El pasado 14 de Junio, Adobe ha publicado el boletín de seguridad APSB11-16, en el que notifica que ha solucionado 13 fallos de seguridad en sus productos Adobe Acrobat y Acrobat Reader, algunos de los cuales han recibido la categoría de críticos. El expediente de seguridad confirma que algunas de estas vulnerabilidades eran compartidas con Flash, las cuales ya habían sido solucionadas anteriormente.

Los expedientes de seguridad solucionados en esta actualización del software son: CVE-2011-2094, CVE-2011-2095, CVE-2011-2096, CVE-2011-2097, CVE-2011-2098, CVE-2011-2099, CVE-2011-2100, CVE-2011-2101, CVE-2011-2102, CVE-2011-2103, CVE-2011-2104, CVE-2011-2105, CVE-2011-2106.

Todos ellos han sido solventados con las últimas actualizaciones de seguridad. Si eres usuario de Acrobat Reader rama 8, debes actualizar a la versión Acrobat Reader 8.3. Para los usuarios de la rama 9, se debe pasar a la versión Acrobat Reader 9.4.5, y para los usuarios de Adobe Acrobat X, la versión que solventa estos fallos de seguridad es la 10.1. Todas ellas pueden ser descargadas desde la página de descargas para usuarios de Macintosh.

La firma de seguridad Vupen afirma haber encontrado el modo de hackear Chrome bordeando el modo sandbox incluido en el navegador y evadiendo las tecnologías anti-exploit integradas en Windows 7.

El exploit de día cero encontrado en Chrome y aprovechado para romper la seguridad del navegador de Google “es uno de los códigos más sofisticados que hemos visto y creado, pues evita todas las capacidades de seguridad, incluyendo ASLR/DEP/Sandbox”, explica la firma de seguridad Vupen en un post. “Es silencioso, no se colapsa tras ejecutar la carga, depende de vulnerabilidades de día cero sin revelar y funciona en todos los sistemas Windows”. La compañía francesa ha publicado un vídeo demostración de su exploit en YouTube.

Según Vupen, este exploit puede ser servido desde una web maliciosa. Si un usuario de Chrome navega por dicha página, el exploit ejecuta “varias cargas útiles para finalmente descargar la Calculadora desde una localización remota y lanzarla fuera del sandbox a un nivel de integridad medio”. Vupen ha utilizado la Calculadora de Windows solo como un ejemplo: en un ataque, el archivo “calc.exe” podría reemplazarse por una carga útil modificada por un hacker.

Hasta ahora, Chrome había sido el navegador más difícil de explotar, principalmente porque utiliza una tecnología de sandbox diseñada para aislarlo del resto de la máquina y dificultar así al hacker que ejecute código de ataque en el PC. Con este mecanismo, Chrome ha logrado escapar a los ataques en los últimos tres concursos del Pwn2Own.

El pasado marzo, un equipo de Vupen se llevó 15.000 dólares tras hackear Safari, el navegador de Apple que, como Chrome, está creado con un motor WebKit basado en código abierto. Pero nadie logró entrar en Chrome a pesar de la recompensa de 20.000 dólares que ofrecía al primero que lograra traspasar la zona de seguridad del navegador.

El código de ataque de Vupen también ha logrado sortear el ASLR (Address Space Layout Randomization) y el DEP (Data execution prevention) de Windows 7, dos tecnologías de seguridad destinadas a dificultar el trabajo de los hackers.

Vupen ha dicho que no hará públicos los detalles del exploit en Chrome. “Son compartidos exclusivamente con nuestros clientes gubernamentales como parte de nuestros servicios de investigación de vulnerabilidades”. El pasado año, la empresa francesa cambió sus políticas de revelación de vulnerabilidades al anunciar que no reportaría más brechas a los fabricantes, pero sí a los clientes de pago.

Google no ha comentado por ahora los hallazgos de Vupen.

Curiosa conjunción de ataque en el que se está aprovechando una vulnerabilidad reconocida por Adobe APSA11-01 en todas las versiones de Flash que está siendo explotada vía ficheros Excel en los que se ha embebido el exploit.

Las R.A.T. (Remote Administration Tool) son herramientas para administrar, con o sin consentimiento del usuario del sistema que lo tiene instalado, un equipo de forma remota.

De este tipo de utilidades ha habido muchas en sistemas Microsoft Windows, pero en el mundo Mac OS X, con el continuado aumento de cuota de mercado, se ha conseguido atraer suficiente atención desde el mundo de los creadores malware como para que empiecen a proliferar por desgracia.

En esta ocasión toca hablar de BlackHole RAT, un malware para administrar sistemas Mac OS X y Windows que ya ha sido anunciado por Internet. De momento, las opciones que permite esta primera versión que ha salido a la luz pública viene con el kit fundamental de utilidades, es decir,ejecutar comandos remotamente, forzar la apertura de una URL en una página web para poder así ejecutar un exploit de client-side en el navegador, generar ficheros en el sistema, solicitar credenciales de administración, apagar y reiniciar el sistema.

Un troyano para gestionar una máquina infectada remotamente, sin embargo, hay que esperar que este tipo de software malicioso siga creciendo. Esto hará que aparezca, no solo un mayor número de troyanos, bots y RATs, sino que además irá mejorando la calidad, tecnológicamente hablando, de los mismos.

Para demostrar su funcionamiento, se ha hecho un vídeo que está disponible en Internet en el que se puede ver cómo funciona esta pieza de malware en equipo con Mac OS X.

En la conferencia para hackers ShmooCon el experto en materia de seguridad Jon Larimer del equipo X-Force de IBM demostró que Linux está lejos de ser inmune a ataques que provienen de dispositivos USB.

Durante su presentación el experto obtuvo acceso a un sistema Linux protegido haciendo uso de un dispositivo USB especialmente preparado para la ocasión, aprovechando una técnica que permite a muchas de las distribuciones actuales reconocer y montar los dispositivos de almacenamiento USB de forma automática y transparente para el usuario, para luego mostrar el contenido de la llave USB en el explorador de ficheros, por ejemplo Nautilus en GNOME.

Cuando Nautilus trata de generar las miniaturas para los ficheros contenidos en el dispositivo USB, este explorador fue engañado por un fichero DVI específicamente destinado a esa tarea que se encargaba de activar el exploit. El agujero de seguridad estaba presente en el visor de documentos evince y se conocía desde enero, y se utilizó dicha vulnerabilidad para demostrar los peligros de este tipo de escenarios.

Larimer también deshabilitó durante la demostración dos medidas de seguridad habituales en distros Linux: el ASLR (Address Space Layout Randomisation) y AppArmor, indicando formas en las que potenciales cibercriminales podrían superar esos obstáculos.

Así pues, parece que los ataques a sistemas operativos a través de llaves (u otros dispositivos de almacenamiento externo) USB no están limitados solo a Windows, aunque los grandes ejemplos de estos ataques (Conficker y Stuxnet fueron los más preocupantes) se centraran en la plataforma de Microsoft.

La última versión del navegador Opera está afectada por una vulnerabilidad que permite a atacantes potenciales ejecutar código arbitrario de manera remota en la máquina con Opera. El fallo ha sido descubierto por el investigador de seguridad francés Jordi Chancel quien la ha anunciado públicamente en su blog el 7 de enero y la ha descrito como integer truncation error.

El señor Chancel ha hecho notar que incluso que los problemas son muy fáciles de replicar, la dirección de violación de memoria es impredecible lo que hace el exploit más complicado. Sin embargo, VUPEN Security ha anunciado que sus investigadores han conseguido desarrollar un exploit para tal vulnerabilidad que ejecuta código remotamente. Tal y como muestra la nota:

“Este problema está causado por un error de truncado de enteros dentro del módulo del navegador de Internet Opera ‘opera.dll’ cuando maneja el elemento HTML ‘select’ que contiene un gran número de elementos hijos”.

El problema está confirmado tanto en Opera 11, como en la versión 10.63 para Windows 7 y XP y pueden ser explotados si el usuarios navega por webs creadas a tal efecto. Opera está trabajando en la solución del mismo y de momento, el exploit de VUPEN no es más que una prueba de concepto, no se han detectado exploits en Internet.

En el departamento de seguridad de Microsoft deben estar trabajando a contrarreloj. Ayer (07-01-2010) se confirmaba una vulnerabilidad en el intérprete de gráficos que permite a un atacante ejecutar código a través de un thumbnail convenientemente modificado. La vulnerabilidad afecta a todos los Windows salvo 7 y Server 2008, y ya existe un exploit público.

Y no es la única. Durante los meses anteriores se han descubierto otras cuatro vulnerabilidades graves con exploit público: un fallo en el motor CSS de Internet Explorer 8 que permite ejecución de código, otros dos en el programa de Fax de Windows y una librería DLL que también permiten la ejecución de código, y una vulnerabilidad de escalada de privilegios en el kernel.

Además, podría unirse otra vulnerabilidad a la lista dentro de poco. Un hacker llamado Michal Zalewski está investigando una vulnerabilidad en Internet Explorer 8 que podría permitir la ejecución de código.

Ante estas vulnerabilidades la protección es la misma de siempre: tener cuidado con lo que se descarga y un antivirus y firewall actualizados. Aunque se espera que Microsoft saque un boletín de seguridad el 11 de enero, no es seguro que salgan parches para estas vulnerabilidades.

Hace un mes,  se llevo a cabo un ataque a Google en el cual se obtuvo información valiosa de sus clientes.  Este ataque llamado “Operación Aurora” vulnera una falla del Internet Explorer en todas sus versiones, Metasploit adapto el exploit para trabajarlo en su framework y con ello hacer la demostración del ataque. Gracias a la gente de Enhacke que nos facilito este video.

Nos vemos.

El equipo de desarrolladores de Metasploit Framework lanzó una actualización, la version 3.3.3!

Algunas de las mejoras:

• Todos los exploits tienen un ranking, estan seleccionados en 7 categorias de configuración.
• El comando de búsqueda ahora funciona con -r, usando la clasificación mencionada.
• Los comandos de sesiones ahora pueden ejecutarse con -c ó un script con -s sobre todas las sesiones.
• El Win32EXE template se reduce de 88k a 37k.

Descargar la última version 3.3.3

• Windows 2000 a Windows 7
• Linux

Más información sobre la actualización en Metasploit Framework

La nueva versión de metasploit 3.3 incluye 446 exploits, 216 modulos auxiliares y cientos de payloads. Además, los payloads ahora soportan NX, DEP, IPv6, y la plataforma Windows 7. Más de 180 bugs que se han corregido de la versión 3.2

Todos los exploits ahora tienen referencia a la base de datos de OSVDB gracias al esfuerzo de Steve Tornio. Además del ya conocido CVE.

Más información en: http://blog.metasploit.com/2009/11/metasploit-framework-33-released.html

Para descargar Metasploit 3.3: http://www.metasploit.com/framework/download/