Sincronización de navegadores en equipos corporativos… that is the question!

La lucha por la cuota de mercado de los navegadores web es un relato tan viejo como la propia internet. A lo largo de esta crónica, distintos protagonistas han pugnado por atraer a los usuarios con nuevas y diferenciadoras funcionalidades que, cuando han resultado exitosas, han sido posteriormente adoptadas también por los competidores.

La publicidad, la privacidad, la explotación de los datos del usuario, la incorporación de nuevas extensiones, el consumo de recursos, vienen siendo, entre otros, algunos de los diferentes argumentos en esa confrontación.

En los últimos tiempos una nueva funcionalidad ha emergido en el terreno de los navegadores web: la sincronización de datos. De manera genérica, esta función permite acceder a los mismos favoritos, contraseñas, historial, extensiones,… desde cualquier dispositivo del usuario; es decir, estará disponible la misma información independientemente del dispositivo utilizado.

Así pues, por ejemplo, si usted sincronizara los “Favoritos” de su navegador entre el ordenador de casa y el de la empresa, accedería a los mismos “Favoritos” en ambos equipos.

[Read more…]

Do Math or Windows Dies! Personalizando un ransomware escrito en .NET

NOTA: El contenido de este artículo es educativo e informativo. El objetivo es aprender cómo funciona el malware y cómo identificar sus capacidades. El autor no se hace responsable de una mala utilización de la información aquí expuesta. El autor NO RECOMIENDA bajo NINGÚN CONCEPTO la ejecución de la muestra en una máquina fuera de laboratorio aislado.

En este artículo vamos a analizar, destripar y personalizar un pequeño malware de tipo screenlocker (una variante de Ransomware que bloquea el equipo pero no cifra los ficheros). Se trata de una muestra torpe pero efectiva que vamos a manipular para crear nuestro propio screenLocker.

SSHBOT, el ScreenLocker chapuza

SSHBOT, también conocido como P4YME, es un malware antiguo y poco sofisticado que pertenece a la familia de los ransomwares.

La muestra utilizada en este artículo es pública y está subida a VirusTotal, donde cuenta con 54 detecciones:

Cuando se ejecuta, reinicia el equipo y muestra este mensaje:

[Read more…]

Análisis campaña Emotet

El post de hoy viene de la mano del CSIRT-CV, el Centro de Seguridad TIC de la Comunitat Valenciana. Nacido en junio del año 2007, como una apuesta de la Generalitat Valenciana por la seguridad en la red, fue una iniciativa pionera al ser el primer centro de estas características que se creó en España para un ámbito autonómico.

A pesar de tratarse de un malware que se comenzó a identificar en 2014, Emotet todavía sigue siendo una de las amenazas más activas hasta la fecha, evolucionado desde las versiones iniciales, en las que se centraba en el robo de credenciales bancarias, hasta la actualidad, dónde se ha ampliado el arsenal de técnicas entre las que se encuentran sniffing de tráfico de red, explotación de vulnerabilidades para conseguir movimiento lateral, etc.

Indicar que EMOTET fue interrumpido la última semana de Enero de 2021 mediante una acción global entre autoridades de los Países Bajos, Alemania, Estados Unidos, Reino Unido, Francia, Lituania, Canadá y Ucrania, con una actividad internacional coordinada por Europol y Eurojust. Esta acción permitió que los investigadores tomaran el control de su infraestructura.

Durante estos 6 años hemos visto cómo nuevas campañas de Emotet aparecían durante unas semanas, y una vez las muestras y los ficheros maliciosos utilizados ya eran bloqueados por las principales casas de Antivirus se detenían unos días hasta las siguiente oleada.

En CSIRT-CV hemos recibido varias de estas campañas, las cuales hemos tratado de analizar y remediar en nuestros sistemas. Vamos a detallar algunos aspectos importantes de este malware, que aunque desactivado, puede enseñarnos muchas cosas de las amenazas que vengan en el futuro.

[Read more…]

La dislexia, una aliada de los cibercriminales

No voy a decir mucho sobre el phishing y cómo funciona porque… en serio… no soy el más indicado.

En su lugar, me quiero centrar en uno de los consejos de prevención que le damos a todo el mundo que puede ser objetivo de un ataque de este tipo (a todo el mundo, vaya): presta atención a la ortografía y la gramática o si se dirigen a ti de forma genérica.

Como persona que ha recibido innumerables emails que comienzan con “Querido Bien-amado” (y que los ha borrado de inmediato), o “Querido señor” (¿Señor? ¿Pero por qué querría nadie llamarme eso a mí?) esa parte la tengo bastante controlada.

La de la gramática, bueno. No me voy a quejar de gramática, aunque tampoco soy un Camilo José Cela (ni quiero, ¡gracias!). Pero la ortografía. Esa es harina de otro costal.

Veréis, tengo dislexia. Y discalculia.

[Read more…]

Controles CIS versión 8, en vuelo

CIS Controls

Teniendo en cuenta que cualquier época es tiempo de cambio y evolución, sería imposible imaginar algo diferente para un momento de especial incertidumbre y disrupción como el actual: la pandemia generada por COVID 19 ha acelerado los ciclos de la gestión del cambio de cualquier actividad o área de conocimiento. ¡Y los controles CIS no son una excepción! Desde abril de 2019, fecha de publicación de la versión 7.1, no pocas cosas han cambiado en el universo de la gestión de la información.

Como la práctica totalidad de nuestros lectores ya conoce, los Controles CIS conforman un conjunto de buenas prácticas para la defensa frente a ataques contra los sistemas de información y las redes. Estos controles han venido siendo desarrollados por una comunidad de expertos en Tecnologías de la Información provenientes de múltiples sectores de actividad.

Este ejército de voluntarios constituye el músculo y el corazón del Center for Internet Security (CIS), organización independiente sin ánimo de lucro que se focaliza en el desarrollo de múltiples utilidades de ciberseguridad, entre ellas los CIS Controls.

[Read more…]

El hacktivismo oportunista e individual como nueva tendencia en el ciberespacio

El ciberactivismo se ha basado, desde su irrupción en el panorama internacional con Anonymous en 2010, en un concepto de “no violencia” con la utilización de herramientas de carácter digital, de marcada perspectiva política e ideológica. Así ha sido históricamente,  produciéndose un fenómeno que perseguía principalmente un impacto social, medioambiental, político e incluso cultural.

Actualmente, esta tendencia grupal está sufriendo un profundo cambio, dejando atrás esta idea de “lucha grupal” y abriéndose camino a un hacktivismo más individual que busca oportunidades más allá de un mantra concreto.

El CCN-CERT avisa, con la reciente publicación del Informe Anual 2020: Hacktivismo y Ciberyihadismo, de que no solo se están disminuyendo los ataques clásicos propios de movimientos  colectivos en el ciberespacio, sino de la transformación que se está produciendo dentro de este propio concepto.

El informe manifiesta el alto incremento en el exhibicionismo individual, apareciendo un hacktivismo más provocativo y personal, que aprovecha situaciones muy concretas con alto impacto mediático, como puede ser la promoción de protestas ante una revolución política o social. Así, el fenómeno comienza a dejar atrás una perspectiva centrada en la defensa continua de una ideología colectiva prolongada en el tiempo.

Aquí, lo que se observa es una colectivización mínima frente a la aparición de individuos poco profesionalizados, que buscan principalmente crear más ruido y confusión que el propio apoyo a un movimiento o ideología en concreto.

El CCN-CERT alerta así de este oportunismo a nivel internacional, centrado mayormente en ataques de denegación de servicio, desfiguración de webs de gobiernos locales y regionales, además de pequeñas y medianas empresas. La tendencia, sumada a estas actividades, desvela también la búsqueda de la polarización en el ciberespacio, aprovechando el exceso de información y las fakenews.

Aunque parece que el ciberactivismo evoluciona hacia una nueva vertiente, no se debe menospreciar el impacto que puede ocasionar este tipo de hacktivismo en la sociedad actual y el panorama internacional, pues su alto impacto y potencial lo convierte en una ciberamenaza que no debe perderse de vista a medio y largo plazo.

Puedes leer el informe completo del CCN-CERT aquí: https://www.ccn-cert.cni.es/gl/informes-ca/publicos/5933-ccn-cert-ia-17-21-informe-anual-2020-hacktivismo-y-ciberyihadismo-1/file.html

(Ciber) Inteligencia (V): Evaluación y difusión

Tras echar un breve vistazo a la fase de obtención, HUMINT y OSINT, llegamos en esta entrada a la tercera y cuarta fase del ciclo de inteligencia.

Tras la obtención de la información, llegaría el momento de la elaboración de inteligencia, donde toda esa información se convierte como tal en un producto de inteligencia. Comentábamos en la quinta entrada sobre la disciplina OSINT, como un desbordamiento de información, sin análisis, no tiene ningún valor.

Durante la elaboración de la inteligencia, se debe procesar toda la información obtenida de una manera asumible para el analista de inteligencia. Se deben evaluar las diferentes fuentes atendiendo a aquellas con mayor credibilidad y discernir (dejando a un lado los sesgos cognitivos del analista) aquellas informaciones no relevantes para las NI (Necesidades de Inteligencia). Durante el análisis, pueden surgir nuevas necesidades que lleven a cabo una planificación y obtención de nueva información para ampliar o continuar en diferentes direcciones, es por ello que constantemente se habla de un ciclo.

[Read more…]