Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es

25/10/2019

Boletín 12/10/2019 - 25/10/2019

Repasamos a continuación algunas de las noticias más interesantes relacionadas con ciberseguridad que se han producido durante la última quincena.

Iniciamos el repaso comentándoos que quedan ya menos de cien días para el fin del soporte a Windows 7. El 14 de enero de 2020 es la fecha límite que Microsoft ha fijado para las actualizaciones de seguridad y evidentemente los atacantes son conocedores de ello, de modo que a partir de esa fecha los ordenadores con ese sistema operativo estarán mucho más expuestos. Actualmente, aproximadamente un 30% de los ordenadores utilizan Windows 7.

Otra noticia de interés que se ha producido durante la quincena es que se ha conocido que cientos de millones de tarjetas SIM son vulnerables. Tarjetas de hasta 29 países distintos serían vulnerables a ataques remotos Simjacker. La consecuencia sería el acceso a información sensible por parte de un atacante mediante un SMS especialmente diseñado para ello.

Pero no todo son malas noticias para la ciberseguridad: España dispone de un nuevo teléfono gratuito de sencilla memorización para centralizar las llamadas relativas a ciberseguridad, privacidad, confianza digital, uso seguro y responsable de Internet y tecnología. Se trata del 017, estará disponible todos los días de 9 a 21h y está destinado a todos los públicos: menores, padres, educadores, empresas, ciudadanos, etc.

Por otra parte, también consideramos importante que conozcáis que la agencia alemana de ciberseguridad recomienda Firefox como el navegador más seguro. El estudio incluía a Chrome, Internet Explorer, y Edge (excluyendo Safari y Opera, entre otros). En el test realizado se analizaban diferentes aspectos como el soporte TLS, uso de certificados, usabilidad referente a seguridad, despliegue de actualizaciones, gestión de contraseñas almacenadas o configuraciones que permitan bloquear el borrado del historial (entre muchas otras).

Repasando el habitual espacio dedicado a los dispositivos domesticos, el phishing ha llegado a asistentes de voz tales como Alexa. El ataque, bastante sofisticado y basado en una skill maliciosa, hace creer al usuario que Amazon necesita escuchar su contraseña. Aprovechamos para recordaros que estos asistentes nunca solicitan en funcionamiento normal que el usuario introduzca contraseñas con la voz.

Para finalizar el repaso, en este artículo os proporcionamos una serie de recomendaciones para defenderse del SIM Swapping: básicamente se trata de tener sentido común, teniendo cuidado con el manejo de la información personal online y utilizar métodos alternativos para el doble factor de autenticación.  

Actualización de programas

Durante la pasada quincena se ha descubierto una vulnerabilidad 0-day en Apple iTunes y iCloud, que afecta a las versiones de Windows y está siendo explotada para ataques de ransomware.

También se ha descubierto una vulnerabilidad 0-day en Joomla!. El fallo afecta a versiones antiguas y permitiría ejecutar código remoto a partir de una inyección de objetos en PHP. El fallo es independiente de la versión de PHP que el servidor utilice.

También es interesante que conozcáis que los últimos boletines de seguridad de Adobe corrigen 82 vulnerabilidades en algunos de sus productos, muchas de ellas de riesgo crítico.

Finalmente, os advertimos de que se han encontrado múltiples vulnerabilidades en Firefox y Chrome, que incluyen corrupción de memoria, denegaciones de servicio o ejecución de código arbitrario.

Como siempre, os recomendamos estar lo más actualizados posible instalando frecuentemente los parches de seguridad que se van publicando con el fin de evitar males mayores.

CSIRT-CV