Tornem una quinzena més amb un nou butlletí sobre les principals notícies del món de la ciberseguretat.
Comencem el nostre butlletí amb la notícia del hacking al lloc web “Bitcoin.org“. L’atac va començar amb un missatge en una finestra emergent en la web, on s’informava que els 10.000 primers usuaris que respongueren el missatge podien aprofitar-se d’una oferta i duplicar el total d’actius de les seues carteres electròniques. El missatge incloïa un codi QR per a accedir a una determinada cartera.
Una altra notícia interessant és la relativa a la filtració de dades confidencials sobre l’estat de vacunació de la COVID-19 al Canadà, que s’ha produït a través dels codis QR emesos en els certificats de vacunació. L’empresa “eHealth Saskatchewan”, encarregada de proporcionar aquests serveis electrònics al sector sanitari, s’ha vist obligada a sol·licitar la destrucció d’aquests certificats de vacunació COVID.
Així mateix, diversos experts de Kaspersky han identificat intents d’infecció -a través de malware i altres tipus de software maliciós- a usuaris que intentaven descarregar-se la nova pel·lícula de James Bond (“No Time to Die”). També s’han identificat intents de phishing en els quals es demanava als usuaris que es registraren per a poder continuar veient la pel·lícula. Durant aquest procés se sol·licitava a les víctimes les seues dades bancàries.
També us informàvem de la notícia sobre una vulnerabilitat en “Apple AirTag”, l’explotació de la qual permetria als ciberdelinqüents trobar el número telefònic d’un usuari, i fins i tot, redirigir-lo a llocs de phishing d’iCloud i altres plataformes legítimes. Tot es deu al fet que el “mode perdut” del dispositiu no està protegit, i permet a l’atacant injectar codi en els camps de la funció que genera les dades personals del propietari del mòbil perdut.
Us recordem que a l’octubre se celebra el Mes Europeu de la Ciberseguretat (ECSM), mes durant el qual la Unió Europea realitza una campanya dedicada a promoure la ciberseguretat entre els ciutadans i les organitzacions de la UE, i a proporcionar informació de seguretat en línia actualitzada mitjançant la sensibilització i l’intercanvi de bones pràctiques.
Finalment, us anunciem que aquesta setmana hem finalitzat la nostra campanya de conscienciació dirigida a docents, en la qual durant dues setmanes hem publicat un consell diari sobre un tema a treballar amb els alumnes, amb recursos que permeten assimilar millor els continguts de la ciberseguretat. Pots veure el detall d’aquesta campanya en el portal de conscienciació concienciaT.
Respecte a les alertes i actualitzacions més rellevants de la quinzena:
- S’han identificat múltiples vulnerabilitats “ZeroDay”, que afectaven dispositius Iphone i Mac:
– CVE-2021-30869. Fallada de confusió de tipus en el component XNU, que permet executar codi arbitrari amb privilegis en Kernel.
– CVE-2021-30858. Vulnerabilitat “Use-After-Free” (UAF), que permet a “Webkit” executar codi arbitrari en un lloc web amb contingut maliciós.
– CVE-2021-30860. Vulnerabilitat que permet executar codi arbitrari en processar un PDF amb contingut maliciós. - Netgear ha reportat 25 vulnerabilitats, totes aquestes de severitat crítica, que podrien permetre a un atacant comprometre els productes afectats. Es recomana actualitzar a la versió de firmware més recent.
- Google també s’ha vist sorpresa per una altra vulnerabilitat ZeroDay en la seua última versió de “Chrome 94”. En aquest sentit, han hagut de llançar un pegat d’emergència. La vulnerabilitat detectada (CVE-2021-37973) afectava l’API de Portals, encarregada de la transició entre pàgines.
- S’han identificat múltiples vulnerabilitats “ZeroDay”, que afectaven dispositius Iphone i Mac: