El Phishing golpea duramente a Apple en este primer semestre de 2019

La conocida firma de seguridad Kaspersky Labs ha afirmado que durante el último año el número de ataques phishing dirigidos a dispositivos de Apple incluyendo iPhones y MacBooks ha crecido masivamente llegando a alcanzar la cifra de 1,6 millones de dispositivos afectados en el primer semestre de 2019. Según la firma de seguridad este crecimiento en el número de ataques se ha dado gracias a innovadores métodos de ingeniería social utilizados por los atacantes. Según los expertos los servicios de soporte de Apple y el gran volumen de dispositivos de la marca que hay en el mercado es lo que atrae a los cibercriminales y está afectando al crecimiento de este tipo de prácticas.

Según el estudio realizado por Kaspersky Labs el número de ataques de phishing sufridos en lo que va de año es aproximadamente un 9% mayor al de los ataques experimentados en todo el año pasado, esto se debe a las innovadoras técnicas de ingeniería social utilizadas por los criminales. A diferencia del phishing, el volumen de software malicioso que amenaza a los usuarios de macOS y iOS es mucho menor que el que afecta a los usuarios de Windows y Android. Por otro lado, el número de casos de páginas web falsas que utilizan la marca Apple para atraer a los usuarios a sitios fraudulentos ha aumentado significativamente en el primer periodo de 2019, alcanzando la exorbitante cifra de 1,6 millones. En el estudio también se ha llegado a la conclusión de que Brasil, La India y Francia son los países que encabezan la lista de países con mayor número de infecciones (reuniendo más del 50% de los casos).

“Aunque técnicamente este tipo de estafas no sea algo nuevo, creemos que suponen un riesgo mayor para los usuarios de Apple que el uso de técnicas similares para otras plataformas como Windows o Android. Esto se debe que el ecosistema alrededor de los Macs y otros dispositivos Apple es considerado más seguro por los usuarios y al pensar eso son menos cuidadosos cuando acceden a páginas fraudulentas” ha dicho Tatyana Sidorina, una de los investigadores de Kaspersky Labs.

Figura 1: Correo phishing alertando de que tu cuenta debe ser verificada.

Como han explicado los investigadores, los esquemas de fraude más utilizados son los diseñados para suplantar la interfaz de servicio iCloud. De esta manera, los ciberdelincuentes podrían robar los credenciales de Apple ID de los usuarios comprometidos. Los enlaces a estos servicios falsos suelen provenir de e-mails no deseados que se hacen pasar por correos electrónicos de soporte técnico. En ellos es común alertar al usuario de que si no accede al enlace proporcionado su cuenta podría ser bloqueada. Otro método de los más utilizados es el uso de páginas o correos que alertan al usuario de que su equipo puede estar viéndose comprometido por una amenaza evidentemente inexistente y que puede solucionarlo actualizando sus credenciales y datos bancarios. Según Kaspersky cerca del 40% de los casos de phishing del último año buscaban monetizar el ataque a parte de obtener los datos de las víctimas.

Este nuevo ataque phishing permite bypassear 2FA

Desde hace unos años los dobles factores de autenticación nos han ayudado a proteger nuestra identidad digital de una forma rápida y sencilla. A pesar de la dura capa de seguridad que resultan ser los 2FA unos expertos han demostrado que no son completamente infalibles y es posible engañar a una víctima para que revele sus credenciales e incluso facilite su código OTP. Este ataque se demostró por primera vez en la conferencia Hack in the Box que tuvo lugar en pasado mes en Ámsterdam. El video de la demostración fue publicado en YouTube y busca resaltar el hecho de los ciberdelincuentes son cada vez mejores rompiendo las capas extra de seguridad a pesar de que usemos herramientas como 2FA.

El hack empleado en la demo para romper 2FA utiliza una combinación de dos potentes herramientas llamadas Muraena y NecroBrowser, las cuales trabajan en tándem para automatizar el ataque. La combinación de estas dos herramientas trabaja a la perfección ya que una realiza el ataque y la otra realiza un seguimiento de la sesión de la víctima. Muraena es la herramienta encargada de capturar el tráfico entre la víctima y el sitio web actuando como un proxy. Una vez que Muraena lleva a la víctima hasta una página falsa (de aspecto similar a la auténtica) solicitará a los usuarios sus credenciales y el código OTP, al igual que lo haría la página original. En cuanto Muraena ha autenticado la cookie de la sesión comienza el trabajo de NecroBrowser, una herramienta capaz de crear ventanas para mantener el seguimiento de miles de cuentas.

Figura 1: Demostración del ataque en la conferencia Hack in the Box

Su autor también ha publicado en GitHub una demostración del ataque para que otros desarrolladores puedan analizar cómo funciona detalladamente. Varios expertos en el ámbito de la ciberseguridad han asegurado que estas herramientas facilitan mucho el trabajo a los atacantes “amateur”. También han querido resaltar que no hay razones para perder la confianza en los dobles factores de autenticación o en la biometría ya que dificultan mucho el trabajo de los atacantes y son una mejor alternativa que utilizar únicamente un usuario y una contraseña. Independientemente del método que escojas para proteger tus cuentas desde Seguridad Apple queremos recordarte la importancia de una rápida actuación si sospechas que alguna de tus cuentas puede haberse visto comprometida.

Como funcionan los ataques phishing tras el robo de un dispositivo

No es la primera, ni será la última vez que os hablemos de Phishing en este blog. En este caso os explicaremos como se llevan a cabo este tipo de estafas para la obtención de credenciales en dispositivos que han sido robados. Cuando extraviamos o nos roban nuestro teléfono por lo general tratamos de bloquearlo a través de nuestra operadora telefónica o recuperarlo a través de herramientas de localización como Find my iPhone. En algunos casos estas herramientas pueden incurrir en un robo o estafa aún mayor, el robo de nuestros credenciales. A continuación os explicaremos cómo es posible.

Todo comienza con un mensaje de texto (o un correo electrónico) en otro de nuestros dispositivos, en el mensaje se alerta de que el dispositivo extraviado ha sido localizado, también suele incluir un enlace desde el cual puedes acceder a la página de Apple en la que comprobar la localización del mismo, el problema viene cuando se suplanta esta página. En la mayoría de los casos el dominio al que accedemos desde estos enlaces maliciosos no corresponde con el sitio oficial de Apple aunque en algunos casos se pueda utilizar la esteganografía para simularlo en la barra de direcciones. En la página fraudulenta se solicita que introduzcas tus credenciales de Apple ID para localizar tu dispositivo (como sucedería en la página oficial de iCloud), sin embargo al introducir los anteriores datos también solicita el código de desbloqueo de tu dispositivo, algo que Apple nunca haría.

Figura 1: Solicitud del código de desbloqueo

Una vez introducidos los datos que solicita la página esta te ofrece una localización (falsa) en la que podrás encontrar su dispositivo a través de Google Maps. En este ataque se utiliza la ingeniería social para obtener el número de teléfono y/o correo electrónico de la víctima y enviarle un mensaje del tipo spear phishing con el que aprovecharse del mal momento y la desesperación por la que está pasando. Desde Seguridad Apple os recordamos la importancia de revisar todos los enlaces que recibimos a través de nuestro correo o vía SMS. Ante la duda os recomendamos acceder a los servicios que necesitéis a través de su página principal usando el navegador. También aprovechamos para recordaros que el uso de dobles factores de autenticación puede ser de vital importancia en este tipo de situaciones.

Toca hacer la declaración de hacienda: Temporada de Phishing

Se acerca la época de pagar tasas y de realizar las declaraciones de la renta en EEUU y como es un clásico también las estafas relacionadas con las mismas. Durante el mes de febrero ya se realizaron más de 300.000 intentos de estafas phishing al día y ahora que se aproxima el fin del plazo para realizar los pagos este número va en incremento ya que durante las últimas dos semanas de plazo cerca del 20-25% de los estadounidenses realizan su declaración. Microsoft es consciente de este problema y ha aprovechado para advertir a sus usuarios de los peligros de realizar estos trámites a última hora y ha facilitado una serie consejos con los que evitar incurrir en estafas.

Las contraseñas no son suficiente: No confiéis vuestra seguridad a una simple contraseña, utilizad un doble factor de autenticación siempre que sea posible. Con el doble factor de autenticación será necesario introducir un código temporal o usar biometría aparte de la contraseña, haciendo que sea mucho más difícil acceder vuestra cuenta, Además Microsoft ofrece su app Authenticator (aunque podeis utilizar otras alternativas, como Latch), con la que podréis gestionar el inicio de sesión en vuestros dispositivos, incluyendo productos de Apple.

Se cuidadoso con el e-mail: Microsoft recomienda no fiarse de ningún link sospechoso que recibamos por email, sobre todo cuando sea un correo que no esperamos, también es recomendable analizar el remitente antes de descargar ningún archivo contenido en el email. A la hora de realizar todas las gestiones es de vital importancia asegurarse de hacerlo a través de la página oficial accediendo a ella directamente desde el navegador.

Figura 1: Estafa phishing basada en devolución de renta

Se aún más cuidadoso con los archivos adjuntos: Los archivos adjuntos son buenos lugares para esconder malwares con los que obtener tu información personal. Este es uno de los métodos más utilizados por los criminales debido a su eficacia, por la red circulan numerosos archivos PDF de aspecto inocuo pero que incorporan malwares con los que se obtienen los credenciales de las personas que los descargan.

Mantén tu Software actualizado: Mantener tu software actualizado es de vital importancia, ya que en las actualizaciones se incluyen varios parches de seguridad y con ellas se arreglan algunas vulnerabilidades que pueden resultar críticas.

Nueva campaña de phishing dirigida a usuarios de iOS con autenticación en Facebook

Este mes se ha detectado una nueva campaña de phishing dirigida a los usuarios de iOS (pero facilmente replicable para dispositivos Android) . Esta campaña les solicita que inicien sesión con su cuenta de Facebook y así pueden obtener sus credenciales. Para llevar a cabo este ataque, la compañía Myki cuenta en el informe que los atacantes clonan los sitios web para engañar y atraer a las víctimas, una vez en el sitio los atacantes piden que se autentiquen con Facebook. Una vez autenticados, se verá un mensaje indicando que su cuenta se ha visto comprometida.

A continuación, se puede ver en el vídeo una PoC haciendo uso de un sitio falso de AirBnB.

Jebara cuenta que el ataque no está del todo bien implementado y contiene algunos defectos tanto: “El inicio de sesión con indicaciones de Facebook se presenta como una ventana externa en Safari, no como una pestaña adicional a la que el usuario cambia, ya que la URL de origen sigue apareciendo de forma minimizada en la barra de navegación falsa de Facebook". Pero avisa, los defectos comentados pasarán desapercibidos para la mayoría de los ojos, ya que las acciones serán familiares a los usuarios. Como mecanismo de protección para este ataque, Jebara indicó que usar un factor de autenticación múltiple o un administrador de contraseñas hubiese sido eficaz.

Nueva campaña de Phishing con Seguridad Nacional como objetivo

Una nueva campaña de ciberespionaje ha tomado como objetivo la Seguridad Nacional y a instituciones académicas de EEUU, se cree que esta operación está siendo llevada a cabo por un grupo de hackers provenientes de Corea del norte. Como en otros casos, el ataque ha utilizado la técnica del spear phishing que consiste en el envió de e-mails que contienen nuevos malwares como BabyShark. Se sabe que esta nueva campaña comenzó a lo largo de noviembre y fue descubierta a comienzos de año, por el momento parece seguir estando activa.

Los e-mails en cuestión están diseñados para parecer enviado por un experto en seguridad que trabaja de consultor en seguridad nacional y que aborda varios temas importantes de seguridad incluyendo el tema nuclear. Mientras que gran parte del contenido de estos e-mails es publicidad que se puede encontrar en internet, los atacantes también utilizan contenido que no es público, algo que sugiere que esta campaña de phishing ya se ha cobrado alguna victima con acceso a documentos importantes. Como en la mayoría de los ataques phishing la campaña se centra en engañar a los usuarios para que activen los macros y así dejen actual a algunos malwares como BabyShark, un malware que al comunicarse con un servidor de control obtiene la clave para mantener su acceso a la red.

Figura 1: Esquema de funcionamiento de BabyShark

Un reciente análisis realizado a BabyShark ha revelado su conexión con otras campañas de hacking norcoreano como la de KimJongRAT, con la que se cree que comparte una base de datos en la que se almacena un gran volumen de información recogida por ambos malware. Por el momento se cree que BabyShark es otro malware norcoreano que forma parte de una campaña de hacking en la que los objetivos han sido especialmente seleccionados por la información confidencial y delicada con la que tratan.

Como hacen los estafadores para acceder a los iPhone bloqueados por iCloud

Durante los últimos años la seguridad de los iPhone ha ido aumentando obligando a los ladrones a utilizar distintas técnicas para luego poder revender los dispositivos sin que sean rastreados, en primavera de 2017 comenzó una oleada de robos en la que los ladrones acorralaban a sus víctimas y les pedían que borrasen su cuenta de iCloud antes de darles el dispositivo. Algo parecido ha sucedido el pasado mes en Philadelfia, se han perpetrado una serie de robos a mano armada en el que los asaltantes daban instrucciones muy concretas a las víctimas para que deshabilitasen iCloud.

En 2013 Apple introdujo la función de seguridad de solo poder vincular una cuenta de Apple ID a cada dispositivo, haciendo que si este cambiaba de dueño fuese necesario borrar la anterior cuenta, esta medida de seguridad pretendía conseguir que los dispositivos de Apple dejasen de ser un objetivo para los criminales. Aunque también se pueda borrar la cuenta de iCloud por razones legítimas como la sustitución del terminal por otro más nuevo en una empresa o para revenderlo, cada vez son más las “empresas de reparación” o asociaciones criminales que tratan con dispositivos bloqueados. Para desbloquear los dispositivos, estas asociaciones recurren a cibercriminales o a distintas estafas de ingeniería social con los trabajadores de las Apple Store.

Figura 1: Cómo eliminar cuenta de iCloud en iPhone.

En la red también se pueden encontrar y adquirir distintos kits de phishing diseñados para obtener credenciales de iCloud. Actualmente existen tres métodos para desvincular una cuenta de iCloud de un dispositivo, el primero de ellos y el más sencillo es a través de la contraseña de la cuenta, en este caso los atacantes suelen obtenerla vía ataques de Phishing (es común el uso de correos que suplantan a Apple y redirigen a falsas páginas de Find My iPhone). El segundo método consiste en que el encargado de una Apple Store borre la cuenta en el dispositivo, para hacer esto en muchas ocasiones es necesario recurrir a un ataque basado en ingeniería social. Para terminar, el último método y el que resulta más complicado, consiste en extraer el procesador de la placa base y reprogramarlo convirtiéndolo así en un dispositivo nuevo, aparte de las complicaciones técnicas que conlleva este proceso es necesaria la obtención de un nuevo código IMEI. Aunque no siempre que se elimine una cuenta de iCloud de un dispositivo sea por motivos ilegítimos cualquiera de las practicas anteriormente mencionadas es ilegal y puede conllevar penas de cárcel. 

Scams con los que debes que tener cuidado este noviembre

Octubre se fue y los disfraces de Halloween no son lo único que puede darnos un susto en estas fechas, los cibercriminales no descansan e intentarán hacerse con tus datos, tu dinero o trataran de robarte la idea de tu disfraz. A continuación os haremos un breve recorrido por algunas de las estafas más habituales durante esta época del año y os daremos algún que otro consejo para evitar caer en ellas.

Recuperar cuenta de Apple:

Este es una de las estafas más habituales desde hace años, pero sigue siendo una de las que más víctimas se cobran. La estafa consiste en un correo urgente que suplanta a Apple y te alerta de que tu cuenta ha sido bloqueada, además te ofrece un link que te redirige a un formulario que deberás rellenar con varios de tus datos personales. La mejor forma de no caer en esta estafa es realizar siempre todos los trámites desde la página oficial de Apple.

Scam de la caridad:

No hay nada peor que la gente con malas intenciones que se aprovecha de las desgracias de los demás. Tras desastres como el del Huracán Katrina algunos estafadores realizan campañas suplantando organizaciones que recogen donativos para ayudar a la gente. Antes de realizar cualquier donación comprueba que la organización con la que vas a tratar es de confianza y que está dada de alta por el sistema regulador del estado.

Figura 1: Estafas a la caridad

Descarga de falsas App para Android: 

Recientemente se han descubierto una serie de campañas que se aprovechan de los mensajes SMS para cometer estafas. Una de ellas consiste en enviar un SMS en el que se ofrece un link con el que descargar una app de mensajería de voz gratuita, si intentamos descargarla facilitaras a los atacantes la ID de tu dispositivo, la marca, modelo versión de OS, tu dirección IP e incluso el tipo de conexión que utilizas. Según McAfee ya se han detectado más de 5000 víctimas desde el mes de marzo.

Estafas de inversión: 

Desde la aparición de las criptomonedas estas se han convertido en objetivo de estafas, muchos usuarios intentan usar las criptomonedas para hacer dinero rápido y pueden acabar perdiendo miles de dólares. Una de las estafas más comunes es la creación de una falsa criptomoneda que aparenta ser muy prometedora animando a muchos usuarios a invertir en ella antes de que salga al mercado.

Figura 2: Se han realizado estafas a través de Crypto Shield

Con el historial de los vehículos:

En la actualidad comprar o vender un coche no resulta sencillo debido a la cantidad de papeleo que el proceso supone. Durante el último año se ha hecho popular una estafa que consiste en solicitar el historial del vehículo a través de una página web especializada para ello. Los estafadores pasan un link que suplanta una de estas páginas y que tiene un coste de 20 $ por realizar los trámites, después de pagar e introducir toda tu información personal el comprador interesado desaparece y tus 20 $ con él.

Consejos para no caer en una estafa a través de tu e-mail

Tanto en el ámbito empresarial como en el personal, el uso del correo electrónico se ha convertido en algo habitual durante los últimos años. El correo electrónico nos permite recibir alertas de nuestras cuentas, recibir facturas de compra y realizar muchas otras gestiones de nuestro día a día de una forma más rápida y efectiva. Por desgracia esto es algo que también saben los estafadores y que aprovechan para realizar ataques phishing que pueden tener graves consecuencias para nosotros. Según un informe publicado por Verizon Data Breach Investigations, el 90% de casos de sustracción de datos son resultado de ataques phishing.

Octubre es el mes de la concienciación en el ámbito de la ciberseguridad y en Seguridad Apple aprovechamos para daros unos consejos y trucos para no caer en un ataque phishing a través del correo electronico. Comenzamos recordándoos que el uso de enlaces falsos es una de las prácticas más habituales. En la mayoría de los casos el atacante intenta que su víctima acceda a una página falsa que suplante alguno de los servicios que utiliza habitualmente, para ello se utiliza un link de apariencia legítima. Para comprobar que un link no es malicioso solo tendremos que situar el puntero del ratón sobre él y comprobar que la dirección que nos muestra corresponde con la del sitio oficial. Muchas veces los atacantes suplantan la dirección de contactos o empresas que nos resultan conocidas para que resulte más fácil caer en la estafa, por eso es importante comprobar siempre los enlaces y en caso de tener cualquier duda acerca de su legitimidad contactar con la persona o empresa para confirmar que no se está corriendo ningún riesgo.

Figura 1:Estafa de phishing a cliente de Apple

Un fallo común que nos puede ayudar a detectar un ataque phishing es una ortografía incorrecta o la falta de signos de puntuación. Se han dado muchos casos en los que un error gramatical ha alertado a los usuarios de que no estaban accediendo a una página legítima. Otra de las tácticas más comunes para hacer que alguien caiga en la trampa es el uso de mensajes urgentes, al alertar a un usuario de que alguna de sus cuentas se ha visto comprometida este tiende a intentar solucionar el problema lo antes posible haciendo que sea más fácil que utilice un link malicioso. Para terminar hay que tener cuidado con los archivos adjuntos en los correos, ya que puede darse el caso de que contengan malware.

Guía de seguridad para tu Secure Summer! (Parte 3)

Con este artículo completamos y damos por finalizada la serie Guía de seguridad para tu Secure Summer! A continuación, incluiremos los últimos términos en nuestro abecedario de amenazas y concluiremos con algunas recomendaciones básicas tanto para minimizar las posibilidades de ser objeto de las amenazas mostradas como de mitigar las consecuencias de los ataques enumerados a lo largo de esta serie.

Guía de seguridad para tu Secure Summer! (Parte 2)

En este post continuamos con la segunda parte de la Guía de seguridad para tu Secure Summer! Recogemos el testigo del post anterior y procedemos a expandir nuestro diccionario de términos.

Como introducíamos en el primer artículo, Las técnicas de ciberataques han evolucionado mucho durante los últimos años, desde simples estrategias de engaño haciendo uso del email hasta hasta malware que detecta las pulsaciones del teclado de la máquina atacada. Debido a la importancia y al valor de la información a la que los atacantes se esfuerzan por tener acceso, todo lo relacionado con la privacidad del usuario y la protección de los datos personales ha aumentado considerablemente. 

ElevenPaths Talks: El arte del engaño

El próximo 9 de agosto de 2018, tenemos un nuevo ElevenPaths Talks, la serie dónde nuestros expertos hablan de seguridad y de temas de actualidad. Muchos de nuestros expertos y especialistas han dado charlas, desarrollado diversas herramientas, demos y pruebas de concepto relacionadas con la Ingeniería Social. En este webinar nos vamos a dedicar de lleno a estas cuestiones y a ver cómo picamos a las "víctimas".

Encarar el tema de la Ingeniería Social desde las herramientas, no es algo sencillo, siempre creemos necesario comprender que existen ciertas bases que son fundamentales para lograr el éxito, por eso en este #11PathsTalks, sentaremos algunas bases claras para que todos podamos conversar el mismo lenguaje y luego veremos con demostraciones prácticas y con anécdotas divertidas, algunos casos que pueden ser de utilidad para nuestros seguidores. Tanto sobre cómo lograr el éxito, como sobre qué cosas pueden salir mal.

Figura 1: ElevenPaths Talks

La sesión comenzará a las 15.30, hora española. El talk dura unos 45 minutos. Se publicarán en nuestro canal de Youtube. Si te perdiste algún capítulo de las anteriores temporadas puedes revisarlos en el canal de Youtube de Eleven Paths. Además, no pierdas la ocasión de exponer tus ideas y hablar con otros usuarios en la Community de Eleven Paths ¡Te esperamos!

Fue Noticia en seguridad Apple: del 2 al 14 de julio

Ya es verano y en Seguridad Apple seguimos trabajando para traeros algunas de las mejores noticias en el ámbito de la seguridad informática relacionadas con el mundo de cupertino. Este es nuestro nuevo Fue Noticia, sección en la que os traemos un breve resumen de las noticias más relevantes de las últimas dos semanas. Todo ello aderezado con el mejor contenido de otros sitios de referencia.

Comenzamos el lunes 2 presentándoos OSX.Dummy, un malware enfocado a los usuarios de Slack y Discord que utilizan criptomonedas. 

El martes 3 os avisamos del lanzamiento de una nueva patente de Facebook que permitiría la activación del micrófono de nuestros smartphones para realizar escuchas de nuestro entorno.

El miércoles 4 os contamos cómo Apple ha demostrado que se equivocaba a un investigador que aseguraba ser capaz de evitar el borrado de datos durante los ataques de fuerza bruta en los iPhone.

El jueves 5 os contamos cómo un informe publicado por Appthority ha revelado que miles de Apps en iOS y Android filtran datos a través de Firebase debido a unas bases de datos mal configuradas.

El viernes 6 os planteamos una interesante pregunta: ¿es realmente necesario un antimalware para tu Apple Watch?

El sábado 7 indagamos un poco más en la historia de Apple, esta vez para hablaros del verdadero origen y significado que hay detrás del logotipo de la manzana mordida.

El domingo cerramos la semana alertándoos del descubrimiento de un nuevo ataque phishing que afecta directamente a los usuarios de family Sharing.

El lunes 9 os hablamos de la aparición de un nuevo problema relacionado con las baterías de los iPhones, en este caso el problema surge tras actualizar el sistema operativo a iOS 11.4.

El martes 10 os avisamos de que ya han sido solucionados los problemas que estaba generando Electra Jailbreak para iOS 11.2 y 11.3.1

El miércoles 11 os informamos de la resolucion del juicio entre Apple y la justicia Australiana por el caso del brickeo de iPhones reparados por empresas de terceros.

El jueves 12 os contamos como podéis instalar aplicaciones fuera de la App Store de iOS y os lo mostramos a traves de una pequeña prueba de concepto.

El viernes 13 os enseñamos como podéis instalar Electra Jailbreak en vuestros dispositivos que corran iOS 11.2 hasta iOS 11.3.1. y os recordamos los riesgos que esto conlleva.

Finalmente, ayer sábado contamos cómo un grupo de ingenieros intentó "colar" un puerto de expansión en el Macintosh como si fuera un puerto de diagnóstico.

Es posible involucrar a Siri en ataques de phishing

Recientemente los investigadores de la firma de ciberseguridad Wandera han logrado demostrar que es posible utilizar Siri para realizar ataques de Phishing. La realización de este tipo de ataques es posible gracias a una de las funcionalidades que incorpora el asistente de Apple desde iOS 9. La funcionalidad en cuestión trata de reconocer a las personas que llaman o envían mensajes y que no se encuentran en nuestra lista de contactos. Al hacerlo, Siri muestra en nuestra pantalla el mensaje “Quizás, nombre de la persona”. El problema surge cuando esto puede utilizarse para suplantar a empresas o entidades bancarias.

Como ha explicado James Mack, uno de los investigadores de Wandera que descubrieron la vulnerabilidad, hay dos formas de realizar este truco de ingeniería social. El primer método consiste en el envío de un correo falso suplantando a una empresa como “Acme Financial”, en el correo se incluye el número de teléfono con el que se llevará a cabo la estafa. En el caso de que la víctima responda el correo, ya sea voluntariamente o con un mensaje de respuesta automática cuando este número llame Siri mostrará el mensaje “Quizas: Acme Financial”. El segundo método es incluso más sencillo de llevar a cabo, basta con enviar un mensaje de texto. Si una entidad desconocida se identifica con un nombre propio en el mensaje entonces la función de Siri utilizará ese nombre para identificar ese contacto en mensajes posteriores.

Figura 1: Siri identifica número desconocido

Los atacantes pueden utilizar este disfraz como una ventaja a la hora de realizar un ataque phishing, ya sea llamando objetivo para “confirmar detalles de la cuenta” o enviando un enlace malicioso. Esta táctica aparentemente no funciona con ciertos términos como “Banco” o “Credit Unión”, sin embargo es posible utilizar el nombre de varias entidades bancarias o el nombre de algunas celebridades. Wandera reportó el problema como un fallo de seguridad a Apple el 25 de abril, pero la respuesta de la empresa californiana fue que no lo consideraban una vulnerabilidad y fue reclasificado como un fallo de software que esperaban resolver en posteriores actualizaciones.

Fue Noticia en seguridad Apple: del 7 al 19 de mayo

Con el verano a la vuelta de la esquina en Seguridad Apple seguimos trabajando para traeros las mejores noticias en el ámbito de la seguridad informática relacionadas con el mundo de la manzana. Este es nuestro nuevo Fue Noticia, sección en la que os traemos un breve resumen de las noticias más relevantes de las últimas dos semanas. Todo ello aderezado con el mejor contenido de otros sitios de referencia.

Comenzamos el lunes 7 avisándoos de la posible llegada de un nuevo jailbreak para las últimas versiones de iOS 11.2 y 11.3.

El martes 8 os contamos cómo Apple sigue oponiéndose a realizar un Backdoor en sus productos para facilitar los trabajos de investigación del FBI y otras organizaciones gubernamentales tras el reporte de la RGS. 

El miércoles 9 os alertamos del descubrimiento de un nuevo Scam que está afectando directamente a la Fiscalía General del estado de Mississippi. 

El jueves 10 os hablamos del debate que ha surgido en torno al Face ID en el que se habla acerca de su grado de velocidad y seguridad a la hora de autenticar a un usuario.

El sábado 12 os hablamos de Black Dot, el nuevo Bug Unicode capaz de bloquear tanto dispositivos Android como dispositivos iOS.

El domingo cerramos la semana contándoos como activar y desactivar el sonido de carga en cualquier MacBook con macOS 10.10.3 o versiones posteriores. 

El lunes 14 os hablamos de las razones por las que Apple ha decidido eliminar algunas de las aplicaciones de su App Store dos semanas antes de la llegada del nuevo Reglamento General de Proteccion de Datos. 

El martes 15 os contamos como eliminar dispositivos obsoletos de vuestra aplicación de Find my iPhone de una manera definitiva.

El miércoles 16 os alertamos de una nueva campaña de Phishing que se aprovecha del revuelo creado por las nuevas políticas de la GDPR.

El jueves 17 os hablamos de las razones por las cuales el Security Update 2018-001 ocupa tanto espacio.

El viernes 18 os avisamos de la llegada de la tercera sesión de la segunda temporada de Code Talks for Devs que abordará el tema del Air Profiling con una interesante prueba de concepto.

Finalmente, ayer sábado, y como cada sábado, nuestro artículo referente a las historias más increíbles del mundo Apple. En esta ocasión le llega el turno al Apple II by Commodore, una situación que casi llega a ocurrir. Interesante historia que os recomendamos que leáis.

Sin más, os citamos de nuevo dentro de dos semanas con un nuevo resumen de la actualidad en el mundo Apple, las cuales vienen cargadas de actualidad y novedades. Disfrutad de la primavera y seguid leyéndonos diariamente para estar informado de la actualidad en el mundo de la manzana mordida. 

Un phishing para robar los Apple ID aprovechando el revuelo de la GDPR

Hoy traemos una nueva campaña de phishing dirigida a usuarios de Apple, la cual intenta engañar a las víctimas para que actualicen sus perfiles bajo la apariencia de ser parte de una preparación proactiva de seguridad para la introducción de la GDPR o políticas de Regulación General de Protección de Datos, las cuales entrarán en vigor el 25 de mayo de este año. El objetivo es convencer a las víctimas para que revelen las credenciales de la cuenta de Apple a fin de recopilar información personal, incluida la tarjeta de crédito. Esta estafa es una de las muchas que aprovechan la inminente introducción de la GDPR en la Unión Europea. 

La estafa se detectó el 30 de abril, utiliznado la técnica de la ingeniería social y el envío de emails. La amenaza fue detectada por investigadores de Trend Micro. El correo electrónico que las víctimas reciben se hace pasar por un correo legítimo de Apple. En el correo se indica que la cuenta de Apple ha sido limitada debido a una actividad inusual y les insta a actualizar sus detalles de pago a través de un enlace. Al final el usuario acaba en un sitio web no legítimo y que parece ser Apple, pero no lo es. 

Figura 1: Sitio web de Apple no legítimo

Los ciberdelincuentes utilizan cualquier tipo de noticia o evento para llevar a cabo un engaño en la web. En este caso es la GDPR la que proporciona la "excusa" perfecta para hacer que los usuarios accedan a sus serivicios de Apple. Es un buen gancho ya que todo el mundo habla ahora mismo de la GDPR en la Unión Europea. Parece que la amenaza del phishing ha sido neutralizada, pero hay que estar con todos los sentidos bien abiertos. Estaremos atentos desde Seguridad Apple a otros posibles casos que salgan en los próximos días.

¡Ojo en tu Mac! Nueva oleada de Scams en los borradores de Hacienda en Estados Unidos

Se acerca la época de pago de tasas e impuestos, sin duda una de las mejores épocas para que los estafadores usen todas sus técnicas para recopilar datos. Como es habitual desde hace años, Hacienda ya ha avisado del peligro de caer en una estafa a la hora de hacer los borradores, de hecho ha publicado una lista de las 12 estafas más habituales (Dirty Dozen) a la hora de hacer el borrador. Este año la lista está encabezada por los correos phishing que suplantan a la Agencia Tributaria y solicitan datos personales de los ciudadanos.

Investigadores de Zscaler han publicado recientemente en su blog el hallazgo de al menos cuatro nuevos casos de phishing en los cuales se utilizaban páginas falsas que suplantaban la página oficial de la Agencia Tributaria. Los equipos de Apple están siendo también objetivo, en este caso, ya que cualquiera puede ser objetivo de este tipo de ataques.

“Los cibercriminales llevan un tiempo utilizando la ingeniería social y los ataques phishing para robar información a sus víctimas sin levantar sospechas, aprovechan los acontecimientos y tendencias para hacer que sus ataques sean más sofisticados y efectivos. La temporada de pago de impuestos ofrece a estos atacantes la posibilidad de suplantar varias empresas u organismos del estado para obtener información de miles de usuarios”

Figura 1: Edificio de Hacienda en EEUU

El principal objetivo de estos ataques es la obtención de los datos bancarios y en muchos casos de las contraseñas de las víctimas. En muchos de los casos las páginas fraudulentas enviaban un mensaje avisando de que el tiempo para rellenar el formulario ha expirado, a continuación te ofrecen la posibilidad de recargar la página redirigiéndote a la página oficial sin levantar sospechas. Las consecuencias de este tipo de ataques pueden ser graves, en muchos casos la información sustraída se utiliza para solicitar falsas devoluciones y así monetizar el ataque. En la gran mayoría de los casos se puede evitar este tipo de ataques simplemente revisando la URL de cada página antes de introducir nuestros datos en los formularios.

Los delincuentes venden por 15 dólares los Apple ID

Los delincuentes están pagando solo 15 dólares por los Apple ID. Las cuentas comprometidas de Apple iCloud se encuentran entre las más valiosas de las que se comercializan por Internet, por lo que los usuarios de Apple deben asegurarse de protegerse contra el fraude y los ataques de phishing. Una de las principales razones por las que los usuarios de Apple deben tener cuidado con este tipo de ataques y de robos es que las cuentas de iCloud pueden realizar diferentes tipos de acciones, los cuales son 'golosos' para los delincuentes como, por ejemplo, el detalle de las tarjetas de crédito, las compras en línea, las contraseñas para sus sitios web, etcétera. 

Cada usuario de Apple debe pensar en el valor de los datos que están tratando de proteger y utilizar mecanismos como el 2FA. Un dato muy impactante es que los Apple ID son de las cuentas más valiosas de las que se comercializan, exceptuando servicios bancarios y financieros. Es decir, de las cuentas individuales son las más valiosas. Si observamos los detalles de algunas cuentas, éste sería el ranking:

• Apple ID: 15 dólares
• Amazon: menos de 10 dólares
• Detalles cuenta eBay: 12 dólares
• Skype: menos de 10 dólares
• Inicio de sesión de Uber: 7 dólares
• Detalles de la cuenta Match.com: 3 dólares

 

Figura 1: Phishing iCloud

El alto valor de un Apple ID refleja el grupo demográfico más rico de los usuarios de Apple, el valor de la riqueza asociada a los datos en iCloud y la conexión de detalles de pago a estas cuentas. Sin duda, son datos interesantes y que deben hacer pensar al usuario en cómo proteger un poco más sus cuentas, aplicando esquemas de 2FA para ello.

Steve Wozniak cuenta como fue estafado con Bitcoins

Steve Wozniak ha admitido haber sido víctima de un fraude con Bitcoin. Las noticias del incidente surgieron en una conferencia en la India, dónde Wozniak describió la pérdida de siete Bitcoins con un estafador que pagó con una tarjeta de crédito, pero que luego emitió un contracargo. De todos los tipos de fraude con Bitcoin, intercambios falsos, billeteras falsas, ataques de phishing en billeteras, esto que contó Wozniak debe contar como uno de los más básicos. 

La estafa parece sencilla y hay que estar alerta. Una víctima acuerda vender Bitcoins a un comprador, que paga por ellos utilizando una tarjeta de crédito. Uan vez que se ha transferido la moneda, el comprador emite una devolución de la tarjeta, lo que significa que es probable que el vendedor termine sin nada. Esto explota una característica de Bitcoins de que las personas que venden la moneda de forma irregular podrían no darse cuenta y es que una vez que los transfieres, ya no los puedes recuperar. 

Figura 1: Steve Wozniak

Todo esto y debido a que identificar a los estafadores no es algo fácil, Wozniak comentó: "¡Así de fácil! Es posible que el estafador simplemente afirmara que la tarjeta había sido robada cuando no lo había sido. Las devoluciones se pueden emitir semanas o meses después de la transacción, lo que aumenta el riesgo para cualquier persona que reciba pagos de esta manera. Wozniak no dice cuando ocurrió el fraude, pero si fue hace algún tiempo sus pérdidas hubieran sido mucho menores que si sucediesen en la época grande del Bitcoin, de diciembre de 2017.

The fappeningg continua publicando fotos intimas de famosas en 2018

Hace aproximadamente cuatro años estalló por primera vez el conocido escándalo del Celebgate, también conocido como The Fappening. Lo que sucedió fue que se realizó una filtración masiva de fotografías íntimas de famosas, las cuales fueron obtenidas de sus cuentas de iCloud. En la actualidad el sitio web donde se publicaron sigue activo y sigue añadiendo fotografías de nuevas víctimas. El caso más reciente es el de Mikaela Hoover, la que es ya la segunda víctima de este 2018. Esta actriz de 33 años conocida por su papel de asistente del Cuerpo Nova en Guardianes de la Galaxia se ha puesto en contacto con la policía de Los Ángeles y ha denunciado el robo de al menos 40.000 fotografías de las cuales 119 ya han sido publicadas en la web de Fappening.

Independientemente del curso que haya tomado la investigación de este caso no parece que los ciberdelincuentes que llevan a cabo este tipo de ataques vayan a parar de hacerlos. A pesar de que al menos cuatro de los responsables de las filtraciones realizadas entre 2014 y 2017 hayan sido arrestados y condenados a entre 9 y 18 meses de prisión sus “compañeros” no parecen interesados en cambiar sus propósitos para este año. Durante el 2014 el sitio web publicó las fotografías de unas cuantas famosas, de las cuales la víctima más prominente fue la ganadora del oscar Jennifer Lawrence. Tras esto The Fappening hizo un parón hasta 2017 cuando volvió a publicar fotografías de numerosas celebridades como Miley Cyrus o Anne Hathaway.

Figura 1: Mikaela Hoover en Guardianes de la Galaxia.

Es importante recordar que estas son las consecuencias de una serie de ataques de Phishing que toman como objetivo cuentas de iCloud con el fin de acceder a ellas y a todo el contenido e información que estas albergan. Se ha demostrado que en la mayoría de los casos las fotos publicadas en la red han sido obtenidas gracias a que la función de backup en iCloud estaba activada. A pesar de poder desactivar esta función, la mayoría de los usuarios la mantienen activada porque viene así por defecto. Con la popularidad que está obteniendo este tipo de ataques en Seguridad Apple queremos recordaros la vital importancia del uso de los dobles factores de autenticación ya que su uso puede paliar las consecuencias de un ataque Phishing haciendo que a pesar de que los atacantes dispongan de la contraseña de nuestra cuenta no puedan acceder ella.