Agosto 2008

Red Hat acaba de confirmar que varios de sus servidores resultaron comprometidos por un atacante la semana pasada. El intruso logró firmar varios paquetes de OpenSSH para diversas versiones de Red Hat Entreprise Linux. Los paquetes afectados ya han sido sustituidos [1], pero Red Hat provee a sus usuarios de un script [2] para permitirles comprobar si disponen de una versión comprometida. La empresa sin embargo insiste en que quienes actualizan sus sistemas vía Red Hat Network no tienen en ningún caso de qué preocuparse.

Esas máquinas son las culpables de los millones de correos basura y el malware que se distribuye a diario. La Argentina ocupa el puesto 13 en cuanto a computadoras bajo el control de ciberdelincuentes.

Según un informe sobre la situación del spam realizado por Commtouch y PandaLabs, durante el segundo trimestre del año se detectó una media de diez millones de computadoras zombies (máquinas infectadas por “bots” y controladas remotamente por el ciberdelincuente) enviando spam y correos electrónicos con malware cada día.

Durante el segundo trimestre de 2008, Turquía se ha convertido en el país con mayor número de computadoras zombies del mundo (un 11% del total), seguido de cerca por Brasil (8,4%) y Rusia (7,4%). Los Estados Unidos, que en el primer trimestre contaban con un 5% del total de zombies, han caído hasta la novena plaza, representando sólo el 4,3% del total.

La Argentina, en tanto, se ubica en la posición 13, por detrás de España y Chile.

Este gran número de “zombies” continúa siendo el principal causante de la avalancha de spam vivida por usuarios y empresas. Entre abril y junio el 74% del correo recibido en los buzones de correo era spam.

“Esto no supone sólo una molestia para los usuarios, que tienen que eliminar todo estos correos, sino que, en el caso de las empresas, puede suponer además una importante pérdida de productividad y consumo de recursos, es decir, pérdida de dinero”, explica Luis Corrons, director técnico de PandaLabs, que añade: “Nucleus Research, una consultora independiente, cifró en u$s712 el costo por cada empleado que tras recibir un email lo eliminaba inmediatamente, sin ni siquiera abrirlo”.

source

Un nuevo estudio de la Universidad de Michigan ha encontrado que mas del 75% de los websites bancarios no precisamente lo mejor en cuanto a seguridad se refiere. El estudio estuvo compuesto de 214 sitios web de instituciones financieras, y se enfoco en fallas de diseño y practicas de seguridad impropias. Ninguna de estas fallas representa cuestiones de seguridad catastróficas, sin embargo muchas ayudan a un acceso mucho más fácil a las contraseñas y los nombres de usuarios, que son una llamada atractiva para cualquier atacante.

Las fallas estudiadas comprendían lo siguiente:

Sistema de ingreso inseguro

Casi la mitad de los bancos examinados tenían un sistema de ingreso “seguro” en paginas web inseguras, las cuales no utilizaban SSL como protocolo de comunicaciones. El no usar SSL, dice el estudio, permite la posibilidad de un ataque que pueda facilitar la intercepcion de los detalles de ingreso a las cuentas del usuario si este ingresaba mediante conexiones inalambricas (man in the middle). El estudio también dice que la mayoría de los bancos aseguran las partes internas del sitio, pero muchos dejan la pagina de login sin seguridad.

Colocando información de contacto en paginas inseguras

La mayor falla de muchas entidades (55% fallaron según la prueba). Un ataque similar al anterior podría simplemente dar al atacante la posibilidad de cambiar los números telefónicos listados en la pagina de información de contactos, redirigiendo a los clientes a un call center listo para capturar su nombre de usuario y contraseña.

Redirigiendo a las afueras del banco sin una advertencia

Cuando los usuarios son dirigidos a servicios terceros (como por ejemplo, sitios de pago de recibos), el banco no les advierte de dicho cambio. Un usuario puede no saber si lo que esta observando es confiable o no.

Usar números de seguridad social o direcciones e-mail como ID de usuario

Este tipo de cosas son fáciles de adivinar o de encontrar, especialmente las direcciones de correo. Los bancos deberían permitir a los usuarios crear un nombre de usuario personalizado, así como tener una política de passwords débiles, pero el 28% de los bancos que se revisaron no lo tenían.

Enviando al correo información clasificada de manera insegura

Cosas como reset de contraseñas y estados financieros deberían ser enviados de manera segura: Passwords, por ejemplo, jamas deberían ser enviados como texto plano, sin embargo el 31% de los bancos fallaron dicha prueba.

El estudio completo (10 paginas, PDF) pueden ser leidos. Los sitios especificos que fallaron varias pruebas no son revelados. Tambien hay que notar que el estudio fue realizado en el 2006 (los resultados son publicados hasta ahora) asi que muchas de las cosas pueden haber cambiado desde el analisis original.

source

La Argentina es uno de los mayores productores de esos correos.

Basta con abrir la casilla de correo de un usuario de cualquier red social para que el problema se haga notorio: los spammers aprovechan los sistemas de avisos de Facebook, LinkedIn, Sonico o Hi5 para enviar su correo publicitario de una manera que no resulta ilegal pero sí sumamente tediosa. La Argentina está entre los primeros 12 países productores de estos mails según un informe de consultores de Sophos. También está en auge el phishing dirigido.

Sophos ha publicado su último informe sobre las tendencias de spam. La investigación ha revelado un preocupante incremento de correos electrónicos que viajan a través de Internet entre Abril – Junio de 2008, y cómo los spammers están ahora utilizando Facebook y teléfonos móviles para extender sus mensajes.

En junio de 2008, el estudio demuestra que el nivel de correos basura se ha elevado hasta un 96,5% en mensajes corporativos, frente al 92,3% registrado durante el primer trimestre del año, lo que supone que las empresas se enfrentan al hecho de que tan sólo 1 correo de 28, es legítimo.

Nota Completa