Presentación

Desde el pasado mes de Febrero, tengo el placer de trabajar en @SVTCloud (www.svtcloud.com) como el responsable del servicio y departamento de Monitorización y Operaciones de Seguridad (MSOC).

Entre otros, el equipo de Seguridad del MSOC, ofrece los servicios:

 - PSaaS - Perimetral Security as a Service, que consiste en la gestión operativa de dispositivos de seguridad perimetral en modo servicio.

- Alerta Temprana: realizando una monitorización constante 24x7, del estado de la seguridad.

- Respuesta ante incidentes: investigación y propuestas de contramedidas que permitan contener el incidente de seguridad, y proporcionar las bases de seguridad para prevenir en el futuro.

Por supuesto, la monitorización constante, nos permite detectar nuevos ataques, alertar y prevenir ataques e investigar con objeto de establecer líneas de defensa en los dispositivos perimetrales.

Una de las tareas más recurrentes en la detección de un ataque es conocer si el tráfico sospechoso con origen y/o destino desconocido (dirección IP) esta incluido relacionado con actividad maliciosa, SPAM, Malware, etc... fruto de nuestro trabajo diario, he desarrollado sIPi una herramienta que permite analizar una dirección IP o lista de direcciones IP, para obtener información relevante con respecto a:

 - Nivel de reputación / actividad asociada a dicha IP: es decir, analizar si la IP esta involucrada en SPAM, actividad Malware y/o pertenece a una red Botnet. Utilizando el servicio ofrecido por http://cymon.io

 - Nivel de exposición: analizar la IP y conocer cuál es su nivel de exposición en Internet, a través del buscador http://shodan.io

 - Información básica de geolocalización: analizar la información de la IP, obteniendo información simple de la misma, a través de http://ipinfo.io

sIPi - Simple IP Information Tools

La herramienta integra en una sola consulta la información que se obtendría por separado, consultando en cada una de las fuentes de información.

En breve publicaré la herramienta en mi GitHub (https://github.com/st2labs) estad atentos !!!

Os dejo una captura:

[@St2labs | @Svtcloud] - sIPi Tools output

Pronto en mi https://github.com/st2labs

#ST2Labs

#SVTCloud

www.st2labs.com / www.svtcloud.com

Si eres de los que utiliza Google Chrome como navegador por defecto a diario en casa y el trabajo, te recomiendo que sigas leyendo.

-- Google Chrome Plugins - Password Alert

Google presenta una extensión para Google Chrome que te ayudará a protegerte frente a ataques de phishing que intentan conseguir tu contraseña de acceso a las cuentas de Google.

Alerta de protección de contraseña te ayuda a protegerte contra ataques de phishing
by Google.

Alerta de protección de contraseña también intenta detectar páginas de inicio de sesión de Google falsas antes de que introduzcas tu contraseña. Para ello, Alerta de protección de contraseña comprueba el código HTML de cada página que visitas para verificar si se trata de una página de inicio de sesión de Google auténtica.

¿Qué protege?

Alerta de protección de contraseña no protege las ventanas de incógnito, las aplicaciones de Chrome ni las extensiones de Chrome. Tampoco protege contraseñas de servicios que no son de Google. Alerta de protección de contraseña solo funciona en el navegador Chrome si JavaScript está activado.

Protege las contraseñas de los servicios de Google frente a ataques que pretender robar y suplantar nuestra identidad digital.

Privacidad

¿Alerta de protección de contraseña guarda mi contraseña o mis pulsaciones de teclas?

No, Alerta de protección de contraseña no almacena ni tu contraseña ni tus pulsaciones de teclas. En su lugar, guarda una miniatura segura de tu contraseña y luego la compara con la miniatura de tus pulsaciones de teclas más recientes en Chrome.

¿Adónde envía datos Alerta de protección de contraseña?

Si usas Alerta de protección de contraseña en una cuenta de Gmail, no se enviará ningún dato de tu ordenador. Si un administrador de Google for Work elige implementar Alerta de protección de contraseña en tu dominio, el administrador recibirá alertas cuando se active Alerta de protección de contraseña

Download

Descarga e instala la Extensión para Google Chrome:

https://chrome.google.com/webstore/detail/password-alert/noondiphcddnnabmjcihcjfbhfklnnep

#ST2Labs
@rhodius | @seguridadparatodos | @st2labs

Se informa de un ataque masivo de inyección SQL contra websites construidos sobre la plataforma ASP.Net de Microsoft.

Lo interesante y peligroso al mismo tiempo es que los atacantes, a través de la técnica de Injección SQL, injectan un código Javascript mediante un <i-frame> en el navegador de los usuarios desde los cuales se intentará ejecutar código malicioso (exploit) basado en el navegador para infectar los equipos (PC) con Malware.

frame (por inline frame o marco incorporado en inglés) es un elemento HTML que permite insertar o incrustar un documento HTML dentro de un documento HTML principal. Normalmente, este se carga en el navegador sin mostrar su contenido, y por tanto sin conocimiento del usuario. 

La peligrosidad de este tipo de "exploit" radica en que aprovechan una vulnerabilidad del navegador web que no necesita de la intervención del usuario, es decir "no exige que la víctima abra algún archivo o pinche en un determinado enlace".

Afortunadamente, parece que los atacantes están usando explotéis conocidos por lo que afecta a versiones antiguas de Adobe Reader PDF, Adobe Flash Player y/o Java.

Médidas de prevención / protección

1. Actualización de las aplicaciones potencialmente peligrosas Adobe PDF, Adobe Flash y Java.
2. Actualización, al día, del Antivirus.
3. Utilización de No-Script para Firefox, pues bloqueará cualquier script / i-frame, siempre y cuando, no sea una página autorizada.

Ultimas Actualizaciones

Ir a Adobe:

• [Adobe Flash Player v11.0.1.152]
• [Adobe Reader X v10.1.1]

Ir a Java Version 6 Update 29

Fuente | CSOSpain

El correo de buyvip lleva una imagen con la siguiente dirección URL:

http://i.buyvip.com/gallery/081203103804616031/Solus_ES.png

Voy a realizar una serie de pruebas con el objetivo de verificar que el correo ha sido enviado desde servidores de buyvip.com.

Acabo de recibir un correo electrónico del portal de compras on-line buyvip haciendome saber que "pueden" haber conseguido acceder a sus servidores y haber comprometido la seguridad de los datos de miles de usuarios, entre los que desafortunadamente me encuentro.

No dan ningún detalle técnico del ataque, por el momento aseguran que los datos de pago (tarjetas de crédito) no han sido comprometidos, pero si los datos personales, tales como: Nombre, Dirección, Teléfono y Contraseña.

Nivel: Medio / Alto
Categoria: Rasomware.AN
Propagación: múltiples vías , mas extendidas por medio del spam y el P2P.
Dirigido: principalmente a usuarios de habla alemana.
Descripción:  malware que “secuestra" al equipo de la víctima hasta que se introduce un código determinado. Para obtener el código, los ciberdelincuentes solicitan a la víctima 100 euros por el “rescate". El troyano amenaza incluso con denunciarte a las autoridades por piratería.
Eliminación: muy complicado si se desea realizar de forma manual , el método mas efectivo es formatear el equipo.

Recomendación:

Mantener actualizado el sistema antivirus y tener precaución al abrir los correos electrónico con archivos ejecutables.

Via: CSIRT-CV
Más informacion: Pandalabs Security