驴A qu茅 le apuestan los hackers modernos? | Noticias de santander, colombia y el Mundo | Vanguardia.com
Publicidad
Mi茅 Dic 13 2017
20ºC
Actualizado 09:41 pm

驴A qu茅 le apuestan los hackers modernos? | Noticias de santander, colombia y el Mundo

2008-09-27 15:05:30

驴A qu茅 le apuestan los hackers modernos?

Averiguar contrase帽as e interceptor correos, tal vez para muchos eso sea un gran logro, pero los hackers modernos quieren ir mucho mas lejos de averiguar una simple clave de acceso, hoy d铆a los retos son mas grandes y se busca penetrar en redes a nivel macro tratando de superar los retos, pol铆ticas y medidas que los especialistas en seguridad cada d铆a implementan buscando crear una red 聯segura聰.
驴A qu茅 le apuestan los hackers modernos?

La pelea es evidente, nosotros los usuarios estamos en medio de ella, tal vez 聯ver los toros desde la barrera聰 no sea conveniente porque en cualquier momento estar谩 infectado o en el peor de los casos, sus cuentas bancarias en cero.

El pasado mes de Agosto se llev贸 a cabo en Las Vegas el evento denominado Defcon 16, conferencia altamente t茅cnica que reuni贸 a los l铆deres de todas las 谩reas del mundo de la seguridad de la informaci贸n, desde los sectores corporativo, acad茅mico y gubernamental hasta los hackers subterr谩neos.

En esta reuni贸n, no participan proveedores de tecnolog铆a y se enfoca en compartir ideas pr谩cticas y conocimiento oportuno sobre las amenazas en l铆nea y las vulnerabilidades nuevas y emergentes.

Adem谩s de las presentaciones tem谩ticas de Defcon 16, reconocidos聽聽 expertos en seguridad ofrecieron sesiones pr谩cticas de demostraci贸n. El evento atrajo a los nombres m谩s prestigiados de los mundos del hacking y la seguridad, lo que inspira discusiones animadas e informativas. En los recuadros se incluyeron las principales tendencias presentadas en el evento.

Ataques a los Servidores de Nombres

Dan Kaminsky, director de Prueba de Penetraci贸n de IOActive, dio una presentaci贸n sobre los da帽os de las vulnerabilidades de DNS (sistema de nombres de dominio).
Que es un DNS?聽 Un servidor DNS (Domain Name System) se utiliza para proveer a los computadores de los usuarios (clientes) un nombre equivalente a las direcciones IP (n煤meros).聽聽 Por ejemplo, www.google.com equivale num茅ricamente a 234.34.54.123

Si navegar por Internet depende de recibir el n煤mero correcto para el nombre correcto, imagine lo que suceder铆a si un cibercriminal interceptara la solicitud de DNS y la dirigiera a un sitio web malicioso. De acuerdo con Kaminsky, los chicos malos est谩n usando el cach茅 DNS envenenado para crear canales de comunicaciones encubiertos, evadiendo las medidas de seguridad, y presentando contenido malicioso.

Las b煤squedas de DNS se utilizan en casi todas las actividades en l铆nea, incluyendo el correo electr贸nico, la mensajer铆a instant谩nea y las transferencias de archivos. El peligro ocurre cuando los datos son desviados por entradas de DNS err贸neas. La mayor铆a de las medidas de seguridad corporativas, como los firewalls, dependen de los datos de DNS por consiguiente exponen una vulnerabilidad que los hackers pueden aprovechar para ver informaci贸n de una compa帽铆a o para exponer informaci贸n propietaria al dominio p煤blico.

Redes Sociales Bajo

El t铆tulo de la conferencia, 聯Satan谩s Est谩 en Mi Lista de Amigos聰, describe perfectamente los crecientes problemas de seguridad en los sitios de redes sociales. La presentaci贸n, que fue dada por Shawn Moyer, fundador de Agura Digital Security, y Nathan Hamiel, Consultor de Idea Information Security, se enfoc贸 en el aumento de los ataques a las redes sociales. De acuerdo con Moyer y Hamiel, los defraudadores est谩n aprovechando la gran confianza que los usuarios depositan en la seguridad de los sitios de redes sociales para extraer informaci贸n e incubar esquemas de phishing.

脷ltimamente, los ataques m谩s comunes son los de cross site scripting (XSS), una vulnerabilidad de las computadoras asociada a aplicaciones Web 2.0 que le permite al atacante inyectar c贸digo en las p谩ginas web que son vistas por otros usuarios.

Recientemente, los sitios de redes sociales objetivo han incluido a LinkedIn, MSN Spaces, Yahoo 360, con Facebook y MySpace como los principales blancos. Conforme los sitios de redes sociales se hacen m谩s populares, los programadores han creado c贸digos que permiten la 聯portabilidad de la identidad聰, con lo cual los usuarios pueden transportar informaci贸n personal de un sitio a otro.

De esta forma, pueden crear un nuevo perfil en Facebook, por ejemplo, usando la informaci贸n ya guardada en sus p谩ginas de MySpace. Aunque conveniente y le ahorra tiempo a los usuarios, esta capacidad de XSS no es segura. Y ya que los sitios de redes sociales est谩n migrando a la misma plataforma OpenSocial, ahora es m谩s f谩cil compartir datos e integrar aplicaciones sociales. Esto significa que infiltrar la API de un sitio le permite a un cibercriminal tener acceso a otra red social hospedada en la misma plataforma, comprometiendo la identidad del usuario a una mayor escala.

Aunque los usuarios de las redes sociales no publican informaci贸n financiera en sus perfiles, comparten sus nombres, nombres de familiares y mascotas, direcciones y otra informaci贸n. Estos datos pueden ser recopilados y usados para violar cuentas bancarias. Por ejemplo, si un cliente llama a un banco para reportar la p茅rdida de una contrase帽a en l铆nea, algunos bancos simplemente solicitar谩n verificar la direcci贸n o el n煤mero telef贸nico para proporcionar la contrase帽a, ambos datos est谩n listados en los sitios de redes sociales. Con los sitios de redes sociales ofreciendo m谩s innovaciones y servicios, Moyer y Hamiel advirtieron a los usuarios que habr谩 m谩s brechas de seguridad.

Descifrando Captcha聮s

Una captcha es un sistema de reconocimiento para saber si el usuario que est谩 accediendo a una aplicaci贸n es un humano o es una m谩quina que procesa datos autom谩ticamente.

La t铆pica prueba consiste en que el usuario introduzca un conjunto de caracteres que se muestran en una imagen distorsionada que aparece en pantalla. Se 聯supone聰 que una m谩quina 聯no es capaz聰 de comprender e introducir la secuencia de forma correcta por lo que 聯solamente el humano聰 podr铆a hacerlo.

El ataque: los cibercriminales han descubierto c贸mo desarticular las Captchas. Se utilizan dos m茅todos: descifrar la Captcha o atacar su implementaci贸n.
Algunas Captchas utilizan generadores de n煤meros aleatorios. Con el conocimiento matem谩tico adecuado, cualquiera puede desarticular una Captcha de cinco d铆gitos en 12 o 13 muestras. Los generadores aleatorios tienen un poco m谩s de 茅xito pero no lo suficiente para detener a los hackers.

驴Es posible mejorar las Captchas? De acuerdo con los representantes de Defcon, la respuesta es 聯No聰. La alternativa es utilizar m煤ltiples capas de autenticaci贸n con las Captchas actuando como una de esas capas.

Explotando Google Gadgets

Los investigadores, Robert Hansen, CEO de secTheory, y Tom Stracener, criticaron duramente la seguridad de Google durante su presentaci贸n titulada 聯Xploiting Google Gadgets: Gmalware & Beyond,聰 en la que afirmaron que Google pone en riesgo a millones de usuarios ya que el gigante de los motores de b煤squeda le da m谩s prioridad al seguimiento de usuarios que a la seguridad.

Expresando su desacuerdo con la pol铆tica de Google de hospedar aplicaciones Web 2. 0 de terceros que no se han probado y que los usuarios pueden integrar autom谩ticamente en sus p谩ginas de inicio de Google personalizadas, Hansen y Stracener describieron una variedad de ataques XSS que pueden realizarse usando programas de Google. Los m谩s peligrosos son los Google gadgets, que pueden redirigir inmediatamente a las v铆ctimas que inician sesi贸n en iGoogle.com a una p谩gina bajo el control de un atacante. Esto tambi茅n crea una ventana abierta para los phishers.

Aparentemente Hansen revel贸 la vulnerabilidad a los ingenieros de seguridad de Google, quienes le dijeron que el redireccionamiento era una caracter铆stica, no una falla. Google gadgets tambi茅n ofrece la capacidad de analizar los puertos de la red interna de una v铆ctima para vigilancia o enviar solicitudes de XSS que redireccionan a sitios maliciosos y provocan que el navegador de una v铆ctima cambie las direcciones del servidor DNS u otras configuraciones delicadas.

聽Si bien algunos ataques relacionados con Google son m谩s teor铆a que una realidad, los investigadores advierten que los ataques aumentar谩n con la popularidad de Google. Los gerentes de TI necesitan ser cuidadosos, los usuarios probablemente ya est茅n usando muchas de las aplicaciones de Gooble basadas en Web 2.0.

Publicada por
Contactar al periodista
Publicidad
Publicidad
Publicidad