Daboweb | Seguridad y ayuda informática |

A través de una información publicada en S21sec, ayer pudimos saber que uno de los proyectos con más peso en cuanto a la administración de bases de datos MySQL vía web, tuvo un problema de seguridad que afectó a uno de los «mirrors» desde el que se distribuye phpMyAdmin. En concreto, la web del proyecto informa que la versión afectada fue «3.5.2.2-all-languages.zip«.

La recomendación ante la duda es reinstalar o comprobar si la versión instalada contiene un fichero con el nombre de server_sync.php

Según ha reconocido hace unos minutos Matt Mullenweg (ENG) y ante la sospecha de que plugins como AddThis, WPtouch y W3 Total Cache puedan contener una puerta trasera, con el correspondiente riesgo que conlleva, además de cerrar el acceso al repositorio de plugins mientras según sus propias palabras «buscan algo más desagradable», desde WordPress.org han decidido forzar a restablecer las contraseñas de acceso a servicios como sus foros, el trac, bbPress.org o BuddyPress.org.

Lógicamente, se recomienda no usar el password anterior ni tener el mismo en distintos servicios de WordPress. También se recomienda comprobar si  AddThis, WPtouch y W3 Total Cache corren con sus últimas versiones y en su defecto actualizar a la mayor brevedad posible.

Desde Daboweb os recomendamos encarecidamente acelerar estos procesos si usas esos servicios, ya que aún están buscando y sin querer caer en un alarmismo del que nunca hemos hecho gala, no está de más ante la duda cambiar también vuestros passwords de usuario en WordPress.com.

A través de Hispasec nos enteramos de un grave agujero de seguridad que afecta a ProFTPD en su versión 1.3.3c, habiendo sido descargado entre los días 28 de Noviembre y 1 de Diciembre.

Atacantes remotos lograron el acceso al servidor principal desde el que se distribuye ProFTPD, manipulando los ficheros originales e instalando una puerta trasera que permite el acceso remoto con privilegios de root a usuarios no autenticados en el sistema consiguiendo un acceso total al sistema afectado.

El fallo ha sido corregido, aunque hay dudas acerca de cómo se ganó el acceso. Os recomendamos leer toda la información sobre esta grave vulnerabilidad en Hispasec.

Hace unos días, hacía un ejercicio de reflexión en voz alta (tómese como una opinión personal) sobre el concepto de seguridad global en Mac OS X (acabo de leer una opinión similar recién publicada en el blog de Eset), al hilo de la infección masiva vía copia ilegal y manipulada con la inclusión de un troyano en iWork 09 por más de 20.000 usuarios que se lo descargaron desde redes de intercambio de archivos.

Desde el sitio especializado en seguridad para sistemas Mac, SecureMac, (creadores también de MacScan) se puede descargar una herramienta para detectar y eliminar el troyano OSX.trojan.iServices.A. Este removal tool es de uso gratuito y rápidamente podrás saber si estabas infectado y eliminar dicho troyano.

Descarga de iWorkServicesTrojanRemovalTool | Fuente Planeta Mac.

Nueva variante en Copias ilegales de Adobe CS4.

Intego informa de una nueva variante del primero denominada OSX.trojan.IServices.B en copias ilegales de Adobe CS4. Una vez que se ha ejecutado,crea una puerta trasera en /var/tmp pudiendo crear nuevas copias si se usa el crack de nuevo lanzándose con privilegios de root.

A su vez copia el ejecutable en /usr/bin/DivX y se añade al menú de arranque en System/Library/StartupItems/DivX , para, una vez comprobado que se ejecuta con privilegios de root (super usuario), salva el hash del password en /var/root/DivX y se pone a la escucha en una lista aleatoria de puertos TCP enviando también paquetes de datos de 209 bytes a dos direcciones IP, os podéis imaginar el riesgo que conlleva…

Todavía no se ha liberado una herramienta de eliminación parecida a la anterior para remover el malware del sistema pero se recomienda extremar las precauciones y no descargar copias de estos programas de sitios no confiables.

Por David Hernández (Dabo)

¿Quieres comentar algo sobre este post? Puedes hacerlo en nuestro foro de noticias

Desde hace unos años, rkhunter se ha convertido para mi en una herramienta imprescindible, puedes usarlo en un servidor web o en tu ordenador personal como una forma más de  asegurarlo. A continuación, os daré algunos detalles sobre sus funciones o uso.

Esta ligera y potente aplicación con licencia GPL, está ideada para detectar puertas traseras en tu sistema o alertar de actividades sospechosas en el mismo.

Se puede lanzar también al programador de tareas (Cron) para que realice una comprobación diaria de la integridad del sistema, además, puede configurarse para que te envíe un mail con el resultado del scan.

Realiza entre otras las siguientes operaciones (consulta la ayuda);

Análisis del disco duro en busca de los rootkits más comunes.

Comparaciones de hashes MD5.

Busca ficheros que son usados habitualmente por rootkits.

Realiza un análisis de ficheros binarios y los que se hayan movidos de su lugar habitual.

Busca cadenas sospechosas en módulos como LKM y KLD.

Módulos de Apache así como su configuración.

Interfaces funcionando en modo promiscuo (posibles sniffers).

Aplicaciones a la “escucha” que usen la librería libcap.

Ficheros que hayan sido borrados recientemente y los ocultos.

Llo más normal es ejecutar un rkhunter -c (check all, análisis completo) pero recordad ejecutar un rkhunter –update al menos semanal para que actualice las firmas de malware y toda su base de datos de detección para estar al día con todas las amenazas que van surgiendo.

Para su correcto funcionamiento, requiere un Shell Bash o Korn y algunos módulos de Perl que encontrarás en la mayoría de las distribuciones seguramente ya instalados.

Rkhunter está disponible para entornos GNU/Linux, Unix, BSD o Solaris.

De todos modos hay que ser un tanto paciente con las alertas que devuelve una vez finalizado el análisis ya que en ocasiones puede dar algún «falso positivo» y hacer sonar la voz de alarma, os recomiendo documentaros bien y buscar información al respecto antes de eliminar cualquier fichero sospechoso.

Para instalarlo, además de poder bajar el código fuente y compilarlo, la forma más sencilla es vía apt-get install rkhunter.

Os recomiendo también ChkRootkit que viene a realizar unas funciones parecidas con mucha efectividad.

Sitio web de Rkhunter | | En SourceForge | En Freshmeat |

Por David Hernández (Dabo).

¿Quieres comentar algo sobre este post? Puedes hacerlo en nuestro foro de noticias.