Daboweb | Seguridad y ayuda informática |

En ocasiones, como sabéis quienes nos seguís asiduamente, abordamos cuestiones relativas a la seguridad informática, destinados a usuarios con una experiencia media o alta en Sistemas Operativos, aplicaciones web, gestores de contenidos (CMS) y muchos tipos de ataques o vulnerabilidades que van surgiendo.

Pero como también llevamos haciendo desde nuestros comienzos (hace más de 9 años), los contenidos y tutoriales destinados a quienes empiezan o están interesados en la seguridad de sus sistemas, tienen un gran protagonismo para nosotros. De ahí surge nuestra iniciativa «Seguridad Básica» y para hoy Viernes os recomendamos dar un vistazo al índice de contenidos publicados a modo de recordatorio. Pronto habrá nuevas entregas, saludos, gracias por vuestro apoyo y difusión.

• Seguridad básica para los que empiezan: Declaración de intenciones, contenidos, a quien va dirigido, como ayudar, etc. Leer más.

• ¿A qué nos enfrentamos?: A la pereza del usuario. Al exceso de confianza. Y como no, al software malicioso que cada vez actúa en más frentes y escenarios. Leer más.

• Las contraseñas: Consejos y recomendaciones a tener en cuenta a la hora de elegir y trabajar con nuestras contraseñas y es que, la comodidad en la seguridad se paga y a veces el precio es muy elevado. Leer más.

• La pregunta secreta: Tras las recomendaciones anteriores para nuestras contraseñas… ¿De qué nos va a servir si a través de la pregunta secreta alguien cuenta con la posibilidad de cambiarla y acceder a nuestra cuenta?. Leer más.

• Analizar con el antivirus las descargas: Generar un automatismo o hábito y comprobar con el antivirus todos los archivos que vayamos a introducir en nuestro ordenador. Leer más.

• Utilizar cuentas de usuario limitadas: Es recomendable crear y utilizar habitualmente una cuenta de usuario limitada o estandard y solo para aquellos casos  que el sistema lo requiera, usar la cuenta de administrador. Leer más.

• Enlaces cortos, crearlos y precauciones: Los enlaces cortos son enlaces web que nos permiten acceder a una dirección web pero utilizando para ello un número reducido de caracteres. Leer más.

• Las copias de seguridad: Una Copia de Seguridad, es un duplicado de nuestra información más importante, que realizamos para salvaguardar los documentos, archivos, fotos, etc., de nuestro ordenador, por si acaso ocurriese algún problema que nos impidiese acceder a los originales que tenemos en él. Leer más.

• El correo electrónico: En esta ocasión vamos a ver una serie de consejos y precauciones generales a observar con nuestras cuentas de correo electrónico. Y es que, la seguridad de nuestras cuentas de correo electrónico no solo se basa en disponer de una contraseña efectiva y sólida, utilizar un sistema operativo u otro, programas de seguridad, etc., sino en como las utilizamos. Leer más.

• Mantener el Sistema operativo y el Software actualizados: Las actualizaciones en la mayoría de ocasiones solucionan vulnerabilidades, problemas de seguridad o de funcionamiento del sistema, por lo que siempre debemos instalar las actualizaciones en cuanto se publiquen para tener el sistema totalmente actualizado, ya que de lo contrario, algún malware podría aprovecharse de estas debilidades e infectar nuestros equipos. Leer más.

• Prevenir infecciones en servicios de mensajería instantánea: Una serie de consejos y precauciones generales a observar al utilizar los servicios de mensajería instantánea como Messenger, Yahoo Messenger, Skype, etc. e incluso aplicables en algunos casos a redes sociales, Facebook, Twitter, etc.  Leer más.

• Cerrar sesión: En esta ocasión vamos a insistir en CERRAR SESIÓN al abandonar o cerrar una página en la que nos hemos logueado (iniciado sesión) o accedido mediante contraseña.
  Y es que, la seguridad de nuestras acciones no solo se deben basar en disponer de contraseñas efectivas y sólidas, utilizar un sistema operativo u otro, programas de seguridad, etc., sino también en cuidar de estos pequeños detalles. Leer más.

Durante el día de ayer y hoy, hemos podido leer tal y como informan en Ontinet y en muchos otros sites, que dos de los servidores destinados a distribuir el Kernel que impulsa nuestras distros de GNU/Linux alojados en kernel.org, fueron víctimas de un ataque que podíamos catalogar como «devastador», dado el grado de acceso que se consiguió.

Hablamos nada más y nada menos que con privilegios de «root» (súper usuario en un sistema *Nix). Este hecho derivó en la inclusión de un troyano en parte de su código fuente con las consecuencias que ello conlleva. A pesar de que la intrusión se llevó a cabo el día 12 de Agosto y fue descubierta el pasado 28, algunos pueden pensar si el Kernel que han descargado desde el día 12 hasta la fecha contiene alguna vulnerabilidad.

Una fuente tan reputada como Jonathan Corbet ya ha dicho que no debemos preocuparnos por la integridad del Kernel reconociendo (cómo no) que es un tema preocupante y que se volcarán backups «limpios» en los sistemas afectados además de revisar el resto.

Hablando de Git…

Los aproximadamente 40.000 ficheros que componen el Kernel, cuentan con una protección como la que ofrece «Git» (creado por el propio Linus Torvalds) el cual se basó para su desarrollo en BitKeeper y en Monotone para llevar un control de versiones eficaz y seguro. Actualmente, Git esta principalmente mantenido por Junio Hamano junto a casi 300 programadores.

Git es usado actualmente además de para desarrollar el código del Kernel, de proyectos de tanto peso como Perl, KDE, Android, Debian o GNOME por citar algún ejemplo.

Os podéis imaginar lo que puede ser llevar ese control de cambios en un mismo fichero por una cantidad tan grande de programadores que trabajan en el código fuente del Kernel. Gracias a Git, ese proceso se realiza de una forma rápida y eficiente. Cuando se realiza un cambio en el código sobre alguna versión previa, los cambios que se hacen posteriormente son notificados en todas ellas.

La gestión distrubuida que ofrece Git proporciona a cada mantenedor del código una copia local con todos los cambios realizados en el desarrollo de un proyecto. Esos cambios se propagan entre repositorios locales y son importados como ramas adicionales pudiendo ser fusionadas del mismo modo que en la ramificación local. Todo ello apoyado por la solidez del «hash» SHA1 para evitar «colisiones» y llevar un mejor control de los cambios realizados.

Trabaja con desarrollos no-lineales que dotan de una mejor gestión de las ramificaciones y la fusión con versiones diferentes del código, se realiza de una forma rápida y eficaz. A pesar de que se hay otras formas de publicar los cambios, se suele optar por el cifrado que ofrece SSH para hacerlo de un modo más seguro. Se pueden usar a modo de emulación, varios módulos y clientes CVS y con «git-svn» trabajaremos con Subversion o svk.

Como podéis ver, la forma de trabajar a través de Git junto a las palabras de Corbet ya deberían ser suficientes como para tranquilizarnos, alguien como él no diría gratuitamente «no hay problemas con el Kernel» caso de haberlos, pero también, muchos de los desarrolladores que se encargan de su mantenimiento, si no fuese así, podéis dar por seguro que darían la voz de alarma.

Lo mejor para ver todas las funcionalidades de Git, es pasaros por sus «FAQs».

Ayer por la noche, el sitio web de PrestaShop fue víctima de un ataque. Este hecho, vía un script para automatizar el proceso, según la información que proporciona PrestaShop, derivó en la transcripción de noticias en la parte administrativa de las tiendas.

Si tu tienda está entre las afectadas, consulta esta información (en castellano) para solventar el problema.

Fuente; IntecoCert.

Concretamente, la vulnerabilidad ha sido catalogada como «Range header DoS vulnerability in Apache 1.3 and Apache 2» (CVE-2011-3192:). El tema es serio ya que con un número relativamente bajo de peticiones, pueden producirse ataques de denegación de servicio, debido a un excesivo consumo de memoria y CPU.

Como prueba de concepto, está el script escrito en Perl  denominado»killapache«. Para comprobar si vuestro servidor es susceptible de recibir este tipo de ataques, os recomendamos leer la entrada sobre el tema de Jordi Prats en»systemadmin.es»

Este bug, del que se espera que en 96 h aproximadamente esté parcheado (aunque hablan de parches para las versiones 2.0x y 2.2x, no para la 1.3x según informan), afecta especialmente a Apache junto a módulos relativos a la compresión de ficheros, como puede ser el caso de uno tan popular como mod_deflate. Debido a la falta de actualizaciones, se proponen varias medidas para paliar los efectos del bug.

Estas actuaciones se pueden combinar con otras soluciones de «apoyo» como podrían ser Mod-Evasive, Mod-Security, (D) DoS Deflate, la configuración de vuestro firewall, etc.

(#Disclaimer; En la fuente original ya se informa que estas medidas pueden afectar al normal uso de los sitios webs en los que se implementen. Vídeo por streaming, sesiones activas, ciertas descargas, cookies y otras peticiones legítimas).

1) Utilizar «mod_headers«; (Ponedlo debajo de la directiva «ServerRoot»)

RequestHeader unset Range

2) Usar «mod_rewrite» para limitar el número de intervalos:

RewriteCond % {HTTP:range} ^bytes=[^,]+(,[^,]+) {0,4}$
RewriteRule. *-[F]

3) Reducir el tamaño en bytes de las peticiones; (mejor con la opción 1)

LimitRequestFieldSize 200

4) Usar temporalmente un módulo de «recuento» como mod_rangecnt.c. (esta opción mejor la última…)

http://People.Apache.org/~dirkx/mod_rangecnt.c (descarga directa)

5) Quitar «mod_deflate» temporalmente, la «menos mala» quizás.

(Alguna consideración sobre su desactivación aparte de un «a2dismod» en Debian y derivados)

«Removing any AddOutputFilterByType/SetOutputFilter DEFLATE entries. Disable it with «BrowserMatch .* no-gzip«

Ante las dudas que os puedan surgir, os recomendamos permanecer atentos a posibles parches y leer la fuente original de este artículo o está información de «Debian Security» en el que hablan del bug y cómo afecta a Apache en su versión estable. También es recomendable seguir este hilo para contrastar e ir leyendo más información.

Por David Hernández (Dabo).

La policía nacional ha llevado a cabo una operación especial contra lo que ellos creen que es la cúpula organizativa dirigente de Anonymous en España, el grupo hacktivista que denuncia abusos de poder de diversos gobiernos en todo el mundo y que centra su lucha en internet y en las libertades individuales.

Un marinero mercante español de 31 años parece ser el mas activo de los tres detenidos, ya que según siempre fuentes policiales, tenía bajo su control un servidor casero desde el cual se organizaban ciberataques contra páginas gubernamentales. Las fuerzas de orden púbico han hallado abundante material informático para infectar y controlar ordenadores de terceros desde los cuales el grupo ejercían sus acciones de protesta, las cuales pueden acarrearles entre 1 y 3 años de cárcel, aunque todos han sido puestos en libertad de manera provisional.

Se da la circunstancia de que el pasado 18 de Mayo y desde el domicilio de este marinero español, se realizó un ciberataque contra la mismisima Junta Electoral Central ante la proximidad de las elecciones locales y autonómicas.

Según informa Apple en su lista de correo, hay disponible una nueva versión de iTunes (10.2.2) a través del menú «Actualización de software» que solventa posible un ataque «man-in-the-middle» mientras se navega por la iTunes Store.

El problema viene dado por múltiples errores de corrupción de memoria en WebKit que pueden llevar cierres inesperados de la aplicación o a la ejecución arbitraria de código. El bug ha sido reportado por Martin Barbella.

Info original de Apple; (ENG).

APPLE-SA-2011-04-18-1 iTunes 10.2.2

iTunes 10.2.2 is now available and addresses the following:

WebKit
Available for: Windows 7, Vista, XP SP2 or later
Impact: A man-in-the-middle attack may lead to an unexpected
application termination or arbitrary code execution
Description: Multiple memory corruption issues exist in WebKit. A
man-in-the-middle attack while browsing the iTunes Store via iTunes
may lead to an unexpected application termination or arbitrary code
execution.
CVE-ID
CVE-2011-1290 : Vincenzo Iozzo, Willem Pinckaers, Ralf-Philipp
Weinmann, and an anonymous researcher working with TippingPoint’s
Zero Day Initiative
CVE-2011-1344 : Vupen Security working with TippingPoint’s Zero Day
Initiative, and Martin Barbella

Dicen las malas lenguas que rectificar es de sabios y aunque no esté del todo de acuerdo tenemos una rectificación importante que hacer.

A veces la inmediatez de publicar una noticia que puede afectar de forma grave a muchos usuarios de un programa o sistema hace que se puedan cometer errores que por suerte, al menos en este caso, tienen fácil solución.

Esta noche publicamos una información referente a un zero day en todas las versiones de wordpress, desde la 3.0.2 para abajo, incluida la 3.1 beta (no alfa).

Este zero day está corregido precisamente en la versión 3.0.2, algunos errores en las traducciones han llevado a esta confusión; por partes:

En Geekeries (en francés) hablan de versiones precedentes a la 3.0.2 (dernières) y habla de aplicar el parche sustituyendo una línea, no añadiéndola:

Sélectionnez le bout de code précédemment cité et coller le code suivant. Cela écrasera votre sélection puis enregistrez.

Lo que viene a decir:

Seleccione el fragmento citado arriba y pega el código siguiente. Que se sobreponen a la selección y guardar.

Mis pocos conocimientos de francés traducen mejor que eso, pero google no lo ha hecho (en este caso) del todo mal.

Además en AyudaWordpress hacen referencia a un artículo que a su vez apunta a un blog (http://blog.sjinks.pro/)

que precisamente sale en los agradecimientos en la noticia de la actualización de WordPress.

Fixed on day zero
One-click update makes you safe
This used to be hard

This maintenance release fixes a moderate security issue that could allow a malicious Author-level user to gain further access to the site, addresses a handful of bugs, and provides some additional security enhancements. Big thanks to Vladimir Kolesnikov for detailed and responsible disclosure of the security issue!

Lamentamos profundamente las molestias que hayamos podido ocasionar, ahora solo toca deshacer lo hecho aquellos que tenían la versión actualizada a la 3.0.2 ya sea eliminando la línea sobrante si la han añadido o haciendo una reinstalación de la versión desde el escritorio. También serviría la sustitución del archivo comment.php en /wp-includes/ si habeis hecho los deberes haciendo una copia antes de sustituirlo.

Hace unos días os informamos en Daboweb acerca del lanzamiento de la versión 3.0.2 de WordPress. Pues bien, en estos momentos, tanto esta nueva versión, como la futura versión 3.1 de WP (aún en estado «alfa») y anteriores, son vulnerables a un ataque de inyección SQL a través de la función «do_trackbacks".

El autor del descubrimiento, es quien reporta la solución temporal hasta que WordPress libere una versión de seguridad que lo corrija. Muy fácil de aplicar (probado en 8 wp) tal y como explica Fernando en Ayuda WordPress

IMPORTANTE: Rectificación sobre el Zero Day de WordPress

Nuestro compañero Dabo ha publicado en su blog un tutorial sobre el uso de BFD, (Brute Force Detection) una herramienta muy a a tener en cuenta para proteger un servidor web bajo GNU/Linux frente a ataques de fuerza bruta, servicios tan importantes en  como; sshd, FTP, correo POP e IMAP, etc.

Acceso al post en DaboBlog.

Si decimos que la industria del Malware, además de molesta, perniciosa y cansina, está siempre «a la última» en cuanto a técnicas de infección-redifusión, no sería nada nuevo ya que de todos es sabido.

Pero no está de más tener en cuenta esta información que podemos leer en Slashdot (ENG) con origen en este enlace (ENG), en la que se hacen eco de un aumento de ataques a través de servidores DNS vulnerables o con configuraciones potencialmente explotables, que son un filón para los crackers que consiguen hacerse con el control de esos servidores DNS, redirigiendo varios subdominios legítimos a una IP diferente y desde donde se llevan a cabo los ataques (de todo tipo) hacia el usuario a través de su navegador.

Sirva también a modo de recordatorio para los que administramos un servidor web, ya que como bien apuntan en la entrada original, a veces, una vez que has configurado las zonas DNS así como los diferentes dominios principales y subdominios, puede que no se revisen con la frecuencia que sería deseable y más si son subdominios creados no para servir páginas, sino para alojar por ejemplo imágenes, ficheros, etc, donde rara vez se consulta vía web sino más bien por FTP-SFTP.

Aunque personalmente opino que si ya se han hecho con el control de tu DNS, estás técnicamente K.O. Si hablamos de un servidor web bajo GNU/Linux, no está de más revisar esas configuraciones DNS y usar herramientas como «nslookup» o hacer consultas DNS con el comando «dig» para ver que está todo correcto y que tanto los dominios principales como subdominios, apuntan a IPs correctas.

Y para acabar, hablando de subdominios, es importante revisar a nivel de Apache que no queden expuestos o la vista de todos los subdominios (listado de directorios), aunque con un simple «index.php» o «.html» en el directorio principal del subdominio, caso de que como dije antes no se sirva tráfico web desde él, el contenido alojado dentro no quedará expuesto.

Desde websecurity, nos ofrecen una serie de interesantes consejos y medidas a poner en práctica para dotar a un sistema basado en GNU/Linux de un mayor nivel de seguridad. Partiendo de la creencia (al menos por estos dominios) de que la seguridad total es una utopía, cuanto más hagamos por llegar a ella, mejor que mejor.

Se da un repaso a herramientas creadas para fortalecer el núcleo (linux) con parches que pueden protegerte de ataques por desbordamiento del búfer, denegación de servicio y otros muy comunes. También se revisan servicios innecesarios o que puedan ser fuente de problemas y cómo desactivarlos, implementación de políticas de seguridad en el sistema, etc, etc.

El contenido se ofrece en 5 partes para una mejor comprensión.

Como blindar nuestro sistema Linux

• Blindaje de nuestro sistema (Parte I)
• Blindaje de nuestro sistema (Parte II)
• Blindaje de nuestro sistema (Parte III)
• Blindaje de nuestro sistema (Parte IV)
• Blindaje de nuestro sistema (Parte V)

Como podréis comprobar, los consejos y medidas a adoptar, además de mucha lógica, están escritos de un modo comprensible por todos. Recordad que en nuestro subforo de GNU/Linux, nos tenéis para echaros un cable -;)

Ha sido reportada por Ryan Giobbi una vulnerabilidad explotable tanto local como remotamente en Webmin y Usermin. Según nos informan desde Webmin, El bug se explota mediante un ataque por usuarios no autorizados contra la cookie de una sesión de un usuario con acceso a Webmin y podría permitir conectarse a su interfaz web sin introducir el password.

Aunque ciertamente no es fácil explotar este bug, os aconsejamos actualizar lo antes posible Webmin junto a Usermin dado que se trata de un software para controlar un servidor web con las consecuencias que un hecho así podría traer.

Las versiones afectadas son;

Webmin versiones anteriores a la 1.500.
Usermin versiones anteriores a 1.430.

La solución pasa por instalar;

Webmin  1.500 y Usermin 1.430.

Ha sido detenido por la Guardia Civil (leer debajo la nota de prensa) el menor de edad que entre otros sites, ha sido el causante de un ataque de denegación de servicio a la web de hacking y seguridad informática elhacker.net.

Modus Operandi;

El menor colgaba un vídeo en youtube con frases atractivas para captar la atención del internauta, de esta forma conseguía que el usuario se descargarse el contenido y automáticamente resultaba infectado.

Este virus tenía la peculiaridad de poder propagarse por conducto de programas tan extendidos como Messenger, Fotolog, etc.

Una vez infectados con el virus, el menor pasaba a dominar los PCs a su antojo con la intención de realizar visitas a la misma vez, a las páginas que quería atacar, colapsando los servidores de las mismas.

Un ejemplo de ello, fue la página www.elhacker.net, que sufrió en pocos minutos más de doce millones de visitas simultáneas, cuando el promedio ordinario oscilaba en unas cien mil.

Mediante esta operación había conseguido controlar más de 75.000 ordenadores

Fuente, Guardia Civil | Más info en elhacker.net (foro)..

Se trata de una comunidad muy cercana a nosotros y vaya desde aquí toda nuestra solidaridad. Nos alegramos de que hayan cesado los ataques y al causante habría que decirle que reflexionara a ver si realmente ha merecido la pena.

Hablando de hacking o seguridad informática, dos conceptos que van en paralelo, el talento o una aptitud determinada en cualquiera de sus múltiples ramas, deben ser aprovechados para otros fines en los que la ética y como se aplican esos conocimientos, serán quienes nos alejen de ser un cracker o lo que es lo mismo, un delincuente informático.

Un abrazo para El Brujo y toda su comunidad.

En estos días muchos usuarios están recibiendo falsos avisos de actualizaciones de seguridad de Microsoft Outlook. Según informa Websense, este tipo de ataques serían de lo más común a no ser por el alto grado de personalización usado.

Junto al aviso de la supuesta actualización, viene un enlace a una página web para realizarla con un aspecto muy convincente lo cual facilita el engaño.

Una vez instalada la falsa actualización, el malware que es realmente lo que contiene, según informan en ITespresso (fuente), la máquina infectada se convierte en parte de la botnet «Zbot» y pasa a ser controlada remotamente por su creador.

Visto en la portada de Inteco.

Si anteriormente nos hacíamos eco de la noticia sobre el ataque recibido por parte de Microsoft en sus cuentas de hotmail, msn.com o live.com, hoy leemos que otros servicios de correo web también podrían verse afectados por este ataque.

Concretamente cuentas de correo de servicios tan conocidos como GMail, Yahoo, AOL, Comcast, etc., también podrían haber sido afectadas por lo que, si dispones de cuentas en alguno de estos servicios, se recomienda cambiar sus contraseñas inmediatamente.

Manuales para cambiar las contraseñas:

Cambiar la contraseña de GMail.

Cambiar la contraseña de AOL .

Cambiar la contraseña de Yahoo.

Cambiar la contraseña en cuentas de Hotmail.

Via: Neowin