Vulnerable, el podcast de seguridad digital

Cozy Bear ha acaparado especialmente los reflectores en las últimas semanas pues todas las evidencias señalan a que ellos son los autores del ataque Sunburst hacia Solarwinds que tanto se ha cubierto en la prensa especializada. Pero más allá de mencionarlos y relacionarlos con el servicio de inteligencia ruso, pocas explicaciones existen sobre porque se de esta relación (entre CB y Rusia) y de otros ataques que se ha comprobado CB ha sido el adversario. Bueno, eso es precisamente lo que pretendo con este episodio. Bienvenidos a Vulnerable, hoy es jueves 31 de diciembre y este es el episodio echa un vistazo al grupo criminal Cozy Bear.

GoDaddy envió un correo a unos 500 empleados con la supuesta noticia de que recibirían un bono de fin de año por $650 USD, unos $13,000 pesos aproximadamente. Las palabras claves son “supuesta” y “recibirían” pues no existía tal bono. Todo se trató de un ejercicio parte de su programa de entrenamiento contra ataques de ingeniería social. Aquellos empleados que no solamente abrieron el correo sino que abrieron la liga que contenía recibieron un correo de seguimiento un par de días después, informándoles que habían reprobado la prueba y que tendrán que re-cursar.

A finales de abril, investigadores de Barracuda denunciaron una campaña de phishing muy particular. La razón por la que esta investigación pasó - mayormente - desapercibida supongo tendrá que ver con que en esos momentos el hemisferio occidental estaba consumiendo noticias que tuvieran que ver con la pandemia y exclusivamente de la pandemia. Covid-19 monopolizó nuestra atención, pero el mundo - y los hackers - no se detuvieron.

En el episodio previo de Vulnerable comenté, lo que hasta ese momento, tenía como información confirmada sobre el ataque a Solarwinds. Desde ese momento más luz ha salido a la superficie y este tema promete no irse a ningún lado pronto así que es necesario hacer un episodio de seguimiento. Si no han escuchado el episodio previo los invito - ámpliamente - a hacerlo pero en caso de que estén un poco apretados de tiempo les doy un rápido resumen: En uno de los ataques a la cadena de suministro que mayor alcance ha tenido en lo que tengo memoria, Solarwinds (empresa de software que desarrolla productos para el monitoreo de redes) fue atacada. Hackers cercanos al gobierno ruso instalaron backdoors en las actualizaciones de su plataforma Orion logrando de manera inmediata que todos las organizaciones que usan esa versión Orion fueron blanco fácil de los mismos hackers. Se estima que unas 18,000 organizaciones instalaron la actualización y la mayoría de las que fueron atacadas consecuentemente son agencias gubernamentales en Estados Unidos. Ahora sí, es momento de comentar sobre las actualizaciones del caso. Desde la semana pasada sabía que una de las organizaciones infiltradas por los hackers rusos, gracias al backdoor en Orion fue la empresa de seguridad FireEye. Si esta información ya era conocida, ¿por qué no mencionarla en el episodio previo? Bueno, la principal razón fue que en mi opinión cuando una empresa que se dedica a la seguridad es víctima de un ataque se aprovecha, vergonzosamente, la oportunidad para ridiculizarlos. Y también en mi opinión es un ataque sin sentido. Primero que nada las empresas de esta industria suelen estar digitalizadas en un porcentaje muy superior al de organizaciones en otras industrias lo que aumenta su superficie de ataque. Fireye, también enfrenta el típico reto en cuanto a la protección de sus activos. Para nunca ser víctimas de un ataque, necesitan detectar, detener y remediar el 100% de los intentos cometidos en su contra. Los atacantes por su lado solo necesitan ser exitosos en uno de sus miles de intentos. Es más la manera en que el ataque fue manejado por Fireye me parece que es para aplaudirles lejos de ridiculizarlos. Gracias a la transparencia de la organización basada en California, supimos que en su caso los hackers aprovecharon la intrusión a sus redes para robar herramientas de hackeo, llamadas del “Red team”. Probablemente estas herramientas son usadas por FireEye como una herramienta fundamental en sus servicios de consultoría, como una herramienta de demostración para su fuerza de preventa o fueran de cierta utilidad incluso en laboratorios y proceso de QA. Sea cual sea el uso que FireEye daba a sus herramientas de hackeo, ahora están en manos de una organización que muy probablemente pretenda usarla con fines criminales, así que la propia organización que fue víctima publicó en github un set de reglas llamadas “Sunburts Countermeasures” que cualquier organización puede utilizar para detectar si las herramientas robadas son utilizadas en su contra. Sunburst Countermeasures incluye reglas: Snort YARA Indicadores de compromiso ClamAV ¿Qué más salió a la luz recientemente y relacionado con el tema? Microsoft. El gigante de Redmond, Washington se sumó a la respuesta a incidentes. Según un post de su Presidente Brad Smith del pasado 17 de diciembre el ataque continuaba activo y el 75% de los objetivos estaban dentro de Estados Unidos y además de múltiples agencias federales también se encuentra el estado de Florida. Smith ilustró su post con un mapa que señala ubicaciones fuera de Estados Unidos donde el producto Microsoft Defender pudo identificar que también estaba presente alguna de las versiones vulnerables de Orion. Y ahí hubo un problema de interpretación: Al menos una publicación referenció dicha entrada de blog para asegurar que al igual que FireEye, el Estado de Florida, La Secretaría del Tesoro, de la Defensa y la de Comercio, había víctimas en lugares como Bélgica, España, Reino Unido, Israel, Emiratos Árabes Unidos, Canadá y… México. Pero… ¿qué tan cierta resulta esa versión? Es momento de hablar sobre la desinformación. Como ya he hecho en episodios previos de Vulnerable, la prensa me parece que ha hecho un trabajo sensacionalista en unos casos y banal en otros, al cubrir la nota. El mapa que ilustra el post de Brad Smith lo podemos pensar como un diagrama de Venn. En un círculo están organizaciones que usan Microsoft Defender, en el otro Organizaciones que usan Orion de SolarWinds. En la intersección de ambos están las organizaciones ubicadas en los países ya mencionados y que sabemos son vulnerables también a infiltraciones pero que no hay ninguna confirmación ni evidencia al respecto. ¿Sería importante que alguien de seguimiento para saber qué organizaciones en México son vulnerables y poder preguntar directamente a sus responsables de Relaciones Públicas si han hecho alguna tarea de respuesta a incidentes o threat hunting? Si, ¡Claro! Pero parece

La industria y medios especializados en seguridad están volcados sobre el tema predilecto para todos. Y en mi opinión, tienen razón para hacerlo. Solarwinds fue vulnerada no con el objetivo de instalar ransomware a lo largo y ancho de su red ni para filtrar el código de sus múltiples herramientas para el monitoreo de activos digitales. La razón de atacar a Solarwinds fue usarlos como trampolín en lo que es un gran caso de estudio para entender los ataques a la cadena de suministro. Un poco de contexto: Solarwinds es una empresa cuyo negocio se localiza en la misma industria que hoy los tiene a flor de piel. Son un desarrollador de software para la administración de Tecnologías de la Información y herramientas de monitoreo remoto. Según su propia página: ¿En qué consistió el ataque? El ataque, que la inmensa mayoría de los reportes atribuyen a Cozy Bear (más sobre ellos en un momento), consistió en comprometer a tal grado la red de solarwinds que permitió a los atacantes modificar las imágenes de su software ubicadas en su repositorio de updates. La modificación introduce un backdoor que los atacantes pueden utilizar para infiltrarse en las redes de aquellas organizaciones que utilicen el software de Solarwinds. A pesar de que Solarwinds dice tener 300,000 clientes en todo el mundo, sólo uno de sus tantos productos fue afectado. El software en cuestión es Orion y de todas formas es utilizado por unas 18,000 organizaciones a nivel mundial, entre ellas varias agencias gubernamentales en Estados Unidos. Y son precisamente estas agencias las que más han reportado que han sido infiltradas mediante el backdoor que se implantó en Orion de Solarwinds. Este hecho reafirma aún más la posibilidad de que el ataque haya sido perpetrado por Cozy Bear, les explico porqué: Cozy Bear, también conocido como APT29, es un grupo de hackers con estrechos lazos con las agencias de inteligencia rusas. Y el hecho de que de 18,000 posibles víctimas la inmensa mayoría sean agencias gubernamentales en Estados Unidos hace indicar que todo el esquema fue orquestado por un Estado. El verdadero dolor de cabeza de este ataque, y en general de todos los ataques que involucran la cadena de suministro es que las 18,000 empresas que están vulnerables no hicieron absolutamente nada malo y hasta el momento que Solarwinds publicó una nueva actualización no tenían razón para sentirse inseguras. Las actualizaciones que aplicaron vienen del servidor del desarrollador de software. El software tiene una firma digital válida (sí, esto quiere decir que incluso el backdoor está firmado). Básicamente fueron comprometidas por seguir las recomendaciones básicas de cómo aplicar un parche o descargar una nueva versión de un producto que adquirieron. ¿Qué hacer? Si tu organización utiliza Orion de Solarwinds, el primer paso que debes dar es verificar qué versión utilizas. No todas las versiones de Orion fueron comprometidas así que todavía tienes algunas probabilidades a tu favor. Si la versión que estás utilizando se encuentra entre las modificadas por Cozy Bear debes hacer dos cosas lo más pronto posible: Descarga la versión que el vendor anunció hoy y que definitivamente no contiene el mentado backdoor. Realiza una investigación en tu red. La intrusión pudo haber estado presente por días y por lo tanto haber conseguido movimientos laterales a lo largo y ancho de tu red. Se sabe que el adversario detrás de este ataque utiliza Cobalt Strike para esconder su presencia y continuar sus actividades maliciosas. Deberías realizar un threat hunt buscando todos los IoC’s conocidos para Cobalt Strike. Si tu organización no utiliza el software de Solarwinds pero contrató los servicios de un proveedor de servicios tipo SOC o NOC pregunta si ellos lo usan. Las probabilidades de que la respuesta sea afirmativa son altas. Trabaja con ellos para conocer cómo están remediando el uso de esta herramienta y también para establecer mecanismos de contención mientras lo hacen. Desafortunadamente también tendrás que realizar la búsqueda de Cobalt Strike en tu red como si tuvieras Orion en tu infraestructura. Así que si los constantes titulares y menciones a SolarWinds te tomaron desprevenido y no sabías su razón de ser, ahora sabes. Alguno de tus conocidos o colegas puede tener sus dudas o preguntas al respecto te invito a que compartas este podcast y que te suscribas para que siempre sepas cuando publico nuevos episodios.

Vulnerable nació como un podcast para hablar sobre seguridad. Hoy en día veo pocas amenazas tan graves a la seguridad, no de nuestras redes o computadoras, sino de nuestra sociedad como la desinformación. Por eso he decidido hacer esta sección llamada “Cancelen QANON”. En la primera entrega tengo que explicar un poquito ¿qué es QANON? A pesar de que no es mi mayor deseo. Sitios o notas que describen qué es QANON pululan en internet y a mi juicio no hacen un buen trabajo en combatirlo por la descripción tan superficial que hacen del grupo de conspiradores así que intentaré darle un twist, un cambio, una mejora. Espero lo disfruten.

Hace tiempo que no hago episodios y apelo a su comprensión. Son días raros en los que cuesta trabajo realizar tareas que sí o sí deben realizarse como trabajar imagínense una actividad que es meramente un hobby. Sin embargo algo fue una chispa: El 22 de abril se dio a conocer que la OMS, la fundación Gates y otras organizaciones que han jugado un papel importante en la comunicación y administración de la pandemia covid19 habían sido hackeadas. El ruido en redes sociales, en especial twitter solo demuestra que pocos entendieron qué pasó. El mundo de desinformación que ha polulado con la pandemia, y la economía y la coyuntura política en México que llenó el buche de piedritas. No hago podcast de temas que conozco ligeramente, me reservo mi opinión solo para ocaciones cuando siento que domino a plenitud el tema y este es el caso así que no pude quedar callado más. Simplemente no se puede. ¿Que hackaaron? Sea la OMS, la Fundación Gates, El instituto de virología de Whuhan o el CDC americano lo que se hizo público fue una BD que contenía direcciónes de correo electrónico y sus respectivas contraseñas. Investigadores han hecho pruebas y afirman que las contraseñas son veraces. La OMS en especial quedó evidenciada por su pobre cultura de seguridad ya que múltiples usuarios usaban “password” como su contraseña. Sin embargo en redes sociales grupos de extrema derecha hicieron parecer que la información que había sido robada a todas estas organizaciones realmente era evidencia de su intervención, planeación y liberación del coronavirus que nos ha tenido a un buen porcentaje de la población estacionados en casa. Y esa desinformación permeó a medios internacionales o a “comunicadores” seguidos por masas. Primer ejemplo, ¿Cómo dieron la noticia en Argentina? Es muy impoortante señalar y recalcar eso: La información que se hizo pública es una coleccióon de direcciones de correo electrónicos - usuario - arroba - dominio - -> Audio 1. ¿Qué pensaron al escuchar esta nota? Seguro que la informacióon filtrada el el contenido de correos electrónicos: Encabezados, Remitentes, Recipientes, Asuntos, fechas, Cuerpo, ligas, archivos adjuntos. ¿verdad? El segundo ejemplo es de un vloger Ross Rotzank. Escúchen un fragmento de su video. -> Audio 2. ¿WHO es quien? El tipo noo está informado o no es capaz de relacionar el conotexto de la información que leyó en algún portal vacío y concluir que WHO son en ese contexto las siglas de World Health Organization AKA la OMS! ¿Con quién nos estamos informando? POr eso los antivacunas y los terraplanistas ganan terreno POr eso hay brotes de sarampión a la par quede covid19 en la CDMX Porque escuchamos a Ross Rotzank y no a Neil DeGrass, porque escuchamos a Ludvika Paleta y no al pediatra que sabe como cuidar la salud de los niños. Ya basta

** IMPORTANTE** Las opiniones emitidas en Vulnerable son 100% a título personal y no reflejan de ninguna manera la opinión o sentimiento de la empresa en la que laboro. Contacto: podcast.vulnerable[arroba]gmail[.]com Intro Bienvenida y presentar al Host. Sexto episodio de Vulnerable. Introducir el Tema de hoy. La mala prensa es uno de los motivos por los que comencé Vulnerable. Desarrollo ¿Cómo ha reportado la prensa el ataque? Todos los portales tienen la misma información (Expansión y Milenio) Parece tomada del comunicado de prensa. Comparado con otros ciberataques en el mundo. ¿Cómo se reporta? Lo que si se habla del este ciberataque: Se afectaron servidores de correo electrónico y archivos. Qué posibles impactos se pueden lograr con esos servicios comprometidos Conclusión Necesitamos mejor información para mejorar la cultura de la seguridad en México ¿Qué preguntas te gustaría que se contestaran sobre este ataque? ¿Hubo solicitud de pago de rescate para revertir el ataque cibernético? En caso afirmativo ¿cuánto era el monto solicitado a la Secretaría? ¿La Secretaría cuenta con algún tipo de seguro o penalización económica a proveedores de servicios digitales que ayuden a cubrir los costos de recuperación al ataque? ¿Existe algún indicio de motivos políticos (más que económicos) para el ataque? ¿Existen indicios para pensar que el atacante tiene nexos con gobiernos extranjeros? La afectación reportada en el servidor de correo electrónico ¿comprometió el contenido de las comunicaciones de la Secretaría (en especial de funcionarios de alto rango)? ¿La Secretaría cuenta con encriptación punto a punto en sus sistemas de correo para garantizar la confidencialidad de sus comunicaciones? ¿La Secretaría cuenta con controles para identificar y contener la fuga de información sensible? ¿La Secretaría cuenta con un plan de recuperación ante desastres? Secretaría de economía: Referencias: De la Rosa, Eduardo, Secretaría de Economía suspende trámites por ataque cibernético,https://www.milenio.com/negocios/secretaria-economia-sufre-ataque-cibernetico-suspende-tramites

Uno de los dos últimos ciclos de parches de Microsoft estuvo acompañado cercanamente por una actualización del sistema iOS de Apple. La cercanía me hizo darme cuenta que ambos fabricantes tienen enfoques evidentemente opuestos en cuanto a cuando es mejor publicar sus actualizaciones de seguridad. ¿Cuál es mejor? Escucha Vulnerable y conoce ambos.

Bienvenidos a Vulnerable. Soy Bernardo y este es el cuarto episodio del podcast. A los que me han acompañado las últimas 4 semanas, gracias. Aa los que apenas descubren este proyecto los invito a suscribirse y compartir. Ustedes son el principal vehículo para que un podcast crezca. A lo largo de esta serie me he referido a los atacantes o hackers como adversarios así que me es muy fácil que para el episodio de hoy voy a comentar 5 lecciones que plasmó Sun Tzu en su milenario libro “El Arte de la Guerra” y cómo aplicarlos en esta batalla que se libra día a día en el mundo digital del siglo XXI. Antes de comenzar debo hacer un reconocimiento que tal vez debería de avergonzarme un poco: ¡nunca he leído el libro completo “El Arte de la Guerra”! Pero me atrevo a hacer esta comparación sin sentir que soy el hipócrita más grande del mundo porque además de ver la serie completa que lo describe en youtube, link en la descripción, al menos he leído el resumen con las enseñanzas principales. Vamos de lleno con la primera lección. Sun Tzu escribío: Evita asediar ciudades amuralladas, porque esto generalmente lleva meses de preparativos, y muchos generales impacientes malgastan a sus hombres en ataques sin sentido. Recuerdo a mediados de la primera década de este siglo, por ahí del año 2005 para no ser tan dramático, la industria vivía un furor por NAC. Sin lugar a dudas “Network Access Control” iba a revolucionar la industria de la seguridad creando redes impenetrables. Por fin ¡victoria para los buenos! Y bueno, no fue tanto así pero más que analizar porqué NAC no cumplió nunca con sus expectativas (tal vez ese pueda ser un buen tema para otro episodio, voten en los comentarios) me gustaría contarles una experiencia que tuve. Debí haber sido el año 2007 cuando estuve por primera vez con un cliente para trabajar un proyecto de seguridad de contenido. Durante la implementación comenzamos a platicar y después de un par de días se sintió con la confianza de contarme que eran todas esas cajas amontonadas en el rincón de la oficina y que varias veces habíamos pasado junto a ellas. Eran los dispositivos NAC que habían adquirido hace dos años. La gran mayoría de ellos aún sin desempacar siquiera. Se subieron a la primera oportunidad a ese tren sin tener en cuenta la complejidad de implementación y mantenimiento. Los primeros despliegues fallaron y al poco tiempo la necesidad de continuar con los servicios del día a día, esos que ya habían madurado por años los obligó a dejarlos ahí, abandonados. No creo que hayan sido la única empresa que encontrara en la promesa del NAC una ciudad amurallada prácticamente imposible de conquistar. Pasemos a la segunda lección: Ganará quien sepa manejar tanto rivales superiores e inferiores. Para este ejemplo es muy fácil equipara a los rivales superiores con los hackers, los adversarios que llenan la prensa de titulares y que han puesto a más de una multinacional de rodillas. ¿Y quién es el rival inferior? Han notado múltiples memes y chistes que se comparten en grupos online de profesionales de la industria ¿cómo se refieren a los usuarios finales? Si, a ellos que usan su computadora para capturar los pedidos de venta, a los que usan el correo electrónico para fijar citas con proveedores, a los que su único interés sobre una red es que le permita conectarse a su ERP y así poder consultar los inventarios disponibles. ¿Los sobajamos mucho, no creen? Uno de los que más odio y que, tristemente, también veo muy a menudo es el ring de boxeo donde el anunciador pregona que en una esquina están todas las tecnologías básicas de seguridad que se puedan imaginar. Un listado como: firewall, IPS, IDS, Antivirus, etc. Mientras que en la otra esquina está el usuario final, ilustrado como un tipo francamente inútil. Con ese modelo mental simplemente no podemos ganar, si no entendemos que el usuario final de los servicios digitales en una organización no es el enemigo y que debemos incluirlo en los controles de seguridad con programas de concientización, capacitación etc estaremos luchando una batalla perdida. Momento de la tercera lección. Sun Tzu nos enseñó lo siguiente: Ganará aquel que se haya preparado y sea paciente para atacar a un enemigo no preparado. Esta lección me parece es mejor entendida por los adversarios quienes indudablemente tienen a su favor el factor del tiempo. Pero de este lado del campo de batalla es importante ser conscientes que en ningún momento podemos bajar la guardia, suspender las tareas de monitoreo, desaprovechar las auditorías, apegarnos a estándares y frameworks, evaluar e implementar nuevos controles. Lo que sea necesario para nunca ser el enemigo no preparado indefensos ante un nuevo ataque. Casi llegamos a la última lección, número 4: Si conoces a tu enemigo y te conoces a ti mismo, no debes temer el resultado de 100 batallas. Si te conoces a ti mismo pero no al enemigo, por cada victoria que obtengas sufrirás una derrota también. Si no te conoces a ti mismo ni a tu enem

Bienvenidos nuevamente a vulnerable. Soy Bernardo López y en el episodio número 3 de Vulnerable es prácticamente mandatorio hablar de windows gracias a que en el más reciente “Patch Tuesday” de Microsoft se publicó un parche que corrige una vulnerabilidad en sus sistemas windows y el tema va a estar en boca de todos los próximos días. Suguiere temas para futuros episodios: [email protected] NIST ha asignado un score general de 8.1 para el riesgo de esta vulnerabilidad, y siendo la escala de NIST va del 1 al 10, algunas organizaciones están gritando “apocalipsis digital”. ¿Lo digo tan tranquilo porque en realidad el peligro es poco y no debemos actualizar con rapidez? No, en absoluto. Pero antes de entrar en un análisis técnico de la vulnerabilidad voy a comenzar con un contexto que me parece muy importante y que pocas veces en estos escenarios se presenta al público. El manejo de vulnerabilidades. Existen múltiples escenarios de como un adversario puede aprovecharse de una vulnerabilidad. El peor de ellos es cuando los adversarios son los primeros en conocer dicha falla y desarrollan un código para explotarla ya que este escenario significa que todos los sistemas afectados están a merced del atacante. Afortunadamente este no es el escenario que estamos enfrentando hoy en día. El hecho que el propio Microsoft esté publicando un parche para la vulnerabilidad quiere decir que fueron los “buenos” quienes descubrieron la falla y trabajaron con Microsoft para corregirla hasta desarrollar un parche que corrige el error. Eso quiere decir que todos los sistemas son vulnerables pero nadie sabe cómo atacarlos. “Ahhh, ¿entonces estoy seguro, puedo seguir presionando el botón de actualizar después?” No. Es importante no entrar en estados de alarma y simplemente darse el tiempo para actualizar sus sistemas lo más pronto posible. Cuando el parche de Microsoft se publica también se hace disponible para los adversarios, quienes en este momento les puedo asegurar están trabajando con ingeniería inversa sobre el mismo para lograr entender con ese trabajo en que consiste la vulnerabilidad y así desarrollar un código que la explote. El escenario se puede comparar con los sockets eléctricos. A lo mejor algún día llegaron a un país lejano y al instalarse en su hotel descubrieron que no podían cargar siquiera su celular pues los sockets eléctricos tenían una forma distinta a los que usamos en México. Pero el simple hecho de verlos les dio la información de que tipo de adaptador necesitaban comprar para poder llevar a cabo su objetivo. Buenos pues los malos están justo en ese proceso y si no actualizan sus equipos y se conoce que activamente hay un grupo criminal explotando la tan mencionada vulnerabilidad de Microsoft entonces estarán en el escenario más desfavorable que existe. Así que tomen una pausa, no necesitan dejar de escuchar Vulnerable. Solo vayan a su panel de control y busquen las actualizaciones disponibles. Ahora sí es momento en el que podemos hablar de la vulnerabilidad en sí. Esta falla en el sistema de Microsoft está presente en una librería llamada Windows CryptoAPI (Crypt32.dll). Esta librería se usa en el proceso de verificación de certificados y se utiliza mayormente en dos ocasiones: Cuando visitan un sitio HTTPs esta librería verifica que el certificado del sitio visitado sea vigente y válido. Osea que la misma es muy importante para que puedan usar de manera segura servicios como banca en línea. La librería también actúa de manera local al verificar los certificados de las aplicaciones que se instalan en el mismo, corroborando que hayan sido desarrolladas adecuadamente. Es decir que no estén instalando aplicaciones chafas que tengan una alto riesgo de traer malware como pilón a la instalación. Un adversario que logre explotar exitosamente esta vulnerabilidad sería capaz de instalar software malicioso en el equipo y engañar en el proceso a Windows para que piense que el software es de confiar. Para lograr un ataque exitoso, el adversario tendría que llevar a cabo otras tareas además de crear un certificado apócrifo pero que aproveche de esta vulnerabilidad. También tendría que diseñar etapas posteriores para hacer llegar la aplicación apócrifa al sistema que pretende comprometer. Tal vez incluyendo técnicas de ingeniería social para engañar primero al usuario y que descargue el software malicioso o que visite un sitio controlado por el propio atacante. Como cualquier ataque el objetivo para contenerlo es poder romper cualquier eslabón de la cadena de ataque. Para este en particular es muy importante que se descargue y se aplique el parche y para mejorar la postura de seguridad en cualquier organización ante cualquier riesgo es importante también que los usuarios estén capacitados y empoderados para poder sospechar y descartar cualquier mensaje o USB “extraviada” que los invite a instalar un nuevo plugin o un antivirus falso o que los lleve a visitar un sitio falso. Y tomen estas medidas sin pánico

El inicio del 2020 nos trajo una de las noticias más intrigantes a mi gusto. ¡Y casi nadie lo notó! Supongo que porque el nuevo año sólo tenía 4 días de existir cuando se dio a conocer que el ejército de los Estados Unidos había prohibido a todos sus soldados el uso de la aplicación - de origen Chino - Tiktok debido a riesgos percibidos para la ciberseguridad. ¿Qué es Tiktok? Nadie necesita ser usuario, ni creador de contenido en Tiktok para entender al 80% de qué se trata la aplicación. Videos de entre 60 y 90 segundos a los que muchos llaman “la nueva Vine”. ¿Qué puede haber de temible en una aplicación donde el 80% del contenido es algo como esto? Suscríbete en Youtube: https://www.youtube.com/channel/UC7rfq5zIipD5Hd3teWjbVng Para quienes escuchan Vulnerable como solo audio, acabamos de ver un video de 3 segundos en los que un muchacho de unos 15-16 años aprovecha un loop para simular que se pica a él mismo la cola 4 veces. Increíblemente ocioso pero también creíblemente… inofensivo, ¿cierto? Y no es solo el hecho de que el ejército haya pedido a sus miembros borrar la APP de los dispositivos propiedad de la armada sino que también pidió a sus cadetes no usar la aplicación mientras representan a la milicia, incluso desde dispositivos personales. ¿Qué tiene de malo una aplicación de videos cortos que parecen repetirse hasta la eternidad? El problema La principal alerta de Tiktok la levantan sus dueños. Más específicamente los lazos que podrían sostener o la cooperación a la que estarían obligados a realizar con el Gobierno Chino. Vamos por pasos: Tiktok es propiedad de la empresa ByteDance y aunque la empresa argumenta que no procesa ni almacena la información de los usuarios de Estados Unidos en servidores Chinos varios Senadores americanos han destacado que Tiktok “requiere apegarse a las leyes Chinas”. Una de estas leyes, la Ley de Inteligencia Nacional, requiere a todas las personas u organizaciones chinas “apoyar, asistir y cooperar con los esfuerzos nacionales de inteligencia nacional”. ¿Qué tipo de información podría Tiktok compartir con el Gobierno Chino? Veamos al aviso de privacidad de la aplicación para darnos una idea: Los datos personales que la aplicación recolecta son de incio los que uno voluntariamente entrega a la aplicación al suscribirse: Nombre de usuario, fecha de nacimiento, dirección de correo electrónico y/o número de teléfono, información que el usuario divulga en su perfil. Pero no es todo. La aplicación también recolecta información sobre el comportamiento de sus usuarios incluyendo los comentarios que realiza, uso de la plataforma, por ejemplo cómo se relaciona con Tiktok incluyendo como interactúas con el contenido, los anuncios que ves los videos que ves, el contenido que le gusta, los usuarios que sigue. Esta información es utilizada para, cito el aviso de privacidad, “deducimos sus preferencias, incluido sus intereses, sexo, edad con el fin de personalizar el contenido. Procesamos información sobre nuestros utilizadores, los gustos que reciba y las respuestas al contenido que suba, con el propósito de promocionar su contenido a otros utilizadores y explorar si su perfil se presta para futuras oportunidades de colaboración… “Utilizamos la información recopilada sobre usted, y su interacción con la Plataforma y otros sitios de terceros, para inferir sus posibles intereses, para proporcionarle una publicidad más adecuada. Esta información nos permite conocer los sitios web que ha visitado, las aplicaciones que ha descargado y las compras que ha realizado, para poder predecir qué más podría interesarle en el futuro, y para evaluar la eficacia de la publicidad en nuestra Plataforma…” La aplicación no se detiene ahí, también hay información técnica recopilada por la aplicación como “su dirección IP, el historial de navegación (es decir, el contenido que ha visto en la Plataforma), su proveedor de servicios móviles, la configuración de la zona horaria, el identificador para fines publicitarios y la versión de la aplicación que está utilizando. También recopilaremos información sobre el dispositivo que está utilizando para acceder a la Plataforma, como el modelo de su dispositivo, el sistema del dispositivo, el tipo de red, el ID del dispositivo, la resolución de su pantalla. Cuando inicie sesión desde varios dispositivos, podremos utilizar la información de su perfil para identificar su actividad en todos los dispositivos” ¡incluso cuando utiliza la aplicación ¡sin una cuenta! Respecto a la localización, Tiktok se adjudica el derecho a lo siguiente: Localización. Utilizamos la “Región” que selecciona en Configuración para personalizar su experiencia con TikTok. Cuando utiliza la Plataforma en un dispositivo móvil, recopilaremos información sobre su ubicación. En ciertas jurisdicciones, con su permiso, recopilaremos datos de GPS e información de ubicación del dispositivo móvil. Creo que con esta descripción es más que suficiente para entender porque la prohibición a elementos acti

Las 5 principales prediciones en cyberseguridad - Episodio 1 5 El uso de Inteligencia Artificial, por ambos bandos Los adversarios también pueden usar AI y de hecho lo han usado. Especialmente grupos asociados a estados para adaptar el ataque a las respuestas y medidas de mitigación que su objetivo tenga. 4 Aumentan los ataques específicos con ransomware ¿Cómo olvidar el caso de Pemex en 2019 en el que la página donde se daban instrucciónes para el pago del rescate estaba personalizada para la petrolera. 3 Fuera del perímetro Ataques en la cadena de suministro, los alcances y controles del área de seguridad para cualquier empresa deberán estar donde sea cuando sea. 2 Se incrementa la escasez de talento en la industria. Buenas noticias si quieres hacer carrera en esta industria. Menciones honoríficas MFA en todos lados Filtraciones de datos y credenciales siguen siendo un gran problema para las organizaciones. Los sistemas ICS SCADA seguirán siendo vulnerables. Se robustecerá cybercrime-as-a-service Más actividad de M&A en la industria 1 Ataques IoT Los avances en redes 5G implementadas incrementará la cantidad de dispositivos conectados y con ello también la superficie de ataque. Referencias Infosec Institute. https://resources.infosecinstitute.com/top-cybersecurity-predictions-for-2020/#gref Targeted ransomware attacks on the rise Most nation-state attacks remain unattributed IoT devices under attack AI-based attacks, a nightmare for security experts Compromised credentials and data breaches will continue to be a problem for organizations ICS/SCADA systems are still too vulnerable Supply chain attacks will grow slightly in frequency Cybercrime-as-a-service — stronger than ever Sdcentral. https://www.sdxcentral.com/articles/news/top-5-cybersecurity-predictions-for-2020/2019/12/ More Security M&A Activity in 2020 Open Source Security Takes Hold Push to the Edge AI Will Speed Security Response — and Attacks 5G Security Gets Real Watchguard. https://www.watchguard.com/es/wgrd-resource-center/predictions-2020 Ransomware targets the cloud GDPR comes to the US 2020 elections Cybersecurity skills GAP widens Outside the perimeter New vulnerabilities in 5G/Wi-Fi MFA becomes the standard SC Magazine. https://www.scmagazine.com/home/security-news/2020-cybersecurity-predictions/ Voice Deepfakes will become the new phishing bait We’ll start to hear more about the convergence of physical infiltration with cyberattacks Get ready for SMS attacks to go mainstream Office 365-specific security issues will finally get the attention they deserve Company microtargeting with industry-specific tools will rise Disaster Recovery-as-a-Service (DRaaS) is now mainstream State and state-sponsored cyber groups are the new proxy for international relations The accepted definition of a vulnerability will broaden In 2020, we expect to see federal agencies to increasingly differentiate their IT consumption models The digital advertising ecosystem will be the next top target as a new class of attacks emerges The use of and evolution of biometrics Cisco. https://newsroom.cisco.com/feature-content?type=webcontent&articleId=2038484 Balance humans and machines Find talent in unexpected places Get the board up to speed Prepare for the inevitable Know your network — but look beyond it Consider compliance an advantage (not just a headache) Expand your perspective, and enable the future

Bienvenidos y gracias por escuchar la introducción de Vulnerable. Un Podcast donde entrevistaré a viejos amigos y veteranos en la industria de seguridad para comentar las noticias, curiosidades y eventos realmente nefastos que suceden en el mundo online.