Etiqueta: noticias de seguridad cibernética hoy Página 4 de 7

28 de marzo de 2024Sala de prensaTecnología/Privacidad de datos En junio de 2017, un estudio de más de 3000 estudiantes del Instituto Tecnológico de Massachusetts (MIT) publicado por la Oficina Nacional de Investigación Económica (NBER) encontró que el 98% de ellos estaban dispuestos a donar las direcciones de correo electrónico de sus amigos a cambio de pizza gratis. «Mientras que las personas dicen que les importa la privacidad, están dispuestas a ceder datos privados con bastante facilidad cuando se les incentiva a hacerlo», dice la investigación, señalando lo que se llama la paradoja de la privacidad. Ahora, casi siete años después, Telegram ha introducido una nueva función que ofrece a algunos usuarios una membresía premium gratuita a cambio de permitir que la popular aplicación de mensajería utilice sus números de teléfono como retransmisión para enviar contraseñas de un solo uso (OTP) a otros usuarios que están intentando iniciar sesión en la plataforma. La función, llamada Peer-to-Peer Login (P2PL), se está probando actualmente en países seleccionados para usuarios de Telegram en Android. Tginfo lo detectó por primera vez en febrero de 2024 (a través de @AssembleDebug). Según los Términos de servicio de Telegram, el número de teléfono se utilizará para enviar no más de 150 mensajes SMS OTP (incluidos SMS internacionales) por mes, lo que generará cargos por parte del operador de telefonía móvil o del proveedor de servicios del usuario. Dicho esto, la popular aplicación de mensajería señala que «no puede evitar que el destinatario de OTP vea su número de teléfono al recibir su SMS» y que «no será responsable de ningún inconveniente, acoso o daño resultante de acciones no deseadas, no autorizadas o ilegales realizadas». por usuarios que tuvieron conocimiento de su número de teléfono a través de P2PL.» Peor aún, el mecanismo, que se basa en gran medida en un sistema de honor, no prohíbe a los usuarios contactar a extraños a cuyo número se envió el SMS de autenticación OTP, y viceversa, lo que podría generar un aumento en las llamadas y mensajes de texto no deseados. Telegram dijo que se reserva el derecho de cancelar unilateralmente una cuenta del programa P2PL si se descubre que los participantes comparten información personal sobre los destinatarios. También advierte a los usuarios que no se comuniquen con ningún destinatario de OTP ni les respondan incluso si les envían mensajes. En marzo de 2024, Telegram tiene más de 900 millones de usuarios activos mensuales. Lanzó el programa de suscripción Premium en junio de 2022, que permite a los usuarios desbloquear funciones adicionales como carga de archivos de 4 GB, descargas más rápidas y pegatinas y reacciones exclusivas. Dado que los servicios en línea todavía dependen de números de teléfono para autenticar a los usuarios, vale la pena tener en cuenta los riesgos de privacidad y seguridad que podrían surgir al participar en el experimento. Meta en la mira legal para interceptar el tráfico de Snapchat El desarrollo se produce cuando documentos judiciales recientemente revelados en los EE. UU. alegan que Meta lanzó un proyecto secreto llamado Ghostbusters para interceptar y descifrar el tráfico de red de personas que usan Snapchat, YouTube y Amazon para ayudarlo a comprender el comportamiento del usuario. y competir mejor con sus rivales. Esto se logró aprovechando aplicaciones personalizadas de un servicio VPN llamado Onavo, que Facebook adquirió en 2013 y cerró en 2019 después de que fuera objeto de escrutinio por usar sus productos para rastrear la actividad web de los usuarios relacionada con sus competidores y pagar en secreto a adolescentes para capturar sus datos. Patrones de navegación en Internet. El esquema de interceptación de datos ha sido descrito como un enfoque de «intermediario», en el que Facebook esencialmente pagaba a personas de entre 13 y 35 años hasta 20 dólares al mes más tarifas de referencia por instalar una aplicación de investigación de mercado y darle un precio elevado. acceso para inspeccionar el tráfico de la red y analizar su uso de Internet. La táctica se basó en la creación de «certificados digitales falsos para hacerse pasar por servidores de análisis confiables de Snapchat, YouTube y Amazon para redirigir y descifrar el tráfico seguro de esas aplicaciones para el análisis estratégico de Facebook». Las aplicaciones se distribuyeron a través de servicios de prueba beta, como Applause, BetaBound y uTest, para ocultar la participación de Facebook. El programa, que luego pasó a conocerse como Panel de acción en la aplicación (IAAP), se ejecutó de 2016 a 2018. Meta, en su respuesta, dijo que no hay delito ni fraude, y que «el propio testigo de Snapchat sobre la publicidad confirmó que Snap no puedo ‘identificar una única venta de anuncios que [it] perdido por el uso de productos de investigación de usuarios por parte de Meta’, no sabe si otros competidores recopilaron información similar y no sabe si alguna de las investigaciones de Meta proporcionó a Meta una ventaja competitiva». ¿Encontró interesante este artículo? Síganos en Twitter  y LinkedIn para lee más contenido exclusivo que publicamos.

Source link

27 de marzo de 2024Sala de prensa Inteligencia sobre amenazas/seguridad de red La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha agregado una falla de seguridad que afecta a Microsoft Sharepoint Server a su catálogo de vulnerabilidades explotadas conocidas (KEV) basándose en evidencia de explotación activa en la naturaleza. La vulnerabilidad, rastreada como CVE-2023-24955 (puntuación CVSS: 7,2), es una falla crítica de ejecución remota de código que permite a un atacante autenticado con privilegios de propietario del sitio ejecutar código arbitrario. «En un ataque basado en red, un atacante autenticado como propietario del sitio podría ejecutar código de forma remota en el servidor SharePoint», dijo Microsoft en un aviso. Microsoft abordó la falla como parte de sus actualizaciones del martes de parches para mayo de 2023. El desarrollo se produce más de dos meses después de que CISA agregara CVE-2023-29357, una falla de escalada de privilegios en SharePoint Server, a su catálogo KEV. Vale la pena señalar que StarLabs SG demostró una cadena de exploits que combina CVE-2023-29357 y CVE-2023-24955 en el concurso de piratería Pwn2Own Vancouver el año pasado, lo que les valió a los investigadores un premio de 100.000 dólares. Dicho esto, actualmente no hay información sobre los ataques que utilizan estas dos vulnerabilidades como armas y los actores de amenazas que pueden estar explotándolas. Microsoft le dijo anteriormente a The Hacker News que «los clientes que han habilitado las actualizaciones automáticas y habilitan la opción ‘Recibir actualizaciones para otros productos de Microsoft’ dentro de su configuración de Windows Update ya están protegidos». Las agencias del Poder Ejecutivo Civil Federal (FCEB) deben aplicar las correcciones antes del 16 de abril de 2024 para proteger sus redes contra amenazas activas. ¿Encontró interesante este artículo? Síguenos en Twitter  y LinkedIn para leer más contenido exclusivo que publicamos.

Source link

26 de marzo de 2024Sala de prensaEspionaje industrial/Inteligencia de amenazas Los cazadores de amenazas han identificado un paquete sospechoso en el administrador de paquetes NuGet que probablemente esté diseñado para apuntar a desarrolladores que trabajan con herramientas fabricadas por una empresa china que se especializa en la fabricación de equipos industriales y digitales. El paquete en cuestión es SqzrFramework480, que según ReversingLabs se publicó por primera vez el 24 de enero de 2024. Se ha descargado 2999 veces al momento de escribir este artículo. La firma de seguridad de la cadena de suministro de software dijo que no encontró ningún otro paquete que mostrara un comportamiento similar. Sin embargo, teorizó que la campaña probablemente podría usarse para orquestar espionaje industrial en sistemas equipados con cámaras, visión artificial y brazos robóticos. La indicación de que SqzrFramework480 aparentemente está vinculado a una empresa china llamada Bozhon Precision Industry Technology Co., Ltd. proviene del uso de una versión del logotipo de la empresa para el icono del paquete. Fue subido por una cuenta de usuario de Nuget llamada «zhaoyushun1999». Dentro de la biblioteca hay un archivo DLL «SqzrFramework480.dll» que viene con funciones para tomar capturas de pantalla, hacer ping a una dirección IP remota cada 30 segundos hasta que la operación sea exitosa y transmitir las capturas de pantalla a través de un socket creado y conectado a dicha dirección IP. . «Ninguno de estos comportamientos es decididamente malicioso. Sin embargo, en conjunto, hacen saltar las alarmas», afirmó el investigador de seguridad Petar Kirhmajer. «El ping sirve como una comprobación de los latidos del corazón para ver si el servidor de exfiltración está activo». El uso malicioso de sockets para la comunicación y la exfiltración de datos se ha observado anteriormente, como en el caso del paquete npm nodejs_net_server. El motivo exacto detrás del paquete no está claro todavía, aunque es un hecho conocido que los adversarios recurren constantemente a ocultar código nefasto en software aparentemente benigno para comprometer a las víctimas. Una explicación alternativa e inocua podría ser que el paquete fue filtrado por un desarrollador o un tercero que trabaja con la empresa. «También pueden explicar un comportamiento de captura continua de pantalla aparentemente malicioso: podría ser simplemente una forma para que un desarrollador transmita imágenes desde la cámara en el monitor principal a una estación de trabajo», dijo Kirhmajer. Dejando a un lado la ambigüedad que rodea al paquete, los hallazgos subrayan la naturaleza complicada de las amenazas a la cadena de suministro, lo que hace imperativo que los usuarios examinen las bibliotecas antes de descargarlas. «Los repositorios de código abierto como NuGet albergan cada vez más paquetes sospechosos y maliciosos diseñados para atraer a los desarrolladores y engañarlos para que descarguen e incorporen bibliotecas maliciosas y otros módulos en sus procesos de desarrollo», dijo Kirhmajer. ¿Encontró interesante este artículo? Síguenos en Twitter  y LinkedIn para leer más contenido exclusivo que publicamos.

Source link

25 de marzo de 2024Sala de redacciónAtaque a la cadena de suministro/criptomoneda Adversarios no identificados orquestaron una sofisticada campaña de ataque que afectó a varios desarrolladores individuales, así como a la cuenta de la organización de GitHub asociada con Top.gg, un sitio de descubrimiento de bots de Discord. «Los actores de amenazas utilizaron múltiples TTP en este ataque, incluida la apropiación de cuentas a través de cookies de navegador robadas, la contribución de código malicioso con confirmaciones verificadas, la configuración de un espejo Python personalizado y la publicación de paquetes maliciosos en el registro PyPI», dijo Checkmarx en un informe técnico compartido. con Las noticias de los hackers. Se dice que el ataque a la cadena de suministro de software provocó el robo de información confidencial, incluidas contraseñas, credenciales y otros datos valiosos. Algunos aspectos de la campaña fueron revelados previamente a principios de mes por un desarrollador con sede en Egipto llamado Mohammed Dief. Principalmente implicó la creación de un typosquat inteligente del dominio oficial de PyPI conocido como «files.pythonhosted[.]org», dándole el nombre «files.pypihosted[.]org» y usándolo para alojar versiones troyanizadas de paquetes conocidos como colorama. Desde entonces, Cloudflare eliminó el dominio. «Los actores de amenazas tomaron Colorama (una herramienta muy popular con más de 150 millones de descargas mensuales), lo copiaron e insertaron archivos maliciosos código», dijeron los investigadores de Checkmarx. «Luego ocultaron la carga útil dañina dentro de Colorama usando espacio relleno y alojaron esta versión modificada en su espejo falso de dominio typosquatted». Estos paquetes maliciosos luego se propagaron a través de repositorios de GitHub como github[.]com/maleduque/Valorant-Checker y github[.]com/Fronse/League-of-Legends-Checker que contenía un archivo requisitos.txt, que sirve como lista de paquetes de Python que instalará el administrador de paquetes pip. Un repositorio que continúa activo al momento de escribir este artículo es github.[.]com/whiteblackgang12/Discord-Token-Generator, que incluye una referencia a la versión maliciosa de colorama alojada en «files.pypihosted[.]org.» También se modificó como parte de la campaña el archivo requisitos.txt asociado con python-sdk de Top.gg por una cuenta llamada editor-syntax el 20 de febrero de 2024. El problema ha sido abordado por los mantenedores del repositorio. Vale la pena señalarlo. que la cuenta «editor-syntax» es un mantenedor legítimo de la organización Top.gg GitHub y tiene permisos de escritura para los repositorios de Top.gg, lo que indica que el actor de amenazas logró secuestrar la cuenta verificada para cometer una confirmación maliciosa. La cuenta de GitHub de ‘editor-syntax’ probablemente fue secuestrada mediante cookies robadas», señaló Checkmarx. «El atacante obtuvo acceso a las cookies de sesión de la cuenta, lo que le permitió eludir la autenticación y realizar actividades maliciosas utilizando la interfaz de usuario de GitHub. Este método de apropiación de cuentas es particularmente preocupante, ya que no requiere que el atacante conozca la contraseña de la cuenta». Es más, se dice que los actores de amenazas detrás de la campaña impulsaron múltiples cambios en los repositorios fraudulentos en una sola confirmación, alterándolos según hasta 52 archivos en una instancia en un esfuerzo por ocultar los cambios en el archivo requisitos.txt. El malware incrustado en el paquete colorama falsificado activa una secuencia de infección de varias etapas que conduce a la ejecución de código Python desde un servidor remoto, que , a su vez, es capaz de establecer persistencia en el host a través de cambios en el Registro de Windows y robar datos de navegadores web, billeteras criptográficas, tokens de Discord y tokens de sesiones relacionados con Instagram y Telegram. «El malware incluye un componente de ladrón de archivos que busca archivos con palabras clave específicas en sus nombres o extensiones», dijeron los investigadores. «Se dirige a directorios como Escritorio, Descargas, Documentos y Archivos recientes». Los datos capturados finalmente se transfieren a los atacantes a través de servicios anónimos de intercambio de archivos como GoFile y Anonfiles. . Alternativamente, los datos también se envían a la infraestructura del actor de la amenaza mediante solicitudes HTTP, junto con el identificador de hardware o la dirección IP para rastrear la máquina víctima. «Esta campaña es un excelente ejemplo de las tácticas sofisticadas empleadas por actores maliciosos para distribuir malware a través de plataformas confiables como PyPI y GitHub», concluyó el investigador. «Este incidente resalta la importancia de la vigilancia al instalar paquetes y repositorios incluso de fuentes confiables. Es crucial examinar minuciosamente las dependencias, monitorear actividades sospechosas en la red y mantener prácticas de seguridad sólidas para mitigar el riesgo de ser víctima de tales ataques». ¿Encontró interesante este artículo? Síguenos en Twitter  y LinkedIn para leer más contenido exclusivo que publicamos.

Source link

24 de marzo de 2024Sala de prensaInteligencia artificial/espionaje cibernético Se ha observado que el actor de amenazas vinculado a Corea del Norte conocido como Kimsuky (también conocido como Black Banshee, Emerald Sleet o Springtail) está cambiando sus tácticas, aprovechando archivos de ayuda HTML compilada (CHM) como vectores para entregar malware para recolectar datos confidenciales. Se sabe que Kimsuky, activo desde al menos 2012, apunta a entidades ubicadas en Corea del Sur, así como en América del Norte, Asia y Europa. Según Rapid7, las cadenas de ataques han aprovechado documentos de Microsoft Office, archivos ISO y archivos de acceso directo de Windows (LNK) como armas, y el grupo también emplea archivos CHM para implementar malware en hosts comprometidos. La firma de ciberseguridad ha atribuido la actividad a Kimsuky con moderada confianza, citando maniobras similares observadas en el pasado. «Aunque originalmente fueron diseñados para documentación de ayuda, los archivos CHM también han sido explotados con fines maliciosos, como distribuir malware, porque pueden ejecutar JavaScript cuando se abren», afirmó la compañía. El archivo CHM se propaga dentro de un archivo ISO, VHD, ZIP o RAR, al abrirlo se ejecuta un script de Visual Basic (VBScript) para configurar la persistencia y comunicarse con un servidor remoto para buscar una carga útil de la siguiente etapa responsable de recopilar y filtrar. informacion delicada. Rapid7 describió los ataques como continuos y en evolución, dirigidos a organizaciones con sede en Corea del Sur. También identificó una secuencia de infección alternativa que emplea un archivo CHM como punto de partida para eliminar archivos por lotes encargados de recopilar la información y un script de PowerShell para conectarse al servidor C2 y transferir los datos. «El modus operandi y la reutilización de códigos y herramientas muestran que el actor de la amenaza está utilizando y refinando/remodelando activamente sus técnicas y tácticas para recopilar inteligencia de las víctimas», dijo. El desarrollo se produce cuando Symantec, propiedad de Broadcom, reveló que los actores de Kimsuky están distribuyendo malware que se hace pasar por una aplicación de una entidad pública coreana legítima. «Una vez comprometido, el dropper instala un malware de puerta trasera Endoor», dijo Symantec. «Esta amenaza permite a los atacantes recopilar información confidencial de la víctima o instalar malware adicional». Vale la pena señalar que Endoor, con sede en Golang, junto con Troll Stealer (también conocido como TrollAgent), se ha implementado recientemente en relación con ataques cibernéticos dirigidos a usuarios que descargan programas de seguridad del sitio web de una asociación coreana relacionada con la construcción. Los hallazgos también llegan en medio de una investigación iniciada por las Naciones Unidas sobre 58 presuntos ataques cibernéticos llevados a cabo por actores estatales de Corea del Norte entre 2017 y 2023 que generaron 3 mil millones de dólares en ingresos ilegales para ayudarlo a desarrollar aún más su programa de armas nucleares. «Según se informa, el gran volumen de ataques cibernéticos por parte de grupos de piratas informáticos subordinados a la Oficina General de Reconocimiento continuó», dice el informe. «Las tendencias incluyen apuntar a empresas de defensa y cadenas de suministro y, cada vez más, compartir infraestructura y herramientas». La Oficina General de Reconocimiento (RGB) es el principal servicio de inteligencia exterior de Corea del Norte y comprende los grupos de amenazas ampliamente rastreados como el Grupo Lazarus –y sus elementos subordinados, Andariel y BlueNoroff– y Kimsuky. «Kimsuky ha mostrado interés en utilizar inteligencia artificial generativa, incluidos modelos de lenguaje grandes, potencialmente para codificar o escribir correos electrónicos de phishing», agrega el informe. «Se ha observado que Kimsuky usa ChatGPT». ¿Encontró interesante este artículo? Síguenos en Twitter  y LinkedIn para leer más contenido exclusivo que publicamos.

Source link

24 de marzo de 2024Sala de prensaRansomware / Threat Intelligence Las autoridades alemanas han anunciado la eliminación de un mercado clandestino ilícito llamado Nemesis Market que vendía narcóticos, datos robados y diversos servicios de ciberdelincuencia. La Oficina Federal de Policía Criminal (también conocida como Bundeskriminalamt o BKA) dijo que se apoderó de la infraestructura digital asociada con el servicio de red oscura ubicada en Alemania y Lituania y confiscó 94.000 euros (102.107 dólares) en activos de criptomonedas. La operación, realizada en colaboración con organismos encargados de hacer cumplir la ley de Alemania, Lituania y Estados Unidos, tuvo lugar el 20 de marzo de 2024, tras una extensa investigación que comenzó en octubre de 2022. Se estima que Nemesis Market, fundado en 2021, tuvo más de 150.000 cuentas de usuario y 1.100 cuentas de vendedor de todo el mundo antes de su cierre. Casi el 20$ de las cuentas de vendedores eran de Alemania. «La gama de bienes disponibles en el mercado incluía narcóticos, datos y bienes obtenidos de manera fraudulenta, así como una selección de servicios de cibercrimen como ransomware, phishing o ataques DDoS», dijo la BKA. La agencia dijo que actualmente se están llevando a cabo más investigaciones contra vendedores y usuarios delictivos de la plataforma. Dicho esto, no se han realizado arrestos. El desarrollo se produce un mes después de que otra operación policial coordinada derribara el grupo de ransomware LockBit, tomando el control de los servidores del equipo y arrestando a tres afiliados de Polonia y Ucrania. La interrupción llevó a la pandilla a relanzar su operación de extorsión cibernética. En los últimos meses, las autoridades alemanas también han cerrado Kingdom Market y Crimemarket, que contaban con miles de usuarios y ofrecían una amplia gama de servicios de lavado de dinero y delitos cibernéticos. ¿Encontró interesante este artículo? Síguenos en Twitter  y LinkedIn para leer más contenido exclusivo que publicamos.

Source link

19 de marzo de 2024The Hacker NewsAPI Security / Vulnerability Las interfaces de programación de aplicaciones (API) son el tejido conectivo detrás de la modernización digital y ayudan a las aplicaciones y bases de datos a intercambiar datos de manera más efectiva. El informe sobre el estado de la seguridad de las API en 2024 de Imperva, una empresa de Thales, encontró que la mayor parte del tráfico de Internet (71%) en 2023 fueron llamadas API. Es más, un sitio empresarial típico recibió un promedio de 1,5 mil millones de llamadas API en 2023. El creciente volumen de tráfico de Internet que pasa a través de las API debería ser preocupante para todos los profesionales de la seguridad. A pesar de los mejores esfuerzos para adoptar marcos de trabajo de desplazamiento a la izquierda y procesos SDLC, las API a menudo todavía se ponen en producción antes de catalogarse, autenticarse o auditarse. En promedio, las organizaciones tienen 613 puntos finales API en producción, pero ese número se está expandiendo rápidamente a medida que crece la presión para brindar servicios digitales a los clientes de manera más rápida y eficiente. Con el tiempo, estas API pueden convertirse en puntos finales vulnerables y riesgosos. En su informe, Imperva concluye que las API son ahora un vector de ataque común para los ciberdelincuentes porque son una vía directa para acceder a datos confidenciales. De hecho, un estudio del Marsh McLennan Cyber ​​Risk Analytics Center encuentra que los incidentes de seguridad relacionados con API cuestan a las empresas globales hasta 75 mil millones de dólares al año. Más llamadas API, más problemas La banca y el comercio minorista en línea registraron los mayores volúmenes de llamadas API en comparación con cualquier otra industria en 2023. Ambas industrias dependen de grandes ecosistemas API para brindar servicios digitales a sus clientes. Por lo tanto, no sorprende que los servicios financieros, que incluyen la banca, fueran el principal objetivo de los ataques relacionados con API en 2023. Los ciberdelincuentes utilizan una variedad de métodos para atacar los puntos finales de API, pero un vector de ataque común es la adquisición de cuentas (ATO). Este ataque ocurre cuando los ciberdelincuentes aprovechan las vulnerabilidades en los procesos de autenticación de una API para obtener acceso no autorizado a las cuentas. En 2023, casi la mitad (45,8%) de todos los ataques ATO tuvieron como objetivo puntos finales API. Estos intentos a menudo los lleva a cabo la automatización en forma de robots maliciosos, agentes de software que ejecutan tareas automatizadas con intenciones maliciosas. Cuando tienen éxito, estos ataques pueden bloquear el acceso de los clientes a sus cuentas, proporcionar a los delincuentes datos confidenciales, contribuir a la pérdida de ingresos y aumentar el riesgo de incumplimiento. Teniendo en cuenta el valor de los datos que los bancos y otras instituciones financieras gestionan para sus clientes, la ATO es un riesgo empresarial preocupante. Por qué las API mal administradas son una amenaza para la seguridad Mitigar el riesgo de seguridad de las API es un desafío único que frustra incluso a los equipos de seguridad más sofisticados. El problema surge del rápido ritmo de desarrollo de software y la falta de herramientas y procesos maduros para ayudar a los desarrolladores y equipos de seguridad a trabajar de manera más colaborativa. Como resultado, casi una de cada 10 API es vulnerable a ataques porque no quedó obsoleta correctamente, no está monitoreada o carece de suficientes controles de autenticación. En su informe, Imperva identificó tres tipos comunes de puntos finales API mal administrados que crean riesgos de seguridad para las organizaciones: API ocultas, obsoletas y no autenticadas. API ocultas: también conocidas como API no documentadas o no descubiertas, son API que no están supervisadas, olvidadas y/o fuera de la visibilidad del equipo de seguridad. Imperva estima que las API ocultas representan el 4,7% de la colección de API activas de cada organización. Estos puntos finales se introducen por diversas razones, desde el propósito de probar el software hasta su uso como conector para un servicio de terceros. Surgen problemas cuando estos puntos finales de API no se catalogan o administran adecuadamente. Las empresas deberían preocuparse por las API ocultas porque normalmente tienen acceso a información confidencial, pero nadie sabe dónde existen ni a qué están conectadas. Una única API oculta puede provocar una infracción de cumplimiento y una multa reglamentaria o, peor aún, un ciberdelincuente motivado abusará de ella para acceder a los datos confidenciales de una organización. API obsoletas: desaprobar un punto final de API es una progresión natural en el ciclo de vida del software. Como resultado, la presencia de API obsoletas no es infrecuente, ya que el software se actualiza a un ritmo rápido y continuo. De hecho, Imperva estima que las API obsoletas, en promedio, representan el 2,6% de la colección de API activas de una organización. Cuando el punto final está en desuso, los servicios que soportan dichos puntos finales se actualizan y una solicitud al punto final en desuso debería fallar. Sin embargo, si los servicios no se actualizan y la API no se elimina, el punto final se vuelve vulnerable porque carece de los parches y las actualizaciones de software necesarios. API no autenticadas: a menudo, las API no autenticadas se introducen como resultado de una mala configuración, la supervisión de un proceso de lanzamiento apresurado o la relajación de un proceso de autenticación rígido para adaptarse a versiones anteriores de software. Estas API representan, en promedio, el 3,4% de la colección de API activas de una organización. La existencia de API no autenticadas plantea un riesgo importante para las organizaciones, ya que pueden exponer datos o funcionalidades confidenciales a usuarios no autorizados y provocar violaciones de datos o manipulación del sistema. Para mitigar los diversos riesgos de seguridad introducidos por las API mal administradas, se recomienda realizar auditorías periódicas para identificar puntos finales de API no supervisados ​​o no autenticados. El monitoreo continuo puede ayudar a detectar cualquier intento de explotar las vulnerabilidades asociadas con estos puntos finales. Además, los desarrolladores deben actualizar y actualizar las API periódicamente para garantizar que los puntos finales obsoletos se reemplacen con alternativas más seguras. Cómo proteger sus API Imperva ofrece varias recomendaciones para ayudar a las organizaciones a mejorar su postura de seguridad de API: Descubra, clasifique e inventaria todas las API, puntos finales, parámetros y cargas útiles. Utilice el descubrimiento continuo para mantener un inventario de API siempre actualizado y revelar la exposición de datos confidenciales. Identifique y proteja API sensibles y de alto riesgo. Realice evaluaciones de riesgos dirigidas específicamente a puntos finales de API vulnerables a autorización y autenticación rotas, así como a exposición excesiva de datos. Establezca un sistema de monitoreo sólido para los puntos finales de API para detectar y analizar comportamientos sospechosos y patrones de acceso de manera activa. Adopte un enfoque de seguridad de API que integre firewall de aplicaciones web (WAF), protección de API, prevención de denegación de servicio distribuida (DDoS) y protección contra bots. Una amplia gama de opciones de mitigación ofrece flexibilidad y protección avanzada contra amenazas API cada vez más sofisticadas, como ataques a la lógica empresarial, contra los cuales es particularmente difícil defenderse ya que son únicos para cada API. ¿Encontró interesante este artículo? Este artículo es una contribución de uno de nuestros valiosos socios. Síguenos en Twitter  y LinkedIn para leer más contenido exclusivo que publicamos.

Source link

09 de marzo de 2024Sala de prensaCyber ​​Attack / Threat Intelligence Microsoft reveló el viernes que el actor de amenazas respaldado por el Kremlin conocido como Midnight Blizzard (también conocido como APT29 o Cozy Bear) logró obtener acceso a algunos de sus repositorios de código fuente y sistemas internos luego de un ataque eso salió a la luz en enero de 2024. «En las últimas semanas, hemos visto evidencia de que Midnight Blizzard está utilizando información inicialmente extraída de nuestros sistemas de correo electrónico corporativo para obtener, o intentar obtener, acceso no autorizado», dijo el gigante tecnológico. «Esto ha incluido el acceso a algunos de los repositorios de código fuente y sistemas internos de la compañía. Hasta la fecha no hemos encontrado evidencia de que los sistemas de cara al cliente alojados en Microsoft hayan sido comprometidos». Redmond, que continúa investigando el alcance de la violación, dijo que el actor de amenazas patrocinado por el estado ruso está intentando aprovechar los diferentes tipos de secretos que encontró, incluidos aquellos que se compartieron entre los clientes y Microsoft por correo electrónico. Sin embargo, no reveló cuáles eran estos secretos ni la escala del compromiso, aunque dijo que se había comunicado directamente con los clientes afectados. No está claro a qué código fuente se accedió. Al afirmar que ha aumentado sus inversiones en seguridad, Microsoft señaló además que el adversario incrementó sus ataques de pulverización de contraseñas hasta 10 veces en febrero, en comparación con el «volumen ya grande» observado en enero. «El ataque en curso de Midnight Blizzard se caracteriza por un compromiso sostenido y significativo de los recursos, la coordinación y el enfoque del actor de la amenaza», dijo. «Puede estar utilizando la información que ha obtenido para acumular una imagen de las áreas que atacar y mejorar su capacidad para hacerlo. Esto refleja lo que se ha convertido en un panorama de amenazas globales sin precedentes, especialmente en términos de ataques sofisticados a Estados-nación». Se dice que la infracción de Microsoft tuvo lugar en noviembre de 2023, y Midnight Blizzard empleó un ataque de pulverización de contraseñas para infiltrarse con éxito en una cuenta de inquilino de prueba heredada que no era de producción y que no tenía habilitada la autenticación multifactor (MFA). El gigante tecnológico, a finales de enero, reveló que APT29 se había dirigido a otras organizaciones aprovechando un conjunto diverso de métodos de acceso inicial que iban desde credenciales robadas hasta ataques a la cadena de suministro. Midnight Blizzard se considera parte del Servicio de Inteligencia Exterior de Rusia (SVR). Activo desde al menos 2008, el actor de amenazas es uno de los grupos de piratería más prolíficos y sofisticados, comprometiendo objetivos de alto perfil como SolarWinds. ¿Encontró interesante este artículo? Síguenos en Twitter  y LinkedIn para leer más contenido exclusivo que publicamos.

Source link

02 de marzo de 2024Sala de prensaSpyware / Privacidad Un juez estadounidense ordenó a NSO Group entregar su código fuente para Pegasus y otros productos a Meta como parte del litigio en curso del gigante de las redes sociales contra el proveedor de software espía israelí. La decisión, que marca una importante victoria legal para Meta, que presentó la demanda en octubre de 2019 por utilizar su infraestructura para distribuir el software espía a aproximadamente 1.400 dispositivos móviles entre abril y mayo. Entre ellos también se encontraban dos docenas de activistas y periodistas indios. Estos ataques aprovecharon una falla de día cero en la aplicación de mensajería instantánea (CVE-2019-3568, puntuación CVSS: 9.8), un error crítico de desbordamiento del búfer en la funcionalidad de llamadas de voz, para entregar Pegasus simplemente realizando una llamada, incluso en escenarios donde las llamadas quedaron sin respuesta. Además, la cadena de ataque incluyó pasos para borrar la información de las llamadas entrantes de los registros en un intento de eludir la detección. Los documentos judiciales publicados a finales del mes pasado muestran que a NSO Group se le pidió «producir información sobre la funcionalidad completa del software espía relevante», específicamente durante un período de un año antes del presunto ataque a un año después del presunto ataque (es decir, desde abril 29 de mayo de 2018 al 10 de mayo de 2020). Dicho esto, la empresa no tiene que «proporcionar información específica sobre la arquitectura del servidor en este momento» porque WhatsApp «podría obtener la misma información de la funcionalidad completa del presunto software espía». Quizás lo más significativo es que se ha librado de compartir las identidades de su clientela. «Si bien la decisión del tribunal es un avance positivo, es decepcionante que a NSO Group se le permita seguir manteniendo en secreto la identidad de sus clientes, que son responsables de estos ataques ilegales», dijo Donncha Ó Cearbhaill, jefe del Laboratorio de Seguridad de Amnistía Internacional. NSO Group fue sancionado por Estados Unidos en 2021 por desarrollar y suministrar armas cibernéticas a gobiernos extranjeros que «utilizaron estas herramientas para atacar maliciosamente a funcionarios gubernamentales, periodistas, empresarios, activistas, académicos y trabajadores de embajadas». Meta, sin embargo, se enfrenta a un creciente escrutinio por parte de grupos de consumidores y de privacidad en la Unión Europea por su modelo de suscripción de «pagar o aceptar» (también conocido como pago o consentimiento), que según ellos es una elección de Hobson entre pagar una «tarifa de privacidad» y consentir a ser rastreado por la empresa. «Esto impone un modelo de negocio en el que la privacidad se convierte en un lujo en lugar de un derecho fundamental, reforzando directamente la exclusión discriminatoria existente del acceso al ámbito digital y el control de los datos personales», dijeron, y agregaron que la práctica socavaría las regulaciones GDPR. El desarrollo se produce cuando Recorded Future reveló una nueva infraestructura de entrega de varios niveles asociada con Predator, un software espía móvil mercenario administrado por Intellexa Alliance. Es muy probable que la red de infraestructura esté asociada con clientes de Predator, incluso en países como Angola, Armenia, Botswana, Egipto, Indonesia, Kazajstán, Mongolia, Omán, Filipinas, Arabia Saudita y Trinidad y Tobago. Vale la pena señalar que hasta ahora no se ha identificado ningún cliente de Predator en Botswana y Filipinas. «Aunque los operadores de Predator responden a los informes públicos alterando ciertos aspectos de su infraestructura, parecen persistir con alteraciones mínimas en sus modos de operación; estas incluyen temas consistentes de suplantación de identidad y se centran en tipos de organizaciones, como medios de comunicación, mientras se adhieren a las normas establecidas. instalaciones de infraestructura», dijo la compañía. Sekoia, en su propio informe sobre el ecosistema de software espía Predator, dijo que encontró tres dominios relacionados con clientes en Botswana, Mongolia y Sudán, afirmando que detectó un «aumento significativo en el número de dominios maliciosos genéricos que no dan indicaciones sobre las entidades objetivo». y posibles clientes.» ¿Encontró interesante este artículo? Síguenos en Twitter  y LinkedIn para leer más contenido exclusivo que publicamos.

Source link

19 de febrero de 2024Sala de prensaCiberespionaje/Vulnerabilidad Los actores de amenazas que operan con intereses alineados con Bielorrusia y Rusia han sido vinculados a una nueva campaña de ciberespionaje que probablemente aprovechó las vulnerabilidades de secuencias de comandos entre sitios (XSS) en los servidores de correo web de Roundcube para apuntar a más de 80 organizaciones. Estas entidades están ubicadas principalmente en Georgia, Polonia y Ucrania, según Recorded Future, que atribuyó la intrusión a un actor de amenazas conocido como Winter Vivern, que también se conoce como TA473 y UAC0114. La firma de ciberseguridad está rastreando al equipo de piratería bajo el nombre de Threat Activity Group 70 (TAG-70). ESET destacó previamente la explotación de fallas de seguridad en Roundcube y el software por parte de Winter Vivern en octubre de 2023, uniéndose a otros grupos de actores de amenazas vinculados a Rusia, como APT28, APT29 y Sandworm, que se sabe que atacan el software de correo electrónico. El adversario, que ha estado activo desde al menos diciembre de 2020, también ha sido vinculado al abuso de una vulnerabilidad ahora parcheada en el software de correo electrónico Zimbra Collaboration el año pasado para infiltrarse en organizaciones en Moldavia y Túnez en julio de 2023. La campaña descubierta por Recorded Future tuvo lugar desde principios de octubre de 2023 y continuó hasta mediados de mes con el objetivo de recopilar inteligencia sobre las actividades políticas y militares europeas. Los ataques se superponen con actividad adicional de TAG-70 contra servidores de correo del gobierno de Uzbekistán que se detectaron en marzo de 2023. «TAG70 ha demostrado un alto nivel de sofisticación en sus métodos de ataque», dijo la compañía. «Los actores de amenazas aprovecharon técnicas de ingeniería social y explotaron vulnerabilidades de secuencias de comandos entre sitios en los servidores de correo web de Roundcube para obtener acceso no autorizado a servidores de correo específicos, evitando las defensas de las organizaciones gubernamentales y militares». Las cadenas de ataque implican la explotación de fallas de Roundcube para entregar cargas útiles de JavaScript diseñadas para filtrar las credenciales del usuario a un servidor de comando y control (C2). Recorded Future dijo que también encontró evidencia de que el TAG-70 apuntaba a las embajadas iraníes en Rusia y los Países Bajos, así como a la embajada de Georgia en Suecia. «El ataque a las embajadas iraníes en Rusia y Holanda sugiere un interés geopolítico más amplio en evaluar las actividades diplomáticas de Irán, especialmente en lo que respecta a su apoyo a Rusia en Ucrania», dijo. «Del mismo modo, el espionaje contra entidades gubernamentales georgianas refleja intereses en monitorear las aspiraciones de Georgia de ingresar a la Unión Europea (UE) y la OTAN». ¿Encontró interesante este artículo? Síguenos en Twitter  y LinkedIn para leer más contenido exclusivo que publicamos.

Source link