Etiqueta: falla

¿Qué aplicaciones son las más afectadas por “Heartbleed”?

Qué aplicaciones HeartbleedLas relacionadas con Estilo de Vida y Ocio, figuran entre las apps más afectadas por el problema de seguridad denominado “Heartbleed”, ya que almacenan información privada de los usuarios en el servidor, según un análisis de Trend Micro.

El monitoreo de aplicaciones móviles reveló a Trend Micro que hasta 7,000 de ellas, en el momento del análisis, se conectaban a servidores afectados por “Heartbleed” (la última verificación de la compañía contabilizaba 6,000). Pero, ¿cuáles son las más afectadas?

La compañía destacó solamente las categorías de aplicaciones que considera más sensibles, ya que pueden almacenar información privada de los usuarios en el servidor, lo que supone fugas de información a través del uso de estas aplicaciones. De acuerdo con esta información, las apps de Estilo de Vida y las de Entretenimiento y Ocio son las más afectadas, ambas con el 13%.

En este grupo se incluyen todas aquellas apps relacionadas no sólo con el mundo de moda, compra de ropa y accesorios, muebles, etc. sino también con aquellas relacionadas con el pedido de comida, artículos de alimentación, equipamiento, libros, cupones, etc.

Esto significa que si un usuario realiza un pedido o lo provee a través de las aplicaciones afectadas, la información acerca de su pedido –incluyendo las credenciales de usuario, la dirección de su domicilio o, lo que es peor, su tarjeta de crédito– puede filtrarse.

Aunque la falla OpenSSL está integrada con el sistema Android, según Trend Micro, sólo la versión de Android 4.1.1 se ha afectardo por la vulnerabilidad “Heartbleed”. Para los dispositivos con esa versión, cualquier aplicación instalada con OpenSSL que se utilice después para establecer conexiones SSL / TLS, posiblemente se verá afectada y podrá verse comprometida para conseguir información de la memoria del dispositivo del usuario.

Sin embargo, incluso si el dispositivo no está utilizando la versión afectada, todavía hay que considerar las propias aplicaciones. Así, la compañía encontró 273 apps en Google Play que están vinculadas con la librería autónoma OpenSSL afectada, lo que supone que pueden estar comprometidas en cualquier dispositivo.

En esta lista se incluyen los juegos más populares del año pasado, algunos clientes VPN, una aplicación de seguridad, un conocido reproductor de video, una aplicación de mensajería instantánea y una aplicación de teléfono VOIP, entre otras.

Muchas de las aplicaciones proceden de los mejores desarrolladores. Asimismo, Trend Micro ha encontrado la vulnerabilidad en las versiones anteriores de las aplicaciones de Google.

¿Cómo enfrentarse a ‘Heartbleed’?

“Heartbleed” es el nuevo problema de seguridad que ha salido a la luz y ha causado confusión entre los usuarios. Una grave falla en OpenSSL, la tecnología de cifrado usada por alrededor de 500,000 sitios web en el mundo, según NetCraft, podría haber permitido a los hackers el acceso a los códigos encriptados y su descodificación, dejando al descubierto información personal utilizada para transacciones en línea (como al realizar compras online o incluir datos confidenciales en una página web que avisa que la información está protegida).

Lo grave del asunto es que los datos se exponen a medida que fluyen entre los equipos de los usuarios y los servidores empresariales, sin conocimiento de ambos. El error afecta a la información sensible que el SSL está protegiendo.

Compañías como Yahoo informaron que se han visto afectadas, y ésta última recomienda a los usuarios de Tumblr actualizar sus contraseñas lo antes posible. “En una escala de peligro para la seguridad del 1 al 10, Heartbleed es un 11”, explicó el experto en seguridad Bruce Schneier. Otras compañías como Facebook, Google y Microsoft están estudiando el problema.

Para protegerse de “Heartbleed”, Trend Micro recomienda que el usuario se asegure de que ejecuta el software de seguridad actualizado en todos sus sistemas, cambiar las contraseñas en la cuentas de alto valor como su cuenta de correo web o cuentas bancarias online y de manera inmediata en las que se recomienda hacerlo.

Es importante que primero esos proveedores hayan parcheado el problema. Además, el usuario debe estar atento a cualquier actividad sospechosa de cualquier tipo tanto en cuentas online como en cuentas bancarias.

Microsoft alerta de ataques dirigidos contra Windows y Office

Windows parchado
Microsoft lanzó una herramienta FixIt para prevenir que la vulnerabilidad sea explotada.

Microsoft advirtió sobre posibles ciberataques contra una nueva vulnerabilidad detectada en varias versiones de Windows y Office, la cual podría permitir a un atacante controlar el equipo de un usuario.

La falla, que afecta a Windows Vista, a Windows Server 2008 y a Microsoft Office desde la versión 2003 a la 2010, se está utilizando como parte de ataques dirigidos con archivos adjuntos maliciosos que se están produciendo principalmente en Oriente Medio y Asia.

A falta de un parche, Microsoft lanzó una herramienta FixIt, que evita los intentos de explotar la vulnerabilidad.

Cómo actúa

En el comunicado publicado en su página web, Microsoft advirtió que “el exploit requiere interacción con el usuario, ya que el ataque se disfraza como un correo electrónico y se dirige a objetivos concretos, por medio del cual se solicita la apertura un archivo adjunto de Word especialmente diseñado.

Si el archivo adjunto es abierto o se emplea la vista previa, intentará aprovechar lavulnerabilidad empleando una imagen de gráficos con formato incorrecto incrustada en el documento. El atacante que aproveche esta vulnerabilidad, podría obtener los mismos derechos de usuario que el usuario conectado”.

Microsoft asegura que la vulnerabilidad no afecta a las versiones actuales de Windows, y que los usuarios que ejecuten productos potencialmente vulnerables pueden tomar un par de acciones con el fin de protegerse, como instalar de la herramienta FixIt y desplegar el Enhanced Mitigation Experience Toolkit (EMET), que ayuda a mitigar los exploits contra cierta clase de vulnerabilidades.