Novedades

Reunimos en una misma página todas las noticias más importantes de NextVision, incluyendo el contenido de los comunicados de prensa, artículos de Ciberseguridad, investigaciones, novedades de nuestro equipo NV y mucho más!

Alerta de Seguridad | Vulnerabilidad descubierta en Fortinet

NextVision

0

Alerta 2 de octubre de 2020

¿De qué se trata la vulnerabilidad?

Algunas versiones de FortiOS son potencialmente vulnerables a un desbordamiento del buffer overflow.

Resumen

Una vulnerabilidad de desbordamiento de búfer basada en un alto número de procesamiento de mensajes del Protocolo de control de enlace en FortiOS puede permitir que un atacante remoto con credenciales VPN SSL válidas bloquee el demonio VPN SSL enviando un paquete LCP grande, cuando el modo túnel está habilitado. La ejecución de código arbitrario puede ser teóricamente posible, aunque prácticamente muy difícil de lograr en este contexto.

Impacto

Negación de servicio

Productos afectados

Versiones de FortiOS 5.6.12 y anteriores.

Versiones de FortiOS 6.0.10 y anteriores.

Versiones de FortiOS 6.2.4 y anteriores.

Versiones de FortiOS 6.4.1 y anteriores.

¿Cómo solucionamos el problema?

 Para versiones 6.0: Actualice a la versión 6.0.11 o superior de FortiOS.

 Para versiones 6.2: Actualice a la versión 6.2.5 o superior de FortiOS.

 Para versiones 6.4: Actualice a la versión 6.4.2 o superior de FortiOS.

 Workaround: Desactive el modo de túnel.

Soporte

Contá con nosotros!

Comunicate con nuestro equipo para ayudarte en la actualización del sistema operativo o si necesitás actualizar tus equipos Fortinet.  

Si tenés contrato de soporte, envianos un mail a soporte@nextvision.es.

Caso contrario podes contactar a nuestro equipo comercial a info@nextvision.es 

DE VPN A SDP

NextVision

0

Dado el contexto que estamos transitando, tanto los empleados como las empresas se vieron envueltos en un proceso de adaptación y en algunas ocasiones tuvieron que aprender nuevas terminologías que nos exige el teletrabajo: videollamada, nube, FTP, etc. pero la más importante y que nos permite en la mayoría de los casos llevar adelante el negocio es la tradicional VPN (Virtual Private Network).

Si bien la VPN es una tecnología utilizada a gran escala a nivel global, las amenazas aumentan y se hacen más complejas. Cada vez más, hay organizaciones que demandan nuevas tecnologías que brinden la conectividad necesaria, incluyendo el concepto de confianza cero o redes zero trust.

Este enfoque se caracteriza por el control del tráfico tanto externo como interno, ya que es posible esconder los medios de manera que un usuario, un equipo o un aplicativo tengan no sólo acceso sino también visibilidad de los recursos para los que fueron autorizados.

Aquí es donde evolucionamos a SDP (Software Defined Perimeter)

  • Esta tecnología nos permite personalizar los accesos mediante un conjunto de políticas y condiciones que validan el dispositivo, el usuario y el recurso al que se quiere acceder. 
  • A nivel operativo, los usuarios no son sometidos a todas las reglas establecidas en el perímetro para ver cuál es la que les corresponde, lo que nos da un gran rendimiento y automatización ya que se crea un pequeño túnel personalizado para cada usuario.SPD es realmente flexible pudiendo realizar más de una validación antes de otorgar el acceso, tanto a nivel usuario como dispositivo (Si el antivirus está instalado, si el SO tiene determinado parche instalado, etc.).Otro punto importante es la segmentación, tanto de usuarios como de redes, pudiendo ofrecer accesos totalmente dinámicos y con distintos niveles de validación sin dependencia alguna (Local, LDAP, MFA). 

Las acciones a definir dentro de la red interna también nos permiten evitar el acceso indebido y mantener al usuario en un ambiente controlado impidiendo la entrada a información prohibida, lo que nos evita las amenazas internas, el eslabón más débil de la seguridad informática. Por ejemplo, aunque el equipo de un usuario sea vulnerado, el atacante no podrá realizar movimientos laterales.

Para hacer una gestión eficiente de los ciberriesgos, necesitamos repensar el proceso. NextVision incluye en sus servicios AppGate SDP: Seguridad Adaptable y Centrada en la Identidad para IT Híbrida

AppGate SDP protege las redes mediante un Perímetro Definido por Software. 

Una poderosa plataforma de seguridad de redes que ofrece un Perímetro de seguridad Definido por Software (SDP, por sus siglas en inglés), que sostiene un modelo de seguridad enfocado en el usuario, y que es capaz de asegurar cualquier aplicación, plataforma y ubicación. 

Este modelo de seguridad dinámicamente crea conexiones “uno a uno” entre usuarios y los recursos que necesitan. Todo lo demás permanece oculto, incluso el mismo sistema.

AppGate SDP permite controlar el acceso de forma dinámica a lo largo de la red híbrida de las compañías mediante políticas centradas en la identidad, en vez de listas de acceso estáticas basadas en IP.

Es una solución híbrida diseñada para la nube, y como la nube, que trabaja en cualquier infraestructura sin importar hacia dónde se está migrando. 

Además, su arquitectura es resistente, masivamente escalable y se encuentra completamente distribuida, permitiendo que las empresas implementen un sistema global de acceso seguro con mayor control.

¡Contá con nosotros!

Comunicate con nuestro equipo de expertos para asesorarte acerca de esta solución y otras problemáticas de ciberseguridad.

Conocé nuestra oferta completa de soluciones y servicios

Escribinos a info@nextvision.es.

Fuente: Departamento de Tecnología de NextVision

CÓMO PROTEGERSE EN LA NUBE DE LAS AMENAZAS POR CORREO ELECTRÓNICO

NextVision

0

El correo electrónico sigue siendo la herramienta de comunicación más importante para las empresas. Desafortunadamente, eso también hace que el correo electrónico sea el principal vector de amenazas, con el volumen y la sofisticación de los ataques en constante aumento. ¿Qué sucede al mismo tiempo? las empresas se están trasladando cada vez más a proveedores de correo electrónico en la nube, como Microsoft 365 o Google G-Suite, y luchan por proteger su tráfico de correo electrónico. Las herramientas de seguridad nativas integradas disponibles en estas plataformas son por sí mismas insuficientes para protegerse contra ataques, cuidar datos valiosos y garantizar que se cumplan los objetivos de cumplimiento.

Los usuarios se enfrentan a una gran variedad de amenazas basadas en el correo electrónico entrante, que incluyen spam, ransomware, exploits avanzados y ataques día cero, además de amenazas salientes derivadas de fugas de datos y violaciones de cumplimiento.

Si bien las soluciones de proveedores en la nube cumplen con algunos filtros de antispam que incluyen en su suscripción, no cumplen con todo lo que requiere el escenario actual.

Por ejemplo, recientemente se descubrió una vulnerabilidad importante de Gmail que permite que ingresen correos electrónicos de suplantación de identidad:

Microsoft Office 365 Advanced Threat Protection (ATP) también tiene varias vulnerabilidades. Constantemente los phishers están encontrando formas de evitar la función de ATP de Office 365:

Un punto importante sobre estas soluciones es que ambos no han podido identificar y mitigar un tipo muy específico de suplantación de identidad de correo electrónico conocido como compromiso de correo electrónico empresarial (BEC), ataques de ingeniería social que se diseñan meticulosamente sin una carga útil maliciosa, como un archivo adjunto o un enlace, lo que hace que no sea posible identificar por soluciones de antispam. 

Los esquemas BEC comunes involucran facturas falsas de proveedores confiables, fraude de CEO, solicitudes de RR.HH. para información personal sobre empleados, solicitudes para completar formularios de impuestos y apelaciones para completar para transferencias electrónicas urgentes.

Hace unos días salió una noticia sobre una nueva estrategia para saltarse las medidas de seguridad usando phishing con texto invisible. Esta es una técnica se basa en un ataque conocido como “text direction deception”. Los ataques están constantemente en evolución por lo que es necesario complementarlo con soluciones de Secure Email Gateway (SEG) que mejoren el nivel de protección.

Las soluciones de Secure email Gateway proporcionan una amplia gama de capacidades para proteger y asegurar todo el tráfico de correo electrónico entrante y saliente, esto sigue siendo importante incluso cuando las organizaciones pasan de servidores de correo electrónico locales a proveedores en la nube, como Microsoft 365 (M365) o G-Suite.

Lo importante de estas tecnologías es que proporcionan una línea base de análisis de contenido, capacidades anti-spam y anti-malware, boletines de marketing y clasificaciones de correo, así como controles personalizados para la gestión de mensajes del usuario final.

Las características avanzadas disponibles en muchos SEG incluyen capacidades para un análisis más profundo utilizando tecnología de espacio aislado o desarmado de contenido, y reconstrucción de archivos adjuntos de destino. Para abordar las amenazas basadas en URL, algunos SEG también ofrecen reescritura de URL y análisis de tiempo de clic o tecnología complementaria de aislamiento de navegador remoto. También es común que los SEG ofrezcan capacidades para abordar los intentos de suplantación de identidad y suplantación de correo electrónico.

CONTACTANOS PARA BRINDARTE EL MEJOR ASESORAMIENTO SOBRE SOLUCIONES SECURE MAIL GATEWAY EN LA NUBE.

Alerta : Ransomware Sodinokibi

NextVision

0

Informe y Recomendaciones

Ciberataque a telco argentina Ransomware Sodinokibi 

Resumen del Incidente

El día sábado 18 de Julio una telco argentina fue afectada por un ciberataque de impacto global, el cual  afortunadamente no afectó a servicios críticos de la empresa ni tampoco a sus clientes ni a la base de datos de estos. 

Sodinokibi es un ransomware para sistemas Windows cuya propagación sigue el modelo Ransomware as a Service, es decir, código malicioso que se comercializa de forma personalizada, ajustándose a las necesidades de cada uno de los suscriptores.

Algunas fuentes asocian su autoría al mismo equipo que desarrolló el malware GandCrab, siendo una evolución de este último. Esta afirmación se sustenta en la similitud del código fuente, tanto en estructura como en funcionamiento, además de presentar el mismo modelo de actualización y versionado, así como unos vectores de propagación muy similares.

Para infectar los sistemas, recurre a diferentes técnicas de ofuscación, principalmente basadas en criptografía, para dificultar su análisis e identificación de sus firmas por parte de otros programas de seguridad, como antivirus o sistemas de detección de intrusión (IDS), esta característica lo hace extremadamente peligroso ya que pasa desapercibido ante controles de este tipo. 

Medios de propagación:

La propagación de este ransomware se ha producido a nivel mundial, siendo Asia la región más afectada. Los principales vectores son:

  • El envío de correos maliciosos, mediante campañas de spam.
  • La publicidad maliciosa o malvertising, es decir código malicioso presente en los anuncios que aparecen durante la navegación web, tanto para ser ejecutado directamente en el equipo, como para redirigir a servidores donde se descargan otros ejecutables.
  • Ataques de fuerza bruta sobre el protocolo  (RDP).
  • Explotación de vulnerabilidad CVE-2019-2725 que afecta a sistemas Oracle. 

Impacto 

El ataque fue específicamente al sector interno: ningún usuario de la telco, Personal o Fibertel se vio afectado.

Los usuarios corporativos lamentablemente no han recibido ninguna notificación oficial de la empresa, pero no se conocen casos de afectados, ya que el ataque y daño fue en la red interna de Telecom.
 

Análisis – Causa Raíz
 
El archivo ejecutable se empaqueta de forma personalizada, empaquetando todas las cadenas de texto, nombres de librerías y archivos DLL mediante el algoritmo criptográfico RC4, empleando una clave aleatoria diferente y de longitud variable para cada uno de los elementos cifrados. De esta forma, las cadenas de texto, las tablas API y las referencias a librerías en las que se basa habitualmente el software antivirus para detectar código malicioso resultan ineficaces en su identificación.

La información para su carga se descifra en tiempo de ejecución, utilizando el hash de la cadena en lugar de la propia cadena, lo cual incrementa aún más la dificultad de detección. Además, en su estructura de datos tampoco es posible reconocer el tamaño de las claves ni los datos, lo que hace muy difícil su descifrado por medios automatizados mediante herramientas y métodos convencionales.

Una vez que el código malicioso se ejecuta en el sistema de la víctima, gracias a alguno de los diferentes vectores de ataque vistos anteriormente, su primera acción es generar un identificador o mutex, para evitar que entre más de un proceso a la vez en la sección crítica. De esta forma, previene fallos de funcionamiento y dificulta su detección.

El siguiente paso es descifrar la configuración incrustada en su código en formato JSON, que dictará las operaciones que llevará a cabo en función de los parámetros que haya seleccionado el suscriptor del servicio malicioso, por lo que podrán variar de unos a otros.

Acciones Correctivas

 Por parte del equipo de seguridad y protección de la red corporativa se recomienda en su capa perimetral poseer un equipo con funcionalidad UTM (Firewall de Perímetro) específicamente con Antivirus que bloquee estos tipos de ataques ATP; adicionalmente dentro de la Red LAN proteger los Endpoint bloqueando en su solución de Antivirus los datos siguientes.

·  Bloqueo de indicadores de compromiso (Iocs)

·  Bloqueo de las IP relacionadas al ransomware

·  Bloqueo de los dominios relacionados al ransomware

·  Bloqueo de los hashes (SHA 256) relacionados al ransomware

·  Bloqueo de los sender relacionados al ransomware

·  Bloqueo de las URL relacionadas al ransomware
 

Ya varias soluciones de Endpoint tienen bloqueada esta vulnerabilidad: F-Secure, Sophos AV, Kaspersky, Symantec y Fortinet UTM AV. 

Recomendaciones:

  • Contar con una capa de seguridad perimetral licenciada (UTM) para prevenir ataques de ATP específicamente con un antivirus que tenga protección en tiempo real.
  • Mantener el software antivirus siempre en ejecución y actualizado.
  • Hacer copias de seguridad frecuentemente y mantenerlas en soportes desconectados.
  • Mantener actualizados los sistemas operativos y las aplicaciones.
  • Realizar un análisis de los enlaces de Internet y servicios publicados, en los segmentos de IP públicas, mediante herramientas dedicadas tales como Vendor Risk Management.
  • Instalar aplicaciones específicas de seguridad en la red interna (Acceso seguro la red y sus recursos, cifrado de archivos, Discos, Email).
  • Segregar y segmentar la red en subredes y zonas DMZ.
  • Construir una cultura cibersegura: generar campañas de concienciación a usuarios y programas de Awareness que ayuden a los colaboradores a identificar potenciales correos maliciosos.

Fuente: Equipo de Consultores de NextVision