Esta semana en seguridad: qué está pasando con Whatsapp, los núcleos de Windows XP y los ataques de Cisco al Thrangrycat

Whatsapp permite mensajería cifrada cifrada, llamadas VoIP seguras y hasta esta semana una mala configuración para recibir una llamada. Una conexión SRTCP creada con fines malintencionados puede desencadenar un desbordamiento del búfer y ejecutar código en el dispositivo de destino. Aparentemente, la vulnerabilidad fue encontrada primero por una empresa de vigilancia, The NSO Group. NSO es conocido por Pegasus, un programa de espionaje comercial que vendieron a gobiernos y agencias de espionaje, y que ha estado implicado en una serie de violaciones de derechos humanos e incluso en el asesinato de Jamal Khashoggi. Parece que esta vulnerabilidad de Whatsapp fue uno de los vectores infecciosos utilizados por la aplicación Pegasus. Después de descubrir de forma independiente el defecto, Facebook empujó a un cliente fijo el lunes.

Windows XP parcheado contra la vulnerabilidad Wormable

Que año es !? Este martes, Microsoft lanzó un parche para Windows XP, cinco años después de finalizar oficialmente el soporte para el venerable sistema operativo. Recuerda la última vez que Microsoft parcheó Windows XP cuando Wannacry estaba en crisis. Esta semana, Microsoft parcheó la vulnerabilidad del Protocolo de escritorio remoto (RDP), CVE-2019-0708. La vulnerabilidad permite que un atacante se conecte al servicio RDP, envíe una solicitud maliciosa y controle el sistema. Debido a que no se requiere autenticación, la vulnerabilidad se considera un "gusano" o puede ser explotada por un programa de autorreplicación.

Windows XP a Windows 7 tiene la falla y se han introducido correcciones, aunque especialmente no para Windows Vista. Se ha informado que es posible descargar el parche para Server 2008 y aplicarlo manualmente a Windows Vista. Dicho esto, ha llegado el momento de eliminar los sistemas no compatibles, o al menos desconectarlos de la red.

El peor nombre vulnerable de todos los tiempos

Thrangrycat. O más precisamente, “😾😾😾” es una vulnerabilidad recientemente anunciada en los productos de Cisco, descubierta por Red Balloon Security. Cisco utiliza un arranque seguro en muchos de sus dispositivos para evitar el abuso malintencionado del firmware del dispositivo. Un arranque seguro se logra mediante el uso de un procesador secundario, un módulo Trust Anchor (TAm). Este módulo asegura que el resto del sistema funcione correctamente con el firmware firmado. El único problema con este esquema es que el TAm dedicado también tiene firmware, y ese firmware puede ser atacado. El procesador TAm es de hecho una FPGA, y los investigadores han descubierto que era posible modificar el flujo de bits de la FPGA, superando por completo el mecanismo de inicio seguro.

El nombre del ataque, thrangrycat, podría ser un golpe satírico contra otros nombres ridículamente vulnerables. Dejando a un lado los problemas de nominación, es un trabajo impresionante, con el número CVE-2019-1649. Al mismo tiempo, Red Balloon Security reveló otra vulnerabilidad que permitía inyectar un comando desde un usuario autenticado.

Probabilidades y fines

  • Google ha descubierto que sus llaves de seguridad Bluetooth utilizan Bluetooth y tal vez no sea una gran idea.
  • Nuestro propio Bob Baddeley finalmente puso la historia en un servidor Supermicro, probablemente.
  • Cincuenta años de tecnología de la aviación se pueden piratear, pero probablemente no lo serán.
  • ¿Ve una historia de seguridad que cree que debemos abordar? ¡Déjanos una nota en la punta!

    • Ren dice:

      Globo rojo
      o
      ¿Globo rojo?

      • Ostraco dice:

        99 Luftballons

      • Jonathan Bennett dice:

        ¡Gracias, arreglado!

    • Ostraco dice:

      "Dicho esto, es hora de retirar los sistemas no compatibles, o al menos desconectarlos de la red".

      Adiós, Windows 7.

      • Ren dice:

        Mantendré Win7 en mi computadora portátil y computadora,
        pero normalmente los arranco en Linux.

        • Jonathan Bennett dice:

          Tenga en cuenta que todavía es una actualización gratuita para pasar de 7 a 10. Simplemente descargue el disco de Windows 10, grábelo y luego ejecute la configuración para realizar la actualización. Todas las claves de Windows 7 también son claves válidas de Windows 10. Dicho esto, sí, también me quedo en Linux el 99% del tiempo.

          • kdev dice:

            Escuchar la voz complaciente de Cortana durante la instalación de Windows 10 me llena de ira.

            Era bastante malo en versiones anteriores de Windows, donde le mostraban una presentación de diapositivas de cómo Windows hará que su computadora sea más rápida y productiva (MENTIRAS, TODAS LAS MENTIRAS). ¿Ahora tenemos que soportar este fraude digital atacando también nuestros oídos? "Un poco de inicio de sesión aquí, un poco de Wifi allí, y estarás listo" ... vete al diablo, Cortana.

    • Cluso99 dice:

      Ha llegado el momento de que los buscadores de estas brechas de seguridad dejen de publicar código de muestra. Su investigación resulta ser peor que los problemas que resuelven porque efectivamente saca el código malicioso para que las fallas puedan ser mal utilizadas.

      • Jonathan Bennett dice:

        En este caso, no apareció ningún código de muestra. Recuerde la historia de la investigación de vulnerabilidades: no es raro que un investigador revele una vulnerabilidad en privado, solo para ser ignorada. Las vulnerabilidades se anuncian públicamente para que los proveedores las solucionen.

        La mejor práctica actual es de 90 días. Te informamos en privado del problema, y ​​te advertimos que en 90 días lo publicaremos. Es gracioso ver cuántas empresas no lanzan un parche hasta uno o dos días después de los 90 días.

      • Miguel dice:

        LMAO! ¿Qué, para que empresas como Cisco puedan sentarse en sus pulgares y relajarse presentando una solución? Lo siento, pero no estoy de acuerdo con usted aquí en absoluto, los buscadores deben seguir una divulgación responsable. Eso significa primero revelar en privado la vulnerabilidad a la empresa responsable del código y darles la oportunidad de resolver el problema antes de la divulgación pública dentro de un mínimo de 90 días (creo que dar a una empresa más tiempo para presentar una solución antes de la divulgación pública sobre el cuestiones más complicadas). Después de eso, la vulnerabilidad debe ser divulgada públicamente con un código de explosión funcional, esto tiene dos propósitos; Primero, en algunas jurisdicciones legales, no divulgar el código públicamente podría estar sujeto a leyes de chantaje y, al revelar la vulnerabilidad, eliminan la responsabilidad de los recursos legales (piense en los investigadores que van a las empresas y dicen "págame o le cuento a la gente sobre este error ) y en segundo lugar, esto obliga a las personas responsables de la infraestructura de TI a prestar atención y actualizar su sistema, ya que algunos pueden darse por vencidos si no creen que el ataque es de naturaleza y lo mismo ocurre con las personas no técnicas y financieras que participan en tales discusiones ...

        Hay una razón por la que existe el dicho "no hay seguridad por oscuridad".

    • kdev dice:

      Esa vulnerabilidad de Thrangrycat es simplemente asombrosa. Todos sus programas de software deben estar debidamente firmados para pasar sus cargas de control, y el autocargador en sí está protegido por FPGA ... pero el FPGA, el núcleo de todo su sistema auténtico, carga su código sin cifrar con un simple flash SPI. .

      Si tuviera que hacer una suposición furiosa basada en mi conocimiento de los negocios, diría que esta vulnerabilidad de flujo de bits FPGA fue notada originalmente al final del desarrollo por un desarrollador de firmware que se la llevó a un administrador que se la entregó a un ingeniero de hardware que se dio cuenta. que arreglarlo requerirá hardware para reestructurar y los archivos de la placa ya se enviaron para su fabricación. Así que todos se encogieron de hombros y dijeron "bueno, probablemente todo estará bien" y aquí estamos.

      • Rog Fanther dice:

        Bueno, para eso necesitas acceso físico al equipo, ¿verdad? Así que hace que las cosas sean un poco más difíciles para que sucedan. Quizás simplemente lo descartaron como "no es su problema".

        • Vejestorio dice:

          No, la ejecución de código es suficiente. Esto no es tan improbable, ha habido muchos exploits remotos de Cisco.

        • kdev dice:

          Lamentablemente no. El flash SPI puede ser modificado por cualquier persona con privilegios de root, por lo que este ataque se puede realizar de forma remota combinándolo con un ataque de inyección remota conocido.

      • fuzzyfuzzyfungus dice:

        Es particularmente sorprendente que los microcontroladores especialmente construidos para hacer el trabajo no sean exactamente nuevos (los TPM solo se estandarizaron hace una década; pero los chips pre-ISO se enviaron en cierta cantidad en 2006, si no antes; y obviamente Cisco tendría menos de la necesidad de estandarización cuando controlan tanto el hardware como el programa y así podrían adaptarse a los caprichos de un dispositivo específico); y Cisco bombea hardware (a menudo no precisamente barato) en una pequeña cantidad.

        Parece una situación en la que repite TPM; o cree el diseño en su FPGA fabricado (a menos que necesite monitorear constantemente el cargador de arranque o apostar el acceso a la memoria o similar, probablemente pueda soportar un rendimiento y un proceso bastante bajos, unos segundos adicionales de tiempo de inicio no matarán a nadie) e inmutable sin decapitar con violencia precisa.

        ¿Es hardware reprogramado explícitamente como su raíz de confianza de hardware?

    • John Q. Público dice:

      No tengo ninguna intención de instalar Windows 10 en mi máquina. Para lo que hago (programación de VB, Star Trek Online, Train Simulator y Apple 6502) no necesito el oleaje de 10. No necesito mosaicos o cosas que llenen mi pantalla compitiendo por mi atención.
      El menú de inicio simple es bueno. Si quiero el programa de correo, puedo cargarlo yo mismo, no es necesario cargarlo en segundo plano y
      muéstrame un mosaico para recordarme que está allí si lo necesito de inmediato. Windows XP era genial, pero 7 era el mejor sistema operativo de Microsoft.

      • Enero 42 dice:

        Estoy de acuerdo, todas las victorias pasadas 7 subieron demasiado en la curva de oleaje. Comparo mi computadora mainframe de 3 años (ganando 7) con una muy rápida que funciona para mi hijo, que tiene 3 meses (y cuesta el doble que la mía), gana 10, y él todavía se pregunta por qué la mía es mucho más rápido ...

        Winning 7 funciona muy bien con cualquier hardware vagamente moderno: si tuviera que "actualizar" para ganar 10, necesitaría una computadora nueva y sería aún más lento ...

    • ivan256 dice:

      Windows XP se ha implementado ampliamente en sistemas integrados que cuestan cientos de miles de dólares y con los que la gente espera trabajar de forma razonable.

      No creo que sea inútil esperar que Microsoft continúe lanzando parches para cosas tan llamativas como esta. Especialmente si quieren que los proveedores elijan Windows 10 como plataforma integrada.

    • Cluso99 dice:

      En mi humilde opinión

      ¡Publicar código para explotar las vulnerabilidades de seguridad es simplemente incorrecto! Parece publicar cómo producir una bomba.

      Fomenta el abuso y debe verse como tal. Facilita el abuso. Y ayudar e incitar a la delincuencia es un delito penal y, como tal, deben ser procesados.

      Si los que publican son Pagó sus resultados para evitar la publicación, entonces eso es chantaje.

      Estoy en esto. Pasamos una gran cantidad de tiempo tratando de decidir si implementar errores. Tenemos que probarlos primero. No hay garantía de que la solución no empeore con la introducción de nuevos errores no relacionados. W10 1809 es un ejemplo clásico de errores terribles.

      De hecho, muchos de estos errores desconocidos nunca serían encontrados por los piratas informáticos si estas organizaciones profesionales (profesionales, si te pagan por tus resultados, académicos o no), no perderían su tiempo en estudios “académicos” = buscando vulnerabilidades.

      Creo que estas organizaciones tienen mucho por lo que responder en la divulgación y, por lo tanto, en el uso criminal de sus divulgaciones.

      ¡¡¡Somos peores por sus descubrimientos, no mejores !!!

      • Ren dice:

        ¿Eres nuevo aquí?

      • Rafi dice:

        Ese es un pensamiento bastante ingenuo; sin las revelaciones correspondientes, abre la puerta a un ataque de día cero.

        Los actores viles explorarán las vulnerabilidades independientemente de las consideraciones morales y darán a los parcheadores el tiempo para proporcionar una solución para que nunca piensen en ellas. ETERNALBLUE, por ejemplo, causó un daño estimado de hasta $ 4 mil millones por el ataque de ransomware de WanaCry. Incluso asumiendo un enfoque conservador de una tasa de angustia del 10%, se habrían ahorrado $ 400 millones si Microsoft hubiera sido alertado por la NSA o Shadow Brokers sobre las debilidades y se les hubiera dado los 90 días habituales para corregir (reduciendo efectivamente el error a n días). . Incluso si Microsoft no corrigió el error en el tiempo asignado, al menos se enteraron del error real. En cambio, Microsoft tuvo que trabajar el doble de duro para determinar la causa y la solución del error.

        Todo esto ni siquiera explica las máquinas reales involucradas; algunos de estos sistemas forman parte de una red de dispositivos médicos / críticos para la seguridad, lo que significa que cada minuto que la empresa conoce la vulnerabilidad, se salvan más vidas potenciales.

        La divulgación responsable ahorra tiempo, dinero y vidas. No lo reduzca a una actividad delictiva.

Joel Carrasco
Joel Carrasco

Deja una respuesta

Tu dirección de correo electrónico no será publicada.