USB Attacks

ADQUISICIÓN, DESARROLLO Y MANTENIMIENTO DE SISTEMAS DE INFORMACIÓN

Empieza el Lunes y empezaré la semana contando las últimas vulnerabilidades detectadas, y continuaré exponiendo algunas historias que me han llamado la atención referentes a temas de seguridad.

En primer lugar es de destacar el lanzamiento de Mozilla Firefox 14 donde se han corregido siete vulnerabilidades críticas, además de incorporar mejoras como la búsqueda mediante HTTPS utilizando el buscador de Google y la compatibilidad con tablets, además han sido lanzadas las actualizaciones de Oracle que corrigen 90 vulnerabilidades, mientras que otras vulnerabilidades encontradas han sido los cross-site scripting en los productos VPN SSL de Barracuda.

Todo el que esté inmerso en temas de seguridad conocerá que se está celebrando la Black Hat USA y las DEFCON 20 donde en breve podremos ver los vídeos de las demostraciones realizadas por grandes y reconocidos investigadores de la seguridad informática, así que todo el que esté por allí, siempre se le aconseja que no utilice dispositivos electrónicos no sea que se lleven un “regalito” para casa.

CONCIENCIACIÓN, FORMACIÓN Y CAPACITACIÓN EN SEGURIDAD DE LA INFORMACIÓN

Además también tengo que destacar la gran campaña de spam y phishing que se está realizando en estas fechas por motivo de los juegos olímpicos celebrados en Londres, donde hay que prestar especial atención a todos los correos que tengan enlaces o nos dirijan a páginas web que podrían estar infectadas, por tanto se recomienda visitar tan solo páginas confiables sobre los juegos olímpicos. Hablando de spam, es importante reflejar la importante labor llevada a cabo por Kaspersky Lab y Seculert donde han desarticulado una botnet llamada Madi iniciada por correos spam que tenían adjunto un documento en formato PowerPoint, esta botnet iba dirigida a Oriente Medio y más concretamente a personas que trabajan en proyectos de infraestructuras críticas iraníes e israelíes, instituciones financieras de Israel, estudiantes de ingeniería y varias agencias gubernamentales de Oriente Medio.

No quería dejar pasar este post sin escribir sobre ataques dirigidos que utilizan dispositivos USB, cada vez es más común utilizar una memoria USB para realizar un ataque, de tal modo que es tan sencillo como dejar el USB cercano al lugar de estacionamiento del empleado o cualquier otro lugar donde el empleado o ejecutivo pueda verlo, normalmente una persona cuando se encuentra una memoria USB lo primero que hace es enchufarlo en el equipo para ver exactamente qué tiene el juguetito que se ha encontrado, de esta manera el atacante se saltaría la seguridad perimetral de la organización y el equipo destino quedaría infectado. Este fue el inicio del ataque por el malware Stuxnet utilizado en el famoso sabotaje de los sensores que medían las centrífugas de la central nuclear Iraní, y esta vez se ha utilizado el mismo método de ataque contra una compañía holandesa, donde gracias a la concienciación en materia de seguridad de los empleados el ataque no ha tenido éxito, ya que un empleado dio la voz de alarma al Centro de Seguridad de la organización y rápidamente se analizó el malware que portaba la memoria USB, por tanto se denegó todos los acceso hacia los servidores donde los atacantes iban a guardar la información robada. Una vez más, vemos la importancia de que los empleados de las organizaciones están debidamente concienciados en materias de seguridad.

SEGURIDAD FÍSICA Y AMBIENTAL

Una noticia que me ha llamado la atención es la capacidad que ha tenido un consultor en seguridad de fabricar llaves de esposas utilizando impresoras 3D, esta hazaña ha sido demostrada en una conferencia donde imprimieron una llave y lograron abrir las esposas, así que mediante cámaras ubicadas estratégicamente se podría traducir las imágenes de las “cosas”, en este caso llaves, a formato 3D para luego imprimirlas, por tanto, intuyo que en un futuro en las políticas de seguridad de las organizaciones, no solo vamos a tener que cambiar las contraseñas cada cierto tiempo, sino también las cerraduras.

CUMPLIMIENTO

Por último, otra noticia interesante ha sido el caso de espionaje industrial a Samsung por parte de LG, donde Samsung acusa a ejecutivos y empleados de LG por robar información sobre sus pantalla OLED, en cambio LG insiste en que ellos no han robado información confidencial a Samsung, ya que sus pantallas de LED utilizan otra tecnología completamente diferente para fabricar sus pantallas. Una vez más, vemos la importancia de emplear herramientas contra la fuga de información, además de hacer firmar acuerdos de confidencialidad a los empleados para no tener pérdidas millonarias debido a una fuga de información por parte de un empleado descontento o posibles sobornos. Recientemente un estudio realizado por Iron Mountain confirma que el 51% de los europeos se llevan datos de la empresa a casa ya que la mayoría de los empleados consideran como suyos los datos de la empresa, además la mayoría de las empresas no ponen los medios necesarios para evitar este problema.

Saludos.