Actualización de Safari cierra huecos de seguridad

Apple liberó la versión 5.1.4 de su navegador web Safari para sistemas Windows y Mac OS X. Según la compañía, la actualización de mantenimiento y seguridad resuelve más de 80 vulnerabilidades. La actualización también incluye varias mejoras de estabilidad y desempeño así como soluciones a problemas no relacionados con seguridad.

La mayoría de los huecos de seguridad cerrados en la versión 5.1.4 fueron encontrados en el motor del navegador WebKit, usado por Safari. Éstos incluían algunos problemas de cross-site-scripting (XSS), cross-origin, problemas de autenticación HTTP, así como numerosos fallos de corrupción de memoria que podían ser explotados por atacantes, por ejemplo, provocar el cierre de la aplicación de forma no esperada o la ejecución de código arbitrario.

El problema reciente, donde Google fue acusado de evitar los controles de privacidad de cookies en Safari, también parece haber sido resuelto. No fueron dados detalles de cómo Apple solucionó este error. También se solucionó un fallo en el modo de navegación privada de Safari, el cual permitía que las visitas a páginas se registraran en el historial del navegador, aun y cuando el modo estaba activo.

En sistemas Windows, la actualización del navegador mejora la revisión de validez en los nombres de dominio con la finalidad de prevenir que atacantes usen caracteres similares en una URL para visualmente falsificar un dominio legítimo, y redirigir a los usuarios a sitios maliciosos –los sistemas Mac OS X no fueron afectados por este problema.

Una lista completa de las soluciones de seguridad puede ser encontrada en "Acerca del contenido de seguridad en Safari 5.1.4". Safari 5.1.4 está disponible para su descarga para sistemas Windows XP o más recientes y Mac OS 10.6 y 10.7.

Alternativamente, los usuarios de Mac OS X pueden actualizar a la nueva versión a través de la opción de actualización automática, incluida en el software. Se notificó a los usuarios que deben actualizar su navegador lo antes posible.

Fuentes: The H Security 

Ladrones utilizan cuentas comprometidas de correo electrónico para cometer fraude bancario

Cibercriminales encuentran una forma poco sofisticada, pero muy inteligente, de obtener acceso a cuentas de banco de usuarios en Internet. El primer paso fue utilizar cuentas de correo comprometidas anteriormente, con el fin de mandar mensajes a personal del banco solicitando transferencias de fondos.

El reportero de seguridad Brian Krebs, informa que aunque en algunos casos los empleados de las instituciones financieras se rehusan a cumplir estas falsas peticiones, existen algunas almas caritativas que ayudan a los "necesitados", y no piensan dos veces en realizar transferencias a petición de un correo electrónico.

Los falsificadores tienen la ventaja de que los trabajadores del banco confían en la legitimidad de los correos, si la dirección del remitente ha sido utilizada en anteriores operaciones bancarias legítimas.

En un escenario que se presentó el mes pasado, algunos ladrones comprometieron las cuentas de correo de tres clientes del banco Western National. Después de haber visto los correos utilizados para comunicarse con personal del banco, los ladrones realizaron acciones para solicitar información bancaria de sus víctimas.

El mensaje falso estaba compuesto de la siguiente manera:

Good Morning,

Can you please update me with the the available balance in my account and also the information needed to complete an outgoing wire transfer for me today,i am on my way to my nephew funeral service but i will check my mail often for your response.

Thanks.

(Traducción al español)

Buenos Días,

Me gustaría saber si me pudieran informar el saldo disponible en mi cuenta, así como la información necesaria para poder realizar una transferencia el día de hoy. Voy en camino al funeral de un sobrino pero estaré al pendiente de mi correo para su respuesta.

Muchas gracias.

De los tres correos electrónicos enviados, dos fueron ignorados por empleados de instituciones financieras, y el tercer correo sí fue tomado en serio, por lo que los estafadores pudieron consumar su fraude al especificarles donde realizar la transferencia.

Wade Kuehler, vicepresidente ejecutivo de WNB, afirmó que el banco asumió toda la responsabilidad del incidente, el cual sólo resultó en una pequeña pérdida.

Aunque las autoridades dicen que estos engaños no son poco comunes, especialmente en el ámbito bancario, los expertos revelan que los cibercriminales están explotando exitosamente la relación de confianza que puede existir entre las instituciones y sus clientes.

Debido a que la mayoría de las empresas realizan la mayor parte de sus actividades por correo electrónico, es necesario un proceso de verificación para no darle a los defraudadores oportunidad de obtener beneficios.

Fuente: Softpedia 

Estafadores aprovechan disgusto por la biografía de facebook

Muchos usuarios de Facebook aún no se han reconciliado con el hecho de que el perfil permanezca en Biografía, esta situación los hace un blanco perfecto para los defraudadores.

De acuerdo con investigadores de Systantec, un sitio phishing ha estado recomendando a los usuarios una aplicación falsa que supuestamente les permitirá volver al antiguo estilo de perfil.

"El sitio phishing muestra un video promocional de YouTube sobre la Biografía de Facebook, en el que afirman "Deshacerse de la Biografía ahora", dijeron los investigadores . "De acuerdo con este sito phishing, los usuarios eliminarán la "Biografía" de su perfil de Facebook, y volverán a su antigua interfaz, con la condición de introducir sus credenciales de acceso".

Los creadores de phishing han agregado el logo de una solución antivirus reconocida al final de la pagina, para dar confianza de que la aplicación en cuestión (o si es pagina web) está "protegida", y es segura de utilizar. 

Desafortunadamente, todos los que cayeron en esta estafa, e ingresaron sus credenciales de Facebook, han entregado sus cuentas de Facebook y todo lo que se encuentra en ellas a los estafadores.

Fuente: Help Net Security 

Culpan a China de ataque de ingenieria social contra comandante de la OTAN

China ha sido señalada por intentar realizar un ataque de ingeniería social contra el almirante James Stavridis, Comandante Supremo de la Alianza Europea de la OTAN, tras haber recibido varios perfiles falsos que se crearon y usaron para contactar a familiares, amigos y colegas del almirante.

De acuerdo al The Observer, quien dio a conocer la historia el domingo pasado, la OTAN no está segura de quién está detrás de estos ataques de ingeniería social; sin embargo, fuentes cercanas dijeron que la mayoría de los directivos de la OTAN “fueron advertidos acerca de este tipo de actividad”.

"La creencia es que China está detrás de esto", dijo la fuente al diario.

Según el reporte de The Observer, los atacantes usaron perfiles falsos en la red social para solicitar información a través de mensajes públicos y privados, en lo que pareciera ser un intento de ganar información personal sobre el almirante o personas cercanas a él. Esto ha sucedido muchas veces durante los últimos dos años.

"Facebook está cooperando para descubrirlos…lo más importante para Facebook es dar con el paradero de los responsables", dijo un oficial de la OTAN a The Observer.

"En primer lugar, queremos asegurarnos de que el público no sea mal informado. SACEUR y la OTAN han hecho importantes anuncios políticos, ya sea en el Twitter o Facebook, lo que refleja el compromiso de la OTAN para mantenerse en contacto a través de sus redes sociales. Es importante que el público tenga confianza en nuestras redes sociales", agregó el funcionario.

A menudo, el almirante utiliza las redes sociales para hablar de sus últimas actuaciones, incluido un mensaje en Facebook el año pasado que anunciaba el final de una campaña militar en Libia.

Fuentes: The Tech Herald 

Falso mensaje en Facebook solicita números de seguridad social a sus usuarios

Después del engaño que aseguraba que Facebook sería cerrado pronto debido a que su CEO Mark Zuckerberg estaba demasiado estresado, y el otro que advertía a los usuarios de que debían de pagar por su membrecía, el último engaño informa a los usuarios de la red social que a partir de Abril de 2012 deberán de proporcionar números de seguridad social cuando inicien sesión.

Hoax Slayer reporta que este asunto se volvió viral después de que un sitio web que ofrece humor satírico publicó una historia al respecto.

Fuente: Hoax Slayer

Facebook requerirá números de seguridad social cuando sus miembros inicien sesión. Hoy, Facebook anunció un nuevo procedimiento para enfrentar una nueva ola de spam que ha plagado el sitio web. A partir del 2 de abril, se le pedirá a los usuarios que ingresen sus números de seguridad social para poder iniciar sesión en sus cuentas de Facebook", se lee en el mensaje que ha estado asustando a los usuarios en los últimos días.

En realidad, el sitio que ofrece la historia, Free Wood Post, es similar al Weekly World News que no hace mucho escribió algunos artículos que causaron pánico.

En el banner se lee claramente "Noticias que son CASI confiables", pero como ocurrió en muchos casos previos, los que lanzaron los rumores en Facebook , no se tomaron la molestia en revisar la validez de la historia, o tal vez su verdadera intención sea crear pánico.

Se ha advertido a los usuarios de redes sociales no reenviar mensajes que contengan advertencias sin antes revisar su legitimidad.

Es verdad que el verdadero propósito de sitios como Facebook es compartir contenido, pero esto no significa que no nos detengamos a pensar antes de publicar un mensaje falso y peor aún, publicaciones que conducen a códigos u otros elementos maliciosos.

También, tomemos esta oportunidad para recordar a todos acerca de la campaña en curso donde se le pide a los usuarios de Facebook que se abstengan de compartir, vincular o comentar posts que muestran imágenes de niños presuntamente enfermos porque grandes compañías donan dinero por cada una de esas acciones.

Cuando se encuentren publicaciones maliciosas o falsas, se recomienda a los usuarios, reportarlas a Facebook usando el botón "Reportar".

Fuentes: Softpedia