Microsoft parchea un agujero de seguridad en Remote Desktop Client for Mac

Microsoft ha parcheado un agujero de seguridad en la aplicación Remote Desktop Client for Mac, la cual permitía a un potencial atacante poder ejecutar código arbitrario. Esta aplicación es un cliente utilizado por muchos usuarios desde Mac para acceder al escritorio remoto de una máquina. La vulnerabilidad permite a un atacante leer y escribir en directorios de un usaurio si éste hace clic en un enlace. El investigador Cavallarin ha comentado que la falla de seguridad permitiría a los atacantes remotos ejecutar código arbitrario sobre las máquinas vulnerables, si los usuarios hicieran clic en un enlace malicioso, preparado para explotar la vulnerabilidad.

Es más, los atacantes podrían obtener acceso a leer y escribir en los directorios del Mac. El investigador indicó que Microsoft Remote Desktop Client for Mac OS X proporciona un terminal server malicioso con el que leer y escribir en el directorio del usuario en su conexión. Esta vulnerabilidad existe debido a la forma en qe la aplicación gestiona las direcciones con extensión rdp. En el esquema de url con extensión rdp es posible especificar un parámetro que hará que el directorio home del usuario sea accesible sin ningún tipo de advertencia o petición de confirmación al usuario.

Si un atacante consigue que un usuario con la aplicación vulnerable abra una dirección URL con extensión rdp maliciosa, ya podría tomar el control de la máquina. En Mac OS X, aplicaciones como Safari, Mail o Messages abren por defecto este tipo de enlaces sin confirmación. Es decir, una vez que el usuario hace clic, se abren y ejecutan sin confirmación al usuario. Incluso, el uso de direcciones acortadas puede ocultar, en algunos casos, que es lo que se ejecutará por detrás. Hay que tener cuidado y actualizar lo antes posible si eres usuario de esta aplicación en tu Mac.

El misterio de TeamViewer permite robar cuentas PayPal

Si tienes instalada la herramienta de TeamViewer en tu OS X o iOS debes tener mucho cuidado y cambiar las contraseñas de tu cuenta. ¿Qué ha ocurrido? Realmente no se sabe. Lo que sí se sabe es que varios usuarios de TeamViewer afirman haber sufrido enormes pérdidas, ya que veían como alguien se apoderaba del equipo y les vaciaban cuentas de Paypal. Al parecer diversos atacantes han conseugido acceder a las sesiones de TeamViewer remoto. Eso ha sido filtrado en los últimos días. 

Al parecer, incluso usuarios de TeamViewer con un segundo factor de autenticación han sufrido robos. La empresa indica que no han sufrido ningún hackeo de cuentas, por lo que no entiende exactamente que es lo que está ocurriendo. Las noticias que algunos usuarios han comentado en Internet, respecto a los robos y saqueo de cuentas no están ayudando a mantener la calma en la empresa de compartición de recursos. Es más, el equipo de TeamViewer ha lanzado el siguiente comunicado:

TeamViewer está consternado por cualquier actividad criminal. Sin embargo, la fuente del problema, de acuero con nuestra investigación, es un uso descuidado y no una brecha de seguridad potencial en el lado de TeamViewer. Por lo tanto, no hemos sido hackeado, ni existe un agujero de serguridad. TeamViewer es seguro de utilizar y cuenta con las medidas de seguridad adecuadas. Nuestros datos apuntan a un uso descuidado como la causa del problema reportado.

Figura 1: TeamViewer en OS X

La respuesta técnica de TeamViewer ha sido utilizar la función dispositivos de confianza, la cual se requiere para autenticar todos los dispositivos que accedan a su cuenta de TeamViewer. Así, como el restablecimiento de contraseñas. Esta noticia traerá, sin duda, mucho más contenido. Seguiremos atentos desde el blog para contaros novedades.

Chrome Remote Desktop: El escritorio remoto de Google para controlar Windows y OS X... desde dispositivos iOS

Esta semana, Google ha publicado la versión para dispositivos iOS de su popular aplicación Chrome Remote Desktop. Se trata sencillamente de una aplicación de escritorio remoto que permite controlar un equipo desde cualquier dispositivo móvil. Esta aplicación gratuita, que se instala desde la Chrome Web Store, requiere disponer del navegador Google Chrome instalado, así como dar permisos para la aceptación de conexiones entrantes en el equipo. 

Para autorizar una conexión, la aplicación genera un token único que debe introducirse en el equipo a controlar, lo cual aporta un nivel más de seguridad al ser necesario disponer en algún momento de acceso físico a ambos dispositivos. El año pasado Google publicaba la versión para Android de la aplicación, y puesto que tuvo muy buena acogida, no es de extrañar que en su afán por ampliar su alcance de mercado haya desarrollado una versión para productos de Apple.

Figura 1: Chrome Remote Desktop para iPhone controlando un Mac

Con Chrome Remote Desktop, es posible acceder a un ordenador, ya sea Windows o Mac, desde cualquier lugar y en cualquier momento. Además, en buenas condiciones de recepción de señal, el lag es mínimo, con lo que la navegación es muy fluida. Esto hace que Chrome Remote Desktop sea una aplicación especialmente útil para equipos de IT a la hora de prestar servicios de soporte a distancia desde cualquier sitio. Este tipo de utilidades siempre acaban siendo útiles, así que merece la pena tenerla en el radar.

Actualizaciones de Apple Remote Desktop

Durante este mes de Diciembre se han puesto en circulación nuevas versions de los productos de Apple Remote Desktop que solucionan diferentes fallos de funcionalidad, compatilidad y disponibilidad de las herramientas. Las nuevas versiones disponibles se pueden descargar desde los siguientes artículos de la knowledge base de Apple:

- Apple Remote Desktop 3.7.1 Client

- Apple Remote Desktop 3.7.1 Admin
- Apple Remote Desktop 3.7 Dashboard Widget

Si quieres tener todo el software de tus aplicaciones actualizado, aprovecha esta mañana de sábado para poner al día tus aplicaciones de Apple Remote Desktop.

Un troyano para Mac OS X en AppleScript del año 2008

Hoy volvemos a echar un vistazo a la historia del malware en sistemas operativos Mac OS X con el troyano AppleScript.THT. Al igual que los creadores de malware aprovecharon el lenguaje HyperTalk para crear con él en Mac OS todos los virus de  HyperCard, el lenguaje AppleScript introducido en los equipos Mac OS X tras la compra de la empresa NeXT fue aprovechado también para hacer un troyano, que fue descubierto hace ya unos años allá por el 2008.

AppleScript.THT fue un troyano que afectó a los equipos Mac OS X Tiger 10.4  y Mac OS X Leopard 10.5. Este troyano explotaba una vulnerabilidad en Apple Remote Desktop Agent para ejecutarse con privilegios de administrador. Dicho troyano se distribuyó por Internet como un AppleScript y fue clasificado como de nivel crítico.

Figura 1: Apple Remote Deskotp

Una vez que se ejecutaba oculto en el sistema, permitía al atacante tener acceso remoto, de esta manera, podría registrar las pulsaciones del teclado, es decir, actuar como un keylogger, tomar capturas de pantalla, fotografías con la cámara y ejecutar cualquier comando en el sistema. Cuando el troyano está instalado en el equipo se ubicada en la carpeta / Library / Caches carpeta bajo el nombre AStht_06.app.

A día de hoy el lenguaje AppleScript sigue estando presente y funcional en los equipos Mac OS X actuales, pero no se han descubierto más muestras de malware que hagan uso de él.

Nuevas versiones de iTunes, Remote Desktop, iCloud Control Panel y actualizaciones de firmware disponibles

En la web de soporte es posible acceder a nuevas versiones de software de muchos de los productos de software más populares de Apple. Hemos estado buscando información de seguridad y salvo información relativa a soluciones a problemas de estabilidad no hemos podido encontrar ninguna referencia más en la lista de seguridad o la web de la knowledge base de seguridad. No obstante, os recomendamos tener actualizado todos los programas para que mejore la estabilidad de vuestro sistema. Este es el software disponible:

- Apple iTunes 11: La principal novedad de iTunes 11 parece ser la nueva interfaz y el rediseño total del software, aunque en la web se hace referencia a contenido de seguridad que Apple aún no ha puesto disponible. Nos apostaríamos un Apple I a que acabará apareciendo dentro de poco tiempo un Security Advisory. Por si acaso, id actualizando. Esta versión está disponible para Mac OS X y para equipos Windows de 64 bits. 

- Apple iCloud Control Panel 2.1 para Windows: Esta versión tiene como principal novedad el soporte para Windows 8 y no hace referencia a ningún contenido de seguridad, así que si piensas migrar a la nueva versión del sistema operativo de escritorio de Microsoft debes usar esta nueva versión de Apple iCloud Control Panel. 

- Apple Remote Desktop: Se ha publicado la versión Apple Remote Desktop Client 3.6.2 que dice solucionar un fallo de estabilidad cuando se comparten gráficos vía iChat y la versión Apple Remote Desktop Admin 3.6.1 que hace referencia a contenido de seguridad pero que no está publicado aún - cosas de Apple -. 

- ThunderBolt Firmware Update 1.1: Solo para equipos MacBook Pro de mediados de 2012, y corrige un fallo de estabilidad. Actualiza si tienes uno de estos equipos. 

- LED Display Software Update 1.1: Es una actualización para los equipos Cinema Display de 27 pulgadas que soluciona un fallo con el audio.

Muchas de estas actualizaciones están disponibles vía Software Updates o la Mac App Store. Aunque no hay mucha información disponible por parte de Apple sobre los fallos de seguridad, como más vale prevenir que lamentar os recomendamos que actualicéis lo antes posible todo vuestro software.

Apple publica Remote Desktop 3.5.3. What The F**K?

El 21 de Agosto Apple publicó el Security Advisory APPLE-SA-2012-08-20-1 en la que anunciaba la versión Apple Remote Desktop 3.6.1 que arreglaba la vulnerabilidad CVE-2012 CVE-2012-0681 por la que aunque se eligiera la opción de cifrar la comunicación con un servidor de terceros, si esta no podía negociarse, la comunicación iba en claro sin avisar al usuario.

Figura 1: APPLE-SA-2012-08-20-1

Ahora, el 17 de Septiembre Apple ha publicado el Security Advisory APPLE-SA-2012-09-17-1 en el que anuncia Apple Remote Desktop 3.5.3 ue arreglaba la vulnerabilidad CVE-2012 CVE-2012-0681 por la que aunque se eligiera la opción de cifrar la comunicación con un servidor de terceros, si esta no podía negociarse, la comunicación iba en claro sin avisar al usuario.

Figura 2: APPLE-SA-2012-09-17.1

Seguro que tiene mucho sentido, pero nosotros no se lo hemos encontrado aún, así que algo no ha quedado suficientemente claro por parte de Apple al explicarlo. ¿Está claro para ti? ¡Cuéntanoslo!

Actualización: Para más confusión, Apple ha publicado el 24 de Septiembre la versión 3.6.1.. otra vez WTF2?

Figura 3: Nuevas actualizaciones el 24 de Septiembre

Apple Remote Desktop 3.6.1 arregla el CVE-2012-068

Apple ha publicado en las principales listas de seguridad el Apple-SA-2012-20-8-1 para anunciar la disponibilidad de una actualización de seguridad de Apple Remote Desktop 3.6.1, el cliente de escritorios remotos o servidores de terminales, en la que se arregla un único bug de seguridad, descubierto por un estudiante de la Universidad de Central Connecticut State llamado Mark S.C. Smith y catalogado con el CVE-2012-068.

Según la información disponible en el artículo de la Knowledge Base HT5433, el bug permite, cuando se conecta la aplicación Apple Remote Desktop a un servidor VNC de terceros con la opción de cifrar todos lo el tráfico de red. Si dicho cifrado no se produce, no se muestra ningún aviso y las comunicaciones se hacen en claro, pudiendo llevar a un descubrimiento de información sensible por la red. El fallo se ha solucionado añadiendo un túnel SSH para la conexión VNC en la configuración, y evitando la conexión si dicho túnel no puede ser creado.

El bug no afecta a las versiones Apple Remote Desktop 3.5.1 o inferiores y está solucionado en Apple Remote Desktop 3.6.1, que puede ser descargado desde: Descargar Apple Remote Desktop 3.6.1. Si usáis este cliente, os recomendamos que lo actualicéis cuanto antes.

Apple TV Update 5.0.1 y Remote Desktop 3.5.3 Client

Apple ha publicado un par de actualizaciones de sus productos que, aunque no han informado de que solucionen ningún bug de seguridad, sí que arreglan problemas de estabilidad y compatibilidad. Los productos son:

- Apple TV Update 5.0.1: Añade la posibilidad de ver los preview en iTunes en HD. Arregla un problema que hacía que algunas aplicaciones iOS fallaran al conectar por AirPlay. Mejora la estabilidad de las conexiones en los servicios de Home Sharing, un problema con la navegación Netflix y fallos de rendimiento y estabilidad generales. Puedes encontrar más información en el artículo de la Knowledge Base HT4448. 

- Apple Remote Desktop 3.5.3 (Client): Esta actualización está incluida en Mac OS X Lion 10.7.4, pero debe instalarse manualmente en equipos Mac OS X Snow Leopard 10.6.X, y arregla problemas y fallos de compatibilidad y estabilidad del producto. Está disponible en el artículo DL1532, así que te recomendamos que actualices para evitar caídas de servicio inoportunas.

Detectar Mac OS X y LogMeIn con DNS Cache Snooping

La técnica de DNS Cache Snooping consiste en consultar las resoluciones de nombres de dominio que se encuentran cacheados en el servidor DNS de una empresa para así conocer a qué servidores se están conectando los equipos internos de una red. Veamos un ejemplo para entenderlo.

DNS Cache Snooping

Supongamos que un equipo de la red interna de una empresa quiere conectarse a este blog, es decir, a www.seguridadapple.com. Para ello, primeramente necesita conocer cuál es la dirección IP asociada a este nombre de dominio, así que consultará al servidor DNS que tiene configurado el equipo en las opciones TCP/IP de la conexión. Si este es un servidor de la empresa interno, inicialmente no conocerá la respuesta, así que comenzará un proceso de consultas recursivas entre servidores DNS para alcanzar un servidor que sí que conozca la dirección IP.

Cuando la dirección IP llega al servidor interno de la organización, éste almacenará durante un tiempo la información obtenida en la memoria Caché por si algún otro equipo realiza la misma consulta. Si durante el ese tiempo, algún otro equipo realiza la consulta, entonces contestará directamente sin necesidad de realizar el proceso recursivo de descubrimiento de la respuesta.

La técnica de DNS Caché Snooping se basa en eso, en conocer que información está en la memoria Caché de un servidor DNS de una organización. De esta forma se pueden conocer hábitos de navegación, software instalado y hasta reconocer perfiles de personas en una organización y saber si están o no activos en un momento dado.

Para obtener esa información, basta con configurar las consultas al DNS interno como consultas no recursivas, es decir, que si el servidor DNS no conoce la respuesta, que no lance ninguna otra pregunta a otro servidor. Así, si conoce la respuesta, es decir, está en caché, se obtendrá la dirección IP asociada a un nombre de dominio, y si no, se obtendrá una referencia al servidor DNS al que habría que preguntar.

Analizando las conexiones de LogMeIn

Esta semana pasada estuvimos hablando de LogMeIn, el servicio que permite conectarse remotamente a un Mac OS X por medio de una página web y, pensando en la arquitectura, nos dimos cuenta de que se podría detectar la existencia de Mac OS X en una red interna con ese servicio mediante la técnica de DNS Cache Snooping. 

Los equipos con LogMeIn instalado, realizan conexiones hacia los servidores de dicho servicio, y el usuario solo tiene que conectarse a esos servidores. Es por tanto necesario que el equipo con LogMeIn anuncie su existencia en Internet conectándose a ellos.

Para conocer cuál es el proceso, procedimos a capturar con Wireshark una sesión de comunicaciones entre un cliente Mac OS X con LogMeIn instalado y analizamos las peticiones DNS y obtuvimos lo siguiente.

Figura 1: Peticiones realizadas a LogMeIn analizadas con Wireshark

Como se puede ver, se realizan una serie de peticiones a servidores de LogMeIn como son:

- dc.logmein-gateway.com

- list.2.logmein-gateway.com

- control.app59.logmein.com

Tras analizar los registros que se consultan, uno de ellos, en concreto list.2.logmein-gateway.com, parece ser una lista con los servidores que puede utilizar el equipo para anunciarse.

Figura 2: Valores del registro list.2.logmein-gateway.com de tipo TXT en el servidor DNS

Tras realizar varias pruebas vimos que los equipos consultan, de forma aleatoria, uno de los siguientes cuatro registros:

- list.1.logmein-gateway.com

- list.2.logmein-gateway.com

- list.3.logmein-gateway.com

- list.4.logmein-gateway.com

Y  partir de ahí el servicio de LogMeIn se conecta a uno de los servidores descritos en esa lista.

¿Cómo detectar los Mac OS X con LogMeIn?

Pues basta con utilizar cualquier herramienta de DNS Cache Snooping y configurarla para buscar estos registros, si alguno está en la caché DNS, entonces se podrá inferir que hay algún Mac OS X con el servicio LogMeIn. La FOCA tiene un módulo de DNS Cache Snooping que puede usarse para detectar software vulnerable.

Si quieres obtener la FOCA Pro y aprender más sobre cómo sacarle partido, puedes apuntarte al training online del día 14 de Marzo.

Administra tu Mac OS X remotamente con LogMeIn

LogMeIn es una herramienta gratuita que ofrece el control remoto de un equipo con Windows o Mac OS desde cualquier ordenador con conexión a Internet, sin necesidad de realizar un ‘mapeo’ de puertos o instalar un software especial en la máquina cliente. Gracias a la facilidad de instalación y ‘puesta en marcha’ que ofrece, consideramos que se trata de una herramienta a tener en cuenta para los usuarios que desean controlar sus equipos de forma remota, ya que permite su control desde cualquier navegador.

Su descarga puede realizarse desde la siguiente URL: Descargar LogMeIn, y tras su instalación y ejecución se mostrará un panel de configuración similar al que se muestra a continuación.

Figura 1: Panel de configuración de LogMeIn

Desde aquí se tiene acceso a una gran cantidad de opciones que permiten visualizar los usuarios conectados, establecer contraseñas adicionales a las del sistema, enviar invitaciones para compartir el escritorio o  carpetas de archivos, entre muchas otras.

A continuación veremos los pasos necesarios para compartir un fichero de forma remota a través de LogMeIn. Para compartir el escritorio (‘Desktop Sharing’) es necesario realizar los mismos pasos desde la pestaña correspondiente.

Compartiendo ficheros

Accediendo a la pestaña ‘File Sharing’ visualizaremos los ficheros que estamos compartiendo, junto con su tamaño y fecha de caducidad (tras compartir un fichero puedes indicar el tiempo que éste estará disponible, dejando de ser compartido tras llegar a la fecha indicada).

Figura 2: File Sharing

Para compartir un fichero es necesario realizar clic sobre el botón ‘Share a file’, donde se nos mostrará una nueva ventana en la cual nos permitirá establecer una configuración concreta para este archivo, entre las cuales podremos indicar el tiempo que estará disponible y el número máximo de veces que podrá ser descargado.

Figura 3: Compartir un fichero, con limitación de tiempo y mediante invitación

También es posible indicar si deseas enviar el link de acceso al fichero a través de email, o por si el contrario deseas generarlo y distribuirlo manualmente, tal y como se ve en la Figura 4 que se muestra a continuación.

Figura 4: Enlace de compartición de fichero por LogMeIn

Visualizar las conexiones remotas por LogMeIn a tu Mac OS X

En la pestaña ‘Options’ podremos acceder a ‘Preferences’, desde donde se nos permitirá realizar un gran número de configuraciones para ‘poner a punto’ nuestro sistema y al panel de ‘Connection and Event Details’, desde donde podremos visualizar las conexiones que están siendo establecidas.

Figura 5: Conexiones remotas por medio de LogMeIn

Acceder remotamente al equipo con LogMeIn

Por último, para realizar una conexión a través de escritorio remoto podremos acceder a la página de logmein.com, la cual dispone de una interfaz desde donde se visualizarán la lista de equipos asociados a nuestra cuenta, y desde donde se nos permite acceder al sistema tras introducir unas credenciales válidas del sistema.

Figura 6: Acceso a través de la página de LogMeIn

Una vez nos hemos autenticado satisfactoriamente, podremos administrar nuestro equipo mediante el navegador, tal y como se puede apreciar en la Figura 7.

Figura 7: Accediendo a tu escritorio remoto desde el navegador

Como se puede ver, LogMeIn es una herramienta flexible, fácil de usar, y que te permite realizar cosas con tu equipo de sobremesa desde cualquier lugar que te encuentres, que te va a permitir tener todos tus documentos preparados para usar desde el lugar que estés y en el momento en que lo necesites.

Conexión RDP desde Mac OS X a sistemas Windows

El protocolo RDP (Remote Desktop Protocol) es un sistema desarrollado por Microsoft que permite la conexión contra terminales Windows. Por ello, Microsoft ha desarrollado una aplicación RDP cliente para los sistemas operativos Mac OS X desde el cual es posible la realización de conexiones contra sistemas operativos de la casa de Microsoft. Si eres un usuario experto, sabrás como hacerlo funcionar, pero para los usuarios menos avanzados, aquí va un sencillo Step-by-Step.

Activar el escritorio remoto en Windows

Para probar la funcionalidad, antes de nada es necesario habilitar el acceso remoto en el sistema Windows en la pestaña ‘Acceso remoto’ en las 'Propiedades del Sistema', activando el checkbox ‘Permitir conexiones de asistencia remota a este equipo’.

En las opciones avanzadas se puede cambiar el puerto de conexión, que deberá especificarse a la hora de conectarse. Una vez instalada la herramienta cliente en Mac OS X, únicamente es necesario ejecutar la aplicación e introducir la dirección IP del equipo Windows. Si se ha cambiado el puerto, este deberá especificarse detrás de la dirección IP, es decir IP:PUERTO. Si vas a tener habilitado siempre el escritorio remoto, tal vez sea una buena idea cambiar este puerto para evitar visitantes curiosos.

Tras introducir las credenciales del equipo remoto, se nos abrirá la terminal desde la cual ya podremos administrar el sistema Windows desde el Mac OS X.

En los siguientes artículos veremos cómo realizar conexiones de escritorio remoto desde Windows-Mac y Mac-Mac utilizando VNC y securizando las conexiones. Recuerda deshabilitar el escritorio remoto en tu máquina Windows cuando acabes el trabajo para evitar atacantes curiosos que escanean redes.