Seguridad con los mensajes del Apple System Log de iOS

Hace un tiempo en Security By Default, Alejandro Ramos "dab" (@aramosf), autor del libro de Hacking iOS: iPhone & iPad habló de la seguridad de las apps para iOS a la hora de utilizar la función NSLog, comúnmente usada en el desarrollo de apps para iOS en iPhone & iPad. Esta función envía datos al ALS (Apple System Log) del sistema operativo y éste puede ser consultado por cualquier app instalada en el terminal. Esto hace que si en el ASL se pone algo que pudiera ser sensible para la privacidad o la seguridad del usuario, cualquier app instalada en el terminal podría acceder a ello. Las apps AppSwitch, Console o System Console permite visualizar este tipo de mensajes.

Figura 1: AppSwitch mostrando el ASL de un iPhone 5

Además, esta información puede ser leída y analizada en detalle dentro de la herramienta iPhone Configuration Utility, por lo que incluso datos de una app utilizada en un terminal corporativo podría ser rastreada una vez entregado el terminal si no se ha hecho el reseteo completo del terminal.

Figura 2: iPhone Configuration Utility mostrando el Apple System Log de iOS

Si eres desarrollador, ten cuidado con la información que envías con la función NSLog, y si eres un usuario de un terminal que vas a entregar, no desinstales solo las apps, procura hacer un reseteo seguro del terminal.

Mac OS X: Saber qué servidor DHCP te ha atendido [Tip]

En un equipo con OS X no es demasiado intuitivo conocer qué servidor DHCP te ha concedido una determinada configuración de red. No existe ningún sitio en la configuración del interfaz gráfico de las Preferencias de Red donde se pueda ver esto, y tampoco está en las opciones que se pueden consultar con el comando ifconfig ni en los comandos habituales de DHCP Client en sistemas, lo que puede liar a más de uno si no se ha topado con esto antes.

Esto no quiere decir que sea difícil, sólo que está en otro sitio. Para acceder a esta información se utiliza el comando ipconfig - no confundir con ifconfig - con el modificador getpacket y el interfaz de red a consultar, de tal manera que se puede acceder a los detalles de configuración DHCP / BootP.

Figura 1: Configuración del servicio DHCP en un interfaz de red en OS X

En concreto, el servidor DHCP que te ha atendido aparece en el valor server_identifier. Esperamos que esta información te ahorre unas vueltas por el interfaz buscando este dato, cuando te preocupe que haya un Rogue DHCP en la red.

CVE 2012: Windows, OSX, SmartPhones y Navegadores

En el blog de Alma Oscura han hecho una curiosa comparativa con los CVE descubiertos durante el año 2012, es decir, los CVE-2012-XXXX en los sistemas operativos OS X 10.7 Lion y 10.8 Mountain Lion, Windows 7 y Windows 8, Android, iOS, Windows Phone y los distintos navegadores de internet más utilizados. Como siempre, estos datos no se pueden tomar como una medida absoluta de seguridad, pero sí que refleja eso, quién ha tenido más CVE que quién. Las tablas de la comparativa son:

Figura 1: Comparativa de CVE-2012-XXX entre Windows7/8 y OSX Lion/Moutain Lion

Figura 2: Comparativa de CVE-2012-XXX entre navegadores

Figura 3: Comparativa de CVE-2012-XXX entre sistemas operativos de smartphones

Según el autor de la comparativa, todas las cuentas se han hecho tomando las bases de datos de Secunia y el NIST, y no reflejan otros factores como la criticidad de las vulnerabilidades, el tiempo de exposición, o la facilidad de la solución, pero valen como una media de más para conocer más sobre la seguridad de las plataformas.

Hacking & Pentesting dispositivos iOS: iPhone & iPad

En la editorial técnica 0xWord se ha publicado un libro que no debes perderte si te dedicas a hacer pentesting en empresas. Se titula Hacking dispositivos iOS: iPhone & iPad, y recoge en un texto de 320 páginas todas las maneras de atacar un terminal de Apple con iOS.

Figura 1: Portada de Hacking dispositivos iOS: iPhone & iPad

En el libro han participado especialistas en seguridad y pentesting de la talla de Alejandro Ramos "dab", Igor Luckic de EnigmaSec, José Picó y David Pérez de la empresa Taddong y autores del libro Hacking comunicaciones móviles GSM/GPRS/UMTS, Chema Alonso, Pablo González - autor del libro Metasploit para Pentesters -, Juan Garrido "Silverhack", J.M. Aguayo - autor del libro Desarrolllo apps para iOS -, David Barroso, José Selvi de Pentester.es o Ioseba Palop.

Figura 2: Índice del libro de dispositivos Hacking iOS: iPhone & iPad

Se compone de 11 capítulos que abarcan las fases fundamentales de un pentesting, y que te ayudan con demos prácticas en todos ellos. El índice detallado se puede consultar en la opción de Descargas, y está compuesto por los siguientes capítulos:

Capítulo 1: Identificando dispositivos iOS

En este apartado se analizan las diferentes formas de hacer fingerprinting en un proceso de pentesting para descubrir los objetivos. Desde utilizar los USER-Agent de las conexiones, hasta consultar las bases de datos mDNS utilizadas por el protocolo Bonjour, pasando por cómo reconocer un terminal iOS con un scanning nmap.

Capítulo 2: Ataques locales 

En este capítulo se analiza en detalle desde cómo reconocer los terminales con acceso físico, hasta cómo robar cuentas con asociadas a números de teléfono usando las previsualizaciones. Explica en detalle los bugs que permiten saltarse el passcode de un terminal, o cómo usar Voice Control o Siri para sacar información del dispositivo.

Capítulo 3: Jailbreak

En este apartado se explica cómo qué es y cómo puede utilizarse el jailbreak en beneficio de un pentester. Qué herramientas se pueden utilizar, cuáles son útiles para averiguar el passcode de un terminal y cuáles requieren del uso de passcode. Además se explican esquemas de ataque utilizando custom bundles para instalar OpenSHH y tener acceso a los terminales.

Capítulo 4: Atacando el backup

Los terminales iOS hacen backup en sistemas operativos Microsoft Windows, Mac OS X o en Apple iCloud. En este capítulo se explica en detalle cómo está formado un backup de iOS, cómo se puede descifrar, cómo extraer datos manualmente o con Metasploit y cómo sacar la información más jugosa e importante de él.

Capítulo 5: iPhone DataProtection

Esta suite de herramientas es fundamental para cualquiera auditor de seguridad, ya sea analista forense o pentester. En este apartado se ve cómo montar la suite, las principales herramientas y cómo sacar provecho de la misma para sacar claves del terminal.

Capítulo 6: Análisis Forense con Oxygen Forensic Suite

Si tienes un backup o un terminal iOS y quieres sacar todo el jugo del mismo, debes irte a herramientas profesionales que te permitan analizar Gigabytes de datos en apps de manera eficiente. Oxygen Forensic Suite es la que hemos elegido para mostrarte cómo se hace con una de ellas y qué puedes obtener de un proceso de análisis forense profesional.

Capítulo 7: Malware en iOS

En este capítulo aprenderás cómo troyanizar un terminal iOS con Jailbreak, y sin Jailbreak, ya que existen diferentes formas de conseguir instalar un backdoor en un terminal iPhone o iPad que te permita tomar control de muchas de las acciones que se realizan con él. Se analizan troyanos comerciales y cómo construir un troyano en iOS desde cero.

Capítulo 8: JailOwnMe

Este capítulo enseña a hacer re-ingeniería de un exploit de JailbreakMe para convertirlo en una solución de pentester. El trabajo enseña a pensar como un reverser en iOS y a meterse en el mundo de la creación de exploits para esta plataforma.

Capítulo 9: Ataques de ingeniería social y client-side en iOS

Los terminales iOS son herramientas utilizadas como cliente habitual de servicios como Twitter, Facebook, Google+, el e-mail o la Web. En este capítulo se explican los bugs de Address Bar Spoofing, los ataques de phishing y cómo se pueden utilizar herramientas como SET (Social Explotation Toolkit) para atacar usuarios con estos dispositivos.

Capítulo 10: Ataques en redes WiFi

Los terminales iOS se conectan de forma muy particular a redes WiFi, siendo especialmente propensos a Rogue AP, sniffing, y técnicas de man in the middle. En esta sección del libro se explican cómo realizar los diferentes ataques e incluso como atacar sistemas VPN.

Capítulo 11: JavaScript Botnets

Atacando las conexiones WiFi es posible también infectar terminales iOS con una JavaScript Botnet que controle todas las conexiones del terminal. En este capítulo se explica cómo montar una JavaScript Botnet y cómo controlar los terminales iOS.

Capítulo 12: Ataques GSM-GPRS a iOS

Para terminar, los expertos de Taddong explican las peculiaridades de iPhone & iPad en conexiones GSM-GPRS y cómo atacarlos con estaciones base falsas que permitan a un pentester acceder a información de voz y datos de los terminales iOS.

Si te interesa la seguridad de los terminales iOS, Hacking dispositivos iOS: iPhone & iPad es el libro que debes tener para aprender lo fundamental de ellos. Más de 300 páginas de explicaciones y demostraciones que te cambiarán la manera de ver la seguridad de estas tecnologías.

Tutorial de GPG Tools para Mac OS X (II de VI)

En el segundo articulo de la serie dedicada a GPG Tools para Mac OS X se hablará sobre la instalación de la suite de herramientas y la utilización del GPG Keychain Access. La instalación se llevará a cabo mediante un instalador descargado desde el sitio web oficial y se comprobará cómo la utilización de la herramienta del GPG Keychain Access es realmente sencilla, intuitiva y sobretodo útil para la gestión de claves. 

Proceso de instalación

Para llevar a cabo la instalación de las herramientas, se puede descargar el pack completo en formato DMG desde el sitio web oficial de GPG Tools. Tal y como se puede observar en las imágenes al montar el archivo DMG descargado su instalación es tan sencilla como realizar doble clic en el archivo GPCTools_Installer.pkg y comenzará el proceso.

Figura 3: Contenido archivo DMG

El asistente es muy sencillo e intuitivo, por lo que es suficiente con seleccionar la ubicación, el tipo de instalación que se desea y ya estarán las herramientas disponibles en nuestro equipo.

Figura 4: Asistente de instalación

Primer arranque de GPGTools

Una vez llevada a cabo la instalación se dispone en el panel de preferencias del sistema de un apartado para las GPGTools donde se puede habilitar/deshabilitar, o determinar qué clave se utilizará por defecto, en el caso de que hubiera distintas claves creadas.

Para lanzar la aplicación del GPG Keychain Access se puede realizar la búsqueda mediante Spotlight y acceder rápidamente a la herramienta, tal y como se puede observar en la imagen.

Figura 5: Acceso a GPG keychain Access

La ventana principal del GPG Keychain Access muestra las claves públicas de otros posibles usuarios y los pares, clave pública y privada, de nuestras claves. Esta ventana permite gestionar las claves realizando las siguientes acciones:

• Creación de par de claves.

• Eliminación de claves.

• Exportación de clave.

• Importación de claves.

• Subida de clave pública a servidor de claves. 

• Elección del algoritmo de la clave.

• Generación de un certificado de revocación de clave.

• Información del perfil de clave.

Creación de claves de firma y cifrado

Para generar un par de claves se dispone del botón "New" con la que se presenta un asistente el cual preguntará al usuario por el nombre completo y la dirección de e-mail con el que otros usuarios podrán buscar su clave pública en caso de subir dicha clave a un servidor de claves.

Además, el usuario puede elegir la opción de subir la clave automáticamente, añadir un comentario a la clave, configurar el tipo de cifrado que utilizará la clave, la longitud de ésta (por defecto es 2048) y la fecha de caducidad de la clave. Es recomendable configurar una fecha de caducidad no muy lejana en el tiempo.

Figura 6: Generación de claves RSA

Conocer la implicación de las características criptográficas de una clave ayuda a elegir correctamente su configuración. En el caso del uso personal, se recomienda el uso de grandes longitudes de clave, debido a que no va a haber altos consumos de cómputo, pero si quieres conocer más te recomendamos el libro de Jorge Ramió y Alfonso Muñoz "Cifrado de comunicaciones digitales: De la cifra clásica a RSA"

Una vez la clave ha sido generada, el resto de aplicaciones pertenecientes a la suite GPG Tools pueden utilizar la nueva clave generada y que se encuentra almacenada en el GPG Keychain Access.

Eliminación clave

Otra de las opciones que se disponen es la eliminación de clave de GPG keychain Access. Para llevar a cabo la acción se selecciona la línea que identifica la clave y mediante el uso del menú contextual se elije la opción "Borrar". 

Figura 7: Borrar clave de GPGTools

=======================================================
- Tutorial de GPG Tools para Mac OS X (I de VI)
- Tutorial de GPG Tools para Mac OS X (II de VI)
- Tutorial de GPG Tools para Mac OS X (III de VI)
- Tutorial de GPG Tools para Mac OS X (IV de VI)
- Tutorial de GPG Tools para Mac OS X (V de VI)
- Tutorial de GPG Tools para Mac OS X (VI de VI)
=======================================================

Fue Noticia en Seguridad Apple: Del 6 al 26 de Mayo

Otra vez llegamos al punto de repaso donde os hacemos un repaso de todo lo que hemos publicado en Seguridad Apple, además de daros alguna referencia más que pensamos que es interesante que leáis.

Comenzamos el repaso con el arreglo "a medias" del bug de Address Bar Spoofing en Twitter para iOS, ya que si la app está en horizontal, entonces no se ve la barra. Curioso.

El martes 7 de Mayo os dejamos la charla de nuestro compañero Pablo González - autor de los libros Hacking iPhone & iPad, Metasploit para Pentesters o Pentesting con Kali - sobre cómo utilizar Metasploit para distribuir software de control remoto.

El día siguiente comenzamos con un Tutorial de GPG Tools para Mac OS X que vamos a desarrollar por aquí, con el objeto de que aprendáis a sacar provecho de esta herramienta.

Continuamos con un truco para que saques partido en OS X del vaciado manual o el vaciado rápido de la papelera de reciclaje. Un pequeño tip que te puede ayudar a tener una experiencia más placentera y segura con tu sistema.

Después tocó hablar de la conferencia de Stefan Esser sobre 10 bugs de Apple, de los que nos llamó poderosamente la atención los bugs en el sistema de distribución de software en Apple. 

El siguiente artículo se lo dedicamos de nuevo al "parlanchín" USER-AGENT de iOS, que volvió a hacer que se haya pillado a iOS 7 en los logs de servicios de desarrollo en la web.

El domingo 12 de Mayo volvimos a hacer un poco de Historia de Mac OS X, en esta ocasión recordando a Mac OS X Panther y el famoso vídeo de Steve Jobs presentando a Bill Gates. No te lo puedes perder.

El lunes de esa semana tocó hablar de nuevos drivers de impresoras y scanners, además de nuevo firmware para Thunderbolt. Para tener el software de tu sistema siempre al día.

Para el martes hablamos de la actualización de países con soporte para verificación en dos pasos del uso del Apple ID.... pero España se quedó fuera de la actualización.

El día siguiente hablamos de la actualización de Mozilla Firefox 21, con sus 8 CVE de seguridad y los 681 bugs corregidos... que no son pocos.

El jueves más parches, en este caso los boletines de seguridad de Adobe para Flash Player, Reader y Acrobat. Un poco más de tiempo a pasar actualizando tu sistema.

El viernes apareció OSX/Kitm, un nuevo malware usando en sistemas Mac OS X en esquemas de ataques dirigidos a activistas políticos. Este malware apareció firmado digitalmente con un Apple Developer ID.

El sábado más actualizaciones desde Apple. En esta ocasión Apple iTunes 11.0.3 que soluciona un total de 41 CVEs de seguridad. Una buena cantidad de ellos.

El domingo pasado nos paramos a echar un vistazo a Kevo, una cerradura pensada para poder abrirse usando una app en iPhone que se conecta vía BlueTooth. Seguridad ajustada, con usabilidad maximizada.

Este lunes nos paramos a echar un ojo a la conferencia en la que se explico el reversing de las actualizaciones del firmware SMC, que escondían una curiosa contraseña para actualizar el sistema: Un conjuro de Harry Potter.

El día siguiente hablamos de iSniff-GPS, la herramienta que escucha las peticiones en busca de redes WiFi que envía tu iPhone, más las consultas mDNS de Bonjour y las informaciones de Geolocalización de redes WiFi que envía a Apple para conseguir pintar en un mapa por dónde te mueves con tu terminal.

El miércoles se descubrieron nuevas muestras del malware firmado por un Apple ID. En este caso haciendo uso de Virus Total para localizar qué otros ficheros habían sido subidos al servicio y venían firmados por el mismo Apple Developer ID.

Para el jueves, una noticia sobre la verificación en dos pasos para Twitter... que también deja a España fuera de la ecuación, además de muchos países de Latino América.

Antes de ayer la noticia fue la aprobación definitiva de iOS 6 por parte del Departamento de Defensa Americano, que ya estaba anticipada por todo el mundo.

Además, ese día también publicamos la aparición de más adware para Mac OS X usando una falsa actualización de Flash. Este malware de nuevo apunta a Softonic, que ya había sido pillado con otro esquema de adware para OS X.

Por último, ayer mismo os avisamos de la actualización de Apple QuickTime 7.7.4 para Windows, que ya soluciona una buena cantidad de bugs de seguridad.

Hasta aquí todo lo publicado, pero también es interesante que leáis estos temas publicados en otros medios y que no hemos tenido tiempo de tratar en Seguridad Apple.

- Huevos de Pascua en sistemas informáticos: En Blog Think Big hacen un repaso a algunos de los huevos de pascua más conocidos de la historia de la informática. 

- Actualización de Google Chrome que soluciona 14 CVEs: Desde Una al día alertan de la nueva versión del navegador que se ha puesto disponible para todos los sistemas operativos. 

- Un Apple I funcional subastado por 671.400 €: Un record nunca antes alcanzado por uno de estos equipos de la compañía Apple. 

- Cambio de marca en la editorial del libros: La editorial de libros técnicos de Informática 64 pasa a llamarse 0xWord y estrena nueva tienda online.

Y hasta aquí el repaso de todo lo ocurrido en este periodo. Nos vemos en esta sección dentro de dos semanas y cada día en Seguridad Apple.

Apple QuickTime 7.7.4 para Windows soluciona 12 bugs

Esta semana se ha publicado la versión Apple QuickTime 7.7.4 para solucionar un total de 12 CVE de seguridad que afectan a las versiones anteriores en todas las plataformas de sistemas operativos. Entre los CVE solucionados, que están descritos en el artículo de la Knowledge Base HT 5770, hay varios de nivel crítico que podrían llevar a la ejecución de código arbitrario en el sistema con solo abrir un archivo especialmente creado para esa tarea.

La nueva versión de Apple QuicktTime 7.7.4 para sistemas operativos Microsoft Windows puede descargarse desde la web de descarga de Apple QuickTime 7.7.4.

Figura 1: Apple QuickTime 7.7.4

Te recordamos que Apple QuickTime está incorporado en las actualizaciones de seguridad de Mac OS X, así que solo si eres usuario de Microsoft Windows te recomendamos que actualices lo antes posible a esta nueva versión para evitar problemas de seguridad.

Nuevo adware en forma de Flash Update apunta a Softonic

Hace poco hablamos del adware distribuido por Softonic que se instalaba en los navegadores de equipos OSX camuflado como falsos instaladores de software. Tras la polémica surgida, ahora desde SafeMac han alertado de una estrategia similar para instalar adware en OS X, utilizando en este caso una falsa actualización de Adobe Flash lanzada como popup desde una página web.

Figura 1: El popup con el falso mensaje de actualización de Adobe Flash

Si los usuarios lanzan el programa, se produce entonces la instalación de Genieo, una aplicación que han analizado en Intego y que además de instalar librerías comunes, se asienta en un los equipos OS X mediante la instalación de componentes para lograr la persistencia, como son un add-on de Firefox, una herramienta de Mac Helper, una herramienta de Notificación de Mac, el propio Applet de la instalación y un fichero con las "partner settings", es decir, con la información de configuración del adware.

Figura 2: Las configuraciones del fichero partner.plist

En este fichero se puede ver cómo se cambian las páginas de inicio de los navegadores y como se configuran las búsquedas, haciendo que los usuarios tengan mediatizadas sus búsquedas. Por supuesto, analizando el tráfico que se genera se puede ver que muchas peticiones van directamente a Softonic, con lo que queda claro que la compañía sigue con su "agresiva" estrategia de tratar a los usuarios de OS X como trató a los de Windows XP en sus inicios.

El DoD americano aprueba iOS 6 en su política BYOD

Hace menos de un mes se comentaba por aquí que el Departamento de Defensa de los EEUU planteaba usar los terminales de iOS , tras un proceso extenso de rigurosas pruebas, la Agencia de Sistemas de Información de Defensa (DISA) anuncio la aprobación de la guía de iOS 6 de Implantación Técnica de Seguridad (STIG).

Esta aprobación supone un logro y una ventaja para Apple ya que tanto iPhone como iPad podrán usarse en las redes del Departamento de Defensa. 

Actualmente la estimación más reciente emitida por Bloomerg dice que el Departamento de Defensa de los EEUU utiliza 600.000 dispositivos diferentes para distintos fines, 470.000 dispositivos BlackBerry, 41.000 productos de Apple y 8.700 dispositivos basados en Android.

El lanzamiento de STIG de Apple iOS 6 no solo es un paso importante para la compañía, si no que junto con las recientes aprobaciones hacia los dispositivos Samsung y BlackBerry demuestran un compromiso por parte de DISA para validar y verificar que se cumplen unos mínimos de seguridad y así cumplir con el objetivo del Departamento de Defensa de aplicar el BYOD.

Uno de los objetivos del plan de implementación de dispositivos móviles es establecer una solución empresarial que permita el uso de la última tecnología como smartphones, tablets y el desarrollo de la gestión de la empresarial. “Todas las piezas deben encajar para permitir el uso seguro de los dispositivos móviles en las redes comerciales del departamento” dijo Mark Orndorff, ejecutivo de la seguridad de la información, director ejecutivo del Programa de Aseguramiento de la Misión y Operaciones de red.

Twitter añade verificación en dos pasos... o está en ello

Seguro que has leído las noticias de que Twitter se ha sumado al club de los que ofrecen verificación en dos pasos mediante el enrollment de teléfonos móviles para el envío de códigos de verificación de login. Sin embargo, este proceso que ha salido en todos los medios aún no está disponible en todos los países ni en todas las operadoras, así que lo más probable es que si eres de España o Latino América recibas una bonita decepción al intentar activarlo.

Figura 1: Lo sentimos, para ti no hay aún.

Esperemos que en un futuro cercano Twitter se globalice con este servicio, y que lo haga a la misma velocidad con que se globalizaron sus usuarios por todo el mundo. Mientras tanto, a esperar con cuidado de que te no te roben las credenciales y a que Apple se digne a tenernos en cuenta también para su verificación en dos pasos.

Más muestras de OSX/KitM (OSX/FileSteal) en VirusTotal

Después de que saltara el escándalo del malware para Mac OS X utilizado contra activistas en África, bautizado con el nombre de OSX/KitM - también es conocido como OSX/FileSteal - los investigadores de Intego han buscado más ficheros firmados digitalmente con el mismo Developer ID que la muestra original dentro de la base de datos de Virus Total para ver si existían más copias de este malware, y ha aparecido una nueva muestra, creada en diciembre de 2012.

Esta muestra también está firmada por Rajinder Kumar, y es una app comprimida con apariencia de fichero de imágenes que utiliza como panel de control en la URL http://liveapple.eu/MEny/upload.php, que actualmente no responde.

Figura 1: OSX/FileSteal descubierto por Intego

El fichero, con comportamiento similar al descrito en el estudio previo, tiene el siguiente HASH:

Christmas_Card.app.zip
SHA256 – 07062d9ecb16bd3a4ea00d434f469fe63d5c1c95d1b4903705de31353e9c92ce

Este valor puedes utilizar para buscarlo en tu sistema, pero los anitmalware profesionales ya están firmándolo como malicioso, así que debería bastar con que actualices la base de firmas de tu solución profesional.

iSniff-GPS: Geo-localiza las WiFis a las que se conecta iOS

Ya hace tiempo que se conoce que los terminales iOS, es decir, iPad & iPhone, reportan a los servidores de Apple las redes WiFi a las que se conectan, enviando las direcciones MAC de los puntos de acceso y la ubicación GPS en la que se encuentra el terminal. Esta información puede ser utilizada para saber por qué ubicaciones físicas el dueño de un terminal se suele conectar, y es lo que han hecho con la herramienta iSniff-GPS, publicada en la pasada SyScan 2013.

La herramienta está disponible en su repositorio de código [iSniff-GPS] y basta con sniffar el tráfico de red para acceder a la información que "leakea" tu terminal iOS, es decir, los mensajes Probe buscando redes WiFi, las conexiones MDNS (Bonjour) y los paquetes ARP que se envían con información de los puntos de acceso a redes WiFi. 

Figura 1: Resultados de iSniff-GPS

Con esta información, la herramienta Geo-posiciona en un mapa las ubicaciones físicas por las que ha pasado ese terminal, utilizando para ello la propia base de datos de puntos de acceso WiFi que ha generado Apple con los terminales de sus usuarios. Si no vas a usar la WiFi, deshabilitala para evitar que espíen tu privacidad.

El conjuro de Harry Potter en el firmware SMC de tu Mac

Dentro de las presentaciones impartidas en la NoSuchCON ha tenido lugar una charla titulada "Ninjas and Harry Potter" que ha mostrado una curiosidad del firmare SMC de los equipos Mac. El software del que se carga en el firmware SMC es el encargado a bajo nivel de las funciones fundamentales de entrada y salida del equipo y de, entre otras muchas funciones vitales para el funcionamiento del sistema, guardar las claves de FileVault, de ahí su importancia para la seguridad de todo el trabajo.  

Este firmware SMC, como habitualmente informamos por aquí, se actualiza periódicamente para solucionar problemas, y para ello se utiliza un sistema de actualizaciones, que el investigador Alex Ionescu se ha encargado de analizar para descubrir que hay dos contraseñas necesarias para logar el acceso al sistema: KPST  y KPPW que podrían significar Kernel Protection Status  y Kernel Protection Password.

Figura 1: Volcado donde se puede leer el conjuro de Harry Potter

La gracia es que KPPW, tal y como se puede ver en la imagen superior, está basada en un famoso conjuro de Harry Potter, en concreto SpecialisRevelio. Esto no es más que una curiosidad dentro del sistema, ya que es normal que se utilicen claves en firmware para hacer funciones internas, tal y como ya contó Charlie Miller en su famosa charla del firmware de las baterías de Mac. 

Kevo: Una cerradura que se abre con una app de iPhone

Aún no está este producto a la venta, pero a través de Trendencias Shopping  - y gracias al aviso de un fiel lector del blog - hemos conocido una cerradura para puertas llamada Kevo que se abre mediante el uso de una app para iPhone. La comunicación entre el terminal iPhone y la cerradura Kevo se hace mediante conexiones BlueTooth, permitiendo una cómoda apertura sin que tengas que buscar en los bolsillos y sacar las llaves - aunque como se puede ver en la imagen la cerradura permite también el método tradicional de meter la llave correcta dentro de la ranura y girar-.

Esta producto nos ha recordado al proyecto SmartBouncer hecho como proyecto de Master de Seguridad de la Universidad Europea de Madrid, donde mediante una app para Android se utilizaban las tecnologías NFC, RFID y BlueTooth para gestionar los accesos de puertas en edificios, y que estaba pensado para poder integrar este control de acceso con las políticas de seguridad de las cuentas de usuario de una empresa.

Figura 1: Arquitectura de SmartBouncer

Al final, la seguridad de una cerradura debe ser equivalente a la amenaza, y no tiene sentido poner sistemas de seguridad excesivos en entornos donde debe primar la comodidad, ya que no todas las puertas guardan el Tesoro de Lechuck detrás de ellas.

Apple iTunes 11.0.3 soluciona 41 CVEs

El pasado jueves Apple ha puesto disponible Apple iTunes 11.0.3 para solventar algunos fallos de seguridad. Según el Security Advisory APPLE-SA-2013-05-16-1 iTunes 11.0.3 publicado en las listas de seguridad, se han corregido un total de 41 CVEs de seguridad, y el nivel de severidad de esta versión es crítico. La actualización está disponible para los sistemas operativos Windows XP SP2 o superior, Windows Vista y Windows 7, además de para Mac OS X Snow Leopard, Mac OS X Lion y OS X Mountain Lion.

Las vulnerabilidades que se solucionan van desde corrupciones de memoria en Apple iTunes Webkit que permiten la ejecución de código, hasta un fallo con un certificado digital no validado que permite ataques man in the middle sin que se generen alertas de seguridad. Todos los CVE solucionados, están descritos en el Security Advisory.

Figura 1: Apple iTunes 11.0.3 Security Advisroy

Puedes descargar la última versión de Apple iTunes 11.0.3 desde las actualizaciones de software de tu sistema operativo Mac OS X, o desde la página de descargas de Apple iTunes para todos los sistemas operativos.

La descarga de discos gratis del servicio de streaming

Esta actualización no tiene nada que ver con la vulnerabilidad que permite averiguar la ubicación de los ficheros utilizados en el servicio de streaming de audio que permite a los usuarios descargar se los discos gratis desde Apple. Esa vulnerabilidad se produce porque los ficheros que se están transmitiendo por streaming están localizados en una ubicación pública, algo que no debería ser así.

OSX/KitM.A: Troyano para Mac OS X contra activistas

En el reciente Oslo Freedom Forum, el famoso John Appelbaum ha presentado un malware utilizado contra activistas en África creado para sistemas operativos Mac OS X. La muestra ha sido analizada por los investigadores de F-Secure y han puesto la información disponible, con lo que sabemos mucho más de este troyano en concreto, bautizado como OSX/KitM.A.

El malware está firmado digitalmente con un Apple ID de un desarrollador Apple, lo que garantiza que pueda ser ejecutado en sistemas OS X Mountain Lion con la opción de seguridad por defecto de GateKeeper. Esto permite saber que estaba dirigido contra un objetivo concreto.

Figura 1: El Developer ID pertenece a Rajinder Kumar

El sistema utiliza como fórmula de obtener persistencia las Login Entries, donde se puede ver que aparece como un sencillo macs.

Figura 2: Entrada en las Login Items para lograr persistencia

El troyano está pensado para espiar las acciones del usuario y crea una carpeta con los screenshots que realiza del equipo infectado. Esta carpeta está en la ruta $HOME/MacApp.

Figura 3: Directorio donde se almacenan los screenshots

Las funciones que realiza este malware son muchas, y analizando la interfaz que ofrece se puede ver que este troyano está construido para ser utilizado en muchos entornos.

Figura 4: Interfaz de funciones del malware

Actualmente los paneles de control están situados en Holanda y Francia, y pertenecen los dominios a las siguientes organizaciones.

Figura 5: Información de uno de los paneles de control

Figura 6: Información de el otro de los paneles de control

En el momento del análisis encontrar los paneles de control no es posible, ya que el servidor web no responde peticiones.

Figura 7: Servidor web del panel de control

Este malware está pensado para ataques dirigidos contra activistas, pero en cualquier caso te recomendamos que tengas tu OS X actualizado, fortificado y lo más protegido posible, y que de vez en cuando revises a ver si te hubieras infectado con algo no deseado.

Mac OS X: Adobe parchea Flash Player, Reader y Acrobat

Hoy toca hablar de actualizaciones de seguridad, una de las tareas más importantes en la gestión de su sistema operativos, en este caso para los productos Adobe en todas sus plataformas - incluida OS X, por supuesto -. Para ello Adobe ha lanzado el Security Advisory APSB13-14 para Adobe Flash Player y el Security Advisory APSB13-15 para Adobe Reader y Adobe Acrobat que solucionan un buen número de CVEs.

En el caso de Adobe Flash Player se solucionan 13 CVEs, con un nivel de severidad crítico, por lo que para actualizar tu versión en OS X debes ir al Centro de descarga de Adobe Flash Player y te redirigirán a la versión correcta que necesitas instalar.

Figura 1: Última versión de Adobe Flash Player disponible para Mac OS X

En el caso de Adobe Reader y Adobe Acrobat, el número de CVEs corregidos asciende a 27, y las versiones de Macintosh pueden ser descargadas desde los siguientes enlaces.

- Adobe Reader para Macintosh
- Adobe Acrobat para Macintosh

Recuerda que mantener un equipo con el software al día es fundamental para evitar problemas de seguridad.

Mozilla Firefox 21 corrige 681 bugs. 8 son de seguridad

La fundación Mozilla ha puesto su popular navegador Firefox 21 ya a disposición pública, así que si eres usuario de esta herramienta en tu Mac OS X te recomendamos que vayas al menú de About para comprobar si está ya disponible e instales esta solución. Tal y como se puede ver en la imagen, el tamaño de la descarga para sistemas Mac OS X es de aproximadamente 16.8 MB.

Figura 1: Mozilla Firefox 21 disponible para Mac OS X

En esta versión se han corregido, según el informe en Bugzilla, un total de 681 fallos dentro de ella, de los que no todos son de seguridad, por supuesto. Según el expediente de seguridad hay 8 CVEs con grados de severidad que llegan a nivel crítico.

Figura 2: CVEs resueltos en Mozilla Firefox 21

Visto esto, si tienes Mozilla Firefox en tu equipo no dudes un segundo e instala la nueva versión ahora mismo.

Apple no llega a España con la verificación en dos pasos

Como muchas empresas en Internet, Apple decidió fortalecer la seguridad de las cuentas de usuario ofrenciendo al cliente la verificación en dos pasos. Esta medida de seguridad añade otra capa de protección más al exigir un código de verificación de 4 dígitos cada vez que un usuario utilice su Apple ID. El código de verificación adicional se envía a un dispositivo que el usuario selecciona a través del servicio Find My iPhone. Los usuarios que seleccionen un dispositivo que no sea de Apple todavía no pueden tener un mensaje de texto enviado a su dispositivo.

Además, también se proporciona una clave de recuperación, en el caso de que el dispositivo seleccionado sea robado o perdido. Todo esto sigue siendo una característica opcional, estará disponible para los clientes que hacen compras a través de tienda iTunes, App Store o la iBookStore. 

Figura 1: Ejemplo de verificación en dos pasos de Apple

Esta característica fue habilitada en Marzo de 2013 en los países de Australia, Irlanda, Nueva Zelanda, Reino Unido y los EE.UU. Tras la petición de ampliación masiva, dicho servicio ha sido implantado ahora en una buen a cantidad de nuevos países, como son Argentina, Austria, Bélgica, Brasil, Canadá, Italia, Pakistán, Polonia, Portugal, Alemania, México, los Países Bajos y Rusia. Como se puede ver, en la lista no se encuentran ni España ni muchos países de Latino América aún.

Como prueba de la necesidad de un servicio de verificación en dos pasos, hay que recordar que poco después de que Apple diera a conocer la función de verificación de dos pasos, la compañía de la manzana se vió obligada a cerrar temporalmente su página de restablecimiento de contraseña iForgot debido a un agujero de seguridad que permitia a los usuarios maliciosos utilizar la fecha de la víctima de nacimiento y su Apple ID para eludir las preguntas de seguridad que Apple exige. 

Firmware para Thunderbolt y Drivers para Impresoras Xerox

Desde Apple nos han provisto de nuevas actualizaciones de software para sistemas operativos Mac OS X que ya puedes instalar en tu equipo si quieres tener todo al día. Estas son las que tenemos disponibles.

Esta actualización del firmware de Thunderbolt y Target Disk Mode es solo para equipos con sistema OS X Mountain Lion 10.8.3 y soluciona algunos fallos de estabilidad. Como en todas las actualizaciones de firmware, se recomienda seguir con detalle el proceso de actualización para que no se quede a medias. Puedes descargar el software de DL1653.

Nueva remesa se drivers para equipos Mac OS X Snow Leopard, OS X Lion y OS X Mountain Lion para impresoras y scanners de la marca Xerox. Antes de instalar este software en tu equipo se recomienda leer el artículo de la Knowledge Base HT3669. Puedes descarga el software de DL912.