Detectada una extensión activa desde frebrero en Chrome Web Store que roba tarjetas de crédito

Hemos detectado una extensión para Google Chrome, aún activa, que roba los datos de los formularios de las páginas que son visitadas por las víctimas. El complemento, que aún se encuentra disponible en el market de extensiones para Chrome, lleva activo desde febrero del año pasado. Está oculto a las búsquedas en la Web Store, y solo puede accederse a través de un enlace que los atacantes están distribuyendo por medio de ataques de inyección de JavaScript en webs que los redirige a él.

La extensión simula ser un "Reader Flash" creada por el supuesto desarrollador fbsgang.info. Una vez instalada, incrusta una pequeña función en todas las páginas que visita el usuario, en concreto, explota la funcionalidad que posee la API webRequest.onBeforeRequest que permite registrar un "hook" que será llamado justo antes de que el usuario emita una nueva petición HTTP dentro de la página (por ejemplo, pulsar un enlace o enviar un formulario).

Esta función registrada monitoriza con expresiones regulares los números de tarjeta de crédito (si observamos el código, vemos expresiones regulares para Visa (vvregex), MasterCard (mcregex), etc. Es decir, si alguno de los datos contenidos en la petición es un número de tarjeta, los enviará codificados en JSON al atacante mediante una petición AJAX. En concreto, emplea la función "sendFormData", que contiene codificado en base64 la URL de destino:

aHR0cDovL2Zic2dhbmcuaW5mby9jYy9nYXRlLnBocA==

que una vez decodificada es:

hxxp://fbsgang.info/cc/gate.php

Como vemos, se trata de una extensión sencilla que aprovecha un gran poder al alcance de una sola llamada de una API. Al momento de la detección contaba con unas 400 instalaciones. La infraestructura no se ha difundido masivamente, de momento. Está en la tienda desde febrero de 2018, pero gracias a que los atacantes solo han hecho pública la extensión para quien conoce el enlace, no es posible encontrarla a través de una búsqueda "normal".  

 ¿Cómo se distribuye entonces?
En vez de captar víctimas a través de la búsqueda o a través de un envío masivo de mails, cosa que haría que la campaña fuese más exitosa pero seguro más "detectable", los atacantes han preferido otra técnica. Infectan páginas webs (hostings completos con todas sus webs, como hemos observado) con un JavaScritpt que detecta si el navegador es Chrome. Si es así, simplemente redirigen a una página que indicará que debe instalar Flash y así, será redirigido a esta extensión. Este es el fragmento de JavaScript inyectado en las webs.

El detalle es que los autores no han finalizado correctamente la pieza aún (o la han desactivado por alguna razón), por lo que el contenido actual que presenta es el índice de archivos del servidor:


Esto no afecta a la extensión, solo a la fórmula de difusión. Si volvemos "atrás en el tiempo", en concreto, vemos que el aspecto anterior era mucho más creíble:

Si observamos su código fuente:

El código JavaScript, posteriormente a su decodificación, presenta el siguiente aspecto:

Es decir, presenta al usuario la petición para instalar Adobe Flash y lo redirige al market de extensiones para Chrome. Justo a la extensión que comentábamos al comienzo. Cerrando el círculo de la infección y robo de información. Hemos alertado a Google sobre esta extensión para que sea retirada cuanto antes. Entre las páginas web, sería recomendable buscar un JavaScript con la estructura mostrada por si alguna estuviese infectada. Aunque el ataque parezca "detenido" la extensión sigue suponiendo una grave amenaza. Su hash es: 4d2efd3eebcae2b26ad3009915c6ef0cf69a0ebf.

Recordad que para analizar extensiones en general, disponemos de nuestra herramienta NETO. Aquí el resultado que vuelca la herramienta.

 Vía | Elevenpaths.com

Anonymous publica un fichero con más de 1.000.000 de datos relativos a UDID supuestamente robados al FBI

En una nota de prensa a través de Pastebin, el grupo Anonymous, dentro de su operación #Antisec, ha puesto a disposición pública un fichero con 1.000.001 de datos relativos a información de clientes de Apple, que contiene el UDID del dispositivo, el APN (Apple Push Notifications Token) y el nombre del dispositivo. Siempre según la nota de prensa de Anonymous, el fichero original contenía más de 12.000.000 de registros, y de él se ha quitado la información personal como el nombre del propietario, su dirección postal, el número de teléfono, etc...

La nota de prensa comienza con una explicación a la motivación de la misma que hace referencia al llamamiento que se produjo este año en Defcon, pidiendo colaboración a la Comunidad Hacker por parte del gobierno americano. Como reacción a esta petición según ellos, el grupo ha publicado este fichero que supuestamente fue robado en Marzo del 2012 de la computadora Dell Vostro utilizada por el Agente Especial Supervisor Christopher K. Stangl miembro del FBI Regional Cyber Action Team y del New York FBI Office Evidence Response Team. 

 

 

Esta máquina, supuestamente fue comprometida utilizando una vulnerabilidad Java, y se consiguió una sesión de shell, durante la cual se descargó un fichero del escritorio llamado 'NCFTA_iOS_devices_intel.csv' que resultó ser una lista de 12,367,232 Apple iOS dispositivos including Unique Device Identifiers (UDID), usuarios, nombre del dispositivo, tipo de dispositivo, Apple Push Notification Service Tokens, códigos postales, números de teléfono, direcciones, etc...

 

 

 

Las especulaciones son muchas, pero la más preocupante es que el FBI podría tener acceso a todos los dispositivos Apple, con o sin connivencia con Apple. Esto, en países como España donde todos los diputados tienen dispositivos iPad o los jueces hacen gala de ellos en los juzgados, hace que la gente se preocupe. Por su parte, el FBI a través de Twitter, ha dicho que la información es TOTALMENTE FALSA, ya que ellos jamás han tenido esos datos, así que no hay nada que discutir. ¿Lo tendría la persona motu proprio? ¿Será falsa esta afirmación del FBI? ¿Será falsa la nota de prensa de Anonymous?

  

Conseguir el fichero es bastante sencillo siguiendo las instrucciones puestas en Pastebin, pero si no quieres hacerlo, basta con que uses el sencillo buscador que ha puesto The Next Web para ver si tus datos están leakeados.... y luego saca tú tus conclusiones.

 

Visto en | Seguridad Apple

Oracle la vuelve a liar: La actualización de la actualización tiene un fallo de seguridad aun más grave.

La semana pasada fue un tanto movida para los responsables de Oracle debido al grave problema de seguridad que existía en la plataforma Java, más concretamente en la versión 7.

Investigadores en seguridad han descubierto una nueva vulnerabilidad en la plataforma que ha aparecido como consecuencia de la actualización que fue publicada a finales de la semana pasada para tratar de solucionar los graves problemas de seguridad.

 

En este nuevo agujero de seguridad, el atacante puede esquivar con cierta facilidad la “SandBox” de la máquina virtual de Java.

La aparición de este nuevo problema de seguridad pocos días después de haber “parcheado” Java 7 hace ver que las cosas no se están haciendo bien por parte de Oracle.

La anterior vulnerabilidad detectada tenía tal magnitud que Oracle se vio obligada a romper su política de sacar actualizaciones cada 4 meses. Desde Oracle añadieron que en esta actualización también se solucionaron otras tres vulnerabilidades que, aunque es probable que no hayan sido explotadas por terceras personas, podrían haber agravado la magnitud del agujero al cual se ha querido dar solución.

¿Solución o chapuza?

La solución que han dado desde Oracle con la actualización ha sido la de suprimir los métodos de la clase  sun.awt.SunToolkit que eran los que permitían a una tercera persona hacerse con los permisos necesario para inyectar código malicioso en el sistema y ejecutar e instalar cualquier tipo de programa en el ordenador afectado.

A pesar de haber solucionado el problema, han creado otro nuevo agujero de seguridad ya que, ahora es mucho más fácil saltarse la SandBox de la máquina virtual de Java y poder ejecutar cualquier tipo de código o utilizar muchos exploits para tratar de dañar el equipo del usuario.

Desde Oracle no han querido entrar en comentarios.

Todavía no se sabe si esta semana también tendremos una nueva actualización de Oracle o si tendremos que esperar a la de Octubre. Se trata de un agujero de seguridad grave. Algunos investigadores han tratado de ponerse en contacto con la empresa pero ésta no ha querido verter ningún tipo de opinión acerca de este nuevo problema que se trata de un claro desacierto por parte de Oracle.

Fuente | PCWorld

Oracla actualiza Java SE 7 Update 7 para Mac OS X.

Después del caos que estamos sufriendo con el bug CVE-2012-4681, Oracle ha puesto una actualización de Java SE 7 Update 7 a través de un advisory de seguridad en la que soluciona por fin el bug. Para Mac OS X, si tienes instalada esta versión, deberás entrar el panel de Preferencias de Java y tendrás disponible la actualización.

 

Tiene 50.2 MB de tamaño, y se descarga directamente desde el panel, con lo que su aplicación es rápida.

 

Desde TecnoFrikeando os urgo a que actualicéis cuanto antes Java en vuestro Mac OS X si habíais instalado Java SE 7, ya que es de alto grado de peligrosidad este bug, debido a la cantidad de sitios explotándolo.