SEGURIDAD
Servipag: Continua siendo un portal de pagos inseguro
(…) La otra vulnerabilidad encontrada, se trata de un XSS que afecta a este mismo sitio donde se muestra el comprobante de pago. Nuevamente, es posible saltarse los filtros -parecen de juguete- que los desarrolladores pusieron, pudiendo inyectar código Javascript o HTML…
Nueva versión de Opera soluciona un engaño a través de la barra de direcciones
Se ha publicado una nueva versión del navegador Opera que solventa un fallo que permitiría a una página sin conexión SSL mostrarse como si estuviera protegida por ese protocolo. Se engañaría así a los usuarios que accediesen a ella.
Ponte sexy para salir en vídeo o tapa la webcam
Todavía hay gente que me sigue preguntando porque tapo la webcam de la computadora, y por más que se lo explico le sigue sonando a ciencia ficción. Sin embargo, desde hace ya bastante tiempo, todos los R.A.T.s que se precien traen la opción de grabarte con la Webcam.
Epic Fail de Ebay
(…) Cual ha sido mi sorpresa cuando un amigo me ha reenviado el email que ha recibido por parte de Ebay, conteniendo el nombre y apellidos, identificador, nombre de usuario y dirección de correo de 608 usuarios de Ebay…
¿CIBERQUE? ¿CIBERATAQUE? Eso no me puede pasar a mi…
(…) Y mientras Joe hacía esta reflexión, ladrones cibernéticos colocaron un software en las cajas registradoras de sus dos tiendas de revistas en Chicago que enviaba a Rusia los números de las tarjetas de crédito de sus clientes…
Free book: Vulnerability Management For DUMMIES
Vulnerability Management for Dummies arms you with the facts and shows you how to implement a successful Vulnerability Management program.
Encontrar spyware oculto con Xyvos System Explorer
Ciertos tipos de spyware se ejecutan en segundo plano y pueden ser indetectables en el Administrador de tareas de Windows. Xyvos System Explorer es un administrador de procesos que muestra las conexiones activas TCP/UDP y entradas Autorun del registro, de modo que puedas descubrir spywares ocultos y procesos potencialmente peligrosos.
Compromiso de la autoridad certificadora Diginotar
(…) Ahora mismo lo que podemos hacer de momento es limpiar todo rastro de Diginotar de nuestros repositorios de autoridades de certificados…
Denegaciones de servicio en Cisco Unified Communications Manager
Cisco ha confirmado cinco vulnerabilidades en Cisco Unified Communications Manager (versiones 4.x, 6.x, 7.x y 8.x) que podrían permitir a un atacante remoto causar condiciones de denegación de servicio.
DDoS aprovechando los servidores de Google+
El grupo llamado IHTeam ha desvelado una forma de utilizar la infraestructura de servidores de Google para realizar ataques de denegación de servicio distribuido sin necesidad de poseer un gran ancho de banda.
Salto de restricciones a través de ‘EPS_DELETE_FILE’ en SAP Netweaver
SAP Netweaver, plataforma de tecnología integrada para todas las aplicaciones SAP en el plano técnico, ha publicado un fallo en su producto ABAP a través del cual sería posible evadir restricciones.
Ejecución de código en CUPS
Se han publicado un par de fallos en CUPS que podrían permitir a un atacante ejecutar código arbitrario en remoto.
CUPS son las siglas de Common Unix Printing System, un sistema de impresión desarrollado por Michael Sweet, dueño de Easy Software Products, para sistemas operativos tipo UNIX. Posteriormente fue adoptado por Apple para su sistema operativo Mac OS X.
Morto: el gusano del escritorio remoto
(…) Además de la metodología implementada por este gusano para propagarse, entre sus funciones, reporta a un Centro de Control (C&C), desde donde recibe órdenes, para realizar la instalación de otros códigos maliciosos y efectuar ataques de denegación de servicio. ..
Troyanos en PHP
(…) Otras acciones que realiza pueden ser la de subir o borrar archivos del servidor, abrir puertos, listar determinados directorios, crear directorios, crear archivos, ver la versión de kernel actual, ver la lista de usuarios logueados, listar procesos, ejecutar código PHP, la capacidad de auto eliminarse , etc…
Bitcoin y malware
(…) Cada día se hacen más preciados los BTC por la dificultad de generarlos, es por eso que los criminales informáticos empezaron a enfocar sus amenazas a este mercado que cada vez tiene más seguidores…
¿Cómo detectar keyloggers por hardware?
(…) Hardware Keyloggers Caseros: Adicional a las soluciones comerciales también existe información paso a paso para realizar nuestro propio keylogger casero, solo necesitamos una extensión de teclado, algunos dispositivos electrónicos y escribir un poco de código en ensamblado…
Novedades en Útiles Gratuitos: OSSEC y NORTON Mobile Security Lite
OSSEC: plataforma Open-Source para monitorizar y controlar sus sistemas. Integra todos los aspectos de un HIDS (sistema de detección de intrusos basado en host), control de registro y SIM/SEM (Security Incident Management/Security Events Management) en una solución de código simple, potente y abierta.
Norton Mobile Security Lite: Herramienta antivirus para plataforma Android. Analiza los ficheros descargados y copiados tanto de la memoria del ordenador como de la tarjeta en busca de malware. En caso de encontrar alguno muestra una pantalla de advertencia.
Sobre el ataque a kernel.org ¿Debo preocuparme?
(…) Hablamos nada más y nada menos que con privilegios de “root” (súper usuario en un sistema *Nix). Este hecho derivó en la inclusión de un troyano en parte de su código fuente con las consecuencias que ello conlleva…
La WiFi En Mac OS X Lion no valida BSSID
Después del publicar las dos primeras partes del artículo de Los Antiswitching en Mac OS X y el de Cómo putear a un usuario de Mac OS X con la Wifi, he recibido muchos workarrounds sobre cómo solucionar las cosas que allí publiqué. Algunas curiosas, otras imaginativas, y otras que funcionan en algunas versiones de OS X mientras que en otras no.
Errores 404 en TCL de WebDNA: Rutas locales
(…) Sin embargo, si en le mismo servidor se solicita un fichero no existente con extensión .tpl, es el framework de WebDNA el que debe reportar el 404, y como se puede ver muestra rutas locales de acceso a las plantillas…
¿Es importante la validación del BSSID?
(…) La realidad es que un atacante podría clonar una red completamente y la comprobación del BSSID no valdría para nada…
Máxima Seguridad en Windows y Fraude Online
(…) Yo ya he tenido algo de tiempo para disfrutar el de Fraude Online, en el que recogen el funcionamiento de kits de exploits, esquemas de blanqueo de dinero utilizado, algunas técnicas de malware que usan, y cómo se mueven por Internet mafias, y bandas de e-crime…
Gmail Security Center
(…) Y la solución a esos problemas la he llamado ‘Gmail Security Center’ y está basada en este excelente ejemplo sobre como usar el módulo ‘mechanize’ en Python que he modificado para acceder a la información de actividad, añadido soporte para enviar ‘tweets’ para las alertas en tiempo real e incorporado el uso de Geolocalización…
Nueva revisión de Amispammer
(…) Fue precisamente a la hora de paquetizar la herramienta en Debian, cuando se me hicieron varias sugerencias respecto a posibles mejoras a tener en cuenta. Así pues, la lista de cambios realizados a amispammer en esta ocasión han sido…
Firewall Builder: la GUI para tu cortafuegos
(…) En el caso de Firewall Builder, se trata de una aplicación cliente que permite diseñar cómodamente la política de seguridad y luego aplicarla a la máquina cortafuegos de forma directa, mediante una conexión SSH. Dispone de una versión libre y funcional para Linux, así como versiones de pago, aunque con un coste muy bajo, para Windows y Mac OS X. ..
Plantas carnívoras vs. nuevos bichos (II)
(…) Lo más interesante es que alguna de las muestras que enviamos no haya sido detectada previamente y no exista firma en los motores de antivirus. Es decir, sea una nueva variante no detectada hasta el momento. ..
Boletín de la Comunidad DragonJAR #0019 / Agosto de 2011
Boletín de publicación mensual, cuyo propósito es ofrecer una síntesis a la comunidad respecto a las investigaciones, consultas, avances, eventos, noticias y todos los acontecimientos más destacados del sector durante el ultimo mes
tools: WebSurgery v0.6 released – Web application testing suite
WebSurgery is a suite of tools for security testing of web applications. It was designed for security auditors to help them with the web application planning and exploitation.
INSECT Pro – Herramientra gratis para penetration testing – Nuevo version 2.7
Secure your network and audit your servers using the same tools as hackers.
Top 5 mobile security tools
Two of the hottest topics in technology at the moment are mobile devices and security. Add the two together and you have a potential devastating combination for IT to worry about.
Blackbuntu
Blackbuntu is distribution for penetration testing which was specially designed for security training students and practitioners of information security.
The Security Development Lifecycle > Updated SDL Tools Available
The Threat Modeling Tool is used in the SDL Design Phase to find security problems before coding begins.
Cuadrante Mágico sobre Data Loss Prevention (Gartner)
De acuerdo con Gartner, en su Cuadrante Mágico sobre Data Loss Prevention basado en el contenido, este mercado ha experimentado un cambio significativo.
Enlaces de la SECmana – 87
Sin duda, los enlaces de la SECmana más importantes son aquellos referentes a dos incidentes de seguridad
Diginotar y Kernel.org
Diginotar
Si bien dedicamos un post a lo ocurrido, en este enlace encontraréis la nota de prensa de la compañía informando de la intrusión.
Kernel.org
Ídem que antes, también para este incidente publicamos información, el enlace estrella es la publicación en la sección de noticias…
Fernando «zerial» de Zerial.org publica en su blog información acerca de la seguridad en el portal de pagos Servipag…
Tras la moda de atacar a la empresa Sony y todas sus filiales y redes, el CEO de la compañía Howard Stringer comenta que su PlayStation Network es ya más segura que nunca.
En el blog de StalkR, HSTS preloading, public key pinning and Chrome, aprovechando al máximo algunas opciones que ofrece las net-internals de Google Chrome.
En SeguridadApple, y tras lo ocurrido con Diginotar, pruebas de que Mac OS X no revoca correctamente Entidades de Certificación.
Lanzamiento de una nueva versión del servidor web de Apache, 2.2.20, corrigiendo la vulnerabilidad de la cabecera Range publicada por kingcope.
Hackean la web de la comunidad de desarrolladores de Nokia. Mediante una inyección de código SQL, se obtuvieron las tablas…
En el blog de Aris, ingeniería inversa de programas en C++ mediante IDA Pro y Hex-Rays.
Interesante investigación de Simone Quatrini y que publica en su blog sobre cómo realizar denegaciones de servicio a través de los servidores de Google +.
… Y VERGÜENZAS
Chile: «Enlazar es bueno», campaña para que no cobren por los links
(…) La campaña de Derechos Digitales apunta a orientar a los administradores de sitios web sobre los pasos legales a seguir en caso de encontrarse en esta situación, y a subrayar la importancia de no criminalizar la práctica de hacer enlaces en internet…
Cinco lugares inesperados en los que te pueden rastrear con Tecnología de Reconocimiento Facial
(…) Después del 11-S, muchos aeropuertos y algunas ciudades se apresuraron a instalar cámaras conectadas a tecnología de reconocimiento facial, un aparato futurista que prometía seleccionar a terroristas y criminales de entre la multitud comparando sus caras con datos biométricos en grandes bases de datos…
DESARROLLO / BASES DE DATOS / SYSADMIN
Juego del Valor de Negocio
(…) Por este motivo, he traducido el Juego del Valor de Negocio creado por Veera Peeters y Pascal Van Cauwenberghe, el cual es un juego de simulación sobre prioridades de funcionalidades e historias de usuario así cómo su valor de negocio…
Descubrimientos del 4 septiembre 2011
Descubrimientos del 3 septiembre 2011
Descubrimientos del 2 septiembre 2011
Descubrimientos del 1 septiembre 2011
Descubrimientos del 31 agosto 2011
LINUX
Como instalar GnoMenu 2.9.1 mediante PPA
COMUNICACIONES
Gestores de contenido web Open Source en las pymes
(…) Los fallos en los gestores de contenido web generalmente son problemas originados por errores en la administración, tanto del CMS como del sistema que lo soporta (hosting o alojamiento), o de la instalación de módulos o componentes de terceros aunque, en ocasiones, también derivan de errores de programación en el propio gestor…
Google y OpenDNS presentan una mejora en el protocolo DNS para acelerar la navegación
(…) Con ello, no importa que se utilicen las DNS de Google, ya que al ir la información del usuario adjunta como datos en la petición, si el servidor destino es compatible con esta nueva iniciativa podrá determinar correctamente desde dónde se quiere acceder realmente a sus contenidos y contestar con el servidor más cercano al cliente, minimizando la latencia y, por tanto, mejorando la velocidad de navegación…
Kune: red social colaborativa y distribuida para grupos
El colectivo Comunes acaba de anunciar la primera gran release del proyecto Kune (AGPLv3). Kune es una plataforma web centrada en la edición colaborativa en tiempo real de contenidos libres, enfocada al trabajo colaborativo de colectivos y organizaciones; su publicación en la web; y la comunicación en red social entre movimientos sociales, grupos académicos, e iniciativas.
Ocho opciones para mejorar a Gmail
(…) es posible mejorar algunos aspectos de Gmail, ya sea con extensiones, funciones ocultas, o nuevas herramientas…
Guía Community Manager: Introducción
(…) A continuación te presento los 10 capítulos de la Guía Community Manager que te brindan un panoráma sobre las características y estrategias que debes conocer para desarrollarte en esta profesión…
Lee tu correo de Gmail aún sin conexión a Internet
Google acaba de anunciar una aplicación para Web, en particular para Chrome que permitirá al usuario de Gmail o de Google Apps acceder a su correo, leer mensajes, redactar correos nuevos y contestar a los ya existentes aún cuando no tenga conexión a Internet.
eToolz, set de utilidades de red todo en uno
(…) eToolz es un completo paquete de utilidades de red todo-en-uno que combina varios programas y que cubrirá todas nuestras necesidades de cara a identificar problemas de red o incluso mejorar el funcionamiento de esta. Entre otras cosas, podemos hacer un ping, trazar los ordenadores y puntos por los que ha pasado la información, o realizar un whois..
BLOG’s
Nueva versión de Blogger
Desde el lanzamiento de Google +, Goole está rediseñando todos sus servicios para hacer algo que es lógico
unificar la experiencia e interfaz de uso y ahora le tocó el turno a Blogger con un nuevo diseño que me parece simplemente genial
PRODUCTIVIDAD
Evernote #20: Configuración y backup de tu ordenador
(…) Así que tras la instalación de Lion lo primero que hice fue instalar Evernote. Para recuperar ahí mi lista de cosas para reinstalar, restaurar o personalizar…
Connected Mind, o cómo hacer mapas mentales desde Google Chrome
(…) Hay varias soluciones para crear mapas mentales en Internet, software, y aplicaciones web que nos ayudan, pero esta extensión de Google Chrome es una de las mejorar alternativas con la que me he encontrado…
SALUD
Las patatas cocidas rebajan la presión arterial y no engordan
(…) El estudio explicó que debido a las altas temperaturas empleadas en su preparación, las patatas fritas destruyen la mayor parte de las sustancias saludables. Muchas de las propiedades de este tubérculo están en la piel, por lo que merece la pena cocinarlas con ella (si son nuevas)…
Virus contra el cáncer
(…) Estos virus, denominados oncolíticos, tienen la capacidad de penetrar en las células cancerígenas y replicarse en su interior provocando su muerte. Los avances de la ciencia han permitido modificar genéticamente estos microorganismos para que sólo entren en las células tumorales -sin atacar a las sanas- y para que porten genes especialmente útiles para destruirlas…
Los microbios del intestino podrían controlar tu estado de ánimo
Por si no estabas enterado, cientos de bacterias habitan nuestros intestinos, influenciando nuestra fisiología y nuestra salud en maneras que recién se están descubriendo. Uno de esos nuevos descubrimientos es que estas bacterias pueden también influenciar nuestra mente, alterando la química del cerebro y cambiando el ánimo y el comportamiento.
Inkling, un lápiz que traspasa lo que dibujas al PC
(…) El sistema funciona conectando una pequeña cajita receptora en el borde del papel o block. Luego dibujas como siempre con el lápiz especial, y tu trabajo se guardará directamente en versión digital (incluso con vectores) para que puedas retocarlo más tarde en el PC…
Estudio revela que la sangre joven rejuvenece el cerebro de ratones viejos
(…) luego de algunas semanas el ratón de mayor edad inyectado con sangre de un par más joven (en rigor sólo el plasma para que no tuviera impedimentos para circular por el cerebro), comenzó a producir más neuronas, generando una mayor actividad en las sinapsis, incluso sufriendo menos inflamación…
AMENAZAS
Estados Unidos: maíz transgénico atacado por la plaga que debía resistir
(…) Pruebas de laboratorio publicadas el mes pasado confirmaron que los insectos recogidos de los campos de Iowa pudieron pasar la resistencia a la toxina protectora del maíz a su descendencia. «Estos resultados sugieren que pueden ser necesarias mejoras en la gestión de la resistencia y un enfoque más integrado para el uso de cultivos biotecnológicos»..
Argentina: Ministerio de Agricultura aprobó nueva soja transgénica. Se considera un «avance científico»
(…) Son muchas las ciudades del sistema sojero-dependiente que se desarrolla en nuestro país, que este año dejará como saldo unos 19 mil millones de dólares y un centenar de pueblos contaminados…
Nido de ratas: plagas y control ambiental
(…) Las especies que pueden colonizar esos espacios libres son, entonces, las más oportunistas, las invasoras, que son de hecho las que abundan en los espacios urbanos: cucaracha, mosquito, rata…
DE TODO
Segway casero Open Source
(…) Aquí tenemos otro completamente Open Source y Open Hardware basado en un pequeño Atmega644, un giroscópio y un control PID…
Business Impact: Buscando a los que culpan a otros, a los héroes y a quienes escurren el bulto
(…) Los últimos programas de software dedicados a hacer seguimiento de empleados son capaces de identificar a la gente así, además de definir toda una gama de características y comportamientos, permitiendo a la dirección, si lo desean, intervenir o reasignar tareas para aumentar la productividad. ..
Cómo reparar el reproductor de MP3
(…) Es en general más rápido que el firmware convencional, puede llevar a un menor consumo de batería en algunos modelos, cuenta con un amplio soporte de formatos de audio (incluyendo el siempre deseado FLAC), permite visualizar imágenes y texto, y también entrega reproducción de vídeo en aquellas unidades que lo permiten. ..
Nuevo avance en insectos robóticos (DARPA)
(…) Pero los actuadores, motores y baterías que se necesitan para mantener en el aire a uno de estos micro robots siguen siendo muy pesados, grandes e inconvenientes…
Cómo reformar la fuente de un ordenador (II)
(…) Hoy, trabajaremos sobre el transformador de conmutación y veremos los primero pasos de una reforma que nos permitirá alcanzar los valores de tensión y corriente que se nos ocurra, además de descubrir algunos pequeños secretos que harán de esta nueva fuente de alimentación, un elemento valioso entre tus herramientas habituales…
I-prober 520: Amperímetro para vías de PCB
(…) Basta con apoyar la sonda sobre la vía para conocer el valor de corriente que circula y además, ofrece la ventaja de mostrar la forma de onda en un osciloscopio convencional…
JPEGMini, o cómo reducir imágenes sin perder calidad
(…) JPEGmini es una aplicación web que nos deja subir imágenes para que una vez en la nube podamos observar los parámetros a los que se adaptará la nueva imagen optimizada…
El huevo a presión de Novak Djokovic
(…) Según los fabricantes, meterse 20 minutos en ese huevo, tres veces a la semana, puede incrementar la capacidad atlética mejorando la circulación, aumentando las células rojas, removiendo el ácido láctico y posiblemente estimulando la biogénesis mitocondrial y producción de células madre…
Astrofísico logra un método para reducir a la mitad el tiempo para abordar un avión
(…) El método de Steffen es mucho más organizado. Depende de los números de fila y de asiento (ventana, en el medio o pasillo) que en las secciones del avión…
Ingeniero peruano inventa dispositivo superrápido para detener autos en fuga
(…) La solución propuesta por Barbis consiste en un pequeño vehículo a control remoto que puede acelerar hasta 209 km/h en 3 segundos, posicionarse debajo del auto que se está fugando, y automáticamente abrir un airbag que levantaría al vehículo y lo obligaría a deslizarse hasta detenerse…
INVESTIGACIÓN
Lee tu correo de Gmail aún sin conexión a Internet
Google acaba de anunciar una aplicación para Web, en particular para Chrome que permitirá al usuario de Gmail o de Google Apps acceder a su correo, leer mensajes, redactar correos nuevos y contestar a los ya existentes aún cuando no tenga conexión a Internet.
Microprocesador cuántico con arquitectura de Von Neumann
Consiguen realizar computaciones cuánticas sencillas con un pequeño microchip de estado sólido basado en la tradicional arquitectura de Von Neumann.
Propiedades de adhesión del grafeno pueden conducir a nuevos dispositivos de nanotecnología
Nanopartículas de níquel pueden contribuir al cáncer de pulmón
Nuevo parámetro a nanoescala resuelve dilemas sobre propiedad del silicio
Notas tecnológicas 