Desde diversos medios se advierte de una campaña muy agresiva del Ransomware «BitPaymer» que esta afectando a importantes empresas Españolas.
Adjunto detalle de la incidencia publicada desde el Blog Segu-Info
Varias empresas españolas infectadas con Ransomware (Cadena SER, Everis y Prisa Radio)
Desde Hispasec nos advierten de la vulnerabilidades tanto de Microsoft Teams como de Google Chome
Tambien desde el mismo medio se advierte de un 0-day en Google Chrome que está siendo explotado
Vulnerabilidad en Microsoft Teams permite la descarga y ejecución de paquetes maliciosos
Desde el grupo de seguridad ITS se recomiendan una serie de medidas a fin de mitigar este tipo de riesgos.
MEDIDAS A TOMAR:
- A NIVEL PERIMETRAL:
- No disponer de ningún servidor RDP publicado a internet.
- No disponer de ningún servicio SMB expuesto al exterior.
- Si es necesario proporcionar este servicio, usar redes VPN para dar acceso a terceros a estos servicios y siempre limitando muy bien los orígenes y los destinos de las conexiones. El uso de equipos de salto o pasarelas pueden ayudar mucho en estas labores.
- Dado que se expande mediante el mismo protocolo, se recomienda limitar este acceso entre las redes de la organización. Además, si se dispone de Firewall en los propios servidores, se recomienda cortar o, en su defecto, limitar las conexiones permitidas para estos servicio en los propios servidores.
- MONITORIZACIÓN Y PROTECCIÓN DE SISTEMAS:
- Se recomienda monitorizar tráfico RDP o SMB no autorizado.
- Se recomienda deshabilitar los equipos de Microsoft Teams en los equipos corporativos.
- Se recomienda tener todos los equipos, especialmente aquellos expuestos a internet, al último nivel de parcheado.
- Se debería impedir la ejecución por directiva de dominio de comandos de POWERSHELL.
- Para evitar afecciones en usuarios con privilegios, se recomienda restringir el acceso a usuarios administradores en equipos locales y el uso de administradores locales diferentes en cada equipo, por ejemplo mediante LAPS.
- Por último, se recomienda realizar un comunicado interno indicando la situación actual y que todos los empleados tengas especial cuidado en la apertura de correos o mensajes de Skype o Teams.
Si normalmente debemos de estar atentos, en en este caso debemos de extremar nuestras precauciones.
Enviar a un amigo:
Después de este periodo de inactividad cuyo único culpable ha sido el veranito, volvemos a la carga al igual que la moda en la temporada Otoño-Invierno, con ocasión de hablar sobre un programita llamado Tcpdump.
Hablar de Tcpdump, es hablar de uno de los analizadores de paquetes de red más conocidos e importantes en lo que a línea de comandos en entornos Unix se refiere. Su principal función es la de analizar el tráfico que circula por la red. Este programita ya viene del lejano 1987, época en la que sus autores Van Jacobson, Craig Leres y Steven McCanne trabajaban de la mano en el Lawrence Berkeley Laboratory Network Research Group, siendo este ampliado por Andrew Tridgel..
Seguro que rápidamente lo relacionáis con el término Sniffer. Hablar de Sniffers, analizadores de red o analizadores de paquetes es hablar de un tipo de software que nos va a permitir realizar capturas de tráfico en nuestra red para posteriormente poder realizar un análisis de la información recogida. Se trata de configurar nuestra tarjeta de red en un modo denominado promiscuo, que nos permita no solo escuchar los paquetes que vienen destinados a nosotros, sino que se trata de escuchar todo el tráfico que se genera en la red. Vamos… lo que se viene a denominar un cotilla. Poner la oreja a ver si cae algo que nos interese.
¿ Para qué sirven entonces este tipo de programas ?. Ciertamente no es una pregunta dirigida a los administradores de redes. Eso seguro!. Para ellos se trata de herramientas indispensable en su labor diaria.
Leer más…
Enviar a un amigo:
Hablar de Nmap, es hablar de Gordon Lyon-Fyodor, y de una de las herramienta por excelencia en lo que a exploración de redes y puertos se refiere.
Vamos a empezar definiendo diferentes tipos de escaneos que podemos realizar:
- Escaneos de redes :Este tipo de exploración nos va permitir conocer los dispositivos conectados en la red a estudiar.
- Escaneos de puertos: Una vez identificadas las máquinas, nos va a permitan descubrir puertos abiertos en las mismas. A partir de ese momento intentaremos descubrir los servicios que se están ejecutando y obtener datos que nos ayudarán a identificar el tipo de Sistema Operativo, las aplicaciones, versiones de las mismas…
- Escaneos de vulnerabilidades: Encontrar servicios vulnerables que sirvan como punto de entrada en los sistemas.
Tratamos por lo tanto que buscar las máquinas, ver los servicios que hay corriendo en ellas, y encontrar algún punto vulnerable por el que poder colarnos.
Debemos tener cuidado, ser cautos y no fiarnos de los resultados. A explicarse se ha dicho… Podríamos encontrar una maquina con el puerto 80 abierto. Suponemos que sobre el mismo debería de haber corriendo un servidor web, pero en realidad podemos tener cualquier tipo de servicio detrás de ese puerto (Anexo). Realizar varios chequeos y estudiar la información devuelta con lupa. Es aquí cuando empezamos a hablar de lo que se conoce como Fingerprinting. Algo así como determinar la versión y tipo de sistema operativo que se encuentra corriendo en el Host.
Nmap es una herramienta que a día de hoy nos va permitir realizar todo esto, pero donde verdaderamente ha venido centrando su potencial, es el escaneo de redes y puertos, aunque con las nuevas funcionalidades de Scripting (NSE) vamos a ver como sacarle todo su potencial.
Leer más…
Enviar a un amigo:
Hoy vamos a dar una serie de consejillos para securizar nuestro Joomla. Es seguro todos sabéis que se trata de un gestor de contenidos (evolución de Mambo) programado sobre PHP, que nos va a permitir de una forma sencilla generar arquitecturas Web adaptadas a nuestras necesidades.
Se trata de un entorno con mucho potencial a la hora de dotar a nuestra web de nuevas funcionalidades a través de sus complementos , módulos y plugins… que nos permitirán instalar miles de extensiones, disponiendo así de una plataforma rápida en su puesta en marcha y sencilla en su mantenimiento.
Generalmente se tratará de una instalación sobre maquinas Linux, junto con Apache y Mysql como repositorio de datos, aunque ya sabemos que esto no tiene por que ser siempre asi:).
Al basarse principalmente en PHP, vamos a dar alguna recomendación a la hora de configurarlo.
Procedemos a editar el fichero de configuración. Al trabajar sobre la versión 5:
# vi /etc/php5/apache2/php.ini
Leer más…
Enviar a un amigo:
Hoy vamos a empezar securizando, o al menos intentar convertirlo en algo más seguro, a nuestro tan querido y aclamado servidor HTTP Apache,. Quizás el escritorio se le resista al pinguino, pero donde si puede sacar pecho y estar orgullo es el la parte de los servidores.
Como punto de partida vamos a tratar de evitar el que ofrezca mucha información a los amigos de lo ajeno. Aunque resulta complicado el ocultar su identidad, hemos de intentar ofuscar información que pueda ayudar a los atacantes.
—– Empezamos por redirigir los errores a la pagina inicial de nuestro site, evitando así mostrar información no deseada.
ErrorDocument 403 /inicio/
ErrorDocument 404 /inicio/
—– Evitar que nuestro servidor revele información relativa a su versión modificando los siguientes parámetros :
#vi /etc/apache2/apache2.conf
ServerTokens Prod: Eliminar información relativa a la versión del Apache.
ServerSignature Off: Evitar el envio de información sobre la versión del servidor en las páginas de error.
ErrorDocument numError errores/paginaError.html: Esta directiva permite cambiar las páginas de respuesta de errores.
Leer más…
Enviar a un amigo:
Vamos a empezar securizando un poco nuestro pinguino. Recordar que esto es un proceso diario, y las fuerzas del mal son muy oscuras y requieren de un trabajo diario. Debemos tener muy en cuenta aquello de que …. es mejor prevenir que curar.
1.- EMPEZAMOS PERSONALIZANDO NUESTRA SHELL.
Editamos /etc/bash.bashrc,
#vi /etc/bash.bashrc
Y añadimos lo siguiente al fichero:
# enable bash completion in interactive shells
if [ -f /etc/bash_completion ]; then
. /etc/bash_completion
fi
alias mv=’mv -i’
alias cp=’cp -i’
alias rm=’rm -i’
alias ln=’ln -i’
export TMOUT=3600
Leer más…
Enviar a un amigo:
Traceroute (traceroute6 en IPv6), se trata de una herramienta de diagnostico escrita originalmente por Van Jacobson la cual nos va a venir de lujo no solo para poder trazar mapas de red, sino para detectar diferentes problemas de red ( rutas, latencias…..).
A través de este articulo vamos a poder comprobar como se comporta Traceroute sobre todo en sistemas Unix, enviando datagramas UDP a puertos destino que pueden variar desde el 33434 al 33534, aprovechándose del valor del campo TTL presente en las cabeceras IP. TTL (Tiempo de vida-8bits), va a ser el que determine el numero máximo de saltos por los que van a pasar los paquetes antes de ser descartados.
Básicamente, cuando un dispositivo (Ejem: Router) recibe el paquete este decrementa el TTL en 1 unidad. Si el nuevo valor se convierte en 0, el paquete es descartado. Si realizamos estas mismas pruebas sobre un entorno Windows, este enviará mensajes ICMP (Echo Request) pero la lógica va a ser la misma.
Ya hablaremos en artículos posteriores del el uso de Sniffers para trafico de red, pero para que nos vayamos familiarizando vamos a ver de forma real a través de capturas de lo que estamos hablando.
Leer más…
Enviar a un amigo:
Vamos a continuar donde lo dejamos. La verdad es que últimamente mi vida gira en torno a una ausencia completa de tiempo libre, pero vamos a intentar seguir comentando cosillas.
Para ir profundizando un poquito, vamos tomar una empresa real. La primera que nos venga a la cabeza. Una de las grandes que ahora mismo se me ocurre podría ser El Corte Inglés. Una vez marcado el punto de partida vamos a comprobar lo sencillo que puede llegar a ser obtener información tal como rangos de direcciones públicas, trazas mapas de red, nuevos dominios…..
¿Y si nos intentamos explicar mejor?.
Leer más…
Enviar a un amigo:
Si llega ese momento en que la inquietud termina por arrastrarnos, y empezamos a mostrar intereses ocultos o simplemente inquietudes que emergen desde la mas de las purezas espirituales hacia los sistemas de alguna organización, quizás puedan interesarte estas lineas. Seguro que entre todos podemos ir aportando ideas y lograr definir algo interesante.
Si nos ponemos a pensar un poquito, resulta increíble la cantidad de información que la red puede llegar escupir sobre una empresa simplemente preguntándole algunas cosillas. Obtenemos cosas tan interesantes como son los nombres de dominio, rangos de direcciones IP, servicios, Sistemas Operativos, lenguajes de programación, Hardware, usuarios, teléfonos, correos electrónicos…. aunque supongo que esa misma información la podríamos obtener de una forma mas sencilla si preguntásemos a hacienda…
Vamos a empezar quizás por lo mas lógico y sencillo a la vez. Si estamos frente a una empresa medianamente importante es claro que en los días que corren, esta debería estar presente en la red.
Leer más…
Enviar a un amigo:
Hoy vamos a hablar un poco sobre que es, y para que podemos utilizar el Protocolo Simple de Administración de Red o SNMP. Se trata de un protocolo que va ayudar a los administradores de red a gestionar de una forma más eficiente las redes. Nos va a permitir administrar y monitorizar diferentes elementos que conforman nuestra arquitectura de red, como pueden ser Switches, Routers, Firewalls, Servidores…Técnicamente hablando la arquitectura propuesta por el protocolo consta de tres elementos:
- Dispositivos Administrados : Nodo que contiene un agente (Routers, Firewall…)
- Agentes : Software que reside en el dispositivo
- Sistema de administración de Red (NMS) : Software para las tareas de administración.
Para que nos entendamos un poco todos, imaginemos que tenemos un Router del cual nos interesa monitorizar aspectos como uso de CPU, Memoria, Estado de las interfaces…Para ello podemos hacer uso del protocolo SNMP.
Leer más…
Enviar a un amigo:
