Una semana en noticias: Patch Tuesday y estafas en el Mundial

En las noticias de esta semana repasamos lo último sobre el enfrentamiento de Microsoft con NoIP, además, presentamos las novedades en seguridad más importantes, revisamos algunos de los últimos fraudes del Mundial de Fútbol, y alertamos sobre lagunas de seguridad de Android.

Microsoft contra NoIP

Como ya dijimos en nuestro último resumen de noticias la semana pasada, Microsoft ha conseguido una orden judicial temporal contra la pequeña empresa de hosting NoIP, mediante la cual la compañía de Gates asume el control de al menos dos docenas de dominios registrados con NoIP. Microsoft piensa que la empresa permitía a criminales registrar dominios dañinos e infraestructuras botnet, y así conseguir beneficios. NoIP y algunos expertos en seguridad desmienten estas acusaciones, pero esta clausura también tiene sus defensores. Si estás interesado en conocer los detalles de este caso, encontrarás en Securelist un artículo de Costin Raiu, director del Global Research y Analysis Team de Kaspersky Lab, y un reportaje de Denis Fisher en Threatpost.

Para el gigante informático de Redmont, las negociaciones y el cierre no eran más que el comienzo de un nuevo capítulo de la saga. El lunes devolvió el total de los 23 dominios confiscados a Vitalwerks, la empresa propietaria de NoIP. Poco después, Microsoft anunciaba que cooperaría con NoIP para poder averiguar con mayor precisión qué dominios estaban actuando de forma maligna.

Hacia finales de la semana, sin embargo, Microsoft publicaba un comentario sobre un acuerdo alcanzado con Vitalwerks, alegando que esta empresa no había estado involucrada de forma intencionada en el uso de los subdominios para la distribución de malware. Ambas empresas finalmente cooperaron para identificar los dominios malignos.

Patch Tuesday y otros parches

Si aún no lo has hecho, deberías instalar las últimas actualizaciones de Microsoft y Adobe. Microsoft ha publicado seis boletines que solucionaban, en total, 29 fallos de seguridad.

Sin embargo, es necesario hacer una mención especial a uno de estos boletines: la actualización acumulativa para Internet Explorer. Kurt Baumgardtner, Security Researcher de Kaspersky Lab, escribe en su análisis sobre los parches que los 23 errores de Remote Code Execution e Internet Explorer que este parche corrige, requieren una solución inmediata.

Pero aún hay otras actualizaciones importantes: Yahoo ha corregido algunos errores críticos en sus servicios de email y mensajería, así como en la página de fotos flicker, perteneciente a Yahoo. Antes de la entrega de las actualizaciones, había tres vulnerabilidades que permitían a los hackers insertar scripts malignos que posibilitaban secuestrar tu sesión o llevar a cabo acciones de phishing, por ejemplo.

Colgarle a Android

Investigadores de Curesec han publicado un blog que describe brechas muy interesantes de seguridad que pueden ser utilizados para diferentes propósitos tan interesantes como dañinos. Los errores pueden permitir a un atacante evitar el sistema de permisos de Android, a través de apps, para realizar o terminar llamadas o para enviar claves USSD (Servicio Suplementario de Datos no Estructurados), desde un dispositivo vulnerable.

Estos errores son interesantes por varios motivos. Un atacante puede ganar dinero si hace que un dispositivo Android marque números Premium para los cuales el dueño del dispositivo tiene que pagar tarifas más elevadas. Sin embargo, las mencionadas claves USSD, sirven para una larga lista de herramientas y pueden permitir a los atacantes establecer reenvío de llamadas, desactivar tarjetas SIM, y causar más problemas.

No estoy seguro de entender por qué una petición que solicita que un adulto que mordió a otro adulto durante un partido de fútbol sea readmitido en ese deporte, constituye un cebo eficaz para phishing. Pero ¿qué puedo decir? Supongo que ya conocéis los detalles: Luis Suárez, delantero de Uruguay, y uno de los delanteros con más talento del mundo, fue excluido del mundial después de haber mordido adrede al defensa italiano Giorgio Chielini.

Curiosamente, no era la primera vez que Suárez atacaba a un jugador con los dientes. Pero tal y como les gusta a los estafadores hacer con los eventos mediáticos, los phishers han falsificado una web en la que se encuentra una supuesta petición para la readmisión de Suárez. La página se camufla como una web de la FIFA legítima, y solicita al visitante firmar la petición – para lo cual la página web pide registrar el nombre, país de origen, dirección email, y número de móvil.

Pero esta es solamente una de las tácticas fraudulentas más populares actualmente en torno al Mundial de Fútbol.

En las noticias de esta semana @Kaspersky Daily analiza las #estafas de la Copa del Mundo y #Patch Tuesday

Tweet