Listado de la categoría: Antivirus

Kaspersky Endpoint Security Cloud, nuevo licenciamiento

/en , /por

Kaspersky Lab, uno de los líderes mundiales a día de hoy en seguridad informática y protección para endpoint, que a día de hoy, opera en 200 países y tiene oficinas directas en más de 30 de ellos, con más de 4.000 especialistas enfocados específicamente a este tipo de tecnología avanzada, presenta un producto nuevo para ampliar su catálogo en las soluciones Kaspersky Endpoint Security Cloud.

Teniendo ya dos productos totalmente funcionales, Kaspersky Endpoint Security Cloud y Kaspersky Endpoint Security Cloud Plus, completa su portfolio con una tercera opción llamada Kaspersky Endpoint Security Cloud Pro:

  • Kaspersky Endpoint Security Cloud
  • Kaspersky Endpoint Security Cloud Plus
  • Kaspersky Endpoint Security Cloud Pro

Las tres soluciones tienen funcionalidades en un panel de control en la nube del fabricante, añadiendo funcionalidades de una a otra versión para completar las necesidades de cumplimiento de cada empresa.

La solución Cloud Plus, lleva estas funcionalidades añadidas:

  • Control de parches y vulnerabilidades de los dispositivos
  • Control de dispositivos USB
  • Control Web
  • Gestión de cifrado: disco, carpetas y archivos
  • Seguridad para usuarios de Microsoft Office 365 (correo exchange, OneDrive y Sharepoint).

La solución Cloud Pro, lleva estas funcionalidades añadidas:

  • Sistema EDR, análisis de IoC, respuesta automatizada, aislamiento con un solo clic.
  • Formación de CITO, enseña nociones básicas de investigación y enseña a utilizar herramientas y software de seguridad IT, además de capacitar a los profesionales IT con habilidades teóricas, prácticas y basadas en ejercicios que permiten recopilar datos sobre incidentes para el departamento de seguriad IT.
  • Borrado remoto del dispositivo si aún se encuentra en línea tras pérdida o imposibilidad de acceso físico al mismo.
  • Control de aplicaciones.

Los tres niveles de solución, pueden disponer de una consola multi-tenant para los distribuidores, que permiten a empresas como la nuestra, dedicadas al mantenimiento y soporte informático, agrupar en una sola consola avisos de seguridad de los equipos de los usuarios en tiempo real, ya sean bloqueos del antivirus o de malware, como avisos de problemas de seguridad del propio PC,  desactivación del cortafuegos, desactivación del antivirus e incluso actualizaciones críticas del sistemas operativo.

Las tres soluciones disponibles, nos permiten proteger cualquier tipo de dispositivo:

  • Estaciones de trabajo con Windows y Mac
  • Servidores de archivos Windows
  • Teléfonos móviles y tabletas iOS y Android
  • Protección de los servicios de comunicación y colaboración de Microsoft Office 365
  • Aprovechar las capacidades de EDR para combatir las amenazas evasivas

Y nos facilita la carga del modelo en las instalaciones:

  • Solución alojada y gestionada desde un navegador web
  • Siempre disponible en la nube de Kaspersky: cloud.kaspersky.com

En resumen, Kaspersky Endpoint Security Cloud ofrece una única solución para todas las necesidades de seguridad de TI de su empresa. Asegurando que su empresa funcione sin problemas mientras Kaspersky bloquea los posibles ransomwares, el malware, los ataques de día cero y otras amenazas emergentes.

Y sin olvidar, que Kaspersky Endpoint Security Cloud ofrece una adopción de la nube segura, con detección de TI en la sombra y protección para Microsoft Office 365. Y que su implementación y puesta en marcha son sencillas y fáciles, sin necesidad de establecer un servidor ni configurar políticas de seguridad, protegiendo a los usuarios desde el instante que acceden a Internet.

Además de que Kaspersky Endpoint Security Cloud es más seguro y gracias a él, invertirá menos tiempo en la administración de la seguridad de TI, lo que le proporcionará más tiempo para enfocarse en otras prioridades comerciales o productivas en su empresa.

Puede ver la ficha técnica de Kaspersky Endpoint Security Cloud pulsando en el el enlace de esta línea.

 

Artículos interesantes documentación:

Guía inicio rápido: https://support.kaspersky.com/Cloud/1.0/es-ES/169565.htm
Primeros pasos: https://support.kaspersky.com/Cloud/1.0/es-ES/138080.htm
Funciones clave: https://support.kaspersky.com/Cloud/1.0/es-ES/177858.htm

Avast vende estadísticas de sus usuarios

/en , , , , /por

Todos los antivirus gratuitos bajo sospecha

El antivirus AVAST, unos de los más conocidos y de mayor distribución en el mundo por sus versiones gratuitas, mediante una subsidiaria ha estado vendiendo información de navegación de sus millones de usuarios a redes de publicidad.

Al final, el viejo dicho informático, que si algo es gratis, el producto eres tu mismo, se vuelve a confirmar. Según información que ha salido publicada las últimas semanas en distintos medios especializados, la información ha sido ocultada o notificada de forma poco clara a sus más de 435 millones de usuarios en Internet. Se han vendido esos datos sin la autorización explícita del usuario.

Mediante una empresa subsidiaria llamada Jumpshot, Avast ha estado vendiendo la información de navegación de sus usuarios a distintas empresas relacionadas con el mundo de la publicidad en Internet, como son Google o Microsoft.

Gracias a una investigación de Motherboard y PCMag se ha descubierto esta impresionante brecha de confianza entre los usuarios del antivirus y la empresa, que se aprovechó de la necesidad para proteger los ordenadores de malware y virus para vender sus datos personales.

No ha sido hasta ser publicado en la prensa cuando el CEO de Avast, Ondrej Vlcek, ha decidido parar la recopilación y venta de datos personales, al mismo tiempo que cerrar por completo Jumpshot, según un comunicado de la empresa.

Como parte del cierre de Jumpshot cientos de sus empleados perderán sus puestos de trabajo, pero según el CEO que tomó posesión del cargo hace siete meses, «es lo correcto».

El problema ahora de Avast, también repercute a otros antivirus gratuitos como son AVG. Se está poniendo en la picota también las extensiones de Firefox y Chrome de ambas herramientas, y por privacidad se recomienda desactivarlas o eliminarlas de sus equipos:

  • Avast Online Security
  • AVG Online Security
  • Avast SafePrice
  • AVG SafePrice

En todos los casos se critica la recopilación de datos de navegación de los usuarios. Además la instalación de los mismos suele ser algo intrusiva a la hora de ejecutar la instalación principal. Prácticamente el software se instala y activa automáticamente sin dar muchas explicaciones al usuario.

Aunque todos lo hemos sospechado en algún momento, ahora queda confirmado la falta de rendimiento de algunos antivirus gratuitos comparados con motores de antivirus de pago. Esa exigencia de recursos en muchos casos, no estaba influyendo en la seguridad del equipo anfitrión, sino en la recopilación de estadísticas para ser vendidas al mejor postor.

¿ Qué datos de los usuarios se estaban enviando desde los antivirus gratuitos ?

Los datos que se estaban comprometiendo han sido al menos los siguientes:

  • URL completa de la página en la que se encuentra el usuario, incluida la parte de consulta y los datos de anclaje.
  • Fecha y hora de la acción.
  • Identificado único del usuario (UID),  generado por la extensión para el seguimiento.
  • Título de la página visitada.
  • URL de referencia.
  • cómo llegó a a una página (directa, mediante click, usando un marcador externo, ….)
  • Valor que indica si visitó una página anteriormente.
  • Su código de país.
  • Nombre y versión del navegador del usuario.
  • Nombre y versión del sistema operativo del usuario.

Con todos estos datos se puede recrear el comportamiento de navegación de los distintos usuarios:

  • Páginas más visitas.
  • Tiempo medio empleado para cada visita.
  • Número de pestañas abiertas a un mismo tiempo.
  • Qué sitios web visita a distintas horas.
  • Cuánto tiempo diario, semanal, mensual pasa leyendo o buscando contenido.

 

Protección contra virus ramsomware `WannaCry´

/en , , , , , , , , /por

Dados los niveles de alerta global relacionados con la infección en el día de hoy de muchos equipos con el virus o malware ransomware conocido como «wannacry«, informamos sobre las medidas de protección que conviene saber a los usuarios:

  • Los ordenadores más vulnerables son los que no tienen aplicados los últimos parches de Windows. Aquellos dispositivos con Windows 10 actualizado normalmente, ya están protegidos. 

Por ello aportamos la información de Kaspersky sobre que la actual actualización de su antivirus ya protege contra dicho ransomware:

  • Los productos y soluciones de Kaspersky Lab detectan y bloquean este ataque y no tenemos constancia de que haya clientes afectados.

Y también McAfee detecta con su heurística avanzada dicho ransomware, por lo que recordamos la importancia de configurar la sensibilidad heurística a Nivel MUY ALTO.

Insistimos nuevamente a los usuarios que:

[alert type=»notice» close=»true»]NO SE DEBE PULSAR sobre ficheros anexados a MAILS no solicitados, ni en enlaces ni en imágenes de los mismos. [/alert]

Leer más

Troyano bancario infectó Android desde Google AdSense

/en , , , , , /por

En los tiempos que corren la seguridad informática es un tema importante en todas las empresas. Normalmente siendo precavido y siguiente los protocolos de seguridad habituales, estamos a salvo de la mayoría de los ataques.

Pero hay veces, que aprovechando ciertas vulnerabilidades, tenemos que ser todavía más cautos. Estos últimos días, expertos informáticos han notificado de un malware camuflado en elementos que parecían legítimos en sitios web incluso de buena reputación.

Los atacantes tenían intención de robar información de tarjetas bancarias y datos personales, así como contactos e historial de llamadas y estaban explotando un bug en Google Chrome para Android. Es necesario pasar un parche de seguridad (actualización) para poder bloquear la vulnerabilidad de Google Chrome para Android, según informa Kaspersky Lab, en todos los dispositivos, tanto los infectados como los no infectados aún. 

Expertos en ciberseguridad de esta compañía han sido los que han dado la voz de alarma al descubrir una modificación del troyano bancario Svpeng escondido en AdSense, la plataforma publicitaria de Google. En solo dos meses, Svpeng fue detectado en los dispositivos Android de más de 320.000 usuarios, con un ratio de infección superior a las 37.000 nuevas infecciones diarias.

Ahora que se sabe cual es el problema y como combatirlo, los expertos de Kaspersky Lab han revelado más detalles de este ataque.

  • El primer caso de ataque Svpeng ocurrió a mediados del mes de julio en una cadena de noticias rusa. Durante el ciberataque, el troyano se descargaba por sí solo y de manera silenciosa en los dispositivos Android de los visitantes que accedían a este sitio web, aprovechando los elementos de la mayor plataforma publicitaria del mundo.
  • Según los analistas de Kaspersky Lab, todo comenzó con un anuncio infectado en Google AdSense. Este anuncio aparecía con normalidad en páginas web no infectadas y el troyano solo se descargaba si el usuario accedía a la página web a través del navegador Chrome en dispositivos Android.
  • También ataca otros navegadores, pero no es tan efectivo pues en otros llega a notificar la descarga insegura o al instalarse avisa del posible fallo de seguridad al ser una descarga insegura. Aún así si el usuario no es precavido es capaz de infectar desde otros navegadores.
  • El troyano Svpeng se hacía pasar por una importante actualización o una aplicación conocida con el fin de convencer al usuario para que aceptase la instalación. Una vez que el malware instalado, desaparece de la lista de aplicaciones instaladas. De esta manera, el malware era más difícil de detectar.
  • Después pide al usuario otorgarle derechos de administrador del dispositivo. Si el usuario acepta acaba de permitir el acceso a muchos de sus datos a los cibercriminales.
  • El método que los atacantes habían encontrado para eludir las medidas de seguridad de Google Chrome en Android ha sido la descarga del malware por partes, siendo así más difícil de localizar por antivirus esta actividad y, el poder omitir el aviso de seguridad del navegador. La eliminación de un sólo aviso y el reclamo de actualizar una aplicación importante o conocida como Whatsapp, Chrome, Instagram o similares, ha producido el desastre y valiéndose de ingeniería social extenderse rápidamente.
  • Además se configuró para que se activara cuando se iniciaba en dispositivos con pantalla táctil con Android y preferiblemente desde Chrome.

Normalmente, cuando el archivo APK se descarga en el dispositivo móvil a través de un enlace web externo, el navegador muestra una advertencia en la que se indica que se va a descargar un archivo potencialmente peligroso.

Svpeng principalmente ataca en países de habla rusa, sin embargo tiene el potencial de extenderse globalmente y se detectarán modificaciones y mutaciones en breve.

Debido a la naturaleza específica de la distribución de este malware, millones de páginas web de todo el mundo están en riesgo, con muchas de ellas usando la plataforma de anuncios AdSense.

Virus infecta cajeros automáticos España

/en , , , , , , /por

Localizan en España un virus que infecta cajeros automáticos de los bancos

Desde Karspesky Lab, especialista en antivirus y seguridad informática,  notifican que han descubierto nuevos virus que infectan cajeros automáticos en toda Europa, incluyendo como no a España entre ellos

Skimer fue uno de los primeros maliciosos, descubierto en el año 2009, desarrollado para atacar cajeros automáticos bancarios. Ahora en el año 2016, siete años más tarde, las organizaciones criminales cibernéticas están reutilizando una nueva versión más evolucionada del mismo software, que supone una amenaza mucho más grave tanto para los bancos como para sus clientes.

Este malware se ha extendido por una amplia geografía, incluyendo una docena de países por toda Europa, entre los que se encuentra España, según ha notificado Kaspersksy Lab.

Skimer inicia sus operaciones al obtener acceso al sistema operativo del cajero automático, ya sea a través del acceso físico o través de la red interna del banco.  Una vez ha logrado instalarse en el sistema, infecta el núcleo del cajero automático y los cibercriminales pasan a tener el control absoluto del mismo, que convierten en skimmers, con el fin de robar la información de las tarjetas de crédito utilizadas en el momento de cualquier transacción bancaria. Una vez han accedido a los datos de las tarjetas de crédito, estas organizaciones podrán reproducir o clonar dichas tarjetas de crédito, para su posterior uso, o bien vender los datos de las mismas a otras organizaciones con fines delictivos.

Finalmente el mismos malware será capaz pasado un tiempo, de eliminarse completamente del cajero automático, para evitar la detección posterior de la infección y no dejar rastro de la actividad maliciosa, siendo en muchos casos no detectable pasado algún tiempo.

Una vez que la infección del cajero automático está infectado con Backdoor.Win32.Skimer, los ciberdelincuentes pueden llegar a retirar todos los fondos del cajero automático o pueden robar todos los datos de las tarjetas de crédito utilizadas, aunque existe una gran diferencia de procedimientos según las variantes del virus.

Asimismo nos informan que la retirada de dinero de los cajeros de forma fraudulenta se detectaría rápidamente, mientras que un malware que roba los datos de las tarjetas de crédito, puede estar activo por un periodo muy largo de tiempo y si además el uso de dichos datos no es inmediato, el malware podrá operar en cada cajero automático infectado durante varios meses sin realizar ninguna actividad aparente.

Desde Kaspersky Lab también han informado, que para activar dicho virus, es necesario que un cibercriminal inserte una tarjeta concreta con ciertos datos en su banda magnética.  Después de leer los registros, Skimer podrá ejecutar una serie de comandos codificados, o incluso puede ejecutar distintos comandos a través de un menú especial una vez activado. La interfaz gráfica del malware aparecerá en la pantalla cuando se expulsa la tarjeta y el cibercriminal podrá introducir con el teclado numérico una clave secreta en menos de 60 segundos. Desde este menú, el cibercriminal puede activar hasta 21 comandos diferentes, como el de dispensar dinero del cajero automático,  recoger los datos de las tarjetas insertadas, auto-borrado del malware, actualización del malware a otras versiones mejoradas, etc…

En la mayoría de los casos, los ciberdelincuentes elegirán la opción de  recoger los datos de las tarjetas de crédito exclusivamente, con el fin de crear copias de las mismas después o vender los datos a otras organizaciones. Las copias podrán ser utilizadas en cajeros no infectados o para compras online, de esta manera aseguran que los cajeros automáticos infectados no sean descubiertos a corto plazo.

AMPLIA DISTRIBUCIÓN GEOGRÁFICA DE VIRUS INFORMÁTICO.

Skimer se propagó mucho entre los años 2010 al 2013, periodo en el que hubo una aumento drástico del número de ciberataques que tuvieron como objetivos los cajeros automáticos. Con un máximo de nueve ramas o familias distintas del malware, se han convertido algunas de ellas en las versiones más extendidas. Ahora mismo se han identificado hasta 48 modificaciones o variantes distintas de este malware y 37 de ellas van dirigidas exclusivamente a cajeros automáticos de los bancos.  La versión mas reciente ha sido descrita y descubierta durante el mes de abril del 2016.

Utilizando muestras de VirusTotal, Kaspersky Lab ha comprobado que existe una amplia distribución geográfica en los cajeros automáticos infectados, reportando que las últimas 20 muestras de la familia Skimer están infectando equipos de más de 15 ubicaciones distintas en todo el mundo:

  • Alemania
  • Brasil
  • España
  • China
  • Estados Unidos
  • Francia
  • Filipinas
  • Georgia
  • Italia
  • Polonia
  • Portugal
  • Macao
  • República Checa
  • Rusia

Y esto es lo que conocen hasta ahora, pero la lógica indica que pueden estar infectando muchas más entidades bancarias de las que sospechamos.

 

COMO PROTEGERSE DE LOS VIRUS Y MALWARE

Para evitar esta amenaza y cualquier tipo de virus o malware, tanto desde Ibérica Multimedia como desde  Kaspersky Lab recomiendan hacer análisis profundos y regulares de los sistemas informáticos con software especializado, usar herramientas que usen tecnologías de listas blancas y una buena política de gestión de dispositivos informáticos, dentro de un mantenimiento preventivo y predictivo de los mismos.

QuickTime ha muerto para Windows

/en , , , , , , , , , , , /por

Desde principios de este año 2016, tanto reproductor como la extensión para web QuickTime de Apple para Windows, han dejado de ser actualizas por dicha compañía, no siendo notificado de forma fehaciente a toda la comunidad de usuarios.

La firma de seguridad TrendMicro ha descubierto y notificado de al menos dos vulnerabilidades a día de hoy desde que dejaron de ser actualizados dichos productos, por lo que informa a la comunidad de usuarios para desinstalar el reproductor de manera urgente.

Las vulnerabilidades en cuestión permiten que un atacante remoto pueda ejecutar código arbitrario cuando el usuario visite una pagina maliciosa o abra un archivo malicioso y pueden no ser detectados por la mayoría de los antivirus.

En su nota sobre QuickTime, APPLE dice que aún no han detectado ataques que se aprovechen de los agujeros de seguridad existentes en las versiones de este software para Windows, e invitan a sus usuarios a seguir los pasos dados por Apple para desinstalar su programa.

El Departamento de Seguridad Nacional de los EE.UU, quien de forma poco habitual ha hecho eco de la noticia de Trend Micro, ha puesto a Apple en una situación incómoda de cara los usuarios que está siendo cuestionada por no comunicar de forma más fehaciente a los usuarios, los riesgos de seguridad de su propia aplicación y el significado real del abandono de actualizaciones para sistemas Windows.

Dentro de las tareas habituales de mantenimiento informático, debemos mantener las últimas versiones de todas las aplicaciones de nuestros PCs, así como eliminar las aplicaciones y extensiones de dudas utilidad o que ya no se usen.

PETYA, nuevo virus que secuestra arranque de nuestros PCs

/en , , , , , , , /por

Nueva variante de VIRUS ransomware o variante del conocido CRYPTOLOCKER que modifica nuestro sector de arranque del disco duro, e incluye la nota de rescate de los datos del usuario antes de de iniciarse el sistema operativo.

Esta es la nueva variación del VIRUS CRYPO-LOCKER-RANSOMWARE identificado como PETYA por los laboratorios de Trend Micro. Este malware tiene la posibilidad de sobreescribir el registro de arranque de nuestros discos duros (MBA) con el fin de bloquear rápidamente el acceso a los datos de cada usuario,  y viene camuflado en muchos casos dentro de un servicio de almacenamiento en la nube legítimo, como DROPBOX.

PETYA es recibido por las víctimas mediante un mensaje de correo (como la mayoría de las variantes conocidas), personalizado con su nombre que le invita a leer una aparente carta del banco, una factura o incluso un curriculum vitae de un aspirante a un puesto de trabajo en al empresa. Se presentará al confiado usuario un hipervínculo a un lugar de almacenamiento DROPBOX o incluso DRIVE (por lo que no es detectado por los antivirus en el mensaje).

En una de las muestras analizadas por los laboratorios de Trend Micro, una vez pulsado el enlace se baja un ejecutable de extracción automática, que después desencadena la descarga de un troyano en el sistema.  Una de las primeras maniobras de dicho troyano es desactivar todos los antivirus conocidos antes de descargar y ejecutar el ramsoware PETYA.

Si llegamos a ejecutar dicho ramsoware, PETYA tomará el control de nuestro disco duro y veremos un pantallazo azul de error de nuestros sistemas Windows y aún reiniciando el equipo, ya tendremos los ficheros cifrados y una petición de pago en bitcoins para recuperar el acceso a nuestros archivos.

Fuente: http://blog.trendmicro.com/trendlabs-security-intelligence/petya-crypto-ransomware-overwrites-mbr-lock-users-computers/

 

 

Cryptolocker virus del año 2015 y 2016 en España

/en , , , , , , , , /por

El el cuarto trimestre del año 2013 comenzaron en España a aparecer los primeros ataques de lo que se iba a convertir, en uno de los negocios más lucrativos de la ciberdelincuencia. Ya en ese último trimestre del 2013 observamos distintas infecciones en nuestros clientes de mantenimiento informático, que venían camufladas en aún malos intentos para sustituir correos legítimos del servicio de CORREOS o de HACIENDA. Los clientes sin embargo en algunas ocasiones los confundieron como legítimos al estar personalizados con el nombre del destinatario o de la empresa.

Cryptolocker se convierte a partir de ahí en un quebradero de cabeza para gestores de copias de respaldo y mantenimiento de sistemas, incluso en clientes institucionales. Este virus está catalogado dentro de la familia de los virus ransomware, pero al convertirse en el más popular por número de infecciones en algunos países, se ha terminado usando su nombre común para englobar todas las amenazas de este tipo o de dicha familia de virus.

El funcionamiento básico es siempre similar, sin apenas variaciones a nivel de concepto:

  • cifrar documentos
  • pedir rescate para poder recuperar dichos ficheros.

En la mayoría de los casos las campañas de infección van personalizadas por países por cuestiones de idiomas y usos lingüísticos, pero incluso hay versiones que han evolucionado para geolocalizar la dirección IP de la víctima infectada y mostrar así las instrucciones de pago en el idioma del país que corresponde. Otras versiones lo muestran en el idioma del navegador pues se vinculan con el para mandar la clave de cifrado a un servidor externo o bien por medio de una web o bien por medio de un servidor intermedio.

Los pagos se piden normalmente en Bitcoin, Euros y Dólares.  y El contacto con los delincuentes se tiene que realizar a través de la red TOR en algunos casos, para impedir que las fuerzas del orden puedan rastrearles. En otros una simple cuenta de GMAIL o de un servidor gratuito vale para contactarles. Normalmente como son campañas puntuales, pasados 15 días de la infección si no se ha realizado el pago ya dejan de contestar desde dichos buzones de correo y la recuperación resulta imposible. Así evitan rastreos por las autoridades que normalmente se demoran más en comenzar a rastrear a los cyberdelincuentes.

A lo largo del año 2014 se fueron popularizando dichos ataques, tanto con usuarios domésticos como con usuarios de empresas e incluso ciertas instituciones públicas. En muchos casos los cyberdelincuentes no eran conscientes de la magnitud de las infecciones realizadas.

En algunos casos, los 500/600 € de media que pedían para el rescate de los datos, se convirtió en varios miles de euros cuando son conscientes de la gravedad de la infección.

Durante este año 2015 hemos visto como han mejorado los ataques para tratar de saltarse todas las defensas pasivas de nuestros ordenadores:

  • Cambian la firma del antivirus para que no seas detectado por la mayoría de los antivirus conocidos comerciales o gratuitos.
  • Ya no cometen fallos a la hora de cifrar los ficheros y comienzan tanto en las unidades locales como luego en las unidades de red.
  • Aparecieron nuevas mutaciones del virus, pues al ser un negocio tan rentable, los grupos que delinquen se han especializado mucho.
  • Los pagos son cada vez menos rastreables, incluso con métodos de pago por WESTERN UNION, Bitcoin, etc… para evitar todo posible rastreo del dinero.
  • Han expandido el uso masivo de correos infectados,  pero también han innovado para comprar en el mercado de la cyberdelincuencia algunas vulnerabilidades aún no conocidas de sistemas operativos y poder explotarlas.
  • Están innovando en los nuevos sistemas operativos con «scrips» tanto en la «powershell» que viene por defecto en sistemas operativos de Microsoft como en versiones de Mac que han empezado a normalizar como objetivos de sus ataques dada su implantación actual.
  • Están comenzando a migrar también su expansión a tabletas digitales, teléfonos móviles inteligentes y otros dispositivos. Aunque su gran mercado será siempre el PC y SERVIDORES de empresa por el valor que tienen sus ficheros almacenados si no hay copia de respaldo o logran cifrarla.

Por todos estos motivos, desde IbéricaMultimedia nombramos a este virus, el más nocivo de todo el 2015 y lo será del 2016 en cuanto a destrucción y peligrosidad.

Cómo Protegernos de Cryptolocker

De cara a protegernos, debemos recordar que Cryptolocker tiene necesidades diferentes a las del malware habitual, pues no necesita ni autoreplicarse ni intentar reinfectar otros dispositivos, e incluso una vez cifrados los documentos puede llegar a borrarse a si mismo del sistema, dejando sólo unos ficheros HTML indicando como contactar con el cyberdelincuente.

Es por eso que tampoco les importa que los antivirus les detecten una vez se ha lanzado el ataque. Si es posible lanzar una rutina de cifrado cuando lanzan el ataque, aunque sean detectados minutos más tarde u horas, puede sea demasiado tarde. Con servidores de alto rendimiento hemos visto cientos de gigas cifrados en menos de 15 minutos (lo que tardó el usuario en contactar con nosotros remotamente).

Los métodos de detección por firma heurística no son en la mayoría de estos casos efectivas, ya que antes de lanzar un ataque masivo probarán que dichas tecnologías no detectan la nueva versión, y dicha versión puede ser cambiada incluso varias veces en una hora para evitar dichos muestreos.

Por lo tanto en algunos casos, una buena planificación del sistema de copias de seguridad o de respaldo, será la única vía para recuperar todos los datos y conseguir minimizar el ataque lo más posible. Existen también herramientas de monitorización avanzada de ejecución en los equipos clientes, pero pueden penalizar el rendimiento de dichos equipos y la experiencia del usuario.

De momento en las versiones que conocemos cifran las extensiones más comunes de ficheros que creen valiosos para el usuario. En los últimos casos hemos visto incluso como mueven los ficheros pesados a otra ubicación para seguir cifrando lo más rápido posible la mayor cantidad de ficheros. Si la tarea no es cancelada a tiempo cifrará finalmente todos los ficheros incluso los pesados que haya movido.

Desde IbéricaMultimedia y para minimizar en la medida de lo posible la pérdida de datos, tanto para clientes de MANTENIMIENTO INFORMÁTICO como para clientes particulares, hemos puesto en marcha un servicio que hace copia de respaldo en la nube mediante un agente de copia, que por un coste ínfimo de 4 euros al mes, nos permitirá tener hasta 30 versiones de nuestros ficheros online.

Este servicio es multiplataforma, funciona en dispositivos Windows y dispositivos MAC, e incluso podemos agrupar en una misma cuenta varios dispositivos de un mismo usuario.

Spamina renueva su línea de soluciones cloud

/en , , /por

El fabricante presentó una nueva versión de sus soluciones Cloud Email Firewall que incluye nuevas funcionalidades como la ampliación del ámbito de actuación del motor de reglas que sirve para aumentar el flujo de mensajes salientes de los usuarios del sistema, controlando los correos enviados por los usuarios y aplicándoles las políticas definidas por la empresa. Además, entre las mejoras se destaca la reingeniería del notificador.

Spamina ha presentado la nueva versión de sus soluciones Cloud Email Firewall (Email Service Firewall y Email Firewall) que incluye nuevas funcionalidades que las hacen aún más versátiles y útiles para usuarios y administradores. Entre las novedades incluidas en la nueva versión 3.3.1-1 destacan utilidades como la ampliación del ámbito de actuación del motor de reglas y la reingeniería del notificador.

El motor de reglas de Spamina Cloud Email Firewall ha sido ampliado para permitir administrar el flujo de mensajes salientes de los usuarios del sistema, controlando los correos enviados por los usuarios y aplicándoles las políticas definidas por la empresa.

Tanto para el filtrado del correo entrante como del saliente, se ha dotado al motor de reglas de la posibilidad de aplicar acciones en función de los valores presentes en el campo «CC» y del número de destinatarios de los correos.

Respecto al nuevo notificador, ha sido desarrollado con el objetivo de garantizar la compatibilidad con las plataformas PC (Windows, Mac y Linux) con procesadores de 32 y 64 bits. Entre sus nuevas funcionalidades, permite conexiones a proxys con autentificación, ofrece la posibilidad de realizar conexiones al servidor mediante el protocolo HTTPS, así como iniciar múltiples sesiones con distintas cuentas de forma concurrente.

Linux y Windows: unidos por el Autorun

/en , , , , , , , , /por

El archivo autorun.inf está alojado en la carpeta raíz de los dispositivos extraíbles, y es uno de los vectores de ataque más utilizados por los creadores de malware, para propagar sus amenazas por estos medios. Pero esto no es un problema sólo de Windows.

En el blog del laboratorio de Eset, el Especialista de Awareness & Research Pablo Ramos advierte que las últimas versiones de Linux, por cambios debidos a usabilidad, permiten la ejecución automática de archivos al conectar dispositivos extraíbles. Aquí transcribimos su artículo.

A quienes suelan leer el Ranking propagación de amenazas de ESET Latinoamérica, conocerán que la familia de códigos maliciosos denominada INF/Autorun lidera, ocupando las primeras posiciones, desde hace tiempo. Esto se debe principalmente a la gran cantidad de dispositivos extraíbles que se encuentran infectados, sin que los usuarios sean conscientes de ello.

En las actualizaciones publicadas por Microsoft este último martes, se encuentra disponible un nuevo parche que deshabilita esta función. Dicho fix ha sido liberado disponible para las todas las versiones del sistema operativo de Microsoft anteriores a Windows 7, sistema que ya no cuenta con esta metodología.

A partir de la publicación de esta actualización todos aquellos usuarios que mantengan sus sistemas operativos con las actualizaciones al día, no se encontrarán expuestos a las amenazas que hacen uso de este archivo. Esta debería ser una gran noticia para los usuarios, y Microsoft ha realizado (finalmente) lo que la comunidad de la seguridad le ha solicitado durante años.

Por este motivo, remarcamos una vez más la importancia de realizar de manera periódica la instalación las actualizaciones publicadas, ya sean de la plataforma utilizada o las aplicaciones de terceros instaladas en ella. Más allá de los sistemas que sean actualizados y se encuentren protegidos, hay que remarcar que una gran cantidad de usuarios no cuentan con software licenciado y no podrán efectuar la instalación del mismo.

Esto conlleva a que por más que se encuentre disponible el parche de seguridad, muchos equipos continúan siendo vulnerables a este vector de ataque, de manera similar a a lo que ocurrió con Conficker, el conocido gusano que se propaga desde hace un par de años y todavía continúa infectando sistemas. A más de dos años de la publicación del parche de seguridad que impide la propagación de este gusano todavía se siguen detectando infecciones de Conficker, lo que confirma que muchos usuarios cuentan todavía con su sistema desactualizado o no pueden instalar los parches debido a que no cuentan con software licenciado.

Más allá de la buena noticia, vale destacar que este vector de ataque no va a desaparecer, por los motivos ya expuestos (no todos los usuarios corregirán esta funcionalidad) y, por otro lado, porque a pesar de que muchos creen que este método que solo podía ser utilizado en sistemas Windows, esto no es así.

Algunas versiones de escritorio del sistema operativo GNU/Linux cuentan con funcionalidades similares que podrían derivar en la infección del sistema. Tal vector de ataque ha sido expuesto por Jon Larimer, investigador que demostró en la Shmoocon cómo se puede explotar el Autorun en sistemas Linux, por lo que ya no es solo el sistema operativo de Microsoft el que puede verse afectado por este vector de ataque. Según Larimer, las últimas versiones de Linux, a partir de cambios por su usabilidad, permiten la ejecución automática de archivos al conectar dispositivos extraíbles.

Vale destacar, de todas formas, que se trata de una prueba de concepto (demostración de que esto es posible), pero aún no se han observado ataques In-the-Wild explotando esta funcionalidad, aunque no es posible descartarlo para un futuro. Para los que entiendan inglés, aquí les dejo la charla completa con la demostración incluida:

[embedvideo type=»youtube» id=»ovfYBa1EHm4″]

en conclusión, una vez descubierto un vector de ataque, los desarrolladores de códigos maliciosos lo utilizan para la propagación de malware.

Es por ello que se remarca tanto la importancia de contar con una solución antivirus con capacidad de detección proactiva como así también la concientización del usuario en los que respecta a materia de seguridad.

Los troyanos, los números uno en ataques informáticos

/en , , /por

El mes de febrero trae buenas noticias. Y es que, según datos recogidos de usuarios que utilizan Panda ActiveScan, el antivirus on-line de Panda Security, sólo el 39% de los ordenadores analizados en el mes de febrero estaban infectados.

Un dato muy positivo teniendo en cuenta que enero contó con un 50% de infecciones informáticas.

El estudio también refleja que los troyanos siguen siendo la categoría de infecciones predominante con un 61%, seguido de los virus tradicionales (en un 11,25%) y por los gusanos con casi un 9%.

En cuanto a las familias de malware que, durante febrero, han infectado a los ordenadores, no se aprocian mucho cambios respecto al mes de enero.

En el caso de ejemplares específicos, como el troyano CI.A, Downloader.MDW o Lineage.KDB no sólo siguen infectando, sino que además sus tasas son prácticamente iguales. Los países con mayor porcentaje de infecciones tampoco han cambiado mucho.

En la cabeza está China seguida de Ucrania, Tailandia y Taiwan con ratios de infeccion por encima del 50%. Italia, Estaos Unidos y Francia, se sitúan con ratios por debajo del 40% aunque suben posiciones en el ranking. En la cola Bégica, Lituania y Australia con poco más del 30%.

Spam, menor pero mucho más peligroso en 2010

/en , , , /por

El spam, menor pero mucho más peligroso en 2010.

El Informe Anual sobre el spam en 2010 de Kaspersky Lab ya ha visto la luz. La noticia buena es que en 2010 se observó una caída del porcentaje de Spam en el tráfico de correo. La mala, que se ha vuelto mucho más peligroso.

Además, en un año la cantidad de adjuntos maliciosos en los mensajes de correo se ha multiplicado por un coeficiente de 2,6. Si analizamos el punto más álgido de los ataques nos tenemos que trasladar a agosto donde los mensajes con adjuntos maliciosos supusieron el 6,29% del tráfico del correo.

A finales de año cambió el vector de ataque de los distribuidores de Spam malicioso: entre los destinatarios de mensajes maliciosos empezó a haber muchos más habitantes de países en desarrollo seguramente debido a la intención de los ciberdelincuentes de expandir sus botnets a los equipos de aquellos países donde los órganos de seguridad del estado todavía no le prestan suficiente atención a la lucha contra la delincuencia informática.

Por su parte, la cantidad de mensajes phishing en el correo en 2010 constituyó el 0,35%, un 0,51% menos que el año pasado. Aunque la cantidad de mensajes phising fue baja (0,02%), los líderes TOP 10 de las organizaciones más atacadas por los phishers (PayPal y eBay) han conservado sus posiciones.

En 2011 se espera la continuación de ataques complejos que unirán las tecnologías de los phishers, spammers y la ingeniería social. Además, se prevé que continuarán los envíos masivos de spam malicioso: los spammers tienen que recuperar las botnets perdidas.

En el informe de Kaspersky se concluye que la lucha contra el spam se debe efectuar en varios niveles al mismo tiempo: legal, jurídico, tecnológico y educativo. Y 2010 ha demostrado que esta lucha puede tener éxito.