la Seguridad

Zoom fue criticado anteriormente por la falta de cifrado de extremo a extremo, especialmente durante el auge de su popularidad en la era COVID-19. La empresa introdujo E2EE en Zoom Meetings en 2020 y en Zoom Phone en 2022. Ahora, con la implementación del cifrado poscuántico, Zoom demuestra su compromiso con la seguridad y liderazgo en el sector.

Para más información sobre las versiones y plataformas compatibles con E2EE poscuántico, los usuarios pueden visitar la página oficial de Zoom.

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
#9

GitHub ha corregido una vulnerabilidad de omisión de autenticación de gravedad máxima, rastreada como CVE-2024-4985, que afecta a las instancias de GitHub Enterprise Server (GHES) que utilizan la autenticación de inicio de sesión único (SSO) de SAML. Con una puntuación CVSS v4 de 10.0, esta falla permitía a los atacantes forjar una respuesta SAML y obtener privilegios de administrador, proporcionando acceso sin restricciones al contenido de la instancia sin necesidad de autenticación.

Detalles de la Vulnerabilidad

Afecta a: Instancias de GHES con SSO de SAML y aserciones cifradas.
Impacto: Permite a los atacantes obtener privilegios de administrador.
Corrección: Implementada en las versiones 3.12.4, 3.11.10, 3.10.12 y 3.9.15 de GHES, lanzadas el 20 de mayo de 2024.

Qué es GHES

GitHub Enterprise Server es una versión autohospedada de GitHub, diseñada para organizaciones que prefieren almacenar repositorios en sus propios servidores o entornos de nube privada. Es ideal para grandes empresas, equipos de desarrollo que requieren un mayor control sobre sus activos, y organizaciones que manejan datos confidenciales.

Explotación y Mitigación

La vulnerabilidad afecta únicamente a las instancias de GHES que han habilitado la función opcional de aserciones cifradas en SSO de SAML. Esta configuración no es predeterminada, por lo que solo impacta a aquellos administradores que la hayan activado.

La explotación de la falla permitiría a un actor de amenazas forjar una respuesta SAML para obtener acceso de administrador. Para mitigar este riesgo, es crucial actualizar a las versiones corregidas de GHES.


Las actualizaciones incluyen algunas problemáticas conocidas:

  • Borrado de reglas de firewall personalizadas.
  • Error "No such object" durante la validación de la configuración para los servicios Notebook y Viewscreen.
  • La cuenta de administrador raíz de la consola de administración no se desbloquea automáticamente después del bloqueo.
  • Error en el reenvío de registros habilitado para TLS.
  • Error "mbind: Operación no permitida" en los registros de MySQL.
  • Desincronización de la hora del sistema en instancias de AWS tras reinicio.
  • Todas las direcciones IP de cliente aparecen como 127.0.0.1 en los registros de auditoría.
  • Archivos .adoc grandes no se representan en la interfaz de usuario web.
  • Error en la restauración de copia de seguridad con ghe-restore si Redis no se reinicia correctamente.
  • Los repositorios importados mediante ghe-migrator no rastrean correctamente las contribuciones de Advanced Security.
  • Error en los flujos de trabajo de GitHub Actions para GitHub Pages.


A pesar de estos problemas, se recomienda encarecidamente que aquellos que utilicen la configuración vulnerable (SSO SAML + aserciones cifradas) actualicen inmediatamente a una versión segura de GHES para protegerse contra posibles ataques.

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
#10

Una reciente campaña de malware dirigida a usuarios de Android busca extraer datos de cuentas bancarias a través de páginas phishing que se abren cuando el usuario accede a una aplicación en su móvil. La empresa de seguridad informática Cyble ha identificado un nuevo troyano, llamado "Antidote", diseñado para robar credenciales bancarias.

Cómo Funciona el Troyano "Antidote"

Los hackers han creado páginas falsas que simulan ser actualizaciones de la Google Play Store. Al engañar a los usuarios para que instalen este falso paquete de actualización, logran introducir el troyano en los smartphones.

  • Instalación del Troyano: Una vez instalado, el malware muestra una ventana emergente que solicita al usuario completar una actualización de la Play Store, pidiendo acceso a los ajustes de accesibilidad del dispositivo.
  • Robo de Información: Con este acceso, los ciberdelincuentes pueden registrar pulsaciones de teclas, bloquear o desbloquear el teléfono, acceder a contactos y SMS, entre otras funciones. Además, usan la función MediaProjection de Android para acceder al contenido de la pantalla mediante VNC (Virtual Network Computing).
  • Ataque de Superposición (Overlay Attack): El malware envía la lista de aplicaciones instaladas al servidor de comando y control (C&C). Cuando el usuario abre una app bancaria, se despliega una página phishing que simula ser legítima, facilitando el robo de credenciales.


El troyano "Antidote" no solo roba datos bancarios sino que también puede:

  • Grabar la pantalla.
  • Registrar pulsaciones de teclas (keylogging).
  • Hacer peticiones USSD.
  • Desviar llamadas.
  • Permitir comunicación bidireccional entre el servidor y el dispositivo del usuario.


El malware "Antidote" está dirigido a usuarios que hablan español, alemán, ruso, portugués, francés, rumano e inglés, indicando una campaña amplia y multilingüe.

Recomendaciones de Seguridad

  • Descargar aplicaciones únicamente desde fuentes oficiales, como la Google Play Store o la App Store de Apple.
  • Revisar cuidadosamente los permisos solicitados por las aplicaciones.
  • Activar el servicio Google Play Protect en dispositivos Android.

El troyano "Antidote" representa una seria amenaza para la privacidad y seguridad financiera de los usuarios de Android. Mantente informado y toma medidas preventivas para proteger tus datos personales y financieros.

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
#11

Google sigue sorprendiéndonos con sus constantes innovaciones. Después de varios días de pruebas con desarrolladores y usuarios registrados en el programa beta, ya está disponible la versión oficial de Android Auto 12.0. A partir de hoy, puedes descargarla y disfrutar de todas sus novedades. Aquí te detallamos las características principales de esta actualización y cómo descargarla de manera sencilla y rápida.

Innovaciones en Android Auto 12.0

Si eres conductor, es probable que hayas utilizado Android Auto en tus viajes. Esta aplicación está diseñada para facilitar tu experiencia al volante, ofreciendo mayor accesibilidad y seguridad. Con la nueva versión 12.0, Google introduce mejoras significativas:

  • Interfaz Material You: Android Auto 12.0 adopta el lenguaje de diseño único de Google, conocido como Material You. Esto proporciona un acabado visual renovado con una paleta de colores llamativa y nuevas opciones de personalización. La aplicación será más compatible con otras apps y se adaptará mejor a las pantallas de los coches, aunque estos cambios se aprecian principalmente en la app móvil por ahora.
  • Ajustes para Coches Eléctricos: Una de las novedades más prácticas es la implementación de ajustes específicos para vehículos eléctricos. Ahora, podrás encontrar puntos de recarga cercanos directamente a través de Google Maps, facilitando tus desplazamientos sin preocuparte por la batería.

¿Cómo Actualizar a Android Auto 12.0?

La actualización a Android Auto 12.0 ya está disponible y puedes instalarla desde la Google Play Store. Sin embargo, si aún no aparece la opción de actualización, es posible que tarde unas horas en estar disponible para todos los usuarios.

Para actualizar:

  • Revisa la Google Play Store: Abre la tienda de aplicaciones y busca Android Auto. Si la versión 12.0 ya está disponible, simplemente selecciona "Actualizar".
  • Descarga el APK: Si prefieres no esperar, puedes descargar el archivo APK desde un enlace fiable. Este archivo es seguro y oficial de Google. Después de la descarga, instala el APK en tu dispositivo y comienza a disfrutar de las nuevas funciones de Android Auto.


Google continúa mejorando la experiencia de Android Auto con cada actualización. La versión 12.0 promete una interfaz más atractiva y funcionalidades útiles para conductores de coches eléctricos. No esperes más y actualiza tu aplicación para aprovechar todas estas innovaciones. Mantente al día con las mejoras que Google implementa regularmente para ofrecerte una experiencia de conducción más segura y práctica.

¡Descarga Android Auto 12.0 hoy mismo y disfruta de todas sus novedades!

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
#12

La Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA, por sus siglas en inglés) agregó el jueves dos fallas de seguridad que afectan a los enrutadores D-Link a su catálogo de vulnerabilidades explotadas conocidas (KEV, por sus siglas en inglés), basadas en evidencia de explotación activa.

La lista de vulnerabilidades es la siguiente:

  • CVE-2014-100005 - Una vulnerabilidad de falsificación de solicitudes entre sitios (CSRF) que afecta a los routers D-Link DIR-600 y que permite a un atacante cambiar las configuraciones de los routers secuestrando una sesión de administrador existente
  • CVE-2021-40655: una vulnerabilidad de divulgación de información que afecta a los routers D-Link DIR-605 que permite a los atacantes obtener un nombre de usuario y una contraseña mediante la falsificación de una solicitud HTTP POST a la página /getcfg.php

Actualmente no hay detalles sobre cómo se explotan estas deficiencias en la naturaleza, pero se ha instado a las agencias federales a aplicar mitigaciones proporcionadas por el proveedor antes del 6 de junio de 2024.

Vale la pena señalar que CVE-2014-100005 afecta a los productos heredados de D-Link que han alcanzado el estado de fin de vida útil (EoL), lo que requiere que las organizaciones que aún los usan retiren y reemplacen los dispositivos.

El desarrollo se produce cuando el equipo de SSD Secure Disclosure reveló problemas de seguridad sin parches en los enrutadores DIR-X4860 que podrían permitir a los atacantes remotos no autenticados acceder al puerto HNAP para obtener permisos elevados y ejecutar comandos como root.

"Al combinar una omisión de autenticación con la ejecución de comandos, el dispositivo puede verse completamente comprometido", dijo, y agregó que los problemas afectan a los enrutadores que ejecutan la versión de firmware DIRX4860A1_FWV1.04B03.

SSD Secure Disclosure también ha puesto a disposición un exploit de prueba de concepto (PoC), que emplea una solicitud de inicio de sesión HNAP especialmente diseñada para la interfaz de administración del enrutador para eludir las protecciones de autenticación y lograr la ejecución de código aprovechando una vulnerabilidad de inyección de comandos.

Desde entonces, D-Link ha reconocido el problema en un boletín propio, afirmando que una solución está "pendiente de lanzamiento / en desarrollo". Describió la vulnerabilidad como un caso de falla en la ejecución de comandos no autenticados del lado de la LAN.

Ivanti corrige múltiples fallos en Endpoint Manager Mobile (EPMM)

Los investigadores de ciberseguridad también han publicado un exploit de PoC para una nueva vulnerabilidad en Ivanti EPMM (CVE-2024-22026, puntuación CVSS: 6,7) que podría permitir a un usuario local autenticado eludir la restricción de shell y ejecutar comandos arbitrarios en el dispositivo.

"Esta vulnerabilidad permite a un atacante local obtener acceso root al sistema explotando el proceso de actualización de software con un paquete RPM malicioso desde una URL remota", dijo Bryan Smith de Redline Cyber Security.

El problema se deriva de un caso de validación inadecuada en el comando de instalación de la interfaz de línea de comandos de EPMM, que puede obtener un paquete RPM arbitrario de una URL proporcionada por el usuario sin verificar su autenticidad.

CVE-2024-22026 afecta a todas las versiones de EPMM anteriores a la 12.1.0.0. Ivanti también ha parcheado otros dos fallos de inyección SQL en el mismo producto (CVE-2023-46806 y CVE-2023-46807, puntuaciones CVSS: 6,7) que podrían permitir a un usuario autenticado con los privilegios adecuados acceder a los datos de la base de datos subyacente o modificarlos.

Si bien no hay evidencia de que se hayan explotado estas fallas, se recomienda a los usuarios que actualicen a la última versión para mitigar las posibles amenazas.

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
#13

El grupo de hackers Kimsuky, vinculado a Corea del Norte, ha sido atribuido a un nuevo ataque de ingeniería social que emplea cuentas ficticias de Facebook a objetivos a través de Messenger y, en última instancia, entrega malware.

"El actor de amenazas creó una cuenta de Facebook con una identidad falsa disfrazada de funcionario público que trabaja en el campo de los derechos humanos de Corea del Norte", dijo la compañía de ciberseguridad surcoreana Genians en un informe publicado la semana pasada.

La campaña de ataque de varias etapas, que se hace pasar por un individuo legítimo, está diseñada para atacar a activistas en los sectores de derechos humanos y anti-Corea del Norte de Corea del Norte, señaló.

El enfoque se aleja de la típica estrategia de spear-phishing basada en el correo electrónico, ya que aprovecha la plataforma de redes sociales para acercarse a los objetivos a través de Facebook Messenger y engañarlos para que abran documentos aparentemente privados escritos por la persona.

Los documentos señuelo, alojados en OneDrive, son un documento de Microsoft Common Console que se hace pasar por un ensayo o contenido relacionado con una cumbre trilateral entre Japón, Corea del Sur y EE. UU., "My_Essay(prof).msc" o "NZZ_Interview_Kohei Yamamoto.msc", y este último se subió a la plataforma VirusTotal el 5 de abril de 2024 desde Japón.

Esto plantea la posibilidad de que la campaña esté orientada a dirigirse a personas específicas en Japón y Corea del Sur.

El uso de archivos MSC para llevar a cabo el ataque es una señal de que Kimsuky está utilizando tipos de documentos poco comunes para pasar desapercibidos. En un intento adicional de aumentar la probabilidad de éxito de la infección, el documento se disfraza como un archivo de Word inocuo utilizando el icono del procesador de textos.

Si una víctima inicia el archivo MSC y da su consentimiento para abrirlo mediante Microsoft Management Console (MMC), se le muestra una pantalla de consola que contiene un documento de Word que, cuando se inicia, activa la secuencia de ataque.

Esto implica ejecutar un comando para establecer una conexión con un servidor controlado por el adversario ("brandwizer.co[.] in") para mostrar un documento alojado en Google Drive ("Ensayo sobre la resolución del trabajo forzoso coreano Claims.docx"), mientras que se ejecutan instrucciones adicionales en segundo plano para configurar la persistencia, así como para recopilar información sobre la batería y el proceso.

A continuación, la información recopilada se filtra al servidor de comando y control (C2), que también es capaz de recopilar direcciones IP, cadenas de agente de usuario e información de marca de tiempo de las solicitudes HTTP, y entregar cargas útiles relevantes según sea necesario.

Genians dijo que algunas de las tácticas, técnicas y procedimientos (TTP) adoptados en la campaña se superponen con la actividad anterior de Kimsuky que difunde malware como ReconShark, que fue detallado por SentinelOne en mayo de 2023.

"En el primer trimestre de este año, los ataques de spear phishing fueron el método más común de ataques APT reportados en Corea del Sur", señaló la compañía. "Aunque no se informa comúnmente, también se están produciendo ataques encubiertos a través de las redes sociales".

"Debido a su naturaleza personalizada e individual, no son fácilmente detectados por el monitoreo de seguridad y rara vez se informan externamente, incluso si la víctima los conoce. Por lo tanto, es muy importante detectar estas amenazas personalizadas en una etapa temprana".

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
#14

A partir de julio, Microsoft comenzará a aplicar gradualmente la autenticación multifactor (MFA) para todos los usuarios que inicien sesión en Azure para administrar recursos.

Después de completar por primera vez el lanzamiento de Azure Portal, la aplicación de MFA verá un lanzamiento similar para la CLI, PowerShell y Terraform.

Redmond dice que los clientes también recibirán información adicional por correo electrónico y notificaciones oficiales antes de la aplicación de la MFA.

"Se excluyen las entidades de servicio, las identidades administradas, las identidades de carga de trabajo y las cuentas similares basadas en tokens que se usan para la automatización. Microsoft todavía está recopilando información de los clientes para ciertos escenarios, como cuentas de ruptura y otros procesos de recuperación especiales", explicó el gerente de producto de Azure, Naj Shahid.

"Los estudiantes, los usuarios invitados y otros usuarios finales solo se verán afectados si inician sesión en Azure Portal, CLI, PowerShell o Terraform para administrar los recursos de Azure. Esta directiva de cumplimiento no se extiende a las aplicaciones, los sitios web o los servicios hospedados en Azure. La política de autenticación para ellos seguirá siendo controlada por los propietarios de la aplicación, el sitio web o el servicio".

Microsoft también instó a los administradores a habilitar MFA en sus inquilinos antes de la implementación mediante el asistente de MFA para Microsoft Entra. También pueden supervisar qué usuarios se han registrado para MFA mediante el informe de registro de métodos de autenticación y este script de PowerShell para obtener un informe del estado de MFA en toda la base de usuarios.


Según un estudio de Microsoft centrado en analizar el rendimiento de seguridad de los métodos de MFA en un gran conjunto de datos de usuarios de Azure Active Directory que muestran actividad sospechosa, MFA ofrece un gran impulso de protección para las cuentas de usuario contra los ciberataques, ya que más del 99,99 % de todas las cuentas habilitadas para MFA resisten los intentos de piratería.

Como descubrieron los analistas de la compañía, MFA también reduce el riesgo de compromiso en un 98,56%, incluso cuando los atacantes intentaron violar las cuentas utilizando credenciales robadas.

Esto se produce después de que Redmond anunciara en noviembre que pronto implementaría directivas de acceso condicional que requerirían MFA para todos los administradores al iniciar sesión en portales de administración de Microsoft (por ejemplo, Entra, Microsoft 365, Exchange y Azure), para los usuarios de todas las aplicaciones en la nube y para los inicios de sesión de alto riesgo (esta última opción solo está disponible para los clientes de Microsoft Entra ID Premium Plan 2).

"Nuestro objetivo es la autenticación multifactor al 100 por ciento. Dado que los estudios formales muestran que la autenticación multifactor reduce el riesgo de apropiación de cuentas en más del 99 por ciento, cada usuario que se autentique debe hacerlo con una autenticación fuerte moderna", dijo Weinert en ese momento.

Como parte del mismo movimiento para impulsar la adopción de MFA, GitHub, propiedad de Microsoft, también requiere que todos los desarrolladores activos habiliten la autenticación de dos factores (2FA) a partir de enero de 2024.

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
#15

El troyano bancario para Android "Grandoreiro" se está propagando en una campaña de phishing a gran escala en más de 60 países, dirigida a cuentas de clientes de aproximadamente 1.500 bancos.

En enero de 2024, una operación policial internacional en la que participaron Brasil, España, Interpol, ESET y Caixa Bank anunció la interrupción de la operación de malware, que se dirigía a países de habla hispana desde 2017 y causó pérdidas por valor de 120 millones de dólares.

Al mismo tiempo, se produjeron cinco detenciones y trece acciones de registro e incautación en todo Brasil. Sin embargo, no se proporcionó información sobre el papel de las personas detenidas en la operación.

El equipo X-Force de IBM informa de que Grandoreiro parece haber vuelto a las operaciones a gran escala desde marzo de 2024, probablemente alquiladas a los ciberdelincuentes a través de un modelo de Malware-as-a-Service (MaaS), y ahora también dirigidas a los países de habla inglesa.


Además, el troyano en sí se ha sometido a una renovación técnica que agregó muchas características nuevas y poderosas y mejoras, lo que indica que sus creadores evadieron el arresto y no fueron disuadidos por la represión anterior.

Nuevas campañas de phishing

Dado que varios actores de amenazas alquilan el malware, los señuelos de phishing son diversos y están diseñados específicamente para las organizaciones a las que se dirige un ciberdelincuente en particular.

Los correos electrónicos de phishing vistos por IBM se hacen pasar por entidades gubernamentales en México, Argentina y Sudáfrica, principalmente organizaciones de administración tributaria, servicios de ingresos y comisiones federales de electricidad.

Los correos electrónicos están escritos en el idioma nativo del destinatario, incorporan logotipos y formatos oficiales y contienen una llamada a la acción, como hacer clic en enlaces para ver facturas, estados de cuenta o documentos fiscales.


Cuando los destinatarios hacen clic en esos correos electrónicos, son redirigidos a una imagen de un PDF que desencadena la descarga de un archivo ZIP que contiene un ejecutable inflado (100 MB), que es el cargador Grandoreiro.

Novedades de Grandoreiro

IBM X-Force notó varias características nuevas y actualizaciones significativas en la última variante del troyano bancario Grandoreiro, lo que lo convierte en una amenaza más evasiva y efectiva.

Estos se pueden resumir en lo siguiente:

  • Algoritmo de descifrado de cadenas reelaborado y mejorado utilizando una combinación de AES CBC y decodificador personalizado.
  • Actualizaciones en el algoritmo de generación de dominios (DGA) que ahora incluye múltiples semillas para separar las comunicaciones de comando y control (C2) con las tareas del operador.
  • Nuevo mecanismo que se dirige a los clientes de Microsoft Outlook, deshabilitando las alertas de seguridad y usándolas para enviar phishing a nuevos objetivos.
  • Nuevo mecanismo de persistencia que se basa en la creación de claves de ejecución del Registro ('HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run' y 'HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run')
  • Expansión de las aplicaciones bancarias de orientación e inclusión de billeteras de criptomonedas.
  • Ampliación del conjunto de comandos, que ahora incluye control remoto, carga/descarga de archivos, registro de teclas y manipulación del navegador a través de comandos JavaScript.

Otra novedad notable es la capacidad de Grandoreiro para realizar un perfil detallado de las víctimas y decidir si se ejecutará o no en el dispositivo, lo que brinda a los operadores un mejor control del alcance de su objetivo.

Los analistas de IBM informan que la última versión del troyano evita la ejecución en países específicos como Rusia, Chequia, Países Bajos y Polonia, así como en máquinas con Windows 7 en los Estados Unidos donde no hay ningún antivirus activo.

Lo anterior indica claramente que, a pesar de la reciente acción de las fuerzas del orden, Grandoreiro está vivo y coleando y, desafortunadamente, parece más fuerte que nunca.

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
#16
Noticias Informáticas / MITRE presenta EMB3D
Mayo 14, 2024, 02:11:26 AM

MITRE Corporation ha puesto oficialmente a disposición un nuevo marco de modelado de amenazas llamado EMB3D para los fabricantes de dispositivos integrados utilizados en entornos de infraestructura crítica.

"El modelo proporciona una base de conocimiento cultivada de las amenazas cibernéticas a los dispositivos integrados, proporcionando una comprensión común de estas amenazas con los mecanismos de seguridad necesarios para mitigarlas", dijo la organización sin fines de lucro en una publicación anunciando la medida.

El 13 de diciembre de 2023 se publicó previamente una versión preliminar del modelo, que ha sido concebida en colaboración con Niyo 'Little Thunder' Pearson, Red Balloon Security y Narf Industries.

Se espera que EMB3D, al igual que el marco ATT&CK, sea un "marco vivo", con nuevas mitigaciones agregadas y actualizadas con el tiempo a medida que surjan nuevos actores, vulnerabilidades y vectores de ataque, pero con un enfoque específico en los dispositivos integrados.

El objetivo final es proporcionar a los proveedores de dispositivos una imagen unificada de las diferentes vulnerabilidades en sus tecnologías que son propensas a los ataques y los mecanismos de seguridad para mitigar esas deficiencias.

De manera análoga a cómo ATT&CK ofrece un mecanismo uniforme para rastrear y comunicar amenazas, EMB3D tiene como objetivo ofrecer una base de conocimiento central de amenazas dirigidas a dispositivos integrados.

"El modelo EMB3D proporcionará un medio para que los fabricantes de dispositivos ICS comprendan el panorama de amenazas en evolución y las posibles mitigaciones disponibles en una etapa más temprana del ciclo de diseño, lo que dará como resultado dispositivos más inherentemente seguros", señaló Pearson en ese momento.

"Esto eliminará o reducirá la necesidad de 'atornillar' la seguridad después del hecho, lo que resultará en una infraestructura más segura y costos de seguridad reducidos".

Al lanzar el marco, la idea es adoptar un enfoque seguro por diseño, lo que permite a las empresas lanzar productos que tienen un número reducido de fallas explotables listas para usar y tienen configuraciones seguras habilitadas de forma predeterminada.

La investigación que la empresa de ciberseguridad de tecnología operativa (OT) Nozomi Networks publicó el año pasado reveló que los actores de amenazas se han dirigido de manera oportunista a entornos industriales explotando vulnerabilidades, abusando de credenciales y phishing para el acceso inicial, intentos de DDoS y ejecución de troyanos.

Los adversarios, dijo la compañía, han intensificado particularmente los ataques dirigidos a las fallas descubiertas en los dispositivos OT e IoT utilizados en los sectores de alimentos y agricultura, químicos, tratamiento de agua, fabricación y energía.

"EMB3D proporciona una base de conocimiento cultivada de amenazas cibernéticas a los dispositivos, incluidas las observadas en el entorno de campo o demostradas a través de pruebas de concepto y/o investigación teórica", dijo la organización sin fines de lucro.

"Estas amenazas se asignan a las propiedades del dispositivo para ayudar a los usuarios a desarrollar y adaptar modelos de amenazas precisos para dispositivos integrados específicos. Para cada amenaza, las mitigaciones sugeridas se centran exclusivamente en los mecanismos técnicos que los proveedores de dispositivos deben implementar para protegerse contra la amenaza dada, con el objetivo de crear seguridad en el dispositivo".

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
#17

Un ciberdelincuente que utiliza el nombre de "salfetka" afirma estar vendiendo el código fuente de INC Ransom, una operación de ransomware como servicio (RaaS) lanzada en agosto de 2023.

INC ha apuntado anteriormente a la división estadounidense de Xerox Business Solutions (XBS), Yamaha Motor Filipinas y, más recientemente, al Servicio Nacional de Salud (NHS) de Escocia.

Simultáneamente con la supuesta venta, la operación INC Ransom está experimentando cambios que podrían sugerir una ruptura entre los miembros de su equipo principal o planes para pasar a un nuevo capítulo que implicará el uso de un nuevo cifrador.

Venta de código fuente

El actor de amenazas anunció la venta de las versiones de INC para Windows y Linux/ESXi en los foros de piratería Exploit y XSS, pidiendo 300.000 dólares y limitando el número de compradores potenciales a sólo tres.

Según la información proporcionada a BleepingComputer por los expertos en inteligencia de amenazas de KELA, que detectaron la venta, los detalles técnicos mencionados en la publicación del foro, como el uso de AES-128 en modo CTR y los algoritmos Curve25519 Donna, se alinean con el análisis público de las muestras de INC Ransom.



KELA también le dijo a BleepingComputer que "salfetka" ha estado activo en los foros de piratería desde marzo de 2024. Anteriormente, el actor de amenazas buscaba comprar acceso a la red por hasta USD 7,000 y ofreció una parte a los corredores de acceso inicial de las ganancias del ataque de ransomware.

Otro punto que agrega legitimidad a la venta es que "salfetka" incluye las URL de la página de INC Ransom antiguas y nuevas en su firma, lo que indica que están afiliados a la operación de ransomware.

Aún así, la venta podría ser una estafa, ya que el actor de amenazas ha curado cuidadosamente la cuenta "salfetka" durante los últimos meses, declarando su interés en comprar acceso a la red y estableciendo un precio alto para que la oferta parezca legítima.

Actualmente, no hay anuncios públicos en el sitio antiguo o nuevo de INC sobre la venta del código fuente del proyecto.

INC Ransom se muda a un nuevo sitio

El 1 de mayo de 2024, INC Ransom anunció en su antiguo sitio de filtraciones que se trasladaría a un nuevo "blog" de extorsión de fugas de datos y compartió una nueva dirección TOR, afirmando que el antiguo sitio se cerraría en dos o tres meses.


El antiguo sitio de INC Ransom anunciando el cambio a una nueva URL
Fuente: BleepingComputer

El nuevo sitio ya está en funcionamiento, y hay cierta superposición en las listas de víctimas con el portal anterior, y doce nuevas víctimas que no se ven en el sitio anterior.

En total, el nuevo sitio enumera 64 víctimas (12 nuevas), mientras que el antiguo tiene 91 publicaciones, por lo que aproximadamente la mitad de las víctimas pasadas de INC están desaparecidas.

"Las discrepancias entre los dos sitios pueden sugerir que una operación puede haber experimentado un cambio de liderazgo o una división en diferentes grupos", comentaron los analistas de KELA.

"Sin embargo, el hecho de que 'salfetka' haya hecho referencia a ambos sitios como sus supuestos proyectos sugiere que el actor no está relacionado con una sola parte de la operación".

"En este caso, es posible que el nuevo blog haya sido creado en un intento de obtener más ganancias de la venta".

También vale la pena señalar que el nuevo diseño de la página de extorsión de INC se asemeja visualmente al de Hunters International, lo que podría indicar una conexión con la otra operación de RaaS.


El nuevo sitio de extorsión INC RansomFuente: BleepingComputer

A diferencia de una filtración pública que permite a los analistas de seguridad descifrar el cifrado de una cepa de ransomware, las ventas de código fuente privado de cepas para las que no hay un descifrador disponible tienen el potencial de crear más problemas para las organizaciones de todo el mundo.

Estos creadores de ransomware son comprados por actores de amenazas altamente motivados que acaban de ingresar al espacio o grupos semiestablecidos que buscan mejorar su juego utilizando un cifrado más robusto y bien probado.

Esto es especialmente cierto cuando se ofrece una versión de Linux/ESXi, que generalmente es más difícil de desarrollar y más costosa de adquirir.

Cuando las bandas de ransomware cambian de marca, suelen reutilizar gran parte del código fuente de sus antiguos encriptadores, lo que permite a los investigadores vincular a las bandas más antiguas con las nuevas operaciones.

El uso de los encriptadores de otras operaciones de ransomware también puede ayudar a cambiar la marca, ya que enturbia el camino para las fuerzas del orden y los investigadores.

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
#18

Apple ha retroportado parches de seguridad lanzados en marzo a iPhones y iPads más antiguos, arreglando un kernel de día cero de iOS etiquetado como explotado en ataques.

En los avisos de seguridad publicados hoy, Apple dijo una vez más que están al tanto de los informes de que esta vulnerabilidad "puede haber sido explotada activamente".

La falla es un problema de corrupción de memoria en el sistema operativo en tiempo real RTKit de Apple que permite a los atacantes con capacidad arbitraria de lectura y escritura del kernel eludir las protecciones de memoria del kernel. La compañía aún no ha atribuido el descubrimiento de esta vulnerabilidad de seguridad a un investigador de seguridad.

El 5 de marzo, la compañía abordó la vulnerabilidad de día cero (rastreada como CVE-2024-23296) para los modelos más nuevos de iPhone, iPad y Mac.

Hoy, Apple ha presentado las actualizaciones de seguridad de marzo para solucionar este fallo de seguridad en iOS 16.7.8, iPadOS 16.7.8 y macOS Ventura 13.6.7 con una validación de entrada mejorada.

La lista de dispositivos parcheados hoy incluye iPhone 8, iPhone 8 Plus, iPhone X, iPad de 5.ª generación, iPad Pro de 9,7 pulgadas y iPad Pro de 12,9 pulgadas de 1.ª generación.

Tres días cero explotados en ataques parcheados en 2024

Apple aún no ha revelado quién reveló el día cero o si fue descubierto internamente, y no ha proporcionado información sobre la naturaleza de los ataques que lo explotan en la naturaleza.

Aunque Apple no ha publicado detalles sobre la explotación CVE-2024-23296, los días cero de iOS se utilizan comúnmente en ataques de software espía patrocinados por el estado dirigidos a personas de alto riesgo, incluidos periodistas, disidentes y políticos de la oposición.

Si bien es probable que este día cero solo se haya utilizado en ataques dirigidos, se recomienda encarecidamente instalar las actualizaciones de seguridad de hoy lo antes posible para bloquear posibles intentos de ataque si está utilizando un modelo de iPhone o iPad más antiguo.

Desde principios de año, Apple ha fijado tres días cero: dos en marzo (CVE-2024-23225 y CVE-2024-23296) y uno en enero (CVE-2024-23222).

En enero, Apple también presentó parches para dos WebKit de día cero (CVE-2023-42916 y CVE-2023-42917), que se parchearon en noviembre para dispositivos más nuevos.

Con la actualización de iOS 17.5 de hoy, Apple también ha agregado soporte para alertas de seguimiento no deseadas (Google lanzó la misma capacidad en dispositivos Android 6.0+).

Estas alertas advertirán a los usuarios si se están utilizando dispositivos de rastreo Bluetooth (AirTag, accesorio Find My u otro rastreador Bluetooth compatible con las especificaciones de la industria) para rastrear su ubicación.

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
#19

Microsoft tiene previsto restringir el acceso a más de cincuenta productos en la nube para las organizaciones rusas para finales de marzo, como parte de las sanciones impuestas contra el país por los reguladores de la UE en diciembre pasado.

Inicialmente, la suspensión estaba programada para el 20 de marzo de 2024, pero se pospuso para finales de mes con el fin de brindar a las entidades afectadas más tiempo para encontrar soluciones alternativas.

La primera noticia sobre estas suspensiones próximas fue reportada por el Grupo de Empresas Softline, uno de los principales proveedores de servicios de tecnología de la información que operan en Rusia.

"El Grupo de Empresas Softline confirma haber recibido información oficial de Microsoft y Amazon sobre la suspensión del acceso a los productos en la nube en Rusia a partir del 20 de marzo de 2024", se cita en la publicación traducida automáticamente de Softline.

"En este contexto, el Grupo de Empresas Softline advierte sobre posibles limitaciones funcionales en la operación de productos y servicios en la nube de Microsoft, Amazon y Google".

Softline compartió la carta de Microsoft en Telegram, que señala que las suspensiones se deben al Reglamento 2023/2873 del Consejo de la UE, promulgado en diciembre pasado.

Recientemente, la Unión Europea ha impuesto nuevas sanciones económicas que, a partir del 20 de marzo de 2024, prohíben a Microsoft suministrar cierto software de gestión o diseño, incluidas las soluciones basadas en la nube, a entidades constituidas en Rusia.

Microsoft ha identificado que una o varias de sus suscripciones o paquetes de servicios están sujetos a estas prohibiciones. La empresa se compromete a cumplir con las leyes y regulaciones comerciales de la UE, así como con todas las demás jurisdicciones en las que opera.

En cumplimiento de estos mandatos gubernamentales, Microsoft debe finalizar estas suscripciones antes del 20 de marzo de 2024, a menos que haya futuras directrices de la UE que modifiquen esta determinación o una autorización general o específica de los reguladores de la UE.

Después del 20 de marzo de 2024, no será posible acceder a esos productos o servicios de Microsoft, ni a ningún dato almacenado en ellos,

Se informa que, luego de dialogar con Softline, Microsoft ha acordado retrasar la suspensión de los servicios hasta finales de marzo.

La carta de Microsoft no especificó qué servicios serían retirados, pero TASS ha compilado una lista de más de 50 productos que no estarán disponibles a fines de marzo.

Algunos de los productos más importantes a los que se les invalidarán las claves de licencia son:

  • Microsoft Azure: plataforma en la nube para servicios informáticos, analíticos, de almacenamiento y de redes.
  • Dynamics 365: Aplicaciones ERP y CRM para la gestión de procesos de negocio y relaciones con los clientes.
  • Microsoft Teams: Plataforma de colaboración y comunicación para lugares de trabajo modernos.
  • Power BI: Herramienta de analítica empresarial para la visualización de datos y la toma de decisiones informadas.
  • SQL Server: Un sistema de administración de bases de datos para el almacenamiento, la administración y el análisis de datos seguros y confiables.
  • Visual Studio: Entorno de desarrollo integrado (IDE) para el desarrollo de software en varios lenguajes.
  • Power Automate: Herramienta de automatización del flujo de trabajo en varias aplicaciones y servicios para aumentar la eficiencia.
  • SharePoint: Plataforma de gestión documental y colaboración para procesos centrados en proyectos y documentos.
  • Intune: solución de administración de puntos de conexión para administrar dispositivos móviles y aplicaciones de forma segura.
  • Dynamics AX/NAV: Soluciones ERP para la gestión financiera, de RRHH y de operaciones en medianas y grandes empresas.
  • Microsoft 365: Suite que incluye aplicaciones de Office, servicios en la nube y seguridad para una productividad y colaboración integrales.
  • OneDrive: Servicio de almacenamiento en la nube para guardar archivos y fotos, facilitando el uso compartido y el acceso desde cualquier lugar.
  • Excel: Aplicación de hoja de cálculo para el análisis de datos, la visualización y las capacidades de cálculo integrales.

Además de lo mencionado, Microsoft bloqueará el acceso al software relacionado con LinkedIn y a los kits de desarrollo de Media Player.

Se ha explicado que la invalidación de las licencias afectará a las empresas y organizaciones rusas dedicadas a la arquitectura, diseño, construcción, fabricación, medios de comunicación, educación, entretenimiento, modelado de información de construcción (BIM), diseño asistido por ordenador (CAD) y fabricación asistida por ordenador (CAM).

Sin embargo, no se han anunciado planes para restringir el acceso a los particulares, lo que sugiere que los productos mencionados seguirán disponibles para los usuarios normales.

Aunque este cambio no fue del todo sorpresivo dadas las circunstancias actuales en Ucrania, muchas entidades rusas anteriormente optaron por adquirir suscripciones a productos de Microsoft utilizando cuentas extranjeras u otros métodos.

Hasta el momento, Microsoft no ha respondido a múltiples correos electrónicos solicitando información sobre las suspensiones.

Al parecer, se espera un destino similar para los servicios en la nube de Amazon, Google y Oracle, que están incluidos en el mismo conjunto de sanciones (2023/2873), según usuarios rusos que compartieron un correo electrónico de Amazon Web Services en Telegram.


Se espera que esta reciente medida impulse a los consumidores y empresas rusas hacia la utilización de alternativas desarrolladas localmente, sustituyendo así a los productos fabricados en Occidente.

Este cambio está en línea con los esfuerzos del gobierno ruso para fomentar el uso de soluciones internas mediante diversas estrategias.

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
#20

Santiago Pedraz, magistrado de la Audiencia Nacional, ha emitido una orden de bloqueo provisional de Telegram en España. Según informes de Telecinco, esta medida temporal responde a una demanda presentada por Mediaset España (la empresa matriz de dicho canal de televisión), EGEDA, A3 Media y Movistar Plus, alegando la presunta difusión de contenido sin autorización en la plataforma.

Se indica que la suspensión del servicio de mensajería debe ser llevada a cabo por las compañías telefónicas que operan en el país. Hasta el momento de redactar este artículo, sin embargo, Telegram sigue siendo accesible y funcional. Se informa que el juez tomó esta medida cautelar luego de no recibir cierta información solicitada a la empresa responsable de la aplicación.

Telegram podría ser bloqueado en las próximas horas

Según informantes familiarizados con el asunto consultados por Xataka, la Audiencia Nacional está enviando la orden judicial a los proveedores de servicios para que ejecuten la medida en un plazo máximo de tres horas desde su notificación. Por lo tanto, es probable que los proveedores aún no hayan recibido la orden judicial, lo que explica por qué Telegram sigue funcionando.

No se dispone de información sobre la duración prevista del bloqueo, aunque se indica desde la cadena de televisión mencionada que el juez Pedraz "requiere más tiempo" para investigar el asunto. No tienes permitido ver los links. Registrarse o Entrar a mi cuenta, citando fuentes jurídicas, confirma esta información y afirma que el bloqueo ocurrirá "en las próximas horas y no más tarde de dos días".

Telegram es una de las aplicaciones de mensajería instantánea más utilizadas en España. Según datos de Statista, el 39,6% de la población española utiliza la aplicación de la empresa liderada por Pavel Durov para comunicarse. WhatsApp, propiedad de la multinacional estadounidense Meta, es la aplicación de mensajería más popular en España, con un 95,5% de uso entre los españoles.

A pesar de que Pavel Durov nació en la década de 1980 en lo que antes era la URSS y ahora es San Petersburgo, afirma haber dejado Rusia en 2014. Su empresa tampoco opera desde ese país. Según lo indicado en su página web, Telegram FZ LLC cuenta con servidores ubicados en varias partes del mundo, pero tiene su sede en Dubái, Emiratos Árabes Unidos.

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
#21

Podman Desktop 1.8 representa la última versión de esta herramienta gráfica diseñada para simplificar la gestión de contenedores y trabajar con Kubernetes. Esta actualización se centra en mejorar el soporte para Kubernetes y en ofrecer una experiencia más fluida para los desarrolladores.

Una de las características destacadas de Podman Desktop 1.8 es su explorador de Kubernetes, que ahora ofrece una amplia funcionalidad para trabajar con Despliegues, Servicios, Ingresos y Rutas, además del soporte existente para pods. Proporciona información en tiempo real sobre el estado de los recursos en el clúster y permite crear o actualizar recursos directamente desde la interfaz con la opción "Apply YAML".

Además, el explorador de Kubernetes ofrece páginas de Resumen, Inspección y Kube, que permiten al usuario realizar ediciones y aplicar cambios de manera eficiente.

Para simplificar la configuración del entorno local, Podman Desktop 1.8 introduce un nuevo flujo basado en un asistente que guía a los desarrolladores a través de la configuración de herramientas como Compose, kubectl CLI y Podman.

Otra novedad es el Centro de Aprendizaje incluido en el Panel, que proporciona recursos educativos para ayudar a los desarrolladores a familiarizarse con distintas tecnologías y temas relacionados con los contenedores. Este centro ofrece guías accesibles y fáciles de seguir para utilizar Podman Desktop con algunas de las tecnologías más populares del sector.


Podman Desktop está diseñado con la intención de ser ampliable mediante extensiones, lo que implica la disponibilidad de una API específica para este propósito. En la versión 1.8, se han realizado mejoras significativas en esta API, especialmente en lo que respecta a las capacidades que pueden ser respaldadas por las extensiones y su integración con la aplicación. Entre las nuevas funcionalidades introducidas se incluye la capacidad de crear contenedores dentro de un pod, la apertura de diálogos para operaciones de apertura y guardado, y la posibilidad de utilizar iconos personalizados para acciones contribuidas.

Además de estas mejoras destacadas, la versión 1.8 de Podman Desktop presenta una serie de otras novedades, como la opción de habilitar una máquina Podman en sistemas Linux, mejoras en las alertas de actualización, la compatibilidad con rutas para OpenShift y el uso de HTTPS al implementarse en un clúster de Kubernetes. En las versiones para Windows y macOS de Podman Desktop, se incluye Podman 4.9.3, mientras que en Linux, el motor de contenedores debe ser instalado por separado utilizando el gestor de paquetes tradicional de la distribución utilizada.

Para obtener más información sobre Podman Desktop 1.8, los detalles completos están disponibles en el anuncio oficial y en la entrada correspondiente en el blog de Red Hat. La aplicación puede descargarse desde la sección de descargas del sitio web oficial, disponible para Linux, Windows y macOS. Para sistemas Linux, existe una compilación oficial en formato Flatpak y un archivo tarball en formato tar.gz, aunque la opción más conveniente suele ser buscarla en Flathub, un repositorio que suele estar configurado automáticamente en la mayoría de las instalaciones de Linux que utilizan Flatpak.

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
#22

Red Hat ha comunicado a través de las listas de correo del kernel Linux el lanzamiento de Nova, un nuevo controlador diseñado específicamente para las tarjetas gráficas de NVIDIA y con la meta de reemplazar a Nouveau.

Dado que Nova acaba de ser anunciado, todavía queda un extenso trabajo por realizar antes de que esté listo para su implementación, y esto depende de que Red Hat logre concretar el proyecto. La intención es desarrollarlo en Rust, con la condición de que funcione exclusivamente con el firmware GSP, lo que permitiría reducir la complejidad que caracteriza a Nouveau.

Danilo Krummich, quien anunció la creación de Nova, ha destacado que la arquitectura histórica de Nouveau, particularmente en torno a nvif/nvkm, es compleja e inflexible, y requiere una revisión significativa para resolver ciertos problemas técnicos. Además, al contar con un controlador que solo opera sobre GSP, no sería necesario mantener la compatibilidad con versiones anteriores.

La elección de Rust como lenguaje de programación se basa en su reputación por la seguridad a nivel de memoria, y también busca aumentar su prominencia dentro de la comunidad de Linux, lo que se espera fomente una mejor mantenibilidad y una mayor participación en el desarrollo del proyecto.

Sin embargo, los desarrolladores de Nova se han enfrentado al desafío de la falta de abstracciones del binding de C para la infraestructura integral del kernel Linux. Por el momento, están utilizando árboles downstream que cuentan con muchas de estas abstracciones, aunque se anticipan ajustes necesarios debido al estado inicial del desarrollo de Nova.

En cuanto a sus aspiraciones de suceder a Nouveau, Nova se centrará en las generaciones más recientes de GPU NVIDIA, ya que se apoya en el firmware GSP introducido en la generación Turing de gráficas de NVIDIA. Esto implica que Nova y Nouveau coexistirán, con Nouveau enfocado en modelos más antiguos y Nova en los más recientes.

En resumen, Nova se encuentra en una etapa inicial y representa más una promesa que una realidad establecida. Aunque puede mejorar el soporte para las generaciones de gráficas más recientes de NVIDIA, se espera que inicialmente ofrezca soporte principalmente para escritorio y, en el mejor de los casos, algunos videojuegos. La compatibilidad con NVK aún está por determinarse y es demasiado pronto para hacer afirmaciones definitivas al respecto.

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
#23

GitHub ha anunciado el lanzamiento de una función llamada corrección automática de escaneo de código en versión beta pública, disponible para todos los clientes de Advanced Security. Esta función proporciona recomendaciones específicas para evitar la introducción de nuevos problemas de seguridad.

Impulsada por GitHub Copilot y CodeQL, la corrección automática de escaneo de código abarca más del 90% de los tipos de alertas en JavaScript, Typescript, Java y Python. Según Pierre Tempel y Eric Tooley de GitHub, ofrece sugerencias de código que han demostrado remediar más de dos tercios de las vulnerabilidades encontradas con poca o ninguna edición.

Esta capacidad, presentada por primera vez en noviembre de 2023, aprovecha una combinación de CodeQL, la API de Copilot y OpenAI GPT-4 para generar sugerencias de código. GitHub, una subsidiaria de Microsoft, también ha anunciado planes para agregar soporte para más lenguajes de programación, como C# y Go, en el futuro.

La función de corrección automática del escaneo de código está diseñada para ayudar a los desarrolladores a abordar vulnerabilidades mientras codifican, generando posibles correcciones y proporcionando explicaciones en lenguaje natural cuando se detecta un problema en un lenguaje compatible.

Estas recomendaciones pueden extenderse más allá del archivo actual e incluir cambios en varios otros archivos, así como las dependencias necesarias para corregir el problema.

"La función de corrección automática del escaneo de código reduce la dificultad para los desarrolladores al proporcionar información sobre las mejores prácticas junto con detalles del código base y alertas, sugiriendo así posibles soluciones", afirmó la compañía.

"En lugar de iniciar con una investigación sobre la vulnerabilidad, los desarrolladores comienzan con una sugerencia de código que presenta una posible solución para su código base".

Sin embargo, se deja en manos del desarrollador evaluar las recomendaciones y determinar si constituyen la solución adecuada, asegurándose de que no se aparten del comportamiento previsto.


GitHub también resaltó las restricciones presentes en las sugerencias de corrección automática de código, por lo tanto, es crucial que los desarrolladores revisen minuciosamente los cambios y las dependencias antes de aceptarlos.

  • Proponer soluciones que no sean cambios de código sintácticamente correctos.
  • Proponer correcciones que, aunque sean sintácticamente correctas, se sugieran en la ubicación incorrecta.
  • Proponer soluciones que sean sintácticamente válidas pero que alteren la semántica del programa.
  • Presentar soluciones que no aborden la causa raíz del problema o que introduzcan nuevas vulnerabilidades.
  • Ofrecer soluciones que solo resuelvan parcialmente la falla subyacente.
  • Recomendar dependencias no admitidas o consideradas inseguras.
  • Sugerir dependencias arbitrarias, lo que podría dar lugar a posibles ataques a la cadena de suministro.

La empresa señaló que el sistema carece de información completa sobre las dependencias publicadas en el ecosistema más amplio. Esto podría resultar en sugerencias que añadan una nueva dependencia de software malicioso publicada por atacantes bajo un nombre de dependencia estadísticamente probable

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
#24

"Atlassian ha emitido parches para más de veinticuatro vulnerabilidades de seguridad, entre las cuales se incluye un error crítico que afecta a Bamboo Data Center and Server y que podría ser explotado sin necesidad de interacción por parte del usuario.

Identificada como CVE-2024-1597, esta vulnerabilidad posee una puntuación CVSS de 10,0, indicando su máxima gravedad.

Se describe como una vulnerabilidad de inyección SQL, con origen en una dependencia llamada org.postgresql:postgresql. A pesar de su criticidad, la compañía ha señalado que presenta un riesgo evaluado como más bajo."

Atlassian comunicó que esta vulnerabilidad asociada a la dependencia org.postgresql:postgresql podría posibilitar que un atacante no autenticado exponga activos en el entorno, susceptibles de ser explotados, lo que ocasionaría un alto impacto en la confidencialidad, integridad y disponibilidad de los sistemas afectados, sin requerir interacción por parte del usuario.

Según una descripción de la falla en la Base de Datos Nacional de Vulnerabilidades (NVD) del NIST, "pgjdbc, el controlador JDBC de PostgreSQL, permite al atacante inyectar SQL si usa PreferQueryMode=SIMPLE". Las versiones del controlador anteriores a las siguientes se ven afectadas:

  • 42.7.2
  • 42.6.1
  • 42.5.5
  • 42.4.4
  • 42.3.9, y
  • 42.2.28 (también corregido en 42.2.28.jre7)

Los mantenedores informaron en un comunicado el mes pasado que la inyección SQL se vuelve factible cuando se emplea la propiedad de conexión preferQueryMode=simple, que no es la predeterminada, junto con el código de la aplicación que contiene una vulnerabilidad SQL que niega un valor de parámetro.

Aclararon que no hay ninguna vulnerabilidad en el controlador cuando se utiliza el modo de consulta predeterminado. Por lo tanto, los usuarios que no modifican el modo de consulta no se ven afectados."

Se informa que la vulnerabilidad en Atlassian ha sido introducida en las siguientes versiones de Bamboo Data Center y Server:

  • 8.2.1
  • 9.0.0
  • 9.1.0
  • 9.2.1
  • 9.3.0
  • 9.4.0, y
  • 9.5.0

La empresa también destacó que Bamboo y otros productos de Atlassian Data Center no se ven impactados por CVE-2024-1597, ya que no utilizan PreferQueryMode=SIMPLE en su configuración de conexión de base de datos SQL.

El investigador de seguridad de SonarSource, Paul Gerste, es acreditado por descubrir y notificar la falla. Se recomienda a los usuarios actualizar sus instancias a la versión más reciente como medida de protección contra posibles amenazas.

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
#25

Nissan Oceanía advierte sobre una filtración de datos que ha afectado a 100,000 personas después de sufrir un ciberataque en diciembre de 2023, el cual fue reivindicado por la operación de ransomware Akira.

A principios de diciembre, la división regional del fabricante japonés de automóviles que abarca la distribución, el marketing, las ventas y los servicios en Australia y Nueva Zelanda anunció que estaba investigando un ciberataque a sus sistemas. Aunque en ese momento no se confirmó una violación de datos, Nissan sugirió a sus clientes mantener vigilancia sobre sus cuentas y estar atentos a posibles intentos de estafa.

Dos semanas más tarde, la banda de ransomware Akira se atribuyó el ataque y afirmó haber robado 100 GB de datos, incluyendo documentos con información personal de empleados, acuerdos de confidencialidad, datos de proyectos e información sobre socios y clientes.

La última actualización de Nissan confirma algunas de las afirmaciones de Akira, admitiendo que los piratas informáticos robaron datos de algunos empleados actuales y anteriores, así como de clientes de los concesionarios Nissan, Mitsubishi, Renault, Skyline, Infiniti, LDV y RAM en la región.

"Nissan espera notificar formalmente a aproximadamente 100,000 personas sobre la violación cibernética en las próximas semanas", se lee en el comunicado actualizado de Nissan. "Este número podría reducirse a medida que se validen los datos de contacto y se eliminen los nombres duplicados de la lista".

Hasta el 10% de estas personas tenían su identificación gubernamental comprometida, incluyendo tarjetas de Medicare, licencias de conducir, pasaportes y números de archivo de impuestos. "El tipo de información involucrada será diferente para cada persona. Las estimaciones actuales son que hasta el 10% de las personas han visto comprometida alguna forma de identificación gubernamental", continúa el comunicado de Nissan. "El conjunto de datos incluye aproximadamente 4,000 tarjetas de Medicare, 7,500 licencias de conducir, 220 pasaportes y 1,300 números de archivos de impuestos".

El 90% restante tenía otra información personal afectada, como documentos relacionados con préstamos, detalles de empleo y fechas de nacimiento. Nissan se ha comprometido a notificar individualmente a los clientes afectados para informarles exactamente qué información fue expuesta, qué acciones pueden tomar y qué formas de soporte están disponibles.

Lamentablemente, Akira ya ha filtrado los datos robados a través de su página de extorsión en la web oscura.


Para brindar apoyo a los clientes afectados, Nissan ofrece acceso gratuito a IDCARE y servicios gratuitos de monitoreo de crédito a través de Equifax en Australia y Centrix en Nueva Zelanda. Además, proporciona reembolso por el reemplazo de identificaciones gubernamentales comprometidas.

El fabricante de automóviles también aconseja a los clientes que estén atentos a cualquier actividad sospechosa en sus cuentas y que la informen a las autoridades pertinentes. Se recomienda habilitar la autenticación multifactor siempre que sea posible y actualizar las contraseñas con regularidad.

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
#26

Microsoft está decidida a promover sus productos incluso si eso significa incomodar a los usuarios que eligen otras alternativas. Esto ha quedado evidenciado con los mensajes a pantalla completa en Windows 10 instando a la actualización a Windows 11, y ahora con la aparición de anuncios emergentes en Chrome, animando a cambiar al motor de búsqueda Bing.

Varios usuarios de Google Chrome han reportado encontrarse con avisos considerables en la esquina inferior derecha mientras navegaban. A primera vista, estos mensajes podrían ser confundidos con malware, pero al leerlos se descubre que son invitaciones para probar Bing.

Con estas acciones, Microsoft parece obsesionada con promocionar todos sus productos, incluso si esto implica incomodar a quienes prefieren otras opciones. Según informa Windows Latest, al contactar a Microsoft por correo electrónico, la empresa explicó que estos anuncios ofrecen la posibilidad de configurar Bing como el buscador principal en Chrome, destacando la tecnología de inteligencia artificial (IA) desarrollada en colaboración con OpenAI.

Si se hace clic en "Sí" en el aviso emergente, se instalará automáticamente una extensión que cambiará la configuración para realizar todas las búsquedas con Bing. Este proceso involucra dos avisos para evitar las medidas de seguridad de Chrome, y se realiza a través de archivos almacenados localmente y firmados por Microsoft.


Esta es una notificación única que brinda a las personas la opción de configurar Bing como su motor de búsqueda predeterminado en Chrome. Para aquellos que eligen configurar Bing como su motor de búsqueda predeterminado en Chrome, cuando inician sesión con su MSA también obtienen más turnos de chat en Copilot y el historial de chat.


Investigaciones posteriores revelaron que estos cambios no provienen de una actualización, sino que se integran en archivos como BCILauncher.EXE o BingChatInstaller.EXE, agregados anteriormente y ubicados en la ruta C:\windows\temp\mubstemp. Aunque Microsoft asegura que el anuncio no volverá a aparecer si se selecciona "No, gracias", esto está sujeto a comprobación.

En resumen, Microsoft, a pesar de sus esfuerzos por mejorar Bing y su navegador, no ha logrado igualar la cuota de mercado de Google Chrome. Estas tácticas podrían generar molestia entre los usuarios, en lugar de convencerlos de utilizar las opciones de la empresa.

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
#27

A continuación presentamos las novedades de la última versión del gestor de contraseñas KeePassXC, que llega con cambios significativos. Aunque sean pocas, solo tres, una en particular merece atención: el soporte para Passkey.

KeePassXC es uno de los gestores de contraseñas más destacados en la actualidad, a pesar de no seguir el modelo de software como servicio. Es una aplicación local que ofrece una amplia gama de funciones, adaptándose a las necesidades de sus usuarios.

La versión 2.7.7 de KeePassXC trae consigo algunas mejoras importantes junto con las correcciones habituales. Destaca el soporte para Passkey, una característica crucial en el ámbito de la autenticación que está siendo adoptada ampliamente en la industria.

La autenticación con Passkey, también conocida como autenticación de contraseña de un solo uso (OTP), proporciona una capa adicional de seguridad al generar contraseñas temporales válidas únicamente para una sesión de inicio de sesión o transacción específica.

Por otro lado, KeePassXC 2.7.7 ha mejorado el asistente de importación para trabajar con las últimas versiones de bases de datos de 1Password y Bitwarden, así como para gestionar de manera más eficiente los archivos CSV utilizados para exportar contraseñas. Además, se ha simplificado la interfaz de desbloqueo de la aplicación, que ahora puede detectar automáticamente la presencia de llaves Yubikey u OnlyKey conectadas.

Estas actualizaciones son parte del compromiso de KeePassXC con la mejora continua y la adaptación a las necesidades cambiantes de los usuarios. Para descargar la última versión de KeePassXC, visita el siguiente enlace y elige la opción que más te convenga.

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
#28

Hace aproximadamente un año, Elon Musk prometió liberar el algoritmo de Twitter "en una semana", pero tomó más tiempo del esperado, y no lo hizo de la manera más efectiva. Esta situación se asemeja ahora con Grok, el chatbot basado en inteligencia artificial de X (Twitter), que busca rivalizar con opciones más populares como ChatGPT y Gemini.

El multimillonario sudafricano, cofundador de OpenAI, la desarrolladora de ChatGPT, ha demandado a esta última por "incumplimiento de acuerdo fundacional", acusándola de priorizar el beneficio económico sobre los principios del proyecto.

Musk ha expresado su apoyo hacia Grok, llamándola la IA "antiwoke". Este es el primer proyecto de xAI, la nueva empresa de inteligencia artificial de Musk. Aunque Grok ha estado disponible para el público desde hace tiempo, su adopción ha sido limitada debido a que forma parte de las características exclusivas del plan Premium+ de X.

Recientemente, Musk anunció en un tuit fechado el pasado lunes 11 de marzo que @xAI abrirá el código fuente de Grok. El tiempo que llevará esta acción y su impacto aún son inciertos, pero es crucial para el progreso de la IA. Sin embargo, es importante destacar que la apertura del código no garantiza su actualización ni su implementación efectiva, como ocurrió con el algoritmo de Twitter.

A pesar de ello, Musk merece reconocimiento por esta iniciativa, que supera lo que han hecho otros actores en el ámbito tecnológico, incluyendo a la competencia directa de X y xAI, como OpenAI y Microsoft. Sin embargo, la verdadera independencia, tanto ideológica como técnica, parece ser un desafío aún pendiente en este contexto.

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
#29


La disputa contra TikTok se intensifica nuevamente en Estados Unidos debido a las preocupaciones sobre la gestión de datos por parte de ByteDance, una empresa china. La Cámara de Representantes ha aprobado un proyecto de ley destinado a prohibir el uso de TikTok en todo el país. Con la aprobación de Joe Biden, la propuesta será debatida en el Senado de Estados Unidos, con la posibilidad de que se implemente un bloqueo dentro de aproximadamente seis meses después de la prohibición.

Hace unos años, TikTok y el Gobierno de Estados Unidos se vieron envueltos en un conflicto destacado, con Trump intentando bloquear la aplicación en todo el país y surgieron serios rumores sobre la posible adquisición por parte de una empresa estadounidense. A pesar de que ByteDance nunca ha sido bien vista por la política del país, parecía que la aplicación continuaría siendo descargada y utilizada sin problemas en los millones de dispositivos móviles en Estados Unidos. Sin embargo, esto resultó ser un error.

Así como en China prohíben las aplicaciones de Estados Unidos, los estadounidenses buscan hacer lo mismo.

El Gobierno chino ha prohibido la mayoría de las aplicaciones y redes sociales desarrolladas por empresas estadounidenses en todo su territorio, incluyendo servicios como Google y Facebook. Esta prohibición llevó a China a replicar todos estos servicios y herramientas occidentales adaptándolos a sus propias necesidades. Por ejemplo, Weibo surgió como la versión china de Twitter, mientras que Baidu se convirtió en el equivalente de Google, entre otros ejemplos. Además, las empresas chinas incluso llegaron a adquirir aplicaciones populares en Occidente, como ByteDance comprando No tienes permitido ver los links. Registrarse o Entrar a mi cuenta para crear el omnipresente TikTok.

Debido a que TikTok es una de las plataformas de redes sociales más importantes y populares a nivel mundial, y dado que su gestión de datos personales plantea una serie de interrogantes, varios gobiernos occidentales han estado considerando bloquear la aplicación en sus respectivos territorios durante algún tiempo. Entre estos países, Estados Unidos ha avanzado más en la idea de prohibirla, incluso intentando separar la empresa mediante una división exclusiva para el país, administrada por una compañía estadounidense. Esta es precisamente la medida que están tratando de implementar nuevamente.

Bajo una propuesta conocida como "Ley de Protección de los Estadounidenses contra las Aplicaciones Controladas por Adversarios Extranjeros", en la que solo TikTok estaba específicamente mencionada, y que fue aprobada por 352 votos a favor de los 435 representantes en la Cámara baja, ByteDance enfrenta la posibilidad de un bloqueo total en Estados Unidos si el Senado ratifica la ley. Aunque algunos congresistas han expresado dudas sobre el proyecto, aún existe la posibilidad de su aprobación.

En caso de que el Senado apruebe la ley, TikTok dispondría de seis meses para buscar un comprador estadounidense que se encargue de gestionar la red social en el país. Si no se llega a un acuerdo en ese período, los ciudadanos de Estados Unidos dejarían de tener acceso a la red social, y esta sería eliminada de las tiendas de aplicaciones.

Después de la aprobación de la propuesta de ley, ByteDance, la empresa matriz de TikTok, emitió el siguiente comunicado:

"Esperamos que el Senado considere los hechos, escuche a sus electores y comprenda el impacto en la economía, en 7 millones de pequeñas empresas y en los 170 millones de estadounidenses que utilizan nuestro servicio".

En la actualidad, TikTok opera de manera distinta tanto en China como en otros países. En principio, ambas divisiones no comparten datos de usuario ni estadísticas, a pesar de que TikTok ha sido acusada previamente de obtener datos de usuarios occidentales. Además, el posible bloqueo de la red social intensifica la tensión en la guerra comercial entre Estados Unidos y China.

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
#30

NVIDIA lidera el mercado de las GPU para inteligencia artificial (IA) con una participación aproximada del 80%. Sin embargo, no es la única empresa que ofrece chips de vanguardia para IA. La compañía californiana Cerebras, de hecho, posee los procesadores más avanzados para este escenario de uso. Su chip WSE-2, por ejemplo, integra impresionantes 2,6 billones de transistores contabilizados en la escala numérica larga y 850,000 núcleos optimizados específicamente para IA.

Cerebras ofrece a sus clientes estos procesadores, integrados en una plataforma para IA conocida como CS-2. Una de las empresas que utiliza esta tecnología es la compañía de Emiratos Árabes, G42. Esta última está desarrollando seis superordenadores para IA capaces de superar la barrera de la exaescala, los cuales incluirán una gran cantidad de sistemas CS-2. Según la CIA, algunas de estas máquinas se destinarán a grandes empresas tecnológicas chinas. Pero eso no es todo. Cerebras ha anunciado recientemente un procesador para IA aún más potente que su WSE-2.

El procesador WSE-3 es tan potente como 62 GPU H100 de NVIDIA. Cerebras ya ha lanzado su procesador WSE-3 (Wafer Scale Engine 3), un producto que, como su nombre sugiere, está destinado a suceder al también ambicioso WSE-2. Ambos procesadores se fabrican a partir de una oblea completa de silicio, lo que permite a Cerebras integrar muchos más bloques funcionales y núcleos en la lógica que una GPU convencional, como las que producen NVIDIA, AMD o Huawei. Las especificaciones de este procesador son realmente impresionantes.

El procesador WSE-3 de Cerebras es una verdadera bestia con impresionantes especificaciones. Aglutina 4 billones de transistores (en escala numérica larga), tiene una superficie de 46.225 mm², integra 900.000 núcleos optimizados para IA y alcanza una potencia de cálculo de 125 petaflops. Sin lugar a dudas, es una auténtica maravilla tecnológica.

Además, este procesador se fabrica en TSMC utilizando su tecnología de integración de 5 nm. Aunque este fabricante de semiconductores taiwanés tiene nodos más avanzados, posiblemente no estén optimizados para producir procesadores del tamaño de una oblea.

Según Cerebras, su procesador WSE-3 es el doble de potente que el WSE-2. De hecho, según las especificaciones publicadas, equivale al rendimiento conjunto de 62 GPU H100 de NVIDIA. Es importante destacar que este procesador es el más potente de la compañía, al menos hasta que se lance la GPU H200.

Cerebras ofrece sus procesadores WSE-3 integrados en un superordenador conocido como CS-3, capaz de entrenar grandes modelos de IA con hasta 24 billones de parámetros. El mapa de memoria externa de este superordenador varía entre 1,5 TB y 1,2 PB, lo que proporciona un espacio de almacenamiento descomunal para modelos de lenguaje masivos en un solo espacio lógico.

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
#31

Un ciudadano ruso-canadiense de 34 años ha sido condenado a casi cuatro años de cárcel en Canadá por su participación en la operación global de ransomware LockBit.

Mikhail Vasiliev, residente de Ontario, fue arrestado originalmente en noviembre de 2022 y acusado por el Departamento de Justicia de Estados Unidos (DoJ) de "conspirar con otros para dañar intencionalmente computadoras protegidas y transmitir demandas de rescate en relación con hacerlo".

La noticia de la pena de cárcel de Vasiliev fue reportada por primera vez por CTV News.

Se dice que el acusado, cuya casa fue registrada por las autoridades policiales canadienses en agosto y octubre de 2022, mantuvo una lista de víctimas "potenciales o históricas" y capturas de pantalla de las comunicaciones intercambiadas con "LockBitSupp" en la plataforma de mensajería Tox.

La redada también descubrió un archivo de texto con instrucciones para implementar el ransomware LockBit, el código fuente del ransomware y un panel de control utilizado por el grupo de delitos electrónicos para entregar el malware de bloqueo de archivos.

Vasiliev, según CTV News, se declaró culpable de ocho cargos de extorsión cibernética, travesuras y cargos de armas el mes pasado. Durante la sentencia, fue caracterizado por la jueza Michelle Fuerst como un "terrorista cibernético" que estaba "motivado por su propia codicia".

Se cree que se convirtió en un ciberdelincuente mientras estaba en casa durante la pandemia de COVID-19, intentando solicitar el pago de rescates de tres empresas canadienses entre 2021 y 2022 robando sus datos y manteniéndolos como rehenes.

Vasiliev, quien ha dado su consentimiento para ser extraditado a Estados Unidos, también ha recibido la orden de devolver más de 860.000 dólares en restitución.

LockBit, uno de los grupos de ransomware más prolíficos de la historia, sufrió un duro golpe en febrero de 2024, cuando su infraestructura fue incautada en una operación coordinada de aplicación de la ley. La interrupción fue acompañada por el arresto de tres afiliados de LockBit en Polonia y Ucrania.

Aunque el grupo resurgió con un nuevo sitio de filtración de datos, hay evidencia que sugiere que las nuevas víctimas que se enumeran son antiguas o falsas, diseñadas para dar la impresión de que el grupo está de nuevo en funcionamiento.

El desarrollo llega cuando un jurado federal en Washington, D.C., condenó a Roman Sterlingov, de doble nacionalidad rusa y sueca, por su operación de Bitcoin Fog desde 2011 hasta 2021, facilitando el lavado de ganancias obtenidas de la venta de narcóticos ilegales, delitos informáticos, identidades robadas y material de abuso sexual infantil.

Ilya Lichtenstein, quien se declaró culpable en agosto de 2023 del robo de unos 120.000 bitcoins en relación con el hackeo del exchange de criptomonedas Bitfinex, testificó el mes pasado cómo había utilizado Bitcoin Fog 10 veces para lavar los activos virtuales, informó Bloomberg.

"Bitcoin Fog fue el 'mezclador' de criptomonedas de más larga duración, ganando notoriedad como un servicio de lavado de dinero para los delincuentes que buscan ocultar sus ganancias ilícitas de las fuerzas del orden", dijo el Departamento de Justicia.

"En el transcurso de su operación de una década, Bitcoin Fog movió más de 1.2 millones de bitcoins, que estaban valorados en aproximadamente USD 400 millones en el momento de las transacciones".

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
#32

Fortinet ha advertido de una falla de seguridad crítica que afecta a su software FortiClientEMS que podría permitir a los atacantes lograr la ejecución de código en los sistemas afectados.

"Una neutralización inadecuada de elementos especiales utilizados en una vulnerabilidad de comando SQL ('inyección SQL') [CWE-89] en FortiClientEMS puede permitir que un atacante no autenticado ejecute código o comandos no autorizados a través de solicitudes específicamente diseñadas", dijo la compañía en un aviso.

La vulnerabilidad, rastreada como CVE-2023-48788, tiene una calificación CVSS de 9,3 sobre un máximo de 10. Afecta a las siguientes versiones:

  • FortiClientEMS 7.2.0 a 7.2.2 (actualización a 7.2.3 o superior)
  • FortiClientEMS 7.0.1 a 7.0.10 (actualización a 7.0.11 o superior)

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta, que planea publicar detalles técnicos adicionales y un exploit de prueba de concepto (PoC) la próxima semana, dijo que la deficiencia podría explotarse para obtener la ejecución remota de código como SYSTEM en el servidor.

Fortinet ha dado crédito a Thiago Santana del equipo de desarrollo de ForticlientEMS y al Centro Nacional de Seguridad Cibernética del Reino Unido (NCSC) por descubrir y reportar la falla.

La compañía también corrigió otros dos errores críticos en FortiOS y FortiProxy (CVE-2023-42789 y CVE-2023-42790, puntuaciones CVSS: 9.3) que podrían permitir a un atacante con acceso al portal cautivo ejecutar código arbitrario o comandos a través de solicitudes HTTP especialmente diseñadas.

Las siguientes versiones del producto se ven afectadas por las fallas:

  • FortiOS versión 7.4.0 a 7.4.1 (Actualización a FortiOS versión 7.4.2 o superior)
  • FortiOS versión 7.2.0 a 7.2.5 (Actualización a FortiOS versión 7.2.6 o superior)
  • FortiOS versión 7.0.0 a 7.0.12 (Actualice a FortiOS versión 7.0.13 o superior)
  • FortiOS versión 6.4.0 a 6.4.14 (Actualice a FortiOS versión 6.4.15 o superior)
  • FortiOS versión 6.2.0 a 6.2.15 (Actualice a FortiOS versión 6.2.16 o superior)
  • FortiProxy versión 7.4.0 (Actualización a FortiProxy versión 7.4.1 o superior)
  • FortiProxy versión 7.2.0 a 7.2.6 (Actualización a FortiProxy versión 7.2.7 o superior)
  • FortiProxy versión 7.0.0 a 7.0.12 (Actualización a FortiProxy versión 7.0.13 o superior)
  • FortiProxy versión 2.0.0 a 2.0.13 (Actualización a FortiProxy versión 2.0.14 o superior)

Si bien no hay evidencia de que las fallas antes mencionadas hayan sido explotadas activamente, los actores de amenazas han abusado repetidamente de los dispositivos Fortinet sin parches, lo que hace imperativo que los usuarios se muevan rápidamente para aplicar las actualizaciones.

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
#33

El correcto funcionamiento del Internet global depende en gran medida de la integridad de su infraestructura crítica. Recientemente, este equilibrio se vio amenazado cuando varios cables de comunicaciones submarinos en el Mar Rojo, fundamentales para el flujo de datos entre Asia y Europa, fueron cortados.

Los sistemas afectados incluyen 'Asia-Africa-Europe 1', 'Europe India Gateway', y 'Seacom-TGN-Gulf', representando un golpe significativo al tráfico de datos en la región. Según informes de Seacom, la interrupción podría deberse al arrastre de anclas en las jurisdicciones marítimas yemeníes.

La repercusión ha sido notable:

Cerca del 25% del tráfico entre ambos continentes se ha visto afectado, provocando una disminución en la velocidad de Internet, especialmente en áreas cercanas como África oriental. Este incidente destaca la crítica dependencia de los enlaces submarinos para la economía global y la seguridad de las comunicaciones.

Para mitigar el impacto, los operadores de telecomunicaciones están buscando rutas alternativas a través de China continental y el Océano Pacífico hacia Estados Unidos, además de solicitar servicios temporales de conectividad satelital. La necesidad de redes híbridas, que combinen conexiones submarinas y satelitales, se ha destacado para garantizar la resiliencia ante este tipo de incidentes.

Este suceso tiene profundas implicaciones geopolíticas, especialmente en el contexto del conflicto en Yemen. La guerra civil entre el gobierno y los hutíes, respaldados respectivamente por Arabia Saudita e Irán, se ha internacionalizado con el ataque a embarcaciones en el Mar Rojo. Aunque los hutíes niegan su responsabilidad, el gobierno yemení pro-saudita había advertido sobre posibles sabotajes a estas infraestructuras. La situación, complicada y tensa, promete continuar, incluso después de la reparación de los cables, que será un proceso lento y delicado que requerirá la cooperación de las autoridades regionales.

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
#34
Noticias Informáticas / Anuncian cierre de Taringa
Marzo 12, 2024, 10:02:11 PM


Hace 20 años nacía uno de los sitios web más destacados de habla hispana. En una era en la que las redes sociales aún estaban en pañales, Taringa emergió como un espacio para compartir cualquier cosa con el mundo. Durante sus primeros años, se convirtió en un lugar tremendamente concurrido. Ahora, sus responsables anuncian su despedida definitiva.

"20 años de historia no es un logro del que cualquier sitio, plataforma o comunidad pueda presumir, ni de lejos. taringa! ha sido el lugar de fantásticas historias, memes, trolleadas, inteligencia colectiva por doquier, pero sobre todo, siempre ha sido un lugar donde la libertad de expresión está presente," admitían sus responsables en la publicación.

Taringa tuvo una gran repercusión durante sus primeros años, siendo una web y un foro que seguramente recordarás con añoranza si naciste en los noventa o antes. Además, era el lugar donde muchos encontrábamos enlaces de descarga de prácticamente cualquier cosa, formándose la idea del "taringuero".

La red social tuvo su origen en Argentina, creada por el porteño Fernando Sanz durante sus años de secundaria como inspiración de otra web que sigue existiendo a día de hoy, No tienes permitido ver los links. Registrarse o Entrar a mi cuenta. Dos años más tarde fue adquirida por los emprendedores Matías y Hernán Botbol y Alberto Nakayama por 5.000 dólares, una venta que se realizó a través de Windows Messenger. En la década de 2010 la web dejó de tener la presencia que poseía años antes, y en 2017 toda su base de datos de usuarios fue hackeada, comprometiendo a casi 29 millones de usuarios.

En Taringa podíamos encontrar todo tipo de contenido, incluyendo noticias de actualidad, tutoriales, trucos para videojuegos, y mucho más. Aunque los usuarios también entraban para conseguir enlaces de descarga de películas, música, juegos y más.

La gran competencia en las redes sociales de hoy día, y el giro que ha tomado el mercado durante los últimos años han sido difíciles de sobrellevar para Taringa. "taringa! diseñó un producto que buscaba lo que otras plataformas no podían lograr, un espacio de libertad donde se pueda monetizar el contenido. Sin embargo, debido a las condiciones del mercado y la competitividad de las redes sociales, este sueño se ha frustrado," comentaban en la publicación.

Según sus responsables, la web cerrará el próximo 24 de marzo. Desde la publicación han explicado que más adelante darán detalles sobre cómo se llevará a cabo el proceso. Muere una pequeña parte de Internet, aunque los recuerdos de esta época seguirán con nosotros.

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
#35


Marzo destaca como un mes crucial en el ámbito tecnológico debido a la implementación de la nueva DMA (Digital Markets Act). Esta iniciativa, la Ley Europea de Mercados Digitales, busca fomentar la competencia justa, instando a gigantes como Apple, Google y Meta a tomar acciones estratégicas. En el caso de Apple, a partir de iOS 17.4, se permite el sideloading de aplicaciones desde tiendas alternativas a la App Store, lo cual marca un cambio significativo en un sistema que históricamente ha sido cerrado.

No obstante, este cambio no es el único que llega en relación con la instalación de aplicaciones. A lo largo de la próxima primavera, será posible instalar aplicaciones directamente desde la web de los desarrolladores, lo cual representa un avance aún más notable que el sideloading desde tiendas alternativas. Los desarrolladores podrán subir archivos directamente a sus sitios web, y los usuarios podrán instalarlos en sus dispositivos iPhone. Pero estos no son los únicos cambios que se avecinan.

Apple ha anunciado tres importantes modificaciones en su cumplimiento con la DMA, todas relacionadas con las nuevas libertades que tendrán los desarrolladores para distribuir sus aplicaciones y métodos de pago:

Aplicaciones exclusivas del desarrollador:

Apple permitirá que los marketplaces de terceros ofrezcan un catálogo compuesto únicamente por las aplicaciones de un desarrollador, lo que abre la puerta a la creación de tiendas donde los grandes desarrolladores distribuyan exclusivamente sus propias aplicaciones, sin presencia de otras.

Más libertad para precios promocionales: Los desarrolladores tendrán más control sobre cómo diseñan las promociones dentro de sus aplicaciones, con tres opciones de pago disponibles: Apple Pay en la App Store, la interfaz del desarrollador dentro de la aplicación y la web del desarrollador.

Instalación de aplicaciones desde la web:

Esta es la novedad más significativa, ya que permitirá la instalación de aplicaciones directamente desde la web del desarrollador, además de los marketplaces alternativos.

Si bien esta apertura podría sugerir la disponibilidad de aplicaciones para ver contenido premium de forma gratuita, como Spotify Premium, es importante destacar que Apple ha establecido criterios estrictos para garantizar la seguridad y la integridad del ecosistema. La elegibilidad para subir aplicaciones a la web del desarrollador está sujeta a requisitos específicos, como tener una cuenta con al menos dos años de antigüedad y un negocio de aplicaciones establecido en la UE con más de 1 millón de primeras instalaciones anuales.

Además, las aplicaciones alojadas en las webs de los desarrolladores deben tener su dominio registrado en App Store Connect para garantizar su legitimidad y seguridad. Los archivos deben ser descargados y firmados a través de App Store Connect por los desarrolladores antes de ser alojados en sus sitios web.

Aunque Apple aún no ha proporcionado detalles visuales sobre cómo funcionará esta función, se espera que los usuarios puedan autorizar la instalación de aplicaciones directamente desde los ajustes de sus dispositivos iPhone. Esta nueva política entrará en vigor en primavera, lo que podría marcar el inicio de la disponibilidad de las primeras aplicaciones alojadas en páginas web.

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
#36

Los usuarios brasileños son el blanco de un reciente troyano bancario denominado CHAVECLOAK, que se disemina a través de correos electrónicos de phishing que incorporan archivos PDF. Cara Lin, investigadora de Fortinet FortiGuard Labs, describió el ataque como intrincado, detallando que implica que el PDF descargue un archivo ZIP y, posteriormente, emplee tácticas de carga lateral de DLL para ejecutar el malware. La cadena de ataque utiliza señuelos con temática de contrato de DocuSign para persuadir a los usuarios a abrir archivos PDF que contienen un botón para revisar y firmar documentos. No obstante, al clicar en el botón, se recupera un archivo de instalación de un enlace remoto acortado mediante el servicio No tienes permitido ver los links. Registrarse o Entrar a mi cuenta. Dentro del instalador, se encuentra un ejecutable denominado "Lightshot.exe", aprovechando la carga lateral de DLL para cargar "Lightshot.dll", que es el malware CHAVECLOAK responsable del robo de información confidencial. Este proceso incluye la recopilación de metadatos del sistema y la realización de comprobaciones para verificar la ubicación en Brasil de la máquina comprometida, seguido por la supervisión regular de la ventana en primer plano para compararla con una lista predefinida de cadenas relacionadas con entidades bancarias.

En caso de coincidencia, se establece una conexión con un servidor de comando y control (C2), y posteriormente se procede a recopilar diversos tipos de información, filtrándola hacia diferentes puntos finales en el servidor, adaptándose según la institución financiera correspondiente.

Cara Lin indicó que el malware presenta varias funcionalidades diseñadas para robar las credenciales de la víctima, permitiendo al operador bloquear la pantalla, registrar pulsaciones de teclas y mostrar ventanas emergentes engañosas. Además, mencionó que el malware monitorea activamente el acceso de la víctima a portales financieros específicos, abarcando tanto entidades bancarias convencionales como plataformas de criptomonedas como varios bancos y Mercado Bitcoin.

Fortinet también informó sobre el descubrimiento de una variante Delphi de CHAVECLOAK, subrayando una vez más la prevalencia del malware basado en Delphi orientado a América Latina.



La presencia del troyano bancario CHAVECLOAK destaca la evolución en curso del panorama de amenazas cibernéticas dirigidas al sector financiero, con un enfoque particular en los usuarios brasileños, según la conclusión de Lin.

Estos descubrimientos se producen en medio de una campaña continua de fraude bancario móvil dirigida al Reino Unido, España e Italia. Esta campaña utiliza tácticas de smishing y vishing (es decir, mensajes de texto y suplantación de voz) para implementar un malware de Android llamado Copybara. El objetivo de este malware es llevar a cabo transferencias bancarias no autorizadas hacia una red de cuentas bancarias gestionadas por mulas de dinero.

"Los actores de amenazas han sido detectados utilizando una metodología estructurada para gestionar todas las campañas de phishing en curso a través de un panel web centralizado conocido como 'Mr. Robot'", según informó Cleafy en un informe publicado la semana pasada.



Con esta plataforma, los usuarios tienen la capacidad de activar y gestionar diversas campañas de phishing dirigidas a diferentes instituciones financieras según sus necesidades.

Además, el marco C2 posibilita que los atacantes coordinen ataques personalizados contra distintas instituciones financieras mediante kits de phishing diseñados para replicar la interfaz de usuario de la entidad objetivo, al mismo tiempo que aplican métodos de evasión de detección mediante geocercas y huellas dactilares de dispositivos, restringiendo las conexiones exclusivamente a dispositivos móviles.


El conjunto de phishing, actuando como una interfaz de inicio de sesión falsa, se encarga de capturar las credenciales y números de teléfono de los clientes de la banca minorista, enviando estos detalles a un grupo de Telegram.

Una parte de la infraestructura maliciosa empleada en la campaña está específicamente diseñada para distribuir Copybara. Este malware es gestionado a través de un panel de control (C2) denominado JOKER RAT, que proporciona una visualización en tiempo real de todos los dispositivos infectados y su ubicación geográfica en un mapa interactivo.

Además, permite a los actores de amenazas interactuar remotamente en tiempo real con dispositivos infectados mediante un módulo VNC. También posibilita la inserción de superposiciones falsas en la parte superior de las aplicaciones bancarias para redirigir credenciales, registrar pulsaciones de teclas mediante el abuso de servicios de accesibilidad de Android e interceptar mensajes SMS.

Adicionalmente, JOKER RAT incluye un generador de APK que posibilita la personalización del nombre, el nombre del paquete y los íconos de la aplicación maliciosa.

"Otra característica disponible en el panel es la 'Notificación Push', presumiblemente empleada para enviar notificaciones push falsas a los dispositivos infectados, simulando ser una alerta bancaria y atrayendo al usuario a abrir la aplicación del banco, facilitando así el robo de credenciales", informaron los investigadores de Cleafy, Francesco Iubatti y Federico Valentini.

La creciente complejidad de los esquemas de fraude en dispositivos (ODF) se destaca aún más en una reciente campaña de TeaBot (también conocida como Anatsa) que logró infiltrarse en la tienda Google Play bajo la apariencia de aplicaciones de lectura de PDF.

"Esta aplicación actúa como un cuentagotas, simplificando la descarga de un troyano bancario perteneciente a la familia TeaBot a través de múltiples fases", indicó Iubatti. "Antes de la descarga del troyano bancario, el dropper implementa técnicas avanzadas de evasión, como la ofuscación y eliminación de archivos, junto con diversas verificaciones basadas en los países objetivos".

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
#37

Un actor de amenazas centrado en incentivos financieros, conocido como Magnet Goblin, está incorporando rápidamente exploits de día cero a su repertorio para aprovechar de manera oportunista dispositivos de borde y servicios públicos, implementando malware en hosts comprometidos.
Check Point destacó la capacidad distintiva de Magnet Goblin para aprovechar rápidamente vulnerabilidades recién reveladas, especialmente dirigidas a servidores públicos y dispositivos de borde. En algunos casos, el despliegue de exploits ocurre en tan solo 1 día después de la publicación de una prueba de concepto, aumentando significativamente el nivel de amenaza.

Los ataques de este actor se han dirigido a servidores Ivanti Connect Secure VPN, Magento, Qlik Sense y posiblemente Apache ActiveMQ sin parches, utilizándolos como vectores de infección inicial para obtener acceso no autorizado. Magnet Goblin ha estado activo desde al menos enero de 2022.

Tras una explotación exitosa, se despliega Nerbian RAT, un troyano de acceso remoto (RAT) multiplataforma revelado por Proofpoint en mayo de 2022, junto con su variante simplificada MiniNerbian. La versión Linux de Nerbian RAT ya había sido resaltada por Darktrace por su utilización.


Ambas cepas permiten la ejecución de comandos arbitrarios recibidos de un servidor de comando y control (C2), así como la exfiltración de resultados respaldados en él.

Magnet Goblin también utiliza otras herramientas, como el ladrón de credenciales JavaScript WARPWIRE, el software de tunelización basado en Go, Ligolo, y soluciones legítimas de escritorio remoto como AnyDesk y ScreenConnect.

"Magnet Goblin, con campañas motivadas financieramente, se destaca por adoptar rápidamente vulnerabilidades de día cero para distribuir su malware personalizado de Linux, Nerbian RAT y MiniNerbian", señaló la compañía. "Estas herramientas operan en gran medida en dispositivos de borde, siendo parte de la tendencia continua de los actores de amenazas de dirigirse a áreas previamente desprotegidas".

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
#38


Change Healthcare de Optum está retomando la normalidad tras enfrentar un devastador ataque de ransomware BlackCat el mes pasado, que generó una amplia interrupción en el sistema de salud de EE. UU. como resultado. United Health Group (UHG), la mayor compañía de seguros de salud en Estados Unidos, opera la plataforma Change Healthcare a través de su subsidiaria, Optum Solutions.

El 21 de febrero de 2024, Optum Solutions fue víctima de un ataque de ransomware perpetrado por ALPHV/BlackCat, desencadenando extensas interrupciones al cifrar los servidores y apagar los sistemas informáticos. Esta situación afectó gravemente a farmacias y consultorios médicos, impidiendo el envío de reclamaciones y obligando a algunos pacientes a pagar el precio completo de sus medicamentos.

En una reciente actualización, UHG informó a BleepingComputer que la plataforma de recetas electrónicas volvió a estar completamente operativa a partir del 7 de marzo. La compañía asegura que las funciones de presentación de reclamos y transmisión de pagos también están disponibles. Se tomaron medidas para garantizar el acceso a medicamentos, incluso mediante las farmacias Optum Rx que envían los medicamentos a los miembros según sea necesario.

La plataforma de pagos electrónicos se espera que regrese gradualmente a la normalidad a partir del 15 de marzo, mientras que las pruebas para restablecer el sistema de reclamos médicos comenzarán el 18 de marzo de 2024. Actualmente, hay soluciones temporales para procesar reclamaciones médicas con un rendimiento del 90%, y se espera que alcance el 95% la próxima semana con soluciones adicionales implementadas por UHG.

La empresa insta a todas las partes interesadas a utilizar soluciones alternativas hasta que los sistemas se restauren por completo, recomendando mantenerlas incluso después de la restauración para redundancia. Las fechas estimadas son inciertas, y la disponibilidad del sistema puede no ser estable durante un período específico. Para conocer el estado actual del sistema, se proporcionan actualizaciones a través de la página de estado en la plataforma Change Healthcare.

A principios de mes, Optum lanzó un programa de asistencia financiera temporal para ayudar a los proveedores de atención médica a operar sin problemas mientras los sistemas de pago estaban inactivos. El 5 de marzo, el Departamento de Salud y Servicios Humanos de EE. UU. anunció medidas adicionales para mitigar el impacto en las organizaciones afectadas. Sin embargo, la Asociación Americana de Hospitales solicitó más acción, calificando el incidente como el más significativo en la historia del sistema de atención médica de EE. UU.

En cuanto al presunto rescate pagado, un afiliado de la banda BlackCat afirmó que Optum desembolsó 22 millones de dólares para evitar la fuga de 6 TB de datos robados y obtener un descifrador de archivos. Aunque el atacante afirma poseer datos de Change Healthcare y amenaza con más extorsiones, si se pagó el rescate, significa que la empresa tiene acceso al descifrador, facilitando la restauración más rápida de sistemas y servidores.

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
#39

El Centro Nacional de Seguridad Cibernética (NCSC) de Suiza ha emitido un informe detallado sobre el análisis de una violación de datos desencadenada por un ataque de ransomware en Xplain. Este incidente crítico tuvo un impacto significativo en miles de archivos confidenciales pertenecientes al gobierno federal suizo.

Xplain, reconocido como un proveedor suizo líder en tecnología y soluciones de software, atiende a diversos departamentos gubernamentales, unidades administrativas e incluso a la fuerza militar del país. La organización se vio vulnerada el 23 de mayo de 2023, cuando la banda de ransomware Play logró infiltrarse.

Durante el ataque, el actor de amenazas afirmó haber sustraído documentos que contenían información altamente confidencial. A principios de junio de 2023, cumpliendo con sus amenazas, publicó los datos robados en su portal en la darknet.

El informe del NCSC ofrece una visión profunda de las implicaciones y consecuencias de este incidente de seguridad, destacando la necesidad crítica de reforzar las medidas de ciberseguridad en organizaciones clave como Xplain.

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
#40

Actualización: El título y el contenido se actualizaron para aclarar que se trata de un ataque de phishing MiTM realizado con un Flipper Zero, pero que podría ser realizado por otros dispositivos.

Los investigadores demostraron cómo podían llevar a cabo un ataque de phishing Man-in-the-Middle (MiTM) para comprometer las cuentas de Tesla, desbloquear automóviles y ponerlos en marcha. El ataque funciona en la última aplicación de Tesla, la versión 4.30.6, y la versión 11.1 del software de Tesla 2024.2.7.

Como parte de este ataque, los investigadores de seguridad Talal Haj Bakry y Tommy Mysk registran una nueva "llave telefónica" que podría usarse para acceder al Tesla.

Los investigadores informaron sus hallazgos a Tesla diciendo que vincular un automóvil a un teléfono nuevo carece de la seguridad de autenticación adecuada. Sin embargo, el fabricante de automóviles determinó que el informe estaba fuera del alcance.

Si bien los investigadores realizaron este ataque de phishing utilizando un Flipper Zero, podría hacerse fácilmente con otros dispositivos, como una computadora, una Raspberry Pi o teléfonos Android.

Ataque de phishing

Un atacante en una estación de supercargadores de Tesla podría desplegar una red WiFi llamada "Tesla Guest", un SSID que se encuentra comúnmente en los centros de servicio de Tesla y los propietarios de automóviles están familiarizados con él.

Mysk usó un Flipper Zero para transmitir la red WiFi, pero señala que se puede lograr lo mismo usando una Raspberry Pi u otros dispositivos que vienen con capacidades de punto de acceso WiFi.

Una vez que la víctima se conecta a la red falsificada, se le muestra una página de inicio de sesión falsa de Tesla en la que se le pide que inicie sesión con las credenciales de su cuenta de Tesla. Lo que sea que la víctima ingrese en la página de phishing, el atacante puede verlo en el Flipper Zero en tiempo real.


El proceso de phishing (Mysk)

Después de ingresar las credenciales de la cuenta de Tesla, la página de phishing solicita la contraseña de un solo uso para la cuenta, para ayudar al atacante a eludir la protección de autenticación de dos factores.

El atacante tiene que moverse antes de que expire la OTP e iniciar sesión en la aplicación de Tesla con las credenciales robadas. Una vez en la cuenta, el actor de amenazas puede rastrear la ubicación del vehículo en tiempo real.

Adición de una nueva clave

El acceso a la cuenta de Tesla de la víctima permite al atacante agregar una nueva 'Clave de teléfono'. Para ello, deben estar muy cerca del coche, a escasos metros de distancia.

Las llaves del teléfono utilizan la aplicación móvil de Tesla junto con el teléfono inteligente del propietario del automóvil para permitir el bloqueo y desbloqueo del vehículo automáticamente, a través de una conexión Bluetooth segura.

Los autos Tesla también usan Card Keys, que son tarjetas RFID delgadas que deben colocarse en el lector RFID de la consola central para arrancar el vehículo. Aunque son más seguros, Tesla los trata como una opción de respaldo si la llave del teléfono no está disponible o se queda sin batería.

Mysk dice que agregar una nueva llave telefónica a través de la aplicación no requiere que el automóvil esté desbloqueado o que el teléfono inteligente esté dentro del vehículo, lo que crea una brecha de seguridad significativa.


Adición de una nueva clave de teléfono (Mysk)

Para empeorar las cosas, una vez que se agrega una nueva llave de teléfono, el propietario del Tesla no recibe una notificación sobre el hecho a través de la aplicación y no se muestra ninguna alerta en la pantalla táctil del automóvil.

Con la nueva llave del teléfono, el atacante puede desbloquear el coche y activar todos sus sistemas, lo que le permite alejarse como si fuera el propietario.


Mysk señala que el ataque tiene éxito en un Tesla Model 3. En el informe a la compañía automotriz, el investigador señala que la cuenta de Tesla secuestrada debe pertenecer al conductor principal y que el vehículo ya debe estar vinculado a una llave telefónica.

Los investigadores argumentan que requerir una clave de tarjeta Tesla física al agregar una nueva llave de teléfono mejoraría la seguridad al agregar una capa de autenticación para el nuevo teléfono.

"Pude agregar una segunda llave de teléfono en un nuevo iPhone sin que la aplicación de Tesla me pidiera que usara una tarjeta de acceso para autenticar la sesión en el nuevo iPhone. Solo inicié sesión en el nuevo iPhone con mi nombre de usuario y contraseña, y tan pronto como le otorgué a la aplicación acceso a los servicios de ubicación, activó la clave del teléfono", escribieron Tommy Mysk y Talal Haj Bakry en el informe a Tesla.

La compañía respondió diciendo que su investigación determinó que ese era el comportamiento previsto y que el manual del propietario del Tesla Model 3 no establece que se necesite una tarjeta de acceso para agregar una llave de teléfono.

BleepingComputer se ha puesto en contacto con Tesla con preguntas sobre lo anterior y si planean emitir una actualización OTA que introduzca medidas de seguridad para evitar estos ataques, pero aún no hemos recibido respuesta.

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta