Explotación de vulnerabilidades en Android sin permisos.

En el momento que se detecta una vulnerabilidad en un sistema operativo, esta puede ser utilizada por un atacante para realizar una acción maliciosa en el sistema. En esta oportunidad Thomas Cannon, investigador de viaForensics ha reportado que es posible que una aplicación de Android puede instalar un backdoor en un dispositivo móvil sin contar con permisos. Este exploit afecta desde la versión 1.5 a la versión 4.0 del sistema operativo de Google.
En su reporte, el cual acompaña de un video, Thomas resalta que al utilizar un componente público desde una aplicación que si cuenta con permisos para el acceso a Internet y a almacenar contenido dentro de la memoria extraíble del dispositivo, es posible para un atacante obtener una consola remota. A través de esta consola se puede acceder al sistema de archivos y ejecutar comandos de manera remota. Por lo tanto una aplicación que no cuente con permisos dentro del sistema puede vulnerar la seguridad del sistema.
Para lograr eludir la seguridad del sistema, este enfoque se basa en la utilización de recursos públicos que algunas aplicaciones dejan disponibles. Esta falla se puede dar en el momento del desarrollo de una aplicación en la cual quién la desarrolló no definió correctamente los atributos de privacidad de algún componente, uno de los ocho concejos para desarrolladores de Android que compartimos con ustedes hace un tiempo.
Además de ser una vulnerabilidad que afecta a todas las versiones del sistema operativo de Google, una aplicación especialmente diseñada puede instalar un backdoor en un dispositivo con Android sin la necesidad de requerir ningún permiso ni escalar privilegios mediante un exploit que le otorgue permisos de administrador al atacante. Estas técnicas mencionadas anteriormente han sido utilizadas por algunos códigos maliciosos anteriormente como así también aquellas aplicaciones que solicitan más privilegios de los que realmente necesitan.
Los herramientas de seguridad que se ponen a disposición de los desarrolladores deben ser tenidas en cuenta al momento de diseñar y crear una aplicación. Al dejar de lado las buenas prácticas de programación se puede exponer la información del usuario además de comprometer el equipo. Como un medio de protección para el sistema, es recomendable contar con una solución de seguridad que además de proteger al sistema de códigos maliciosos, permita borrar la información de manera remota.

Fuente:  http://blogs.eset-la.com/laboratorio/2011/12/26/explotacion-vulnerabilidades-android/

Facebook es un aparato de vigilancia masiva.

Richard Stallman, uno de los principales impulsores mundiales del software libre, expresa un fuerte escepticismo frente a las redes sociales y su política de monitorización y vigilancia de usuarios.

  Diario Ti: En una entrevista con la publicación RT, Stallman declaró que Facebook se dedica a la vigilancia a gran escala. Si hay un botón de "me gusta" en un sitio, Facebook sabe quién visitó ese sitio y puede conseguir la dirección IP del visitante, incluso si el usuario no está afiliado a Facebook. "Si el usuario visita varias páginas dotadas del botón, Facebook sabe que has estado ahí, incluso desconociendo tu identidad", declaró Stallman.

Stallman critica además que Facebook y Google+ exijan a los usuarios registrarse con su nombre verdadero, ya que "es una política que pone en peligro a algunas personas". Cabe señalar que Stallman es un inquebrantable defensor de los derechos humanos en la era digital.

La entrevista fue difundida a comienzos de diciembre y hasta ahora se esperaba un comentario de Facebook. La publicación ZDnet confrontó a Facebook con las declaraciones de Stallman, recibiendo el siguiente comentario:

"Utilizamos las cápsulas de información, cookies, para personalizar contenidos de extensiones sociales (como por ejemplo para ver las preferencias de los amigos del usuario), para contribuir a mantener y mejorar lo que hacemos (por ejemplo midiendo el número de clics), o por razones de seguridad (por ejemplo, para evitar que menores de edad se incorporen al servicio indicando una edad falsa). Cuando un usuario se desconecta de Facebook, borramos la información generada por las cookies (es decir, aquellas vinculadas a una cuenta o usuario individual). En consecuencia, recibimos un volumen de información más reducido cuando un usuario desconectado visualliza una extensión social (plugin). Por lo demás, no vinculamos datos generados en función desconectada de la cuenta del usuario, o a los datos que recibimos cuando este se conecta. Las cookies restantes son utilizadas para seguridad y protección, como para identificar a spammers y phishers, detectar a intrusos que intentan acceder a las cuentas de terceros, impedir la inscripción de menores de edad con falsa fecha de nacimiento, aplicar funciones de seguridad como inicio de sesiones con factor doble, y detectar PC públicas, para evitar el uso de la función de permanecer conectado", escribe Facebook.

Fuente: http://www.diarioti.com/noticia/Facebook_es_un_aparato_de_vigilancia_masiva/30934

Aplicaciones maliciosas se infiltran en el Android Market de Google.

Los equipos de seguridad de Google han eliminado de Android Market al menos una docena de juegos para teléfonos inteligentes después de descubrir que contenían un código secreto que provocaba que los propietarios incurrieran en grandes gastos por cargos de mensajes de texto enviados a números premium.

Las aplicaciones maliciosas, subidas al servicio de alojamiento de Google por el programador denominado Logastrod, se hacían pasar por juegos muy populares tales como Angry Birds, Assasin Creed Revelations y Need for Speed. El programador supuestamente clonaba los títulos, incluyendo los gráficos que acompañan y las descripciones, y agregaba código malicioso que provoca que los terminales envíen y reciba subrepticiamente los mensajes.

Para el momento en que Google retiró esos títulos, más de 24 horas después que estuvieron puestos disponibles, más de 10.000 personas los habían descargado, según publicado en un blog post el lunes por Sophos.

"Ya hemos indicado varias veces que los requerimientos para convertirse en un desarrollador Android que pueda publicar apps en el Android Market son muy laxos", escribe el blogger de Sophos Vanja Svajcer. "El costo de convertirse en un desarrollador y ser prohibido por Google es mucho más bajo que el dinero que se puede hacer publicando apps maliciosas. Los ataques al Android Market continuarán en tanto los requerimientos para los desarrolladores se mantengan tan relajados".

Los usuarios que instalaron los juegos falsos vieron las pantallas de permisos que advertían que las apps era capaces de "editar SMS o MMS, leer SMS o MMS, recibir SMS" con los mensajes. Las apps también vienen con los términos de servicio que revela  a los usuarios que serán suscriptos a servicios premium que cuestan hasta €4.50.

La revelación que Google alojó títulos maliciosos por más de un día y permitió que fueran descargados por más de 10.000 veces es una amplia evidencia que esta protecciones no son suficientes para asegurar al Android Market. Google rehusó firmemente escanear apps disponibles en su tienda en línea para buscar código malicioso que registre lo que tipea el usuario o que generen grandes gastos.

Por mucho tiempo Google ha estado aconsejando a los usuarios a examinar cuidadosamente la pantalla de permisos de cada app antes de instalarla. Y al menos uno de sus empleados arremetió contra las empresas que proveen productos antivirus para los terminales Android, llamándolos "charlatanes que juegan con el miedo de los usuarios".

Con tantas apps Android que requieren acceso a información de ubicación geográfica, funciones de mensajería, y otros recursos sensibles, Google aún debe educar a los usuarios sobre como saber si esos son pedidos legítimos o ilegítimos. Es más, el enfoque de advertencia de Google significa que depende de los usuarios el asegurarse que no sean estafados cuando compran apps en la tienda oficial de la compañía.

Fuente:  http://blog.segu-info.com.ar/2011/12/aplicaciones-maliciosas-se-infiltran-en.html#axzz1gbfBcFZ3

El vicepresidente de Seguridad de Apple se va de la empresa

Las pérdidas de dos prototipos de iPhone son manchas en el expediente de John Theriault. El responsable de los Apple Store también dejó la compañía.

John Theriault, vicepresidente de Seguridad Global de Apple desde 2007, acaba de abandonar la compañía, según la web especializada en novedades de Apple 9 to 5.

El ejecutivo antes trabajó en la farmaceútica Pzifer, durante once años. Como tantos expertos en su materia, estuvo en la administración pública. Aunque esta vez de una manera especial, durante 26 años fue agente del FBI, consigna el diario español El País.

Las pérdidas de dos prototipos de iPhone son manchas en su expediente. La primera fue más escandalosa. En abril de 2010 Gizmodo compró un teléfono perdido en un local de ocio. El diseño era radicalmente nuevo, más cuadrado. Se trataba de una versión preliminar del iPhone 4. La última fuga se dio este verano, cuando un empleado de Apple perdió en un bar un prototipo del iPhone 4S, señala El País.

Una de las tareas que desarrolló Theriault, en 2008, consistió en la creación de un grupo de trabajo para frenar la falsificación de productos Apple en China.

Esta no es la única baja de Apple. El pasado martes dijó adiós a la empresa Ron Johnson, el responsable de las Apple Store, también con cargo de vicepresidente. Él fue quien las ideó tomando GAP como modelo. Johnson sigue en el negocio de las ventas al por menor, pero como consejero delegado de J. C. Penney, una cadena de tiendas estadounidenses, destaca El País.

En ambos casos se trata de salidas voluntarias. Dos casos muy diferentes al de Crisp, apodo con que se identifica en Facebook, un empleado en Reino Unido de Apple que fue despedido.

Crisp dejó en su muro, de manera privada, varios comentarios negativos sobre la compañía.

Un compañero al que tenía como amigo en la red social llevó una copia impresa de sus opiniones a la tienda donde trabajaba.

Fuente: Infobae