Grupo SwaggSec

Un grupo de hackers autodenominado SwaggSec logró intervenir los servidores de Foxconn, apropiándose de información que luego publicaron en los sitios de torrents Demonoid y The Pirate Bay.

El hack fue posible atacando el navegador de un empleado de Foxconn, empresa que ha enfrentado fuertes críticas por las deplorables condiciones de trabajo a que somete a sus empleados.

Según el fichero .nfo dejado por los atacantes, la intervención del sitio se debe precisamente a lo anterior.

El sitio 9to5mac escribe que la intervención fue realizada aprovechando una versión desactualizada de Internet Explorer, usada por un empleado con acceso al sistema de Foxconn. Los hackers se apropiaron de la contraseña del servidor, que era “password1”. El nombre del usuario era sencillamente “admin”. Todos los servidores afectados están en estos momentos desconectados.

En la notificación dejada en el sistema intervenido, los intrusos señalan: “Dicen que en Foxcon explotan a los trabajadores, que incluso llegan al suicidio. Dicen que en Foxconn contratan a trabajadores chinos por considerar que los taiwaneses son de elite. Pues tenemos noticias. Cuando terminemos de publicar lo que sabemos, Foxconn ni siquiera sabrá qué le ha golpeado. Foxconn se va a desmoronar, y lo merece”.

Anuncios

Informa Armorize

Según la empresa de seguridad informática Armorize, el sitio Mysql.com ha sido hackeado y utilizado para distribuir malware para la plataforma Windows.

El blog de Armorize informa que el sitio de Mysql.com fue hackeado durante la noche del lunes 26 de septiembre.

Wayne Huang, autor de la nota, escribe que mediante un código Javascript los hackers dirigían a los visitantes a un sitio externo, donde se intentaba instalar malware aprovechando vulnerabilidades del navegador.

El programa en cuestión, mwjs159, abre el sitio web maligno en un iframe, por lo que el usuario no detecta que está siendo enviado a un nuevo sitio. Armorize no explica qué actividades realiza el malware una vez instalado en un PC.

Armorize explica que los intrusos utilizaron servidores en Alemania y Suecia.

Por su parte, el experto en seguridad informática Brian Krebs asegura en su blog haber visto la semana pasada un anuncio en un foro de hackers rusos, donde se ofrecía acceso a Mysql.com por 3.000 dólares (2.200 euros). Esto hace suponer que los hackers han tenido la posibilidad de intervenir Mysql.com durante al menos una semana.

En 2010 también hubo notificaciones de vulnerabilidades en Mysql.com, realizadas mediante un ataque “inyección SQL”.

Oracle, propietario del sitio, no ha comentado por ahora la información. Según Alexa, Mysql tiene 400.000 visitantes diarios y es considerado el 637° sitio más popular de Internet.

En los 2 últimos años

El phishing y las redes sociales son las principales fuentes de este tipo de amenazas en las que no se utilizan técnicas de hacking, sino que se manipula a los usuarios para que revelen contraseñas u otra información.

Check Point® Software Technologies Ltd. presentó las conclusiones de un nuevo informe que revela que un 48% de las empresas encuestadas ha sido víctima de ataques de ingeniería social y ha sufrido 25 o más ataques a lo largo de los dos últimos años.

El coste empresarial de estos incidentes de seguridad está entre 18.000 y 73.000 euros. Este tipo de ataques implica que un estafador, en lugar de utilizar técnicas de hacking, manipula o engaña a los usuarios para que realicen ciertas acciones o divulguen información personal.

El informe “Riesgo de la Ingeniería Social en la Seguridad Informática” señala el phishing y las redes sociales como las principales fuentes de amenazas y anima a las empresas a combinar estrategias tecnológicas y de concienciación para minimizar la frecuencia y el coste de los ataques.

Tradicionalmente, estos ataques tenían como objetivo a personas con información delicada o que tienen acceso a la misma. En la actualidad, los hackers recurren a una amplia gama de técnicas y aplicaciones para obtener información personal y profesional y detectar el eslabón más débil en una organización.

“Los resultados de la encuesta muestran que casi la mitad de las empresas encuestadas son conscientes de que han sufrido ataques de ingeniería social. Sabiendo que muchos de estos ataques pasan desapercibidos, debemos tener en cuenta que este es un vector de ataque muy amplio y peligroso que no debe ser ignorado”, señala Oded Gonda, vicepresidente de productos de seguridad de red de Check Point Software Technologies.

Si bien las técnicas de ingeniería social confían en aprovecharse de las vulnerabilidades de una persona, la omnipresencia de la Web 2.0 y las tecnologías móviles también han incrementado las alternativas de cara a acceder a información personal, creando nuevas vías de penetración para la ejecución de estos ataques concretos. Los nuevos empleados (60%) y contratistas (44%), menos familiarizados con las políticas de seguridad corporativas, fueron señalados como los colectivos más susceptibles de convertirse en víctimas de estas amenazas, seguidos por personal de contratas, administrativos, recursos humanos y el departamento de informática.

“A fin de cuentas, las personas son un componte crítico del proceso de seguridad, en tanto y en cuanto son susceptibles ser víctimas de los engaños de los criminales y cometer errores que pueden llevar a infecciones por malware o pérdidas de datos no intencionadas. Muchas organizaciones no ponen suficiente empeño en involucrar a sus usuarios, cuando, de hecho, los empleados deberían ser la primera línea de defensa”, añade Gonda. “Una buena manera de hacer que los usuarios sean más conscientes de su importancia es involucrarlos en el proceso de seguridad, otorgándoles capacidades para evitar y remediar incidentes de seguridad en tiempo real.”

Principales Conclusiones de Informe:

Las amenazas son reales – El 86% de los profesionales informáticos y de seguridad son conscientes o muy conscientes de los riesgos que comportan los ataques de ingeniería social. Aproximadamente el 48% de las empresas encuestadas admite haber sufrido más de 25 ataques en los dos últimos años.

Estos ataques salen caros – Los encuestados cifran entre 18.000 y 73.000 euros el coste de los incidentes de seguridad, teniendo en cuenta costes de disrupción de negocio, retrasos con clientes, pérdida de ingresos y daños de marca.

Las fuentes más comunes de ataques de ingeniería social – Los correos electrónicos de phishing ocupan el primer puesto en el ranking (47%), seguidos de las redes sociales, donde se expone información personal y profesional (39%) y dispositivos móviles inseguros (12%).

El ánimo de lucro es la principal motivación de estos ataques (51%) – seguido por el acceso a información propietaria (46%), la obtención de ventajas competitivas (40%) y la venganza (14%).

Los nuevos empleados son más susceptibles a las técnicas de ingeniería social – Según los encuestados, los nuevos empleados son los más expuestos a estos riesgos, seguidos por los contratistas (44%), secretarios/as de dirección (38%), recursos humanos (33%), altos ejecutivos (32%) y personal informático (23%). Independientemente de su función en la organización, tanto la implementación de programas de formación adecuados, como la concienciación, son componentes críticos en cualquier política de seguridad.

Falta de formación proactiva para evitar los ataques – El 34% de las empresas carece de políticas de seguridad o programas de formación para prevenir que sus usuarios sean víctimas de las técnicas de ingeniería social, si bien el 19% tiene previsto implementarlos.

Para alcanzar el grado de protección que los entornos informáticos modernos demandan, el concepto de seguridad tiene que ampliarse, otorgándole la misma consideración que a cualquier otro proceso efectivo de negocio, en lugar de verla como una mera colección de tecnologías dispares. 3D Security de Check Point ayuda a las empresas a implantar un esquema de seguridad que trasciende la tecnología, educando a los empleados involucrándoles en el proceso. “Así como los empleados cometen errores y son responsables de la aparición de amenazas o vulnerabilidades en la organización, también pueden desempeñar un papel crucial en la mitigación de los riesgos”, añade Gonda. Gracias a la tecnología UserCheck™ de Check Point, las empresas pueden informar y educar a sus empleados acerca de las políticas corporativas a la hora de acceder a la red, los datos y las aplicaciones corporativas—ayudando a las empresas a minimizar la frecuencia, los riesgos y los costes asociados a las técnicas de ingeniería social.

Puede acceder al informe y completar el sondeo online aquí www.checkpoint.com

“La seguridad no es sólo un problema para los administradores informáticos; sino que tiene que ser parte de las funciones de cada perfil profesional. A medida que las amenazas a las que se enfrenta la industria se hacen más sofisticadas y especializadas, la colaboración de los usuarios incrementa el grado de inteligencia y de efectividad de las tecnologías de seguridad,” concluye Gonda.

Información personal

Tras las filtraciones de datos de Facebook, ESET emite una serie de consejos para que los internautas puedan mantener la integridad de sus datos cuando utilizan redes sociales.

La información personal de unos 100 millones de los más de 500 millones de usuarios de Facebook se ha visto comprometida recientemente, con sus datos privados revelados en la red. No es la primera vez ni será la última en la que la red social ha sido objetivo de ataques.

Para ayudar a los usuarios a permanecer seguros, ESET ha preparado una nueva lista de consejos sobre cómo mantener la seguridad en las redes sociales:

Ajustar las opciones de privacidad de Facebook
: Permitir sólo a amigos cercanos ver el perfil completo, y utilizar un perfil acortado para los demás. En las opciones de Facebook, puede elegir lo que se quiere limitar: actualizaciones de estado, anotaciones en el muro, información personal o las fotografías.

Evitar utilizar los enlaces que se reenvían: No abrir nunca un adjunto de correo que pueda resultar sospechoso, ni aunque lo envíe un amigo. Se debe hacer lo mismo en Facebook. El mensaje puede venir de un hacker o de un cibercriminal que suplanta la identidad de un amigo.

Aceptar como amigos sólo a personas conocidas: Evitar aceptar como amigos a personas que no conoces y, de hacerlo, en ningún caso permitir ver el perfil completo.

Los datos se mantienen en circulación para siempre: No asumir que cuando se elimina una foto o la totalidad de la cuenta en la red social se está eliminando también todos los datos para siempre. Las imágenes e información pueden haber sido guardadas en cualquier ordenador.

Precaución con las aplicaciones: Muchas aplicaciones pueden haber sido creadas por cibercriminales y, por tanto, pertenecer a la categoría de no deseadas.

Fuente: ESET.

Malas traducciones

Los atacantes violaron la interface oficial de Facebook Translate, aprovechando el método de crowdsourcing para “mejorar la precisión lingüística del sitio”.

Trend Micro informa de la última “broma” en la que Facebook ha sido una vez más protagonista: un grupo de bromistas turcos reclutó la ayuda de un grupo usuarios para llevar a cabo un asalto lingüístico a gran escala en Facebook, sacando así los colores de todos los usuarios que había alrededor, tal y como explica Rik Ferguson, Consejero Senior de Seguridad de Trend Micro.

Un post en el foro de discusión turco Inci Sözlük describe el plan de hacer un mal uso de la aplicación para traducir de Facebook con el fin de divertir a los miembros del grupo de discusión y al parecer, el ataque fue un éxito total.

Una selección de 56 palabras y frases comúnmente utilizadas en la plataforma Facebook fueron mal traducidas. Así, palabras y frases como “Me gusta” o “Tú mensaje podría no ser enviado porque el usuario está desconectado” tuvieron su traducción en un turco calificado como “mejorado”.

Los atacantes violaron la interface oficial de Facebook Translate, aprovechando el método de crowdsourcing (técnica utilizada a la hora de proponer problemas y recompensas a quién o quiénes solucionen un problema propuesto) para mejorar la precisión lingüística del sitio. Los miembros del foro de discusión proporcionaron los votos suficientes para impulsar y promover estas traducciones poniéndolas en uso para cualquiera que estuviera viendo Facebook en Turquía, provocando de este modo que algunas caras se pusieran muy coloradas. “Evidentemente, los términos eran ofensivos e insultantes, a pesar de que algunos pudieran haberlos encontrado graciosos”, apunta Ferguson.

La palabra “Like” (“Me Gusta”) por ejemplo fue sustituida por otra palabra que rima con “Luck” (suerte) pero empieza con F. El conocido mensaje de notificación del Chat de Facebook “Your message could not be sent because the user is offline” (“Su mensaje podría no ser enviado porque el usuario está desconectado”) se convirtió en “Your message could not be sent because of your tiny penis” (Tu mensaje podría no ser enviado porque tienes un micropene).

Es interesante observar la naturaleza totalmente automatizada del método del crowdsourced, pues realmente da la sensación de que las traducciones no hubieran pasado por la supervisión de personas antes de hacerse públicas. “Quizá aquí hubo posibilidad de que los cibercriminales aprovecharan la confusión sustituyendo URLs confusas por las populares palabras. Por otro lado, podemos pensar que ha sido una suerte que el agujero haya quedado expuesto a través de una travesura y no con algo más nefasto”, indica Rik Ferguson.

Fuente: Trend Micro.