Mundo Hacker

us-cert-java-warning-1358182338.jpg

Oracle soluciona el bug de seguridad en Java y cambia los niveles de autorización

0

us cert java warning 1358182338 thumb Oracle soluciona el bug de seguridad en Java y cambia los niveles de autorización

Hace pocos días compañías desarrolladoras de navegadores y hasta el gobierno de EEUU tomaron medidas para proteger a usuarios de Javacontra un serio problema de seguridad escondido en dicha tecnología. Por suerte los usuarios de Java ya no tenemos que preocuparnos tanto, porque Oracle acaba de publicar una actualización que solucionaría el problema y hasta habría mejorado la configuración del software para ofrecer aún mayor protección. El nivel de autorización de Java ha sido cambiado a “elevado”, lo que significa que el software pedirá permiso explicito del usuario antes de ejecutar un applet que no incluya una firma oficial.
Según parece, el parche y los cambios de seguridad hacen que Java sea un poquito más seguro, y eso es importante porque esta es una de las tecnologías multiplataforma más usadas del planeta.

Vía Reuters, es.engadget.com


12.08.30-Java-300x184.jpg

Oracle actualiza Java y los investigadores anuncian que la vulnerabilidad persiste

0

La semana pasada se dio la voz de alarma ante un importante fallo en la última actualización de Java (7 u10), una actualización que contenía un agujero que podría ser explotado por hackers de manera remota y acceder a nuestros ordenadores. El domingo Oracle anunciaba una actualización de emergencia tras la alarma, una nueva actualización que según los expertos mantiene varios fallos de seguridad críticos.

12.08.30 Java 300x184 thumb Oracle actualiza Java y los investigadores anuncian que la vulnerabilidad persiste

Y es que dos días después de que el Gobierno de Estados Unidos instara a los usuarios a deshabilitar el software, Oracle anunciaba el domingo una rápida actualización. La compañía explicaba a través de una entrada en el blog que:

Hemos llevado a cabo una actualización que corrige dos vulnerabilidad en la versión de Java 7 para los navegadores web. También hemos cambiado la configuración de seguridad de Java de nivel medio a alto por defecto, lo que permitirá un acceso más difícil a programas sospechosos sin el conocimiento del usuario.

Horas después, el investigador de seguridad Adan Gowdiak, el mismo que había descubierto meses atrás varios errores de Java, explicaba que la actualización no excluía la vulnerabilidad encontrada:

No nos atrevemos a decir a los usuarios que es seguro habilitar Java de nuevo.

En la misma línea se mostró el director de seguridad de la firma Rapid7, HD Moore, compañía que da asistencia para identificar vulnerabilidades y fallos críticos de seguridad:

Creemos que le podría llevar a Oracle alrededor de dos años arreglar todos los errores de seguridad. A día de hoy es fácil suponer que Java va a continuar siendo vulnerable. Realmente el usuario no necesita Java en su escritorio.

Sea como fuere, Oracle también ha querido explicar que el fallo solo afecta a Java 7, la última versión delsoftware para los navegadores web. Mientras, la mayoría de expertos en seguridad mantienen el nivel de alerta desde el pasado mes de agosto, momento en el que se comenzó a aconsejar el uso del software sólo si fuera necesario. El CERT por su parte aconseja desinstalar Java de los sistemas hasta nuevo aviso o en su defecto, mantener el nivel de alerta sobre los sitios que se visitan.

Via alt1040.com


trans-ice-300x225.jpg

Estados Unidos actúa en Europa e incauta 31 dominios

0

Durante los dos últimos años Estados Unidos, a través de Homeland Security, ha estado incautando dominios que se encontraban bajo su jurisdicción, nombres de dominios relacionados con la falsificación o páginas de enlaces a streaming o donde se compartían archivos. Ahora, por primera vez han llevado a cabo una operación a gran escala de dominios europeos. Con la ayuda de Europol, Estados Unidos ha dado un primer paso que podría ser el comienzo de numerosos derribos fuera del territorio estadounidense.

trans ice 300x225 thumb Estados Unidos actúa en Europa e incauta 31 dominios

Se trata de una nueva ronda de ataques a dominios relacionados con vendedores de productos falsificados, una primera acción que podría pasar próximamente al mundo del BitTorrent tal y como ha ocurrido en Estados Unidos.

Estos 24 meses han servido para que muchos sitios hayan buscado alternativas en vista de que su dominio (si se encontraba bajo la jurisdicción estadounidense) podría ser confiscado sin advertencia previa o debido proceso. En otros casos se ha trasladado el sitio fuera de los dominios controlados por Estados Unidos como medida de precaución.

Uno de los ejemplos es The Pirate Bay, quién traslado su dominio a .se. Lo mismo ha ocurrido en otros casos de BitTorrent como Demonoid, Torrentz o KickassTorrents al igual que varios sitos de alojamiento de archivos y portales de streaming.

La idea general hasta ahora era que que si los dominios se encontraban fuera de la jurisdicción del país, estarían protegidos ante posibles derribos, algo que desde este lunes parece en entredicho.

ICE anunció a comienzos de esta semana que había llevado a cabo una nueva ronda de confiscaciones de dominios. Lo hacía por primera vez en Europa, con la ayuda de Europol y las agencias europeas bajo el denominado Project Transatlantic:

Reconociendo la naturaleza global de la delincuencia en Internet, este año el Centro de derechos de propiedad intelectual asociado con Europol, a través de sus países miembros, ha ejecutado ataques coordinados en el extranjero para dominios de nivel superior como .eu, .be, .dk, .fr, .ro y .uk. Este esfuerzo se denomina Project Transatlantic y resultó en 31 incautaciones de dominios.

Aunque las autoridades no han querido en esta ocasión decir quienes fueron los objetivos, según TorrentFreak chaussuresfoot.be, chaussurevogue.eu y eshopreplica.eu estarían incluidos. Sí se sabe que esta primera acción a gran escala en Europa estaba dirigida a minoristas de productos falsificados.

Como decíamos, un primer ataque que podría derivar próximamente hacia la mal llamada “piratería” y el uso del BitTorrent. La idea generalizada de todos los proveedores de BitTorrent es que la llegada de ICE a Europa es una llamada de atención que indica que no existe nombre de dominio seguro en el mapa digital actual.

Aún así, la mayoría explican que de darse el caso, podrían volver a operar rápidamente bajo otro dominio como ha ocurrido con The Pirate Bay.

Via alt1040.com

Jailbreak-iOS-6.jpg

Cómo hacer Jailbreak en dispositivos A4 con iOS 6

0

Desde el día de ayer está disponible para el público la más reciente versión del sistema operativo móvil de Apple, el tan esperado iOS 6 con sus más de 200 novedades incluyendo el soporte de Siri en español, la integración con Facebook y más. Pero muchos usuarios de iDevices utilizan Jailbreak en sus dispositivos, y por ello consideran si para ellos es conveniente o no actualizar a iOS 6. No obstante, el día de hoy el iPhone Dev-Team nos ha dado la sorpresa de que ya está disponible el primer Jailbreak para dispositivos con iOS 6.

Jailbreak iOS 6 thumb Cómo hacer Jailbreak en dispositivos A4 con iOS 6

Eso sí, por los momentos hay un par de cosas que considerar antes de proceder a realizar este Jailbreak, las cuales son:

  • Se trata de un Jailbreak de tipo Tethered. Esto quiere decir que cada vez que necesitemos reiniciar el dispositivo o que lo apaguemos por cualquier razón y luego queramos encenderlo de nuevo, debemos conectarlo al computador e iniciarlo a través de Redsn0w, el programa con el que aplicamos el Jailbreak.
  • Por ahora solamente es compatible con dispositivos A4, o lo que es lo mismo, sólo es compatible con: iPhone 4, iPhone 3GS y iPod Touch de cuarta generación.
  • Si tu iPhone es liberado, no es recomendable actualizar a iOS 6 por ahora.

Una vez que consideremos estos importantes puntos y hagamos un respaldo con iTunes, podemos comenzar a realizar este sencillo procedimiento.

Pasos para hacer Jailbreak en iOS 6

Primeramente necesitamos descargar una serie de archivos, y por supuesto un ordenador Windows o Mac.

Luego seguimos al pie de la letra y en orden los siguientes pasos:

  • Descomprimir el archivo de Redsn0w que descargamos y almacenarlo en una ubicación permanente
  • Ejecutar el archivo ejecutable de Redsn0w. Si usas Windows hacerlo presionando el botón derecho del ratón y seleccionando la opción “Ejecutar como administrador”. Si usas Mac mantener presionado el botón Ctrl y hacer clic con el ratón sobre el archivo. Esto iniciará la herramienta.

Redsn0wdev4 435x600 thumb Cómo hacer Jailbreak en dispositivos A4 con iOS 6

  • Seleccionar la opción Extras en el programa, como se puede apreciar en la imagen anterior.
  • Buscar el archivo IPSW que descargamos para nuestro dispositivo y seleccionarlo.
  • Hacer clic en “Back” una vez que seleccionamos la IPSW que descargamos y luego presionar el botón Jailbreak y después SSH. Lo siguiente será seguir las instrucciones en pantalla, incluyendo colocar el iPhone o iPod Touch en Modo DFU como lo indica la herramienta cuando esta nos lo pida.

Ya contamos con Jailbreak Tethered en el dispositivo, pero esto no es todo, ya que falta una última y muy importante cosa por hacer para poder disfrutar de las maravillas del Jailbreak.

Cómo instalar Cydia

Lamentablemente, esta versión de Redsn0w no cuenta con Cydia por defecto, por lo que habrá que hacerlo siguiendo una serie de pasos que consisten en introducir comandos en la consola de nuestro ordenador.

En el caso de Mac se hace a través de la Terminal, pero en el caso de Windows se debe utilizar un programa de SSH como WinSCP.

Lo primero que debemos hacer es:

  • En Mac: Conseguimos la Dirección IP de nuestro dispositivo accediendo a Ajustes > WiFi y en este apartado presionar sobre la fecha azul que aparece al lado del nombre de nuestra red. Luego de esto escribimos en la terminal:

    ssh root@aquí escribimos la dirección IP
    
  • En Windows: Con el dispositivo conectado al computador, presionamos Ctrl+T.

Luego de esto, en la ventana de comandos, bien sea en Mac o en Windows, escribimos las siguientes órdenes:

    wget -q -O /tmp/cyinstall.sh http://downloads.kr1sis.net/cyinstall.sh &&
    chmod 755 /tmp/cyinstall.sh && /tmp/cyinstall.sh

Al finalizar este procedimiento, veremos el icono de Cydia en el escritorio de nuestro iDevice.

Cómo reiniciar un dispositivo con Jailbreak Tethered

Ya les mencionamos que este procedimiento es para un Jailbreak de tipo Tethered, lo que quiere decir que con cada reinicio se deberá encender utilizando Redsn0w. Esto es muy sencillo realmente, ya que no se debe repetir el proceso sino solamente conectar el terminal apagado al computador, iniciar Redsn0w como administrador, seleccionar el botón “Extras” y allí la opción que dice “Just Boot”. Luego de seguir un par de instrucciones en pantalla, el terminal volverá a iniciar con Jailbreak. Una buena recomendación sería tratar de apagar el móvil la menor cantidad de veces posible, y de hacerlo, tener nuestro computador cerca.

Si sigues todo este tutorial al pie de la letra podrás comenzar a disfrutar de iOS 6 en tu dispositivo con todos esos tweaks y aplicaciones maravillosas que solamente quienes poseen Jailbreak pueden aprovechar.

Via gizmologia.com

7-30-2012nsaseal.jpg

Ex-empleado de la NSA asegura que la agencia recopila información de ciudadanos estadounidenses en internet

0

7 30 2012nsaseal thumb Ex empleado de la NSA asegura que la agencia recopila información de ciudadanos estadounidenses en internetEl director de la Agencia de Seguridad Nacional de Estados Unidos (NSA por sus siglas en inglés), el General Keith Alexander, estuvo presente durante la conferencia DefCon de la semana pasada para hablar ante la comunidad hacker sobre el trabajo que realiza su organización, y tratando de disipar las dudas sobre el control que realizan en internet indicó que la NSA no recopila y almacena datos de ciudadanos estadounidenses. Dicha aseveración fue desmentida al poco tiempo por William Binney, quien trabajó como Director Técnico de la NSA hasta 2001, diciendo casi, casi que Alexander es un mentiroso. De hecho, según Binney, la NSA estaba planeando usar los ataques terroristas del 11 de septiembre como una “excusa” para recolectar información de los ciudadanos sin una ley que lo permitiera.
La situación no es tan simple como un sí o no, porque Alexander explica que es cierto que recopilan búsquedas web, mensajes de Twitter, emails y otros datos de los ciudadanos, pero de manera indirecta, cuando por ejemplo algún ciudadano extranjero está siendo investigado.
Según Alex Abdo, abogado de la ACLU, vacíos legales permitirían que la NSA recopile información de ciudadanos sin que exista una ley que lo apruebe explícitamente, en tanto que estas personas no sean el objetivo directo de una investigación. Esto haría que sea posible almacenar de manera indefinida los datos de las personas para que puedan ser investigados en un futuro, cuando los ciudadanos vayan a ser investigados mediante una orden judicial.
El asunto, como prácticamente todo lo que tiene que ver con la captura de datos de internautas por parte de las autoridades, es algo es tan complejo que sus ramificaciones legales resultan incomprensibles sin estudios en derecho ni conocimientos exactos sobre qué y cómo se almacenan los datos, así que hasta que el Congreso estadounidense decida investigarlo, la NSA podrá continuar recolectando la información como hasta ahora.

Via es.engadget.com

tarjetainteligente_metromadrid.jpg

España: Encuentran grave vulnerabilidad en máquinas de Metro de Madrid y de Renfe

0

tarjetainteligente metromadrid thumb España: Encuentran grave vulnerabilidad en máquinas de Metro de Madrid y de Renfe

¿Eres de los que compras billetes de Metro o Renfe en las máquinas automatizadas y pagas con tu tarjeta bancaria? Si la respuesta es afirmativa, creo que esta noticia no te va a gustar nada: Han demostrado que estas máquinas presentan graves vulnerabilidades que hacen posible que terceros obtengan datos críticos, como bien puede ser información de nuestra tarjeta de crédito si la hemos usado para pagar allí.

La revelación la hizo Alberto García Illera,un joven matemático español que ha mostrado dichos fallos en la conferencia de ‘hackers’ DefCon de Las Vegas: Allí a través de un vídeo demostró lo sencillo que resulta entrar al sistema de estas máquinas y obtener información sensible.

García Illera habría demostrado cómo desde la pantalla táctil de las máquinas del Metro y de Renfe es posible realizar acciones no autorizadas, como por ejemplo, comprar billetes con descuento de tercera edad (aunque claramente seas joven y tengas tal abono). Además, el chico explicó que es posible entrar al sistema que centraliza la información de las cámaras de vigilancia… ¡Menudo riesgo!

El joven científico asegura que está dispuesto a ayudar a ambas instituciones a corregir dichas vulnerabilidades, mientras que tanto desde Metro de Madrid como desde Renfe aseguraron al diario El Mundo estar investigando la naturaleza de las revelaciones expuestas por García Illera… Esperemos que sean listos y le pidan asesoría para solucionar estos fallos de seguridad y no que se dediquen a satanizarlo como suelen hacer con los “hackers”. Amén.

Link: Cómo acceder a datos críticos en las máquinas de Metro de Madrid o de Renfe (El Mundo)

Via fayerwayer.com

pwnie-express-power-pwn.jpg

La regleta para hackers Power Pwn no es una simple colección de enchufes

0

El dispositivo de la foto superior parece una simple regleta, zapatilla, multitoma o cortapicos, pero es mucho más que eso. Se trata de un pequeño ordenador desarrollado con el apoyo de la agencia gubernamental estadounidense DARPA para ayudar a detectar vulnerabilidades y así conseguir que las redes sean más seguras.

pwnie express power pwn thumb La regleta para hackers Power Pwn no es una simple colección de enchufes

El Power Pwn funciona con la distribución de Linux Debian 6 e incluye soporte para conexiones 3G, Ethernet y WiFi, haciendo posible el acceso a redes y el envío de comandos bash por medio de la señal móvil usando SMS. Opciones como el Evil AP WiFi permiten probar el acceso a redes inalámbricas sin que importe el que hayan sido configuradas con sistemas de autenticación RADIUS.
Aunque a muchos de nosotros nos gustaría tener uno de estos para jugar, el gran problema es el precio, porque no podemos justificar la compra de un ordenador sin salida de video por 1.295 dólares. En realidad este aparato fue fabricado pensando en departamentos de seguridad informática para que las compañías puedan usar las mismas herramientas que podría tener en sus manos un buen cracker.

Via es.engadget.com

pirate_mac_app1.jpg

Hackean la Mac App Store y permiten las descargas gratuitas de todas las aplicaciones

0

La seguridad de la tienda de aplicaciones de Apple para Mac ha quedado en entredicho. Un hacker ha conseguido aprovechar un fallo de seguridad en la Mac App Store que permite a los usuarios comprar aplicaciones sin pagar por ellas.pirate mac app1 thumb Hackean la Mac App Store y permiten las descargas gratuitas de todas las aplicaciones

Hace solo una semana conocíamos el hackeo de la App Store de iOS, el sistema operativo móvil de la compañía de Cupertino. Un hacker ruso conseguía aprovechar un exploit en la tienda de aplicaciones móviles de modo que permitía la descarga de sus contenidos de forma gratuita. Apple no tardó en reaccionar ante la gran cantidad de beneficios económicos que le supone esta plataforma, corrigiendo el fallo y dando a los desarrolladores de apps un cifrado de compra en sus servidores.
Sin embargo, la compañía vuelve a ver comprometida su seguridad y de nuevo es el mismo programador el que pone en aprietos al gigante de la manzana mordida. Un exploit similar ha sido descubierto en la Mac App Storede modo que se pueden comprar todas las aplicaciones alojadas en este servicio sin pagar por ellas.
Tal y como detalla el hacker, el proceso seguido es similar al que sirvió para comprometer la seguridad de la App Store. A través de una herramienta denominada In-Appstore for OS X, consigue suplantar la identidad instalando dos certificados locales y cambiando los servidores DNS de modo que es el servidor del hacker el que intercepta todas las llamadas de la Mac App Store y devuelve certificados válidos para la aplicación. Así queda simulada la validación de la compra y el usuario dispone de las aplicaciones de forma gratuita.
Aunque el proceso de validación en la Mac App Store es más fuerte que el de iOS, el exploit funciona y los desarrolladores de la plataforma ya se han visto afectados. A pesar de que los tickets de compra de las aplicaciones para Mac están firmados por Apple y cuentan con un identificador único que permite una sola instalación, el propio hacker ha confirmado que es posible instalar aplicaciones de pago de forma gratuita sin que los programadores puedan hacer nada para evitar verse afectados.
Será Apple quien tenga que mover ficha con celeridad. Sus beneficios están tan comprometidos como los de los desarrolladores, quienes podrían emprender algún tipo de acción contra la compañía puesto que el fallo de seguridad les puede dejar sin su fuente de ingresos.

Via adslzone.net

anonymous.jpg

Anonymous expone públicamente a cientos de pedófilos y pide la colaboración ciudadana

0

En una nueva campaña contra la pornografía infantil, el colectivo de activistas Anonymous ha iniciado la #OpPedoChat. Alrededor de 100 sitios web tumbados exponiendo a los pedófilos que intercambian imágenes y vídeos de menores. Una operación que continuará las próximas semanas añadiendo nuevas páginas con la ayuda de todos los usuarios que aporten datos.

anonymous thumb Anonymous expone públicamente a cientos de pedófilos y pide la colaboración ciudadanaLa acción tuvo lugar el fin de semana y aún hoy muchos siguen sin actividad. En este momento son alrededor de 85 dominios sin contar con sitios web individuales los que el colectivo ha tomado. Un número que va en aumento ya que se van agregando nuevos enlaces con la colaboración de los usuarios.

Según cuenta Anonymous, el movimiento trata de desfigurar las webs y los dominios además de tomar los registros de sus usuarios. La información recopilada luego se hace pública incluyendo los detalles de los presuntos pedófilos, tanto de usuarios como de los administradores de cada sitio además de los correos electrónicos entre ellos.

Se trataría de la segunda vez que el colectivo actúa contra la pornografía. En octubre del 2011 Anonymous atacó 40 webs pedófilas exponiendo a más de 1.5000 presuntos pederastas en la denominada #OpDarknet.

Quizá en esta ocasión el alcance pueda ser mayor ya que los detalles de la operación que podemos ver en el vídeo han sido traducidos a varios idiomas con el fin de que todo el mundo que pueda colaborar aporte información sobre nuevas páginas.

Les dejo con parte de la transcripción del vídeo:


Hola ciudadanos del mundo, somos Anonymous. Queridos hermanos y hermanas. Ahora es el momento de abrir los ojos y exponer la verdad. Recientemente hemos observado como se ha producido una oleada de sitios web dedicados a los pedófilos en chats y compartiendo imágenes. Estos pedófilos abogan abiertamente por conceptos como “amor hombre-niño”, afirmando que los niños de 8 años de edad disfrutan de ello. Esto no se limita a los niños, los consejos para las niñas existen y operan con total impunidad. La pornografía infantil se negocia con frecuencia e incluso existen imágenes de niños inocentes al azar (en la playa, en un patio de recreo, en sus casas) donde públicamente fantasean con ellas.

El objetivo de Anonymous es disminuir, si no erradicar, esta plaga a través de Internet. Por el bien de nuestros seguidores, por el bien de la humanidad y para nuestro propio disfrute, se procederá a la expulsión en Internet y la destrucción sistemática de este tipo de páginas que siguen operando. Anonymous reconoce esta operación como una empresa seria y no esperamos que se complete en un corto período de tiempo. Las facciones de Anonymous de todo el mundo están participando en sub-operaciones. La información sobre los pederastas se están recopilando y poniendo en libertad.

Anonymous debe exponer estos sitios pedófilos, quién y qué son en realidad. El noventa y nueve por ciento será difundido con la palabra de estas prácticas repugnantes de los pedófilos.

Les animamos a ponerse en contacto con los representantes electos y les digan que pongan fin a estas prácticas repugnantes de los pedófilos. A ponerse en contacto con todos los periodistas y bloggers para crear presión política y social contra estos sitios pedófilos.

Via alt1040.com

Wikileaks-Anonymous-300x195.jpg

Anonymous entregó a WikiLeaks los dos millones de archivos sirios

0

Así lo han confirmado este fin de semana. El grupo de activistas Anonymous Siria, AntiSec y Peoples Liberation Front entraron en los servidores del gobierno sirio desde el mes de febrero transfiriendo los datos durante semanas y entregándoselos posteriormente a WikiLeaks.

Wikileaks Anonymous 300x195 thumb Anonymous entregó a WikiLeaks los dos millones de archivos sirios

Los archivos hacen referencia a la noticia que os anunciábamos la semana pasada.WikiLeaks comenzaba a publicar una serie de correos, hasta dos millones de archivos, en colaboración con varios medios. Una publicación donde se revelaban los correos de figuras políticas sirias, ministerios y empresas asociadas con el país que databan del mes de agosto del 2006 hasta marzo del 2012 incluyendo información sobre cómo los países occidentales colaboraban con el régimen de Assad.

El comunicado difundido por el grupo de activistas indica que Anonymous habría estado ayudando a los manifestantes sirios durante más de un año, desde la primera semana de su revolución. Anonymous también revela que la operación denominada como OpSiria estaba compuesta por antiguos miembros de LulzSec ahora conocidos como AntiSec junto a Peoples Liberation Front.

En cuanto a los documentos, dos millones de archivos, habría sido una operación que comenzó en el mes de febrero. En el comunicado publicado en Pastebin indican que:

Hemos trabajado día y noche. Los datos disponibles habían sido dercargados de forma masiva en una acción que nos ha llevado varias semanas.

Posteriormente, la descarga de archivos fue enviada a WikiLeaks, una organización que a juicio del grupo de activistas:

Está sumamente bien equipada para manejar la divulgación de documentos de esta magnitud. Mientras los tiranos sigan desafiando, Anonymous seguirá trabajando sin descanso día y noche, en cada país y zona, para ayudar a aquellos que luchan por la libertad y activistas como en Siria.

De esta forma, Anonymous y WikiLeaks vuelven a colaborar por una lucha común tras la publicación que tuvo lugar en el mes de febrero, momento en el que WikiLeaks filtró cinco millones de correos de la firma de seguridad Stratford, tras el “trabajo” de Anonymous en diciembre del 2011.

Via alt1040.com

Ir arriba