"La experiencia es el mejor de los maestros, sólo que la matrícula es muy pesada"

[ Tomás Carlyle - Ensayista e historiador escocés - 1795-1881 ]


Boletín 84 - ¿Sirve la paranoia? - 31/03/2007

Leído por ahí (en el Blog de Enrique Dans):

Segu-Info en Diario El País de España:

http://tinyurl.com/22hd6s


1. Artículo del Día: ¿Sirve la paranoia?
2. Analizando Malware
3. Cuatro ataques al precio de uno y cuatro moralejas
4. Noticias de esta semana
5. Desafío de la semana



1. Artículo del Día: ¿Sirve la paranoia?


Charlando con amigos siempre surge el tema de que tan paranoico puede ser una persona. A algunos sólo es necesario verlos para darse cuenta que mucho y a otros con sólo ver lo que les sucede en sus organizaciones y en sus sistemas también es suficiente para darse cuenta que no lo son en lo absoluto.

La RAE define Paranoia como una "perturbación mental fijada en una idea o en un orden de ideas" y si hablamos de seguridad seguramente esta idea será la (in)seguridad de nuestras acciones y los daños y perjuicios que esa seguridad no aplicada puede ocasionar (dejando de lado la "perturbación mental" que debería ser analizada psicológicamente).

¿Es buena la paranoia en Seguridad?
Hablando hace tiempo con un especialista en Seguridad de la Información le consulté sobre este tema y él me decía que es "paranóico sanamente y precavido en muchos aspectos de la vida porque estoy permanentemente en contacto con todas las cosas que suceden y pueden suceder".

La respuesta es muy acertada si analizamos que ser precavido significa ser cauto y saber prevenir un riesgo, daño o peligro, para guardarse de él y evitarlo.

Trabajar en áreas relacionadas con seguridad abre los ojos sobre lo que nos puede suceder y ayuda a pensar en que alguna vez nos puede ocurrir a nosotros. No aceptar este riesgo pasa por ser demasiados inocentes pero también debe conocerse que los riesgos se pueden mitigar y es aquí donde el "grado" de paranoia es importante.

Particularmente, siempre se me acusa de utilizar programas "extraños" para realizar las tareas más comunes y triviales. En esta frase hay dos puntos importantes a analizar:

Trabajar con aplicaciones dañinas, por ejemplo, implica cierto riesgo que debe aceptarse o mitigarse al comenzar a realizar el trabajo.

Utilizar un cliente de correo potencialmente más vulnerable que otro implica riesgos. Esta potencialidad quizás solo implique ser el más conocido.

Descargar correo que no solicitamos también implica un riesgo y hacer doble click sobre un archivo adjunto implica uno mayor.

Volviendo a nuestra pregunta inicial, no creo que un grado aceptable de paranoia sea una enfermedad y quizás un psicólogo/psiquiatra tenga mucho que decir sobre ello; pero conocer los riesgos, aceptarlos o averiguar como mitigarlos corresponde a la seguridad de la información y también, porqué no, a nuestra seguridad personal.

Entonces, piense, evalúe e intente considerar aquellos puntos débiles que alguien podría aprovechar.



2. Analizando Malware


Este artículo fue desarrollado por Jorge Mieres en su Blog.

El artículo analiza un malware de amplia repercusión. En el mismo pueden verse aquellas formas más comunes de infección, las áreas que son afectadas normalmente por un archivo dañino y algunas de las herramientas utilizadas para su seguimiento.

El artículo puede ser descargado de nuestra sección de Terceros.


Gracias Jorge !



3. Cuatro ataques al precio de uno y cuatro moralejas


Para los que siguen nuestro Blog, en los últimos dos días habrán podido apreciar tres simpáticas noticias relacionadas con explotación de vulnerabilidades y aprovechamiento de la Ingeniería Social para infección con malware.

Para leer estas noticias en el momento que suceden recomiendo la suscripción a nuestro Blog, en donde se obtendrá en resumen diario de noticias de Seguridad de la Información.

La primera noticia viene de algo que ya se está haciendo bastante común en el mundo del malware. Se crean navegadores web para permitir la navegación confidencial, segura y anónima. El usuario confiado descarga estos navegadores y los mismos se encargan de instalar terceros indeseables en el sistema (espías, adware o rootkits como en este último caso).

Moraleja 1: sólo confíe en programas conocidos. No existen las soluciones milagrosas.

La segunda noticia tiene que ver con la utilización de la Ingeniería Social como medio para que el usuario descargue una aplicación dañina en el sistema.

Esta vez llega un correo electrónico al usuario indicándole que existe una nueva versión de Internet Explorer. Si el usuario desprevenido hace clic en la imagen que se muestra, se descarga un troyano que se instala en su sistema. La forma de funcionamiento y las capturas de pantalla pueden verse en nuestro Blog. Esta amenaza ha cobrado relevancia en países de habla hispana.

Moraleja 2: no descargue archivos o correos que no solicitó. Nadie le enviará nada si Ud. no lo pidió y menos aún gratis.

La tercera noticia y sin dudas la más grave de todas es la existencia de una vulnerabilidad CRÍTICA en la forma en que Windows maneja los archivos .ANI, los cursores animados de Windows.

La gravedad de esta vulnerabilidad radica que con sólo ver una página web o leer correo electrónico (en cualquier navegador o en Outlook), la misma puede ser explotada y se puede ejecutar código dañino en el sistema del usuario (incluso virus).

Los archivos .ANI pueden también ser renombrados a otras extensiones de gráficos (JPG, GIF, PNG) para engañar al usuario.

Esta vulnerabilidad y las formas de explotación está ampliamente explicada en el sitio VSAntivirus.

Moraleja 3: ningun programa por más inocente que pueda parecer está exento de ser una vía de ataque. Lea la primera nota de este Boletín.

Por último, luego de mucho tiempo, Microsoft continua sin solucionar una vulnerabilidad de XSS en su popular servicio de correo electrónico Hotmail [1]. Actualmente existen exploits que permiten acceder a cuentas ajenas sin autenticación [1] pero parece que esto no es importante para Microsoft.

Como si esto fuera poco aún se encuentra sin solución la vulnerabilidad que permite la modificación de cualquier DNS sobre plataforma Windows.

Moraleja 4: no confiar información valiosa o confidencial a empresas que no piensan en sus clientes.


Más Información:

[1] Hotmail aún vulnerable (demo)
http://seguinfo.blogspot.com/2007/03/hotmail-vulnerable-demo.html
http://seguinfo.blogspot.com/2007/03/un-exploit-que-explota-un-fallo-de.html



4. Noticias de la Semana

Estas noticias pueden ser consultadas directamente desde nuestro sitio web.

Además puede realizar comentarios a cada noticia.

También pueden ser recibidas por correo una vez al día al suscribirse a nuestro blogger en nuestro sitio en la parte superior derecha donde se lee "Blog en tu Mail (mail diario)"

30 de marzo

29 de Marzo

28 de Marzo

27 de Marzo

26 de Marzo

25 de Marzo


5. Desafío de la semana


Solución al desafío del boletín anterior (83):

La hora actual es 2:12.
Siendo las 2:12 el horario esta una marca después del 2 y el minutero dos marcas después del 2. Doce minutos después el horario llega a la marca donde estuvo el minutero...

Respondieron correctamente:
[email protected], [email protected], [email protected], [email protected], [email protected], [email protected]

Desafío de esta semana:

Un clásico:
Un pastor tiene que pasar un zorro, una cabra y un repollo de una a otra orilla de un río. Dispone de una barca en la que sólo caben él y una de las otras tres cosas. Si el zorro se queda solo con la cabra, se la come. Si la cabra se queda sola con el repollo, se lo come.

¿Cómo debe proceder el pastor?


Actualidad

Virus-Antivirus