Desbloquear Mac con Touch ID podría estar en OSX 10.12

Apple podría estar trabajando en una nueva característica que permitiera desbloquear los Mac a través de iPhone y su Touch ID. El desbloqueo de un dispositivo iPhone a través del Touch ID hace que sea mucho más fácil de utilizar, más cómodo e, incluso, más seguro. Muchos usuarios de Mac esperan algo similar para los ordenadores, ya que la aceptación del Touch ID ha sido máxima. Este hecho hace que la nueva característica pudiera ser introducida en el nuevo sistema operativo para ordenadores de la compañía OS X 10.12.

Apple está trabajando en una manera más sencilla para permitir una identificación táctil para desbloquear un Mac. Muchos especulan con que la característica podría estar en la siguiente versión del sistema operativo. Los ingenieros de Apple están diseñando una función de desbloqueo automático que permitiera desbloquear un Mac desde un iPhone cuando se encuentre cerca, evitando la necesitad de introducir una contraseña en el Mac.

Figura 1: Desbloqueo con Knock

La característica funciona de manera similar al desbloqueo automático con el reloj de Apple a través de Bluetooth. En este escenario el botón Touch ID del iPhone es probable que se utilice como un método de verificación para las conexiones más sencillas. También se rumorea que la característica de autenticación con Touch ID y la posibilidad de utilizar el Apple Pay por los navegadores web llegará pronto. La autenticación remota táctil puede usarse para confirmar las compras realizadas a través de Siri en el Mac. Estas características planeadas para OS X 10.12 aún no están confirmadas, por lo que existe la posibilidad de que la función de desbloqueo pueda ser dejada hasta una fecha posterior si el trabajo no está listo.

Un hacker demuestra un JailbreakMe para iOS 9.3.2

Recordar los tiempos de JailbreakMe puede poner nostálgico a más de uno. Una manera sencilla de realizar el Jailbreak a los dispositivos iOS, la cual puede volver en breve a nuestras manos. Parece que Luca Todesco, el investigador que ha demostrado tener un Jailbreak para iOS ha desarrollado una versión moderna de JailbreakMe capaz de liberar la versión de iOS 9.3.2. La herramienta se encuentra basada en el uso del navegador Safari, y tras ser abierto un sitio web con este navegador se puede llevar a cabo el proceso de Jailbreak completo en el dispositivo.

La herramienta también instala una versión, que es totalmente funcional, de Cydia, la cual puede utilizarse para descargar aplicaciones no aceptadas por Apple y ajustes del propio sistema llamados tweaks. En el video de demostración del investigador Todesco puede verse el proceso de Jailbreak en su iPod Touch con iOS 9.3.2. En el video puede verse como, con solo abrir un sitio web y hacer clic en el enlace se lleva a cabo dicho proceso.

Figura 1: Demo del jailbreak

Una vez se descargan los archivos a través del enlace y se completa el proceso de Jailbreak aparece en Cydia en la pantalla. El investigador es incluso capaz de descargar la aplicación MTerminal de la tienda y ejecutarlo sin problema. Al igual que ocurre con versiones anteriores, Luca no tendrá intención de liberar la herramienta.

Fue Noticia en Seguridad Apple: del 16 al 29 de Mayo

Mayo llega a su fin, y con él termina un mes lleno de eventos importantes y noticias sorprendentes con un impacto directo en el mundo de la seguridad informática. Desde Seguridad Apple os ofrecemos como es costumbre la sección Fue Noticia, con el mejor resumen del contenido publicado en estas últimas semanas, tanto aquí como en otras webs de referencia que suelen publicar contenido de interés.

Comenzamos el día 16 señalando algunos artículos interesantes publicados en Phrack Magazine, que versan sobre técnicas de explotación de aplicaciones en Objective-C y rootkits para sistemas operativos OS X.

Un día después os contamos las novedades de las últimas actualizaciones de software publicadas por Apple, en concreto las versiones OS X El Capitan 10.11.5, OS X Security Update 2016-003, iOS 9.3.2 y Apple Safari 9.1.1.

A mitad de semana volvimos a hablar de dichas actualizaciones tras conocerse que, aparentemente, la actualización de iOS 9.3.2 presenta un bug que provoca el brickeo de algunos iPad Pro.

El día 19 os contamos cómo Apple decidió banear de la App Store la herramienta de detección de software espía para iOS desarrollada por el investigador Stefan Esser.

Al día siguiente los presentamos la nueva actualización de Flash Player, que en esta ocasión viene acompañada por el bloqueo de versiones anteriores, la 21.0.0.242 y la 18.0.0.352, para evitar problemas de seguridad.

El sábado os hablamos de iCleaner Pro, una aplicación disponible desde Cydia que, entre otras utilidades, permite limpiar ficheros en dispositivos iOS con Jailbreak.

Cerramos la semana con la sorprendente noticia de la inversión multimillonaria de Apple en una empresa china vinculada estrechamente al gobierno, y que presta servicios muy similares a los de Uber.

El lunes 23 os hablamos de cómo Apple está fortificando Touch ID para hacerlo más seguro, forzando a introducir el passcode para desbloquear el terminal en determinadas situaciones.

Un día después os contamos como el GCHQ, Goverment Communications Head Quarters, está colaborando con Apple para descubrir y parchear vulnerabilidades en OS X.

El miércoles nos centramos en el nuevo fichaje de Apple en vistas de mover ficha en el tema de la criptografía, que no es otro que Jon Callas, investigador de seguridad y hasta ahora CTO de Silent Circle, famoso por estar detrás de BlackPhone.

El jueves nos hicimos eco de la aparición de un exploit público para Apple QuickTime, que permite ejecutar código arbitrario en el contexto de la aplicación.

El viernes el artículo se lo dedicamos a la existencia de un Jailbreak disponible para la versión beta de iOS 9.3.3 que ya se ha visto en Twitter, por lo que parece que no tardará en salir una vez se haga publica la versión final (o no).

Por último, ayer sábado la entrada se la dedicamos al bug de Heap Overflow que ha sido descubierto en el antimalware de Symantec para OSX, lo que fuerza a tener cuidado con las versiones afectadas y parchearlo lo antes posible.

Y esto ha sido todo lo que hemos publicado, pero como es tradición, vamos con la lista de artículos en otros blogs y medios que merecen ser tenidos en cuenta:

- Chema Alonso elegido CDO en Telefónica: Probablemente ya lo hayáis leído en alguno de los cientos de medios de comunicación que se han hecho eco de la noticia, pero mejor que lo leáis de él mismo en su blog: Mi nueva vida como CDO en Telefónica. 

- Nueva versión de Latch: Con opciones de Deep Linking y de gestión de sesiones abiertas, para poder controlar en qué dispositivos está abierto Latch en cada momento. 

- Los empleados de Apple amenazados rutinariamente: Según explican ellos mismos, las amenazas de muerte son algo que tienen que soportar los empleados, especialmente por no atender las peticiones de desbloquear terminales cerrados con iCloud. 

- Pastejacking: O cómo suplantar el contenido del portapapeles con contenido malicioso desde el código JavaScript. Curioso e ingenioso. 

- Montar un servidor VPN con OpenVPN & Latch en Raspberry Pi: Para tener control de tus conexiones en cualquier sitio de forma segura a través de tu VPN protegida con Latch. Aquí el vídeo.

Figura 1: VPN sobre Raspberry Pi con OpenVPN y Latch

- Montar proyectos Raspberry Pi de IoT en contenedores Docker: Y para poder hacerlo más universal, aquí tienes información para montarlo en contenedores Docker. 

- Charla Online sobre Open Source Intelligence: Dentro de las Eleven Paths Talks, nuestro CSA de Colombia hablará este jueves por la tarde sobre las técnicas de Open Source INTelligence. Son charlas gratuitas.

Y esto ha sido todo por hoy en esta sección. Esperamos veros dentro de semanas otra vez por aquí y todos los días en los artículos que publicamos en Seguridad Apple.

Bug de Heap Overflow en antivirus de Symantec en OSX

La noticia saltó hace unos días y es que se descubrió una vulnerabilidad en el producto de antivirus de Symantec. La vulnerabilidad tiene CVE-2016-2208 y provoca que un atacante pueda ejecutar código en un contexto privilegiado. La vulnerabilidad afecta tanto a las versiones para Windows, como para Linux y OS X. La vulnerabilidad ha sido descubierta por Project Zero el grupo de investigadores de Google. La vulnerabilidad es de ejecución remota, por lo que es bastante crítica. Enviando un email a la víctima o un enlace malicioso se podría lograr explotar.

Además, este mismo grupo, ha encontrado otras vulnerabilidades en otros productos de seguridad. Para los sistemas Linux y OS X, la vulnerabilidad es explotrada en remoto como un heap overflow y en el contexto de root, logrando control total sobre la máquina a través del proceso de Norton. Symantec ha trabajado para liberar un parche.

Figura 1: Norton Antivirus en OS X

Investigar los productos de seguridad que deben ayudar a proteger los activos personales y de las organizaciones es una buena medida. Como se ha demostrado, en algunas ocasiones, las vulnerabilidades pueden encontrarse en cualquier lugar, incluso en el software que debe ayudarnos a estar un poco más seguros.

Jailbreak a la beta de iOS 9.3.3

En el mundo del Jailbreak siguen los rumores sobre cuando tendremos un nuevo Jailbreak. Apple ha liberado recientemente una versión beta de iOS 9.3.3. Mientras que la nueva versión de iOS se está probando en beta, el investigador Luca Tedesco, ya ha sido capaz de realizar un Jailbreak al sistema operativo. Luca compartió la información a través de su cuenta de twitter, junto a una imagen de Cydia en la que se ve ejecutando. El jailbreak no ha sido público, y no lo será según la voluntad del investigador. 

A pesar de que el hacker ha sido capaz de realizar Jailbreak a iOS 9.3.3 con éxito, no se espera una liberación de ello. De hecho él explícitamente ha dejado claro que no será liberado al burlarse de los que mandaron tuits de odio hacia su persona. Esta no es la primera vez que Luca se ha burlado del hecho del Jailbreak y de no tener intención de liberarlo. 

Figura 1: Jailbreak sobre iOS 9.3.3 beta de Luca Tedesco

Mientras que Luca no va a liberar su Jailbreak para iOS 9.3.3, el cual tampoco se conoce si es lo suficientemente estable, no significa que otros  no lo harán. Recientemente el equipo de TAIG ha comunicado que están trabajando en un Jailbreak, y que pronto podría haber novedades. Estaremos atentos a las novedades en el siempre interesante mundo del Jailbreak.

Disponible públicamente un exploit para Apple QuickTime

La semana pasada hubo un gran número de actualizaciones en el mundo de Apple. Es más, todos los sistemas operativos de todos los productos fueron actualizados. Entre los parches para OS X había uno para la aplicación QuickTime, la vulnerabilidad CVE-2016-1848. Poco después de liberarse la actualización, embebida dentro de las actualizaciones de OS X, se ha publicado el exploit que compromete y permite ejecutar código arbitrario en el contexto de la aplicación. 

El exploit se puede conseguir desde el sitio web Exploit-DB. En él nos encontramos una prueba de concepto de un archivo malicioso, con extensión mov, ya creado. Además, encontramos información sobre el timeline del reporte y los detalles técnicos de la vulnerabilidad. Como se puede leer la vulnerabilidad puede permitir a un atacante remoto ejecutar código arbitrario en el contexto de la aplicación QuickTime. La interacción por parte del usuario es requerida, ya que debe visitar algún sitio web malicioso o abrir el fichero malicioso a través de otro medio. 

Figura 1: Detalles del exploit

El fallo reside en el parseo que QuickTime hace del fichero. Un atacante puede escribir fuera de un buffer, provocando en ese punto la posible ejecución de código en el contexto del proceso de QuickTime. Se recomienda a todos los usuarios que instalen las actualizaciones pendientes de OS X que tengan, ya que existe un exploit público con el que cualquiera podría llevar a cabo acciones maliciosas sobre ti.

Apple apuesta por el cifrado y ficha a Jon Callas de Silent Circle (BlackPhone)

Apple ha decido mover ficha en el tema de la criptografía, que tanto revuelo ha generado con el caso del FBI y la posibilidad de acceder a la información del dispositivo. Apple ha fichado a uno de los mayores expertos en criptografía, Jon Callas. Callas vuelve a Apple, ya que trabajó en los años 90, y entre 2009 y 2011. La idea que tiene Apple es que este fichaje trabaje en mejorar el sistema de seguridad de iOS, OS X e iCloud. 

Otros muchos usuarios lo ven también como un movimiento estratégico, ya que disponer de una persona mediática en un sector te permite lidiar mejor con gobiernos y organismos públicos. Pero hay más detrás del fichaje de Jon Callas y es su filosofía frente a la ley norteamericana. Según la agencia Reuters, Callas siempre comentó estar en contra de que las empresas estén obligadas por ley a mostrar qué hay dentro de sus productos cifrados. Aunque, por supuesto, también comenta que apoya las fuerzas del orden. Indica también que cuando se conocen vulnerabilidades en el software, estas fuerzas y cuerpos de seguridad deberían darlas a conocer para poder parchearlas.

Figura 1: LinkedIn de Jon Callas

¿Qué hizo Callas durante los últimos años? Estuvo en empresas como PGP Corp o Silent Circle y el fabricante del dispositivo Blackphone, el supuesto dispositivo más seguro. Apple se ha comprometido a reforzar más la seguridad de sus dispositivos y promete no backdorizar sus sistemas. El movimiento de Apple es claro, fichar a Callas hace reforzar esta promesa. Estaremos atentos a próximos movimientos.

GCHQ ayuda a Apple descubriendo sus bugs de OS X

El GCHQ, Government Communications Head Quarters, estaba detrás de un informe en el que se mostraba un error del sistema operativo OS X de Apple. El fallo fue parcheado la semana pasada, y era un fallo bastante crítico. El GCHQ, también conocido como la inteligencia del Reino Unido, es el grupo más conocido para encontrar y explotar las vulnerabilidades de software con el fin de espiar a gobiernos extranjeros y otros objetivos. 

De vez en cuando da a conocer los defectos del software, como se ha podido observar esta vez. Este hecho es debido a que las vulnerabilidades en cuestión han dejado de ser útiles y nunca fueron de mucha utilidad. Es posible que el fallo fuera también juzgado como un riesgo para los gobiernos occidentales y los negocios que aquí se realizan, por lo que compensa el liberar el fallo y que se solvente. Es difícil de saber. Apple, por su parte, no ha rechazado el regalo y ha aprovechado para parchear el fallo. El problema permitía ejecutar código arbitrario a través de la tecnología IOFireWireFamily. 

Figura 1: IOFireWireFamily Vulnerabilidad

Al GCHQ también se le atribuye alguna vulnerabilidad más relacionada con la memoria del kernel de OS X, y que se resolvieron igualmente en los lotes de parches de este mes. La contribución por parte de la agencia de espionaje o inteligencia es difícil de medir, aunque lógicamente es valiosa. A muchos ha extrañado que el GCHQ colaborase de esta manera, pero seguramente el riesgo en occidente era mayor que el beneficio que el GCHQ pudiera obtener. Lo que queda claro, es que en algunos casos como éste, se liberan dichas vulnerabilidades.

Apple fortifica Touch ID y fuerza a introducir el passcode en nuevas situaciones

Apple ha introducido un nuevo requisito en el uso del Touch ID: usar una clave de acceso en los dispositivos iPhone e iPad, incluso cuando el Touch ID está habilitado. La nueva regla introducida por la empresa de Cupertino requiere que le usuario introduzca el código de acceso cuando un dispositivo iPhone o iPad haya reunido dos condiciones. La primera condición es que el dispositivo no haya sido desboqueado durante seis días por el passcode. La segunda condición es que el dispositivo no haya sido desbloqueado con Touch ID en las últimas ocho horas.

En las últimas semanas muchos usuarios comenzaron a notar como el dispositivo les pedía que introdujeran el passcode para desbloquear el terminal. Apple ha comentado que esta nueva característica de seguridad viene con el lanzamiento de iOS 9, y que no es algo novedoso, pero para muchos usuarios es una cosa nueva. En la guía de seguridad de iOS viene, a partir del 12 de Mayo de 2016, de acuerdo con lo que indica la propia guía. Apple no quiso explicar la razón del por qué de esta nueva restricción.

Figura 1: Touch ID & Passcodes en la guía de seguridad de iOS

Los requisitos anteriores en los cuales el passcode es solicitado pueden verse en la propia guía y en la imagen superior. El dispositivo ha sido reiniciado o arrancado, el dispositivo no ha sido desblqoueado durante 48 horas, el dispositivo ha recibido una orden de bloqueo a distante desde Find my iPhone, han ocurrido cinco intentos de identificación con Touch ID fallidos y, por último, la edición de nuevas huellas.

Hay mucha rumorología sobre la adición de un sexto requisito, y el por qué se ha elegido la ventana de ocho horas. Muchos usuarios indican que la regla se produce después de que un juez concedió una orden de registro en donde obliga a una mujer a desbloquear su iPhone con Touch ID. En otras palabras, muchos creen que el carácter biométrico de identificación táctil no está bajo el amparo de la Quinta Enmienda.

Apple invierte $1.000 Millones en el, ¿gobierno chino?

Una de las noticias de la semana ha sido la inversión que Apple ha hecho en una de las empresas chinas vinculadas al gobierno. Se ha invertido algo más de mil millones de dólares en una especie de Uber, el cual se encuentra vinculado al ejecutivo chino. No es la única empresa que se ha metido en esta ronda de inversión, pero llama la atención por su origen y por quiénes son. Los analistas de seguridad han mostrado cierta preocupación ante este movimiento de la empresa de San Francisco, ya que la empresa cooperará con las agencias de seguridad e inteligencia China después de ponerle las cosas difíciles al gobierno de los Estados Unidos, algo que allí le va a resultar imposible.

Apple anunció el pasado 12 de Mayo que pondría más de mil millones de dólares en Didi ChuXing Tech, una empresa que está compitiendo con Uber. La aplicación sirve para localizar taxis y poder llamarlos desde la aplicación móvil. Uber comenzó a funcionar en China en 2014 y se dice que está perdiendo más de mil millones al año. La inversión se considera extraña, pero Apple ha decidido llevarla a cabo, aunque la empresa no anuncia nada al respecto.

Figura 1: Apple invierte más de mil millones de dólares en aplicaciones Chinas

Según informan los analistas, Apple está apostando por el mercado chino, y por esta razón realiza la inversión. Quizá también sea un movimiento para agradar al gobierno chino y que puedan entrar en el mercado de dicho país con una mayor presencia. Además, en Abril el gobierno chino bloqueó el comercio de libros y películas a través de iTunes en el país, por lo que todo hace indicar que es un movimiento estratégico de Apple para posicionarse mucho mejor allí, pero al gobierno norteamericano no parece que le siente bien que se fomenten empresas competidoras vinculadas al gobierno con dinero de empresas norteamericanas.

iCleaner Pro para limpiar ficheros en iOS con Jailbreak

iCleaner Pro es una aplicación disponible desde Cydia,  una vez que el Jailbreak está hecho al dispositivo. Lo que llama la atención de esta aplicación es que ayuda al usuario a mantener el dispositivo limpio y eliminar los archivos que realmente no son necesarios, pero que están ocupando un espacio valioso. Este tipo de limpieza tiene un impacto en el dispositivo que el propio usuario podrá notar, viendo como el dispositivo puede tener mayor fluidez y, por supuesto, más fluidez.

Muchos usuarios consideran a iCleaner Pro un must have. La herramienta detecta automáticamente las aplicaciones más comunes instaladas en los dispositivos y ejecuta una limpieza de archivos temporales, caché o logs marcados como prescindibles. También, se eliminan los archivos innecesarios de la AppStore, así como la caché. iCleaner Pro posee un modo de opciones avanzadas dónde se puede eliminar las dependencias entre aplicaciones que no se estén utilizando.

Figura 1: funcionamiento de iCleaner Pro

Es recomendable utilizar una copia de seguridad previa sobre el dispositivo antes de lanzar iCleaner Pro, sobretodo si hemos editado su funcionamiento. El propio iCleaner puede llevar a cabo una copia de seguridad previa de lo que se va a limpiar, por si hubiera que restaurar algún dato. La aplicación se puede encontrar en el repositorio de BigBoss, en el repo de desarrolladores.

Flash Player: Actualización y bloqueo de versiones en OSX

De nuevo toca hablar de Adobe Flash Player en Seguridad Apple. No es la primera vez, ni será, seguramente la última. Adobe ha liberado una actualización urgente con la que se solventan fallos de seguridad sobre Adobe Flash Player. Por consiguiente, Apple ha actualizado el sistema de protección web que consigue evitar que versiones vulnerables de Flash se puedan ejecutar desde el navegador. 

El sistema tiene un listado de versiones permitidas, las cuales pueden ser invocadas desde el navegador. Si éste detecta una versión anterior, el navegador bloquea la ejecución de Adobe Flash Player. Como ya hemos mencionado en otros artículos, con este tipo de protecciones Apple intenta evitar los ataques de tipo client-side a los usuarios. Debido a razones de seguridad y estabilidad en viejas versiones de Adobe Flash Player, Apple ha actualizado el sistema de protección para deshabilitar la ejecución de versiones anteriores a 21.0.0.242 y 18.0.0.352.

Figura 1: Bloqueo de Adobe Flash Player en OS X

Se puede encontrar más información en el propio sitio web de Apple. La solución por parte del usuario es sencilla, se tiene que actualizar pulsando sobre el botón "Download Flash...". Si por cualquier situación se necesita una versión antigua de Adobe Flash Player se puede encontrar en el sitio dedicado para que Adobe proporciona a sus usuarios.

Apple banea en AppStore el detector de software espia y herramienta de diagnóstico para iOS de Stefan Esser

Apple ha decidido banear la aplicación que el hacker Stefan Esser diseñó para reportar información sobre la seguridad de los procesos que se ejecutan en iOS. La aplicación muestra información detallada sobre el estado de la seguridad del dispositivo, incluidas las posibles anomalías como bibliotecas inyectadas o el estado de la firma de código binario y el cifrado de la AppStore. Apple ha comentado que los datos son potencialmente falsos y que podrían confundir a los usuarios.

En otras palabras, la función de diagnóstico que realiza la aplicación es potencialmente inexacta y engañosa para los dispositivos iOS. Por tanto, Apple ha decidido prohibir una aplicación benigna de detección de software espía y que proporciona información sobre el estado de la seguridad del dispositivo para iOS. Esto ha provocado un revuelo mediático en las redes sociales, dónde muchos usuarios apoyan al mediático hacker. En la actualidad, no existe una infraestructura a disposición del público para apoya el análisis de diagnóstico iOS, ha comentado la gente de Cupertino. Quizá fuera el momento para crearla. 

Figura 1: Tuit de Stefan Esser

Apple se justifica indicando que al no existir plataforma de diagnósitico de iOS, la aplicación de Esser puede informar de información totalmente incorrecta, la cual podría engañar o confundir a los diferentes usuarios. Esser, por su parte, indica que Apple no quiere dar la  impresión de que iOS puede tener agujeros de seguridad. La app de Esser tiene las siguientes características:

• Uso de la CPU.
• Uso de la memoria.
• Uso del disco.
• Lista de procesos en ejecución.
• Inspección de las aplicaciones en ejecución (hash SHA1, firma, derechos ante un Jailbreak).
• Detección de malware.
• Detección de anomalías de seguridad.

Esser explica que la aplicación era la única en la AppStore capaz de mostrar los procesos que se ejecutan en iOS 9, añadiendo que es capaz de detectar software espía en iOS.

Warning: iOS 9.3.2 brickea algunos iPad Pro

Según el reporte de algunos usuarios, la última actualización de iOS a la 9.3.2 está brickeando algunos dispositivos iPad. La noticia surgió a través de Twitter, dónde varios usuarios estuvieron reportando los hechos. Al parecer, un problema de hardware hace que los usuarios tengan que restaurar sus dispositivos o ponerse en contacto con el soporte de Apple. Hay que decir que la última actualización de iOS corrige una vulnerabilidad que permite a un potencial atacante bypassear las pantallas de bloqueo, para algunos puede estar ligada, para otros usuarios no tiene nada que ver.

El error que proporciona el dispositivo es error 56, y según Apple y su documento de errores en actualizaciones estaríamos ante un error de hardware. El documento, en este caso, recomienda instalar la últtima versión de iTunes, la cual también fue actualizada recientemente. Además, Apple recomienda la comprobación de los problemas con software de seguridad de terceros e intentar una restauración dos veces. Cada vez hay más usuarios quejándose, por lo que seguramente Apple tenga que lanzar una versión actualizada de iOS 9.3.2 que solucione el problema.

Figura 1: iPad Pro Bickeado

Apple está atendiendo a través de su cuenta de Twitter Support a los usuarios afectados, aunque en algunos de los casos se está resolviendo con una restauración del dispositivo, pero en otros muchos no, y esto hace sospechar de que el problema es generalizado. Se puede consultar el documento que pone Apple a disposición de los usuarios para ver posibles soluciones y errores.

Actualizaciones de seguridad: OS X El Capitan 10.11.5, OS X Security Update 2016-003, iOS 9.3.2, Apple Safari 9.1.1 y otras updates

Apple ha decidido liberar, una vez más, un pack de actualizaciones para todos sus productos. En este caso OSX, iOS, iTunes, Safari, WatchOS o tvOS han sido actualizados parcheando diversas vulnerabilidades. En este repaso a los parches hablaremos del número de vulnerabilidades parcheados en cada producto, pero lo que queda claro es que los administradores IT y los usuarios tenemos trabajo para tener todos los productos al día. El detalle a continuación.

En primer lugar, se han corregido 67 vulnerabilidades en OS X. Ya vimos que el tema de los exploits publicados a través de Twitter seguía de moda y el bypass de SIP era una realidad en OS X 10.11.4 e iOS 9.3. Prácticamente la mitad de las vulnerabilidades parcheadas permitían la ejecución de código arbitrario, lo cual pone en gran riesgo al sistema. El Security Update 2016-003 soluciona todas las vulnerabilidades y es una actualización indispensable.

Figura 1: Security Update 2016-003 y OS X 10.11.5

El sistema operativo iOS 9.3.2 ha visto la luz solventando 39 vulnerabilidades. 12 de esas vulnerabilidades son de ejecución de código arbitrario, lo cual lo hace una actualización indispensable. No es una simple actualización de performance o rendimiento, es una actualización importante para la seguridad del sistema operativo móvil.

Figura 2: iOS 9.3.2 con 39 vulnerabilidades parcheadas

En el caso del navegador Apple Safari se han solventado 7 vulnerabilidades de las cuales 2 provocaban la ejecución de código, siendo, en este caso, la mayoría de crasheo en el navegador. Safari se ha actualizado a su versión 9.1.1 y es una actualización totalmente necesario si queremos navegar de forma más segura.

Figura 3: Apple Safari 9.1.1

Otros productos como WatchOS ha sido liberado a su versión 2.2.1 y solventa más de 25 vulnerabilidades. Más de 10 vulnerabilidades permiten la ejecución de código en este entorno, por lo que para todos los usuarios del reloj de Apple se recomienda su actualización. iTunes también ha sido actualizado, en este ocasión a la versión 12.4. Esta versión parchea una vulnerabilidad, aunque es crítica, ya que permite la ejecución de código arbitrario. Por último, también se ha actualización el software de Apple TV (tvOS) llega a su versión 9.2.1. Más de 30 vulnerabilidades han sido parcheadas en esta actualización, y algunos críticos que permitían la ejecución de código arbitrario. Actualiza tus sistemas lo antes posible.

Objetive-C Exploitaition Techniques & OSX Kernel Rootkits

En la Phrack Magazine número 69 publicada en este mes de Mayo, se han incluido una serie de interesantes artículos para los hackers. Entre ellos, hay dos que nos gustaría destacaros si estáis aquí porque vuestro interés se centra - sobre todo - en lo que a Apple atañe. El primero de los artículos está centrado en Objetive-C, y bajo el título de "Modern Objective-C Exploitation Techniques" explica algunas de las formas más modernas y avanzadas para explotar bugs en aplicaciones escritas en Objetive-C. Saca tiempo y concentrate, porque el artículo es largo y exhaustivo.

Figura 1: Modern Objetive-C Exploitation Techniques

Y el segundo de ellos, centrado en la creación de Rookits a nivel de Kernel en OS X. En este caso, centrándose en los sistemas operativos más modernos de Apple para repasar los cambios que se han producido en las tablas del sistema, en las funciones en las que hacer el hooking de las llamadas, etcétera. Estos son los contenidos de este segundo artículo.

Figura 2: Tabla de Contenidos de "Revisiting Mac OS X Kernel Rootkits"

Como podéis ver, dos joyas para los amantes del reversing, el exploiting y el malware analysis que disfruten de las tecnologías Apple en su día a día. Imprescindibles sin quieres conocer a fondo tanto Objetive-C como OS X.

Fue Noticia en Seguridad Apple: del 2 al 15 de Mayo

Han pasado dos semanas desde el último Fue Noticia, y fieles a nuestra tradición, desde Seguridad Apple os hemos mantenido informados de las novedades más relevantes del mundo de la seguridad informática. Llega de nuevo el momento de detenerse, recapitular y entregaros el mejor resumen de lo acaecido en la última quincena, además de nuestras recomendaciones de otros sitios de referencia.

Comenzamos el 2 de mayo con la polémica noticia de que el FBI no publicaría ni daría detalle alguno acerca del exploit de los iPhone 5C que le permitió acceder al dispositivo del terrorista Syed Rizwan.

El martes os contamos las novedades de la última actualización de urgencia de Flash Player, que viene acompañada de un bloqueo de versiones anteriores a la 21.0.0.226 en OS X por motivos de seguridad.

Un día después también nos ocupó la polémica judicial, en este caso por el juez estadounidense que obligó a una acusada a desbloquear su iPhone con Touch ID para poder emplearlo como prueba.

El día 5 las Eleven Paths Talks volvieron a ser las protagonistas, en este caso la impartida por Leandro Bennaton sobre Big Data y la Seguridad de la Información.

El viernes os presentamos el instalador oficial de Metasploit para sistemas operativos OS X, una herramienta sencilla publicada recientemente por el equipo de Rapid7.

El sábado centró nuestra atención la liberación por parte de Apple de XCode 7.3.1, una nueva versión que pone punto y final a dos bugs de seguridad críticos que permitía la ejecución de código.

El día 8 nos hicimos eco del anuncio de Apple de su proceso de transición hacia IPv6 Only, por el cual dejará de aprobar apps en el market que empleen IPv4.

Comenzamos una nueva semana con un minitutorial para enseñaros cómo utilizar Latch en OS X y una RaspberryPi para bloquear tu red WiFi y prevenir accesos indeseados.

El día 10 os ofrecimos la segunda parte del minitutorial, explicando detalladamente cómo realizar la implementación.

El miércoles hicimos una revisión del nuevo cliente de WhatsApp para Mac nativo en OS X, que aporta facilidad a la hora de recibir notificaciones, y permite realizar integraciones y atajos de teclado.

Un día después os anunciamos una nueva Eleven Paths Talk para ese mismo día, en esta ocasión impartida por Claudio Caracciolo sobre la temática de la Defensa en Profundidad.

El viernes le dedicamos la entrada a Location for WhatsApp, una app que ha generado mucha controversia debido a que juega con una explicación difusa para hacer un negocio que muchos han considerado una estafa.

Por último, ayer sábado os dejamos una entrada con una curiosa situación, ya que la preocupación del gobierno de USA por la seguridad de Android e iOS ha llevado a que desde la administración se vaya a interrogar a Google y Apple sobre cuál es su política de parcheo de bugs. Los tiempos cambian rápido y nos llevan a situaciones peculiares.

Y esto ha sido todo lo publicado, pero como es habitual, os traemos un resumen de otros temas interesantes publicados en otros blogs durante este periodo. Esta es la selección que traemos para vosotros hoy.

- Comunidad Técnica de Eleven Paths supera los 400 miembros: Ya somos más de 400 los miembros de la comunidad técnica de Eleven Paths, donde podrás debatir y contactar con nuestros ingenieros sobre las tecnologías que desarrollamos y la seguridad informática en general. ¿A qué esperas para unirte? 

- El MIT publica una inteligencia artificial que predice el 85% de los ataques: ... pero no es tan artificial, como explica nuestro compañeros Sergio de los Santos en el blog de Eleven Paths. 

- Infografía - "Descubre los secretos de Google Play": Infografía que recoge los datos más significativos de los descubrimientos realizados con Tacyt sobre los desarrolladores del mundo Android. Puedes descargarla en la web de Tacyt. 

- WordPress Time-Based XSPA (Cross-Site Port Attack): Explicación de nuestro compañero Chema Alonso sobre cómo una instalación a medias de WordPress puede convertirse en un agujero de seguridad para la DMZ de la empresa que lo tiene. Además, lista de artículos de fortificación de WordPress. 

-Vulnerabilidad crítica de envenenamiento de caché en Proxy SQUID: Se ha publicado una vulnerabilidad crítica en este popular servicio que puede afectar a la seguridad de los clientes de este proxy. En Hackplayers lo explican y dan consejos para solucionarlo. 

- Awesome Python: Para los que programéis en Python, en este artículo de Cyberhades nos traen un sitio con un montón de ejemplos fantásticos para resolver todo tipo de problemas. Desde devOps hasta WebCrawling.  

- Apple no fue capaz de reparar el iPhone del joven perdido en el mar: Al fina, a pesar de los intentos, el terminal estaba demasiado destrozado como para poder hacer algo y la compañía ha tenido que abandonar su intento. 

- Revivir un viejo Mac con OS X Server: Aprovechando las capacidades de optimización del sistema operativo OS X Server, es posible hacer usables los viejos Mac. Aquí tienes cómo. 

- Motor de búsqueda para Panama Papers: Ahora se han convertido a texto y se han indexado en un motor de búsqueda para que puedas localizar los datos tú mismo. 

- Todo lo que se sabe de iPhone 7: Recopilación de los rumores y el material filtrado sobre lo que puede ser el próximo iPhone 7 los tienes en este especial de la web de MacRumors. 

- Detección pro-activa de sitios de phishing con JavaScript: Interesante artículo que hace una demostración de cómo utilizar JavaScript para detectar sitios fraudulentos.

- Seguir "Un informático en el lado del mal" por Telegram: Nuestro compañero Chema Alonso, escritor del popular blog "Un informático en el lado del mal", ha abierto un canal en Telegram para seguir las publicaciones y más cosas por este medio. Puedes suscribirte en https://telegram.me/elladodelmal

Y esto fue todo. Esperamos veros dentro de dos semanas en esta misma sección y cada día en los contenidos que publicamos en Seguridad Apple. Disfrutad el domingo.

Apple y Google serán interrogados por el gobierno de USA

El motivo de que el gobierno de los Estados Unidos siga teniendo el punto de mira en sus empresas tecnológicas puede ser debatible o cuestionable. En esta ocasión Apple y Google serán interrogados por los reguladores de los Estados Unidos sobre la forma en que estas empresas llevan a cabo su proceso de parcheo de los fallos de seguridad. La comisión Federal de Comunicaciones y la Comisión Federal de Comercio enviaron cartas a las dos compañías, además de LG, BlackBerry o Microsoft, entre otros. Los reguladores quien conocer cómo estas empresas publican actualizaciones de seguridad para evitar que un delincuente pueda aprovecharse de los dispositivos.

Las agencias gubernamental escribieron en un comunicado que a medida que los consumidores y las empresas utilizan los dispositivos móviles para llevar a cabo sus actividades diarias, la seguridad de sus comunicaciones y otro tipo de información personal está directamente relacionada con la seguridad de los dispositivos que utilizan. Además, indicaron que los consumidores pueden ser dejados sin protección, durante largos períodos de tiempo o incluso indefinidamente debido al retardo en parchear vulnerabilidades. Hasta la fecha, los proveedores del sistema operativo, los fabricantes de equipos y proveedores de servicios móviles tienen que abordar las vulnerabilidades que pueden surgir. 

Figura 1: Vulnerabilidades en productos 2015

Si nos fijamos en los tiempos de actualizaciones, quizá no sea tan rápido como se deseara, o lo que hoy en día la sociedad demanda. Es cierto que la preocupación también viene por todos los usuarios que quedan desprotegidos por versiones descontinuadas o dispostivos que ya no reciben soporte, al poco de ser adquiridos. Esto último, ocurre más en el mundo Android que en el mundo iOS. La investigación ha sido llevada a cabo a través de varias vulnerabilidades que exponen los problemas de seguridad en ambos dispositivos iOS y Android en el último año. Estaremos atentos para ver cómo evoluciona este caso: El sistema de actualizaciones y los tiempos de respuesta de las grandes empresas a juicio por los reguladores. ¿Podría ser que la regulación de Estados Unidos obligara a sus empresas a cumplir unos tiempos en el parcheo? El debate está servido.

Location for WhatsApp: ¿Estafa o una mala descripción?

Hay una aplicación en la AppStore que puede llamar mucho la atención de los usuarios, esta aplicación es sin duda Location for WhatsApp. Así se llama la nueva aplicación que ha subido a los primeros puestos rápidamente. El tema está en que la nueva aplicación promete conocer la localización del resto de usuarios de tu agenda. Por ejemplo, si quieres saber dónde se encuentran tus hijos, tu pareja o la abuela solo tendrías que utilizar esta herramienta y lo tendrías todo controlado. Por desgracia, esta aplicación no hace realmente lo que dice. Solamente envía la localización del usuario a los contactos.

La funcionalidad de enviar la localización a los contactos está implementada en WhatsApp desde hace bastante tiempo, por lo que esta app no aporta nada. Muchos usuarios la están viendo como una estafa, ya que la app no es gratis, su coste es de 0,99 €. En el sitio web de iTunes podemos encontrarla y ver frases como "Localiza la ubicación de tus contactos de forma rápida en tiempo real". Lógicamente, esto no es verdad. Lo único que realiza la app es enviar tu localización a los contactos que indiques, sin más.

Figura 1: Imagen de Location for WhatsApp

Por supuesto, las críticas no se han hecho esperar. Los comentarios que han dejado en el sitio web dónde se aloja la aplicación son importantes. Después de que muchos usuarios compraran la aplicación y comprobar que no hacia lo prometido comenzaron a criticar a la desarrolladora. Frases como "La aplicación bien, te localiza aunque estés escondido debajo de una mesa" o "Que pájara está hecha Cristina Rodríguez, te estafa y te mangonea hábilmente. 1 pavo, pero claro... 1 pavo, 2 pavos a este paso va a montar una granja de pavos.". Los usuarios han hablado. ¿Estafa o una mala descripción?

Hoy en Eleven Paths Talks: Defensa en Profundidad

Nuestro compañero Claudio Caracciolo impartirá una charla dentro del contexto de las Eleven Paths Talks que estamos llevando a cabo a través de hangouts. La charla será celebrada hoy. La temática de la charla es la Defensa en Profundidad. Hoy en día es vital para una empresa enfocar un modelo como éste en su organización. El objetivo es proteger cada capa en la que se puede dividir el entorno empresarial y poner medidas de protección.

En nuestro canal de Youtube podéis encontrar el resto de talks que se han ido celebrando. Nuestro compañero Pablo González publicaba un artículo dónde explicaba la importancia de este modelo en profundidad en la lucha contra los ataques a los usuarios o empleados de la empresa. El modelo defensa en profundidad ayuda a muchas empresas a mejorar su seguridad y, en parte, su productividad. El activo más importante que tiene una empresa es su información que, genera, maneja y procesa para lograr su actividad de negocio. Por esta razón no os debéis perder la charla de Claudio hoy. Os dejamos una charla que Claudio impartió en este mismo contexto sobre seguridad en redes industriales.

Figura 1: Webcast anterior de Claudio Caracciolo

La duración de la charla de Claudio será de unos 30 minutos, divididos entre 20 y 25 minutos de exposición y de 5 a 10 minutos de preguntas y respuestas. El horario de la charla serán las 15.30 (hora España). La charla estará disponible al termina ésta en nuestro canal de YouTube. La ponencia se llevará a cabo por hangout. No te la pierdas. Puedes mirar el calendario de talks para ver las que aún quedan por celebrarse. Recuerda, tienes una cita hoy jueves en horario de 15.30 (hora España). Para registrarte debes usar el siguiente formulario de ElevenPaths Talks.

Un vistazo al cliente de WhatsApp for Mac nativo en OS X

Ha llegado a OS X el cliente oficial de mensajería de WhatsApp para escritorio. Ahora los que utilizamos Mac podremos desde nuestro escritorio utilizar WhatsApp. El pasado martes debutó la herramienta con gran aceptación y expectación. La estrategia tomada por WhatsApp parece querer luchar con el servicio de Mensajes de Apple. Hemos querido probar la nueva herramienta y ver algunas cosas sobre ella. En un primer vistazo parece un gran iframe embebido en una aplicación de escritorio, todo semejante a WhatsApp Web.

La aplicación nativa de OS X es compatible con las versiones OS X 10.9 y superiores. El cliente aporta facilidad a la hora de recibir notificaciones, insertar mensajes, utilizar atajos de teclado y otras integraciones avanzadas. WhatsApp se sincroniza a través de los dispositivos. La versión de WhatsApp for Mac se puede descargar desde el sitio web de la empresa. El "pareo" de la aplicación con el dispositivo móvil funciona igual que en WhatsApp Web, ya que como dijimos la sensación que da es que es un iframe grande embebido dentro de una aplicación de escritorio. En otras palabras, el pareo se lleva a cabo a través del QRCode.

Figura 1: WhatsApp for Mac

En Seguridad Apple hemos querido realizar alguna prueba más del software. Queríamos ver si abriendo una sesión en OS X y otra utilizando, por ejemplo Chrome o Firefox, se podía tener dos sesiones abiertas y visibles al mismo tiempo. En primer lugar pareamos a través del QRCode de la página de WhatsApp Web a través del navegador Mozilla Firefox. En segundo lugar, y con la sesión anterior abierta y en uso, abrimos otra sesión, esta vez en el cliente nativo de OS X. Observamos que accedemos a nuestra cuenta de WhatsApp. Si nos fijamos en el navegador obtenemos el siguiente mensaje:

Figura 2: Mensaje ante la apertura de otra sesión

Esto es algo bueno. Quiere decir que en el caso de que alguien nos cogiera el dispositivo y abriera una sesión con nuestra cuenta de WhatsApp nos daríamos cuenta enseguida, ya que nos saldría un mensaje como estos. Podríamos ir a la configuración de WhatsApp en el móvil y en el apartado WhatsApp Web visualizar qué sesiones se encuentran abiertas para evitar que alguien pueda espiar WhatsApp y en qué plataformas y dispositivos, tal y como se puede visualizar en la siguiente imagen.

Figura 3: Posibilidad de cerrar sesiones en WhatsApp

Si alguien tuviera una sesión abierta de nuestra cuenta en otro dispositivo que no se encuentre bajo nuestro control podríamos rápidamente cerrarla desde esta característica. Hace menos de un mes hablábamos de cómo verificar el cifrado extremo a extremo que WhatsApp implementó por esas fechas. En resumen, WhatsApp está centrando esfuerzos en fortificar y equilibrar la seguridad y la usabilidad del usuario.