Mostrando entradas con la etiqueta Hacking. Mostrar todas las entradas
Mostrando entradas con la etiqueta Hacking. Mostrar todas las entradas

sábado, 3 de septiembre de 2016

Lanzamiento de Tails 2.5, Tor 0.2.8.6 y Tor Browser 6.0.3

Tails 2.5 

Se han detectado numerosos agujeros de seguridad en varias de las aplicaciones o bibliotecas incluidas en Tails 2.4, por lo que pasarse a la nueva versión se hace imperativo.

Entre los programas implicados: Icedove, Linux Kernel, GIMP, libav, expat, libgd3, libmodule-build-perl, LibreOffice, libxslt1.1, OpenSSH, p7zipy el propio Tor Browser con problemas heredados de su base Firefox.

Al margen de esos problemas que fueron rastreados y solucionados vía Debian (la distro de la que deriva Tails) y Mozilla, destacar la actualización del cliente de correo Icedove que sustituyo a Claws Mail hace una temporada.

Icedove 45.1 soluciona algunos problemas de congelación en su pantalla en la configuración automática de proveedor de correo, de sincronización y también de envío en el caso de usar cuentas de Riseup o Boum.

Esta edición incluye lo último del navegador Tor Browser (6.0.3), del que hablaremos después.

Por lo demás en Tails 2.5 nos encontramos lo de siempre: escritorio GNOME (3.14.1), posibilidad de usar i2p como software de anonimato, modo persistencia para su ejecución live (Tails no se instala en el disco duro, o por lo menos no está diseñada para eso), cambio de dirección MAC para evitar dejar huellas y configuración de bridges para evitar una posible censura de la red Tor.

Por supuesto también programas de uso común –los LibreOffice, Gimp o Audacity que nos encontramos en cualquier distro– y otros algo más específicos: como el gestor de contraseñas KeePassX, el editor especializado en traducción de aplicaciones y sitios Poedit, la utilidad para sumas de verificación GTKhash, carteras para criptodivisas como Electrum Bitcoin Wallet, el programa para eliminar metadatos de nuestros archivos MAT, el software de edición colaborativo Gobby y WhisperBack una herramienta que permite reportar bugs de forma anónima.

Podéis descargar Tails 2.5 desde su web.
 
Tor Browser 6.0.3

El navegador más popular a la hora de circular de forma anónima en internet, se basa en su última edición en Firefox 45.3.0esr. (Firefox Extended Support Release).

Además de solucionar un puñado de bugs, actualiza algunos de los complementos que habitualmente le acompañan, aumentando sus capacidades y haciendolo mas seguro:

    Torbutton 1.9.5.6: botón en la barra de tareas que nos permite crear una nueva identidad, establecer nuestras preferencias de privacidad, modificar los niveles de seguridad o jugar con las conexiones de red.
    NoScript 2.9.0.12: botón en la barra de tareas que nos permite crear una nueva identidad, establecer nuestras preferencias de privacidad, modificar los niveles de seguridad o jugar con las conexiones de red.
    HTTPS-Everywhere 5.2.1: extensión que obliga a navegar con cifrado HTPPS, en las webs que así lo provean.

En el blog del proyecto Tor tenéis las notas completas de lanzamiento y enlaces para su descarga.

Tor 0.2.8.6

Señalar también que tras diez meses de trabajo se ha liberado The Onion Router 0.2.8.6, el software multiplataforma y protocolo de red implementado en servidores (nodos) y clientes para proteger la privacidad de sus usuarios.

Esta edición además de optimizar el rendimiento –reduciendo el tiempo de arranque de los clientes– y la seguridad en general –en especial lo relativo a las claves de identificación en el servidor–, vemos que en sistemas Linux se introducen las KeepBindCapabilities, que permiten al ejecutar Tor como root y posteriormente si cambiamos de identidad, mantenerlo asociado con un puerto inferior por debajo del 1024 (puertos con privilegios que un usuario normal generalmente no puede utilizar).

Más información sobre lo que nos trae Tor 0.2.8.6 en su web.

Fuente: https://www.sololinux.es/lanzamiento-de-tails-2-5-tor-0-2-8-6-y-tor-browser-6-0-3/

miércoles, 16 de marzo de 2016

De Foundation a Fandation -Un error que aborto un robo de 1000M€-.

Un error ortográfico (typo)en la instrucción a la hora de ordenar la transferencia bancaria ayudó a las autoridades a evitar el robo de cerca de mil millones de dólares al Banco Central de Bangladesh el mes pasado.

Así lo reveló uno de los funcionarios de la banca, cuyo ataque se produjo desde su cuenta en la Fed, el Banco de la Reserva Federal de Nueva York.

El ciberdelincuente que debía ordenar la transferencia a la Fundación Shalika, que se escribe en inglés "Foundation Shalika", escribió "Fandation Shalika". A pesar del error, los ciberdelincuentes consiguieron robar cerca de 100 millones de dólares, lo que supone uno de los mayores robos bancarios de la historia.

Esta semana el Banco de Bangladesh denunció el hecho del que fue víctima el 5 de febrero.

Según las primeras investigaciones, el ataque posiblemente proviene de China y consistía en realizar varias transferencias a diferentes cuentas en distintos países asiáticos desde la cuenta en la Fed por valor de unos 100 millones de dólares.

Los ciberdelincuentes violaron los sistemas del Banco de Bangladesh y robaron sus credenciales para realizar las diferentes transferencias de pago. A continuación, bombardearon el Banco de la Reserva Federal de Nueva York con casi tres docenas de peticiones para mover el dinero de la cuenta del Banco de Bangladesh a Filipinas y Sri Lanka.

Tras cuatro órdenes, por un valor de 81 millones de dólares, llegó la quinta por valor de 20 millones.

En ese momento, el delincuente debía ordenarla el traspasado a la ONG "Foundation Shalika". Sin embargo se confundió al escribir mal el nombre de la supuesta organización sin ánimo de lucro de Sri Lanka. Fue cuando saltaron todas las alarmas.

A partir de ese momento, los piratas se dieron cuenta de que ya no podían ejecutar su plan al completo: aún les quedaba por ordenar transferencias por un monto de unos 870 millones de dólares. Todas ellas fueron abortadas.

El Banco de Bangladesh trabaja por recuperar parte del dinero robado aunque en realidad tiene pocas esperanzas de conseguirlo o de localizar a los delincuentes que se esconden tras este ataque.

Además, culpa a la Fed de no detectar el robo y detener, por tanto, las operaciones. La entidad de Nueva York, sin embargo, aseguró que sus sistemas no se rompieron.

Fuente: The hackers News.

jueves, 21 de mayo de 2015

Tunelizar conexiones de manera selectiva en Windows.

El trabajo de un auditor, administrador de seguridad, etc.., requiere que en su día a día tenga que estar conectado, y siempre hablando de determinados escenarios, a varias redes, establecer conexiones con un origen específico, uso de conexiones VPN, etc..

El otro día, hablando con Jose Selvi vía telefónica sobre cosas mundanas y terrenales, me comentaba que en su portátil con Windows había tenido que configurar este tipo de cosas.
Es interesante destacar que, como hemos comentado en anteriores párrafos, en determinados escenarios puede ser interesante encaminar cierta parte de nuestro tráfico a través de distintas redes. Como principal ejemplo Selvi me comentaba que esto lo hacía cuando no gestionaba el EndPoint – por ejemplo una VPN que no controlamos – y que no le gustaba que cierto tráfico de su propiedad se pudiese ver “comprometido” o dar facilidades de acceso al mismo a un tercero.
Hay muchas opciones y muchos escenarios en donde también es interesante habilitar este tipo de configuraciones, como por ejemplo si necesitamos utilizar la salida de una determinada herramienta para alimentar a otra y no queremos andar “parseando” tráfico local nuestro. Otro ejemplo se puede dar cuando en determinadas auditorías exigen que se entregue una bitácora de peticiones – por ejemplo en formato PCAP – a modo de auditoría.

En Linux esto es posible realizarlo a través de netfilter/iptables y con las opciones de PREROUTING. Para hacerlo en Windows necesitamos entender cómo se gestionan y se crean conexiones de tipo VPN para luego poder encaminar los datos que necesitemos.

 Cuando Windows genera una conexión VPN y nos conectamos a través de ella, el sistema operativo crea una ruta por defecto en la que se indica que todo nuestro tráfico lo encaminará a través de dicha conexión, y será el servidor final el que tendrá que realizar una acción de forwarding en caso de que se utilice también como conexión a Internet. Esto se puede verificar una vez conectados a la VPN con un simple route print.


En caso de que no queramos que todo el tráfico pase por la VPN, en Windows pasa por configurar la nueva conexión de acceso remoto y desmarcar las opciones de Default Gateway en IPv4 e IPv6. Para ello, y en tus conexiones de red, debes configurar esta opción en la pestaña Networking de tu conexión de acceso remoto.


Una vez desmarcada esta opción, usaremos la flexibilidad del comando route, y generaremos las entradas necesarias para encaminar el tráfico deseado por la conexión VPN. Para ello necesitamos conocer varios elementos:

    Dirección - Rango de direcciones – Redes completas a encaminar
    Número de interfaz

El número de interfaz se puede averiguar con el propio comando route print, o también a través del instrumental de administración de Windows.

 Una vez tengamos estos datos, podremos utilizar la flexibilidad que nos otorga la creación de rutas para generar la nuestra. En el caso de que necesitemos generar una ruta para una dirección IP concreta, se podrá utilizar el siguiente comando:



En caso de necesitar que la ruta fuese persistente, se puede hacer uso del flag –p. Una vez realizado este paso para cada una de las direcciones IP o redes concretas, la próxima vez que nos conectemos a través de esa red VPN, todas las conexiones realizadas desde nuestro equipo a esas direcciones IP, se encaminarán a través de la conexión remota. El resto de peticiones se realizará con nuestra conexión local.
Si se desea realizar esto de manera masiva – por ejemplo a través de Directorio Activo y a un número determinado de equipos – se puede realizar a través de PowerShell y políticas de grupo. Para los interesados Microsoft ha generado un documento con scripts de ejemplo, el cual puedes descargar desde la siguiente dirección:

http://www.microsoft.com/en-us/download/details.aspx?id=2555

Los servicios y aplicaciones Microsoft permiten determinados tipos de configuraciones y vías de fortificación con mucha flexibilidad y a través de múltiples vías. Para los que estéis interesados en este tipo de tips y escenarios de fortificación avanzados, Lorenzo Martínez, uno de los editores de SecurityByDefault, me ha invitado a dar unas sesiones en el curso de Hardening de Sistemas Windows, Linux e Infraestructuras, y del cual estoy encantado de participar junto a buenos ponentes y amigotes, como Pedro Sánchez o Yago Jesús. Si quieres más información, así como un índice del mismo, puedes consultar el siguiente enlace:

https://www.securizame.com/curso-online-de-hardening-de-sistemas-windows-y-linux-e-infraestructuras_jg/

Fuente: http://www.securitybydefault.com/2015/05/tunelizar-conexiones-de-manera.html

martes, 19 de mayo de 2015

Hardening, asegurar o morir.

Cuando uno trabaja en un equipo de respuestas ante incidentes (DFIR o CIR) se da cuenta de la cantidad de problemas que existen en las organizaciones cuando estas tienen un incidente grave. Por desgracia ‘los malos’ rompen el perímetro y se quedan a vivir en los servidores hasta que ocurre algo o el propio sysadmin se da cuenta de que la cosa no va bien.

Normalmente se soluciona revertiendo la situación aplicando remedios como los formateos, actualizaciones de seguridad y como no, bastionando el sistema que suele ser un puesto de trabajo, servidores o dispositivos de red.

El bastionado o ‘hardening’  es el proceso de reforzar la seguridad de estos sistemas con objeto de eliminar el mayor número de riesgos de seguridad. Esto permite, que con el paso de los tiempos las configuraciones de seguridad de muchos productos (realmente caros) han mejorado en los últimos años, pero alguna de estas opciones que el propio fabricante aconseja por defecto, dejan al descubierto vulnerabilidades que son aprovechadas por los atacantes de forma indiscriminada.

Cambiando de tercio, un ejemplo muy vistoso y lamentablemente muy activo son los ataques que utilizando ‘el arte del Phishing’ hacen que los usuarios ejecuten programas que dicen ser certificados o ficheros "pdf" para mostrarnos la cara real de los Ransomware, los cuales están haciendo un daño increíble a la industria y especialmente a la Pymes cuyo nivel de conciencia y protección (por desgracia)  es muy poco o casi nulo. Aprovechan la debilidad de los usuarios y la mal granularidad de privilegios en Windows, el cual se convierte en la victima perfecta.

También los anti-malware, antivirus y anti-todo se han demostrado innocuos ante semejante problema hasta que han dispuesto de las muestras para ofrecer una ajustada y tardía solución.
Por otro lado y como decía anteriormente las soluciones que defienden el perímetro no son efectivas con las configuraciones impuestas de fábrica, las cuales hay que ‘tunear’ para adaptarla a la empresa, así mismo tan importante es el perímetro como el punto final el cual hay que asegurar como último bastión de defensa.

Lo que quiero decir es que no hay que confiarse y dejar la responsabilidad a la tecnología (recordad, la tecnología es una herramienta) y por lo tanto hay que diseñar un plan empezando por concienciar (esa palabra tan desgastada), la formación y fortificación de los sistemas. Un sistema bastionado es complicado de atacar.

Pensando en estas cosas y comentando con Lorenzo de Securizame ha propuesto un entrenamiento basado en un curso para todos los sysadmin, administradores de Windows y técnicos especialistas para que tengan la habilidad necesaria para afrontar con éxito un ataque y poder bastionar sus sistemas.

Únase al curso de Hardening de Sistemas Windows y Linux e Infraestructuras y experimente una inmersión totalmente práctica. Aprenda las técnicas y habilidades de forma rápida y automática desde el primer día. 

lunes, 10 de noviembre de 2014

AirHopper, o cómo hackear tu ordenador aunque esté desconectado

Es seguro un ordenador que está aislado de cualquier tipo de conexión? Debería, ¿verdad? Pues un par de investigadores en seguridad han demostrado que esto no es así. En una prueba piloto, Mordechai Guri y Yuval Elovici de la Universidad Ben Gurion demostraron que se puede robar la información aunque un ordenador esté aislado gracias al AirHopper.
Para ello solo hace falta un malware concreto y que diseñaron ellos mismos y estar, como mucho, a unos siete metros de distancia. Aunque no exista conexión alguna ni posibilidad de la misma entre los dos ordenadores, gracias a las ondas de radio un potencial hacker podría robar la información del ordenador aislado. Así lo demostraron en el siguiente vídeo donde podemos ver el AirHopper en funcionamiento y así lo presentaron en la novena MALCOM celebrada recientemente en Puerto Rico.
Cómo funciona el AirHopper
Esta técnica consiste actualmente en un tipo de Keylogger especial, es decir, un programa que "graba" las teclas pulsadas y las recoge en un archivo que se puede revisar. En él se pueden recoger todo tipo de datos: contraseñas, identidades, mensajes privados,AirHopper permite robar claves o mensajes privados a través de las ondas de radioprácticamente cualquier cosa que tecleemos. Para ello emplea ondas de radio FM con las que se puede transmitir una señal que será recogida y almacenada por un receptor. Como bien señalan los expertos esto solo es posible con cierto tipo de modelos de pantalla.
El malware de AirHopper es capaz de recibir ciertas señales de radio de un monitor o una pantalla aprovechando los receptores de radio que llevan casi todos los smartphones incorporados. Esa señal se traduce y almacena pudiendo ver en tiempo real lo que el usuario está escribiendo en el otro dispositivo. Lo más interesante es que de esta manera AirHopper puede saltarse cualquier medida de seguridad impuesta por otro tipo de comunicación, haciendo la técnica muy sencilla y comprometedora.

Qué significa todo esto

Básicamente lo que AirHopper pone de manifiesto es que existe la posibilidad de burlar algunas de las mayores medidas de seguridad de las que disponemos de una forma relativamente sencilla. Comprometer un dispositivo con un malware como el de AirHopper es a día de hoy bastante sencillo. Y que permanezca oculto es aún más fácil si se dedica tiempo adecuado. De ahí a colocar un pequeño receptor que emita por internet todo lo escrito en un teléfono o en un ordenador es solo cuestión de tiempo. Esto supone un La técnica está todavía en pañales, lo que no disminuye su potencialagujero de seguridad muy peligroso para organismos oficiales, compañías o incluso nuestra propia intimidad.
Ahora bien, por el momento, AirHopper tiene numerosas limitaciones. Aunque se conoce desde hace tiempo la técnica está todavía en pañales o al menos así lo afirman los investigadores. Por el momento AirHopper solo es capaz de recibir señales a no más de unos 7 metros y además en una banda efectiva de unos 13-60 bytes por segundo, lo que es muy poco. Por eso, por el momento, representa más un peligro potencial que un compromiso de seguridad real. Eso sí, AirHopper señala que siempre se pueden abrir nuevos agujeros y que es solo una cuestión de originalidad. Pero bueno, a estas alturas ya estará todo el mundo poniéndose las pilas. Pero a saber hasta donde llegará todo el potencial de esta técnica.

Fuente: http://hipertextual.com/2014/11/airhopper

martes, 5 de agosto de 2014

Entrar a la Deep Wep.

Hoy vamos a tratar de dar a conocer un poco la Internet que casi nadie tiene conocimiento de que existe y que se la conoce como la Deep Wep o la Internet profunda. Supongo que deberiamos empezar por desgranar un poco que es, para que sirve y quien suele utilizar estos canales tan oscuros y anónimos de Internet, bien pues haya vamos.

En la Deep Web como en todo hay material muy bueno que rara veces podríamos encontrar en los motores de indexacion de los buscadores mas conocidos como Google, Yahoo o Bing y por otro lado hay otro tipo de contenido muy diferente que por supuesto y dada la forma en la que esta montada esta red pues es de contenido de dudosa muy dudosa legalidad y moralidad.

-Bueno, una vez dicho esto empezaremos por buscar e instalar las herramientas que sin duda nos harán falta para navegar por esos terrenos tan peligrosos.

1- Instalar un buen antivirus es esencial, en la red los hay perfectamente preparados para  protegernos.        

2- Un Firewall bien optimizado y configurado (el mismo antivirus puede venir ya con el)

3- Tener el PC totalmente actualizado con las ultimas versiones de los programas instalados,                              Firmwares y como no, las actualizaciones del Windows Update al dia.

4- Y por ultimo y mas importante, buscar una herramienta llamada TOR e instalarla y configularla                      correctamente para asi ser lo mas anonimos posible una vez dentro de la Deep Wep.




No debemos caer en el error de creer de que una vez que tengamos todas estas herramientas instaladas estaremos totalmente seguros ya que podria llegar el caso de que pudieran intentar engañarnos con Ingenieria Social (y esto no es ninguna herramienta) esto ultimo se basa en aprovecharse del desconocimiento del internauta para asi poder sacarle informacion o infectar su equipo de alguna manera.

Seguimos: En la Deep Wep hay como una especie de ranking el cual define o quiere dar a entender que nos podríamos encontrar dentro, básicamente hay 7 niveles que son a grandes rasgos estos:

0- El más superficial de todos, dominando por un pequeño número de páginas que todos conocemos y que actualmente dominan el mundo internauta, tales son Google, Youtube, y similares.

1- Aquí se encuentran web un poco menos conocidas pero de fácil acceso. Son en su mayoría foros, páginas pornográficas y pequeñas páginas independientes de interés no tan común como en el nivel anterior.

2- Está compuesto por dominios webs aún menos conocidas y por los buscadores independientes tales como lo son ares y emule. El material que se puede obtener en este nivel es de moralidad dudosa y no apto para estómagos débiles. El morbo suele ser un tema recurrente.

Hasta aquí hemos tocado solo la parte superficial del ciber-mundo. es a partir de aquí donde está lo realmente “interesante”. Es ahora cuando se da el primer paso dentro de Deep Web.

3- A partir de aquí las cosas cambian radicalmente las páginas que se rigen en este oscuro mundo suelen tener dominios compuestos por caracteres dejados caer de manera totalmente aleatoria. En ellas no hay publicidad, ni color y lo más significativo es que no se relacionan entre ellas como las paginas superficiales, de hecho, ni siquiera aparecen en buscadores como Google, ni aunque copies el link de la página completa ni intentes buscarlo.

Aquí hay muchas cosas raras, muchas cosas perturbadoras, muchas inútiles, tales como las webs abandonadas, algunas por más de 25 años, pero también muchas cosas útiles. En este sector quizá encuentres ese libro que tanto buscabas y que no encuentras por que cerraron Megaupload, o esa película de antaño que ya nadie se molesta en subir, e incluso hay algunos foros interesantes. Pero la verdad es que la mayoría de lo que hay aquí tiene fines mucho más macabros y desagradables, en su mayoría pornografía infantil, pequeños mercados de drogas y armas, instructivos de cómo hacer bombas, o fotos de gente siendo torturada o desmembrada, entre otros.

En los foros que visité se hablan temas bastante perturbadores, a veces en broma y otras ni tanto. La verdad llega un punto en el que todo es tan raro que te es difícil discernir una broma, de un verdadero homicida contando como violó y mató a su víctima.

4- Lo niveles anteriores eran peligrosos, pero con un proxy y un buen detector de intrusos era suficiente, pero aquí no. El cuarto nivel y lo que está por delante están plagados de hackers. Y por hackers no me refiero a chiquillos tontos cuyo único pasatiempo es infectar computadoras, me refiero a verdaderos piratas informáticos, lo mejor de entre lo mejor cuando a robo y malversación de datos se refiere.

Por supuesto el hecho de que esta gente esté aquí significa que hay algo realmente bueno escondido en algún lugar, y la verdad es que lo hay. En este nivel, además de todo lo que hay en los otros niveles, se puede ver Snuff  en vivo o grabaciones y, además, se encuentra el “Mercado Negro”. Una página de ventas online como mercado libre, solo que aquí se venden artilugios de los más macabros, además de drogas, armas, órganos, trata de blancas e incluso puedes contratar sicarios. Todo pagado con una moneda llamada BitCoin, famosa (entre los que recurrimos este espacio) por ser la más cara y difícil de conseguir en el mundo.

Lo que mas llamó mi atención fue una lámpara de escritorio valuada en 5.000 BitCoins. Databa de la década del 40, era de procedencia alemana, más específicamente de la Alemania nazi, y estaba confeccionada íntegramente con huesos y la piel de un pobre hombre de sus campos de concentración.

Pero los hackers no están aquí de compras o para ver morbosidades varias, sino para trabajar.

En este nivel se encuentran paginas escriptadas de numeroso gobiernos, donde se puede encontrar información sobre a qué va realmente destinado el dinero de esos países, leyes que piensan ser aprobadas en secreto y secretos de estado tales como  expedientes sobre experimentos con humanos que datan de las ultimas 4 décadas. He visto algunos de los últimos veinte años y déjeme decirles una cosa, los estadounidenses están enfermos. Si creen que los médicos nazis hicieron monstruosidades, no querrán ver lo que estos psicópatas han hecho.

Llegados a este punto estoy seguro que le he picado la curiosidad a más de uno ¿Quieren saber cómo entrar a Deep Web? ¿Quieren que les pase los links de algunas páginas? Lo siento, pero no voy a hacerlo, solo les diré que, el que busca encuentra, pero cuidado. No vaya a ser que encuentren más de lo que buscaban, como me pasó  a mi.

5- Aquí se exponen los secretos militares y de estado mas horrorosos de todos y donde se aprueban estos mismos y donde se controla su progreso. También se cree que la entidad que realmente domina el mundo intercambia información entre sus contra partes por aquí. Pero este nivel a mi no me interesó ni en lo mas mínimo, al que yo quería llegar era al sexto.

6- Que existe es una certeza y que es lo que hay ahí también, solo los mejores hackers logran acceder a ella y el riesgo nunca es menos que fatal. El objetivo es la Database. El Database es la sección donde toda la información de la web deja de ser solo un código binario de 1 y 0 y comienza a tener sentido. Quien logre descifrar la clave del sistema que tiene una extensión de kilómetro y medio de tipeo numérico será capaz de manipular cualquier dato de Internet, desde el titulo de un foro, hasta valores de cuentas bancarias. Sencilla y llanamente, quien logre acceder al Database tendrá al mundo en la palma de su mano.

7- En este nivel todo es negro, las letras y numeros son todo en binario, solo las personas con programas millonarios entran a estos niveles aqui se guardan cosas que solo un pais entero quiere esconder y te explica como crear bombas nucleares, extremadamente pocos entran y salen.

A grandes rasgos y para los mas neófitos en el tema pienso que el que mas y el que menos ya se a hecho una idea de lo que es la Deep Wep, por supuesto hay mucha mas información en la red sobre este tema pero eso lo dejo a los que quieran saber mas y quieran aventurarse a entrar en ese lado de Internet y recordad, Internet tiene dos lados bien identificados al igual que la Luna, saludos.

Hackdosx.

















sábado, 26 de julio de 2014

Empezar desde 0 y ser profesional de la seguridad en 2 meses.

Es algo sistémico: siempre llegan al buzón de correo muchas preguntas relacionadas a cómo empezar en el mundo de la seguridad para dar el paso a la parte profesional.

En muchas ocasiones son estudiantes, gente que está cursando ingenierías tecnológicas, y también hay un nutrido grupo de personas que trabajan en informática (desarrollo / sys admin) que les apetece iniciarse en este apasionante mundo, con la esperanza de convertirlo en su profesión.

Sin duda hay mucha información en internet, muchos blogs, tutoriales, recursos, cursos y libros. Cada uno puede iniciarse como más se ajuste a su forma de mejorar sus 'skills', pero a mi particularmente me gusta seguir un método basado en libros. Creo que es el pilar sobre el que debería sustentarse toda formación. Un libro siempre va a estar ahí, es 'consultable' y se puede leer en modo diagonal (para luego incidir en temas específicos) o leerlo letra-por-letra.

Dado que Chema, a través de la editorial 0xWord, ofrece un montón de interesantes packs de libros, me voy a tirar al ruedo y voy a crear mi propio pack llamado: De 0 a profesional de la seguridad en 2 meses

Ahora que es verano y que a la gente le suele sobrar tiempo, es el momento ideal de aprovechar estos calurosos meses para dar un giro al expediente profesional. Asumiendo el criterio de 1 libro x 1 semana. 8 libros = 8 semanas = 2 meses

Los libros que he seleccionado son bajo criterio personal, los habrá mejores, los habrá distintos, incluso el orden puede variar según gustos, pero, esta es mi elección:

La base: Mucha gente cae una y otra vez en el error de empezar por libros de hacking e intentar dar el 'super salto' de la nada a un libro que hable de SQLI o exploiting. En mi humilde opinión es un fallo, aquí aplica el famoso 'dal cela pulil cela', antes de llegar a lo divertido, conviene tener una formación de base sobre seguridad en sistemas operativos lo más extensa posible. Antes de romper: saber como está fortificado.


Para mi, el mejor libro sobre seguridad en Windows, todos los resortes, mecanismos y el conocimiento necesario sobre cómo funciona un sistema Windows

Una vez estés harto de claves de registro, políticas de seguridad y ventanas, tu siguiente paso es cambiar todo eso por la línea de comandos, una shell y dominar al indómito Linux


¿Te han gustado los sistemas operativos? Todavía te falta un paso más antes de saltar al pentesting: Las redes. Es asombroso la cantidad de personas que llegan a adquirir un nivel muy respetable en pentesting que luego flaquean mucho en temas de red. Por eso, es importante entender cómo funciona IPV4 y el que se presupone será su descendiente IPV6


Momento de empezar a sacar partido a los conocimientos que has adquirido y empezar a conocer herramientas para saber encontrar vulnerabilidades y explotarlas. Relájate, no es necesario que este libro lo termines en una semana, puedes dedicarle un poco más de tiempo. Lo merece


El libro con el que, sin duda, más te vas a divertir. ¿El motivo? básicamente que hoy día hay miles y miles de sitios con este tipo de vulnerabilidades, apuesta a que en tu futura actividad profesional vas a rellenar mil informes con este tipo de vulnerabilidades.


Una vez hayas terminado este libro, sentirás que se te han desbloqueado un montón de conocimientos que, hasta ese momento, pensabas que estaban reservados a un selecto grupo de personas. Ojo ! este libro requiere poner los 5 sentidos.


En este punto deberías tener un conocimiento técnico muy elevado, conoces y dominas la forma en la que un sistema puede ser vulnerable, tanto a nivel Web como a nivel interno. Has usado un buen número de herramientas, pero ... como dice el anuncio: la potencia sin control no sirve de NADA. Y esto es 100% cierto en el mundo profesional. De nada vale tener un ninja si luego no es capaz de tener método y saber ser ordenado mentalmente para rematar un buen trabajo. Este libro te aportará orden mental y formas de presentar tu trabajo con estilo profesional.


Por último, pero no por ello menos importante, creo que es de alta relevancia que un buen profesional de la seguridad adquiera conocimientos de informática forense. Es una disciplina muy 'CSI', en la que se puede desarrollar un alto grado de creatividad.

Fuente: http://www.securitybydefault.com/2014/07/de-0-profesional-de-la-seguridad-en-2.html

martes, 16 de abril de 2013

Hugo Teso muestra como Hackear un avion usando un dispositivo Android.


Cuando viajamos en avión, además de los tediosos controles de seguridad a la hora de embarcar, en las maniobras de despegue y aterrizaje nos hacen apagar nuestros dispositivos electrónicos "para no interferir" los sistemas del avión. Cualquier avión dispone de sistemas electrónicos (conocidos como aviónica) y sistemas de transmisión por radio, computadoras embarcadas en el aparato que controlan todo lo que pasa a bordo y en los que no solemos pensar cuando realizamos un viaje pero ¿hasta qué punto estos sistemas pueden ser vulnerables? A esta pregunta ha respondido Hugo Teso, un experto en seguridad, que durante una conferencia impartida en el día de ayer asombró a los asistentes mostrando cómo era posible atacar los sistemas de un avión valiéndose, entre otras cosas, de un dispositivo Android.

Teso, que además de trabajar en el ámbito de la seguridad tiene también formación como piloto comercial, mostró a los asistentes a la Hack In The Box Conference de Amsterdam cómo podría ser posible interferir en los sistemas de un avión con tecnología que está alcance de nuestra mano y que, por ejemplo, podemos comprar a través de Internet. Dicho de otra forma, mostró cómo podría ser posible hackear un avión y controlarlo a distancia.

Teso se centró en dos de los sistemas que hay a bordo de cualquier avión, el ADS-B (Automatic Dependent Surveillance-Broadcast), un sistema que se encarga de emitir información sobre la identificación del avión, su posición o datos sobre su altitud para que los controladores aéreos mantengan localizados los aviones en el espacio aéreo y para que las aeronaves reciban por este canal información sobre el tráfico aéreo en la zona o la información climatológica. El otro sistema en el que se centró es el ACARS (Aircraft Communications Addressing and Reporting System) que es el sistema que utilizan los pilotos para intercambiar mensajes e información con otros aviones o con el control de tierra usando enlaces vía satélite o bien por ondas de radio.

¿Y qué fue lo que hizo? Según comentó este experto durante su ponencia, ambos sistemas son bastante vulnerables y, por tanto, susceptibles de ser atacados. Concretamente, se valió de la información del ADS-B (que es una señal de broadcast) para obtener información de aviones y, por tanto, seleccionar objetivos y, por otro lado, usó el ACARS para obtener información sobre el sistema del avión para aprovechar sus vulnerabilidades y enviar "mensajes malintencionados" que pudieran afectar al comportamiento del avión.

Teso desarrolló un framework que era capaz de insertar información en los planes de vuelo de la computadora de un supuesto avión (lo ha realizado sobre una maqueta) y desarrollando una aplicación Android que se apoyaba sobre este framework podía transformar un teléfono móvil o un tableta en una especie de "clon" del famoso Flight Simulator de Microsoft puesto que se podían visualizar parámetros de la aviónica del avión e, incluso, controlarlos a distancia.

Aprovechando la información de servicios como Flightradar24, que monitoriza la posición de los vuelos comerciales, esta aplicación Android era capaz de mostrar vuelos que estaban dentro del rango de influencia de este sistema de intercepción (algo que en un escenario real dependerá fuertemente de la estación emisora de broadcast que se utilice) y, sobre el vuelo seleccionado, obtener la información del plan de vuelo, su identificador unívoco y, en el caso de ser susceptible de poder atacarse, obtener una alerta que indique que se puede interferir en los sistemas del avión.

¿Interferir en los sistemas? Aunque pueda sonar inquietante, este experto en seguridad mostró algunos de los detalles que podía hacer esta aplicación en su entorno de pruebas: cambiar el plan de vuelo, fijar condiciones de "disparo" para programar un evento cuando el avión sobrevuele una zona concreta, estrellar el avión, lanzar alarmas o aprovechar el acelerómetro del smartphone para transformarlos en los mandos y controlar el avión.

Es justo decir que todo lo que presentó es un trabajo de investigación y, por tanto, es una interesante llamada de atención a la industria aeronáutica puesto que Teso ha replicado el escenario real en una "maqueta de laboratorio" y ha trabajado sobre ésta, de hecho, todo el software que ha desarrollado funciona únicamente sobre la maqueta para que no pueda extrapolarse a un escenario real.

De todas formas, aunque todo este planteamiento sea bajo un escenario simulado, he de confesar que es bastante inquietante que los sistemas básicos de comunicación de los aviones puedan presentar vulnerabilidades que permitan ejercer, de manera remota, el control de un avión y, llevándolo al extremo, ponen sobre la mesa que muchas de las medidas de seguridad que se toman no sirven de mucho si la aviónica del avión es tan vulnerable y se sigue basando en estándares de comunicación fijados en la década de los años 70 aunque, eso sí, según comentó Teso este tipo de vulnerabilidades se producen en los casos en los que el avión vuela con el piloto automático.

Aún así, la presentación, en mi opinión, no tiene desperdicio alguno.

Fuente: http://alt1040.com/

domingo, 27 de enero de 2013

Evasión de Antivirus: ¿Por qué vulnerabilidades conocidas y antiguas siguen siendo peligrosas?.


Antes de entrar en la parte técnica y llegar a la programación, donde seguramente muchos lectores dejen de leer, quiero hacer una pequeña introducción para todos los públicos.

En este artículo voy a escribir un poco sobre lo fácil que es burlar la protección de un antivirus sin tener que recurrir a técnicas complejas y algoritmos "vanguardistas" como encoders, polimorfismos, metamorfismos y demás ingenios, que muchas veces nos llevan a la falsa creencia de que un posible intruso o creador de malware debe ser un genio de los ordenadores, y como hay pocos genios es difícil que nos toque. De hecho un gran porcentaje de incidentes de seguridad se produce aprovechando vulnerabilidades o malware antiguos, que a priori todo antivirus detectaría fácilmente de no haber sido modificados.

Eso, sumado a la falsa seguridad que nos proporciona el software como los antivirus o firewalls hace que la gran mayoría de la gente no preste la atención que debiera a la seguridad de sus sistemas (ya no vamos a entrar en el recalcado tema de cómo escoger una buena contraseña).

Se invierten millones de euros en investigación de protecciones de seguridad informática y existe todo un gran mercado en torno a ello, pero al final del día el mejor antivirus, y la mejor protección que"podría" existir para nuestros ordenadores es el propio usuario (aunque desgraciadamente, todavía siga siendo lo contrario). Muchas veces me han pedido consejo para escoger un antivirus, o me han preguntado que antivirus utilizo, y cuando yo contestaba "ninguno" se quedaban un poco sorprendidos. Si bien hoy en día si utilizo, es verdad que he estado muchísimos años sin utilizarlos.

A lo que quiero llegar es que fuera del mundillo de la seguridad informática, se sigue confiando la seguridad un 100% a programas como los antivirus, la gente se siente protegida con ellos, lo cual es contraproducente. Pequeñas cosas como mantener actualizados todos nuestros programas, ser cuidadosos con las cosas que descargamos o controlar que servicios tenemos corriendo en nuestras máquinas en cada momento quedan relegados a un segundo plano (muchísima gente ni siquiera le da importancia a no actualizar), aunque no infalible, minimizan mucho los riesgos, convirtiendo un antivirus en una capa de protección más, y no en la más importante.

Dicho esto, y después de asustar un poco a los no iniciados (esa era la intención), entremos al lío.


De todos es sabido que los antivirus basan casi el 90% de su detección en la búsqueda de signatures, partes de código reconocibles como maliciosas o sospechosas se que van actualizando en sus bases de datos de firmas según se descubren nuevos virus o exploits.

Para camuflar este tipo de firmas en malware, una de las cosas que más se están utilizando son encoders de todo tipo, que manipulan ese código detectable convirtiendolo en otro diferente que hace la misma función, pero a la larga esos encoders se vuelven inefectivos porque siguen un patrón que puede detectarse con análisis heurístico. Incluso el famoso y polimórfico shikata ga nai es inefectivo hoy en día, por muchos pases que se apliquen.


Por regla general, un antivirus realiza el análisis de los archivos tanto cuando se escriben en disco como cuando son ejecutados, pero no monitoriza toda la ejecución del mismo, porque eso requeriría de unos recursos de los que una máquina normal hoy en día no dispone (imaginad que cada vez que se ejecutase un Photoshop u otro programa intensivo computacionalmente, el AV tuviese que monitorizar en todo momento todas las operaciones que realiza).

Sin embargo existen técnicas que le pueden poner las cosas muy difíciles a un antivirus, incluso a los análisis heurísticos, y que sólo un análisis exhaustivo por parte de un humano en un entorno sandboxpodría detectar (algo impensable para la detección en tiempo real).

Algo de lo que adolecen los antivirus es que analizan los archivos independientemente, y no como un conjunto de archivos que forman una pieza de software. Y desgraciadamente deben hacerlo así para evitar multitud de falsos positivos.

Por ejemplo, en uno de los últimos exploits Java (CVE-2012-1723), compuesto por varias clases empaquetadas en un jar, detectaba la firma sólo en dos de ellas, donde se ejecutaban las funciones sospechosas, con lo que separando esas firmas en clases diferentes se podía anular la detección muy fácilmente.

Sin entrar en detalles, este exploit se basa en type confusion, asignando una clase con funciones que requieren privilegios de sistema a otra clase de distinto tipo que no los requiere, saltándose el sandbox java de ese modo. El antivirus detectaba el exploit en la clase que forzaba la confusión (llamemosle confusor), y en un par de líneas de código de otra clase, donde se creaba la instancia del confusor (probablemente para detectar variantes del exploit donde el confusor fuese diferente).

No fue necesario utilizar ningún tipo de ofuscación de clases sobre el exploit:

Para el confusor bastó con cambiar un bucle for de 100 iteraciones por 110 para que el antivirus ya no lo marcase como peligroso.

En cuanto a la clase donde se creaba la instancia de forma reflectiva, el AV lo detectaba cuando estas dos líneas aparecían juntas en el mismo archivo, pero separandolas de una manera extremadamente trivial, neutralizamos totalmente lo que el AV daba por sentado como malicioso:




Como se puede apreciar, realizando pequeñas modificaciones al código, y sobretodo separando las partes del código sospechosas en diferentes lugares es muy sencillo desaparecer de la lista de firmas del AV. De este modo y con un poco de creatividad podríamos ocultar incluso ROP chains, heap sprays...,  pilares de muchos exploits modernos.

Para continuar, y ya que hemos utilizado el exploit java para demostrar cómo evadir el antivirus durante la fase de explotación, vamos a ver como ocultar también un payload, ya que las shellcode más comunes suelen ser detectadas per se como firmas.

Hemos modificado el código del exploit de java para evitar el antivirus, pero en cuanto añadiesemos a la ecuación nuestra shellcode (por ejemplo un meterpreter https reverso), volvería a ser detectado. Dado que el exploit en java no nos limita en tamaño a la hora de weaponizarlo con un payload, y como ya nos hemos saltado el sandbox java, ¿por qué ejecutar la shellcode directamente desde el exploit, cuando podemos volcar un ejecutable a disco y lanzar la shellcode desde allí? Podría parecer una estupidez hacer una escritura a disco dando al AV una oportunidad extra de análisis, pero como veremos más adelante evitar la detección de la explotación asumiendo ese riesgo tiene sus ventajas si nos encargamos de ocultarlo bien en la fase post-exploit, donde contamos con más flexibilidad para hacerlo.


Como se puede apreciar, hemos convertido los binarios en cadenas de texto (los he truncado por legibilidad), los hemos almacenado en variables (separados en dos mitades), y los recodificamos a binario antes de escribirlos a disco, consiguiendo que el AV no los detecte al analizar el paquete Java.

Con eso ya estamos separando el payload del propio exploit (recordad, separación es la clave), pero tendremos que conseguir que el payload sea también indetectable.

Para ello vamos a utilizar varios trucos. En primer lugar, cogeremos nuestra shellcode y la partiremos en 2 mitades (una vez más). Con eso ya sería suficiente, pero para este ejemplo, además, he creado un sencillo "encoder" que hace rotaciones de bits en cada byte de la shellcode y luego los invierte, con la intención de camuflarla un poco. Así que ya tenemos dos mitades de nuestro meterpreter, previamente scrambled con el miniencoder.


Si sólo utilizaramos el encoder sobre la shellcode entera, el antivirus podría reconocerla con algo de heurística, pero de este modo aunque aplique la heurística a cada mitad, no se encontrará con la shellcode completa, con lo que no la reconocerá como firma.

Podríamos crear un sencillo ejecutable que lanzase esa shellcode, pero aquí vamos a utilizar otro truco para engañar aún más.

Crearemos un ejecutable normal (payload.exe), con una función trivial que no haría saltar jamás al antivirus, porque no realiza ninguna acción sospechosa, pero utilizaremos unas librerías dinámicas para sobreescribir esa función trivial con nuestra shellcode en tiempo de ejecución, y ya en memoria:



Debemos configurar el compilador para que no utilice el NX/XD (DEP) ni base dinámica (ASLR), de este modo la dirección de memoria que sobreescribiremos en nuestro programa no variará en cada ejecución, ni la memoria estará desorganizada por el ASLR, lo cual sería un problema para escribir secuencialmente.

Como veis, y para esta demostración, la función inofensiva() está compuesta por una serie de NOPs (o cualquier otra cosa), para hacerla más fácil de encontrar en nuestro debugger, y debe tener el tamaño suficiente para albergar nuestra shellcode una vez la sobreescribamos.

Lo ejecutamos en el debugger para localizar la dirección donde comienza dicha función:


Dado que en este caso el programa comienza a ejecutarse en 400000, nuestro offset para comenzar a sobreescribir será 53F0, que es el punto de entrada de la función.

Un análisis por parte del antivirus sobre el ejecutable no revelaría nada ya que el código de la shellcode no sobreescribe la función inofensiva() hasta que cargamos las librerías.

Como hemos partido la shellcode en 2 mitades, crearemos dos DLL (shellcode1.dat yshellcode2.dat), una con cada mitad (una vez más, separación), de este modo el AV aunque analice cada DLL en disco, no encontrará nada.



En MY_OFFSET establecemos la posición de memoria en tiempo de ejecución donde debe empezar a sobreescribir. Decodificamos nuestra media shellcode anteriormente “revuelta”, y la escribimos donde estaba la función inofensiva().

VirtualProtectEx, así como otras que permiten API hooking, es una de las funciones más vigiladas por un antivirus dado que abre las puertas a escribir en memoria en tiempo de ejecución, pero como hemos dicho antes, solo estamos escribiendo media shellcode, y es por esa razón por la que no saltará la alarma, y es a lo que me refería con que un antivirus escanea archivos independientes, y no como un conjunto.


También habréis notado que utilizo sleeps para pausar la ejecución. Es solo una sospecha personal infundada, pero aunque retrasa la ejecución del payload creo que algunos antivirus (especialmente los que quieren vendernos que casi no comen recursos al ordenador) dejan de analizar si el proceso que monitorizan es lento, especialmente si es un bucle, para ahorrar recursos y no interferir en la experiencia del usuario. Y también para tratar de que el AV no “relacione” una función con la anterior, aunque supongo que eso ya es un raciocinio humano que no se aplica a una máquina ;)


Para la segunda DLL, solo tenemos que cambiar la segunda mitad de la shellcode y el offset para continuar escribiendo en la posición donde terminó la primer mitad.

Algo que podríamos hacer para enrrevesarlo aún más (aunque para no complicarlo demasiado no lo hemos hecho aquí), sería empezar escribiendo la segunda parte de la shellcode, y luego la primera (simplemente invirtiendo el orden en el que hacemos el LoadLibrary), con lo cual nos curamos en salud ante un posible análisis secuencial de lo que estamos escribiendo en memoria.

Ya para terminar, vamos a añadir una capa más de separación, utilizando un ejecutable (spawner.exe) , el cual es el verdadero ejecutado por nuestro exploit java y que será el encargado de lanzar el payload (Nota: he hecho esto porque a día de escribir el código, el reverse https terminaba el proceso al cabo de unos minutos si no se establecía una conexión):




Este pequeño programa también es inofensivo a los ojos del AV, y lo único que hace es monitorizar si existe el proceso de nuestro payload, y si no es así, lo relanza.

Además, como hemos creado una entrada en el autorun del registro (lo cual podría resultar sospechoso para el AV), siempre es mejor que el "sospechoso" sea este nuestro spawner inofensivo, y no el que carga las librerías del payload.


Resumiendo:

  • Hemos lanzado nuestro exploit en java, ya modificado, con lo cual el antivirus no lo ha detectado. 

  • El exploit ha volcado 4 archivos al directorio temporal de Windows. El AV los analiza en el momento en que se escriben a disco. Dos de ellos son ejecutables inofensivos, con lo cual no los detecta. Los otros dos son las librerías donde está la shellcode, pero son dos archivos independientes, el AV tampoco detectará una shellcode completa. 

  • Se ejecuta nuestro lanzador inofensivo, el AV no lo detecta en la ejecución. Se ejecuta el payload lanzado, y el AV analiza qué trata de hacer (una función inofensiva), también analiza las DLL al cargarlas (pero cada una realiza la sobreeescritura por separado, tampoco las detecta). Llegado ese punto la shellcode ya está reemplazando la función inofensiva(), pero el AV ya no puede detectarlo, ya que para ello tendría que volver a analizar la ejecución completa del programa en memoria y darse cuenta que el código fue sobreescrito, algo que requeriría muchos más recursos, y que en un programa más complejo sería demasiado intensivo. 


Hemos engañado al antivirus sin rompernos la cabeza con algoritmos imposibles, simplemente separando código malicioso en diversos trozos y lugares, y ejecutandolo de una forma poco convencional (sobreescribiendo una función ya existente). Podríamos haber utilizado otros trucos sencillos, como crear un programa con un overflow deliberado y explotarlo para lanzar la shellcode (algo que el antivirus jamás se "imaginaría"), en lugar de integrarla en el propio programa como una función más.

En el hipotético caso de que esto fuese un malware real, ya conocido, y con las firmas añadidas a un antivirus, bastaría con partir en más trozos todavía el código para que el AV dejase de detectarlo, y se convertiría en el juego del gato y el ratón.


¿Soluciones? Pues es bastante complicado. Para que los antivirus pudiesen conseguir una detección robusta no basada en firmas conocidas deberían ser capaces de monitorizar todos los procesos que ocurren en una máquina en todo momento, de relacionar esos procesos entre si de forma racional, tendrían que ser capaces de descubrir automáticamente vulnerabilidades en los programas (sin saber de antemano que las tienen); en definitiva, ser una inteligencia artificial que a día de hoy solo es ciencia ficción. Y necesitarían utilizar prácticamente la totalidad de los recursos de la máquina dejando una pequeñísima parte para el resto de procesos.

Fuente: http://www.securitybydefault.com/2013/01/evasion-de-antivirus-por-que.html

viernes, 18 de enero de 2013

Vulnerabilidad crítica 0-Day en millones de routers cisco.


La empresa de seguridad informática Defense Code asegura haber detectado una vulnerabilidad de día cero en routers de Linksys, subsidiaria de Cisco.

Linksys es uno de los mayores fabricantes mundiales de equipos para redes, con 70 millones de routers vendidos.

En un comunicado, Defense Code asegura haber contactado a Cisco hace varios meses con el fin de informarles sobre la vulnerabilidad de acceso root, detectada en la instalación estándar de los routers de Linksys. Defense Code habría entregado a Cisco una descripción detallada de la vulnerabilidad, acompañando ejemplos de la forma en que sería posible explotarla.

Cisco habría respondido que la vulnerabilidad estaba solucionada mediante una actualización de la última versión de su firmware. Defense Code desmiente lo anterior, señalando que la vulnerabilidad continúa presente en la última versión oficial del firmware, versión 4.30.14, recalcando que todas las versiones anteriores también serían vulnerables.

El agujero en cuestión sería demostrado en el siguiente vídeo, en que se ha probado un router Linksys WRT54GL. Aunque Defense Code no lo prueba con ejemplos concretos, la vulnerabilidad también afectaría a otros productores de Cisco.

La empresa de seguridad informática anuncia que publicará todos los detalles técnicos de la vulnerabilidad dentro de las próximas dos semanas, exhortando a Cisco a actuar con rapidez para solucionar definitivamente el problema de seguridad.

Fuente: http://diarioti.com/detectan-vulnerabilidad-critica-en-millones-de-routers-de-cisco/60316

Vulnerabilidad crítica en Java 7u10.


Java
Oracle está pasando por momentos incómodos durante estas últimas semanas, la última actualización de Java(7 u10) contenía una grave vulnerabilidad, tanto así que los expertos en seguridad informática recomendaban desinstalar el software por completo. El 13 de enero Oracle anunció una nueva actualizaciónque se suponía solucionaría todos los problemas pero no fue así, en tan solo 24 horas encontraron una nueva vulnerabilidad y el exploit se encuentra a la venta por $5.000 USD.
El día lunes, el administrador de un foro dehackers publicó un mensaje a su comunidad asegurando que vendería el nuevo exploit a dos afortunados compradores por la modesta cantidad de $5.000 USD.
Una parte del mensaje que dió el vendedor:
Hay otra vulnerabilidad en la última versión de Java 7. No voy a entrar en detalles, excepto con los compradores seriamente interesados. ¿Qué obtendrás? los archivos sin encriptar para crear el exploit, el código fuente y una versión lista para ejecutarse.
El problema es grave, el vendedor ha prometido versiones del código fuente del exploit y toda la asesoría para ejecutarlo a los posibles dos compradores, que al parecer ya fueron encontrados, ya que el mensaje ha desaparecido del foro del cual se desconoce su nombre. Esta situación no es aislada, ya había ocurido ante en el mes de octubre del año pasado y también fue monetizado el exploit por el mismo sitio.
Oracle aún no da una declaración al respecto sobre la nueva vulnerabilidad en Java, ni se espera un nuevo parche, así que aún se recomienda desinstalar el software para no sufrir ningún tipo de ataque por parte de los hackers o bien, tener mucho cuidado en los sitios web que visitas. Lamentablemente para muchos usuarios será imposible omitir del uso de Java en sus navegadores y sólo queda esperar a que Oracle ponga manos a la obra y solucione todos los problemas que tienen con el software.

Fuente: http://alt1040.com/2013/01/vulnerabilidad-en-java