Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es

09/01/2015

Boletín 27/12/2014 - 09/01/2015

Empezamos con el primer boletín de noticias de 2015 y, al igual que hicimos un repaso de los incidentes de 2014, podemos ver que en temas de seguridad este 2015 se presenta con diversas amenazas:

Son varios los analistas que coinciden en que se incrementará el número de ataques dirigidos avanzados (APT) que utilizan técnicas de ingeniería social además de exploits día-cero para conseguir introducirse en una organización y pasar desapercibidos.

Como cada vez más usuarios adoptan medios de pago por Internet, seguirá evolucionando el malware bancario y el específico para sistemas de pago, saltando en algunos casos a terminales de punto de venta (TPV) o cajeros automáticos. Tras los conocidos incidentes en la empresas Target, Staples y Home Depot, es de esperar que las empresas minoristas adopten mejores medidas de seguridad pero seguirán siendo objetivo de los ciberdelincuentes.

Otro medio en creciente expansión es el relativo a Internet de las Cosas (IoT) que también es susceptible de ser atacado por las debilidades con las que se está incorporando al mercado. Esto afecta a entro otros a los dispositivos llamados 'wearables' de los que existe gran variedad. IoT ofrece la posibilidad de cambiar nuestra vida diaria pero presenta implicaciones de seguridad y privacidad con los datos que recopilan.

Los ataques a infraestructuras críticas a través de sistemas SCADA seguiran en el punto de mira, sobretodo por el impacto que pueden tener este tipo de incidentes en los que ya no solo se 'rompen unos y ceros', sino que afectan a instalaciones industriales. Esta misma semana se ha publicado una intrusión en una planta siderúrgica en Alemania por la que se perdió el control de una de las forjas.

En 2014 vimos varias vulnerabilidades a programas críticos en Internet (Heartbleed, Shellshock,  Poodle, ...) lo que ha provocado que se siga buscando este tipo de problemas e incluso que Google haya organizado el grupo Project Zero que se dedica a buscar vulnerabilidades en software de uso común. En este año seguramente también tendremos alguna vulnerabilidad crítica que exija técnicos especializados para solucionarlo.

¿Tendremos algún cisne negro en 2015?
A medida que disponemos de sistemas complejos e interconectados a la vez que aumenta nuestra dependencia de los servicios de tecnologías de la información en Internet (cloud computing, sistemas SCADA, BYOD,IoT, ...), nos enfrentamos a riesgos que aunque tengan una probabilidad pequeña o muy pequeña de ocurrir, su impacto puede suponer una disrupción significativa del funcionamiento de una organización.  Por ello es importante tener un equipo multidisciplinar capaz de reaccionar ante cualquier incidente que requiera una especial atención.

Para este nuevo año 2015, y con vuestra ayuda, vamos a publicar un calendario en el que mes a mes, se incluirán consejos de seguridad sobre distintas temáticas tal y como hemos hecho en el 2014. Comentaos por último que ya está abierta la inscripción para la primera edición de 2015 de los cursos online de seguridad que imparte CSIRT-CV a través de la plataforma SAPS? y esperamos que os sean de interés.

Actualizaciones de programas

Desde el equipo de Project Zero de Google nos llega un 0-day en Windows 8.1, que permite otorgar privilegios de administración a procesos que no tienen dichos privilegios. Aún no hay solución pública pero se espera que el próximo martes se publique dentro de los boletines del mes de enero.

Se han detectado dos vulnerabilidades en McAfee ePolicy Orchestrator que pondrían en peligro la seguridad mediante la realización de ataques de inyección de entidades XML y robo de credenciales. El fabricante recomienda aplicar las actualizaciones que ya están disponibles.

CSIRT-CV