El próximo viernes 1 de febrero (el “DNS Flag Day”) cambia parte de la implementación del software de servidores DNS en todo el mundo y algunos dominios podrían dejar de funcionar.
Los componentes que cambiarán son algunas configuraciones y parches poco ortodoxos que vienen siendo instalados desde hace casi 30 años.
¿Porqué se instituyó el DNS Flag day?
Los detalles se encuentran descriptos en el sitio DNS flag day. Tal como allí se explica, el sistema para resolver nombres en Internet se ha vuelto innecesariamente lento. Esto se debe a implementaciones de algunos servidores que no cumplen con el protocolo EDNS (Extension Mechanisms for DNS). Si bien este protocolo fue creado a principio de los ’90, nunca se logró implementar completamente. Algunas de estas configuraciones corresponden al uso de balanceadores de carga o firewalls configurados de forma incompleta o incorrecta.
Esto hizo que el sistema global de DNS se haya vuelto lento y que deje la posibilidad de que se generen fácilmente algunos tipos de ataques de Denegación de Servicios (DoS). La comunidad y un conjunto de las principales empresas de tecnología decidieron poner un punto final a esta situación. Y le pusieron fecha.
¿Qué pasará ese día?
El 1 de febrero de 2019 todas estas configuraciones y parches que mencionamos anteriormente dejarán de funcionar. Esto significa que todos los servidores DNS que estén mal configurados podrán, desde funcionar mucho más lento, hasta directamente dejar de resolver algunos nombres de dominio.
Por otro lado, el uso completo de EDNS agrega funcionalidad nueva que incluye mecanismos de protección contra algunos tipos de DoS que no podía ser utilizada hasta ahora.
¿Qué tenemos que hacer?
Si tenemos registrados dominios de Internet, debemos verificar si los servidores que resuelven esos nombres de dominio cumplen con el estándar o si se verán afectados y en qué medida. Para ello debemos ingresar a:
Si estas herramientas automáticas detectan errores en las configuraciones, mostrarán los pasos a seguir o cambios a realizar para solucionarlos. Es importante realizar estas verificaciones y, de ser necesario, los cambios antes del 1 de febrero próximo.
De esta forma, y casi 30 años después, lograremos entre todos, poner el DNS en orden…
Nota por Carlos Benitez
Carlos Benitez es un reconocido experto en seguridad de la información.
Un exitoso ataque a la blockchain de Ethereum Classic (ETC) pone un llamado de atención sobre la ciberseguridad en estas tecnologías.
El ataque fue del tipo (mal llamado) 51% en el que la potencia de cálculo para validar transacciones es tal, que se pueden reescribir bloques anteriores falsificando transacciones ya validadas.
La noticia fue dada a conocer por el personal de seguridad de Coinbase el lunes pasado. Mientras monitoreaba las actividades de la blockchain, uno de los responsables de ciberseguridad descubrió transacciones de “doble gasto” por 219.500 ETC, unos 1,1 millones de dólares.
El ataque se efectuó sobre varios sitios de intercambio de criptomonedas. Comenzó en Binance y luego siguió con Bitrue sobre la moneda Ethereum Classic, una derivación de la original Ethereum. Ambas criptomonedas se utilizan para administrar contratos inteligentes y la principal diferencia entre ambas es filosófica.
El día de ayer, la empresa Slow Mist dedicada a la ciberseguridad del ecosistema de las criptomonedas, publicó un informe. En el mismo se detalla en forma precisa el ataque que tuvo lugar entre domingo y lunes pasados.
Si bien, a pesar del ataque, el valor del ETC no varió sustancialmente, el ataque del 51% que hasta ahora se consideraba teórico es real y, por lo visto, bastante fácil de realizar. A pesar de esto, el ataque fue detectado y las billeteras virtuales involucradas fueron suspendidas. Esta reacción de los cripto mercados fue muy diferente al mismo ataque sufrido por Zencash a mediados de 2018. En este caso, los dueños del proyecto tuvieron que cerrarlo. De hecho, por la falta de confianza, hoy el proyecto se reabrió, pero con otro nombre: Horizen.
¿Qué es el ataque del 51%?
Como se mencionó anteriormente, el nombre dado al ataque es incorrecto, pero más fácil de mencionarlo de esa forma. El concepto, indicado por el mismo Nakamoto en su paper, es: “El sistema es seguro siempre y cuando los nodos honestos controlen colectivamente más potencia de CPU que cualquier grupo de nodos atacantes que cooperen“.
Esto significa que como la blockchain confía en la información que posee la mayoría de los nodos, la única forma de engañar el sistema es que el atacante posea mayor cantidad de nodos que la blockchain honesta. Estrictamente, eso significa que para que un ataque sea exitoso, deberían existir el 50% más un nodo en poder del atacante. Y para ser más estricto y preciso aún, la potencia de CPU que se utiliza para validar las transacciones, debe ser mayor al 50% de la potencia total empleada en la blockchain. Eso puede ser el 51%, o bien el 50,1%, o bien el 50,000000001%. Dada la complejidad del concepto, al ataque se lo llama, simplemente “el 51%“.
¿Qué es el doble gasto?
Este tipo de fraude es intrínseco a las monedas digitales. Implica que si se posee una cantidad de dinero digital en una billetera digital, y parte de este dinero se tranfiere a otra para, por ejemplo un pago, se pueda copiar la misma transacción enviándola a otra billetera digital. De esta forma se logra duplicar el monto original. La blockchain evita este tipo de problemas debido a que cada transacción es almacenada y debidamente validada en la blockchain. Además, una vez efectuada, no es posible revertirla o modificarla. La validez de esa transacción está dada porque existe una masa crítica de nodos “honestos” que la validan. Es aqui donde entra a jugar el ataque del 51%, único caso en el que se puede romper dicha validación y producir el fraude.
¿Qué se puede esperar?
Es verdaderamente muy pronto para decirlo. El auge de las criptomonedas en los últimos años hizo que surgieran más de 1600 criptomonedas además del bitcoin. Con ellas surgieron cientos de servicios y negocios asociados. El hecho de que se haya podido efectuar un ataque hasta ahora teórico a la blockchain, significa que los diferentes actores intervinientes en esta actividad tan revolucionaria, compleja y frenética, tengan que pensar seriamente en los mecanismos de ciberseguridad a agregar a la propia blockchain.
Estimo que simplemente estamos en un momento de acomodamiento. Por lo tanto, decir que la blockchain va a morir por estos ataques exitosos, es tan descabellado como decir que toda la economia mundial se va a basar en un futuro solamente en criptomonedas. Simplemente es un llamado de atención.
ULTIMA NOTICIA
Hablando de la volatilidad y del acomodamiento; estaba terminando de escribir esta nota, cuando me entero de la terrible baja que sufrieron muchas de las principales criptomonedas el día de hoy entre las 03:30 y las 03:40 de la mañana (hora argentina):
Las cotizaciones de muchas de las principales criptomonedas, se han derrumbado. Las caidas rondan el 12% en promedio. Lo que llama la atención no es el porcentaje sino la simultaneidad. Una posbile explicación puede tener que ver con el proyecto bakkt, un sistema de criptomonedas regulado surgido en Wall Street. Los responsables vienen postergando su lanzamiento por diversos motivos. Inicialmente iba a ser el 12 de diciembre de 2018. Luego anunciaron que lo postergaban al 24 de enero de 2019. Pero anoche se corrió un rumor que segurmente impactó en los criptomercados: anunciaron que por el Shutdown del gobierno de EE.UU., el lanzamiento se posterga indefinidamente sin fecha cierta.
Como dije anteriormente, es una época de acomodamientos. No tiene demasiado sentido hablar de absolutos en este mundo que a la terrible complejidad de la criptografía de bloques, ahora le agrega la volatilidad de los mercados mundiales. Una volatilidad que va a permanecer seguramente por muchos años.
Nota por Carlos Benitez
con la colaboración de Fabrice Dubois
Carlos Benitez es un reconocido experto en seguridad de la información.
El grupo de hackers The Dark Overlord amenaza con publicar alrededor de 18.000 documentos, que declaran que tienen en su poder, supuestamente relacionados con los atentados del 11S.
Según el grupo, la información fue robada de un estudio de abogados cuyos sistemas fueron comprometidos.
El grupo que se hizo conocido hace 3 años cuando publicó en la dark web información confidencial de salud de miles de pacientes, robada de varios centros médicos de EE.UU., y obligando a los usuarios a pagar para eliminar dicha información de la red. Poco tiempo después el grupo filtró una temporada completa de “Orange is the new black” de Netflix previo a su estreno.
En esta oportunidad, el grupo alega que se introdujo en los sistemas de un estudio de abogados que trabajó con litigios relacionados con los ataques a las Torres Gemelas, aunque también nombra de manera confusa a varias compañías de seguros. Una de dichas compañias, el Grupo Hiscox, indicó que los hackers violaron los sistemas de un bufete de abogados que los asesoró en estos casos, y que probablemente robaron archivos relacionados con litigios sobre los ataques del 11 de septiembre. También indicó que los sistemas de la firma de abogados no están conectados a la infraestructura de TI de Hiscox y que los sistemas propios de Hiscox no se vieron afectados por el incidente.
Tal como en las otras ocasiones, el grupo pide un rescate para que la información no sea revelada. Una de las cosas que llaman la atención, es la suma de dinero que solicitan por entregar toda la información… sólamente 2 millones de dólares.
De no recibir ese pago, en bitcoins, amenazan con publicar información que, según dicen, tendrá consecuencias devastadoras para las autoridades de EEUU. A este respecto, y para hacer el caso más extraño y sorprendente, en el tuit donde anuncian la filtración, indican que a través de esa información robada, se darán “… muchas respuestas sobre conspiraciones relacionadas con el 11S…”. De más está decir que la cuenta de Twitter, @tdo_h4ck3rs, fue suspendida inmediatamente.
Si bien los posts fueron eliminados de casi todos los sitios, como thedarkoverlord publicó en Steemit, donde todo lo publicado queda guardado en una blockchain, aquí se puede ver el contenido de dichos posts.
Si bien publicaron a modo de ejemplo unos 500 documentos que parecen estar relacionados con litigos por el 11S, no se sabe realmente cuánta más información poseen. Como sea, y por lo que ya fue publicado, otra vez se muestra la falta de controles y medidas de seguridad de las empresas. Y en este caso con el agravante de lo extremadamente sensible de la información que no fue debidamente protegida.
Nota por Carlos Benitez
Carlos Benitez es un reconocido experto en seguridad de la información.
Una misteriosa interrupción del servicio de 911 de EE.UU., ocurrió al finalizar el año.
La empresa CenturyLink es uno de los mayores proveedores de Internet del país. La misma empresa se autodenomina “el segundo proveedor de comunicaciones más grande de EE.UU. para clientes empresariales globales”. Su crecimiento en los Estados del oeste fue impulsado por fusiones como la adquisición de QWest en 2011 y, en noviembre de 2017 la compra de la bien conocida por nosotros, Level-3 Communications. En este último caso, el acuerdo fue estimado en aproximadamente 34.000 millones de dólares.
Uno de los servicios que brinda CenturyLink, es la comunicación a nivel país del servicio de emergencias 911.
La interrupción masiva de los servicios se inició el pasado jueves 27 de diciembre, y como puede verse en el gráfico del sitio Downdetector se generó un pico de casi 4000 reportes da caida del servicio cerca de las 2:00 de la tarde.
Por otro lado, en el siguiente mapa también de Downdetector, se puede ver que la interrupción afectó mayormente la costa oeste de EE.UU.
Además de la interrupción de los servicios 911, el apagón de CenturyLink también causó caidas de los servicios de red de Verizon en al menos dos Estados, Nuevo México y Montana. Algunos cajeros automáticos en Montana e Idaho tampoco funcionaron, y en el North Colorado Medical Center en Greeley, Colorado, los médicos y enfermeras durante un período tuvieron dificultades para acceder a los registros de los pacientes.
Dado que no se conoce la causa del problema, la Comisión Federal de Comunicaciones de EE.UU. (FCC) ordenó la apertura de una investigación. Dicha entidad informó además, que su última investigación por una falla del servicio 911 fue hecha en marzo del año pasado. Como resultado, se impuso una multa de 5.25 millones de dólares a AT&T por dos “apagones” a nivel nacional en marzo y mayo de 2017 que duraron un total de aproximadamente seis horas y resultaron en 15.200 llamadas fallidas al 911.
Hace ya algunos años, dos investigadores del Centro de Investigación de Ciberseguridad de la Universidad Ben-Gurión del Néguev, publicaban un informe en el que se alertaba sobre la relativa facilidad con la que sería posible interrumpir el servicio del 911, considerado uno de los más críticos de EE.UU. En el mismo se indica que con unos 6.000 bots funcionando sobre la red celular (y con solo una inversión por parte de los atacantes de unos 100 mil dólares en equipamiento) es posible anular por completo el servicio 911 de todo un Estado en EE.UU.
Habrá que esperar a los resultados de la investigación para saber si el caso de CenturyLink fue un ciberataque o una falla en los sistemas de la empresa.
Nota por Carlos Benitez
Carlos Benitez es un reconocido experto en seguridad de la información.
Un nuevo informe del gobierno de Estados Unidos presentado recientemente, indica que las consecuencias del ciberataque a Equifax era totalmente evitable. La moraleja…
En un informe del 10 de diciembre del 2018, presentado por el Comité de Supervisión y Reforma Gubernamental de la Cámara de Representantes de Estados Unidos sobre el ciberataque recibido por Equifax en Septiembre de 2017, se señala que la empresa “…no implementó un programa de seguridad adecuado para proteger estos datos sensibles. Como resultado, Equifax permitió una de las mayores fugas de datos en la historia de Estados Unidos. Esta fuga era totalmente evitable.“
En el análisis efectuado por Techtarget se indica que según lo que detalla el informe, “Equifax debería haber abordado al menos dos puntos en los que no se ha podido mitigar, o incluso prevenir, esta fuga de datos. En primer lugar, la falta de controles y de líneas claras en la estructura de gestión de TI de Equifax, lo que llevó a una brecha de ejecución entre el desarrollo de políticas de TI y la operación“.
“En segundo lugar, la agresiva estrategia de crecimiento de Equifax y la acumulación de datos dieron como resultado un entorno de TI complejo“. Por otra parte si indica que “Equifax ejecutó varias de sus aplicaciones de TI más críticas en sistemas legacy hechos a medida. Tanto la complejidad como la anticuada naturaleza de los sistemas de TI de Equifax hicieron que la seguridad de TI fuera un desafío especial.“.
Entre otras cosas, Equifax, no parcheó completamente sus sistemas. Un viejo portal para clientes desarrollado en la década de 1970, estaba ejecutando una versión de Apache Struts que contenía la famosa y peligrosa vulnerabilidad, no parcheó el software y dejó sus sistemas y datos expuestos.
Sin embargo, más allá de la cuestión de los parches de Apache Struts, el informe señalaba que la empresa tenía serios problemas con los certificados de seguridad ya que había permitido que expiraran más de 300 certificados de seguridad, incluyendo 79 utilizados para monitorear dominios críticos del negocio. Una vez actualizados, después de estar inactivos por 19 meses, los responsables de seguridad notaron un tráfico web sospechoso de una dirección IP originaria de China que salía de la aplicación legacy con archivos relacionados con investigaciones de crédito al consumo. Equifax estaba bajo ataque activo desde hacía meses.
Repasando las principales fallas de Equifax identificadas por el informe:
1- Falta de controles y lineas claras entre políticas de seguridad y operación. 2- Crecimiento desmedido de la compañía, acumulación de datos críticos dando lugar a una estructura de IT compleja y caótica, que incluía sistemas muy antiguos y desactualizados que procesaban datos críticos. 3- Falta de velocidad en la aplicación de parches de vulnerabilidades tan críticas como la de Apache Struts. 4- Completo descontrol sobre la gestión de certificados digitales.
Como podrá observarse, el denominador común de los problemas críticos fue la falta de “gestión” de seguridad…, el no considerar la seguridad como elemento fundamental para el negocio…, el utilizar los controles de seguridad para responder informes de auditoria y no para asegurar verdaderamente el negocio…, el tener en la cabeza el viejo y falso concepto de “a mi no me va a pasar…“
Nota por Carlos Benitez
Carlos Benitez es un reconocido experto en seguridad de la información.
El conocido troyano Emotet atacó de nuevo. Esta vez aprovechando el Día de Accion de Gracias en Estados Unidos y el Black Friday.
Emotet es un troyano distribuidor de otros troyanos que parece estar identificado con el grupo Mealybug y viene actuando desde hace cuatro años cuando su objetivo era solamente obtener credenciales de usuarios bancarios en Alemania. Sin embargo, este tipo de amenazas, sobre todo si son técnicamente eficientes, se reciclan y se reinventan.
La forma de propagación del virus es la vieja y efectiva vía del email de phishing. Haciendo creer al usuario que el email proviene de su propio banco y convenciéndolo que abra un adjunto que puede ser tanto un archivo como una URL. Una vez que el usuario hace clic y se infecta, Emotet trata de infectar otras máquinas de la red utilizando la vieja vulnerabilidad de EternalBlue, la misma que hizo posible la infección de WannCry y que sigue estando presente en muchísimos equipos en el mundo. Después de esto, intenta obtener por fuerza bruta credenciales del dominio, lo que causa un efecto secundario importante bloqueando cuentas por varios intentos fallidos.
Después de varios ataques en los últimos años, Emotet volvió a la carga para el Día de Accion de Gracias en Estados Unidos (es decir el 22 de Noviembre) mediante emails que pretendían ser de instituciones financieras o disfrazados de saludos de Acción de Gracias para los empleados de las empresas. La nueva funcionalidad del troyano permite crear mejores plantillas de phishing, lo que lo hace mucho más efectivo.
Esta funcionalidad permitió que los desarrolladores del troyano, puedan además construir templates para el último Black Friday (es decir el viernes pasado, 23 de Noviembre). Sin embargo, en este caso, los archivos adjuntos y los enlaces fueron sustituidos por archivos XML con extensión .doc en lugar de los archivos DOC y PDF que se usaban anteriormente.
Dado que Emotet no es el malware principal, sino sólo un vehículo, en esta campaña ha enviado malware bancario como Ursnif, TrickBot y IcedId y su malware compañero Azorult, especialist en robar contraseñas, números de tarjetas de crédito y direcciones criptomonedas.
Después de que Emotet atacara usuarios de bancos de Alemania, Estados Unidos e Inglaterra, en esta campaña se enfocó en países de Latinoamerica, particularmente Argentina, México y Ecuador. Otra vez estamos primeros en una lista de países en las que no quisiéramos estar. Y otra vez se destacan como medidas importantes las campañas de concientización que disminuyan la posibilidad que los usuarios hagan clic donde no deben… y la protección efectiva de endpoints si lo hacen…
Nota por Carlos Benitez
Carlos Benitez es un reconocido experto en seguridad de la información.
