Vulnerabilidades críticas en varios relojes inteligentes para niños

Estudio reveló la existencia de vulnerabilidades en seis relojes inteligentes para niños que en algunos casos permitirían extraer datos sensibles, tomar el control del dispositivo y hasta monitorear remotamente sus funcionalidades.

Investigadores de la Universidad de Ciencias Aplicadas de Münster en Alemania publicaron recientemente los resultados de una investigación sobre la seguridad de relojes inteligentes para niños de seis marcas diferentes, en la que descubrieron múltiples fallos de seguridad críticos que podrían ser explotados por actores malintencionados. Tal como explica un artículo publicado por Wired, los dispositivos analizados están diseñados para enviar y recibir mensajes de voz y de texto, y permiten a los padres rastrear la ubicación de sus hijos desde una app en sus teléfonos. Sin embargo, tras las pruebas realizadas descubrieron vulnerabilidades que permitirían a un atacante aprovecharse de esas funciones para monitorear la ubicación de los niños a partir del GPS de cinco de las seis marcas analizadas. Por si fuera poco, “descubrieron otras vulnerabilidades aún más severas y que permitirían a un atacante enviar mensajes de texto y voz a los niños, interceptar los mensajes entre padres e hijos, y grabar audio del entorno de los más pequeños”, explica el artículo.

Las marcas de los modelos de relojes inteligentes analizados son Starlian, JBC, Polywell, Pingonaut, ANIO, y Xplora. Esta no es la primera vez que se descubren fallas de seguridad en dispositivos IoT para los más chicos. En 2016, por ejemplo, investigadores descubrieron vulnerabilidades en peluches de Fisher-Price y en el reloj GPS hereO que exponían datos y la ubicación de los usuarios, mientras que en 2017, el Consejo de Consumidores de Noruega reveló en un estudio realizado también en relojes inteligentes para niños, la existencia de importantes fallas de seguridad. Las vulnerabilidades descubiertas en este caso en particular fueron reportadas a los fabricantes y muchas de ellas fueron corregidas, aunque algunas todavía no.

En el caso de los dispositivos inteligentes de los fabricantes JBC, Polywell, ANIO, y Starlian, los mismos utilizan una arquitectura de hardware y de backend común que tiene detrás al mismo fabricante, que es una compañía de china llamada 3G Electronics. Según explican los investigadores, tras realizar pruebas en los relojes de estas cuatro marcas descubrieron que las comunicaciones con el servidor (que envía y recibe información entre el dispositivo y la app instalada en los teléfonos de los padres) no eran cifradas ni contaban con mecanismos de autenticación. En este sentido, dado que cada uno de estos relojes inteligentes viene con un IMEI que funciona como identificador único, un atacante con este identificador puede aprovechar estas fallas para alterar la comunicación enviada desde el reloj al servidor y modificar la información sobre la localización, pero también puede espiar las comunicaciones al grabar sonido a través del reloj inteligente e incluso enviar un mensaje de voz haciendo creer al padre o la madre que es enviado desde el dispositivo de su hijo.

El ANIO4 touch presenta fallos de autenticación en la comunicación con el servidor que permitirían a un atacante que logre conectarse al servidor utilizando credenciales de inicio de sesión legítimas, falsear su identidad para enviar comandos haciéndose pasar por otro usuario. Asimismo, esto permitiría al atacante obtener información de localización e interceptar o suplantar la identidad de alguien mediante mensajes de texto o de audio, explica el medio. Algo de similares características ocurre con el reloj inteligente de Pingonat, más específicamente el Panda 2, que la falta de cifrado en sus comunicaciones con el servidor permitieron a los investigadores interceptar mensajes y alterar los datos de ubicación.

Las fallas de seguridad responsabilidad de 3G Electronics fueron reparadas, así como también las vulnerabilidades en los relojes de JBC y Polywell. En el caso de los relojes del fabricante Starlian aún siguen existiendo fallos reportados. En el caso del Panda 2, los fabricantes dijeron a los investigadores que añadirían cifrado TLS para asegurar las comunicaciones de sus nuevos modelos.

Algunos de los relojes analizados presentan fallos a corregir pero que no son vulnerabilidades críticas, como es en el caso del modelo Panda 2 de Pingonaut. Algo similar ocurrió con XPLORA GO, en el que no encontraron fallos críticos. Sin embargo, en el caso de ANIO4 Tocuch, por ejemplo, la falta de implementaciones de seguridad es importante.

Como muchos lectores saben, la seguridad en dispositivos IoT es un problema desde hace ya un tiempo genera preocupación. Algunos de las fallas presentadas en este estudio ya fueron detectadas en estudios previos, como el que realizó en 2017 el Consejo de Consumidores de Noruega y que reveló la existencia de importantes fallas de seguridad en relojes inteligentes para niños. Sin embargo, esto no provocó que los fabricantes realizaran análisis de seguridad más profundos en sus productos. Esto demuestra la necesidad de seguir trabajando en pos de que se mejore la implementación de la seguridad en dispositivos inteligentes, por ejemplo, a través de medidas impulsadas por las autoridades.

Fuente: https://www.welivesecurity.com/

Páginas alojadas localmente permiten el robo de ficheros en Firefox desde hace 17 años

La vulnerabilidad sólo requiere abrir un fichero .html malicioso con el navegador para tener acceso a los archivos del directorio.

Según ha demostrado Barak Tawily, un analista de seguridad que ya reportó una vulnerabilidad similar, la implementación de Same Origin Policy (SOP) de Firefox para el esquema «file://» permite listar y acceder a ficheros del mismo directorio y subdirectorios. Un atacante podría mediante un fichero .html descargado de Internet y abierto con Firefox acceder a todos los archivos donde se descargó el documento.

La vulnerabilidad, que todavía no ha sido parcheada y no se espera que se solucione de momento, se debería a que el RFC de ‘SOP’ para el esquema «file://» no deja claro cual debe ser el comportamiento en estos casos, por lo que cada navegador acaba haciendo su propia implementación del estándar.

En la prueba de concepto (PoC) realizada por Tawily y grabada en vídeo puede comprobarse cómo abriendo un fichero ‘.html’ descargado y abierto desde las descargas de Firefox sin que se muestre ningún aviso es posible acceder a ficheros sensibles del directorio sin que el usuario se dé cuenta.

El fallo en realidad no es nuevo, pues ya fue reportado en Netscape 6 y Mozilla en el 2002, reportándose en nuevas ocasiones con el mismo efecto.

De momento la única solución es no abrir ficheros ‘.htm’ o ‘.html’ de local utilizando Firefox. Una posible alternativa, y sólo si es estrictamente necesario, sería copiar el archivo a una carpeta vacía, y abrirlo desde dicha carpeta.

Más información:

Firefox Local Files Theft – not patched yet:
https://quitten.github.io/Firefox/

¿Qué es el spyware? Cómo funciona y cómo prevenirlo.

Spyware es usado por todos, desde estados nacionales hasta esposos celosos, para recopilar información a escondidas y monitorear la actividad de las personas sin su conocimiento. Esto es lo que necesita saber sobre esta forma generalizada y espeluznante de malware.

Definición de spyware
Spyware es una amplia categoría de malware diseñado para observar de forma secreta la actividad en un dispositivo y enviar esas observaciones a un snooper (fisgón). Esos datos se pueden usar para rastrear su actividad en línea y esa información se puede vender. El spyware también se puede usar para robar información personal, como contraseñas de cuentas y números de tarjetas de crédito, lo que puede resultar en robo de identidad y fraude.

«El software espía es realmente todo lo que recopila, y posiblemente disemina, información sobre el usuario sin el consentimiento del consumidor», explica Josh Zelonis, analista senior de la empresa de investigación de mercado Forrester Research. «El software espía es y siempre será un método popular para recopilar información privada. Lo vemos en troyanos bancarios, redes publicitarias, esposos celosos y compañías que cruzan los límites éticos mediante la instalación de registradores de teclas como parte de sus programas de amenazas internas. Es increíblemente amplio. Problema que impacta a todos potencialmente «.

El uso del malware parece estar en aumento. Según un informe reciente del fabricante de software de seguridad Malwarebytes, las detecciones de software espía para consumidores aumentaron un 27 por ciento de 2017 a 2018. Las detecciones de negocios aumentaron aún más: 142 por ciento durante el mismo período.

«Es parte de una tendencia a las amenazas tradicionales», dice Jerome Segura, jefe de inteligencia de amenazas de Malwarebytes. «Esto demuestra que los delincuentes están interesados ​​en robar datos a los usuarios», agrega. «Una vez que tienen los datos, pueden implementar malware adicional en el sistema y crear un vector adicional para la monetización».

Tipos de spyware

Spyware puede tomar varias formas. Incluyen:

• Adware: observa su actividad en línea y muestra anuncios que cree que le interesarán según esa información. Aunque es benigno en comparación con otras formas de software espía, el software publicitario puede tener un impacto en el rendimiento de un dispositivo, además de ser molesto.
• Cookies de seguimiento: son similares al adware, aunque tienden a ser menos intrusivas.
• Troyanos: después de aterrizar en un dispositivo, buscan información confidencial, como información de cuentas bancarias, y la envían a un tercero que la utilizará para robar dinero, comprometer cuentas o realizar compras fraudulentas. También se pueden usar para obtener el control de una computadora a través de la instalación de una puerta trasera o un troyano de acceso remoto (RAT).
• Registradores de teclas: permiten que un malvado capture todas las pulsaciones del teclado, incluidas las pulsaciones que utiliza cuando inicia sesión en sus cuentas en línea.
• Stalkerware: por lo general, se instala en un teléfono móvil para que un tercero pueda rastrear al propietario del teléfono. Por ejemplo, durante el juicio de Joaquín «El Chapo» Guzmán, se reveló que el capo de la droga instaló el software espía en los teléfonos de su esposa, asociadas y amigas para que pudiera leer sus mensajes de texto, escuchar sus conversaciones y seguir sus movimientos.
• Stealware: está diseñado para aprovechar los sitios de compras en línea que otorgan créditos a sitios web que envían tráfico a sus páginas de productos. Cuando un usuario va a uno de esos sitios, el software de robo intercepta la solicitud y se acredita para enviar al usuario allí.
• Monitores del sistema: registran todo lo que sucede en un dispositivo, desde pulsaciones de teclado, correos electrónicos y diálogos de salas de chat hasta sitios web visitados, programas iniciados y llamadas telefónicas, y lo envían a un intruso o ciberdelincuente. También pueden monitorear los procesos de un sistema e identificar cualquier vulnerabilidad en él.

¿Cómo funciona el spyware?

Spyware se distribuye de varias maneras. Uno de los más comunes es hacer que los usuarios hagan clic en un enlace que conduce a un sitio web malicioso. Esos enlaces pueden estar en correos electrónicos, mensajes de texto, ventanas emergentes en un navegador y anuncios en páginas web. También se sabe que los enlaces envenenados aparecen en los resultados de búsqueda de Google.

A veces no es necesario hacer clic en un enlace malicioso para acceder a un sitio web infectado. Esto se hace comúnmente a través de un anuncio infectado que se envía a sitios web legítimos a través de redes publicitarias legítimas, también conocidas como publicidad maliciosa . En ocasiones, los actores de amenazas insertan código malicioso en sitios web legítimos que pueden infectar a un visitante simplemente al ingresar a una página.

Abrir archivos infectados es otro método para distribuir spyware. Estos archivos se adjuntan normalmente a los mensajes de correo electrónico disfrazados como originados por una fuente confiable, como un banco o alguna organización nacional.

Los usuarios también pueden ser tentados a descargar spyware. Un desarrollador puede promocionar su programa como una adición útil a una biblioteca de software, pero puede contener software espía. En algunos casos, eliminar el software de su computadora eliminará la aplicación, pero el software espía se quedará atrás y continuará espiando a usted.

Los teléfonos móviles también pueden ser un objetivo de spyware. Aunque tanto Google como Apple hacen un trabajo decente al detectar aplicaciones maliciosas distribuidas a través de sus tiendas en línea, no son perfectas. Los usuarios deben tener especial cuidado con los programas distribuidos fuera de las tiendas de Google y Apple. 

A veces, las aplicaciones maliciosas pueden parecer programas originales, o pueden enmascararse como un programa existente.

Ingeniería Social sigue siendo el número uno de manera de difundir las infecciones de malware. «Engañar a alguien para que vaya a una página web que explota la vulnerabilidad de un navegador o explota la credibilidad del usuario será la principal forma en que se distribuya cualquier malware, incluido el software espía».

Cómo prevenir el spyware

Muchas infecciones de spyware pueden ser evitadas por los usuarios. «Las infecciones de spyware se producen porque las personas visitan sitios web infames sin conocimiento». «Hacer clic en un enlace aleatorio. Abrir un archivo adjunto que no deberían.

También se debe tener cuidado al descargar archivos. Los archivos solo deben descargarse de sitios de confianza. Si tiene un buen programa antivirus o antimalware, en muchos casos, marcará las descargas infectadas. Asegúrese de que su software de seguridad provenga de un proveedor confiable. Se sabe que los autores de malware entierran sus productos en aplicaciones antivirus falsas.

Para teléfonos móviles, es mejor descargar aplicaciones de Google Play para teléfonos Android y App Store para móviles con iOS. También debe evitarse «Rootear» un dispositivo Android o «desbloquear» un iPhone si está preocupado por el software espía. En un entorno empresarial, es aconsejable convertir esto en una política. El uso de software de administración de dispositivos móviles (MDM) que limita la descarga a aplicaciones aprobadas también es una buena opción.

Además, aunque es poco probable que alguien acceda físicamente a su teléfono para instalar software espía en él, siempre cree un código de bloqueo para su teléfono que solo usted sepa. Este es un requisito en muchos entornos corporativos.

Incluso si tiene cuidado con los enlaces en los que hace clic, los archivos adjuntos que abre y los archivos que descarga, es posible que las infecciones drive-by lo afecten. Dado que los ataques drive-by a menudo dependen de las vulnerabilidades del navegador para infectar a sus víctimas, el riesgo de infecciones drive-by puede reducirse manteniendo la versión de su navegador actualizada.

Dado que el spyware está frecuentemente conectado a ventanas emergentes y publicidad, hay varios pasos que puede tomar para abordar esos conductos de malware. Tanto Mozilla Firefox como Google Chrome tienen bloqueadores de ventanas emergentes integrados. Se pueden configurar para bloquear todas las ventanas emergentes o avisarle cuando un sitio web desea iniciar una ventana emergente para que pueda decidir si desea verlo. También puede permitir ventanas emergentes automáticamente desde sitios de confianza.

Las amenazas de publicidad maliciosa pueden solucionarse instalando un bloqueador de anuncios en su navegador, si aún no tiene esa característica. AdBlock Plus es uno de los programas más populares para bloquear anuncios. El software anti-rastreo, como Ghostery, también puede ser un complemento valioso para el navegador para reducir el riesgo de infecciones de spyware.

En un entorno corporativo, una buena solución de protección de punto final detectará la mayoría de los programas publicitarios. Sin embargo, lo que probablemente sea más efectivo es un fuerte programa de concienciación sobre seguridad que enseña a los empleados cómo evitar el adware y otros tipos de infecciones de malware.

Cómo eliminar spyware

Si su computadora parece inusualmente lenta o se bloquea mucho, su navegador se encuentra sobrepoblado con ventanas emergentes, o si comienza a observar una actividad sospechosa en el disco duro, sus esfuerzos para evitar el software espía podrían haber fallado. Eso significa que tendrás que eliminar la infección.

Eliminar cualquier tipo de malware manualmente es difícil, pero puede ser aún más con el software espía. El malware está diseñado para ser clandestino. Eso significa que ocultará signos reveladores de su presencia, como iconos. La verificación de los recursos del sistema también puede ser un callejón sin salida. Los autores de spyware a menudo nombran sus archivos para imitar los nombres de los archivos reales del sistema para ocultar su identidad.

Varios programas, algunos de ellos gratuitos, pueden detectar y eliminar el software espía. Incluyen SUPERAntiSpyware, Malwarebytes, Avast Free Antivirus, AVG AntiVirus, Adaware, Trend Micro HouseCall, SpywareBlaster y SpyBot Search & Destroy. Además, Actiance Security Labs mantiene Spyware Guide , que enumera miles de programas de spyware con enlaces a herramientas para eliminarlos de los sistemas.

El spyware en los teléfonos inteligentes puede causar síntomas similares a los de las computadoras, como los bloqueos frecuentes del sistema y los impactos en el rendimiento, pero también hay otros signos. Por ejemplo, el teléfono puede comenzar a apagarse solo y no responder de inmediato cuando intenta volver a encenderlo. Otros signos incluyen un agotamiento más rápido de la batería de lo normal, aumentos en el uso de datos y mensajes de texto inusuales en su bandeja de entrada.

Otra sugerencia es la modificación de su teléfono que le permite descargar aplicaciones fuera de las tiendas de aplicaciones de Google y Apple. En Android, esto suele hacerse cambiando la configuración de seguridad de un teléfono para permitir descargas de fuentes desconocidas. En iOS, a veces se hace colocando en un teléfono una aplicación llamada Cydia, que se utiliza para descargar software en un iPhone con jailbreak.

Si sospecha que tiene spyware en su teléfono, puede hacer una copia de seguridad de sus datos y restablecerla a su configuración de fábrica. También querrá asegurarse de que está ejecutando la última versión de su sistema operativo.

Al igual que con las computadoras, también hay programas de seguridad que pueden usarse para escanear un teléfono en busca de spyware y eliminarlo, aunque esa solución puede no ser efectiva en todos los casos. Para los teléfonos Android, también hay una «opción nuclear» llamada dr.phone. Eliminará total y permanentemente todo lo que tenga en su teléfono: fotos, aplicaciones, contactos, mensajes, registros de llamadas y todos los datos privados. No debe ser usado a la ligera.