Ciberseguridad en español

Google identificó y parcheó el CVE-2023-6345, un zero-day en la biblioteca gráfica Skia que permitía a atacantes remotos ejecutar código malicioso. Este fallo es parte de una tendencia creciente de explotación activa en navegadores basados en Chromium. Google ha emitido una actualización de seguridad para corregir el CVE-2023-6345, un error de desbordamiento de entero en Skia, una biblioteca gráfica 2D de código abierto utilizada en Chrome. La vulnerabilidad fue identificada como un zero-day por el Grupo de Análisis de Amenazas de Google el 24 de noviembre y se clasifica como un problema de alta gravedad por el NVD de NIST. El fallo afectaba a versiones anteriores a la 119.0.6045.199, permitiendo que un atacante que hubiera comprometido el proceso del renderizador realizara una "escapada de la cárcel" mediante un archivo malicioso. Contexto de las amenazas en navegadores Este es el séptimo zero-day que Google ha parcheado bajo explotación activa este año. El interés de l...

Se identificó una vulnerabilidad crítica en el marco de IA Ray (CVE-2023-48023) que permite a atacantes remotos ejecutar código arbitrario y acceder a todos los nodos del clúster. El fallo se origina en la falta de autenticación en componentes clave como el panel de control y el cliente. La firma de ciberseguridad Bishop Fox identificó la vulnerabilidad CVE-2023-48023 en Ray, un marco de cómputo de código abierto para inteligencia artificial. El problema afecta a los componentes del panel de control y el cliente, donde la falta de autenticación permite que un atacante remoto envíe o elimine trabajos, recupere información sensible y ejecute código arbitrario en todos los nodos del clúster. Fallas en la arquitectura de autenticación En su configuración predeterminada, Ray no aplica autenticación ni ofrece un modelo de autorización. Aunque la documentación menciona un modo de autenticación mutua opcional, Bishop Fox explica que "incluso si un administrador de Ray habilitara expl...

En el mundo de la tecnología automotriz, la seguridad siempre ha sido una preocupación constante. Sin embargo, con la evolución de la tecnología, surge una amenaza más sofisticada: el ataque RFI Relay. Descubramos qué es y cómo representa una nueva forma de  robo de vehículos. RFI Relay: ¿Cómo Funciona este Método de Robo? 1. Relevancia Tecnológica: RFI Relay aprovecha las características de los sistemas de entrada sin llave presentes en muchos vehículos modernos. Estos sistemas utilizan señales de radiofrecuencia (RF) para permitir que el conductor desbloquee y encienda el automóvil sin necesidad de una llave física. 2. Dispositivos RFI Relay:  Los delincuentes utilizan dispositivos RFI Relay para interceptar y amplificar las señales RF emitidas por la llave inteligente del propietario, que generalmente se encuentra dentro de la vivienda. Estos dispositivos pueden captar la señal, incluso a larga distancia, y transmitirla al vehículo, engañándolo para que se desbloquee y perm...

El volumen de correos de phishing relacionados con el Black Friday y el Cyber Monday aumentó un 237% en las últimas semanas. Los atacantes utilizan técnicas de suplantación de identidad y ofuscación para capturar credenciales y datos financieros de los usuarios. El volumen de correos electrónicos de phishing dirigidos a compradores durante el periodo previo al Black Friday y el Cyber Monday experimentó un incremento del 237% entre el 1 y el 14 de noviembre, en comparación con el periodo del 1 de septiembre al 31 de octubre. El proveedor de seguridad Egress identificó este aumento, el cual se proyecta que continuará durante la semana siguiente. Tácticas de suplantación y evasión Los actores de amenazas están utilizando diversas técnicas para evadir las medidas de seguridad perimetral y engañar a los destinatarios. Estas tácticas incluyen el uso de plantillas HTML estilizadas con logotipos y pies de página oficiales de marcas reconocidas globalmente. Además, los atacantes emplean hi...

Aqua encontró en repositorios públicos de GitHub credenciales de registros de contenedores que Kubernetes usa para descargar imágenes. De 438 registros revisados, 203 daban acceso real, en muchos casos con permiso para subir imágenes, y entre los afectados había empresas Fortune 500 y de blockchain. Los investigadores de Aqua Yakir Kadkoda y Assaf Morag publicaron un estudio sobre secretos de Kubernetes subidos por error a repositorios públicos de GitHub. Entre los afectados había dos grandes empresas de blockchain y varias compañías Fortune 500. El problema no es solo la filtración: buena parte de esas credenciales seguían activas y permitían tanto descargar como publicar imágenes de contenedores, lo que abre la puerta a ataques a la cadena de suministro. Qué buscaron y qué encontraron Usando la API de GitHub, Aqua recuperó todas las entradas que contenían .dockerconfigjson y .dockercfg, los archivos donde Kubernetes guarda las credenciales para autenticarse ante un registro de i...

Una nueva variante del ransomware Phobos está utilizando la identidad del grupo VX-Underground para intentar confundir a las víctimas. El ataque incluye elementos visuales y de marca del grupo de investigación para simular una asociación que no existe. Una variante del ransomware Phobos ha comenzado a operar utilizando el nombre y la identidad visual del grupo VX-Underground. El malware añade la extensión de archivo .VXUG y utiliza el logotipo del grupo, además de incluir la contraseña de su repositorio de malware, "infected", en su nota de rescate. El objetivo de esta táctica es inculpar a VX-Underground en el ataque, aunque el grupo ha desmentido cualquier relación con la familia Phobos. Suplantación de identidad y tácticas de engaño Investigadores de PCrisk identificaron que el ransomware no ofrece canales de pago al autor real de la variante, sino que redirige a las víctimas a contactar directamente con las cuentas oficiales de VX-Underground en X o mediante su corre...

El Proyecto Tor eliminó más de 1,000 nodos de su red tras identificar que estaban vinculados a un esquema de recompensas en criptomonedas. La medida busca proteger la integridad de la red y la seguridad de los usuarios frente a modelos de negocio que comprometen la infraestructura. El Proyecto Tor anunció la eliminación de múltiples relays que representaban un riesgo para la integridad de la red y sus usuarios. Esta acción fue tomada tras identificar que estos nodos estaban asociados a un esquema con fines de lucro basado en el pago de tokens de criptomonedas, presuntamente el proyecto ATOR. Riesgos detectados en el modelo de incentivos La decisión de las autoridades del directorio se basó en que estos esquemas financieros pueden atraer a actores con intenciones maliciosas y poner en riesgo la reputación del proyecto. El Proyecto Tor explicó que muchos operadores de estos relés no tenían conciencia de a qué proyecto estaban contribuyendo realmente o estaban operando en regiones de...

La versión LummaC2 v4.0 del malware de robo de información ha implementado una técnica de evasión basada en trigonometría para detectar actividad humana. Este método busca evitar la detección en entornos de análisis de malware (sandboxes) mediante el monitoreo del movimiento del cursor. El malware de robo de información Lumma ha evolucionado hacia la versión LummaC2 v4.0, incorporando técnicas avanzadas para evadir sistemas de análisis. Esta nueva versión, que opera bajo el modelo de Malware como Servicio (MaaS), utiliza cálculos trigonométricos para validar si el movimiento del ratón es ejecutado por un usuario real o por un proceso automatizado en una sandbox. Evasión mediante comportamiento humano El mecanismo de LummaC2 v4.0 funciona capturando y analizando las posiciones del cursor. El malware requiere un movimiento continuo y suave para activarse; si el sistema no detecta un patrón de movimiento humano mediante trigonometría, el proceso se reinicia automáticamente. Esta técn...

Toyota Financial Services confirmó acceso no autorizado en sistemas de su operación de Europa y África después de que el grupo de ransomware Medusa la publicara en su sitio de filtraciones y exigiera US$8 millones. Un analista apuntó a un Citrix Gateway sin parchear en Alemania como posible puerta de entrada. Toyota Financial Services (TFS), la filial de Toyota Motor Corporation que ofrece financiamiento automotriz en el 90% de los mercados donde la marca vende autos, confirmó que detectó actividad no autorizada en sistemas de un número limitado de sus ubicaciones en Europa y África. La confirmación llegó después de que el grupo de ransomware Medusa la incluyera en su sitio de filtraciones de la web oscura con una exigencia de US$8.000.000 para borrar los datos supuestamente robados. Lo que publicó Medusa Los atacantes le dieron a Toyota 10 días para responder y ofrecieron extender el plazo a cambio de US$10.000 por día. Como prueba, Medusa publicó una muestra de los datos: docu...

Bitdefender describió tres técnicas que permiten convertir un solo equipo Windows comprometido con GCPW en acceso a Google Workspace, a otras máquinas clonadas y a contraseñas en texto plano. Google no lo corregirá porque considera que queda fuera de su modelo de amenaza. Bitdefender publicó un informe con tres métodos de ataque contra organizaciones que usan Google Workspace y Google Cloud con el Proveedor de Credenciales de Google para Windows (GCPW). Ninguno sirve para la intrusión inicial: el atacante ya debe controlar un equipo. Lo que muestran es cómo ese único equipo puede escalar a la nube, a otras máquinas y a contraseñas reutilizables, con resultados como ransomware o exfiltración de datos. Google calificó el problema como «no elegible para su corrección», por estar fuera de su modelo de amenaza y en línea con cómo Chrome guarda datos locales. Qué es GCPW y dónde está el punto débil GCPW da a los administradores funciones de gestión de dispositivos (MDM) e inicio de sesi...

La gestión de incidentes requiere una estrategia estructurada que abarque las fases previas, durante y posteriores a un ataque. Los CISOs deben enfocarse en la educación de la alta dirección, la comunicación clara en crisis y el análisis técnico sin culpas tras el evento. Los ciberataques son una realidad constante para las organizaciones de cualquier tamaño. Para mitigar el impacto de estos incidentes, los CISOs deben implementar planes de respuesta que definan roles claros, aseguren la comunicación con los líderes empresariales y establezcan procesos de revisión post-incidente para mejorar la postura de seguridad. Preparación y educación de la alta dirección La prevención comienza con la educación de los líderes empresariales antes de que ocurra un incidente. El objetivo es evitar sorpresas durante una crisis mediante la creación de un marco que defina responsabilidades específicas. Los equipos de seguridad deben probar estos planes de forma continua para identificar fallas y aj...

Microsoft y Adobe lanzaron parches de seguridad para corregir múltiples vulnerabilidades, incluyendo zero-days de severidad crítica en Windows y fallos en productos como Acrobat y Reader. Los atacantes ya están explotando estas brechas para obtener privilegios de sistema y ejecutar código arbitrario. Microsoft publicó parches para 59 vulnerabilidades de seguridad, incluyendo dos zero-days de severidad crítica (CVE-2023-36033 y CVE-2023-36036) que están siendo explotados en ataques activos. Estas fallas permiten a un atacante obtener privilegios de SISTEMA. Además, el boletín de Patch Tuesday corrige problemas en el navegador Microsoft Edge, la implementación cURL de Windows, Windows SmartScreen, y los componentes Windows Pragmatic General Multicast (PGM) y Windows HMAC Key Derivation. La vulnerabilidad PGM (CVE-2023-36397) cuenta con una puntuación CVSS de 9.8. Vulnerabilidades en el ecosistema Microsoft Los parches de Microsoft abordan fallos de ejecución remota de código y escal...

Un ataque de ransomware dirigido al Industrial and Commercial Bank of China Financial Services afectó sistemas operativos en el mercado de Tesorería de Estados Unidos. El incidente, presuntamente ejecutado por el grupo LockBit, obligó a la entidad a aislar sistemas comprometidos para contener el impacto. El Industrial and Commercial Bank of China Financial Services, una filial de servicios financieros con sede en Nueva York, sufrió un ataque de ransomware que impactó sus operaciones en el mercado de Tesorería de los Estados Unidos. El incidente ocurrió durante la semana actual, forzando a la organización a desconectar segmentos de su infraestructura para limitar la propagación del ataque. Aunque el incidente afectó sistemas específicos de la entidad, el banco aseguró que sus sistemas de correo electrónico y otros sistemas bancarios generales no fueron comprometidos. Alcance y estado de las operaciones La institución informó que, a pesar de la interrupción, los intercambios de Teso...

Un estudio de ICS2 revela que la industria de ciberseguridad enfrenta una reducción en la contratación por primera vez desde 2020. La integración de la inteligencia artificial y la falta de personal capacitado están generando una brecha de talento récord de 4 millones de profesionales. La industria de la ciberseguridad enfrenta una contracción en la contratación de personal por primera vez desde 2020, generando una brecha de talento récord de 4 millones de profesionales. Según un estudio realizado por el Consorcio Internacional de Certificación de Sistemas de Seguridad de la Información (ICS2) entre abril y mayo de 2023, el 51% de los participantes reportó despidos en sus organizaciones, mientras que el 47% de los encuestados admitió tener conocimientos técnicos mínimos o nulos sobre inteligencia artificial (IA). Desafíos de la fuerza laboral y la IA El estudio, que recopiló opiniones de 14.865 profesionales, identifica a la IA como un desafío principal para el próximo bienio, con...

La firma de seguridad Jamf identificó ObjCShellz, un malware para macOS vinculado al grupo norcoreano BlueNoroff. El código se utiliza para ejecutar comandos remotos y recolectar información en sistemas afectados. La firma de seguridad Jamf identificó un nuevo malware para macOS denominado ObjCShellz. El código está vinculado al grupo BlueNoroff, una facción del grupo Lazarus de Corea del Norte, que suele atacar a bancos, firmas de capital de riesgo e intercambios de criptomonedas. El malware forma parte de la denominada Campaña RustBucket y funciona como una shell remota para ejecutar instrucciones en segundo plano. Características técnicas y comportamiento ObjCShellz permite a los atacantes enviar comandos desde un servidor de comando y control (C2) y recibir las respuestas del sistema afectado. Aunque el malware es descrito como una herramienta simplista, es efectivo para ejecutar acciones en el sistema que el usuario normalmente realizaría. Una característica inusual detectada...

La tecnología blockchain ha sido un tema candente en el mundo de la tecnología y los negocios en los últimos años. Su impacto va más allá de las criptomonedas y se extiende a una multitud de sectores. Pero, ¿qué es exactamente y cómo está influyendo en distintos ámbitos? El término "blockchain" se refiere a una estructura de datos que hace posible la creación de un registro digital de eventos que es compartido entre muchas entidades diferentes. Esta cadena de bloques, una vez creada, no puede ser alterada, lo que proporciona un alto nivel de seguridad y transparencia. Aplicaciones de la Tecnología Blockchain en Diversos Sectores: Sector Financiero : Quizás el ejemplo más conocido es su uso en las criptomonedas, como Bitcoin y Ethereum. Sin embargo, su implementación en instituciones financieras va más allá de las criptomonedas. La tecnología blockchain se utiliza para agilizar y asegurar transacciones financieras, reducir el riesgo de fraude y mejorar la transparencia en el s...

Investigadores de Aqua Nautilus identificaron el uso de la vulnerabilidad de escalada de privilegios Looney Tunables (CVE-2023-4911) por parte del actor de amenazas Kinsing. El ataque afecta principalmente a sistemas Linux en entornos de nube y contenedores. Investigadores de Aqua Nautilus identificaron la explotación de la vulnerabilidad de escalada de privilegios en Linux, conocida como Looney Tunables (CVE-2023-4911). El ataque fue ejecutado por el actor de amenazas Kinsing, un grupo que se especializa en operaciones de cripto-minería y que demuestra una alta capacidad para explotar configuraciones incorrectas y vulnerabilidades recientes en entornos de nube. Impacto en infraestructuras de contenedores La vulnerabilidad Looney Tunables afecta a sistemas Linux comúnmente utilizados en entornos de contenedores. Debido a la capacidad de los motores de orquestación para escalar, un atacante puede obtener una posición persistente con privilegios elevados para manipular el sistema su...

La conocida plataforma de correo electrónico, Gmail, ha lanzado una serie de modificaciones en sus políticas que afectarán a empresas, pymes e instituciones educativas que envían un alto volumen de correos a través de sus servicios. A partir de febrero de 2024, Gmail establecerá nuevas directrices para los remitentes que envíen 5000 mensajes o más al día a cuentas de Gmail. Estas actualizaciones pondrán énfasis en la autenticación del correo saliente, la restricción de envío de correos no deseados o no solicitados, así como la facilitación de la opción para darse de baja a los destinatarios. Estos cambios, aunque técnicos, tienen el propósito de mejorar la experiencia del usuario y combatir el spam, garantizando que los correos lleguen de manera efectiva y evitando que sean marcados como spam o bloqueados. Requisitos para remitentes de más de 5000 al día Se requiere autenticación de correo electrónico SPF o DKIM. Garantizar la validez de los registros DNS directos e inversos. Tasas de ...

CrowdStrike adquirió Bionic para integrar capacidades de seguridad de aplicaciones (AppSec) y gestión de postura en su plataforma Falcon. El movimiento busca unificar la protección de cargas de trabajo y la gestión de riesgos en entornos de microservicios y contenedores. CrowdStrike ha anunciado la adquisición de Bionic para integrar capacidades de seguridad de aplicaciones (AppSec) en su plataforma Falcon. Esta integración busca combinar la protección de aplicaciones nativas en la nube (CNAPP) y la gestión de postura de seguridad de aplicaciones (ASPM) en un tablero unificado para los equipos de DevOps. Integración de capacidades y visibilidad en la nube La adquisición permite a CrowdStrike integrar los módulos Falcon Horizon (CSPM) y Falcon (CWP) con la tecnología de Bionic. El objetivo es que los equipos de seguridad puedan priorizar incidentes, mitigar amenazas en tiempo de ejecución y realizar búsquedas de amenazas en entornos de nube. Bionic aporta capacidades de gestión de ...

Mandiant advierte que aplicar el parche para la vulnerabilidad CVE-2023-4966 en Citrix NetScaler no es suficiente por sí solo. Es necesario cerrar todas las sesiones activas para eliminar el código vulnerable de la memoria y evitar el robo de tokens por parte de actores de amenazas. La vulnerabilidad CVE-2023-4966 en Citrix NetScaler ADC y Gateway tiene una severidad crítica de 9.4. El fallo permite a los atacantes robar tokens de usuarios conectados recientemente para acceder a recursos con permisos específicos. Mandiant ha detectado que actores de amenazas utilizan esta vía para recolectar credenciales, realizar reconocimiento y moverse lateralmente en las redes de las víctimas mediante el protocolo RDP. Impacto y actividad de actores de amenazas Mandiant ha identificado intrusiones en múltiples sectores, incluyendo servicios legales, profesionales, tecnología y organizaciones gubernamentales en las Américas, Europa, Medio Oriente, África, Asia Pacífico y Japón. La firma adviert...