Fallas en la doble autenticación de paypal

Existe una vulnerabilidad en la forma en como PayPal maneja algunas peticiones de clientes móviles. Esto permite a los atacantes evitar el mecanismo de autenticación doble y transferir dinero de alguna víctima a la cuenta que el atacante quiera.

La falla radica en la forma en la que fluye el proceso de autenticación en los dispositivos móviles iOS y Android, el error se encuentra del lado del servidor. Investigadores de Duo Security desarrollaron una aplicación móvil como prueba de concepto que puede explotar la vulnerabilidad. Se advirtió a PayPal del problema desde marzo y han estado trabajando en corregirlo. Sin embargo, no se planea liberar un parche completo sino hasta julio.

Zach Lanier, investigador en seguridad de DuoSecurity, escribió su explicación sobre la vulnerabilidad y sus efectos:

«El Atacante sólo necesita el usuario y contraseña de la víctima para acceder a una cuenta que está protegida por seguridad de dos factores y enviar dinero. La protección ofrecida por el mecanismo de seguridad de dos factores puede ser evadido y esencialmente anulado».

«Mientras la app móvil de PayPal aun no soporta la autenticación doble, es posible engañar a la aplicación para que ignore la bandera de autenticación doble de la cuenta, permitiendo al atacante ingresar a la cuenta sin la segunda autenticación».

PayPal brinda a sus usuarios la opción de usar autenticación doble de distintas maneras. En esta autenticación se generan contraseñas de un sólo uso durante la sesión. Este sistema puede ser utilizado en el soporte web de PayPal pero no en la aplicación móvil.

La vulnerabilidad puede ser explotada al crear una aplicación que engaña a la API de PayPal, ésta cree que la aplicación móvil se está conectando a una cuenta con autenticación simple, ignorando por completo la autenticación doble.

La aplicación que se creó se comunica con dos API distintas de PayPal. La primera se encarga de la autenticación y la segunda se encarga de la transferencia del dinero. Mientras se investigaba la vulnerabilidad, los investigadores de Duo notaron que cuando los servidores de PayPal responden a una petición POST desde la aplicación móvil, utilizando la autenticación doble, se desplegaba un mensaje de error y se enviaba al usuario a la pantalla de login. Pero cuando la respuesta del servidor era modificada colocando el campo de autenticación doble en la aplicación, se le permitía al usuario entrar.

vía threatpost

AGUAS CON EL MUNDIAL, NO TE VAYAN A METER GOL

Aguas con las estafas.

La Secretaría de Seguridad Pública del Distrito Federal (SSPDF), a través de la Policía de Ciberdelincuencia Preventiva (PCP), alertó a la población sobre varios fraudes cibernéticos que se están cometiendo a costa del Mundial Brasil 2014.

Gracias al monitoreo de la red pública, la PCP detectó que varios portales de Internet que ofrecen acceso gratuito a los partidos del torneo están implantando virus o solicitando datos personales para cometer fraudes.

Los portales detectados ofrecen promociones y sorteos relacionados con la Copa Mundial, al ingresar al sitio engañan a los usuarios para que revelen información personal o financiera mediante un mensaje de correo electrónico fraudulento. Normalmente en este tipo de estafas, los delincuentes cibernéticos envían un comunicado oficial de una fuente de confianza, como un banco, una tienda departamental o un comerciante en línea reconocido.

Como medidas de prevención, la PCP recomendó a los cibernautas:

• No proporcionar datos personales a sitios poco confiables
• Tener actualizado el antivirus y con protección de publicidad en Internet
• No abrir correos de emisores desconocidos
• Para los usuarios de dispositivos móviles recomiendan descargar las aplicaciones desde fuentes seguras

La dependencia no detalló el nombre de los sitios fraudulentos.

vía etcetera

El nintendo 64 ya es mayor de edad

Pareciera que fue ayer cuando los reyes magos me regalaron un nintendo 64 con el juego de star wars, que momento aquellos, fui tan feliz en ese momento… y hoy cumple 18 años que salio a la venta en Japón.

Un día como hoy (23 de junio) pero del año 1996 se puso a la venta en Japón la nueva consola de Nintendo llamada Nintendo 64.

A pesar de que fue una de las consolas menos vendidas de la gran N también trajo muchas innovaciones que hoy en día se disfrutan en todas las consolas de videojuegos como el Stick análogo, el Rumble Pack (vibración del control) entre algunos otras cosas más.

Entre los juegos más destacados de la consola se encuentran Super Mario 64, The Legend of Zelda: Ocarina of Time, Goldeneye 007 y Super Smash Bros.

Vía pixelania

¿qué tan seguro esta tu información?

Excelente video

FACEBOOK CAYO DE MADRUGADA

Sisufres de insomnio y a las tres de la mañana querías ver cual era el último post de tus amistades en facebook, pero en lugar de eso te encontraste con un letrero de error… my friend, no fuiste el único.

El sitio de internet de Facebook Inc parecía encontrarse restablecido el jueves minutos después de haber mostrado el mensaje «Lo siento, algo salió mal».

«Estamos trabajando para resolver esto tan pronto como sea posible», se leía en la página de Facebook a las 3 am (tiempo del Centro de México), pero en este continente fue poco notado por las horas en que fue la caída.

El error del sitio se registró en varios países, incluyendo China, Singapur e India donde sí notaron el problema.

Aún se desconoce la causa del inconveniente. «Esta mañana, hemos tenido un problema que impidió a algunos usuarios de publicar a Facebook por un breve periodo de tiempo», se dijo en un comunicado sin dar las explicaciones.

vía eluniversal

Cómo prevenir que tu red inalámbrica sea vulnerada

…y no, si robas el wifi de la iglesia, no estas recibiendo una señal divina

La intrusión a una red inalámbrica casera o WiFi generada por una configuración errónea, equivale a “entregar las llaves de la casa” a un ladrón, asegura la firma de seguridad informática, Check Point.

“Así como las redes inalámbricas caseras pueden ofrecer la libertad de acceder a datos en línea sin ataduras a una conexión física, si se configura erróneamente esa misma red inalámbrica de área local (WLAN) da esa oportunidad a un atacante”, advierte la firma.

Check Point enfatiza que configurar el ruteador y dejar la clave por omisión de la cuenta del administrador es lo que en términos técnicos se considera una muy mala idea.

“Las configuraciones por omisión de la cuenta huésped se deben cambiar, el siguiente paso es inventar una contraseña para remplazar la que se acaba de remover, ésta tiene que ser fuerte mezclando letras y números para que no sea una palabra que se pueda adivinar”.

Para evitar que la red WiFi del hogar sea violada, es fundamental modificar el nombre público de la red inalámbrica, o sea, el Identificador de Conjunto de Servicio (SSID por sus siglas en inglés), ya que es común que los fabricantes utilicen los mismos SSIDs para todos sus productos.

Check Point subraya que si bien esto no impacta directamente la seguridad de la red, si un atacante identifica un SSID por omisión puede motivarse a intentar atacarlo bajo la presunción de que la red puede estar configurada sin seguridad.

“Aunque algunos argumentan que es mejor esconder los SSIDs en realidad esto tiene poco efecto en la seguridad. El SSID no es la clave de la red después de todo y existen varias herramientas que los hackers pueden usar para descubrirlo”, señala.

La firma refiere que una dirección de control de acceso (MAC) a medios es un identificador de hardware, que al habilitar es posible tomar mayor control sobre quién se conecta a la red al configurar una lista de clientes que podrán conectarse.

Por otra parte, asegura que algunos ruteadores inalámbricos permiten a los usuarios gestionar el ruteador remotamente desde cualquier lugar, si bien esto no es absolutamente necesario no hay razón para mantenerlo habilitado.

“Hacerlo abre una puerta a los atacantes quienes pueden aprovechar la situación para ganar acceso administrativo al ruteador en internet, lo importante es recordar que las puertas de acero no significan nada si se dejan abiertas, así que seguir unos cuantos pasos básicos debe ser lo primordial para defenderse de los atacantes”.

vía elfinanciero

Clon chino con malware preinstalado

Celular clon con malware incluido desde el inicio, que brillante idea!!! por que esperar a que el usuario descargue algo malicioso, si le puedes dar el celular infectado desde un principio, a final de cuenta esta comprando algo ilegitimo no?

 

A continuación el árticulo original.

 

 

Ya sea por una vulnerabilidad recién encontrada que ponga en jaque a toda la seguridad de un conjunto, o por una pieza de código creada por x con y intereses que crea ese problema por sí mismo, la seguridad de cualquier sistema suele estar en entredicho demasiadas veces. Esto no es nada nuevo en Android: no serán pocas las actualizaciones lanzadas para paliar estos problemas, pero parece que la historia se vuelve a repetir por un lado que, aunque ya era predecible al contar con algún que otro antecedente, no hace más que lanzar (más) desconfianza hacia el continente asiático.

Sí, estamos hablando de China, el lugar de donde han salido incontables clones de todos los terminales populares del mercado: Samsung, HTC, Sony… todos cuentan con un clon de su modelo insignia dentro de las fronteras que marcan la Gran Muralla, y gracias a la exportación podemos hacernos con muchos de ellos (y más de una vez hemos hablado de ellos e incluso os hemos hecho análisis sobre algunos modelos). El caso es que esto podría ser mucho mas inseguro de lo que pensamos, porque G Data ha encontrado un clon chino que cuenta con malware desde que sale de la fábrica.

Malware instalado y funcionando desde que sale de la caja

Los alemanes especializados en seguridad se han encontrado, al analizar el Star N9500 (clon bastante popular del Samsung Galaxy S4), que cuenta con malware de fábrica: la versión de Google Play Store que viene preinstalada con el firmware en realidad no es la original, pero lo que sí llega a ser es el troyano Android.Trojan.Uupay.D. El problema es bastante peliagudo: es capaz de acceder hasta los rincones más oscuros del teléfono sin que nos demos cuenta, no se puede desinstalar al venir junto al sistema y envía todos tus datos a un servidor de origen desconocido en China, y creo que podemos dar por seguros que no es para regalarte un Galaxy S4 de verdad.

Y sí, lo habéis leído bien, se oculta en una falsa aplicación de Google Play para capturar todos los datos personales que pueda y enviarlos a ese servidor chinos, o incluso instalar más malware sin que nos demos cuenta a través de aplicaciones: una herramienta todo-en-uno para las personas que hayan ideado este sistema, ya que les da un acceso trasero perfecto para instalar mas herramientas que nos saquen mas y mas datos confidenciales y sensibles. Lo malo es que no podemos saber a ciencia cierta si es cosa de la marca o de algunas manos negras que hayan entrado en la cadena de producción sin que nadie se percatara, y siendo el servidor chino completamente anónimo parece inútil buscar cabezas que cortar. Y, si estáis interesados en profundizar, podéis leer todos los detalles en el artículo que han preparado desde la compañía, aunque tenga un tono algo alarmista.

¿Un flaco favor a todos los fabricantes chinos?

Esto llega a nuestros oídos en una época en la que China esta en plena expansión en lo que se refiere a Android: marcas como Huawei, Lenovo y Oppo se asientan cada vez más en mercado internacional, otros como Xiaomi o OnePlus vienen pisando muy fuerte, los clones chinos que prometen características punteras a precios de derribo estan a la orden del día… y dudo mucho que ningún jefazo de estas marcas disfrute leyendo estas noticias: ¿Quien va a querer comprar teléfonos chinos sí corren el riesgo de contener malware oculto en el sistema que nos robe información de todo tipo?

En el caso de que sea Star el responsable final de todo esto, creo que esta muy claro por donde habría que cortar el hierbajo. Sin embargo, si se debe a lo segundo, esto deja muy en entredicho la seguridad que disponen las cadenas de montaje y pruebas cuando cualquiera puede entrar y colocar su flamante troyano en el firmware de unos cuantos clones chinos sin que nadie se percate de ello. Puede que no toque demasiado a los grandes fabricantes o a los que prometen de verdad, pero el fantasma de que los Android chinos son malos sí o sí probablemente haya crecido más aún con esta noticia.

Y es que no es la primera vez que vemos que desde China nos llegan cosas del todo inseguras: por ejemplo, no son pocos los casos de reproductores MP3 que contienen virus que se intentan colar en nuestro ordenador o videocámaras de seguridad que cuentan con malware que también trata de robar datos (por citar ejemplos que se me vengan a la mente). ¿Por que los clones chinos iban a ser diferentes en este sentido? ¿Este es el verdadero coste de unos precios tan bajos?

vía elandroidelibre

5 errores en Facebook

¿Con qué errores te identificas? ¿con todos?!! corre a corregirlos!

La empresa de seguridad en internet Kaspersky Lab publicó un listado de los cinco errores más comunes que cometen los usuarios de la red social Facebook.

1. Aceptar las solicitudes de amistad enviadas por desconocidos

Bajo el afán de querer ser popular, muchos usuarios de Facebook agregan como amigos a personas que no conocen. Siendo tu «amigo», la otra persona tiene acceso a tu información publicada en el modo «sólo amigos», y la podría usar para hacer cualquier cosa.

Además, al agregar a desconocidos se compromete la seguridad de tus amigos ya que muchas personas utilizan el modo «amigos de amigos» para publicar y sus actualizaciones de estado, lugares y fotos también estarán accesibles para esta persona.

2. Publicar la biografía completa

De acuerdo con al empresa se debe evitar publicar la biografía completa ya que cibercriminales podrían obtener información para después poder hackear las cuentas más importantes.

3. Pobre seguridad de contraseña

Muchos usuarios toman a la ligera el nivel de seguridad de la contraseña, por lo que recomiendan que debe ser complejo, extenso y combinar letras con números, altas y bajas. Si un cibercriminal obtiene tu contraseña no sólo te afectará a ti sino a todos tus contactos.

4. Uso de geolocalización

Una de las funciones favoritas de los usuarios de Facebook es la geolocalización o hacer ‘check in’ en los lugares que se visitan, pero esto puede provocar que otras personas malintencionadas descubran dónde vive o trabaja. Esto puede ser especialmente peligroso para niños y jóvenes.

5. Publicar actualizaciones en modo abierto

Al publicar algo en este modo, cualquier usuario en la red puede verlo, incluso gente que no tienes como amigos. El hacer esto puede desde ocasionar malentendido hasta robar tu identidad.

Vía aztecatrends

Un inseguro apreton de manos.

La función de seguridad que resguarda la confidencialidad de tu comunicación web (el mismo software de criptografía afectado recientemente por la falla Heartbleed) tiene más problemas.

Y a esta nueva vulnerabilidad podemos llamarla handshake bug o “la falla del apretón de manos”.

Los ordenadores y servidores web entablan conversaciones seguras entre sí en un proceso conocido como handshake. Pero esta semana, los investigadores de seguridad descubrieron un problema en la forma en que ‘se dan la mano’ o establecen esa conexión. La falla permite que un hacker que opera entre el usuario y un sitio web -por ejemplo, alguien conectado a la misma red pública WiFi- fisgonee tu sesión de Internet.

Esta falla no es tan devastadora como Heartbleed. Los únicos navegadores importantes a los que afecta son los del sistema operativo móvil Android de Google. Y para que un hacker explote esa grieta, tú y el sitio web deben estar ejecutando versiones vulnerables del software de encriptación, conocido como OpenSSL.

Aunque no es tan grave, es otra llamada de atención que delata que tu seguridad en Internet depende de un puñado de personas sin sueldo. La Fundación OpenSSL es un pequeño equipo de programadores informáticos que apenas recientemente comenzaron a recibir apoyo financiero adicional de muchas empresas que usan ese software.

La Fundación Linux dijo que OpenSSL ha recibido alrededor de la mitad de los 5.4 millones de dólares que hasta la fecha han donado las empresas a la Core Infrastructure Initiative, una iniciativa que busca mejorar la seguridad en Internet.

De hecho, muchos expertos dicen que la única razón por la que pudo detectarse la falla Handshake es porque, después de Heartbleed, más voluntarios están peinando exhaustivamente el código informático OpenSSL. El mundo puede darle las gracias a Masashi Kikuchi, un experto en software de seguridad de la pequeña consultora japonesa Lepidum, que decidió revisar el código personalmente.

vía cnnexpansion

Arreglando Acer Aspire

El día de hoy me llego un equipo de escritorio Acer Aspire, el cual aparentemente se apagaba sin motivo aparente, por lo cual lo primero que pense, posiblemente le hace falta una limpieza.

Cual fue mi sorpresa que al abrir el equipo, no tenia un conejo de pelusa, la computadora esta gobernada por el polvo!!! inclusive cuando sopletee el ventilador salio de manera sorpresiva un ticket de compra en subway, lo cual no permitia girar adecuadamente el ventilador.

 

Despues de un rato de sopletear el equipo y un buen baño por que yo también quede lleno de polvo, el equipo ya no se apago más.

Fin del comunicado.

 

un poco exagerado, pero así me sentia.