Top de botnets

Lo de publicar listas de "Los/as 10 más..." es ya en el ámbito de Internet más que una moda, una venerable tradición. Pero no puedo por menos que anotar la que citan en Security by Default: las 10 botnets con mayor incidencia en Estados Unidos.

Actualización 3.5.1 de Firefox... y nuevo 0-day

Casi coincidiendo con la publicación de la versión 3.5.1 de Firefox, que venía a corregir una vulnerabilidad que estaba siendo activamente explotada en la red, se ha anunciado un nuevo 0-day todavía por parchear.

Así lo comentan en el laboratorio de Hispasec.

Parches Microsoft fuera de ciclo

Microsoft ha informado de que mañana martes publicará dos boletines de seguridad fuera de ciclo que afectan a Internet Explorer y Visual Studio. Obviamente ambos son Críticos.

Posible 0.day en Firefox 3.5

Un boletín extraordinario de Una-al-día informa de la publicación de un exploit para Firefox 3.5 que permitiría la ejecución remota de código con los permisos bajo los que se esté ejecutando el navegador.

No existe constancia de que se esté explotando activamente esta vulnerabilidad (de ahí el posible), pero es de temer que más temprano que tarde alguien lo haga.

Aviso de seguridad de Microsoft

Microsoft publicó ayer un aviso de seguridad centrado en los componentes de Office Web por una vulnerabilidad que podría permitir la ejecución remota de código. Se trata del tercer 0-day en apenas mes y medio.

Actualización de Safari

Apple ha publicado la versión 4.0.2 de Safari para Mac OSX y Windows que viene a mejorar la estabilidad y seguridad del navegador. Sin embargo en esta ocasión no he encontrado referencia de cuales son los cambios realizados.

Nuevos servicios de INTECO

Por la transición de servicios de Alerta-Antivirus a INTECO-CERT están reorganizando, entre otras cosas, sus boletines, acabo de suscribirme a los nuevos (previamente hay que registrarse aquí) y por curiosidad he comprobado que a las listas de Alerta-Antivirus, que cerrarán el 4 de agosto, llevo suscrito más de ocho años.

Previsión de parches Microsoft para Julio

Microsoft ha anunciado que el próximo martes publicará seis boletines, tres Críticos dedicados a Windows y tres Importantes que afectarán a Virtual PC y Virtual Server, ISA Server y Publisher respectivamente.

Asus EeeKeyboard

Vía The Inquirer un análisis, vídeos y despiece incluídos, del prototipo del Asus EeeKeyboard, un ordenador con pantalla táctil "empotrado" en un teclado.

Falso 0-day

El Internet Storm Center informa de que los rumores sobre una vulnerabilidad 0-day en OpenSSH son en realidad un bulo que llegan a calificar de FUD.

Lo cierto es que no recuerdo haber visto nada semejante.

Sandboxie, asegurando la navegación

Vía Security by Default he dado con Sandboxie, una utilidad para
aislar la ejecución de aplicaciones impidiendo que accedan a directorios del sistema.

Está orientada sobre todo hacia los navegadores y habrá que probarla.

El último 0-day de Microsoft viene de lejos

Anteayer reseñé un aviso de seguridad de Microsoft por una vulnerabilidad que estaba siendo activamente explotada. Pues bien, según informa Unaaldía, Microsoft conocía la existencia de esta vulnerabilidad desde 2008, como prueba su identificador CVE, en el que yo no reparé.

Además, y también desde 2008, existe otra vulnerabilidad en la misma librería, que Microsoft no ha reconocido y que previsiblemente parcheará junto con la hecha pública.

Google lanzará su propio sistema operativo

La noticia, no por esperada, ha dejado de causar revuelo: Google lanzará su propio sistema operativo Google Chrome OS.

Será software libre, orientado a netbooks (aunque seguro que acaba desbordando ese nicho) y anclado en la nube. Una característica interesante es que, al estar basado en el navegador Chrome, cualquier aplicación diseñada para el nuevo sistema debería poder ejecutarse en navegadores que cumplan los estándares aunque corran sobre otros sistemas.

Por citar sólo dos reseñas me quedaré con Microsiervos, donde la he visto por primera vez y Genbeta, por la imagen que la ilustra.

Actualización [09/07/2009]: La noticia es portada de la edición en papel de Público, cuyo pdf puede descargarse aquí.

Ataques DDoS a Estados Unidos y Corea del Sur

El Internet Storm Center informa que se están detectando ataques distribuidos de denegación de servicios a diversos sitios oficiales de Estados Unidos y Corea del Sur.

En Pandalabs publican una lista de objetivos y apuntan a Mydoom como el causante.

Otra victoria judicial para as redes P2P

Un Juzgado de lo Mercantil de Barcelona rechaza el cierre cautelar solicitado por la SGAE de una página que alberga enlaces.

"Las redes P2P, como meras redes de transmisión de datos entre usuarios de Internet no vulneran, en principio, derecho alguno protegido por la Ley de Propiedad Intelectual".

La noticia en Público y la sentencia en Bufet Almeida.

¿Cuanto spam envía Waledac?

Ese es el titulo de esta entrada del blog de ESET en el que aportan una estimación del número de mensajes generados por la botnet creada por este troyano: más 6.500 por hora desde un único ordenador infectado para un total de aproximadamente 150.000 diarios y asuminedo que la botnet cuenta con unos 20.000 "miembros" una estimación de 3.000.000.000 de mensajes al día.

Versión final de VLC

Tras varios años de desarrollo el reproductor multimedia VLC ya es versión 1.0.0. Así lo reseñan en The Inquirer.

Google Apps sale de beta

Se han tomado su tiempo, pero Gmail, Google Docs, Google Calendar y Google Talk ya son productos "estables". Así lo comentan en Genbeta.

Aviso de seguridad de Microsoft

Microsoft ha publicado un aviso de seguridad por una vulnerabilidad en la librería msvidctl.dll de Windows XP y Server 2003 que permitiría a un atacante remoto ejecutar código arbitrario con los permisos bajo los que, a su vez, se ejecute el navegador.

Al parecer existe un exploit público que ya ha sido incorporado a páginas legítimas.

Por cierto que la noticia ya fue ancticipada ayer por Unaaldía.

Mes de los fallos en Twitter

Hacía tiempo que no reseñaba ningún "mes de los fallos" pero leo en Unaaldía que este de julio le va a tocar a Twitter y me parece una buena idea que, también, se fije la atención sobre la seguridad en la web 2.0.

Arroba aragonesa

Leo en Alt1040 que la referencia más antigua conocida del símbolo @ se encuentra en un documento fechado en 1.448 en Ariza.

Google-Hacking

Google-Hacking es una técnica consistente en utilizar los buscadores para buscar cadenas que se sabe están asociadas a vulnerabilidades para intentar explotarlas.

En S21Sec le han dedicado esta entrada.

Listas Robinson para correo y teléfono

Público informaba este martes de que la Agencia de Protección de Datos ha puesto en marcha un servicio de Listas Robinson. Lógicamente no son una panacea, y en los comentarios a la propia noticia puede comprobarse que hay quien desconfía de su utilidad. Sin embargo a mí siempre me han parecido una opción interesante, su eficacia no será significativa para el spam, pero al menos contribuirá a evitar las irritantes llamadas de aseguradoras y operadoras de telecomunicaciones.

2000

Esta vez no se me pasa: esta es la bimilésima entrada en esta bitácora.

(Hala, ya me he tirado el pegote).

Troyanos y móviles

Hace ya varios años que se especula con la proliferación del malware para teléfonos móviles, aunque lo cierto es que, salvo noticias como esta o esta otra, la cosa no ha llegado a mayores.

Aunque eso puede estar a punto de cambiar, en el ISC reseñan un troyano que envía SMSs sin conocimiento del usuario y acaban concluyendo que el tiempo en el que habrá que disponer de antivirus en los móviles se acerca rapidamente...

El mapa de Secunia

Secunia ha creado un mapa con los resultados de los análisis realizados por su herramienta Personal Software Inspector. Lo cierto es que el mapa no deja de ser una curiosidad, lo verdaderamente interesante es la herramienta, lástima que la versión corporativa sea de pago.

Phishing al BBVA

Ayer recibí varios correos electrónicos que no eran otra cosa que intentos de estafa a clientes del BBVA. Nada de particular si no fuera por la coincidencia de que Maligno aprovechó la circunstancia (el había recibido con anterioridad mensajes aparentemente idénticos) para comentar el uso de los registros SPF por parte de bancos y cajas.

Y no, su uso no es tan generalizado como cabría esperar, dos de las cajas en las que tengo cuenta no los utilizan.

Lanzado Firefox 3.5

Tal como estaba anunciado ya está disponible la versión 3.5 de Firefox. Las novedades más significativas son las mejoras en el rendimiento (aunque hay quien las discute) y la inclusión del modo de navegación privada.

Más detalles en:

http://www.mozilla-europe.org/es/firefox/