Fue Noticia en seguridad Apple: del 4 al 17 de marzo

Nos encontramos a mediados de marzo y en Seguridad Apple continuamos trabajando para traeros algunas de las mejores noticias en el ámbito de la seguridad informática relacionadas con el mundo de la manzana. Este es nuestro nuevo Fue Noticia, sección en la que os traemos un breve resumen de las noticias más relevantes de las últimas dos semanas. Todo ello aderezado con el mejor contenido de otros sitios de referencia.

Comenzamos el lunes 4 hablándoos de un nuevo RCE Exploit de Webkit que podría dar lugar a un nuevo jailbreak estilo jailbreakMe para iOS 12.1.4.  

El martes 5 os informamos de que EFF ha pedido a Apple que permita sus usuarios cifrar las copias de seguridad que hagan en iCloud.

El miércoles 6 os contamos cómo Google ha revelado un fallo grave en el kernel de macOS tras cumplir el plazo de 90 días para su corrección.

El jueves 7 os avisamos de que Linus Henze ha decidido compartir los detalles de su exploit con Apple sin obtener ninguna recompensa a cambio dada su preocupación por la seguridad de los usuarios de Mac.

El viernes 8 os alertamos de que los periféricos de vuestros Mac pueden estar comprometidos debido a una vulnerabilidad en el acceso directo a la memoria.

El sábado 9 indagamos en la historia de Apple para contaros en que consistió el último intento de Apple por salvar el ordenador Lisa.

El lunes 11 os contamos como lograr un interfaz más minimalista en vuestro iPhone utilizando carpetas sin nombre.

El martes 12 os enseñamos como reactivar o instalar por primera vez unc0ver jailbreak en vuestros iPhones o iPads.

El miércoles 13 os hablamos de los dispositivos dev-fused de Apple, dispositivos rooteados por Apple y que están adquiriendo un gran valor en el mercado negro.

El jueves 14 os contamos como unos investigadores de Trend Micro han descubierto un sitio en Torrent que contiene varias aplicaciones maliciosas.

Finalmente, ayer sábad, hablamos sobre una de las noticias de la semana, la World Wide Web. Un interesante artículo lleno de curiosidades que envuelve a Steve Jobs. 

OSX/Shlayer: Nueva variante de Adware para macOS

Investigadores de Intego descubrieron, el pasado mes de Febrero, una nueva variante de malware en OSX denominado OSX/Shlayer. Este malware se hacia pasar por una actualización de Adobe Flash Player para infectar sistemas con adware. OSX/Shlayer también se encontró en algunas descargas de torrent. El malware instala un perfil de configuración que fuerza a la página de inicio de un navegador a establecerse como chumsearch.com. Este perfil toma el control de la configuración de la página de inicio en Safari y en Chrome. 

La infección es sencilla, al igual que ocurre con otras variantes de Shlayer, y es a través de un falso reproductor de Adobe Flash y el uso de una falsa actualización. Una vez el usuario es engañado para obtener el falso software, el resultado es una imagen de disco autoinstalable. Luego se puede ver una imagen similar a la que se muestra a continuación.

Figura 1: Falso Adobe Flash

Una vez que se inicia el instalador, se da a elegir al usuario entre instalación Express o Custom Installation. La redacción está muy cuidada, por lo que no es fácil detectar el problema.  Eso sí, el acuerdo de licencia presentado no hace referencia a Adobe Flash Player, sino que hace referencia a Advanced Mac Cleaner. Esto es una gran señal de que algo no está bien, pero la mayoría de los usuarios están acostumbrados a hacer clic rápidamente en "Aceptar" y "Continuar". Cuando se pulsa en "Aceptar", se presenta al usuario una solicitud de contraseña.

Figura 2: Solicitud de credenciales en la instalación

¿Qué se instala con OSX/Shlayer? Cuando se termina de instalar, lo que realmente ocurre, es que se han terminado de añadir al equipo las siguientes cosas:

• Extensión de Chumsearch para Safari. 
• MyShopCoupon. 
• Advanced Mac Cleaner.
• MediaDownloader.
• MyMacUpdater.
• Un instalador real de Adobe Flash Player.
• También ajusta la página de inicio en Safari y Chrome.

Sin embargo, no se realizan más ajustes que pudieran provocar que nuevas ventanas o pestañas se carguen, más allá de lo comentado anteriormente. En definitiva, OSX/Shlayer es simplemente el "cuentagotas" que actúa como puerta de entrada a su sistema e instala una gran cantidad de otros componentes, como los mencionados anteriormente.

Según expertos habrá más malware para mcOS en 2017

Según varios estudios el malware para Mac seguirá aumentando, el sistema operativo de escritorio de Apple podría no estar preparado para afrontar la situación, tal como han afirmado algunos expertos en la conferencia RSA que tuvo lugar en San Francisco hace unos días. Amit Cybereason investigador de Serper asegura que MacOS es tan vulnerable como cualquier otro sistema operativo y que las amenazas que están llegando a Mac cada vez son más y son fáciles de explotar gracias a los avances en la ingeniería social.

Con en aumento en las medidas de seguridad también aumenta el malware, recientemente ha incrementado el número de casos en el que un malware engaña a los usuarios de macOS para que instalen herramientas gratuitas o software cuyo origen no es legítimo y podría dañar nuestros equipos, es muy importante que solo se utilicen herramientas o antivirus oficiales y de fiar.

Hoy en día abundan los scareware que por medio de anuncios y ventanas emergentes te aseguran que la seguridad de tu equipo está comprometida y que debes instalar una herramienta para solucionar el problema cuando tu equipo en realidad no está infectado. Para evitar caer en estas trampas Wardle ha creado una serie de herramientas para Mac que podréis obtener de forma gratuita en su página web, independientemente Wardle también recomienda el uso de LittleSnitch, un sistema de firewall para macOS que cuesta 35 dólares.

Figura 1: Bypass Gatekeeper

Uno de los principales problemas a los que se enfrenta Mac es que cualquiera que disponga de una tarjeta de crédito con 99$ en ella puede obtener un certificado de desarrollador de Apple y la posibilidad de firmar software, gracias a esto se podría evadir Gatekeeper e instalar software malicioso. Además de esto Wardle y el investigador alemán Stefan Esser encontraron una brecha de seguridad en XProtect, el software antivirus que incorpora Mac, el cual aseguran esta anticuado haciendo que se pueda llegar a obtener privilegios root.

El gran aumento de usuarios de Mac ha provocado un incremento en el número de atacantes que ven un mundo de posibilidades para encontrar vulnerabilidades y explotarlas en este sistema operativo. En el pasado 2016 un ramsonware fue capaz de infectar muchos equipos a través de la instalación de versiones corrompidas de BitTorrent Transmission, lo que nos recuerda el cuidado que debemos de tener al instalar cualquier programa en nuestros equipos.

OSX/Keydnap nuevo malware distribuido con el cliente Transmission

Ha vuelto a ocurrir, el cliente de torrent para OS X Transmission ha vuelto a ser el causante de distribución de malware a través de un instalador manipulado. Los días 28 y 29 de agosto se llevó a cabo toda la trama y el paquete e instalador de Transmission fue infectado con un malware para OS X denominado Keydnap. Hay que recordar que Transmission ya fue golpeado con KeRanger. La versión anterior de OSX/Keydnap requería que los usuarios hicieran clic en un archivo, el cual ejecutaba una terminal del sistema operativo desde la que se lanzaba el instalador definitivo.

Al incluir a Keydnap con el instalador de Transmission, el malware se ejecuta sin la necesidad de ser ejecutado por el usuario, ni se requiere autenticación adicional, más allá de la necesaria para instalar Transmission. Además, como el cliente torrent está firmada correctamente, Gatekeeper permite la ejecución de la instalación del software malicioso sin queja. Después de otorgar acceso a la raíz, Keydnap puede ser utilizado a través del C&C, realizando cualquier acción sobre el sistema, como por ejemplo la captura de la clave de descifrado del llavero del usuario y subir las contraseñas almacenadas. 

Figura 1: Keydnap en Transmission

La firma incluida en el instalador de Transmission no pertenece a los desarrolladores legítimos. Apple ha informado acerca de dicha firma, y se desconoce si ha sido revocada en estos momentos. Los desarrolladores de Transmission publicaron inmediatamente de conocer la notiica una nueva versión para todos los usuarios. Si eres uno de los usuarios que instalaron Transmission entre el 28 y 29 de agosto debes mirar estos directorios y archivos:

• /Applications/Transmission.app/Contents/Resources/License.rtf
• /Volumes/Transmission/Transmission.app/Contents/Resources/License.rtf
• $HOME/Library/Application Support/com.apple.iCloud.sync.daemon/icloudsyncd
• $HOME/Library/Application Support/com.apple.iCloud.sync.daemon/process.id
• $HOME/Library/LaunchAgents/com.apple.iCloud.syn.daemon.plist
• /Library/Application Support/com.apple.iCloud.sync.daemon
• $HOME/Library/LaunchAgents/com.geticloud.icloud.photo.plist

Por supuesto, si has instalado Transmission en el rango de ese par de días, desinstala y busca el malwware en tu equipo, ya que puedes estar infectado.

Ransomware.OSX.KeRanger: El ransomware llegó a OS X

Los usuarios de OS X que han descargado el cliente de Torrent Transmission el viernes pasado o el sábado están siendo advertidos de actualizar a la última versión 2.92 para evitar ser blanco de un ransomware que se infiltró en una versión anterior del software de código abierto. Investigadores de Palo Alto informaron sobre la amenaza indicando que los atacantes infectaron dos instaladores de Transmission 2.90 con KeRanger durante la mañana del 4 de Marzo.

KeRanger es el nombre utilizado a lo que se cree que es el primer ransomware funcional para el sistema operativo OS X. El programa malicioso es capaz de conectarse a un servidor remoto a través de la red TOR y comienza el cifrado de ciertos tipos de archivos y datos. Después, como todo ransomware, el malware exige a las víctimas que paguen alrededor de 400 dólares a una dirección específica para recuperar sus archivos. El pago debe realizarse a través de bitcoins. 

Figura 1: Trannsmission infectado

Los investigadores advierten que el código malicioso está tratando de cifrar también las copias de seguridad de los usuarios de Time Machine, con el objetivo claro de evitar que éstos sean capaces de recuperar sus datos de la copia de seguridad. El mismo día en que Palo Alto advirtió sobre el ransomware se distribuyó con la aplicación Transmission, a través de la versión 2.90, por lo que hay que actualización a la versión 2.92 rápidamente. Apple también comenzó la distribución automática de una firma para XProtect. Apple ya ha revocado el certificado de la aplicación, por lo que si alguien quiere instalar Transmission entre las versiones infectadas se encontrará con la negativa por parte de XProtect.