Vulnerabilidad en Tor Browser para macOS filtra tu dirección IP

Una de las noticias del mes en el mundo de la seguridad. Se ha descubierto que los usuarios de Mac y Linux que utilicen Tor Browser podrían estar revelando las direcciones IP sin ellos darse cuenta. Todo esto está debido a una vulnerabilidad crítica que filtraría esta información. La privacidad del usuario quedaría, en este caso, reducida, prácticamente, a la nada. El investigador Filippo Cavallarin ha sido la persona que ha descubierto la vulnerabilidad, la cual es una vulnerabilidad del navegador Firefox. Como Tor Browser utiliza el núcleo de Firefox, también se ve afectado. 

El investigador ha denominado a la vulnerabilidad como TorMoil, afecta a los navegadores que se ejecuten en macOS y en Linux, pero no en sistemas Windows. Los detalles técnicos no han sido revelados. Los desarrolladores de Tor han sido notificados para poder solventar el error lo antes posible. Se ha liberado una nueva versión del navegador Tor Browser 7.0.9 para los usuarios afectados y corrige este fallo de seguridad.

Figura 1: Tor Browser y su actualización 7.0.9

Como mencionábamos antes, es una de las noticias del mes en el mundo de la seguridad y parece que ha generado una gran alerta para los usuarios que quieren aprovechar su navegación anónima. TorMoil se activa cuando un usuario hace clic en direcciones que comienzan por "file://", por lo que habría que tenerlo en cuenta en caso de utilizar el navegador, aunque la mejor solución es actualizar a la nueva versión que se ha publicado del navegador, la versión 7.0.9 de Tor Browser.

OSX/Dok: Un nuevo malware portado de Windows que roba credenciales bancarias

Un nuevo malware existe para los equipos Mac, el cual roba las credenciales bancarias de los usuarios. Se transmite a través de un ataque de phishing y es capaz de robar credenciales de cuentas bancarias. El malware llamado OSX/Dok y fue descubierto por investigadores de Check Point Security. El malware refleja los sitios web de algunos de los principales bancos del mundo para robar dinero a sus usuarios. La propagación se ha llevado a cabo a través de ataques de phishing, por lo que es fácil que muchos usuarios queden infectados en sus equipos. 

Los investigadores han comentado que el malware es difícil de detectar, ya que es capaz de evitar las medidas de seguridad de los equipos Apple y espiar las comunicaciones de la víctima. Check Point indicó que han visto un reciente aumento en el malware en los sistemas Mac. Esto es algo que hemos ido indicando semanas atrás. Los delincuentes están comprando decenas de certificados de Apple para firmar el paquete de aplicaciones y evitar, de este modo, a GateKeeper. Tan pronto como Apple revoca uno de los certificados, los delincuentes cambian a otro, con nuevos certificados que, prácticamente, se utilizan a diario.

Figura 1: Check Point. Una de las páginas falsas del banco

¿Cómo funciona todo esto? Las víctimas llegan a sitios web falsos que se hacen pasar por bancos importantes. Los sitios falsos le indican a la víctima que instalen una aplicación en sus dispositivos móviles, loq ue podría potenciar a nuevas infecciones y fugas de datos del dispositivo móvil. Una vez que el malware se ha instalado en el dispsoitivo, se descarga el navegador de Tor y comienza a comunicarse con los servidores C&C controlados por los delincuentes. Se registra la ubicación del dispositivo infectado y se personaliza la página bancaria falsa dependiendo de la ubicación de la víctima. 

El malware pide a las víctimas que inicie sesión en la página bancaria falsa con sus credenciales y también le pide su número de teléfono para configurar la autenticación por SMS. Desafortunadamente, OSX/Dok aún está suelto y sus propietarios continúan invirtiendo cada vez más en su ofuscación utilizando certificados legítimos de Apple. El malware ha sido portado desde Windows, lo cual indica, también, una nueva tendencia.

OSX/MacRansom: Puede ser el comienzo del Ransomware as a Service

MacRansom es un nuevo malware que está en Mac. Este nuevo malware es un ransomware que hace peligrar la accesibilidad de los archivos de tu equipo, ya que los cifra y solicita el rescate. Descubierto por investigadores de Fortinet, el malware fue descrito como un Ransomware as a Service. Por otro lado, Patrick Wardle de Objective-See, ha estado trabajando en el análisis del malware obteniendo una serie de datos interesantes. OSX/MacRansom es un pieza de ransomware, particularmente, no avanzado desde un punto de vista técnica. Esta es la primera impresión que indica el investigador Wardle.

Lo que hace interesante a MacRansom es que está dirigido a los usuarios de macOS y que, además, se ofrece como un servicio. Hay que recordar que ayer hablábamos de MacSpy, malware as a service. Por lo que podemos ver y entender una dedicación de los delincuentes por los equipos Mac y ofrecer soluciones para controlar los equipos y extorsionar a sus usuarios. Según el análisis realizado por Fortinet, se habla de que hay un portal web en TOR, con el que se puede personalizar el malware. 

Figura 1: Portal en TOR de MacRansom

Respecto a los detalles técnicos, hay que indicar que el malware cuando es ejecutado tiene varias comprobaciones anti depuración y anti-VM. Todas las comprobaciones son básicas y triviales:

• Utilización de ptrace.
• Utilización de funciones para ver si se ejecuta en una máquina virtual. 
• Utilización de sysctl para detectar máquina virtual. 

Una de las cosas más curiosas de este malware es que antes de llevar a cabo el cifrado de los documentos y solicitar el rescate, intenta crear persistencia en el equipo. En el análisis llevado a cabo por Wardle se muestra como Lucky es capaz de detectar el intento de persistencia del malware y como este intento se realiza antes de cifrar los archivos, se puede detectar la existencia del malware en el equipo antes de que haga daño.

Figura 2: Lucky detectando macRansom

Por otro lado, la herramienta RansomWhere de Objective See también es capaz de detectar al malware en el proceso de cifrado. Sin lugar a la duda, Mac es un target para los ciberdelincuentes. El incremento de la cuota de mercado es sin duda el desencadenante. Estaremos atentos a posibles noticias relacionadas con el ransomware en Mac.

MacSpy: Malware as a Service para OS X

MacSpy se anuncia como el spyware más sofisticado jamás creado para Mac y con el precio de gratis. La idea de un malware como un servicio o MaaS no es algo nuevo, pero se puede decir que es el primer paso que da esta idea en entornos OS X. Los autores de la plataforma afirman que crearon este malware debido a que los productos de Apple ganaron mucha popularidad en los últimos años. Además, indican que notaron falta de malware sofisticado, lo cual encaja con lo que Patrick Wardle comentó en su día. ¿Qué cosas tiene MacSpy que la hace especial? 

Las funciones de MacSpy según los autores, para la versión gratuita, son las típicas que podemos encontrar en otro tipo de RAT. Destaca, quizá, la sincronización con iCloud, las grabaciones de voz, la captura de pulsaciones de teclado, así como la captura cada 30 segundos del fondo de pantalla. En la imagen se puede visualizar las funciones ofertadas para la versión de demo. 

Figura 1: Características de la versión gratuita de MacSpy

Si observamos las funciones avanzadas de MacSpy, es decir, en la versión de pago, tenemos la posibilidad de ajustar el tiempo para las capturas de grabaciones y de pantalla que realice el software, cifrar un directorio en pocos segundos, quizá sea una funcionalidad optativa para un ataque ransom. Acceso a los emails y cuentas de redes sociales, capturar todos los archivos generados durante ese día y robarlos, etcétera.

Los comapñeros de AlienVault han analizado MacSpy. Se han dado de alta en MacSpy para estudiar el funcionamiento. Recibieron un correo electrónico en el que se proporciona las instrucciones, así como un archivo comprimido. Una vez se descomprime el archivo se observa que hay cuatro archivos: un binario de 64 bits denominado updated, otro binario de 64 bits llamado webkitproxy, otro archivo que es una librería llamado libevent-2.0.5.dylib y un archivo de configuración.

Figura 2: Correo electrónico enviado por MacSpy

La librería y el fichero webkitproxy están firmados por Tor, por lo que están relacionados con la función de Tor Onion. Los contenidos del archivo de configuración son una serie de directivas que tienen que ver con la configuración que tendrá MacSpy en su ejecución. El binario updated fue pasado por Virus Total obteniendo un resultado de 0 detecciones. El binario no está firmado digitalmente.

MacSpy tiene varias contramedidas que dificultan los esfuerzos del análisis. Para evitar la depuración, llama a ptrace() con la opción PT_DENY_ATTACH. Se trata de una comprobación anti-depurador común, la cual evita que los depuradores se unan al proceso. Además, MacSpy tiene código adicional que comprueba si se está ejecutando en un depurador. Además, MacSpy contiene comprobaciones contra el entorno de ejecución que pueden dificultar su ejecución en una máquina virtual. MacSpy también tiene opciones de persistencia, y lo hace a través de la creación de una entrada en la ruta $HOME/Library/LaunchAgents/com.apple.webkit.plist. Esto garantiza que el malware se ejecutará al inicio con el objetivo de continuar recopilando información.

MacSpy es una pieza interesante y un modelo de MaaS que, probablemente, comencemos a ver más en los próximos meses o años. Siempre se ha pensado que los usuarios de Mac están libres de malware, pero como puede verse el malware sigue aumentando en estos equipos. Seguiremos atentos a posibles noticias relacionadas con malware en sistemas Mac.

Liberado de forma gratuita Onion Browser para iOS

Cuando Mike Tigas creó la aplicación de Onion Browser para iOS en 2012, nunca pensó que tuviera el éxito que ha tenido. Además, le puso el precio más bajo que se puede poner a una app, 0,99 dólares. En el año 2016, Tigas se encontró viviendo en la ciudad de Nueva York y trabajando como desarrollador y periodista de investigación en ProPublica, mientras estaba ganando más de 2.000 dólares al mes con la aplicación. Mike empezó a tener ciertas preocupaciones globales sobre el anónimato en los iPhone y los uso de éstos. Esto le hice plantearse la posibilidad de liberar su aplicación en la AppStore.

Onion Browser es el navegador web oficial aprobado por Tor para iOS, aunque carece de algunas características disponibles en otras plataformas como Linux, macOS o Windows, debido a los bloqueos técnicos que ofrece iOS. Uno de los mayores desafíos a los que se enfrentan los desarrolladores son las limitaciones del renderizado y la necesidad de utilizar el Webkit de iOS. Además, la imposibilidad de ejecutarlo como servicio o daemon tampoco ha ayudado. Las soluciones propuestas para mejorar estas deficiencias han sido la utilización de una Tor VPN, la cual enruta todo el tráfico del dispositivo sobre Tor, y estará disponible posiblemente en el primer trimestre de 2017.

Figura 1: Onion Browser para iOS liberado

A diferencia de Tor u OrFox, Onion Browser no se basa en el motor de renderizado de Firefox Gecko. Esto tiene algo bueno, y es que no es vulnerable a vulnerabilidades que afecten a Firefox, pero también es malo, ya que el código no puede ser reutilizado. Como dijo Tigas, un auténtico desafío, y es que las API del Webkit de Apple no permiten mucho control sobre la representación y ejecución de sitios web. El Onion Browser no soporta la navegación por pestañas y el UX es bastante básico, pero Tigas está trabajando en una reescritura basada en Endless. Además, de añadir la navegación por pestañas, HTTPS Everywhere y HSTS son clave para la seguridad de la navegación. Son funcionalidades que estarán en la nueva versión.

Seguro que muchos usuarios reciben la liberación de esta aplicación con los brazos abiertos, por lo que es realmente interesante las nuevas funcionalidades y el tiempo y cariño y que Tigas le está dando a la aplicación de Onion Browser.

Eleanor: Un malware de OS X que espía desde DeepWeb #TOR #DeepWeb #OSX #malware

La empresa de seguridad BitDefender ha publicado una noticia alertando sobre una aplicación maliciosa con la que se puede tomar control de equipos Mac OS X a través de con conexiones de la red Tor. El software se denomina Easy Doc Converter y se supone que es un conversor de archivos de un tipo a otro, pero en realidad no hace lo que promete ni mucho menos. En vez de convertir archivos y listo, este software es en realidad un malware que proporciona acceso al equipo y a la información de éste, lo cual permite que sea utilizado como parte de, por ejemplo, una botnet. 

Según el líder técnico de BitDefender, este tipo de malware es particularmente peligroso, ya que es difícil de detectar y ofrece al atacante el control total del sistema comprometido. Las posibilidades de acción son infinitas, una vez que el equipo está infectado. El malware, conocido como Backdoor.MAC.Eleanor, pone en marcha un Hidden Service de Tor y un servidor web PHP con capacidad de actuación en el equipo infectado. Además, se genera un dominio .onion que el atacante puede utilizar para conectarse al Mac y controlarlo. Una vez instalado, el malware puede acceder al sistema de archivos de forma completa y se pueden ejecutar secuencias de comandos.

Figura 1: Panel de control del malware a través de Tor

El malware utiliza la herramienta wacaw, la cual es una herramienta de código abierto que permite tomar el control de la cámara del equipo infectado. Este hecho les permitiría espiar no sólo a la víctima, sino también tomar fotografías de ellos, abriendo, claramente, la posibilidad del chantaje. Las direcciones que el malware utiliza para comunicarse con su C&C son almacenadas en una cuenta de Pastebin, por lo que utiliza un covert channel. Estos datos se encuentran cifrados mediante RSA.

El malware para Mac comienza a ser muy común debido, entre otras cosas, a la cuota de mercado. Es recomendable utilizar herramientas de seguridad que protejan el equipo y las comunicaciones de éste. El investigador Jonathan Zdziarski comentó que hay que tener cuidado con lo que se instala en el equipo y ser consciente de que descargar aplicaciones conlleva un riesgo que debemos valorar.

Ransomware.OSX.KeRanger: El ransomware llegó a OS X

Los usuarios de OS X que han descargado el cliente de Torrent Transmission el viernes pasado o el sábado están siendo advertidos de actualizar a la última versión 2.92 para evitar ser blanco de un ransomware que se infiltró en una versión anterior del software de código abierto. Investigadores de Palo Alto informaron sobre la amenaza indicando que los atacantes infectaron dos instaladores de Transmission 2.90 con KeRanger durante la mañana del 4 de Marzo.

KeRanger es el nombre utilizado a lo que se cree que es el primer ransomware funcional para el sistema operativo OS X. El programa malicioso es capaz de conectarse a un servidor remoto a través de la red TOR y comienza el cifrado de ciertos tipos de archivos y datos. Después, como todo ransomware, el malware exige a las víctimas que paguen alrededor de 400 dólares a una dirección específica para recuperar sus archivos. El pago debe realizarse a través de bitcoins. 

Figura 1: Trannsmission infectado

Los investigadores advierten que el código malicioso está tratando de cifrar también las copias de seguridad de los usuarios de Time Machine, con el objetivo claro de evitar que éstos sean capaces de recuperar sus datos de la copia de seguridad. El mismo día en que Palo Alto advirtió sobre el ransomware se distribuyó con la aplicación Transmission, a través de la versión 2.90, por lo que hay que actualización a la versión 2.92 rápidamente. Apple también comenzó la distribución automática de una firma para XProtect. Apple ya ha revocado el certificado de la aplicación, por lo que si alguien quiere instalar Transmission entre las versiones infectadas se encontrará con la negativa por parte de XProtect.

Tor Browser for iOS un fork de Onion Browser que da tu IP

Hace ya tiempo que hablamos por aquí de Onion Browser, un cliente TOR no oficial que está disponible en la App Store para usar en iPhone o iPad. Esta herarmienta está desarrollada por Mike Tigas y de ella puedes ver el código fuente que está bajo licencia Open Source.

Figura 1: Onion Browser para iPhone

Sobre esta, un desarrollador llamado Ronen decidió utilizar el código de Onion Browser y crear un Tor Browser para iOS basado en él, pero metiendo publicidad en la app, lo que deja por completo invalidado el sistema de anonimato de la red TOR al exponer la dirección IP a los anunciantes.

Figura 2: Tor Browser, la fake app en la App Store

Esto hizo que tras su denuncia pública la herramienta fuera catalogada como fake app y se pidió a Apple en Diciembre que la retirara. Ahora ha acabado siendo retirada del App Store, tres meses después. Si te has instalado esta app en cualquier dispositivo, lo mejor es que te asegures de quitarla o si la uses tengas presente que no da ninguna de las protecciones que ofrece la red TOR.

Proteger e Infectar por Jacob Applebaum: NSA & iPhones

Jacob Applebaum

Durante los últimos días del año tiene lugar en Hamburgo el congreso de seguridad informática y hacking más importante de Europa, y uno de los más importantes del mundo. El Chaos Communications Congress recoge un conjunto de charlas que siempre son absolutamente rompedoras en cuanto a contenido y ponentes, y este año no está defraudando.

Entre ellas, queremos destacar la charla de Jacob Applebaum, conocido hacker con un historial más que destacable en el mundo del hacking y el hacktivismo, por sus trabajos con Julian Assange en Wikileaks, su empleo en GreenPeace y sus trabajos con herramientas de seguridad como vilefault - para descifrar FileVault de Apple - o su participación en la creación del proyecto TOR.

Este año, la charla de Jacob Applebaum ha estado centrada en las revelaciones de un documento de 2008 filtrado por Edward Snowden en las que se explica cómo la NSA tenía un software de espionaje creado para terminales iPhone llamado DROPOUTJEEP y que cuenta con capacidades para interceptar SMS, activar el micrófono, calcular la posición de las personas por triangulación de antenas GSM y tener controlada a la persona en todo momento.

Figura 1: Documento Top Secret de la NSA sobre DROPOUTJEEP

La charla de Jacob Applebaum esta disponible para ver online, y en ella se puede ver cómo explica que su creencia es que ese tipo de spyware no puede instalarse sin la complicidad de Apple, pero por supuesto afirma que no tiene pruebas de ello.

Figura 2: Charla de Jacob Applebaum sobre el spyware en iPhone de la NSA

Puedes ver ya todas las conferencias que se han impartido en el CCC de este año en la siguiente lista de Youtube, donde hay charlas sobre cómo funcionan los lásers en el espacio, nuevas técnicas de fraude online y el robo bancario, o un montón de nuevos pensamientos que seguro que estimulan tu cerebro. Selecciona alguna, y asiste virtualmente al congreso.

Actualiza Tor Browser para ser anónimo en la Deep Web

Hace ya un tiempo os escribimos por aquí un pequeño tutorial para poder navegar usando Mac OS X por la Deep Web, en concreto por la red TOR haciendo uso de la popular herramienta Tor Browser. Esta utilidad no es más que un bundle que paquetiza en un solo producto tanto el cliente necesario de la red TOR como el navegador Mozilla Firefox configurado ya para hacer uso de la red out-of-the-box, lo que hace que sea muy sencillo para cualquier persona conectar con la red TOR y disfrutar de las ventajas que supuestamente ofrece The Onion Routing, tales como son el anonimato y la privacidad de las conexiones.

Sin embargo, la controversia surgió cuando se descubrió que en la red TOR se estaba utilizando un exploit para Mozilla Firefox, el navegador utilizado en Tor Browser, que permitía ejecutar código arbitrario y descubrir cuál es la auténtica dirección IP de la conexión. El bug utilizado por el exploit (CVE-2013-1690) era conocido desde hace tiempo y había sido actualizado en la versión de Mozilla Firefox 17.0.7 y superiores, pero si se cuenta con una versión del paquete Tor Browser sin actualizar, cualquiera podría conocer la dirección IP original de la conexión.

Figura 1: Firefox ESR 17.0.7 en Tor Browser

La controversia aún fue mayor cuando se especuló con la posibilidad de que el exploit estuviera enviando los datos a servidores de la NSA, ya que inicialmente así lo decían los investigadores. No obstante, como ha publicado Ars Technica, parece que ya no está tan claro si la dirección IP que estaba recogiendo los datos de las víctimas de este exploit pertenece o no a la NSA. Por si acaso, comprueba la versión de TOR Browser y ten en cuenta que si quieres privacidad en la red TOR lo mejor es tener siempre el navegador actualizado y sin el uso de ningún plug-in habilitado. Y a ser posible sin JavaScript.

Terminales iPhone 5 falsos en venta en la Deep Web

Si has seguido las instrucciones del artículo sobre cómo entrar en la red TOR y vistar la Deep Web desde Mac OS X, tal vez te hayas topado con una oferta de un terminal de iPhone 5 que no puedes rechazar. Si tines cierta experiencia en los terminales iPhone, bastará con que prestes un poco de atención a la foto para que veas que es más falso que un dolar de plástico.

Figura 1: Oferta de "falso" iPhone 5 en la Deep Web

Ya os hemos hablado muchas veces de este tipo de estafas, para que no os den "Gato por iPhone" de los que hay cantidades ingentes de ellos, que luego acaban dando problemas. Ten en cuenta que aunque el terminal que compres sea auténtico, puede que deje de funcionar al poco tiempo. Mucho ojo con lo que compras o lo que vendes, que en algunos casos ha acabado con sangre.

Entrar en la red TOR de la Deep Web con Mac OS X

Como con cualquier otro sistema operativo, para entrar en la red TOR - una de las redes que forman parte de la llamada Deep Web - es necesario contar con un cliente instalado en el equipo. Este cliente de navegación junto con un navegador empaquetado se pueden descargar del proyecto Tor Browser, que viene junto todo para que sea fácil entrar en la red TOR.

Elige la versión de Tor Browser que se adapte a tu sistema operativo - soporta Mac OS X Snow Leopard, Lion y Mountain Lion de 32 y 64 bits - , y descárgala. Cuando vayas a ejecutarla, si tienes OS X Mountain Lion, lo más probable es que la protección para ejecución de software no firmado que proporciona GateKeeper. Si quieres que funcione el paquete deberás bajar este nivel de seguridad.

Figura 1: Opciones de seguridad de GateKeeper en OS X Mountain Lion

Te recomendamos que una vez termines de navegar por la Deep Web vuelvas a activar la protección de GateKeeper para evitar situaciones no deseables con software malicioso.

Cuando arranque Tor Browser, aparecerá el cliente de Vidalia, donde se podrán configurar opciones de conexión especiales. Cuando termine de establecer los túneles SSL con la red TOR, aparecerá la opción de Connected, lo que significará que ya estás en la red. El nodo al que te conectas sí que conoce tu dirección IP original, así que se fuera un nodo malicioso estaría teniendo acceso a todo tu contenido y sabría quién eres

Figura 2: Opciones de configuración de Vidalia Control Panel

Ahora ya puedes abrir el navegador Tor Browser y comprobar que estás dentro de la red, como se puede comprobar, con una dirección IP que corresponde a alguno de los nodos que forman TOR en ese momento.

Figura 3: Tor Browser

Si quieres ver cuántos servidores forman la red TOR en estos momentos, puedes ir al cliente de Vidalia y dar a la opción de View the Network, donde te aparecerá la lista de todos los servidores que en ese momento están dados de alta como válidos. Alguno de ellos puede estar controlado, así que ten cuidado.

Figura 4: Servidores de la red TOR en estos momentos

Una vez dentro, para encontrar la información que se oculta en los dominios .onion puedes utilizar varias técnicas. Aquí te dejamos algunas de ellas:

1.- Utilizar los buscadores de la Deep Web TOR: No son demasiado buenos indexando y mostrando resultados, pero son un inicio.  Torch [http://xmh57jrzrnw6insl.onion/] o The Abyss [http://nstmo7lvh4l32epo.onion/] son algunas de las alternativas.

Figura 5: Búsquea en la red TOR con Torch

2.- Utilizar el buscador de Onion.to: Este buscador está accesible desde la web normal, y no es necesario tener un cliente TOR para ver qué hay en TOR.

Figura 6: El buscador y Proxy Onion.to conecta los dominios .onion con la web normal

3.- Busca los intercambios de links: En sitios como Pastebin se producen intercambios de enlaces con las últimas direcciones publicadas en la red TOR, así que puede ser una buena opción ver qué se ha compartido por allí.

Figura 7: Listas de Pastebin con dominios .onion

En cualquier caso, cuando visites esta red desde tu OS X toma ciertas precauciones. Usa el navegador TOR Browser actualizado, ten un antimalware con protección en tiempo real, cuando termines asegúrate de borrar todo lo que hayas descargado en la caché. Si usas otro navegador, procura utilizar el modo de navegación anónimo y no tener cargado en él ni Java ni ningún otro plugin. Si te bajas algún fichero analízalo antes y si tienes dudas, envíalo a Virus Total. Y recuerda, la red TOR está vigilada, así que si haces algo malo, puede que tengas problemas con la justicia.